ems_download.c

源文件路径：net/ems_download.c 所属模块：net（网络应用层 — EMS 固件下载与升级） 代码行数：289

1. 文件职责

本文件是 EMS 自身应用固件的"下载结果确认 + 固化重启"环节：当云端或 Modbus 把整包 EMS 固件写入外挂 SPI Flash 之后，本文件负责从头到尾重新读回、计算 MD5、与服务器下发的 MD5 比对，比对通过才写升级配置并复位进入 Boot。

它同时扮演 EMS 升级状态的"查询门面"：IsDownloadEMS() / GetPercentDownloadEMS() 供 HMI 显示升级进度条，IsSystemDownload() / IsSystemUpgrade() 供 LED、BMS 加热、断点续传、故障日志、以太网等模块判断"整机是否处于升级中"从而暂停业务。

数据流位置上，它处于 net/server.c（TCP 固件接收，:3785 调用 calculate_ems_flash_md5()）和 midware/interface/modbus/modbus.c（Modbus 固件接收，:9336 调用）的下游终点，也是 system_hard_reset() 的触发点。

本文件不驱动任何任务、不创建信号量，全部函数由 net 任务或 Modbus 任务在收完最后一包固件时同步调用。

2. 关键数据结构与宏

本文件未定义结构体、枚举或联合体；使用的宏与外部类型如下。

3. 函数清单

注意：calculate_ems_flash_md5_read_data（:93）与 GetPercentUpgradeEMS（:239）是全局函数，但未在 net/ems_download.h 中声明，只能在同文件内或通过隐式声明调用。

4. 核心逻辑解析

4.1 EMS 固件 MD5 校核主流程 calculate_ems_flash_md5()（:120-209）

状态机形态为"分块读回 → 流式 MD5 → 与服务器 MD5 比对 → 分支处理"，无循环状态，一次调用走到底。

1) loop_cnt  = get_length_file_updating(UPDT_EMS) / 1024;      // :129
   remainder = get_length_file_updating(UPDT_EMS) % 1024;      // :130
2) MD5Init(&md5);
3) for (i = 0; i < loop_cnt; i++) {
       calculate_ems_flash_md5_read_data(i*1024, 1024);         // 失败直接 return
       MD5Update(&md5, g_au8FWBin, 1024);
       IWDG_Feed();                                             // :143
   }
4) memset(g_au8FWBin, 0, sizeof(g_au8FWBin));                    // :146
   if (remainder != 0) {
       calculate_ems_flash_md5_read_data(loop_cnt*1024, remainder);
       MD5Update(&md5, g_au8FWBin, remainder);
       IWDG_Feed();
   }
5) MD5Final(&md5);
6) for (k = 0; k < 16; k++) sprintf(&file_Md5[k*2], "%02X", md5.digest[k]);   // :159-162
7) if (memcmp(file_Md5, get_curr_md5_code_fw_file(UPDT_EMS), 32) == 0)  → 通过分支
   else                                                               → 失败分支

通过分支（:164-200）

失败分支（:201-208）：仅置 g_t_upgrade_run_info.u16_upgrade_error.BIT.md5_error = 1，不做任何重试或清理。

关键点：

• 长度来源是 g_stEMSInfo.stUpt[UPDT_EMS].u32LenFile（由服务器 UpdateCheck 响应解析得到），不是实际接收字节数。
• remainder 分支前会 memset(g_au8FWBin, 0, sizeof(g_au8FWBin))（:146），确保不足 1024 字节的尾块前半部分是清零而非上一次的残留。
• IWDG_Feed() 只在每个 1KB 块的读取之后调用（:143、:154）；MD5Update 和 Flash_Read 都在喂狗间隙内完成，1KB 粒度对看门狗友好。
• 读回失败（Flash_Read 三次都非 FLASH_OK）时直接 return（:139、:150），既不复位也不置错误位，上层无法感知，只是升级流程静默停止。

4.2 分块读回 calculate_ems_flash_md5_read_data()（:93-107）

startAddr = (get_save_firm_in_app_flash_flag() == TRUE) ? START_ADDR_SPI_FLASH_EMS_FW
                                                        : START_ADDR_SPI_FLASH_EMS_APP2_FW;
for (j = 0; j < 3; j++) {
    l_u8Res = Flash_Read(g_au8FWBin, startAddr + address_to_read, size_to_read);
    if (l_u8Res == FLASH_OK) break;
}
return l_u8Res;

• 分区选择依赖 upd_download.c 里的静态标志 s_u8_save_firm_in_app_flash_flag（经 get_save_firm_in_app_flash_flag() 读取）：TRUE 读主区（APP1），FALSE 读备份区（APP2）。该标志由 Modbus 升级对象 UPGRADE_OBJECT_APP2_E 或 net/ems.c:4660 设置。
• 返回值为原始 Flash_Read 返回码，不是 TRUE/FALSE；调用方用 != FLASH_OK 判断（:138、:149）。
• size_to_read 为 u16，本文件最多传 1024，安全；但函数本身不校验 size_to_read <= sizeof(g_au8FWBin)，若被其它调用方传入超过 1024 的值将越界写 g_au8FWBin。

