Flash-память и загрузчик STM32: запись, защита, прошивка

Организация Flash-памяти

Таблица составлена по PM0075 (таблица 3), RM0090 (раздел 3.3, таблица 5) и таблицам 28 DS5319 и 40 DS8626. У STM32F103 high-density (256–512 КБ) и connectivity line страницы по 2 КБ, а у connectivity line системная память — 18 КБ с адреса 0x1FFF B000 (PM0075, таблицы 4 и 5). У STM32F42x/43x память до 2 МБ разделена на два банка по 12 секторов, и чтение из одного банка не останавливается во время записи в другой (RM0090, раздел 3.4).

Пока идёт запись или стирание, чтение Flash останавливает шину: ядро не может выбрать команду из Flash, пока операция не закончится (PM0075, раздел 1.2; RM0090, раздел 3.6). У STM32F407 стирание сектора 128 КБ длится секунды — программа, которая в это время должна обслуживать прерывания, выполняет критичный код и обработчики из SRAM. Для частых записей настроек на STM32F4 удобнее маленькие секторы 1–3 по 16 КБ, чем секторы по 128 КБ. Время доступа к Flash на высокой частоте задают такты ожидания — их считает калькулятор LATENCY.

Ресурс Flash — не меньше 10 тысяч циклов на всём диапазоне температур, а данные хранятся не меньше 30 лет при 85 °C после тысячи циклов, 10 лет при 105 °C после тысячи циклов и 20 лет при 55 °C после 10 тысяч циклов (DS5319, таблица 29; DS8626, таблица 42).

Режимы загрузки: BOOT0 и BOOT1

Режимы одинаковы у STM32F1 и STM32F4 (RM0008, таблица 9; RM0090, таблица 2). Выбранная область отображается на адрес 0x0000 0000, откуда ядро берёт начальный указатель стека и вектор сброса. Значения выводов защёлкиваются на четвёртом такте SYSCLK после сброса и снова считываются при выходе из режима Standby. BOOT0 — отдельный вывод, а BOOT1 совмещён с PB2 (DS5319, таблица 5; DS8626, таблица 7): после защёлкивания PB2 свободен для обычной работы. При загрузке из SRAM программа должна сама перенести таблицу векторов регистром VTOR.

На платах вывод BOOT0 обычно прижимают к земле резистором, а для прошивки через загрузчик соединяют перемычкой с питанием.

Встроенный загрузчик

Системная память содержит загрузчик, записанный ST на производстве. Через какие интерфейсы он работает, зависит от линейки (RM0008, раздел 3.4; RM0090, раздел 2.4):

USART работают от внутреннего генератора HSI, а CAN и USB требуют кварца: у STM32F105/107 — 8, 14,7456 или 25 МГц, у STM32F407 — с частотой, кратной 1 МГц, от 4 до 26 МГц. У массового STM32F103 загрузчика по USB нет: прошить его по USB «из коробки» нельзя, нужен адаптер USB–UART, программатор SWD или собственный загрузчик.

Протокол загрузчика по UART

Протокол описан в AN3155. Кадр — 8 бит данных, бит чётности even и стоп-бит. Загрузчик ждёт байт 0x7F, по его длительности измеряет скорость передатчика и отвечает подтверждением ACK = 0x79 — после этого он готов к командам. Скорость хоста может быть от 1200 до 115 200 бит/с (это проверенные ST границы), а расхождение скоростей не должно превышать 2,5 % (AN3155, разделы 1 и 2).

Каждая команда — байт кода и его дополнение (их XOR равен 0xFF). Загрузчик отвечает ACK или NACK = 0x1F. Блоки данных завершаются контрольной суммой — XOR всех байтов блока. Основные команды (AN3155, таблица 2):

Утилиты прошивки — например, STM32CubeProgrammer от ST — реализуют этот протокол; сам загрузчик не меняется и не стирается, поэтому вернуться к нему можно всегда, если BOOT0 доступен.

Запись Flash из программы

После сброса регистр управления FLASH_CR заблокирован. Его открывают записью двух ключей в FLASH_KEYR: KEY1 = 0x4567 0123, затем KEY2 = 0xCDEF 89AB; неверная последовательность блокирует регистр до следующего сброса и вызывает ошибку шины (PM0075, раздел 2.3.2; RM0090, раздел 3.6.1). Ключи у STM32F1 и STM32F4 одинаковые.

STM32F1 (PM0075, разделы 2.3.3–2.3.4):

• запись — только полусловами: установить PG в FLASH_CR, записать 16 бит по нужному адресу, дождаться сброса BSY и проверить результат. Запись не стёртой ячейки пропускается с флагом PGERR — исключение составляет запись 0x0000;
• стирание страницы — бит PER, адрес любой ячейки страницы в FLASH_AR, бит STRT, ожидание BSY;
• стирание всей памяти — MER и STRT; системная память и байты конфигурации при этом не затрагиваются;
• на время записи и стирания должен быть включён генератор HSI (PM0075, раздел 1.2).

STM32F4 (RM0090, разделы 3.6.2–3.6.4): стирание — по секторам (бит SER и номер сектора SNB), банкам или всей памяти, а разрядность записи PSIZE ограничена напряжением питания (RM0090, таблица 13):

Запись или стирание с PSIZE больше допустимого для текущего напряжения может оставить данные, которые читаются правильно, но не сохранятся (RM0090, раздел 3.6.2).

