ARM特权级EL0至EL3

可视化演示

展示AArch64四个异常级别EL0-EL3的权限层次、SVC/HVC/SMC/ERET指令触发的异常切换流程、以及TrustZone通过EL3实现安全世界与普通世界的隔离切换。

特权级总体架构

想象你走进一座叫 ARM 大厦的摩天楼。电梯里的按钮不是每一层都亮着：访客临时卡只能按亮大厅层，正式员工卡能按亮办公层，安保主管卡能按亮监控层，而 CEO 的卡还能按亮地下保险库。ARM 芯片内部就是这样一座大厦，只是它的“楼层”只有四个，编号叫 EL0、EL1、EL2、EL3。

这四个编号对应真实系统里的四大角色：EL0 是普通应用（App、浏览器、算法库），EL1 是操作系统内核（Linux、Android、RTOS），EL2 是虚拟机监控器（Hypervisor、KVM），EL3 是安全监控固件（TrustZone ATF、TEE）。数字越大，能触碰的硬件资源越多，能下的“命令”越底层。

ARMv8-A 架构在设计时就规定好了一个全局排序：EL3 最大，EL0 最小。这个排序不是概念上的“强弱”，而是实实在在的硬件隔离：高特级可以访问低特级的资源，反过来则不行。比如内核可以看应用的页表，应用却碰不到内核的一行数据结构。

这就像电梯按钮的规则：拿着管理员的卡，你能到 1 楼到 12 楼的所有办公层；而拿着访客卡，连办公层的走廊都进不去。ARM 大厦正是靠这道看不见的“电梯规则”，把恶意程序死死挡在门外。

EL0用户态

访客拿着临时卡走进 ARM 大厦，活动范围只限一楼大厅：那里有沙发、绿植和一台公用的自动售货机。访客想去 3 楼的财务室，门禁会亮红灯，除非他按响前台的服务铃，让管理员下来带他上去。EL0 就是这个“访客层”。

EL0 是四个特权级里权限最低、但运行代码最多的一层。你手机上所有 App、后台服务、机器学习推理框架都跑在 EL0。它们看不见内核页表，写不了硬件寄存器，也读不了其他 App 的私密内存。这一切由 MMU（内存管理单元）的页表权限位（AP 位）保证：EL0 只能访问标记为“用户可读”的页。

当 App 确实需要内核帮忙——打开摄像头、读取文件、申请内存——它不能直接操作，而是执行一条 SVC 指令。SVC 会制造一个同步异常，像访客按响服务铃一样，把控制权“陷”进 EL1，由内核代表它执行那些高权限操作。这个“按铃”机制，就是系统调用（syscall）的硬件底座。

访客永远借不到管理员的卡，只能借管理员的手。这就是 EL0 的设计哲学：你可以请求能力，但不能持有能力。

EL1内核态

ARM 大厦的 2 到 12 层是物业办公区。物业管理员拿着员工卡，能打开每一间办公室的门，能更换灯泡、检修水管、处理报警。但他们也有进不去的地方：中央监控室和地下保险库。EL1 就是这位“物业管理员”。

操作系统内核（Linux、Android、鸿蒙等）运行在 EL1。它负责页表管理（虚拟地址到物理地址的映射）、进程调度、中断处理和设备驱动。EL0 层的所有 App 都要向它申请资源，所以 EL1 的代码质量直接决定了整个系统的稳定性。一旦内核崩溃，蓝屏是轻的，整个设备直接宕机。

内核不是无条件让任何人进来的。当异常发生时，硬件会根据目标特权级和当前特权级做一次判定：如果目标 EL 严格大于当前 EL，异常入口才生效；否则异常会被拒绝或按非法操作处理。这个判定公式如下。

物业管理员能修水管，但修不了监控主机的电路——那不是他的权限范围。EL1 也一样：它能管理整个用户态，但对虚拟化和安全隔离世界的干预，必须交给更高的层。

EL2虚拟化

ARM 大厦的 13 层是中央监控室。安保主管坐在一整面监视墙前，能看到每一层走廊的实时画面。某个区域出现异常时，他能通过遥控器切换监控视角、封锁闸机门。但他并不需要亲自去那层楼。EL2 就是这位“安保主管”。

