产品量产前最后一批固件客户现场升级完就黑屏看门狗疯狂复位调试器一连上抓到的是HardFault。这种“IAP升级即死机”的现场我见过太多次了。十个有八个问题就出在中断向量表重映射Vector Table Relocation上——不是没做就是做错了。IAPIn-Application Programming本身不复杂复杂的永远是细节。中断向量表就是那块最容易被忽略又最致命的细节偏偏它还牵扯到启动文件、链接脚本、芯片参考手册、Boot与App的边界关系这些零碎的东西。踩过一次坑之后我把这类问题和排查方法整理成了体系今天用一篇长文完整讲清楚。先说结论中断向量表重映射这件事想清楚三条路线就能避开大半的坑——Cortex-M3/M4用SCB-VTOR寄存器、Cortex-M0/M0要么复制到SRAM再靠硬件重映射、要么用Flash Bank切换。但这三条路线各自都有自己的“绝对禁忌”违反任何一条都直接死机给你看。1. IAP升级为什么会让中断“迷路”1.1 向量表到底是什么Boot和App怎么分家要理解死机原因得先理解向量表的本质。向量表就是一张“目录”放在芯片启动地址的开头按顺序存放每个中断处理函数的地址。第0项是主栈指针MSP的初始值第1项是Reset_Handler的入口第2项是NMI第3项是HardFault后面按编号排了SysTick、PendSV以及各种外设中断。CPU无论何时触发中断都会从这张表里取对应位置的函数指针然后跳进去执行。关键在于CPU默认从存储器的0地址去读这张表。出厂时0地址绑定的Flash起始区就是0x08000000也就是你烧进去的整个固件的开头。引入IAP之后Flash被割裂成两个镜像Boot区和App区。Boot区通常还在0x08000000开头负责下载固件、校验、跳转App区往往被放在偏移后的地址比如0x08008000、0x08010000。问题立刻就出现了App区跑起来之后CPU仍然默认跑到0x08000000找向量表那里是Boot的向量表不是App的。App里的中断全部“迷路”。如果App在0x08008000CPU却还是去0x08000000取向量表它拿到的是Boot的MSP值和Boot的Reset_Handler但代码执行流已经跑到App里中断一来跳转的目标完全不是App预期的那套Handler表现就是一触发中断就跑飞、进HardFault、复位循环。1.2 中断向量表重映射的三种实现路线解决“迷路”的方式本质上就是让CPU拿到正确的向量表地址业内一般叫Vector Table Relocation。针对不同内核大致三条路第一条直接改内核的向量表基址寄存器VTOR。Cortex-M3/M4/M7内核里有一个SCB-VTOR设置它就能告诉CPU“从现在起向量表在另一个地址”。最省事一条寄存器赋值搞定前提是芯片内核支持这个寄存器。第二条没有VTOR或者芯片设计不允许直接用VTOR时把向量表从Flash复制到SRAM再通过芯片的存储映射寄存器把SRAM某块区域映射到0地址。这样CPU从0地址取向量表实际读到的就是SRAM里特制的App向量表。Cortex-M0/M0通常走这条路。第三条芯片支持Flash Bank切换。如果芯片内部有两个独立的Flash BankBoot在Bank AApp在Bank B切换时直接把启动地址/Boot映射整体换到Bank BCPU天然从Bank B的0偏移位置读向量表。STM32L4、GD32E23x、部分新系列都支持这种方案属于硬件层面的“降维打击”。三条路没有绝对的好坏核心问题在于你选错了或者做漏了哪一步。下面我按“禁忌”的方式来拆因为这些错误实在是太常见了。2. 中断向量表重映射的绝对禁忌清单2.1 禁忌一对齐不严谨一跑就翻车VTOR不是随便给一个地址就行的。不同芯片会要求向量表起始地址满足对齐条件通常是256字节0x100对齐也有的系列要求64字节、512字节甚至1KB对齐。Cortex-M3的VTOR位定义里低7位是保留位即至少128字节对齐但实际芯片手册往往写得更严。举个例子GD32F103的参考手册和官方IAP例程里明确要求偏移量必须是0x100的整数倍。假设你把App放在0x08002000这个地址满足0x100对齐没问题。但如果你因为Flash分页问题把App放到0x08001000本身也满足0x100对齐仍然OK。真正容易出错的是下面这种#define APP_ADDR 0x08012000 // 满足 0x100 对齐 #define BAD_ADDR 0x08012080 // 0x80 偏移不满足 0x100 对齐 SCB-VTOR BAD_ADDR; // 某些芯片上等同于没设置或者产生不可预期行为为什么对齐这么严格因为VTOR寄存器只存储向量表基地址的高位段低位的对齐位被硬件忽略如果你塞了一个不对齐的地址硬件可能截断成一个“最近的合法地址”但这个“最近的合法地址”未必是你要的地址于是中断向量全乱套。实操建议所有App的Flash起始地址、所有重映射目标地址全部手工按0x100对齐并且每次换芯片都要重新看参考手册。不要想当然地认为“0x100够用”有些M0芯片要求向量表起始地址按SRAM起始地址对齐而SRAM区往往是0x20000000天然对齐但当你把复制目标偏移到0x20001000附近时同样要对照手册确认。2.2 禁忌二中断活跃期间改写向量表这条踩中的人非常多尤其是“升级成功之后紧接着App跑起来就死”的情况。跳转App之前Boot里可能有定时器在跑、串口中断在飞、DMA在搬数据。此时如果直接修改向量表指向、或者直接跳转在这一个瞬间CPU完全可能正在响应某个中断或者中断控制器里还挂着Pending状态。改完向量表后那些原本应该跳转到Boot ISR的中断现在突然指向App的Handler但App的Handler还没初始化外设寄存器状态也是混乱的不死机才怪。正确的做法是跳转前要做的“三清”__disable_irq(); // 关全局中断 SysTick-CTRL 0; // 停掉systick避免内核异常乱入 NVIC-ICER[0] 0xFFFFFFFF; // 关闭所有外设中断 NVIC-ICPR[0] 0xFFFFFFFF; // 清所有挂起中断 for (uint32_t i 1; i 8; i) { // 多组NVIC寄存器按需全清 NVIC-ICER[i] 0xFFFFFFFF; NVIC-ICPR[i] 0xFFFFFFFF; }有些外设扩展了多组NVIC线比如串口7、8只清ICER[0]是不够的要按芯片支持的中断线数把ICER/ICPR全部清一遍。还有SysTick在RTOS环境里几乎一定在跑跳转前必须停否则它会在App复位阶段捣乱。2.3 禁忌三只管向量表不管NVIC和外设中断状态这是我最想强调的一个误区向量表重映射改的是“CPU去哪里找Handler”但它并不负责“哪个中断会被使能”。NVIC的使能寄存器ISER、优先级寄存器IPR、挂起寄存器ISPR是独立的它们不会跟着VTOR自动重置。理论上你在Boot里使能了串口中断跳转到App后App如果自己不关中断串口随时可能触发。如果此时App的向量表还没映射好、或者App还没初始化串口中断服务函数执行的是App向量表里的对应项——万一那项指向默认的DefaultHandler而DefaultHandler里是一个死循环那整个系统就卡死了。更隐蔽的是内核异常PendSV和SysTick。这两个是RTOS的命根子。如果你用FreeRTOS做IAP跳转后App的向量表里必须确保第14项和第15项PendSV、SysTick分别指向App的vPortSVCHandler和xPortSysTickHandler同时VTOR指向App向量表。否则调度器一启动PendSV执行的就是错误地址直接HardFault。所以跳转前除了改向量表还要把外设的时钟、使能、中断状态全部理一遍。