CN110231952A - 一种ecu程序备份及循环升级控制方法及装置 - Google Patents

Abstract

本发明公开了一种ECU程序备份及循环升级控制方法，包括：将ECU的FLASH分为Boot区、App0区和App1区，设置App0区和App1区的应用程序有效标志位；配置App0区和App1区两个地址区间的数据内容作为待升级文件；引导加载程序根据当前的应用程序有效标志位判断并确定待升级地址区间；将待升级文件中待升级地址区间的数据内容写入待升级地址区间；对写入的数据进行校验，若校验成功，则应用程序有效标志位置为有效。将ECU分为Boot区、App0区和App1区，App0区和App1区循环升级，分别对App0区和App1区进行交替擦除与刷写，减小了FLASH区中同一地址区间的擦除和刷写次数。

Description

一种ECU程序备份及循环升级控制方法及装置

技术领域

本发明涉及车辆ECU的应用程序升级技术领域，具体地涉及一种ECU程序备份及循环升级控制方法及装置。

背景技术

近年来，随着车联网产业的迅猛发展，新能源汽车逐渐被大众所喜爱，占据的市场份额也不断的增加。随着人们生活水平的提高，对汽车性能的要求也不断提高。因此在ECU的开发及市场应用过程中常常涉及到应用程序的升级，从而不断修复程序中的BUG或者增加新的功能。

现有技术中，实现程序升级是将ECU的FLASH分为Boot（引导加载程序）区和App（应用软件程序）区。引导加载程序和应用软件程序以独立的方式分别在FLASH的不同区间存储和运行，并通过统一诊断服务（UDS）进行运行空间和运行状态的切换。

在对ECU进行程序升级刷写过程中，常规的方法是使用引导加载程序（Bootloader）刷新FLASH中App区的内容来实现程序的升级。ECU上电启动过程中，Boot程序根据应用软件程序是否有效来决定是跳转到App应用程序正常工作还是停留在引导加载程序运行Boot区程序。若程序刷写成功，则程序有效标志位置为TRUE，程序由Boot区跳转到App区间运行应用程序；若程序刷写失败，则程序有效标志位置FALSE，程序继续停留在引导加载程序中。

由于现有ECU中Boot区和App区的分配机制，ECU的整个FLASH中只有一个Boot区和一个App区，缺点主要有以下几点：

1、在程序升级过程中，如果出现通讯中断或者断电等情况，此时App区数据已经被擦除，且新的App程序未刷写成功，则ECU中只有Boot区程序可以运行，导致ECU无法正常执行应用功能，导致车辆部分功能无法使用。

2、程序升级失败后，必须再一次进行程序升级，直到程序升级成功才能恢复ECU的应用功能，操作麻烦且浪费大量时间，存在ECU无法正常使用的风险。

3、在程序升级过程中，每次都是对FLASH中的同一App区进行擦除和刷写，从而增加了擦写次数，进而缩短了电控单元硬件寿命。

发明内容

为了解决上述存在的技术问题，本发明提供了一种ECU程序备份及循环升级控制方法及装置，将ECU的FLASH分为Boot区、App0区和App1区，App0区和App1区循环升级，分别对App0区和App1区进行交替擦除与刷写，减小了FLASH区中同一地址区间的擦除和刷写次数。

本发明的技术方案是：

一种ECU程序备份及循环升级控制方法，包括以下步骤：

S01：将ECU的FLASH分为引导加载程序区、第一应用软件程序区和第二应用软件程序区，设置第一应用软件程序区和第二应用软件程序区的应用程序有效标志位；

S02：配置第一应用软件程序区和第二应用软件程序区两个地址区间的数据内容作为待升级文件；

S03：引导加载程序区的引导加载程序根据当前的应用程序有效标志位判断并确定待升级地址区间；

S04：将待升级文件中待升级地址区间的数据内容写入待升级地址区间；

S05：对写入的数据进行校验，若校验成功，则将该地址区间的应用程序有效标志位置为有效。

优选的技术方案中，所述步骤S03中引导加载程序上电后执行初始化，包括以下步骤：

S21：上电/复位后，执行引导加载程序，引导加载程序执行初始化，读取Flag区的相关标志位信息；

S22：检查是否有重编程请求，如果有重编程请求，引导加载程序进一步执行；

S23：如果没有重编程请求，则开始检查应用程序有效性，如果应用程序有效，则启动应用程序，应用程序在接收到编程会话请求后，应用程序设置重编程请求有效，并对ECU复位；如果应用程序无效，ECU在默认会话模式继续执行引导加载程序并且等待其他的操作。

