CN106647238A - 一种基于can线刷新冗余控制器的方法 - Google Patents

Abstract

本发明公开了一种基于CAN线刷新冗余控制器的方法，该方法基于CAN网络，CAN网络包括外部刷新设备和冗余控制器，所述外部刷新设备包括代码数据单元和外部刷新设备控制单元；代码数据单元加载解析代码和数据，然后发送给外部刷新设备控制单元，外部刷新设备控制单元的引导程序接收代码和数据写入控制单元内部的FLASH中。所述外部刷新设备通过CANBUS设备连接到CAN网络，冗余控制器内部的控制单元通过芯片上CAN电路接口连接到CAN网络中，冗余控制器内设有控制器EAU_A和控制器EAU_B。控制器EAU_A和控制器EAU_B之间交互通过CAN接口连接。

Description

一种基于CAN线刷新冗余控制器的方法

技术领域

本发明属于航空电子控制技术领域，具体涉及一种基于CAN线刷新冗余控制器的方法。

背景技术

发动机控制器代码或数据的刷新一般是外部数据刷写工具通过ECU通信网络(目前多为CAN总线)，向ECU发送数据信息，实现ECU数据的管理和更新。

在控制器开发阶段，调试工具可以通过特定接口例如JTAG口直接连接控制器电路板进行刷新，无需通过外部刷新工具刷新控制器，在控制器试验阶段，复杂的试验环境有可能干扰信号和损坏控制器电路板，所以控制器电路板被固定在封闭外壳内，这种情况下无法通过特定接口直接刷新控制器电路板，只能通过外部数据刷新工具对控制器的程序或数据进行更新。在控制器售后阶段，从成本上考虑控制器电路板不包含特定调试接口，与试验阶段情况类似，只能使用外部刷新工具刷新控制器程序。

航空发动机因为其行业特殊性，有很高的安全性能需求和标准要求，所以硬件上一般采用冗余控制器的方法提高控制系统安全性，但是控制器的刷新一般刷新时间过长，刷新效率较低，并且不同控制器的刷新模式不易重用，影响控制器的开发和试验阶段进度，也提高售后控制器数据更新的校验和检查难度。

发明内容

根据以上现有技术的不足，本发明所要解决的技术问题是提出一种基于CAN线的刷新冗余控制器的办法，这种刷新办法通过CAN线对数据块编码的特点设计不同的刷新模式刷新冗余控制器内部某个或所有控制单元，采用ISO14229中标准的诊断服务设计刷新控制流程，从而缩短冗余控制器的刷新时间，提高刷新效率，保证刷新数据的完整性，并且适用于所有包含CAN接口的冗余控制器的刷新，有极高的适用性，提高控制器开发效率，加快控制器开发和试验进度，并且在售后阶段提供可靠的控制数据更新。

