ルモーリン
ホーム 更新 Perl Sample サービス 雑談 鉄ゲタ Linux リンク 連絡先

ＭＰＵはメモリ保護ユニット

投稿：2013-03-07

バグでベクタテーブル（０ｘ００００００００から２０４バイト）本体へジャンプしてテーブルを命令として実行している事が分かりました。 ＨａｒｄＦａｕｌｔで捕捉した時にはどこからジャンプしているか不明です。 そこでジャンプの着地を捕捉してバグ解決への糸口としたい。
ＮＸＰのサイトとユーザマニュアル（ＰＤＦ）。
LPCマイコン情報:LPC1700 Cortex-M3搭載-USB,Ethernet,LCDコントローラ内蔵
UM10360 LPC17xx User manual

ＡＲＭのサイトとテクニカルリファレンスマニュアル（ＰＤＦ）。ｒ２ｐ０を見る事に注意してください。例外発生時のスタック配置はｒ２ｐ１にありません。
ARM - The Architecture For The Digital World
CortexTM-M3 r2p0 テクニカルリファレンス マニュアル
ＬＰＣ１７６９内蔵のメモリ保護ユニットを使ってベクタテーブルの領域から命令フェッチを禁止するように設定、 読み出しの際にはハンドラ内で読み出し前の呼出元のアドレスを取得、そこへ復帰すると開発環境のコールスタックが分かるという訳。
通常のリンク方法では、ベクタテーブルに後続してｍａｉｎ関数とかの普通のプログラムを配置しますので０ｘ００００００ＣＣ以降に配置しています。 一方、メモリ保護ユニットでの設定範囲は２のｎ乗の指定なので細かい範囲は面倒です。 例えば、命令フェッチ禁止の範囲を０ｘ００００００００～０ｘ００００００ＦＦにしてしまうと０ｘ００００００ＣＣ以降のプログラムを実行しようとしてＭｅｍＭａｎａｇｅＦａｕｌｔが発生してしまいます。 そこでプログラムを０ｘ０００００１００以降に配置すればトラブルを予防できます。 この件でリンカが出力したマップファイルを眺めると、配置したつもりのＣＲＰ（Ｃｏｄｅ　Ｒｅａｄ　Ｐｒｏｔｅｃｔｉｏｎ）の設定がありませんでした。 ＣＲＰはユーザマニュアルのページ６３１「32.6 Code Read Protection (CRP)」にあります。 せっかくなのでＣＲＰの設定位置まで丸ごと命令フェッチ禁止にしましょう。 ＣＲＰ位置は０ｘ０００００２ＦＣから４バイトなので命令フェッチ禁止を０ｘ００００００００～０ｘ０００００２ＦＦにすると範囲が２の１６乗単位になるので設定する側も簡単な訳です。 後続のプログラムは０ｘ０００００３００以降に配置するために、リンカスクリプトを書き替えます。 あ、Ｃｏｄｅ　Ｒｅｄのコピーライトが＜おい。 
/*
* GENERATED FILE - DO NOT EDIT
* (C) Code Red Technologies Ltd, 2008-10
* Generated linker script file for LPC1768
* Created from nxp_lpc17_c.ld (vRed Suite 3 (NXP Edition) v3.6 (3 [Build 318] [11/04/2011] ))
* By Red Suite 3 (NXP Edition) v3.6.3 [Build 318] [11/04/2011]  on Sun Sep 16 17:39:42 JST 2012
*/


INCLUDE "TestMulti_Debug_lib.ld"
INCLUDE "TestMulti_Debug_mem.ld"

ENTRY(ResetISR)

SECTIONS
{

	/* MAIN TEXT SECTION */	
	.text : ALIGN(4)
	{
		FILL(0xff)
		KEEP(*(.isr_vector))
		
		/* Global Section Table */
		. = ALIGN(4) ;
		__section_table_start = .;
		__data_section_table = .;
		LONG(LOADADDR(.data));
		LONG(    ADDR(.data)) ;
		LONG(  SIZEOF(.data));
		LONG(LOADADDR(.data_RAM2));
		LONG(    ADDR(.data_RAM2)) ;
		LONG(  SIZEOF(.data_RAM2));
		__data_section_table_end = .;
		__bss_section_table = .;
		LONG(    ADDR(.bss));
		LONG(  SIZEOF(.bss));
		LONG(    ADDR(.bss_RAM2));
		LONG(  SIZEOF(.bss_RAM2));
		__bss_section_table_end = .;
		__section_table_end = . ;
		/* End of Global Section Table */
		
