3. Flash驱动分层架构：职责划分

在车载MCU的Flash驱动设计中，分层架构是保障代码可移植性、可维护性与功能安全的核心手段。每一层都有明确的职责边界，上层依赖下层提供的抽象接口，下层对上层隐藏硬件实现细节。典型的Flash驱动软件栈分为四层：硬件抽象层（HAL）、驱动层（Driver）、中间件层（Middleware）和应用接口层（API）。

3.1 四层职责总览

下表从职责、依赖关系、典型输出三个维度对比各层，帮助快速建立分层认知。

3.2 分层架构图

下图展示了Flash驱动软件栈的四层结构及其之间的调用关系。箭头方向表示“调用/依赖”方向，从上层指向下层。

3.3 各层详细职责与设计要点

3.3.1 硬件抽象层（HAL）

HAL是软件与硬件之间的边界，直接操作MCU的Flash控制器寄存器。该层必须严格遵循MCU参考手册的时序要求，并处理硬件特有的状态机转换。

• 职责清单：
  • 封装Flash控制器的寄存器读写（如命令寄存器、状态寄存器、地址寄存器）。
  • 实现底层时序控制：写使能序列、擦除/编程脉冲宽度、等待就绪轮询。
  • 提供硬件状态查询：忙标志、错误标志、保护状态。
• 设计要点：
  • 所有HAL函数应设计为内联函数或宏，减少调用开销。
  • 必须包含临界区保护（如关中断）以防止操作被高优先级任务打断。
  • HAL层不包含任何业务逻辑，仅做寄存器级映射。

/* HAL层示例：等待Flash就绪 */
static inline uint32_t HAL_Flash_WaitReady(uint32_t timeout_us) {
    uint32_t tick = 0;
    while ((FLASH->SR & FLASH_SR_BSY) && (tick < timeout_us)) {
        /* 空循环或调用微秒延时函数 */
        tick++;
    }
    return (tick < timeout_us) ? HAL_OK : HAL_TIMEOUT;
}

3.3.2 驱动层（Driver）

Driver层在HAL基础上构建，提供与硬件无关的Flash基本操作接口。该层是移植适配的关键边界——更换MCU时只需重写HAL和Driver层，上层代码无需修改。

• 职责清单：
  • 扇区擦除（Sector Erase）、块擦除（Block Erase）、整片擦除（Mass Erase）。
  • 页编程（Page Program）、双字编程（Double Word Program）。
  • 数据读取（支持字节、半字、字、多字节突发读取）。
  • 错误处理与状态码返回（成功、超时、保护错误、参数错误）。
• 设计要点：
  • Driver层函数应具备参数合法性校验（地址对齐、长度边界、擦除/写保护检查）。
  • 必须实现超时机制，防止硬件卡死导致系统挂起。
  • 建议采用状态机模式管理长时间操作（如擦除），允许上层轮询进度。

/* Driver层示例：扇区擦除 */
Flash_Status_t Flash_EraseSector(uint32_t sector_addr) {
    /* 参数校验 */
    if (!IS_FLASH_SECTOR_ADDR(sector_addr)) {
        return FLASH_PARAM_ERROR;
    }
    if (Flash_IsSectorProtected(sector_addr)) {
        return FLASH_PROTECT_ERROR;
    }
    /* 调用HAL层执行擦除序列 */
    HAL_Flash_Unlock();
    HAL_Flash_SetCommand(FLASH_CMD_SECTOR_ERASE);
    HAL_Flash_WriteAddr(sector_addr);
    if (HAL_Flash_WaitReady(FLASH_ERASE_TIMEOUT_US) != HAL_OK) {
        HAL_Flash_Lock();
        return FLASH_TIMEOUT;
    }
    HAL_Flash_Lock();
    return FLASH_OK;
}

3.3.3 中间件层（Middleware）

Middleware层是Flash驱动智能化的核心，解决车载场景下的可靠性、寿命和安全性问题。该层对Driver层提供的原始操作进行增强和封装。

• 核心模块：
  • 磨损均衡（Wear Leveling）： 将逻辑地址映射到物理地址，均匀分布擦除/写入次数，延长Flash寿命。
  • 坏块管理（Bad Block Management）： 检测出厂坏块和运行时产生的坏块，将其重映射到备用块。
  • 错误校正（ECC）： 对写入数据进行ECC编码，读取时校验并纠正单比特错误。
  • 分区管理（Partition Manager）： 管理Bootloader、应用程序、标定数据、日志等分区的边界与访问权限。
• 设计要点：
  • Middleware层应维护元数据区（通常存储在Flash末尾或专用扇区），记录映射表、磨损计数、坏块表。
  • 磨损均衡算法需考虑写放大问题，避免频繁搬移数据。
  • ECC实现必须与硬件ECC单元协同，避免重复校验。

3.3.4 应用接口层（API）

API层是面向最终应用开发者的统一接口，隐藏所有底层复杂性。该层应遵循功能安全标准（如ISO 26262 ASIL-B/D），提供安全诊断和错误上报机制。

• 职责清单：
  • 提供应用级服务：存储标定数据、读取配置参数、擦除应用程序分区、写入Bootloader。
  • 实现写前擦除检查、数据完整性校验（CRC/校验和）。
  • 提供事务性写入（Atomic Write）：确保写入过程中掉电不会导致数据损坏。
  • 返回应用层错误码（如存储空间不足、写入次数超限、数据校验失败）。
• 设计要点：
  • API层函数应设计为可重入，支持多任务并发调用（通过Middleware层的互斥锁保护）。
  • 必须提供初始化/去初始化接口，管理内部状态和资源。
  • 建议增加回调机制，通知应用层操作完成或错误发生。

/* API层示例：事务性写入标定数据 */
Flash_Status_t Flash_StoreCalibration(uint32_t cal_id, const uint8_t* data, uint32_t len) {
    Flash_Status_t status;
    /* 1. 计算CRC */
    uint32_t crc = CRC32_Calculate(data, len);
    /* 2. 通过Middleware层执行磨损均衡写入 */
    status = Middleware_WearLeveling_Write(CALIBRATION_PARTITION, cal_id, data, len);
    if (status != FLASH_OK) {
        return status;
    }
    /* 3. 写入CRC校验值到元数据区 */
    status = Middleware_MetaData_Write(cal_id, crc);
    return status;
}

3.4 分层架构的典型数据流

以下流程图展示了一次应用层发起“写入标定数据”请求时，数据在各层之间的流转过程。

3.5 分层架构的移植与适配策略

在车载项目中，MCU升级或平台切换是常见需求。分层架构的移植工作量主要集中在HAL和Driver层，Middleware和API层通常可复用。