深入解析SoC硬件防火墙：L3互连保护机制与配置实战

1. 项目概述：硬件防火墙在SoC中的基石作用

在嵌入式系统和片上系统（SoC）设计中，随着功能集成度的爆炸式增长，一个芯片内部往往集成了数十个甚至上百个功能模块，比如中央处理器（CPU）、图形处理器（GPU）、数字信号处理器（DSP）、各类外设控制器以及共享的内存资源。这些模块通过一个复杂的高速片上互连网络（比如L3 Interconnect）相互通信。想象一下，这就像一个繁忙的现代化城市，数据包如同车辆，在各个功能街区（模块）之间高速穿梭。如果没有交通规则和检查站，一辆失控的卡车（恶意的或错误的访问请求）就可能直接冲进市政厅（安全启动代码区）或银行金库（加密密钥存储区），导致整个城市（系统）瘫痪。

硬件防火墙，就是这个“城市”里最关键的安全检查站和访问控制器。它不同于运行在CPU上的软件防火墙，后者依赖于操作系统和软件栈，存在被绕过或篡改的风险。硬件防火墙是固化在芯片互连总线中的电路逻辑，工作在硬件层面，对每一个经过总线的读写请求进行实时、无中断的审查。它的裁决速度必须跟上总线时钟，通常在纳秒级别，以确保不会成为系统性能的瓶颈。其核心价值在于强制性的硬件隔离和确定性的访问控制，这是构建可信计算基（Trusted Computing Base, TCB）的基石。

我接触过不少项目，从消费电子到汽车电子，但凡涉及多核安全、支付安全或功能安全（如ISO 26262），硬件防火墙的配置都是系统架构设计的重中之重。一个配置不当的防火墙，轻则导致驱动无法正常访问外设，系统功能异常；重则会留下严重的安全后门，让攻击者可以窃取密钥、篡改固件。德州仪器（TI）在其许多高性能SoC（如OMAP、Sitara系列）中集成的L3互连防火墙，就是一个非常经典和强大的硬件保护机制实现。它不仅仅是简单的“允许/禁止”开关，而是提供了一套精细化的、基于区域、权限和优先级的立体防护体系。理解它的工作原理，对于任何从事底层系统软件、安全启动、可信执行环境（TEE）开发的工程师来说，都是必备技能。

2. L3防火墙保护机制的核心架构与决策流程

L3防火墙并非一个单一的模块，而是集成在L3互连网络目标端（Target Agent, TA）的一套分布式保护逻辑。每个需要保护的目标设备（如内部RAM、ROM、外设寄存器空间）都关联着一组防火墙寄存器。当一个访问请求从某个发起者（Initiator，如CPU、DMA控制器）发出，经由互连网络路由到目标设备时，会先经过该目标设备对应的防火墙逻辑进行裁决。

防火墙的决策是一个多条件、流水线式的匹配过程，其核心流程可以用一个严格的“安检流程”来类比。图5-3的流程图精炼地概括了这一过程，我们可以将其拆解为四个关键检查点：

2.1 请求解码与区域匹配

这是防火墙处理的第一步，目的是确定当前请求要访问的目标地址落在哪个“保护区域”内。每个目标设备的地址空间可以被划分为多个保护区域（Region），这是防火墙进行差异化管控的基础。

1. 地址解码：防火墙电路首先解码请求中的目标地址（MAddr信号）。
2. 区域查找：将解码后的地址与所有已启用的“普通区域”（Normal Region）的配置寄存器进行比对。每个区域通过L3_PM_ADDR_MATCH_k寄存器定义了自己的基地址（BASE_ADDR）和大小（SIZE）。这里的k代表区域编号（1到7）。
3. 匹配判定：检查目标地址是否满足：区域基地址 <= 目标地址 < 区域基地址 + 区域大小。这个检查是并行进行的，硬件会同时比对所有区域。
4. 默认区域：如果目标地址没有命中任何一个已启用的普通区域，那么该请求将自动落入Region 0，即默认区域。默认区域覆盖整个目标地址空间，且优先级最低。你可以把它理解为“公共区域”，其访问规则通常最为宽松，或者作为未配置区域的“兜底”策略。

