面包芯语

详解汽车软件Boot程序的几种自刷新方式

汽车ECU开发 2022-12-13 08:21
构建AI未来，Arm计算平台无处不在 如何增强电动汽车的实时控制能力？
汽车软件Boot程序的主要作用是刷新App程序。在一个具体客户项目中，Boot也是客户需求的一部分，跟随项目也有软件开发计划（有的为了和其它Boot区分，把项目上的Boot称作CB, Customer Boot）。

对于已经下线盒盖的控制器，无论是在供应商或者客户手里测试，只能通过CB刷新App。如果需要CB自刷新，就需要额外的方法。

规范：

整车厂只有对App程序刷新的规范，没有对Boot自刷新的规范。因为规范是针对量产车的，售后只负责App程序的升级，不对Boot升级（也不允许Boot升级）。
所以，Boot的自刷新只存在于项目开发阶段，且由供应商自行提供方案。本文分析五种Boot自更新方式的优缺点。

方式一，SB更新CB：

如图1-a，有的软件架构是两级Boot：SB+CB，Start Boot只检查CPU最小系统，与具体项目的外围电路无关，它独立于客户需求，由供应商自行维护，在Pilot项目早期就应开发完成。因为程序启动顺序是SB->CB->App,这样在SB里增加刷新逻辑可以更新CB。通常情况下运行CB更新App程序，特殊情况下程序启动后一直停留在SB里，更新CB。

优点：
1.逻辑结构简单清晰，软件分工明确。
2.一次刷新，操作简易。

缺点：
1.需要较大的Flash空间在SB里存放刷新逻辑，项目SOP后又要禁止这种刷新方式，造成额外的浪费。
2.软件分三级启动，结构复杂，开发和维护成本较高。对于不需要SB的控制器是一种负担。
3.万一SB也需要更新怎么办？按照这种策略，还得做个SSB？显然不现实。

方式二、RAM+Flash Reboot更新

如图2-a，不存在SB情况下，程序启动顺序是CB->App。需要刷新Boot时，首先把Reboot程序下载到不用的RAM里（图2-b），然后在RAM环境下运行ReBoot,下载新的CB（图2-c）

优点：
1. 不需要额外的Flash空间，Boot程序运行只需要少量的RAM，因此为App设计的RAM临时可以保存Reboot程序。
2. RAM擦写速度很快，则下载ReBoot的速度会很快。

缺点：
在CB更新过程中万一CPU掉电，重新上电后Reboot内容全无，CB已经破损，程序不能正常启动，控制器瘫痪，只能开盖用JTAG烧写程序。

方式三、RAM+RAM ReBoot更新（对方式二的改进）

首先把ReBoot（蓝色）+NewCB（紫色）一起都下载到RAM里（图3-a），然后运行ReBoot,擦除CB Flash区域，将RAM中NewCB复制到CB Flash区域（这一步内部完成）。最后，重新上电复位，RAM中的ReBoot和NewCB自动丢失，程序从新的CB开始运行。

优点：
 1.相比方式二少了一步刷新（因为ReBoot和CB是绑在一起的）。
 2.相比方式二CB更新全部在CPU内部执行，不受外界干扰，耗时更短。

缺点：
 1. 相比方式二需要更大的RAM空间存储ReBoot+NewCB。
 2. 和方式二一样存在CB更新阶段掉电后控制器瘫痪的风险 。

方式四、借助App程序Flash空间

刷新分三步：1.图4-b运行CB，擦除App，把ReBoot下载到App区域。2.图4-c运行ReBoot,擦除旧CB，刷入新CB。3.图4-d运行新CB，刷回App。

优点：
1.不需要额外的Flash和RAM资源。
2.稳定可靠，通过优化设计，可以保证在任何一个步骤突然掉电，上电后可以继续操作，控制器不会刷死。（详细设计方法请看附录）
3.对CB做稍微改造就可以成为Reboot程序，开发快速。

