1. 为什么一块Flash搞不定的场景要拆成三种存储器做工业控制器最容易被低估的就是“数据怎么存”这件事。很多工程师早期做项目习惯把参数、日志、升级包全部塞进一颗大容量Flash结果产品跑一段时间就出各种怪问题参数莫名其妙丢、日志写坏文件系统、升级到一半断电变砖。后来转到STM32FPGA架构才慢慢把存储拆成EEPROM、NOR Flash、SD卡三个层级各自承担不同职责这套分级方案在产线上跑了好几年稳定性明显上来了。工业控制器里的数据表面看都是“数据”其实性质差别很大。一类是配置参数比如PID系数、IP地址、校准值、设备序列号特点是单条数据很小几十到几百字节但更新频率不高掉电必须保留而且不能因为一次写入错误就让整台设备报废。另一类是运行日志和趋势记录比如报警记录、温度曲线、电流采样特点是数据量大、持续追加、掉电丢几秒可以容忍但不能无限增长把存储写满。还有一类是固件程序本身包括ARM端的应用程序和FPGA端的配置bitstream更新频率极低但要求更新过程异常可靠断电不能变砖。这三种数据特性完全不同用一种介质去硬扛必然要牺牲点什么。大容量Flash写入慢、寿命有限、按页擦除的粒度太粗存小参数是杀鸡用牛刀而且频繁擦写会磨损块EEPROM虽然容量小但单字节可擦写、掉电保存可靠最适合存参数NOR Flash的好处是芯片直接映射读、启动快、寿命中等适合放固件和关键配置SD卡容量大、可换、带文件系统适合海量日志。所以STM32FPGA这套组合里存储方案必须分级而不是图省事堆一颗大Flash。FPGA在这套架构里有个特殊点它不像CPU那样有MMU和文件系统掉电后逻辑配置就没了上电要靠外部引导。FPGA的配置数据通常放在NOR Flash或者SPI Flash里由STM32控制上电时序去加载。如果FPGA还用着大量块RAM做采集缓存那SD卡侧的大批量数据搬运也得靠STM32来协调DMA和文件系统。说白了STM32当管家FPGA当苦力存储分级就是把这套分工的边界划清楚。2. 三级存储的职能划分以及选型时的几个关键指标2.1 每级存储的“职责边界”怎么划我习惯把整个存储系统拆成三个等级对应不同的数据生命周期。第一级是EEPROM负责“必须100%可靠的小参数”。工业控制器里的设备地址、通信波特率、校准系数、运行模式这些数据单次改动小、改动频率低但丢一个字节设备就可能宕机。EEPROM按字节擦写寿命通常在100万次以上数据保持时间也能到几十年非常适合这种“少而精”的存储。常用的AT24C128、AT24C256这类芯片容量从128Kbit到256KbitI2C接口两个线就能挂上MCU驱动起来非常简单。第二级是NOR Flash负责“需要快速启动、原子替换的程序和配置”。STM32的应用程序、FPGA的配置文件、系统默认参数备份这些数据放在NOR Flash里。NOR Flash支持随机读取很多MCU可以直接XIP执行对于STM32来说虽然也能从NOR启动但更常用的是把NOR作为外部存储上电后由Bootloader复制到RAM或直接映射执行。常用型号像W25Q64、W25Q128、N25Q系列容量从几Mbit到128MbitSPI接口读速度在几十MB/s级别写速度相对慢但固件升级这种低频操作完全够用。第三级是SD卡负责“海量运行数据和运维信息”。报警历史、数据曲线、统计报表、升级备份包这些数据动辄几十MB到几个GB只有SD卡能接住。SD卡支持FAT文件系统用户可以直接拔卡去电脑上分析不需要专用上位机这个便利性在工业现场太重要了。搭配STM32的SDIO或者SPI接口顺序写速度能做到几MB/s加上文件系统后要注意掉电保护和坏块管理的问题。三级之间不是割裂的而是要互相配合。