引言
原理
实现
硬件相关
软件相关
用户应用程序
总结
known issue
我们在向一些非专业开发者发放开发板时，有时对方没有调试器，开发者就无法下载体验在后续发布支持新功能的固件。并且，对于非专业开发者的用户来说，仅仅是体验新功能，而不介入开发工作，专门搭建一套开发环境，性价比实在不高。即使有调试器硬件，在不同操作系统平台上，还需要安装专门的工具软件配合工作，才能实现下载固件的功能，操作比较繁琐。为了简化下载固件的操作，本例使用MM32F5270微控制器，基于芯片自带的USB外设，实现了一个基于U盘拖拽更新固件的解决方案。我期望实现的结果是：
相对于板载带有U盘拖拽下载功能的daplink方案，本例节约了一个专门运行daplink程序的芯片，利用微控制器自带的USB外设直接建立同PC的连接，更可有机会被实现成ROM，固化在芯片内部。
关于项目的源码及相关的资料，见Gitee站点：https://gitee.com/suyong_yq/mcu-udisk-bootloader
MM32F5270片内集成了256KB Flash，但可通过QSPI接口外扩spiflash存储设备，并可在外扩spiflash中执行程序（XIP）。本例实际将运行bootloader的片内Flash当做BOOT ROM，而将可执行程序的固件存放在对接的spiflash存储介质中。当芯片上电后，通过一些外部控制手段（例如使用一个按键选择启动模式），先运行带有USB功能的bootloader程序，由bootloader的程序将芯片模拟成U盘（U盘的物理存储空间位于外扩spiflash的后半段）。PC可以看到模拟U盘中的现存文件，也可以向其中拖拽新文件。当拖拽新文件后，bootloader程序会继续将新文件的程序内容复制到程序的执行区域，覆盖掉之前的程序，然后再跳转到程序的执行区域执行程序。
这里专门使用一块物理存储区域（spiflash存储器的后半段）的原因是，USB协议栈模拟U盘时，对文件系统的管理操作全部交由PC完成，这就意味着，PC向模拟U盘发送包含文件内容的数据包时，不一定是按照物理上的先后顺序发送的，微控制器端难以通过数据包本身解析出数据包的先后顺序。但是，bootloader向程序执行区域复制可执行程序的内容必须是顺序且连续的。PC在同U盘的通信过程中，数据包之间的内容可能不连续，但最终发送完成的文件内容一定是完整的。因此，这里使用使用了一个能包含整个固件文件大小的区域作为缓冲区，先缓冲下来整个完整的文件，然后再将完整的文件内容按顺序复制到程序的可执行区域。
理想情况下，如果能用一块RAM作为整个文件的缓冲区，通过U盘拖拽下载过程将会非常快。但本例中使用spiflash作为缓冲区，虽然擦除spiflash并向其写入数据需要花费更多的时间，但能容纳更大的程序文件。
如果芯片内部集成足够大的片内Flash，也可以不依赖外扩spiflash，对内部的Flash做分区，分别作为bootloader、运行程序及文件缓存的存储区。
本例使用BIRD-F5270开发板，开发板基本情况如下：
芯片上电复位后，默认是直接执行到用户程序中，但也可以通过指定的手段改为执行bootloader，执行U盘程序。本例使用一个按键，绑定到一个指定的GPIO输入（BOOT引脚），芯片在启动过程中判定启动模式：默认启动到用户程序，当按键按下时，启动到带有U盘程序的bootloader。
MM32F5芯片自带的BOOT0引脚虽然在微控制器复位后可作为普通GPIO使用，但可能会将芯片引导到芯片内部已经固化到ROM中的bootloader程序中，因此不适合作为2nd bootloader的BOOT引脚。BIRD-F5270开发板上除RESET和BOOT0 之外，还有PA0引脚实现按键（SW3）功能，可作为2nd bootloader中的BOOT引脚。
当 SW3 被按下时，PA0 为低电平，可执行 U 盘任务，当 SW3 松开时，PA0 为高电平，可执行跳转程序的任务，具体实现代码如下：
/* read gpio pin level, select boot mode. */
if (GPIO_ReadInDataBit(BOARD_BTN_PORT, BOARD_BTN_PIN))
{
/* update app & run. */
jump_to_app();
}
else
{
/* run usb msc task. */
msc_task();
}
/* cannot run here. */
while(1)
{}
MM32F5270微控制器集成了USB外设，配合TinyUSB协议栈，可模拟U盘（MSC设备）。
