基于IAP和Keil MDK的远程升级设计

      IAP函数是固化在微处理器内部flash上的一些函数代码，最终的用户程序可以直接通过调用这些函数来对内部flash进行擦除和编程操作。LPC2114微处理器的内部flash有一个块称为Boot Block，位于flash的顶端，可供调用的IAP函数就位于该块中。上电后Boot Block被映射到内部地址空间的顶端，同样IAP函数人口地址也被映射到地址0x7ffffff0处。用户可通过跳转到该地址来调用相应的lAP函数。

      对于在应用编程来说，应当通过寄存器r0 中的字指针指向存储器(RAM)包含的命令代码和参数来调用IAP 程序。IAP 命令的结果返回到寄存器r1 所指向的返回表。用户可通过传递寄存器r0 和r1 中的相同指针重用命令表来得到结果。参数表应当大到足够保存所有的结果以防结果的数目大于参数的数目。参数传递见图2-1。参数和结果的数目根据IAP命令而有所不同。参数的最大数目为5，由“将RAM 内容复制到Flash”命令传递。结果的最大数目为2，由“扇区查空”命令返回。命令处理程序在接收到一个未定义的命令时发送状态代码INVALID_COMMAND。IAP 程序是thumb 代码，位于地址0x7FFFFFF0。

图2-1 IAP的参数传递

表2-1描述了IAP的命令。

      IAP 功能可用下面的C 代码来调用。

      定义 IAP 程序的入口地址。由于IAP 地址的第0 位是1，因此，当程序计数器转移到该地址时会引起Thumb 指令集的变化。

      定义数据结构或指针，将IAP 命令表和结果表传递给IAP 函数

• 
  
  unsigned long command[5];
  
  
• 
  
  unsigned long result[2];
  
  
  

      定义函数类型指针，函数包含2 个参数，无返回值。注意：IAP 将函数结果和R1 中的表格基址一同返回。

• 
  
  typedef void (*IAP) (unsigned int [ ] , unsigned int [ ]);
  
  
• 
  
  IAP iap_entry;
  
  
  

      设置函数指针

    使用下面的语句来调用IAP。

      Flash 存储器在写或擦除操作过程中不可被访问。执行Flash 写/擦除操作的IAP 命令使用片内RAM 顶端的32 个字节空间。如果应用程序中允许IAP 编程，那么用户程序不应使用该空间。

      由于在升级程序软件设计中，分散加载机制、中断向量的重映射、软中断等的实现还与所使用的编译器紧密相关，因此，本文结合Keil MDK（V4.10）编译工具，来详细阐述升级程序的实现过程。

      分站上电后，首先运行位于Flash 0x000～0x3FF中的跳转程序。跳转程序会读取位于14扇区的当前程序运行标志，如果该扇区的最低四个字节为0x00010000，表示当前程序运行在高区，跳转程序会跳转到Flash的0x00010000处执行用户程序；如果该标志区的最低四个字节为0x00008000，表示当前程序运行在低区，跳转程序会跳转到Flash的0x00002000处执行用户程序。用户程序正常执行后，会按照设计进行正常的程序采集、数据处理传送。当接收到升级命令后，用户程序会跳转到Flash的0x00000400处的Bootloader处进行升级的一些操作。当升级成功后，Bootloader程序更新当前程序运行区标志，程序跳转到新程序处运行，如果升级不成功，返回升级前的程序。

      流程图如下所示：

      跳转程序是分站上电后最先运行的程序，根据当前程序运行区标志，跳转到相应的用户程序区执行。本段程序占用Flash的最低1K字节空间，与Bootloader同在第0扇区。

      跳转程序的启动代码仅初始化堆栈，不使用PLL和存储加速功能。下面描述了跳转程序的主要启动代码。

• 
  
  ; Enter User Mode and set its Stack Pointer
  
  
• 
  
  MSR CPSR_c, #Mode_USR
  
  
• 
  
  MOV SP, R0
  
  
• 
  
  SUB SL, SP, #USR_Stack_Size
  
  
• 
  
  ; Enter the C code
  
  
• 
  
  IMPORT __main
  
  
• 
  
  LDR R0, =__main
  
  
• 
  
  BX R0
  
  
  

