第 1 章 Trusted Firmware-A移植
1 ?+ \- H0 \4 `
0 F; w; M7 t* M! z, d! a7 q7 o8 E1.1 Trusted Firmware-A简介
4 I( {* h* r% y5 P" W* {
嵌入式高速发展的今天，大量的嵌入式设备使用了Arm为核心的芯片。我们会接触到越来越多的嵌入式设备，一个问题油然而生：数量如此巨大的嵌入式设备的安全性如何？目前针对嵌入式安全的技术和标准可谓千姿百态，除了必要的硬件安全技术，与之配套的安全软件也是必不可少的一部分。今天我们要介绍的是基于Arm 的可信固件Trusted Firmware-A，简称TF-A。它是一个开源软件，运行在一个硬件隔离的安全环境中并提供安全服务。

1.2 实验目的
完成TF-A的基本功能实现TF-A引导u-boot启动。
$ |+ x8 ~* ~2 I; X/ u
: C, H* o( S% K7 D! B" q& e1.3 实验平台
华清远见开发环境，FS-MP1A平台
: O: H. ^! V* _9 x+ }9 ]
$ w1 U9 k4 z+ x# P1.4 实验步骤
2 h7 B, q( `$ y' ^本实验基于tf-a-stm32mp-2.2版本，然后添加意法半导体提供的补丁文件。在意法半导体官方的tf-a中移植我们自己的tf-a。
: D) f. e% H3 D4 w$ ?
1.4.1 导入源码
如果之前已经建立了源码目录，并且导入了源码包，即可跳过本小节。

. _6 i% w3 e3 ^  g$ J建立源码目录
6 m) M* v, N3 O9 d7 k& h
" u$ N1 E- s. O  ]  C1 D/ H

1. linux@ubuntu:$ cd ~
   : Y0 P2 ?  J# @; }; Y1 x& }
2. linux@ubuntu:$ mkdir FS-MP1A

复制代码

将下的en.SOURCES-stm32mp1-openstlinux-5-4-dunfell-mp1-20-06-24.tar.xz压缩包，导入到ubuntu下的${HOME}/FS-MP1A目录下。
, I! K" y5 E( t4 D+ t* j/ `
1 L% Y9 A0 Z1 z1 i9 @& s
+ I. m# N. B2 K/ l% l$ ~4 v' m/ M& F6 P解压缩源码包
5 P2 W; i1 x5 {7 m% q' p6 }

1. linux@ubuntu:$ tar xvf en.SOURCES-stm32mp1-openstlinux-5-4-dunfell-mp1-20-06-24.tar.xz

复制代码

解压完成后得到“stm32mp1-openstlinux-5.4-dunfell-mp1-20-06-24”目录

; H1 M" w: Q" {& o! s/ U' T

进入tf-a目录下
+ d) o3 E+ R& f. ]. i4 V

1. linux@ubuntu:$ cd ~/FS-MP1A/stm32mp1-openstlinux-5.4-dunfell-mp1-20-06-24/sources/arm-ostl-linux-gnueabi/tf-a-stm32mp-2.2.r1-r0
   " \- I8 X1 f% R2 Y; z

复制代码

该目录下以patch结尾的文件为ST官方提供的补丁文件；tf-a-stm32mp-2.2.r1-r0.tar.gz为标准tf-a源码包。
$ n9 y% }& Z) w2 m" u# }7 u解压标准tf-a源码包

! v$ ^0 e: i1 p/ R/ e0 R! n

1. linux@ubuntu:$ tar -xvf tf-a-stm32mp-2.2.r1-r0.tar.gz

复制代码

: |! Z$ B  R. m9 l: w解压完成后得到tf-a-stm32mp-2.2.r1目录

% ?) Y: A! j- z0 X# Z4 _& D, \
( H5 s, n$ `! G3 e9 o) z2 A$ ~
& \$ `; W. V' R% R! {5 [! M进入tf-a源码目录下：
6 p) C* N! l! I* y# r' }
2 |, D& k5 p& O( k

1. linux@ubuntu:$ cd tf-a-stm32mp-2.2.r1

复制代码

2 x4 v# W" I7 d. R8 U2 W, H
  d9 y( P9 I" D4 f% o% ^$ p将ST官方补丁文件打到tf-a源码中：
! S2 U! k5 x) @/ f0 S
6 C& e: N0 R7 D2 y& A& [3 z

1. linux@ubuntu:$ for p in `ls -1 ../*.patch`; do patch -p1 < $p; done

复制代码

3 m. A) A* e& Z; m
& {. X5 q# A$ {7 B7 \* c+ r1.4.2 TF卡分区
; [, O# U' r) e2 H要对TF卡进行烧录，需要先将TF接入到ubuntu系统中。
+ X( I' h$ T4 U$ g! F1 @查看TF卡分区