比较暴力的方法是跳转前调用一个RCC复位把外设时钟全部复位到默认状态RCC_DeInit();这种全量复位函数对STM32/GD32这类Cortex-M内核都很实用但HC32L136这类国产芯片就得查自己手册。核心思想是带干净的状态进App不要带着Boot的“历史包袱”进新世界。2.4 禁忌四跳转前不清理外设等于带病上岗跟2.3类似但更偏物理层尤其是以太网IAP。现在很多设备用ETH做远程升级下载完固件之后直接从Boot跳App。如果跳转前不把以太网MAC和DMA停下来DMA还在从接收FIFO往内存写数据MAC的时钟还在跑中断线还挂着跳过去App即便有千手观音也拦不住首次中断的暴击。我做过一个GD32F103的以太网IAP项目反复出现“升级成功后第一包数据过来直接死机”最后定位到就是ETH的DMA描述符还在Boot时的内存地址上运行而那段内存在App启动后被bss清零了。DMA往清零后的内存写数据外加触发中断系统直接崩。处理方案跳转前要么复位ETH外设时钟要么调用完整的ETH_DeInit流程把MAC、DMA控制、DMA中断、RX/TX描述符全部停止。现场速查ETH_DeInit(); // 停止MAC和DMA NVIC_DisableIRQ(ETH_IRQn); NVIC_ClearPendingIRQ(ETH_IRQn);不要舍不得这几个步骤它值一台砖头设备重刷的命。2.5 禁忌五链接脚本错了重映射等于零还有一种死机是“映射做了但App的向量表压根不在它该在的地方”。App链接脚本里Flash起始地址必须和Boot跳转时填的VTOR地址一致同时中断向量表段必须放在App镜像的最前面。GCC的链接脚本写法MEMORY { FLASH (rx) : ORIGIN 0x08008000, LENGTH 0x18000 RAM (rwx) : ORIGIN 0x20000000, LENGTH 0x8000 } SECTIONS { .isr_vector : { . ALIGN(4); KEEP(*(.isr_vector)) . ALIGN(4); } FLASH .text : { *(.text*) *(.rodata*) } FLASH /* ... 其余段省略 ... */ }我之前见过有人把vector段放在.text后面结果向量表确实在Flash里但不在起始地址一旦重映射到App起始地址读出来的“第一个字”根本不是什么MSP程序直接起飞。用objdump -h或者map文件看一眼__isr_vector的地址是不是等于ORIGIN这个习惯能救你无数次。另外App工程里通常有一个宏或者启动文件调用SystemInit来设置VTOR例如STM32F1系列#define VECT_TAB_OFFSET 0x8000 // 默认0必须按你的App偏移改 SCB-VTOR FLASH_BASE | VECT_TAB_OFFSET;很多人在Boot里设置了VTOR却忘了改App的VECT_TAB_OFFSET导致App自己启动时又把VTOR改回了0x08000000然后外设中断一触发就死。这种“内鬼”型问题最难查。3. 不同芯片的Vector Table Relocation实操要点3.1 Cortex-M3/M4SCB-VTOR一条指令解决对于Cortex-M3/M4最标准的操作是在跳转前和App启动后各设置一次VTOR。Boot侧示例typedef void (*app_entry_t)(void); #define APP_FLASH_ADDR 0x08008000 void jump_to_app(uint32_t app_addr) { uint32_t app_sp *(volatile uint32_t *)app_addr; app_entry_t app_entry (app_entry_t)(*(volatile uint32_t *)(app_addr 4)); __disable_irq(); SysTick-CTRL 0; /* 关闭外设中断、清挂起 */ NVIC-ICER[0] 0xFFFFFFFF; NVIC-ICPR[0] 0xFFFFFFFF; /* 关键跳转前就把向量表指到App */ SCB-VTOR app_addr; __set_MSP(app_sp); app_entry(); }注意这条VTOR赋值在某些系列上要求地址按0x100甚至0x200对齐如果你的App在0x08008000等常见的offset就没问题但如果你做了更细碎的Flash分区先看一眼这个地址是不是对齐的。App侧启动后也不要把这事忘了特别是App的SystemInit里通常会再设一次VTOR。正确写法是让App的启动代码也设置VTOR到自己的地址。3.2 Cortex-M0/M0没有VTOR怎么办关键知识点Cortex-M0和M0内核里根本没有VTOR寄存器。这意味着你没法靠一条指令把向量表定位到App区。这是最经典的“为什么IAP在M0/M0上更麻烦”的原因。M0/M0的替代方案通常有三种方案A把App向量表复制到SRAM再用芯片的存储映射寄存器把SRAM重映射到0地址。这是最通用的做法也是HC32L136这类国产M0里参考手册默认的路径。#define VECTOR_COUNT 64 void vector_relocate_sram(uint32_t app_addr) { uint32_t i; volatile uint32_t *src (volatile uint32_t *)app_addr; volatile uint32_t *dst (volatile uint32_t *)0x20000000; // SRAM基址 for (i 0; i VECTOR_COUNT; i) { dst[i] src[i]; } /* 将SRAM映射到地址0寄存器名以芯片手册为准 */ /* 例如STM32F1xxx: SYSCFG-CFGR1 | SYSCFG_CFGR1_MEM_MODE; */ }复制向量表的时候必须注意两点一是向量表总字节数要覆盖芯片所有中断不要只复制前16个内核向量否则某个外设中断一触发读到的地址是没人管的SRAM残余值二是复制完成后程序如果继续跑在Flash里要确保后续的所有Flash中断比如Flash擦写的中断不会与SRAM向量表拷贝打架。方案B不用VTOR而用芯片自带的Flash重映射功能。不少M0芯片在设计时就把0地址可配置成从Flash的某个用户区域映射这叫“物理地址重映射”。Boot把App地址通过选项字节设好然后软件复位移到该区域CPU直接从0地址就拿到App的向量表和代码。HC32L136的手册里有一章叫“FLASH重映射”或“用户程序区切换”原理接近这个。方案CFlash Bank切换。Boot放在Bank0App放在Bank1通过系统复位或者切换寄存器把启动地址指向Bank1然后CPU从新的“0地址”取向量表。这种方式升级稳定性极高但要求芯片硬件支持。对M0/M0的忠告在你把向量表复制到SRAM并做映射的时候Boot代码本身不要再用0地址的向量表了因为0地址已经被映射到SRAM再触发中断拿到的会是SRAM里的表——如果你在复制过程中已经写了但是还没写完取到一半损坏的值死机是必然的。所以整个复制过程中务必关中断。3.3 GD32F103的IAP升级实例GD32F103是Cortex-M3内核所以有VTOR可以用。这个芯片在国产替代里用量极大IAP上网一搜“gd32f103 iap升级”一大半是问跳转死机的。它的坑点主要集中在Flash分页和VTOR对齐上。GD32F103的Flash页大小一般是1KB/2KB不同型号不完全相同如果你把App地址放在0x08008000并且Boot和App各自都是整页对齐后面升级擦写会清爽很多。如果地址不是页对齐擦写App区域时可能误擦Boot尾部直接砖。