ARM Cortex-M MPU空指针防护的实操实现方案问询

实现难点说明 #

• Cortex-M系列MPU的内存区域配置有强制对齐要求：M0+最小区域为32字节，M3/M4/M7最小为8字节，无法直接配置任意大小的0地址防护区域
• 0地址默认存放中断向量表，常规状态下允许特权访问，需要通过MPU覆盖配置为禁止访问，同时要规避对启动过程的影响

核心实现思路 #

1. 配置MPU的一个独立区域，覆盖0x0地址及足够覆盖常见空指针偏移的范围（比如0x0~0xFF），选择满足对应内核对齐要求的最小区域大小
2. 将该区域配置为特权模式下禁止读写访问，确保空指针的读、写操作都会触发MPU异常（HardFault）
3. 启用MPU并保留默认背景区域的特权访问权限，避免影响其他正常内存的使用

最简裸机代码实现 #

适配Cortex-M3/M4/M7的MPU初始化代码 #

#include <stdint.h>

// MPU寄存器基地址及寄存器定义
#define MPU_BASE         0xE000ED90
#define MPU_CTRL         (*(volatile uint32_t *)(MPU_BASE + 0x04))
#define MPU_RNR          (*(volatile uint32_t *)(MPU_BASE + 0x08))
#define MPU_RBAR         (*(volatile uint32_t *)(MPU_BASE + 0x0C))
#define MPU_RASR         (*(volatile uint32_t *)(MPU_BASE + 0x10))

// MPU控制位掩码
#define MPU_ENABLE       (1U << 0)
#define MPU_PRIV_DEFAULT (1U << 2)

void mpu_enable_null_protection(void) {
    // 先禁用MPU，防止配置过程中触发异常
    MPU_CTRL &= ~MPU_ENABLE;

    // 选择区域0用于空指针防护
    MPU_RNR = 0U;

    // 设置区域基地址为0x0，标记区域有效
    MPU_RBAR = 0x00000000U | (1U << 4);

    // 配置区域属性：128字节范围、特权/用户均禁止读写、禁止指令执行
    // SIZE字段：2^(SIZE+1)字节，128字节对应SIZE=6
    MPU_RASR = (6U << 1)    // 区域大小：128字节
             | (0U << 16)   // AP权限：000 -> 全权限禁止
             | (1U << 28);  // XN位：禁止指令执行

    // 启用MPU，同时允许特权模式访问未配置的内存区域
    MPU_CTRL = MPU_ENABLE | MPU_PRIV_DEFAULT;
}

适配Cortex-M0+的修改版本 #

Cortex-M0+的MPU最小区域为32字节，寄存器字段略有差异，需调整如下：

void mpu_enable_null_protection_m0p(void) {
    MPU_CTRL &= ~MPU_ENABLE;
    MPU_RNR = 0U;
    MPU_RBAR = 0x00000000U | (1U << 4);

    // 32字节区域（SIZE=4，对应2^(4+1)=32字节）
    MPU_RASR = (4U << 1)    // 区域大小：32字节
             | (0U << 16)   // AP权限：00 -> 全权限禁止
             | (1U << 22);  // XN位：禁止指令执行

    MPU_CTRL = MPU_ENABLE | MPU_PRIV_DEFAULT;
}

异常验证与处理示例 #

当执行如下空指针访问代码时，会立即触发HardFault异常：

struct foo {
    uint32_t dummy[3]; // 偏移0xC
    uint8_t x;         // 偏移0x10
};

// 触发MPU异常的测试代码
uint8_t x = ((struct foo volatile *)NULL)->x;

可以在HardFault中断服务函数中添加诊断逻辑，确认是MPU违规导致的异常：

void HardFault_Handler(void) {
    // 检查BFARVALID位，确认是否为内存访问违规
    if ((*(volatile uint32_t *)0xE000ED28) & (1U << 14)) {
        // 读取违规访问的地址
        uint32_t fault_addr = *(volatile uint32_t *)0xE000ED38;
        // 此处可添加日志、复位等处理逻辑
        while(1);
    }
    while(1);
}

注意事项 #

• MPU初始化必须在系统启动初期完成，确保后续代码执行时防护已生效
• 若中断向量表重定位到其他地址（如0x8000000），无需担心0地址区域的启动访问问题；若向量表仍在0x0，需确保MPU初始化前的启动代码（如向量读取）已执行完毕（MPU默认禁用，不影响启动过程）
• 不同Cortex-M内核的MPU寄存器细节略有差异，需参考对应内核的技术手册调整参数

内容的提问来源于stack exchange，提问作者Miro Samek