第一次被客戶當(dāng)面問(wèn)“你們這個(gè)設(shè)備升級(jí)為什么非要斷電”的時(shí)候我確實(shí)有點(diǎn)答不上來(lái)。那會(huì)兒做的是一個(gè)戶外采集器用的是單 Bank 的經(jīng)典 IAP每次升級(jí)都要先停掉業(yè)務(wù)邏輯把新固件拷到 RAM 再慢慢寫 Flash整個(gè)過(guò)程少說(shuō)幾十秒設(shè)備完全癱瘓。當(dāng)場(chǎng)被質(zhì)疑的那一刻我就知道單 Bank 這套思路撐不了太久。后來(lái)?yè)Q了支持雙 Bank Flash 的 STM32把“跑當(dāng)前程序”和“寫新固件”徹底從硬件上分開才真正做到了應(yīng)用不停機(jī)、升級(jí)不中斷。這篇文章就把我在雙存儲(chǔ)區(qū) STM32 上做即時(shí)固件更新的整套筆記整理出來(lái)包括硬件選型、地址布局、Bootloader 狀態(tài)機(jī)、Bank 切換、跳轉(zhuǎn)與向量表重定向、Flash 驅(qū)動(dòng)為什么必須放 RAM 執(zhí)行以及一堆我實(shí)際踩過(guò)的坑。寫給準(zhǔn)備做在線升級(jí)或者正在被停機(jī)升級(jí)折磨的嵌入式朋友。1. 為什么我放棄了停機(jī)升級(jí)雙Bank帶來(lái)的改變1.1 單Bank IAP最讓人頭疼的三個(gè)問(wèn)題經(jīng)典的單 Bank IAP 流程大家應(yīng)該都很熟Bootloader 先跑起來(lái)然后從 UART/CAN/以太網(wǎng)接收完整固件放到 RAM 緩存區(qū)或者邊收邊寫 Flash寫完后校驗(yàn)最后跳轉(zhuǎn)到 App。聽(tīng)起來(lái)簡(jiǎn)單但實(shí)際產(chǎn)品里一旦要求“運(yùn)行中不能停”這套方案就很別扭。第一是應(yīng)用暫停問(wèn)題。單 Bank 結(jié)構(gòu)下Flash 里只有一個(gè) App 在運(yùn)行你要升級(jí)就必須在這個(gè) App 上開一個(gè)升級(jí)入口收完固件先跳回 Bootloader或者直接在 App 里執(zhí)行 Flash 擦寫。無(wú)論哪種業(yè)務(wù)邏輯都被打斷了。如果設(shè)備正連著現(xiàn)場(chǎng)總線、正在控制電機(jī)、正在采集重要數(shù)據(jù)這一?？赡芫褪鞘鹿省５诙遣翆憰r(shí)長(zhǎng)不可忽視。Flash 擦除一個(gè)扇區(qū)不同系列從幾十毫秒到幾秒不等如果固件有幾十上百 KB幾個(gè)扇區(qū)疊起來(lái)就是肉眼可見(jiàn)的卡頓。我見(jiàn)過(guò)有人在 App 里直接調(diào) HAL_FLASHEx_Erase全局中斷也不關(guān)結(jié)果擦除一半來(lái)了個(gè) CAN 中斷代碼段正好在 Flash 上中斷一取指就卡死最后只能看門狗復(fù)位。第三是斷電風(fēng)險(xiǎn)。單 Bank 升級(jí)最怕寫到一半斷電Bootloader 區(qū)沒(méi)被破壞還好一旦 App 區(qū)寫了一半而校驗(yàn)區(qū)還沒(méi)更新設(shè)備直接變磚只能靠恢復(fù)出廠或者外置燒錄器救回來(lái)。單 Bank 能做備份恢復(fù)但要額外開一塊存儲(chǔ)做雙緩存邏輯復(fù)雜Flash 占用也大。1.2 雙Bank即時(shí)更新的核心思路雙 Bank 的意思就是 Flash 物理上分成兩個(gè)獨(dú)立的存儲(chǔ)塊比如 2MB Flash 分為 Bank1 和 Bank2各 1MB。每個(gè) Bank 都能獨(dú)立擦寫、獨(dú)立放一套完整固件。這樣升級(jí)思路就完全變了當(dāng)前 App 跑在 Bank1新固件通過(guò) Bootloader 或 App 內(nèi)的升級(jí)模塊寫到 Bank2寫完之后做一次校驗(yàn)然后軟復(fù)位Bootloader 根據(jù)標(biāo)志位決定跳轉(zhuǎn)到 Bank2。整個(gè)擦寫期間 Bank1 的應(yīng)用照常運(yùn)行用戶感覺(jué)不到任何中斷這就是所謂“即時(shí)更新Live Update”。一些新的 STM32 系列比如 STM32H7、STM32G4、STM32F7 的高密度型號(hào)還支持 RWWRead-While-Write讀時(shí)寫。