STM32双Bank切换实现OTA无感升级的坑与对策：从原理到实战
👁 3 阅读 · 2026-08-27 · 嵌入式
在嵌入式OTA升级中，双Bank切换是实现无感升级的核心技术，但STM32的Flash双Bank设计隐藏着不少陷阱：Bank边界对齐、标志位失效、跳转时序错乱等，稍不留神就会导致升级失败甚至变砖。本文基于STM32H7系列，深入剖析双Bank切换的原理，结合实战代码，逐一拆解常见坑点，并给出可落地的对策，助你实现稳定可靠的无感OTA。
# STM32双Bank切换实现OTA无感升级的坑与对策
## 一、双Bank切换原理：为什么能无感？
传统OTA升级通常需要停机擦写Flash，用户会感知到设备重启或卡顿。双Bank方案通过将Flash划分为两个独立的Bank（如Bank0和Bank1），每个Bank可独立存放一个完整固件。升级时，固件写入非活动Bank，完成后通过切换启动地址，让CPU从新Bank执行，实现“无感”升级。
以STM32H743为例，其Flash总容量2MB，默认双Bank模式（DBANK=1），每个Bank为1MB。系统复位后，CPU根据BOOT引脚或选项字节（BOOT_ADD0/BOOT_ADD1）决定从哪个Bank启动。关键点在于：**切换Bank只需修改选项字节或调用特定系统函数，无需物理擦除当前运行Bank**，因此升级过程对用户透明。
## 二、核心配置步骤：从零搭建双Bank框架
### 1. 使能双Bank模式
在STM32CubeMX中，选择MCU后，进入`Option Bytes`配置，将`DBANK`设置为`Dual Bank`。若使用代码配置，需操作Flash接口寄存器：
```c
/* 使能双Bank模式（以H7为例） */
void flash_enable_dual_bank(void) {
FLASH_OBProgramInitTypeDef ob_init;
HAL_FLASHEx_OBGetConfig(&ob_init);
ob_init.OptionType = OPTIONBYTE_BANK;
ob_init.Banks = FLASH_BANK_BOTH;
ob_init.DualBank = FLASH_DUALBANK_ENABLE;
HAL_FLASHEx_OBProgram(&ob_init);
HAL_FLASH_OB_Launch(); // 触发系统复位生效
}
```
### 2. 链接脚本分区
将Flash划分为两个区域，分别对应Bank0和Bank1。在链接脚本（.ld）中定义：
```c
MEMORY
{
FLASH_BANK0 (rx) : ORIGIN = 0x08000000, LENGTH = 1M
FLASH_BANK1 (rx) : ORIGIN = 0x08100000, LENGTH = 1M
}
```
编译时，通过宏选择当前运行Bank，例如`-DBANK_INDEX=0`或`-DBANK_INDEX=1`，并对应设置`VECT_TAB_OFFSET`。
### 3. 启动地址切换
升级完成后，需要切换启动Bank。常见方法有两种：
- **修改选项字节**：设置`BOOT_ADD0`或`BOOT_ADD1`指向目标Bank首地址。
- **软件跳转**：直接设置MSP和PC指针跳转，但需确保中断向量表正确。
推荐使用选项字节方式，因为硬件自动处理，更可靠。示例代码：
```c
void switch_boot_bank(uint8_t bank_index) {
FLASH_OBProgramInitTypeDef ob_init;
HAL_FLASHEx_OBGetConfig(&ob_init);
ob_init.OptionType = OPTIONBYTE_USER;
ob_init.BOOT_ADD0 = (bank_index == 0) ? 0x08000000 : 0x08100000;
ob_init.BOOT_ADD1 = (bank_index == 0) ? 0x08100000 : 0x08000000;
HAL_FLASHEx_OBProgram(&ob_init);
HAL_FLASH_OB_Launch(); // 复位后生效
}
```
## 三、实战中的坑与对策
### 坑1：Bank边界对齐错误
**现象**：固件写入Bank1后，启动时硬件异常或直接死机。
**原因**：STM32的Flash擦除操作以扇区为单位，但双Bank模式下，Bank0和Bank1的扇区大小可能不同（如H7的Bank0扇区128KB，Bank1扇区128KB，但地址偏移需对齐）。若固件大小超过Bank容量或未按扇区对齐，会导致写入越界。
**对策**：
- 确保固件大小不超过Bank容量，且编译时预留足够空间。
- 擦写时，使用`FLASH_EraseInitTypeDef`指定正确的Bank和扇区编号。
- 在链接脚本中，为每个Bank的末尾添加填充段，防止溢出。
```c
/* 擦除目标Bank所有扇区 */
void erase_bank(uint32_t bank) {
FLASH_EraseInitTypeDef erase_init;
uint32_t sector_error = 0;
erase_init.TypeErase = FLASH_TYPEERASE_SECTORS;
erase_init.Banks = bank;
erase_init.Sector = 0;
erase_init.NbSectors = (bank == FLASH_BANK_1) ? 8 : 8; // 根据实际扇区数
erase_init.VoltageRange = FLASH_VOLTAGE_RANGE_3;