当运行模拟U盘的程序时，需要指定一块存储区域作为U盘的存储空间，在本例中，将外扩的spiflash存储区域一分为二，前半部分作为执行程序区域，存储需要执行的应用程序，后半部分作为U盘的物理存储空间，将用于缓存用户通过拖拽方式下载的固件。
注意，spiflash作为U盘的存储介质时需要解决一个问题，spiflash的最小擦除块大小是4KB，而U盘设备对存储介质的擦除块大小是512B，擦除块大小不匹配。该问题有两种解法：
第一种方法简单易实现，但会频繁擦写spiflash，消耗存储器件的寿命。第二种方法相当于实现了一个cache机制，操作行为较为复杂。当前暂时选择第一种做法，先验证原理，如果后续考虑将这个带U盘功能的bootloader集成到芯片内部，到时也可以专门集成一块以512B作为操作单元的dflash作为固件的缓存存储设备。
运行TinyUSB协议栈的程序中，在执行MSC任务时，会执行对spiflash存储设备进行读写操作的回调函数，如下：
从spiflash读数据：
// Callback invoked when received READ10 command.
// Copy disk's data to buffer (up to bufsize) and return number of copied bytes.
int32_t tud_msc_read10_cb(uint8_t lun, uint32_t lba, uint32_t offset, void* buffer, uint32_t bufsize)
{
(void) lun;
uint8_t * addr = (uint8_t*)(BOARD_MEM_BASE + lba * 512 + offset);
memcpy(buffer, addr, bufsize);
return bufsize;
}
向spiflash写数据：
static uint8_t flash_buf[4096];
// Callback invoked when received WRITE10 command.
// Process data in buffer to disk's storage and return number of written bytes
int32_t tud_msc_write10_cb(uint8_t lun, uint32_t lba, uint32_t offset, uint8_t* buffer, uint32_t bufsize)
{
(void) lun;
/* read the 4K sector from spiflash to local buff. */
uint8_t * flash_addr = (uint8_t *)((BOARD_MEM_BASE + lba * 512) & 0xFFFFF000);
memcpy(flash_buf, flash_addr, 4096);
/* erase the sector in spiflash. */
BOARD_EraseSector4KB((uint32_t)flash_addr);
/* write the new data into local buff. */
uint8_t * block = flash_buf + ((lba * 512) &0xFFF) + offset;
memcpy(block, buffer, bufsize);
/* write the data from local buff to spiflash. */
BOARD_WriteSector4KB((uint32_t)flash_addr, flash_buf);
return bufsize;
}
另外，还有一种做法是不需要真实存在的物理存储空间作为U盘的存储介质，而是实时解算PC发过来的要存储在Flash上的数据包，解析其中哪些数据是文件系统相关的信息，哪些数据是文件本身内容。此时，可丢弃文件系统相关的信息，而将文件本身内容按顺序存放在spiflash的指定区域。该方法不需要将spiflash空间一分为二，可提高对spiflash的空间利用率，但该实现该方法需要十分熟悉FAT文件系统格式，且万一电脑未按照指定的序列发数数据时，该方法无法正确解算出文件内容，造成更新固件失败，因此，在本例中未实现该功能。
前文中实现的U盘功能，将包括文件系统信息的新固件储存在了spiflash的后半段空间中，bootloader程序要读取新固件中的内容也需要能够操作文件系统，本例中为bootloader程序性集成了嵌入式系统上常见的文件系统组件为 FatFs（http://elm-chan.org/fsw/ff/00index_e.html）
