难度★★本文首发于我的嵌入式技术公众号「OneChan」未经授权禁止转载。上一篇文章我们聊到Cortex-M3 上电后会自动从0x00000000取栈指针从0x00000004取复位地址。这两个值加上后面一串地址就是所谓的“向量表”。可问题是——为什么非得用向量表直接把中断服务函数的地址写死不行吗还有为什么向量表默认必须放在地址 0 附近我把它挪到 RAM 里行不行今天就把这两个问题彻底拆开揉碎。一、没有向量表的世界是什么样子先说结论没有向量表CPU 照样能响应中断但会非常笨拙。很多老式 CPU比如经典的 8051就没有向量表。8051 的中断机制是这样的外部中断 0 发生后硬件自动跳转到0x0003去执行。定时器 0 中断发生后硬件自动跳转到0x000B去执行。串口中断发生后硬件自动跳转到0x0023去执行。每个中断的入口地址是硬件写死的永远改不了。这带来两个问题第一中断函数必须精确放在那个地址上。如果你的外部中断 0 处理程序超过 8 个字节0x0003到0x000B只有 8 字节空间它就会踩进定时器 0 的地盘。所以 8051 程序员必须在0x0003处放一条LJMP指令跳转到真正的中断服务函数。每个中断入口都成了“跳板”。第二中断向量地址没法改。如果你的程序想从 Bootloader 跳到应用程序应用程序的中断表在哪8051 没这概念所有中断入口都是死的。所以做 OTA 升级时要么让 Bootloader 转发所有中断要么在应用层手动跳转非常痛苦。ARM Cortex-M3 的设计者显然受够了这一套。他们决定让中断向量变成一个表表里放的是函数地址而不是跳转指令。表的起始地址可以改。这就是向量表。二、向量表的本质一张“函数指针数组”打开启动文件你看到的向量表长这样__Vectors DCD __initial_sp ; 0x00栈顶 DCD Reset_Handler ; 0x04复位 DCD NMI_Handler ; 0x08不可屏蔽中断 DCD HardFault_Handler ; 0x0C硬件错误 DCD MemManage_Handler ; 0x10内存管理错误 DCD BusFault_Handler ; 0x14总线错误 DCD UsageFault_Handler ; 0x18用法错误 ; ... 后面还有几十个 DCD SysTick_Handler ; 0x3C系统滴答定时器 ; 外设中断从 0x40 开始 DCD WWDG_IRQHandler DCD PVD_IRQHandler ; ... 一直排下去DCD是汇编伪指令意思是“在这里分配一个 32 位空间并把后面的值填进去”。所以向量表的本质就是一个32 位整数数组放在内存的某个起始地址。数组的第 0 项是栈顶第 1 项是复位入口第 2 项是 NMI 入口以此类推。中断发生时硬件做的事极其简单根据中断号n算出向量地址 向量表基址 4 × n。从这个地址读出一个 32 位值。把这个值塞进 PC程序计数器。就这么简单。硬件不需要知道这个值是什么函数不需要管它是不是跳转指令。它只负责读一个地址然后跳过去。这个设计的精妙之处在于向量表里存的是地址不是指令。所以中断服务函数可以放在任何地方不需要像 8051 那样在固定地址放跳板。向量表本身也是一块普通内存。既然是内存就能改。你能在运行时把某个中断向量换成另一个函数的地址实现动态 Hook。向量表的起始地址存在一个叫VTOR向量表偏移寄存器的寄存器里。改了VTOR整个向量表就可以搬到别处去。三、为什么向量表“默认”必须在地址 0 附近这是整篇文章的核心问题。Cortex-M3 的VTOR寄存器复位后的默认值是0x00000000。所以上电那一刻CPU 会去0x00000000找向量表。那问题来了既然VTOR可以改为什么 ARM 不把默认值设成其他地址比如0x08000000Flash 起始地址答案藏在两个约束里历史兼容性和芯片启动的确定性。约束一历史兼容性ARM7TDMI比如经典的 LPC2000 系列没有VTOR寄存器。它的向量表硬绑定在0x00000000。但0x00000000这个地址在很多芯片上不是 Flash——它可能是 Boot ROM也可能映射到 RAM。为了让向量表放在 Flash 里芯片厂家搞了一个“内存重映射”机制上电时0x00000000映射到 Boot ROM运行后通过写某个寄存器把0x00000000重映射到 Flash。到了 Cortex-M3ARM 设计了VTOR理论上可以一劳永逸。但为了让从 ARM7 迁移过来的工程师和芯片厂家不骂娘默认值依然保留了0x00000000。约束二芯片启动的确定性设想一下如果VTOR复位默认值是0x08000000。上电后 CPU 去0x08000000读栈顶去0x08000004读复位入口。一切正常。但如果芯片的 Flash 是空的呢或者 Flash 控制器还没初始化完成呢CPU 会读到垃圾数据然后跳到随机地址芯片直接跑飞。更可怕的是调试器可能都连不上因为调试接口也依赖 CPU 正常工作。而把默认值定在0x00000000给了芯片厂家一个“安全兜底”的机会。大多数 Cortex-M3 芯片在0x00000000处放的是一块Boot ROM出厂固化的启动代码。这块 ROM 里有一个精简的向量表至少能保证栈指针指向一个有效的 RAM 区域通常是内部 SRAM。复位入口指向 Boot ROM 里的初始化代码。