wangfq/vd_960
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 4 Wiki Activity

docs(vd_960): MQTT OTA 协议设计稿按修改意见修订 → V1.01

Browse Source 
- Slot A/B 容量 60KB→100KB (镜像上限 96KB, 为 DBN CH32V208 镜像预留)
- 删除继电器 GPIO 默认态待验证项, 维持 Loop 现状 (与 BLE OTA 行为一致, 不额外干预)
- 新增会话期间静默: 暂停 MQTT event_report 发送 (队列积压结束补发) + offlog/快照落盘 (开始/结果日志除外)
- 刷写调度明确非阻塞 tick 驱动, 刷写窗口内 MQTT 保活 (PINGREQ/心跳/IWDG 喂狗) 不受影响
- 待板上验证项重新编号 (删 1 项, 保活项升级为实现约束+验证)
This commit is contained in:
wangfq
2026-08-20 11:37:38 +08:00
parent b20fc57954
commit 9d6f5ea412
1 changed files with 26 additions and 19 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/DLD960_MQTT_OTA协议.md
+26 -19
View File
@@ -1,6 +1,6 @@
# DLD960 MQTT 远程 OTA 协议（Loop MCU 先存后刷） # DLD960 MQTT 远程 OTA 协议（Loop MCU 先存后刷）
> 文档版本 V1.00（设计稿）· 2026-08-20 · 适用范围：并入《DLD960 IoT 接口协议（MQTT + JSON）》V1.08 后生效 > 文档版本 V1.01（设计稿·按修改意见修订）· 2026-08-20 · 适用范围：并入《DLD960 IoT 接口协议（MQTT + JSON）》V1.08 后生效
> 依据：`docs/ROADMAP.md` P1.4 ① —— Loop MCU (AT32F421) 远程 OTA，v1.2.x 落地 > 依据：`docs/ROADMAP.md` P1.4 ① —— Loop MCU (AT32F421) 远程 OTA，v1.2.x 落地
> 设计原则：**下载阶段纯 MQTT 分片 → W25Qxx 暂存；刷写阶段纯本地 ISP 透传（复用 BLE OTA 0x9F 状态机）**；传输层无关，4G 通道原样复用。 > 设计原则：**下载阶段纯 MQTT 分片 → W25Qxx 暂存；刷写阶段纯本地 ISP 透传（复用 BLE OTA 0x9F 状态机）**；传输层无关，4G 通道原样复用。
@@ -25,7 +25,7 @@
| 刷写窗口 | 与传输时间重合（网络慢则窗口长） | 下载完成后刷写纯本地，窗口短且可控 | | 刷写窗口 | 与传输时间重合（网络慢则窗口长） | 下载完成后刷写纯本地，窗口短且可控 |
| 校验 | 依赖传输层（BLE 无 CRC） | 单片 CRC32 + 全镜像 CRC32 双重校验 | | 校验 | 依赖传输层（BLE 无 CRC） | 单片 CRC32 + 全镜像 CRC32 双重校验 |
| 回滚 | 无 | 暂存区 Slot A/B 双槽，保留上一版重刷 | | 回滚 | 无 | 暂存区 Slot A/B 双槽，保留上一版重刷 |
| 安全窗口 | 无检查 | 刷写前检查无车压线圈、继电器强制断开 | | 安全窗口 | 无检查 | 刷写前检查无车压线圈；继电器维持 Loop 现状（与 BLE OTA 一致） |
## 1.3 范围 ## 1.3 范围
@@ -62,7 +62,7 @@
| 下载单片原始字节 | **256B** | 2 的幂 + W25Qxx 页(256B)对齐；hex 512 字符 + JSON 外壳 ≈ 640B < `IOT_MQTT_RECV_BUF_LEN=1024` | | 下载单片原始字节 | **256B** | 2 的幂 + W25Qxx 页(256B)对齐；hex 512 字符 + JSON 外壳 ≈ 640B < `IOT_MQTT_RECV_BUF_LEN=1024` |
| 单片 CRC | **CRC32**（256B 独立计算） | 与全镜像同算法，查表实现复用 | | 单片 CRC | **CRC32**（256B 独立计算） | 与全镜像同算法，查表实现复用 |
| 全镜像 CRC | **CRC32**（offset 0 ~ size-1 连续） | 标准 CRC-32/ISO-HDLC | | 全镜像 CRC | **CRC32**（offset 0 ~ size-1 连续） | 标准 CRC-32/ISO-HDLC |
| 镜像上限 | **60KB** | Loop APP 区 0x08003400~0x08010000 = 51KB 硬上限；暂存 Slot 数据区 60KB 留余量 | | 镜像上限 | **96KB** | Slot 数据区 100KB 预留 4KB 边界余量；Loop APP 区 0x08003400~0x08010000 = 51KB 硬上限绰绰有余，100KB 槽为 DBN (CH32V208) 自身镜像（~100KB APP 区）预留 |
