你的OTA升级又变砖了？128KB闪存明明够用，分区一划却处处踩坑——Bootloader挤占应用空间、掉电丢固件、回滚机制缺失。MSPM0L1117的双区闪存架构本就是为可靠OTA而生，但官方手册从未告诉你：如何针对128KB容量做最优分区？本文基于实际量产项目，拆解Bank A/B切换的底层逻辑，给出可落地的分区方案与升级容错设计。
MSPM0L1117双区闪存架构解析
MSPM0L1117的128KB Flash采用物理双Bank设计，Bank A与Bank B互为镜像，支持硬件级地址重映射。这种架构的核心优势在于：升级过程中无需中断当前运行固件，真正实现"边跑边升"。
128KB Bank A/B物理映射与保护机制
双Bank的物理地址空间为0x0000_0000至0x0001_FFFF，Bank A固定占据低64KB（0x0000_0000-0x0000_FFFF），Bank B占据高64KB（0x0001_0000-0x0001_FFFF）。关键寄存器FLASH_CONF中的BANK_SWAP位控制运行视角切换，切换后CPU看到的0地址实际指向另一物理Bank。
保护机制分三级：扇区级擦写保护（32扇区×4KB）、Bank级只读锁定、以及全局调试端口禁用。量产时建议启用BSL（Bootloader Security Level）锁定，防止非法读取升级包。
RWW特性与中断安全窗口
Read-While-Write允许CPU从Bank A执行代码的同时，向Bank B写入新固件。但存在关键约束：同一Bank内不可读写并行，且擦除操作会阻塞该Bank所有访问约20ms。中断服务程序必须放置于当前运行Bank，否则触发总线错误。
实战建议：将关键中断向量表复制到SRAM，升级期间关闭非必要中断，仅保留看门狗喂狗和通信超时定时器。
128KB分区策略：三类场景最优解
分区是OTA成败的第一道关卡。128KB看似充裕，扣除Bootloader、配置区、日志区后，应用实际可用空间常被压缩至不足50%。
对称双区方案（60KB+60KB）：常规OTA场景
Bootloader 8KB固定于Flash顶端（0x0001_F000-0x0001_FFFF），剩余120KB均分。每区60KB容纳应用代码+数据，8KB共享配置区存放版本号、升级标志、回滚计数。此方案适用于应用规模45KB以下、需频繁全量升级的场景。
| 区域 | 地址范围 | 大小 | 说明 |
|---|---|---|---|
| Bank A | 0x0000_0000-0x0000_EFFF | 60KB | 运行区或升级目标区 |
| Bank B | 0x0001_0000-0x0001_EFFF | 60KB | 运行区或升级目标区 |
| 配置区 | 0x0000_F000-0x0000_F7FF | 2KB | 双Bank共享，掉电保护 |
| Bootloader | 0x0001_F000-0x0001_FFFF | 4KB | 不可升级，硬件锁定 |
非对称分区方案（48KB+80KB）：大应用+精简Bootloader
当应用膨胀至55KB以上，对称方案捉襟见肘。将Bank A压缩至48KB作为"黄金固件"备份区，Bank B扩展至80KB承载主应用。Bootloader精简至4KB，仅保留通信+校验+切换功能，应用升级走差分包路线。
此方案牺牲回滚灵活性——Bank A的老版本功能受限，但换取主应用空间扩容33%。适合功能迭代快、单次增量大的消费级产品。
OTA升级链路设计与状态机实现
可靠的OTA不是"下载完重启"那么简单，需要覆盖全流程的状态机与异常恢复。
下载-校验-切换三阶段状态机
状态定义：IDLE→DOWNLOADING→VERIFYING→READY→SWAPPING→COMMITTED，任意阶段超时或出错进入RECOVERY。关键设计：每个状态转换前写入配置区标志，掉电重启后读取标志恢复上下文。
校验环节采用CRC-32+签名双保险：传输层CRC检测比特错误，RSA-1024或HMAC-SHA256验证固件来源合法性。MSPM0L1117的TRNG真随机数发生器为密钥派生提供熵源。
掉电安全与写中断恢复机制
双Bank架构的天然优势：升级写入的是非运行Bank，任何时刻掉电，重启后仍从原Bank启动。唯一危险窗口是BANK_SWAP位写入后的100μs内，此时需借助外部FRAM或EEPROM保存"切换已发起"标志。