优选的技术方案中，所述步骤S22中进一步执行的操作包括：

S31：引导加载程序在判断有重编程请求后，等待程序擦除请求；

S32：在进行擦除操作时，引导加载程序判断应用程序有效的区间，并确定当前的待升级区间，擦除待升级区间的内容；

S33：在接收数据下载请求和数据传输时，若上位机发送的内容为待升级区间，则引导加载程序执行数据下载操作；若发送内容不是待升级区间，则引导加载程序不进行任何操作，只回复正响应；

S33：数据传输结束后，只对有效的下载数据进行CRC校验。

优选的技术方案中，所述步骤S05之后还包括程序有效性判断及跳转，具体包括：

S51：应用程序升级成功后，对ECU进行复位，引导加载程序进行初始化；

S52：引导加载程序进行初始化时，首先判断第一应用软件程序区的应用程序是否有效，若第一应用软件程序区的应用程序有效，则跳转到第一应用软件程序区对应的应用程序；若第一应用软件程序区的应用程序无效，则判断第二应用软件程序区的应用程序是否有效，若第二应用软件程序区的应用程序有效，则跳转到第二应用软件程序区对应的应用程序；

S53：应用程序在接收到编程会话请求后，设置重编程请求有效，并对ECU复位。

本发明还公开了一种ECU程序备份及循环升级控制装置，包括：

分区模块，将ECU的FLASH分为引导加载程序区、第一应用软件程序区和第二应用软件程序区，设置第一应用软件程序区和第二应用软件程序区的应用程序有效标志位；

待升级文件配置模块，配置第一应用软件程序区和第二应用软件程序区两个地址区间的数据内容作为待升级文件；

判断模块，引导加载程序区的引导加载程序根据当前的应用程序有效标志位判断并确定待升级地址区间；

升级模块，将待升级文件中待升级地址区间的数据内容写入待升级地址区间；

校验模块，对写入的数据进行校验，若校验成功，则将该地址区间的应用程序有效标志位置为有效。

优选的技术方案中，所述判断模块中引导加载程序上电后执行初始化，包括以下步骤：

S21：上电/复位后，执行引导加载程序，引导加载程序执行初始化，读取Flag区的相关标志位信息；

S22：检查是否有重编程请求，如果有重编程请求，引导加载程序进一步执行；

S23：如果没有重编程请求，则开始检查应用程序有效性，如果应用程序有效，则启动应用程序，应用程序在接收到编程会话请求后，应用程序设置重编程请求有效，并对ECU复位；如果应用程序无效，ECU在默认会话模式继续执行引导加载程序并且等待其他的操作。

优选的技术方案中，所述步骤S22中进一步执行的操作包括：

S31：引导加载程序在判断有重编程请求后，等待程序擦除请求；

S32：在进行擦除操作时，引导加载程序判断应用程序有效的区间，并确定当前的待升级区间，擦除待升级区间的内容；

S33：在接收数据下载请求和数据传输时，若上位机发送的内容为待升级区间，则引导加载程序执行数据下载操作；若发送内容不是待升级区间，则引导加载程序不进行任何操作，只回复正响应；

S33：数据传输结束后，只对有效的下载数据进行CRC校验。

优选的技术方案中，还包括效性判断及跳转模块，用于程序有效性判断及跳转，具体包括：

S51：应用程序升级成功后，对ECU进行复位，引导加载程序进行初始化；

S52：引导加载程序进行初始化时，首先判断第一应用软件程序区的应用程序是否有效，若第一应用软件程序区的应用程序有效，则跳转到第一应用软件程序区对应的应用程序；若第一应用软件程序区的应用程序无效，则判断第二应用软件程序区的应用程序是否有效，若第二应用软件程序区的应用程序有效，则跳转到第二应用软件程序区对应的应用程序；

S53：应用程序在接收到编程会话请求后，设置重编程请求有效，并对ECU复位。

与现有技术相比，本发明的优点是：

1、在程序升级过程中，若因某些原因导致程序一个App区无法升级成功，程序可以回滚到另一个App区的上一版本程序运行，保证ECU能够正常执行应用功能。

2、App0区和App1区循环升级，确保两个区的程序为最新两个版本的程序，无论程序升级成功还是失败，均能保证车辆当前状态的最佳性能。

3、程序升级过程中，分别对App0区和App1区进行交替擦除与刷写，减小了FLASH区中同一地址区间的擦除和刷写次数，增加了电控单元硬件寿命。

附图说明

下面结合附图及实施例对本发明作进一步描述：

图1为本发明ECU程序备份及循环升级控制方法的流程图；

图2为 Boot程序上电初始化流程图；

图3为程序升级判断流程图；

图4为程序有效性判断及跳转流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式并参照附图，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

