针对空中下载（Over The Air，OTA）升级失败时，实时操作系统（Real Time Operating System，RTOS）控制器无法进行软件回滚的问题，提出了一种双分区升级技术，此技术分为同面启动升级和异面启动升级。同面启动升级通过外扩存储器作为备份分区，升级时将原程序复制至备份分区后将软件下载至激活分区启动执行；而异面启动升级通过读取控制器分区信息将软件下载至备份分区，利用地址重映射技术和SWAP AB技术进行分区切换，从而实现升级或失败时软件回滚。通过搭建测试环境验证了该软件回滚技术的可行性、有效性及稳定性。

前言

随着汽车智能化、网联化的发展，OTA功能已成为智能网联汽车发展的必然趋势［1-3］。常见 OTA升级架构是云服务器端通过TBOX将升级包下载至车端缓存，由升级主控节点对网络架构中控制器按照刷写流程进行升级更新［4-5］。陈祖锐等［6］采用将升级程序直接刷写在应用程序分区的升级技术，其局限性在于当应用程序升级失败后，原分区里的程序已被擦除导致没有程序可正常运行，控制器将始终处于引导加载程序（Boot Loader）中无法正常工作。针对没有可执行的回滚程序问题，王栋梁等［7］采用在网关内部 Flash 中存储当前版本的技术，当升级失败时网关会调用 Flash 中的软件再次进行刷写，此技术只针对RTOS传统实时操作系统的控制，并且存在网关内存空间大且回滚逻辑繁琐的缺点。严娟等［8］针对网关自升级将 Flash划分为两个相同区域，两者功能上完全一样互为备份，升级时只针对其中一个区域进行升级，失败时利用另一个区域进行回滚，但是只针对 Linux、QNX 和安卓等智能操作系统的控制器，RTOS 传统控制器并没有此类升级技术。

因此，针对现有RTOS控制器只有1个分区［9］，且升级失败造成无程序可回滚的问题，提出了一种双分区升级技术［10-11］。考虑控制器内存空间大小不同，设计了同面启动和异面启动升级技术。该技术具有以下贡献：

（1）针对如何管理分区的问题，设计了启动信息用于标识双分区属性信息，选择对应的分区进行刷写升级、启动或回滚；

（2）在原芯片的基础上通过外扩存储器实现同面启动的双分区升级技术，避免了芯片重新选型及硬件设计，减少了开发的工作量；

（3）设计了一种新的升级包选择下载、安装启动及回滚的异面启动双分区升级技术，优化了升级包制作和刷写流程，可以快速实现分区切换和软件回滚。

1　双分区定义

1.1　存储空间分区

双分区控制器除了引导加载程序分区外，一般需要激活分区（Active Slot）存放当前执行应用程序，备份分区（Backup Slot）存放回滚旧版本程序，此外，还需要一个启动信息（Slot Info）分区，用于存储激活分区和备份分区的相关属性信息，硬件存储空间如图1所示。

1.2　控制器启动方式

引导加载程序需要根据启动信息来判断当前激活分区并引导启动对应的应用程序。该启动信息将在应用程序的有效性判断、下载刷新完成或版本回滚时进行必要的状态切换。启动信息关键属性见表1。

1.3　升级包的组成

对于纯软件实现双分区的控制器，一般会有两个起始地址不同的应用程序分区，升级时需要两个功能相同但起始地址不同的应用程序。将两个不同地址的应用程序通过编译合并后，生成一个大小为两个程序分区的文件用于控制器的选取升级，如图2所示。

2　双分区升级技术

2.1　同面启动升级技术

同面启动升级技术要求每次下载刷新及启动始终在片内 Flash 的激活分区进行，设计的升级技术流程如下。

（1）控制器默认出厂设置时激活分区和备份分区的软件版本一致。

（2）控制器收到主控节点发送的0x31 01 FF 00擦除程序区指令时［13］，需先对比激活分区和备份分区程序版本号，如果不一致则需将激活分区中的程序复制到备份分区中。外扩存储器升级包下载流程如图3所示。