虚拟机监控器（Hypervisor）运行在 EL2，它管理着多个“Guest 系统”。每个 Guest 由一台客户操作系统（运行在 EL1）和一堆客户应用（运行在 EL0）组成。当 Guest 想执行特权操作——比如改写页表、关中断、操作定时器——Hypervisor 可以决定“放行”还是“拦截”。

这个拦截动作叫 trap（陷入）。硬件会把 Guest 的敏感指令截获并路由到 EL2，由 Hypervisor 决定下一步。trap 是否发生由配置寄存器 HCR_EL2 等决定。一个典型的 trap 条件可以写成下面的公式。

监控室里的安保主管不需要亲身下楼，一个按钮就能控制整栋楼的走廊。虚拟化的美妙也在这里：多个操作系统共享一台物理机，却彼此毫不知情。

EL3安全监控

ARM 大厦有个秘密：地下 B2 层有一个从未画在楼层导览图上的保险库。只有极少数人知道它的存在，普通员工以为大楼只有 15 层。保险库大门由 CEO 和首席安保官双重认证控制，里面存放着整栋大楼的备用钥匙、加密证书和紧急预案。EL3 就是这座“秘密保险库”。

EL3 是 ARM 特权级的最高层，它的核心使命是管理 TrustZone——一个把芯片切成两个平行世界的机制：普通世界（Normal World）运行常规操作系统，安全世界（Secure World）运行可信固件（如 OP-TEE、Trusted Firmware）。两个世界共享 CPU，但资源被物理隔离：安全世界的内存，普通世界无论如何都读不到。

从普通世界进入安全世界，只能通过一条指令：SMC（Secure Monitor Call）。执行 SMC 后，处理器陷入 EL3，由 EL3 固件完成世界切换后，再以降级的方式把控制权交给安全世界中的某个 EL1 系统。EL3 本身就是世界切换的不可绕过仲裁者，因此被称为信任根（Root of Trust）。

保险库的秘密不在于钥匙多坚固，而在于它的存在本身就被隐藏了。TrustZone 的威力也是如此：攻击者就算攻陷了普通世界的操作系统，也根本看不到安全世界的地图。

异常级别转换

现在你已经走遍了大厦的四个楼层，是时候聊聊“怎么上楼、怎么下楼”的完整流程了。去高特级层必须走“异常通道”：按下电梯旁的呼叫按钮（SVC/HVC/SMC），中央控制台验证你的身份，然后电梯把你带上去。而下来时，ARM 设计了一个专门的“下行电梯”——ERET 指令。

进入异常时，硬件会悄悄做两件事：把返回地址存进 ELR_ELx 寄存器，把当时的处理器状态存进 SPSR_ELx 寄存器。这两个寄存器就像电梯里的“楼层记忆卡”：它记着你从哪层上来、以什么身份上来。等任务处理完毕，一条 ERET 指令就会取出这些信息，把程序计数器（PC）和处理器状态精确恢复到异常发生前的样子。

注意 ERET 恢复的不是“当前电梯所在的楼层”，而是“你原来所在的那一层”。比如一个 EL1 内核代码调用 SMC 进入 EL3 办事，ERET 回到的是 EL1，而不是一路降到 EL0。这正是 SPSR 中保存的状态字段决定的。

这就像你从办公室坐电梯到监控室汇报问题，汇报结束按 ERET，电梯把你送回办公室空调房——绝不会好心把你送回一楼大厅吹冷风。

安全设计实践

大厦运营十年后，安保团队总结出一套制度：每张门禁卡只开通该员工工作必需的楼层，临时访客必须登记证件并由专人陪同，维修工进机房必须有主管在旁监督，同时要定期演练以平衡“查得太严影响办公效率”与“查得太松导致安全隐患”。这套制度的原则同样适用于 ARM 特权级的使用。

