设计启动回滚的状态规则

根据你上传的Bootloader状态定义和回滚策略，生成安全离线状态机代码。不触发真实操作，不替代人工评审和故障注入测试。