聊一聊汽车控制器的启动——BOOT

作者 | 万利

出品 | 汽车电子与软件

一、BOOT来源

Boot作为启动术语的来源确实与靴子有关。因为计算机的启动都是从硬件上电开始的，此时软件还没工作，需要一个引导程序把它拉起来。而拉起软件的动作又需要软件自身的启动和运行，这个过程就很像一句英文谚语：

Pull oneself up by one's bootstraps.

意思是通过鞋带把自己提起来，寓意自食其力，靠自己振作起来。由于两者思想如出一辙，计算机发展初期就把启动的引导程序称作BootStrap Loader，或Bootloader或Boot。

二、Bootloader简介

 图2：Bootloader示意图

三、Flash Bootloader

实际上，Flash Bootloader应该算是Bootloader引导后的第二道程序。第一道被引导起来的Bootloader会判断ECU状态，再根据这个状态来拉起应用程序或者进入Flash Bootloader。由于简略表达或者概念模糊，在实际工作场合中很多时候都会听到有人把Bootloader和Flash Bootloader混为一谈。我们可以根据场合保持沟通的连贯性，但心里应该清晰区分两者的区别。

图3：Flash Bootloader与内存关系示意框图

PBL的作用是在应用软件有效时引导它。PBL存储在MCU芯片的Flash，它一般是产品出厂时一次性刷好的，芯片上电或重启后，第一批执行的代码就是PBL。需要刷写软件时，PBL可以通过统一诊断服务（UDS），基于CAN或以太网等底层总线协议与外界诊断仪通信。在校核完诊断仪的权限后，PBL会将诊断仪上的SBL下载到MCU的内存RAM上，然后由SBL进行刷写。SBL包含PBL提供的所有服务以及闪存驱动器（Flash Driver）和一些额外的UDS服务。通过UDS触发，SBL会利用Flash Driver擦除旧软件，并把新软件写到对应的存储区。具体流程如下图4所示：

图4：MCU刷写流程示意图

为了避免应用软件被意外误刷写或者删除，PBL中一般不包含Flash Driver，不能直接操作闪存。每次刷写时，包含Flash Driver的SBL都会从诊断仪中重新加载到内存。这种PBL和SBL的分工方案，有这些好处：

1.平时防止应用软件被误刷写。

3.通过SBL还能反向刷写更新PBL，提高了Bootloader的整体灵活度。

四、SoC的启动和刷写

上面说的Flash Bootloader是针对传统高度嵌入式系统的。但相信各位汽车同仁也感受到，越来越多的高性能计算芯片正在汽车上普及，汽车中央电脑等方案也是不绝于耳。对于这些高性能计算芯片，行业内常以SoC（System on Chip）相称。SoC的启动和刷写方案和MCU如出一辙，但由于其内部存储管理系统和内部总线更加复杂，启动的具体实现与MCU略有差异，其细节更接近于我们熟悉的个人电脑。总体的启动流程如下图所示。

图5：BIOS和UEFI启动流程示意图

传统计算机的启动一般采用上图上部分的BIOS启动。BISO是Basic Input Output System的缩写，是计算机硬件与软件第一次相遇的地方。BIOS的代码通常被嵌入到电脑的主板的EEPROM中。BIOS可以完成计算机上电后的基本自检，并指示计算机如何执行基本功能，如启动和键盘控制。在BIOS中也可以选择配置启动参数。对，这就是我们以前重装电脑系统时，在BIOS里可以选择从光盘还是硬盘启动等操作的原因。然后BIOS会调用硬盘起始位置的MBR（Master Boot Record），然后按照其中的分区表拉起Bootloader，然后是操作系统内核，再到操作系统和应用。

当然BIOS的设计已经有年头了。现在生产的电脑基本都是使用UEFI（Unified Extensible Firmware Interface），汽车上的高性能计算单元也一样。从实现功能上来看，UEFI可以认为是升级版的BIOS。

UEFI是一个微型操作系统，它在内存中加载Bootloader，再执行额外的操作程序。作为微型操作系统，UEFI运行在固件之上，可以支持的功能比BIOS多得多，包括系统验证等安全功能。其中最核心的区别是，UEFI支持更大的寻址空间，并且可以在32位或64位模式下运行（BIOS只支持16位），也就是UEFI可以支持更大的硬盘或者网络共享，并且启动速度更快。

图6：A/B分区升级示意图

五、车载控制器启动的挑战

新年伊始，万象更新。每年的开始阶段对这一整年的影响都举足轻重。对车载控制器的启动来说也是类似，好的开始是成功的一半。正是由于启动的重要性，也有不少挑战要通过启动过程来解决。其中最突出的就是关于信息安全和启动时间的挑战。

启动的信息安全挑战

 图7：一种MCU和SoC安全启动方案的示意图

启动时长的挑战

车载业务对于启动时间又非常敏感。例如当下大家都习惯的倒车影像，我们通常坐上车、系好安全带、发动车辆挂倒挡，就希望影像能够出现在中控屏。试想如果整个启动时长需要1分钟，那我们就需要在车上等待几十秒，或者脱离辅助功能“盲开”出去了，这样的用户体验会很差。

为了迎接这个挑战，车载域控制器或计算平台经常会引入休眠模式。这也类似我们电脑的休眠模式，就是让原本掉电丢失的内存上的内容先存储到硬盘里，下次启动时再将所有内容重新加载到内存上，而不是采用重新从UEFI加载Bootloader到内核再初始化的那一套流程。这样控制器技能长时间保持低功耗，又能在需要唤醒时能够快速启动工作。当然，这需要耗费硬盘上的额外空间来存储休眠时的内存数据。以下图Windows 8的示意图为例，传统冷启动需要耗费大量的时间来初始化系统，但是从休眠模式中启动时，只需把硬盘中的休眠数据（Hiberfile）加载到内存，就可以开始用户登录了。

图8：Windows 8冷启动和从休眠中的启动时长对比示意图

而除了休眠模式，控制器还可以通过优化安全启动策略缩短启动时长。有些情况下，可以允许控制器先拉起Bootloader，操作系统和应用，并记录其启动的签名、指纹等关键数据。待系统工作后，TEE会在后台再次校验已经启动的系统是否合法，如果非法则进入相应的安全模式。这种做法比先验证再启动的方案会损失安全性，但是能缩短启动时长。基于整车网络安全架构的分析，可以让部分较为安全的控制器（例如不与外网直接通讯的本地控制器）采用这种策略。

当然，产品的发展都是多维度而不是单一维度的。车载控制器的启动过程也应该按照多维度标准去取舍和开发。这就像当年传统非智能手机的启动时间是很快，也很安全，没有那么多病毒。但还是被现在启动时间更长、安全风险更大的智能手机所取代了。春节期间大家在家看的智能电视也是一个道理。在汽车智能化的大趋势下，启动过程相信也会不断平衡，做得更加智能、高效、安全。 

参考来源：

1.https://buildstorm.com/blog/automotive-bootloader-fbl/

2.https://www.embitel.com/blog/embedded-blog/what-is-flash-bootloader-and-nuances-of-an-automotive-ecu-re-programming

3.https://baike.baidu.com/item/Bootloader/8733520

4.http://www.oz1bxm.dk/PIC/bootloader.htm

5.https://www.timesys.com/security/secure-boot-snapdragon-410/

添加下方微信加入汽车软件开发技术交流群

（仅限有技术背景人士）

添加备注姓名+公司+研究领域