也就是 CPU 可以從 Bank2 取指執(zhí)行同時(shí) Flash 控制器在擦寫 Bank1 的數(shù)據(jù)區(qū)。硬件層面就把“跑程序”和“寫 Flash”解耦了。即使是同一時(shí)刻發(fā)生中斷中斷向量和中斷服務(wù)函數(shù)都落在正在執(zhí)行的 Bank 里取指不會(huì)和 Flash 編程沖突實(shí)時(shí)性基本不受影響。這里有個(gè)很容易誤解的點(diǎn)雙 Bank 并不等于一定能 RWW。比如部分 STM32F4 的高密度型號(hào)也有雙 Bank但 CPU 在任意時(shí)刻只能訪問(wèn)一個(gè) Bank具體的 RWW 支持要看型號(hào)參考手冊(cè)里的 Flash 章節(jié)。所以做方案前第一件事就是查數(shù)據(jù)手冊(cè)別想當(dāng)然。1.3 哪些場(chǎng)景真正需要即時(shí)更新不是所有項(xiàng)目都需要雙 Bank。我個(gè)人的判斷標(biāo)準(zhǔn)很簡(jiǎn)單如果升級(jí)時(shí)允許設(shè)備停機(jī) 10 秒以上那單 Bank RAM 緩存 完整校驗(yàn)就夠用成本低、代碼簡(jiǎn)單也更容易驗(yàn)證。但如果你的產(chǎn)品屬于下面幾類雙 Bank 就是剛需現(xiàn)場(chǎng)設(shè)備升級(jí)期間還在和 PLC、上位機(jī)保持通信斷開就算故障比如產(chǎn)線設(shè)備、儲(chǔ)能逆變器、充電樁。遠(yuǎn)程設(shè)備無(wú)人值守升級(jí)斷了電就要靠恢復(fù)機(jī)制比如井場(chǎng)儀表、光伏板下的采集器、LoRa 節(jié)點(diǎn)。對(duì)中斷敏感的設(shè)備比如運(yùn)動(dòng)控制卡正在走軌跡的時(shí)候你讓它停 5 秒機(jī)械部分可能就撞了。需要頻繁灰度更新的設(shè)備比如做算法迭代的視覺(jué)網(wǎng)關(guān)新版本跑起來(lái)要觀察不行立刻回滾舊版本雙 Bank 天然支持雙版本切換。我在做遠(yuǎn)程網(wǎng)關(guān)時(shí)就吃了虧單 Bank 方案塞到現(xiàn)場(chǎng)升級(jí)到一半網(wǎng)絡(luò)斷了固件寫壞最后只能派人跑去現(xiàn)場(chǎng)用燒錄器恢復(fù)。從那以后凡是需要遠(yuǎn)程升級(jí)的產(chǎn)品我都強(qiáng)制上雙 Bank。2. 選型前先看清哪些STM32能玩雙Bank有沒(méi)有RWW2.1 型號(hào)支持情況與參數(shù)先把常用型號(hào)整理成一張表方便大家查。注意具體參數(shù)要以你自己手上的芯片型號(hào)對(duì)應(yīng)參考手冊(cè)為準(zhǔn)尤其是 RWW 支持這一列。系列典型型號(hào)Flash 容量Bank 劃分RWW 支持備注STM32F4F427/437/429/4392MB2 x 1MB通常不支持或受限雙 Bank 主要用于并行編程/EEPROM 模擬做即時(shí)更新要看具體器件STM32F7F722/732/746/756/767/769512KB~2MB2 x 256KB~1MB支持通過(guò)選項(xiàng)字節(jié)可配置雙 BankSTM32H7H743/753/750/7A31MB~2MB2 x 512KB~1MB支持雙 Bank 固定Flash 扇區(qū)大128KB 起STM32G4G431/474/491128KB~512KB可配置雙 Bank支持比較新的系列適合電機(jī)控制加 OTASTM32L4L4R/L4S2MB2 x 1MB支持低功耗場(chǎng)景表里幾處要注意。STM32F4 的雙 Bank 主要設(shè)計(jì)初衷是“同時(shí)擦寫一個(gè) Bank讀另一個(gè) Bank”但很多型號(hào)沒(méi)有做完整的 RWW 支持實(shí)際跑起來(lái)要詳細(xì)看手冊(cè)里 RWW 相關(guān)描述。STM32H7 的 Flash 扇區(qū)特別大H743 的 2MB 版本每 Bank 1MB每個(gè)扇區(qū) 128KB也就是說(shuō)你哪怕改一個(gè)字節(jié)也要先擦掉 128KB這個(gè)對(duì)升級(jí)策略影響很大。