ARMv8ファームウェアアーキテクチャ：サーバシステムにおける主要コンポーネントとブートフロー

2011年のデビュー以来、ARMv8アーキテクチャはモバイルデバイスで広く普及しました。ARM Limited CEOの予測では、ARMv8プロセッサが2020年までに世界市場の最大25%を獲得するとされています。当然ながら、ソフトウェアサポートも長年確立されたARMエコシステムの機能と原則を継承しながら進化してきました。

しかし、サーバ分野では状況が大きく異なります。x86ベースサーバが数十年にわたり支配的であったのに対し、ARMv8は最近になってようやく特定のエンタープライズセグメントでニッチを切り開き始めました。この分野でのARMの新規性と、ACPIやUEFIといった主要標準の遅れた適応が、そのファームウェアスタックの進化を形作ってきました。

本記事では、ARMv8サーバシステムを駆動するファームウェアアーキテクチャのハイレベルな概要を提供します。網羅的ではなく、新しいプロセッサリリースにより異なる技術的解決策が導入され、更新されたアプローチが必要になる可能性があることにご留意ください。

ARMv8サーバ向けの現在のファームウェア実装はモジュラーであり、サーバと組み込みファームウェア間でのコンポーネント再利用と変更の隔離という利点があります。図1はモジュールのロードシーケンスと相互作用を示します。

図1. モジュールロードと相互作用フロー。（出典: Auriga）

ブートは、CPUパワーオン直後にEL3Sモードで実行される専用モジュールによる、RAM、プロセッサ間通信などの低レベルサブシステム初期化から始まります。このコンポーネントは最高特権を持ち、通常OSと直接やり取りしません。

制御はARM Trusted Firmware（ATF）モジュールに移り、これもEL3Sで実行されます。ATFはレベル0ローダーから直接呼び出されるか、UEFI PEIモジュールを介して間接的に呼び出されます。ATFチェーンは、ブートプロセスの特定時点でアクティブになる複数のステージで構成されます。

第1ステージBL1は、セキュアハードウェアリソースを構成します。ARMv8のハードウェアベースの信頼/非信頼メモリ隔離により、BL1はセキュア環境を確立しなければなりません：メモリとキャッシュコントローラをプログラミングし、信頼/非信頼ゾーンを指定し、DMAフィルタリングルールを設定します。一致するセキュリティ属性を持つデバイスのみが対応するメモリ領域にアクセスできます。BL1はMMU変換テーブルと例外ベクタテーブル（特に、後続ステージへ制御を委譲するセキュアモニタコール（SMC）ハンドラ）も構築します。

BL1が完了すると、BL2をRAMにロードし、ERET命令で実行を移譲します。BL2はEL1Sで実行され、BL1のデータとコードを偶発的変更から保護する低特権モードです。主な役割は、残りのファームウェアステージ（BL3バリアント）をロードし、それらへ制御を移すことです。

第3ステージは最大3つのサブステージで構成されますが、BL3-2はしばしば省略されます。BL3-1は、動作中にOSがやり取りする信頼できるランタイムコードです。SMCハンドラを含み、PSCIインターフェース（電力管理とコア制御の標準コール）およびベンダー固有拡張を実装します。BL3-2が存在する場合、EL1Sで動作し、タイマー割り込みやペリフェラル信号などのプラットフォームイベントを監視する軽量モニタとして機能します。

BL3-3はATFの一部ではなく、EL2モードで引き継ぐ非セキュアイメージです。典型的な例にはU-BootやUEFI環境があり、どちらもサーバブートフローで標準的です。

ATF初期化シーケンスを図2にまとめます。

図2. ATFモジュール初期化。（出典: Auriga）