另外GD32官方的IAP例程通常写成NVIC_SetVectorTable(NVIC_VectTab_FLASH, 0x8000);等价于SCB-VTOR 0x08000000 | 0x8000;GD32F103的手册里明确要求偏移量是256字节倍数0x8000满足要求。另外GD32F103的选项字节、读保护正确设置也很重要如果开了读保护Boot跳到App后访问被保护区域也会触发硬件异常。这种死机和向量表没关系但排查起来很容易误判。我建议升级前先确认读保护等级和DBANK选项。3.4 HC32L136的低成本方案实录HC32L136是Cortex-M0内核没有VTOR所以不能照抄STM32的写法。看“hc32l136 iap”热词热度不低说明卡在这颗芯片上的人不少。这颗芯片我在一个低功耗表计项目上用过它的IAP跳转标准做法是利用SRAM向量表。具体来说Boot把App起始地址假设0x00004000的前N个word复制到SRAM基址区域然后通过系统控制器里的重映射寄存器把0地址映射到SRAM最后跳转时直接从0地址取MSP和Reset_Handler。有一个容易忽略的问题HC32L136的SRAM基址和重映射区域在低功耗模式下可能有关闭或优化行为复制完成后如果马上进入低功耗再唤醒映射可能失效表现就是“睡眠醒来后死机”。量产设备升级完不一定马上复位可能先睡一觉这就需要你额外检查低功耗唤醒后是否还需要重新设置一次重映射。这种“参考手册里有但应用笔记里不一定强调”的细节才是真正的经验值所在。拿到任何一颗国产M0/M0芯片做IAP第一步永远是去原厂找最新的AppNote、看它推荐的跳转流程而不是自己拍脑袋写跳转函数。4. 从Boot到App的完整跳转流程拆解4.1 App侧链接脚本和启动文件改造跳转之前先把App工程收拾好。三件事链接脚本、启动文件/宏定义、中断服务函数分布。链接脚本上一节已经给过一段这里补充一个细节很多国产芯片的SDK在启动文件里把中断向量表固定放在Flash起始位置这个位置必须和你的App地址严格一致。如果你用Keil/AC6分散加载文件里要这么写LR_IROM1 0x08008000 0x00018000 { ER_IROM1 0x08008000 0x00018000 { *(.isr_vector) *(RO) } RW_IRAM1 0x20000000 0x00008000 { *(.data) *(.bss) *(COMMON) } }启动文件里调用SystemInit之后如果SystemInit没有设置VTOR就在自己的startup或者main开头手动设置一次。对于STM32F1/GD32F1打开system_stm32f10x.c把VECT_TAB_OFFSET改成对应的App偏移值这是最稳的。还有一类问题是中断服务函数被链接到了错误地址。不管你是用RTOS还是裸机确保你没在interrupt handler函数前加奇怪的关键字导致它被放到别的段比如__attribute__((section(.fastram)))这类。否则向量表里存的是函数指针没问题但如果函数本身放在RAM里而RAM和Flash的映射关系在跳转时有了变动也会异常。一切“本来可跑跳转后跑飞”都可以顺着这个思路排查。4.2 Boot跳转代码逐行拆解一个稳健的Boot跳转流程我会这样写void image_boot_jump(uint32_t app_addr) { uint32_t app_sp; uint32_t app_entry_addr; app_entry_t app_entry; /* 1. 检查镜像头合法性至少看栈顶地址落在RAM范围内 */ app_sp *(volatile uint32_t *)app_addr; if ((app_sp 0xFFF00000) ! 0x20000000) { return; /* 栈顶不是RAM地址镜像不合法拒绝跳转 */ } /* 2. 关全局中断、停SysTick、停外设中断/清挂起 */ __disable_irq(); SysTick-CTRL 0; NVIC-ICER[0] 0xFFFFFFFF; NVIC-ICPR[0] 0xFFFFFFFF; /* 按需再清理多项NVIC寄存器 */ /* 3. 关闭本阶段用到的外设串口、ETH、Flash控制器等 */ UART_DeInit(); ETH_DeInit(); /* RCC_DeInit(); 按芯片实际支持情况调用 */ /* 4. 设置向量表重映射不同内核按3.x走 */ SCB-VTOR app_addr; /* M3/M4实例 */ /* 5. 设置MSP并跳转 */ app_entry_addr *(volatile uint32_t *)(app_addr 4); app_entry (app_entry_t)app_entry_addr; __set_MSP(app_sp); app_entry(); }每一行都有讲究。“镜像头合法性检查”这一层很多人会省但在线升级场景里强烈不建议省。如果下载的固件只有一半或者校验位错误跳转到错误地址是灾难而一个简单的“SP是否落在RAM范围”就能拦截掉一大半问题。步骤3的“复位外设”尤其重要尤其是升级前用到的外围设备。USB升级的设备跳转前要USB_DeInitCAN升级的要CAN_DeInitETH升级的要把MAC/DMA停掉并清中断。可以在一个集中函数里把Boot用过的外设全部解初始化避免遗漏。步骤4和步骤5的顺序不能反。一定是先把向量表指到App再去取MSP和PC这样即使取PC过程中发生什么打扰中断也能找到App的处理器函数。4.3 App启动后第一时间做的事App启动入口跑起来后第一优先级不是初始化时钟而是确认向量表已经指向当前镜像。因为从跳转完成到App的SystemInit执行之间可能会触发任何中断比如看门狗、外部信号。如果此时向量表还是Boot的或者被App初始化代码改错整个启动过程随时崩。所以我在所有IAP工程的App侧启动文件或main函数最开头都会加一行强制重设/* App最开头确保向量表指向自己 */ SCB-VTOR APP_FLASH_ADDR; /* M3/M4 */这行代码放在时钟初始化、GPIO初始化之前。等VECT_TAB_OFFSET宏改好之后即使system_stm32f10x.c里的SystemInit也设置一次但“早设置”能防住前面的窗口期。对于M0/M0没有VTORApp没办法第一条指令就重映射所以Boot必须在跳转前完成SRAM向量表和重映射设置。这部分工作做在Boot里而不是App启动阶段。4.4 以太网IAP升级的额外坑位热词里有“eth iap怎么实现”这里重点说几个ETH IAP容易忽略的点。第一传输协议和Flash操作要解耦。ETH接收速度远高于Flash擦写速度如果你把UDP/TCP接收和Flash擦写放在同一个线程里一个大数据包来的时候正好擦Flash丢包不说还容易导致Flash控制器和中断抢资源。设计时要么做流控要么双缓冲队列。第二升级包接收完、校验完成后跳转前必须执行一次ETH外设复位。具体操作是关闭MAC的接收/发送使能、停DMA、关ETH中断、清NVIC挂起甚至可以考虑把对应的GPIO复用模式复位。原因前面说过MAC和DMA不归零跳转后第一包数据进来就触发中断或DMA写到App变量区。第三如果升级协议走的是MQTT/DHCP这类高层协议App新固件的网络参数最好不要和Boot的栈混用。跳转前把动态分配的连接信息全部清掉不然App起来拿着旧连接句柄网络初始化直接异常。第四ETH IAP最怕“升级一半断电”。设计上必须有双Bank或者备份区至少也得有A/B镜像方案否则升级写一半掉电设备就是砖。这是比向量表更宏观的顶层设计但很多人栽在向量表上是因为根本没机会跑到“考虑双Bank”那一步。