ARM架构与TrustZone：ARMv8-A与ARMv8-M的差异
这一章，我们来聊聊ARMv8-A和ARMv8-M这两大架构族里的TrustZone实现。很多人以为TrustZone是个统一的技术，其实不然。A系列和M系列虽然都叫TrustZone，但设计哲学、异常模型、安全状态的切换方式，差别还挺大的。
我最早接触TrustZone是在一个手机SoC项目上，用的是ARMv8-A。后来做IoT安全网关，换成了ARMv8-M。说实话，刚切换时踩了不少坑。你想想看，一个跑Linux的大核架构，和一个跑RTOS甚至裸机的小核架构，安全模型怎么可能一样？
一、ARMv8-A的TrustZone：经典的分区模型
ARMv8-A的TrustZone，说白了就是把物理世界劈成两半——安全世界（Secure World）和普通世界（Normal World）。这两个世界共享同一个物理核，但通过硬件逻辑做到完全隔离。
核心思想：安全世界和普通世界是"时间片"共享CPU的。通过Monitor模式（EL3）来切换上下文。普通世界永远看不到安全世界的内存和外设。
异常等级（Exception Levels）
ARMv8-A定义了4个异常等级，从EL0到EL3。每个等级都有独立的虚拟内存配置、栈指针和异常向量表。我习惯把EL想象成"权限环"——数字越大，权限越高。
| 异常等级 | 典型用途 | 安全状态 |
|---|---|---|
| EL3 | Monitor / Secure Monitor | 安全世界 |
| EL2 | Hypervisor（虚拟化） | 普通世界或安全世界 |
| EL1 | 操作系统内核（Linux / Trusted OS） | 普通世界或安全世界 |
| EL0 | 用户态应用程序 | 普通世界或安全世界 |
注意看，EL3是唯一的"跨世界"等级。它运行Secure Monitor代码，负责安全世界和普通世界之间的切换。我在项目中遇到过一个问题：Secure Monitor的代码如果写得不严谨，攻击者可以通过精心构造的SMC（Secure Monitor Call）来破坏安全状态。嗯，这里要特别小心。
安全状态切换流程
普通世界想调用安全世界的服务，必须走SMC指令。流程大致是这样的：
- 普通世界EL1发起SMC异常
- CPU陷入EL3的Secure Monitor
- Secure Monitor保存普通世界上下文，恢复安全世界上下文
- CPU进入安全世界EL1，执行安全服务
- 安全服务执行完毕，再次触发SMC返回
- Secure Monitor恢复普通世界上下文
这个切换是有代价的——每次切换都要保存/恢复大量寄存器。我记得在一个性能敏感的项目里，频繁的SMC调用导致延迟增加了30%。后来我们优化了调用频率，把多个安全操作合并成一次SMC，才把性能拉回来。
注意：ARMv8-A的TrustZone不隔离中断。一个中断来了，CPU要么在安全世界处理，要么在普通世界处理，取决于中断的配置。我曾经见过一个bug：安全世界的定时器中断被普通世界误处理，导致安全服务超时。解决方案是把安全中断配置为FIQ，普通中断配置为IRQ，用不同的异常向量来区分。
二、ARMv8-M的TrustZone：轻量级的隔离方案
ARMv8-M的TrustZone，是为微控制器设计的。它没有EL0~EL3那一套复杂的异常等级，而是用安全状态（Secure/Non-Secure）和特权模式（Privileged/User）的组合来实现隔离。
说白了，ARMv8-M把问题简化了。它只有两种安全状态，每种状态里又分特权级和用户级。这样一共就4种组合，比A系列的4个异常等级简单得多。
| 安全状态 | 特权级 | 说明 |
|---|---|---|
| Secure | Privileged | 最高权限，可访问所有资源 |
| Secure | User | 安全世界的受限模式 |
| Non-Secure | Privileged | 普通世界的内核态 |
| Non-Secure | User | 普通世界的用户态 |
SG指令与安全状态切换
