IP分片没有重传机制，只要有一个分片丢失，整个包就会被丢弃，可靠性急剧下降。这是Linux内核为UDP隧道提供的标准化扩展接口，VXLAN、IPsec、GRE等基于UDP的隧道协议，通过注册封装回调函数，实现内核态的隧道报文自动解封装，无需经过用户态转发，性能提升一个数量级，是云计算虚拟化网络的核心底层能力。它剥离了TCP复杂的连接管理、可靠重传、流量控制、拥塞控制机制，仅保留最核心的端口寻址和校

MTK的preloader、LK不是脱离ATF标准的自研体系，而是ARMv8标准启动阶段的平台化实现，只是因为BROM是32位，才出现了AArch32 BL2 + 暖复位切换的特殊设计，核心职责与标准BL2完全等价。之前关注的AVB 2.0链式验签、vbmeta校验，全部发生在BL33（LK）阶段，属于系统级安全校验，和BL1-BL2的芯片级安全启动是两层独立的信任链。BL32 运行在 Secur

它为数据包缓冲区预留了headroom（头部空闲空间）和tailroom（尾部空闲空间），协议栈各层添加协议头（以太网头、IP头、TCP头）时，只需移动指针，无需拷贝整个数据包内容，实现了协议栈各层之间的零拷贝处理，极大降低了CPU开销。，是整个网络栈的“流通货币”。针对网络协议的分层特性，sk_buff专门设计了固定的协议头指针（链路层、网络层、传输层），各层协议可以快速定位自己的协议头，无需遍

硬件级隔离：TrustZone将系统划分为两个完全隔离的世界，即使Android系统被完全攻破，安全世界中的密钥和数据仍然安全密钥硬件保护：所有密钥的生成、存储和使用都在TEE中完成，密钥永远不会以明文形式离开安全硬件分层密钥体系：采用多层级密钥派生架构，一个密钥泄露不会影响整个系统的安全防暴力破解：由硬件强制实施密码尝试限制，即使是6位PIN码也无法被暴力破解。

负责加载和初始化TEE操作系统（如OP-TEE、Trusty）；包含字符串操作、内存操作、密码学算法（SHA、RSA、ECC、国密SM2/SM3/SM4）等库函数。负责验证BL31、BL32、BL33的签名；这里包含了具体芯片的TZC-400配置、安全启动密钥验证、硬件初始化代码。，负责验证BL2的签名；包含最基础的异常处理和上下文切换代码。包含各个平台的设备树源文件，描述硬件资源的地址、中断等信

由 Linaro 维护，为 Linux 内核的 trusted keys 子系统提供安全世界侧的密钥密封/解封能力，是典型的符合 GlobalPlatform TEE 规范的 TA 实现。这是密封后输出的二进制格式：IV、认证标签与密文打包在一起，解密时直接从 blob 中读取，无需外部额外传递，是 AEAD 算法的标准封装方式。这是一个运行在 OP-TEE 安全世界的用户态 TA，核心能力是基于

核心设计思想：安全世界只定义请求协议，所有和 Linux 系统资源的交互，全部由 supplicant 在用户态代理完成，安全世界不需要也不能直接操作系统调用。process_one_request() 是整个程序的核心调度函数，每调用一次处理一条来自安全世界的 RPC 请求，完整流程分为 6 步。每个新建的工作线程，和主线程一样，都是循环调用 process_one_request，抢着处理请求

只有同版本ATF编译出的fiptool打包的镜像，才能被当前BL1正常解析；提前规避FIP格式错误，如果校验失败，BL1上电会直接卡在FIP header check failed，无法启动后续固件，提前校验节省调试时间。U-Boot运行在NS-EL1非安全世界，负责初始化外设、加载Linux内核、传递启动参数，是安全世界和普通操作系统的中间引导层。终端打印出 TB_FW、SCP_FW、TOS_F

我们拆解了ATF的完整启动链路与安全启动实现，而BL32阶段的OP-TEE，正是安全世界的核心业务载体——它运行在Secure EL1特权级，是可信应用（TA）的运行操作系统，也是Android Keystore、Widevine L1、安全支付等所有上层安全业务的底层执行环境。对于调试学习场景，legacy模式完全够用，不需要额外处理。这种被动式的线程模型，非常适合TEE的业务场景：安全世界的所

两个世界的所有切换、状态变更都必须由 EL3 固件完成，这是 TrustZone 安全隔离的硬件根基。，对应 3 套独立软件系统；OP-TEE 硬件适配层，封装消息协议、SMC 调用、中断处理、RPC 分发逻辑。EL3 运行时主体，实现异常向量表、SMC 通用处理、电源管理、安全状态切换。设备，处理安全世界反向 RPC，代理 TA 加载、文件访问、RPMB 操作。世界切换的唯一硬件枢纽，负责 SM