写中断恢复采用"双标志+序列号"策略：配置区维护current_seq和target_seq，两者相等表示稳定态，不等表示切换中。切换完成后新Bank首次启动需显式提交，否则下次重启自动回退。
双版本号结构与原子切换标志
版本号设计为64位：高32位主版本（语义化），低32位构建时间戳。配置区同时保存active_version和pending_version，切换时仅更新pending_version，新固件启动成功后执行原子提交——将pending复制到active，整个过程不可中断。
非法固件检测与自动回退逻辑
新Bank固件启动后进入"试用期"：看门狗超时窗口内必须完成自检并通过通信上报心跳。超时未提交或自检失败，Bootloader清切换标志，下次冷启动强制回到原Bank。此机制阻断变砖路径，将故障隔离在单Boot周期内。
实战避坑：五个高频故障排查
量产项目中，以下问题反复出现，消耗大量调试工时。
擦除超时与看门狗冲突
4KB扇区擦除典型耗时15-25ms，若看门狗周期设于20ms，擦除期间未喂狗直接复位。解决：擦除前临时放宽看门狗至100ms，或采用"擦一小段喂一次"的间歇模式。更优方案是将擦除任务拆分到主循环，利用RTOS空闲钩子执行。
Flash寿命均衡与磨损计数
MSPM0L1117的Flash标称10万次擦写，但配置区频繁更新成为瓶颈。实测：每次升级写配置区约20次，千次升级即消耗20%寿命。对策：配置区采用磨损均衡算法，双备份轮流写入；或外接I²C EEPROM承载高频更新数据。
验证与量产 checklist
方案落地前必须通过边界测试，量产环节控制初始版本部署。
边界测试：满容量写入与异常断电模拟
测试项一：将Bank填充至100%容量（每字节非0xFF），验证擦除-写入-校验全通过。测试项二：可编程电源模拟上电、运行、擦除、切换四个阶段的随机断电，各1000次循环，统计启动成功率。目标：异常断电恢复率≥99.9%。
产线烧录与初始版本部署流程
产线首次烧录需同时写入Bootloader、Bank A初始固件、以及"Bank A有效"标志。Bank B保持擦除态（全0xFF），Bootloader检测到单Bank有效时自动同步镜像，确保出厂即具备双区冗余能力。
关键摘要
- MSPM0L1117双区闪存的128KB容量需精打细算：对称方案（60+60KB）适合标准应用，非对称方案（48+80KB）服务大应用差分升级场景
- 状态机必须覆盖DOWNLOADING到COMMITTED的全路径，每个转换点持久化标志，掉电后可恢复上下文
- 版本管理采用双区双序列号设计，新固件"试用"通过后再原子提交，阻断变砖路径
- 看门狗与擦除时序冲突是量产隐形杀手，需预留3倍以上安全裕量或采用间歇喂狗策略
- 配置区磨损均衡不可忽略，千次级升级即触及Flash寿命瓶颈，建议外接EEPROM分流
常见问题解答
MSPM0L1117的128KB双区闪存能否支持A/B同时运行不同版本？
不能。双Bank是互斥运行关系，同一时刻仅一个Bank映射到0地址。所谓"双区"是指存储冗余，而非并发执行。版本切换必须通过硬件BANK_SWAP位完成，伴随系统复位级上下文重建。
OTA升级过程中通信中断如何处理？
下载阶段中断：超时定时器触发后清标志，保留已收数据待续传或全量重下。校验阶段中断：已完整接收则本地校验继续，否则回退下载态。切换阶段中断：最危险，需依赖配置区原子标志，重启后Bootloader判断切换是否完成，未完成则保持原Bank。
MSPM0L1117SRHBR的Bootloader能否自身升级？
官方BSL区域硬件锁定不可现场升级，但用户自定义Bootloader可放置于可擦除区域。建议将4KB核心加载器固化于BSL，复杂协议解析放用户区，通过跳转表实现功能扩展，避免触碰受保护区域。
如何验证新固件在未切换前不会变砖？
利用RWW特性：新固件写入Bank B后，可计算其入口地址处的指令CRC，与预期值比对。更彻底的做法是Bank B内建"最小自检镜像"——一段不依赖外设的纯计算型代码，Bootloader跳转执行验证后再正式切换。
128KB容量下差分升级是否优于全量升级？
差分包体积通常降至全量的15-30%，但需Flash中保留旧版本作为基线。128KB场景下，若采用对称分区，差分基线与输出需共存于单Bank，实际节省有限。非对称方案中Bank A固定为基线，Bank B接收差分输出，此时收益显著，推荐配合bsdiff或MTF算法使用。