| 下载片序号语义 | offset 绝对字节偏移（256 对齐） | 支持乱序/重复片幂等处理 | | 下载片序号语义 | offset 绝对字节偏移（256 对齐） | 支持乱序/重复片幂等处理 |
| 断点续传 | ota_begin 返回已接收字节数（片对齐） | 设备持久化 received 到元数据 | | 断点续传 | ota_begin 返回已接收字节数（片对齐） | 设备持久化 received 到元数据 |
@@ -72,8 +72,9 @@
|------|-----|------| |------|-----|------|
| A7 数据块 | **≤254B**（实现取 248B） | bootloader `LEN` 为 uint8 → DATA = LEN-1 ≤ 254（iap.c `CMD_9F_DATA_LEN`） | | A7 数据块 | **≤254B**（实现取 248B） | bootloader `LEN` 为 uint8 → DATA = LEN-1 ≤ 254（iap.c `CMD_9F_DATA_LEN`） |
| 块间超时 | 1s（可配） | 0x9F 停等协议，超时重发该块 | | 块间超时 | 1s（可配） | 0x9F 停等协议，超时重发该块 |
| 刷写调度 | **非阻塞 tick 驱动** | 刷写状态机挂主循环轮询，每轮最多发送 1~2 块并检查 ACK，绝不阻塞主循环 → 刷写窗口内 MQTT PINGREQ/心跳/IWDG 喂狗节奏完全不受影响 |
| 刷写重试 | 每块失败重发 ×3，整体失败重试 ×3 | ROADMAP 安全底线 | | 刷写重试 | 每块失败重发 ×3，整体失败重试 ×3 | ROADMAP 安全底线 |
| 刷写速率 | 248B/帧 ≈ 13ms + ACK，~20ms/帧 | 64KB ≈ 265 帧 ≈ **6~8s 窗口** | | 刷写速率 | 248B/帧 ≈ 13ms + ACK，~20ms/帧 | 64KB ≈ 265 帧 ≈ **6~8s 窗口**（Loop 典型 40~50KB 更快） |
| 升级触发 | DBN 发 `9F 01 00 01 A5 A7` → Loop APP 写 `IAP_UPGRADE_FLAG_9F=0x444C4439` → 复位 | 复用 BLE OTA 启动帧（dbn_ble_srv.c check_pkg 同款） | | 升级触发 | DBN 发 `9F 01 00 01 A5 A7` → Loop APP 写 `IAP_UPGRADE_FLAG_9F=0x444C4439` → 复位 | 复用 BLE OTA 启动帧（dbn_ble_srv.c check_pkg 同款） |
## 3.3 CRC32 算法定义（必须双方一致） ## 3.3 CRC32 算法定义（必须双方一致）
@@ -90,15 +91,19 @@
``` ```
0x010000 ┌─────────────────────────┐ 0x010000 ┌─────────────────────────┐
│ OTA 元数据扇区 (4KB) │ SlotA/SlotB 头 + 会话状态 + 审计 │ OTA 元数据扇区 (4KB) │ SlotA/SlotB 头 + 会话状态 + 审计
0x010400 ├─────────────────────────┤ 0x011000 ├─────────────────────────┤
│ Slot A 数据区 (60KB) │ 当前新镜像（bin 原始字节） │ Slot A 数据区 (100KB) │ 当前新镜像（bin 原始字节）
0x020400 ├─────────────────────────┤ 0x02A000 ├─────────────────────────┤
│ Slot B 数据区 (60KB) │ 上一版镜像（回滚重刷） │ Slot B 数据区 (100KB) │ 上一版镜像（回滚重刷）
0x030400 ├─────────────────────────┤ 0x043000 ├─────────────────────────┤
│ 预留 384KB │ DBN 自身镜像 / 4G 扩展 │ 预留 308KB │ DBN 自身镜像 / 4G 扩展
0x090000 └─────────────────────────┘ 0x090000 └─────────────────────────┘
``` ```
- Slot A/B 各 **100KB 数据区**（`0x011000`/`0x02A000` 起，4KB 对齐），镜像上限 96KB（预留 4KB 边界余量）
- 100KB 槽位容量同时覆盖 DBN (CH32V208) 自身镜像（APP 区约 100KB），为 P1.4 ② 预留
- 4KB 边界余量：防止镜像写满后越界擦到下一槽；元数据/数据区起始均 4KB 扇区对齐
元数据结构（建议，实现可调，不进入协议字段）： 元数据结构（建议，实现可调，不进入协议字段）：
```c ```c
