1. 航电计算平台启动链全景

航电计算平台与通用计算机最大的区别在于：它必须在确定的时间内、以确定的顺序、把确定的功能交到飞行员和飞控系统手里。因此，启动链不是"上电后等操作系统起来"这么简单，而是一条被严格划分、逐级校验、逐级移交控制权的确定性链路。理解这条链路的阶段划分、每阶段的核心任务与时间约束，是后续所有硬件初始化、BSP 移植、启动优化工作的坐标系。

一、为什么航电启动链要"分阶段"

分阶段的本质是把一个不可控的长过程，拆成若干个可验证、可度量、可回退的短过程。每个阶段结束时都有一个明确的"交接点"：上一阶段必须证明自己成功（校验通过、状态就绪），才把控制权交给下一阶段。这样做的工程收益有三点：

• 可定位：启动失败时，通过阶段标志或串口打点即可判断卡在哪一级，而不是面对一个"黑屏"。
• 可约束：每个阶段有独立的时间预算，便于分配 CPU 主频、存储器带宽和看门狗超时。
• 可降级：某些阶段允许在非关键功能缺失的情况下继续推进，例如显示子系统未就绪时先进入安全模式。

二、六个阶段的划分与核心任务

典型的航电计算平台启动链可划分为六个阶段，从加电到应用加载依次为：

1. 上电复位与硬件自检（POR/BIST）：电源稳定后释放复位，时钟树锁定，CPU 从复位向量取指。此阶段完成最基本的 CPU 内核自检、内存控制器初检和关键外设存在性探测。核心任务是"确认硬件活着"。
2. 引导 ROM（BootROM）：固化在芯片内的不可修改代码，负责初始化最小启动介质接口（如 SPI Flash、eMMC），加载第一阶段引导程序到片内 SRAM。核心任务是"把第一段可执行代码搬进来"。
3. 一级引导（SPL/FSBL）：运行在片内 SRAM，容量受限（通常几十 KB），负责初始化 DDR、时钟和必要引脚复用，然后把二级引导加载到 DDR。核心任务是"把大内存打开"。
4. 二级引导（U-Boot/引导加载器）：运行在 DDR，功能完整，负责加载操作系统镜像或 RTOS 镜像、设备树，完成镜像完整性校验（CRC/哈希/签名），最后跳转到内核入口。核心任务是"校验并移交"。
5. 操作系统/RTOS 初始化：内核解压、建立页表、初始化调度器、挂载根文件系统、启动各驱动子系统。核心任务是"建立运行环境"。
6. 应用加载与就绪：启动航电应用分区、加载配置数据、完成健康监控注册，进入可调度状态。核心任务是"交付功能"。

这六个阶段并非所有平台都严格一一对应，例如某些 SoC 把 BootROM 与 SPL 合并，某些 RTOS 平台没有独立的二级引导。但"复位→小代码→大内存→校验→内核→应用"这条控制权移交主线是共通的。

三、各阶段的典型时间约束

时间约束来自两个方向：一是系统级要求，例如某型航电平台规定"加电到应用就绪不超过 5 秒"；二是阶段级预算，把总预算按经验比例分配到各阶段。下表给出一组教学示例参数，用于说明分配思路，并非任何真实型号的实测数据。

四、阶段之间的依赖关系与常见卡点

六个阶段不是简单串联，而是存在明确的依赖：DDR 未初始化完成，二级引导就无法运行；设备树未正确传递，内核就找不到外设；根文件系统未挂载，应用就无法读取配置。因此，实际排障时最有效的方法是"看最后一个成功的阶段标志"。

常见的卡点集中在三处：

• DDR 训练失败：表现为 SPL 阶段无输出或反复重启。需要检查 DDR 型号参数、时序配置和参考电压。
• 镜像校验失败：表现为二级引导打印校验错误后停止。需要确认镜像是否被截断、签名是否匹配、存储介质是否有坏块。
• 根文件系统挂载失败：表现为内核启动到某一步后进入 panic 或紧急 shell。需要检查分区表、文件系统类型和启动参数中的 root= 指向。

五、把启动链当作"确定性交付链"来设计

航电计算平台的启动链设计，本质上是在做三件事：划分阶段、定义交接条件、分配时间预算。阶段划分决定了可观测性和可回退性；交接条件决定了安全性和完整性；时间预算决定了系统级响应能力。三者共同构成启动链的确定性。