📚 课程目录第2章嵌入式系统基础

2. 嵌入式系统基础

虚拟化安全隔离并不是把服务器上的 Hypervisor 直接缩小后搬进嵌入式设备。嵌入式平台在处理器架构、内存管理、中断分发、启动链路和资源预算上都与通用计算平台存在结构性差异。理解这些差异，才能判断哪些隔离机制可用、哪些必须裁剪、哪些会直接破坏实时性或安全边界。本章围绕五个基础对象展开：处理器架构、内存管理单元（MMU）、中断控制器、启动流程与资源约束。

一、处理器架构：隔离能力的硬件起点

嵌入式处理器常见架构包括 ARM Cortex-A、Cortex-R、Cortex-M，以及 RISC-V、MIPS 等。虚拟化安全隔离最关心三类硬件能力：特权级、地址翻译和异常模型。

特权级：ARMv7-A/ARMv8-A 提供 EL0～EL3 异常等级，EL2 是虚拟化扩展的核心；Cortex-M 只有特权/非特权两级，缺少 EL2，通常只能做 MPU 分区而非完整虚拟机隔离。
地址翻译：MMU 支持多级页表与地址空间切换，是虚拟机内存隔离的前提；只有 MPU 的 MCU 依靠区域寄存器做静态保护。
异常模型：中断、系统调用、缺页异常需要能陷入 Hypervisor，否则 Guest 可绕过监控。

判断一款芯片能否承载 Type-1 Hypervisor，先看是否具备虚拟化扩展（如 ARM VE、RISC-V H 扩展）与二级地址翻译（Stage-2 Translation）。缺少 Stage-2 时，Hypervisor 必须用影子页表或半虚拟化弥补，开销与攻击面都会上升。

二、内存管理单元：隔离的物理边界

MMU 把虚拟地址翻译为物理地址，并附带访问权限。虚拟化场景下通常出现两阶段翻译：Guest 虚拟地址 → Guest 物理地址（Stage-1，由 Guest OS 页表完成）→ 真实物理地址（Stage-2，由 Hypervisor 页表完成）。Stage-2 页表决定了某个虚拟机能看到哪些物理页，是内存隔离的硬边界。

嵌入式 MMU 的典型约束包括：TLB 条目少、页表级数可配置、部分芯片不支持大页混合映射。TLB 抖动会直接放大虚拟机切换开销。安全隔离设计时，应把安全关键虚拟机的页表常驻 TLB，并避免频繁跨虚拟机切换。

Stage-1: VA  --Guest页表-->  IPA
Stage-2: IPA --Hypervisor页表-->  PA
权限位:  R/W/X, AP, UXN/PXN, NS(安全/非安全)
关键寄存器: VTTBR_EL2, VTCR_EL2, TCR_EL1

三、中断控制器：虚拟化的实时性咽喉

中断控制器负责把外设中断分发给 CPU。ARM 平台常见 GICv2/GICv3，RISC-V 使用 PLIC/CLINT。虚拟化引入后，中断需要先到 Hypervisor，再注入 Guest，形成“物理中断 → Hypervisor → 虚拟中断 → vCPU”的路径。

GICv3 的 List Registers 与 GICv4 的虚拟中断直通（vLPI）能显著降低注入延迟。若芯片仅支持 GICv2，Hypervisor 需通过维护中断（Maintenance Interrupt）模拟，实时性下降明显。对工业控制、车载等硬实时场景，中断延迟是选型的决定性参数。

常见误区：认为“中断虚拟化只是多一层转发”。实际上，中断亲和性、优先级抢占、EOI 处理顺序都会改变。若 Hypervisor 未正确隔离中断优先级，Guest 可能通过中断风暴影响其他虚拟机。

四、启动流程：信任链与隔离建立的时序

嵌入式启动通常经历：上电复位 → BootROM → 一级引导（SPL/FSBL）→ 二级引导（U-Boot）→ 操作系统。虚拟化平台需要在 OS 之前建立 Hypervisor，因此启动链被改写为：BootROM → FSBL → Hypervisor → Guest OS。

BootROM 校验 FSBL 签名，建立初始信任根。
FSBL 初始化 DDR、时钟，加载并校验 Hypervisor 镜像。
Hypervisor 配置 Stage-2 页表、GIC 虚拟化、vCPU 上下文。
Hypervisor 依次启动各 Guest OS，分配设备与内存。

安全隔离要求启动链每一级都做签名校验，否则攻击者可在 Hypervisor 之前植入恶意代码，使后续所有隔离形同虚设。这也是安全启动（Secure Boot）与虚拟化必须协同设计的原因。

五、资源约束：隔离的代价与预算

嵌入式设备的 CPU 主频、内存、存储、功耗都远低于服务器。虚拟化会带来额外开销：上下文切换、Stage-2 翻译、中断注入、内存复制。设计时必须做资源预算，而不是“先虚拟化再优化”。

资源维度	典型约束	对隔离设计的影响
CPU	单核/双核，主频 400MHz～1.5GHz	vCPU 数量受限，需静态绑定核
内存	64MB～1GB，无 ECC	Stage-2 页表占用需精算
存储	eMMC/NOR，容量小	多份 Guest 镜像需裁剪
中断延迟	微秒级要求	优先选 GICv3/vLPI 直通
功耗	电池或散热受限	减少无谓的 VM 切换

六、综合场景：工业网关的双域隔离

某工业网关采用 Cortex-A53 双核、512MB 内存、GICv3。设计目标是把实时控制域与通信域隔离：控制域运行 RTOS，通信域运行 Linux。Hypervisor 在 EL2 建立 Stage-2 页表，把控制域内存标记为不可被通信域访问；GICv3 将控制域中断直通到对应 vCPU，通信域中断经 Hypervisor 注入。启动链中 FSBL 校验 Hypervisor 签名，Hypervisor 再校验两个 Guest 镜像。资源预算上，控制域固定 128MB 与一个物理核，通信域使用剩余资源。

该场景说明：嵌入式虚拟化安全隔离不是单一技术，而是处理器能力、MMU 翻译、中断路径、启动信任链与资源预算共同作用的结果。任何一环缺失，隔离强度都会下降。

七、复盘与检查清单

芯片是否具备虚拟化扩展与 Stage-2 地址翻译？
MMU 页表级数、TLB 容量是否满足多虚拟机切换？
中断控制器是否支持虚拟中断注入或直通？
启动链是否每一级都做签名校验？
内存、CPU、存储、功耗预算是否留有余量？
是否验证过中断风暴、页表抖动等边界场景？