干扰环境下 Flash 数据丢失

只看该作者 · 2021-11-15 13:02

问题：
该问题由某客户提出，发生在 STM32F103VBT6 器件上。据其工程师讲述：其产品中使用了 STM32，已批量生产。其部分
产品在交予客户使用一段时间之后出现故障。其工程师在对故障产品进行分析时发现， STM32 的 Flash 中部分数据丢失，原
数据皆被 0xFF 取代。丢失数据的 Flash 区间的地址不固定，大小也不固定，呈一定随机性。该现象只在车载环境下发生，而
在实验室无法复现。

只看该作者 · 2021-11-15 13:03

调研：
检查硬件设计，核对 VDD、 VDDA、 VBAT、 Vref+、 Vref-、 VSS、 VSSA、 NRST、 BOOT0、 BOOT1 等管脚的周边电路设计，
未见异常。检查软件设计，发现其中有对 Flash 进行擦除和写入的操作，分别如表（二）及表（一）所示：

修改这两个函数，对函数体内的代码只保留其中的行（ 1）、行（ 2）、行（ 3），其余全部删除。重新编译后更新到之前出现
问题的若干产品中，然后将这些产品安装到原来的工作环境中长期测试，结果显示更新软件后的产品不再出现 Flash 中数据
丢失的现象。

只看该作者 · 2021-11-15 13:04

结论：
干扰造成 STM32 中的程序跑飞，从而错误的执行了对 Flash 进行擦除或写入操作的代码，最终导致 Flash 中的内容丢失。

只看该作者 · 2021-11-15 13:04

处理：
软件中要保证对 Flash 擦除或写入的操作的可控性，要有严格的逻辑验证，否则最好不要在软件加入这样代码。

只看该作者 · 2021-11-15 13:05

建议：什么是可控性？如何做到严格的逻辑验证？在这个问题上不妨借鉴一下成功的案例：美国导弹核潜艇上对导弹发射按钮的管
理。核武器的威力是强大的，发射按钮的管理权掌握在单个人的手里是可怕的。为了避免如此危险的武器被滥用，在导弹核
潜艇上，导弹的发射按钮是由三个人共同管理的。艇长、副艇长各有一把钥匙，武控官掌握着口令。发射导弹时，必须由武
控官输入口令，然后艇长、副艇长同时用各自的钥匙操纵各自的按钮，导弹才得以发射。考虑特殊的情况，如果某个人通过
特别的手段同时掌握了两把钥匙和口令，能否发射导弹？答案是不能。因为艇长、副艇长和武控官各自的作业位置相距很远，
而且有时间限制，一个人是无法完成这三项作业的。如果艇长、副艇长和武控官合谋叛乱又如何呢？还是发射不了导弹。因
为发射导弹的另一半口令和导弹的瞄准参数根本不在潜艇上，只有在下达核攻击命令时才通过密文发给潜艇。甚至，在导弹
发射之后，艇上人员也无从知到它将飞往何处，也控制不了。这样，强大的武器最终掌握在中央指挥机关的手里。回到
STM32 的问题，如表（一）、表（二）所示的函数，谈不上逻辑验证，一旦被调用会好不犹豫的执行下去，而不在乎调用是
合法的还是非法的。为了避免 Flash 被误擦、误写， STM32 在硬件设计上是有所考虑的，就是在擦除或写入之前，必须验证
口令，如果口令不对 Flash 控制器拒绝相应的操作。然而，表（一）、表（二）所示的函数中，口令的验证形同虚设，没有
起到应有的作用。因为，在这两段程序中，口令的验证是无条件通过的。犹如锁上门后，却把钥匙留在锁眼里，是不能防盗
的。仿照核潜艇的管理思路给出一个一般性的流程，如表（三）所示，供参考。