G4 的優(yōu)勢(shì)是可以通過(guò)選項(xiàng)字節(jié)把 256KB 分成兩個(gè) 128KB 的 Bank小封裝產(chǎn)品很實(shí)用。選型的時(shí)候不要只盯著 Flash 容量還要看 Flash 編程粒度。H7 的寫入是 256 位32 字節(jié)一次F7 常見(jiàn)是 64 位或者按編程單元G4 是 64 位。這個(gè)影響你的固件寫入函數(shù)怎么寫也影響數(shù)據(jù)緩沖區(qū)的對(duì)齊。我寫過(guò)一版從 F7 直接搬到 H7 的升級(jí)代碼結(jié)果踩了 32 字節(jié)對(duì)齊的坑后面專門有一節(jié)講。2.2 RWW能力就是方案的分水嶺如果你查手冊(cè)看到器件支持 RWW那恭喜可以做到真正的“零停機(jī)即時(shí)更新”。代碼跑在 Bank2Flash 控制器擦寫 Bank1兩者并行CPU 不會(huì)因?yàn)?Flash 編程而暫停取指。這樣即使你的 Flash 擦寫函數(shù)寫得慢一點(diǎn)應(yīng)用的實(shí)時(shí)任務(wù)調(diào)度也不會(huì)被明顯拖垮。如果不支持 RWW那“雙 Bank”就退化成“雙副本”升級(jí)前從 Bank2 啟動(dòng)然后把新固件寫到 Bank1寫的過(guò)程中 CPU 還是會(huì)被 Flash 編程動(dòng)作阻塞因?yàn)?Flash 控制器不讓你在寫 Bank1 的同時(shí)從 Bank2 取指。這個(gè)時(shí)候升級(jí)仍然可以“跑一段停一段”但做不到完全無(wú)感。對(duì)很多產(chǎn)品來(lái)說(shuō)能接受毫秒級(jí)或微秒級(jí)的短暫停頓也夠用了。判斷方法很簡(jiǎn)單在參考手冊(cè)里搜 “Read while Write” 或 “RWW”看 Flash 章節(jié)的描述。比如 STM32F746 的 RM0385 里明確寫了支持 RWWH743 的 RM0433 也寫了。如果手冊(cè)沒(méi)提默認(rèn)不支持別猜。2.3 工程上要提前準(zhǔn)備的三個(gè)條件想把雙 Bank 即時(shí)更新跑起來(lái)不是寫個(gè)跳轉(zhuǎn)函數(shù)就完了工程上要提前做三件事。第一確定鏈接腳本里的 Flash 起始地址和長(zhǎng)度。Bootloader 通常放在 0x08000000 開始的一段區(qū)域App1 放 Bank1 偏移 Bootloader 之后的位置App2 放 Bank2 起始地址。每個(gè) App 的鏈接腳本要對(duì)應(yīng)改。用 GCC 的話就是修改 LDFLAGS 或者 .ld 文件里的 FLASH 段用 Keil 的話就是在 Target 選項(xiàng)卡里改 IROM1 起始地址和大小。第二預(yù)留好 Bootloader 的下載通道。因?yàn)殡p Bank 方案里Bootloader 負(fù)責(zé)判斷從哪個(gè) Bank 啟動(dòng)、管理升級(jí)標(biāo)志、執(zhí)行跳轉(zhuǎn)。Bootloader 本身必須穩(wěn)定不能被 App 覆蓋。我習(xí)慣把 Bootloader 限制在 64KB 或 128KB 以內(nèi)剩余的 Bank1 空間全部給 App1。第三準(zhǔn)備一個(gè)可靠的“當(dāng)前運(yùn)行 Bank”標(biāo)志區(qū)。這個(gè)標(biāo)志可以是 Flash 專門的一個(gè)扇區(qū)也可以是備份寄存器比如 STM32 的 RTC Backup Register。備份寄存器功耗極低斷電不丟而且寫起來(lái)不會(huì)有 Flash 擦寫阻塞問(wèn)題只是軟件復(fù)位時(shí)不會(huì)清除可以用來(lái)記錄“下次啟動(dòng)進(jìn)哪個(gè) Bank”和“上一次啟動(dòng)是否成功”。3. 整體架構(gòu)與運(yùn)行流程3.1 地址布局Bootloader、App、升級(jí)標(biāo)志區(qū)我以一個(gè)典型 STM32H743 雙 Bank 方案為例畫一個(gè)地址布局描述。H743 有 2MB FlashBank1 起始于 0x08000000Bank2 起始于 0x08100000。Bootloader 放在 Bank1 起始位置 0x08000000長(zhǎng)度 0x0001000064KB。