# 认证 RTOS 的隔离特性：SAFERTOS ESM / CMSIS-RTX5 安全特性

<CORE RULE>
这一族 RTOS 在"功能核 + 认证"之上，额外加了**访问控制与诊断特性**，会产生两类误判：

```
同一 VA：Task A 能访问、Task B 不能
  → 可能只是 per-task 区域/保护域策略

某 API 调用失败 / 某线程不运行
  → 可能只是调用方安全等级不够
```

**先在"谁能访问什么"这一层解释，再去怀疑对象损坏或逻辑错误。**
</CORE RULE>

## 一、SAFERTOS + Enhanced Security Module（ESM）

基础 SAFERTOS 的空间隔离目标是**非故意的内存访问**（损坏/编程错误）；**ESM 把它加固到抵御"蓄意的"越权访问**。

| 机制 | 作用 |
|---|---|
| **访问控制策略（ACP）** | **限制每个任务可访问的 API 数量**（例如禁止某任务改自己的特权级、改访问权限、创建新资源）；任务越受限，被攻陷后的攻击面越小 |
| **对象访问控制策略（OACP）** | **限制每个任务可访问的 RTOS 对象**（队列、信号量、事件组等），把任务约束在初始化时分配给它的对象上 |
| **间接对象 ID** | 把传统句柄（**本质是 C 指针**）换成**经交叉引用表解析的 Object ID**，使任务无法从句柄推出对象/TCB 的内存位置 |
| **per-task MPU/MMU 区域** | 每任务 3 或 5 个可配置区域（随处理器变体）；**每次上下文切换都会重新编程**；默认非特权任务只能访问自己的栈 |

- 区域要求：**大小必须是 32 字节的倍数，基址必须 32 字节对齐**
- 可定义对所有任务可见的全局区域；**绝不应把另一个任务的栈分配给某任务**
- 区域在任务创建时配置（可读/可写/可执行、用户或特权），**运行期可以重新配置**
- ESM 还包括：数据混淆、安全的用户/内核空间分离层、任务上下文数据隔离（上下文存在 TCB 而不是栈上）、渗透检测监控

**RE 判据**：

```
句柄不是内存指针（间接对象 ID）
  → 别把句柄当 TCB/对象地址，也别指望从它推出结构布局
```

## 二、CMSIS-RTX5 的安全特性

在 `OS_SAFETY_FEATURES` 等开关下提供：

| 特性 | 含义 |
|---|---|
| **Safety Classes** | 低安全等级的线程**不能修改**高等级线程；提供线程类的查询/挂起/恢复等接口。**动机**：RTOS 对象是经"以数字 ID 为参数、在 handler 模式执行"的系统调用访问的，**单靠 MPU 保护可以被"用别的对象 ID 调 API"绕过**——安全等级给对象访问加了访问控制 |
| **MPU Protected Zones** | 空间隔离：一个 zone 是一组带访问权限的内存区/外设，分配给一个或多个线程；**zone ID 就是 MPU 表的行号**，上下文切换时内核比较 zone ID 并调用回调（用户实现，通常是把对应行载入 MPU）；**内存违规触发 MemManage 异常**。注意：**中断处理程序绕过 MPU 保护**，因此必须以最高完整性等级验证 |
| **Thread Watchdog** | 时间隔离：安全等级线程声明期望的周期/响应时间并"喂狗"，未达标时由监督线程升级处理（重启线程/重启应用/受控关停/硬件复位） |
| **对象指针检查** | 检查对象指针的**对齐与内存区域** |
| **SVC 函数指针检查** | 检查 SVC 函数指针的对齐与内存区域；**要求链接器划出专门的执行区**容纳 SVC veneer 输入段 |

**ISR FIFO 队列（延迟处理）**：

- **在 ISR 中调用部分 RTX API 不会立即完成**——请求先进入 **ISR FIFO 队列**，等 ISR 结束后由调度器处理
- 所以：

```
IRQ 中调用 osXxx()
  → 对象的实际状态在 IRQ 退出之后才变化
  → 完全正常
```

