4. Stellar启动与引导链设计
Stellar 系列 MCU 的启动过程并不是“上电即运行应用”这么简单。它是一条由硬件固化逻辑、片上 ROM 代码、用户可编程引导程序和应用固件共同组成的引导链。对于汽车域控制器而言，这条链既要保证功能安全与信息安全，又要在极短时间内完成，还要支持量产阶段的刷写、回滚和诊断。理解 BootROM、二级引导、安全启动、启动时间预算以及量产刷写对启动架构的要求，是设计可靠域控软件的基础。
BootROM：不可更改的第一段代码
Stellar 芯片内部固化了一段 BootROM，它是上电后 CPU 执行的第一段代码。BootROM 的主要职责包括：初始化最基本的时钟与内部 SRAM、读取启动模式引脚或 OTP（一次性可编程）配置、判断启动介质（如内部 Flash、外部 QSPI Flash、CAN/LIN 下载模式等），然后从选定介质加载二级引导程序到片内 RAM 并跳转执行。BootROM 本身不可修改，因此它的行为由芯片定义和外部引脚/OTP 共同决定。
在域控制器中，常见的启动模式配置包括：正常启动（从外部 Flash 加载）、串行下载模式（用于产线首次刷写或救砖）、以及测试模式。设计硬件时，必须把启动模式引脚接到可控的 GPIO 或拨码开关，并保证量产时默认进入正常启动。BootROM 还会对加载的二级引导程序做初步校验，例如检查头部魔数和长度，但通常不承担完整的签名验证，这部分留给后续阶段。
二级引导：承上启下的关键层
二级引导程序（通常称为 SBL，Secondary Boot Loader）是用户可编程的第一段代码，运行在片内 SRAM 中。它承担着比 BootROM 更丰富的任务：初始化外部 Flash 控制器和 DDR（如果应用需要）、校验应用镜像的完整性与真实性、管理 A/B 分区与回滚、提供刷写与诊断入口，最后把控制权交给应用。SBL 的设计质量直接决定启动链的可靠性和可维护性。
一个典型的 SBL 启动流程如下：首先从 Flash 固定偏移读取应用镜像头，解析版本、长度、签名和哈希；然后对镜像体做 SHA-256 计算，并用存储在 OTP 或受保护区域的公钥验证 ECDSA 签名；验证通过后，将镜像搬运到运行地址（可能是 DDR 或片内 Flash 映射区），设置栈指针和向量表，跳转到应用入口。如果验证失败，SBL 应尝试切换到备份分区，或停留在刷写模式等待诊断指令。
安全启动：从信任根到应用
安全启动的核心是建立一条从不可变信任根到应用固件的信任链。Stellar 的信任根通常位于 BootROM 和 OTP 中：BootROM 使用 OTP 中烧录的公钥哈希来验证 SBL 的签名，SBL 再用另一组公钥验证应用镜像。这样，攻击者即使篡改了外部 Flash 中的内容，也无法通过签名校验。
实现安全启动时，需要关注几个关键点。第一，密钥管理：签名私钥应在 HSM 中生成和保管，公钥或公钥哈希在产线烧录到 OTP，一旦烧录不可更改。第二，镜像格式：镜像头应包含版本号、安全版本号、镜像长度、签名算法标识、签名值和证书链（如使用 X.509）。第三，防回滚：安全版本号单调递增，SBL 拒绝加载低于当前安全版本号的镜像，防止攻击者利用旧版本漏洞。第四，调试口保护：量产件应关闭或锁定 JTAG/SWD，防止通过调试接口绕过安全启动。
启动时间预算与优化
域控制器通常要求在上电后数百毫秒内输出第一帧 CAN 报文或响应诊断，因此启动时间预算是硬约束。以 500 ms 目标为例，可以按以下方式分配：BootROM 约 20 ms，SBL 初始化（时钟、Flash、DDR）约 80 ms，安全校验约 120 ms，镜像搬运约 100 ms，剩余约 180 ms 作为应用初始化和余量。这些数值是教学示例，实际项目必须用 GPIO 翻转加示波器或芯片周期计数器实测。
优化启动时间的手段包括：使用硬件加速的 SHA 和 ECDSA 引擎，避免软件实现；只校验实际要运行的分区，而不是全部镜像；将 SBL 中非必要的初始化延后到应用阶段；使用 XIP（就地执行）减少搬运时间；对镜像做分块校验，允许应用在部分校验完成后提前启动关键任务。需要注意的是，任何优化都不能削弱安全校验的完整性，否则会引入安全风险。
量产刷写对启动架构的要求
量产刷写要求启动架构支持可恢复、可验证、可追溯的写入流程。典型方案是 A/B 双分区：SBL 维护一个分区表，记录当前活动分区、备份分区和每个分区的状态（有效、待验证、无效）。刷写时，诊断工具通过 UDS 或自定义协议把新镜像写入非活动分区，写入完成后计算哈希并写入分区头。下次启动时，SBL 校验新分区，若通过则切换活动分区并标记旧分区为备份；若失败则回滚到旧分区。
刷写流程还需要考虑断电保护。写入过程中如果掉电，分区状态可能处于“写入中”。SBL 启动时应检查分区状态，若发现未完成写入，则丢弃该分区并继续使用原活动分区。此外，产线首次刷写通常通过 BootROM 的串行下载模式完成，此时 SBL 和应用都尚未烧录，需要保证下载协议稳定、校验严格，并记录刷写日志以便追溯。
综合来看，Stellar 启动与引导链设计需要同时满足功能安全、信息安全、启动时间和量产可维护性四个维度的要求。BootROM 提供不可变的起点，SBL 承担校验、切换和刷写管理，安全启动建立信任链，时间预算约束实现方式，而量产刷写则要求分区管理和断电保护。只有把这些环节作为一个整体来设计，才能构建出既安全又可靠的域控制器启动架构。