1. 课程导入
在嵌入式安全领域，ARM TrustZone 已经成为构建可信执行环境（TEE）的主流硬件隔离技术。它通过把处理器、内存与外设划分为安全世界（Secure World）与非安全世界（Normal World），让敏感代码与数据运行在受硬件保护的域中。然而，真正把 TrustZone 用对、用稳，难点往往不在"能不能隔离"，而在中断如何跨世界传递、内存如何被正确标记与校验。本课程围绕这两条主线展开：一条是中断与异常的安全路由，另一条是内存属性、隔离与完整性保护。
一、学习目标
完成本课程后，学习者应能达成以下目标：
- 概念层：准确区分安全态/非安全态、安全中断/非安全中断、安全内存/非安全内存，理解 SCR、SPSR、VBAR 等关键寄存器在切换中的作用。
- 机制层：掌握 FIQ/IRQ 在 TrustZone 下的路由方式，理解 GIC 的 Group0/Group1 分组与安全中断优先级配置。
- 内存层：理解 TZASC、TZMA、MPU、MMU 与 TrustZone Address Space Controller 的协作，掌握安全内存的划分与访问检查。
- 工程层：能够设计安全中断处理流程、配置安全内存区域，并定位跨世界访问失败、中断丢失等典型问题。
- 验证层：能通过日志、寄存器快照与测试用例验证中断路由与内存隔离是否符合预期。
二、核心概念地图
TrustZone 的知识体系可以拆成四个相互咬合的模块：世界切换、中断路由、内存隔离、安全服务。世界切换依赖 SCR.NS 位与 SMC 指令；中断路由依赖 GIC 的安全分组与 FIQ 信号；内存隔离依赖地址空间控制器与内存属性配置；安全服务则是上层可信应用（TA）与安全监控器（Monitor）的交互接口。四者关系如下：
三、整体框架与关键机制
从工程视角看，TrustZone 的落地依赖三条链路协同工作：
- 中断链路：外设产生中断 → GIC 根据分组判定安全属性 → 安全中断以 FIQ 形式进入安全世界，非安全中断以 IRQ 进入非安全世界 → 异常向量表 VBAR 指向对应处理入口。
- 内存链路：CPU 发起访问 → MMU/MPU 检查内存属性 → TZASC 校验物理地址是否属于安全区域 → 允许或触发访问异常。
- 切换链路：非安全世界通过 SMC 指令陷入 Monitor → Monitor 保存上下文、切换 SCR.NS → 进入安全世界执行 → 完成后返回。
下面是一段典型的安全中断入口配置片段，用于说明安全向量表与 FIQ 的关系：
/* 安全世界异常向量表（简化） */
VBAR_EL3 = (uint32_t)&secure_vector_table;
/* 使能安全中断路由到 FIQ */
SCR |= SCR_FIQ_EN | SCR_IRQ_EN | SCR_NS_MASK;
/* GIC 中将安全外设中断配置为 Group0 */
GICD_IGROUPR0 &= ~(1U << SEC_UART_IRQ);
GICD_ISENABLER0 |= (1U << SEC_UART_IRQ);
四、典型场景与误区复盘
以一个安全支付终端为例：指纹采集模块属于安全外设，其数据必须只被安全世界读取。若工程师只配置了 TZASC 却忘记把该外设中断划入 Group0，则中断会进入非安全世界，导致安全服务无法及时响应，甚至被普通系统伪造数据。这类问题在真实项目中非常常见。
| 常见误区 | 现象 | 正确做法 |
|---|---|---|
| 只做内存隔离，忽略中断分组 | 安全外设中断被非安全世界处理 | GIC 中显式配置 Group0 与优先级 |
| SCR.NS 切换后未保存上下文 | 返回非安全世界时寄存器错乱 | Monitor 中完整保存/恢复调用者寄存器 |
| 安全内存区域未对齐或重叠 | TZASC 区域冲突，访问被误拒 | 按硬件粒度对齐，避免区域交叠 |
| 把 FIQ 当作普通中断处理 | 安全中断延迟高、丢失 | 安全 FIQ 使用独立向量与高优先级 |
五、学习路径建议
建议按"概念 → 中断 → 内存 → 综合实战"的顺序推进：先建立双世界模型与寄存器认知，再深入 GIC 安全分组与 FIQ 路由，随后学习 TZASC/MPU 的内存划分，最后通过一个完整的安全中断+安全内存案例串联全部知识。每章都会配一张专属图解，帮助你把抽象机制落到具体对象与信号上。