在前一篇文章 《i.MX RT1060/1010上串行NOR Flash冗余程序啟動設計》里，我詳細介紹了i.MX RT10xx上的冗余程序啟動設計，本質上這就是個雙備份程序啟動， NORFlash里存兩份一樣的image，物理地址靠前的image 0啟動失效就繼續啟動后面的image 1，多一層保障。

i.MX RT1170是區別于i.MX RT10xx的第二代架構，性能/功能更加強大，其在繼承 i.MX RT10xx冗余程序啟動的基礎上，新增了雙程序可交替啟動設計，今天我們就來聊聊這個話題：

一、初識雙程序可交替啟動

先說跟i.MX RT10xx上一樣的冗余程序啟動流程，i.MX RT1170上電先啟動物理地址靠前的image L，如果image L被破壞了，則繼續啟動image H。

什么是雙程序可交替啟動呢？簡單說就是物理地址靠前的image L并不總是上電首先啟動的image，在i.MX RT1170上新增了如下原型的image version啟動頭（在固定偏移 0x600 處），芯片上電 BootROM 會嘗試判斷兩個 image L/H 里的 version 頭版本，高版本的 image 優先被啟動。這種設計方便了 OTA 升級。

• Note: 當image L/H中均不含有效version啟動頭時（img_ver 等于 0xFFFFFFFF，或者高低16bit不符合取反關系），雙程序可交替啟動特性就不生效，此時等效于冗余程序啟動，image L 永遠被優先啟動。

二、回顧冗余程序啟動

在測試雙程序可交替啟動新特性之前，還是先過一下冗余程序啟動。按照文章《i.MX RT1060/1010上串行NOR Flash冗余程序啟動設計》第2節里一模一樣的方法，在恩智浦官方MIMXRT1170-EVK開發板上做測試，這個板子FlexSPI1上掛了兩片Flash，默認連接的16MB QuadSPI Flash，還有一片 64MB OctalFlash（需要做板子改動才能使能）。

在 i.MX RT1170 fuse 里關于冗余程序啟動的使能位定義與i.MX RT10xx上差不多，只不過 fuse 地址從 0x6E0 換到了0xC80。還是跟之前測試一樣借助MCUBootUtility工具將 FLEXSPI_NOR_SEC_IMAGE_OFFSET 燒錄為 0x10，xSPI_FLASH_IMAGE_SIZE 保持默認 0，即第二份 image 偏移地址在 Flash 0x400000（4MB）處，最大 image 長度也是4MB。

繼續用SDK_2.11.0_MIMXRT1170-EVKoardsevkmimxrt1170demo_appsled_blinkycm7iarflexspi_nor_debug例程生成兩個稍微不一樣的 image，閃燈間隔時間一個是200ms（image L - iled_blinky_cm7_delay200ms.bin），另一個是 2s（image H - iled_blinky_cm7_delay2s.bin）。在 MCUBootUtility 工具主界面下使用 All-In-One 操作將 image L 下載進 Flash（baseaddress 設為 0x30000400），使用通用編程器界面 Write 操作將 image H 也下載進 Flash（Start 設為0x400400）。

現在Flash 里有了兩份 image，當第一份 image 啟動失敗后，i.MX RT1170 BootROM 不是立刻去執行下一份 image ，還是那個取巧的方法，在一個軟復位不置位的寄存器里（SRC_GPR10）標記當前狀態，然后調用 NVIC_SystemReset() 重新進入 BootROM 執行。不過此時標記位從 GPR10[30] 換到了 GPR10[27:26]，雖然是 2bit 狀態，但設值 1/2/3 等效于設值 1，因為對于串行 NOR Flash 最多就是兩份 image。這時候如果你想掛 J-Link 改寫 SRC_GPR10 去做快速驗證恐怕無法如愿，原因請看《i.MX RT1170上用J-Link連接復位后PC總是停在0x223104》。

所以在i.MX RT1170上只能老老實實做破壞 image 完整性的動作來驗證冗余程序啟動，經實測其效果與i.MX RT10xx 是完全一致的。

三、實測雙程序可交替啟動

現在我們開始實測雙程序可交替啟動，主要的工作量就是為 image L 和 image H 添加 version 啟動頭，并且將它們分別下載進 Flash。因為我們想驗證物理地址靠后的 image H 比 image L 優先啟動（冗余程序啟動做不到這點），所以需要將 image H 的 version 頭版本設高一點。