实操心得：区域大小的配置必须是2的幂次方（如1KB, 2KB, 4KB...）并且地址必须按大小对齐。例如，一个4KB（0x1000字节）的区域，其基地址必须是0x1000的整数倍（如0x0000, 0x1000, 0x2000）。在编程时，务必通过SIZE字段正确设置大小，若设为0则意味着禁用该区域。错误的对齐配置会导致区域无法按预期工作。

2.2 发起者身份与命令类型验证

确定区域后，防火墙接着检查“谁”（Who）想“干什么”（What）。

1. 发起者ID验证：每个总线主设备（Master）在SoC内部都有一个唯一的Initiator ID。防火墙的L3_PM_READ_PERMISSION_i和L3_PM_WRITE_PERMISSION_i寄存器是两个位图（bitmap），每一位对应一个可能的发起者ID。例如，如果MPU的ID是0，那么READ_PERMISSION寄存器的bit0就控制MPU对该区域的读权限（1允许，0拒绝）。
2. 命令类型检查：防火墙会检查请求是读（Read）还是写（Write）操作。这直接对应于上述的读/写权限寄存器。一个区域可以配置为“只读”（对某些发起者开放读权限，关闭写权限）或“可读写”。

2.3 MReqInfo信号深度过滤

这是L3防火墙一个非常精细且强大的特性，它超越了简单的“地址+发起者”过滤。MReqInfo是一组在总线传输中携带的、描述请求属性的“元数据”信号，主要包括：

• MReqSupervisor：指示当前请求是来自处理器特权模式（Supervisor）还是用户模式（User）。这对于隔离内核空间和用户空间访问至关重要。
• MReqDebug：指示当前请求是否是调试访问。通常，调试器（如JTAG）的访问需要被严格限制，防止生产环境中通过调试接口窃取数据。
• MReqType：指示请求访问的是指令（Code）还是数据（Data）。这可以实现哈佛架构式的保护，例如，将某个内存区域设置为“仅可执行”，防止数据写入破坏代码。

防火墙的L3_PM_REQ_INFO_PERMISSION_i寄存器是一个16位的寄存器，每一位（ReqBit）对应一种MReqInfo的组合（见表5-22）。例如，ReqBit 0 对应User + Functional + Data（用户模式、非调试、数据访问）。只有当前请求的MReqInfo组合所对应的位被设置为1，请求才能通过这一层过滤。

举例说明：假设我们想配置一个区域，只允许特权模式下的CPU进行数据访问（无论是功能访问还是调试访问），但禁止任何代码取指和用户模式访问。那么我们需要允许的MReqInfo组合是：

• ReqBit 8: Supervisor + Functional + Data
• ReqBit 10: Supervisor + Debug + Data 因此，需要将L3_PM_REQ_INFO_PERMISSION_i寄存器的第8位和第10位置1，即设置其值为(1<<8) | (1<<10) = 0x0400 | 0x0400?等一下，计算有误。2^8是256（0x100），2^10是1024（0x400）。所以是0x100 | 0x400 = 0x500。

2.4 综合裁决与访问授权

经过以上三层检查（区域匹配、权限位检查、MReqInfo匹配），只有全部条件都满足的请求，才会被授予访问权限（Access granted），数据流才能继续通向目标设备。任何一层检查失败，防火墙都会立即拒绝该请求（Access denied），并向系统报告一个保护违规（Protection Violation）错误。

这个流程是硬件实时完成的，对软件完全透明。软件的责任在于系统初始化时，根据安全架构设计，正确配置所有防火墙区域的ADDR_MATCH、READ/WRITE_PERMISSION和REQ_INFO_PERMISSION寄存器。

