分析五种Boot自更新方式的优缺点
汽车软件boot程序的主要作用是刷新app程序。在在一个具体客户项目中，boot也是客户需求的一部分，跟随项目也有软件开发计划（有的为了和其它boot区分，把项目上的boot称作cb, customer boot）。对于已经下线盒盖的控制器，无论是在供应商或者客户手里测试，只能通过cb刷新app。如果需要cb自刷新，就需要额外的方法。
规范：
整车厂只有对app程序刷新的规范，没有对boot自刷新的规范。因为规范是针对量产车的，售后只负责app程序的升级，不对boot升级（也不允许boot升级）。所以，boot的自刷新只存在于项目开发阶段，且由供应商自行提供方案。本文分析五种boot自更新方式的优缺点。
方式一，sb更新cb：
如图1-a，有的软件架构是两级boot：sb+cb，start boot只检查cpu最小系统，与具体项目的外围电路无关，它独立于客户需求，由供应商自行维护，在pilot项目早期就应开发完成。因为程序启动顺序是sb->cb->app,这样在sb里增加刷新逻辑可以更新cb。通常情况下运行cb更新app程序，特殊情况下程序启动后一直停留在sb里，更新cb。
优点：
1.逻辑结构简单清晰，软件分工明确。
2.一次刷新，操作简易。
缺点：
1.需要较大的flash空间在sb里存放刷新逻辑，项目sop后又要禁止这种刷新方式，造成额外的浪费。
2.软件分三级启动，结构复杂，开发和维护成本较高。对于不需要sb的控制器是一种负担。
3.万一sb也需要更新怎么办？按照这种策略，还得做个ssb？显然不现实。
方式二、ram+flash reboot更新
如图2-a，不存在sb情况下，程序启动顺序是cb->app。需要刷新boot时，首先把reboot程序下载到不用的ram里（图2-b），然后在ram环境下运行reboot,下载新的cb（图2-c）
优点：
1. 不需要额外的flash空间，boot程序运行只需要少量的ram，因此为app设计的ram临时可以保存reboot程序。
2. ram擦写速度很快，则下载reboot的速度会很快。
缺点：
在cb更新过程中万一cpu掉电，重新上电后reboot内容全无，cb已经破损，程序不能正常启动，控制器瘫痪，只能开盖用jtag烧写程序。
方式三、ram+ram reboot更新（对方式二的改进）
首先把reboot（蓝色）+newcb（紫色）一起都下载到ram里（图3-a），然后运行reboot,擦除cb flash区域，将ram中newcb复制到cb flash区域（这一步内部完成）。最后，重新上电复位，ram中的reboot和newcb自动丢失，程序从新的cb开始运行。
优点：
1.相比方式二少了一步刷新（因为reboot和cb是绑在一起的）。
2.相比方式二cb更新全部在cpu内部执行，不受外界干扰，耗时更短。
缺点：
1. 相比方式二需要更大的ram空间存储reboot+newcb。
2. 和方式二一样存在cb更新阶段掉电后控制器瘫痪的风险 。
方式四、借助app程序flash空间
刷新分三步：1.图4-b运行cb，擦除app，把reboot下载到app区域。2.图4-c运行reboot,擦除旧cb，刷入新cb。3.图4-d运行新cb，刷回app。
优点：
1.不需要额外的flash和ram资源。
2.稳定可靠，通过优化设计，可以保证在任何一个步骤突然掉电，上电后可以继续操作，控制器不会刷死。（详细设计方法请看附录）
3.对cb做稍微改造就可以成为reboot程序，开发快速。
缺点：
1.步骤繁多，为了更新cb必须要先擦除app，最后恢复app，至少三次刷新。对不熟悉步骤的操作者容易搞混乱。
2.整体刷新时间会较长，两次boot+一次app
方式五、借助额外flash空间
相比方式四，需要一块和cb一样大小的额外flash空间，刷新分三步：
图5-b,运行cb，刷入reboot到额外flash。
图5-c,运行reboot，更新cb。
运行新的cb，破坏reboot（全部擦除，或只擦除reboot有效性标志）
优点：相比方式四，不需要破坏app程序，也省去了这部分更新时间。
缺点：相比方式四，需要额外的flash空间，且必须是独立的block。
小结：
本质上只有三种：
依赖启动程序sb（方式一），当cpu的flash资源很富余且项目需要两级boot时，用该方法最节省时间。
借助ram（方式二、三）3.借助flash（方式四、五）。只需要单级boot（cb）时，可以容忍因boot刷新瘫痪必须要给控制器开盖带来时间，人力，物力的成本损耗的情况下用方式二，三较方便。
