📚 课程目录第4章嵌入式存储系统

4、嵌入式存储系统：Flash、SRAM、DRAM、EEPROM特性，存储映射、启动过程（Bootloader）与固件升级

嵌入式系统的存储子系统决定了产品的启动速度、数据持久性、实时响应能力以及后续维护的便捷性。本章围绕四种核心存储介质（Flash、SRAM、DRAM、EEPROM）的物理特性与选型逻辑展开，深入剖析MCU地址空间的存储映射规则，并完整拆解Bootloader的启动流程与固件升级的安全机制。理解这些内容，是进行嵌入式系统架构设计、低功耗优化和量产维护的基础前提。

4.1 存储介质特性对比与选型逻辑

嵌入式系统中不存在“万能”存储器，每种介质都在容量、速度、成本、寿命之间做出取舍。SRAM（静态随机存储器）以6T或8T晶体管存储单元实现数据锁存，无需刷新，访问速度可达纳秒级，通常集成在MCU内部作为CPU的紧耦合内存（TCM）或通用RAM，但成本极高且功耗随容量上升明显。DRAM（动态随机存储器）依赖电容电荷存储数据，需要周期性刷新（典型64ms），单bit成本远低于SRAM，因此外部大容量内存（如SDRAM、DDR）均采用DRAM工艺，但控制器复杂度与PCB布线要求显著增加。

Flash存储器分为NOR和NAND两种架构。NOR Flash支持随机读取，具备独立的地址线和数据线，代码可直接在片上执行（XIP），但写入前必须擦除且擦除粒度较大（通常4KB~64KB扇区），容量一般不超过64MB。NAND Flash以页（Page）为读写单位、块（Block）为擦除单位，顺序读取性能高、容量可达GB级，但存在坏块管理、位翻转和ECC校验需求，适合大容量文件系统或固件镜像存储。EEPROM（电可擦除可编程只读存储器）支持字节级擦写，寿命通常为100万次，适合存储设备序列号、校准参数、用户配置等小数据量关键信息。

特性维度	SRAM	DRAM (SDRAM/DDR)	NOR Flash	NAND Flash	EEPROM
数据保持	掉电丢失	掉电丢失	非易失	非易失	非易失
读取速度	1~5ns	10~50ns	80~150ns	25~50μs (页加载)	1~5μs
写入方式	直接写入	直接写入	先擦后写	先擦后写	字节级改写
擦除粒度	—	—	4KB~64KB扇区	128KB~2MB块	字节
擦写寿命	无限	无限	10万次	1万~10万次	100万次
典型容量	16KB~2MB	16MB~2GB	1MB~64MB	128MB~8GB	1KB~256KB
典型用途	栈、堆、临界变量	Linux/RTOS内存池	Bootloader、代码XIP	文件系统、固件备份	校准参数、MAC地址

选型经验：当MCU内部SRAM不足且对实时性要求极高时，优先考虑增加外部SRAM（如IS62WV51216）而非SDRAM，因为SRAM接口简单、无需刷新控制器，但成本约是SDRAM的4~6倍。对于固件存储，若代码量小于2MB且需要XIP，选择Quad SPI NOR Flash；若需存储大量日志或资源文件，则搭配NAND Flash或eMMC。

4.2 存储映射与地址空间设计

以ARM Cortex-M系列为例，处理器将4GB地址空间划分为多个固定区域。0x00000000~0x1FFFFFFF为代码区，通常映射内部Flash或外部NOR Flash；0x20000000~0x3FFFFFFF为SRAM区，用于存放数据；0x40000000~0x5FFFFFFF为外设区，包含GPIO、UART、SPI等寄存器；0x60000000~0x9FFFFFFF用于外部存储器控制器（如SDRAM、NOR）；0xE0000000以上为系统控制空间（SCB、NVIC等）。系统上电后，CPU从地址0x00000000读取初始堆栈指针（MSP），从0x00000004读取复位向量，即第一条指令地址。

实际工程中，链接脚本（.ld或.scf文件）决定了各段（text、data、bss、heap、stack）在存储映射中的具体位置。例如，将中断向量表放在Flash起始地址，将可执行代码紧随其后，将只读常量（const）放在代码段末尾，将可读写变量初始化数据（data段）从Flash拷贝至SRAM，将零初始化数据（bss段）在SRAM中清零。若使用外部SDRAM，需在系统初始化阶段通过FSMC/FMC控制器配置时序参数，并在链接脚本中声明对应的加载域和执行域。

/* STM32H743 链接脚本关键片段 */
MEMORY
{
  FLASH (rx)  : ORIGIN = 0x08000000, LENGTH = 2048K
  RAM   (xrw) : ORIGIN = 0x24000000, LENGTH = 512K   /* AXI SRAM */
  SDRAM (xrw) : ORIGIN = 0xC0000000, LENGTH = 8192K  /* 外部SDRAM */
}

SECTIONS
{
  .isr_vector : { KEEP(*(.isr_vector)) } > FLASH
  .text       : { *(.text*) } > FLASH
  .data       : { *(.data*) } > RAM AT> FLASH  /* 加载域在Flash，运行域在RAM */
  .bss        : { *(.bss*) } > RAM
  .sdram_heap : { *(.sdram_heap*) } > SDRAM
}