为了解决上述技术问题，本发明采用的技术方案为：一种基于CAN线刷新冗余控制器的方法，该方法基于CAN网络，CAN网络包括外部刷新设备和冗余控制器，所述外部刷新设备包括代码数据处理单元和外部刷新设备控制单元；代码数据处理单元用于加载并解析代码数据，外部刷新设备控制单元用于建立刷新网络和控制刷新流程，冗余控制器的引导程序接收代码数据并写入控制单元内部的FLASH中。所述外部刷新设备包括代码数据单元和外部刷新设备控制单元；代码数据单元加载解析代码和数据，然后发送给外部刷新设备控制单元，外部刷新设备控制单元的引导程序接收代码和数据写入控制单元内部的FLASH中。所述外部刷新设备通过CANBUS设备连接到CAN网络，冗余控制器内部的控制单元通过芯片上CAN电路接口连接到CAN网络中，冗余控制器内设有控制器EAU_A和控制器EAU_B。控制器EAU_A和控制器EAU_B之间交互通过CAN接口连接。该方法首先进行刷新连接，在控制器刷新前，先建立整个刷新网络，外部刷新设备通过CANBUS设备与冗余控制器CAN接口连接组成一个刷新CAN网络。该方法通过切换诊断会话服务来建立外部刷新设备和冗余控制器的通讯连接，切换诊断会话服务中包含选择刷新目标的CANID信息，当控制单元响应诊断服务，则建立通讯连接，根据选择的刷新目标自动选择同步或异步刷新模式。该方法如果选择单个控制单元作为刷新目标即使用异步刷新模式，控制器内部每个控制单元都设定了不同的发送消息和接收消息的CANID，CANIDA_R是控制单元EAU_A的接收消息CANID，外部刷新设备通过CANIDA_R选择控制单元EAU_A为刷新目标；CANIDA_T为控制单元EAU_A的发送消息CANID，控制单元EAU_A通过CANIDA_T向外部刷新工具反馈刷新状态；CANIDB_R和CANIDB_T分别是控制单元EAU_B的接收和发送消息的CANID，控制单元EAU_B通过这两个CANID与外部刷新工具进行交互。该方法如果选择所有控制单元作为刷新目标即使用同步刷新模式，控制器内每个控制单元都包含不同的发送消息的CANID，CANIDA_T和CANIDAB_T为控制单元各自的发送消息CANID；而CANID_R为所有控制单元相同的接收消息CANID，外部刷新设备通过包含CANID_R的诊断服务同时向所有控制单元发送刷新请求和控制刷新流程，而各控制单元利用不同的发送消息CANID分别对外部刷新设备进行响应。所述外部刷新设备和控制单元的通信以客户机-服务器的方式进行。

本发明有益效果是:本发明通过CAN线对数据块编码的特点设计不同的刷新模式刷新冗余控制器内部某个或所有控制单元，采用ISO14229中标准的诊断服务设计刷新控制流程，从而缩短冗余控制器的刷新时间，提高刷新效率，保证刷新数据的完整性，并且适用于所有包含CAN接口的冗余控制器的刷新，有极高的适用性，提高控制器开发效率，加快控制器开发和试验进度，并且在售后阶段提供可靠的控制数据更新。

附图说明

下面对本说明书附图所表达的内容及图中的标记作简要说明：

图1是本发明的具体实施方式的刷新网络结构图。

图2是本发明的具体实施方式的异步刷新原理图。

图3是本发明的具体实施方式的同步刷新原理图。

图4是本发明的具体实施方式的刷新控制流程图。

具体实施方式

下面对照附图，通过对实施例的描述，本发明的具体实施方式如所涉及的各构件的形状、构造、各部分之间的相互位置及连接关系、各部分的作用及工作原理、制造工艺及操作使用方法等，作进一步详细的说明，以帮助本领域技术人员对本发明的发明构思、技术方案有更完整、准确和深入的理解。

特征1：刷新的网络组成

本发明中外部刷新设备和冗余控制器组成一个CAN网络，网络内包含外部刷新设备和冗余控制器内部控制单元的各个节点，外部刷新设备加载和解析代码和数据然后发送给控制单元节点，控制单元的引导程序接收代码和数据写入控制单元内部的FLASH中。网络组成如图1所示。图例中外部刷新设备通过CANBUS设备连接到CAN网络，冗余控制器内部的控制单元通过芯片上CAN电路接口连接到CAN网络中。图中1表示组成刷新CAN网络的三个节点，如果控制单元之间交互的2也是通过CAN接口连接，虽然可能也属于刷新网络中的节点，但是刷新过程中会屏蔽这些节点。

特征2：刷新的模式选择

本发明的刷新模式包含异步刷新和同步刷新两种模式，区别在于刷新目标的选择以及刷新控制单元的次序和不同的刷新时间。

本发明中使用包含CANID的通讯数据来建立外部刷新工具和冗余控制器中的控制单元之间的通讯连接，即通过CANID来选择刷新目标。

在异步刷新模式下，冗余控制器中的每个控制单元都有唯一的接收消息CANID，外部刷新工具通过这个CANID来选择控制器中待刷新的控制单元，即选择这个控制单元为刷新目标，如图2所示。在这种模式下，刷新工具每次只能选择某个控制单元作为刷新目标，所以它的刷新方案是依次刷新所有控制单元。异步刷新方案的刷新次数取决于冗余控制器内部包含的控制单元的数量，刷新时间是单个刷新控制单元的时间与控制单元数量的乘积。

