如何在寫(xiě)FLASH的過(guò)程中防止升級(jí)固件失敗

FPGA配置兩種模式：主動(dòng)配置和被動(dòng)配置方式，采用主動(dòng)配置下，我們就需要一片F(xiàn)LASH來(lái)存儲(chǔ)FPGA固件，那么我們?cè)谏?jí)固件寫(xiě)FLASH的過(guò)程中如何避免因意外情況發(fā)生導(dǎo)致升級(jí)失敗而使FPGA變磚呢？下面就由筆者帶領(lǐng)大家來(lái)挖山掘石、一探究竟。

本文主要針對(duì)Xilinx的Spartan-6和7-series FPGA。在設(shè)計(jì)FPGA的遠(yuǎn)程升級(jí)功能時(shí)，我們要實(shí)現(xiàn)以下兩個(gè)指標(biāo)：

1、FPGA具有升級(jí)功能，即在正常工作狀態(tài)下，F(xiàn)PGA可以將新的固件數(shù)據(jù)燒寫(xiě)到FLASH里面并在下次重啟的時(shí)候能夠正常加載；

2、如果升級(jí)過(guò)程中出現(xiàn)意外情況，F(xiàn)LASH里面原有的固件被破壞，那么FPGA能夠從備份固件區(qū)啟動(dòng)配置，即FLASH里要有另外一份沒(méi)有問(wèn)題的固件備份，且FPGA可以自動(dòng)跳轉(zhuǎn)到這個(gè)固件區(qū)讀取固件。

好了，功能需求明確，下面就該潛下心來(lái)進(jìn)行框架流程設(shè)計(jì)、時(shí)序設(shè)計(jì)、代碼編寫(xiě)以及仿真驗(yàn)證了。一番辛苦勞作之后，IP設(shè)計(jì)好了，這個(gè)時(shí)候心里暗暗自喜：應(yīng)該沒(méi)問(wèn)題，只待硬件測(cè)試?yán)?。三下五除二，找了臺(tái)機(jī)器測(cè)試了一遍，發(fā)現(xiàn)能夠正常升級(jí)，這個(gè)時(shí)候心里那個(gè)是樂(lè)開(kāi)了花啊，一次搞定，哈哈。

接下來(lái)就要進(jìn)行激動(dòng)人心的防磚測(cè)試了，于是你就邀請(qǐng)了周圍的同事來(lái)一起見(jiàn)證奇跡，于是測(cè)試開(kāi)始，于是在升級(jí)運(yùn)行的過(guò)程中你自信的斷了電，然后你對(duì)著周圍的同事說(shuō)：下面就是見(jiàn)證奇跡的時(shí)刻，于是你接通了電源，此時(shí)你笑的是那么春光燦爛。突然，你耳邊傳來(lái)一句輕輕的、溫柔的耳語(yǔ)：老兄，你的FPGA變磚啦！“怎么可能！”，你不屑的低吼了一句，可是，當(dāng)你看到那顆小小的LED燈安靜的還在沉睡的時(shí)候，你傻眼了，“What the hell is going on！”，看著周圍的同事，我理解你的心情：一種被狠狠打臉的刺痛感襲上了你的心頭。你埋著頭繃著臉，折騰了半天沒(méi)找出原因在哪，這到底是怎么回事兒呢？

FPGA升級(jí)防磚也即支持FALLBACK模式，賽靈思官方的指導(dǎo)文檔里也進(jìn)行了相應(yīng)的指導(dǎo)說(shuō)明。對(duì)于FALLBACK模式，最重要的就是要構(gòu)建起一個(gè)FLASH鏡像文件，該鏡像文件的架構(gòu)如圖1所示。

圖1 FLASH鏡像文件架構(gòu)

關(guān)于FLASH鏡像架構(gòu)的信息，賽靈思官方的configuraTIon user guide里有詳細(xì)說(shuō)明。圖中，MulTIboot Header決定了FPGA上電之后要先從哪個(gè)固件區(qū)讀取配置文件以及如果失敗了該跳轉(zhuǎn)到哪個(gè)固件區(qū)讀取備份配置。我們的鏡像里劃分了兩片區(qū)域用于存儲(chǔ)固件，分別為：AcTIve區(qū)和Old（golden）區(qū)，我們的升級(jí)指的就是對(duì)AcTIve區(qū)的固件進(jìn)行更新，Header區(qū)和Old區(qū)的信息不改動(dòng)；FPGA每次上電先從Active區(qū)讀取配置文件。Old區(qū)是一份固件備份，它的作用就是當(dāng)Active區(qū)因?yàn)樯?jí)意外而固件被破壞的情況下，F(xiàn)PGA能夠從此處啟動(dòng)配置。

那么，如何保證當(dāng)Active區(qū)的固件因?yàn)樯?jí)意外被破壞時(shí)FPGA能夠主動(dòng)切換到Old區(qū)域讀取配置文件呢？這就是我們要說(shuō)明的問(wèn)題。