      当跳转程序确定要跳转到高区用户程序或者低区用户程序后，使用函数指针跳转到0x00010000处（高区用户函数入口地址）或0x00002000处（低区用户函数入口地址）。

      定义函数指针：

      指定入口地址：

• 
  
  UserProgram = (void (*)()) (0x00010000)；
  
  
• 
  
  UserProgram = (void (*)()) (0x00002000)；
  
  
  

      实现跳转：

      要将用户代码精确定位到Flash的0x00010000处（高区用户函数入口地址）或0x00002000处（低区用户函数入口地址），需要使用编译器的分散加载机制，将在Bootloader中详细描述实现过程。

      另外，跳转程序还在烧录代码的同时初始化当前程序运行区标志，即对Flash的0x0001C000地址处写入0x00008000，表示当前用户程序在低区。主要使用了编译器的__at关键字：精确定位变量。需要注意的是，使用该关键字必须包含头文件absacc.h。

      升级程序的好坏，在很大程度上取决于Bootloader设计的好坏。

      一个优秀的IAP升级Bootloader，必须做好升级中出现故障等异常的处理。保证系统不会崩溃，即使升级失败，也能返回升级前的程序。

• 有升级指令，进行初始化工作（串口、定时器、看门狗）
• 接收升级数据包，检测帧头、长度、帧号、数据区校验，最大程度的保证升级数据的完整性、正确性。
• 实时检测接收状态，10 S内没有接收到数据或接收到的数据包都是错的，则退出升级，返回原程序。
• 接收的数据按照512字节一组写入Flash，写入后再读出与原数据进行对比校验，校验成功后，本次编程Flash成功。允许连续3次编程Flash，三次都不成功，退出升级程序，执行原程序。
• 升级成功后，更新当前程序运行区标志，跳转到新程序，同时原程序保存。
  

      本设计的Bootload位于Flash的0x400开始的扇区0存储区内，使用分散加载机制，将程序的入口地址定位到0x00000400处。当用户程序接收到升级指令后，就会使用函数指针跳转到这个入口处。

      图3-1 描述了使用IAP编程Flash所必须的步骤。

      在使用IAP前，需要定义一些系统参数，比如系统时钟、IAP中断入口、输入输出缓存。

• 
  
  #define IAP_CLK 11059200UL
  
  
• 
  
  #define IAP_LOCATION 0x7FFFFFF1
  
  
• 
  
  typedef void(*IAP)(uint32 [],uint32 []); //定义函数类型指针
  
  
• 
  
  IAP iap_entry=(IAP)IAP_LOCATION; //设置函数指针
  
  
• 
  
  unsigned long command[5] = {0,0,0,0,0};
  
  
• 
  
  unsigned long result[2]= {0,0};
  
  
  

      在任何擦除和编程Flash之前，必须选中扇区，可以选中一个或多个。

• 
  
  /******************************************************************
  
  
• 
  
  * 名称：SelSector()
  
  
• 
  
  * 功能：IAP操作扇区选择，命令代码50。
  
  
• 
  
  * 入口参数：sec1 起始扇区
  
  
• 
  
  * sec2 终止扇区
  
  
• 
  
  * 出口参数：IAP返回值(paramout缓冲区) CMD_SUCCESS,BUSY,INVALID_SECTOR
  
  
• 
  
  *********************************************************************/
  
  
• 
  
  void SelSector(uint8 sec1, uint8 sec2)
  
  
• 
  
  {
  
  
• 
  
      paramin[0] = IAP_SELSECTOR;   // 设置命令字
  
  
• 
  
      paramin[1] = sec1;            // 设置参数
  
  
• 
  
      paramin[2] = sec2;
  
  
• 
  
      iap_entry(paramin, paramout); // 调用IAP服务程序
  
  
• 
  
  }
  
  
  

      在编程Flash前必须执行擦除操作，如果某个扇区已经擦除，就不需要再次擦除。可以一次擦除一个或多个扇区。

• 
  
  /******************************************************************
  
  
• 
  
  * 名称：EraseSector()
  
