3. 启动ROM与一级BootROM：芯片内部固化代码的作用、加载方式、安全启动的硬件根信任
芯片上电后，CPU 首先执行的代码并非来自外部 Flash 或硬盘，而是芯片内部固化的 BootROM（一级启动 ROM）。这段代码是芯片出厂时通过掩膜工艺写入的只读存储器，是系统启动流程的硬件根信任起点。本章深入分析 BootROM 的作用、加载机制以及安全启动的硬件锚点。
3.1 BootROM 的核心作用
BootROM 是芯片复位后第一条指令的所在地，其职责可归纳为以下四点：
| 作用 | 说明 | 典型实现 |
|---|---|---|
| 硬件初始化 | 设置 CPU 模式、关闭 MMU/Cache、配置关键时钟与堆栈指针 | ARM：设置 SVC 模式、SP 指向 SRAM 顶部 |
| 启动介质检测 | 按预设优先级扫描可启动设备（eMMC、NAND Flash、SD 卡、UART 等） | 读取 Boot Pin 电平或 OTP 配置 |
| 加载二级 Bootloader | 从检测到的介质中读取固定偏移处的代码到内部 SRAM | eMMC 的 Boot Partition 1 偏移 0x0 |
| 安全验证 | 校验二级 Bootloader 的数字签名或哈希值，确保未被篡改 | RSA-2048 签名验证 + SHA-256 哈希 |
关键概念： BootROM 是不可修改的掩膜 ROM，其代码在芯片设计阶段就已固定。任何 BootROM 级别的漏洞都需要芯片改版（Stepping）才能修复，因此其代码质量要求极高。
3.2 启动介质加载方式
BootROM 根据芯片外部引脚电平或 eFuse 配置，决定从哪个介质加载二级 Bootloader。常见的加载方式包括：
- Memory Mapped（内存映射）：如 SPI NOR Flash，BootROM 直接通过地址总线访问，CPU 可直接执行代码（XIP，Execute In Place）。
- Block Device（块设备）：如 eMMC、NAND Flash、SD 卡，BootROM 需通过控制器驱动读取固定扇区到 SRAM 后再跳转。
- Serial Download（串行下载）：如 UART、USB DFU，用于工厂烧录或调试模式，BootROM 等待主机发送数据。
工程经验： 多数 SoC 的 BootROM 会尝试多个介质，优先级由 Boot Pin 或 OTP 决定。例如 i.MX6 的启动顺序为：eFUSE 配置 > GPIO 电平 > 默认顺序（NOR - NAND - SD - SPI）。
3.3 安全启动的硬件根信任
安全启动（Secure Boot）的核心在于建立一条从 BootROM 到操作系统内核的信任链。BootROM 作为信任链的根，其自身必须是可信的。硬件根信任通常通过以下机制实现：
- 不可变存储：BootROM 代码固化在掩膜 ROM 中，无法被外部修改。
- 硬件密钥存储：公钥哈希或根证书存储在 eFuse / OTP 中，仅允许写入一次。
- 硬件加速验证：集成 RSA / ECC 引擎和 SHA 加速器，在 BootROM 中完成签名验证。
- 熔断机制：验证通过后，设置安全状态位，阻止非安全代码执行。
安全警示： 如果攻击者能够物理篡改 eFuse 值或利用 BootROM 漏洞（如缓冲区溢出），则整个信任链将崩溃。因此，BootROM 的代码审计和硬件抗攻击设计（如电压/时钟毛刺检测）至关重要。
3.4 BootROM 启动流程架构图
下图展示了从芯片上电到二级 Bootloader 加载完成的完整流程，突出 BootROM 在信任链中的根位置：
3.5 BootROM 与二级 Bootloader 的职责对比
理解 BootROM 与二级 Bootloader（如 U-Boot SPL）的边界，有助于设计清晰的启动架构：
| 对比维度 | BootROM（一级） | 二级 Bootloader |
|---|---|---|
| 存储介质 | 芯片内部掩膜 ROM | 外部 Flash / eMMC / SD 卡 |
| 可修改性 | 不可修改（需芯片改版） | 可通过固件升级更新 |
| 大小限制 | 通常 4KB ~ 128KB | 几十 KB 到几百 KB |
| 执行环境 | 内部 SRAM（通常 4KB ~ 256KB） | DDR 初始化后的大内存 |
| 安全职责 | 信任根，验证二级 Bootloader | 验证后续阶段（如 U-Boot、Kernel） |
