AMP混合关键系统共享缓存安全隔离：域块内存映射防御方案详解

1. 项目概述：AMP混合关键系统中的共享缓存安全挑战

在汽车电子、航空航天和工业控制这些对可靠性要求极高的领域，混合关键系统（Mixed Criticality Systems, MCS）正成为主流架构。简单来说，它就像在一艘船上，既要有人负责导航（安全关键任务，如刹车控制），也要有人负责播放音乐（非关键任务，如车载娱乐）。MCS的核心思想，就是把不同安全等级、不同实时性要求的软件组件，整合到同一个硬件平台上运行。这能大幅降低成本、减少体积和功耗，但前提是必须确保这些“船员”之间互不干扰——导航员的工作绝不能因为音响音量过大而被影响。

为了实现这种严格的隔离，业界常采用非对称多处理（Asymmetric Multiprocessing, AMP）架构。与大家更熟悉的对称多处理（SMP，所有核心运行同一个操作系统）不同，在AMP架构中，SoC上的不同处理器核心可以独立运行完全不同的操作系统。例如，一个核心运行经过安全认证的实时操作系统（RTOS）处理车辆控制，另一个核心则运行功能丰富的通用操作系统（如Linux）来驱动中控大屏。每个操作系统及其独占的内存、外设资源，构成了一个独立的“OS域”，域与域之间在设计和理想情况下是硬件隔离的。

然而，理想很丰满，现实却很骨感。一个经常被忽视的“共享客厅”就是末级缓存。在现代多核SoC中，L1缓存通常是核心私有的，但容量更大的L2或L3缓存（Last-Level Cache, LLC）往往是多个核心共享的，以提升数据共享效率和降低成本。问题就出在这里：缓存的工作原理是基于物理地址（PA）映射到固定的缓存路集合（Way-Set）。如果攻击者控制了一个OS域（比如被入侵的娱乐系统），他就可以通过精心构造的内存访问序列，持续“污染”某个特定的缓存路集合。当高关键性OS域（如仪表盘显示）需要访问映射到同一路集合的内存数据时，就会遭遇频繁的缓存缺失，数据必须从慢速的主存中重新加载，导致访问延迟急剧增加，甚至造成任务超时失效。这就是一种针对共享缓存的拒绝服务攻击，它利用了硬件资源的固有共享特性，从底层破坏了AMP架构所追求的隔离性。

因此，我们面临的不是一个简单的软件漏洞，而是一个硬件架构与安全目标之间的根本性矛盾：为了性能和成本共享缓存，但共享又破坏了关键的安全隔离。传统的软件分区或虚拟机监控器（Hypervisor）无法解决这个问题，因为缓存映射是由硬件固定死的。这就需要我们从内存访问的源头——地址翻译层面，寻找一种既不需要修改现有硬件，又能实现缓存资源逻辑隔离的创新方案。这也是本文将要深入探讨的核心。

2. 核心威胁与攻击面分析

在深入解决方案之前，我们必须先看清对手是谁，以及它如何发起攻击。在AMP混合关键系统环境中，针对共享缓存的威胁有其特殊性，理解这一点是设计有效防御的基石。

2.1 攻击者模型与攻击动机

我们假设的攻击者并非外部黑客，而是一个已成功侵入并控制某个低关键性OS域的恶意内部实体。例如，在车载信息娱乐系统中，一个被恶意软件感染的Linux域。这个假设非常合理，因为IVI系统通常具备复杂的网络连接（如4G/5G、Wi-Fi、蓝牙），运行着大量第三方应用，其攻击面远大于功能单一、封闭的实时控制域。

攻击者的动机可能是多样的：可能是纯粹的破坏，意图让车辆关键功能失灵；也可能是为其他攻击创造条件，例如通过使安全监控程序延迟，为渗透到更关键的系统争取时间。其能力设定为“高能力内部人员”，意味着他们可能拥有目标硬件平台的详细文档（如缓存关联性、内存控制器手册），并精通嵌入式系统开发，能够编写底层的、针对缓存特性的攻击代码。

2.2 攻击向量：缓存路集合污染

攻击的核心在于利用缓存的路组关联性。现代CPU缓存通常采用N路组相联结构。主内存被划分为许多与缓存行大小对齐的“内存行”。每个内存行根据其物理地址，通过一个固定函数（通常是取模运算）被映射到N个缓存路集合中的一个。每个路集合包含多个缓存行槽位。

