Bootloader 原理：从复位到安全启动
Bootloader 这个词，说白了就是「引导加载程序」。它是一段在用户程序之前运行的代码，负责初始化硬件、加载固件、跳转到主程序。我刚开始做嵌入式时，总觉得 Bootloader 就是个跳板，后来踩过几次坑才明白——它其实是整个固件升级系统的基石。
你想想看，芯片上电后，CPU 从哪里开始执行？答案是复位向量。这个向量指向的地址，通常就是 Bootloader 的入口。所以 Bootloader 是芯片上电后第一个运行的代码，它的设计直接决定了固件升级的可靠性和安全性。
核心观点：Bootloader 不是「可有可无」的启动代码，而是固件升级系统的「看门人」。没有它，远程升级、安全启动、回滚保护都无从谈起。
Bootloader 的作用
我在项目中见过不少团队把 Bootloader 写得极其简单——就判断一下按键，然后跳转。结果产品量产后，升级失败变砖，售后成本飙升。Bootloader 至少应该承担以下职责：
- 硬件初始化：时钟、内存、外设等基础配置。注意，这里只初始化 Bootloader 自身需要的部分，不要全量初始化，否则会拖慢启动速度。
- 固件校验：检查主程序固件的完整性（CRC、SHA256 等），防止损坏的固件被执行。
- 升级管理：检测是否有新固件需要写入，如果有，则执行擦除、写入、校验流程。
- 跳转执行：校验通过后，跳转到主程序入口地址。
- 回滚保护：当新固件启动失败时，自动回退到上一个可用版本。
嗯，这里要注意：Bootloader 本身也要考虑升级。我习惯把 Bootloader 分成两个阶段——第一阶段（不可升级）和第二阶段（可升级），这样既能保证安全，又能灵活更新。
启动流程：从复位到跳转
芯片复位后，CPU 从复位向量地址取指令。这个地址通常指向 Flash 的起始位置，也就是 Bootloader 的入口。整个流程大致如下：
- 复位：CPU 从 0x00000000（或映射地址）读取栈指针，从 0x00000004 读取复位向量，跳转到 Bootloader 入口。
- 基础初始化：关闭中断、配置系统时钟、初始化 SRAM、设置堆栈。这一步要快，我一般控制在 100 个指令周期内。
- 硬件自检：检查关键外设（Flash、RAM、看门狗）是否正常。如果自检失败，进入错误处理循环。
- 升级检测：检查升级标志（GPIO 电平、Flash 标记位、通信接口数据）。如果有升级请求，进入升级模式。
- 固件校验：读取主程序固件的头部信息，计算校验值，与存储的参考值比对。
- 跳转准备：关闭 Bootloader 使用的中断、外设，设置主程序的中断向量表地址。
- 跳转：通过函数指针跳转到主程序入口。注意，跳转前要确保栈指针已经切换到主程序的栈。
我的经验：跳转前一定要关闭所有中断，否则主程序还没初始化完，中断就来了，直接崩溃。我曾经因为这个 bug 排查了整整两天。
下面这张图展示了从复位到跳转的完整流程：
双区启动与回滚机制
单区启动有个致命问题：升级过程中断电或通信异常，固件写到一半，设备就变砖了。双区启动就是为了解决这个问题。
双区启动，说白了就是把 Flash 分成两个区域：Bank A（当前运行区）和 Bank B（备份/升级区）。Bootloader 运行在一个独立的保护区（通常是 Flash 的前几页）。
| 区域 | 地址范围（示例） | 用途 |
|---|---|---|
| Bootloader | 0x08000000 - 0x08003FFF | 引导代码，不可升级（或通过特殊机制升级） |
| Bank A | 0x08004000 - 0x0803FFFF | 主程序当前运行区 |
| Bank B | 0x08040000 - 0x0807FFFF | 主程序备份/升级区 |
| 配置区 | 0x0807F000 - 0x0807FFFF | 存储启动标志、版本号、校验值 |
升级流程是这样的：
- 设备当前在 Bank A 运行。收到升级包后，写入 Bank B。
- 写入完成后，校验 Bank B 的完整性。校验通过，设置启动标志为「下次从 Bank B 启动」。
- 复位，Bootloader 读取启动标志，跳转到 Bank B。
- Bank B 运行后，如果一切正常，应用层可以通知 Bootloader「本次启动成功」，固化启动标志。
- 如果 Bank B 启动失败（看门狗超时、应用层未发送成功信号），Bootloader 检测到超时，自动回滚到 Bank A。
注意：回滚机制依赖一个「启动成功」的确认信号。我见过有些设计只靠看门狗超时来判断，结果正常启动但外设初始化慢，看门狗先超时了，导致反复回滚。建议在应用层初始化完成后，主动写一个标志位到配置区。
双区启动的另一个好处是：升级过程中如果断电，Bank A 的固件完好无损，设备重启后仍然从 Bank A 启动。升级只是「未完成」，不会「变砖」。
安全启动链
安全启动链，英文叫 Secure Boot Chain。它的核心思想是：每一级代码在运行前，都要验证下一级代码的签名和完整性。从芯片 ROM 开始，一级一级验证，形成一个信任链。
典型的链式结构是这样的：
- ROM Bootloader（芯片出厂固化）：验证 Flash 中的 Bootloader 签名。公钥烧死在芯片 OTP 中，无法篡改。
- Flash Bootloader：验证主程序固件的签名。公钥由 ROM Bootloader 传递，或者存储在 Flash 的保护区。
- 主程序：运行后，可以验证应用层模块或配置文件的签名。
我参与过一个物联网项目，客户要求固件必须签名验证。我们用了 ECDSA（椭圆曲线数字签名算法），私钥保存在服务器端，公钥烧录在芯片中。每次升级前，服务器用私钥对固件哈希签名，Bootloader 用公钥验签。这样即使攻击者拿到了固件文件，也无法伪造合法固件。
我的建议：安全启动链不是「全有或全无」。如果芯片资源有限，至少做到 Bootloader 验证主程序签名。如果连 Bootloader 都放不下签名验证代码，那至少做哈希校验，防止固件被篡改。
安全启动链的另一个关键点是防回滚。攻击者可能拿一个旧版本的固件（有已知漏洞）来降级设备。Bootloader 在验证签名后，还要检查版本号是否大于等于当前版本。版本号通常存储在 OTP 区域，只能递增，不能递减。
下面这张图展示了安全启动链的信任传递过程：
嗯，最后说一句：安全启动链不是万能的。如果攻击者能物理接触芯片，通过调试接口读取 Flash，那签名验证也防不住。安全是一个系统工程，Bootloader 只是其中一环。