參考：
https://github.com/SamsungARTIK/bl1-artik710/blob/artik/nsih-generator/PERIDOT_SYSINFO_Gen_ver03.xls
作者：彭東林
郵箱：pengdonglin137@163.com
一、系統框圖
可以看到S5P6818一共有兩個cluster，每個cluster各有4個Cortex-A53架構的core。從官方手冊中說，每個core都工作在不小於1.4GHz的頻率上，每個core都有屬於自己的L1 Cache，其中I-Cache和D-Cache各32KB，每個cluster內部的4個core共享一個大小為512KB的L2 Cache，外部的CCI-400用於Cache一致性。此外，SoC內部還有一個64KB可讀寫的Internal SRAM和一個20KB只讀的Internal ROM，其中Internal ROM內部固化有芯片廠家的bootrom代碼，Internal SRAM一部分給運行時的bootrom存放.data/.bss/stack，另一部分給留給第二級bootloader使用，第二級bootloader用於初始化DDR以及從Flash讀取其他鏡像到DDR中，比如uboot以及ATF鏡像等。
二、Memory Map
目前主要知道如下幾個地址范圍：
Internal ROM: 0x3400_0000 ~ 0x3400_4FFF， 一共20KB
Internal SRAM: 0xFFFF_0000 ~ 0xFFFF_FFFF，一共64KB
三、啟動方式
- 原理圖
上圖是S5P6818的啟動源，目前NanoPC T3上支持eMMC、sdcard的啟動方式，如果啟動失敗的話，會從USB啟動，對應的就是上面的 "5=SDMMC"，然后通過SD3和VID1[3]來控制使用哪個port，一個port對應的就是一個SDMMC控制器，這款SoC一共有3個SDMMC控制器，eMMC接在SDMMC2上，sdcard接在SDMMC0上，wifi和bt接在SDMMC1上，使用的是SDIO接口。在原理圖上：
圖中，CAM1_D3就是VID1[3]引腳，當按下圖中的BOOT按鍵是，就是從sdcard啟動，抬起就是從eMMC啟動。
- 從sdcard啟動
如果從sdcard啟動的話，上電后首先執行的是Internal ROM中的程序（稱之為iROMBOOT），硬件會自動把Internal ROM重新映射到物理地址0x0000_0000上，然后bootrom中的程序通過檢查bootconfig的配置得知是從SDMMC0啟動，然后將用戶自己的bootcode(第二級bootloader)從sdcard當中讀取出來放入Internal SRAM中相應的位置（0xFFFF_0000）執行，稱之為SDHCBOOT。
既然用戶自己的Bootcode是被固化在芯片內部的bootrom程序加載的，所以用戶自己的Bootcode在sdcard當中的存放就必須有一定的格式，否則bootrom不認，這個格式稱之為Boot Header。從上面的圖中，首先我們應該知道的是User Bootcode應該從sdcard的第1號扇區開始存放，對於sdcard來說，每個扇區的大小是512byte，其中第0號扇區保留出來給分區表使用，當然對於SDHCBOOT這種啟動方式，不care在sdcard的第0號扇區里是否有分區表，因為bootrom會直接定位到第1號扇區開始讀取的，讀取最大56KB的大小（實際大小應該是Boot Header中的LOADSIZE，需要后續驗證）到Internal SRAM中。存放位置清楚了，下面就是具體的Boot Header的數據結構，具體請參考S5P6818的芯片手冊的3.4.9 Additional Information。
下面是我的理解：上面是關於Boot Header的說明：如果不是從uart啟動的話，那么bootrom會檢查第二級bootloader（也就是user boot code）的前512字節（即Boot Header），bootrom會將第二級bootloader的前512字節（即Boot Header）存放到0xFFFF_0000地址上，這個是Internal SRAM的起始地址，然后檢查signature是否為"NSIH"，如果不是的話，就會嘗試下一個啟動源。在Boot Header中LOADSIZE、LOADADDR以及LAUNCHADDR必須有效（16字節對齊），LOADSIZE表示第二級bootloader的大小（給bootrom看的），后兩個分別表示第二級bootloader的加載地址和運行地址（加載地址表示bootrom把第二級bootloader從sdcard讀取出來后，從Internal SRAM的哪個地址開始存放，而運行地址的意思是，將第二級bootloader全部讀到Internal SRAM后，最后跳轉執行第二級bootloader時需要將PC指針設置為哪個地址開始執行），這里是0xFFFF_0000。如果是從SPI啟動的話，bootrom還會檢查CRC32（文檔上說這部分校驗碼不包含Boot Header，意思是將前512B填充成0，然后計算CRC32，計算結果填充到對應的位置，前面填充0不影響CRC32的校驗結果）。最后PC指針就會跳轉到LAUNCHADDR表示的地址處開始執行，也就是0xFFFF_0000，下面是從sdcard啟動時的Boot Header的格式：
