基于实时操作系统的车载ECU双分区软件空中下载升级技术.docxVIP

针对空中下载（OverTheAir，OTA）升级失败时，实时操作系统（RealTimeOperatingSystem，RTOS）控制器无法进行软件回滚的问题，提出了一种双分区升级技术，此技术分为同面启动升级和异面启动升级。同面启动升级通过外扩存储器作为备份分区，升级时将原程序复制至备份分区后将软件下载至激活分区启动执行；而异面启动升级通过读取控制器分区信息将软件下载至备份分区，利用地址重映射技术和SWAPAB技术进行分区切换，从而实现升级或失败时软件回滚。通过搭建测试环境验证了该软件回滚技术的可行性、有效性及稳定性。

前言

随着汽车智能化、网联化的发展，OTA功能已成为智能网联汽车发展的必然趋势。常见OTA升级架构是云服务器端通过TBOX将升级包下载至车端缓存，由升级主控节点对网络架构中控制器按照刷写流程进行升级更新。采用将升级程序直接刷写在应用程序分区的升级技术，其局限性在于当应用程序升级失败后，原分区里的程序已被擦除导致没有程序可正常运行，控制器将始终处于引导加载程序（BootLoader）中无法正常工作。针对没有可执行的回滚程序问题，采用在网关内部Flash中存储当前版本的技术，当升级失败时网关会调用Flash中的软件再次进行刷写，此技术只针对RTOS传统实时操作系统的控制，并且存在网关内存空间大且回滚逻辑繁琐的缺点。针对网关自升级将Flash划分为两个相同区域，两者功能上完全一样互为备份，升级时只针对其中一个区域进行升级，失败时利用另一个区域进行回滚，但是只针对Linux、QNX和安卓等智能操作系统的控制器，RTOS传统控制器并没有此类升级技术。

因此，针对现有RTOS控制器只有1个分区，且升级失败造成无程序可回滚的问题，提出了一种双分区升级技术。考虑控制器内存空间大小不同，设计了同面启动和异面启动升级技术。该技术具有以下贡献：

（1）针对如何管理分区的问题，设计了启动信息用于标识双分区属性信息，选择对应的分区进行刷写升级、启动或回滚；

（2）在原芯片的基础上通过外扩存储器实现同面启动的双分区升级技术，避免了芯片重新选型及硬件设计，减少了开发的工作量；

（3）设计了一种新的升级包选择下载、安装启动及回滚的异面启动双分区升级技术，优化了升级包制作和刷写流程，可以快速实现分区切换和软件回滚。

1双分区定义

1.1存储空间分区

双分区控制器除了引导加载程序分区外，一般需要激活分区（ActiveSlot）存放当前执行应用程序，备份分区（BackupSlot）存放回滚旧版本程序，此外，还需要一个启动信息（SlotInfo）分区，用于存储激活分区和备份分区的相关属性信息，硬件存储空间如图1所示。

1.2控制器启动方式?

引导加载程序需要根据启动信息来判断当前激活分区并引导启动对应的应用程序。该启动信息将在应用程序的有效性判断、下载刷新完成或版本回滚时进行必要的状态切换。启动信息关键属性见表1。

1.3升级包的组成?

对于纯软件实现双分区的控制器，一般会有两个起始地址不同的应用程序分区，升级时需要两个功能相同但起始地址不同的应用程序。将两个不同地址的应用程序通过编译合并后，生成一个大小为两个程序分区的文件用于控制器的选取升级，如图2所示。

2双分区升级技术

2.1同面启动升级技术

同面启动升级技术要求每次下载刷新及启动始终在片内Flash的激活分区进行，设计的升级技术流程如下。

（1）控制器默认出厂设置时激活分区和备份分区的软件版本一致。?

（2）控制器收到主控节点发送的0x3101FF00擦除程序区指令时，需先对比激活分区和备份分区程序版本号，如果不一致则需将激活分区中的程序复制到备份分区中。外扩存储器升级包下载流程如图3所示。?

（3）升级包下载刷新到激活分区后，启动信息属性信息更新，控制器会先判断激活分区程序有效性，如果激活分区程序有效，启动激活分区程序，并上报本次OTA任务升级成功。?

（4）当激活分区程序无效或安装失败时，利用备份分区程序复制到激活分区实现软件版本回滚，升级流程及启动信息属性更新变化如图4所示。

2.2异面启动升级技术

异面启动是目前主流升级技术，控制器内存空间满足双分区要求，主要分为基于SWAPAB和基于非SWAPAB的双分区升级技术。

2.2.1基于SWAPAB技术的下载流程?

SWAPAB技术是指利用地址重映射技术将激活分区和备份分区的物理内存地址进行互换，保证了激活分区的地址始终保持固定，所以升级的重点在于如何管理下载刷新和分区切换，设计的升级下载流程如下。?

（1）主控节