3. 保护区域的精细化管理：默认区域与普通区域

L3防火墙将目标地址空间的保护划分为两种类型的区域，这种设计兼顾了灵活性与简便性。

3.1 默认区域（Region 0）：全局兜底策略

• 范围：自动覆盖目标设备的整个地址空间。无需软件配置，始终存在。
• 优先级：固定为0级（最低）。这意味着，只要一个地址被任何普通区域覆盖，该普通区域的规则将覆盖默认区域的规则。
• 配置：其L3_PM_ADDR_MATCH_0寄存器对软件是不可访问的，硬件将其隐含地设置为匹配所有地址。它的读/写权限和REQ_INFO权限寄存器是可配置的（i=0）。
• 用途：
  1. 简化配置：对于大部分不需要特殊保护的外设，可以只配置默认区域，允许所有发起者访问。
  2. 安全兜底：可以将默认区域的权限配置得非常严格（如全部禁止），然后只对需要访问的特定地址范围开启普通区域。这种“默认拒绝，显式允许”的策略更安全。
  3. 捕获错误：任何访问未在普通区域中明确允许的地址，都会落入默认区域。如果默认区域配置为禁止访问，那么这种“地址空洞”或错误配置的访问会立即触发保护违规，便于调试。

3.2 普通区域（Region 1-7）：精细化访问控制

• 数量：根据不同的目标设备，可用的普通区域数量k从1到7不等（见表5-20）。例如，一个关键的片上RAM可能拥有7个区域，而一个普通外设可能只有1-2个。
• 特性：所有普通区域功能相同，都具有可配置的基地址、大小、优先级（1或2级）、读/写权限和REQ_INFO权限。
• 配置要点：
  • 对齐与大小：如前所述，SIZE字段（L3_PM_ADDR_MATCH_k[7:3]）编码区域大小，必须是2的幂次方且对齐。表5-21给出了具体的编码。例如，SIZE=0x1代表1KB，SIZE=0x4代表8KB（2^(4-1)K-byte? 这里文档描述和表格似乎有歧义，实际应以芯片数据手册为准，通常SIZE字段直接代表2^N字节或类似）。关键点：SIZE设为0则禁用该区域。
  • 优先级（LEVEL）：L3_PM_ADDR_MATCH_k[9]位用于设置优先级（0=Level 1, 1=Level 2）。Region 1是一个特例，它固定为最高优先级3级，且其LEVEL位必须保持复位默认值，严禁修改。这是为了防止Region 1被意外覆盖，通常用于保护防火墙自身的配置寄存器或最核心的安全代码。

3.3 区域重叠与优先级覆盖机制

这是防火墙配置中最需要小心处理的部分。多个保护区域的范围可以重叠。当一次访问命中了多个区域时，防火墙的裁决规则是：应用优先级最高的那个区域的规则。

为什么需要重叠？考虑一个场景：我们有一块512KB的共享内存，其中开头的4KB存放极其敏感的安全监控代码（Secure Monitor Code）。我们希望：

1. 安全监控代码区：仅允许安全世界的CPU核心在特权模式下访问（读/写/执行）。
2. 其余508KB共享内存：允许所有非安全世界的核心和应用访问。

我们可以这样配置：

• Region 1（高优先级，3级）：基址=安全代码区起始地址，大小=4KB，权限仅开放给安全CPU核心。
• Region 2（低优先级，1级）：基址=共享内存起始地址，大小=512KB，权限开放给所有核心。 由于Region 1的优先级高于Region 2，且两者在开头的4KB重叠，因此对这4KB的访问将遵循Region 1的严格规则。对其他508KB的访问，只命中Region 2，因此遵循Region 2的宽松规则。

严重警告：绝对禁止配置两个具有相同优先级的重叠区域！文档明确警告（CAUTION），硬件对于同优先级重叠区域的行为是未定义的（undefined）。这可能导致保护规则混乱，产生安全漏洞或导致不可预测的系统行为。在配置时，必须仔细规划区域范围和优先级，避免此类情况。

