CN105426198B - 车载双控制芯片系统及其辅助控制芯片程序更新方法 - Google Patents

Abstract

本发明公开了一种车载控制芯片系统辅助控制芯片程序更新方法，将主控制芯片的IO控制引脚连接辅助MCU的复位引脚；设置上位机与下位机通讯ID识别号；定义辅助控制芯片的BOOT和程序所在ROM区；将待更新的程序下载至对应ROM区中；将主控制芯片的CAN通讯工具与SPI通讯工具中转功能集成至EPS系统功能中；使用CAN通讯工具连接上位机与整车CAN网络；保证上位机和下位机间的会话应答与密钥核对机制符合整车CAN网络标准；辅助控制芯片程序文件为标准S19格式文件；主控芯片完成数据中转处理、上位机处理和辅助控制芯片BOOT处理；本发明还公开了一种车载双控制芯片系统。本发明更新方法及系统利用现有硬件资源不增加额外成本，不增加整车网络设计复杂度便于维护人员操作。

Description

车载双控制芯片系统及其辅助控制芯片程序更新方法

技术领域

本明发明涉及汽车领域，特别是涉及一种车载双控制芯片系统(ECU)。本发明还涉及车载双控制芯片系统(ECU)中辅助控制芯片(MCU)程序的更新方法。

背景技术

车载双控制芯片架构系统(ECU)由主控制芯片(MCU)、辅助控制芯片(MCU)和数字通讯硬件模块实现。其中辅助控制芯片的作用主要是监控主控制芯片的工作状态并对一些关键信息的采集做安全冗余检测。当主控制芯片功能或者ECU功能架构发生变动时，往往要求在整车环境下能够在线升级辅助控制芯片的应用程序(APP)，以适应系统功能架构的变化。

目前用到的辅助控制芯片主要有两种类型：一种是专用集成电路式芯片(ASIC)，这种类型的芯片功能取决于其逻辑电路设计，一旦芯片集成，其功能也就固定。这种芯片的优点是量产成本低，功能可靠；缺点是所实现功能相对简单，而且这种芯片只能通过更换芯片的方式更新功能；另一种是可编程式单片机(MCU)，程序通过特定的方式下载到MCU的非易失性存储器(ROM)中，运行程序即可实现新功能。这种类型的芯片优点是可实现较复杂的功能，并且可以通过更新程序的方式方便地升级芯片功能；缺点是所实现的功能受到程序中软件设计方法的限制，由于控制策略由软件代码计算得出，实时性也没有ASIC芯片好。

随着对ECU的安全性、舒适性和经济性的要求越来越高，其双MCU架构系统需要实现的功能也越来越复杂，ASIC芯片往往不能满足这种需求，因此在满足实时性要求的前提下使用MCU作为辅助控制芯片特别是开发阶段产品的辅助控制芯片成为必然的选择。在产品开发过程中，辅助控制芯片的功能升级常常发生，事实上即使在产品量产以后，也不能完全避免辅助控制芯片的功能升级问题。这就要求可以实现在不拆卸ECU外壳、不更换辅助控制芯片、不更改产品连接器、便于维护人员操作前提下的辅助控制芯片程序更新功能。现有的辅助控制芯片功能更新主要有以下两种手段：

1、如图1所示，在ECU中预留出辅助控制芯片程序烧写器的通讯接口和相应线束和连接器，更新辅助控制芯片程序时，将烧写器连接至辅助控制芯片，先将原来的旧程序从ROM中完全擦除，再将新的程序完全烧写至ROM中。这种方法的缺点是需要增加额外的线束和连接器；维护人员需具备操作烧写器的技能和设备；

2、如图2所示，使用CAN驱动芯片将辅控制芯片与整车CAN网络连接，然后将上位机利用CAN通讯工具连接至整车CAN网络，通过网络应答和ID识别，使上位机与辅助控制芯片中的BOOT程序直接建立通讯，之后实现辅助控制芯片程序更新。由于主控制芯片已经使用了一个CAN驱动器与整车CAN网络通讯；这种方法的缺点是需要2个CAN驱动器，增加了CAN网络结点数。

