CN108228212A - 程序更新方法和装置 - Google Patents

Abstract

本发明提供了一种程序更新方法和装置，涉及电子电气领域。该程序更新方法，用于电子控制单元，电子控制单元的闪存包括运行区域和备份区域，程序更新方法包括：接收程序更新请求；响应程序更新请求，将运行区域内当前的原程序备份至备份区域；将更新程序下载至运行区域；若更新程序下载过程出现错误，则将备份区域中的原程序恢复至运行区域。利用本发明的技术方案能够避免造成车辆功能失效。

Description

程序更新方法和装置

技术领域

本发明涉及电子电气领域，尤其涉及一种程序更新方法和装置。

背景技术

电子控制单元(ECU，Electronic Control Unit)在车辆上的应用非常广泛。在汽车上的应用非常广泛。电子控制单元可以根据采集的各项参数信息，结合存储在电子控制单元的程序进行运算。将运算的结果转变为控制信号，从而实现电子控制单元对汽车的整体控制。

电子控制单元为了实现对车辆的各种控制功能，需要在电子控制单元中存储并运行程序，从而实现对车辆的控制。随着用户对车辆控制功能要求的提高，车辆的电子控制单元中的程序也需要进行更新升级。具体的，车辆的电子控制单元可从服务器侧下载更新程序，并运行更新程序。但是，若在更新程序下载过程中出现错误，导致更新程序下载失败，电子控制单元下载得到是错误的更新程序或不完整的更新程序，那么电子控制单元无法运行更新程序，也就无法实现对车辆的控制，从而造成车辆功能失效。

发明内容

本发明实施例提供了一种程序更新方法和装置，能够避免下载更新出现错误造成车辆功能失效。

第一方面，本发明实施例提供了一种程序更新方法，用于电子控制单元，电子控制单元的闪存包括运行区域和备份区域，程序更新方法包括：接收程序更新请求；响应程序更新请求，将运行区域内当前的原程序备份至备份区域；将更新程序下载至运行区域；若更新程序下载过程出现错误，则将备份区域中的原程序恢复至运行区域。

第二方面，本发明实施例提供了一种程序更新装置，用于电子控制单元，电子控制单元的闪存包括运行区域和备份区域，程序更新装置包括：接收模块，被配置为接收程序更新请求；备份模块，被配置为响应程序更新请求，将运行区域内当前的原程序备份至备份区域；下载模块，被配置为将更新程序下载至运行区域；恢复模块，被配置为若更新程序下载过程出现错误，则将备份区域中的原程序恢复至运行区域。

本发明实施例提供了一种程序更新方法和装置，可应用于电子控制单元，电子控制单元的闪存包括相互独立的运行区域和备份区域。在将更新程序下载到运行区域之前，将运行区域中的原程序备份至备份区域。若更新程序下载过程出现错误，导致下载至运行区域中的更新程序并不是完整无误的。可将备份至备份区域中的原程序恢复至运行区域，使得运行区域中可运行能够完成对车辆控制的程序，避免下载更新出现错误造成的车辆功能失效。

附图说明

从下面结合附图对本发明的具体实施方式的描述中可以更好地理解本发明其中，相同或相似的附图标记表示相同或相似的特征。

图1为本发明实施例中运行区域和备份区域的示意图；

图2为本发明一实施例中一种程序更新方法的流程图；

图3为本发明另一实施例中一种程序更新方法的流程图；

图4为本发明又一实施例中一种程序更新方法的流程图；

图5为本发明一实施例中一种程序更新装置的结构示意图；

图6为本发明另一实施例中一种程序更新装置的结构示意图；

图7为本发明又一实施例中一种程序更新装置的结构示意图。

具体实施方式

下面将详细描述本发明的各个方面的特征和示例性实施例。在下面的详细描述中，提出了许多具体细节，以便提供对本发明的全面理解。但是，对于本领域技术人员来说很明显的是，本发明可以在不需要这些具体细节中的一些细节的情况下实施。下面对实施例的描述仅仅是为了通过示出本发明的示例来提供对本发明的更好的理解。本发明决不限于下面所提出的任何具体配置和算法，而是在不脱离本发明的精神的前提下覆盖了元素、部件和算法的任何修改、替换和改进。在附图和下面的描述中，没有示出公知的结构和技术，以便避免对本发明造成不必要的模糊。

