Amlogic Bootloader启动流程解析难点？

Question

在Amlogic芯片（如S905X、A311D）的启动过程中，Bootloader阶段常出现“Secure Monitor未正确加载”问题。由于Amlogic采用多级启动架构（ROM Code → BL2 → BL3 → U-Boot），其中BL3部分涉及ARM Trusted Firmware（ATF）与Secure Monitor（SM）的交互，若烧录镜像时fip.bin构建错误或签名密钥不匹配，将导致系统卡在串口输出“jumping to second bootloader”后无响应。该问题难以调试的原因在于缺乏公开的Secure Boot文档支持，且错误表现隐蔽，常被误判为U-Boot损坏。如何准确定位是SM加载失败还是后续阶段异常，成为开发与逆向过程中的关键难点。

Answer 1

Amlogic芯片启动中Secure Monitor加载失败的深度定位与调试策略

1. 问题背景与现象描述

在基于Amlogic S905X、A311D等SoC的嵌入式系统开发中，多级启动流程（ROM Code → BL2 → BL3 → U-Boot）是保障安全启动的核心机制。当系统烧录镜像后，在串口输出“jumping to second bootloader”后停止响应，常被误判为U-Boot损坏或DDR初始化失败。然而，实际根源可能在于BL3阶段的Secure Monitor（SM）未正确加载，该模块由ARM Trusted Firmware（ATF）提供，负责EL3到EL2的上下文切换和安全状态管理。

由于Amlogic未公开完整的Secure Boot文档，开发者缺乏对fip.bin构建、密钥签名、哈希校验等环节的透明控制，导致问题难以复现与定位。

2. 启动流程分层解析

理解Amlogic的四级启动架构是排查问题的前提：

1. ROM Code：固化于芯片内部，验证BL2镜像的签名与完整性。
2. BL2：执行基本硬件初始化，加载并跳转至BL3（即ATF）。
3. BL3（ATF + Secure Monitor）：设置异常级别（EL3），启用TrustZone，移交控制权给U-Boot。
4. U-Boot：应用层引导程序，加载内核。

若BL3未能正常运行，系统将在跳转后无任何后续输出，表现为“卡死”。

3. 常见故障模式分析

故障类型	可能原因	典型表现
Secure Monitor加载失败	fip.bin结构错误、SM签名不匹配	跳转后无输出，JTAG无法捕获EL3入口
BL2加载失败	镜像未签名或CRC错误	ROM Code阶段报错或无反应
U-Boot损坏	镜像地址偏移错误	有U-Boot SPL输出但无法继续
DDR初始化失败	时序参数配置错误	BL2阶段崩溃
密钥链不一致	使用非授权私钥签名	BL2拒绝加载BL3

4. 调试手段与工具链

为区分SM加载失败与其他阶段异常，需结合多种调试方法：

• 串口日志增强：修改BL2源码，增加跳转前的日志输出，确认是否成功进入BL3。
• JTAG调试：使用OpenOCD连接CPU核心，设置断点于ATF的bl31_entry_point函数。
• fip.bin结构验证：通过fip-tool.py解析镜像内容，检查SM组件是否存在且位置正确。
• 签名一致性检测：比对公钥哈希是否与SoC熔丝（efuse）中烧录的一致。

5. fip.bin构建关键点

fip.bin（Firmware Image Package）是BL3阶段的核心容器，其构建过程直接影响SM加载。以下是构建时的关键参数：

# 示例：使用amlogic提供的工具构建fip.bin
./build-fip.sh \
    --atf bl31.bin \
    --smc smc_fw.bin \
    --uboot u-boot.bin \
    --key private_key.pem \
    --output fip.bin
    

必须确保：
- bl31.bin 包含正确的Secure Monitor实现；
- 所有组件按Amlogic规定的偏移写入；
- 使用与SoC绑定的私钥进行签名。

6. 流程图：启动失败诊断路径

graph TD
            A[上电] --> B{串口有输出?}
            B -- 无 --> C[检查电源与时钟]
            B -- 有 --> D[查看输出内容]
            D --> E{jumps to second bootloader?}
            E -- 是 --> F[尝试JTAG连接EL3]
            F --> G{能否停在bl31_entry_point?}
            G -- 否 --> H[SM未加载: 检查fip签名]
            G -- 是 --> I[单步执行ATF初始化]
            I --> J[观察是否跳转至U-Boot]
            J -- 否 --> K[ATF配置错误]

7. 逆向工程中的应对策略

在缺乏官方文档的情况下，可通过以下方式获取线索：

• 提取量产固件中的fip.bin，使用binwalk分析结构。
• 对比不同版本固件的签名算法（RSA-2048 vs ECDSA）。
• 通过差分分析法识别BL2中用于验证BL3的校验函数。
• 利用IDA Pro反汇编ATF二进制，定位secure monitor dispatch表。

8. 解决方案建议

针对SM加载失败，推荐采取以下步骤：

1. 使用标准参考设计验证烧录流程是否可复现正常启动。
2. 确保构建环境与Amlogic SDK版本一致。
3. 启用ATF的DEBUG模式，生成详细日志。
4. 使用专用烧录工具（如aml-flash-tool）替代dd命令写入emmc。
5. 在fip.bin中注入调试桩代码，输出寄存器状态。
6. 定期备份已知可用的fip.bin作为基准。