3. INTEGRITY启动链中的硬件初始化

INTEGRITY是一个面向高可靠嵌入式系统的实时操作系统，其启动链从CPU复位那一刻起就进入严格受控的状态。与通用Linux启动不同，INTEGRITY的启动过程强调确定性、可验证性和最小依赖。本节聚焦启动链最底层的硬件初始化阶段，讨论复位向量如何接管控制权、时钟与内存控制器如何被配置到可用状态，以及如何验证一个最小系统已经具备继续启动的条件。

复位向量：启动链的第一条指令

当处理器退出复位状态时，程序计数器被强制指向一个预定义的地址，这个地址就是复位向量。复位向量通常位于芯片内部ROM或外部非易失存储器的固定偏移处，具体位置由SoC架构决定。以常见的ARM Cortex-A系列为例，复位向量一般位于0x00000000或由芯片配置引脚选择的高地址映射区；PowerPC架构则通常从0xFFFFFFFC取第一条指令。

复位向量处存放的并不是完整的启动代码，而是一段极短的跳转指令或向量表入口。它的唯一职责是在硬件尚未完成任何初始化之前，把控制权交给真正的启动固件。在INTEGRITY系统中，这段固件通常是板级支持包中的初级引导代码，它运行在物理地址空间，不依赖缓存和MMU。

实际工程中需要关注三个关键点：第一，复位向量的地址映射必须与芯片的启动模式引脚一致，否则CPU会从错误的位置取指；第二，向量处的第一条指令必须是位置无关或基于绝对地址的正确跳转，不能依赖尚未初始化的寄存器；第三，如果使用外部Flash启动，需要确认Flash控制器的默认时序是否足以支撑首次取指，否则会出现取指失败导致启动挂死。

时钟与内存控制器配置

复位后，CPU通常运行在一个保守的低频时钟上，例如内部RC振荡器提供的24MHz或25MHz。这个频率足以执行初始化代码，但无法发挥系统性能，也不满足DDR内存控制器的时序要求。因此，启动固件的早期任务之一就是切换时钟树。

时钟配置一般包括以下环节：使能外部晶振并等待其稳定，通常需要几毫秒的起振时间；配置锁相环的倍频系数和分频系数，把低频参考时钟倍频到目标频率；切换CPU、总线和外设的时钟源，并确认切换完成。以一颗假设的SoC为例，外部晶振为24MHz，PLL倍频系数设为40，分频系数设为2，则PLL输出为480MHz，CPU核心可运行在480MHz，总线可运行在120MHz。这些参数必须与芯片数据手册中的约束一致，超出范围会导致锁相环失锁或系统不稳定。

时钟稳定之后，才能安全地初始化内存控制器。DDR控制器的配置涉及大量参数：行地址选通延迟、列地址选通延迟、预充电时间、刷新周期、读写延迟、驱动强度、ODT设置等。这些参数来自DDR颗粒的数据手册和PCB走线长度，通常由板级设计人员提供。启动固件需要把这些参数写入控制器的寄存器，然后执行一次内存训练或校准流程，确认读写窗口正确。

一个常见的教学示例是：DDR3-1600颗粒，CL=11，tRCD=11，tRP=11，tRAS=28，刷新周期7.8微秒。控制器寄存器需要按这些值换算成时钟周期数并写入。如果参数错误，表现为内存读写不稳定、启动过程中随机崩溃或根本无法完成内存自检。

最小系统启动条件验证

硬件初始化完成后，不能直接假设系统已经可用。INTEGRITY启动链要求在移交控制权之前，对最小系统条件进行显式验证。所谓最小系统，是指CPU、时钟、内存和基本调试输出通道已经就绪，足以支撑后续内核加载和任务调度。

验证通常按以下顺序进行。首先检查时钟状态寄存器，确认PLL锁定标志已经置位，且当前时钟源与预期一致。如果PLL未锁定，后续所有基于时钟的外设都会异常。其次对内存进行基本读写测试：向一段已知地址写入特定模式，例如0x5A5A5A5A和0xA5A5A5A5，再读回比较。这一步可以暴露地址线粘连、数据线短路或DDR参数错误。第三，确认栈指针已经指向有效的RAM区域，通常设置为内存高地址向下增长，避免与代码段冲突。第四，初始化一个简单的串口或调试通道，输出一条启动标记信息，例如“INTEGRITY BSP: minimal system OK”。这条信息是后续调试的重要锚点。

在实际项目中，建议把上述验证结果编码为一个状态字，每一位对应一项检查。例如bit0表示时钟锁定，bit1表示内存测试通过，bit2表示栈指针有效，bit3表示串口可用。启动固件在完成所有检查后，把这个状态字写入一个固定的保留寄存器或内存地址，供后续内核或调试工具读取。如果某一位为0，说明对应条件未满足，启动流程应停留在当前阶段并输出错误码，而不是继续跳转到内核。

常见问题与排查思路

启动挂死在复位向量附近，通常先检查启动模式引脚和Flash映射是否正确。如果CPU根本没有取到有效指令，串口不会有任何输出。此时可以用示波器观察Flash片选和时钟引脚，确认是否有访问动作。

时钟配置后系统跑飞，常见原因是PLL参数超出芯片允许范围，或者切换时钟源时没有等待稳定标志。建议在切换前后插入状态寄存器轮询，确认目标时钟已经锁定再继续执行。

内存测试失败但参数看起来正确，需要检查DDR颗粒的供电和参考电压是否稳定，以及PCB走线是否满足等长要求。在某些情况下，降低DDR频率可以临时验证是否为信号完整性问题。如果降频后测试通过，说明原频率下的时序余量不足，需要调整驱动强度或ODT设置。

最小系统验证通过后仍然无法进入内核，问题通常不在硬件初始化阶段，而应转向内核镜像加载地址、入口点设置或缓存/MMU配置。此时保留的启动状态字和串口输出就是定位问题边界的重要依据。