关于STM32IAP更新,怎么防止自己更新错误的代码？

关于STM32IAP更新,怎么防止自己更新错误的代码？

求大神指点！！！ 小菜在这磕头啦。
求大神指点！！！ 小菜在这磕头啦。
求大神指点！！！ 小菜在这磕头啦。

**前提：**由于项目需要，自己用QT做了一个串口上位机，用来监控STM32的运行情况 ， 及实验代码更新的功能。功能全部实现，运行了，一周暂时无bug;

功能图如下：

**疑问：**假设我用上位机，发了一个错误的bin文件给STM32的bootloader；通过了bootloader跳转前的判断，那么在bootloader跳到app时就会卡死，因为更新app有问题；STM32就变成板砖了， 需要通过Jlink或者STLink下代码了。由于设备在几百里之外，假设后面一不小心下错了代码，就需要跑现场更新了，想想都可怕。

STM32IAP怎么防止 更新的代码有问题 导致STM32跑飞？
求指点！！！！！！！！

/****************************************************************/
2021-10-13

软件还是没想到什么方案，就从硬件上解决咯；用了一个可以用串口1下载代码的开发板（同事画的），这样就不怕更新错误的代码，回不来bootload了；
由于串口一下载代码，有个奇怪的问题，就是只要我flash里面存了一些变量，每次下载都会说是，flash写保护，需要擦除falsh所有数据，才能再次下载；
由于我在flash里面存放了，大量数据，用串口1下载代码，每次都要把flash里面的数据重新输入一遍，太麻烦了。
所以我还是用我的上位机配合bootload，更新代码。如果哪天软件更新，更新错了，再用硬件，串口1下载回到bootload；