ブートローダ
ブートローダは、電源投入やリセット直後の最初期に実行される小規模なプログラムであり、ハードウェア初期化、実行先イメージの検証・選択・展開を行い、ユーザアプリケーションや上位のOSへ制御を引き渡す役割を担う。組込み機器では内蔵フラッシュからアプリを起動し、必要に応じてファームウェア更新（UART/USB/CAN/OTA）を実行する。汎用計算機ではBIOS/UEFIがこれに対応し、ストレージ上のブートセクタやEFI実行ファイルを読み込む。信頼起動（Secure Boot）、ロールバック防止、A/B冗長構成などの機能を持ち、製品の信頼性と保守性を左右する中核コンポーネントである。
起動シーケンスと基本機能
典型的なブートローダのシーケンスは、リセットベクタへの分岐、最低限のCPUレジスタ設定、スタック領域の確保、クロック源・PLLの構成、RAMクリア、割込み無効化から始まる。続いてペリフェラルを最小限初期化し、ストレージ（内蔵フラッシュ、外部SPI-NOR/NAND、eMMC、SD）からアプリイメージのメタデータを読み出し、整合性（CRC/ハッシュ）や署名検証を行う。検証が通ればエントリポイントへジャンプし、アプリ側のベクタテーブルに切り替える。
メモリ配置とリンカ設計
ブートローダは通常、ROM先頭または専用バンクに常駐し、アプリ領域と厳密に区画する。リンカスクリプトでベクタテーブルの開始番地、.text/.data/.bssの配置、割込みリロケーション戦略を定義する。A/B構成では「BL領域」「APP-A」「APP-B」「メタデータ」などを固定オフセットで管理し、更新時は非稼働側を書き換えることで電源断耐性を高める。書込み単位（ページ/セクタ）や消去ブロック境界を意識した配置が重要である。
更新機能（デバイス別）
- UART/USB DFU：PCツールとハンドシェイクし、転送ブロックごとにCRC確認、再送制御、タイムアウトを実装する。
- CAN/産業バス：フレーム長とスループット制約に合わせてスライディングウィンドウや逐次検証を行う。
- 外部ストレージ：SD/eMMC上のパッケージ（MANIFEST+イメージ）を読み込み、署名を検証後にコピー。
- OTA：ネットワークスタック常駐型や二段階起動（ネットワークブートローダ→アプリ）を採用し、途中中断時の復旧設計を必須とする。
セキュリティ（Secure Boot）
信頼境界はブートローダが形成する。少なくともイメージ整合性（SHA-256等）と真正性（RSA/ECDSA署名）の検証を行い、公開鍵はROMに焼き込み、鍵ローテーション用の鍵マニフェストを設ける。デバッグポート無効化、JTAGロック、読み出し保護、アンチロールバック（バージョンカウンタ/モノトニックカウンタ）を組み合わせ、改ざんやダウングレード攻撃を防ぐ。暗号ライブラリは一定時間化（constant-time）やランダム化で副チャネル耐性を高める。
フェイルセーフとロールバック戦略
更新中断や起動失敗に備え、ウォッチドッグと状態フラグ（BOOT_OK/BOOT_TRY/BOOT_FAIL）を用いる。新イメージ起動後、一定時間内にアプリが「健全性ビーコン」を返したときにのみコミットし、応答が無ければ自動的に旧バージョンへロールバックする。A/B方式に加え、回復用ミニマルイメージ（リカバリパーティション）を持てば、両方のアプリが失敗しても外部から再書込み可能である。
組込みとPC領域の対比
マイコンではブートローダとアプリの境界が明確で、割込みベクタやクロック初期化をどちらが担うかを合意する必要がある。PC領域ではBIOS/UEFIがハード初期化とデバイス列挙を行い、MBR/GPTとブートマネージャ（例：EFI System Partition内のローダ）でOSを選択する。後者は多段構成（Stage1/Stage2）とファイルシステム読み込み能力を持つ点が特徴である。
テストと検証