App1 放在 Bank1 的偏移位置 0x08010000App2 放在 Bank2 起始位置 0x08100000。區(qū)域起始地址大小內(nèi)容Bootloader0x0800000064KB啟動(dòng)判斷、升級(jí)流程、Flash 驅(qū)動(dòng)App10x08010000Bank1 剩余舊固件 / 新固件App20x08100000Bank2 全部新固件 / 舊固件升級(jí)標(biāo)志區(qū)Flash 最后扇區(qū)或備份寄存器小boot pending、confirmed、版本號(hào)這個(gè)布局有個(gè)好處Bootloader 固定不變App1 和 App2 都是完整固件二者互不依賴。無(wú)論從哪個(gè) Bank 啟動(dòng)Bootloader 都能再次接管下一次升級(jí)。如果不想 Bootloader 占 Bank1 空間也可以把 Bootloader 做到 0x08000000 之外比如用系統(tǒng)存儲(chǔ)器但那樣燒錄和調(diào)試都不方便不推薦。3.2 核心狀態(tài)機(jī)Bootloader 我簡(jiǎn)化成五個(gè)狀態(tài)。上電復(fù)位讀取升級(jí)標(biāo)志區(qū)。如果沒(méi)有 pending 標(biāo)志說(shuō)明沒(méi)有升級(jí)任務(wù)直接根據(jù)當(dāng)前有效版本跳轉(zhuǎn)到 App1 或 App2。如果有 pending 標(biāo)志說(shuō)明上次寫入了新固件還沒(méi)確認(rèn)Bootloader 先做一次完整校驗(yàn)比如 CRC32 或 SHA256。校驗(yàn)通過(guò)則清除 pending設(shè)置 confirmed跳轉(zhuǎn)到新 Bank。校驗(yàn)失敗則清除 pending回退到舊 Bank 啟動(dòng)。App 里也要配合新固件第一次啟動(dòng)后如果自檢通過(guò)應(yīng)當(dāng)主動(dòng)清除 confirmed 等待標(biāo)志或者寫一個(gè)“啟動(dòng)成功”標(biāo)記到標(biāo)志區(qū)。這樣下一次 Bootloader 才知道新固件是好的不用再次回滾。這個(gè)狀態(tài)機(jī)的關(guān)鍵點(diǎn)在于“pending”和“confirmed”雙標(biāo)志。只用單個(gè)“固件是否完整”的標(biāo)志不夠因?yàn)楣碳暾淮砟芘芡ê芸赡艹跏蓟揭话氡懒?。雙標(biāo)志配合看門狗基本能防住絕大多數(shù)變磚場(chǎng)景。3.3 升級(jí)流程完整走一遍假設(shè)現(xiàn)在設(shè)備跑的是 Bank1 里的 App1 版本 V1.2我們要升級(jí)到 V1.3。第一步App1 收到上位機(jī)發(fā)來(lái)的升級(jí)指令或者云端推下來(lái)的固件包App1 進(jìn)入升級(jí)模式停止對(duì)外的非關(guān)鍵服務(wù)但保留通信鏈路和看門狗喂狗任務(wù)。第二步App1 把固件包逐段寫入 Bank2。這一步如果 MCU 支持 RWWBank1 上的 App1 還能繼續(xù)執(zhí)行如果不支持App1 也要保證“數(shù)據(jù)接收正常”優(yōu)先即使短暫停頓也必須接收完整數(shù)據(jù)。第三步全部寫完后App1 對(duì) Bank2 做 CRC 校驗(yàn)確認(rèn)固件數(shù)據(jù)沒(méi)問(wèn)題。第四步App1 在標(biāo)志區(qū)寫入“pending Bank2V1.3”然后軟復(fù)位。第五步Bootloader 上電看到 pending校驗(yàn) Bank2 完整清除 pending設(shè)置 confirmed Bank2跳轉(zhuǎn)到 Bank2。第六步App1 的 V1.3 啟動(dòng)自檢通過(guò)后清除 confirmed等待下一次升級(jí)。如果第六步自檢失敗或者 App 起不來(lái)看門狗會(huì)復(fù)位Bootloader 再次啟動(dòng)發(fā)現(xiàn)沒(méi)有 confirmed判定升級(jí)失敗回滾到 Bank1 的 V1.2。用戶唯一的感覺(jué)就是“升級(jí)好像失敗了但設(shè)備還是原來(lái)的版本”不會(huì)變磚。4. 