3.4 安全地动态重配置区域

系统运行时，有时需要动态调整某个区域的权限（例如，在安全启动完成后，开放某些区域的非安全写权限）。直接修改一个正在生效的区域的寄存器是危险的，可能会在修改过程中留下短暂的保护空洞（即某一时刻区域处于无效或中间状态）。

文档给出了一个标准的、安全的区域重配置流程，其核心思想是使用一个高优先级区域作为“临时保护罩”：

1. 准备高优先级区域：确保有一个空闲的普通区域可用。将其配置为高优先级（Level 2或使用Region 1），并且其地址范围完全覆盖你想要修改的那个旧区域。
2. 启用临时保护：最后编程这个高优先级区域的L3_PM_ADDR_MATCH_k寄存器（包含SIZE和LEVEL），使其生效。此时，对目标地址范围的访问由这个新的高优先级区域控制。你可以将其权限设置为与旧区域一致，或者更严格，以确保在修改期间访问不被意外允许。
3. 禁用旧区域：将旧区域的SIZE字段设置为0，使其失效。现在，旧区域的配置寄存器可以安全修改了。
4. 配置新区域：重新配置旧区域的所有寄存器（地址、权限、REQ_INFO等）。最后，再次编程其ADDR_MATCH寄存器（设置新的SIZE）来启用它。
5. 解除临时保护：将那个临时的高优先级区域的SIZE设置为0，将其禁用。

这个过程确保了在配置切换的整个窗口期内，目标地址范围始终处于某个明确的、有效的防火墙规则保护之下，避免了保护空洞。

4. 错误处理机制：从检测到诊断的完整链条

一个健壮的安全机制不仅要能拒绝非法访问，还必须能准确记录和报告发生了什么错误，以便系统进行恢复或调试。L3防火墙的错误处理机制是一个多层次、立体化的系统。

4.1 错误类型大全

L3互连能检测并处理多种错误，远不止防火墙的保护违规：

错误类型	检测点	本质原因	对系统的影响
保护违规 (Protection Violation)	目标端代理 (TA) / 防火墙	请求违反了防火墙规则（区域、权限、MReqInfo不匹配）	当前请求被拒绝，返回错误响应。通常可恢复，后续请求正常。
地址空洞 (Address Hole)	发起端代理 (IA)	请求的地址在发起者的地址映射中不存在（即访问了未分配给任何目标的地址）	当前请求被拒绝。通常是软件bug（野指针）。
不支持的命令 (Unsupported Command)	发起端代理 (IA)	发起者发送了目标设备不支持的OCP总线命令	当前请求被拒绝。硬件或驱动不匹配。
SResp 错误	目标模块	目标设备自身处理请求失败（如ECC错误、设备忙）	目标设备通过总线返回SResp=ERR信号。原因需具体分析目标设备。
SError 断言	目标模块	目标设备发生严重内部错误，通过边带信号SError报告	通常需要复位目标设备才能恢复。
请求超时 (Request Time-out)	目标端代理 (TA)	目标设备在预设时间内没有接受或响应请求（设备死锁、未初始化）	持久性错误。TA会进入错误状态，拒绝所有后续访问，必须软件复位TA和设备才能恢复。
响应超时 (Response Time-out)	发起端代理 (IA)	发起者未能在预设时间内接受来自互连的响应（IA拥堵或故障）	持久性错误。IA进入错误状态，必须软件复位IA和发起者模块。
突发超时 (Burst Time-out)	发起端代理 (IA)	发起者开始了突发传输（Burst）但未在预设时间内完成（传输异常中断）	持久性错误。IA会强制关闭事务，必须软件复位IA和发起者模块。

