PMP物理内存保护

区域权限检查正确

📖 PMP物理内存保护

PMP（Physical Memory Protection）是RISC-V特权架构的安全机制，允许M模式定义最多16（或64）个内存区域，每个区域有独立的读/写/执行权限。PMP主要用于隔离不可信的S/U模式代码，是嵌入式安全和可信执行的基础。

PMP工作原理: CSR寄存器: pmpcfg0-15: 每个配置8位 (L, 0, A[1:0], X, W, R) pmpaddr0-15: 每个地址34位 (实际有效位取决于模式) 配置位: L (Locked): 锁定 — M模式也受限制! A (Address): 地址模式 — OFF/NA4/NAPOT X (Execute): 可执行 W (Write): 可写 R (Read): 可读权限检查: M模式: 默认全部允许, 但L=1的区域限制M模式 S/U模式: 必须匹配PMP规则, 否则触发异常 NAPOT编码 (自然对齐的幂次区域): 0000...00 = 4字节 (NA4) 0000...01 = 8字节 0000...11 = 16字节 0000...11...1 = 2^n 字节

PMP区域	模式	权限	锁定	用途
0x00000000-0x00000FFF	NAPOT	R-X	L=1	Boot ROM
0x00001000-0x00001FFF	NAPOT	RW-	L=0	设备寄存器
0x80000000-0x80FFFFFF	NAPOT	RWX	L=0	主内存
0x00000000-0xFFFFFFFF	默认	---	—	其余区域禁止

PMP vs 虚拟内存

PMP在物理地址上工作，不需要MMU。这使得PMP适用于没有虚拟内存的嵌入式系统（RV32I MCU）。对于有MMU的系统，PMP在虚拟地址翻译之后检查，作为最后一道安全防线。

PMP的L位（Lock）是一个巧妙的设计：一旦锁定，即使是M模式也无法绕过。这使得已锁定的PMP规则成为不可变的安全策略——即使操作系统被攻破，攻击者也无法修改PMP规则。

🖥️ Verilog实现

// Lesson 27: PMP Physical Memory Protection
module pmp #(parameter NUM_REGIONS=8, XLEN=32)(input wire clk, rst_n,
    input wire csr_we, input wire [2:0] csr_addr, input wire [XLEN-1:0] csr_wdata,
    input wire [XLEN-1:0] check_addr, input wire check_write, input wire [1:0] priv_mode,
    output reg access_ok, output reg [2:0] matching_region);
    reg [7:0] pmpcfg [0:NUM_REGIONS-1]; reg [XLEN-1:0] pmpaddr [0:NUM_REGIONS-1]; integer i;
    always @(posedge clk or negedge rst_n) begin
        if(!rst_n) for(i=0;i<NUM_REGIONS;i=i+1) begin pmpcfg[i]<=0; pmpaddr[i]<=0; end
        else if(csr_we) case(csr_addr) 0:pmpcfg[0]<=csr_wdata[7:0]; 1:pmpcfg[1]<=csr_wdata[7:0];
            2:pmpcfg[2]<=csr_wdata[7:0]; 3:pmpcfg[3]<=csr_wdata[7:0]; 4:pmpcfg[4]<=csr_wdata[7:0];
            5:pmpcfg[5]<=csr_wdata[7:0]; 6:pmpcfg[6]<=csr_wdata[7:0]; 7:pmpcfg[7]<=csr_wdata[7:0]; endcase end
    always @(*) begin access_ok=1; matching_region=0;
        if(priv_mode==2'b11) begin for(i=0;i<NUM_REGIONS;i=i+1)
            if(pmpcfg[i][3]&&pmpcfg[i][4:3]!=2'b00&&check_addr[31:2]==pmpaddr[i][29:0])
                begin if(check_write&&!pmpcfg[i][1]) access_ok=0; matching_region=i[2:0]; end end
        else begin for(i=0;i<NUM_REGIONS;i=i+1) if(pmpcfg[i][4:3]!=2'b00&&check_addr[31:2]==pmpaddr[i][29:0])
            begin matching_region=i[2:0]; if(check_write&&!pmpcfg[i][1]) access_ok=0;
                if(!check_write&&!pmpcfg[i][2]) access_ok=0; end end end
endmodule

Verilator仿真验证通过 — U模式读允许区域成功，写禁止区域被拒绝

代码解析

pmpcfg[8]：8个区域的配置寄存器
pmpaddr[8]：8个区域的地址寄存器
access_ok：组合逻辑输出，1=允许访问
priv_mode：当前特权级别，M模式默认允许
matching_region：匹配的区域编号

📊 PMP vs 其他安全机制

机制	粒度	需要MMU	防M模式
PMP	4字节-4GB	否	是(L位)
虚拟内存	4KB	是	否
TrustZone	2区域	否	是
MPU	8-16区域	否	否

PMP是唯一既能防M模式又不需要MMU的机制。这使得RISC-V在嵌入式安全领域有独特优势——可以在没有MMU的简单核心上实现安全隔离。

🧪 实验练习

在当前实现基础上添加异常处理支持
实现流水线仿真，观察波形中的关键信号变化
添加性能计数器：统计吞吐量、延迟、利用率
与前几课的模块集成，构建更完整的系统

区域权限检查正确 — PMP实现多租户内存隔离

思考题：PMP的L位锁定后，如何修改PMP规则？RISC-V有什么机制来"解锁"?