核心機(jī)制與關(guān)鍵代碼4.1 Bank切換的正確姿勢(shì)對(duì) STM32H7 這類固定雙 Bank 的芯片Bank 切換其實(shí)就是“選擇從哪個(gè)地址啟動(dòng) App”。這里有個(gè)新手容易踩的坑不要試圖用選項(xiàng)字節(jié)做啟動(dòng)切換雖然在 F4/F7 上確實(shí)有 BOOT_SWAP 或 nDBANK 一類配置但 Bootloader 代碼里做軟件跳轉(zhuǎn)要簡(jiǎn)單可靠得多而且不需要改選項(xiàng)字節(jié)。軟件跳轉(zhuǎn)的思路是在 Bootloader 里讀目標(biāo) Bank 起始地址的前兩個(gè)字第一個(gè)字是初始 MSP第二個(gè)字是復(fù)位向量然后設(shè)置主堆棧指針把 VTOR 指向目標(biāo)地址再跳轉(zhuǎn)過(guò)去。下面這段是我一直沿用的跳轉(zhuǎn)函數(shù)/* jump_to_app.c */ #include stm32h7xx_hal.h typedef void (*pFunction)(void); static void Jump_To_Address(uint32_t address) { uint32_t msp_value; uint32_t reset_value; pFunction jump_func; msp_value *(__IO uint32_t *)address; reset_value *(__IO uint32_t *)(address 4); if ((msp_value 0xFFF00000) 0x20000000) { /* 棧頂指針在 RAM 范圍內(nèi)視為合法 */ SCB-VTOR address; __disable_irq(); __set_MSP(msp_value); jump_func (pFunction)reset_value; jump_func(); } while (1) { /* 跳轉(zhuǎn)失敗則死循環(huán)由看門狗復(fù)位 */ } }注意跳轉(zhuǎn)前要做三件事關(guān)閉全局中斷、復(fù)位 SysTick 和所有外設(shè)、重定向向量表。我見(jiàn)過(guò)有人只調(diào)了 __set_MSP 就跳結(jié)果 App 一初始化就進(jìn) HardFault因?yàn)?SysTick 中斷還在用 Bootloader 的上下文。正確做法是先把在用的外設(shè) DeInit把 SysTick 停掉再關(guān)中斷最后跳轉(zhuǎn)。4.2 跳轉(zhuǎn)與中斷向量表重定向向量表重定向是雙 Bank 升級(jí)最繞的地方之一。ARM Cortex-M 的中斷控制器默認(rèn)從 0x00000000 取向量表但 STM32 通過(guò) VTOR 寄存器可以重定向到任意地址。對(duì)于從 Bank2 啟動(dòng)的 App需要把 SCB-VTOR 設(shè)置成 0x08100000這樣中斷才能進(jìn) Bank2 的異常處理函數(shù)。有些讀者會(huì)問(wèn)H7 有零等待狀態(tài)和指令緩存跳過(guò)去之后代碼能正常執(zhí)行嗎答案是可以但要記得處理 I/D Cache 和 Flash 延遲。H7 的 Flash 讀取走 AXI 總線跳轉(zhuǎn)后如果開了 Cache舊數(shù)據(jù)可能還在 Cache 里導(dǎo)致代碼不一致。我習(xí)慣在跳轉(zhuǎn)前做一次 SCB_InvalidateICache 和 SCB_InvalidateDCache確保新代碼是重新從目標(biāo) Bank 取的。另外如果 App 自己用了 RTOS要確認(rèn) RTOS 的啟動(dòng)代碼會(huì)不會(huì)覆蓋 VTOR。FreeRTOS 本身不碰 VTOR但有些 BSP 庫(kù)會(huì)在 SystemInit 里重新設(shè)置 VTOR。如果你的鏈接腳本把 VECT_TAB_OFFSET 寫死了那從 Bank2 啟動(dòng)時(shí)會(huì)出問(wèn)題。解決方法是讓 App 在啟動(dòng)早期根據(jù)自身地址動(dòng)態(tài)設(shè)置 VTOR不要依賴編譯器默認(rèn)的偏移。