缺点：
1.步骤繁多，为了更新CB必须要先擦除App，最后恢复App，至少三次刷新。对不熟悉步骤的操作者容易搞混乱。
2.整体刷新时间会较长，两次Boot+一次App

方式五、借助额外Flash空间

相比方式四，需要一块和CB一样大小的额外Flash空间，刷新分三步：
  1. 图5-b,运行CB，刷入ReBoot到额外Flash。
  2. 图5-c,运行ReBoot，更新CB。
  3. 运行新的CB，破坏ReBoot（全部擦除，或只擦除ReBoot有效性标志）

优点：相比方式四，不需要破坏App程序，也省去了这部分更新时间。

缺点：相比方式四，需要额外的Flash空间，且必须是独立的Block。


小结：

本质上只有三种：
  1. 依赖启动程序SB（方式一），当CPU的Flash资源很富余且项目需要两级Boot时，用该方法最节省时间。
  2. 借助RAM（方式二、三）3.借助Flash（方式四、五）。只需要单级Boot（CB）时，可以容忍因Boot刷新瘫痪必须要给控制器开盖带来时间，人力，物力的成本损耗的情况下用方式二，三较方便。
  3. 只需要单级Boot（CB）时，不允许或不方便控制器开盖，但可以容忍Boot更新步骤繁多时间较长的情况下用方式四、五最可靠。

综上，工程师需要根据整体软件架构，CPU资源，时间人力物料等成本因素综合考虑一种适合自己产品及项目的Boot自刷新方法。

附录：
《Boot自刷新方式四（借助Flash）的具体实现方法》

背景：
对于方式四借助Flash刷新【不存在刷死风险，在任何一个步骤中控制器突然掉电，上电后可以继续操作。】的结论，是有条件的。笔者给出这个结论是从最理想的前提思考的，即只要控制器中至少有一个Boot存在（即使一个是坏的），程序就可以从任何一正常的Boot启动运行。这里就有一个问题，CPU怎么判断哪个Boot是好的，哪个是坏的？现在分析一下存在控制器刷死这种风险的情况和几种对策方案。

两级启动地址介绍：
如下图示，CPU上电后程序按地址顺序，检查BootSector的有效性，如果BOOT_ID合法则从指定的地址开始执行，否则检查下一个BootSector。
考虑CPU至少具备两个启动地址的情况，如图1-a,当且仅当启动地址1有效时（App为空），程序启动后自动进入Boot。如图1-b,当且仅当启动地址2有效时（不带Boot测试），程序启动后自动进入App。如图1-c，当启动地址1，2都有效势，程序优先从地址1启动，在Boot里检查App程序有效时，再靠跳转指令Jump到启动地址2，开始运行App。

方式四控制器刷死情况分析：
如图 2-a，运行Reboot更新CB途中断电。重新上电后，如图2-b，由于启动地址1的内容是在刷新开始就被更新了是有效的，程序会进入CB运行，但是CB不完整，必然运行出错，程序不会跳入ReBoot里，从而不能再刷新（即刷死）。假设从擦除完旧CB开始到刷入新CB完成的时间有10S，在此期间掉电的可能性也不能忽略。

对策一、Boot有效性标志与启动地址重合

考虑最普遍情况，CPU只能整块（Block）的擦出（16K,32K,64K...），可以最少4字节单位写，没有顺序限制，现在CB只用了一个Block。现在调整刷新顺序：擦出成功后，先刷新橙色区域，最后一步刷新启动地址1有效性标志（灰色区域）。这样，即使在更新橙色区域过程中掉电。

重新上电后，程序依然从启动地址2开始运行，即重新运行Reboot继续等待刷新CB指令，如图3-a所示。具体操作时也不需要更改下载流程，使用$34,36服务按顺序从上位机传输数据到CPU中，先把启动地址1的有效性标志放到RAM里，当把橙色区域都下载到Flash后，再从RAM里把启动地址1的有效性标志写到Flash里（这一步10ms以内即可完成，完全可以忽略在此时间内掉电的可能性）
如果最后一步启动地址1刷新成功，再重新上电后，程序从启动地址1开始运行新的Boot。即启动地址1起了Boot有效性标志的作用（最先擦，最后写），如图3-b所示。

