Cortex-M4 运行原理与通用 Bootloader（GD32 / STM32）

本文把 Cortex-M4 从上电复位到双镜像 Bootloader 跳转 APP串成一条线。核级行为以 ARM 架构手册为准；F407 类地址、时钟、扇区、IRQ 以 ST / 兆易手册为准。文中的 APP 基址、魔数、升级路径是工程约定示例，换芯片时必须核对手册。

示例数值：APP 基址 0x08010000、魔数 0x0000A5A5、升级文件 0:/firmware/app.bin。IRQ 编号、扇区表、SRAM 容量因型号而异，不要机械套用。

0. 导读与术语速查

后面所有章节都围绕同一条故事线：上电 → 硬件读向量表 → C 库启动 → 你的 main →（可选）BL 升级 → 跳 APP。若某节读起来抽象，先回到这里查术语，再对照各章开头的「Bootloader 里会碰到」。

MCU

一颗芯片 = CPU 核 + Flash + SRAM + 外设，靠总线按地址互通。

Cortex-M4

ARM 32 位 MCU 常用内核；只执行 Thumb-2 指令，PC 最低位必须为 1。

Flash / SRAM

Flash 存程序与常量（典型 0x08000000）；SRAM 存变量与栈（典型 0x20000000）。

向量表

Flash 开头的地址表（数据，不是指令）：第 0 项是栈顶，第 1 项是 Reset 入口，其后是各异常/中断 Handler 地址。

VTOR

向量表偏移寄存器：告诉 CPU「当前这张表从哪个地址开始」。双镜像时 BL 与 APP 各有一张表。

PC / SP / LR

程序计数器、栈指针、链接寄存器。跳转 APP 至少要换 MSP（栈）和 PC（入口）。

MSP / PSP

两套栈指针。裸机 BL 通常全程用 MSP；RTOS 里线程常用 PSP，中断仍用 MSP。

NVIC

嵌套向量中断控制器：使能外设 IRQ、设优先级、挂起/清除中断。

异常 vs 中断

Reset、Fault、SysTick 等统称异常；口语「中断」多指外设 IRQ。

EXC_RETURN

进中断时硬件写入 LR 的魔术值；BX LR 时 CPU 识别为异常返回而非普通跳转。

Thumb 位

写入 PC 的地址 bit0 必须为 1；清 0 会 UsageFault。

小端

多字节整数低地址放低字节。F4 固定小端；用十六进制编辑器看 bin 时不要按大端读。

SystemInit / __main

启动链：先配时钟，再拷 .data、清 .bss，最后进 main。

弱符号 Handler

启动文件里未实现的中断默认 B . 死循环；写了同名 C 函数则覆盖。

PRIMASK

__disable_irq() 置位后屏蔽大部分 IRQ；跳转 APP 前常用。

DSB / ISB

内存屏障：改 VTOR 后应 __DSB(); __ISB();。

双镜像

Flash 前段 Bootloader、后段 APP，各含独立向量表与代码；复位永远进 BL 表。

镜像信息 / 魔数

Flash 上约定字段（magic、长度、CRC），BL 用来判断 APP 是否合法。

热启动跳转

软件改 MSP/PC 进 APP，不等同芯片复位：外设、VTOR、NVIC 不会自动恢复默认。

1. 从 C 到硅片：地址地图与 MCU 组成

1. 先建立心智模型

后面几百段文字都围着三件事转。先把它们当成「工厂里的三样道具」：

再加一张仓库平面图：Flash、SRAM、GPIO、USB 控制器都只是不同地址。CPU 不理解「这是程序」或「这是引脚」——它只按地址读/写 32 位。读 0x08000000 可能是指令；写某个 GPIO 置位寄存器，引脚就跳变。

图 1　MCU 不是「一个会跑 C 的黑盒」，而是核按地址访问三类资源。

CPU（这里是 Cortex-M4）：取指令、做加减、改 PC、响应异常。它几乎不直接「知道」USB、Flash 擦除这些事。

MCU（以 GD32F4 / STM32F4 为例）：在同一颗硅片上，把 CPU、Flash、SRAM、时钟树、GPIO、USART、USB 全速控制器、Flash 编程控制器、CRC 单元焊在一起。时钟树 ST 称 RCC，兆易称 RCU；Flash 控制器 ST 多称 FLASH，兆易称 FMC；USB 全速主机/设备 ST 常称 USB OTG FS，兆易常称 USBFS。

这类芯片的核特征（影响后面每一节）：

• ARMv7-E-M，Thumb-2 指令集，没有 ARM 状态。PC 最低位必须为 1，否则 UsageFault。
• 小端（little-endian）：多字节整数在存储器里「低地址放低字节」。GD32F4 / STM32F4 固定小端。详细见第 1 章大小端折叠块。
• 可选 FPU（单精度）。SystemInit 里若 __FPU_USED==1，会写 SCB->CPACR 打开 CP10/CP11。
• 有 NVIC、SysTick、SCB，映射在 0xE0000000 起的「系统区」，和 GPIO 那种片上外设不是同一段。

Cortex-M 可见 4 GB 地址（架构规定）。F4 级常用分段如下。容量因订货型号而异：STM32F407 数据手册写「最多 1 MB Flash、192+4 KB RAM（含 64 KB CCM）」；系统 SRAM 常见为 112 KB + 16 KB，映射在 0x20000000，CCM/TCM 在 0x10000000。GD32F407 数据手册同样常见 192 KB SRAM + 64 KB TCMSRAM。下文图中的「128 KB @ 0x20000000」只表示系统 SRAM，不是芯片全部 RAM。

