如何在寫FLASH的過程中防止升級固件失敗

FPGA配置兩種模式：主動配置和被動配置方式，采用主動配置下，我們就需要一片F(xiàn)LASH來存儲FPGA固件，那么我們在升級固件寫FLASH的過程中如何避免因意外情況發(fā)生導(dǎo)致升級失敗而使FPGA變磚呢？下面就由筆者帶領(lǐng)大家來挖山掘石、一探究竟。

本文主要針對Xilinx的Spartan-6和7-series FPGA。在設(shè)計FPGA的遠程升級功能時，我們要實現(xiàn)以下兩個指標：

1、FPGA具有升級功能，即在正常工作狀態(tài)下，F(xiàn)PGA可以將新的固件數(shù)據(jù)燒寫到FLASH里面并在下次重啟的時候能夠正常加載；

2、如果升級過程中出現(xiàn)意外情況，F(xiàn)LASH里面原有的固件被破壞，那么FPGA能夠從備份固件區(qū)啟動配置，即FLASH里要有另外一份沒有問題的固件備份，且FPGA可以自動跳轉(zhuǎn)到這個固件區(qū)讀取固件。

好了，功能需求明確，下面就該潛下心來進行框架流程設(shè)計、時序設(shè)計、代碼編寫以及仿真驗證了。一番辛苦勞作之后，IP設(shè)計好了，這個時候心里暗暗自喜：應(yīng)該沒問題，只待硬件測試啦。三下五除二，找了臺機器測試了一遍，發(fā)現(xiàn)能夠正常升級，這個時候心里那個是樂開了花啊，一次搞定，哈哈。

接下來就要進行激動人心的防磚測試了，于是你就邀請了周圍的同事來一起見證奇跡，于是測試開始，于是在升級運行的過程中你自信的斷了電，然后你對著周圍的同事說：下面就是見證奇跡的時刻，于是你接通了電源，此時你笑的是那么春光燦爛。突然，你耳邊傳來一句輕輕的、溫柔的耳語：老兄，你的FPGA變磚啦！“怎么可能！”，你不屑的低吼了一句，可是，當(dāng)你看到那顆小小的LED燈安靜的還在沉睡的時候，你傻眼了，“What the hell is going on！”，看著周圍的同事，我理解你的心情：一種被狠狠打臉的刺痛感襲上了你的心頭。你埋著頭繃著臉，折騰了半天沒找出原因在哪，這到底是怎么回事兒呢？

FPGA升級防磚也即支持FALLBACK模式，賽靈思官方的指導(dǎo)文檔里也進行了相應(yīng)的指導(dǎo)說明。對于FALLBACK模式，最重要的就是要構(gòu)建起一個FLASH鏡像文件，該鏡像文件的架構(gòu)如圖1所示。

圖1 FLASH鏡像文件架構(gòu)

關(guān)于FLASH鏡像架構(gòu)的信息，賽靈思官方的configuraTIon user guide里有詳細說明。圖中，MulTIboot Header決定了FPGA上電之后要先從哪個固件區(qū)讀取配置文件以及如果失敗了該跳轉(zhuǎn)到哪個固件區(qū)讀取備份配置。我們的鏡像里劃分了兩片區(qū)域用于存儲固件，分別為：AcTIve區(qū)和Old（golden）區(qū)，我們的升級指的就是對AcTIve區(qū)的固件進行更新，Header區(qū)和Old區(qū)的信息不改動；FPGA每次上電先從Active區(qū)讀取配置文件。Old區(qū)是一份固件備份，它的作用就是當(dāng)Active區(qū)因為升級意外而固件被破壞的情況下，F(xiàn)PGA能夠從此處啟動配置。