  
• 
  
  * 功能：扇区擦除，命令代码52。
  
  
• 
  
  * 入口参数：sec1 起始扇区
  
  
• 
  
  * sec2 终止扇区
  
  
• 
  
  * 出口参数：IAP返回值(paramout缓冲区) CMD_SUCCESS,BUSY,INVALID_SECTOR ************************************************************************/
  
  
• 
  
  void EraseSector(uint8 sec1, uint8 sec2)
  
  
• 
  
  {
  
  
• 
  
      paramin[0] = IAP_ERASESECTOR; // 设置命令字
  
  
• 
  
      paramin[1] = sec1;            // 设置参数
  
  
• 
  
      paramin[2] = sec2;
  
  
• 
  
      paramin[3] = Fosc/1000;       // 当不使用PLL功能时，Fcclk=Fosc
  
  
• 
  
      iap_entry(paramin, paramout); // 调用IAP服务程序
  
  
• 
  
  }
  
  
  

      通过这个过程，数据可以从RAM中编程到片内Flash中。

注：

• 数据只能从片内SRAM编程到片内Flash。
• 片内Flash的地址必须512字节对齐。
• 片内RAM应位于局部总线，即USB或以太网的SRAM不可以使用。
• 每一次编程字节应该是512、1024、4096、8192中的一个。
  

      通过这个函数，可以检查写入Flash中的数据和RAM中的是否相同。

      注意源地址、目标地址和字节数必须是4的倍数。可使用Keil MDK提供的关键字__align(n) 来指定n字节对齐。

      LPC2114片上Flash在擦除/编程期间绝不可被中断打断。但Bootloader中定时和串口接收又使用了中断，因此必须在擦除/编程之前禁止总中断，待操作完成后再使能总中断。Bootloader运行在用户模式下，不具有禁止/使能中断的权力，所以在本设计中使用软中断禁止/使能总中断。Keil MDK提供了关键字__svc来触发软中断。

      软中断函数声明：

• 
  
  __svc(0x00) void EnableIrq(void); //使能中断,软中断0
  
  
• 
  
  __svc(0x01) void DisableIrq(void); //禁止中断,软中断1
  
  
  

      软中断函数代码：

• 
  
  /*
  
  
• 
  
  *********************************************************************
  
  
• 
  
  * 功 能:禁止中断
  
  
• 
  
  * 描 述:利用软中断实现在用户模式下调用函数关中断
  
  
• 
  
  *********************************************************************/
  
  
• 
  
  void DisableIrqFunc(void)
  
  
• 
  
  {
  
  
• 
  
      int temp;
  
  
• 
  
      __asm
  
  
• 
  
      {
  
  
• 
  
          MRS temp,SPSR
  
  
• 
  
          ORR temp,temp,#0x80
  
  
• 
  
          MSR SPSR_c,temp
  
  
• 
  
      }
  
  
• 
  
  }
  
  
  

• 
  
  /*
  
  
• 
  
  ********************************************************************
  
  
• 
  
  * 功 能:使能中断
  
  
• 
  
  * 描 述:利用软中断实现在用户模式下调用函数开中断
  
  
• 
  
  ********************************************************************
  
  
• 
  
  */
  
  
• 
  
  void EnableIrqFunc(void)
  
  
• 
  
  {
  
  
• 
  
      int temp;
  
  
• 
  
      __asm
  
  
• 
  
      {
  
  
• 
  
          MRS temp,SPSR
  
  
• 
  
          BIC temp,temp,#0x80
  
  
• 
  
          MSR SPSR_c,temp
  
  
• 
  
      }
  
  
• 
  
  }
  
  
  

      更改启动代码，挂接软中断入口：

• 
  
  ;软中断入口
  
  
• 
  
  EXPORT SWI_Handler
  
  
• 
  
  extern EnableIrq1
  
  
• 
  
  extern DisableIrq1
  
  
  

• 
  
  SWI_Handler
  
  
• 
  
  STMFD SP!, {R0,R12,LR} ；入栈
  
  
• 
  
  LDR R0, [LR,#-4]       ；取软中断指令，软中断号就包含其中
  
  
• 
  
  BIC R0,R0,#0xFF000000
  
  
• 
  
  CMP R0,#0              ；判断是否软中断0
  
  
• 
  
  BLEQ EnableIrqFunc
  
  
• 
  
  BLNE DisableIrqFunc
  
  
• 
  
  LDMFD SP!,{R0,R12,PC}^
  
  
  

        在程序中,如果想禁止中断,只需使用DisableIrq()；若是能中断，只需使用EnableIrq()。

      应用程序接收到升级指令后，会跳转到0x00000400处执行Bootloader升级程序。因此Bootloader程序的入口地址必须精确定位到0x00000400处。这可以使用Keil MDK提供的分散加载机制来完成。

      分散加载代码见代码3-8.