HAL_FLASHEx_Erase(&erase_init, §or_error);
}
```
### 坑2：升级标志位失效
**现象**：升级完成后，重启却从旧Bank启动，标志位丢失。
**原因**：很多开发者将升级标志存放在Flash的某个固定地址，但该地址可能位于被擦除的Bank内，导致标志被清除。
**对策**：
- 将标志存放在独立于两个Bank的区域，如备份寄存器（RTC Backup Register）或Flash的Option Bytes区域。
- 使用备份寄存器示例：
```c
void set_update_flag(uint8_t flag) {
HAL_RTC_BackupWrite(&hrtc, RTC_BKP_DR0, flag);
}
uint8_t get_update_flag(void) {
return HAL_RTC_BackupRead(&hrtc, RTC_BKP_DR0);
}
```
### 坑3：跳转时序错乱
**现象**：软件跳转后，中断不响应或程序跑飞。
**原因**：直接跳转时，未正确设置中断向量表偏移，或未关闭全局中断，导致跳转瞬间中断冲突。
**对策**：
- 跳转前，关闭所有中断，并确保系统时钟稳定。
- 设置`SCB->VTOR`为新Bank的向量表地址。
- 使用内联汇编或函数指针跳转，并确保栈指针正确。
```c
void jump_to_bank(uint32_t app_addr) {
__disable_irq();
SCB->VTOR = app_addr;
uint32_t msp = *(volatile uint32_t *)app_addr;
uint32_t reset_handler = *(volatile uint32_t *)(app_addr + 4);
__set_MSP(msp);
void (*jump)(void) = (void (*)(void))reset_handler;
jump();
while(1);
}
```
### 坑4：Flash写入期间系统卡顿
**现象**：升级过程中，系统响应变慢或看门狗复位。
**原因**：Flash擦写操作会阻塞CPU，且耗时较长（如擦除一个扇区可能数百毫秒），若未喂狗或未处理实时任务，系统会崩溃。
**对策**：
- 在擦写前暂停看门狗，或使用窗口看门狗并适时喂狗。
- 将升级过程拆分为多个小任务，利用空闲时间分块写入。
- 使用DMA或中断方式，但注意Flash操作期间总线占用。
```c
/* 分块写入示例 */
void write_firmware_chunk(uint32_t dest, uint8_t *data, uint32_t len) {
HAL_FLASH_Unlock();
for (uint32_t i = 0; i < len; i += 8) {
uint64_t val = 0;
memcpy(&val, data + i, 8);
HAL_FLASH_Program(FLASH_TYPEPROGRAM_QUADWORD, dest + i, val);
// 每写一块喂一次狗
HAL_IWDG_Refresh();
}
HAL_FLASH_Lock();
}
```
## 四、完整代码示例：双Bank升级流程
以下是一个简化的双Bank升级流程，包含接收固件、写入Bank1、切换启动：
```c
// 假设通过UART接收固件，存储到buffer
void ota_update_process(uint8_t *firmware, uint32_t size) {
// 1. 检查固件大小
if (size > BANK_SIZE) { error_handler(); }
// 2. 擦除Bank1
erase_bank(FLASH_BANK_1);
// 3. 写入固件到Bank1起始地址
HAL_FLASH_Unlock();
write_firmware_chunk(0x08100000, firmware, size);
HAL_FLASH_Lock();
// 4. 设置升级标志（备份寄存器）
set_update_flag(0x5A5A);
// 5. 切换启动Bank并复位
switch_boot_bank(1);
}
// 启动时检查标志
void check_update_flag(void) {
if (get_update_flag() == 0x5A5A) {
clear_update_flag();
// 确认新固件运行正常，否则回滚
if (verify_firmware()) {
// 正常，无需操作
} else {
switch_boot_bank(0); // 回滚到旧Bank
}
}
}
```
## 五、注意事项与最佳实践
- **固件签名验证**：升级前务必验证固件完整性（如CRC或SHA256），防止写入损坏数据。
- **回滚机制**：设计双保险，新固件启动后若在指定时间内未上报“运行正常”，自动回滚到旧Bank。
- **中断向量表**：每个Bank的固件必须独立设置`VECT_TAB_OFFSET`，否则中断会错乱。
- **Flash操作电压**：确保供电稳定，避免在低电压下擦写Flash导致数据损坏。
- **测试覆盖**：在硬件上测试所有边界条件，如升级中途断电、固件大小恰好等于Bank容量等。
## 六、总结
双Bank切换是嵌入式OTA无感升级的利器，但细节决定成败。本文剖析了四个典型坑点，并给出了针对性对策。实际项目中，还需结合具体MCU型号的参考手册，仔细核对Flash扇区布局和选项字节配置。希望本文能帮你少走弯路，打造出稳定可靠的OTA方案。