发明内容

本发明要解决的技术问题是提供一种利用现有硬件资源不增加额外成本，不增加整车网络设计复杂度，便于维护人员操作的车载控制芯片系统辅助控制芯片程序更新方法。

本发明还提供了一种利用现有硬件资源不增加额外成本，不增加整车网络设计复杂度，将双控制芯片系统中主控制芯片作为CAN转SPI的网关实现辅助控制芯片程序更新的车载双控制芯片系统。

为解决上述技术问题，本发明车载控制芯片系统辅助控制芯片程序更新方法，包括：

1)将主控制芯片的IO控制引脚连接辅助控制芯片的复位引脚；

2)获取整车CAN网络设计为EPS系统预留的CAN ID识别号，并将之设置为上位机与下位机通讯ID识别号；

3)定义辅助控制芯片的BOOT所在ROM区和程序所在ROM区；

4)将辅助控制芯片待更新的用户程序下载至对应ROM区中；

5)将主控制芯片的CAN通讯工具与SPI通讯工具中转功能集成至EPS系统(电动助力转向系统)功能中；

6)使用CAN通讯工具连接上位机与整车CAN网络，并保证上位机与下位机的CAN通讯正常；

7)保证上位机和下位机(ECU即车载双控芯片)间的会话应答与密钥核对机制符合整车CAN网络标准，避免对整车其它CAN网络结点造成影响；

8)辅助控制芯片程序文件为标准S19格式文件，S19文件中每“行”二进制数据均包含1个行起始地址，最多32字节的代码数据；

9)主辅助控制芯片间SPI通讯波特率设置为1Mbits～8Mbits，数据宽度为8bit～16bit；

10)主控制芯片按以下步骤完成数据中转处理、上位机处理和辅助控制芯片BOOT处理；

A)上位机发送请求下载指令给主控制芯片，主控制芯片接收到请求下载指令时将辅助控制芯片硬件重启，并在50ms内使用SPI通讯向辅助控制芯片发送请求下载指令，若在5秒内未收到准备完成指令，上位机产生擦除超时故障指令；

B)辅助控制芯片被硬件复位后，辅助控制芯片BOOT程序首先擦除程序所在ROM空间，反馈准备完成指令给主控制芯片，主控制芯片进行SPI到CAN的数据转换，发送准备完成指令给上位机；

C)上位机接到准备完成指令就开始将程序二进制文件中第一组32字节的内容解析至第一个CAN报文，其中包括目标二进制码的开始地址和二进制码，并在发送此报文后等待结果；主控制芯片接到CAN网络上传来的CAN报文，将之转换成SPI数据并传送给辅助控制芯片，辅助控制芯片识别地址和二进制码后将其还原成程序二进制文件中第一组32字节的内容并放入预定数组；当辅助控制芯片确认已经接收到所有上位机发送的CAN报文内容时，将发送接收成功指令给主控制芯片，若5秒内未收到接收成功指令，上位机产生接收超时故障指令；

D)主控制芯片将接收成功转发给上位机，上位机就发送下一条解析好的CAN报文，重复步骤C)至步骤D)直至上位机发送完第一组32字节的所有数据后并接到接收成功的指令，上位机将发送写指令和校验码给辅助控制芯片的BOOT，若校验失败则上位机产生校验失败故障指令；

E)辅助控制芯片接到写指令和校验码后首先校验之前还原的第一组32字节内容是否完整，然后执行根据目标地址执行写操作，完毕后再将目标地址中的内容读出后校验其完整性，若均完整无误，则向上位机反馈烧写成功指令，若校验失败则上位机产生故障指令烧写失败，若上位机发出写指令5秒后未收到烧写成功、烧写失败或校验失败则上位机产生烧写超时故障指令；

F)上位机接到烧写成功指令后开始传送程序第二组32字节的数据，重复步骤C)至步骤F)直至上位机将程序最后一组数据传送完毕且接收到烧写成功后，上位机向辅助控制芯片发送STOP指令；