5. IAP死机现场排查实录5.1 现象一升级后立刻HardFault典型场景Boot下载完固件跳转后两三秒内就进HardFault连上调试器时程序已经死在HardFault_Handler的死循环里。这种时候按顺序查四件事第一看App镜像头的第一个字。在跳转处设断点检查*(uint32_t*)APP_ADDR的值是不是0x20000000到0x20010000范围内的地址具体取决于RAM大小。如果这个值是0xFFFFFFFF或者一个Flash地址说明App根本没被正确烧进去或者Boot跳错了地址。第二看第二个字它指向的是Reset_Handler而不是随便什么函数。Open the map file确认Reset_Handler在0x08008004之类的地址上。第三看VTOR寄存器当前值。进HardFault后在调试器的寄存器窗口读SCB-VTOR核对它是否等于你期望的App地址。如果等于0x08000000而你的App在0x08008000那就是“内鬼”问题去查App的SystemInit里VECT_TAB_OFFSET。第四看SP和LR。HardFault现场SP如果是个超范围地址说明首次压栈就出了问题多半是MSP设置错了。5.2 现象二运行中“随机死机”这种最磨人。设备升级后正常跑了几分钟甚至几小时突然死机复位后又能跑。优先怀疑“某外设中断被触发但向量表对应项是DefaultHandler”。把项目中所有用到的外设中断Handler都设上调试器断点看死机前进的是哪个Handler。如果发现死机前进了DefaultHandler说明这个中断没有被正确在App中初始化或者中断向量表上的该项地址不是预期Handler。更细致的方法反汇编向量表区域。在map文件中找到向量表基地址然后查看对应中断号的偏移。比如USART1_IRQn通常是中断号37在向量表里偏移是37*4。对比这个地址是否等于USART1_IRQHandler的链接地址。不对就直接暴露了“链接脚本或中断函数缺失”的问题。还有一种“随机死机”是看门狗复位。有些设备跳转前没有关独立看门狗IWDGApp启动虽然重新初始化了看门狗但Boot里预装的喂狗值很短App启动阶段喂狗不及时系统会反复复位。这个虽然和向量表无关但在IAP死机排查里非常常见先确认再深挖。5.3 现象三Boot变量复位后“集体失踪”热词里有一个问题问得很精准“iap boot里面定义的变量复位后会怎样”。答案是默认情况下不会保留会被App的启动代码干掉而且原因还挺隐蔽。Boot和App是两个完全独立的镜像但是它们共享同一块RAM。Boot工程里定义的全局变量比如升级标志、升级包长度、当前App地址假设编译后被放在0x20000000附近的RAM区域。当Boot跳转App时CPU相当于“复位启动”了AppApp的Reset_Handler会把App的.data段从Flash复制到RAM把.bss段清零。如果App的.data或.bss恰好覆盖了Boot的全局变量地址那些“升级标志”就会被App覆盖读出来全是对不上的值。更致命的是App的栈指针直接用的是App镜像头里存的MSP初始值它指向的是App预期的栈顶跟Boot的栈是两套Boot栈里的局部变量几天后就彻底没了。所以不要指望通过“Boot定义全局变量App直接读”来传参。我给这种需求提供的三个可靠方案方案一固定RAM地址传参。Boot把参数写入RAM里一块预留出来的固定地址比如0x2000F000App的链接脚本把这阵区域排除出任何段分配然后App用指针访问。示例#define SHARED_RAM_PARAM_ADDR 0x2000F000 typedef struct { uint32_t magic; uint32_t app_addr; uint32_t upgrade_flag; } shared_param_t; #define SHARED_PARAM ((shared_param_t *)SHARED_RAM_PARAM_ADDR)App链接脚本里要确保没有其他变量落在0x2000F000附近否则照样破坏。方案二备份寄存器。STM32/GD32的RTC备份寄存器、HC32系列的部分低功耗备份寄存器Boot写、App读不占RAM也不怕App启动清零。唯一注意点是App初始化RTC时不要顺手把备份寄存器清了。方案三存在Flash的固定区域。Boot把升级信息写到Flash末尾一个独立小区域App启动后去读。这个方案最安全但注意Flash磨损均衡升级次数多的时候要轮换区域写。我当时做GD32F103的IAP时就是折在方案一上我以为Boot和App“都编译在一起变量肯定共享”结果App启动后读升级标志永远是0查了三天才发现是App的bss段清零把共享区域覆盖了。后来改成备份寄存器问题当场消失。5.4 排查工具与验证清单做IAP死机排查光靠肉眼不够我一般用下面这些工具和方法SWD调试器的HardFault现场分析打开调试器的寄存器窗口读取CFSR、HFSR、BFAR、MMFAR这几个故障状态寄存器。能直接告诉你是不是总线故障、用法故障或者精确地址错误。看门狗临时禁用调试期间把IWDG关闭避免死机后自动复位导致抓不到现场。向量表校验函数在Boot里写一个verify_vector_table(app_addr)函数检查镜像头的SP在RAM范围、PC在Flash范围再检查向量表里已有的Handler地址是否在Flash范围内。如果检查出来向量表项落在0xFFFFFFFF或者0地址直接拒绝跳转。增加调试日志在跳转前把App地址、SP、PC、VTOR值从串口打出来。注意这段日志代码放在关闭外设中断之前否则打串口的过程中被中断干扰。我整理过一个速查表每次IAP死机都对照排查死机时机可能原因排查方向跳转后立即死机App地址不对、对齐不满足、SP非法检查镜像头、VTOR对齐启动一小会后死机SystemInit覆盖VTOR、外设中断没清看VECT_TAB_OFFSET、查NVIC状态运行中偶发死机Handler缺失/错位、外设未初始化中断就绪反汇编向量表、DH检查RTOS完全不调度PendSV/SysTick向量缺失核对向量表第14/15项以太网IAP后死机ETH DMA还在跑、描述符被清零跳转前ETH_DeInit升级几个周期后偶发失败Flash磨损、地址页未对齐擦写前备份、页对齐检查这个表贴在工位上比什么都好使。6. 写在最后我养成的几个IAP习惯轴承换了那么多次我逐渐养成几个写IAP必带的习惯。第一个习惯任何IAP工程里跳转函数必须是“固定流程”模板不允许每次重新写。从关中断、清NVIC、复位外设到设置VTOR、取SP、跳转每一步都用统一的注释标记出来哪怕少一步代码评审的时候一眼就能看出来。我见过太多同学在Boot里只写((void(*)(void))*(volatile uint32_t*)(APP_ADDR4))()这样一行流式跳转然后死机了再来问为什么。第二个习惯App的VECT_TAB_OFFSET和Boot的APP_ADDR永远放在同一个头文件里由同一个宏控制。两边手写两套地址的话早晚有一天会改一处忘一处然后死机原因就是“两个偏移量不一致”——这种问题比木马还难抓。第三个习惯在线升级方案一定要有版本回滚通道。如果App升级写完但校验失败Boot要能保留旧App新版本起不来的情况下自动回退。向量表搞得再正确也不能保证App业务逻辑万无一失而回滚机制能把“变砖”变成“下次再试”。第四个习惯每次IAP跳转代码改动后一定要做两次“极端测试”。第一次是连续升级100次看有没有偶发失败第二次是升级完立刻复位、立刻断电、立刻进低功耗看有没有隐藏的映射失效。这两次测试能帮你把那些“偶尔死一次”的问题提前逼出来。我在这行干得越久越觉得中断向量表重映射像是IAP的心脏手术——手术本身不难难的是无菌操作、出血控制和术后监护。那些禁忌不是芯片厂商编出来吓人的是无数块砖头换来的。把这一套逻辑吃透不管换什么芯片、什么内核你都心里有底。
