ARM Cortex-R52 内核详解（五）——内存保护单元（MPU）模块详解
目录
一、MPU是什么？为什么需要MPU？
二、Cortex-R52 MPU核心特性
三、Cortex-R52 MPU核心概念
1. 基础概念
2. 核心配置项说明
四、Cortex-R52 MPU核心寄存器
五、MPU标准配置步骤
六、典型使用场景实例
实例1：RTOS任务栈溢出保护（通用场景，和Cortex-M7逻辑一致）
实例2：TrustZone安全固件区域保护（R52特有）
实例3：外设寄存器区域保护
七、常见问题与注意事项
八、小结
参考资料
一、MPU是什么？为什么需要MPU？
MPU全称Memory Protection Unit（内存保护单元），是Cortex-R52内核内置的硬件模块，和Cortex-M7的MPU定位一致：不需要MMU虚拟内存就能实现内存访问权限隔离，适合裸机/RTOS硬实时场景，对比MMU没有地址转换延迟，满足车规、工业级硬实时需求。
为什么要使用MPU？在功能安全要求越来越高的今天，MPU可以解决以下核心问题：
- 检测RTOS任务栈溢出：溢出后访问非法区域自动触发异常，提前发现问题，避免踩坏其他任务内存
- 实现任务之间的内存隔离：禁止任务越权访问其他任务的私有数据，提升系统稳定性
- 实现TrustZone安全隔离：安全世界的内存/外设只有安全代码可以访问，非安全访问直接触发错误，满足ISO 26262 ASIL-D功能安全要求
- 禁止数据区域执行代码：防止缓冲区溢出攻击，提升信息安全性
- 每个区域独立配置缓存属性：优化Flash/RAM/外设的访问性能，比全局配置更灵活
对比Cortex-M7的MPU，Cortex-R52的MPU支持更多区域、原生TrustZone安全隔离、更细的配置粒度，完全满足复杂域控制器的需求。
二、Cortex-R52 MPU核心特性
| 特性 | Cortex-R52 MPU | Cortex-M7 MPU | 差异说明 |
|---|---|---|---|
| 最大支持内存区域数量 | 最多32个独立区域 | 最多8~16个 | R52多一倍，满足复杂系统多分区需求 |
| TrustZone安全隔离 | 安全/非安全独立MPU配置，硬件强制隔离 | 无原生安全隔离 | R52原生满足功能安全隔离要求 |
| 安全属性配置 | 每个区域可单独配置安全/非安全属性 | 无 | 非安全访问安全区域自动触发SecureFault |
| 内存缓存属性配置 | 每个区域独立配置缓存类型（写回/写通/无缓存/设备） | 每个区域仅能配置是否缓存 | R52配置更灵活，性能优化更方便 |
| 执行禁止（XN） | 每个区域独立配置可执行/不可执行 | 支持 | 规则一致，防止数据区域执行恶意代码 |
| 子区域划分 | 每个区域支持8个子区域，可任意禁用 | 支持 | 规则一致，方便处理重叠内存空间 |
| 重叠区域优先级 | 编号越大优先级越高，高编号覆盖低编号 | 规则一致 | 和Cortex-M7完全相同 |
Cortex-R52 MPU核心特性总结：
- 不需要虚拟内存，硬件直接做权限检查，访问非法地址自动触发
MemManage Fault，延迟极低 - 原生支持安全域隔离，非安全代码无法修改安全MPU配置，无法访问安全内存，硬件防篡改
- 满足功能安全要求，所有错误都能硬件检测，不需要软件轮询，可追溯错误地址
三、Cortex-R52 MPU核心概念
1. 基础概念
- 内存区域：MPU将整个4GB地址空间划分为多个连续的独立区域，每个区域单独配置属性，R52编号范围
0~31 - 默认背景区域：地址没有匹配到任何配置区域时，使用默认背景区域的权限；开启MPU后，默认背景仅允许特权访问，用户访问未匹配地址直接触发错误，和Cortex-M7规则一致
- 区域对齐要求：N字节大小的区域，基地址必须是N的整数倍，否则配置不生效，这是最常见的踩坑点
2. 核心配置项说明
| 配置项 | 说明 | R52特有差异 |
|---|---|---|
