1. 项目概述在嵌入式系统尤其是汽车电子和工业控制这类对功能安全和信息安全要求极高的领域SoC内部的安全架构设计是决定产品成败的关键。我最近在基于德州仪器AM62L Sitara™处理器开发一个涉及多域隔离的项目时深入研究了其CBASS模块中的硬件防火墙配置。这个过程让我意识到虽然技术参考手册提供了详尽的寄存器描述但如何将这些零散的寄存器信息转化为一套清晰、可操作的安全策略才是真正考验工程师功力的地方。AM62L的CBASS防火墙提供了一套非常精细的颗粒度控制机制允许你为处理器内部数十个甚至上百个不同的从设备Slave区域独立配置多达8个安全区域每个区域都可以独立设置地址范围、访问权限和安全属性。这不仅仅是配置几个寄存器那么简单它关乎到整个系统的安全基线、性能边界以及后续的维护成本。如果你正在为如何构建一个既安全又高效的嵌入式系统而头疼或者对AM62L这类复杂SoC的内部安全机制感到好奇那么这次对CBASS防火墙寄存器的深度解析或许能给你带来一些实实在在的启发和可复用的配置思路。2. CBASS防火墙核心架构与设计哲学2.1 为何需要硬件级防火墙在深入寄存器细节之前我们得先搞清楚一个根本问题为什么要在SoC内部集成硬件防火墙软件层面的权限管理不行吗答案是对于实时性、安全性要求苛刻的场景软件方案存在固有缺陷。首先延迟不可控。一个软件异常或恶意代码可能绕过操作系统层面的内存管理单元MMU检查直接访问物理内存。其次可信计算基TCB过大。将安全依赖于复杂的操作系统内核其数百万行代码中任何一个漏洞都可能成为突破口。硬件防火墙则不同它位于总线互联矩阵和从设备之间作为硬件守门人对所有传输进行无差别的、纳秒级的规则匹配。这种机制确保了即使某个CPU核或DMA控制器被完全攻陷它也无法越权访问被防火墙保护的关键区域比如安全启动的ROM、加密引擎的密钥寄存器或者另一个安全域的私有内存。AM62L的CBASS模块正是这一设计哲学的体现它将安全策略固化在硬件逻辑中为构建深度防御体系提供了基石。2.2 AM62L CBASS防火墙的层次化模型AM62L的CBASS防火墙并非一个单一的、扁平的检查点而是一个层次化、模块化的系统。理解这个模型对正确配置至关重要。整个系统可以划分为三个逻辑层次防火墙实例这是物理上存在的硬件单元。从你提供的寄存器片段可以看到例如CBASS_FW_IFSS_UL_128_MAIN_0_FSS_S0和CBASS_FW_EXPORT_AM62L_MAIN_CBASS1_0_CBASS_TO_AM62L_WKUP_CBASS1_CBASS_DATA_L0就是两个独立的防火墙实例。每个实例保护一个特定的“从设备接口”可以理解为一个需要被保护的内存区域或外设的访问入口。SoC内部可能有几十个这样的实例分别保护DDR控制器、片上RAM、外设总线等。区域这是防火墙实例内部的逻辑划分。每个防火墙实例支持多个通常是8个可编程的安全区域。例如FW_REGION_7、FW_REGION_0、FW_REGION_1。你可以为同一个从设备的不同内存段设置不同的安全策略。比如将一段共享内存划分为区域0允许非安全世界读写而将另一段存放敏感数据的内存划分为区域1仅允许安全世界只读。规则集这是每个区域的具体配置由一组寄存器定义。这是我们需要动手配置的核心主要包括地址范围START_ADDRESS和END_ADDRESS寄存器定义区域的物理内存边界。控制属性CONTROL寄存器定义区域的全局行为如使能、锁定、缓存模式等。权限矩阵PERMISSION寄存器通常有多个如PERMISSION_0, PERMISSION_1...定义哪些“主设备”在何种安全状态下拥有何种访问权限读、写、调试、缓存。这种层次化设计带来了极大的灵活性。你可以为一个UART外设的寄存器区域设置一个区域也可以为一段64KB的共享内存精细地划分出多个不同权限的子区域。同时它也引入了复杂性配置时必须清晰地知道自己操作的是哪个实例的哪个区域否则可能留下安全漏洞或导致功能异常。2.3 关键寄存器组解析地址、控制与权限从你提供的技术手册片段中我们可以提炼出配置一个安全区域所需的三组核心寄存器。理解每一比特的含义是进行正确配置的前提。地址寄存器组定义区域的物理范围。以CBASS_FW_IFSS_UL_128_MAIN_0_FSS_S0_FW_REGION_7_START_ADDRESS_L/H和END_ADDRESS_L/H为例。位域与对齐START_ADDRESS_L寄存器的高20位[31:12]是可编程的起始地址高20位而低12位[11:0]硬件强制为0。这意味着起始地址必须是4KB对齐的。