G)辅助控制芯片BOOT接收到STOP指令后，计算并记录ROM区域的数值和，之后再读出此值与计算值校验，校验成功后发送FC(flash check，存储区域检查指令)成功指令，若校验失败则上位机产生FC失败故障指令；

H)主控制芯片接到FC成功指令后先发送FC成功给上位机，再将辅助控制芯片重启，然后软件重启；上位机接收到FC成功后显示成功100％，上位机发出STOP指令5秒后未收到下位机反馈FC成功或FC失败，上位机产生FC超时故障指令。

为解决上述技术问题，本发明的车载双控制芯片系统，包括：

上位机，解析待下载的目标文件，并将二进制文件转换成CAN报文数据传送至CAN网络；

CAN通讯设备，发送和读取CAN网络上的报文数据至主控制芯片；整车CAN网络，车载ECU作为整车CAN网络的结点，可以发送和读取CAN报文数据；

主控制芯片，将整车CAN网络的特定CAN报文数据与SPI通讯数据进行相互转换；SPI通讯线路，主控制芯片通过SPI通讯线路与辅助控制芯片进行数字通讯；

辅助控制芯片，其中有预烧写的BOOT程序；以及

连接在主控制芯片的IO控制脚和辅助控制芯片的复位引脚之间的主控制芯片硬件复位辅助控制芯片电路，主控制芯片能利用主控制芯片硬件复位辅助控制芯片电路硬件复位辅助控制芯片，主控制芯片作为整车CAN网络与主辅助控制芯片间进行SPI通信的网关，建立上位机与辅助控制芯片之间的数字通讯。

本发明的车载双控制芯片系统使用车载CAN网络更新辅助控制芯片程序，不需要拆卸ECU外壳即可实现，将双控制芯片系统中主控制芯片作为CAN转SPI的网关实现辅助控制芯片程序更新功能。

本发明的车载双控制芯片系统辅助控制芯片的更新方法，使用车载CAN网络更新辅助控制芯片程序，将双控制芯片系统中主控制芯片作为CAN转SPI的网关实现辅助控制芯片程序更新功能。辅助控制芯片程序烧写进目标ROM地址过程中有任意错误，更新过程立即停止，并发出故障指令通知操作人员重新开始下载，避免下载错误的辅助控制芯片程序，消除安全隐患；使用主控制芯片硬件复位辅助MCU的方法，使系统功能的实现完全脱离辅助控制芯片原有程序的限制，保证辅助控制芯片的BOOT可以准确地响应上位机每一次下载请求；

本发明实现车载双控制芯片系统辅助控制芯片的更新不需要增加额外线束、连接器、CAN驱动器、烧写器。辅助控制芯片程序更新过程中辅助控制芯片BOOT程序每烧写32个字节的程序，就会校验此32字节数据是否烧写成功，如果烧写失败则使上位机停止发送数据并报故障；上位机发送数据的条件则是BOOT程序接收“上一帧CAN报文”成功，这种闭环控制的机制确保辅助控制芯片程序准确完整下载；本发明可在任何工况下更新辅助控制芯片程序并在程序更新过程中检测出多种错误状态：接收超时、擦除超时、校验失败、烧写超时、烧写失败、FC超时、FC失败，根据这些错误状态可以定位更新中的异常部分。

使用本发明中的方法更新双控制芯片系统中的辅助控制芯片程序，能充分利用原有的双控制芯片架构设计，以尽量小的硬件原理设计改动安全准确地实现功能。同时对比原有的辅助控制芯片程序更新方法，本发明具有不影响原有整车设计、不需要增加额外线束和连接器、不需要拆卸操作、安全准确快速的特点，在实际使用中可减小成本，节省工作时间。

