3. RH850启动流程与内存映射解析
RH850 系列 MCU 的启动过程并不是“上电即执行 main”，而是一条由硬件强制规定的取指路径。理解这条路径的关键，是把复位向量、启动 ROM、选项字节、时钟初始化、RAM/Flash 分区以及各阶段代码执行顺序串成一条完整链路。只有看清每个阶段“谁在跑、从哪里取指、依赖什么条件”，才能在安全启动与 FOTA 升级中准确插入校验、跳转和回滚逻辑。
复位向量与启动 ROM：硬件决定的第一跳
RH850 上电复位（或外部 RESET 释放）后，CPU 首先从固定地址读取复位向量。以 RH850/F1x、RH850/P1x 等常见系列为例，复位入口通常位于代码 Flash 的起始区域（如 0x0000_0000 附近），向量表中存放的是复位处理程序的入口地址。CPU 取到该地址后跳转执行，这段最先运行的代码往往不是用户应用，而是芯片内置的启动 ROM（Boot ROM）或启动固件。
启动 ROM 的职责包括：初始化最基本的系统状态、读取选项字节（Option Byte）、判断启动模式（如主 Flash 启动、串行编程启动、调试启动），并在必要时进入引导加载流程。选项字节通常位于 Flash 的固定配置区（例如 0x0000_0000 之后的配置字区域，具体偏移依型号而定），其中包含看门狗使能、时钟源选择、启动模式、安全相关位等。若选项字节配置错误，芯片可能直接进入串行编程模式或反复复位，这是调试启动问题时最先要排查的点。
时钟初始化：启动阶段最容易被忽视的依赖
启动 ROM 在读取选项字节后，会根据配置决定使用内部高速振荡器（如 HOCO）还是外部主振荡器。若选项字节选择外部晶振，启动 ROM 会等待振荡稳定标志置位，再切换系统时钟。这个等待时间直接影响从上电到用户代码执行的时间。在 FOTA 场景中，如果 Bootloader 需要驱动 CAN 或以太网进行固件传输，就必须在跳转前完成通信外设所需的时钟配置，否则会出现“代码已运行但通信不工作”的现象。
实际调试时，可以在时钟切换前后设置断点，观察系统时钟状态寄存器（如 SCKSC 或类似寄存器）的切换完成位。若该位长时间不置位，应检查外部晶振是否起振、负载电容是否匹配、选项字节中的时钟源选择是否正确。
启动阶段代码执行顺序与调试器跟踪
使用调试器（如 Renesas E2/E2 Lite 配合 CS+ 或 e² studio）跟踪启动过程时，建议按以下顺序设置断点：
- 在复位向量地址处设置硬件断点，确认 CPU 确实从该地址取指。
- 在启动 ROM 返回用户代码的跳转指令处设置断点，观察跳转目标地址是否与链接脚本中的 Bootloader 入口一致。
- 在 Bootloader 的 main 函数入口设置断点，检查栈指针（SP）是否已指向 RAM 区合法范围。
- 在安全校验函数返回处设置断点，观察校验结果寄存器或返回值，判断是跳转 App 还是进入升级流程。
调试时常见的问题是：断点无法命中，原因可能是选项字节将芯片配置为串行编程启动模式，CPU 根本没有执行用户 Flash 中的代码。此时需要检查调试器连接状态和启动模式引脚电平。
RAM/Flash 分区与链接脚本的对应关系
RH850 的链接脚本（.ld 或 .dr 文件）必须与芯片实际内存映射一致。典型的分区思路是：复位向量和选项字节放在 Flash 起始处；Bootloader 占用独立的 Flash 扇区，不与 App 重叠；App 区从某个扇区边界开始；升级备份区放在 Flash 末尾或独立数据 Flash 中；RAM 区则划分为栈区、堆区和全局变量区。
在 FOTA 设计中，Bootloader 和 App 的 Flash 分区边界必须与升级协议中的地址定义严格一致。例如，若 Bootloader 占用 0x0000_0000 至 0x0000_FFFF，App 从 0x0001_0000 开始，则升级包中的目标地址字段必须从 0x0001_0000 起算。任何偏移错误都会导致升级后无法启动。
把启动流程与内存映射放在一起理解，本质上是在回答一个问题：从上电到 main 之间，芯片到底按什么顺序、从哪些地址、依赖哪些配置完成了控制权移交。掌握这条链路后，安全启动的校验插入点和 FOTA 的跳转决策点就有了明确的落点。