一文搞懂瑞芯微平台Trust架构：从原理到问题排查全解析

在嵌入式系统和智能设备领域，硬件级安全防护已成为产品核心竞争力。ARM TrustZone技术作为行业通用的硬件安全扩展方案，被广泛应用于各类Cortex-A架构芯片。瑞芯微平台的Trust固件正是基于这一技术构建的安全基石，承担着电源管理、安全隔离、数据保护等关键职能。本文将从基础原理、平台实现到问题排查，全面解析瑞芯微Trust架构的核心知识。

一、ARM TrustZone技术基础

TrustZone是ARM为Cortex-A系列处理器设计的系统级安全方案，从硬件层面将系统划分为两个完全隔离的执行环境，确保敏感数据和操作在安全环境中运行，免受非安全世界的攻击。

1.1 双世界系统架构

整个系统被划分为安全世界和非安全世界：

•安全世界：可访问系统所有资源，运行敏感代码和数据

•非安全世界：仅能访问非安全资源，无法直接访问安全世界的内存、外设和寄存器

•世界切换：通过ARM的SMC（Secure Monitor Call）硬件指令触发，由Secure Monitor代码完成身份切换，这一过程完全由硬件保证安全性

目前主流的开源实现包括ARM Trusted Firmware（ATF）和OP-TEE OS，二者可配合使用或单独部署。

1.2 CPU特权等级

从CPU执行权限角度，不同架构有不同的特权模式划分：

•64位CPU：分为EL0（用户态）、EL1（内核态）、EL2（虚拟化）、EL3（安全监控）四个等级，每个等级又分为安全和非安全模式

•32位CPU：分为Mon、Hyp、SVC、IRQ等8种模式，同样支持安全/非安全区分

瑞芯微Trust固件本质上是**EL3（安全监控层）+ 安全EL1（可信操作系统）**的功能集合。

二、瑞芯微平台Trust实现详解

2.1 实现机制

瑞芯微针对不同架构平台采用了差异化的实现方案：

•64位SoC平台：ARM Trusted Firmware（BL31）+ OP-TEE OS（BL32）组合

•32位SoC平台：仅使用OP-TEE OS

2.2 完整启动流程

ARM标准启动流程分为BL1-BL33五个阶段，瑞芯微平台对其进行了适配，各阶段对应关系如下：

 

关键说明：

•Maskrom和Loader由瑞芯微自研实现，对应标准BL1和BL2阶段

•Trust固件包含BL31（ATF）和BL32（OP-TEE OS）两部分

•从U-Boot开始，系统进入非安全世界运行

2.3 固件获取与打包

目前对外仅提供二进制固件文件，不开放完整源码：

•内置位置：U-Boot工程的./tools/rk_tools/bin/目录下，按芯片系列分文件夹存放

•自动打包：编译对应平台U-Boot时，会自动将二进制文件打包生成trust.img

•独立获取：可通过rkbin仓库下载所有平台的Trust二进制文件

2.4 DTS设备树使能配置

Trust功能需要在内核设备树中进行相应配置，不同内核版本和架构的配置方式略有差异：

内核版本	平台架构	核心配置
3.10	32位	1. 添加arm,psci兼容节点 2. bootargs增加psci=enable
3.10	64位	1. 添加arm,psci-0.2兼容节点 2. CPU节点增加enable-method = "psci"
4.4+	32位	添加arm,psci-1.0兼容节点
4.4+	64位	1. 添加arm,psci-1.0兼容节点 2. CPU节点增加enable-method = "psci"

2.5 运行内存与生命周期

•ATF运行内存：DRAM起始地址0M~2M空间，入口地址为0x10000（64KB）

•OP-TEE OS运行内存：DRAM起始地址132M~148M空间，入口地址为0x08400000（132MB）

•生命周期：Trust固件自上电初始化后，将永久常驻内存，直至系统关机

2.6 核心功能

1.PSCI电源管理：通过SMC指令实现CPU上下电、系统休眠、复位、关机等操作，统一了内核电源管理接口

2.Secure Monitor：实现安全世界与非安全世界的切换，是TrustZone技术的核心

3.安全IP配置：完成AMBA总线、加密模块、安全存储等硬件IP的安全属性配置

4.安全数据保护：为支付、DRM、企业服务等场景提供敏感数据的存储和运算保护

三、Trust问题排查实战

由于Trust固件仅提供二进制文件，普通开发者无法直接调试，因此掌握日志分析方法至关重要。

3.1 日志格式识别

Trust固件的打印信息有明确的格式特征：

•ARM Trusted Firmware（BL31）：无时间戳，格式为INFO: 内容或NOTICE: 内容

•OP-TEE OS（BL32）：无时间戳，格式为INF [0x0] TEE-CORE: 内容

3.2 固件版本号提取

从开机日志中可快速提取版本信息：

•ATF版本号：NOTICE: BL31: v1.3(debug):4c793da → 版本号为4c793da

•OP-TEE版本号：INF [0x0] TEE-CORE337: Initializing (1.1.0-127-g27532f4 #54 ...) → 版本号为27532f4（忽略前缀g）

3.3 PANIC信息识别

当Trust固件发生严重错误时，会输出PANIC信息：

•ATF PANIC：以Unhandled Exception in EL3开头，随后输出所有寄存器值

•OP-TEE PANIC：以core data-abort at address开头，包含寄存器值和错误位置，最后输出PANIC: 错误函数

四、知识体系脑图

 

总结

Trust固件是瑞芯微平台安全体系的核心，虽然源码未完全开放，但掌握其架构原理、启动流程和日志分析方法，能够帮助开发者快速定位和解决相关问题。在实际开发中，遇到Trust相关问题时，应优先收集完整的开机日志和PANIC信息，这是问题定位的关键依据。