END_ADDRESS_L寄存器的高20位是可编程的结束地址高20位低12位硬件强制为0xFFF。这意味着结束地址是编程值 12| 0xFFF即区域结束于一个4KB对齐地址的末尾。START_ADDRESS_H和END_ADDRESS_H则用于扩展地址空间至48位满足AM62L的大地址空间需求。这种设计极大地简化了硬件地址比较器的实现。编程计算示例假设你想保护从0x8000_0000开始大小为0x20000128KB的一段内存。起始地址0x8000_0000本身就是4KB对齐的所以START_ADDRESS_L写入0x800000x8000_0000 12。结束地址需要是0x8001_FFFF0x8000_0000 0x20000 - 1。将其右移12位得到0x8001F写入END_ADDRESS_L的高20位。硬件会自动将低12位补为0xFFF从而正确匹配到0x8001_FFFF。控制寄存器以CBASS_FW_EXPORT_..._FW_REGION_0_CONTROL为例它定义了区域的全局行为。ENABLE [3:0]这是区域的开关。手册明确说明只有写入值0xA才能使能区域写入其他任何值包括0x0都会禁用区域。这是一个重要的安全特性防止因误写如全0意外启用区域。0xA二进制1010可能是一个特意选择的“魔法值”。LOCK [4]这是一个“写1置位”的锁定位。一旦将此位写为1整个区域的所有配置寄存器包括CONTROL本身都将被锁定无法再修改直到下一次系统复位。这用于在系统启动后期固化安全策略防止运行时被恶意软件篡改。BACKGROUND [8]背景区域使能位。一个防火墙实例中只能有一个区域被设置为背景区域。背景区域是一个特殊的“兜底”区域其地址范围通常覆盖整个从设备的地址空间。前景区域非背景区域的地址范围允许与背景区域重叠。当一次访问匹配多个区域时前景区域的权限优先于背景区域。这常用于设置一个默认的“拒绝所有”背景策略然后针对特定地址段开放前景权限。CACHE_MODE [9]缓存模式检查位。当设置为1时防火墙不仅检查访问的地址和主设备属性还会检查该访问是否是可缓存的。这可以用于防止敏感数据被无意中缓存到非安全世界的缓存中造成信息泄露。权限寄存器这是最复杂的部分定义了“谁”在“什么情况下”可以“做什么”。以PERMISSION_0寄存器为例它实际上是一个权限矩阵的切片。PRIV_ID [23:16]特权ID过滤。AM62L的总线事务以携带一个特权IDPrivilege ID。防火墙可以配置为只允许特定PrivID的主设备访问本区域。这实现了基于主设备身份的过滤例如只允许某个安全的DMA控制器访问一段内存。安全与权限位寄存器中的SEC_SUPV_WRITE、NONSEC_USER_READ等位构成了一个二维权限矩阵。一维是安全状态Secure/Non-secure另一维是特权等级Supervisor/User。每个交叉点定义了读、写、调试、缓存四种操作的权限。例如如果你希望一段内存只能由安全世界的监管模式代码如安全监控器进行读写而用户模式代码只能读非安全世界完全不能访问那么你需要设置SEC_SUPV_READ1,SEC_SUPV_WRITE1,SEC_USER_READ1,SEC_USER_WRITE0所有NONSEC_*位设为0。重要提示权限寄存器通常有多个如PERMISSION_0, PERMISSION_1, PERMISSION_2。这并非冗余而是用于支持多个并行的权限检查。具体使用哪个PERMISSION寄存器由总线事务携带的某个额外属性如MID或PORT决定。你需要查阅AM62L的互联总线文档来确定其映射关系否则可能配置了权限却未生效。一个常见的实践是将PERMISSION_0用于默认路径PERMISSION_1用于某个高优先级或可信的主设备路径。3. 实战配置为一个共享内存区域构建安全策略理论说得再多不如动手配置一遍来得实在。假设我们有一个实际需求在AM62L上需要开辟一段位于DDR中的共享内存用于安全世界如TrustZone安全侧和非安全世界如Linux之间的通信。安全世界需要能读写全部数据而非安全世界只能读写一个特定的“邮箱”区域并且不能执行调试操作。3.1 场景分析与规划我们假设共享内存总大小为1MB起始物理地址为0x9E00_0000。我们将其划分为两个区域区域A安全私有区前512KB0x9E00_0000-0x9E07_FFFF仅允许安全世界访问。区域B共享邮箱区后512KB0x9E08_0000-0x9E0F_FFFF允许安全世界读写允许非安全世界读写但禁止所有调试访问。我们需要找到保护这段DDR内存的CBASS防火墙实例。