基于ARM架构Gem5的TrustZone SMC通信构建与调试问询

一、扩展Trusted Firmware-A（TF-A）添加自定义SMC处理 #

你已在EL3运行TF-A，TF-A作为EL3固件负责路由所有SMC请求，需添加自定义处理逻辑响应非安全世界的调用：

1. 在TF-A的services/std_svc目录新增自定义服务模块（如my_svc），实现SMC处理函数：

   uintptr_t my_smc_handler(uint32_t smc_fid, uintptr_t x1, uintptr_t x2, uintptr_t x3,
                           uintptr_t x4, void *cookie, void *handle, uintptr_t flags) {
       switch(smc_fid) {
           case MY_SMC_FID:
               // 示例：返回参数x1与x2的求和结果
               return x1 + x2;
           default:
               return SMC_UNK; // 不支持的SMC请求返回错误标识
       }
   }
   

2. 修改services/std_svc/std_svc_setup.c，将自定义handler加入smc_handler_table完成注册。
3. 重新编译TF-A，替换Gem5环境中使用的TF-A镜像文件。

二、非安全世界侧实现SMC调用 #

非安全世界通过ARM smc #0指令触发跨世界调用，以下是两种常见场景的实现方式：

1. 裸机应用场景 #

编写汇编+C代码触发SMC：

.global smc_call
smc_call:
    mov r0, #MY_SMC_FID  // 传入自定义SMC功能号
    mov r1, #0x10        // 调用参数1
    mov r2, #0x20        // 调用参数2
    smc #0               // 触发SMC，进入EL3执行安全世界逻辑
    bx lr                // 返回非安全世界，r0存储安全世界返回结果

在C代码中调用该汇编函数，验证返回值是否符合预期。

2. Linux用户空间场景 #

通过内嵌汇编直接触发SMC（若为私有SMC建议通过内核驱动转发，避免直接用户空间调用）：

#include <stdio.h>
#include <stdint.h>

#define MY_SMC_FID 0x82000001

uint64_t smc_call(uint64_t arg1, uint64_t arg2) {
    uint64_t result;
    asm volatile(
        "mov x0, %1\n"
        "mov x1, %2\n"
        "mov x2, %3\n"
        "smc #0\n"
        "mov %0, x0\n"
        : "=r"(result)
        : "r"(MY_SMC_FID), "r"(arg1), "r"(arg2)
        : "x0", "x1", "x2", "memory"
    );
    return result;
}

int main() {
    uint64_t res = smc_call(0x10, 0x20);
    printf("SMC返回结果: 0x%lx\n", res);
    return 0;
}

三、Gem5系统配置验证与调整 #

确保VExpress_GEM5_Foundation配置正确开启TrustZone特性：

• CPU模型：选用CortexA53/CortexA76等支持TrustZone的模型，在配置脚本中设置cpu.isa[0].secure = True启用安全状态支持。
• 内存划分：在配置脚本中划分独立的安全内存区域（如0x00000000-0x0FFFFFFF），仅安全世界可访问，用于运行TF-A与安全应用。
• GIC配置：设置gic.secure = True启用GIC安全扩展，确保中断可在安全/非安全世界间正确路由。

四、调试与通信过程观测 #

1. Gem5 Trace日志跟踪 #

启动Gem5时添加SMC相关调试标志，打印完整的SMC触发与处理流程：

./build/ARM/gem5.opt --debug-flags=SMC,SecureMonitor configs/example/arm/express.py --cpu-type=CortexA53 --secure --firmware path/to/your/tf-a.bin

SMC标志会打印SMC触发的EL级别、功能号、参数；SecureMonitor标志会输出EL3中SMC的处理细节。

2. GDB多EL调试 #

通过GDB同时调试非安全世界与安全世界：

1. 启动Gem5时开启远程调试端口：

   ./build/ARM/gem5.opt --remote-gdb-port=1234 ...（其他配置参数）
   

2. 用ARM交叉GDB连接调试：

   aarch64-linux-gnu-gdb path/to/nonsecure-image
   

3. 切换到EL3调试TF-A：

   target remote localhost:1234
   monitor switch el3
   file path/to/tf-a.elf  # 加载TF-A符号表
   b my_smc_handler       # 在自定义SMC处理函数处设断点
   c                      # 继续执行，非安全世界触发SMC时会命中断点
   

4. 调试完成后切换回非安全EL：

   monitor switch el0
   

3. 寄存器状态验证 #

在Gem5终端中使用dumpregs命令，查看SMC触发前后的寄存器状态，确认参数传递与返回值是否正确：

# Gem5终端内输入
dumpregs x0 x1 x2

触发SMC前x0为SMC功能号、x1/x2为调用参数；从EL3返回后x0存储安全世界的处理结果。

内容的提问来源于stack exchange，提问作者Ismail Sanan