附图说明

下面结合附图与具体实施方式对本发明作进一步详细的说明：

图1是一种现有的辅助控制芯片程序更新结构示意图。

图2是另一种现有的辅助控制芯片程序更新结构示意图。

图3是本发明的车载双控制芯片系统结构示意图。

图4是本发明更新方法主控制芯片中转及控制流程示意图。

图5是本发明更新方法辅助控制芯片BOOT程序工作流程示意图。

图6是本发明更新方法故障指令流程示意图一，其显示接收超时故障指令。

图7是本发明更新方法故障指令流程示意图二，其显示擦除超时故障指令。

图8是本发明更新方法故障指令流程示意图三，其显示校验失败故障指令。

图9是本发明更新方法故障指令流程示意图四，其显示烧写超时故障指令。

图10是本发明更新方法故障指令流程示意图五，其显示烧写失败故障指令。

图11是本发明更新方法故障指令流程示意图六，其显示FC超时故障指令。

图12是本发明更新方法故障指令流程示意图七，其显示FC失败故障指令。

图13是本发明步骤5)所述通讯工具中转功能集成至EPS系统一可行实施例的示意图。

具体实施方式

如图3所示，本发明的车载双控制芯片系统一实施例，包括：

上位机，解析待下载的目标文件，并将二进制文件转换成CAN报文数据传送至CAN网络；

CAN通讯设备，发送和读取CAN网络上的报文数据至主控制芯片；整车CAN网络，车载ECU作为整车CAN网络的结点，可以发送和读取CAN报文数据；

主控制芯片，将整车CAN网络的特定CAN报文数据与SPI通讯数据进行相互转换；SPI通讯线路，主控制芯片通过SPI通讯线路与辅助控制芯片进行数字通讯；

辅助控制芯片，其中有预烧写的BOOT程序；以及

连接在主控制芯片的IO控制脚和辅助控制芯片的复位引脚之间的主控制芯片硬件复位辅助控制芯片电路，主控制芯片能利用主控制芯片硬件复位辅助控制芯片电路硬件复位辅助控制芯片，主控制芯片作为整车CAN网络与主辅助控制芯片间进行SPI通信的网关，建立上位机与辅助控制芯片之间的数字通讯。

本发明车载控制芯片系统辅助控制芯片程序更新方法一实施例，包括：

1)将主控制芯片的IO控制引脚连接辅助控制芯片的复位引脚；

2)获取整车CAN网络设计为EPS系统预留的CAN ID识别号，并将之设置为上位机与下位机通讯ID识别号；

3)定义辅助控制芯片的BOOT所在ROM区和程序所在ROM区；

4)将辅助控制芯片待更新的用户程序下载至对应ROM区中；

5)将主控制芯片的CAN通讯工具与SPI通讯工具中转功能集成至EPS系统功能中；

如图13所示，CAN通讯工具与SPI通讯工具通过一个8元素的双向数据缓冲队列实现数据中转，在通讯过程中，当上位机向下位机发送数据时，主控制芯片首先将从CAN网络上接收到的数据T放入数据队列缓冲区，然后在检测到SPI网络空闲时，将先放入数据队列缓冲区的数据T0取出，并通过SPI通讯网络发送给辅助控制芯片；同时，当辅助控制芯片向上位机发送数据时，主控制芯片首先将从SPI网络接收到的数据R放入数据队列缓冲区，然后在检测到CAN网络空闲时，将先放入数据队列缓冲区的数据R0取出，并通过CAN通讯网络发送给上位机，实现中转功能集成；

6)使用CAN通讯工具连接上位机与整车CAN网络，并保证上位机与下位机的CAN通讯正常；

7)保证上位机和下位机间的会话应答与密钥核对机制符合整车CAN网络标准，避免对整车其它CAN网络结点造成影响；

8)辅助控制芯片程序文件为标准S19格式文件，S19文件中每“行”二进制数据均包含1个行起始地址，最多32字节的代码数据；

9)主辅助控制芯片间SPI通讯波特率设置为1Mbits～8Mbits，数据宽度为8bit～16bit；

10)如图4所示，主控制芯片按以下步骤完成数据中转处理、上位机处理和辅助控制芯片BOOT处理；

本发明更新方法辅助控制芯片BOOT程序工作流程如图5所示。

A)如图7所示，上位机发送“请求下载”指令给主控制芯片，主控制芯片接收到整车CAN网络中发来的“请求下载”指令时，将辅助控制芯片硬件重启，并在50ms内使用SPI通讯向辅助MCU发送“请求下载”指令，若在5秒内未收到“准备完成”上位机产生故障指令“擦除超时”；