实施例：

下面结合附图，对本发明的较佳实施例作进一步说明。

本发明的ECU程序备份及循环升级控制方法，将ECU的FLASH分为Boot区、App0区和App1区；其中App0和App1区为相互备份的两个应用软件代码区。当App0区有效时，程序升级时只能对App1区进行升级，升级成功后程序运行App1区程序，升级失败则返回到App0区程序；当App1区有效时，程序升级时只能对App0区进行升级，升级成功后程序运行App0区程序，升级失败则返回到App1区程序，只有当App0和App1区均无效时，程序则停留在Boot区运行。

如图1所示，一种ECU程序备份及循环升级控制方法，包括以下步骤：

S01：将ECU的FLASH分为引导加载程序区（Boot区）、第一应用软件程序区（App0区）和第二应用软件程序区（App1区），设置第一应用软件程序区和第二应用软件程序区的应用程序有效标志位；

S02：配置第一应用软件程序区和第二应用软件程序区两个地址区间的数据内容作为待升级文件；

S03：引导加载程序区的引导加载程序根据当前的应用程序有效标志位判断并确定待升级地址区间；

S04：将待升级文件中待升级地址区间的数据内容写入待升级地址区间；

S05：对写入的数据进行校验，若校验成功，则将该地址区间的应用程序有效标志位置为有效。

具体的，待升级文件需包含App0和App1两个地址区间的数据内容，具体的操作方法包括：

①使用同一个工程，分别配置不同的FLASH存储地址，分别编译生成对应的目标程序s19文件；

②将两个工程的s19文件合并为一个整体的s19文件，作为待升级文件。

③Boot程序根据当前的应用程序有效标志位自动判断并确定要升级的程序区间。

2、Boot程序上电初始化逻辑，如图2所示，具体包括：

①上电/复位后，ECU首先执行Boot引导程序，Boot程序执行一些基本的初始化，然后读取EEPROM（电可擦可编程只读存储器）中Flag区的相关标志位信息。

②检查是否有重编程请求。如果重编程请求有效，那么即使应用程序是有效的，Boot程序也会进一步执行；

③如果当前没有重编程请求，则开始检查应用程序有效性，如果应用程序有效，则会启动应用程序；

④如果应用程序无效，ECU在默认会话模式继续执行Boot引导程序并且等待其他的操作。

⑤App应用程序在接收到10 02编程会话请求后，应用程序设置重编程请求有效，并对ECU复位。

3、Boot程序升级判断逻辑，如图3所示，具体包括：

①Boot程序在判断有重编程请求后，等待程序擦除请求。

②在进行擦除操作时，Boot程序首先需要判断应用程序有效区，并确定当前的待升级区间，然后只擦除待升级区间内容。

③在接收0x34数据下载请求和0x36数据传输时，若上位机发送的内容为待升级区区间，则BOOT程序执行数据下载操作；若发送内容不是待升级区，则BOOT程序不进行任何操作，只回复正响应，即此时BOOT程序只进行伪响应，不进行相应下载操作。

④数据传输结束后，只对有效的下载数据进行CRC校验，然后将此升级区程序置为有效。

4、程序有效性判断及跳转逻辑，如图4所示，具体包括：

①程序升级成功后，通过11 01对ECU进行复位，Boot程序进入初始化中。

② Boot程序进入初始化时，判断应用程序有效，然后判断App0是否有效，若App0有效，则跳转到App0区对应的应用程序；若App0无效，则判断App1是否有效，若App1有效，则跳转到App1区对应的应用程序。

③App应用程序在接收到10 02编程会话请求后，设置重编程请求有效，并对ECU复位。

App0区和App1区循环升级，确保两个区的程序为最新两个版本的程序，程序升级过程中，分别对App0区和App1区进行交替擦除与刷写，减小了FLASH区中同一地址区间的擦除和刷写次数，增加了电控单元硬件寿命。

应当理解的是，本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims (8)

1.一种ECU程序备份及循环升级控制方法，其特征在于，包括以下步骤：

S01：将ECU的FLASH分为引导加载程序区、第一应用软件程序区和第二应用软件程序区，设置第一应用软件程序区和第二应用软件程序区的应用程序有效标志位；

S02：配置第一应用软件程序区和第二应用软件程序区两个地址区间的数据内容作为待升级文件；

S03：引导加载程序区的引导加载程序根据当前的应用程序有效标志位判断并确定待升级地址区间；

S04：将待升级文件中待升级地址区间的数据内容写入待升级地址区间；

S05：对写入的数据进行校验，若校验成功，则将该地址区间的应用程序有效标志位置为有效。

2.根据权利要求1所述的ECU程序备份及循环升级控制方法，其特征在于，所述步骤S03中引导加载程序上电后执行初始化，包括以下步骤：

S21：上电/复位后，执行引导加载程序，引导加载程序执行初始化，读取Flag区的相关标志位信息；

S22：检查是否有重编程请求，如果有重编程请求，引导加载程序进一步执行；

S23：如果没有重编程请求，则开始检查应用程序有效性，如果应用程序有效，则启动应用程序，应用程序在接收到编程会话请求后，应用程序设置重编程请求有效，并对ECU复位；如果应用程序无效，ECU在默认会话模式继续执行引导加载程序并且等待其他的操作。