本项目中，仅需要 FatFs 实现文件的读功能，不需要对文件进行写操作，因此只需要在适配接口上实现读操作即可， 配置文件ff_conf.h中配置宏选项 FF_FS_READONLY 的值为1。然后在diskio.c文件中适配文件系统对具体物理介质的读操作函数disk_read()如下：
DRESULT disk_read (
BYTE pdrv, /* Physical drive nmuber to identify the drive */
BYTE *buff, /* Data buffer to store read data */
LBA_t sector, /* Start sector in LBA */
UINT count /* Number of sectors to read */
)
{
(void) pdrv;
BYTE *flash_addr = (BYTE*)(BOARD_MEM_BASE + sector * FF_MAX_SS);
memcpy(buff, flash_addr, count * FF_MAX_SS);
return 0;
}
如何在文件系统中的众多文件中识别微控制器可执行程序的固件呢？本例采用通过文件名来确定是否为固件。
通过 FatFs 尝试打开一个有宏BOARD_APP_NAME指定名称的文件，若能成功打开该文件，则说明有可用的固件文件存在。
if (FR_OK == f_open(&file, "0:/"BOARD_APP_NAME, FA_READ) )
{
...
}
为什么不能使用任意bin判断文件作为固件呢？这里考虑到，当文件系统中有多个bin文件时，bootloader 没有依据判断哪一个固件为新固件（根据修改日期判断是否可行，作为可移动存储设备，会插在不同电脑上，如果不同电脑的时间不一致，则会出现判断失误的情况，因此不选择使用修改日期作为新固件的判断依据），指定固定文件名的方式判断固件，最简单有效，问题最少。
不少人都应该有这样的经历，在网上下载大文件如大型游戏时，往往下载页面会提供一串 MD5 码，这段 MD5 码的作用是验证下载的文件是否完整，当用户在网上下载大文件完成后，可在 CMD 中使用 certutil -hashfile 指令求出该文件的 MD5 码，与下载页面提供的 MD5 进行对比，判断文件是否下载完整。
Microsoft Windows [版本 10.0.22621.1848]
(c) Microsoft Corporation。保留所有权利。
E:\>certutil -hashfile project.bin MD5
MD5 的 project.bin 哈希:
615ca0da12d496b7a8b1bd6c21876a97
CertUtil: -hashfile 命令成功完成。
E:\>
在嵌入式领域，Arm的MbedTLS加解密算法库中提供了MD5的计算方法，因此可使用MbedTLS计算MD5，有程序如下：
/* calc md5. */
mbedtls_md5_context md5_ctx;
mbedtls_md5_init(&md5_ctx);
mbedtls_md5_starts(&md5_ctx);
while(1)
{
UINT br = 0;
f_read(&file, app_buf, sizeof(app_buf), &br);
mbedtls_md5_update(&md5_ctx, app_buf, br);
if (br < sizeof(app_buf))
{
break;
}
}
f_lseek(&file, 0);
uint8_t md5_val[16] = {0};
mbedtls_md5_finish(&md5_ctx, md5_val);
除了 MD5 以外，还可以使用如 SHA1，SHA2 或者 SM3 等更高安全等级的散列值算法作为新固件的判断依据。
复制固件到执行区域的做法较为简单，就是使用 f_read() 函数读取数据，再写入到spiflash的指定区域即可。
但除了复制固件文件内容本身，其文件的MD5值也要写入到Flash中。应在写新固件之前将之前的MD5值擦除，写新固件完成之后，再将新MD5值写入，如此一来，MD5除了作为检查新固件的完整性的方法外，还可作为执行区域固件完整性检查的重要依据。
本例中，将MD5值存放在片内flash的末尾。
检查新固件和复制固件到执行区域的代码如下：
/* check md5, the md5 length is 16 byte. */
if (memcmp((uint8_t*)BOARD_MD5_BASE, md5_val, sizeof(md5_val)) != 0)
{