攻击流程可以分解为以下几步：

1. 侦察：攻击者首先需要确定目标OS域（例如，负责数字仪表盘渲染的RTOS域）频繁访问哪些关键数据。通过侧信道分析或对系统行为的观察，可以推断出这些数据所在的大致物理地址范围。
2. 计算目标路集合：根据缓存参数（缓存行大小、路集合总数）和目标的物理地址，利用公式WS_ID = (PA / CL_Size) mod WS_Count计算出这些关键数据被映射到了哪些缓存路集合（WS_ID）。
3. 实施污染：在自己的OS域内，分配大量内存，并确保这些内存的物理地址经过上述公式计算后，映射到与目标相同的路集合ID上。然后，发起一个密集的、循环访问这些内存地址的线程（DoS-loop）。
4. 效果：攻击线程持续用自己数据填满目标路集合中的所有缓存行。当受害OS域尝试访问其关键数据时，会发生缓存缺失。即便受害域的数据被加载进来，也会立刻被攻击者的下一次访问“挤出去”（取决于替换策略，如LRU）。这导致受害域的内存访问延迟从几十个CPU周期飙升到上百甚至上千个周期（需要访问主存），造成严重的性能降级，本质上使其服务被“拒绝”。

注意：这种攻击非常隐蔽。它不涉及非法数据访问或权限提升，只是“合法地”过度使用共享硬件资源。传统的基于权限的安全机制（如MMU页表）对此完全无效，因为攻击者和受害者都在访问自己权限内的合法内存。

2.3 威胁影响：从性能降级到功能失效

这种攻击的影响绝非仅仅是“系统变慢”那么简单。在混合关键系统中，其后果可能是灾难性的：

• 实时性丧失：对于依赖严格时限的实时任务（如引擎控制循环、刹车信号处理），即使几十微秒的额外延迟也可能导致控制环路不稳定或任务超时，触发安全机制甚至直接导致功能失效。
• 服务质量降级：对于人机交互任务（如仪表盘刷新、ADAS图像处理），延迟会导致显示卡顿、音频断续，严重影响用户体验和驾驶安全。
• 系统级连锁反应：一个核心上的任务延迟可能导致其无法及时释放共享资源（如锁、总线），进而阻塞其他核心，引发系统级拥塞甚至死锁。

攻击的本质是破坏了MILS（多级独立安全）模型中的数据隔离和故障隔离属性。一个域内的故障（恶意行为）能够直接影响另一个域的时序行为，这与混合关键系统设计的根本原则背道而驰。因此，我们必须寻找一种机制，在共享的缓存硬件上，为不同的OS域划分出互不干扰的“私有区域”。

3. 防御方案：域块内存映射设计详解

既然攻击源于物理地址到固定缓存路集合的映射，那么最直接的防御思路就是打破这种固定的映射关系，让不同OS域访问的内存数据，从硬件层面就被导向缓存中不同的、隔离的区域。这就是“域块”内存映射方案的核心思想。

3.1 核心原理：重构中间物理地址到物理地址的映射

在典型的AMP系统内存管理中，存在两级地址翻译：

1. 第一阶段：由每个OS域内的MMU完成，将进程的虚拟地址（VA）翻译为该域所见的中间物理地址（IPA）。这个IPA空间对该域是连续的，便于OS进行内存管理。
2. 第二阶段：由系统级的MMU（或内存保护单元MPU）完成，将各域的IPA翻译为最终的、全局统一的物理地址（PA）。这个阶段是实现硬件资源（内存、设备）在域间隔离的关键。

传统的“恒等映射”方案中，第二阶段的映射非常简单直接：PA = IPA + 固定偏移。这导致一个OS域内连续的IPA，对应到物理内存上也是连续的大块区域。根据之前的缓存映射公式，连续的大块物理内存会均匀地覆盖所有的缓存路集合。因此，攻击者只要访问自己域内连续的大内存块，就能污染到所有的缓存路集合，从而影响到所有其他域。