$ Y  P6 P% q  q

1. linux@ubuntu:$ ls /dev/sd*

复制代码

& r7 [; C" i8 T
由上图所示只有“/dev/sdb1”一个分区则需要重新进行分区。
首先删除原有分区
; i8 P. @% ^6 I( X7 K. d( V% O
+ S0 q) t: ?  _9 D

1. linux@ubuntu:$ sudo parted -s /dev/sdb mklabel msdos

复制代码

  r0 Y  Q" b, J如果显示如下内容，则表示设备已经被挂载，需要卸载掉设备再删除分区。



$ A  S& F% K8 Z卸载设备

1. linux@ubuntu:$ umount /dev/sdb1

复制代码

卸载完成后重新执行删除分区命令

1. linux@ubuntu:$ sudo parted -s /dev/sdb mklabel msdos

复制代码

" X9 D/ w+ G% c8 U对tf进行重新分区
8 Y# g* Q" N" z) @5 c! n' ^9 y

1. linux@ubuntu:$ sudo sgdisk --resize-table=128 -a 1 -n 1:34:545 -c 1:fsbl1 -n 2:546:1057 -c 2:fsbl2         -n 3:1058:5153 -c 3:ssbl -n 4:5154:136225 -c 4:bootfs -n 5:136226 -c 5:rootfs -A 4:set:2 -p /dev/sdb -g

复制代码

- H9 }) v2 R. C7 B: f* g0 W3 L

; ]& _# E# B( m; y" g& f) o5 f! D注意：最后-p /dev/sdb参数中的/dev/sdb需要按照实际ubuntu中的tf节点为准，否则可能发生不可预料的后果。

1.4.3 建立自己的平台
0 [! c3 \( U8 V1 d7 u* [! @
' v3 t" D% y) y! k1） 配置工具链
4 D, k6 w7 G* y8 Y3 f4 J导入交叉编译工具链（如果还未安装SDK可参考《SDK工具链安装》章节进行安装）
' `# Q$ |  i( z9 `
" ~+ M) u0 q8 @/ J

1. linux@ubuntu:$ source /opt/st/stm32mp1/3.1-openstlinux-5.4-dunfell-mp1-20-06-24/environment-setup-cortexa7t2hf-neon-vfpv4-ostl-linux-gnueabi

复制代码

验证开发工具是否安装正确，显示版本信息如下图所示。
6 e" \3 A3 \( S( m" m7 t5 E
$ h: d9 f- P$ Y- W% H! i

1. linux@ubuntu:$ $CC --version

复制代码

2） 增加板级相关文件
进入到tf-a源码目录

1. linux@ubuntu:$ cd ~/FS-MP1A/stm32mp1-openstlinux-5.4-dunfell-mp1-20-06-24/sources/arm-ostl-linux-gnueabi/tf-a-stm32mp-2.2.r1-r0/tf-a-stm32mp-2.2.r1

复制代码

添加设备树文件

5 s' x) p( t: y

1. linux@ubuntu:$ cp fdts/stm32mp15xx-dkx.dtsi  fdts/stm32mp15xx-fsmp1x.dtsi
   
2. linux@ubuntu:$ cp  fdts/stm32mp157a-dk1.dts  fdts/stm32mp157a-fsmp1a.dts

复制代码

! E: S. H. |! R6 c" p; ^9 v" @修改上层目录下的Makefile.sdk编译脚本在TFA_DEVICETREE配置项中添加stm32mp157a-fsmp1a
. b* D, y) ]8 w% A/ E
; s+ ~: ~1 |" n! q' @9 X

1. TFA_DEVICETREE ?= stm32mp157a-fsmp1a  stm32mp157a-dk1 stm32mp157d-dk1 stm32mp157c-dk2 stm32mp157f-dk2   stm32mp157c-ed1 stm32mp157f-ed1   stm32mp157a-ev1 stm32mp157c-ev1 stm32mp157d-ev1 stm32mp157f-ev1

复制代码

修改fdts/stm32mp157a-fsmp1a.dts将

1. #include "stm32mp15xx-dkx.dtsi"

复制代码

) Z$ |# V$ ~* O  a修改为
( s" Y; B* _0 _. E2 G2 @( w' j
. W0 B  A- a# C7 |# Q& q- |# O/ b5 X

1. #include "stm32mp15xx-fsmp1x.dtsi"