ARMv8-M没有SMC指令，它用SG（Secure Gateway）指令来实现安全调用。SG指令必须放在安全世界内存的特定位置（称为"安全网关"），普通世界通过BLXNS（Branch with Link to Non-Secure）跳转到SG指令，从而进入安全世界。
我刚开始做ARMv8-M项目时，被这个SG指令坑过一次。SG指令所在的地址必须满足对齐要求，而且安全网关表（Secure Gateway Table）的配置必须正确。如果配置错了，CPU会触发HardFault。嗯，调试这种问题特别痛苦，因为HardFault一触发，你连错误原因都很难定位。
; 安全世界代码示例
; 定义安全网关
EXPORT Secure_Func
Secure_Func FUNCTION
SG ; 安全网关指令，允许非安全世界调用
; 安全服务代码
MOV R0, #0x42
BXNS LR ; 返回非安全世界
ENDFUNC内存与外设的隔离
ARMv8-M用SAU（Security Attribution Unit）和IDAU（Implementation Defined Attribution Unit）来标记内存区域的安全属性。每个内存地址要么是安全（Secure），要么是非安全（Non-Secure），要么是非安全可调用（Non-Secure Callable，简称NSC）。
- 安全区域：只能被安全世界访问
- 非安全区域：两个世界都能访问
- NSC区域：存放SG指令，非安全世界可以跳转到这里进入安全世界
个人经验：配置SAU时，我建议把安全世界的代码和数据放在连续的地址空间里，这样SAU的region配置会简单很多。我曾经在一个项目里把安全代码分散在多个不连续的地址段，结果SAU的region数量不够用，最后不得不重新规划内存布局。
三、ARMv8-A vs ARMv8-M：关键差异对比
我把两个架构的TrustZone差异整理成了一张表。这张表是我在实际项目中反复验证过的，你可以直接拿来参考。
| 对比项 | ARMv8-A | ARMv8-M |
|---|---|---|
| 异常模型 | EL0~EL3四个等级 | 安全/非安全 + 特权/用户 |
| 安全切换指令 | SMC（Secure Monitor Call） | SG + BLXNS |
| 切换代价 | 高（保存/恢复大量寄存器） | 低（硬件自动保存部分上下文） |
| 中断处理 | 安全中断用FIQ，非安全用IRQ | 安全中断和非安全中断共用NVIC，通过优先级区分 |
| 虚拟化支持 | 支持（EL2 Hypervisor） | 不支持 |
| 典型应用 | 手机、平板、服务器 | IoT设备、MCU、传感器 |
你可能会问：为什么ARMv8-M不直接用A系列的模型？原因很简单——成本和功耗。MCU的资源和性能有限，搞一套完整的EL0~EL3，光硬件逻辑就要多花不少面积。ARMv8-M的TrustZone只增加了约5%的硬件开销，这对嵌入式设备来说是可以接受的。
四、一张图看懂两个架构的TrustZone
下面这张SVG图，是我自己画的。它把ARMv8-A和ARMv8-M的TrustZone架构放在一起对比，方便你理解两者的异同。
五、实际项目中的选型建议
说了这么多理论，最后聊聊实际选型。我个人习惯这样判断：
- 跑Linux/Android的芯片（比如手机SoC、树莓派级别的处理器）→ 选ARMv8-A。你需要EL2做虚拟化，需要EL3做Secure Monitor，需要复杂的MMU管理。
- 跑RTOS或裸机的MCU（比如STM32L5、NXP i.MX RT600）→ 选ARMv8-M。它的TrustZone轻量、高效，而且硬件自动保存上下文，中断延迟可控。
避坑指南：我曾经在一个项目里，试图在ARMv8-M上实现类似A系列的"安全世界运行Linux"的方案。结果发现ARMv8-M的MPU（内存保护单元）不支持虚拟地址映射，安全世界和非安全世界共享同一个物理地址空间。最后不得不把方案改成"安全世界跑裸机安全服务，非安全世界跑RTOS"。所以，别拿M系列当A系列用，架构的物理限制摆在那里。
好了，这一章的内容就到这里。ARMv8-A和ARMv8-M的TrustZone差异，说白了就是"大核的复杂隔离"和"小核的轻量隔离"的区别。理解了这个本质，你就能根据项目需求做出正确的选择。