3.根据权利要求2所述的ECU程序备份及循环升级控制方法，其特征在于，所述步骤S22中进一步执行的操作包括：

S31：引导加载程序在判断有重编程请求后，等待程序擦除请求；

S32：在进行擦除操作时，引导加载程序判断应用程序有效的区间，并确定当前的待升级区间，擦除待升级区间的内容；

S33：在接收数据下载请求和数据传输时，若上位机发送的内容为待升级区间，则引导加载程序执行数据下载操作；若发送内容不是待升级区间，则引导加载程序不进行任何操作，只回复正响应；

S33：数据传输结束后，只对有效的下载数据进行CRC校验。

4.根据权利要求1所述的ECU程序备份及循环升级控制方法，其特征在于，所述步骤S05之后还包括程序有效性判断及跳转，具体包括：

S51：应用程序升级成功后，对ECU进行复位，引导加载程序进行初始化；

S52：引导加载程序进行初始化时，首先判断第一应用软件程序区的应用程序是否有效，若第一应用软件程序区的应用程序有效，则跳转到第一应用软件程序区对应的应用程序；若第一应用软件程序区的应用程序无效，则判断第二应用软件程序区的应用程序是否有效，若第二应用软件程序区的应用程序有效，则跳转到第二应用软件程序区对应的应用程序；

S53：应用程序在接收到编程会话请求后，设置重编程请求有效，并对ECU复位。

5.一种ECU程序备份及循环升级控制装置，其特征在于，包括：

分区模块，将ECU的FLASH分为引导加载程序区、第一应用软件程序区和第二应用软件程序区，设置第一应用软件程序区和第二应用软件程序区的应用程序有效标志位；

待升级文件配置模块，配置第一应用软件程序区和第二应用软件程序区两个地址区间的数据内容作为待升级文件；

判断模块，引导加载程序区的引导加载程序根据当前的应用程序有效标志位判断并确定待升级地址区间；

升级模块，将待升级文件中待升级地址区间的数据内容写入待升级地址区间；

校验模块，对写入的数据进行校验，若校验成功，则将该地址区间的应用程序有效标志位置为有效。

6.根据权利要求5所述的ECU程序备份及循环升级控制装置，其特征在于，所述判断模块中引导加载程序上电后执行初始化，包括以下步骤：

S21：上电/复位后，执行引导加载程序，引导加载程序执行初始化，读取Flag区的相关标志位信息；

S22：检查是否有重编程请求，如果有重编程请求，引导加载程序进一步执行；

S23：如果没有重编程请求，则开始检查应用程序有效性，如果应用程序有效，则启动应用程序，应用程序在接收到编程会话请求后，应用程序设置重编程请求有效，并对ECU复位；如果应用程序无效，ECU在默认会话模式继续执行引导加载程序并且等待其他的操作。

7.根据权利要求6所述的ECU程序备份及循环升级控制装置，其特征在于，所述步骤S22中进一步执行的操作包括：

S31：引导加载程序在判断有重编程请求后，等待程序擦除请求；

S32：在进行擦除操作时，引导加载程序判断应用程序有效的区间，并确定当前的待升级区间，擦除待升级区间的内容；

S33：在接收数据下载请求和数据传输时，若上位机发送的内容为待升级区间，则引导加载程序执行数据下载操作；若发送内容不是待升级区间，则引导加载程序不进行任何操作，只回复正响应；

S33：数据传输结束后，只对有效的下载数据进行CRC校验。

8.根据权利要求5所述的ECU程序备份及循环升级控制装置，其特征在于，还包括效性判断及跳转模块，用于程序有效性判断及跳转，具体包括：

S51：应用程序升级成功后，对ECU进行复位，引导加载程序进行初始化；

S52：引导加载程序进行初始化时，首先判断第一应用软件程序区的应用程序是否有效，若第一应用软件程序区的应用程序有效，则跳转到第一应用软件程序区对应的应用程序；若第一应用软件程序区的应用程序无效，则判断第二应用软件程序区的应用程序是否有效，若第二应用软件程序区的应用程序有效，则跳转到第二应用软件程序区对应的应用程序；

S53：应用程序在接收到编程会话请求后，设置重编程请求有效，并对ECU复位。