上面是Boot Header的基本格式，其中vector可以用於存放異常向量表（當然也可以不這么干），文檔中給的例子看，異常向量表是按Aarch32組織的，說明S5P6818這款SoC的上電后bootrom運行在Aarch32狀態。Device Addr表示第二級bootloader從sdcard的哪個地址（以字節為單位）上去讀取第三級bootloder。從0x44~0x4C分別表示第二級bootloader的大小，加載地址和運行地址(這兩個地址固定為0xFFFF_0000)，這三個是給bootrom看的。Port Num表示第二級bootloader通過哪個sdhc port將第三級bootloader讀取進來，CRC32是user bootcode的校驗碼（文檔上說這部分校驗碼不包含Boot Header，意思是將前512B填充成0，然后計算CRC32，計算結果填充到對應的位置）。Stub區域也是留給第二級bootloader自己使用的，下面的excel表格只是一種用法，其中存放了一些時鍾配置和ddr時序配置參數，在第二級bootloader里會解析這部分，這樣的好處是，不需要修改代碼，如果換了硬件，只需要修改一下Boot Header就行了。最后的signature非常重要。可以參考https://github.com/SamsungARTIK/bl1-artik710，這份代碼實現了一個第二級bootloader，對理解上面的啟動過程很具有參考意義。
四、64位裸機程序
首先需要認識一下nsih.bin文件，也就是上面說的Boot Header，它占一個扇區（512B）大小。可以參考https://github.com/SamsungARTIK/bl1-artik710/blob/artik/nsih-generator/PERIDOT_SYSINFO_Gen_ver03.xls，這個文件用excel表格的方式表示了Boot Header，由於我們這里要折騰的是64位裸機程序，所以在nsih.bin里需要實現對處理器運行狀態的切換操作，好在前面的excel表格里已經有這部分操作了，下圖是這個excel表格的DDR3 NSIH64標簽的內容：
我們重點關注上圖中紅框里的內容：
圖中第一列是機器碼，第二列表示的是偏移地址，最后是對應的反匯編代碼，這段反匯編實現了從Aarch32切到Aarch64。根據上面的內容我手動填寫了一個可用的nsih64.bin文件，內容如下：
然后使用下面的命令對其進行反匯編：
arm-none-linux-gnueabi-objdump -D -b binary -m arm nsih64.bin > nsih64.S
nsih64.bin: file format binary Disassembly of section .data: 00000000 <.data>: 0: e3a00103 mov r0, #-1073741824 ; 0xc0000000 4: e3800a11 orr r0, r0, #69632 ; 0x11000 8: e590113c ldr r1, [r0, #316] ; 0x13c c: e3811a0f orr r1, r1, #61440 ; 0xf000 10: e580013c str r0, [r0, #316] ; 0x13c 14: e3a025ff mov r2, #1069547520 ; 0x3fc00000 18: e38229ff orr r2, r2, #4177920 ; 0x3fc000 1c: e3822080 orr r2, r2, #128 ; 0x80 20: e5802140 str r2, [r0, #320] ; 0x140 24: e3a08103 mov r8, #-1073741824 ; 0xc0000000 28: e3888801 orr r8, r8, #65536 ; 0x10000 2c: e59892ac ldr r9, [r8, #684] ; 0x2ac 30: e3899001 orr r9, r9, #1 34: e58892ac str r9, [r8, #684] ; 0x2ac 38: e320f003 wfi 3c: eafffffe b 0x3c ... 48: ffff0000 ; <UNDEFINED> instruction: 0xffff0000 4c: ffff0000 ; <UNDEFINED> instruction: 0xffff0000 ... 1fc: 4849534e stmdami r9, {r1, r2, r3, r6, r8, r9, ip, lr}^