- 静的解析：未初期化メモリ、未定義動作、割込みコンテキストの競合を除去する。
- プロパティテスト：任意バイト列入力に対し、状態機械が必ず安全遷移することを確認する。
- 電源断試験：書込み最小単位境界で強制断を繰返し、メタデータ整合性とロールバック成功率を評価する。
- 耐タンパ性：デバッグピン開放、署名検証バイパスなどの攻撃シナリオで失敗すること（=攻撃を許さないこと）を実証する。
パフォーマンス最適化
起動時間短縮はユーザ体験に直結する。クロック安定待ちの最小化、ゼロ初期化の最適化（.bssの遅延初期化、圧縮テーブルの展開削減）、SPIフラッシュの高速リード（XIP/クアッドI/O）、キャッシュ有効化やプリフェッチの適正化が有効である。更新では差分パッチ（BSDiff/圧縮差分）により転送量と書込み時間を削減できる。
実装上の落とし穴
- 割込み再配置漏れ：NVIC/ベクタテーブルのアドレスをアプリ開始時に切替えていない。
- 整合性のみで署名なし：攻撃者が悪性イメージを作成可能となる。
- メタデータ先頭書換え：電源断でヘッダ破損し、両バンクが無効化される。
- 鍵保護不備：公開鍵置換や鍵マニフェスト改ざんに対する検証欠如。
- ストレージ摩耗：書換え頻度の高いフラグを同一セクタに集中、ウェアレベリング不足。
設計指針とドキュメント化
製品寿命を通じた保守性を確保するため、ブートローダは仕様を厳密に文書化する。アドレスマップ、鍵管理手順、更新プロトコル、通信タイムアウト、エラーコード体系、バージョン互換ポリシーを明記し、製造・フィールド・開発の各部門で共有する。ユニットテストに加え、実機での長期連続更新試験、温湿度ストレス、ESD/EMC環境での再現性確認を行う。
ブートマネージャとの違い
ブートローダは「初期化と検証の最小実装」を指すのに対し、ブートマネージャは複数OS/イメージの選択や対話UI、設定編集などの高機能を持つことが多い。組込みでは両者を分離せず、単一の小型ローダがメニュー機能を兼ねる設計も存在するが、攻撃面積や保守性を理由に機能分割する方が堅牢である。
小型化のテクニック
サイズ制約が厳しい場合、標準ライブラリ依存を削減し、printfを最小実装に差し替え、位置独立コード（PIC）の採用可否を検討する。圧縮格納（LZ4等）＋RAM展開はROM節約に有効だが、起動時間やRAM使用量とのトレードオフを評価する。クリティカルパスのアセンブリ最適化や分岐予測に配慮し、常にメトリクス（サイズ、起動時間、更新時間）を可視化する。
保守運用と現場対応
量産後は鍵管理（廃止鍵の無効化、鍵漏洩時の緊急ローテーション手順）、バージョン互換性の維持、製造モードから量産モードへの確実なロックダウンを運用規程に落とし込む。フィールド更新では電源条件、バッテリ残量、温度範囲をチェックし、リスクが高い場合は更新を延期するガードを設けることが望ましい。
用語メモ：MBR/GPTとEFI
MBRはディスク先頭のブートコード＋パーティション表であり、容量制約や冗長性に制限がある。GPTはUEFIと親和性が高く、パーティション情報の冗長化と大容量対応を提供する。UEFIではEFI System Partition内のローダ（.efi）を実行し、セキュアブートにより署名検証を行う。
用語メモ：ベアメタルとRTOS
ベアメタルではブートローダが全初期化を担う一方、RTOS採用時はクロック/メモリ初期化のみブート側、ドライバ初期化はカーネル起動後といった役割分担が一般的である。割込み優先度や例外ハンドラ再登録の責務を明確化しておく。
チェックリスト（抜粋）
- 鍵格納の耐タンパ設計（OTP/TrustZone/セキュアエレメント）
- 更新プロトコルの再送・検証・復旧フロー
- アンチロールバックとバージョン互換ポリシー
- 電源断・通信断の耐性試験とログ取得
- ドキュメント一式（メモリマップ、手順、エラーコード、鍵運用）