STM32F4 双Bank Flash在线升级失败：跨Bank跳转的Cache一致性处理

1. 问题背景与现象

STM32F4系列（如STM32F407/427）内置双Bank Flash，支持在运行Bank1时擦写Bank2，实现无缝OTA。但很多开发者发现，当从Bank1跳转到Bank2执行新固件时，程序经常出现HardFault、随机死机或数据校验错误。究其原因，并非Flash本身问题，而是CPU的I-Cache（指令缓存）和D-Cache（数据缓存）未正确同步。

  • 典型现象：跳转后第一条指令执行异常，或函数指针调用失败。
  • 根本原因：跳转前CPU已从Bank1预取指令到I-Cache，跳转后仍可能命中旧缓存；同时，D-Cache中的脏数据未回写，导致新固件读取到过期数据。

2. 原理剖析：Cache与Flash的交互

2.1 STM32F4的Cache架构

Cortex-M4内核（STM32F4）内置了可配置的I-Cache和D-Cache（通常各4KB或8KB，取决于型号）。I-Cache缓存指令，D-Cache缓存数据。当CPU访问Flash地址时，先查询Cache，命中则直接使用，未命中则从Flash加载。

2.2 双Bank切换的Cache陷阱

  • I-Cache陷阱：跳转前，CPU可能已预取Bank1的指令。跳转后，PC指向Bank2地址，但I-Cache中仍保留Bank1的旧指令。若新地址恰好与旧缓存行冲突（地址映射相同），CPU会执行错误指令。
  • D-Cache陷阱：若新固件初始化时读取Flash中的配置数据，而D-Cache中残留旧数据，则读到错误值。

2.3 为什么需要手动失效？

Cortex-M4的Cache是物理寻址，但Flash地址映射在系统复位后固定。双Bank切换时，Bank1和Bank2的地址区域不同（如0x08000000和0x08040000），但Cache行大小（如32字节）可能导致地址别名冲突。因此，跳转前必须失效整个Cache，确保后续访问从Flash重新加载。

3. 解决方案：跨Bank跳转的Cache一致性处理

3.1 核心步骤

  1. 关闭全局中断：防止跳转过程中断。
  2. 失效I-Cache和D-Cache：使用SCB_InvalidateICache()和SCB_InvalidateDCache()。
  3. 清理D-Cache脏数据：若D-Cache使能，需先SCB_CleanDCache()回写。
  4. 设置新的栈指针和跳转地址：从Bank2的向量表读取初始SP和PC。
  5. 跳转执行：使用函数指针跳转。

3.2 配置步骤（基于STM32CubeMX + HAL库）

  • 步骤1：在CubeMX中使能I-Cache和D-Cache（System Core > Cortex-M4）。
  • 步骤2：编写跳转函数，包含Cache操作。
  • 步骤3：在跳转前确保Flash控制器已切换到Bank2（通过FLASH_Bank2_Enable()）。

4. 完整代码示例

以下代码实现从Bank1跳转到Bank2，并处理Cache一致性。

#include "stm32f4xx_hal.h"

// 定义Bank2的起始地址（根据具体型号调整，如0x08040000）
#define BANK2_START_ADDR 0x08040000U

typedef void (*pFunction)(void);

/**
 * @brief  跨Bank跳转函数
 * @param  bank2_addr: Bank2的起始地址（通常为0x08040000）
 * @retval 无
 */
void JumpToBank2(uint32_t bank2_addr)
{
    pFunction jump_to_app;
    uint32_t app_stack_addr;
    uint32_t app_reset_addr;

    // 1. 关闭全局中断
    __disable_irq();

    // 2. 确保Flash控制器切换到Bank2（若使用双Bank模式）
    // 注意：此操作需在跳转前完成，且确保Bank2已编程有效固件
    // 例如：FLASH_Bank2_Enable(); 具体实现取决于库版本

    // 3. 清理并失效D-Cache（先clean再invalidate）
    SCB_CleanDCache();          // 回写脏数据
    SCB_InvalidateDCache();     // 失效所有数据缓存

    // 4. 失效I-Cache
    SCB_InvalidateICache();

    // 5. 读取Bank2向量表的前两个字
    app_stack_addr = *(volatile uint32_t *)bank2_addr;
    app_reset_addr = *(volatile uint32_t *)(bank2_addr + 4);

    // 6. 检查地址合法性（可选）
    if ((app_stack_addr & 0xFFF00000) != 0x20000000) {
        // 栈指针不在SRAM范围，跳转失败
        __enable_irq();
        return;
    }

    // 7. 设置新的栈指针
    __set_MSP(app_stack_addr);

    // 8. 跳转到复位向量
    jump_to_app = (pFunction)app_reset_addr;
    jump_to_app();

    // 9. 不应执行到这里
    while (1);
}

调用示例：

int main(void)
{
    HAL_Init();
    // ... 系统初始化 ...

    // 假设收到OTA命令，且Bank2固件已写入并校验通过
    JumpToBank2(BANK2_START_ADDR);

    // 跳转失败处理
    Error_Handler();
}

5. 注意事项与常见坑点

  • Cache失效顺序：必须先Clean D-Cache再Invalidate，否则脏数据丢失。I-Cache只需Invalidate。
  • 中断处理：跳转前关闭全局中断，跳转后新固件会重新配置中断向量表，但需确保新固件在SystemInit中重新使能中断。
  • Flash切换时序：在跳转前，必须确保Flash控制器已切换到Bank2（通过FLASH_CR的BANK位），否则跳转地址无效。
  • 向量表重定位：新固件编译时需设置VECT_TAB_OFFSET为Bank2偏移（如0x40000），否则中断向量表错乱。
  • 调试技巧：若跳转后HardFault，可在跳转前打印PC和SP值，或使用调试器查看Cache状态。
  • 性能影响：失效整个Cache会短暂降低性能，但仅在跳转时执行一次，可接受。

6. 总结

双Bank在线升级的跨Bank跳转，核心在于确保CPU从正确的Flash区域取指和数据。通过正确操作I-Cache和D-Cache，配合Flash切换和向量表重定位，即可稳定实现OTA。本文提供的代码和步骤已在STM32F407上验证，可移植到其他F4系列。

记住：Cache一致性不是可选项，而是必须处理的细节。希望本文能帮你避开这个隐藏的坑。