对策二、Boot有效性标志独立置尾，增加Boot有效性检查逻辑

如图4-a,把Boot分成2个段，Sec1里仅存放少量的启动自检查逻辑，当它检测到置于Sec2末尾的CB_ValidFlg无效时，即认为Boot是不完整的，则程序控制跳转到启动地址2继续运行ReBoot，重新刷新Boot。

如图4-b,当Sec1的逻辑检测到CB_ValidFlg有效时，即认为Boot刷新完成，则程序控制跳转入Sec2里，此时由于App(ReBoot)末尾的App_ValidFlg是无效的，程序并不会跳转入ReBoot里，接下来就可以刷入新的App了。

这种方法只需要对CB的逻辑和段分配做一下调整，不需要更改刷新顺序。Sec1里的启动自检查逻辑可以做的尽量小，则只要保证刷新Sec1段的过程中不掉电，控制器就不会刷死，大大降低风险。但是对量产软件，检查CB_ValidFlg无效就直接跳转入App是不合理的，所以当Boot最终定型后，应该把这个跳转逻辑关闭。

来源|研制智能汽车
推荐阅读

揭秘理想的整车电子电气架构

国内主机整车EEA架构汇总

如何一步一步成为一个技术领域专家

谈谈Bootloader自更新

谈谈对两家AUTOSAR工具看法

奥迪首款800V车型技术总览

汽车软件需求是如何变成用户功能？

电子电气架构设计需要考虑哪些方面？

汽车E/E架构的网络安全分析

电子电气架构设计需要考虑哪些方面？

深度解读汽车域控制器
自动驾驶域控制器信息梳理
汽车软件开发的下一个阶段是什么样的？
谈谈对汽车OTA的理解
小鹏P7内部ECU技术信息梳理

分享不易，恳请点个【👍】和【在看】

登录阅读全文
免责声明： 该内容由专栏作者授权发布或作者转载，目的在于传递更多信息，并不代表本网赞同其观点，本站亦不保证或承诺内容真实性等。若内容或图片侵犯您的权益，请及时联系本站删除。侵权投诉联系：  nick.zong@aspencore.com！
汽车ECU开发 专注于汽车电子ECU软件开发，技术分享。
评论
  • 剖析光耦在室内LED屏专用电源中的应用场景和优势
    随着数字化的不断推进，LED显示屏行业对4K、8K等超高清画质的需求日益提升。与此同时，Mini及Micro LED技术的日益成熟，推动了间距小于1.2 Pitch的Mini、Micro LED显示屏的快速发展。这类显示屏不仅画质卓越，而且尺寸适中，通常在110至1000英寸之间，非常适合应用于电影院、监控中心、大型会议、以及电影拍摄等多种室内场景。鉴于室内LED显示屏与用户距离较近，因此对于噪音控制、体积小型化、冗余备份能力及电气安全性的要求尤为严格。为满足这一市场需求，开关电源技术推出了专为
    晶台光耦 2025-01-13 10:42 498浏览
  • “回望2024展望2025”专题博文
    新年伊始，又到了对去年做总结，对今年做展望的时刻 不知道你在2024年初立的Flag都实现了吗？ 2025年对自己又有什么新的期待呢？ 2024年注定是不平凡的一年， 一年里我测评了50余块开发板， 写出了很多科普文章， 从一个小小的工作室成长为科工公司。 展望2025年， 中国香河英茂科工， 会继续深耕于，具身机器人、飞行器、物联网等方面的研发， 我觉得，要向未来学习未来， 未来是什么？ 是掌握在孩子们生活中的发现，和精历， 把最好的技术带给孩子，
    丙丁先生 2025-01-11 11:35 457浏览
  • 探索绿色能源系统的固态继电器：2025年展望