@@ -165,7 +170,7 @@ typedef struct { /* 64B */
| data 字段 | 类型 | 说明 | | data 字段 | 类型 | 说明 |
|-----------|------|------| |-----------|------|------|
| `target` | string | `loop`（当前支持）；`dbn` 预留 | | `target` | string | `loop`（当前支持）；`dbn` 预留 |
| `size` | uint32 | 镜像 bin 字节数（≤ 61440） | | `size` | uint32 | 镜像 bin 字节数（≤ 98304 = 96KB） |
| `crc32` | uint32 | 全镜像 CRC32（十进制） | | `crc32` | uint32 | 全镜像 CRC32（十进制） |
| `version` | string | 目标固件版本（写入元数据，审计用；bootloader 不校验版本） | | `version` | string | 目标固件版本（写入元数据，审计用；bootloader 不校验版本） |
| `force` | bool | `true` = 覆盖现有暂存镜像 / 忽略冲突（默认 false） | | `force` | bool | `true` = 覆盖现有暂存镜像 / 忽略冲突（默认 false） |
@@ -309,7 +314,8 @@ typedef struct { /* 64B */
2. 元数据非 ready → `code=3`（先 `ota_end` 完成校验） 2. 元数据非 ready → `code=3`（先 `ota_end` 完成校验）
3. 通过 → 立即回 `code=0`（异步），进入刷写： 3. 通过 → 立即回 `code=0`（异步），进入刷写：
- 写 offlog 事件日志：`固件升级开始`（target/slot/version/size） - 写 offlog 事件日志：`固件升级开始`（target/slot/version/size）
- 下发 0x7F 命令尝试关闭 Loop 全部继电器（失败不阻塞——bootloader 复位后 GPIO 默认态=断开安全侧，**待板上验证**） - **暂停事件上报与脱机日志（会话期间）**：MQTT `event_report` 暂停发送（入队积压，16 深溢出丢最旧，会话结束恢复后补发）；offlog/快照落盘暂停——理由：刷写期间 Loop 复位不产生检测事件，DBN 让出 SPI 总线/主循环给刷写状态机，保证保活与喂狗
- 维持 Loop 现状：复位进 bootloader 后的 GPIO/继电器状态与现网 BLE OTA 升级完全一致（该通道已验证可用），不额外干预
- 发 `9F 01 00 01 A5 A7` 启动帧 → Loop APP 写 flag 复位 → bootloader 回 pre_ok - 发 `9F 01 00 01 A5 A7` 启动帧 → Loop APP 写 flag 复位 → bootloader 回 pre_ok
- 发 A6 地址帧（`0x08003400` 4 字节大端）→ addr_ok - 发 A6 地址帧（`0x08003400` 4 字节大端）→ addr_ok
- 从 W25Qxx 读镜像，按 248B/块发 A7（停等 ACK，1s 超时重发 ×3） - 从 W25Qxx 读镜像，按 248B/块发 A7（停等 ACK，1s 超时重发 ×3）
@@ -425,13 +431,14 @@ typedef struct { /* 64B */
| # | 措施 | 说明 | | # | 措施 | 说明 |
|---|------|------| |---|------|------|
| 1 | **升级窗口检查** | `ota_flash` 前检查 4 通道无车；有车 → `code=3`，平台提示延迟。`force=true` 可跳过（高风险，需平台权限控制） | | 1 | **升级窗口检查** | `ota_flash` 前检查 4 通道无车；有车 → `code=3`，平台提示延迟。`force=true` 可跳过（高风险，需平台权限控制） |
| 2 | **继电器安全侧** | 刷写前尝试 0x7F 关闭全部继电器；bootloader 复位后 GPIO 默认态应为断开（常开安全侧）——**待板上验证** | | 2 | **维持 Loop 现状** | 刷写期间 Loop 行为与现网 BLE OTA 升级一致（复位进 bootloader → ISP 刷写 → 复位跑新 APP），继电器 GPIO 状态按当前硬件实测状态接受，不额外干预（BLE 通道已验证可用） |
| 3 | **双重 CRC** | 单片 CRC32（传输层抓错）+ 全镜像 CRC32（落盘完整性）；刷写前读回复核 | | 3 | **双重 CRC** | 单片 CRC32（传输层抓错）+ 全镜像 CRC32（落盘完整性）；刷写前读回复核 |
| 4 | **失败可重入** | 下载失败 → 断点续传；刷写失败 → 重试 ×3 → 保留镜像可重刷；AT32 ISP bootloader 兜底，不会真砖 | | 4 | **失败可重入** | 下载失败 → 断点续传；刷写失败 → 重试 ×3 → 保留镜像可重刷；AT32 ISP bootloader 兜底，不会真砖 |