Boot ROM 代码跑起来后会检查 Flash 是否为空、是否有有效程序。如果一切正常它再把VTOR改成0x08000000然后跳转到用户的Reset_Handler。这就是为什么你能通过串口或 USB 烧录一个空片子的原因——因为 Boot ROM 在0x00000000接住了复位给了你烧录程序的机会。如果默认VTOR直接指向 Flash空片就变砖了。四、那0x00000000到底映射到哪这里容易混淆必须讲清楚。物理上0x00000000这个地址不一定对应固定的存储介质。芯片厂家通过总线矩阵或重映射控制器可以动态改变0x00000000指向谁。常见的设计有芯片系列0x00000000上电映射运行后可重映射到STM32F1Flash0x08000000或 Boot ROM由 BOOT0/1 引脚决定固定不可软件重映射STM32F4由 BOOT 引脚决定可选 Flash / 系统存储器 / SRAM固定NXP LPC17xxBoot ROM软件可重映射到 Flash 或 RAMTI LM3SFlash0x00000000直接就是 Flash 首地址固定STM32 的设计比较特别它没有传统的“内存重映射”机制而是用地址别名的方式。当你把VTOR设为0x08000000时中断发生时硬件直接从0x08000000读向量0x00000000处的原始向量表就不再使用了。但不管怎么实现逻辑上都是复位时 CPU 访问0x00000000芯片保证这个地址上有有效的向量。五、向量表里那个加 1 的秘密上一篇文章提过一句向量表里所有函数地址的LSB最低位必须是 1。为什么Cortex-M3 只支持 Thumb 指令集。而 ARM 体系规定跳转到一个地址时如果 LSB0CPU 会认为这是 ARM 指令试图切换到 ARM 状态——但 Cortex-M3 根本没 ARM 状态所以立刻 HardFault。所以向量表里存的不是函数地址本身而是函数地址 1。硬件取到这个值后会自动把 LSB 清 0得到真实的跳转地址同时知道“这是在 Thumb 状态下执行”。这个设计是 ARM 的历史包袱但也是保证 Cortex-M3 只跑 Thumb 代码的一道硬件锁。六、VTOR 重定位的实战意义聊到这儿VTOR的价值就出来了。场景一Bootloader App你的 Bootloader 在 Flash 开头0x08000000App 在后面的某个偏移比如0x08008000。App 里必须有自己的向量表。所以 App 启动后第一件事就是SCB-VTOR0x08008000;这样中断发生后硬件会去0x08008000找向量而不是 Bootloader 的0x08000000。如果不改 VTOR所有中断都会跑进 Bootloader 的中断服务函数App 永远收不到中断。场景二RAM 中调试有些调试场景下你把程序直接下载到 RAM 里运行比如0x20000000。这时向量表也在 RAM 里。你必须SCB-VTOR0x20000000;否则 CPU 还是会去0x00000000或0x08000000找向量而那里根本没有你的中断函数。场景三动态中断 Hook在一些特殊场合比如安全监控你可以在运行时把某个中断向量替换成监控函数的地址实现无侵入的拦截。这比用函数指针 Hook 更底层也更隐蔽。七、举一反三问题 1RISC-V 有没有向量表有类似的概念但机制不同。RISC-V 的向量表叫mtvecMachine Trap-Vector Base Address。它有两种模式直接模式所有中断和异常都跳转到同一个地址mtvec的值。软件自己去读mcause寄存器判断中断类型。向量模式类似 ARM 的向量表每个中断有独立的入口偏移。但 RISC-V 的向量表没有规定必须放在地址 0。复位入口地址是硬件写死的比如0x00001000和向量表无关。问题 2为什么 Cortex-M3 的向量表大小是固定的不是固定的。VTOR只定义了基址向量表的大小由芯片厂家决定。理论上VTOR可以指向任何 128 字节对齐的地址因为向量表至少需要对齐到 32 项的边界。实际芯片有多少个中断向量表就多大。STM32F103 有 60 多个中断向量表大小约 300 字节。超出部分读回来是 0硬件不关心。问题 3为什么启动文件中.sct要给向量表加FIRST因为向量表必须是执行域的第一个东西。如果链接器把其他代码或数据放在了向量表前面VTOR指向的地址就不是真正的向量表了。CPU 会取到错误的值直接跑飞。FIRST强制向量表放在最开头保证0x08000000处就是__initial_sp。八、写在最后回到最初的两个问题为什么 Cortex-M3 需要向量表因为它把中断入口从“固定跳转地址”变成了“可配置的函数指针数组”让中断处理程序可以放在任何地方也让动态重定位成为可能。为什么向量表必须放在地址 0 附近因为VTOR复位默认值是0x00000000。这个设计既是历史兼容性的妥协也是芯片启动安全性的兜底——在用户程序还没跑起来之前Boot ROM 能在0x00000000接住复位避免空片变砖。理解了向量表你就理解了 Cortex-M3 中断系统的骨架。下次有人问你“中断是怎么找到服务函数的”告诉他硬件只是去一个数组里读了个函数指针然后跳过去。就这么简单。下一篇预告《为什么启动文件通常用汇编而不是 C 写》——在 C 环境建立之前汇编是唯一能裸奔的语言。关注「OneChan」不错过后续 84 篇“为什么”。