下面是一個(gè) App 初始化時(shí)的向量表重定向示例/* app_main.c */ void SystemInit_Redirect_VectorTable(void) { uint32_t app_base FLASH_BANK2_BASE; /* 0x08100000 */ SCB-VTOR app_base; __DSB(); __ISB(); }4.3 Flash驅(qū)動(dòng)為什么必須放在RAM里跑這一步是 RWW 實(shí)現(xiàn)的核心很多人卡在這里。STM32H7 等器件在執(zhí)行 Flash 寫入或擦除時(shí)Flash 控制器會(huì)占用對(duì)應(yīng)的總線資源CPU 如果從同一個(gè) Bank 取指會(huì)和編程操作沖突。雖然支持 RWW 的芯片可以在編程 Bank1 時(shí)從 Bank2 取指但你的 Flash 編程代碼本身如果放在 Bank1 或 Bank2 的 Flash 上那總有沖突的可能。保險(xiǎn)且通用的做法是把 Flash 擦寫和編程相關(guān)的函數(shù)放到 SRAM 里執(zhí)行。這樣無(wú)論你正在擦哪個(gè) BankCPU 取指都從 RAM 來(lái)完全避開 Bank 沖突。實(shí)現(xiàn)方式用 GCC 的話就是給函數(shù)加__attribute__((section(.ramfunc)))然后在啟動(dòng)代碼里把這部分從 Flash 拷貝到 RAM。Keil 下更簡(jiǎn)單直接在函數(shù)上標(biāo)記__RAM_FUNC或者放到指定 section 即可。這里要注意如果你的函數(shù)有內(nèi)聯(lián)調(diào)用其他 Flash 里的函數(shù)鏈接器可能把它優(yōu)化掉或者留下調(diào)用跳轉(zhuǎn)最好把 Flash 控制器操作封裝成獨(dú)立的、不調(diào)用外部 Flash 函數(shù)的函數(shù)放在 RAM 區(qū)。下面是一個(gè) H7 上從 RAM 執(zhí)行的扇區(qū)擦除示例結(jié)構(gòu)/* flash_program_ram.c */ __attribute__((section(.ramfunc))) static int Flash_Erase_Sector(uint32_t sector_addr) { FLASH_EraseInitTypeDef erase_cfg; uint32_t sector_error 0; uint32_t status; erase_cfg.TypeErase FLASH_TYPEERASE_SECTORS; erase_cfg.Banks FLASH_BANK_1; erase_cfg.Sector Get_Sector_Index(sector_addr); erase_cfg.NbSectors 1; erase_cfg.VoltageRange FLASH_VOLTAGE_RANGE_3; status HAL_FLASHEx_Erase(erase_cfg, sector_error); return status; }實(shí)際工程里整個(gè)升級(jí)相關(guān)的 Flash 操作包括解鎖、擦除、編程、校驗(yàn)我都建議放到 RAM section。這樣既保證不會(huì)因?yàn)?Flash 編程卡死 CPU將來(lái)想切換 Bank 也方便。4.4 最小可運(yùn)行實(shí)現(xiàn)整理一個(gè)最小可運(yùn)行的 Bootloader 流程。Bootloader 啟動(dòng)后從標(biāo)志區(qū)讀狀態(tài)判斷要不要升級(jí)。如果要升級(jí)就從通信接口接收固件按扇區(qū)擦寫目標(biāo) Bank寫完做 CRC然后跳轉(zhuǎn)。固件接收我用 UART 中斷加狀態(tài)機(jī)數(shù)據(jù)幀格式很簡(jiǎn)單幀頭命令長(zhǎng)度數(shù)據(jù)CRC320xAA550x01 寫入4 字節(jié)固件數(shù)據(jù)塊4 字節(jié)App 側(cè)先解析固件包頭部知道目標(biāo) Bank、固件長(zhǎng)度、固件 CRC。然后分包發(fā)送給 Bootloader 或者 App 自帶的升級(jí)模塊。收到一包就寫一包寫的地址是目標(biāo) Bank 基地址加偏移。因?yàn)?H7 寫入是 32 字節(jié)一次一包數(shù)據(jù)最好也是 32 字節(jié)對(duì)齊避免跨地址編程。