图 2　CPU 只认地址。Bootloader 能工作，是因为复位时「地址 0」指向了含 BL 向量表的 Flash。

R0 bit[7:0]   ← 内存 [addr+0]
R0 bit[15:8]  ← 内存 [addr+1]
R0 bit[23:16] ← 内存 [addr+2]
R0 bit[31:24] ← 内存 [addr+3]

所以 [addr] 起若是 78 56 34 12，R0 里就是 0x12345678。

地址          编辑器里的字节        CPU 读成的 uint32_t
0x08000000    58 7B 00 20          MSP = 0x20007B58（某次链接 map 的栈顶示例）
0x08000004    49 02 00 08          PC  = 0x08000249 = Reset_Handler | Thumb 位

偏移 0x188+8  字节： A5 A5 00 00     →  magic == 0x0000A5A5
若误读成 0xA5A50000，校验会认为「不是本机镜像」。

uint32_t v = 0x12345678;
uart_put(v & 0xFFu);          /* 78 */
uart_put((v >> 8) & 0xFFu);   /* 56 */
uart_put((v >> 16) & 0xFFu);  /* 34 */
uart_put((v >> 24) & 0xFFu);  /* 12 */

2. 复位与启动链：向量表与 main 之前

2.1 复位：硅片在执行任何 C 之前

上电复位、复位脚、看门狗、或 SCB->AIRCR 的 SYSRESETREQ（NVIC_SystemReset）之后，时钟稳定，CPU 退出复位。此时还没有执行 Reset_Handler。

图 4　地址 0 和 4 是数据（两个指针），不是机器码。

用数字演一遍。假设链接结果为：

0x08000000:  20 00 00 20     // 小端 → MSP = 0x20000020（示例）
0x08000004:  49 02 00 08     // 小端 → 0x08000249 = Reset_Handler | 1

则 MSP=0x20000020，PC 从 0x08000248 按 Thumb 取指，进入 Reset_Handler。典型内容：

LDR R0, =SystemInit
BLX R0                 ; 配时钟、开 FPU
LDR R0, =__main
BX  R0                 ; C 库：拷 .data、清 .bss，最后调用 main

到 main 时：PC 在你的 C，MSP 已因调用下降了一些，VTOR 仍是 0，向量表仍是 Flash 开头那张。

复位种类（建议核对手册）

• 上电复位 POR：SRAM 内容无定义。
• 引脚复位 / SYSRESETREQ：核和外设复位；部分实现里 SRAM 可能仍有旧数据，但 C 库会再清 bss、拷 data，不要依赖「热复位 RAM 还在」。
• 看门狗复位：类似系统复位，可在标志寄存器里区分原因。

2.2 向量表：通讯录、映像开头、启动文件

中断向量表不是程序，是一张放在 Flash 开头的地址通讯录。 表里每一格是一个 32 位数据（指针），不是机器指令。CPU 用它回答两件事：栈顶在哪、出事/中断了该把 PC 改到哪。

2.2.1 是什么、做什么

第 n 项的存放地址 = VTOR + 4×n
第 n 项的内容     = 某个函数入口 | 1     （第 0 项例外：是 MSP 初值）

CPU 不会自己猜「USB 中断该进哪个 C 函数」。它只做查表：算出向量索引 → 读 [VTOR + 4×索引] → 写入 PC。上电时还没有任何 C：硬件先读 [0] 填 MSP、读 [4] 填 PC，然后才进入 Reset_Handler。这两个字都按小端从 Flash 拼出来，见第 1 章大小端折叠块。

向量索引 = IRQn + 16
IRQn     = 向量索引 - 16

例：某 F407 上 USB OTG FS IRQn = 67  →  索引 83  →  表项地址 = VTOR + 4×83 = VTOR + 0x14C
    其它外设（USART、TIMER）的 IRQn 因型号而异，以启动文件向量表或手册 IRQ 章为准

索引 0–15 各家 Cortex-M 一样；从 16 起按这颗芯片的 IRQ 编号排。Keil 启动文件里符号常叫 __Vectors（STM32 示例 startup_stm32f407xx.s，GD32 示例 startup_gd32f407_427.s）。F407 类向量表用到 FPU 相关项时大约到索引 97。有的工程把索引 98 起（偏移 0x188）挪出来放镜像信息，向量表里对应项改为 0 或注释掉。

Keil 用 EXPORT Foo_IRQHandler [WEAK]，默认落到 Default_Handler 的 B .（死循环）。C 里写同名函数则覆盖弱符号。开了 USART2 RX 中断却没写 Handler，就会卡在这里。

2.2.2 在哪？会不会拷进 RAM？

最常见做法：表只在 Flash 开头，启动时不拷进 SRAM。 Flash 已挂在 CPU 地址空间上，读 [0x08000000] 和读 SRAM 一样走总线。许多工程没有 memcpy(__Vectors, ram, …)，也不把 VTOR 指到 SRAM。

有人会把表拷到 RAM 再设 VTOR，为了运行时改 Handler 或少等 Flash。那是额外做法，不是复位硬件的默认行为。

Cortex-M 量产镜像里表在映像最开头，原因有两层：

1. 链接器 *.o (RESET, +First) 强制 RESET 段占据 0x08000000。
2. 复位时 VTOR=0，硬件只认地址 0 附近那张表。表若不在经别名映射到 0 的 Flash 开头，复位读到垃圾就会跑飞。

