4、STM32安全硬件特性：不同系列（如STM32L5、STM32H7、STM32U5）的TrustZone、OTP、RDP（读保护）、PCROP、HDP等安全特性详解

在嵌入式安全领域，STM32不同系列芯片的安全能力差异显著。STM32L5、STM32H7、STM32U5分别代表了Arm Cortex-M33内核的入门安全级、Cortex-M7的高性能安全级以及新一代超低功耗安全级。理解这些系列在TrustZone、OTP、RDP、PCROP、HDP等硬件安全特性上的具体实现与差异，是构建可靠Secure Boot启动链的基石。本章将逐一拆解这些安全特性的原理、配置方法、实战场景与常见误区，帮助你在选型和开发中做出精准决策。

上图展示了三个主流系列在安全特性上的整体布局。可以看到，虽然它们都具备TrustZone、OTP、RDP、PCROP、HDP五大核心能力，但在具体实现、容量、配置灵活性和安全强度上存在显著差异。下面我们逐一深入分析。

4.1 TrustZone：从单核隔离到双核协同

核心原理

TrustZone是Arm针对Cortex-M33/M23等v8-M架构引入的硬件强制隔离技术。它将处理器、内存、外设划分为安全世界（Secure World）和非安全世界（Non-Secure World）。安全代码（如Secure Boot、密钥管理、加密算法）运行在安全状态，而非安全代码（如RTOS、应用逻辑）运行在非安全状态。两者通过SAU（安全属性单元）和IDAU（实现定义属性单元）共同决定内存区域的归属。对于STM32L5和U5，TrustZone是单核实现，即同一个Cortex-M33内核通过状态切换来执行安全与非安全代码；而STM32H7A/H7B则支持双核TrustZone，Cortex-M7和Cortex-M4可以分别被配置为安全核和非安全核，实现物理级别的隔离。

判断方法与配置流程

在STM32CubeMX中，启用TrustZone需要以下步骤：

1. 在“Security”选项卡中勾选“TrustZone enabled”。
2. 配置SAU区域：将Flash和SRAM划分为安全/非安全区域。通常将启动代码（0x0C0000起始）设为安全区域，应用代码设为非安全区域。
3. 配置外设安全属性：每个外设（如UART、GPIO、DMA）都有独立的SEC寄存器位，决定其归属。
4. 生成代码后，安全工程和非安全工程会分别生成，通过CMSE（Cortex-M Security Extension）库进行安全函数调用。

案例拆解：基于L5的Secure Boot分区设计

假设我们使用STM32L552ZE设计一款工业网关，需要保护固件不被逆向。我们规划了如下内存布局：

在配置过程中，我们遇到一个关键问题：DMA1和DMA2默认是非安全外设，但Secure Boot需要DMA来搬运固件。解决方案是将DMA1的通道0-3配置为安全属性，仅允许安全代码访问。同时，在安全代码中设置MPU（内存保护单元）来限制非安全代码对安全SRAM的访问。最终，Secure Boot成功在安全世界完成固件校验，然后通过SGATE指令切换到非安全世界执行应用。

4.2 OTP：一次性编程存储的密钥与配置

核心原理

OTP（One-Time Programmable）存储器是芯片内部的一块特殊Flash区域，只能编程一次，不可擦除。它用于存储设备唯一标识、根密钥、安全配置字等关键数据。STM32L5和H7提供512字节OTP，而U5提供1KB。OTP分为多个区域，包括：

• 用户OTP区：可自由写入用户数据，但只能写一次。
• 配置OTP区：用于存储RDP级别、PCROP配置、HDP配置等安全选项字节。
• SFI区（仅H7/U5）：用于安全固件安装（Secure Firmware Install），存储SFI密钥。