| 驱动支持 | 极简驱动（仅支持启动介质） | 完整外设驱动（UART、USB、网卡等） |
3.6 工程实践：BootROM 加载二级 Bootloader 的典型代码流程
以下伪代码展示了 BootROM 从 eMMC 加载并验证二级 Bootloader 的核心逻辑：
// BootROM 伪代码：从 eMMC 加载并验证二级 Bootloader
void bootrom_main(void) {
// 1. 硬件初始化
cpu_init(); // 设置 CPU 模式、关闭 MMU/Cache
stack_init(); // 设置堆栈指针
clock_init(); // 配置系统时钟
// 2. 检测启动介质
boot_device_t dev = detect_boot_device();
// 3. 从介质读取二级 Bootloader 到 SRAM
uint8_t *dest = (uint8_t *)SRAM_BASE;
uint32_t size = read_device(dev, BOOT_OFFSET, dest, MAX_BOOT_SIZE);
// 4. 安全验证（如果使能）
if (secure_boot_enabled()) {
// 从 eFuse 读取公钥哈希
uint8_t pubkey_hash[32];
efuse_read(EFUSE_PUBKEY_HASH, pubkey_hash, 32);
// 验证二级 Bootloader 的签名
if (!verify_signature(dest, size, pubkey_hash)) {
// 验证失败，进入安全错误状态
secure_error_handler();
while(1); // 死循环
}
}
// 5. 跳转到二级 Bootloader
jump_to(SRAM_BASE);
}
调试技巧： 在开发阶段，可以通过设置特定 GPIO 电平或串口输入特定字符，让 BootROM 进入下载模式（如 USB DFU、UART 下载），绕过正常启动介质，直接通过主机加载代码到 SRAM 执行。这是嵌入式开发中常用的“救砖”手段。
3.7 常见 BootROM 实现对比
| 芯片厂商 | BootROM 大小 | 支持介质 | 安全启动方式 | 特色机制 |
|---|---|---|---|---|
| ARM Cortex-M 系列 | 4KB ~ 32KB | Flash、UART、USB | 可选 TrustZone-M | 向量表重定位、系统存储器模式 |
| NXP i.MX6 | 96KB | NOR、NAND、SD、eMMC、SATA | HAB（High Assurance Boot） | 支持加密固件、SRK 熔断 |
| TI AM335x | 64KB | NAND、MMC、SPI、UART | TI Secure Boot | 双 OTP 密钥、加密引擎 |
| Rockchip RK3588 | 128KB | eMMC、SD、SPI NOR、USB | Rockchip Secure Boot | MaskROM 模式、多级回退 |
3.8 安全启动的硬件根信任设计要点
在设计安全启动方案时，以下硬件根信任的要点需要特别关注：
- eFuse/OTP 管理：公钥哈希、安全使能位、回滚保护计数器等关键信息存储在 eFuse 中，需设计熔断策略，防止被恶意改写。
- 密钥层级：通常采用多级密钥体系——根密钥（存储在 eFuse）→ 二级密钥（由根密钥签名）→ 固件密钥。BootROM 仅需存储根密钥的哈希。
- 回滚保护：通过 eFuse 中的版本计数器，防止攻击者加载旧版本固件（存在已知漏洞）。
- 物理攻击防护：BootROM 需检测电压毛刺、时钟毛刺、激光注入等物理攻击，一旦检测到异常立即复位或进入安全状态。
常见陷阱： 部分芯片的 BootROM 在调试接口（如 JTAG/SWD）未正确锁定情况下，攻击者可直接通过调试器读取或修改内存，绕过安全启动。量产产品必须确保调试接口已永久熔断。
3.9 本章小结
BootROM 作为芯片启动的第一行代码，承担着硬件初始化、介质检测、二级 Bootloader 加载和安全验证的核心职责。其不可修改的特性使其成为安全启动的硬件根信任。理解 BootROM 的工作机制，是掌握嵌入式系统启动流程的基础，也是设计安全可靠产品的前提。