1. 课程导入

在物联网设备快速普及的今天，安全启动、可信执行环境、密钥保护与固件防篡改已经成为产品能否通过认证、能否进入行业市场的关键门槛。ARM TrustZone 技术通过在同一颗处理器内划分安全世界（Secure World）与非安全世界（Normal World），为资源受限的 IoT 设备提供了一条兼顾成本与安全的可行路径。然而，把 TrustZone 从“芯片手册里的架构图”真正落到一块具体开发板上，并不是打开一个编译开关那么简单，它涉及启动流程、内存映射、中断路由、外设归属、安全监控调用以及操作系统适配等一系列工程问题。本课程正是围绕“移植适配”这一主线，帮助学习者建立从架构理解到工程落地的完整能力。

一、学习目标：从看懂架构到跑通系统

本课程的学习目标分为四个层次。第一层是概念层，要求能够准确区分安全世界与非安全世界、安全监控调用（SMC）与普通函数调用、TrustZone 与 TEE 的关系，理解 TrustZone 不是一颗独立安全芯片，而是处理器内部的一种安全隔离机制。第二层是架构层，要求掌握 AArch32/AArch64 下 EL 异常等级、SCR 寄存器、安全状态切换、内存安全属性控制器（TZC）等关键部件的职责边界。第三层是移植层，要求能够针对具体 SoC 完成 ATF（ARM Trusted Firmware）或 OP-TEE 的板级适配，包括串口、时钟、DDR、中断控制器和安全外设的配置。第四层是验证层，要求能够设计安全启动、安全存储、安全中断和世界切换的测试用例，并借助日志与调试手段定位移植过程中的典型故障。

二、核心概念：安全世界、非安全世界与安全监控

TrustZone 的基本思想是把处理器的运行环境划分为两个相互隔离的世界。非安全世界运行通用操作系统，如 Linux、RTOS，负责业务逻辑、网络通信和人机交互；安全世界运行可信执行环境或安全固件，负责密钥管理、安全启动校验、加密运算和敏感数据存储。两个世界之间不能随意访问对方内存，必须通过安全监控调用进行受控切换。安全监控调用由 SMC 指令触发，进入安全监控程序后，根据功能号决定是切换到安全世界、返回非安全世界，还是执行安全服务。

在 ARMv8-A 架构中，异常等级进一步细化为 EL0 到 EL3。EL0 为用户态，EL1 为操作系统内核态，EL2 为虚拟化层，EL3 为安全监控层。安全世界通常运行在 EL3 和 S-EL1，非安全世界运行在 EL0、EL1 和 EL2。移植适配的核心工作之一，就是正确配置各异常等级的入口地址、栈空间和异常向量表，确保世界切换时上下文不丢失、不串扰。

另一个关键概念是内存安全属性。TrustZone 通过 TZC 等控制器把物理内存划分为安全区域和非安全区域。安全区域只能被安全世界访问，非安全区域可以被两个世界访问，但安全世界访问非安全区域时通常需要额外检查。外设同样需要归属划分，例如串口、定时器、加密引擎、GPIO 等，哪些归安全世界，哪些归非安全世界，必须在移植前明确规划。

三、整体框架与学习路径

本课程按照“架构认知—环境搭建—固件移植—系统适配—验证优化”的路径展开，共 30 章。前 6 章建立 TrustZone 架构、异常等级、安全启动和 TEE 生态的基础认知；第 7 至 12 章进入工程准备，包括开发板选型、交叉编译工具链、ATF 与 OP-TEE 源码获取、编译烧录流程；第 13 至 20 章聚焦移植核心，覆盖 BL1/BL2/BL31 启动链、TZC 配置、GIC 安全中断、串口与时钟适配、安全存储驱动；第 21 至 26 章处理 Linux 侧适配，包括 OP-TEE 驱动、设备树、世界切换性能和安全服务调用；最后 4 章进行综合验证、故障复盘与量产化考量。

四、典型场景与常见误区

一个典型的 IoT 安全场景是智能门锁。非安全世界运行 Linux，负责网络连接、用户界面和 OTA 升级；安全世界运行 OP-TEE，负责密钥存储、安全启动校验和加密通信。门锁上电后，BL1 从启动 ROM 加载并校验 BL2，BL2 初始化 DDR 和 TZC，加载 BL31 与 OP-TEE OS，最后启动 Linux。用户刷卡时，Linux 侧应用通过 SMC 调用安全服务，安全世界完成密钥运算后返回结果。整个过程中，密钥始终不出安全世界，即使 Linux 被攻破，攻击者也无法直接读取密钥。

移植过程中最常见的误区有四个。第一，把 TrustZone 当成独立安全芯片，忽略它依赖处理器安全扩展和板级外设配合。第二，只关注安全世界，忽略非安全世界的驱动适配，导致 Linux 无法正常访问安全服务。第三，内存和外设归属划分不清，出现安全世界访问非安全资源被拦截，或非安全世界越权访问安全资源。第四，缺少日志与调试手段，世界切换失败时只能看到系统挂起，无法定位是异常向量表、栈指针还是 SMC 功能号的问题。

五、动手前的准备清单

在进入后续章节之前，建议先确认以下准备工作：一块支持 TrustZone 的 ARMv8-A 开发板，如瑞芯微 RK3399、恩智浦 i.MX8M 或树莓派 4 等；一套可用的交叉编译工具链，如 aarch64-linux-gnu-；ATF 与 OP-TEE 源码仓库；串口调试工具与 USB 转串口线；以及一份清晰的板级内存映射和外设归属表。下面是一个典型的源码获取命令示例：

# 获取 ARM Trusted Firmware 源码
git clone https://github.com/ARM-software/arm-trusted-firmware.git
cd arm-trusted-firmware
make PLAT=rk3399 CROSS_COMPILE=aarch64-linux-gnu- all

# 获取 OP-TEE 源码
repo init -u https://github.com/OP-TEE/manifest.git -m rk3399.xml
repo sync -j4
cd build
make -j4 all