3. JTAG架构详解
JTAG 并不是一根“调试线”那么简单，它是一套围绕芯片引脚与内部逻辑构建的串行访问架构。理解 JTAG 安全，必须先看清它的五个核心构件：TAP 控制器负责状态迁移，指令寄存器（IR）决定当前操作，数据寄存器（DR）承载实际数据，边界扫描链把引脚状态串成可观测、可控制的通路，而状态机则规定了 TDI、TMS、TCK 如何协同推进。它们共同构成一个“先选指令、再走数据”的两级串行机制。
一、TAP 控制器：JTAG 的“总调度台”
TAP（Test Access Port）控制器是 JTAG 架构的中枢。它接收 TCK 时钟和 TMS 模式信号，在每一个 TCK 上升沿根据 TMS 的电平决定下一个状态。TAP 控制器本身不存储业务数据，它的职责是把外部调试器送入的时序翻译成内部寄存器的捕获、移位和更新动作。没有 TAP 控制器的正确迁移，IR 和 DR 都无法被访问。
从安全视角看，TAP 控制器是第一个攻击面：如果 TMS 被恶意拉高足够多的周期，状态机将进入 Test-Logic-Reset，所有调试逻辑被复位；如果 TMS 被精确控制，攻击者可以停留在 Shift-DR 状态，持续移出内部数据。因此，TAP 控制器的状态迁移序列本身就是安全审计的重要观测点。
二、指令寄存器 IR：先选“做什么”
JTAG 采用两级选择机制。第一步是把指令移入 IR。IR 的位宽由芯片定义，常见为 4 到 10 位。调试器在 Shift-IR 状态下，通过 TDI 逐位送入指令码，捕获到的旧指令则从 TDO 移出。指令一旦被 Update-IR 锁存，就决定了后续 DR 通路连接哪一个数据寄存器。
常见指令包括：
- IDCODE：读取器件标识，用于识别芯片型号与厂商。
- BYPASS：将 TDI 到 TDO 的通路缩短为 1 位，用于旁路该器件。
- SAMPLE/PRELOAD：采样引脚当前电平，或预装边界扫描单元输出值。
- EXTEST：驱动边界扫描链输出，用于板级互连测试。
- INTEST：对芯片内部逻辑进行测试。
三、数据寄存器 DR：真正承载数据
DR 是 JTAG 中“被选中的数据通路”的统称。它并不是单一寄存器，而是一组可被 IR 选择的寄存器集合，包括边界扫描寄存器（BSR）、IDCODE 寄存器、BYPASS 寄存器、以及厂商自定义的调试寄存器。当 IR 选定某个 DR 后，TAP 控制器进入 Shift-DR 状态，TDI 的数据逐位进入该 DR，同时该 DR 的旧数据从 TDO 逐位移出。
DR 的访问遵循“捕获—移位—更新”三步：Capture-DR 把当前值并行装入移位寄存器；Shift-DR 进行串行输入输出；Update-DR 把移位结果并行锁存到目标逻辑。这个流程决定了 JTAG 既能“读”也能“写”，是边界扫描和片上调试的共同基础。
四、边界扫描链与状态机：从引脚到状态迁移
边界扫描链（BSR）是 JTAG 最具代表性的数据寄存器。它在芯片每个 I/O 引脚附近放置一个边界扫描单元，所有单元首尾相连形成移位链。通过 SAMPLE/PRELOAD 可以捕获引脚电平，通过 EXTEST 可以驱动引脚输出。对于安全工程而言，BSR 既是板级互连测试工具，也是潜在的引脚级信息泄露通道。
TAP 状态机则规定了 16 个状态的迁移路径。核心路径可以概括为：
Test-Logic-Reset
→ Run-Test/Idle
→ Select-DR-Scan → Capture-DR → Shift-DR → Exit1-DR → Update-DR
→ Select-IR-Scan → Capture-IR → Shift-IR → Exit1-IR → Update-IR
→ Run-Test/Idle其中，Shift-DR 和 Shift-IR 是数据真正串行移位的状态；Capture 负责并行装载；Update 负责并行锁存。TMS 在每个 TCK 上升沿的取值决定走哪条边。调试器正是通过精确控制 TMS 序列，才能完成一次完整的寄存器访问。
五、案例场景：一次 IDCODE 读取的完整路径
假设调试器要读取目标芯片的 IDCODE。典型流程如下：
- TAP 控制器复位到 Test-Logic-Reset，再进入 Run-Test/Idle。
- 经 Select-DR-Scan 进入 Select-IR-Scan，再进入 Shift-IR。
- 通过 TDI 移入 IDCODE 指令码，同时从 TDO 移出旧 IR 值。
- Update-IR 锁存指令，DR 通路切换到 IDCODE 寄存器。
- 进入 Shift-DR，从 TDO 逐位移出 32 位 IDCODE。
- 退出到 Run-Test/Idle，完成一次读取。
如果这一流程中 IR 被篡改为 EXTEST，调试器就可能驱动引脚输出；如果被篡改为厂商私有调试指令，则可能打开 CPU 调试通道。因此，JTAG 安全的核心不是“有没有 JTAG 口”，而是 IR 和 DR 的访问是否受到授权与边界约束。
六、常见误区与复盘清单
| 误区 | 正确认识 | 安全影响 |
|---|---|---|
| JTAG 只有 TDI/TDO 两根线 | 还需 TCK、TMS，部分芯片有 TRST | 忽略 TMS 可导致状态机被恶意迁移 |
| IR 和 DR 是同一个寄存器 | IR 选指令，DR 选数据通路，两级分离 | 误判访问路径，漏掉 IR 篡改风险 |
| 边界扫描只用于生产测试 | BSR 可采样和驱动引脚，是运行时攻击面 | 引脚级信息泄露或强制输出 |
| 复位后 JTAG 一定安全 | 复位只回到 Test-Logic-Reset，不关闭 TAP | 攻击者仍可重新进入 Shift-DR |
| BYPASS 没有风险 | BYPASS 会缩短扫描链，改变拓扑 | 可能绕过某些器件的安全策略 |
总结来说，JTAG 架构可以理解为一条由 TAP 控制器指挥、IR 选择路径、DR 承载数据、BSR 连接引脚的串行访问链。状态机负责时序，IR 负责“选什么”，DR 负责“传什么”，BSR 负责“连到哪里”。理解这五者的分工与协作，是后续分析 JTAG 安全机制、调试授权与攻击防护的基础。