根据AM62L的内存映射DDR控制器通常由一个特定的防火墙实例保护例如可能叫做CBASS_FW_DDR_...。这里为了演示我们假设使用一个通用的实例其区域0和区域1可供配置。3.2 寄存器配置步骤与代码示例配置过程必须在系统初始化早期完成通常是在Bootloader或安全世界的初始化代码中。以下是用C语言伪代码展示的配置流程#include stdint.h // 假设我们已经通过芯片手册找到了DDR防火墙实例的基地址 #define FW_DDR_BASE (0x45000000UL) // 区域0寄存器偏移量 (以CONTROL寄存器为基准) #define REGION0_CTRL_OFFSET (0x800) #define REGION0_PERM0_OFFSET (0x804) #define REGION0_START_ADDR_L_OFFSET (0x810) #define REGION0_START_ADDR_H_OFFSET (0x814) #define REGION0_END_ADDR_L_OFFSET (0x818) #define REGION0_END_ADDR_H_OFFSET (0x81C) // 区域1寄存器偏移量 #define REGION1_CTRL_OFFSET (0x820) #define REGION1_PERM0_OFFSET (0x824) #define REGION1_START_ADDR_L_OFFSET (0x830) #define REGION1_START_ADDR_H_OFFSET (0x834) #define REGION1_END_ADDR_L_OFFSET (0x838) #define REGION1_END_ADDR_H_OFFSET (0x83C) // 权限位定义 (根据手册) #define PERM_BIT_SEC_SUPV_WRITE (0) #define PERM_BIT_SEC_SUPV_READ (1) #define PERM_BIT_SEC_USER_WRITE (4) #define PERM_BIT_SEC_USER_READ (5) #define PERM_BIT_NONSEC_SUPV_WRITE (8) #define PERM_BIT_NONSEC_SUPV_READ (9) #define PERM_BIT_NONSEC_USER_WRITE (12) #define PERM_BIT_NONSEC_USER_READ (13) // 调试权限位通常需要更谨慎的配置此处先全部禁用 #define PERM_BIT_SEC_SUPV_DEBUG (3) #define PERM_BIT_SEC_USER_DEBUG (7) #define PERM_BIT_NONSEC_SUPV_DEBUG (11) #define PERM_BIT_NONSEC_USER_DEBUG (15) static inline void write_reg(volatile uint32_t *addr, uint32_t value) { // 确保写入顺序可能需要内存屏障 *addr value; __asm__ volatile(dsb sy ::: memory); } void configure_ddr_firewall(void) { volatile uint32_t *fw_base (volatile uint32_t *)(FW_DDR_BASE); uint32_t reg_val; // 第一步配置区域0 (安全私有区) // 1.1 设置地址范围: 0x9E00_0000 到 0x9E07_FFFF // 起始地址 0x9E00_0000 12 0x9E000 write_reg(fw_base REGION0_START_ADDR_L_OFFSET/4, 0x9E000); write_reg(fw_base REGION0_START_ADDR_H_OFFSET/4, 0x0); // 高16位为0 // 结束地址 (0x9E07_FFFF 12) 0x9E07F write_reg(fw_base REGION0_END_ADDR_L_OFFSET/4, 0x9E07F); write_reg(fw_base REGION0_END_ADDR_H_OFFSET/4, 0x0); // 1.2 设置权限: 仅安全世界可读写禁用调试 reg_val 0; reg_val | (1 PERM_BIT_SEC_SUPV_READ); reg_val | (1 