（3）升级包下载刷新到激活分区后，启动信息属性信息更新，控制器会先判断激活分区程序有效性，如果激活分区程序有效，启动激活分区程序，并上报本次OTA任务升级成功。

（4）当激活分区程序无效或安装失败时，利用备份分区程序复制到激活分区实现软件版本回滚，升级流程及启动信息属性更新变化如图4所示。

2.2　异面启动升级技术

异面启动是目前主流升级技术，控制器内存空间满足双分区要求，主要分为基于 SWAP AB 和基于非SWAP AB的双分区升级技术。

2.2.1　基于SWAP AB技术的下载流程

SWAP AB 技术是指利用地址重映射技术［13-15］将激活分区和备份分区的物理内存地址进行互换，保证了激活分区的地址始终保持固定，所以升级的重点在于如何管理下载刷新和分区切换，设计的升级下载流程如下。

（1）主控节点根据 0x34 请求下载服务的起始地址和字节数，将升级包下载刷新到备份分区。

（2）当升级包下载完成且校验通过后，启动信息属性更新。

（3）控制器在进行重启或升级失败回滚时，利用 SWAP AB 技术将备份分区地址与激活分区地址互换，其下载流程如图5所示。

2.2.2　基于非SWAP AB技术的下载流程

所谓非 SWAP AB 技术是指控制器硬件上不支持两个物理内存地址的互换，而且控制器的激活分区和备份分区起始地址不同，所以设计的升级技术下载流程如下。

（1）由于控制器激活分区是 Slot A 还是 Slot B只有控制器可知，所以主控节点内必须包含两个内存地址的升级包，升级包制作过程如图2所示。

（2）在主控节点发送 0x31 01 FF 00 擦除指令前，控制器需将启动信息中备份分区的起始地址发给主控节点，由此确保擦除程序是备份分区程序。

（3）擦除成功后，由主控节点判断选择哪部分程序属于备份分区并进行下载刷新。

（4）当升级包下载完成且校验通过后，重启或升级失败进行软件回滚时，启动信息中激活分区和备份分区状态互换，下载刷新过程及启动信息状态变化如图6所示。

2.2.3　异面启动升级流程

升级包刷新成功后再判定激活分区程序有效性，如果激活分区中程序有效，则从激活分区启动执行；如果程序初次判定无效，再次尝试判断，当重复次数达到最大时说明程序无效，需要进行程序回滚。

在进行程序回滚时，控制器需先判断备份分区中的程序有效性，当判定无效次数达到最大时，则回滚失败，控制器功能失效；如果备份分区中程序有效，更新启动信息属性并启动回滚后的激活分区程序。具体异面启动升级流程如图7所示。

3　测试与验证

3.1　测试系统

双分区升级技术测试环境主要分为ECU和上位机诊断仪系统［16-17］，系统框图及实物分别如图8～9所示。两系统之间通过USB1、USB2接口进行数据传输模拟主控节点刷新下载，其中，ECU侧有一个KEY按键控制LED的闪烁，用于指示app的运行情况。其中，USB1用于引导加载程序的升级，USB2用于app中的通信。

采用 STM32H7 系列芯片验证升级技术，其内部Nor Flash的存储空间分区配置见表2。

3.2　测试验证方案

针对双分区与传统分区升级技术的差异点，设计测试用例时需要重点考虑升级异常时程序回滚功能的有效性、双分区运行的稳定性等，测试类型主要分为正常系和异常系，主要测试用例及方法见表3。

测试时先通过搭建的测试系统验证单控制器升级回滚情况，通过后将开发的双分区升级控制器安装到实车上，利用目前上线运营的OTA整套升级系统，以及布置多控制器升级包来验证实车环境下失败程序回滚功能。

