FPGA远程固件升级方案：低成本以太网实现

1. 项目背景与核心价值

最近在嵌入式系统开发中遇到一个实际需求：如何在不增加额外硬件成本的前提下，实现FPGA系统的远程固件升级？传统的方案要么需要外挂大容量存储器缓存升级包，要么得设计复杂的硬件电路来切换启动模式。这不仅增加了BOM成本，还给产品维护带来诸多不便。

这个FPGA以太网升级程序的核心创新点在于：仅利用FPGA内置的QSPI Flash和以太网接口，就实现了完整的远程升级功能。实测在Xilinx Artix-7平台上，通过优化升级算法和存储管理，成功将升级包直接写入运行中的QSPI Flash，全程无需外挂RAM缓存，也不需要额外的硬件切换电路。这种方案特别适合对成本敏感且需要远程维护的工业设备。

关键突破：通过分块校验写入技术，实现了在有限资源下的可靠升级，避免了传统方案中"升级失败变砖"的风险。

2. 硬件架构与工作原理

2.1 最小系统组成

整个系统仅需三个基本组件：

• FPGA芯片（需内置以太网MAC）
• QSPI Flash（用于存储配置文件和应用程序）
• PHY芯片（如DP83848）实现物理层连接

code复制+-------------------+     +-------+     +-----------+
|   FPGA with       |     |       |     |           |
|  Ethernet MAC     |<--->| PHY   |<--->| Ethernet  |
+--------+----------+     +-------+     +-----------+
         |
         | QSPI
         v
+-------------------+
|   QSPI Flash      |
| (存储配置和程序)   |
+-------------------+

2.2 升级流程设计

1. 网络通信层：FPGA通过LWIP协议栈实现TCP/UDP通信，监听特定端口（如8080）的升级请求
2. 数据接收层：采用滑动窗口协议处理数据包，每个数据包包含：
   • 2字节包序号
   • 2字节校验和
   • 256字节有效载荷
3. Flash操作层：
   • 接收时实时校验并写入QSPI Flash暂存区
   • 全部接收完成后进行整体校验
   • 校验通过后切换启动分区

2.3 关键技术创新点

• 双Bank切换机制：将QSPI Flash划分为BankA（运行区）和BankB（升级区），通过修改FPGA的配置头实现无缝切换
• 增量升级算法：仅传输差异数据块，通过哈希值比对确定需要更新的扇区
• 断电保护设计：
  • 每个数据块写入后立即更新元数据
  • 升级过程中断电后，重启能自动回滚到旧版本

3. 软件实现细节

3.1 FPGA逻辑设计

使用Verilog实现的核心模块包括：

verilog复制module upgrade_controller (
  input clk,
  input rst_n,
  // Ethernet interface
  input [7:0] rx_data,
  input rx_valid,
  // QSPI interface
  output reg spi_cs,
  output reg spi_clk,
  inout [3:0] spi_data
);

  // 状态机定义
  localparam IDLE = 3'd0;
  localparam RECV_HEADER = 3'd1;
  localparam WRITE_FLASH = 3'd2;
  localparam VERIFY = 3'd3;
  
  reg [2:0] state;
  reg [15:0] packet_counter;
  
  always @(posedge clk or negedge rst_n) begin
    if(!rst_n) begin
      state <= IDLE;
      spi_cs <= 1'b1;
    end
    else case(state)
      IDLE: if(rx_valid) state <= RECV_HEADER;
      RECV_HEADER: begin
        // 解析包头逻辑...
        state <= WRITE_FLASH;
      end
      WRITE_FLASH: begin
        // Flash写入逻辑...
        if(packet_done) state <= VERIFY;
      end
      VERIFY: begin
        // 校验逻辑...
        if(verify_ok) state <= IDLE;
      end
    endcase
  end
endmodule

3.2 上位机升级工具

使用Python实现的升级工具关键功能：

python复制def send_firmware(ip, port, firmware):
    chunk_size = 256
    sequence = 0
    with socket.socket() as s:
        s.connect((ip, port))
        for i in range(0, len(firmware), chunk_size):
            chunk = firmware[i:i+chunk_size]
            checksum = calc_crc16(chunk)
            packet = struct.pack('>HH', sequence, checksum) + chunk
            s.send(packet)
            ack = s.recv(2)
            if struct.unpack('>H', ack)[0] != sequence:
                raise Exception("传输错误")
            sequence += 1

4. 实际应用中的优化技巧

4.1 性能优化方案

1. QSPI写入加速：

   • 将Flash设置为Quad I/O模式（时钟可达80MHz）
   • 使用DMA传输减少CPU干预
   • 批量擦除时采用64KB块擦除代替4KB扇区擦除

2. 网络传输优化：

   • 启用TCP_NODELAY禁用Nagle算法
   • 动态调整窗口大小（初始4KB，最大16KB）
   • 采用二进制差分压缩（bsdiff算法）减少传输量

4.2 可靠性保障措施

• 三重校验机制：

  1. 包头CRC16校验
  2. 数据块SHA-1校验
  3. 整体镜像MD5校验

• 超时重传策略：

  • 数据包超时：300ms
  • ACK等待超时：1s
  • 最大重试次数：3次

• 异常处理流程：

  mermaid复制graph TD
    A[开始升级] --> B{接收数据}
    B -->|成功| C[写入Flash]
    B -->|失败| D[重传]
    C --> E{全部完成?}
    E -->|是| F[校验镜像]
    E -->|否| B
    F -->|通过| G[切换Bank]
    F -->|失败| H[报告错误]
  

5. 实测数据与对比分析

在XC7A35T-1FTG256C平台上的性能表现：

6. 常见问题解决方案

Q1 升级过程中断电怎么办？

• 解决方案：Flash中始终保留完整的元数据区，记录：

  • 当前活动Bank（1字节）
  • 升级状态标志（1字节）
  • 最后写入的块号（2字节）

  重启后读取这些信息即可判断是否需要继续或回滚。

Q2 如何保证不同版本兼容性？

• 在固件头中添加版本控制信息：

  c复制struct firmware_header {
      uint32_t magic;    // 0x55AA5A5A
      uint16_t hw_ver;   // 硬件兼容版本
      uint32_t fw_ver;   // 固件版本号
      uint32_t crc;      // 头部校验
  };
  

  上位机在发送前先验证硬件版本匹配度。

Q3 大容量Flash写入慢怎么优化？

1. 提前擦除整个升级Bank
2. 采用交错写入（页编程和接收数据并行）
3. 对QSPI控制器超频（需测试稳定性）

7. 扩展应用场景

这种方案经过适当适配后，还可以应用于：

1. 多节点批量升级：通过组播协议同时更新多个设备
2. 安全增强型：增加RSA签名验证（需FPGA支持PUF）
3. 混合编程模式：结合JTAG实现工厂烧录和现场升级的统一接口

在实际工业现场部署时，建议增加以下增强功能：

• 升级进度可视化（通过LED或网络回传）
• 断点续传功能（记录已传输块号）
• 带宽限制功能（避免影响正常业务）

这个方案我们已经成功应用于智能电表集中器、工业网关等产品，累计升级次数超过50万次，可靠性得到充分验证。对于需要远程维护的嵌入式设备，这种零成本升级方案确实能大幅降低维护成本。