偽代碼/* upgrade_engine.c */ void Upgrade_Process(uint8_t *pkt, uint32_t len) { if (!upgrade_phase_started) { if (Parse_Firmware_Header(pkt, header)) { upgrade_phase_started 1; target_addr Get_Target_Bank_Base(); flash_unlock(); } return; } if (Is_Data_Packet(pkt)) { Flash_Program_Aligned(target_addr data_offset, pkt_data, data_len); } if (Is_End_Packet(pkt)) { crc_ok Verify_Target_Bank(header.crc); if (crc_ok) { Write_Flag(PENDING_NEW_BANK); NVIC_SystemReset(); } } }這只是一個(gè)骨架。真正常用工程里還得加上超時(shí)重傳、幀序號(hào)去重、固件加密等功能。但核心機(jī)制就是這幾步接收、寫 Flash、校驗(yàn)、置標(biāo)志、復(fù)位、跳轉(zhuǎn)。5. 實(shí)測(cè)數(shù)據(jù)與踩坑實(shí)錄5.1 實(shí)測(cè)升級(jí)時(shí)序我在 STM32H743 上跑過(guò)一版 512KB App 的雙 Bank 升級(jí)擦除 Bank2 全部扇區(qū)大概需要幾秒到十幾秒這個(gè)時(shí)間受 Flash 電壓、主頻和是否并發(fā)讀寫影響很大。真正的 RWW 優(yōu)勢(shì)體現(xiàn)在“擦 Bank2 時(shí) Bank1 上的業(yè)務(wù)照常跑”。我在升級(jí)期間給一個(gè) PWM 輸出做示波器監(jiān)測(cè)可以看到 PWM 波形幾乎沒(méi)有缺口只有極少數(shù)個(gè) CPU 停頓點(diǎn)業(yè)務(wù)完全無(wú)感。如果你用的是不支持 RWW 的型號(hào)那擦除期間 CPU 還是會(huì)被阻塞但通過(guò)把擦寫函數(shù)拆成小扇區(qū)、配合任務(wù)調(diào)度可以在每?jī)蓚€(gè)扇區(qū)之間讓出 CPU把“不可用時(shí)間”從幾十秒壓縮到幾十毫秒也算勉強(qiáng)能做到“準(zhǔn)即時(shí)”。5.2 我踩過(guò)的幾個(gè)典型坑第一個(gè)坑是 H7 的 Flash 編程對(duì)齊。H743 一次寫入要求 32 字節(jié)對(duì)齊而且命令是按 256 位數(shù)據(jù)塊來(lái)的。我第一次直接用HAL_FLASH_Program(FLASH_TYPEPROGRAM_DOUBLEWORD, ...)處理結(jié)果編譯過(guò)、運(yùn)行不報(bào)錯(cuò)但數(shù)據(jù)寫進(jìn)去就是不對(duì)。查了半天才發(fā)現(xiàn) H7 要用FLASH_TYPEPROGRAM_QUADWORD。這個(gè)問(wèn)題在 F7/G4 上一般不會(huì)出現(xiàn)但搬到 H7 必須改。第二個(gè)坑是調(diào)試器連不上。有次我把 Flash 選項(xiàng)字節(jié)里的雙 Bank 配置改錯(cuò)了導(dǎo)致芯片上電后完全跑飛SWD 都連不上。這時(shí)候別慌用 ST-LINK Utility 或者 CubeProgrammer 的 connect under reset 模式先把芯片復(fù)位住再全片擦除恢復(fù)。這個(gè)流程我寫過(guò)一個(gè)小提醒貼在工位上Bank 配置改動(dòng)前先備份整個(gè) Flash 和選項(xiàng)字節(jié)。第三個(gè)坑是升級(jí)期間看門狗沒(méi)喂。如果你把 Flash 擦寫放到 RAM 里跑但整個(gè)擦寫過(guò)程是一個(gè)長(zhǎng)阻塞函數(shù)看門狗照樣會(huì)超時(shí)復(fù)位。我當(dāng)時(shí)用 IWDG512KB 擦除要十幾秒看門狗默認(rèn) 4 秒就 reset每次升級(jí)到一半就重啟。后來(lái)把擦除循環(huán)拆塊每擦完一個(gè)扇區(qū)喂一次狗才解決。第四個(gè)坑是跳轉(zhuǎn)前的緩存問(wèn)題。