📚 课程目录第3章 Bootloader核心原理

3. Bootloader核心原理

Bootloader 是固化在 MCU 内部 Flash 起始区域的一段独立程序，它先于应用程序运行，负责判断“该启动谁、要不要升级、升级后是否可信”。在 S32K 这类车规级 MCU 上，Bootloader 不只是“下载器”，而是启动流程的仲裁者：它掌握复位向量、Flash 驱动、通信接口和应用程序有效性判据，最终决定把控制权交给应用程序，还是停留在升级模式等待上位机。

一、Bootloader 的四个核心职责

启动仲裁：复位后首先运行，读取升级请求标志、App 有效标志，决定进入 App 还是升级模式。
通信与下载：通过 CAN、LIN、UART 或以太网接收固件数据，按协议分包、校验、写入 Flash。
Flash 操作：擦除、编程、校验，S32K 需按扇区/块操作，并处理 ECC 与写入对齐。
有效性检查与跳转：校验 App 的栈指针、复位向量、CRC/签名，合法后跳转执行。

这四项职责构成一条清晰的启动决策链，下图给出 S32K 上从复位到跳转的完整信号与数据流。

二、启动模式与跳转机制

S32K 的启动模式通常分为三类：正常启动（直接跳转 App）、升级模式（停留在 Bootloader 等待下载）、恢复模式（App 损坏时强制进入升级）。模式选择依赖一个持久化标志，常放在 Flash 的配置扇区或备份寄存器中，避免掉电丢失。

跳转机制的关键是“把 CPU 交给 App 的复位向量”。Cortex-M 内核复位后从向量表取两个值：偏移 0x00 是初始 MSP，偏移 0x04 是 Reset_Handler 地址。Bootloader 跳转前必须完成以下动作：

关闭全局中断与 SysTick，防止跳转后中断仍指向 Bootloader 向量表。
把 App 向量表首地址写入 SCB->VTOR，重定向中断向量。
从 App 向量表读取初始 MSP 并写入 __set_MSP()。
取出 Reset_Handler 地址，以函数指针方式跳转。

/* S32K Bootloader 跳转到 App 的核心代码 */
typedef void (*app_entry_t)(void);

void jump_to_app(uint32_t app_base)
{
    uint32_t app_sp   = *(volatile uint32_t *)(app_base);
    uint32_t app_pc   = *(volatile uint32_t *)(app_base + 4U);

    /* 1. 关闭中断 */
    __disable_irq();
    SysTick->CTRL = 0;

    /* 2. 重定向向量表 */
    SCB->VTOR = app_base;

    /* 3. 设置主栈指针 */
    __set_MSP(app_sp);

    /* 4. 跳转到 App 复位处理函数 */
    app_entry_t entry = (app_entry_t)app_pc;
    entry();
}

跳转前若未关闭中断或未重定向 VTOR，App 运行后一旦触发中断，CPU 会按旧向量表跳回 Bootloader 区域，典型现象是“App 跑几毫秒后复位”或“HardFault 随机出现”。

三、应用程序有效性检查

“App 存在”不等于“App 可用”。Flash 中可能只有半包固件、CRC 错误或被擦除成 0xFF。Bootloader 必须在跳转前做有效性检查，常见判据如下表。

检查项	判据	失败后果
栈指针 SP	位于 SRAM 合法范围且 8 字节对齐	跳转后立即 HardFault
复位向量 PC	位于 App Flash 区间且 bit0=1（Thumb）	取指异常或跑飞
固件长度	头部记录长度 ≤ App 分区容量	越界擦写、覆盖 Bootloader
CRC32 / 哈希	整包校验值与头部一致	数据损坏仍被运行
数字签名	RSA/ECC 验签通过	被篡改固件进入量产
版本号	不低于当前版本（防回滚）	降级攻击、兼容性事故

工程上通常把 SP、PC、长度、CRC 作为“快速检查”，签名作为“安全启动”的强校验。快速检查在每次上电都做，签名校验可只在升级完成后做一次，以平衡启动时间与安全性。

四、双区（A/B）升级思想与场景

单区升级的最大风险是“擦除即失联”：一旦在擦除 App 区时断电，设备将无程序可运行。双区思想把 Flash 划分为 A、B 两个等大分区，Bootloader 始终保留，升级时只写非活动区，校验通过后再切换活动标志。

正常流程：A 区运行，新固件写入 B 区，校验通过后标志切到 B，复位后运行 B。
失败回退：B 区写入或校验失败，标志仍指向 A，设备继续用旧版本运行。
断电保护：切换标志采用“先写新标志、再清旧标志”的原子顺序，配合 CRC 防止标志半写。
空间代价：双区需要约两倍 App 空间，S32K 选型时要预留足够 Flash。

双区不是“两个 App 同时运行”，而是“一个运行、一个待命”。Bootloader 通过活动标志决定跳转目标，App 自身无需感知 A/B 差异，只需在升级请求时写入标志并复位。

五、常见误区与复盘

误区一：把跳转当成普通函数调用。跳转后不会返回，Bootloader 的栈和中断状态必须彻底交出去，否则 App 的栈会与 Bootloader 残留数据冲突。

误区二：只校验 CRC 不校验 SP/PC。CRC 正确但向量表被误擦的固件依然会跑飞，快速检查必须放在 CRC 之前。

误区三：升级标志写在 RAM。掉电即丢，设备重启后无法判断该进升级还是进 App，标志必须持久化到 Flash 或备份寄存器。

误区四：双区切换后忘记重定向 VTOR。A/B 两区向量表地址不同，跳转前必须按目标区基址更新 VTOR，否则中断仍落在旧区。

复盘时可用一条判断链检查 Bootloader 是否可靠：复位后能否稳定读到标志 → 无请求时能否通过 SP/PC/CRC → 跳转前是否关中断并重定向 VTOR → 升级中断电后能否回退到旧版本。四步都通过，Bootloader 才具备量产级鲁棒性。