5.1 异常等级与特权模型：EL0到EL3

5.2 内存保护单元（MPU）与特权级别（EL0–EL3）

5.2 内存保护单元（MPU）与特权级别（EL0–EL3）

在现代嵌入式系统与通用计算平台中，安全与可靠性已不再是可选项，而是架构设计的基石。ARM处理器自v7-M引入内存保护单元（Memory Protection Unit, MPU），到Armv8-A全面采用异常级别（Exception Levels, EL0–EL3）构建多层隔离机制，其安全模型经历了从“粗粒度防护”向“细粒度可信执行环境”的演进。这一转变不仅反映了硬件安全能力的跃升，更折射出整个计算生态对可信计算、零信任架构和纵深防御策略的深刻认同。

本文旨在深入剖析ARM架构中MPU与ELx机制的协同作用机制，揭示其如何共同构筑一道从物理内存到操作系统内核、再到安全世界（Secure World）的立体化防线。我们将从核心概念出发，逐步展开至技术细节、实现逻辑、典型应用场景，并对其优劣进行批判性反思，最终展望未来发展方向。

一、内存保护单元：嵌入式世界的“守门人”

在资源受限的微控制器（MCU）领域，如Cortex-M系列处理器，内存管理单元（MMU）因其实现复杂性和性能开销往往被舍弃。取而代之的，是更为轻量但功能明确的内存保护单元（MPU）。MPU并非虚拟内存管理者，而是一位“区域守卫者”——它通过静态配置若干内存区域（Region），为每个区域赋予访问权限属性，从而在硬件层面阻止非法内存访问。

一个典型的MPU支持8至16个可编程区域（具体数量由实现决定），每个区域定义如下关键参数：

• 基地址（Base Address）：区域起始物理地址；

• 大小（Size）：必须为2的幂次，且通常不小于32字节；

• 访问权限（Access Permissions）：区分特权/非特权模式下的读、写、执行权限；

• 内存类型属性（Memory Type Attributes）：如Normal、Device、Strongly-ordered等，影响缓存与内存一致性行为。

当处理器执行指令或访问数据时，MPU会实时比对当前访问地址是否落在某个已配置区域内，并检查当前执行上下文（特权或非特权）是否具备相应权限。若违反规则，将触发MemManage异常（在Cortex-M中）或Data/ Prefetch Abort（在A-profile中），由操作系统或固件介入处理。

设问：为何MPU不支持页表式的动态映射？

答案在于其设计哲学——MPU面向的是确定性、低延迟、高可靠性的嵌入式场景。动态页表虽灵活，却引入不可预测的TLB缺失延迟与复杂的状态管理，这与实时系统的核心诉求背道而驰。MPU以“静态配置、确定行为”换取可验证的安全边界，恰是其在工业控制、汽车电子等领域广受青睐的原因。

图1：MPU访问控制流程示意图。默认区域策略通常设为禁止访问，以实现“默认拒绝”安全原则。

值得注意的是，MPU的区域可重叠，此时编号较高的区域优先级更高。这一特性允许开发者在全局策略之上叠加局部例外，例如在整体禁止执行的堆栈区域中，临时开放一小段用于JIT代码生成（尽管在M-profile中JIT极为罕见）。

二、异常级别（EL0–EL3）：ARMv8-A的四重天

如果说MPU是嵌入式世界的“单层栅栏”，那么Armv8-A架构中的异常级别（Exception Levels）则构建了一座层层嵌套的“安全金字塔”。EL0至EL3共四个层级，每一级代表不同的执行特权与信任等级，形成严格的垂直隔离。

• EL0：用户空间（User Space）。普通应用程序运行于此，无权直接访问硬件或修改系统状态。

• EL1：操作系统内核（Kernel / Hypervisor Guest）。负责进程调度、虚拟内存管理、系统调用处理等。Linux、Windows等通用OS运行于EL1。