本发明实施例提供了一种程序更新方法和装置，可应用于车辆的电子控制单元(ECU，Electronic Control Unit)。电子控制单元10包括闪存11，闪存11包括运行区域111和备份区域112。图1为本发明实施例中运行区域111和备份区域112的示意图。如图1所示，运行区域111和备份区域112相互独立。在车辆的电子控制单元10进行更新的过程中，电子控制单元10从车载终端12下载更新程序。车载终端12可从远程服务器通过远程通信获取更新程序。运行区域111被配置为运行程序。车辆处于行驶状态中时，车辆中的运行区域111运行已经写入到运行区域中的程序。备份区域112被配置为备份程序。

图2为本发明一实施例中一种程序更新方法的流程图。如图2所示，程序更新方法包括步骤201至步骤204。

在步骤201中，接收程序更新请求。

其中，程序更新请求用于请求使电子控制单元下载更新程序，从而对电子控制单元进行升级。即利用更新程序替换电子控制单元的闪存中运行区域中的原程序。

在一个示例中，远程服务器中存在更新程序时，可由远程服务器发出程序更新请求，通过车载终端转发给电子控制单元。在另一个示例中，车载终端可从远程服务器下载更新程序，当更新程序下载到车载终端内时，车载终端向电子控制单元发送程序更新请求。

在步骤202中，响应程序更新请求，将运行区域内当前的原程序备份至备份区域。

响应远程服务器或车载终端发送的更新请求，确认电子控制单元的闪存中的运行区域内的原程序需要被替换为更新程序。在还未将更新程序下载至运行区域时，将运行区域中内当前的原程序备份至备份区域。即为将运行区域中的原程序复制至备份区域中。

在步骤203中，将更新程序下载至运行区域。

在将运行区域当前运行的原程序备份至备份区域完毕后，将更新程序下载至运行区域。车载终端与电子控制单元可以有线连接，也可无线通信连接。在一个示例中，可利用同一诊断服务(UDS，Unified Diagnostic Services)将更新程序下载至运行区域。具体的，车载终端可通过UDS0x28服务即统一诊断服务中的通信控制服务与电子控制单元进行通信。在下载更新程序的过程中，可禁止非诊断会话，进入静默模式。若车辆中存在多个电子控制单元，则需要保持车载终端与需要进行更新的电子控制单元之间的通信链路的连接状态，直至将更新程序完全下载至运行区域中。

在一个示例中，若运行区域中未存储有程序，则可直接将更新程序下载至运行区域中。若运行区域中存储有原程序，则需要现将原程序备份至备份区域，原程序备份完毕后，擦除运行区域中的原程序，再将更新程序下载至运行区域中。

在一个示例中，也可在下载更新程序至运行区域之前，对车载终端中的更新程序进行指纹安全验证。更新程序可携带指纹信息，指纹信息用于表明更新程序的身份。比如，电子控制单元通过UDS 0x2E服务即统一诊断服务中的写内存服务读取更新程序携带的指纹信息，并利用该指纹信息进行安全认证，若利用指纹信息进行指纹安全验证成功，表明更新程序与电子控制单元即将进行的更新过程相匹配，可开始下载该更新程序。若利用指纹信息进行指纹安全验证失败，表明更新程序与电子控制单元即将进行的更新过程不匹配，可拒绝下载该更新程序。

在一个示例中，还可将更新程序划分为多个更新数据包。按照更新数据包在更新程序中的排列顺序，将更新数据包依次下载至运行区域。每个更新数据包均可携带更新数据包中数据的地址，可根据数据的地址，将多个更新数据包写入运行区域与数据的地址对应的子区域。

在步骤204中，若更新程序下载过程出现错误，则将备份区域中的原程序恢复至运行区域。

在更新程序下载过程中出现错误，会导致更新程序未完整无误地下载至运行区域，从而使车辆无法正常运行。比如，在更新程序还未完全下载至运行区域时，车载终端与电子控制单元之间的通信链路断开，更新程序未完全下载至运行区域。在上述错误情况下，可将备份区域中的原程序恢复至运行区域，以使得运行区域中存在完整的原程序，虽然电子控制单元中的程序没有更新，但车辆可以运行原程序，从而实现对车辆的控制，避免下载更新出现错误造成的车辆功能失效。而且，将备份区域中的原程序恢复至运行区域，使得车辆自身可恢复正常运行，不需要调配修理人员对其进行人工修理，节省了消耗的人力资源和物力资源。

图3为本发明另一实施例中一种程序更新方法的流程图。图3与图2的不同之处在于，图2中的步骤202可细化为图3中的步骤2021至2023。图3所示的程序更新方法还包括步骤205至步骤208。