    随着全球向绿色能源转型的加速，对高效、可靠和环保元件的需求从未如此强烈。在这种背景下，国产固态继电器(SSR)在实现太阳能逆变器、风力涡轮机和储能系统等关键技术方面发挥着关键作用。本文探讨了绿色能源系统背景下中国固态继电器行业的前景，并强调了2025年的前景。 1.对绿色能源解决方案日益增长的需求绿色能源系统依靠先进的电源管理技术来最大限度地提高效率并最大限度地减少损失。固态继电器以其耐用性、快速开关速度和抗机械磨损而闻名，正日益成为传统机电继电器的首选。可再生能源（尤其是太阳能和风能
    克里雅半导体科技 2025-01-10 16:18 325浏览
  • PNT、GNSS与GPS：卫星定位导航技术的清晰区分
    PNT、GNSS、GPS均是卫星定位和导航相关领域中的常见缩写词，他们经常会被用到，且在很多情况下会被等同使用或替换使用。我们会把定位导航功能测试叫做PNT性能测试，也会叫做GNSS性能测试。我们会把定位导航终端叫做GNSS模块，也会叫做GPS模块。但是实际上他们之间是有一些重要的区别。伴随着技术发展与越发深入，我们有必要对这三个词汇做以清晰的区分。一、什么是GPS？GPS是Global Positioning System（全球定位系统）的缩写，它是美国建立的全球卫星定位导航系统，是GNSS概
    德思特测试测量 2025-01-13 15:42 491浏览
  • 一文读懂，数字隔离芯片如何实现电气隔离？
    数字隔离芯片是现代电气工程师在进行电路设计时所必须考虑的一种电子元件，主要用于保护低压控制电路中敏感电子设备的稳定运行与操作人员的人身安全。其不仅能隔离两个或多个高低压回路之间的电气联系，还能防止漏电流、共模噪声与浪涌等干扰信号的传播，有效增强电路间信号传输的抗干扰能力，同时提升电子系统的电磁兼容性与通信稳定性。容耦隔离芯片的典型应用原理图值得一提的是，在电子电路中引入隔离措施会带来传输延迟、功耗增加、成本增加与尺寸增加等问题，而数字隔离芯片的目标就是尽可能消除这些不利影响，同时满足安全法规的要
    华普微HOPERF 2025-01-15 09:48 79浏览
  • 如何在ADC性能测试场景中分析频谱泄露现象？
      在信号处理过程中，由于信号的时域截断会导致频谱扩展泄露现象。那么导致频谱泄露发生的根本原因是什么？又该采取什么样的改善方法。本文以ADC性能指标的测试场景为例，探讨了对ADC的输出结果进行非周期截断所带来的影响及问题总结。 两个点   为了更好的分析或处理信号，实际应用时需要从频域而非时域的角度观察原信号。但物理意义上只能直接获取信号的时域信息，为了得到信号的频域信息需要利用傅里叶变换这个工具计算出原信号的频谱函数。但对于计算机来说实现这种计算需要面对两个问题： 1.
    TIAN301 2025-01-14 14:15 108浏览
  • 高性能国产接口芯片：简化通信设备的关键推动力
    随着通信技术的迅速发展，现代通信设备需要更高效、可靠且紧凑的解决方案来应对日益复杂的系统。中国自主研发和制造的国产接口芯片，正逐渐成为通信设备（从5G基站到工业通信模块）中的重要基石。这些芯片凭借卓越性能、成本效益及灵活性，满足了现代通信基础设施的多样化需求。 1. 接口芯片在通信设备中的关键作用接口芯片作为数据交互的桥梁，是通信设备中不可或缺的核心组件。它们在设备内的各种子系统之间实现无缝数据传输，支持高速数据交换、协议转换和信号调节等功能。无论是5G基站中的数据处理，还是物联网网关
    克里雅半导体科技 2025-01-10 16:20 444浏览
  • Armv8-A到底是什么东西