• EL2：虚拟机监控器（Hypervisor）。用于托管多个客户操作系统（Guest OS），实现虚拟化隔离。KVM、Xen等即运行于此。

• EL3：安全监控器（Secure Monitor）。最高特权级，负责在安全世界（Secure World）与非安全世界（Non-secure World）之间切换，是TrustZone技术的核心执行环境。

这种分层并非简单的权限递增，而是一种状态机式的上下文切换机制。异常（如系统调用、中断、页错误）只能从低EL向高EL跳转；而从高EL返回低EL，则需显式执行ERET（Exception Return）指令，并恢复目标EL的寄存器状态。这种单向跃迁机制天然防止了低特权代码篡改高特权上下文。

尤为关键的是，每个EL拥有独立的系统寄存器视图。例如，虚拟地址转换所依赖的页表基址寄存器（如TTBR0_EL1）在EL0不可见，在EL2则可能被虚拟化。这种寄存器隔离确保了各层执行环境的“认知独立性”——EL0程序甚至无法感知自己是否运行在虚拟机中。

三、MPU与ELx的协同：从静态防护到动态隔离

在Armv8-M（如Cortex-M23/M33）中，MPU与特权级别（Privileged/Unprivileged）结合，构成了两级防护模型。而在Armv8-A中，MPU的概念被MMU取代，但其安全思想被ELx机制继承并升华。

然而，二者并非割裂。事实上，MPU可视为ELx模型在资源受限场景下的简化实现。在Cortex-M中：

• 处理器启动时处于特权模式（Privileged），可配置MPU；

• 通过CONTROL寄存器切换至非特权模式（Unprivileged），此时对MPU配置寄存器的写入将被忽略或触发异常；

• 所有异常处理程序（如SysTick、PendSV）默认以特权模式执行，确保关键路径不受用户代码干扰。

这种“配置期特权 + 运行期限制”的模式，本质上模拟了EL1（内核）与EL0（用户）的分离，只是未引入完整的上下文切换机制。

在Armv8-A中，虽然MMU承担了细粒度内存保护，但EL3仍可配置安全世界的MPU-like机制。例如，在ARM Trusted Firmware（ATF）中，Secure EL1或EL3可使用Secure Memory Protection特性，对非安全世界完全隐藏某些物理内存区域，即使非安全世界的MMU页表也无法映射这些区域。

更进一步，ARMv9引入的Memory Tagging Extension（MTE）与Confidential Compute Architecture（CCA）正在模糊MPU与ELx的边界。MTE通过在指针中嵌入“标签”（Tag），在内存访问时进行硬件级匹配校验，有效防御缓冲区溢出；而CCA则引入Realm Management Extension（RME），新增EL4（虽未正式命名，但概念上高于EL3），用于管理“机密领域”（Realms）——这些领域甚至对传统EL3（如REE中的TEE）也不可见。