IAP升级即死机？中断向量表重映射的三大路线与五大禁忌
产品量产前最后一批固件客户现场升级完就黑屏看门狗疯狂复位调试器一连上抓到的是HardFault。这种“IAP升级即死机”的现场我见过太多次了。十个有八个问题就出在中断向量表重映射Vector Table Relocation上——不是没做就是做错了。IAPIn-Application Programming本身不复杂复杂的永远是细节。中断向量表就是那块最容易被忽略又最致命的细节偏偏它还牵扯到启动文件、链接脚本、芯片参考手册、Boot与App的边界关系这些零碎的东西。踩过一次坑之后我把这类问题和排查方法整理成了体系今天用一篇长文完整讲清楚。先说结论中断向量表重映射这件事想清楚三条路线就能避开大半的坑——Cortex-M3/M4用SCB-VTOR寄存器、Cortex-M0/M0要么复制到SRAM再靠硬件重映射、要么用Flash Bank切换。但这三条路线各自都有自己的“绝对禁忌”违反任何一条都直接死机给你看。1. IAP升级为什么会让中断“迷路”1.1 向量表到底是什么Boot和App怎么分家要理解死机原因得先理解向量表的本质。向量表就是一张“目录”放在芯片启动地址的开头按顺序存放每个中断处理函数的地址。第0项是主栈指针MSP的初始值第1项是Reset_Handler的入口第2项是NMI第3项是HardFault后面按编号排了SysTick、PendSV以及各种外设中断。CPU无论何时触发中断都会从这张表里取对应位置的函数指针然后跳进去执行。关键在于CPU默认从存储器的0地址去读这张表。出厂时0地址绑定的Flash起始区就是0x08000000也就是你烧进去的整个固件的开头。引入IAP之后Flash被割裂成两个镜像Boot区和App区。Boot区通常还在0x08000000开头负责下载固件、校验、跳转App区往往被放在偏移后的地址比如0x08008000、0x08010000。问题立刻就出现了App区跑起来之后CPU仍然默认跑到0x08000000找向量表那里是Boot的向量表不是App的。App里的中断全部“迷路”。如果App在0x08008000CPU却还是去0x08000000取向量表它拿到的是Boot的MSP值和Boot的Reset_Handler但代码执行流已经跑到App里中断一来跳转的目标完全不是App预期的那套Handler表现就是一触发中断就跑飞、进HardFault、复位循环。1.2 中断向量表重映射的三种实现路线解决“迷路”的方式本质上就是让CPU拿到正确的向量表地址业内一般叫Vector Table Relocation。针对不同内核大致三条路第一条直接改内核的向量表基址寄存器VTOR。Cortex-M3/M4/M7内核里有一个SCB-VTOR设置它就能告诉CPU“从现在起向量表在另一个地址”。最省事一条寄存器赋值搞定前提是芯片内核支持这个寄存器。第二条没有VTOR或者芯片设计不允许直接用VTOR时把向量表从Flash复制到SRAM再通过芯片的存储映射寄存器把SRAM某块区域映射到0地址。这样CPU从0地址取向量表实际读到的就是SRAM里特制的App向量表。Cortex-M0/M0通常走这条路。第三条芯片支持Flash Bank切换。如果芯片内部有两个独立的Flash BankBoot在Bank AApp在Bank B切换时直接把启动地址/Boot映射整体换到Bank BCPU天然从Bank B的0偏移位置读向量表。STM32L4、GD32E23x、部分新系列都支持这种方案属于硬件层面的“降维打击”。三条路没有绝对的好坏核心问题在于你选错了或者做漏了哪一步。下面我按“禁忌”的方式来拆因为这些错误实在是太常见了。2. 中断向量表重映射的绝对禁忌清单2.1 禁忌一对齐不严谨一跑就翻车VTOR不是随便给一个地址就行的。不同芯片会要求向量表起始地址满足对齐条件通常是256字节0x100对齐也有的系列要求64字节、512字节甚至1KB对齐。Cortex-M3的VTOR位定义里低7位是保留位即至少128字节对齐但实际芯片手册往往写得更严。举个例子GD32F103的参考手册和官方IAP例程里明确要求偏移量必须是0x100的整数倍。假设你把App放在0x08002000这个地址满足0x100对齐没问题。但如果你因为Flash分页问题把App放到0x08001000本身也满足0x100对齐仍然OK。真正容易出错的是下面这种#define APP_ADDR 0x08012000 // 满足 0x100 对齐 #define BAD_ADDR 0x08012080 // 0x80 偏移不满足 0x100 对齐 SCB-VTOR BAD_ADDR; // 某些芯片上等同于没设置或者产生不可预期行为为什么对齐这么严格因为VTOR寄存器只存储向量表基地址的高位段低位的对齐位被硬件忽略如果你塞了一个不对齐的地址硬件可能截断成一个“最近的合法地址”但这个“最近的合法地址”未必是你要的地址于是中断向量全乱套。实操建议所有App的Flash起始地址、所有重映射目标地址全部手工按0x100对齐并且每次换芯片都要重新看参考手册。不要想当然地认为“0x100够用”有些M0芯片要求向量表起始地址按SRAM起始地址对齐而SRAM区往往是0x20000000天然对齐但当你把复制目标偏移到0x20001000附近时同样要对照手册确认。2.2 禁忌二中断活跃期间改写向量表这条踩中的人非常多尤其是“升级成功之后紧接着App跑起来就死”的情况。跳转App之前Boot里可能有定时器在跑、串口中断在飞、DMA在搬数据。此时如果直接修改向量表指向、或者直接跳转在这一个瞬间CPU完全可能正在响应某个中断或者中断控制器里还挂着Pending状态。改完向量表后那些原本应该跳转到Boot ISR的中断现在突然指向App的Handler但App的Handler还没初始化外设寄存器状态也是混乱的不死机才怪。正确的做法是跳转前要做的“三清”__disable_irq(); // 关全局中断 SysTick-CTRL 0; // 停掉systick避免内核异常乱入 NVIC-ICER[0] 0xFFFFFFFF; // 关闭所有外设中断 NVIC-ICPR[0] 0xFFFFFFFF; // 清所有挂起中断 for (uint32_t i 1; i 8; i) { // 多组NVIC寄存器按需全清 NVIC-ICER[i] 0xFFFFFFFF; NVIC-ICPR[i] 0xFFFFFFFF; }有些外设扩展了多组NVIC线比如串口7、8只清ICER[0]是不够的要按芯片支持的中断线数把ICER/ICPR全部清一遍。还有SysTick在RTOS环境里几乎一定在跑跳转前必须停否则它会在App复位阶段捣乱。2.3 禁忌三只管向量表不管NVIC和外设中断状态这是我最想强调的一个误区向量表重映射改的是“CPU去哪里找Handler”但它并不负责“哪个中断会被使能”。NVIC的使能寄存器ISER、优先级寄存器IPR、挂起寄存器ISPR是独立的它们不会跟着VTOR自动重置。理论上你在Boot里使能了串口中断跳转到App后App如果自己不关中断串口随时可能触发。如果此时App的向量表还没映射好、或者App还没初始化串口中断服务函数执行的是App向量表里的对应项——万一那项指向默认的DefaultHandler而DefaultHandler里是一个死循环那整个系统就卡死了。更隐蔽的是内核异常PendSV和SysTick。这两个是RTOS的命根子。如果你用FreeRTOS做IAP跳转后App的向量表里必须确保第14项和第15项PendSV、SysTick分别指向App的vPortSVCHandler和xPortSysTickHandler同时VTOR指向App向量表。否则调度器一启动PendSV执行的就是错误地址直接HardFault。所以跳转前除了改向量表还要把外设的时钟、使能、中断状态全部理一遍。