FPGA升級(jí)固件的燒寫(xiě)一般有兩種方式，分別如下：

1、順序燒寫(xiě)，這是最傳統(tǒng)的燒寫(xiě)方式，即不對(duì)固件進(jìn)行任何更改直接往FLASH里燒寫(xiě)；

2、調(diào)整固件燒寫(xiě)順序，即對(duì)固件進(jìn)行一定的修改，然后分兩次燒寫(xiě)。

我們?cè)谠O(shè)計(jì)的時(shí)候首先想到的就是第一種方式，況且賽靈思官方文檔也說(shuō)了在如下情況下FPGA會(huì)跳轉(zhuǎn)到備份區(qū)啟動(dòng)配置：

1、讀取配置文件的同步字超時(shí)，此時(shí)會(huì)觸發(fā)跳轉(zhuǎn)；

2、檢查到固件CRC出錯(cuò)，此時(shí)會(huì)觸發(fā)跳轉(zhuǎn)。

根據(jù)這些說(shuō)法，采用第一種方式也不會(huì)出問(wèn)題??！可是為什么就不行呢？也許細(xì)心測(cè)試的你會(huì)發(fā)現(xiàn)，在擦除的過(guò)程中斷電的話FPGA能夠從備份區(qū)啟動(dòng)，在燒寫(xiě)的過(guò)程中斷電的話FPGA就會(huì)啟動(dòng)失敗，你，有沒(méi)有感悟到什么？是不是看到了一絲絲亮光？奧特曼說(shuō)過(guò)：有光的地方就有希望！你可能會(huì)問(wèn)：為什么有第二種燒寫(xiě)方式？要怎樣調(diào)整固件呢？為什么要調(diào)整呢？在這里，我先給你肯定答案：采用第二種方式完全不會(huì)出問(wèn)題?，F(xiàn)在，我們接著往下賣關(guān)子。

既然有上面的一系列疑問(wèn)，那么我們就需要去研究一下ISE工具在生成固件的時(shí)候是怎樣的一種打包格式。經(jīng)過(guò)研究發(fā)現(xiàn)兩個(gè)很重要的信息：

1、配置文件的同步字在固件的首部；

2、CRC檢查命令一般在固件的后部，而FPGA必須在收到CRC檢查命令之后才會(huì)去檢查CRC值。

前面也提到，當(dāng)擦除的時(shí)候斷電FPGA能夠發(fā)生配置跳轉(zhuǎn)，當(dāng)燒寫(xiě)的時(shí)候斷電FPGA無(wú)法進(jìn)行配置跳轉(zhuǎn)，說(shuō)到這里再結(jié)合上面的兩條重要的發(fā)現(xiàn)，你也許已經(jīng)為自己心中的疑問(wèn)找到答案了吧？很顯然，因?yàn)楣碳耐阶趾苌?，所以能夠很快被擦除也可以很快被?xiě)入FLASH；因此，當(dāng)擦除的時(shí)候斷電了，此時(shí)固件的同步字已經(jīng)破壞，而FPGA讀不到同步字就會(huì)出現(xiàn)看門狗超時(shí)，那么此時(shí)FPGA就會(huì)跳轉(zhuǎn)到備份區(qū)讀取配置文件；當(dāng)在燒寫(xiě)的時(shí)候斷電呢？因?yàn)榇藭r(shí)同步字已經(jīng)被正確寫(xiě)入，而CRC檢查命令被破壞了，F(xiàn)PGA在配置的時(shí)候會(huì)去讀CRC檢查命令，直到讀到為止，可是CRC檢查命令被破壞了怎么辦呢？沒(méi)得辦法啊，F(xiàn)PGA有一種不撞南墻不回頭，撞了南墻依然不回頭的韌勁和堅(jiān)持，它會(huì)一直讀下去，所以它就陷入死循環(huán)了，哎！你說(shuō)如果愛(ài)情里也有這種精神該多好??！

經(jīng)過(guò)上面的解釋，我們會(huì)恍然大悟：原來(lái)通過(guò)CRC錯(cuò)誤觸發(fā)FPGA配置跳轉(zhuǎn)不靠譜?。〖热蝗绱?，我們就只能在固件的同步字上做文章了。好了，不賣關(guān)子了，其實(shí)，在固件的同步字上做文章也就對(duì)應(yīng)著升級(jí)固件的燒寫(xiě)方式2：修改固件并調(diào)整固件的燒寫(xiě)順序，簡(jiǎn)單解釋如下：

1、把固件的同步字修改掉，第一步燒寫(xiě)的時(shí)候不燒同步字；

2、當(dāng)固件的其余部分燒寫(xiě)完畢之后再單獨(dú)把固件的同步字燒寫(xiě)入原來(lái)對(duì)應(yīng)的FLASH位置處。

這樣做了之后，無(wú)論是擦除過(guò)程中斷電還是燒寫(xiě)的過(guò)程中斷電，固件的同步字都會(huì)被破壞，那么肯定會(huì)觸發(fā)FPGA的配置跳轉(zhuǎn)，即FALLBACK一定會(huì)成功！