四、技术实现细节：寄存器、转换与上下文保存

要真正理解ELx与MPU的运作，必须深入寄存器层面。

1. MPU配置寄存器（以Cortex-M为例）

• MPU_TYPE：指示MPU支持的区域数与是否支持统一/分离指令-数据MPU；

• MPU_CTRL：全局使能位（ENABLE）、特权/非特权默认访问策略（PRIVDEFENA, HFNMIENA）；

• MPU_RNR：当前操作的区域编号；

• MPU_RBAR / MPU_RASR：区域基地址与属性寄存器，通过原子写入完成配置。

2. 异常级别切换的关键寄存器（Armv8-A）

• SPSR_ELx：保存进入异常前的PSTATE（包括DAIF中断屏蔽位、EL等）；

• ELR_ELx：异常返回地址；

• SCR_EL3：安全配置寄存器，控制IRQ/FIQ/SError是否路由至安全世界，以及NS位决定当前是否处于非安全状态；

• VBAR_ELx：各EL的异常向量基地址，确保不同EL使用独立的异常处理入口。

当从EL0发起SVC（Supervisor Call）系统调用时，处理器：

1. 保存PSTATE至SPSR_EL1；

2. 保存返回地址至ELR_EL1；

3. 跳转至VBAR_EL1 + 0x00（SVC向量）；

4. 切换至EL1，使用EL1的栈指针（SP_EL1）。

整个过程由硬件自动完成，无需软件干预，极大提升了安全切换的效率与可靠性。

五、应用场景：从RTOS到云原生安全

MPU与ELx的组合在不同场景中展现出强大适应性：

• 实时操作系统（RTOS）：FreeRTOS、Zephyr等利用MPU隔离任务堆栈与全局数据，防止单个任务崩溃导致系统瘫痪。例如，将每个任务的TCB（Task Control Block）置于独立MPU区域，仅允许该任务自身写入。

• 移动设备安全启动：Android的Verified Boot依赖EL3（BL1/BL2）验证下一阶段镜像签名，确保只有可信代码能进入EL2/EL1。TrustZone中的TEE（如OP-TEE）运行于Secure EL1，通过EL3切换与REE（Rich Execution Environment）隔离。

• 服务器虚拟化：AWS Nitro、Azure Confidential Computing利用EL2 Hypervisor托管客户VM，同时借助EL3与CCA构建机密计算环境，确保云租户数据即使对云服务商也保持加密。

• 汽车功能安全（ISO 26262）：AUTOSAR Adaptive平台要求ASIL-D级组件与其他组件内存隔离。MPU或MMU+EL1的组合可满足这一需求，确保制动控制代码不受信息娱乐系统故障影响。

六、优势与局限：辩证看待硬件安全机制

优势显而易见：

• 硬件强制执行：绕过软件漏洞，提供确定性防护；

• 低性能开销：MPU检查在流水线早期完成，几乎无延迟；ELx切换由硬件加速；

• 纵深防御基础：为软件安全机制（如ASLR、CFI）提供底层支撑。

但局限同样存在：

• 配置复杂性：MPU区域数量有限，重叠规则易出错；ELx上下文管理对固件开发者要求极高；

• 侧信道风险：MPU/MMU本身可能成为侧信道载体（如缓存时序攻击）；

• 粒度限制：MPU区域最小32字节，难以保护单个结构体成员；ELx切换无法防止同EL内的权限提升（如内核提权漏洞）。

更值得警惕的是，硬件安全机制不能替代安全编码。2020年披露的“Pacman”攻击即利用ARM指针认证（PAC）与分支目标注入（BTI）的交互缺陷，说明即使有ELx与MPU，逻辑漏洞仍可被武器化。

七、前沿进展：迈向零信任硬件架构

ARM并未止步于现有模型。Armv9-A引入的三大安全支柱——MTE、CCA、Pointer Authentication（PAC）——正推动安全机制从“边界防护”转向“数据内生安全”。

其中，CCA的Realm概念尤为革命性。它通过RME在物理内存中划分“机密领域”，每个Realm拥有独立的地址空间与访问控制策略，由新的Root System Control（RSC）单元管理。即使EL3被攻破，Realm内容仍受硬件保护。这标志着安全边界从“执行环境”下沉至“数据本身”。

与此同时，开源固件项目如TF-A（Trusted Firmware-A）、EDK II正加速EL3与S-EL2的标准化，推动安全启动链的透明化与可审计性。

回望MPU与ELx的发展轨迹，我们看到的不仅是一组寄存器或几条指令的演进，而是一种安全范式的迁移：从“相信代码”到“验证一切”，从“外围防御”到“内生免疫”。在AIoT、自动驾驶、量子威胁临近的时代，这种由硬件锚定的信任根，或许是我们对抗日益复杂攻击面的最后一道可靠防线。而作为架构研究者，我们的使命，便是不断追问：下一道防线，该建在哪里？