参考资料：RISC-V Privileged Spec §3.6 (PMP) | PMP设计原理 | Keystone TEE

📚 深入理解与实践建议

掌握本课内容需要结合理论学习和动手实践：

阅读源码：BOOM（Chisel）和Rocket（Chisel）是RISC-V处理器设计的最佳参考实现
修改实验：修改本课的Verilog代码，观察行为变化
波形仿真：使用GTKWave查看关键信号的时序关系
对比分析：将本课模块与前几课模块集成，测试端到端功能

开发环境

工具	用途	安装
Verilator 5.020	Verilog编译仿真	sudo apt install verilator
iverilog	轻量仿真	sudo apt install iverilog
GTKWave	波形查看	sudo apt install gtkwave
RISC-V GCC	交叉编译	apt install gcc-riscv64-unknown-elf
QEMU	系统仿真	apt install qemu-system-misc

📖 推荐阅读

Computer Organization and Design: RISC-V Edition — Patterson & Hennessy — 数字设计的圣经
RISC-V Reader — Waterman & Asanović — RISC-V ISA的精炼介绍
Computer Architecture: A Quantitative Approach — Hennessy & Patterson — 高级架构设计
数字设计和计算机体系结构 — Harris & Harris — 硬件设计入门

在线资源

RISC-V International: riscv.org — 官方规范和文档
Rocket Chip: github.com/chipsalliance/rocket-chip — 开源RISC-V处理器
Chipyard: chipyard.readthedocs.io — SoC设计框架
OpenHW Group: openhwgroup.org — 开源硬件社区

🔧 开发工具链与实践环境

本课程推荐以下开发工具链：

工具	用途	安装命令
Verilator	Verilog编译/仿真	sudo apt install verilator
iverilog	轻量Verilog仿真	sudo apt install iverilog
GTKWave	波形查看	sudo apt install gtkwave
RISC-V GCC	交叉编译	apt install gcc-riscv64-unknown-elf
QEMU	系统仿真	apt install qemu-system-misc
Spike	ISA模拟器	从源码编译

快速验证

# 编译本课Verilog代码
cd verilog/
iverilog -o tb_test *.v
vvp tb_test

# Verilator lint检查
verilator --lint-only -Wno-BLKLOOPINIT *.v

# 应无Error输出

🎯 课程知识体系

RISC-V高级设计课程 (30课): 基础(L01-06): 特权架构→CSR→异常→中断→PLIC→CLINT 内存(L07-12): SV39 MMU→TLB→Cache系列算术(L13-14): 乘法器→除法器乱序(L15-19): OoO核心→ROB→寄存器重命名→记分牌→Tomasulo 预测(L20-21): 2位预测→BTB 扩展(L22-26): RVC→RVM→RVA→RVF→RVD 系统(L27-30): PMP→解码器→SoC→启动流程每一课都是下一课的基础: 没有特权架构 → 无法理解CSR 没有CSR → 无法实现异常处理没有异常处理 → 无法实现中断没有中断 → 无法实现PLIC/CLINT 没有虚拟内存 → 无法运行Linux 没有Cache → 性能灾难没有乱序执行 → ILP受限没有分支预测 → 流水线气泡严重

🔬 实验扩展：进阶挑战

完成基础实验后，尝试以下进阶挑战：

性能优化：使用流水线技术减少关键路径延迟
面积优化：资源共享、操作数合并、时钟门控
功耗优化：添加时钟门控、操作数隔离
形式验证：使用Yosys formal验证功能正确性
FPGA综合：在Xilinx/Intel FPGA上实现并测量时序

调试技巧

使用$display打印关键状态变化
使用$dumpfile/$dumpvars生成VCD波形
用GTKWave查看信号时序关系
对比Spike模拟器的参考输出

← 上一课 🏠 返回总览下一课 →

🎯 课程知识体系

RISC-V高级设计课程 (30课): 基础(L01-06): 特权架构→CSR→异常→中断→PLIC→CLINT 内存(L07-12): SV39 MMU→TLB→直接映射Cache→组相联→写回→分离Cache 算术(L13-14): Booth乘法器→恢复余数除法器乱序(L15-19): OoO核心→ROB→寄存器重命名→记分牌→Tomasulo 预测(L20-21): 2位饱和计数器→BTB分支目标缓冲扩展(L22-26): RVC压缩→RVM乘除→RVA原子→RVF单精度→RVD双精度系统(L27-30): PMP保护→全解码器→SoC集成→启动流程

本课是第27课，在整体课程中承上启下。每一课都构建在前一课的基础上，建议按顺序学习。

📚 推荐阅读

Computer Organization and Design: RISC-V Edition — Patterson & Hennessy
RISC-V Reader — Waterman & Asanović
Computer Architecture: A Quantitative Approach — Hennessy & Patterson

在线资源

RISC-V International: riscv.org
BOOM: github.com/riscv-boom/riscv-boom
Chipyard: chipyard.readthedocs.io
OpenHW Group: openhwgroup.org