| 5 | **版本回滚** | Slot A/B 双槽；平台可 `ota_begin` 指定槽刷旧版（`force=true` 覆盖） | | 5 | **版本回滚** | Slot A/B 双槽；平台可 `ota_begin` 指定槽刷旧版（`force=true` 覆盖） |
| 6 | **审计留痕** | 升级开始/结果写 offlog 事件日志（含目标版本、slot、结果码）；平台侧 version 字段归档 | | 6 | **审计留痕** | 升级开始/结果写 offlog 事件日志（含目标版本、slot、结果码）；平台侧 version 字段归档 |
| 7 | **能力探测** | 老固件 `ota_*` 回 `code=4`；平台按 `ota_status`/`dev_info_query.soft_ver` 判断，不盲目下发 | | 7 | **能力探测** | 老固件 `ota_*` 回 `code=4`；平台按 `ota_status`/`dev_info_query.soft_ver` 判断，不盲目下发 |
| 8 | **幂等与防呆** | 重复片幂等 ACK；offset 乱序拒绝并要求续传；同版本默认拒绝重刷（force 绕过） | | 8 | **幂等与防呆** | 重复片幂等 ACK；offset 乱序拒绝并要求续传；同版本默认拒绝重刷（force 绕过） |
| 9 | **会话期间静默** | OTA 会话期间（begin ~ 结束）暂停 MQTT `event_report` 发送（队列积压，结束后补发）与 offlog/快照落盘（"升级开始"日志在暂停前写入、"升级结果"在恢复后补记）；避免刷写窗口与上报/日志抢 SPI 总线与主循环 |
--- ---
@@ -466,12 +473,11 @@ typedef struct { /* 64B */
| # | 项 | 影响 | | # | 项 | 影响 |
|---|-----|------| |---|-----|------|
| 1 | Loop 复位后继电器 GPIO 默认态是否断开（安全侧） | 安全底线 2 | | 1 | DBN UART2 TX 缓冲容量（能否容纳 254B A7 帧；现 BLE 透传块 ≤94B） | 刷写块大小 |
| 2 | DBN UART2 TX 缓冲容量（能否容纳 254B A7 帧；现 BLE 透传块 ≤94B） | 刷写块大小 | | 2 | W25Qxx 写 256B 页 + 4KB 扇区擦除在 MQTT 接收回调内的耗时（阻塞窗口 vs MQTT 保活） | 单片落盘是否需移主循环 |
| 3 | W25Qxx 写 256B 页 + 4KB 扇区擦除在 MQTT 接收回调内的耗时（阻塞窗口 vs MQTT 保活） | 单片落盘是否需移主循环 | | 3 | DBN RAM 预算：镜像块缓冲（248B）+ CRC 查表（1KB）是否挤占现有栈余量（历史 .bss 事故） | 内存方案 |
| 4 | DBN RAM 预算：镜像块缓冲（248B）+ CRC 查表（1KB）是否挤占现有栈余量（历史 .bss 事故） | 内存方案 | | 4 | Loop APP 当前固件实际 bin 大小（验证 100KB 槽余量） | 槽位容量 |
| 5 | Loop APP 当前固件实际 bin 大小（验证 60KB 槽余量） | 槽位容量 | | 5 | 刷写期间 MQTT 保活验证（设计已保证非阻塞 tick 驱动，PINGREQ/心跳/IWDG 喂狗不受阻塞；板级抓包确认 6~8s 窗口内无 PINGREQ 超时断连、IWDG 不复位） | 刷写中断安全 |
| 6 | 刷写期间 MQTT 保活（6~8s 窗口内 PINGREQ/心跳是否正常，IWDG 喂狗节奏） | 刷写中断安全 |
--- ---
@@ -498,3 +504,4 @@ typedef struct { /* 64B */
| 版本 | 时间 | 说明 | | 版本 | 时间 | 说明 |
|------|------|------| |------|------|------|
| V1.00 | 2026-08-20 | 设计稿：Loop MCU MQTT 远程 OTA 先存后刷协议（依据 ROADMAP P1.4 ①） | | V1.00 | 2026-08-20 | 设计稿：Loop MCU MQTT 远程 OTA 先存后刷协议（依据 ROADMAP P1.4 ①） |
| V1.01 | 2026-08-20 | 按修改意见修订：①Slot A/B 容量 60KB→**100KB**（镜像上限 96KB，为 DBN 镜像预留）②删除"继电器 GPIO 默认态"待验证项，维持 Loop 现状（与 BLE OTA 行为一致，不额外干预）③新增"OTA 会话期间静默"约束：暂停 MQTT `event_report` 发送（队列积压结束后补发）+ offlog/快照落盘（开始/结果日志除外）④刷写调度明确**非阻塞 tick 驱动**，刷写窗口内 MQTT 保活（PINGREQ/心跳/IWDG 喂狗）不受影响 |