📚 课程目录第3章 HSM固件开发环境搭建

3. HSM固件开发环境搭建

HSM（Hardware Security Module）固件开发与普通AURIX TriCore应用开发最大的区别在于：HSM是一个独立的安全核（通常为ARM Cortex-M系列或Infineon专有安全核），拥有独立的地址空间、独立的中断向量、独立的启动流程，并且与Host核之间通过共享内存和中断进行通信。因此，搭建HSM开发环境不能简单复用Host工程的配置，而需要从工具链、编译链接、调试接口到烧录流程建立一套完整的独立链路。本节围绕这条链路展开，帮助读者从零建立可编译、可下载、可调试的HSM固件工程。

一、HSM开发工具链的组成

英飞凌为AURIX HSM提供的官方开发包通常以“HSM Firmware Development Kit”或随AURIX Development Studio附带的HSM插件形式发布。其核心组件包括：

HSM专用编译器：针对HSM内核架构（如ARM Cortex-M3/M4或Infineon安全核）的交叉编译器，常见为GCC工具链的定制版本，可执行文件如 arm-none-eabi-gcc 或英飞凌提供的专用前缀版本。
HSM固件库与驱动：包含HSM启动代码、TRNG驱动、AES/SHA/ECC硬件加速引擎驱动、共享内存通信驱动等。
HSM配置工具：用于生成HSM固件配置头文件，定义安全服务入口、密钥槽位、访问权限等。
调试探针支持：HSM调试通常需要支持多核调试的探针，如Infineon DAP miniWiggler、Lauterbach TRACE32或iSYSTEM iC5000，并配合HSM专用的调试配置文件。
烧录工具：如Infineon MemTool、AURIX Flasher或HSM专用的固件加载工具，用于将HSM固件写入HSM专用Flash区域。

在实际项目中，建议将工具链版本与AURIX芯片型号严格对应。例如TC3xx系列HSM与TC2xx系列HSM在工具链版本、寄存器定义和启动流程上存在差异，混用可能导致链接脚本地址错位或启动失败。

二、编译与链接脚本的关键配置

HSM固件的链接脚本（Linker Script）决定了代码段、数据段、堆栈和共享内存的布局。与Host工程不同，HSM固件必须严格遵循芯片手册中定义的HSM地址映射。以TC3xx为例，HSM代码通常运行在HSM专用Flash区域，数据段位于HSM专用SRAM，而Host与HSM之间的通信缓冲区则位于双方均可访问的共享SRAM区域。

一个典型的HSM链接脚本片段如下：

MEMORY
{
  HSM_FLASH (rx)  : ORIGIN = 0xA0000000, LENGTH = 0x00040000
  HSM_SRAM  (rwx) : ORIGIN = 0xA0040000, LENGTH = 0x00010000
  SHARED_RAM (rw) : ORIGIN = 0x70000000, LENGTH = 0x00002000
}

SECTIONS
{
  .text : { *(.text*) } > HSM_FLASH
  .rodata : { *(.rodata*) } > HSM_FLASH
  .data : { *(.data*) } > HSM_SRAM AT> HSM_FLASH
  .bss : { *(.bss*) } > HSM_SRAM
  .shared : { *(.shared*) } > SHARED_RAM
}

上述地址为示例值，实际使用时必须查阅对应芯片的HSM地址映射表。编译时需注意：HSM固件通常需要生成二进制镜像（.bin）而非ELF，因为烧录工具往往只接受原始二进制格式。可通过 objcopy -O binary 完成转换。此外，HSM固件的入口地址必须与HSM启动ROM跳转地址一致，否则HSM上电后无法正确跳转到用户固件。

三、调试接口与调试配置

HSM调试接口通常与Host调试接口共用JTAG/DAP物理引脚，但需要通过调试器的多核配置分别连接Host核和HSM核。以Lauterbach TRACE32为例，需要加载AURIX多核配置文件，并在脚本中显式指定HSM核的调试寄存器地址。调试时常见的观察点包括：HSM启动状态寄存器、共享内存通信标志位、HSM中断向量表基址等。

需要注意的是，HSM固件在量产模式下通常会被锁定，调试接口可能被禁用。因此在开发阶段应使用HSM的“开发模式”或“解锁状态”，待固件验证完成后再切换到量产锁定配置。调试过程中若发现HSM核无法 halt，应优先检查HSM是否已从复位状态释放、时钟是否使能、以及调试授权位是否已正确配置。

四、HSM固件工程模板创建

建议不要从空白工程开始，而是基于英飞凌提供的HSM示例工程进行裁剪。一个可用的HSM工程模板至少应包含以下目录与文件：

startup/：HSM启动汇编文件、中断向量表、复位处理函数。需确认向量表基址与链接脚本中的HSM_FLASH起始地址一致。
drivers/：TRNG、AES、SHA、ECC等硬件加速引擎的初始化与调用封装，以及共享内存通信驱动。
services/：对外暴露的安全服务入口函数，通常以命令ID分发的方式实现，Host核通过共享内存写入命令ID和参数，HSM核解析后调用对应服务。
config/：HSM配置头文件（定义密钥槽位、访问权限、服务使能）、链接脚本、编译选项Makefile或CMakeLists.txt。

创建模板时，应先在Host工程中确认HSM固件在Flash中的预留区域大小，避免Host与HSM固件地址重叠。通常HSM固件区域在芯片手册中有固定划分，例如TC3xx的HSM Flash起始于0xA0000000，长度根据芯片型号不同而不同。模板创建完成后，先编译生成.bin，再用烧录工具写入HSM区域，最后通过读取HSM状态寄存器或Host侧通信测试确认固件已正确启动。

五、烧录流程与常见问题

HSM固件烧录与Host固件烧录可以分开进行，也可以合并为一个多核烧录脚本。分开烧录时，先烧录HSM固件，再烧录Host固件；合并烧录时，需要在烧录工具中分别指定两个镜像的地址和校验方式。烧录完成后，建议执行以下验证步骤：

读取HSM启动状态寄存器，确认HSM已退出复位并进入用户固件。
通过Host侧向共享内存写入一条简单命令（如获取HSM版本号），观察HSM是否在约定时间内写入响应。
若HSM无响应，检查HSM时钟是否使能、共享内存地址是否与链接脚本一致、HSM中断是否已正确配置。

HSM固件一旦在量产模式下锁定，调试接口和固件更新接口可能被永久禁用。开发阶段务必保留解锁配置，待所有安全服务验证通过后再执行锁定操作。锁定前建议完整备份HSM固件镜像和配置头文件。

完成上述环境搭建后，读者应能够独立编译HSM固件、生成烧录镜像、通过调试接口观察HSM运行状态，并基于模板工程快速扩展新的安全服务。下一阶段的工作将围绕HSM与Host之间的通信协议设计和安全服务实现展开。