- **队列太小会产生 ISR 队列溢出错误**（专门的错误码），**此时系统状态已经不一致**；对策是**增大引起溢出的对象尺寸**，而不是怀疑队列对象损坏
- 另有"无效 SVC 函数"错误码（对象 ID 位置放的是函数）

## 三、权限模型与"拒绝"的语义

- SAFERTOS 的任务模型包含：自己的栈、**被许可的 MPU/MMU 区域**、**特权状态**、可访问的 RTOS 对象；**上下文切换时重新编程任务的存储区域**
- 因此三类现象都应先在权限层解释：

| 现象 | 优先解释 |
|---|---|
| 同一地址 Task A 能读、Task B fault | **per-task 区域配置**，不是内存损坏 |
| 普通任务不能访问某地址、**ISR 却能** | 用户任务与特权内核/ISR 上下文的权限本就不同 |
| API 调用附近出现特权转换 | 正常的 RTOS API 网关，**别当 ROP/trap 异常** |

**ESM 下"拒绝"的来源**：

- Task A 用某个句柄成功、Task B 用同一个句柄被拒 → 可能是**对象访问策略**拒绝，**不是句柄损坏**
- 句柄看起来完全不像指针 → ESM 用**间接/混淆的对象 ID** 取代直接指向控制块的句柄；应恢复 **ID → 查表 → 对象** 的路径，而不是硬套 `句柄 = 内核指针`
- **合法 API 返回拒绝** → 也可能是**访问控制策略**：当前任务根本没有调用该 API 的权限，而不是 API 实现坏了

## 决策树

```
拿到 SAFERTOS / RTX5 一类认证 RTOS 目标
├─ 同一地址的访问权限不一致
│    ├─ 查 per-task 区域配置（SAFERTOS）或 MPU zone 归属（RTX5）
│    └─ 区域可能被运行期重新配置
├─ 句柄看起来不像指针 / 指向奇怪的地方
│    └─ SAFERTOS ESM 用的是间接对象 ID + 交叉引用表
├─ 某 API 调用被拒
│    ├─ 查调用方的访问控制策略（能否调这个 API）与对象访问策略（能否用这个对象）
│    └─ RTX5 下查调用线程的安全等级
├─ ISR 里调用的 API 没立即生效
│    ├─ 请求进了 ISR FIFO，ISR 退出后才处理
│    └─ 出现队列溢出错误 → 增大对象尺寸，且此时系统已不一致
└─ 出现内存管理异常
     ├─ RTX5：MPU zone 违规
     └─ 注意中断处理程序绕过 MPU 保护
```

## 工具与验证

- 访问控制：ACP/OACP 配置与运行期检查点（SAFERTOS）；安全等级与对象属性（RTX5）
- 空间：per-task 区域/zone 表、区域对齐与大小约束、运行期重配置调用
- 延迟处理：ISR FIFO 队列的容量与溢出错误码
- 验证：能同时说清「这次访问受哪条策略约束 + 区域/等级当前是什么 + 失败是策略拒绝还是真的坏了」

## 该平台的坑（汇总）

- **把 per-task 区域导致的访问失败当内存损坏**：权限差异可能完全合法
- **假设区域在任务生命周期内不变**：运行期可以重新配置
- **把 SAFERTOS 的句柄当内存指针**：ESM 下是经交叉引用表解析的间接对象 ID
- **忘了区域的大小/对齐约束**：必须 32 字节倍数且基址 32 字节对齐
- **以为 MPU 保护覆盖中断处理程序**：中断绕过保护，必须单独验证
- **只在 MPU 层找越权防线**：RTX5 明确说单靠 MPU 可被"用别的对象 ID 调 API"绕过，需要安全等级
- **把 ISR 中调用的 API 未立即生效当 bug**：请求进 ISR FIFO，退出后才处理
- **把 ISR 队列溢出当队列对象损坏**：是容量不足，且此时系统状态已不一致
- **忽略 SVC 函数指针检查对链接布局的要求**：需要专门的执行区容纳 veneer