复制代码

3） 编译源码
执行如下指令编译trusted：
8 n0 p# O8 a- m2 r. R# p$ i
7 B0 B. Q0 ?2 J- k2 `3 k  ]

1. linux@ubuntu:$ make -f $PWD/../Makefile.sdk TFA_DEVICETREE=stm32mp157a-fsmp1a TF_A_CONFIG=trusted ELF_DEBUG_ENABLE='1' all

复制代码

  U" Z. D% e; P6 V7 k编译成功后，最后显示内容(部分截图)如下：
& ]1 k, i$ a$ x3 e2 x$ G5 M! E& ~' h
7 O# C- l  O  ]4 I6 ^

编译完成后会在上级build/trusted目录得到如下文件：

1. linux@ubuntu:nbsp; ls  ../ build/trusted

复制代码

# {, U% B9 f4 |: o5 {
3 ?' V% e$ l4 |1 A7 o' O. }

1. linux@ubuntu:nbsp; cd  ../ build/trusted

复制代码

- F* R! Q) i( G) ]$ i4） 固件烧写
; C8 W4 ~  w3 _由于在移植过程中会多次烧写固件并且会导致正常tf-a无法启动，因此推荐使用TF卡启动的方式来验证。
$ b& ?5 D; _/ k! @" Xtf-a需要使用trusted 格式的u-boot镜像启动，具体的编译方法可参考《U-boot移植》章节中的“生成Trusted镜像”小节。
  i9 m% v( y/ s( ]将TF接入ubuntu系统后，查看TF卡分区
' E1 x) \9 W8 E: w$ Z
8 Q) u0 q/ I2 E7 ^4 s4 g4 X3 c, X! A

1. linux@ubuntu:$ ls /dev/sd*

复制代码

/dev/sdb为TF卡设备。如果该设备下只有/dev/sdb1一个分区则重新分区。
; X; L7 e0 U/ _* V- l" ^执行如下指令烧写u-boot：
# [# |9 b) M: U: i

1. linux@ubuntu:$ sudo dd if=tf-a-stm32mp157a-fsmp1a-trusted.stm32 of=/dev/sdb1 conv=fdatasync
   
2. linux@ubuntu:$ sudo dd if=tf-a-stm32mp157a-fsmp1a-trusted.stm32 of=/dev/sdb2 conv=fdatasync
   ! Q; T* Y" a( e
3. linux@ubuntu:$ sudo dd if=u-boot-stm32mp157a-fsmp1a-trusted.stm32 of=/dev/sdb3 conv=fdatasync

复制代码

5 m) k3 \& O+ H, ^其中前两条命令“tf-a-stm32mp157a-fsmp1a-trusted.stm32”为本章节编译得到的，第三条命令中的“u-boot-stm32mp157a-fsmp1a-trusted.stm32”则为《U-boot移植》章节中的“生成Trusted镜像”小节得到。
5） 启动开发板
将拨码开关设置为SD卡启动方式：
3 W0 ^" B4 E9 y6 C9 f, N


将制作好的TF卡插入开发板，上电后会出现如下错误提示：
4 \, I! h) a: j! \9 Y

! ~) H; C% N6 W4 w# u
这个错误产生的原因是电源初始化错误，需重新调整电源相关配置。

6 G  i' P3 g: K+ c, h/ _1.4.4 调整设备树电源配置
由于官方参考板DK1采用电源管理芯片做电源管理，而FS-MP1A采用分离电路作为电源管理，本例需要将文件中原有电源管理芯片相关内容去掉，增加上固定电源相关内容

1） 去掉原有电源管理内容
& X& @9 _7 `$ g: Y" M. l( l2 yDK1参考板电源管理芯片挂在I2C4上，而FS-MP1A并未使用I2C4总线，所以直接将I2C4相关内容完全删除即可。
( J4 C" c6 J8 s5 H: a$ B修改fdts/stm32mp15xx-fsmp1x.dtsi文件
将文件中i2c4节点相关内容整体删除，删除内容如下：
: i8 T, N; J' v+ V
- @# s! M+ w( [, L; O: f7 z: x

1. &i2c4 {
   & n0 [( F, g+ s/ z  {) W- e& R
2.         pinctrl-names = "default", "sleep";
   
3.         pinctrl-0 = <&i2c4_pins_a>;
   6 q& M: M, @4 e7 L4 I* E! R
4.         pinctrl-1 = <&i2c4_pins_sleep_a>;
   * j* R" w1 ]0 K3 A- i9 x7 z
5.         i2c-scl-rising-time-ns = <185>;
   " M% j# \0 K* v6 V! U) }
6.         i2c-scl-falling-time-ns = <20>;
   