0x08000000  向量[0] MSP
0x08000004  向量[1] Reset_Handler
...
约 0x0800018B  索引 97 结束（98 项 × 4 = 0x188）
其后才是 Reset_Handler 等机器码

CPU 不扫描源文件里的 RESET、__Vectors 这些词，只读地址。这些名字是给汇编器/链接器排地址用的（见第 2 章折叠块「Keil AREA」）。换 GCC 会改成 .section .isr_vector，芯片行为一样，因为 Flash 开头仍是那张表。

运行时基址由 SCB->VTOR 决定（详见 5.1 VTOR）。Bootloader 运行期间常常 VTOR=0；跳 APP 后 APP（或跳转代码）应改成 APP 基址，例如 0x08010000。有的实现跳转不写 VTOR，把责任交给 APP——能工作但窗口期更危险，见第 5 章与第 6 章。

2.2.3 整份程序映像结构

一份固件不是「从第一行 C 往下执行」。示例：Bootloader 链接在 0x08000000，占用前 64 KB：

Flash 0x08000000
┌──────────────────────────────────────────┐
│ ① 向量表  RESET 段（数据）                │  ← 映像开头，给硬件看
│    [0] MSP  [1] Reset  [2…] Handler 指针 │
├──────────────────────────────────────────┤
│ ② .text  机器码                          │
│    Reset_Handler → SystemInit → __main   │
│    main、驱动、各 IRQHandler 函数体      │
├──────────────────────────────────────────┤
│ ③ .rodata  常量、字符串                  │
├──────────────────────────────────────────┤
│ ④ .data 的初值（给启动时拷到 RAM）       │
└──────────────────────────────────────────┘
0x08010000  APP 同样结构：自己的表 + 自己的代码

执行顺序（和文件行号不是一回事）：
硬件读向量表 → PC = Reset_Handler
    → SystemInit  配时钟
    → __main      拷 .data、清 .bss
        → main()  你写的逻辑

main 是口语里的入口；硅片真正的入口是向量[1]。USB 来了也不会从程序开头顺序跑，而是用 VTOR 算出 +0x14C，改 PC。栈只负责把旧 PC 压起来。

图 6　表里是指针；代码在后面；RAM 里没有这张表。

AREA  段名, 属性1, 属性2, ...

AREA RESET, DATA, READONLY     ; 按数据生成
    DCD  __initial_sp
    DCD  Reset_Handler         ; 存的是地址，不是指令
    ...
AREA |.text|, CODE, READONLY   ; 按 Thumb 指令生成
    Reset_Handler PROC
        BLX SystemInit
        BX  __main

*.o (RESET, +First)     →  0x08000000 向量表
.ANY (+RO)              →  其余 Flash 代码/常量
.ANY (+RW +ZI)          →  RAM 的 data/bss/堆/栈

/* 启动文件（示意） */
.section .isr_vector, "a", %progbits
  .word _estack
  .word Reset_Handler
  ...

/* 链接脚本（示意） */
FLASH (rx) : ORIGIN = 0x08000000, LENGTH = 64K
.app (rx)  : ORIGIN = 0x08010000, LENGTH = 448K   /* 仅 APP 工程使用 */

SECTIONS {
  .isr_vector : { KEEP(*(.isr_vector)) } > FLASH
  .text       : { *(.text*) } > FLASH
  .data       : { ... } > RAM AT > FLASH
  .bss        : { ... } > RAM
}

3. 运行中的 CPU：寄存器、栈与屏障

程序员模型里，你每天碰到的是 R0–R15、xPSR、以及 PRIMASK/CONTROL 等特殊寄存器。它们不在 0x08000000 的 Flash 里，而在 CPU 核内部；调试器的寄存器窗口看到的就是它们。

图 3　和「跳转 / 中断 / 栈」直接相关的是 SP、LR、PC、xPSR。

3.1 通用寄存器与调用约定（AAPCS）

• 前四个参数走 R0–R3，更多参数压栈。
• 返回值在 R0（64 位则 R0+R1）。
• R4–R11 是 callee-saved：你的函数若用它们，必须入栈再出栈。
• 硬件进中断时会自动保存 R0–R3、R12、LR、PC、xPSR。所以 ISR 可以写成普通 C 函数：编译器知道这是异常入口，会处理 R4 等。

3.2 SP：其实是两套指针 MSP 与 PSP

CONTROL.SPSEL（bit1）：0=MSP，1=PSP。复位为 0。无 RTOS 的 Bootloader 通常 全程 Thread + MSP。

栈向低地址生长：PUSH 让 SP 变小。所以向量表第 0 项必须填栈顶（高地址），不是数组的起始低地址。示例 Stack_Size = 0x2000（8 KB），__initial_sp 在该块 RAM 的最上沿。以你的启动文件 / 链接脚本为准。

SRAM 示意（地址向上变大）：

  0x20000000  .data / .bss / 堆（若使用）
       ↑
  空闲
       ↑
  SP 向下长  ← 当前 MSP
  ……压进去的 R0、LR、PC……
  0x20002000  ← 复位时向量[0] 填的栈顶（示例，以 map 为准）