4.3 升级配置落盘 save_updt_config_info_to_external_flash()（:63-91）

if (pBuff == NULL || Len > FLASH_SECTOR_SIZE || Len == 0) return FALSE;   // :67-68
for (i = 0; i < 3; i++) {
    l_u8Res = get_save_firm_in_app_flash_flag() == TRUE
              ? Flash_Write(pBuff, START_ADDR_SPI_FLASH_EMS_FW_CFG_INFO, Len)
              : Flash_Write(pBuff, START_ADDR_SPI_FLASH_EMS_APP2_FW_CFG_INFO, Len);
    if (l_u8Res == FLASH_OK) return TRUE;
}
return FALSE;

• 长度上限用 FLASH_SECTOR_SIZE（4KB）做保护，与两个 CFG_INFO 区各 4KB 的划分一致（0x0000-0x0FFF、0x103000-0x103FFF）。
• 与固件区一样，落盘目标跟随同一个 s_u8_save_firm_in_app_flash_flag，保证"配置区"和"固件区"始终成对（主区配置 ↔ 主区固件）。
• 只写不擦：Flash_Write（hardware/flash/flash.h:140）内部是否做扇区擦除由底层实现决定，本文件不额外调用擦除接口。
• 返回 TRUE/FALSE，与 save_data_to_fw_area_inFlash() 的 0/1 约定相反，跨文件调用时容易混淆。

4.4 状态查询与系统级聚合

IsDownloadEMS()（:217-220）：直接返回 get_flag_force_update(UPDT_EMS)，即 g_stEMSInfo.stUpt[UPDT_EMS].bIsUpdateForce。语义上是"EMS 强制更新标志"，但被 HMI 当作"正在下载 EMS 固件"使用（hmi/ui/ui_main.c:782）。

GetPercentDownloadEMS()（:228-231）：

return get_curr_offset_file_request(UPDT_EMS) * 100 / get_length_file_updating(UPDT_EMS);

下载进度 = 已写偏移 × 100 ÷ 文件总长。分母未做零检查。

GetPercentUpgradeEMS()（:239-243）：u8 res = 0; return res; — 恒 0 的空桩，导出在头文件（net/ems_download.h:41 对应 IsSystemUpgrade 之外），但没有任何调用方，属于版本遗留。

IsSystemDownload()（:252-266）：|| 短路聚合 8 个设备下载标志：

IsDownloadBMS() || IsDownloadINV() || IsDownloadCHG() || IsDownloadInv3() ||
IsDownloadEMS() || IsDownloadMeter() || is_download_evc() || IsDownloadAFCI()

IsSystemUpgrade()（:274-288）：聚合 8 个设备的"服务器已下发固件"标志：

Get_Status_Is_Updated_From_Server(UPDT_EMS / UPDT_INV1 / UPDT_INV2 / UPDT_INV3 /
                                  UPDT_BMS / UPDT_Meter / UPDT_EVC / UPDT_AFCI)

两个函数是整机"升级闸门"的单一事实来源，被 BMS 加热逻辑（midware/bms/bms.c:1658、:1728、:2493、:2583）、LED（hmi/led.c:180、:191、:193）、以太网（midware/ethernt/ethernet.c:1468、:1518）、无线驱动（midware/ethernt/wireless/wireless_driver.c:243）、云端周期发送（net/ems.c:4604、:4620、:4636、:5160）、断点续传（data/resume_data/flash/flash_data_store.c:2806）、故障日志（data/fault_warn_log/fault_warn_log.c:1540）等大量模块读取。

4.5 定时/调度时序与 uCOS-II 配合

• 本文件不创建任务、不使用信号量或消息邮箱，全部为同步调用。
• 驱动源有两处：TCP 收包完成时 net/server.c:3785 → calculate_ems_flash_md5()；Modbus 收包完成时 midware/interface/modbus/modbus.c:9336 → calculate_ems_flash_md5()。
• 唯一的时序动作是成功路径上的 OSTimeDlyHMSM(0, 0, 0, 500)（:191）——延时 500ms 让网络应答/日志先发出去，然后 system_hard_reset()（:192，声明于 net/server.h:285）。
• 看门狗在 calculate_ems_flash_md5() 内以 1KB 块为粒度喂（:143、:154）；但 save_updt_config_info_to_external_flash() 内一次 Flash_Write 最多 4KB 且循环最多 3 次，其间不喂狗。
• 断点续传/升级闸门变量（IsSystemDownload / IsSystemUpgrade）由其它任务异步读取，本文件对它们的写入没有任何临界区保护。

4.6 关键全局变量的读写与触发条件

5. 对外接口

本文件导出（声明于 net/ems_download.h:36-42）

本文件导出但未在头文件声明的全局函数

本文件调用的外部函数 / 变量

6. 依赖关系

依赖（本文件 include，:13-30）

ems.h、server.h、upd_download.h、ems_download.h、ems_boot_handle.h、bms_download.h、inv_download.h、Meter_download.h、evc_download.h、evc_upgrade.h、board_init.h、md5.h、flash.h、iwdg.h、crc.h、inverter.h、meter.h、afci_download.h。