比较暴力的方法是跳转前调用一个RCC复位把外设时钟全部复位到默认状态RCC_DeInit();这种全量复位函数对STM32/GD32这类Cortex-M内核都很实用但HC32L136这类国产芯片就得查自己手册。核心思想是带干净的状态进App不要带着Boot的“历史包袱”进新世界。2.4 禁忌四跳转前不清理外设等于带病上岗跟2.3类似但更偏物理层尤其是以太网IAP。现在很多设备用ETH做远程升级下载完固件之后直接从Boot跳App。如果跳转前不把以太网MAC和DMA停下来DMA还在从接收FIFO往内存写数据MAC的时钟还在跑中断线还挂着跳过去App即便有千手观音也拦不住首次中断的暴击。我做过一个GD32F103的以太网IAP项目反复出现“升级成功后第一包数据过来直接死机”最后定位到就是ETH的DMA描述符还在Boot时的内存地址上运行而那段内存在App启动后被bss清零了。DMA往清零后的内存写数据外加触发中断系统直接崩。处理方案跳转前要么复位ETH外设时钟要么调用完整的ETH_DeInit流程把MAC、DMA控制、DMA中断、RX/TX描述符全部停止。现场速查ETH_DeInit(); // 停止MAC和DMA NVIC_DisableIRQ(ETH_IRQn); NVIC_ClearPendingIRQ(ETH_IRQn);不要舍不得这几个步骤它值一台砖头设备重刷的命。2.5 禁忌五链接脚本错了重映射等于零还有一种死机是“映射做了但App的向量表压根不在它该在的地方”。App链接脚本里Flash起始地址必须和Boot跳转时填的VTOR地址一致同时中断向量表段必须放在App镜像的最前面。GCC的链接脚本写法MEMORY { FLASH (rx) : ORIGIN 0x08008000, LENGTH 0x18000 RAM (rwx) : ORIGIN 0x20000000, LENGTH 0x8000 } SECTIONS { .isr_vector : { . ALIGN(4); KEEP(*(.isr_vector)) . ALIGN(4); } FLASH .text : { *(.text*) *(.rodata*) } FLASH /* ... 其余段省略 ... */ }我之前见过有人把vector段放在.text后面结果向量表确实在Flash里但不在起始地址一旦重映射到App起始地址读出来的“第一个字”根本不是什么MSP程序直接起飞。用objdump -h或者map文件看一眼__isr_vector的地址是不是等于ORIGIN这个习惯能救你无数次。另外App工程里通常有一个宏或者启动文件调用SystemInit来设置VTOR例如STM32F1系列#define VECT_TAB_OFFSET 0x8000 // 默认0必须按你的App偏移改 SCB-VTOR FLASH_BASE | VECT_TAB_OFFSET;很多人在Boot里设置了VTOR却忘了改App的VECT_TAB_OFFSET导致App自己启动时又把VTOR改回了0x08000000然后外设中断一触发就死。这种“内鬼”型问题最难查。3. 不同芯片的Vector Table Relocation实操要点3.1 Cortex-M3/M4SCB-VTOR一条指令解决对于Cortex-M3/M4最标准的操作是在跳转前和App启动后各设置一次VTOR。Boot侧示例typedef void (*app_entry_t)(void); #define APP_FLASH_ADDR 0x08008000 void jump_to_app(uint32_t app_addr) { uint32_t app_sp *(volatile uint32_t *)app_addr; app_entry_t app_entry (app_entry_t)(*(volatile uint32_t *)(app_addr 4)); __disable_irq(); SysTick-CTRL 0; /* 关闭外设中断、清挂起 */ NVIC-ICER[0] 0xFFFFFFFF; NVIC-ICPR[0] 0xFFFFFFFF; /* 关键跳转前就把向量表指到App */ SCB-VTOR app_addr; __set_MSP(app_sp); app_entry(); }注意这条VTOR赋值在某些系列上要求地址按0x100甚至0x200对齐如果你的App在0x08008000等常见的offset就没问题但如果你做了更细碎的Flash分区先看一眼这个地址是不是对齐的。App侧启动后也不要把这事忘了特别是App的SystemInit里通常会再设一次VTOR。正确写法是让App的启动代码也设置VTOR到自己的地址。3.2 Cortex-M0/M0没有VTOR怎么办关键知识点Cortex-M0和M0内核里根本没有VTOR寄存器。这意味着你没法靠一条指令把向量表定位到App区。这是最经典的“为什么IAP在M0/M0上更麻烦”的原因。M0/M0的替代方案通常有三种方案A把App向量表复制到SRAM再用芯片的存储映射寄存器把SRAM重映射到0地址。这是最通用的做法也是HC32L136这类国产M0里参考手册默认的路径。#define VECTOR_COUNT 64 void vector_relocate_sram(uint32_t app_addr) { uint32_t i; volatile uint32_t *src (volatile uint32_t *)app_addr; volatile uint32_t *dst (volatile uint32_t *)0x20000000; // SRAM基址 for (i 0; i VECTOR_COUNT; i) { dst[i] src[i]; } /* 将SRAM映射到地址0寄存器名以芯片手册为准 */ /* 例如STM32F1xxx: SYSCFG-CFGR1 | SYSCFG_CFGR1_MEM_MODE; */ }复制向量表的时候必须注意两点一是向量表总字节数要覆盖芯片所有中断不要只复制前16个内核向量否则某个外设中断一触发读到的地址是没人管的SRAM残余值二是复制完成后程序如果继续跑在Flash里要确保后续的所有Flash中断比如Flash擦写的中断不会与SRAM向量表拷贝打架。方案B不用VTOR而用芯片自带的Flash重映射功能。不少M0芯片在设计时就把0地址可配置成从Flash的某个用户区域映射这叫“物理地址重映射”。Boot把App地址通过选项字节设好然后软件复位移到该区域CPU直接从0地址就拿到App的向量表和代码。HC32L136的手册里有一章叫“FLASH重映射”或“用户程序区切换”原理接近这个。方案CFlash Bank切换。Boot放在Bank0App放在Bank1通过系统复位或者切换寄存器把启动地址指向Bank1然后CPU从新的“0地址”取向量表。这种方式升级稳定性极高但要求芯片硬件支持。对M0/M0的忠告在你把向量表复制到SRAM并做映射的时候Boot代码本身不要再用0地址的向量表了因为0地址已经被映射到SRAM再触发中断拿到的会是SRAM里的表——如果你在复制过程中已经写了但是还没写完取到一半损坏的值死机是必然的。所以整个复制过程中务必关中断。3.3 GD32F103的IAP升级实例GD32F103是Cortex-M3内核所以有VTOR可以用。这个芯片在国产替代里用量极大IAP上网一搜“gd32f103 iap升级”一大半是问跳转死机的。它的坑点主要集中在Flash分页和VTOR对齐上。GD32F103的Flash页大小一般是1KB/2KB不同型号不完全相同如果你把App地址放在0x08008000并且Boot和App各自都是整页对齐后面升级擦写会清爽很多。如果地址不是页对齐擦写App区域时可能误擦Boot尾部直接砖。