		/* Code Read Protection */
		. = 0x000002FC ; /* or 1FC for LPC2000 */
		KEEP(*(.crp))
		
		/* Memory Protection Unit is monitoring area above. */
		. = 0x00000300;	/* 128 byte x 6 sub-region */

		*(.after_vectors*)
		
		*(.text*)
		*(.rodata .rodata.*)
		. = ALIGN(4);
	} > MFlash512

	/* FUNC_00 SECTION */	
	.func_00 : ALIGN(4)
	{
		__section_func_00_start = .;
		KEEP(*(.func_00))
		__section_func_00_end = .;
		. = ALIGN(4);
		
	} > MFlash512

	/*
	 * for exception handling/unwind - some Newlib functions (in common
	 * with C++ and STDC++) use this.
	 */
	.ARM.extab : ALIGN(4)
	{
		*(.ARM.extab* .gnu.linkonce.armextab.*)
	} > MFlash512
	__exidx_start = .;
	
	.ARM.exidx : ALIGN(4)
	{
		*(.ARM.exidx* .gnu.linkonce.armexidx.*)
	} > MFlash512
	__exidx_end = .;
	
	_etext = .;
		
	
	.data_RAM2 : ALIGN(4)
	{
	   FILL(0xff)
		*(.data.$RAM2*)
		*(.data.$RamAHB32*)
	   . = ALIGN(4) ;
	} > RamAHB32 AT>MFlash512
	
	/* MAIN DATA SECTION */

	.uninit_RESERVED : ALIGN(4)
	{
		KEEP(*(.bss.$RESERVED*))
	} > RamLoc32

	.data : ALIGN(4)
	{
		FILL(0xff)
		_data = .;
		*(vtable)
		*(.data*)
		. = ALIGN(4) ;
		_edata = .;
	} > RamLoc32 AT>MFlash512

	
	.bss_RAM2 : ALIGN(4)
	{
		*(.bss.$RAM2*)
		*(.bss.$RamAHB32*)
	   . = ALIGN(4) ;
	} > RamAHB32

	/* MAIN BSS SECTION */
	.bss : ALIGN(4)
	{
		_bss = .;
		*(.bss*)
		*(COMMON)
		. = ALIGN(4) ;
		_ebss = .;
		PROVIDE(end = .);
	} > RamLoc32
	
	PROVIDE(_pvHeapStart = .);
	PROVIDE(_vStackTop = __top_RamLoc32 - 0);
}
メモリ保護ユニットを設定します。 仕様はユーザマニュアルのページ７８６「34.4.5 Memory protection unit」にあります。 知らない言語（英語）で記述されている上に輪を掛けて訳わからない仕様なので頭からぷすぷす煙を出しつつ試行錯誤して出来るようになりました。 リージョンの設定は先頭アドレスとサイズで範囲を決めてデフォルトの一部を上書きするイメージです。 リージョンを８等分したサブリージョンについて個々に上書き無効を指定するとデフォルトが復活します。 今回はリージョン０を０ｘ００００００００から２０４８バイトとして、１個のサブリージョンは２０４８÷８＝２５６バイトとなります。 サブリージョンの１～３個目がデフォルトを上書きして命令フェッチ禁止、４～８個目は上書きを無効にしてデフォルトを復活させました。 メモリ保護ユニット ソースはこんな感じ。 
// デフォルトの設定でＭＰＵ使用開始
MPU->CTRL = 0b101;

// ＲＢＡＲで一緒に設定するので使わない
// MPU->RNR = 0;

// リージョン０の設定
// フラッシュメモリの先頭から２Ｋバイトのうち、２５６バイト×３サブリージョン＝７６８バイト
// 残りの５サブリージョンは禁止＝デフォルトの設定
MPU->RBAR = 0x00000000
                | 0x10
                |  0x0;