4.2 错误记录寄存器：事故现场的快照

当错误发生时，硬件会自动将“事故现场”的关键信息捕获到特定的只读寄存器中，这对于诊断问题至关重要。主要涉及两类日志寄存器：

1. 防火墙错误日志 (L3_PM_ERROR_LOG)：

   • CMD[2:0]：记录触发保护违规的请求命令（读、写等）。
   • REGION[6:4]：记录违规请求命中的区域编号。这能立刻告诉你哪个区域的规则被触犯了。
   • INITIATOR_ID[15:8]：记录违规请求的发起者ID。直接定位“肇事者”。
   • REQ_INFO[20:16]：记录违规请求的MReqInfo信号。可以知道是特权访问还是用户访问，是调试访问还是正常访问。
   • CODE[27:24]：错误代码。对于保护违规，此值为3。
   • MULT[31]：多重错误标志。如果在前一个错误未被清除前又发生了新错误，此位置1。提示日志可能已被覆盖。

2. 代理错误日志 (L3_IA_ERROR_LOG,L3_TA_ERROR_LOG)：

   • 记录在IA或TA层面检测到的错误，如超时、地址空洞等。
   • 同样包含CMD,INITIATOR_ID,REQ_INFO,CODE等字段。
   • L3_IA_ERROR_LOG_ADDR和L3_TA_ERROR_LOG_ADDR寄存器会记录出错请求的完整地址。

这些寄存器是只读的（除了用于清除的位）。一旦发生错误，软件应尽快读取这些寄存器保存现场信息，然后通过写入特定值（通常是非零值到CODE字段）来清除错误标志，以便记录后续错误。

4.3 错误上报与路由：谁能接到报警？

错误被记录后，需要通过某种方式通知系统软件（通常是操作系统或安全监控程序）来处理。L3提供了两种上报途径：

1. 带内错误报告 (In-Band)：通过总线响应信号（SResp=ERR）直接返回给发起请求的模块（如CPU）。这对于需要立即得到错误状态的应用请求（非调试请求）是有效的。但是，对于“Posted Write”（无需等待响应的写操作），错误无法通过带内报告。

2. 带外错误报告 (Out-of-Band)：通过独立的硬件信号线（中断线）报告给系统的中断控制器。这是更可靠和通用的方式，可以处理所有类型的错误，包括Posted Write产生的保护违规。L3内部有一个复杂的错误导引（Error Steering）逻辑：

   • 可以将特定错误（如超时）配置为触发带外报告。
   • 对于支持调试的处理器（如MPU, IVA2.2），错误还会被区分为主错误（Primary，应用请求引起）和次错误（Secondary，调试请求引起），并路由到不同的中断线，方便调试器与应用系统隔离处理。
   • 所有带外错误最终被汇总成两个复合标志信号：L3应用错误标志和L3调试错误标志。这两个信号被连接到MPU和IVA2.2子系统的中断控制器。

系统控制模块（System Control Module, SCM）的角色：防火墙的保护违规错误还会被报告给芯片的SCM。SCM的CONTROL.CONTROL_PROT_ERR_STATUS寄存器中，每一位对应一个可能受保护的目标（如OCM-ROM, OCM-RAM, GPMC等）。当某个目标发生保护违规时，对应的位会被置位。这为系统提供了一个集中式的、快速查看哪个模块发生了安全违规的视图。

4.4 超时机制：应对“无响应”的看门狗

超时错误是防止系统因某个模块挂起而完全死锁的重要机制。L3互连提供了一个可编程的集中式时基电路，产生4组不同周期的脉冲信号（如1x, 4x, 16x, 64x倍的基础周期）。通过配置L3_RT_NETWORK_CONTROL[10:8]可以选择这4组时基的实际时钟周期数。

每个IA和TA都可以独立配置，选择参考哪一组时基，并设置超时阈值（1-3个时基周期）。例如，为一个慢速外设的TA设置较长的请求超时，而为高速内存控制器设置较短的超时。

超时是严重的错误。一旦发生，受影响的代理（IA或TA）会进入“错误状态”，停止处理所有新请求。恢复的唯一方法是：软件先复位故障的硬件模块本身，然后再复位对应的互连代理。仅仅复位代理是不够的。