在同步刷新模式下，冗余控制器中所有控制单元都有一个相同的接收消息CANID，外部刷新工具通过发送包含这个CANID信息的连接通讯与所有控制单元建立通讯连接，即选择冗余控制器中所有控制单元为刷新目标，如图3所示。在这种模式下，刷新工具可以同时选择所有的控制单元作为刷新目标，控制单元只和外部刷新工具进行交互，控制单元之间不进行交互，所有的控制单元可以同时刷新完成，因此同步刷新方案只刷新一次，刷新时间和刷新一个控制单元的时间相同，而与控制单元的数量无关。

另外在同步刷新模式下，如此出现控制单元刷新失败，则外部刷新工具继续刷新其他控制单元，刷新完毕之后可以采用异步刷新来选择刷新失败的控制单元重新刷新，这种设计保证了刷新的效率以及刷新的可靠性。

特征3：刷新控制流程

刷新流程控制是外部刷新设备与控制单元进行交互的过程和步骤，刷新流程一旦确定下来就被固化在外部刷新设备和控制单元的引导程序中，一般由外部刷新设备来发起整个刷新流程，而引导程序根据刷新流程反馈刷新流程的状态。为了通用性和标准化，以及可扩展性，本发明使用标准的IS014229协议中的定义的诊断服务来实现和规划整个刷新流程，具体的刷新流程如图4所示，这种控制流程能够保证整个刷新流程的稳定性，以及提供校验手段保证控制器刷新数据的完整性。本发明使用的ISO14229协议中的诊断服务如表1所示。刷新控制流程中控制流程流转的诊断服务作用描述如下：

√通过切换诊断会话服务选择刷新目标和模式。

√通过安全访问服务提高刷新安全标准。

√通过故障码设置服务防止故障误报。

√通过通讯控制服务禁止控制单元的交互。

√通过例行程序服务擦写控制单元FLASH空间。

√通过写数据服务存储指纹信息。

√通过数据下载，数据传输和退出下载服务完成整个控制单元的刷新。

√通过例行程序服务来校验控制单元中刷新数据的完整性。

√通过复位服务来完成整个刷新过程。

表1刷新诊断服务列表

(1)√表示只在编程会话下支持该服务，N/A表示其他会话下也支持该服务。

(2)√表示该诊断服务在安全访问解锁下支持，N/A表示安全访问是否解锁都支持该服务。

一、刷新连接

控制器刷新前提是建立整个刷新网络，外部刷新设备或者PC上位机通过CANBUS设备与控制单元的CAN接口连接组成一个刷新CAN网络，连接方式见图1。

二、刷新目标和刷新模式选择

本发明使用ISO14229中的切换诊断会话服务来建立外部刷新设备和控制单元的通讯连接，切换诊断会话服务中包含选择刷新目标的CANID信息，当控制单元响应诊断服务，则建立通讯连接，即刷新目标被选择。并且根据选择的刷新目标自动选择同步或异步刷新模式。

如果选择单个控制单元作为刷新目标即使用异步刷新模式，如图2所示，控制器内部每个控制单元都设定了不同的发送消息和接收消息的CANID，图中CANIDA_R是控制单元A的接收消息CANID，外部刷新设备通过CANIDA_R选择控制单元A为刷新目标。图中CANIDA_T为控制单元A的发送消息CANID，控制单元A通过CANIDA_T向外部刷新工具反馈刷新状态。而CANIDB_R和CANIDB_T分别是控制单元B的接收和发送消息的CANID，控制单元B通过这两个CANID与外部刷新工具进行交互。