• 
  
  ; *************************************************************
  
  
• 
  
  ; *** Scatter-Loading Description File generated by uVision ***
  
  
• 
  
  ; *************************************************************
  
  
• 
  
  LR_IROM1 0x00000400 0x00001C00 { ; load region size_region
  
  
• 
  
      ER_IROM1 0x00000400 0x00001C00 { ; load address = execution address
  
  
• 
  
          *.o (RESET, +First)
  
  
• 
  
          *(InRoot$$Sections)
  
  
• 
  
          .ANY (+RO)
  
  
• 
  
      }
  
  
• 
  
      RW_IRAM1 0x40000040 0x00003FA0 { ; RW data
  
  
• 
  
          .ANY (+RW +ZI)
  
  
• 
  
      }
  
  
• 
  
  }
  
  
  

      这段代码显示出Bootloader程序从0x00000400处开始执行，最多占用0x1C00字节的Flash空间。另外，该程序的RAM从0x40000040开始，长度为0x3FA0个字节。这样RAM的低64字节保留给中断向量映射使用，高32字节保留给IAP编程使用。

      Bootloader的起始地址位于0x00000400，中断向量也从这一地址开始存储。但默认情况下ARM发生异常时，会跳转到0x00000000处的64字节中断向量区域执行相应操作，所以为了使Bootloader能相应中断，必须将位于0x00000400开始的64字节中断向量表重映射到RAM的低区。LPC2114使用向寄存器MEMMAP写入0x02来完成这一过程。

      代码3-9 描述了中断向量重映射的过程。

• 
  
  ; Copy Exception Vectors to Internal RAM
  
  
• 
  
  ADR R8, Vectors    ; 源地址
  
  
• 
  
  LDR R9, =RAM_BASE  ; 目标地址，这里是0x40000000
  
  
• 
  
  LDMIA R8!, {R0-R7} ; 装载向量表
  
  
• 
  
  STMIA R9!, {R0-R7} ; 存储向量表
  
  
• 
  
  LDMIA R8!, {R0-R7} ; 装载处理程序地址
  
  
• 
  
  STMIA R9!, {R0-R7} ; 存储处理程序地址
  
  
• 
  
  ; Memory Mapping (when Interrupt Vectors are in RAM)
  
  
• 
  
  MEMMAP EQU 0xE01FC040 ; Memory Mapping Control
  
  
• 
  
  IF :DEF:REMAP
  
  
• 
  
  LDR R0, =MEMMAP
  
  
• 
  
  IF :DEF:EXTMEM_MODE
  
  
• 
  
  MOV R1, #3
  
  
• 
  
  ELIF :DEF:RAM_MODE
  
  
• 
  
  MOV R1, #2
  
  
• 
  
  ELSE
  
  
• 
  
  MOV R1, #1
  
  
• 
  
  ENDIF
  
  
• 
  
  STR R1, [R0]
  
  
• 
  
  ENDIF
  
  
  

      由于Keil MDK提供的启动代码中使用条件编译指令，所以，要想正确的执行中断向量重映射，还需要在Keil MDK编译器工程设置Options for target“你的工程目标名”下的Asm标签中找到Define编辑框，在编辑框中键入“REMAP RAM_MODE”。如图3-2所示

图3-2

      注意：在擦除/编程Flash的时候还应该禁止PLL、存储器加速模块。

      用户程序运行在高区（扇区8～13）或者低区（扇区1～7），用于实现数据的采集、处理和上传等等，用户程序除本身功能的要求外，还需要注意：

• 使用分散加载机制，将程序入口精确定位到0x00010000（高区）或0x00008000（低区）。
• 进行中断向量重映射，映射到RAM最底处。
  

      Intel hex文件是记录文本行的ASCII文本文件，在Intel HEX文件中，每一行是一个HEX记录，由十六进制数组成的机器码或者数据常量。一个数据记录以一个回车和一个换行结束。

      一个Intel HEX文件可以包含任意多的十六进制记录,每条记录有五个域,下面是一个记录的格式.

