1. OTA与IAP核心概念深度解析
1.1 IAP（在应用编程）底层原理
IAP（In Application Programming）是嵌入式OTA升级的底层核心支撑技术。常规单片机烧录（J-Link/ST-Link）属于ICP（在电路编程），需要外部仿真器介入，而IAP实现了单片机自主读写自身Flash。
其核心特性为：单片机运行用户APP程序的同时，可通过代码自主对芯片内部Flash进行擦除、写入、读取操作，无需拆机、无需外部烧录工具，为远程OTA升级提供了硬件底层可行性。
需要注意：STM32内核存在代码执行限制，不允许在擦写Flash的同时，执行被操作Flash区域的代码，这也是OTA必须拆分Bootloader和APP双程序架构的核心原因。
1.2 OTA（空中升级）完整定义
OTA（Over The Air）空中升级，是基于IAP技术的上层应用方案，通过WiFi、4G、NB-IoT、BLE、串口、以太网等通信链路，实现设备固件的远程下载、校验、更新、回滚全流程自动化。
传统嵌入式设备固件更新依赖线下烧录，量产设备、部署现场设备维护成本极高；OTA升级可远程修复固件Bug、迭代新增业务功能、适配硬件适配优化，支持灰度发布、批量升级，是物联网设备的标配核心功能。
2. Bootloader+APP双程序架构（OTA唯一合法架构）
所有量产OTA设备必须拆分双程序架构，彻底规避"运行代码被擦除导致死机变砖"的问题，两个程序功能完全隔离、互不干扰。
2.1 Bootloader引导程序（底层安全核心）
Bootloader固化在Flash起始地址（0x08000000），是设备上电后最先执行的第一段程序，优先级高于所有APP业务代码。
为保障极致稳定性，Bootloader遵循极简设计原则：不包含任何业务逻辑、不依赖复杂外设、代码量极小、功能固定，从根源规避程序崩溃风险。
核心专属功能：
-
上电读取Flash参数区的升级标记、版本信息、校验数据
-
判定设备状态：正常启动APP / 执行固件升级 / 触发版本回滚
-
对备用分区新固件进行完整性校验、合法性校验、硬件版本匹配校验
-
完成新固件分区拷贝、覆盖替换旧运行固件
-
校验失败、固件异常时，自动保留旧固件、放弃升级或回滚旧版本
-
清空升级标记，跳转至APP运行
核心禁忌：Bootloader分区绝对禁止被OTA升级、禁止被程序擦写，一旦Bootloader损坏，设备彻底失去引导能力，永久变砖，无法修复。
2.2 APP应用程序（业务+升级下载核心）
APP是设备的业务主体，运行在Bootloader之后的Flash偏移地址分区，承担设备所有业务功能和OTA前置下载工作。
核心业务功能：传感器采集、数据上报、设备控制、通信链路维护、人机交互等常规业务逻辑。
OTA专属功能：
-
设备上电主动向云端上报当前固件版本、硬件型号、设备唯一ID
-
接收云端升级指令、解析固件下载地址、固件大小、CRC校验值、目标版本等参数
-
发起分片固件下载、逐包校验、写入备用下载分区
-
下载完成后执行全局固件校验，确认固件完整无篡改、无丢包
-
在参数分区写入"待升级"标记，记录升级状态，触发设备软复位
核心禁忌：APP运行期间，绝对禁止擦除、改写自身所在的运行分区Flash，否则当前执行代码被销毁，程序立即跑飞、死机、设备异常。
3. 三种Flash分区方案（原理+优缺点+适用场景全解析）
3.1 单分区升级方案（淘汰方案）
分区结构：仅包含Bootloader区 + 单一APP运行区，无独立下载缓存分区。
升级逻辑：APP直接在线下载固件，边下载边覆盖当前正在运行的旧固件。
致命缺陷：升级过程完全无容错能力，一旦出现断电、断网、网络丢包、固件出错，APP固件会被擦除且未写入完整新固件，Flash固件残缺，设备下次上电无法正常启动，直接永久变砖。
适用场景：仅用于低成本玩具设备、无售后维护需求的简易产品，严禁用于工业、物联网量产设备。
3.2 A/B双分区升级方案（量产工业主流、零砖机方案）
采用四区隔离架构，所有分区物理独立、功能拆分明确，是目前嵌入式OTA最稳定、容错性最强的标准方案。
-
Bootloader区（固定只读区）：Flash头部固定分区，存储引导程序，永久禁止擦写升级，保障设备基础引导能力。
-
APP_A运行区（当前工作区）：存储当前设备正常运行的业务固件，设备日常工作、执行业务逻辑均运行此分区代码，升级过程中全程保留、不被覆盖。
-
APP_B下载区（备用缓存区）：独立空白分区，专门用于缓存OTA下载的新固件，不参与设备运行，即使下载失败、固件损坏，也不会影响当前设备正常工作。
-
参数存储区（状态记录区）：独立小扇区，专门存储设备固件版本号、硬件型号、升级标记、固件CRC校验值、下载偏移地址、设备配置参数、回滚标记等核心数据。
核心升级逻辑：新固件全程下载、校验、缓存至APP_B备用分区，只有新固件完整、合法、校验通过后，才会触发升级替换，由Bootloader将APP_B新固件拷贝至APP_A运行区。
核心优势：全程保留旧可用固件，断电、断网、固件异常均不会导致设备死机变砖，支持断点续传、版本回滚，适配所有物联网量产场景。
3.3 Bank双块切换方案（STM32芯片专属优化方案）
STM32F4/F7/H7系列高端芯片，内部Flash硬件分为两个独立存储块：Bank1、Bank2，两个Bank可独立读写、独立运行、互不干扰。
升级逻辑：设备当前运行Bank1分区固件，OTA新固件直接下载至空闲的Bank2分区，下载校验完成后，仅需修改中断向量表VTOR偏移地址，即可直接跳转运行Bank2固件，无需大范围Flash拷贝，升级速度极快。
优缺点：升级效率高、流程简洁；但硬件受限，仅支持双Bank架构的STM32芯片，通用性低于通用A/B双分区方案。
4. 底层核心：VTOR向量表偏移原理与配置规范
单片机上电默认从Flash起始地址0x08000000读取中断向量表，所有中断、定时器、串口、外设中断均依赖向量表匹配。
在OTA双分区架构中，APP固件不再存储在Flash起始地址，而是偏移固定地址存储，若不修改向量表偏移，设备所有中断会指向空白Flash地址，导致所有外设中断失效、程序跑飞、死机。
配置规范：
-
Bootloader运行在0x08000000，无需配置VTOR偏移
-
APP程序启动后，第一行代码必须配置VTOR偏移，优先于所有外设初始化、业务逻辑
-
工程配套：Keil/IAR分散加载脚本（ld文件）必须同步修改固件起始偏移地址，与代码VTOR配置保持一致，否则编译固件地址错乱
标准配置代码：
SCB->VTOR = FLASH_BASE | APP_OFFSET;