7.         clock-frequency = <400000>;
   2 t9 ~' _2 ?9 c( Z1 f6 |
8.         status = " okay";
   
9. secure-status = "okay";
   ! Z' w/ A# U: G6 g' W# j  X! A) J
10.         /*内容太长此处省略*/
    9 k1 p$ I! M4 Z
11.                 watchdog {
    
12.                         compatible = "st,stpmic1-wdt";
    
13.                         status = "disabled";
    , M1 S: U6 R& B+ D
14.                 };
    
15.         };
    
16. };

复制代码

修改fdts/stm32mp15xx-fsmp1x.dtsi文件，删除如下内容：

1. &cpu0{
   
2.         cpu-supply = <&vddcore>;
   1 W) P6 y7 q5 m/ |
3. };
   
4. 
   
5. &cpu1{
   5 i! P* ]( _* c/ g# |1 o2 u
6.         cpu-supply = <&vddcore>;
   
7. };

复制代码

9 y8 k7 P! K- |* \+ {0 C3 q, w  @, |2） 添加固定电源配置

修改fdts/：文件
# A. j# X1 c" F固定电源配置通常添加在根节点下，在根节点末尾位置添加如下内容(红色字体为需要添加的内容)：

/ V$ s7 P! Y7 T: V

1. vin: vin {
   8 D& a$ Q: d3 ^3 N; L
2.         compatible = "regulator-fixed";
   : l8 N* N5 ?9 Q
3.         regulator-name = "vin";
   
4.         regulator-min-microvolt = <5000000>;
   
5.         regulator-max-microvolt = <5000000>;
   # `/ }! ?' p. g
6.         regulator-always-on;
   ! R" s) @: o& p5 T) _% |, p
7. };
   8 a' V5 i) D7 t* A- R# w( h  Q
8. v3v3: regulator-3p3v {
   
9.         compatible = "regulator-fixed";
   8 O  X) x7 c0 S6 A
10.         regulator-name = "v3v3";
    6 o" w" M1 H/ i) N6 Y
11.         regulator-min-microvolt = <3300000>;
    - j7 s# X# R! Z5 d. a' ]
12.         regulator-max-microvolt = <3300000>;
    
13.         regulator-always-on;
    0 ^. [% r# g7 Z( @+ ^
14.         regulator-boot-on;
    
15. };
    
16. v1v8_audio: regulator-v1v8-audio {
    ) v- ~) L% Q; A  r8 u
17.         compatible = "regulator-fixed";
    + W4 w" i9 }4 P8 J' k8 q
18.         regulator-name = "v1v8_audio";
    
19.         regulator-min-microvolt = <1800000>;
    
20.         regulator-max-microvolt = <1800000>;
    * Z6 B3 g7 {$ Y( U0 p) r
21.         regulator-always-on;
    
22.         regulator-boot-on;
    
23. };
    
24. v3v3_hdmi: regulator-v3v3-hdmi {
    ( e8 B3 f: C6 R7 H
25.            compatible = "regulator-fixed";
    
26.            regulator-name = "v3v3_hdmi";
    
27.            regulator-min-microvolt = <3300000>;
    
28.            regulator-max-microvolt = <3300000>;
    
29.            regulator-always-on;
    
30.         regulator-boot-on;
    ' h/ y1 V5 O6 O. L7 {; E
31. };
    ' |# g6 S$ E! O% O
32. v1v2_hdmi: regulator-v1v2-hdmi {
    
33.         compatible = "regulator-fixed";
    
34.         regulator-name = "v1v2_hdmi";
    ; l# i& |8 d) a
35.         regulator-min-microvolt = <1200000>;
    
36.         regulator-max-microvolt = <1200000>;
    ' N+ Z, `# m6 O: m! u) R
37.         regulator-always-on;
    
38.         regulator-boot-on;
    
39. };
    3 b6 _: D9 P( n: }
40. vdd: regulator-vdd {
    
41.         compatible = "regulator-fixed";
    * {9 D# G6 \* D$ P9 v
42.         regulator-name = "vdd";
    
43.         regulator-min-microvolt = <3300000>;
    
44.         regulator-max-microvolt = <3300000>;
    8 K/ U! h+ _9 e" D3 `& z
45.         regulator-always-on;
    
46.         regulator-boot-on;
    
47. };
    2 A$ e6 @9 r0 T" L, J
48. vdd_usb: regulator-vdd-usb {
    % O, j# c5 S) A: f4 |
49.         compatible = "regulator-fixed";
    