域块映射方案的精髓在于，在第二阶段MMU中，以一种精心设计的、非连续的方式，将OS域的IPA空间打散，再映射到物理内存上。具体做法如下：

1. 定义域块：首先，根据缓存的路集合总数（WS_Count）和希望支持的OS域数量（Domains），计算每个域应独占的缓存路集合数量。例如，对于2048个路集合的双域系统，每个域分配1024个路集合。那么，每个“域块”的大小定义为：DB_Size = (WS_Count / Domains) * CL_Size。这个大小保证了属于一个域块的所有内存行，恰好映射到分配给该域的那一组缓存路集合上。
2. 交错映射：不再将一个域的整个内存分区映射到一段连续的物理地址上。而是将物理内存划分成许多个大小为DB_Size的块。然后，通过第二阶段MMU的页表，将OS域的IPA空间交替地映射到属于该域的物理域块上。
   • 举例：假设有Domain 0和Domain 1。物理内存前DB_Size字节（包含映射到WS 0-1023的内存行）分配给Domain 0；紧接着的DB_Size字节（包含映射到WS 1024-2047的内存行）分配给Domain 1；再下一个DB_Size字节又分配给Domain 0，如此交替。
   • 效果：从Domain 0的视角看，它的IPA 0x80000000被映射到物理块0（WS 0-1023），IPA 0x80010000（即偏移一个DB_Size）被映射到物理块2（同样是WS 0-1023），尽管这两个IPA在虚拟空间上不连续，但它们映射到的物理内存区域都只关联于Domain 0独占的那1024个缓存路集合。Domain 1的映射同理，但其IPA被映射到物理块1、3、5...，这些块只关联于WS 1024-2047。

3.2 技术实现与页表配置

实现上述映射的关键在于精细配置第二阶段MMU的页表。以ARMv7架构的2级MMU为例，通常支持1GB（Level 1）、2MB（Level 2）和4KB（Level 3）的页表粒度。恒等映射通常使用2MB的大页就足够了。

但对于域块映射，我们需要使用**4KB的小页（Level 3）**来实现更精细的控制。因为一个域块（例如64KB）由多个4KB页组成。我们需要编写一个算法，在系统启动初始化阶段，动态生成第二阶段的页表描述符。

页表生成算法概要（以双域为例）：

1. 设定两个域的IPA起始地址（如Domain 0: 0x80000000, Domain 1: 0xA0000000）。
2. 设定物理内存起始地址（如0x80000000）。
3. 遍历整个物理内存空间，每次步进一个域块大小（DB_Size）。
4. 在每个域块内，遍历16个4KB页（因为64KB / 4KB = 16）。
   • 为Domain 0创建页表项：将当前IPA（0x80000000）映射到当前物理地址（0x80000000）。
   • 为Domain 1创建页表项：将当前IPA（0xA0000000）映射到当前物理地址 +DB_Size（0x80010000）。
   • IPA和PA指针各自增加4KB（页大小），处理下一个页。
5. 处理完一个域块内的所有页后，将物理地址指针额外增加一个DB_Size，从而跳转到下一个属于该域的物理域块的起始位置。

通过这种方式，我们为每个OS域构建了一个“交错”的物理内存视图。操作系统在域内看到的是连续的IPA空间，可以正常管理内存；而底层硬件访问的则是分散的、但缓存映射被严格隔离的物理内存块。

3.3 方案优势与MILS模型符合性

这种方案的优势在于其纯软件/固件实现性和对硬件的非侵入性。它不需要修改CPU缓存硬件，仅通过配置现有的第二阶段MMU即可实现，非常适合基于商用现货（COTS）硬件的系统开发，这些硬件的缓存架构通常是固定且不可重构的。

更重要的是，该方案很好地契合了高保障系统常用的MILS安全模型的NEAT属性：

• 不可绕过性：映射由硬件MMU强制执行。一旦启用，CPU发出的所有内存访问地址都必须经过此转换，软件无法绕过。
• 始终调用：对每一次内存访问都进行地址转换，无一例外。
• 防篡改：第二级MMU的页表由最高特权级（如Hypervisor）在启动时配置并锁定，运行在低特权级的OS域无法修改。
• 可评估性：映射方案是确定性的、静态的。其安全属性（即“一个域的内存访问只能影响其独占的缓存路集合”）可以通过形式化方法或详尽的测试进行验证和证明，满足了高安全领域对“可证明分离性”的要求。

4. 实验验证与性能评估

理论设计是否有效，必须通过实验数据来说话。我们的实验基于一块广泛使用的嵌入式开发板——Pandaboard ES，其搭载了TI OMAP 4460 SoC，内含双核ARM Cortex-A9处理器，共享1MB的L2缓存。我们在此平台上构建了一个双OS域的AMP系统：一个域运行Linux作为“攻击者”，另一个域运行一个轻量级RTOS（或另一个Linux）作为“受害者”。