操作流程与注意事项

在STM32CubeProgrammer中，可以通过“OTP”选项卡读取和写入OTP。写入时需注意：

1. OTP写入是位级别的，只能将1写为0，不能将0写为1。因此，写入前必须确认数据正确。
2. OTP的编程电压和时序与普通Flash不同，必须使用芯片支持的编程算法。
3. 一旦写入，无法回退。建议在量产前使用工程样片进行充分验证。

4.3 RDP（读保护）：三级保护机制

核心原理

RDP（Read Protection）是STM32最基础的Flash保护机制，分为三个级别：

在Level 1下，芯片内部的代码仍然可以正常访问Flash，但外部调试器（如ST-Link）无法读取。Level 2则彻底关闭所有调试接口，且不可逆。对于Secure Boot场景，建议至少使用Level 1，并在量产时升级到Level 2。

案例拆解：H7的RDP Level 1与调试共存

在H7开发中，我们遇到一个棘手问题：启用RDP Level 1后，无法使用ST-Link进行在线调试。但开发阶段需要调试。解决方案是：

1. 在开发阶段保持RDP Level 0，使用调试器进行单步调试。
2. 在发布前，通过CubeProgrammer将RDP升级到Level 1。
3. 如果后续需要调试，先将RDP回退到Level 0（会触发全片擦除），重新烧录固件。

但H7有一个特殊之处：在RDP Level 1下，如果设置了“调试认证”（Debug Authentication），可以通过特定的证书和密钥重新开放调试端口，而无需擦除Flash。这需要芯片支持“DA”功能，并且需要提前在OTP中烧录DA证书。

4.4 PCROP：专有代码保护

核心原理

PCROP（Proprietary Code Read-Out Protection）允许将Flash的特定区域标记为“仅执行”模式。CPU可以从中取指执行，但任何读取操作（包括DMA、调试器、甚至CPU自身的数据访问）都会被禁止。这非常适合存放密钥、解密算法、许可证校验代码等敏感内容。

PCROP的配置方式因系列而异：

• L5：通过FLASH_PCROP_VERR寄存器配置，支持按页（2KB）粒度设置。
• H7：通过FLASH_OPTCR寄存器配置，支持按扇区（128KB）粒度设置，且可以按银行独立配置。
• U5：支持动态PCROP，可以在运行时通过安全代码启用或禁用PCROP区域，灵活性更高。

操作流程与案例

以L5为例，启用PCROP的步骤：

1. 在CubeMX中，选择“Flash”配置，勾选“PCROP”并设置起始页和结束页。
2. 生成代码后，在系统初始化时调用HAL_FLASHEx_OBProgram()写入选项字节。
3. 注意：PCROP区域不能包含中断向量表，因为向量表需要被读取。

4.5 HDP：隐藏保护区域

核心原理

HDP（Hide Protection）用于隐藏Flash中的特定区域，使其在系统启动后不可见。与PCROP不同，HDP区域在复位后的一段时间内是可读的（用于启动代码），但一旦设置了HDP_CTRL寄存器，该区域就会被隐藏，任何访问都会返回错误。这非常适合存放启动密钥或临时解密缓冲区。

HDP的关键特性：

• L5：支持最多4个HDP区域，每个区域大小可配置（最小4KB）。
• H7：HDP区域由HDP_CTRL寄存器控制，支持按银行隐藏。
• U5：支持HDP和HDP_EXT扩展，可以隐藏更大的区域，并支持在运行时动态调整。

配置方法与注意事项

在代码中启用HDP的典型流程：

// 以L5为例
HAL_FLASH_Unlock();
// 配置HDP区域1，起始地址0x0C0000，大小8KB
FLASH_HDPConfigTypeDef hdpConfig;
hdpConfig.HDPStartAddr = 0x0C0000;
hdpConfig.HDPSize = FLASH_HDP_SIZE_8KB;
hdpConfig.HDPNumber = FLASH_HDP_NUM_1;
HAL_FLASHEx_HDPConfig(&hdpConfig);
// 启用HDP
HAL_FLASHEx_HDPEnable(FLASH_HDP_ENABLE);
HAL_FLASH_Lock();

4.6 综合对比与选型建议

选型建议：如果追求极致功耗和安全性，U5是最佳选择；如果需要高性能计算和双核隔离，H7A/H7B是首选；如果成本敏感且安全需求适中，L5提供了足够的保护能力。