引言
本文档介绍了通过低功耗蓝牙®（BLE）连接在ST32WB设备上进行空中（OTA）固件更新的过程。它解释了如何使用STM32Cube固件包中提供的OTA应用程序。
! k# o( {1 H/ t1 u- V该应用程序可以更新用户应用程序、无线固件和固件升级服务。
3 STM32WB设备上的OTA应用程序
3.1 空中固件更新
3.1.1 原理
3 R) R* y; R/ ?( R7 P必须在设备生命周期内更新固件，以确保最佳性能、用新功能或更正的补丁更新应用程序并
3 h# o; I! I% P0 F保持最高的安全级别。

用户应用程序、无线固件和RSS更新
/ f5 L  ?. X) o0 bSTM32WB系列微控制器基于双Arm®(a)内核。
. h3 ^6 V' b0 i" m( q% J  ~" x& Z! m用户应用程序运行在CPU1（Cortex® M4）上，而无线固件和RSS运行在CPU2（Cortex®M0+）上。这三个应用程序可以独立更新。
由于无线固件和RSS以加密格式提供，其更新过程依赖于用于闪存受保护区域内解密和安装的STM32WB安全固件（RSS）。
+ P/ Q& c/ c, ?7 ^
- ]8 t4 Q! v7 t/ R( I
2 z- S; L  o7 y
% Q: B' G2 O, n. I, W
无线
可以通过典型的物理链路（如USB、UART或I2C）来完成固件的更新，但此过程需要对设备上特定的连接器进行物理访问。得益于OTA，可以使用无线连接来远程更新固件。在本应用笔记中，无线连接使用BLE协议。

更新客户端
( \1 A* j# t) Z- c更新过程遵循客户端/服务器架构。它由外部客户端发起且该设备用作服务器，从而通过安装新固件来响应请求。

本应用笔记介绍了STMicroelectronics提供的基于BLE的OTA客户端的两种示例（请参见图 2）：
• ST BLE Sensor：用于Android™或iOS设备的移动应用程序
4 `2 M2 ]  M8 M% M• STMCubeMonitor-RF：在HCI透传模式下配置的与BLE USE Dongle通信的PC工具
; E. \! S! p  ?7 |- c8 Z" O
. j( f- Y. U* q4 h) z# X+ h( W
* I" O8 w: [, F+ e
. _( @* e5 m7 a- \8 r" q( Y% o

- D; M7 w. q  H+ o4 N3.1.2 OTA应用程序
OTA应用程序是为根据客户端请求管理固件传输而设计的独立应用程序，它提供BLE服务，并安装在闪存中的正确位置。它在用户应用程序接收OTA请求后由CPU1激活和执行。
序列如图 3中所示，其中红色数字表示不同阶段。
初始状态是用户应用运行（1）的状态。接收到OTA请求（2）时，将触发系统复位（3）且OTA应用程序变为激活（4），从而监听客户端请求（5）。针对无线固件或用户应用程序的更新提供不同服务（6和7）。
1 h8 j! v% x* l
3 J1 ?5 {, T2 g' w5 [$ V5 J
/ G. d+ d- q* P( ^5 ^0 d/ K

. J9 u1 k0 v0 G% _( j% ^9 y! V注： 凭借此固件架构，当前用户应用程序负责接收针对用户应用程序和无线固件的OTA请求。这是该过程的入口点。然后，OTA应用程序将与客户端进行通信，以更新其中一个或另一个固件。
9 C' a/ m1 e4 p1 H
. B# D- K) E* s' V  R3.1.3 存储器架构
STM32WB闪存分为两部分：用户部分和安全部分。用户部分可供CPU1访问且包含OTA应用程序，及用户应用程序代码和数据。安全部分仅可供CPU2访问且包含RSS和无线固件。此部分不可供调试端口、用户应用程序或Bootloader访问。选项字节SFSA提供两个区域之间的边界，上述存储器为安全部分（请参见图 4）。SFSA值取决于无线固件大小，可在安装过程中对其进行调整。



- T% z% M+ ?- z
! o" B' N  R0 u& l& f7 ARSS
( E. J  D2 S5 P1 {7 D; JRSS储存在闪存的顶部。它嵌入了用于无线固件解密和验证的安全固件。它还为密钥提供安全存储。有关其功能的详细说明，请参阅[2]。

无线固件
它存储在RSS正下方。此固件驱动MCU的RF部分。支持以下几种协议：BLE全协议栈、仅BLE HCI层、Thread MTD、Thread FTD、并发模式(BLE + Thread FTD)和MAC 802.15.4（底层访问RF MAC）。
对于BLE，协议栈实施实时性方面。它包含用于管理所有实时链路层和无线电PHY交互所需的LE控制器和LE主机（图 5）。
$ |+ s, R" q$ }
# W  ]7 I& Z1 t2 B0 g7 `9 R9 x0 v