在步骤2021中，查看程序更新标识位。

可以通过设置程序更新标识位来区分电子控制单元是否需要更新。具体的，可通过程序更新标识位上的标识来确认电子控制单元是否需要更新。在一个示例中，程序更新标识位上的标识可包括更新标识或非更新标识。

在一个示例中，程序更新标识位可设置于电子控制单元中的随机存取存储器(RAM，Random Access Memory)或者非易失存储器(NVM，Non Volatile Memory)中。可在车载终端得到更新程序时，将程序更新标识位上的标识设为更新标识。或者，也可在电子控制单元接收到程序更新请求时，将程序更新标识位上的标识设为更新标识。

在一个示例中，可利用启动装载即Bootloader查看并判断程序更新标识为上的标识是否为更新标识。

在步骤2022中，判断程序更新标识位上的标识是否为更新标识。

其中，更新标识表示电子控制单元处于请求更新状态。

在步骤2023中，若程序更新标志位上的标识为更新标识，则将运行区域内当前的原程序备份至备份区域。

在步骤205中，在更新程序于运行区域下载完毕时，对下载至运行区域中的更新程序进行完整性校验。

在将运行区域内当前的原程序备份至备份区域完毕后，将更新程序下载至运行区域。当更新程序在运行区域下载完毕时，可对下载至运行区域中的更新程序进行完整性校验，以验证运行区域中的更新程序的完整无误性。

在一个示例中，完整性校验可采用循环冗余校验(CRC，Cyclic RedundancyCheck)。具体的，可利用下载至运行区域中的更新程序中的数据计算得到校验码，并将计算得到的校验码与更新程序中携带的校验码对比。若计算得到的校验码与更新程序中携带的校验码相同，则表明下载至运行区域中的更新程序是完整无误的。若计算得到的校验码与更新程序中携带的校验码不同，则表明下载至运行区域中的更新程序是不完整或错误的。当然，也可采用其他类型的完整性校验方法，在此并不限制。

在步骤206中，若下载的更新程序完整，则将程序更新标识位上的标识复位为初始标识。

若进行完整性校验后确定下载的更新程序完整，则将程序更新标识位上的标识复位为初始标识。初始标识表示电子控制单元处于非请求更新状态。若当前查看程序更新标识位上的标识时，确定程序更新标识位上的标识为非请求更新状态，则表示电子控制单元当前不需要进行更新，不需要下载更新程序。

在步骤207中，若下载的更新程序不完整，则重新下载更新程序至运行区域。

在步骤208中，若下载的更新程序不完整，则将备份区域中的原程序恢复至运行区域。

在本发明实施例中，若下载的更新程序不完整，可选择步骤207实施，或者，选择步骤208实施。

在本发明实施例中，如果出现下载的更新程序不完整的情况，还可通过重新下载更新程序以及将备份区域中的原程序恢复等手段，保证电子控制单元能够正常工作，避免车辆功能失效。

图4为本发明又一实施例中一种程序更新方法的流程图。图4与图2的不同之处在于，图4所示的程序更新方法还可包括步骤209至步骤211。

在步骤209中，对恢复至运行区域的原程序进行完整性校验。

由于将备份区域中的原程序恢复至运行区域的过程中也有可能出现错误，因此，需要对恢复至运行区域的原程序进行完整性校验，从而确定恢复至运行区域的原程序是否完整无误。

在一个示例中，完整性校验可以为循环冗余校验。具体的，可利用恢复至运行区域的原程序中的数据计算得到校验码，并将计算得到的校验码与恢复至运行区域的原程序中携带的校验码对比。若计算得到的校验码与恢复至运行区域的原程序中携带的校验码相同，则表明恢复至运行区域的原程序是完整无误的。若计算得到的校验码与恢复至运行区域的原程序中携带的校验码不同，则表明恢复至运行区域的原程序是不完整或错误的。当然，也可采用其他类型的完整性校验方法，在此并不限制。

在步骤210中，若恢复至运行区域的原程序不完整，则重新将备份区域中的原程序恢复至运行区域。

在步骤211中，若恢复至运行区域的原程序不完整，则触发启动装载，从车载终端将更新程序或原程序下载至运行区域。

其中，触发启动装载即Bootloader下载更新程序或原程序至运行区域，取决与车载终端中存储的程序。车载终端可存储有更新程序和/或原程序。若车载终端存储有更新程序，则下载更新程序至运行区域。若车载终端存储有原程序，则下载原程序至运行区域。若车载终端存储有更新程序和原程序，则可在更新程序和原程序中任选其一下载至运行区域。