Пример записи массива полуслов в последнюю страницу STM32F103C8 (адрес 0x0801 FC00, 1 КБ):

#include "stm32f1xx.h"

#define PAGE_ADDR 0x0801FC00U          /* last 1 KB page of a 128 KB STM32F103 */

static void flash_wait(void)
{
    while (FLASH->SR & FLASH_SR_BSY) {}
}

int flash_write_page(const uint16_t *data, uint32_t count)   /* count <= 512 */
{
    FLASH->KEYR = FLASH_KEY1;            /* unlock FLASH_CR */
    FLASH->KEYR = FLASH_KEY2;

    flash_wait();
    FLASH->CR |= FLASH_CR_PER;           /* page erase */
    FLASH->AR = PAGE_ADDR;
    FLASH->CR |= FLASH_CR_STRT;
    flash_wait();
    FLASH->CR &= ~FLASH_CR_PER;

    FLASH->CR |= FLASH_CR_PG;            /* half-word programming */
    for (uint32_t i = 0; i < count; i++) {
        *(volatile uint16_t *)(PAGE_ADDR + 2U * i) = data[i];
        flash_wait();
        if (FLASH->SR & (FLASH_SR_PGERR | FLASH_SR_WRPRTERR))
            break;
    }
    FLASH->CR &= ~FLASH_CR_PG;
    FLASH->CR |= FLASH_CR_LOCK;          /* lock again */

    for (uint32_t i = 0; i < count; i++)
        if (*(volatile uint16_t *)(PAGE_ADDR + 2U * i) != data[i])
            return -1;
    return 0;
}

Страницу для данных выбирают за пределами программы и резервируют в скрипте компоновщика, иначе следующая версия прошивки может её занять.

Байты конфигурации и защита

Байты конфигурации (option bytes) задают защиту и некоторые режимы микроконтроллера и загружаются из Flash при сбросе.

У STM32F1 их восемь, каждый хранится вместе с дополнением (PM0075, раздел 2.5): RDP — защита от чтения, USER — сторожевой таймер IWDG аппаратный или программный и сброс при входе в Stop и Standby, Data0 и Data1 — два байта для данных пользователя, WRP0–WRP3 — защита от записи групп страниц (по 4 страницы у low- и medium-density). Чтобы их изменить, после открытия FPEC нужно записать те же ключи KEY1 и KEY2 в FLASH_OPTKEYR, стереть область битом OPTER и записать полуслова с битом OPTPG.

Защита от чтения STM32F1 устроена просто: память не защищена, только если байт RDP равен 0xA5, а его дополнение — 0x5A; любое другое значение, в том числе стёртое 0xFF, означает защиту (PM0075, таблица 6). Под защитой код из Flash работает как обычно, но отладчик и программа, загруженная в SRAM (в том числе через DMA), не могут читать Flash, а страницы 0–3 (0–1 у high-density) защищены от записи (PM0075, раздел 2.4.1). При записи 0xA5 контроллер сначала стирает всю основную память — так прошивку нельзя вытащить, сняв защиту.

У STM32F4 уровней защиты три (RM0090, раздел 3.7.3):

Для изменения байтов конфигурации STM32F4 служат свои ключи OPTKEY1 = 0x0819 2A3B и OPTKEY2 = 0x4C5D 6E7F в регистре FLASH_OPTKEYR. Если защита ставится при подключённом отладчике, новые байты загружаются только при сбросе по питанию — это оговаривают и PM0075, и RM0090. Уровень 2 ST советует ставить только на готовых изделиях: после него отладить или проанализировать микросхему невозможно, в том числе для самой ST.

Свой загрузчик и переход в приложение

Собственный загрузчик — небольшая программа в начале Flash, которая принимает новую прошивку по UART, CAN, USB или радио, пишет её в остальную память и передаёт управление. Приложение компонуется с начального адреса после загрузчика, а его таблица векторов переносится регистром VTOR. Таблица должна быть выровнена по числу векторов, но не меньше чем на 128 слов — 512 байт (PM0056, раздел 4.4.4). В шаблоне CMSIS для этого есть настройка: определение USER_VECT_TAB_ADDRESS и смещение VECT_TAB_OFFSET в system_stm32f1xx.c, и SystemInit приложения сам запишет VTOR.

Переход из загрузчика в приложение:

#include "stm32f1xx.h"

#define APP_ADDR 0x08004000U            /* the application starts after a 16 KB bootloader */

void jump_to_app(void)
{
    uint32_t sp = *(volatile uint32_t *)APP_ADDR;          /* initial stack pointer */
    uint32_t pc = *(volatile uint32_t *)(APP_ADDR + 4U);   /* reset handler */

    __disable_irq();
    SysTick->CTRL = 0;                                      /* stop SysTick */
    for (uint32_t i = 0; i < 8; i++) {                      /* disable and clear all IRQs */
        NVIC->ICER[i] = 0xFFFFFFFFU;
        NVIC->ICPR[i] = 0xFFFFFFFFU;
    }
    SCB->VTOR = APP_ADDR;
    __set_MSP(sp);
    __enable_irq();
    ((void (*)(void))pc)();
}

Перед переходом загрузчик выключает всё, что включал сам: периферию, DMA, прерывания, — иначе приложение получит прерывание раньше, чем настроит его обработчик. Проверить, что по адресу действительно лежит приложение, можно по первому слову: начальный указатель стека должен указывать в SRAM.

Частые ошибки

• Стирание страницы, в которой выполняется программа, — программа перестаёт существовать на середине функции.
• Запись в не стёртую ячейку STM32F1 — пропускается с флагом PGERR, данные не меняются.
• Неверный PSIZE на STM32F4 — данные выглядят записанными, но не сохраняются.
• Байты конфигурации без сброса по питанию при подключённом отладчике — новая защита не вступает в силу.
• RDP уровня 2 на отладочной плате — микросхему больше нельзя отладить.
• Приложение без переноса VTOR — прерывания уходят в обработчики загрузчика.
• BOOT0 в воздухе — микроконтроллер то запускает программу, то загрузчик.