/* new file, update. */
BOARD_EraseSector4KB(BOARD_MD5_BASE);
uint32_t has_write = 0;
while(1)
{
UINT br = 0;
memset(app_buf, 0xff, sizeof(app_buf));
f_read(&file, app_buf, sizeof(app_buf), &br);
BOARD_EraseSector4KB(has_write);
BOARD_WriteSector4KB(has_write, app_buf);
has_write+=4096;
if (br < sizeof(app_buf))
{
break;
}
}
/* write new md5. */
memset(app_buf, 0xff, sizeof(app_buf));
memcpy(app_buf, md5_val, sizeof(md5_val));
BOARD_WriteSector4KB(BOARD_MD5_BASE, app_buf);
}
需要使用完整的一个块存放MD5值，MD5必须保证单独擦除，单独写入。除了MD5以外，该区域还可以可根据需要存放一些固件相关的信息，比如说修改时间，固件大小等信息，充分利用空间。
跳转程序需要做的事情包括：恢复系统时钟，修改中断向量表位置，复位栈指针，执行应用程序的复位程序等。具体操作如下：
void jump_to_app(void)
{
...
/* jump to app. */
CLOCK_ResetToDefault();
vtor = (uint32_t *)BOARD_APP_BASE;
__disable_irq();
SCB->VTOR = BOARD_APP_BASE;
__ISB();
__DSB();
__set_MSP(vtor[0]);
__set_PSP(vtor[0]);
__enable_irq();
((void(*)(void))vtor[1])();
}
为了配合bootloader正常工作，需要用户在自己的应用程序需调整以下内容：
本例实现的bootloader，spiflash作为应用程序的执行区域，代码段的起始位置位于spiflash的起始映射地址0x90000000，不是片内Flash的0x08000000，因此，需要调整Linker中对应的配置如下：
/*--------------------- Flash Configuration ----------------------------------
; Flash Configuration
; Flash Base Address <0x0-0xFFFFFFFF:8>
; Flash Size (in Bytes) <0x0-0xFFFFFFFF:8>
;
*----------------------------------------------------------------------------*/
#define __ROM_BASE 0x90000000
#define __ROM_SIZE 0x00100000
若使用spiflash存储应用程序，bootloader在执行应用程序前就应该将 QSPI 接口和 GPIO 引脚配置好。在用户应用程序中，如果需要操作QSPI或者bootloader中使用的GPIO，要特别注意避开。
通过USB接口将BIRD-F5270连接电脑，保持SW3按键按下时，再按下并松开RESET按键，稍后会在PC上看到一个大小约为1MB的U盘，将新编译好的名为 “project.bin” 的固件文件拖拽存放至该U盘中，然后保持SW3按键松开的状态下再次按下并松开RESET按键，稍后即可发现微控制器已经在执行新固件中的应用程序了。
作为下载新固件的 U 盘，还可以存放一些别的文件，供应用程序使用，例如一张图片，一首音乐，或一段文字，但需要注意的是，应用程序对该文件系统只有读操作的权限，不能进行写操作（或者在bootloader中实现安全写操作的接口，让应用程序去调用相应的写操作接口）
开发板通过 USB 连接电脑，保持 SW3 按键按下的状态，多次快速按下复位键，可能会造成文件系统损坏，文件丢失，需重新格式化才能正常使用，其原因是两次按下复位键中间，电脑正在修改 Flash 中的内容，但复位操作打断了写操作，造成文件系统损坏。因此需避免快速多次按下复位键的操作。这里可考虑使用一个可编程的指示灯，指示芯片内部程序的工作状态：当拖拽固件文件到芯片时，指示灯快速闪烁；当复制新固件文件到程序运行区域时，指示灯保持常亮；当复制完毕后，指示灯熄灭。仅当指示灯熄灭后，方可重新复位芯片执行新程序。