最小特权原则是特权级设计的黄金法则：每个软件组件运行时，只应该获得它完成任务所需的最低特权级。比如闹钟 App 只需要 EL0，绝不该被授权操作 EL1 的驱动；某个只做浮点计算的固件模块，就不该被放到 EL3。权限越大，一旦漏洞被利用，爆炸半径就越大。

ARM 的硬件对“访问”的定义也严格遵循一个判定公式：当前代码所在的特权级必须不低于资源要求的最低特权级。这就像员工卡上印着“可进入楼层范围”，刷卡时闸机自动核对，而不是靠员工自觉。

ARM 大厦的安保制度说到底就一句话：权限是借来的，不是拥有的。给每个程序发一张刚好够用的门禁卡，让攻击者拿到任何一张卡都只能进入一小块区域——这就是特权级设计最终极的智慧。

AI 应用场景

Python 演示

"""ARM 特权级 (EL0-EL3) 门禁模拟器 模拟异常级别之间的权限升降规则:- EL0 用户态: 应用运行, 只能发起 SVC 系统调用- EL1 内核态: 操作系统, 可发起 HVC 虚拟化调用- EL2 虚拟化: Hypervisor, 可发起 SMC 安全调用- EL3 安全态: 安全监控, 只能通过 ERET 逐级返回"""  class PrivilegeLevel:    """模拟一个虚拟 CPU 的当前特权级与转换指令"""     NAMES = ["EL0", "EL1", "EL2", "EL3"]     def __init__(self):        # 初始态: 模拟系统启动完成后, 应用回到 EL0        self._level = 0        self.svc_count = 0        self.hvc_count = 0        self.smc_count = 0        self.eret_count = 0     @property    def current(self):        return self.NAMES[self._level]     def svc(self):        """系统调用: EL0 -> EL1, 请求内核服务"""        if self._level != 0:            return "SVC 被忽略: 需处于 EL0"        self._level = 1        self.svc_count += 1        return "SVC 成功: 陷入 EL1 内核态"     def hvc(self):        """虚拟化调用: EL1 -> EL2, 请求虚拟机监控器"""        if self._level != 1:            return "HVC 被忽略: 需处于 EL1"        self._level = 2        self.hvc_count += 1        return "HVC 成功: 陷入 EL2 虚拟化层"     def smc(self):        """安全监控调用: EL2 -> EL3, 进入安全世界"""        if self._level != 2:            return "SMC 被忽略: 需处于 EL2"        self._level = 3        self.smc_count += 1        return "SMC 成功: 到达 EL3 安全监控层"     def eret(self):        """异常返回: 逐级降回低特权级"""        if self._level == 0:            return "ERET 无效: 已在 EL0 最低层"        self._level -= 1        self.eret_count += 1        return "ERET 返回: 降到 " + self.NAMES[self._level]  def run_demo():    cpu = PrivilegeLevel()    print("初始层级:", cpu.current)    print(cpu.svc())    print(cpu.hvc())    print(cpu.smc())    print("非法场景:", cpu.svc())    print(cpu.eret())    print(cpu.eret())    print(cpu.eret())    print("非法场景:", cpu.eret())    print("统计: SVC=%d HVC=%d SMC=%d ERET=%d"          % (cpu.svc_count, cpu.hvc_count, cpu.smc_count, cpu.eret_count))  if __name__ == "__main__":    run_demo()

1. NAMES = ["EL0", "EL1", "EL2", "EL3"]定义四个特权级的顺序表，索引即级数，越大权限越高。
2. self._level = 0初始态放在 EL0，因为真实系统引导完内核后，应用都从用户态开始跑。
3. if self._level != 0:模拟 SVC 的门禁检查：只有处于 EL0 的代码才能发起系统调用。
4. self._level = 1权限提升动作，相当于电梯把访客从大厅送到办公层。
5. if self._level != 2:SMC 检查当前必须处于 EL2，这符合实际固件里 SMC 常在 Hypervisor 或内核中被调用的习惯。
6. self._level -= 1ERET 每次只降一级，而不是一口气回到 EL0。
7. print("统计: SVC=%d ..." % ...)输出各指令触发次数，方便观察哪层被访问得最多。

常见误区

面试题