3. TF-A在STM32MP启动链中的角色
在STM32MP系列处理器的启动链中，TF-A（Trusted Firmware-A）承担着从ROM Code到U-Boot之间的关键桥梁角色。它并非一个单一镜像，而是由多个启动阶段（BL）组成的固件集合，其中BL2和BL32是工程实践中需要重点理解的两个阶段。BL2是TF-A的引导加载阶段，运行于EL3安全态，负责初始化DDR、加载后续镜像并完成安全环境搭建；BL32则是OP-TEE安全操作系统的运行载体，通常以BL32镜像的形式被BL2加载到安全内存中，为系统提供可信执行环境（TEE）。理解这两者的职责划分、TF-A与U-Boot之间的交接接口，以及设备树在安全启动中的传递机制，是掌握STM32MP启动链工程的核心环节。
BL2与BL32的职责分工
BL2是TF-A启动流程中的第一个可编程阶段，它从ROM Code手中接管执行权后，主要完成以下工作：初始化时钟树和DDR控制器，使大容量内存可用；解析FIP（Firmware Image Package）容器，从中提取BL32、BL33（即U-Boot）以及设备树等镜像；根据启动认证方案对镜像进行签名校验；将BL32加载到安全内存区域并跳转执行，随后将BL33加载到非安全内存并准备交接。BL2的运行地址通常位于SYSRAM或DDR的低地址区域，具体取决于芯片型号和启动介质。
BL32在STM32MP平台上通常就是OP-TEE OS。它运行于安全世界（Secure World），利用ARM TrustZone技术将处理器划分为安全态与非安全态。OP-TEE提供可信应用（TA）的运行环境，负责处理安全存储、加解密、密钥管理等敏感操作。在启动链中，BL32由BL2加载并初始化后，会通过SMC（Secure Monitor Call）指令与BL31（EL3运行时固件）协同工作，最终由BL31完成安全态与非安全态的切换，将控制权交给BL33（U-Boot）。因此，BL2是“搬运工”和“安检员”，BL32是“安全服务提供者”，两者共同构成TF-A在启动链中的完整职能。
TF-A与U-Boot的交接接口
TF-A与U-Boot之间的交接并非简单的跳转，而是通过一套标准化的接口完成。在STM32MP平台上，BL2完成BL32和BL31的加载后，最终由BL31在EL3完成安全态初始化，然后通过bl31_main()函数调用bl33_entrypoint跳转到U-Boot。交接时，BL31会向U-Boot传递一个关键参数——arg0，该参数指向一个描述硬件状态的bl_params结构体，其中包含了设备树地址、内存布局信息以及安全状态标志。
U-Boot在启动时通过board_init_f阶段读取这些参数，并据此决定是否启用安全相关功能。例如，如果BL32已成功加载，U-Boot会通过SMC调用与OP-TEE建立通信通道，后续Linux内核启动时才能通过optee驱动访问安全服务。交接接口的稳定性直接影响启动成功率，工程中常见的失败原因包括：BL31未正确设置arg0、设备树地址与U-Boot预期不一致、或BL32加载地址与OP-TEE链接脚本冲突。
设备树在安全启动中的传递
设备树（DTB）在STM32MP安全启动中扮演着“硬件描述契约”的角色，但它的传递路径并非单一。BL2自身内嵌一个精简的设备树，用于初始化DDR和时钟；BL32（OP-TEE）使用独立的设备树，描述安全内存区域、安全外设和TA运行环境；U-Boot则使用完整的设备树，最终传递给Linux内核。这三个设备树在FIP容器中分别打包，由BL2根据镜像类型分别加载到不同内存区域。
在安全启动场景下，设备树的完整性校验至关重要。BL2会对FIP中的每个镜像（包括DTB）进行签名验证，确保未被篡改。如果设备树被恶意修改，BL2会在校验阶段直接拒绝加载并进入错误处理流程。工程实践中，开发者需要确保fdts/目录下的stm32mp15xx-*.dts与stm32mp13xx-*.dts分别对应正确的芯片型号，并在编译时通过DTB_FILE_NAME变量指定。
STM32MP15与STM32MP13的差异
STM32MP15与STM32MP13在TF-A启动链上的差异主要体现在三个方面。第一，DDR初始化复杂度不同：MP15通常配备DDR3/DDR3L，BL2中的DDR初始化代码更复杂，需要配置更多时序参数；MP13多使用DDR3L或LPDDR2，初始化流程相对简化。第二，协处理器支持：MP15包含Cortex-M4协处理器，BL2需要额外加载M4固件并配置ETZPC（Extended TrustZone Protection Controller）来隔离M4与A7的访问权限；MP13无M4，启动链中省去这一环节。第三，OP-TEE配置差异：MP15的OP-TEE需要管理更多的安全外设和中断，设备树中安全节点更丰富；MP13的OP-TEE配置更精简，启动时间更短。
工程实践中的关键检查点
在实际调试中，可以通过以下方式验证TF-A与U-Boot的交接是否正常：在U-Boot启动日志中搜索BL31: Initializing runtime services和BL32: OP-TEE字样，确认BL31和BL32已成功初始化；检查fdt_addr_r环境变量是否指向正确的设备树地址；使用md命令读取arg0指向的内存区域，确认bl_params结构体中的bl33_ep_info字段有效。若U-Boot启动后无法访问OP-TEE，可检查optee节点是否在U-Boot设备树中使能，以及SMC调用号是否与BL31中的处理函数匹配。
总结而言，BL2是启动链的“调度中心”，BL32是安全服务的“执行引擎”，BL31是两者与U-Boot之间的“切换开关”。设备树作为贯穿始终的硬件描述，其正确传递是安全启动成功的基石。理解MP15与MP13在这些环节的差异，有助于在不同芯片平台上快速定位启动问题并完成工程适配。