一、Bootloader 基础概念
1.1 什么是 Bootloader
Bootloader，说白了就是芯片上电后最先跑的那段程序。它比操作系统还早启动，负责把真正的应用程序从 Flash 里搬出来、跳转过去。
我经常跟团队里的新人说：Bootloader 就像汽车的钥匙门。你拧钥匙，车先自检，油泵工作，然后发动机才点火。Bootloader 干的就是「自检 + 搬运」的活。
在嵌入式系统里，Bootloader 通常驻留在 Flash 的起始地址。它体积很小，几 KB 到几十 KB 不等。但别小看这几 KB 代码——它要是挂了，整个 ECU 就变砖了。
1.2 Bootloader 在车载 ECU 中的角色
车载 ECU 的 Bootloader 和普通嵌入式 Bootloader 不太一样。普通设备可能一辈子不升级，但车上的 ECU 不一样——OTA 普及后，一个 ECU 可能要升级几十次。
我参与过一个项目，客户要求 ECU 支持 100 次以上 Flash 擦写不失效。嗯，这里要注意：Bootloader 的可靠性直接决定了 ECU 的生命周期。
车载 Bootloader 主要承担三个角色：
- 启动管理者——决定跑 App 还是进升级模式
- 升级执行者——通过 CAN/LIN/FlexRay 接收新固件，写入 Flash
- 安全守门员——校验签名、防止刷入非法固件
你想想看，如果 Bootloader 在升级过程中断电了怎么办？所以它还得具备恢复机制。我曾经遇到过一台测试车，升级到一半电池亏电了……幸好 Bootloader 里有备份区，不然就得拆 ECU 回来用编程器救。
| 角色 | 职责 | 典型实现 |
|---|---|---|
| 启动管理者 | 判断启动条件，选择启动路径 | 检查标志位、超时计数 |
| 升级执行者 | 接收数据、擦写 Flash、校验完整性 | UDS 诊断服务、Flash 驱动 |
| 安全守门员 | 固件签名验证、防回滚保护 | RSA/ECC 签名、安全存储 |
1.3 启动流程概览
车载 ECU 的启动流程，我习惯把它分成四个阶段。每个阶段都有坑，咱们一个一个说。
- 硬件初始化——关看门狗、配时钟、初始化 RAM。这一步要快，我见过有人在这里做全 RAM 测试，白白浪费 200ms。
- 启动条件判断——检查升级请求标志、App 有效性、安全状态。如果一切正常，就准备跳转。
- App 加载与校验——计算 CRC 或验证签名。这里要注意：校验失败不能直接死机，要回退到 Bootloader 等待升级。
- 跳转执行——关闭中断、设置堆栈指针、跳转到 App 入口。跳转后 Bootloader 就不再运行了。
下面这张图是我自己画的启动流程，你可以对照着看：
1.4 为什么启动时间这么重要？
你可能觉得：多等几百毫秒有什么关系？
关系大了。现代汽车有几十个 ECU，每个都慢 200ms，整个网络就绪时间就拖到了秒级。更关键的是：某些安全相关的 ECU 必须在规定时间内完成自检并上报状态，比如安全气囊控制器。
我记得有一次，客户要求 Bootloader 启动时间不超过 100ms。我们团队花了三周优化，最后发现瓶颈在 Flash 驱动——厂商提供的库函数太保守了。我们自己重写了擦写流程，直接省了 60ms。
所以，启动时间优化不是锦上添花，而是硬性需求。后面 29 章，我会把这些年踩过的坑、总结的方法，一个一个讲给你听。