B)辅助控制芯片被硬件复位后，首先执行BOOT程序；由于主控制芯片及时发送“请求下载”指令，辅助控制芯片BOOT程序首先擦除程序所在ROM空间，之后反馈“准备完成”指令给主控制芯片，主控制芯片进行SPI到CAN的数据转换，发送“准备完成”指令给上位机；

C)如图6所示，上位机接到“准备完成”的指令就开始将程序二进制文件中第一组32字节的内容解析至第一个CAN报文，其中包括目标二进制码的开始地址和二进制码，并在发送此报文后等待结果；主控制芯片接到CAN网络上传来的CAN报文，将之转换成SPI数据并传送给辅助MCU，辅助MCU识别地址和二进制码后将其还原成程序二进制文件中第一组32字节的内容并放入预定数组；当辅助MCU确认已经接收到所有上位机发送的CAN报文内容时，将发送“接收成功”指令给主控制芯片，若5秒内未收到“接收成功”指令则上位机产生故障指令“接收超时”；

D)如图8所示，主控制芯片将“接收成功”转发给上位机，上位机就发送下一条解析好的CAN报文，重复步骤C)至步骤D)直至上位机发送完第一组32字节的所有数据后又接到了“接收成功”的指令，上位机将发送“写”指令和校验码给辅助控制芯片的BOOT，若校验失败则上位机产生故障指令“校验失败”；

E)如图9、10所示，辅助控制芯片接到“写”指令和校验码后首先校验之前还原的第一组32字节内容是否完整，然后执行根据目标地址执行写操作，完毕后再将目标地址中的内容读出后校验其完整性，如果均完整无误，则向上位机反馈“烧写成功”指令，若校验失败则上位机产生故障指令“烧写失败”，若上位机发出“写”指令5秒后未收到“烧写成功”、“烧写失败”或“校验失败”则上位机产生故障指令“烧写超时”；

F)上位机接到“烧写成功”指令后开始传送程序第二组32字节的数据，重复第3至6步直至上位机将程序最后一组数据传送完毕且接收到“烧写成功”后，上位机向辅助控制芯片发送“STOP”指令；

G)如图12所示，辅助控制芯片BOOT接收到“STOP”指令后，计算并记录ROM区域的数值和，之后再读出此值与计算值校验，校验成功后发送“FC成功”指令，若校验失败则上位机产生故障指令“FC失败”；

H)如图11所示，主控制芯片接到“FC成功”指令后先发送“FC成功”给上位机，再将辅助MCU硬件重启，然后软件重启；上位机接收到“FC成功”后显示“成功100％”，上位机发出“STOP”指令5秒后未收到下位机反馈“FC成功”或“FC失败”则上位机产生故障指令“FC超时”。

以上通过具体实施方式和实施例对本发明进行了详细的说明，但这些并非构成对本发明的限制。在不脱离本发明原理的情况下，本领域的技术人员还可做出许多变形和改进，这些也应视为本发明的保护范围。

Claims (2)

1.一种车载双控制芯片系统辅助控制芯片程序更新方法，其特征是，包括：

1)将主控制芯片的IO控制引脚连接辅助控制芯片的复位引脚；

2)获取整车CAN网络设计为EPS系统预留的CAN ID识别号，设置为上位机与下位机通讯ID识别号；

3)定义辅助控制芯片的BOOT所在ROM区和程序所在ROM区；

4)将辅助控制芯片待更新的程序下载至对应ROM区中；

5)将主控制芯片的CAN通讯工具与SPI通讯工具中转功能集成至EPS系统功能中；

6)使用CAN通讯工具连接上位机与整车CAN网络；

7)保证上位机和下位机间的会话应答与密钥核对机制符合整车CAN网络标准；

8)辅助控制芯片程序文件为标准S19格式文件，S19文件中每“行”二进制数据均包含1个行起始地址，最多32字节的代码数据；

9)主辅助控制芯片间SPI通讯波特率设置为1Mbits～8Mbits,数据宽度为8bit～16bit；

10)主控制芯片按以下步骤完成数据中转处理、上位机处理和辅助控制芯片BOOT处理；

A)上位机发送请求下载指令给主控制芯片，主控制芯片接收到请求下载指令时将辅助控制芯片硬件重启，并在50ms内使用SPI通讯向辅助控制芯片发送请求下载指令，若在5秒内未收到准备完成指令，上位机产生擦除超时故障指令；