图5为本发明一实施例中一种程序更新装置300的结构示意图。如图5所示，该程序更新装置300可包括接收模块301、备份模块302、下载模块303和恢复模块304。该程序更新装置300可应用于电子控制单元，电子控制单元的闪存包括运行区域和备份区域。

接收模块301，被配置为接收程序更新请求。

备份模块302，被配置为响应程序更新请求，将运行区域内当前的原程序备份至备份区域。

下载模块303，被配置为将更新程序下载至运行区域。

恢复模块304，被配置为若更新程序下载过程出现错误，则将备份区域中的原程序恢复至运行区域。

在本发明实施例中，在将更新程序下载到运行区域之前，将运行区域中的原程序备份至备份区域。若更新程序下载过程出现错误，导致下载至运行区域中的更新程序并不是完整无误的。可将备份至备份区域中的原程序恢复至运行区域，使得运行区域中可运行能够完成对车辆控制的程序，避免下载更新出现错误造成的车辆功能失效。

图6为本发明另一实施例中一种程序更新装置300的结构示意图。图6与图5的不同之处在于，图5中的备份模块302可包括图6中的查看子模块3021、判断子模块3022和备份子模块3023。图6所示的程序更新装置300还可包括擦除模块305、下载校验模块306、复位模块307、第一重下载模块308和第一重恢复模块309。

查看子模块3021，被配置为查看程序更新标识位。

判断子模块3022，被配置为判断程序更新标识位上的标识是否为更新标识，更新标识表示电子控制单元处于请求更新状态。

备份子模块3023，被配置为若程序更新标志位上的标识为更新标识，则将运行区域内当前的原程序备份至备份区域。

擦除模块305，被配置为擦除运行区域中的原程序。

下载校验模块306，被配置为在更新程序于运行区域下载完毕时，对下载至运行区域中的更新程序进行完整性校验。

复位模块307，被配置为若下载的更新程序完整，则将程序更新标识位上的标识复位为初始标识，初始标识表示电子控制单元处于非请求更新状态。

第一重下载模块308，被配置为若下载的更新程序不完整，则重新下载更新程序至运行区域。

第一重恢复模块309，被配置为若下载的更新程序不完整，则将备份区域中的原程序恢复至运行区域。

需要说明的是，程序更新装置300可包括第一重下载模块308和/或第一重恢复模块309。第一重下载模块308和第一重恢复模块309也可集成为一个子模块。

图7为本发明又一实施例中一种程序更新装置300的结构示意图。图7与图5的不同之处在于，图7所示的程序更新装置300还可包括恢复校验模块310、第二重恢复模块311和第二重下载模块312。

恢复校验模块310，被配置为对恢复至运行区域的原程序进行完整性校验。

第二重恢复模块311，被配置为若恢复至运行区域的原程序不完整，则重新将备份区域中的原程序恢复至运行区域。

第二重下载模块312，被配置为若恢复至运行区域的原程序不完整，则触发启动装载，从车载终端将更新程序或原程序下载至运行区域，车载终端存储有更新程序和/或原程序。

需要说明的，程序更新装置300可包括第二重下载模块311和/或第二重恢复模块312。第二重下载模块311和第二重恢复模块312也可集成为一个子模块。

需要明确的是，本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同或相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。对于装置实施例而言，相关之处可以参见方法实施例的说明部分。本发明并不局限于上文所描述并在图中示出的特定步骤和结构。本领域的技术人员可以在领会本发明的精神之后，做出各种改变、修改和添加，或者改变步骤之间的顺序。并且，为了简明起见，这里省略对已知方法技术的详细描述。

以上所述的结构示意图中所示的功能模块以及功能子模块可以实现为硬件、软件、固件或者它们的组合。当以硬件方式实现时，其可以例如是电子电路、专用集成电路(ASIC)、适当的固件、插件、功能卡等等。当以软件方式实现时，本发明的元素是被用于执行所需任务的程序或者代码段。程序或者代码段可以存储在机器可读介质中，或者通过载波中携带的数据信号在传输介质或者通信链路上传送。“机器可读介质”可以包括能够存储或传输信息的任何介质。

Claims (12)