50.         regulator-name = "vdd_usb";
    ) O* D# |' P, D1 X0 R9 L7 A( ]8 F
51.         regulator-min-microvolt = <3300000>;
    . Y0 h! j" r) n- m
52.         regulator-max-microvolt = <3300000>;
    0 u3 F/ z, T/ O1 g
53.         regulator-always-on;
    % [2 k0 W* d9 v  |( g! m
54.         regulator-boot-on;
    
55. };
    
56. };

复制代码

* X' p4 F& H) Z( u) F# o6 K3） 重新编译源码

! Z" q' R7 B0 G1 {3 N% ?8 }3 j. @

1. linux@ubuntu:$ make -f $PWD/../Makefile.sdk TFA_DEVICETREE=stm32mp157a-fsmp1a TF_A_CONFIG=trusted ELF_DEBUG_ENABLE='1' all

复制代码

4） 烧写后启动
9 E4 x& g. L5 X# |$ v9 J重新烧写后启动现象如下：

% m2 M5 m' g) n" [
+ h' f1 o; T4 z- m! X2 V, C7 [+ M& s
可以看到现在已经可以启动到u-boot了。
) t- n8 n4 o. m) a  }
1.4.5 eMMC移植
& D0 I8 C- j; }6 {; [$ p& J7 D! i参考原理图可知eMMC使用的是SDMMC2总线，当前所使用的设备树文件中没有SDMMC2的支持，所以需要增加相关内容才能正常驱动eMMC。



由于在使STM32MP1芯片很多管脚为多功能复用管脚，且很多管脚具备同样的功能，所以移植eMMC时需要确认硬件设计是使用的是那些管脚，根据原理图确认后管脚对应关系为：

. e1 ~# p- q7 Q+ s' N: i
: M/ V+ y& d1 T  u1 V; s9 ]
管脚定义
在u-boot中STM32MP1默认管脚定义在文件arch/arm/dts/stm32mp15-pinctrl.dtsi中，查看文件中是否有需要的管脚定义：
查看后确认有SDMMC2的管脚定义，且与FS-MP1A硬件使用情况一致，定义如下：

1. sdmmc2_b4_pins_a: sdmmc2-b4-0 {
   
2.     pins1 {
   0 a# V/ J( X. M; A6 Z# R8 q
3.         pinmux = <STM32_PINMUX('B', 14, AF9)>, /* SDMMC2_D0 */
   
4.              <STM32_PINMUX('B', 15, AF9)>, /* SDMMC2_D1 */
   1 V5 |1 e3 j, U
5.              <STM32_PINMUX('B', 3, AF9)>, /* SDMMC2_D2 */
   
6.              <STM32_PINMUX('B', 4, AF9)>, /* SDMMC2_D3 */
   
7.              <STM32_PINMUX('G', 6, AF10)>; /* SDMMC2_CMD */
   
8.         slew-rate = <1>;
   
9.         drive-push-pull;
   . D& f' j. p2 I! T6 G
10.         bias-pull-up;
    - Y, u; c7 e& b& T, N& L3 f
11.     };
    5 P2 \6 }7 A  @% |
12.     pins2 {
    
13.         pinmux = <STM32_PINMUX('E', 3, AF9)>; /* SDMMC2_CK */
    
14.         slew-rate = <2>;
    
15.         drive-push-pull;
    
16.         bias-pull-up;
    
17.     };
    ! O( E% ?" c; \& h( C7 A7 u
18. };

复制代码

" i1 y) v8 W4 A1 Q: n增加SDMMC2节点信息
修改 fdts/stm32mp15xx-fsmp1x.dtsi增加SDMMC2的信息
在原有sdmmc1节点下增加sdmmc2的内容，添加内容可参考arch/arm/dts/stm32mp15xx-edx.dtsi中sdmmc2的写法，内容如下：
- \8 S7 p; L$ T( d  l

1. &sdmmc2 {
   . Z6 R2 x/ K2 L
2.     pinctrl-names = "default";
   
3.     pinctrl-0 = <&sdmmc2_b4_pins_a &sdmmc2_d47_pins_a>;
   
4.     non-removable;
   
5.     st,neg-edge;
   : f% c- o$ S/ @- f
6.     bus-width = <8>;
   % B  ^" F2 I9 G0 j2 s
7.     vmmc-supply = <&v3v3>;
   
8.     vqmmc-supply = <&v3v3>;
   
9.     status = "okay";
   3 N) o4 Z6 b/ h1 _
10. };

复制代码

测试
- y' d! z, l% f- ?$ \重新编译烧写后可以通过ums或者scp的方式更新eMMC中的u-boot即可。具体可参考《通过linux更新eMMC中的u-boot》章节。
————————————————
7 C' W( T, Z) f& `$ D版权声明：左月先生