4.5 错误分析实战流程

当系统触发一个错误中断（例如，通过L3应用错误标志），软件如何一步步定位根因？图5-10给出了标准的诊断流程，我们可以将其转化为更具体的步骤：

1. 第一步：读取复合标志寄存器。访问L3_SI_FLAG_STATUS_0（应用错误）和L3_SI_FLAG_STATUS_1（调试错误）寄存器。这两个64位的位图寄存器，每一位对应一个具体的IA或TA的某种错误。查看哪一位被置1，就能直接定位到是“哪个代理”发生了“哪种错误”。例如，如果发现L3_SI_FLAG_STATUS_0[2]（MPU IA功能带内错误）被置位，说明是MPU发起的某个请求收到了带内的SResp错误。

2. 第二步：根据错误类型深入查询。

   • 如果是超时、SError等错误，标志寄存器已经指明了具体的代理和错误类型，可以直接跳到对应的代理去查看详细状态（如L3_IA_AGENT_STATUS或L3_TA_AGENT_STATUS），并执行复位恢复流程。
   • 如果标志指示是保护违规，或者无法直接从标志判断（例如，标志只显示了一个通用的错误信号），则需要进入更细致的日志分析。

3. 第三步：查询代理错误日志。找到出错的发起者IA（从标志寄存器或请求源可知），读取其L3_IA_ERROR_LOG和L3_IA_ERROR_LOG_ADDR寄存器。CODE字段会告诉你错误类型：

   • CODE=1：不支持的命令。
   • CODE=2：地址空洞。
   • CODE=4：来自目标的带内错误（SResp=ERR）。
   • CODE=7/8：请求超时。
   • CODE=3：保护违规。但注意，保护违规是在TA/防火墙检测的，IA的日志可能只记录了一个通用错误。如果CODE是其他值或无法确定，就需要检查所有可能的目标。

4. 第四步：查询防火墙错误日志。如果怀疑或确认为保护违规（CODE=3或从SCM状态位发现），就需要遍历所有配备了防火墙的目标模块，逐个检查其L3_PM_ERROR_LOG寄存器。找到CODE=3且MULT=0（或最近一次）的那个日志，其中的REGION、INITIATOR_ID、REQ_INFO和CMD字段就是破案的关键线索。结合L3_IA_ERROR_LOG_ADDR记录的地址，你就能完全重现非法访问的场景：谁（Initiator ID）、在什么模式下（REQ_INFO）、想干什么（CMD）、访问了哪里（Address）、违反了哪条规则（Region）。

这个分析流程是嵌入式系统调试中定位硬件访问错误的利器。在实际项目中，我们通常会在错误中断服务程序（ISR）中，自动抓取并保存所有这些日志寄存器的内容到一块安全内存中，然后触发一个诊断任务或产生一个系统日志，供后续离线分析，这对于排查偶发的、难以复现的内存访问错误至关重要。

5. 实际配置示例与避坑指南

理论讲了很多，我们来点实际的。假设我们要在一个基于TI SoC的汽车仪表盘项目上，配置L3防火墙来保护一段存放自动驾驶辅助算法代码的紧耦合内存（TCM）。

目标：将地址范围0x8000_0000到0x8000_3FFF（共16KB）的内存区域配置为：

1. 仅允许Cortex-A15核心（假设其Initiator ID = 0）在**特权模式（Supervisor）下进行读（取指）和写（数据）**访问。
2. 禁止任何用户模式（User）和调试访问（Debug）。
3. 禁止其他所有主设备（如DMA、GPU）访问。

