孙晓晔1,2,王程2,3,成彬2,3
（１．石家庄开发区冀科双实科技有限公司，河北 石家庄 050081；2. 河北省科学院应用数学研究所，河北 石家庄 050081; 3.河北省信息安全认证工程技术研究中心，河北 石家庄 050081）
摘要：针对嵌入式产品分布广、位置分散、维护升级困难的问题，提出了一种基于TFTP协议的STM32软件升级系统的设计方案。该系统主要由STM32F407微控制器、LAN8720A网卡芯片和外扩存储器W25Q128、IS62WV51216组成，采用IAP技术和以太网TFTP协议来更新无操作系统环境下STM32微控制器的软件。经测试，该系统能够保证升级文件数据的正确传输和可靠存储，大大降低了嵌入式系统软件升级的难度，减少了人工维护的成本。
关键词：嵌入式微控制器；在应用编程；以太网；简单文件传输协议
0引言
随着嵌入式技术以及32位嵌入式微处理器的发展，嵌入式系统的应用日益广泛，嵌入式产品与人们的生产、生活结合得越来越紧密。然而，嵌入式系统的设计不可能一步到位，尤其是嵌入式软件，需要不断修改和完善。当程序出错或用户需求变更时，传统的方法是安排技术人员到现场或将设备回收对控制器芯片重新编程。这种方式费时费力，效率低下［1］。采用IAP（In-Application Programming）技术则可以免除拆卸设备、烧录MCU（Microcontroller Unit）等繁琐的过程。IAP即“在应用中编程”，是指产品发布后在运行过程中通过预留的通信接口（如USART、I2C、CAN、USB、以太网接口等）对微控制器MCU中的软件进行更新升级。
支持IAP技术的首要前提是微控制器必须基于可重复编程的闪存。STM32微控制器带有可编程的内置闪存，拥有在数量上和种类上都非常丰富的外设通信接口，因此在STM32上实现IAP技术是完全可行的［2］。本文针对STM32F407型号的微控制器,基于TFTP(Trivial File Transfer Protocol)协议通过网口实现IAP，可以大大节省维护升级成本, 更方便快捷［3］。
1IAP工作原理
在实现IAP功能时，MCU内部需要有两块存储区，BOOT区和常态存储区。MCU上电先运行BOOT区代码，检测是否需要更新软件，如果不需要更新，程序指针跳到常态存储区，开始执行放在常态存储区的内容；如果需要更新，则先通过外设通信接口接收新的程序代码，对常态存储区的内容进行改写，然后再跳转执行新写入的程序［4］。
相应的，软件程序代码也分为两部分：存放在BOOT区的BootLoader程序和存放在常态存储区的APP程序。BootLoader程序负责通过某种通信方式（如USB、USART等）接收程序或数据，执行对APP程序的更新。 APP程序才是真正的功能代码，完成嵌入式系统需要的各种业务功能。 BootLoader程序必须通过JTAG（Joint Test Action Group）编程方式或ISP（InSystem Programming）方式烧入，APP程序可以和BootLoader程序一起烧入，也可以通过BootLoader程序的IAP功能烧入。
2系统硬件设计
系统硬件电路主要介绍以太网接口电路的设计。 STM32F407自带MAC控制器，只需外接PHY芯片就可以完成以太网通信。PHY芯片选用LAN8720A，内置10BASET/100BASETX全双工传输模块，支持10 Mb/s和100 Mb/s数据传输。STM32F407采用RMII接口与LAN8720A连接， RMII减少了10/100 Mb/s下微控制器以太网外设与外部PHY间的引脚数，仅需10根线连接即可［4］。RMII和PHY共用的参考时钟必须是50 MHz，且必须由外部提供，如有源晶振或STM32F4的MCO输出。这里，LAN8720A外接25 MHz石英晶振，通过内部倍频到50 MHz，给STM32F407的RMII提供50 MHz参考时钟，输出参考时钟给MAC控制器，这样可以降低BOM（Bill of Material）成本［5］。
3系统软件设计
本系统中PHY层芯片LAN8720A相当于物理层，STM32F407自带的MAC层相当于数据链路层，而移植的LWIP提供的就是网络层、传输层的功能，应用层需要用户根据具体功能去实现，即BootLoader和APP程序。
STM32F407的内部闪存地址起始于0x8000000，一般情况下， BootLoader代码就从该地址开始存放，APP程序存放在Flash中剩余的空间，并且偏移量为0x200的倍数。