举个例子设备固件升级时先把新固件下载到SD卡校验CRC通过后再拷贝到NOR Flash的B区等A/B区都确认无误再切换启动标志设备参数校准后先写EEPROM同时把EEPROM的内容备份到NOR Flash的一个专用区域防止EEPROM坏掉后还能从NOR恢复。这就是分级方案的精髓每一级都有主用和备份单点故障不会导致数据全丢。2.2 选型时的硬指标容量、寿命、速度、掉电行为很多新手选存储芯片只看容量和价格这是最容易踩坑的地方。工业控制器场景这几项指标必须放在一起权衡。指标EEPROMNOR FlashSD卡典型容量Kbit~Mbit级Mbit~Gbit级GB~TB级擦写粒度字节扇区/块4KB/32KB/64KB页/块由卡内控制器管理写入寿命100万次/字节10万次/扇区卡内控制器做磨损均衡但整体寿命有限随机读速度I2C慢几百kbpsSPI下几十MbpsSDIO下最高几十MB/s掉电安全单字节写原子性好不易损坏擦写中断会破坏扇区需要双备份机制文件系统掉电易丢FAT信息需要专门策略典型用途参数、校准、标志位固件、配置、小文件系统日志、曲线、升级包EEPROM的写入寿命高但容量太小所以参数密集型的应用可以把“热点参数”放EEPROM“冷数据”放NOR。NOR Flash擦写粒度过大写一个小参数要先把整个扇区读出来改掉再擦再写不仅慢还磨损大所以不适合频繁写小数据。SD卡寿命受写入量和磨损均衡算法影响工业级SD卡会好一些但仍然不建议把高频实时数据直接堆给SD卡最好在STM32内存里做环形缓冲凑够一定量再批量写。掉电行为是最容易被忽略的。EEPROM写一个字节一般有内部定时只要供电稳定基本原子完成NOR Flash擦除过程中突然掉电这个扇区可能处于“半擦不擦”的非法状态所以要做双缓存或者双Bank切换SD卡如果正在写FAT表时掉电轻则丢文件重则整个分区损坏。我见过不少现场问题最后查来查去都是掉电时序没处理好。硬件上要确保存储芯片供电有足够的保持电容软件上则要设计好上电检测和掉电保护流程。另外温度范围也要看。普通商业级芯片标称0~70度工业级是-40~85度EEPROM和NOR Flash在低温下时序会变慢高温下漏电会增加数据保持时间会缩短。如果设备用在户外机柜、北方冬天、南方夏天一定选工业级后缀的型号别为了几毛钱省这个。3. 硬件接口与电路实现三块存储怎么接进STM32FPGA系统3.1 EEPROM的I2C接线、地址配置和驱动要点EEPROM多数用I2C接口AT24C系列是绝对的主流。I2C的好处是省引脚SDA加SCL两根线多个设备还能挂同一条总线。电路上注意几点SDA和SCL都要接上拉电阻典型值4.7kΩ总线设备多或者线太长时改成2.2kΩAT24C系列芯片的A0/A1/A2引脚决定I2C地址如果板上只挂一颗EEPROM可以全部接地地址就是0xA0但留了地址跳线可以兼容多颗芯片对批量生产有好处。I2C写EEPROM有个很多人忽视的坑页写界限。AT24C128这类芯片内部把存储分成很多页一页通常是64字节或128字节连续页写不能跨页一旦跨越页边界地址会自动回绕把数据写到当前页开头而不是下一页。写多字节时要么计算页边界拆成多次写要么干脆一字节一字节写。页写完成后还要等内部写周期结束一般是5ms左右驱动里要加确认查询或者固定延时。STM32上用硬件I2C其实问题很多尤其是中断配合不好容易卡死。我现在更推荐用软件模拟I2C或者用硬件I2C加超时处理。软件模拟的好处是任意两个GPIO都能用时序自己控制排查问题方便缺点是占用CPU硬件I2C速度快、占用少但STM32的I2C模块如果不小心处理NACK、BUSY标志容易进入死锁状态。