手搓FPGA远程升级：从串口到双冗余防变砖实战

FPGA升级，FPGA远程更新。 使用串口更新x1 QSPI Flash上的用例使用的是串口，理解原理后可更换为其它接口。 带校验，防止变砖和双冗余设计，无需任何ip。 Xilinx FPGA 7系列上纯逻辑FPGA实现远程更新，使用串口进行，提供上位机，Verilog源码，带flash仿真模型，testbench。 上位机源码。 说明文档。 自己已经验证的是artix-7+n25q128 注释齐全，文档细节，仿真到位。 无论是学习还是工程都值得参考。 ，

搞过FPGA的兄弟都懂，现场设备刷固件时扛着烧录器跑现场有多蛋疼。最近用Xilinx 7系FPGA折腾了个远程更新方案，不依赖任何IP核，纯Verilog实现，今天咱们扒开代码看看怎么玩的。

核心思路就是通过串口劫持QSPI控制权（图1）。上电时FPGA先检查升级标志位，没升级需求就直接启动。有升级包来了就接管Flash控制器，把新固件塞进备用区，最后切换启动分区——这过程听着简单，实际要考虑的坑可不少。

先看命令解析部分：

always @(posedge clk) begin case(state) IDLE: if(uart_rx_valid && uart_data == 8'hAA) state <= CMD_HEADER; CMD_HEADER: if(uart_rx_valid) begin cmd_type <= uart_data[7:4]; payload_len <= uart_data[3:0]; crc_acc <= uart_data; state = PAYLOAD; end //...后续状态机省略 endcase end

这个状态机专门处理上位机发来的升级指令，注意cmdtype用高四位实现指令扩展，payloadlen低四位表示数据长度。故意没做超时退出是为了避免网络抖动导致中断，但实际工程要考虑加狗。

Flash双分区操作是防变砖的关键：

// 分区切换逻辑 assign active_partition = (golden_reg == 8'hA5) ? PARTITION_B : PARTITION_A; always @(posedge reconfig) begin if(verify_ok) begin flash_write(GOLDEN_REG_ADDR, 8'hA5); // 写切换标志 soft_reset <= 1'b1; end end

golden_reg这个标志位存在Flash固定地址，升级成功后写入特定值，下次启动自动切分区。万一新固件启动失败，硬件看门狗会触发回滚——这就是双保险的精髓。

上位机协议设计有个骚操作：每512字节数据包后面跟两个CRC16校验字节。但实测发现直接用TCP自带校验更香，所以代码里留了校验开关：

parameter USE_CRC = 1; // 0:禁用校验 1:启用 generate if(USE_CRC) begin crc16 crc_inst(.clk(clk), .data_in(uart_data), .rst(state == IDLE)); end endgenerate

想换其他通信方式？直接把uartrxvalid替换成ethrxvalid之类的信号就行，协议处理逻辑不用大改。实测用SPI转WiFi模块能跑到500kbps，比原生串口快十倍。

仿真模型是另一个亮点，用$readmemh直接加载Flash初始内容：

reg [7:0] flash_mem [0:16*1024*1024-1]; initial begin if($test$plusargs("load_image")) $readmemh("fw_image.hex", flash_mem); end

配合VCS跑回归测试，能模拟各种异常场景：比如突然断电后验证标志位是否完整，故意传错误固件看校验是否拦截。

这套方案在矿机的FPGA上跑了半年多，经历过网络丢包、电压不稳这些破事，目前还没翻过车。代码里最值钱的其实是那堆异常处理状态——比如擦除超时自动重试、发现坏块自动跳过，这些坑文档里可都记着血泪史。

下次准备移植到国产FPGA平台，到时候再跟大伙聊聊怎么适配不同的Flash型号。源码和上位机工具已扔Github，需要的老铁自取，记得Star就行~