CMSIS：__get_MSP() / __set_MSP(x)。跳到 APP 时典型写法是 __set_MSP(*(uint32_t*)APP_VECTOR)，相当于「把记事本换成 APP 自己的那本」，之后中断若发生，现场会压到 APP 的栈上。

栈上放的是：函数局部变量、超出 R0–R3 的参数、返回地址、被调函数保存的 R4–R11、以及硬件中断帧（R0–R3、R12、LR、PC、xPSR 共 8 字）。进入函数/中断时 SP 减小，返回时加回去，不需要 free。寿命等于「这个函数还没返回」，不能把栈上地址交给返回之后还在用的代码。

3.3 LR：普通返回 vs 异常返回

普通 BL foo：硬件把「返回后该执行的地址」写入 LR，foo 末尾 BX LR 回来。

进入中断时，硬件不把真实返回地址放进 LR，而是写入 EXC_RETURN（高 28 位为 1 的魔术值）。CPU 执行 BX LR 时发现这是魔术值，就走异常返回微码：从栈上弹出 PC、xPSR 等，而不是跳到 0xFFFFFFF9 去取指（那个地址没有代码）。

裸机从 Thread+MSP 进 USART/USB 中断时，ISR 结束 LR 多为 0xFFFFFFF9。编译器为 ISR 生成的返回就是 BX LR，你不必手写。

3.4 xPSR：三个状态叠在一个 32 位里

• APSR：N Z C V Q，加减比较后的标志。
• IPSR：当前异常号。0 = 线程（没在 ISR 里）；非 0 = 正在服务哪个异常。
• EPSR：含 Thumb 位 T。M 核上 T 必须保持 1。

进中断时硬件把整个 xPSR 压栈，返回时弹回，被打断处的标志不会乱。调试 HardFault 时，栈上的 xPSR 能告诉你「炸的时候 Thumb 位还在不在」。

3.5 开关中断：好几道闸，缺一道都进不去

任意 IRQ 在 NVIC 里对应 ISER 的哪一位（以 F407 上 USB OTG FS / USBFS 常见 IRQn=67 为例，换芯片必须核对手册）：

IRQn = 67
ISER 索引 = 67 / 32 = 2      // ISER[2]
位号       = 67 % 32 = 3      // 置 bit3
写 NVIC->ISER[2] = (1u << 3) 即可使能（CMSIS 封装好了）

CONTROL 寄存器：bit0 nPRIV（特权/非特权，裸机一般一直特权）；bit1 SPSEL；bit2 FPCA（浮点上下文活动，用过 FPU 后可能置位，影响异常压栈宽度）。

C 语言跳到 APP 复位函数（示例 APP 基址 0x08010000）：

  uint32_t entry = *(uint32_t *)0x08010004;   // 已含 bit0=1
  ((void (*)(void))entry)();                  // 不要把最低位清掉；这是写 PC，不是读 PC

错误示范：
  entry &= ~1u;   // 清掉 Thumb 位 → 进 APP 瞬间 UsageFault

一条 MSP 贯穿全程：
main → 调 A → 调 B
         ↑
      USB ISR 插进来，继续在同一根 MSP 上压帧
ISR 返回后 SP 回到 B 里头

3.6 取指、流水线与内存屏障

Cortex-M4 是短流水线（取指-译码-执行）。你改了「之后取指该看哪」的寄存器，流水线上可能还残着旧决策。

写 SCB->VTOR 后的标准姿势：

SCB->VTOR = 0x08010000;
__DSB();
__ISB();

否则可能出现「VTOR 已经是新值，下一次中断仍按旧表取向量」的窗口（取决于流水线和写缓冲）。有的 Bootloader 跳转前不写 VTOR，自己运行期间不必做这组屏障；APP 里改 VTOR 时应该做。更稳妥的做法是跳转前就改到 APP 表基址，见第二部分。

4. 中断与异常：NVIC 到 Fault

4.1 异常模型与 NVIC

异常（exception）是总称：Reset、NMI、Fault、SVC、PendSV、SysTick、外设 IRQ 都是异常。中断口语里常特指外设 IRQ。

NVIC 基址 0xE000E100，每个 IRQ 在若干 32 位寄存器里占 1 bit：

外设 IRQ 要跑起来，通常要：

1. 外设产生事件（如 USART RBNE=1）
2. 外设自己的中断使能位置 1
3. NVIC ISER 使能该 IRQ
4. PRIMASK=0
5. 该优先级允许抢占当前上下文

系统异常（SysTick、Fault）不走 ISER，而走 SysTick CTRL.TICKINT 或 SCB 的 SHCSR 使能位。

4.2 进中断时的栈帧

以「Thread + MSP、未压 FPU 帧」为例，硬件自动压 8 个字、32 字节：

图 5　HardFault 时：MSP+6 字（24 字节）处附近就是 stacked PC（具体偏移以 SP 对齐后的帧为准，常用 MSP+0x18 为 stacked PC）。

进 ISR 之后 CPU 还做了：
  IPSR  ← 异常号（等于向量索引，数字因 IRQ 而异）
  LR    ← EXC_RETURN（如 0xFFFFFFF9）
  PC    ← *(VTOR + 4 * 索引)
  进入 Handler 模式，栈仍为 MSP

ISR 返回：BX LR 识别 EXC_RETURN → 弹这 8 个字 → PC 回到被打断处，IPSR=0，Thread 模式。

ISR 必须清源。 USART 读数据寄存器才清 RBNE；TIMER 写中断标志清零；USB 由库清核标志。不清就返回，NVIC 认为还在请求，会立刻再进，像死锁。

