4. INTEGRITY BootROM与引导加载程序分析

在 INTEGRITY 系统的启动链中，BootROM 是芯片上电后执行的第一段不可修改的固件，它承担着“信任根”的角色。与通用操作系统不同，INTEGRITY 的 BootROM 并不直接加载完整内核，而是先完成最小化的硬件初始化，再根据外部引脚或内部熔丝状态选择引导模式，最终把控制权交给引导加载程序（Bootloader）。理解这一层的职责边界、模式选择逻辑、参数传递机制以及调试接口，是排查启动失败、分析安全启动链、进行固件升级的基础。

BootROM 的职责边界

BootROM 通常固化在芯片内部 ROM 中，容量有限（常见为 32KB～128KB），因此它只做“必须做且不能出错”的事情。其核心职责可归纳为四类：

• 时钟与电源初始化：配置 PLL、分频器、稳压器，使 CPU 和必要外设达到可运行频率。例如将 24MHz 晶振倍频到 600MHz 内核时钟，同时保持 DDR 控制器处于复位状态。
• 最小外设初始化：仅初始化引导所需接口，如 SPI Flash 控制器、SD/eMMC 控制器、UART 或 USB 设备控制器。DDR 初始化通常由 BootROM 完成基础训练，或交由 Bootloader 的 SPL 阶段处理。
• 引导模式判定：读取引导模式引脚（BOOT_MODE[1:0]）或一次性可编程熔丝（OTP），决定从哪种介质加载下一阶段镜像。
• 镜像校验与跳转：对加载的 Bootloader 镜像进行头部解析、CRC 或签名校验，校验通过后跳转到镜像入口地址。

需要特别注意的是，BootROM 不负责文件系统解析、网络协议栈或复杂命令交互。这些功能属于 Bootloader 的职责范围。BootROM 只保证“把正确的下一段代码安全地搬进内存并执行”。

引导模式选择

INTEGRITY 芯片通常支持多种引导模式，通过上电时采样 BOOT_MODE 引脚电平组合来确定。以下是一个典型的两引脚四模式示例：

引脚电平在复位释放后的几个时钟周期内被锁存到 BootROM 内部寄存器，之后引脚可复用为其他功能。如果引脚悬空或电平不稳定，BootROM 会进入默认模式（通常是 SPI NOR），但可能因采样抖动导致启动失败。因此硬件设计时需为 BOOT_MODE 引脚添加明确的上拉或下拉电阻，阻值建议 10kΩ，并在 PCB 布局时远离高频信号线。

除了引脚模式，部分 INTEGRITY 芯片还支持“熔丝强制模式”。当 OTP 中对应位被烧写后，BootROM 会忽略引脚状态，强制从指定介质启动。这种机制用于量产阶段锁定启动路径，防止通过改变引脚进入调试模式绕过安全校验。

引导参数传递

BootROM 在跳转到 Bootloader 之前，会通过约定的寄存器或内存结构传递一组引导参数。这些参数是 Bootloader 正确接管硬件、继续加载内核的前提。典型参数包括：

• 启动介质类型：告知 Bootloader 当前从 SPI 还是 SD 启动，以便它重新初始化对应控制器。
• 镜像加载地址与长度：BootROM 已将 Bootloader 镜像搬运到 SRAM 或 DDR 的某个地址，需告知 Bootloader 自身位置和大小。
• 校验结果：签名或 CRC 校验是否通过，Bootloader 可据此决定是否继续或进入恢复模式。
• 硬件配置字：如 DDR 时序参数、时钟频率、串口波特率等，通常以结构体形式放在固定内存偏移处。

以某 INTEGRITY 芯片为例，BootROM 在 SRAM 起始地址 0x0010_0000 处放置一个 64 字节的引导参数块，结构如下：

typedef struct {
    uint32_t magic;          // 0x49425450 ("IBTP")
    uint32_t boot_media;     // 0=SPI, 1=SD, 2=UART, 3=USB
    uint32_t image_addr;     // Bootloader 镜像加载地址
    uint32_t image_size;     // 镜像字节数
    uint32_t crc_result;     // 0=通过, 非0=失败
    uint32_t ddr_freq_khz;   // DDR 工作频率
    uint32_t uart_baud;      // 调试串口波特率
    uint32_t reserved[9];
} boot_params_t;

Bootloader 入口代码首先读取 magic 字段，若匹配则解析其余字段；若不匹配，说明 BootROM 未正确传递参数，Bootloader 应回退到默认配置或进入安全恢复流程。这种“魔数+结构体”的方式在嵌入式引导中非常常见，优点是解析简单、兼容性好，缺点是参数块地址和布局必须与 BootROM 版本严格对应。

调试接口与启动观测

BootROM 阶段可用的调试手段有限，但非常关键。最常用的是 UART 调试串口。BootROM 在初始化 UART 后，会输出简短的启动标记，例如：

IBTP BootROM v1.2
BOOT_MODE = 00 (SPI NOR)
Loading image from 0x0000_0000 ...
CRC OK, jumping to 0x0010_0000

这些输出能帮助判断启动卡在哪一步：如果只看到第一行，说明时钟或 UART 初始化后卡在介质探测；如果看到 “CRC OK” 但没有跳转，可能是入口地址配置错误。部分芯片还支持 BootROM 级别的 JTAG 调试，但通常需要在熔丝中使能调试端口，量产芯片默认关闭以防止攻击。

另一个重要观测点是引导模式引脚的实际电平。用示波器或逻辑分析仪在复位释放瞬间抓取 BOOT_MODE[1:0]，可以确认硬件采样值是否与设计一致。若发现引脚电平在复位期间有毛刺，需检查上拉/下拉电阻是否焊接、电源时序是否满足芯片要求。

常见启动异常与排查思路

当系统无法正常启动时，可按以下顺序排查 BootROM 阶段的问题：

1. 确认供电与复位时序：用示波器测量核心电压、IO 电压和复位信号，确保复位释放时所有电源已稳定。若复位释放过早，BootROM 可能采样到错误的 BOOT_MODE 电平。
2. 检查 BOOT_MODE 引脚：在复位释放瞬间抓取引脚电平，确认与设计一致。若使用 OTP 强制模式，需确认熔丝是否已正确烧写。
3. 观察 UART 启动日志：若完全无输出，检查 UART 引脚复用、波特率配置和串口线序；若有部分输出，根据最后一行判断卡点。
4. 验证镜像头部与校验：用烧录工具读取 Flash 中镜像的前 64 字节，确认 magic、长度和 CRC 字段正确。若 CRC 失败，重新生成镜像并烧录。
5. 检查参数块地址：确认 Bootloader 读取的地址与 BootROM 写入的地址一致。不同芯片版本可能调整参数块偏移，需查阅对应数据手册。

理解 BootROM 的职责边界和参数传递机制后，就能在启动链的源头建立清晰的观测点。下一阶段 Bootloader 将接管更复杂的初始化任务，包括 DDR 完整训练、文件系统挂载和内核加载，而 BootROM 留下的参数块正是它继续工作的起点。