H7 開了 D-Cache 后跳轉(zhuǎn)前如果沒(méi)有 Clean/InvalidateApp 初始化時(shí)讀到的數(shù)據(jù)可能是舊的表現(xiàn)為隨機(jī)性故障。凡是跳轉(zhuǎn)必清理 Cache這個(gè)不能省。表格整理一下常見(jiàn)問(wèn)題現(xiàn)象根因解決跳轉(zhuǎn)后 HardFault外設(shè)沒(méi) DeInit 或 SysTick 在搞鬼跳轉(zhuǎn)前全部外設(shè)復(fù)位關(guān)中斷清理 PendSV/SysTick固件寫入后校驗(yàn)不一致編程粒度不對(duì)H7 用了 DOUBLEWORD改用 QUADWORD并保證 32 字節(jié)對(duì)齊擦除期間看門狗復(fù)位擦除耗時(shí)太長(zhǎng)沒(méi)喂狗分塊擦除每塊之間喂狗從 Bank2 啟動(dòng)后中斷不進(jìn)VTOR 沒(méi)指向 Bank2App 初始化時(shí)動(dòng)態(tài)設(shè)置 SCB-VTORSWD 連不上選項(xiàng)字節(jié)被改廢了connect under reset全片擦除恢復(fù)5.3 回滾設(shè)計(jì)不能讓設(shè)備變磚雙 Bank 最大的賣點(diǎn)就是能安全回滾。但回滾不是簡(jiǎn)單切換地址要設(shè)計(jì)好標(biāo)志語(yǔ)義。我的方案是在標(biāo)志區(qū)維護(hù)兩個(gè) 32 位字upgrade_pending和upgrade_confirmed。當(dāng) App1 把新固件寫完先寫upgrade_pending NEW_BANK然后復(fù)位。Bootloader 看到 pending校驗(yàn)新 Bank 有效后把upgrade_confirmed NEW_BANK再清除 pending跳轉(zhuǎn)。新 App 啟動(dòng)后自檢通過(guò)主動(dòng)清除upgrade_confirmed或者把它寫成VALID NEW_BANK。如果新 App 起不來(lái)看門狗復(fù)位Bootloader 發(fā)現(xiàn)upgrade_confirmed不是 NEW_BANK就知道新固件沒(méi)有確認(rèn)于是回滾到舊 Bank。這一套用 Flash 保存標(biāo)志也可以但要注意 Flash 擦寫次數(shù)和等待時(shí)間更推薦用 RTC Backup Register寫一次只要幾十納秒不磨損 Flash。缺點(diǎn)是掉電會(huì)丟但我們的場(chǎng)景里掉電丟標(biāo)志也沒(méi)關(guān)系大不了回舊版本設(shè)備不會(huì)變磚。6. 我的體會(huì)雙Bank不是唯一解但它是性價(jià)比最高的解做完這個(gè)雙 Bank 即時(shí)更新方案后我對(duì)“升級(jí)”這件事的理解變了不少。以前總覺(jué)得升級(jí)就是個(gè)下載功能寫個(gè)串口助手就能搞定現(xiàn)在明白它其實(shí)是整個(gè)系統(tǒng)的可靠性設(shè)計(jì)。雙 Bank 用硬件冗余換軟件自由度讓升級(jí)從“高風(fēng)險(xiǎn)操作”變成了“可驗(yàn)證、可回滾的常規(guī)運(yùn)維動(dòng)作”。我也遇到過(guò)有人問(wèn)為什么不用外部 Flash 存固件再搬運(yùn)如果外部 Flash 是標(biāo)配那確實(shí)可以。但很多產(chǎn)品為省成本沒(méi)有外部 Flash芯片自帶的雙 Bank 就是零成本方案。還有人問(wèn)為什么不用 TFTP、HTTP 這些協(xié)議直接寫固件其實(shí)協(xié)議只是傳輸層的事底層落到 Flash 上還得靠這一套 Bank 切換和校驗(yàn)機(jī)制。如果你現(xiàn)在的產(chǎn)品允許停機(jī)升級(jí)我建議先別急著上雙 Bank把單 Bank 的 IAP 打磨好同樣能解決大部分問(wèn)題。如果已經(jīng)在為“升級(jí)停機(jī)”頭疼那 STM32 的雙 Bank 方案值得你花一兩個(gè)迭代周期認(rèn)真做一次。做的時(shí)候記住一句話Bank 能不能切得過(guò)去是能力問(wèn)題切過(guò)去之后能不能回得來(lái)才是設(shè)計(jì)問(wèn)題。把升級(jí)標(biāo)志、校驗(yàn)、回滾鏈路都跑通這個(gè)系統(tǒng)才真正算可靠。