    ARMv8-A是ARM公司为满足新需求而重新设计的一个架构，是近20年来ARM架构变动最大的一次。以下是对ARMv8-A的详细介绍： 1. 背景介绍    ARM公司最初并未涉足PC市场，其产品主要针对功耗敏感的移动设备。     随着技术的发展和市场需求的变化，ARM开始扩展到企业设备、服务器等领域，这要求其架构能够支持更大的内存和更复杂的计算任务。 2. 架构特点    ARMv8-A引入了Execution State（执行状
    丙丁先生 2025-01-12 10:30 466浏览
  • 无人机电池和电源行业发展现状及市场潜力分析报告
    根据Global Info Research(环洋市场咨询)项目团队最新调研，预计2030年全球无人机电池和电源产值达到2834百万美元，2024-2030年期间年复合增长率CAGR为10.1%。 无人机电池是为无人机提供动力并使其飞行的关键。无人机使用的电池类型因无人机的大小和型号而异。一些常见的无人机电池类型包括锂聚合物（LiPo）电池、锂离子电池和镍氢（NiMH）电池。锂聚合物电池是最常用的无人机电池类型，因为其能量密度高、设计轻巧。这些电池以输出功率大、飞行时间长而著称。不过，它们需要
    GIRtina 2025-01-13 10:49 182浏览
  • 什么是CPK？看这篇就够了
    01. 什么是过程能力分析？过程能力研究利用生产过程中初始一批产品的数据，预测制造过程是否能够稳定地生产符合规格的产品。可以把它想象成一种预测。通过历史数据的分析，推断未来是否可以依赖该工艺持续生产高质量产品。客户可能会要求将过程能力研究作为生产件批准程序 (PPAP) 的一部分。这是为了确保制造过程能够持续稳定地生产合格的产品。02. 基本概念在定义制造过程时，目标是确保生产的零件符合上下规格限 (USL 和 LSL)。过程能力衡量制造过程能多大程度上稳定地生产符合规格的产品。核心概念很简单：
    优思学院 2025-01-12 15:43 522浏览
  • 一“眼”识熟，艾迈斯欧司朗多光谱传感技术智控食品链
    食物浪费已成为全球亟待解决的严峻挑战，并对环境和经济造成了重大影响。最新统计数据显示，全球高达三分之一的粮食在生产过程中损失或被无谓浪费，这不仅导致了资源消耗，还加剧了温室气体排放，并带来了巨大经济损失。全球领先的光学解决方案供应商艾迈斯欧司朗（SIX：AMS）近日宣布，艾迈斯欧司朗基于AS7341多光谱传感器开发的创新应用来解决食物浪费这一全球性难题。其多光谱传感解决方案为农业与食品行业带来深远变革，该技术通过精确判定最佳收获时机，提升质量控制水平，并在整个供应链中有效减少浪费。 在2024
    艾迈斯欧司朗 2025-01-14 18:45 61浏览
  • 超声波流量传感器将如何掀起流体计量行业的新浪潮？
    流量传感器是实现对燃气、废气、生活用水、污水、冷却液、石油等各种流体流量精准计量的关键手段。但随着工业自动化、数字化、智能化与低碳化进程的不断加速，采用传统机械式检测方式的流量传感器已不能满足当代流体计量行业对于测量精度、测量范围、使用寿命与维护成本等方面的精细需求。流量传感器的应用场景（部分）超声波流量传感器，是一种利用超声波技术测量流体流量的新型传感器，其主要通过发射超声波信号并接收反射回来的信号，根据超声波在流体中传播的时间、幅度或相位变化等参数，间接计算流体的流量，具有非侵入式测量、高精
    华普微HOPERF 2025-01-13 14:18 482浏览
我要评论
0
点击右上角，分享到朋友圈 我知道啦
请使用浏览器分享功能 我知道啦