            //                               E
            //                               N
            //                          SSSSSA
            //          TTT   SSSSSSSS  IIIIIB
            //   X AAA  EEE   RRRRRRRR  ZZZZZL
            //   N PPP  XXXSCBDDDDDDDD  EEEEEE
            //1.987654321.987654321.987654321.
MPU->RASR = 0b00010111000010001111100000010101;
ユーザマニュアルのページ７７５「34.4.3.10 System Handler Control and State Register」に説明があってビット１６「MEMFAULTENA」を１にすると有効になります。 ソースはこんな感じ。 
// MEMFAULTENA
SCB->SHCSR |= 0b1 << 16;
命令フェッチ禁止の範囲でどこをフェッチしようとしたか、どこからそこに飛んできたかを把握したい。 そこでハンドラに到着してからそれらの情報を手に入れます。 ユーザマニュアルのページ７７７「34.4.3.11 Configurable Fault Status Register」にあるＭＭＦＳＲのビット７「MMARVALID」を見ると Ｆａｕｌｔ発生時に発生アドレスを記録しているか分かります。 記録した場合はページ７８１「34.4.3.13 Memory Management Fault Address Register」にあります。 それとは別にＡＲＭが配布している「Ｃｏｒｔｅｘ－Ｍ３　テクニカルリファレンスマニュアル」ページ５－１１（１１１）「５．５．１スタック操作」によると、 発生時のＰＣとＬＲがスタックに積まれていますのでこれを参照します。 プロセススタックとメインスタックのどちらに積んだのかユーザマニュアルのページ７３４「34.3.1.3.7 CONTROL register」にあるビット１「Active stack pointer」で判定します。 もしメインスタックに積んでいる場合は、到着したハンドラもスタックを使ってＳＰを移動させていますからそれを相殺します。 相殺量を開発環境の逆アセンブラでハンドラ入口のＳＰ変更量を見てからソースをいじりました（笑）。 関数入口到着時点のＳＰを関数内部で拾う方法があればそっちのほうがいいです。というかそうしたい。 ソースはこんな感じ。 
// 発生アドレス保持？
if (0x80 & SCB->CFSR)
{
        uint32_t pc = SCB->MMFAR;
        pc = pc;
}

typedef void(*I_ADDR)(void);
I_ADDR *pStack;
// プロセススタック使用中にＭｅｍＭａｎａｇｅＦａｕｌｔ発生
if (0x02 & __get_CONTROL())
{
        pStack = (I_ADDR *)__get_PSP();
}
else
{
        // メインスタック使用中にＭｅｍＭａｎａｇｅＦａｕｌｔ発生
        pStack = (I_ADDR *)__get_MSP();
        // この関数もメインスタックを使用していて入口で動いた分を相殺
        pStack += 6;
}
I_ADDR lr = pStack[5];
lr = lr;
I_ADDR pc = pStack[6];
pc = pc;
スタックに積まれたＬＲは呼出元のアドレスなので、通常は処理後にＬＲに戻ります。 けれどＦａｕｌｔが発生しているので戻ってくれませんから、呼出元に濡れ衣を着せてそこで発生したように細工して戻します。 冒頭の判定は、ユーザマニュアルのページ７７７「34.4.3.11 Configurable Fault Status Register」にあるＭＭＦＳＲのビット０「IACCVIOL」で 命令フェッチ違反を判定しています。 
// IACCVIOL
if (0x01 & SCB->CFSR)
{
        pStack[6] = lr;	// フォルトは発生ＰＣに戻るので、呼出元に戻るよう細工する
}
  • メモリ保護ユニットの略称がＭｅｍｏｒｙ　Ｐｒｏｔｅｃｔｉｏｎ　Ｕｎｉｔ　＝　ＭＰＵでは、ＧｏｏｇｌｅらなくてもＭｉｃｒｏ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔと一緒になって検索の役に立たないのは明らか。
  • メモリ保護ユニットの設定に違反する動作をＣＰＵが行った場合はＭｅｍＭａｎａｇｅＦａｕｌｔになります。 ハンドラにブレークポイントを設定して故意に違反させてみたが何故かＨａｒｄＦａｕｌｔになる。 例によってユーザマニュアルを穴があくほど読むとＭｅｍＭａｎａｇｅＦａｕｌｔは有効／無効の制御ができるようになっていて初期値は無効。 ＭｅｍＭａｎａｇｅＦａｕｌｔに相当するイベントが発生した時にそれが無効であればＨａｒｄＦａｕｌｔとなります。
  • スケルトンのプロジェクトで専用のハンドラ関数を生成しているにも関わらずＦａｕｌｔを有効にするコードが生成されません＞ＲｅｄＳｕｉｔｅ３（ＮＸＰ版）。