3、Bootloader设计：Bootloader的作用、启动流程、双区备份机制（A/B分区）的设计原理
好，咱们进入第三章。这一章聊的是Bootloader，说白了就是固件升级的「守门员」。我做了这么多年物联网项目，见过太多因为Bootloader没写好，导致设备变砖的惨案。你想想看，一个设备部署到野外，OTA升级到一半断电了，结果再也起不来了——这种售后成本，谁扛得住？
所以，Bootloader的设计，核心就三个字：稳、准、狠。稳是稳定可靠，准是精准跳转，狠是容错机制要够狠。咱们一个一个拆开讲。
3.1 Bootloader的作用
Bootloader，其实就是一个「微型操作系统」。它不负责跑业务逻辑，只负责两件事：启动引导和固件升级。
具体来说，它的职责包括：
- 硬件初始化：时钟、GPIO、串口、Flash控制器等，让芯片能跑起来。
- 固件校验：检查应用程序的完整性，比如CRC32、SHA256。我遇到过客户反馈设备死机，查了半天，原来是Flash里数据被篡改了一位，Bootloader没校验就直接跳过去了。
- 升级决策：判断是否需要进入升级模式。比如检测到某个GPIO电平、或者收到远程升级指令。
- 跳转执行：把控制权交给应用程序。这一步看似简单，但中断向量表的重映射、栈指针的恢复，一个不对就崩了。
核心原则：Bootloader要尽量「轻量」。我见过有人把FreeRTOS塞进Bootloader里，结果升级包还没下载完，内存先爆了。记住，Bootloader不是应用，它只是个「搬运工」。
3.2 启动流程
启动流程，说白了就是芯片上电后，Bootloader干了哪些事。我习惯把它分成四个阶段：
- 第一阶段：硬件自检。检查Flash、RAM、时钟是否正常。如果连晶振都没起振，后面全是白搭。
- 第二阶段：升级判断。检查是否有升级标志。比如某个Flash扇区里写入了「升级请求」标记，或者外部引脚被拉低。
- 第三阶段：固件校验。如果不需要升级，直接校验当前应用程序。校验通过，跳转；不通过，进入升级模式。
- 第四阶段：执行跳转。关闭中断、设置栈指针、跳转到应用入口地址。
这里我画了一张流程图，帮你理清思路：
避坑指南：我曾经在跳转前忘记关中断，结果应用启动时，一个未处理的中断直接导致HardFault。所以，跳转前一定要：关全局中断、清中断标志位、重新映射中断向量表。这三步，少一步都不行。
3.3 双区备份机制（A/B分区）的设计原理
双区备份，也叫A/B分区。说白了就是：把Flash分成两个区，一个跑应用，一个做备份。升级时，往空闲区写新固件，写完了再切换启动区。这样即使升级过程中断电，设备也能从旧区正常启动。
我最早接触这个设计，是在做智能电表项目的时候。当时客户要求「升级失败率低于万分之一」，单区方案根本做不到。后来用了A/B分区，效果立竿见影。
3.3.1 分区布局
典型的Flash分区布局如下：
| 分区名称 | 起始地址 | 大小 | 内容 |
|---|---|---|---|
| Bootloader | 0x08000000 | 32KB | 启动引导代码 |
| 分区A（应用） | 0x08008000 | 256KB | 当前运行的应用 |
| 分区B（备份） | 0x08048000 | 256KB | 新固件或回滚备份 |
| 参数区 | 0x08088000 | 16KB | 升级标志、版本号等 |
3.3.2 升级流程
双区升级的流程，其实不复杂：
- 下载新固件：写入到当前不使用的分区。比如当前跑的是A区，就把新固件写入B区。
- 校验完整性：对B区进行CRC或哈希校验。如果校验失败，直接丢弃，标记升级失败。
- 切换启动分区：在参数区写入「下次启动从B区启动」的标志。
- 重启设备：Bootloader读取参数区，发现要启动B区，校验B区固件完整性，通过后跳转。
- 回滚机制：如果B区启动失败（比如看门狗超时），Bootloader自动切回A区，保证设备不「死」。
关键点：切换启动分区的操作，一定要「原子化」。我习惯的做法是：先擦除参数区，再写入新标志。如果写入一半断电了，参数区是空的，Bootloader会默认启动A区。这样就不会出现「标志写了一半，两边都不认」的尴尬情况。
3.3.3 代码示例：分区切换逻辑
下面是一段伪代码，展示Bootloader如何判断启动哪个分区：
// 读取参数区中的启动标志
uint32_t boot_flag = read_flash(PARAM_SECTOR_ADDR);
if (boot_flag == BOOT_FROM_PARTITION_B) {
// 校验B区固件
if (verify_firmware(PARTITION_B_ADDR, PARTITION_SIZE)) {
// 校验通过，跳转到B区
jump_to_app(PARTITION_B_ADDR);
} else {
// B区固件损坏，回滚到A区
write_flash(PARAM_SECTOR_ADDR, BOOT_FROM_PARTITION_A);
jump_to_app(PARTITION_A_ADDR);
}
} else {
// 默认启动A区
if (verify_firmware(PARTITION_A_ADDR, PARTITION_SIZE)) {
jump_to_app(PARTITION_A_ADDR);
} else {
// A区也坏了？进入恢复模式
enter_recovery_mode();
}
}
注意：双区方案虽然可靠，但会占用双倍的Flash空间。对于Flash只有512KB的芯片，分两个256KB区，应用就得「瘦身」。我建议在项目初期就评估好Flash容量，别等到开发到一半才发现空间不够。
3.4 小结
Bootloader的设计，说白了就是「用空间换可靠」。双区备份虽然浪费了一半Flash，但换来了极高的升级成功率。我个人觉得，对于远程部署的LoRa节点，这个代价是值得的。你想想看，一个节点在野外，升级失败变砖了，派人去现场维修的成本，远不止那256KB Flash的钱。
嗯，这一章就到这里。记住：Bootloader是设备的「最后一道防线」，设计得越稳，后面越省心。
公众号:蓝海资料掘金营，微信deep3321