3.1BootLoader程序
BootLoader程序主要完成系统初始化、TFTP数据通信、更新Flash存储区内容和执行程序的跳转等功能［6］。其工作流程如图1所示。
系统初始化主要完成外部总线控制器的初始化、堆栈的初始化、定时器配置和LAN8720A网卡芯片的初始化、LWIP内核初始化等操作。之后，通过监测外部按键，判断是否进入IAP模式进行升级，若超时，则跳转到常态存储区，执行原来的APP程序［78］。
升级过程中文件的传送采用TFTP协议。TFTP是一个工作在UDP顶层的简单文件传输协议，基于C/S结构。一个TFTP客户端向TFTP服务器发起一个文件传输请求，服务器响应请求，文件传输开始。数据以固定尺寸（本系统采用512 B）的帧进行传输。在下一个数据帧传输前，接收方必须对刚刚收到的数据帧进行回应。如果接收到的数据帧大小小于指定的数据帧大小，说明当前传输的数据帧是最后一个数据帧，传输结束。这里PC机作为客户端，嵌入式平台实现TFTP服务器，TFTP服务器响应PC TFTP客户端发送的写文件请求。由于TFTP基于不可靠的UDP协议, 因此,在程序中添加能够保证数据有效传输的机制来及时处理数据丢失的情况。在接收到每个以太网数据帧后进行CRC校验，如果有错误则通知客户端重新发送该数据帧, 这样能有效提高程序更新的可靠性。
3.2APP程序
APP程序的生成需注意以下几点：
(1)起始地址和存储空间大小设置；
(2)中断向量表偏移量设置；
(3)生成.bin文件，用于IAP更新。MDK开发工具默认生成的文件是.hex，但利用IAP写入的程序文件不能是.hex格式，可利用MDK自带的格式转换工具fromelf.exe转换成.bin文件。
3.3系统软件设计需注意的问题
系统在软件设计中需注意以下几点:
(1)存储空间的分配。Boot区和常态存储区的大小可以根据应用的具体情况人为分配，但分配时尽可能使常态存储区最大化，为以后程序的升级留出余量。
(2)BootLoader代码设计时应尽量简洁，避免使用中断、复杂的底层驱动及算法。
(3)BootLoader代码在使用外设后，启动APP代码之前一定要先初始化该外设，即要让APP代码认为MCU只是刚上电运行，而不是跑完一个系统再调用自己。如果BootLoader代码没有执行该动作，当APP代码运行时，MCU的外设处于不确定状态（尤其是中断未关闭），可能会带来一些预料不到的错误。
(4)数据通信过程中, 向STM32发送程序文件时需考虑STM32对Flash的写入速度，保证每次传送的数据包都能正确写入。
(5)传输过程中，升级文件分段传送，可能存在数据丢失、网络不稳定等现象。对每段数据编号，根据编号判断是否有数据包丢失，并增加CRC校验，保证每段数据传输的正确性。对于错误或丢失的数据包,采取重传机制，提高IAP的成功率［9］。
4结论
本文对基于TFTP协议的STM32软件更新进行了研究，充分利用以太网的传输能力和便捷性，设计并实现了IAP升级系统。通过实验测试，基于TFTP 协议的STM32软件远程升级系统能够保证数据的正确传输和存储，大大降低了对嵌入式系统软件的升级维护难度，应用广泛。
参考文献
［1］ 温世坚,张伟波.基于STM32的远程升级系统的设计［J］.科技广场,2013,26(5):97100.
［2］ 李兴鹤，蔡亮，宋吉波，等.STM32用户基于IAP的程序更新技术［J］.单片机与嵌入式系统应用, 2012,12(1):7475.
［3］ 王程,周安琳.基于Autofac对乳制品安全风险预警系统的扩展设计［J］. 河北省科学院学报,2013,30(1):14，14.
［4］ 李婉婉，李宏.单片机IAP升级方法在血液分析仪中的应用［J］. 微型机与应用,2014,33(21):1618.
［5］ 王娜,成彬,郝友帅.水流量远程智能监测系统的设计与实现［J］. 河北省科学院学报,2011,28(2):3439.
［6］ 武辉林.模数转换器AD7791及其应用格式［J］.河北省科学院学报, 2011,28(2):2629.
［7］ 李俊，王金海.基于TFTP协议的ARM软件远程更新系统［J］.工矿自动化，2010，37(7):2225.
［8］ 游侃民.嵌入式系统网络化BOOTLOADER的设计与实现［D］.广州:华南理工大学,2010.
［9］ 许青青.一种轻量级Bootloader(LWBL)的设计与实现［D］.上海:华东师范大学,2012.