不能只调用__disable_irq()就跳转，因为它仅关闭全局中断（PRIMASK），不清理NVIC挂起中断、不关闭SysTick、不清除异常状态，残留中断可能抢占新固件执行，导致跑飞或HardFault。
为什么不能只调用 NVIC_DisableIRQ() 就跳转？
因为 NVIC_DisableIRQ() 只禁用指定中断线，不关闭全局中断（PRIMASK 仍可能允许异常进入），更不会清空挂起（pending）状态或复位 NVIC 寄存器。固件升级跳转前若还有 pending 中断、SysTick 正在运行、或某些外设 DMA 触发条件残留，跳转后新固件的向量表可能被旧中断抢占，导致不可预测行为甚至死机。
必须手动清空所有 NVIC pending 并关闭全部 IRQ
STM32 系列（以 Cortex-M4/M3 为例）需逐个清除所有可配置中断的 pending 状态，并确保全局中断关闭。实际操作不是“遍历所有 IRQn”，而是按芯片最大 IRQ 数（如 STM32F407 最大为 IRQn = 89）批量写 NVIC->ICPR[0] ~ NVIC->ICPR[2]（每个 ICPR 寄存器 32 位）：
// 关闭全局中断（CPSID I）
__disable_irq();
// 清空所有 pending 中断（假设最多 96 个 IRQ）
for (int i = 0; i < 3; i++) {
NVIC->ICPR[i] = 0xFFFFFFFFUL;
}
// 显式禁用所有 IRQ（避免漏掉未初始化的 IRQn）
for (int i = 0; i < 96; i++) {
NVIC_DisableIRQ((IRQn_Type)i);
}
注意：NVIC_DisableIRQ() 对非法 IRQn 值（如负数或超限）无定义行为，所以循环上限必须严格按芯片手册给定最大值；ICPR 写 1 清 pending，但只对已使能的 IRQ 有效 —— 所以先清 pending，再统一 NVIC_DisableIRQ() 更稳妥。
别忘了 SysTick 和其他系统级异常
SysTick 不属于普通 IRQ，它由系统控制块（SCB）管理，且默认使能。跳转前必须显式停用并清空其计数和 pending：
立即学习“C++免费学习笔记（深入）”；
-
SysTick->CTRL = 0;—— 关闭计数器、中断、时钟源 -
SysTick->VAL = 0;—— 清空当前计数值（可选，但推荐） -
SCB->ICSR |= SCB_ICSR_PENDSVCLR_Msk;—— 清除 PendSV pending -
SCB->ICSR |= SCB_ICSR_NMIPENDSET_Msk;不要写！NMI 无法软件清除，只能确保 NMI 向量不触发（靠硬件设计或屏蔽引脚）
另外，如果使用了 MPU 或 FPU，也建议执行 MPU->CTRL = 0; 和 SCB->CPACR &= ~(0xFu （关闭 FPU 访问权限），避免新固件启动时因协处理器状态异常崩溃。
复位 NVIC 到初始状态最可靠的做法是直接写寄存器
标准库（如 HAL）没有提供 “NVIC reset” 接口，必须手动还原关键寄存器到复位值（参考 ARMv7-M/ARMv8-M 架构手册）：
// 恢复 NVIC 寄存器到上电复位值（关键项） NVIC->ISER[0] = 0x00000000UL; // 使能掩码清零 NVIC->ICER[0] = 0xFFFFFFFFUL; // 确保全关（写 1 有效） NVIC->ICPR[0] = 0xFFFFFFFFUL; // 清 pending NVIC->IP[0] = 0x00000000UL; // 优先级恢复默认（通常为 0） // 其他 IP[x]、STIR 等同理，但 IP 寄存器多，可只清常用区段（0~31）
重点：不要依赖 NVIC_SystemReset() —— 它会触发整个芯片复位，不是你想要的“跳转前清理”。真正的跳转（如 __set_MSP(new_msp); ((void (*)(void))app_entry)();）要求 NVIC 处于确定、干净、静默状态，否则哪怕一个残留的 EXTI pending 都可能导致新固件第一条指令就被中断打断。