3.3　验证结果

根据上述测试内容和方法，利用搭建的系统及实车测试验证结果（表4），每项测试内容至少需要正向测试 50 次，且每次测试结果都满足要求才能证明该项功能正常。

测试结果表明，利用启动信息进行分区管理，解决了升级启动分区选择问题；针对外扩存储器不能启动执行的问题，提出软件复制备份的回滚机制，实现了双分区升级技术；针对异面启动中升级包下载的问题，提出备份分区信息读取选择下载技术，解决了下载的升级包与分区不对应的问题。因此，上述技术解决了整个双分区OTA升级流程中的技术难题，实现了RTOS控制器双分区升级。

4 结论

本文提出了车载 ECU 双分区升级技术，介绍了同面启动和异面启动的升级刷写流程，通过开发测试系统验证了该技术的有效性，得到的结论如下。

（1）对比异面启动升级中的两种技术，发现具有 SWAP AB 技术的芯片实现双分区升级技术的开发较简单，升级包传输时间更少，同时也减少了主控节点的判断逻辑。目前，多数芯片都支持 SWAPAB技术，建议推广使用基于SWAP AB的异面启动升级技术以实现控制器双分区升级。

（2）同面启动升级中升级前备份或回滚时需要程序进行复制，导致升级过程时间比较长，带给用户体验不如异面启动升级技术，但是其优点在于可基于原芯片实现双分区升级技术，无需重新选型开发。

（3）通过对测试系统及实车不同控制器进行大量的升级测试，验证了控制器双分区升级系统的稳定性和回滚时分区切换的有效性，同时得出控制器升级失败的回滚成功率为 100%。因此，该技术的应用从根本上解决了因OTA升级失败而导致车辆控制器功能失效的问题。

参考文献

［1］田端祥，段晖，陈洁，等 .远程升级技术在汽车智能网联系统中的运用［J］.内燃机与配件，2022（5）：214-216.TIAN Duanxiang，DUAN Hui，CHEN Jie，et al.Applicationof Remote Upgrade Technology in Automobile IntelligentNetwork System［J］.Internal Combustion Engine & Parts，2022（5）：214-216（. in Chinese）

［2］武翔宇，赵德华，郝铁亮 . 浅谈汽车 OTA 的现状与未来发展趋势［J］.汽车实用技术，2019（3）：214-216.WU Xiangyu，ZHAO Dehua，HAO Tieliang.Analysis onCurrent Situation and Future Development Trend ofVehicle OTA［J］. Automobile Applied Technology，2019（3）：214-216（. in Chinese）

［3］姜楠，姜姗姗，韩小鹏.汽车在线升级系统（OTA）开发浅析［J］.时代汽车，2021（21）：11-12.JIANG Nan，JIANG Shanshan，HAN Xiaopeng. TheAnalysis of Online Updates ［J］.Auto Time，2021（21）：11-12（. in Chinese）

［4］卜凡涛，刘木林，刘晓晔 . 一种汽车控制器 OTA 功能方案［J］.汽车电器，2022（9）：67-68.BU Fantao，LIU Mulin，LIU Xiaoye. An OTA FunctionScheme of a Car Controller ［J］.Auto Electric Parts，2022（9）：67-68（. in Chinese）

［5］李立安，赵帼娟，任广乐.OTA实现方案及汽车端设计分析［J］.智能网联汽车，2020（14）：16-19.LI Li’an，ZHAO Guojuan，REN Guangle.OTA Implementation Plan and the Vehicle Design Analysis ［J］.IntelligentConnected Vehicles，2020（14）：16-19（. in Chinese）

［6］陈祖锐，廖振伟，谷城，等.基于UDSonCAN的Bootloader设计［J］.汽车零部件，2022（9）：36-39.CHEN Zurui，LIAO Zhenwei，GU Cheng，et al.BootloaderDesign Based on UDSonCAN［J］.Automobile Parts，2022（9）：36-39（. in Chinese）

［7］王栋梁，汤利顺，陈博，等.智能网联汽车整车OTA功能设计研究［J］.汽车技术，2018（10）：29-33.WANG Dongliang，TANG Lishun，CHEN Bo，et al.TheResearch of OTA Function Design for Intelligent andConnected Vehicle ［J］. Automobile Technology，2018（10）：29-33（. in Chinese）