另外GD32官方的IAP例程通常写成NVIC_SetVectorTable(NVIC_VectTab_FLASH, 0x8000);等价于SCB-VTOR 0x08000000 | 0x8000;GD32F103的手册里明确要求偏移量是256字节倍数0x8000满足要求。另外GD32F103的选项字节、读保护正确设置也很重要如果开了读保护Boot跳到App后访问被保护区域也会触发硬件异常。这种死机和向量表没关系但排查起来很容易误判。我建议升级前先确认读保护等级和DBANK选项。3.4 HC32L136的低成本方案实录HC32L136是Cortex-M0内核没有VTOR所以不能照抄STM32的写法。看“hc32l136 iap”热词热度不低说明卡在这颗芯片上的人不少。这颗芯片我在一个低功耗表计项目上用过它的IAP跳转标准做法是利用SRAM向量表。具体来说Boot把App起始地址假设0x00004000的前N个word复制到SRAM基址区域然后通过系统控制器里的重映射寄存器把0地址映射到SRAM最后跳转时直接从0地址取MSP和Reset_Handler。有一个容易忽略的问题HC32L136的SRAM基址和重映射区域在低功耗模式下可能有关闭或优化行为复制完成后如果马上进入低功耗再唤醒映射可能失效表现就是“睡眠醒来后死机”。量产设备升级完不一定马上复位可能先睡一觉这就需要你额外检查低功耗唤醒后是否还需要重新设置一次重映射。这种“参考手册里有但应用笔记里不一定强调”的细节才是真正的经验值所在。拿到任何一颗国产M0/M0芯片做IAP第一步永远是去原厂找最新的AppNote、看它推荐的跳转流程而不是自己拍脑袋写跳转函数。4. 从Boot到App的完整跳转流程拆解4.1 App侧链接脚本和启动文件改造跳转之前先把App工程收拾好。三件事链接脚本、启动文件/宏定义、中断服务函数分布。链接脚本上一节已经给过一段这里补充一个细节很多国产芯片的SDK在启动文件里把中断向量表固定放在Flash起始位置这个位置必须和你的App地址严格一致。如果你用Keil/AC6分散加载文件里要这么写LR_IROM1 0x08008000 0x00018000 { ER_IROM1 0x08008000 0x00018000 { *(.isr_vector) *(RO) } RW_IRAM1 0x20000000 0x00008000 { *(.data) *(.bss) *(COMMON) } }启动文件里调用SystemInit之后如果SystemInit没有设置VTOR就在自己的startup或者main开头手动设置一次。对于STM32F1/GD32F1打开system_stm32f10x.c把VECT_TAB_OFFSET改成对应的App偏移值这是最稳的。还有一类问题是中断服务函数被链接到了错误地址。不管你是用RTOS还是裸机确保你没在interrupt handler函数前加奇怪的关键字导致它被放到别的段比如__attribute__((section(.fastram)))这类。否则向量表里存的是函数指针没问题但如果函数本身放在RAM里而RAM和Flash的映射关系在跳转时有了变动也会异常。一切“本来可跑跳转后跑飞”都可以顺着这个思路排查。4.2 Boot跳转代码逐行拆解一个稳健的Boot跳转流程我会这样写void image_boot_jump(uint32_t app_addr) { uint32_t app_sp; uint32_t app_entry_addr; app_entry_t app_entry; /* 1. 检查镜像头合法性至少看栈顶地址落在RAM范围内 */ app_sp *(volatile uint32_t *)app_addr; if ((app_sp 0xFFF00000) ! 0x20000000) { return; /* 栈顶不是RAM地址镜像不合法拒绝跳转 */ } /* 2. 关全局中断、停SysTick、停外设中断/清挂起 */ __disable_irq(); SysTick-CTRL 0; NVIC-ICER[0] 0xFFFFFFFF; NVIC-ICPR[0] 0xFFFFFFFF; /* 按需再清理多项NVIC寄存器 */ /* 3. 关闭本阶段用到的外设串口、ETH、Flash控制器等 */ UART_DeInit(); ETH_DeInit(); /* RCC_DeInit(); 按芯片实际支持情况调用 */ /* 4. 设置向量表重映射不同内核按3.x走 */ SCB-VTOR app_addr; /* M3/M4实例 */ /* 5. 设置MSP并跳转 */ app_entry_addr *(volatile uint32_t *)(app_addr 4); app_entry (app_entry_t)app_entry_addr; __set_MSP(app_sp); app_entry(); }每一行都有讲究。“镜像头合法性检查”这一层很多人会省但在线升级场景里强烈不建议省。如果下载的固件只有一半或者校验位错误跳转到错误地址是灾难而一个简单的“SP是否落在RAM范围”就能拦截掉一大半问题。步骤3的“复位外设”尤其重要尤其是升级前用到的外围设备。USB升级的设备跳转前要USB_DeInitCAN升级的要CAN_DeInitETH升级的要把MAC/DMA停掉并清中断。可以在一个集中函数里把Boot用过的外设全部解初始化避免遗漏。步骤4和步骤5的顺序不能反。一定是先把向量表指到App再去取MSP和PC这样即使取PC过程中发生什么打扰中断也能找到App的处理器函数。4.3 App启动后第一时间做的事App启动入口跑起来后第一优先级不是初始化时钟而是确认向量表已经指向当前镜像。因为从跳转完成到App的SystemInit执行之间可能会触发任何中断比如看门狗、外部信号。如果此时向量表还是Boot的或者被App初始化代码改错整个启动过程随时崩。所以我在所有IAP工程的App侧启动文件或main函数最开头都会加一行强制重设/* App最开头确保向量表指向自己 */ SCB-VTOR APP_FLASH_ADDR; /* M3/M4 */这行代码放在时钟初始化、GPIO初始化之前。等VECT_TAB_OFFSET宏改好之后即使system_stm32f10x.c里的SystemInit也设置一次但“早设置”能防住前面的窗口期。对于M0/M0没有VTORApp没办法第一条指令就重映射所以Boot必须在跳转前完成SRAM向量表和重映射设置。这部分工作做在Boot里而不是App启动阶段。4.4 以太网IAP升级的额外坑位热词里有“eth iap怎么实现”这里重点说几个ETH IAP容易忽略的点。第一传输协议和Flash操作要解耦。ETH接收速度远高于Flash擦写速度如果你把UDP/TCP接收和Flash擦写放在同一个线程里一个大数据包来的时候正好擦Flash丢包不说还容易导致Flash控制器和中断抢资源。设计时要么做流控要么双缓冲队列。第二升级包接收完、校验完成后跳转前必须执行一次ETH外设复位。具体操作是关闭MAC的接收/发送使能、停DMA、关ETH中断、清NVIC挂起甚至可以考虑把对应的GPIO复用模式复位。原因前面说过MAC和DMA不归零跳转后第一包数据进来就触发中断或DMA写到App变量区。第三如果升级协议走的是MQTT/DHCP这类高层协议App新固件的网络参数最好不要和Boot的栈混用。跳转前把动态分配的连接信息全部清掉不然App起来拿着旧连接句柄网络初始化直接异常。第四ETH IAP最怕“升级一半断电”。设计上必须有双Bank或者备份区至少也得有A/B镜像方案否则升级写一半掉电设备就是砖。这是比向量表更宏观的顶层设计但很多人栽在向量表上是因为根本没机会跑到“考虑双Bank”那一步。