异步刷新步骤如下：

1)首先选择刷新控制单元A，刷新工具发送包含CANIDA_R的诊断服务。

控制单元ECU_A在接收到包含CANIDA_R的诊断服务后，ECU_A进入控制单元的引导

程序，进行对ECU_A应用程序的更新。

2)然后选择另一个控制器，刷新工具发送包含CANIDB_R的诊断服务。

控制单元ECU_B在接收到包含CANIDB_R的诊断服务后，ECU_B进入控制单元引导程

序，进行对ECU_B应用程序的更新。

如果选择所有控制单元作为刷新目标即使用同步刷新模式，如图3所示，控制器内每个控制单元都包含不同的发送消息的CANID，CANIDA_T和CANIDAB_T为控制单元各自的发送消息CANID。，而CANID_R为所有控制单元相同的接收消息CANID，

外部刷新设备通过包含CANID_R的诊断服务同时向所有控制单元发送刷新请求和控制刷新流程，而各控制单元利用不同的发送消息CANID分别对外部刷新设备进行响应，便于外部刷新设备判断每个控制单元的状态。

同步刷新步骤如下：

1.首先，外部刷新工具包含CANID_R的诊断服务。

控制单元A在接收到包含CANID_R的诊断服务后，ECU_A进入引导程序，准备对ECU_A应用程序进行更新。

控制单元B在接收到包含CANID_R的诊断服务后，ECU_B进入引导程序，准备对ECU_B应用程序进行更新。

2.刷新工具收到CAN ID为CANIDA_T(ECU_A的响应)和CANIDAB_T(ECU_B的响应)的消息后，进行下一条刷新消息的发送。

3.如果在一定超时周期内未收到其中一个控制单元的响应，继续完成对另一个控制单元后续的刷新操作。

4.刷新完控制器之后反馈外部刷新工具控制器状态，如果所有控制单元刷新完毕则整个刷新流程结束，如果所有控制单元都刷新失败则重新开始同步刷新，如果只有部分控制单元刷新失败，则通过异步刷新选择刷新失败的控制单元重新刷新。

三、刷新流程控制

外部刷新设备和控制单元的通信以客户机-服务器的方式进行，即控制单元收到何种外部刷新流程的请求，控制单元中的引导程序做出何种响应。但是控制单元会对刷新过程的命令先后顺序有一定的约束，具体刷新控制流程如图4所示，刷新控制流程步骤如下：

1、外部诊断设备发送命令ID为0x10的会话切换服务，这个服务被用来选择刷新目标，决定刷新模式，如果处于异步模式则这个服务选择特定的控制单元，如果是同步模式则这个服务使用统一的CANID同时发送给所有控制单元。控制单元接收到这个服务进入引导程序。

2、刷新冗余控制器内部的代码和数据是有安全要求的，不适合的代码和数据有可能破坏控制单元或其他系统或对航空设备的安全标准产生风险所有需要设定保密的算法来保证刷新是符合安全标准的。外部刷新设备与引导程序进行安全访问服务的解锁。

3、刷新过程中，控制器处于未知的工作状态，可能会导致控制单元触发错误的故障上报和存储，所以无论采用异步或同步刷新模式，外部刷新设备都向所有控制单元发送0x85故障码设置服务，关闭控制单元的故障码存储服务，忽视所有故障上报行为。

4、冗余控制器中所有的控制单元之间进行交互，所以刷新过程中防止控制单元之间的交互造成影响，所以在刷新之前外部刷新设备向所有控制单元发送0x28通讯控制服务，关闭控制单元之间的交互通讯。

5、在对控制单元物理内存做出改变操作之前，必须首先通过0x2E服务在控制单元中写入指纹信息，指纹信息包含了编程日期、操作者、诊断仪序列号等信息，擦除控制单元FLASH之前指纹信息暂时存储在RAM中。

6、外部刷新设备通过0x31服务请求擦数控制单元的FLASH空间，擦除FLASH完成之后将RAM中的指纹信息写入指定的FLASH空间。

外部刷新设备发送0x34请求下载服务，控制单元接收到这个命令之后会检查请求编程的7、FLASH空间是否已经擦除完成，如果没有擦除完成，则发送负响应，会继续等待外部刷新设备请求擦除FLASH命令。