PERM_BIT_SEC_SUPV_WRITE); reg_val | (1 PERM_BIT_SEC_USER_READ); reg_val | (1 PERM_BIT_SEC_USER_WRITE); // 其他位非安全权限、所有调试位保持为0禁用 write_reg(fw_base REGION0_PERM0_OFFSET/4, reg_val); // 1.3 设置控制寄存器: 使能非背景区域不检查缓存模式暂时不锁定 reg_val 0; reg_val | (0xA 0); // ENABLE 0xA // BACKGROUND0, CACHE_MODE0, LOCK0 write_reg(fw_base REGION0_CTRL_OFFSET/4, reg_val); // 第二步配置区域1 (共享邮箱区) // 2.1 设置地址范围: 0x9E08_0000 到 0x9E0F_FFFF write_reg(fw_base REGION1_START_ADDR_L_OFFSET/4, 0x9E080); // 0x9E08_0000 12 write_reg(fw_base REGION1_START_ADDR_H_OFFSET/4, 0x0); write_reg(fw_base REGION1_END_ADDR_L_OFFSET/4, 0x9E0FF); // 0x9E0F_FFFF 12 write_reg(fw_base REGION1_END_ADDR_H_OFFSET/4, 0x0); // 2.2 设置权限: 安全世界和非安全世界都可读写但均禁用调试 reg_val 0; // 安全世界权限 reg_val | (1 PERM_BIT_SEC_SUPV_READ); reg_val | (1 PERM_BIT_SEC_SUPV_WRITE); reg_val | (1 PERM_BIT_SEC_USER_READ); reg_val | (1 PERM_BIT_SEC_USER_WRITE); // 非安全世界权限 reg_val | (1 PERM_BIT_NONSEC_SUPV_READ); reg_val | (1 PERM_BIT_NONSEC_SUPV_WRITE); reg_val | (1 PERM_BIT_NONSEC_USER_READ); reg_val | (1 PERM_BIT_NONSEC_USER_WRITE); // 所有调试位为0 write_reg(fw_base REGION1_PERM0_OFFSET/4, reg_val); // 2.3 设置控制寄存器: 使能非背景区域 reg_val (0xA 0); // ENABLE 0xA write_reg(fw_base REGION1_CTRL_OFFSET/4, reg_val); // 第三步可选设置一个覆盖整个DDR范围的背景区域区域7默认拒绝所有访问 // 这可以作为额外的安全层确保未明确允许的地址访问被拦截。 // 此处代码省略原理类似将BACKGROUND位置1ENABLE置为0xA权限全设为0。 // 最后在所有配置确认无误后再考虑锁定关键区域如区域0 // reg_val read_reg(fw_base REGION0_CTRL_OFFSET/4); // reg_val | (1 4); // 设置LOCK位 // write_reg(fw_base REGION0_CTRL_OFFSET/4, reg_val); }3.3 配置过程中的关键陷阱与验证在实际操作中有以下几个极易出错的点地址对齐与计算错误这是最常见的错误。务必牢记起始地址低12位强制为0结束地址低12位制为0xFFF。计算时应对起始地址进行 12操作对结束地址进行(end_address 12)操作。一个快速验证方法是(END_ADDR_L 12) | 0xFFF应该等于你预期的结束地址。使能值错误ENABLE字段必须写入0xA写入0x1或0xF都是无效的区域不会被启用。我曾在调试时浪费数小时最终发现是因为用了0x1。权限寄存器选择错误如前所述多个PERMISSION寄存器对应不同的主设备端口。如果你配置了PERMISSION_0但访问来自一个映射到PERMISSION_1的主设备规则将不生效。必须根据系统设计确认每个主设备的访问路径和对应的权限寄存器索引。这需要查阅更详细的芯片互联架构图或系统集成手册。配置顺序与锁定时机在配置地址、权限和控制寄存器时建议最后写入CONTROL寄存器以使能区域。这样可以避免在配置过程中出现一个部分定义的、不安全的时间窗口。LOCK位更要谨慎使用一旦锁定在下次复位前无法修改。