4.1 实验设计与测量方法

为了精确量化攻击影响和防御效果，我们编写了内核模块来执行精确的微基准测试。

攻击负载生成：在攻击者域，我们实现了一个DoS-loop函数。该函数预先计算出一系列物理地址，这些地址通过缓存映射公式后，会命中特定的目标缓存路集合。然后，该函数在一个紧密循环中反复读取这些地址的数据，确保目标路集合被持续占满。

性能测量：在受害者域，我们实现了一个measure-loop函数。它同样访问一系列内存地址（模拟正常 workload），并使用处理器的精密计时器（如ARM的PMCCNTR周期计数器）记录每次内存加载指令（LDR）从开始到完成所消耗的CPU周期数。这个周期数直接反映了内存访问延迟，是衡量缓存性能的核心指标。

实验场景：

1. 基准场景：两个域各自独立运行，无干扰。记录受害者域的平均内存访问延迟。
2. 攻击场景（恒等映射）：启用攻击者域的DoS-loop，攻击受害者域正在使用的缓存路集合。记录受害者域延迟的飙升情况。
3. 防御场景（域块映射）：启用域块映射后，重复攻击场景。此时，攻击者域和受害者域的IPA被映射到物理内存中不同的、缓存路集合不相交的域块上。

4.2 结果分析：攻击效果与防御效能

实验数据清晰地揭示了攻击的严重性和域块映射的有效性。

攻击的巨大影响：在恒等映射下，当攻击者与受害者完全竞争同一个缓存路集合（例如，都访问填满一个路集合所需的16个缓存行）时，观测到的攻击效果触目惊心。受害者域的平均内存访问延迟从正常的约3,600个CPU周期暴增至超过130,000个周期，性能降幅高达约3,686%。这意味着一次本该在0.01微秒内完成的内存访问，被延迟到了近0.4微秒（假设CPU主频1GHz）。对于实时任务而言，这种延迟是毁灭性的。

域块映射的显著效果：启��域块映射后，重复相同的攻击。由于攻击者的内存访问被限制在它自己的那组缓存路集合中，无法触及受害者域的路集合，攻击效果被大幅抑制。受害者域的访问延迟仅上升到约8,900个周期，性能降幅约为247%。虽然仍有影响（可能源于内存总线等共享资源的竞争），但与超过3600%的降幅相比，隔离效果是极其显著的。这证明了域块映射成功地将缓存干扰限制在了可接受的低水平。

防御方案的开销评估：任何安全机制都会引入开销，关键在于是否可接受。我们主要评估了两点：

1. 单次访问延迟：对比恒等映射和域块映射下，无干扰时单次内存访问的延迟。实验结果显示两者几乎无差别（~3600 vs ~3599周期）。这是因为现代MMU具有TLB，地址转换在命中TLB时开销极低。只要工作集不大，频繁的页表遍历不会发生。
2. 大块数据拷贝带宽：这是更实际的场景。我们测试了拷贝不同大小（从64KB到4MB）内存块的开销。如下图所示，域块映射与恒等映射的带宽性能曲线几乎重合。这表明，即使物理内存访问模式因映射而变得“跳跃”，但由于缓存和预取机制的存在，对顺序访问大块数据的吞吐量影响微乎其微。

实操心得：在实测中，我们遇到了一个意料之外但情理之中的性能拐点。当测试的访问数据集大小超过TLB的覆盖范围时，域块映射下的延迟会有轻微上升（约2.5%）。这是因为IPA到PA的映射变得稀疏，导致TLB未命中率增加，引发了更多的页表遍历。这提示我们，在系统设计时，需要根据TLB大小和典型工作集来评估域块大小的合理性，或者在关键实时任务的代码中，使用大页（如2MB）来锁定TLB项，以避免这部分开销。

5. 工程化挑战与系统集成考量

将域块映射方案从实验原型落地到实际的嵌入式产品中，会面临一系列工程挑战。这些挑战并非方案本身的缺陷，而是在集成时必须周密考虑的系统级问题。

5.1 启动加载与镜像放置

在AMP系统中，各OS域的镜像（内核、设备树、根文件系统）通常由引导加载程序（如U-Boot）在启动早期加载到物理内存的特定位置。在恒等映射下，这很简单：将A.bin放到PA 0x80000000，B.bin放到PA 0xA0000000。

