1. AUTOSAR Bootloader 基础架构搭建

任务目标

本案例要求梳理AUTOSAR Bootloader从芯片上电复位到应用启动的完整时序，明确各阶段职责与跳转判定逻辑。完成本案例后，应能独立画出启动流程图，并解释每个阶段为何存在、由谁触发、以何种条件结束。

启动流程总览

AUTOSAR Bootloader（以下简称BSW）位于复位向量之后、应用软件（App）之前，其执行本质是一个带状态回退的跳转决策器。完整流程分为五个阶段：

硬件复位与启动代码：MCU上电或复位后，CPU从复位向量取出首条指令，执行芯片厂商提供的启动文件（startup.s），完成堆栈指针、中断向量表基地址、时钟源、看门狗初始配置。
Bootloader早期初始化：进入Bootloader的C入口函数（如Boot_Init()），关闭全局中断，重新配置系统时钟到目标频率，初始化内存保护单元（MPU）以隔离Boot与App区域，关闭看门狗或将其设为窗口模式。
通信与诊断初始化：初始化CAN/以太网等通信驱动，注册UDS诊断服务（0x10会话控制、0x34请求下载、0x36传输数据等），使Bootloader具备外部通信能力。
跳转条件判定：读取非易失性存储器中的跳转标志（Jump Flag）与编程请求标志（Programming Request Flag）。判定逻辑为：若编程请求有效，则停留在Bootloader并进入编程会话；否则检查App的有效性（校验头、CRC），有效则跳转，无效则停留等待编程。
跳转与App启动：跳转前关闭外设中断、恢复默认中断向量表、将PC指向App的起始地址（通常为0x00008000或链接脚本指定的地址），并执行一条跳转指令。

核心判定逻辑实现

以下代码展示跳转条件判定的最小可复现实现，包含标志读取、App有效性检查与跳转操作。该代码可直接编译运行于PC模拟环境（通过文件模拟Flash），用于验证判定逻辑的正确性。

#include <stdint.h>
#include <stdbool.h>
#include <stdio.h>
#include <string.h>

/* 模拟Flash存储：前16字节为Boot标志区，后接App镜像 */
#define APP_START_ADDR   0x10
#define APP_HEADER_SIZE  8
#define APP_CRC_OFFSET   4
static uint8_t flash_mem[256];

/* 跳转标志：0x5A5A表示允许跳转，其他值禁止 */
#define JUMP_FLAG_OK     0x5A5A
#define JUMP_FLAG_ADDR   0x00

/* 编程请求标志：0x3C3C表示有编程请求 */
#define PROG_REQ_ACTIVE  0x3C3C
#define PROG_REQ_ADDR    0x02

/* 模拟App入口函数 */
void app_entry(void) {
    printf("App started at 0x%X\n", (unsigned int)app_entry);
}

/* 读取16位小端标志 */
static uint16_t read_flag(uint8_t offset) {
    return (uint16_t)(flash_mem[offset] | (flash_mem[offset+1] << 8));
}

/* 简单CRC8校验（多项式0x07） */
static uint8_t calc_crc8(const uint8_t *data, uint16_t len) {
    uint8_t crc = 0;
    for (uint16_t i = 0; i < len; i++) {
        crc ^= data[i];
        for (uint8_t bit = 0; bit < 8; bit++) {
            if (crc & 0x80) crc = (crc << 1) ^ 0x07;
            else crc <<= 1;
        }
    }
    return crc;
}

/* 检查App是否有效：验证头标识与CRC */
static bool is_app_valid(void) {
    if (flash_mem[APP_START_ADDR] != 0xAA || flash_mem[APP_START_ADDR+1] != 0x55)
        return false;
    uint8_t stored_crc = flash_mem[APP_START_ADDR + APP_CRC_OFFSET];
    uint8_t calc_crc = calc_crc8(&flash_mem[APP_START_ADDR], APP_HEADER_SIZE);
    return (stored_crc == calc_crc);
}

/* Bootloader主判定函数 */
void boot_main(void) {
    uint16_t jump_flag = read_flag(JUMP_FLAG_ADDR);
    uint16_t prog_flag = read_flag(PROG_REQ_ADDR);

    printf("Jump flag: 0x%04X, Prog flag: 0x%04X\n", jump_flag, prog_flag);

    if (prog_flag == PROG_REQ_ACTIVE) {
        printf("Programming requested - stay in Bootloader\n");
        return;  /* 进入UDS编程会话 */
    }

    if (jump_flag == JUMP_FLAG_OK && is_app_valid()) {
        printf("App valid, jumping...\n");
        /* 实际MCU中此处为函数指针跳转 */
        app_entry();
    } else {
        printf("App invalid or jump flag not set - stay in Bootloader\n");
    }
}

/* 测试用例：模拟不同Flash内容 */
void run_test_case(const char *name, uint16_t jump, uint16_t prog,
                   uint8_t app_header, uint8_t app_crc) {
    printf("\n=== %s ===\n", name);
    memset(flash_mem, 0xFF, sizeof(flash_mem));
    flash_mem[JUMP_FLAG_ADDR] = jump & 0xFF;
    flash_mem[JUMP_FLAG_ADDR+1] = jump >> 8;
    flash_mem[PROG_REQ_ADDR] = prog & 0xFF;
    flash_mem[PROG_REQ_ADDR+1] = prog >> 8;
    flash_mem[APP_START_ADDR] = app_header;
    flash_mem[APP_START_ADDR+1] = 0x55;
    flash_mem[APP_START_ADDR+APP_CRC_OFFSET] = app_crc;
    boot_main();
}

int main(void) {
    /* 用例1：正常跳转 */
    uint8_t crc = calc_crc8((uint8_t[]){0xAA,0x55,0x00,0x00,0x00,0x00,0x00,0x00}, 8);
    run_test_case("Valid App, jump allowed", 0x5A5A, 0x0000, 0xAA, crc);

    /* 用例2：编程请求优先 */
    run_test_case("Programming request active", 0x5A5A, 0x3C3C, 0xAA, crc);

    /* 用例3：App无效 */
    run_test_case("Corrupt App", 0x5A5A, 0x0000, 0xAA, 0x00);

    /* 用例4：跳转标志未置位 */
    run_test_case("Jump flag not set", 0x0000, 0x0000, 0xAA, crc);
    return 0;
}

编译与运行

gcc -o boot_test boot_test.c
./boot_test

验证方法

程序输出应包含四个测试用例的判定结果。通过条件：

用例1输出App valid, jumping...并打印App入口地址；
用例2输出Programming requested - stay in Bootloader，即使App有效也不跳转；
用例3输出App invalid or jump flag not set - stay in Bootloader；
用例4输出同上（因跳转标志未置位）。

若四个用例输出与上述一致，则判定逻辑实现正确。实际MCU移植时，将flash_mem替换为真实Flash驱动，app_entry()替换为函数指针跳转（需先关闭中断并重设栈指针）。

关键设计说明

编程请求优先于跳转标志：即使App有效，只要诊断仪请求编程，Bootloader必须停留在Boot模式，防止编程过程中App被意外启动。
App有效性检查：跳转前必须验证App头标识与CRC，避免跳转到损坏代码导致系统死锁。
标志位存储位置：实际项目中跳转标志通常存放于独立EEPROM扇区或备份区，避免与App镜像同区被擦除。

📚 课程目录