那么，如何保證當(dāng)Active區(qū)的固件因為升級意外被破壞時FPGA能夠主動切換到Old區(qū)域讀取配置文件呢？這就是我們要說明的問題。

FPGA升級固件的燒寫一般有兩種方式，分別如下：

1、順序燒寫，這是最傳統(tǒng)的燒寫方式，即不對固件進行任何更改直接往FLASH里燒寫；

2、調(diào)整固件燒寫順序，即對固件進行一定的修改，然后分兩次燒寫。

我們在設(shè)計的時候首先想到的就是第一種方式，況且賽靈思官方文檔也說了在如下情況下FPGA會跳轉(zhuǎn)到備份區(qū)啟動配置：

1、讀取配置文件的同步字超時，此時會觸發(fā)跳轉(zhuǎn)；

2、檢查到固件CRC出錯，此時會觸發(fā)跳轉(zhuǎn)。

根據(jù)這些說法，采用第一種方式也不會出問題啊！可是為什么就不行呢？也許細心測試的你會發(fā)現(xiàn)，在擦除的過程中斷電的話FPGA能夠從備份區(qū)啟動，在燒寫的過程中斷電的話FPGA就會啟動失敗，你，有沒有感悟到什么？是不是看到了一絲絲亮光？奧特曼說過：有光的地方就有希望！你可能會問：為什么有第二種燒寫方式？要怎樣調(diào)整固件呢？為什么要調(diào)整呢？在這里，我先給你肯定答案：采用第二種方式完全不會出問題?，F(xiàn)在，我們接著往下賣關(guān)子。

既然有上面的一系列疑問，那么我們就需要去研究一下ISE工具在生成固件的時候是怎樣的一種打包格式。經(jīng)過研究發(fā)現(xiàn)兩個很重要的信息：

1、配置文件的同步字在固件的首部；

2、CRC檢查命令一般在固件的后部，而FPGA必須在收到CRC檢查命令之后才會去檢查CRC值。

前面也提到，當(dāng)擦除的時候斷電FPGA能夠發(fā)生配置跳轉(zhuǎn)，當(dāng)燒寫的時候斷電FPGA無法進行配置跳轉(zhuǎn)，說到這里再結(jié)合上面的兩條重要的發(fā)現(xiàn)，你也許已經(jīng)為自己心中的疑問找到答案了吧？很顯然，因為固件的同步字很少，所以能夠很快被擦除也可以很快被寫入FLASH；因此，當(dāng)擦除的時候斷電了，此時固件的同步字已經(jīng)破壞，而FPGA讀不到同步字就會出現(xiàn)看門狗超時，那么此時FPGA就會跳轉(zhuǎn)到備份區(qū)讀取配置文件；當(dāng)在燒寫的時候斷電呢？因為此時同步字已經(jīng)被正確寫入，而CRC檢查命令被破壞了，F(xiàn)PGA在配置的時候會去讀CRC檢查命令，直到讀到為止，可是CRC檢查命令被破壞了怎么辦呢？沒得辦法啊，F(xiàn)PGA有一種不撞南墻不回頭，撞了南墻依然不回頭的韌勁和堅持，它會一直讀下去，所以它就陷入死循環(huán)了，哎！你說如果愛情里也有這種精神該多好啊！

經(jīng)過上面的解釋，我們會恍然大悟：原來通過CRC錯誤觸發(fā)FPGA配置跳轉(zhuǎn)不靠譜??！既然如此，我們就只能在固件的同步字上做文章了。好了，不賣關(guān)子了，其實，在固件的同步字上做文章也就對應(yīng)著升級固件的燒寫方式2：修改固件并調(diào)整固件的燒寫順序，簡單解釋如下：

1、把固件的同步字修改掉，第一步燒寫的時候不燒同步字；

2、當(dāng)固件的其余部分燒寫完畢之后再單獨把固件的同步字燒寫入原來對應(yīng)的FLASH位置處。

這樣做了之后，無論是擦除過程中斷電還是燒寫的過程中斷電，固件的同步字都會被破壞，那么肯定會觸發(fā)FPGA的配置跳轉(zhuǎn)，即FALLBACK一定會成功！