但在域块映射下，物理内存的布局是交错的。一个OS域的连续IPA空间，对应着物理内存上多个离散的域块。引导加载程序必须知晓域块映射的布局，并将每个OS域的镜像“打散”放置到属于该域的各个物理域块中。这要求引导加载程序与Hypervisor（负责配置MMU）之间有一个约定的“内存布局描述文件”，或者Hypervisor在配置好MMU后，动态地重新安置已加载的镜像数据，这增加了启动流程的复杂性。

5.2 直接内存访问设备的集成

这是域块映射方案面临的最大挑战。SoC中除了CPU，还有许多具备DMA能力的主设备，如GPU、视频编解码器、网络控制器等。这些设备通常通过物理地址直接访问内存，不经过CPU的MMU进行地址转换。

问题在于：当GPU需要渲染一幅图像时，它从CPU（运行在某个OS域内）获得的是一个IPA（在域块映射视角下是连续的缓冲区）。但GPU的DMA引擎会直接使用这个IPA作为PA去访问内存，而这将导致访问错误（因为该IPA对应的真实PA是分散的）。

解决方案有两种：

1. 限制与对齐：限制DMA传输的最大尺寸，并强制要求所有DMA缓冲区按域块大小对齐分配。这样，一个DMA缓冲区就不会跨域块边界，GPU使用IPA作为PA去访问单个域块内的内容是可行的。但这严重限制了驱动程序的灵活性，且对现有OS驱动修改较大。
2. 为DMA设备引入IOMMU/SMMU：这是更彻底和优雅的方案。系统级内存管理单元（如ARM的SMMU）可以为DMA设备提供类似CPU MMU的地址转换功能。Hypervisor为每个OS域在IOMMU中配置独立的转换表，将设备发起的IPA（或设备虚拟地址）转换到正确的、交错的物理地址上。这需要硬件支持，也是未来高安全SoC的发展方向。

5.3 系统可扩展性与配置管理

域块大小由缓存路集合总数和域数量决定。对于一个2048路集合、64字节缓存行的系统，双域时域块为64KB。如果扩展到4个域，每个域块将变为32KB。域块变小会带来两个影响：一是内存碎片化可能更严重；二是TLB压力会增大，因为映射关系更复杂。

因此，在系统设计初期就需要确定：

• 最大支持的域数量：由公式Domains = WS_Count / (Page_Size / CL_Size)给出理论上限。例如，4KB页、64字节缓存行，支持域数不超过WS_Count / 64。
• 静态配置：域块映射是静态的，在启动时确定。这符合AMP和MCS的“静态分区”哲学，有利于安全认证，但牺牲了动态创建/销毁域的灵活性。
• 工具链支持：需要开发或扩展系统配置工具，能够根据硬件缓存参数和系统分区需求，自动生成第二阶段MMU页表、引导加载程序脚本以及IOMMU配置数据。

6. 总结与展望

在混合关键系统走向更深度的硬件整合道路上，共享缓存的安全隔离是一个无法回避的“硬骨头”。本文探讨的基于域块的内存映射方案，提供了一种务实且有效的解决思路。它巧妙地在硬件固定的缓存关联性之上，通过软件可控的地址翻译层，构建了一道逻辑隔离墙，从根本上遏制了通过共享缓存发起的DoS攻击。

从我多年的嵌入式安全开发经验来看，这类问题的解决往往需要这种“跨层”思维。我们不能只盯着操作系统或应用层，必须下沉到硬件架构的层面去理解威胁模型。域块映射方案的成功，正是因为它精准地抓住了“物理地址决定缓存位置”这一硬件本质，并在内存管理单元这一关键枢纽上实施了干预。

当然，没有银弹。该方案引入了启动复杂性和对DMA设备管理的挑战，这要求系统架构师在早期就统筹考虑。随着ARM SMMU等技术的普及，为DMA设备提供地址隔离将成为标准配置，这将极大简化域块映射的集成。

未来的工作可以沿着几个方向深入：一是研究在更多核心（如四核、八核）共享LLC的场景下，域块映射的扩展性和性能影响；二是探索与缓存分区技术（如ARMv8.4的MPAM）的结合，实现更动态、更精细的缓存资源管控；三是将此类硬件资源隔离机制与形式化验证工具结合，为最高安全等级（如ASIL-D）的系统提供可证明的安全保障。

在追求功能融合与成本优化的同时，筑牢底层硬件资源隔离的基石，是构建真正可信的混合关键系统的必由之路。域块映射方案正是迈向这个目标坚实的一步。