4.3 优先级

NVIC 优先级字段宽度由实现决定。STM32F4 的 CMSIS 头写 __NVIC_PRIO_BITS = 4（16 档）；GD32F4xx 用户手册写「4 bits interrupt priority—16 priority levels」。优先级写在 NVIC->IPR[] 每字节的高位。

SCB->AIRCR 的 PRIGROUP 把这 4 bit 切成「抢占优先级」和「子优先级」。写 AIRCR 必须同时写钥匙 0x05FA，否则写入被忽略。

若分组设成「4 位全是抢占、子优先级为 0」（GD32 常叫 NVIC_PRIGROUP_PRE4_SUB0，STM32 HAL 对应 NVIC_PRIORITYGROUP_4），则数字更小的 IRQ 可以打断数字更大的。例如 USB(2) 打断 USART(8)，USART 再打断 TIMER(11)。同抢占级之间不互相抢占，NVIC 用硬件排队。具体谁编成 2/8/11 由你的工程决定。

尾链（tail-chaining）： 一个 ISR 返回时若已有另一个 pending，硬件可不弹栈再压栈，直接换 PC，少十多个周期。

迟到（late-arrival）： 刚开始进低优先级，更高优先级来了，硬件改去进高优先级。

4.4 SysTick

映射 0xE000E010：

SysTick_Config(n) 会同时打开 ENABLE 和 TICKINT。即便 Handler 是空函数，CPU 仍每 1 ms 进一次异常 15（压栈弹栈）。有的 delay_us 不靠 Handler 计数，而是读 VAL 的差值自旋——此时若仍打开 TICKINT 且 Handler 为空，只是浪费一点周期。

跳 APP 前应关掉 ENABLE 和 TICKINT，否则 APP 尚未设置自己的 SysTick Handler（且 VTOR 可能仍指向 Bootloader）时，会周期性进 BL 的空 ISR 或错误向量。

4.5 Fault

默认很多芯片只开 HardFault，Usage/Bus/Mem 被升级成 HardFault。可在 SCB->SHCSR 里分别使能，再读 SCB->CFSR（可配置 Fault 状态）、HFSR、MMFAR、BFAR 定位。

HardFault 里最有用的是 stacked PC（图 5）：那是「将要执行但没执行成」或「导致 Fault 的指令」附近。在 Handler 里用 MSP（若从 Thread+MSP 进来）解析帧即可。

NVIC_SystemReset()：写 AIRCR.SYSRESETREQ（必须带 VECTKEY 0x05FA）。核复位后再次从启动别名地址 0 加载 MSP 和 PC。ARM 规定 VTOR 复位值是实现定义；STM32F4 / GD32F4 从主 Flash 启动时通常为 0，仍建议核对手册。

5. 双镜像与 VTOR：为什么 BL+APP

5.1 SCB 与 VTOR

基址 0xE000ED00（SCS_BASE + 0x0D00）。这是内核系统区，不是 GPIO 那种片上外设。

VTOR 详细

CMSIS 把 SCB 当成结构体：SCB->VTOR = 0x08010000 就是向 0xE000ED08 写一个字。查表公式永远是：

表项地址 = (VTOR 的有效基址) + 4 × 向量索引

复位、NMI、HardFault、SysTick、USBFS……全部用这一个基址，没有第二张隐藏表。

位域（Cortex-M4）

31                         7  6           0
┌────────────────────────────┬─────────────┐
│ TBLOFF = 表基址的 bit[31:7] │ 保留，必须为 0 │
└────────────────────────────┴─────────────┘

• 写入地址 bit[6:0] 必须为 0 → 至少 128 字节对齐。
• ARM 还要求对齐 ≥ 表大小向上取的 2 的幂。F407 类表约 98 项 × 4 ≈ 392 字节 → 按 512 字节对齐更稳妥。表更长的型号要对齐到更大的 2 的幂。
• 0x08000000、0x08010000、0x20000000 都满足。写 0x08010004 则对不齐。

厂商库往往再包一层：GD32 的 nvic_vector_table_set(NVIC_VECTTAB_FLASH, offset) 内部仍是写 SCB->VTOR（掩码常见 0x1FFFFF80）；STM32 HAL 则直接 SCB->VTOR = FLASH_BASE | offset 或在系统初始化里写。APP 表在 0x08010000 时应：

SCB->VTOR = 0x08010000;
__DSB();
__ISB();   /* 冲掉流水线里旧的「表在 0」的决策 */

有的库函数只做了 __DSB()，建议再加 __ISB()。Bootloader 若运行期间从不写 VTOR，复位后一直是 0。

复位值、何时会变

VTOR = 0 时核从地址 0 取表；从主 Flash 启动时 0x00000000 镜像到 0x08000000，所以「VTOR=0」和「表在 Flash 开头」是同一张表。

它管什么、不管什么

管：下一次取向量时从哪读 4 字节。

不管：已经在跑的 PC；MSP/PSP 当前值（跳 APP 要自己 __set_MSP）；表会不会拷到 RAM（拷完必须改 VTOR 才生效）。

若跳转只改 MSP、PC 而 VTOR 仍是 0，则中断仍去 Bootloader 的表里查 Handler。

VTOR 只是一个地址，Flash 或 SRAM 都行。没拷表时，RAM 里没有向量表这一段。

5.2 软件跳转相对复位缺了什么

所以 APP 必须：设 VTOR、重新 init 外设、自己开中断。这不是 APP「多余」，是跳转代码没有也不该完整模仿一次芯片复位（否则会把 Bootloader 自己的时钟/映射也拆掉）。更干净的做法是跳转前尽量关外设时钟、清 NVIC、写好 VTOR 再放 PRIMASK。