| 区域基地址/大小 | 基地址是区域起始地址，大小必须是2的幂次，最小支持32字节，最大支持4GB | 规则和Cortex-M7一致，最大支持的区域数量更多 |
| 访问权限（AP） | 分特权模式/用户模式分别配置权限，每个模式可配置为：无访问/只读/读写，共8种组合 | 规则和Cortex-M7一致，额外增加安全访问权限控制 |
| 执行禁止（XN） | 置1表示该区域禁止取指执行，一般数据区域（栈/堆/全局变量）都要配置为XN | 规则和Cortex-M7一致，每个安全域独立配置 |
| 内存类型/缓存属性 |
| Cortex-M7仅支持简单缓存开关，R52每个区域可独立配置完整内存属性，更灵活 |
| 安全属性 | 配置该区域是安全区域还是非安全区域：安全区域只有安全世界可以访问，非安全访问直接触发SecureFault | R52特有，Cortex-M7无该配置，是TrustZone隔离的核心 |
四、Cortex-R52 MPU核心寄存器
Cortex-R52 MPU寄存器全部映射在SCB（系统控制块）地址空间，安全世界和非安全世界各有一套独立的寄存器，非安全世界不能修改安全MPU寄存器，硬件强制隔离，核心寄存器如下：
| 寄存器 | 地址 | 功能说明 | R52差异 |
|---|---|---|---|
MPU_TYPE（MPU类型寄存器） | 0xE000ED90 | 只读，读取MPU支持的区域数量，Cortex-R52读取到的值为32 | 和Cortex-M7功能一致，仅数值不同 |
MPU_CTRL（MPU控制寄存器） | 0xE000ED94 | 控制MPU开启/关闭、默认背景权限 | 额外增加安全MPU使能位，R52特有 |
MPU_RBAR（区域基地址寄存器） | 0xE000ED9C | 存储配置区域的编号、基地址 | 支持32个区域，编号位比Cortex-M7多1位 |
MPU_RASR（区域属性大小寄存器） | 0xE000EDA0 | 存储配置区域的大小、访问权限、XN、内存属性、安全属性 | 额外增加安全属性位，R52特有 |
五、MPU标准配置步骤
配置流程和Cortex-M7大体一致，仅增加安全配置的特殊要求：
- 关闭MPU：修改配置前先清零
MPU_CTRL的BIT0，关闭MPU避免配置过程中触发异常⚠️ R52特有注意：安全MPU配置需要在安全世界操作，非安全MPU配置在非安全世界，不能交叉修改
- 逐个配置内存区域：每个区域依次写入
MPU_RBAR（基地址+编号）和MPU_RASR（所有属性），写入后立即生效⚠️ 核心注意：必须满足基地址对齐要求，N字节大小的区域，基地址必须N字节对齐，不对齐会导致配置错误
- 确认重叠区域优先级：重叠区域优先级规则为编号越大，优先级越高，需要优先保护的区域一定要配置更大的编号，才能覆盖低优先级大区域的属性
- 开启MPU：配置完所有区域后，写
MPU_CTRL开启MPU，配置生效，一般开启默认背景特权访问（置位BIT1）
六、典型使用场景实例
实例1：RTOS任务栈溢出保护（通用场景，和Cortex-M7逻辑一致）
给每个任务栈分配独立MPU区域，在栈结束后划分一个32字节的保护区，配置保护区为用户不可访问，任务溢出访问保护区就会自动触发MemManage Fault，提前检测栈溢出：
// 配置非安全任务栈溢出保护区：基地址0x82004000，大小32字节，用户不可访问 MPU->RBAR = (0x82004000 & MPU_RBAR_ADDR_Msk) | (10 << MPU_RBAR_REGION_Pos); MPU->RASR = (0x04 << MPU_RASR_SIZE_Pos) | // 大小：2^(4+1)=32字节 (0b001 << MPU_RASR_AP_Pos) | // AP配置：特权读写，用户无访问 MPU_RASR_XN_Msk | // 数据区域，禁止执行 MPU_RASR_ATTR_NORMAL_NOCACHE | // 保护区不缓存 MPU_RASR_NS_Msk; // 非安全区域实例2：TrustZone安全固件区域保护（R52特有）