如果产品稳定优先建议直接软件模拟反正EEPROM操作频率不高CPU开销完全可接受。FPGA偶尔也需要直接读EEPROM里的参数比如启动时读取通道使能标志。Verilog里写I2C主机状态机不算复杂关键是把起始条件、停止条件、应答信号拆成标准状态。我习惯把I2C主机写成可复用的模块参数化时钟分频这样在STM32和FPGA两侧都能用同一套时序规范联调时少很多口舌。3.2 NOR Flash的SPI接口、状态寄存器与写保护逻辑NOR Flash在工业控制器里大多走SPI经典型号W25Q64、W25Q128四线SPICS、CLK、MOSI、MISO。电路上CS一定要接上拉到VCC防止上电瞬间Flash误片选CLK线上串个33Ω电阻可以抑制振铃高速读写时有用WP和HOLD引脚不能悬空WP要上拉不用HOLD时也上拉不然干扰下容易进入保持状态。SPI NOR Flash的操作流程比EEPROM复杂很多核心几点读ID确认芯片型号、写使能WREN、读状态寄存器等待BUSY位清除、按扇区擦除、按页编程、读回校验。写数据前必须先擦除Flash只能把1变0擦除把所有位变回1。W25Q系列的页编程一次最多256字节超过256字节就必须拆页擦除粒度最小4KB扇区大容量芯片还有32KB、64KB块擦除命令。写保护逻辑非常重要。W25Q有一个状态寄存器里的BP位可以指定某些区域只读防止程序跑飞把固件区冲掉。产品量产时我习惯把固件所在的高地址区域设置写保护只留一个配置区可写。单片机升级时先发解锁命令再执行擦写结束后重新加锁。别小看这一步它能让固件区在运行中被误写、被强干扰的概率大幅下降。此外NOR Flash的“原子替换”要靠双区设计。STM32程序放在两个BankBank A运行Bank B空闲。升级时把新程序写入Bank B写完校验通过后把Bootloader标志位指向Bank B再复位。这样即使写Bank B过程中掉电或者写坏Bank A依然完好设备还能启动。这套逻辑配合NOR Flash的按扇区擦写特性可靠性比单片Flash强太多。如果你用FPGA还得知道FPGA有个特性上电要从SPI Flash加载配置bitstream。这个bitstream通常放在低地址区和ARM固件区要物理隔离。很多FPGA支持多镜像用一个内部标志位决定加载哪个镜像这和ARM的双Bank思路其实是一致的。硬件设计上如果ARM和FPGA共用一颗SPI Flash要设计好总线隔离不能让两个主设备同时去拉CS否则轻则读错数据重则烧芯片。我一般直接用两颗Flash分开用省心很多。3.3 SD卡选择SPI还是SDIO工业场景要注意什么SD卡的连接方式有两种SPI模式和SDIO模式。STM32F1/F4系列很多型号没有SDIO外设就只能用SPIF4以上的部分型号带SDIO可以跑四线高速模式。SPI模式接线简单CS、CLK、MOSI、MISO四根线速度上限通常20MHz实际顺序写在几MB/s级别SDIO四线模式速度快但引脚占用多时序要求高走线要留意。工业控制器里SD卡大多是记录日志写入频率不会特别高SPI模式往往就够用了。如果要做高速数据采集比如FPGA采集ADC数据通过并行总线给STM32再由STM32写SD卡这时SPI模式可能成为瓶颈可以考虑SDIO加DMA。但SDIO的驱动初始化复杂对SD卡兼容性要求高卡片质量参差不齐时问题会集中在初始化阶段。SD卡供电和插槽设计也要注意。卡供电最好用独立的3.3V LDO别和主控直接共用因为SD卡写入时电流尖峰大容易把电压拉垮。插座的CD引脚卡检测一定要接程序里要检测卡是否在位否则卡拔掉后还继续写只能等到超时才知道日志会断片。写保护引脚WP在卡套上有机械开关电路上通常上拉检测到写保护时程序就别硬写了。