把Flash控制器编程落到Flash控制器编程的触发条件、可观察状态和复查材料上，先判断问题从哪里收窄。
记录输入、环境、时序或操作动作，先保留现场证据。
优先保留日志、返回码、状态位或波形片段。
把命令、配置和日志放到同一时间窗口，再只调整一个会改变链路状态的条件。
把返回码、计数器和吞吐变化分开留存，避免把一次偶然恢复当成结论。
Flash控制器编程用Flash控制器编程、F7扇区擦除、双字写入时序连接到Flash控制器编程的调试、验证和交付动作。
在 STM32 引导加载程序（Bootloader，简称 Bootloader）的逆向分析与升级流程还原中，Flash 控制器的编程时序是决定固件烧录可靠性的核心环节。STM32F4/F7 系列采用不同的 Flash 架构——F4 基于扇区（Sector）管理，F7 则引入更细粒度的扇区组（Sector Group）概念，但两者的擦除与编程（烧录，Flash）操作都遵循“解锁 → 擦除 → 写入 → 锁定”的主链路。本节将聚焦于这两个系列在扇区擦除与双字（128-bit）写入时的关键时序、配置寄存器操作以及常见的错误处理路径，确保你在逆向分析 Bootloader 时能准确还原其 Flash 驱动逻辑
在逆向分析 Bootloader 时，优先定位 FLASH_CR（控制寄存器）和 FLASH_SR（状态寄存器）的访问序列。擦除操作前必须检查 BSY 位（忙标志），写入操作前必须确认 PG 位（编程使能）已置位
Flash控制器编程落地前要同时核对Flash控制器编程的F7扇区擦除、失败路径和双字写入时序。
STM32F4/F7 的 Flash 擦除操作并非原子指令，而是一个由硬件状态机管理的多步骤流程。以 STM32F4 为例，擦除一个扇区的标准时序包括：解锁 Flash 控制器（向 FLASH_KEYR 写入密钥序列）、设置 FLASH_CR 的 SER 位（扇区擦除使能）并选择目标扇区号（SNB 位域），最后置位 STRT 位启动擦除。硬件在擦除期间会置位 BSY 位，完成后自动清除。F7 的流程类似，但扇区号编码方式不同，且支持更灵活的扇区组擦除
容易出错的步骤集中在“解锁序列”和“等待完成”两个环节。解锁序列必须连续写入两个 32 位密钥，若中间插入其他 Flash 操作，控制器会锁定并产生错误标志。等待完成时，不能仅检查 BSY 位，还需同时检查 FLASH_SR 中的 PGSERR（编程序列错误）和 PGPERR（编程并行错误）等错误位，否则可能掩盖擦除失败
在一次车载 OTA 升级故障排查中，Bootloader 在擦除旧固件扇区后未检查 PGSERR 位，导致后续写入操作在错误的 Flash 地址上执行。逆向分析时发现，FLASH_SR 中残留的擦除错误标志未被清除，而写入函数仅依赖 BSY 位判断完成。修复方案是在擦除函数末尾增加 FLASH_SR 全位清除与错误校验
在逆向分析中，FLASH_CR 的 PSIZE 位域（编程并行度）常被忽略。STM32F4/F7 支持 8 位、16 位、32 位和 64 位并行度，但双字写入要求 PSIZE 必须设置为 64 位（即 0x02）。若 Bootloader 代码中 PSIZE 配置错误，写入操作会触发 PGPERR 错误。此外，FLASH_CR 的 LOCK 位在操作完成后必须由硬件自动置位，但部分 Bootloader 实现会显式调用锁定函数，逆向时需区分这两种模式
图表解读：对应正文“双字写入：时序约束与校验机制”。这张图以最终 Mermaid 图中的真实节点为准，先观察“Flash控制器编程：STM32F4/F7扇区擦除与双字写入时序”的主链。读图顺序：核心控制对象 → STM32F4/F7 → 关联模块 / 外围对象 → Flash
节点说明：【Flash分区】表示可观察对象，标出该节点在主线中的位置；检查重点：相关操作、判断条件或常见问题。
双字（128 位）写入是 STM32F4/F7 提升编程效率的关键特性。写入时序要求：解锁 Flash、设置 FLASH_CR 的 PG 位（编程使能）、将待写入的 128 位数据拆分为两个 64 位字（高 64 位和低 64 位），并依次写入目标地址。硬件会在写入完成后自动执行内部校验，若校验失败则置位 FLASH_SR 的 WRPERR（写保护错误）或 PGERR（编程错误）
逆向分析时，需关注 Bootloader 是否在写入前执行了“预校验”——即读取目标地址的当前值，若不为 0xFFFFFFFF（已擦除状态），则跳过写入或触发错误处理。这一机制在 A/B 分区升级中尤为重要，因为回滚标志（Rollback Flag）通常存储在 Flash 的特定扇区，写入前必须确认该扇区已被擦除
双字写入的可靠性取决于 PSIZE 配置与地址对齐。目标地址必须按 8 字节（64 位）对齐，否则写入操作会静默失败。逆向时，检查 FLASH_CR 的 PSIZE 位域是否为 0x02，以及写入地址的低 3 位是否为 0x0
在 Bootloader 的 Flash 驱动中，最常见的错误是“未等待前一操作完成即启动新操作”。例如，擦除扇区后立即写入，但 BSY 位尚未清除，导致写入操作被忽略或触发 PGSERR。另一个典型错误是“写入后未清除 PG 位”，这会使 Flash 控制器持续处于编程模式，影响后续擦除操作。逆向分析时，可通过跟踪 FLASH_CR 的 PG 位状态来判断 Bootloader 是否遵循了“写入后立即清除使能位”的规范
复盘Flash控制器编程时，可以先问“安全或机制边界在哪里”：数据说明对象，Flash说明条件，Flash说明可观察结果。如果条件换成擦写时序或从扇区擦除到双字写入的工程实现，原结论可能只剩参考价值，需要重新检查假设、测量方式和解释范围。擦写时序最好保留成一张关系说明，帮助读者在新章节里判断这套机制是否还能解释问题。如果后续章节复用本节判断，先问知识结构是否还成立，再看方法框架是否改变擦写时序的解释范围。第03节留下的风险提示是知识结构不要脱离概念联动单独判断，否则容易把现象误当成原因。