5. IAP死机现场排查实录5.1 现象一升级后立刻HardFault典型场景Boot下载完固件跳转后两三秒内就进HardFault连上调试器时程序已经死在HardFault_Handler的死循环里。这种时候按顺序查四件事第一看App镜像头的第一个字。在跳转处设断点检查*(uint32_t*)APP_ADDR的值是不是0x20000000到0x20010000范围内的地址具体取决于RAM大小。如果这个值是0xFFFFFFFF或者一个Flash地址说明App根本没被正确烧进去或者Boot跳错了地址。第二看第二个字它指向的是Reset_Handler而不是随便什么函数。Open the map file确认Reset_Handler在0x08008004之类的地址上。第三看VTOR寄存器当前值。进HardFault后在调试器的寄存器窗口读SCB-VTOR核对它是否等于你期望的App地址。如果等于0x08000000而你的App在0x08008000那就是“内鬼”问题去查App的SystemInit里VECT_TAB_OFFSET。第四看SP和LR。HardFault现场SP如果是个超范围地址说明首次压栈就出了问题多半是MSP设置错了。5.2 现象二运行中“随机死机”这种最磨人。设备升级后正常跑了几分钟甚至几小时突然死机复位后又能跑。优先怀疑“某外设中断被触发但向量表对应项是DefaultHandler”。把项目中所有用到的外设中断Handler都设上调试器断点看死机前进的是哪个Handler。如果发现死机前进了DefaultHandler说明这个中断没有被正确在App中初始化或者中断向量表上的该项地址不是预期Handler。更细致的方法反汇编向量表区域。在map文件中找到向量表基地址然后查看对应中断号的偏移。比如USART1_IRQn通常是中断号37在向量表里偏移是37*4。对比这个地址是否等于USART1_IRQHandler的链接地址。不对就直接暴露了“链接脚本或中断函数缺失”的问题。还有一种“随机死机”是看门狗复位。有些设备跳转前没有关独立看门狗IWDGApp启动虽然重新初始化了看门狗但Boot里预装的喂狗值很短App启动阶段喂狗不及时系统会反复复位。这个虽然和向量表无关但在IAP死机排查里非常常见先确认再深挖。5.3 现象三Boot变量复位后“集体失踪”热词里有一个问题问得很精准“iap boot里面定义的变量复位后会怎样”。答案是默认情况下不会保留会被App的启动代码干掉而且原因还挺隐蔽。Boot和App是两个完全独立的镜像但是它们共享同一块RAM。Boot工程里定义的全局变量比如升级标志、升级包长度、当前App地址假设编译后被放在0x20000000附近的RAM区域。当Boot跳转App时CPU相当于“复位启动”了AppApp的Reset_Handler会把App的.data段从Flash复制到RAM把.bss段清零。如果App的.data或.bss恰好覆盖了Boot的全局变量地址那些“升级标志”就会被App覆盖读出来全是对不上的值。更致命的是App的栈指针直接用的是App镜像头里存的MSP初始值它指向的是App预期的栈顶跟Boot的栈是两套Boot栈里的局部变量几天后就彻底没了。所以不要指望通过“Boot定义全局变量App直接读”来传参。我给这种需求提供的三个可靠方案方案一固定RAM地址传参。Boot把参数写入RAM里一块预留出来的固定地址比如0x2000F000App的链接脚本把这阵区域排除出任何段分配然后App用指针访问。示例#define SHARED_RAM_PARAM_ADDR 0x2000F000 typedef struct { uint32_t magic; uint32_t app_addr; uint32_t upgrade_flag; } shared_param_t; #define SHARED_PARAM ((shared_param_t *)SHARED_RAM_PARAM_ADDR)App链接脚本里要确保没有其他变量落在0x2000F000附近否则照样破坏。方案二备份寄存器。STM32/GD32的RTC备份寄存器、HC32系列的部分低功耗备份寄存器Boot写、App读不占RAM也不怕App启动清零。唯一注意点是App初始化RTC时不要顺手把备份寄存器清了。方案三存在Flash的固定区域。Boot把升级信息写到Flash末尾一个独立小区域App启动后去读。这个方案最安全但注意Flash磨损均衡升级次数多的时候要轮换区域写。我当时做GD32F103的IAP时就是折在方案一上我以为Boot和App“都编译在一起变量肯定共享”结果App启动后读升级标志永远是0查了三天才发现是App的bss段清零把共享区域覆盖了。后来改成备份寄存器问题当场消失。5.4 排查工具与验证清单做IAP死机排查光靠肉眼不够我一般用下面这些工具和方法SWD调试器的HardFault现场分析打开调试器的寄存器窗口读取CFSR、HFSR、BFAR、MMFAR这几个故障状态寄存器。能直接告诉你是不是总线故障、用法故障或者精确地址错误。看门狗临时禁用调试期间把IWDG关闭避免死机后自动复位导致抓不到现场。向量表校验函数在Boot里写一个verify_vector_table(app_addr)函数检查镜像头的SP在RAM范围、PC在Flash范围再检查向量表里已有的Handler地址是否在Flash范围内。如果检查出来向量表项落在0xFFFFFFFF或者0地址直接拒绝跳转。增加调试日志在跳转前把App地址、SP、PC、VTOR值从串口打出来。注意这段日志代码放在关闭外设中断之前否则打串口的过程中被中断干扰。我整理过一个速查表每次IAP死机都对照排查死机时机可能原因排查方向跳转后立即死机App地址不对、对齐不满足、SP非法检查镜像头、VTOR对齐启动一小会后死机SystemInit覆盖VTOR、外设中断没清看VECT_TAB_OFFSET、查NVIC状态运行中偶发死机Handler缺失/错位、外设未初始化中断就绪反汇编向量表、DH检查RTOS完全不调度PendSV/SysTick向量缺失核对向量表第14/15项以太网IAP后死机ETH DMA还在跑、描述符被清零跳转前ETH_DeInit升级几个周期后偶发失败Flash磨损、地址页未对齐擦写前备份、页对齐检查这个表贴在工位上比什么都好使。6. 写在最后我养成的几个IAP习惯轴承换了那么多次我逐渐养成几个写IAP必带的习惯。第一个习惯任何IAP工程里跳转函数必须是“固定流程”模板不允许每次重新写。从关中断、清NVIC、复位外设到设置VTOR、取SP、跳转每一步都用统一的注释标记出来哪怕少一步代码评审的时候一眼就能看出来。我见过太多同学在Boot里只写((void(*)(void))*(volatile uint32_t*)(APP_ADDR4))()这样一行流式跳转然后死机了再来问为什么。第二个习惯App的VECT_TAB_OFFSET和Boot的APP_ADDR永远放在同一个头文件里由同一个宏控制。两边手写两套地址的话早晚有一天会改一处忘一处然后死机原因就是“两个偏移量不一致”——这种问题比木马还难抓。第三个习惯在线升级方案一定要有版本回滚通道。如果App升级写完但校验失败Boot要能保留旧App新版本起不来的情况下自动回退。向量表搞得再正确也不能保证App业务逻辑万无一失而回滚机制能把“变砖”变成“下次再试”。第四个习惯每次IAP跳转代码改动后一定要做两次“极端测试”。第一次是连续升级100次看有没有偶发失败第二次是升级完立刻复位、立刻断电、立刻进低功耗看有没有隐藏的映射失效。这两次测试能帮你把那些“偶尔死一次”的问题提前逼出来。我在这行干得越久越觉得中断向量表重映射像是IAP的心脏手术——手术本身不难难的是无菌操作、出血控制和术后监护。那些禁忌不是芯片厂商编出来吓人的是无数块砖头换来的。把这一套逻辑吃透不管换什么芯片、什么内核你都心里有底。