: H* F7 `% @! V3 y% I4 d$ G' Q4 i
, {% n+ M+ x: s$ r$ l9 b) H; R6 j- k用户应用程序和数据
5 \4 ]7 X$ a4 t, J/ Q, U- g! y: t; W这是主用户应用程序。它是设备的应用部分，实施依赖于无线协议的BLE配置文件和服务。得益于SRAM2和IPCC硬件模块，可通过实施的信箱系统实现用户应用程序和无线部分的通信（图 5）。它存储在用户闪存中的OTA应用程序之上。
$ r7 n2 J  a/ v2 _为方便起见，可以在两个应用程序之间，为在固件更新期间未擦除的应用程序数据保留一个扇区。
注： 如要更新，必须提供可用于新无线映像下载的空闲闪存区域。
; s; V9 E6 ^5 [0 w" q& D. p* e
OTA应用程序
7 Q2 u9 ]+ D) ]" N它存储在闪存的前六个扇区中（[0x08000000：0x08006000]）。这是系统复位后的激活过程（CPU1启动地址位于闪存开始处）。如果未发出OTA请求，应用程序将直接跳到检查到的经完全编程的用户应用程序，否则，OTA应用程序正在运行且可以从客户端接收命令。
注： 不得删除OTA应用程序；如果在该过程中出现问题，则设备无法恢复。建议针对OTA应用程序设置写保护。

' S! S& l* R; c$ d: y3.1.4 用户应用程序更新
/ g; g- {) @- ^  [图 6显示了发送用户应用程序更新请求后由OTA应用程序执行的操作序列。
1 w- u- y) {1 b9 M( n

: a. w, m0 j" Y3 L

; g. l* o# r  k' o首先，删除将接收新固件的扇区。对闪存进行重新编程时，此过程必不可少。建议对包含需要保持不变的应用程序数据区域设置写保护。
第二步包括下载新映像。完成固件传输后，OTA应用程序将跳到新应用程序。

* R  J8 w& B+ v9 o; Z$ {5 L3.1.5 无线固件更新
无线固件加密提供且已签名。需要安全RSS固件，以对协议栈进行解密并将其安装在闪存的安全部分。
无线安装的第一步与用户应用程序的相同：需要删除的用户闪存扇区以存储加密映像（图 7中的“空闲区域”）。
- H6 i; ~# x/ E在第二步中，OTA应用程序下载加密的协议栈（包括新固件，图 7中以灰色显示）且需要RSS更新服务。
+ f# _7 Z' ~& t" U' m第三步由在CPU2上运行的RSS执行。它验证、解密并安装协议栈。在安装结束时自动设置与安全边界（SFSA、SBRSA和SNBRSA）和复位向量（SBRV）相关的选项字节。
7 N( X6 l$ G* v. N) U仅在通过所有验证和完整性检查以确保设备的连接性能后才能更换当前的无线固件。

! N7 B* h5 |5 A. @- ?

9 G" I0 V3 ?3 C/ H2 X6 m/ E7 Z
- r( P3 e( L3 E

8 B4 ?4 D+ T3 ?# }9 Q3.2 固件更新的BLE服务和特性
4 k1 Z2 e8 {+ l! Y3.2.1 BLE应用程序 – 重启请求特性
6 \3 x, }  H$ Z$ P) e9 [BLE服务和特性
  [3 \  H0 @. K' W/ f! |本应用笔记中考虑的用户应用程序为BLE应用程序。它支持特定的GATT服务：为SIG配置文件（如信标器、心率）定义的标准服务或用户定义的服务。这些服务具有一组特性值，及特定的访问权限。
0 y4 P# r1 S& X3 G开发人员可以扩展服务使用的特性数量，甚至是标准化的。为了从用户应用程序调用OTA应用程序，将“重启特性”（图 8中的黄色框）添加到应用程序支持的服务。当此特性将通过BLE协议由客户端写入时，用户应用程序将跳到OTA应用程序。




8 @: b2 X1 b: R# \. m! p重启请求
重启请求具有三个要由客户端通知的不同字段：
0 |% W# P/ E5 O1. 启动模式，用户应用程序重启或跳到OTA应用程序
2. 将在其中下载新应用程序的第一个扇区指数
& y6 T5 X9 u5 s0 z6 i* v3. 要删除的扇区数量（新固件大小，间隔尺寸为4 KB）
其中包含特性取决于用户应用程序的服务。
$ J. i# V9 R" O0 V" H8 P
" W2 M; `0 I/ w0 {# ^! K
$ ^8 K. K8 t2 e" D
3.2.2 OTA应用 - 服务和特性
1 \# H+ [0 @- E6 V4 nOTA应用程序是标准BLE应用程序。它提供具有特性的特定服务，以实现更新。
6 \1 Q& b. y. E# s
/ Q$ g2 ]& N2 p/ c

, g2 \( i$ |# y2 e, i此服务将在广告序列后由客户端应用程序识别。
: y$ h; i1 z$ L% H* ?
3.2.3 广告
在设备和客户端之间建立连接前，必须广告重启请求的可用性。
0 s- J: H5 c  ]0 [; T! q# R# A/ K将该信息添加到制造商特定广告字段（0xFF类型）。下表中介绍了封装结构。在组B功能（位13）中指定重启请求能力。
' x" X# K& ^$ w7 |1 f0 s
/ J/ `+ \/ f; f8 G. o
" t+ e# g8 [" u4 {2 i$ X



3.3 流程说明
; g  u9 f$ n; R2 F( Y8 [) b, p9 v图 9详细说明了在更新过程中设备和客户端之间的消息和数据交换。
9 U) K+ D( f) s! G8 [用户应用程序建立首次连接。向客户端广告重启请求特性（步骤1）。客户端请求设备重启时，将在OTA应用程序和客户端之间建立新的连接（步骤2）。
! L% o9 `" B' i0 d7 i" {9 |
! y3 N% A5 N' x( e0 e- z: z6 L
: f( l8 Q5 q/ L( A/ g) r/ q

完整版请查看：附件
0 w% S8 ~, A0 j3 d
& i2 A& U$ b) g: S  S