通常只在所有安全策略配置完毕且经过充分测试后才锁定最核心的区域。验证方法配置完成后如何验证最直接的方法是通过软件测试从安全世界尝试读写区域A和区域B应该成功。从非安全世界尝试读写区域A应该触发总线错误例如在Linux中产生一个SEGV信号。从非安全世界尝试读写区域B应该成功。可以尝试在非安全世界对区域B进行调试器访问如果支持应该被阻止。 更高级的验证可以使用总线嗅探工具或芯片的调试追踪模块实时观察防火墙的拦截事件。4. 高级应用与系统级安全架构思考4.1 利用背景区域实现“默认拒绝”策略在信息安全领域“默认拒绝按需允许”是最佳实践。AM62L的防火墙背景区域特性完美支持这一策略。你可以这样设计将一个区域通常是最后一个区域如Region 7配置为背景区域BACKGROUND1其地址范围覆盖整个从设备如整个DDR空间。将该背景区域的ENABLE设为0xA但将所有权限位PERMISSION都设为0。这意味着默认情况下所有访问都被拒绝。然后再配置其他的前景区域BACKGROUND0针对你需要开放访问的特定地址段如外设寄存器、共享内存设置精细的权限。当一次访问发生时硬件会同时检查所有区域。如果它匹配了任何一个前景区域就使用该前景区域的权限。只有不匹配任何前景区域时才会使用背景区域的权限即拒绝。这种架构极大地增强了安全性。即使你遗漏了某个地址段的配置或者未来新增了未规划的内存映射默认的背景拒绝策略也能提供保护而不是将其暴露在无防护状态下。4.2 多域隔离与TrustZone集成AM62L处理器支持ARM TrustZone技术将系统划分为安全世界和非安全世界。CBASS防火墙是与TrustZone协同工作的关键组件。防火墙的SEC_*和NONSEC_*权限位直接响应总线事务的NSNon-secure位。一个典型的多域隔离场景如下安全世界私有资源安全监控器代码、加密密钥、安全存储。配置防火墙区域仅SEC_*权限为1NONSEC_*全为0。确保非安全世界完全不可见、不可访问。非安全世界普通资源Linux内核与用户空间内存。配置为NONSEC_*权限开放SEC_*权限可根据需要选择开放例如允许安全世界审计。共享资源如前例的邮箱内存。为安全和非安全世界配置适当的读写权限。外设隔离对于某个关键外设如RTC可以配置为仅安全世界可配置非安全世界只能读时间。这通过防火墙对外设寄存器地址范围的权限控制来实现。通过防火墙你可以实现比TrustZone自身更细粒度的控制。TrustZone提供了两个“世界”的隔离而防火墙允许你在每个世界内部进一步实施基于主设备PrivID、特权等级Supervisor/User和访问类型Read/Write/Debug的精细策略。4.3 性能考量与最佳实践硬件防火墙的检查会引入一个时钟周期的延迟。虽然很小但在高性能或实时性要求极高的路径上仍需考虑。区域数量最小化不要滥用区域。每个区域都需要硬件进行并行比较。在满足安全要求的前提下尽量合并相邻且权限相同的内存段减少区域数量。区域范围合理化避免设置大量非常小的、碎片化的区域。尽量让区域边界对齐到更大的自然边界如1MB 2MB这有时能优化内部比较逻辑。关键路径优化对于DMA控制器、显示引擎等对带宽和延迟敏感的主设备其访问路径上经过的防火墙应尽可能简化规则。可以考虑为这些主设备分配专用的、权限宽松的区域或者确保其访问模式能高效匹配区域规则。动态重配置的风险虽然防火墙支持运行时动态重配置在未锁定前但这在运行关键任务的系统中是危险的。错误的配置可能立即导致系统崩溃或安全漏洞。最佳实践是在系统启动早期、任何非可信代码运行之前就完成所有防火墙的静态配置并锁定。动态策略变更应被视为一个极其敏感的操作需要有严格的流程和验证。5. 调试技巧与常见问题排查实录即使理解了原理和配置步骤在实际调试中依然会遇到各种问题。以下是我在项目中总结的一些常见“坑”和排查思路。5.1 问题现象访问被保护区域时发生总线错误或数据中止这是最直接的现象说明防火墙生效了但可能不是你想要的效果。排查清单确认访问属性是否匹配安全状态你的访问是来自安全世界NS0还是非安全世界NS1用调试器检查CPSR或SCR寄存器或者检查你发起访问的软件上下文是在安全OS中还是在非安全OS中。特权等级访问是监管模式Supervisor还是用户模式User在A-profile ARM核中这通常由CP15的SCTLR寄存器或当前处理器模式决定。主设备标识发起访问的主设备CPU核、DMA、外设的PrivID是多少这个信息可能需要在总线配置或主设备初始化代码中查找。防火墙中配置的PRIV_ID是否匹配或为00通常表示不检查PrivID检查权限寄存器配置根据上述访问属性找到对应的权限位例如非安全用户写对应NONSEC_USER_WRITE确认该位是否被设置为1。