文件系统建议用FatFS这是STM32社区最常用的方案。用FatFS要注意几个配置_USE_LFN要打开不然长文件名会乱_FS_TINY对内存紧张有用_MAX_SS要设成4096兼容4KB扇区的卡。挂载U盘那种可移动介质写文件后要f_sync及时刷盘不能只f_write就完事否则掉电丢数据的概率大增。4. 数据流向与掉电保护STM32和FPGA怎么分工协作4.1 参数、固件、日志三条数据链路的完整路径分级存储方案最终要落到具体的数据流上。先说参数链路。设备上电STM32先从EEPROM读参数到RAM同时读NOR Flash的备份区做CRC校验如果EEPROM校验失败就用NOR备份恢复并把恢复事件记入日志。参数修改时先写EEPROM主区等EEPROM写成功确认后再更新NOR备份两次都成功才向用户返回“参数已保存”。这样双重保险能兜住绝大多数存储故障。固件链路相对独立但要求最严。STM32的Bootloader先检查NOR Flash里的升级标志如果有新固件就直接从SD卡读取升级包写入NOR的Bank B写完做全量CRC校验校验通过才切换启动Bank。FPGA的配置文件同理新配置文件写入NOR的FPGA区由STM32复位FPGA并触发重加载。整个过程如果SD卡拷贝出错CRC校验立刻能发现不会把坏固件刷进去。日志链路是数据量最大的。FPGA采集高速数据时先写入FPGA内部的Block RAM或者外部SRAM做环形缓冲攒到一定长度通过并行总线交给STM32。STM32侧用DMA接数据在RAM里再拼包够一个扇区或固定块大小后一次性f_write写入SD卡并定期f_sync。这样做的原因是如果FPGA每个数据都直接触发一次SD卡写STM32会被频繁中断拖死SD卡被小IO折磨写放大严重寿命也撑不住。STRM32和FPGA之间传输存储命令时要定义明确的握手协议。我习惯用一组双口RAM或者FIFO做数据交互STM32写命令寄存器FPGA写状态寄存器两边都靠中断或轮询来感知变化。最关键的一点是SD卡写操作过程中STM32不能响应FPGA的新数据请求得先让FPGA把数据暂存到缓冲区否则数据会在DMA传输过程中被覆盖。这个背压机制在实际代码里比存储芯片本身更难调好。4.2 掉电检测与保存时序别让数据死在最后0.1秒工业控制器最危险的时刻就是断电瞬间。单片机主控可能还有几百毫秒的Keep电源但存储芯片供电可能说断就断。要保住关键参数硬件上必须做掉电检测电路输入电压分压后接STM32的一个ADC通道或者比较器外部中断当电压掉到阈值以下立即触发保存流程。掉电保存的时序设计要分优先级。第一优先级是EEPROM里的关键参数因为数据量小、写得快几十毫秒就能写完第二优先级是NOR Flash里的当前配置备份量稍大但也必须在几百毫秒内完成第三优先级是SD卡日志收尾能刷一下就刷一下实在来不及就丢不能为了收尾把前面两项拖垮。我设计过一版策略断电后STM32直接关掉FPGA的时钟和SD卡供电把所有精力用于保存EEPROMRAM里未落盘的日志宁可丢弃。掉电保存有一个容易忽视的问题电容储能有限写NOR Flash时一个扇区擦除可能花几百毫秒如果电容撑不住擦到一半断电扇区就废了。所以掉电保存流程里写NOR Flash一定要放在EEPROM之后并且要写“事务标志”。先在一个固定标志区写“正在更新”全部成功后改成“更新完成”上电时看到“正在更新”就知道上次没写完要回滚到备份区。STM32自身的RTC和备份寄存器也能在掉电期间保存少量数据。外部VBAT电池给RTC和备份寄存器供电可以把一些状态标志、运行计数放进去这比EEPROM更安全因为完全不依赖主电源。