2. RH850微控制器架构基础

RH850是瑞萨面向车载控制与功能安全场景的32位RISC微控制器系列，其架构设计围绕实时性、确定性与安全性展开。理解RH850的内核、存储映射、中断控制器、时钟复位系统以及外设总线，是后续实现可信启动与安全软件工程的前提。本节从安全启动的视角，梳理这些基础模块的关键特性与相互关系。

一、RH850内核与安全启动的支撑关系

RH850采用多核架构，常见配置包括一个主核（PE）与若干协处理核（如G3M、G4MH等系列中的锁步核或性能核）。内核基于RH850指令集，具备确定性的中断响应与低延迟外设访问能力。对安全启动而言，内核层面最关键的支撑包括：

• 启动模式选择：通过模式引脚或选项字节决定从内部Flash、外部存储器或调试接口启动，这是可信启动链的起点。
• 特权级与内存保护：内核支持特权模式与用户模式，配合MPU（内存保护单元）可限制启动代码对关键区域的访问。
• 锁步与ECC：部分型号支持双核锁步运行，配合Flash与RAM的ECC校验，为启动阶段的完整性提供硬件级保障。

内核在复位释放后首先执行启动代码，该代码负责初始化时钟、配置存储控制器并校验后续镜像。因此，内核的启动行为直接决定了信任根能否被正确建立。

二、存储映射与启动镜像布局

RH850采用统一的地址映射，典型区域包括：

启动镜像通常由Bootloader、应用镜像和元数据（如签名、版本、长度）组成。Bootloader位于受保护区域，负责校验应用镜像后再跳转。存储映射的固定性使得校验逻辑可以基于绝对地址进行，但也要求开发者在链接脚本中严格约束各段位置。

/* 典型链接脚本片段：将启动代码固定在Flash起始处 */
MEMORY {
  VECTORS (rx) : ORIGIN = 0x00000000, LENGTH = 0x400
  BOOT    (rx) : ORIGIN = 0x00000400, LENGTH = 0x1C00
  APP     (rx) : ORIGIN = 0x00002000, LENGTH = 0x3E000
}
SECTIONS {
  .vectors : { *(.vectors) } > VECTORS
  .boot    : { *(.boot)    } > BOOT
  .app     : { *(.text .rodata) } > APP
}

三、中断控制器与时钟复位系统

RH850的中断控制器（INTC）支持多级优先级、嵌套中断与向量化跳转。在安全启动过程中，中断通常被暂时屏蔽，以确保校验流程不被异步事件打断。启动完成后，再按需使能外设中断。INTC的配置需注意：

• 向量表基址寄存器必须在启动早期设置，且指向受保护区域。
• 优先级分组应避免启动关键任务被低优先级中断长期抢占。
• 部分型号支持中断到安全核的路由，可用于故障上报。

时钟与复位系统是启动流程的“节拍器”。RH850通常包含主振荡器、PLL、分频器以及多种复位源（上电复位、看门狗复位、软件复位）。启动代码需在时钟稳定后切换至PLL，并确认复位原因寄存器，以区分正常启动与异常复位。若看门狗在启动阶段超时，可能导致反复复位，因此校验耗时必须纳入看门狗喂狗策略。

四、外设总线与安全启动的数据通路

RH850通过多层总线矩阵连接内核、Flash、RAM与外设。安全启动涉及的关键数据通路包括：从Code Flash读取镜像、通过DMA或CPU搬运至校验缓冲区、以及通过通信外设（如CAN、以太网、UART）接收外部更新镜像。总线层面的安全考量包括：

• Flash读取是否启用ECC，读取错误是否触发异常。
• DMA通道是否被限制在合法地址范围，防止越界搬运。
• 外设总线访问是否受时钟门控与保护机制约束。

下图展示了RH850在安全启动场景下的主要模块与数据流关系，包括内核、存储、中断、时钟复位以及外设总线之间的连接与校验路径。

五、案例与常见误区

某车载网关项目在RH850上实现安全启动时，初期版本将镜像校验放在应用层，导致Bootloader未校验即跳转，攻击者可通过替换应用镜像绕过检查。复盘后调整为：Bootloader在跳转前完成签名验证，并将校验结果写入受保护的Data Flash区域。另一个常见误区是忽略时钟初始化顺序，在PLL未锁定时读取Flash，导致校验数据错误。正确做法是等待时钟稳定标志后再进行任何存储访问。

综上，RH850的内核、存储映射、中断控制器、时钟复位系统与外设总线共同构成了安全启动的硬件基础。只有将这些模块的配置与校验流程紧密结合，才能建立从复位向量到应用跳转的完整信任链。