5.3 定位与 Flash 地图

复位入口被 Bootloader 占着。APP 是客人：只有 BL 认为 APP 基址上已有本机、完整、校验通过的镜像，才把 PC 交给它。跳走后 BL 的 main 不再运行；再升级必须再复位（或 APP 里提供「回到 BL」的复位请求）。

0x08000000  BL 向量[0] = BL 的 MSP 初值
            BL 向量[1] = BL Reset     ← 上电硅片从这里开始（VTOR=0）
            BL 代码（示例：扇区 0–3，64 KB），升级 APP 时不擦

0x08010000  APP 向量[0] = APP 的 MSP
            APP 向量[1] = APP Reset   ← 软件跳转使用
            APP 向量[98..] = 可选镜像信息（魔数、长度、CRC…）
            APP 代码（其余 Flash）

64 KB / 0x08010000 只是 F407 上「扇区 0–3 共 64 KB」的常见切法。STM32F407 与 GD32F407 的主 Flash 扇区划分非常接近（16/16/16/16/64/128… KB），但不要把扇区号抄到 F1/F0/G0 上。链接脚本必须和擦除函数用同一张扇区表。

升级通道可以有多条，用编译开关或一块 EEPROM/Flash 标志选择。没打开的通道不要去初始化对应外设，以免引脚冲突。

5.4 从复位到 main（对应第 2 章）

1. 硅片：MSP←[0x08000000]，PC←[0x08000004]（经地址 0 别名）。
2. SystemInit：若编译打开了 FPU 则写 SCB->CPACR；配 PLL（F407 示例 168 MHz，USB 要 48 MHz）。STM32 走 RCC + SystemClock_Config（Cube）；GD32 走 RCU + 厂商 system_gd32f4xx.c。
3. C 库启动：拷 .data、清 .bss。若把镜像信息放在 APP 区固定偏移，这里就可以把 APP Flash 当结构体只读：const app_info_t *info = (const app_info_t *)(APP_BASE + INFO_OFFSET);
4. 板级 init()：设 AIRCR 优先级分组；按需开 SysTick；初始化本次升级真正用到的 GPIO / USART / USB / SPI；只使能这些 IRQ。

此时：PC 在 Bootloader 的 main，VTOR 仍是 0，升级所用的中断已使能。

5.5 时钟、Flash 等待与外设访问

CPU 再快，总线和 Flash 跟不上也会插入等待周期。

F407 类芯片一份典型 SystemInit：8 MHz 外部晶振 + PLL。ST 写在 RCC（PLLM/N/P/Q），兆易写在 RCU（PSC/N/P/Q），数字可以相同：

• SYSCLK = 8/8×336/2 = 168 MHz
• PLLQ = 8/8×336/7 = 48 MHz → USB 全速（48 MHz）必须用这个频率（OTG FS / USBFS 都一样）
• AHB=168，APB2=AHB/2=84，APB1=AHB/4=42；APB1 上的定时器时钟通常 ×2 = 84 MHz（手册：预分频不为 1 时定时器时钟是 APB 的 2 倍）

168 MHz 读 Flash 需要等待状态。STM32F4 配 FLASH->ACR 的等待周期并打开 ART；GD32F4 配 FMC/加速相关寄存器。建议核对手册。Bootloader 体积小，主要影响的是 APP 性能。

外设访问是读改写寄存器。GPIO 原子置位：STM32 写 BSRR，GD32 写 BOP/BC，避免读-改-写被中断打断导致丢 bit。编程 Flash 前要解锁，擦扇区、按字（或按双字，视型号）写入，完后上锁——这些都是对控制器寄存器的 STORE，不是对 0x08010000 直接赋值那么简单（直接赋值在 Flash 上通常无效）。

片上 CRC：ST RM0090 与 GD32F4xx 用户手册都写固定多项式 0x4C11DB7（即 0x04C11DB7，以太网 CRC-32），并且按 32 位字写入数据寄存器，不是按字节。F4 这一代的 CRC 控制寄存器主要是复位数据寄存器（ST 的 CRC_CR.RESET / 兆易的 CRC_CTL.RST），没有 F0/L4 那种输入/输出反转位。不要用 zlib/PNG 的按字节反射 CRC 去对这个硬件值。

6. Bootloader 工程：升级、校验与跳转

下面不再重复「PC 是什么」，只说双镜像升级通常怎么接前面各章的硬件契约。示例：无 RTOS、BL 占 Flash 开头 64 KB（0x08000000）、APP 从 0x08010000 起。通道以「USB 主机读 U 盘 FAT 文件」为例；UART、SPI Flash、SD 卡是同一套校验/擦写，只是搬运层不同。GD32 与 STM32 核步骤相同，外设差异见第 7 章。

6.1 升级热路径：Thread 与 ISR 抢 PC

以 USB 主机 + MSC + FatFs 为例（STM32 用 HAL USB Host / 中间件；GD32 用 USBFS Host 库，思想相同）：

main 循环：usbh_process()（名字因库而异）驱动枚举状态机 + 尝试打开约定路径的文件 + 短延时。无盘时不要死等过久，也不要丢掉「安装成功」的返回值——否则已经写好 APP 仍被当成失败。