注意备份寄存器不是无限容量只有几十字节适合放“设备是否正常关机”这种一个小标志就够的数据。5. 现场排查实录分级存储方案的典型故障与解决思路5.1 故障速查表照着排查省一半时间分级存储方案调试过程中我遇到的故障集中在几个固定模式整理成表格方便大家直接对照。现象可能原因排查方向与解决办法上电后参数全部恢复默认EEPROM读回CRC错误被备份覆盖检查EEPROM地址是否被越界写坏用空片做写读回环测试确认I2C总线上拉和速率是否匹配偶发参数写不进去页写跨越边界WP引脚电平异常改用单字节写验证示波器抓I2C波形检查WP和HOLD引脚上拉NOR Flash擦除后回读全是0x00或0xFF擦除命令未等BUSY位清除供电不足读状态寄存器确认BUSY提高LDO输出检查Flash的VCC引脚滤波电容是否缺失升级过程中掉电变砖单Bank无备份Bootloader区被覆盖强制使用双Bank升级前确认Bank A可引导Bootloader区设置BP写保护SD卡写一段时间后没有新文件FAT表损坏卡写满掉电导致目录项丢失格式化后复测检查是否f_sync日志文件按日期滚动写前检测剩余空间FPGA配置有时加载失败SPI Flash位序/频率不当ARM和FPGA争用Flash压低SPI时钟到10MHz检查CS信号分板验证两套加载链路低温下首上电读EEPROM超时I2C时序变慢时钟线电容过大降低I2C速率到100kHz加长ACK等待超时用工业级EEPROM排查时要养成一个习惯任何存储故障先把现象和数据COPY回电脑分析不要一上来就换芯片。比如NOR Flash回读全是0xFF大概率擦除成功了但没写进去或者写使能没生效回读全是0x00那可能是CS一直拉低或者MISO被拉死。这些用示波器抓一次波形就能定位比你盲目换料高效得多。5.2 几个值得长期坚持的设计习惯经验积累下来有几个设计习惯我觉得特别值钱分享给大家。第一所有存储访问都要带超时和错误状态上报不能干等。不管I2C还是SPI总线都有可能被干扰卡死。写EEPROM时要加超时超过几百毫秒没ACK就复位总线读NOR Flash时BUSY位查询也要有最大轮询次数SD卡写操作加超时后触发日志告警。这样即使硬件被强干扰软件也能恢复而不是整机死等。第二日志文件按大小或日期滚动。日志无限增长是最隐蔽的坑SD卡写满后FatFS会返回错误程序如果没处理就会进入异常循环。我通常按日期建文件每天一个同时限制单文件最大大小写满自动开后缀递增的新文件。系统启动时检查SD卡剩余空间低于阈值就清理最老的日志文件这个策略在工业现场非常实用。第三通信链路要配套存储来做状态机。比如FPGA采集状态、DMA传输状态、SD卡写状态三者必须是一个可编排的流程而不是各自独立。我做过一个精简状态机IDLE等待缓冲区满收到FPGA的DMA完成中断后进入WRITE状态写SD卡完毕后进入SYNC状态延迟刷盘后回到IDLE。所有状态都有超时跳转异常时记录错误码到EEPROM的故障区内。第四测试一定要做掉电注入测试。用继电器随机切断控制器供电反复做500次以上再检查EEPROM、NOR Flash、SD卡里的数据完整性。这套测试在量产前必须跑完很多偶发问题是正常功能测试根本发现不了的。我遇到过EEPROM在强电合闸瞬间被干扰写坏个别字节的情况就是靠这种反复掉电测试才暴露出来的。分级存储方案不是越复杂越好而是要把每一级存储放到它最擅长的时间尺度上去。EEPROM管住参数NOR Flash管住程序SD卡管住历史STM32在中间调度FPGA在数据产生端做缓冲这整套组合在成本和可靠性之间找到了一个很实用的平衡点。如果你也在设计类似的工业控制器建议先把数据分类做扎实再决定存储介质这比纠结用什么型号的芯片重要得多。