存储映射设计需关注三个关键点：别名冲突（同一物理地址被多个总线主设备访问时的仲裁）、对齐与填充（Flash读取对齐、Cache Line对齐）、MPU保护（将关键外设寄存器区域设置为不可缓存或特权访问）。例如，将SDRAM区域配置为Write-Back缓存模式可提升性能，但DMA访问时需注意缓存一致性，必要时执行Clean和Invalidate操作。

常见误区：初学者常将Bootloader和App的链接脚本完全独立，导致App的中断向量表偏移设置错误。正确做法是：App的向量表地址必须与Bootloader约定的偏移一致（如0x08010000），并在App启动代码中通过SCB->VTOR寄存器重新定位向量表。否则，中断触发后将跳转至Bootloader的向量表，造成不可预知的错误。

4.3 Bootloader启动流程与双区设计

Bootloader是MCU上电后最先执行的程序，其核心职责包括：初始化硬件最小系统（时钟、堆栈、外部存储器）、检测是否有升级请求、验证固件完整性、跳转至应用程序。典型的启动流程为：① 关闭全局中断，设置主栈指针；② 配置系统时钟（PLL、Flash等待周期）；③ 初始化外部SDRAM和关键外设（UART、USB、以太网）；④ 检查升级标志（如GPIO电平、Flash特定地址的Magic Number）；⑤ 若需升级，进入固件接收与写入流程；⑥ 若无需升级，校验App的向量表和CRC，通过后设置VTOR并跳转。

工业级产品普遍采用双Bank（A/B分区）架构：Flash划分为Bank A（当前运行区）和Bank B（备份区）。升级时，新固件写入Bank B，写入完成后通过标志位切换启动地址。若Bank B校验失败或运行异常，Bootloader自动回滚至Bank A。这种设计避免了“升级过程中断电导致设备变砖”的风险。另一种方案是使用外部存储暂存固件（如SD卡或NAND），Bootloader从外部存储读取固件后写入内部Flash，但需额外管理文件系统和坏块。

  案例拆解：工业网关Bootloader升级失败恢复

  背景：某工业网关采用STM32F429 + 外部NOR Flash（W25Q128），Bootloader位于内部Flash 0x08000000~0x0800FFFF，App位于0x08010000~0x080FFFFF。现场反馈设备在升级过程中断电，导致App区数据损坏，设备无法启动。

  分析：原设计仅有一个App区，升级时直接擦除并写入，无备份机制。断电发生在擦除后写入前，导致App区全0xFF，Bootloader校验App CRC失败后无可用回退版本。

  解决方案：① 将内部Flash划分为Bootloader（64KB）、App A（512KB）、App B（512KB）、参数区（8KB）；② 升级时先写入App B，写入完成后置位“待切换”标志；③ 重启后Bootloader检查标志，先校验App B的CRC和版本号，通过后更新启动地址至App B；④ 若App B启动后5秒内未上报心跳，Bootloader自动回退至App A并清除标志。

  结果：后续现场升级中断电3次，设备均能自动恢复至旧版本，未再出现变砖问题。代价是可用App空间减半，需评估固件大小是否满足。

4.4 固件升级机制与安全实践

固件升级不仅是数据搬运，更涉及完整性、机密性、可用性三重保障。完整性通过CRC32或SHA256校验实现，Bootloader在写入前和写入后均需计算哈希值比对。机密性适用于商业产品防抄板，可使用AES-128/256对固件加密，Bootloader内置密钥解密后写入Flash。可用性则依赖升级失败回滚机制和看门狗策略——升级期间应暂停独立看门狗（IWDG）或延长超时时间，避免擦写Flash耗时较长导致系统复位。

升级通道的选择直接影响协议设计：UART升级（YMODEM/XMODEM）适合产线烧录，需定义帧格式和应答超时；USB DFU（Device Firmware Upgrade）利用USB HID或DFU类协议，无需额外驱动；网络升级（HTTP/TFTP）适用于物联网设备，需考虑分包传输、断点续传和服务器认证。无论哪种通道，建议采用“接收-校验-暂存-原子切换”四步流程：先将固件分包接收至外部存储或RAM缓冲区，全部接收并校验通过后，再一次性擦写目标Flash区域，最后通过标志位切换启动地址。

升级阶段	关键操作	失败处理
固件获取	分包接收，记录偏移量和总长度	超时重传，连续失败N次退出升级
完整性校验	计算SHA256，与固件头中哈希比对	不匹配则丢弃，保留旧固件
Flash写入	按扇区擦除，按页编程，回读验证	写入失败标记坏块，尝试备用扇区
原子切换	写入Magic Number和App长度至参数区	切换标志无效则继续运行旧App
运行确认	App启动后上报版本号，清除切换标志	超时未确认，Bootloader回滚

风险提示：切勿在升级过程中关闭所有中断并长时间占用CPU进行Flash擦写，否则外部看门狗或通信超时会导致系统复位。建议采用“边接收边写入”策略时，确保每个数据包写入时间小于通信超时阈值；若Flash擦写时间较长（如擦除64KB扇区需200ms），应暂停通信协议的超时计时器或使用DMA传输。

最后，固件版本管理是升级系统的隐形需求。固件镜像头部应包含魔数（Magic Number）、版本号、硬件兼容ID、固件大小、校验和、发布时间等字段。Bootloader在升级前需校验硬件兼容ID，防止将不匹配的固件刷入设备。版本号建议采用主版本.次版本.修订号格式，并支持强制升级（安全补丁）和可选升级（功能更新）两种策略。