特别注意PERMISSION寄存器的索引。如果系统使用了多个权限寄存器而你配置的是PERMISSION_0但访问来自映射到PERMISSION_1的主端口那么配置不会生效。这需要查芯片手册的互联部分。检查地址范围计算你访问的地址确认它是否落在了已使能区域的[START_ADDRESS, END_ADDRESS]范围内。注意END_ADDRESS是包含的。使用调试器或打印语句输出你配置的地址寄存器值并手动计算一遍实际覆盖的地址范围。5.2 问题现象配置了防火墙但访问未被拦截这比访问被拒更危险意味着安全策略未生效系统存在漏洞。排查清单区域是否真正使能这是首要检查项。读取CONTROL寄存器的值确认ENABLE [3:0]字段的值是0xA。我见过太多因为写入0x1或0xF而导致区域未启用的案例。是否存在地址重叠且优先级更高的区域如果访问的地址同时匹配了多个前景区域硬件会选择编号最小的匹配区域。如果你在Region 0配置了允许访问在Region 1配置了拒绝但访问地址同时匹配两者那么Region 0的规则允许会生效。检查你的区域地址范围是否有重叠。背景区域的影响如果访问没有匹配任何前景区域则会落到背景区域如果使能。检查你的背景区域权限是否过于宽松。配置顺序问题你是否在使能区域写CONTROL之后又修改了地址或权限寄存器在某些硬件实现中这可能是不允许的或者会导致不可预知的行为。标准的操作顺序是先配置地址和权限最后使能区域。缓存与一致性如果你是在系统运行一段时间特别是Cache已启用后才配置防火墙需要确保配置操作本身是缓存一致的。对寄存器空间的写入可能需要使用非缓存的地址别名或者在进行关键配置后执行DSB和ISB内存屏障指令以确保所有CPU和总线主设备都能看到最新的配置。5.3 问题现象系统启动后某些外设或功能异常防火墙配置错误可能不会立即导致崩溃而是表现为外设无法读写、DMA传输失败等隐蔽问题。排查思路逆向工程默认配置在修改任何防火墙设置之前先用调试器或初始化代码读取并备份所有相关防火墙寄存器的复位默认值。当出现问题时可以回退对比。TI的SDK或启动代码中通常会有一个默认的防火墙配置研究它有助于理解芯片厂商的预设安全策略。缩小排查范围如果问题出现在启动后期如操作系统加载后可以尝试在启动早期Bootloader阶段逐个使能你修改的防火墙区域每使能一个就测试一下基本功能如串口输出、内存测试从而定位是哪个区域的配置导致了问题。检查外设的从设备归属一个复杂SoC中一个外设的寄存器可能通过多个从设备端口被访问例如一个GPIO模块可能同时被MCU域和Main域访问。你需要为你关心的每一个访问路径都配置正确的防火墙规则。只配置了其中一条路径另一条路径可能被默认规则阻止。利用调试事件AM62L的CBASS模块通常支持将防火墙违规事件触发为中断或记录到调试状态寄存器中。在芯片手册中查找Firewall Violation Status Register或类似寄存器。当访问被拒绝时这些寄存器会记录违规的地址、主设备ID和访问类型。这是最强大的调试工具能直接告诉你“谁”在“哪里”想“干什么”被拒绝了。确保在开发阶段使能这些调试功能。5.4 一个真实的调试案例DMA传输莫名失败在我之前的一个项目中非安全世界的Linux驱动尝试通过一个DMA控制器向一段共享内存配置为安全世界可读写非安全世界只读写入数据。配置看起来正确但DMA传输总是失败状态寄存器显示总线错误。排查过程首先检查了共享内存区域的防火墙权限确认NONSEC_SUPV_WRITE和NONSEC_USER_WRITE都已设为1因为DMA通常以监管模式发起访问。问题依旧。于是怀疑是DMA控制器本身的访问属性问题。查阅DMA控制器的用户手册发现其总线事务可以编程设置PrivID和Secure位。默认情况下该DMA被配置为以安全属性发起传输可能是因为它最初是为安全世界服务设计的。而我的防火墙区域只对非安全写开放。当DMA以安全属性发起写操作时防火墙检查的是SEC_SUPV_WRITE位而该位为0因此访问被拒绝。解决方案修改DMA控制器的配置将其发起的传输事务属性改为非安全NS1。或者在防火墙中同时开放安全写的权限但这可能降低安全性需评估风险。这个案例的教训是防火墙检查的是总线事务上携带的实时属性而不是发起访问的软件所处的逻辑世界。一个在非安全世界运行的软件通过一个被配置为“安全”的主设备如DMA去访问内存该事务在总线上看起来仍然是“安全”的。你必须确保主设备的配置与防火墙的权限设置一致。这要求你对系统中所有总线主设备的默认和可配置属性有清晰的了解。