📚 课程目录第4章安全机制之内存保护

4、安全机制之内存保护：MPU/MMU配置、内存分区与隔离

内存保护，说白了就是给每个任务画个圈。圈里是它的地盘，圈外不能碰。这在功能安全里是底线级别的安全机制。我见过太多因为内存踩踏导致的偶发故障，查起来比大海捞针还难。

这一章我们重点聊三个东西：MPU/MMU怎么配、内存分区怎么划、以及堆栈溢出这个老冤家。

4.1 MPU与MMU：选谁？怎么配？

先搞清楚概念。MPU（Memory Protection Unit）只管权限，不管地址翻译。MMU（Memory Management Unit）既管权限又做虚拟地址到物理地址的映射。在AUTOSAR里，大部分MCU跑的是MPU，因为实时性要求高，虚拟地址那套开销太大。

特性	MPU	MMU
地址翻译	无	有（虚拟→物理）
实时性	高（直接访问）	中（TLB miss有开销）
典型芯片	Infineon TC3xx, NXP S32K	Renesas R-Car, NXP i.MX
功能安全等级	ASIL-D（直接）	ASIL-B（需额外机制）
配置复杂度	低	高

我个人习惯，在ASIL-C/D的项目里优先选MPU。原因很简单——确定性。MMU的TLB miss和页表遍历会引入不可预测的延迟，这对安全关键任务来说是致命的。

我的经验： 在TC3xx上配MPU时，记得把OS和应用Core的MPU区域分开。我曾经见过一个项目，OS的MPU配置和应用任务混在一起，结果OS升级时不小心改了一个region的权限，整个系统直接挂掉。

4.2 内存分区与隔离：怎么划才安全？

内存分区不是随便画几个框就完事。你得考虑：哪些数据是跨任务共享的？哪些是私有的？中断服务程序能不能碰？

我一般按这个步骤来：

识别安全关键数据——比如刹车踏板的传感器值、安全状态机的变量。
划分保护域——每个ASIL等级一个域，高等级不能往低等级写。
配置MPU region——每个域对应一个或多个region，设置读/写/执行权限。
验证隔离性——跑内存访问测试，确保越界访问能被捕获。

举个例子，一个典型的AUTOSAR分区方案：

/* 伪代码：MPU Region配置 */
MPU_Region_Config(REGION_0, 0x70000000, 0x00010000, READ_WRITE);  // OS数据
MPU_Region_Config(REGION_1, 0x70010000, 0x00020000, READ_ONLY);   // 共享标定
MPU_Region_Config(REGION_2, 0x70030000, 0x00040000, READ_WRITE);  // ASIL-B任务
MPU_Region_Config(REGION_3, 0x70070000, 0x00080000, READ_WRITE);  // ASIL-D任务
MPU_Region_Config(REGION_4, 0x700F0000, 0x00010000, NO_ACCESS);   // 保留区域

这里有个坑：NO_ACCESS区域一定要配。为什么？因为很多芯片默认所有地址都是可访问的。你不主动封掉，就等于没保护。

注意： 中断服务程序（ISR）的栈通常不在任务栈里。如果你把ISR的栈放在一个单独的区域，记得给它配一个独立的MPU region。我曾经见过一个项目，ISR栈溢出后直接写到了OS的调度数据结构里，系统崩溃前连个异常都没报。

4.3 堆栈溢出：我踩过的坑

说到堆栈溢出，我真是有一肚子话。这玩意儿是嵌入式开发里最隐蔽的bug之一。它不会每次都崩，但崩的时候往往在客户现场。

先看一个典型的堆栈溢出场景：

/* 问题代码：递归调用导致栈溢出 */
void ProcessMessage(uint8* buffer, uint32 length) {
    uint8 local_buf[1024];  // 大局部变量
    if (length > 1024) {
        ProcessMessage(buffer, length - 1024);  // 递归！
    }
    memcpy(local_buf, buffer, 1024);
}

这段代码在测试环境里跑得好好的，因为测试用例的报文长度都小于1024。但到了实车，某个诊断服务发了个8K的报文，直接栈溢出，系统复位。

我后来总结了一套堆栈溢出的防护方法：

静态分析——用工具算最大调用深度，加上每个函数的栈帧大小。
栈水印——初始化时在栈底写一个固定模式（比如0xDEADBEEF），运行时周期性检查。
MPU栈保护——在栈的末尾配一个NO_ACCESS的MPU region，溢出时直接触发异常。
动态监测——OS在任务切换时检查栈指针是否越界。

    避坑指南： 我曾经在一个项目里只做了静态分析，觉得万无一失。结果集成测试时发现，某个中断嵌套场景下栈深度比静态分析多了200字节。原因是中断里调了一个printf函数，printf内部又调了malloc。从那以后，我坚持静态分析+运行时监测双保险。

4.4 内存保护的整体架构

把上面这些串起来，一个完整的内存保护架构长这样：

这个架构的核心思想是分层防御。应用层只管业务逻辑，OS层管调度和监测，MCAL层管硬件配置，硬件层做最终裁决。每一层都假设下一层可能失效，所以每层都有自己的保护机制。

我的建议： 在项目初期就把内存保护架构定下来。我见过太多项目在集成阶段才想起来加MPU配置，结果发现任务栈大小没算对、region数量不够用、中断优先级和MPU权限冲突。这些坑，越早填越省心。

嗯，内存保护这块就聊这么多。记住一句话：没有内存保护的功能安全，就像没有护栏的悬崖。你永远不知道什么时候会掉下去。