被依赖（会用到本文件导出的符号）

• net/server.c — calculate_ems_flash_md5（:3785）、save_ems_server_update_info（:3234）、IsSystemDownload/IsSystemUpgrade
• midware/interface/modbus/modbus.c — calculate_ems_flash_md5（:9336）
• hmi/ui/ui_main.c — IsDownloadEMS（:782）、GetPercentDownloadEMS（:788）
• hmi/led.c — IsSystemDownload（:180、:191、:193）、IsSystemUpgrade（:180、:191）
• midware/bms/bms.c — IsSystemDownload / IsSystemUpgrade（:1658、:1728、:2414、:2415、:2493、:2583、:2676、:2677）
• midware/ethernt/ethernet.c — IsSystemDownload（:1468）、IsSystemUpgrade（:1518）
• midware/ethernt/wireless/wireless_driver.c — IsSystemDownload（:243）
• net/ems.c — IsSystemDownload（:4604、:4620、:4636、:5160）、IsSystemUpgrade（:2861）
• data/fault_warn_log/fault_warn_log.c — IsDownloadEMS（:1540）
• data/resume_data/flash/flash_data_store.c — IsDownloadEMS（:2806）

7. 备注与风险点

• 栈越界写（真实缺陷）：char file_Md5[32]（:122）配合 for (k = 0; k < 16; k++) sprintf(&file_Md5[k * 2], "%02X", md5.digest[k])（:159-162）。k = 15 时 sprintf 在 file_Md5[30]、[31] 写入 2 个十六进制字符后，还会在 file_Md5[32] 写入 '\0'，越界 1 字节。实际是否致命取决于栈布局，属未定义行为，net/upd_download.c:404 的 calculate_dev_FW_Flash_MD5() 存在完全相同的写法。
• 除零风险：GetPercentDownloadEMS()（:230）分母 get_length_file_updating(UPDT_EMS) 未做零判断。hmi/ui/ui_main.c:782-788 的判断顺序是 IsDownloadEMS() 为真就画进度，而 bIsUpdateForce 在文件长度尚未解析时也可能为真，此时除零 → Cortex-M4 除零默认不产生异常但结果不确定（/0 返回 0 或触发 UsageFault，取决于 SCB->CCR.DIV_0_TRP）。
• 空桩函数：save_ems_server_update_info()（:47-50）与 GetPercentUpgradeEMS()（:239-243）均为空/常量返回，是历史遗留；前者仍在 net/server.c:3234 被调用，后者无调用方。
• 未声明的全局函数：calculate_ems_flash_md5_read_data（:93）与 GetPercentUpgradeEMS（:239）未进 ems_download.h，破坏"头文件即接口契约"的约定。
• 静默失败：读回失败时 calculate_ems_flash_md5() 直接 return（:139、:150），既不置 md5_error 也不置 download_error，上层与云端均无法区分"MD5 不匹配"和"读 Flash 失败"，只能观察到升级流程停在原地。
• 返回值约定不统一：save_updt_config_info_to_external_flash 返回 TRUE/FALSE，而同工程的 save_data_to_fw_area_inFlash、Save_Data_To_FW_Area_InSdram（net/upd_download.c:137、:194）返回 0=成功 / 1=失败，跨文件调用时极易判反。
• 文件头注释完全错误：文件头写的是 @file :BMSUpdate.c、@date :2017/05/18（:2-5），与实际内容（EMS 固件下载）和文件实际日期不符，是历史拷改遗留。net/ems_download.h:2 同样写着 BMSUpdate.h，作者字段还出现了错误的标识符 Alpha g_stEMSInfo Team。
• 魔数字面量：1024（分块大小，多处）、16（MD5 digest 长度）、32（MD5 十六进制串长度）、352*1024（在 ems_boot_handle.c）、500（复位前延时毫秒）均为裸数字。
• CRC 覆盖范围依赖结构体无填充：GetCrcCode_Modbus((u8 *)&g_stEMSInfo.stUpt[UPDT_EMS], sizeof(...) - 2)（:182）假设 STUpdateTab 无尾部填充且 CRC 字段正好是最后 2 字节（net/server.h:235）。该结构体未加 #pragma pack，当前字段排布恰好满足，但新增字段时极易破坏。
• 无锁：IsSystemDownload() / IsSystemUpgrade() 读的 bIsUpdateForce / bIsUpdatedFromServer 由其它任务写，本文件不做临界区保护；u8 单字节读在 Cortex-M4 上是原子的，风险可控，但语义上的"读-判断-动作"竞态（例如 BMS 加热逻辑读到 0 后又立刻进入升级）仍存在。
• 两处 CFG_INFO 区不一致：主用配置区在 0x00000000（紧邻 Flash 起始），备份配置区在 0x00103000；而固件主区在 0x00003000、备份区在 0x00106000，四个区域之间留有 0x1000~0x3000 的空洞，属于地址规划的显式余量，改动时需保持对称。