                        : LL AAAA TT [DD...] CC

      每一组字母是独立的一域,每一个字母是一个十六进制数字,每一域至少由两个十六进制数字组成,下面是字节的描述.

• :冒号 是每一条Intel HEX记录的开始
• LL 是这条记录的长度域,他表示数据(dd)的字节数目.
• AAAA 是地址域,他表示数据的起始地址
• TT 这个域表示这条HEX记录的类型,他有可能是下面这几种类型
  • 00 ----数据记录
  • 01 ----文件结束记录
  • 02 ----扩展段地址记录
  • 04 ----扩展线性地址记录
    
• DD 是数据域,表示一个字节的数据,一个记录可能有多个数据字节,字节数目可以查看LL域的说明。
• CC 是效验和域,表示记录的效验和,计算方法是将本条记录冒号开始的所有字母（包括校验字节）相加之后等于0x00。
  

      一个Intel HEX文件必须有一个文件结束记录,这个记录的类型域必须是01,

      一个EOF记录总是这样:

                      :00000001FF

• 00是记录中数据字节的数目
• 0000这个地址对于EOF记录来说无任何意义
• 01记录类型是01(文件结束记录标示)
  

• 上位机具备解析重组Intel HEX文件的能力.
• 上位机软件应能识别分站发来的应答信号并做出正确的响应。
• 上位机应能够检验代码的完整性。
• 上位机能根据分站发出的程序所在高区或低区标志，自动判别当前升级程序是否和升级区域相对应。
  

      为验证升级程序的稳定性，对分站进行重上电、复位、远程升级等一些列实验，实验记录及如下。

      程序在上电或复位之后，应顺利跳转到用户程序。

      上位机发送升级命令但不发送升级数据包，程序应能进入Bootloader并发送当前程序所在的区域（高区或者低区代号），10S后程序应跳转到用户程序。

      上位机发送升级命令，发送升级数据包，但发送到一半时停止发送。程序在10S后应能跳转到用户程序区。

      上位机发送升级命令，发送升级数据包，但发送中途给分站断电，重新上电后，应还能执行原来的程序。

      上位机发送升级命令，发送完成升级数据包。程序应能接收升级数据包并编程Flash，完成用户程序的更新，更新用户程序后，跳转到新的用户程序。

      本次升级方案虽然是以LPC2114为基础的，但任何具有IAP功能的单片机、ARM都可使用本设计方案。

      设计的重点在于如何保证升级的安全性，分站采取了一些列校验、超时处理以及看门狗等措施，一是保障升级数据包的正确传送，二是即使升级失败也能退回原升级程序。上位机的校验措施需相关部门配合。从实验数据来看，进行了几十次的远程升级，未有一例失败，安全性能可以得到保证。

• 周立功等 ARM微控制器基础与实战（第二版） 北京航空航天大学出版社 2005
• LPC2114/2124/2212/2214 使用指南.Pdf 广州周立功单片机发展有限公司
• 韦文祥 朱志杰 车琳娜 郭宝泉 基于LPC21 24的一个远程系统软件升级方案 单片机与嵌入式系统应用 2006第三期
• 许文杰 丁志冈 张 泉基于ARM 处理器的IAP设计及应用 计算机应用与软件 2009第3期
• 姜晓梅 李祥和 任朝荣 姚明基于ARM的IAP在线及远程升级技术 计算机应用 2008第二期
• RealView 编译工具-编译器参考指南.pdf ARM Limited 2009.3
• RealView Compilation Tools（连接器用户指南）.pdf ARM Limited 2009.3
• RealView 编译工具-编译器用户指南.pdf ARM Limited 2009.1
• RealView 编译工具-链接器参考指南.pdf ARM Limited 2008.9
• Intel HEX文件格式
• LPC2000 secondary bootloader for code update using IAP NXP Semiconductors 2009.5.26