USB 事件到来时：NVIC 某 IRQn（F407 上 OTG FS / USBFS 常见为 67，以手册为准）→ 向量索引 = IRQn+16 → PC 进入 OTG_FS_IRQHandler / USBFS_IRQHandler → 库的 ISR。这是第 4 章的实例。主循环跑状态机；ISR 搬 FIFO。若大容量类读函数返回 BUSY，死等期间必须允许 USB 中断，否则永远 BUSY。

其它通道对照：

USART 若开了接收中断却只在启动文件里留着弱符号死循环，一旦线上有数据就会卡死——这是弱符号机制的典型坑，与厂商无关。

6.2 合法 APP、可选密文、安装（PC 仍在 BL）

合法与否只看 APP 基址上的数据，不要只看「U 盘上有个文件」。一份最小约定：

信息块可以放在向量表尾部预留字（示例偏移 0x188 = 索引 98），这样「头 512 字节明文」里既有向量也有元数据，校验时不必先解密整个文件。

升级包布局示例：

[0, 512)     明文：向量表 + 镜像信息
[512, len)   可选密文：按算法块大小（XXTEA 常见 8 字节；AES 16 字节）
CRC 范围     常从 offset=512 计到 fileLen，不含头，避免把元数据算进自身校验

推荐顺序：先只读校验，通过才擦 APP 扇区，再编程。失败则保留旧 APP，用户仍能启动上一份固件。I/O 返回值在工程内部要统一语义（成功/失败），不要有的函数 true=失败、旁边又 HAL_OK=0。

调试后门（例如「CRC 为某魔术且长度为最小头」）只应存在于内部构建宏里，量产关闭。

失败路径：指示灯/蜂鸣 → 延时 → NVIC_SystemReset()。这对应前文的 AIRCR.SYSRESETREQ，PC 重新从 BL 向量加载。

6.3 跳转瞬间：至少三个寄存器，建议更多

/* 示意，CMSIS 写法，GD32 / STM32 通用 */

SysTick->CTRL = 0;                 /* 关 ENABLE 与 TICKINT */
NVIC_DisableIRQ(OTG_FS_IRQn);      /* STM32F407：OTG_FS_IRQn=67；GD32 常为 USBFS_IRQn */
/* 更好：按 NVIC->ICER 清掉本次 BL 用过的全部 IRQ，并 NVIC_ClearPendingIRQ */

__disable_irq();                   /* PRIMASK = 1 */

SCB->VTOR = APP_BASE;              /* 强烈建议在此完成，不要留给 APP 窗口期 */
__DSB();
__ISB();

__set_MSP(*(uint32_t *)APP_BASE);
void (*app_reset)(void) = (void (*)(void))(*(uint32_t *)(APP_BASE + 4u));
app_reset();                       /* PC ← APP Reset | Thumb；LR ← BL 返回点 */

for (;;) {
    NVIC_SystemReset();            /* 若 APP Reset 返回 */
}

若不写 VTOR：MSP、PC 已经是 APP 的，中断仍查 BL 表。APP 若尚未关中断就开 SysTick/USART，可能进 BL 的弱符号 B .。这是第 2 章弱符号 + 第 5 章「没改 VTOR」叠在一起的典型故障。

外设是脏的：APP 要当热启动重新 init（时钟树往往还在 168 MHz，但 GPIO 复用、USB 核、DMA 流都可能还指着 BL 的缓冲区）。Bootloader 的 Host/FatFs 对象留在 SRAM 里不再被调用，APP 不要以为 RAM 是干净的上电值。

6.4 传输栈在链上的位置（分层，便于替换通道）

存储介质（U 盘 / SPI NOR / UART 流）
    → 总线驱动（USB Host / SPI / USART）
        → 块协议（MSC BBB+SCSI / 页读取 / 自定义帧）
            → 文件系统或裸偏移（FatFs 逻辑盘 0: 或直接 LBA）
                → 512 字节（或页）缓冲
                    → 可选解密（按字）
                        → CRC（按字）
                            → Flash 解锁 / 擦扇区 / 编程 / 上锁

FatFs 要与磁盘格式一致：只开 FAT16/32 就不要用 exFAT 盘。0: 是逻辑盘号。Bootloader 看见的是文件内字节偏移，不是物理 LBA——这是 diskio 层的职责。

USB 全速外设时钟必须是 48 MHz。引脚：F4 上 USB OTG FS 常见 PA11/PA12，具体以数据手册「复用功能」表为准（有的封装有 USB_SOF、VBUS 检测脚）。

6.5 给 APP 的合同；仿写时抄什么

1. 链接在约定 APP 基址，体积不超过 APP 分区。
2. 向量[1] 必须是合法 Thumb 入口（bit0=1）。
3. 若使用镜像信息：魔数、长度、CRC 与 BL 同一套端序和多项式。
4. 发布包格式与 BL 解析器一致（哪一段明文、哪一段密文）。
5. Reset 之后尽快设 VTOR（若 BL 未设），重新 init 外设，再开中断。
6. 现场升级：把文件放到约定路径后复位；其它通道同样「先校验后擦除」。