3.1 為 image 添加version 啟動頭

還是在SDK_2.11.0_MIMXRT1170-EVKoardsevkmimxrt1170demo_appsled_blinkycm7iarflexspi_nor_debug例程基礎上，首先在工程鏈接文件 MIMXRT1176xxxxx_cm7_flexspi_nor.icf 添加如下語句，指定 .img_ver 段的位置。

define symbol m_boot_img_ver_start = 0x30000600;

place at address mem: m_boot_img_ver_start { section .img_ver };

然后在工程隨便一個源文件里添加如下常量 s_bt_img_l_ver 定義，這個 image 閃燈間隔時間是 200ms（image L -iled_blinky_cm7_delay200ms_ver0.bin），版本是 0x0000（注意編譯鏈接工程時為防止 s_bt_img_l_ver 被優化，可以在工程選項 Linker / Input /Keep symbols 里將其添加進去）。

constimg_ver_ts_bt_img_l_ver@".img_ver"={
.version=0x0000,
.inversion=~0x0000,
};

同樣的工程，再生成另一個閃燈間隔時間為 2s（image H -iled_blinky_cm7_delay2s_ver1.bin） 的 image 時使用如下常量s_bt_img_h_ver 定義，版本是 0x0001。

constimg_ver_ts_bt_img_h_ver@".img_ver"={
.version=0x0001,
.inversion=~0x0001,
};

當然如果你嫌上述方法繁瑣，也可以直接在最終 image binary 文件上做修改（注意 offset 位置一定要找對，i.MX RT1170 SDK XIP binary 文件起始數據對應 Flash 偏移是 0x400，因此文件中 0x200 處才對應 Flash 偏移 0x600）：

現在需要借助 MCUBootUtility 工具的通用編程器功能分別將兩個含 version 頭的 image L/H 下載進 Flash。這里需要注意的是此時 image L 無法再通過主界面 All-In-One 操作來下載了，因為工具 v3.4 版本及以下沒有對 version 啟動頭做識別處理，因此會丟掉 version 頭數據（這個考慮會在 v4.0 之后加入支持）。

兩個 image下載完成，一切工作就結束了，這時候你調整芯片啟動模式到 2'b10 - Flash boot，給板卡重新上電，應該可以看到 image H 正在執行。

3.3 BootROM中判斷version的邏輯

BootROM中關于 version 啟動頭是否有效以及版本高低判斷邏輯其實是有一點復雜的，這里把具體代碼分享給大家，方便大家為 image 設置有效的 version 頭以及正確使能這個雙程序可交替啟動特性。

判斷邏輯代碼主要意思是僅當 image L 的版本不是 0xFFFFFFFF 且 image H 的版本是有效的（img_ver 高低16bit符合取反關系）情況下，如果 image L 版本無效或者 image L 版本有效但比 image H 版本低，則物理地址靠后的 image H 優先啟動。除此以外其余情況，一律是物理地址靠前的 image L 優先啟動。

uint32_t image_l_base = FlexSPIx_AMBA_BASE
uint32_t image_h_base = FlexSPIx_AMBA_BASE + FLEXSPI_NOR_SEC_IMAGE_OFFSET

uint32_t get_image_index(void)
{
    uint32_t redundant_boot = ((SRC->GPR[9] & 0x0C000000) >> 26);

    static uint32_t image_index[] = { 0, 0 };
    img_ver_t image_l_version = *(img_ver_t *)(image_l_base + 0x600);
    img_ver_t image_h_version = *(img_ver_t *)(image_h_base + 0x600);
    if ((image_l_version.version != 0xFFFFu || image_l_version.inversion != 0xFFFFu) &&
        ((0xFFFFu & image_h_version.version) == (0xFFFFu ^ image_h_version.inversion)) &&
        ((0xFFFFu & image_l_version.version) != (0xFFFFu ^ image_l_version.inversion) || (image_l_version.version < image_h_version.version)))
    {
        image_index[0] = 1;
    }
    else
    {
        image_index[1] = 1;
    }

    return image_index[redundant_boot];
}

痞子衡在MIMXRT1170-EVK 開發板上對image 版本設置情況也做了比較全面的實測，測試結果如下：

四、一些關于image的注意事項

1. 雖然文中所有的測試均是針對 XIP image，但這個冗余程序/雙程序可交替啟動特性對于 Non-XIP image 也同樣適用。
2. 如果是 XIP image，其鏈接地址不一定要固定在偏移 0x2000 處，因為 IVT 的存在，其是可以鏈接在偏移 0x2000 之后的任意位置的。
3. 如果是 Non-XIP image，在 SDK 包里無法直接生成含啟動頭的 Non-XIP image binary，這時候可以先使用 MCUBootUtility 主界面的 All-In-One 操作下載一次 image，再通過通用編程器界面 Read 操作讀回來便是含啟動頭的 Non-XIP image binary。

審核編輯 ：李倩