1. INTEGRITY启动链全景认知

在嵌入式实时操作系统 INTEGRITY 中，“启动链”并不是一个简单的“上电—跳转—运行”动作，而是一条由硬件复位、引导固件、引导加载程序、操作系统内核、系统初始化与应用加载共同构成的可信执行路径。理解这条路径的完整阶段划分，是后续做系统构建、镜像裁剪、启动优化与安全加固的前提。本节从加电瞬间开始，逐段拆解 INTEGRITY 启动链的各个阶段、每阶段的核心任务以及工程上必须遵守的约束。

一、启动链的整体阶段划分

从工程视角看，INTEGRITY 的启动链可以划分为五个逻辑阶段：硬件复位与 ROM 引导、引导加载程序（Bootloader）、内核加载与初始化、系统服务与驱动初始化、应用加载与调度启动。这五个阶段并非彼此孤立，而是通过“控制权移交”和“运行环境升级”串联起来：每一阶段都在为下一阶段准备更完整的执行环境，同时把可信边界向前推进一层。

需要特别强调的是，INTEGRITY 作为面向高安全场景的 RTOS，其启动链的每个阶段都带有明确的工程约束：镜像必须可校验、内存布局必须可预测、初始化顺序必须可确定、应用加载必须可隔离。这些约束不是可选项，而是启动链能够稳定收敛到“应用可调度”状态的基础。

二、各阶段核心任务与工程约束

阶段一：硬件复位与 ROM 引导。CPU 上电后从固定复位向量取指，片内 ROM 代码首先建立基本时钟与 PLL，使 CPU 和外设获得稳定工作频率。此阶段的核心任务是“把系统从不可控的模拟状态带入可控的数字状态”。工程约束在于：复位向量地址由芯片手册固定，不可修改；ROM 代码通常只做最小初始化，不承担复杂校验；Bootloader 镜像的存放位置和加载地址必须在链接脚本中预先确定。

阶段二：Bootloader 执行。Bootloader 是启动链中第一个“可被工程修改”的环节。它通常完成三件事：对内核镜像做完整性校验（如 CRC 或签名验证）、将内核镜像从 Flash 搬运到 RAM 中的运行地址、跳转到内核入口。工程约束包括：搬运目标地址必须与内核链接地址严格一致，否则跳转后取指异常；校验失败时必须进入明确的错误处理分支，而不是继续跳转；Bootloader 自身应尽量精简，减少被攻击面。

阶段三：内核加载与初始化。控制权移交到 INTEGRITY 内核后，内核首先建立 MMU 和页表，把物理地址空间映射为可管理的虚拟地址空间；随后清零 BSS 段、初始化内核数据结构、接管中断向量。此阶段的核心任务是“建立内核自身的运行环境”。工程约束在于：MMU 映射必须覆盖内核代码段、数据段和栈区；中断向量表必须在使能中断之前完成填充；调度器数据结构必须在内核初始化完成时处于一致状态。

阶段四：系统服务与驱动初始化。内核就绪后，开始按配置顺序初始化系统服务：时钟驱动、串口驱动、文件系统、安全服务、资源池等。此阶段的核心任务是“把内核能力转化为系统能力”。工程约束在于：驱动之间存在依赖关系，例如文件系统依赖块设备驱动，安全服务依赖时钟和随机数源，初始化顺序不可随意调换；资源池的容量必须在编译期或配置期确定，运行期不可动态扩张。

阶段五：应用加载与调度启动。最后阶段加载应用镜像，为每个应用建立独立的地址空间，创建任务或线程，并最终启动调度器。此阶段的核心任务是“把系统能力交付给应用”。工程约束在于：应用镜像必须通过完整性校验；各应用地址空间必须隔离，防止越权访问；调度器启动前所有任务必须已创建完毕，避免运行期动态创建带来的不确定性。

三、启动链的收敛判据与异常处理

一条健康的启动链最终应收敛到明确的可观测状态：内核调度器已运行、系统服务可用、应用任务进入就绪态、串口或日志有正常输出。工程上通常用串口打印的启动日志作为第一手判据，例如看到内核版本号、服务初始化完成标记、应用任务启动标记依次出现，即可判断启动链走通。

如果任一阶段校验失败，启动链应中止并进入安全恢复或复位循环，而不是“带病继续”。这是 INTEGRITY 面向高安全场景的基本设计原则：启动链的每一步都必须可验证，验证失败必须可收敛到已知安全状态。理解这一点，后续做镜像裁剪、启动加速和安全加固时，才能清楚哪些环节可以优化、哪些环节绝对不能省略。