ARM TechCon 2015 - 新たに2種類の命令グループが定義された「ARMv8-M」を読み解く

さて、次が基調講演でも出てきたTrustZoneの話になる。基本的には既存のTrustZoneと同じ「コンセプト」である(Photo06)。具体的に言えば、ARMv8-Mでは「Secure Mode」と「Non Secure Mode」という2つの動作モードが新たに設けられた。もっともこのSecure Modeを設けるにあたり、追加されるリソースは本当に最小限である。例えばレジスタ類を新設することすらしていない。ではこれでどうやってTrustZoneを実現できるのか?。

まずプログラマから見たメモリマップがPhoto08である。これはNon Secure Modeから見た構図であるが、セキュアな領域はMPUによって保護されるので、「基本」アクセスが一切出来ないことになる。

一方、Secure ModeにおいてはこのSecure Unitにアクセスが可能である。「基本」と書くのは例外があるからで、Photo09の赤い部分は、NCU(Non-Secure Callable)と定義される。NCUはおおむね、簡単なエントリポイントなどが置かれる程度のものだが、要するにNormal StateからSecure Stateを呼び出す際に利用される領域として定義される。

さて、もう少し先に進んでみる。Non Secureで稼働中にThread→Handler、あるいはHandler→Secureの遷移はこれまでと同様だし、Secureで稼働中も同じである。ではNon Secure Thread中にSecureなインタラプトが入った(あるいはSecure Thread中にNon-Secureなインタラプトが入った)らどうなるか、がPhoto10となる。扱いとしてはARMv7-MのException Handlingと同じ仕組みとすることである。遷移の際にかならずZero Clearするのは、これによるSnoopの可能性を抑えるためである。

ちなみにSecureかNon Secureかの区別は、基本的にはアドレスベースでの管理となる。これを管理するのが(Photo09のキャプションにも出てきている)SAUで、ここがメモリ領域ごとにSecureかNon Secureかの情報を格納している(Photo11)。なので、Non Secure StateのアプリケーションがSecureなアドレスにアクセスしようとすると、Memory Faultを発生する形でSecureが担保される。ちなみにBranch/CallでSecure Addressをアクセスしようとした場合は、新しく追加されたSecure Fault(Exception Number 7)が発生する形だ。

このあたりをもう少し見やすくしたのがPhoto12で、Secure State/Non Secure-State、Secure Address/Non-Secure Addressは完全に分離されており、唯一NSCの領域でのみ両者がアクセスできる事になる。もっとも分離されているといっても、お互いの呼び出しは自由に可能である(Photo13)。Thread同士で呼び出す場合はこんな具合だ(Photo14)。この場合呼び出されたSecure Thread側はまずSGでSecure Modeに切り替わり、その後Secure Codeを実行、最後にBXNSでNon-Secure Modeに戻る形になる。ちなみにExample(Photo15)などにはまだ具体的なコード記述の仕方などが示されていないが、恐らくPhoto10と同じように、BXNSを呼び出す前に(戻り先と戻り値以外の)RegisterはZeroクリアするような作法が入るのではないかと思われる。

ちなみにARMv8-Mの場合、TrusuZoneをインプリメントしないとNon-Secure Modeで起動するが、インプリメントした場合は無条件でSecure Modeでの起動となる。なのでアプリケーションもSecure ModeでSystem Startを記述する必要がある(Photo16)。