B)辅助控制芯片被硬件复位后，辅助控制芯片BOOT程序首先擦除程序所在ROM空间，反馈准备完成指令给主控制芯片，主控制芯片进行SPI到CAN的数据转换，发送准备完成指令给上位机；

C)上位机接到准备完成指令就开始将程序二进制文件中第一组32字节的内容解析至第一个CAN报文，其中包括目标二进制码的开始地址和二进制码，并在发送此报文后等待结果；主控制芯片接到CAN网络上传来的CAN报文，将之转换成SPI数据并传送给辅助控制芯片，辅助控制芯片识别地址和二进制码后将其还原成程序二进制文件中第一组32字节的内容并放入预定数组；当辅助控制芯片确认已经接收到所有上位机发送的CAN报文内容时，将发送接收成功指令给主控制芯片，若5秒内未收到接收成功指令，上位机产生接收超时故障指令；

D)主控制芯片将接收成功转发给上位机，上位机就发送下一条解析好的CAN报文，重复步骤C)至步骤D)直至上位机发送完第一组32字节的所有数据后并接到接收成功的指令，上位机将发送写指令和校验码给辅助控制芯片的BOOT，若校验失败则上位机产生校验失败故障指令；

E)辅助控制芯片接到写指令和校验码后首先校验之前还原的第一组32字节内容是否完整，然后根据目标地址执行写操作，完毕后再将目标地址中的内容读出后校验其完整性，若均完整无误，则向上位机反馈烧写成功指令，若校验失败则上位机产生故障指令烧写失败，若上位机发出写指令5秒后未收到烧写成功、烧写失败或校验失败则上位机产生烧写超时故障指令；

F)上位机接到烧写成功指令后开始传送程序第二组32字节的数据，重复步骤C)至步骤F)直至上位机将程序最后一组数据传送完毕且接收到烧写成功后，上位机向辅助控制芯片发送STOP指令；

G)辅助控制芯片BOOT接收到STOP指令后，计算并记录ROM区域的数值和，之后再读出此值与计算值校验，校验成功后发送FC成功指令，若校验失败则上位机产生FC失败故障指令；

H)主控制芯片接到FC成功指令后先发送FC成功给上位机，再将辅助控制芯片重启，然后软件重启；上位机接收到FC成功后显示成功100％，上位机发出STOP指令5秒后未收到下位机反馈FC成功或FC失败，上位机产生FC超时故障指令。

2.一种车载双控制芯片系统，包括：

上位机，解析待下载的目标文件，并将二进制文件转换成CAN报文数据传送至CAN网络；

CAN通讯设备，发送和读取CAN网络上的报文数据至主控制芯片；

整车CAN网络，车载ECU作为整车CAN网络的结点，可以发送和读取CAN报文数据；

主控制芯片，将整车CAN网络的特定CAN报文数据与SPI通讯数据进行相互转换；

SPI通讯线路，主控制芯片通过SPI通讯线路与辅助控制芯片进行数字通讯；

辅助控制芯片，其中有预烧写的BOOT程序；

其特征是，还包括：

连接在主控制芯片的IO控制脚和辅助控制芯片的复位引脚之间的主控制芯片硬件复位辅助控制芯片电路，主控制芯片能利用主控制芯片硬件复位辅助控制芯片电路硬件复位辅助控制芯片，主控制芯片作为整车CAN网络与主辅助控制芯片间进行SPI通信的网关，建立上位机与辅助控制芯片之间的数字通讯。