［8］严娟，张玉川，杨鹏翔，等.基于以太网OTA远程升级的研究［J］.上海汽车，2020（3）：15-18，27.YAN Juan，ZHANG Yuchuan，YANG Pengxiang，et al.The Study on OTA Remote Updating of Ethernet ［J］.Shanghai Auto，2020（3）：15-18，27（. in Chinese）

［9］杨瑞良，唐满良，陈晓群 . 用于系统迭代的双系统切换方法和装置［J］.电子技术，2021，50（7）：82-85.YANG Ruiliang，TANG Manliang，CHEN Xiaoqun.Studyon Dual System Switching Method and Device for SystemIteration ［J］.Electronic Technology，2021，50（7）：82-85.（in Chinese）

［10］曹玉保.基于双备份的兆易创新GD32程序升级方案研究［J］.中国集成电路，2021，30（1）：23-26.CAO Yubao.Research on Scheme to Upgrade Program ofGigaDevice GD32 Based on Double Backup ［J］. ChinaIntegrated Circuit，2021，30（1）：23-26（. in Chinese）

［11］顾瀚戈，钟洪念，冉万宁，等.基于TMS 320F28335 芯片CAN Bootloader 程序升级方法［J］. 电子与封装，2021，21（12）：1-6.GU Hange，ZHONG Hongnian，RAN Wanning，et al.Method of CAN Bootloader Program Update Based onTMS320F28335［J］. Electronics & Packaging，2021，21（12）：1-6（. in Chinese）

［12］陶媛媛，杜彬，田彬 . 基于车载控制器 Boot Loader 的数据备份刷写软件方案实现［J］. 汽车电器，2022（9）：39-41.TAO Yuanyuan，DU Bin，TIAN Bin. Implementation ofData Backup Flashing Based on Boot Loader of VehicleController ［J］. Auto Electric Parts，2022（9）：39-41.（inChinese）

［13］张勤，薛吉，谢明，等 . 基于地址映射的电量模块设计［J］.电子科技，2015，28（7）：34-37.ZHANG Qin，XUE Ji，XIE Ming，et al.Design of PowerModule Based on Address Mapping［J］.Electronic Scienceand Technology，2015，28（7）：34-37（. in Chinese）

［14］闫肖梅，杭孟荀，王瑛 .UDS 诊断协议在纯电动汽车电机控制器中的应用［J］.电子产品世界，2021（4）：42-44.YAN Xiaomei，HANG Mengxun，WANG Ying.Applicationof UDS Diagnostic Protocol in Electric Vehicle MotorController ［J］. Lectronic Engineering & Product World，2021（4）：42-44（. in Chinese）

［15］王强，陈岚，郝晓冉 . 一种基于访存行为地址映射机制的混合内存系统［J］. 小型微型计算机系统，2014，35（6）：1201-1206.WANG Qiang，CHEN Lan，HAO Xiaoran. HybridMemory System Using Memory Access-Aware RemappingMechanism［J］. Journal of Chinese Computer Systems，2014，35（6）：1201-1206（. in Chinese）

［16］贾文伟，徐匡一 . 基于 S32G 芯片的域控制器生产相关方案设计［J］.汽车科技，2022（4）：8-16.JIA Wenwei，XU Kuangyi.Based on S32G Chip DomainController Production Related Scheme Design［J］. Automobile Science & Technology，2022（4）：8-16（. in Chinese）

［17］刘汉阳，杜启行，邓林涓，等 . 基于 USB CDC 规范的嵌入式系统 Bootloader 设计［J］. 电子测试，2020（13）：74-76.LIU Hanyang，DU Qihang，DENG Linjuan，et al. ADesign of Embedded System Bootloader Based on USBCDC Specification ［J］.Electronic Test，2020（13）：74-76.（in Chinese）

基于实时操作系统的车载ECU双分区软件空中下载升级技术