1.一种程序更新方法，其特征在于，用于电子控制单元，所述电子控制单元的闪存包括运行区域和备份区域，所述程序更新方法包括：

接收程序更新请求；

响应所述程序更新请求，将所述运行区域内当前的原程序备份至所述备份区域；

将更新程序下载至所述运行区域；

若更新程序下载过程出现错误，则将所述备份区域中的原程序恢复至所述运行区域。

2.根据权利要求1所述的程序更新方法，其特征在于，所述响应所述程序更新请求，将所述运行区域当前运行的原程序备份至所述备份区域，包括：

查看程序更新标识位；

判断所述程序更新标识位上的标识是否为更新标识，所述更新标识表示所述电子控制单元处于请求更新状态；

若所述程序更新标志位上的标识为所述更新标识，则将所述运行区域内当前的原程序备份至所述备份区域。

3.根据权利要求1所述的程序更新方法，其特征在于，在将所述备份区域中的原程序恢复至所述运行区域之前，所述程序更新方法还包括：

擦除所述运行区域中的原程序。

4.根据权利要求2所述的程序更新方法，其特征在于，所述程序更新方法还包括：

在所述更新程序于所述运行区域下载完毕时，对下载至所述运行区域中的更新程序进行完整性校验；

若下载的所述更新程序完整，则将所述程序更新标识位上的标识复位为初始标识，所述初始标识表示所述电子控制单元处于非请求更新状态。

5.根据权利要求4所述的程序更新方法，其特征在于，所述程序更新方法还包括：

若下载的所述更新程序不完整，则重新下载所述更新程序至所述运行区域；

或者，

若下载的所述更新程序不完整，则将所述备份区域中的原程序恢复至所述运行区域。

6.根据权利要求1或5所述的程序更新方法，其特征在于，所述程序更新方法还包括：

对恢复至所述运行区域的原程序进行完整性校验；

若恢复至所述运行区域的原程序不完整，则重新将所述备份区域中的原程序恢复至所述运行区域；

或者，

若恢复至所述运行区域的原程序不完整，则触发启动装载，从车载终端将所述更新程序或原程序下载至所述运行区域，所述车载终端存储有所述更新程序和/或所述原程序。

7.一种程序更新装置，其特征在于，用于电子控制单元，所述电子控制单元的闪存包括运行区域和备份区域，所述程序更新装置包括：

接收模块，被配置为接收程序更新请求；

备份模块，被配置为响应所述程序更新请求，将所述运行区域内当前的原程序备份至所述备份区域；

下载模块，被配置为将更新程序下载至所述运行区域；

恢复模块，被配置为若更新程序下载过程出现错误，则将所述备份区域中的原程序恢复至所述运行区域。

8.根据权利要求7所述的程序更新装置，其特征在于，所述备份模块包括：

查看子模块，被配置为查看程序更新标识位；

判断子模块，被配置为判断所述程序更新标识位上的标识是否为更新标识，所述更新标识表示所述电子控制单元处于请求更新状态；

备份子模块，被配置为若所述程序更新标志位上的标识为所述更新标识，则将所述运行区域内当前的原程序备份至所述备份区域。

9.根据权利要求7所述的程序更新装置，其特征在于，所述程序更新装置还包括：

擦除模块，被配置为擦除所述运行区域中的原程序。

10.根据权利要求8所述的程序更新装置，其特征在于，所述程序更新装置还包括：

下载校验模块，被配置为在所述更新程序于所述运行区域下载完毕时，对下载至所述运行区域中的更新程序进行完整性校验；

复位模块，被配置为若下载的所述更新程序完整，则将所述程序更新标识位上的标识复位为初始标识，所述初始标识表示所述电子控制单元处于非请求更新状态。

11.根据权利要求10所述的程序更新装置，其特征在于，所述程序更新装置还包括：

第一重下载模块，被配置为若下载的所述更新程序不完整，则重新下载所述更新程序至所述运行区域；

和/或，

第一重恢复模块，被配置为若下载的所述更新程序不完整，则将所述备份区域中的原程序恢复至所述运行区域。

12.根据权利要求7或11所述的程序更新装置，其特征在于，所述程序更新装置还包括：

恢复校验模块，被配置为对恢复至所述运行区域的原程序进行完整性校验；

第二重恢复模块，被配置为若恢复至所述运行区域的原程序不完整，则重新将所述备份区域中的原程序恢复至所述运行区域；

和/或，

第二重下载模块，被配置为若恢复至所述运行区域的原程序不完整，则触发启动装载，从车载终端将所述更新程序或原程序下载至所述运行区域，所述车载终端存储有所述更新程序和/或所述原程序。