STC单片机远程升级时如何可靠识别新固件并防止升级中断导致变砖？

Question

在STC单片机远程升级（如通过串口OTA）过程中，因通信中断、掉电或校验失败导致新固件写入不完整，极易使MCU无法启动而“变砖”。其核心问题在于：STC无硬件双Bank Flash支持，升级时需覆盖原有程序区；若新固件未通过完整性校验（如CRC32/SHA-1）即擦除旧代码，或升级中意外终止（如Modbus超时、485总线干扰、手机APP断连），将导致Flash中残留无效指令，复位后陷入非法地址或死循环。此外，STC ISP协议本身不提供固件版本识别、安全签名验证及回滚机制，主机端难以可靠判断接收固件是否为预期版本、是否被篡改或截断。如何在资源受限（无RTOS、RAM<1KB、无外部Flash）条件下，设计轻量级固件头结构（含魔数、版本号、长度、多级校验）、安全擦写流程（先校验后擦除）、断点续传能力及启动自检+自动回退至备份引导区（需预置双引导扇区）等机制，是保障升级鲁棒性的关键挑战。

Answer 1

```html

一、问题本质剖析：为何STC OTA极易“变砖”？

STC单片机（如STC8A/8H/15W系列）无硬件Bank切换机制，Flash为统一连续空间；升级必须在运行区（APP区）内原地擦写。一旦在擦除后、写入前掉电，或写入中途通信中断（如RS-485总线受工业干扰导致帧丢失），则APP区首扇区（含复位向量、中断向量表）被破坏，MCU复位即跳转至非法地址，陷入HardFault或死循环——此即“硬砖”。关键矛盾在于：擦除不可逆，校验滞后，无回滚锚点。

二、轻量级固件头设计（RAM占用＜64B）

字段	长度（字节）	说明
魔数（Magic）	4	0x5354434F（"STCO" ASCII）
版本号（Ver）	2	BCD格式，如0x0103 → v1.3
总长度（Len）	4	含头+代码的完整BIN大小（LE）
CRC16-CCITT	2	校验固件头自身完整性
CRC32-IEEE	4	校验整个固件数据（含头），启动时验证

注：放弃SHA-1（需＞2KB RAM），CRC32查表法仅占256B ROM+4B RAM；头结构严格对齐，便于偏移解析。

三、安全擦写流程：原子性保障四阶段

graph TD
    A[接收固件头] --> B{CRC16校验头？}
    B -->|否| C[丢弃，返回ERR_HEADER_CRC]
    B -->|是| D[分配RAM缓存接收区]
    D --> E[流式接收+实时CRC32累加]
    E --> F{接收完成且CRC32匹配？}
    F -->|否| G[标记“接收失败”，不清除旧APP]
    F -->|是| H[擦除目标APP扇区→写入新固件→写入校验标志页]

四、断点续传机制实现（无外部存储）

• 利用Flash末尾预留1个扇区（如最后2KB）作为UpgradeStatusPage；
• 该页存储：当前接收偏移（4B）、已接收CRC32（4B）、状态码（1B：0x00=空闲, 0x01=接收中, 0x02=待校验）；
• 每次接收前先读取该页，若状态=0x01，则跳过已接收部分，从偏移处继续；
• 主机端协议扩展：支持GET_OFFSET指令，获取当前进度。

五、双引导扇区与启动自检回退

将Flash划分为：Boot0（0x0000–0x07FF） + Boot1（0x0800–0x0FFF） + APP区（0x1000起）。两引导区互备：

1. 出厂预烧录相同Boot0；
2. 升级时，新固件写入APP区后，Boot0校验通过则跳转执行；
3. 若APP区校验失败或跳转异常（Watchdog超时捕获），Boot0自动加载Boot1中的备用引导逻辑；
4. Boot1仅做最小化恢复：重置串口、进入ISP等待态，并上报错误码0xDEAD。

六、资源约束下的关键优化实践

• CRC32查表法：采用8-bit查表（256×4B=1KB ROM），计算速度＞8KB/s（115200bps下CPU占用＜15%）；
• 扇区擦除粒度控制：STC8H3K64U擦除单位为1KB扇区，APP区按1KB对齐，避免跨扇区写入；
• 状态页写保护：升级中禁用IAP写Boot0/Boot1，仅允许写APP区及UpgradeStatusPage；
• 启动自检延时容忍：上电后延迟200ms再检测APP有效性，规避电源爬升不稳定期误判。

七、主机端协同协议增强建议

在Modbus RTU或自定义串口协议中嵌入以下字段：

[START][ADDR][CMD=0x90][PAYLOAD_LEN][FW_VER][OFFSET][CRC16]

其中CMD=0x90表示“固件块上传”，携带版本号与偏移，使设备可拒绝低版本或错序包；主机收到0xDEAD错误码后，自动触发Boot1恢复流程并重发全量固件。

```