將上面的代碼轉成C語言就容易理解了：
1 { 2 #define REG32(addr) (*((volatile uint32 *)addr)) 3 4 REG32(0xC001113c) |= 0xF000; 5 REG32(0xC0011140) = 0x3FFFC080; 6 REG32(0xC00102AC) |= 0x1; 7 wfi(); 8 while(1); 9 }
結合6818的寄存器手冊分析一下：
第4行，將0xC001113C的[15:12]寫成0xF， 表示將cluster0的四個core都設置為Aarch64，此時並沒有生效。這個寄存器的默認值是0，對應的是Aarch32，所以對於S5P6818來說，上電后，cpu默認處於Aarch32模式
第5行，設置復位向量基地址，也就是執行warm reset后，cluster0的core0會從這里設置的地址上開始運行
這里需要注意：上面寫入的是0x3FFFC080，結合寄存器，這里設置的其實是地址的[33:2]，所以最終的地址其實是(0x3FFFC080<<2) = 0xFFFF0200。
第6行，0xC00102AC寄存器在手冊里描述的是Reserved，這個寄存器的作用應該是設置warm reset標志，此時並沒有執行reset操作
第7行，執行wfi操作，當執行完這條指令后，發現前面設置了warm reset標志，此時才會執行真正的warm reset操作。執行warm reset后，cluster的core0就會從0xFFFF0200地址上開始運行，並且此時的運行狀態是Aarch64，這樣就完成了對處理器運行狀態的切換。
這里為什么不采用eret的方式進行處理器運行狀態切換呢？ 因為目前運行在Aarch32，而eret是Aarch64指令，所以只能通過warm reset的方式。
關於處理器執行狀態的切換這部分，可以參考ARMv8參考手冊D1.20：
關於warm reset可以參考ARMv8參考手冊D1.9:
至此，我們已經知道了，在nsih64.bin的開始階段完成了對處理器運行狀態的切換，而且切換后會從0xFFFF0200開始運行。所以我們需要將裸機程序的入口放到這個地址上。
這里用到的裸機程序已經上傳到了github上：
下面重點關注如下幾個文件：
- 鏈接腳本spl.lds
鏈接地址設置的是0xFFFF0000。
- start.S
上面第23行，表示跳過前512字節，也就是將最終可執行程序的前512字節填充為0，將來這部分會用nsih64.bin填充，並更新LOADSIZE和CRC32字段（前面填充0不會影響CRC32的校驗值）。這樣的話，第27行的b reset指令正好就位於0xFFFF0200.
- boot.c
void boot_master(void) { int i, d = 0; clrsetbits32(0xc001b020, 3 << 24, 2 << 24); setbits32(0xc001b004, 1 << 12); clrsetbits32(0xc001b020, 3 << 22, 2 << 22); setbits32(0xc001b004, 1 << 11); tglbits32(0xc001b000, 1 << 11); while (1) { for (i = 0; i < 200000; ++i) d ^= i; tglbits32(0xc001b000, 1 << 12); tglbits32(0xc001b000, 1 << 11); } }
從github上下載后，進入工程目錄執行make，就會在out目錄下生成如下幾個文件：
可以閱讀Makefile看看這幾個鏡像都是怎么來的。 這里大概說明如下：NanoPC-T3.elf文件表示最后編譯生成的elf格式的可執行文件，NanoPC-T3.map文件是NanoPC-T3.elf的地址空間map表，對於分析鏈接腳本以及每個成員的空間占用情況很有幫助，NanoPC-T3_nonsih.img是將NanoPC-T3.elf文件用objcopy處理得到的bin文件，NanoPC-T3.img是用build工具將nsih64.bin跟NanoPC-T3_nonsih.img組裝起來的，同時會更新LOADSIZE和CRC32字段（可以用beyondcompare比較一下）：
其中，NanoPi_M3.img就是我們需要燒寫到sdcard中的，燒寫命令如下：
dd if=./out/NanoPC-T3.img of=/dev/sdh bs=512 seek=1 conv=fdatasync
注意: 上面的/dev/sdh對應的就是sdcard的節點，sdh后面不太任何數字，表示的是整塊sdcard，從0扇區開始。“bs=512 seek=1”表示跳過第一個512字節，也就是跳過第0個扇區，從第1個扇區開始燒寫。
燒寫完畢后，在板子上電或者reset時按住BOOT按鍵，此時就會從sdcard啟動，這個裸機程序運行的效果是，板子上的兩個LED燈交替閃爍，下面是原理圖：
完。