值得沿用：策略 / 搬运 / BSP 分层；先校验后擦除；元数据靠近向量表；无 RTOS 时直线 main；跳转用 CMSIS 而不是内联奇技。

不要沿用的反模式：跳转不设 VTOR；返回值真假颠倒；每次开机固定空等总线且丢返回值；RX 中断无 ISR；忙等待无超时；擦除范围与链接脚本不一致。

7. 附录：ST/GD 对照与出处

7.1 GD32F4 与 STM32F4 对照

下面这些不影响前文的 PC/SP/VTOR 故事，但会让你从一家的例程抄到另一家时编不过。

归纳：可以共用的是 CMSIS 头里的 SCB、NVIC、SysTick、core_cm4.h 内联函数，以及你自己写的跳转函数。不要共用的是 stm32f4xx_hal_conf.h 与 gd32f4xx.h 外设基址假设、CubeMX 生成的 MX_* 与兆易标准外设库的初始化。USB 协议栈两家各做各的，只复用「MSC + FatFs + 校验 + FMC/FLASH」这一层思想。

调试器：SWD 引脚在 F4 上常见 PA13/PA14，复位后默认 SWD，改 GPIO 复用会把调试口踢掉。Bootloader 若要复用这些脚，量产再关调试，开发阶段留着。

7.2 出处与文献

核对原则：核与异常只引用 ARM；片上外设、容量、BOOT、扇区、IRQ 引用 ST / 兆易；总线协议引用 USB / IETF；镜像魔数、分区切法和加密包装是工程约定，不冒充手册条款。下列版本以本次核对所用文本为准，修订号更新后页码可能变，请按章节名检索。

权威文献

1. ARM DDI0403（ARMv7-M Architecture Reference Manual）：向量表内容与对齐、复位取 SP/PC、异常号、EXC_RETURN、硬件压栈、VTOR 位域、AIRCR VECTKEY、PRIMASK/BASEPRI、端序位、UsageFault INVSTATE（向量 bit0=0）。官方入口：developer.arm.com/documentation/ddi0403
2. ARM DUI0553（Cortex-M4 Devices Generic User Guide）：NVIC/SCB/SysTick 地址（0xE000E100、0xE000ED00、0xE000E010）、ISER/ICER、SysTick CTRL/LOAD/VAL、DMB/DSB/ISB 用途。
3. ARM IHI0042（Procedure Call Standard for the ARM Architecture, AAPCS）：R0–R3 传参、R0 返回、R4–R11 callee-saved；硬件异常帧按 caller-saved 压栈与此一致。
4. ST RM0090（STM32F405/407/415/417 参考手册，本次核 Rev 21）：存储器别名与 BOOT 表 2（BOOT1/BOOT0）、Flash 扇区号、USB OTG FS 向量地址 0x0000014C、CRC 第 4 章（多项式 0x4C11DB7、按 32 位字）、GPIO BSRR、RCC/FLASH。PDF：st.com RM0090
5. ST STM32F407xx 数据手册（如 DS8626 / stm32f407ve）：核 Cortex-M4+FPU、最高 168 MHz、ART、最多 1 MB Flash、192+4 KB RAM（含 64 KB CCM）。stm32f407ve.pdf
6. ST CMSIS stm32f407xx.h：OTG_FS_IRQn = 67、FPU_IRQn = 81（向量索引 97）、__NVIC_PRIO_BITS = 4、FLASH_BASE = 0x08000000。官方仓库：cmsis_device_f4
7. 兆易 GD32F4xx User Manual（本次核 Rev 3.0）：RCU、FMC、USBFS、CRC 第 8 章（多项式 0x4C11DB7、按字、CRC_CTL.RST）、NVIC「4 bits / 16 levels」、TCMSRAM 64 KB @ 0x10000000、SRAM0/1/2 划分。GD32F4xx_User_Manual_Rev3.0.pdf
8. GD32F407xx 数据手册：168 MHz、SRAM 常见 192 KB、Flash 分 512/1024/3072 KB 等订货型号。产品页与 PDF
9. USB 2.0 Specification（2000-04-27）§8.1 Byte/Bit Ordering：标准描述符、请求与应答中的多字节字段在总线上为小端（LSB 先）。
10. IETF RFC 791（Internet Protocol）：网上多字节整数用网络字节序（大端）。主机上的 htonl/ntohl 即为此服务。
11. NIST FIPS 197（AES）：分组长度 128 位。文中升级包「AES 16 字节」据此，不是硅片外设。
12. 以太网 CRC-32 多项式：ST / 兆易 CRC 章节都写「Ethernet polynomial 0x4C11DB7」，与 IEEE 802.3 CRC-32 生成多项式相同；硬件按字喂入后的数值仍不等于常见软件 zlib CRC。
13. FatFs（Elm-Chan）：FF_FS_EXFAT 未开时不要用 exFAT 盘；0: 为逻辑盘号。见 elm-chan.org/fsw/ff
14. CMSIS-Core：__set_MSP、__DSB、__ISB、__disable_irq、NVIC_EnableIRQ、SysTick_Config、NVIC_SystemReset。
15. Keil / Arm Compiler armasm 用户指南：AREA、DCD、[WEAK] 是汇编器/链接器伪指令，不是 Thumb 指令。GCC 对应 .section .isr_vector 与链接脚本，芯片行为相同。

章节与出处对照

SRAM 里 .data/.bss/堆栈的绝对地址以当时链接 .map 为准。手册修订后若与上文冲突，以你下载的官方 PDF 为准。