8、Flash擦除完成后，外部刷新设备解析代码和数据并通过0x36命令向控制单元传输代码和数据。控制单元接收到代码和数据后写入FLASH空间。

9、当所有代码和数据传送完毕，外部刷新设备发送0x37服务脱离刷新状态。

10、外部刷新设备发送0x31服务，控制单元接收命令后需要对FALSH区域进行校验，校验未通过，外部刷新设备重新发送擦除命令重新开始刷写流程，校验成功则将应用程序有效性标识写入指定的FLASH空间，用于控制单元重启后引导进入应用程序。

11、外部刷新设备发送0x11复位服务，使控制单元复位，则控制单元的刷新完成，整个刷新流程结束。

上面结合附图对本发明进行了示例性描述，显然本发明具体实现并不受上述方式的限制，只要采用了本发明的方法构思和技术方案进行的各种非实质性的改进，或未经改进将本发明的构思和技术方案直接应用于其它场合的，均在本发明的保护范围之内。本发明的保护范围应该以权利要求书所限定的保护范围为准。

Claims (7)

1.一种基于CAN线刷新冗余控制器的方法，其特征在于,该方法基于CAN网络，CAN网络包括外部刷新设备和冗余控制器，所述外部刷新设备包括代码数据处理单元和外部刷新设备控制单元；代码数据处理单元用于加载并解析代码数据，外部刷新设备控制单元用于建立刷新网络和控制刷新流程，冗余控制器的引导程序接收代码数据并写入控制单元内部的FLASH中。

2.根据权利要求1所述的基于CAN线刷新冗余控制器的方法，其特征在于,所述外部刷新设备通过CANBUS设备连接到CAN网络，冗余控制器内部的控制单元通过芯片上CAN电路接口连接到CAN网络中，冗余控制器内设有控制器EAU_A和控制器EAU_B。控制器EAU_A和控制器EAU_B之间交互通过CAN接口连接。

3.根据权利要求1所述的基于CAN线刷新冗余控制器的方法，其特征在于,该方法首先进行刷新连接，在控制器刷新前，先建立整个刷新网络，外部刷新设备通过CANBUS设备与冗余控制器CAN接口连接组成一个刷新CAN网络。

4.根据权利要求1所述的基于CAN线刷新冗余控制器的方法，其特征在于,该方法通过切换诊断会话服务来建立外部刷新设备和冗余控制器的通讯连接，切换诊断会话服务中包含选择刷新目标的CANID信息，当控制单元响应诊断服务，则建立通讯连接，根据选择的刷新目标自动选择同步或异步刷新模式。

5.根据权利要求4所述的基于CAN线刷新冗余控制器的方法，其特征在于,该方法如果选择单个控制单元作为刷新目标即使用异步刷新模式，控制器内部每个控制单元都设定了不同的发送消息和接收消息的CANID，CANIDA_R是控制单元EAU_A的接收消息CANID，外部刷新设备通过CANIDA_R选择控制单元EAU_A为刷新目标；CANIDA_T为控制单元EAU_A的发送消息CANID，控制单元EAU_A通过CANIDA_T向外部刷新工具反馈刷新状态；CANIDB_R和CANIDB_T分别是控制单元EAU_B的接收和发送消息的CANID，控制单元EAU_B通过这两个CANID与外部刷新工具进行交互。

6.根据权利要求4所述的基于CAN线刷新冗余控制器的方法，其特征在于,该方法如果选择所有控制单元作为刷新目标即使用同步刷新模式，控制器内每个控制单元都包含不同的发送消息的CANID，CANIDA_T和CANIDAB_T为控制单元各自的发送消息CANID；而CANID_R为所有控制单元相同的接收消息CANID，外部刷新设备通过包含CANID_R的诊断服务同时向所有控制单元发送刷新请求和控制刷新流程，而各控制单元利用不同的发送消息CANID分别对外部刷新设备进行响应。

7.根据权利要求4所述的基于CAN线刷新冗余控制器的方法，其特征在于,所述外部刷新设备和控制单元的通信以客户机-服务器的方式进行。