将安全固件存储区域配置为安全只读区域，非安全世界不能读写，防止非安全篡改固件：
// 配置安全固件区域：基地址0x00000000，大小1MB，安全只读 MPU->RBAR = (0x00000000 & MPU_RBAR_ADDR_Msk) | (0 << MPU_RBAR_REGION_Pos); MPU->RASR = (0x11 << MPU_RASR_SIZE_Pos) | // 大小：2^(17+1)=1MB (0b010 << MPU_RASR_AP_Pos) | // AP配置：特权只读，用户无访问 0 | // 代码区域，允许执行 MPU_RASR_ATTR_NORMAL_WRITEBACK | // Flash配置为写回缓存，提升访问性能 0; // 安全区域，NS位清0实例3：外设寄存器区域保护
安全看门狗寄存器仅允许安全世界访问，配置为安全设备类型，禁止非安全访问：
// 配置安全看门狗寄存器区域：基地址0x40100000，大小4KB，安全设备类型 MPU->RBAR = (0x40100000 & MPU_RBAR_ADDR_Msk) | (1 << MPU_RBAR_REGION_Pos); MPU->RASR = (0x09 << MPU_RASR_SIZE_Pos) | // 大小：2^(10+1)=4KB (0b011 << MPU_RASR_AP_Pos) | // AP配置：特权读写，用户无访问 MPU_RASR_XN_Msk | // 寄存器区域，禁止执行 MPU_RASR_ATTR_DEVICE | // 外设寄存器配置为设备类型，禁止缓存 0; // 安全区域七、常见问题与注意事项
| 问题 | 原因 | 解决方法 |
|---|---|---|
| 配置完MPU立即触发HardFault/MemManageFault | 90%是基地址没有按区域大小对齐 | N字节大小的区域，基地址必须是N的整数倍，修改对齐后重新配置 |
| 用户程序启动就触发错误 | 忘记开启默认背景区域特权访问 | 置位MPU_CTRL的BIT1，允许特权访问未配置的地址区域 |
| 非安全访问安全区域不触发错误 | 安全MPU未开启，或者区域安全属性配置错误 | 开启安全MPU，确认区域安全属性位为0（安全） |
| 外设寄存器不工作，读取值不对 | 外设区域配置为Normal缓存，CPU读缓存而不是实际寄存器 | 所有外设寄存器必须配置为Device/Strongly-ordered类型，禁止缓存 |
| 保护区域属性不生效 | 重叠区域优先级配置错误，保护区域编号比大区域小 | 记住：编号越大优先级越高，保护区域一定要配置更大的编号 |
| 开启MPU后内核性能下降明显 | 缓存属性配置错误，Flash/RAM全部配置为不缓存 | Flash/RAM配置为Write-Back缓存，开启缓存后性能提升3~5倍 |
| 非安全修改MPU会影响安全世界吗 | 不会，R52设计就是安全和非安全MPU完全独立 | 硬件隔离，非安全只能修改自己的MPU配置，不影响安全 |
八、小结
Cortex-R52的MPU在Cortex-M7 MPU的基础上，增加了原生TrustZone安全隔离、更多区域、更灵活的缓存配置，完全满足车规、工业等高可靠硬实时场景的功能安全要求，正确配置MPU可以提前检测内存错误、实现权限隔离、避免难定位的内存踩坏问题，开发阶段只要牢记对齐规则、优先级规则、缓存配置规则、安全隔离规则，就能快速上手。
参考资料
- ARM® Cortex®-R52 Generic User GuideARM官方
- ARMv8-R Architecture Reference ManualARM官方
- ARM TrustZone for Cortex-R Programming GuideARM官方
- Texas Instruments AM62x Cortex-R52 MPU Programming GuideTI官方