步骤分析：

1. 确定目标与区域：该TCM内��对应的目标设备，假设其防火墙支持多个普通区域。我们选择一个空闲区域，比如Region 2。
2. 计算并配置L3_PM_ADDR_MATCH_2：
   • 基地址BASE_ADDR = 0x8000_0000。
   • 大小SIZE = 16KB。查表5-21，16KB是2^(15-1)K-byte？这里需要根据具体手册。假设编码为0xE（代表16KB）。我们需要将SIZE[7:3]字段设置为0xE。
   • 优先级LEVEL：设为1（0x0）或2（0x1）均可，只要不与重叠区域冲突。这里设为Level 1 (LEVEL[9] = 0)。
   • 最终需要向L3_PM_ADDR_MATCH_2寄存器写入的值需要根据位域拼接：{BASE_ADDR[63:10], LEVEL, SIZE[7:3], ADDR_SPACE}。ADDR_SPACE通常为0。
3. 配置L3_PM_READ_PERMISSION_2和L3_PM_WRITE_PERMISSION_2：
   • 这两个都是16位寄存器，每位对应一个Initiator ID。
   • 假设Cortex-A15的ID是0。那么我们需要将这两个寄存器的bit 0都设置为1，其他位（bit 15:1）都设置为0。
   • 即：READ_PERMISSION = 0x0001,WRITE_PERMISSION = 0x0001。
4. 配置L3_PM_REQ_INFO_PERMISSION_2：
   • 我们需要允许的MReqInfo组合是：Supervisor + Functional + Data(ReqBit 8) 和Supervisor + Functional + Code(ReqBit 9)。（注意：我们明确禁止Debug访问，所以ReqBit 10和11不设置）。
   • 因此，需要将第8位和第9位置1。REQ_INFO = (1 << 8) | (1 << 9) = 0x0100 | 0x0200 = 0x0300。
5. 安全编程顺序：按照前面第3.4节所述的动态重配置流程，如果我们是在系统运行时修改一个已存在的区域，必须使用高优先级区域进行保护。如果是上电初始化，则可以直接配置。

常见陷阱与避坑指南：

• 陷阱一：忘记禁用区域就修改。直接修改一个已启用区域的ADDR_MATCH寄存器（尤其是基地址和大小）是极其危险的，可能导致不可预测的行为。务必遵循“先禁用（SIZE=0），再配置，后启用”或使用高优先级区域掩护的流程。
• 陷阱二：区域重叠与优先级冲突。在设计阶段就要画图理清各区域的内存映射和优先级。使用表格记录每个区域的基址、大小、优先级和用途，避免运行时才发现重叠冲突。绝对避免同优先级重叠。
• 陷阱三：MReqInfo配置错误。最常见的错误是只配置了Supervisor位，但忘记了Debug位。如果你的代码在调试器（JTAG）连接时运行正常，一旦拔掉调试器就触发保护违规，那很可能就是REQ_INFO寄存器没有同时允许Functional和Debug访问。建议：在开发阶段，可以暂时开放Debug权限以便调试，但在生产代码中必须根据安全需求严格限制。
• 陷阱四：错误处理缺失。在初始化防火墙后，没有使能相应的错误中断（在中断控制器中配置），或者没有编写错误ISR。这导致系统发生非法访问时“静默失败”，行为诡异，难以调试。务必在系统初始化时，配置MPU/IVA2.2的中断控制器，将L3应用错误标志对应的中断线使能，并编写ISR来至少记录错误日志。
• 陷阱五：忽略超时配置。对于连接慢速外设（如外部Flash、低速传感器）的总线代理，如果使用默认的超时设置（可能太短），极易发生不必要的请求超时，导致设备不可用。需要根据数据手册中设备的最大响应时间，合理计算并配置TA的REQ_TIMEOUT参数。

配置硬件防火墙是一个细致活，它要求开发者对系统内存地图、软件运行时的权限切换（用户/特权模式）、以及各个主设备的访问模式有清晰的认识。最好的实践是，在系统设计文档中专门有一章来描述防火墙的配置策略，并且这些配置代码要有详细的注释，说明每一处配置的意图。在代码审查时，防火墙配置部分应是重点审查对象，因为这里的一个小疏忽，就可能为整个系统埋下巨大的安全隐患。