只需要单级boot（cb）时，不允许或不方便控制器开盖，但可以容忍boot更新步骤繁多时间较长的情况下用方式四、五最可靠。
综上，工程师需要根据整体软件架构，cpu资源，时间人力物料等成本因素综合考虑一种适合自己产品及项目的boot自刷新方法。
附录：
《boot自刷新方式四（借助flash）的具体实现方法》
背景：
对于方式四借助flash刷新【不存在刷死风险，在任何一个步骤中控制器突然掉电，上电后可以继续操作。】的结论，是有条件的。笔者给出这个结论是从最理想的前提思考的，即只要控制器中至少有一个boot存在（即使一个是坏的），程序就可以从任何一正常的boot启动运行。这里就有一个问题，cpu怎么判断哪个boot是好的，哪个是坏的？现在分析一下存在控制器刷死这种风险的情况和几种对策方案。
两级启动地址介绍：
如下图示，cpu上电后程序按地址顺序，检查bootsector的有效性，如果boot_id合法则从指定的地址开始执行，否则检查下一个bootsector。
考虑cpu至少具备两个启动地址的情况，如图1-a,当且仅当启动地址1有效时（app为空），程序启动后自动进入boot。如图1-b,当且仅当启动地址2有效时（不带boot测试），程序启动后自动进入app。如图1-c，当启动地址1，2都有效势，程序优先从地址1启动，在boot里检查app程序有效时，再靠跳转指令jump到启动地址2，开始运行app。
方式四控制器刷死情况分析：
如图 2-a，运行reboot更新cb途中断电。重新上电后，如图2-b，由于启动地址1的内容是在刷新开始就被更新了是有效的，程序会进入cb运行，但是cb不完整，必然运行出错，程序不会跳入reboot里，从而不能再刷新（即刷死）。假设从擦除完旧cb开始到刷入新cb完成的时间有10s，在此期间掉电的可能性也不能忽略。
对策一、boot有效性标志与启动地址重合
考虑最普遍情况，cpu只能整块（block）的擦出（16k,32k,64k...），可以最少4字节单位写，没有顺序限制，现在cb只用了一个block。现在调整刷新顺序：擦出成功后，先刷新橙色区域，最后一步刷新启动地址1有效性标志（灰色区域）。这样，即使在更新橙色区域过程中掉电。重新上电后，程序依然从启动地址2开始运行，即重新运行reboot继续等待刷新cb指令，如图3-a所示。具体操作时也不需要更改下载流程，使用$34,36服务按顺序从上位机传输数据到cpu中，先把启动地址1的有效性标志放到ram里，当把橙色区域都下载到flash后，再从ram里把启动地址1的有效性标志写到flash里（这一步10ms以内即可完成，完全可以忽略在此时间内掉电的可能性）
如果最后一步启动地址1刷新成功，再重新上电后，程序从启动地址1开始运行新的boot。即启动地址1起了boot有效性标志的作用（最先擦，最后写），如图3-b所示。
对策二、boot有效性标志独立置尾，增加boot有效性检查逻辑
如图4-a,把boot分成2个段，sec1里仅存放少量的启动自检查逻辑，当它检测到置于sec2末尾的cb_validflg无效时，即认为boot是不完整的，则程序控制跳转到启动地址2继续运行reboot，重新刷新boot。
如图4-b,当sec1的逻辑检测到cb_validflg有效时，即认为boot刷新完成，则程序控制跳转入sec2里，此时由于app(reboot)末尾的app_validflg是无效的，程序并不会跳转入reboot里，接下来就可以刷入新的app了。
这种方法只需要对cb的逻辑和段分配做一下调整，不需要更改刷新顺序。sec1里的启动自检查逻辑可以做的尽量小，则只要保证刷新sec1段的过程中不掉电，控制器就不会刷死，大大降低风险。但是对量产软件，检查cb_validflg无效就直接跳转入app是不合理的，所以当boot最终定型后，应该把这个跳转逻辑关闭。
小结：
对策一简单可靠，经过实际测试验证，完全可以满足稳定刷新ecu的要求。
线束端子拉力试验机原理_洛克仪器Labverse
浙江发改委发布促进经济高质量发展政策，加大有效投资与科技创新力度
太赫兹技术：癌症成像的新视角
朗骏智能JL-2系列之JL-224B旋锁式电子式光控开关
川崎机器人已在个个物流上获得大量应用
分析五种Boot自更新方式的优缺点
什么是AI边缘计算，AI边缘计算的特点和优势介绍
物联网核心设计关键之通信协议
当语音无法哄骗AI 声音才能真正展开羽翼
官宣！致钛科技将发布SSD新品，配备长江存储3D闪存
我是一个采购，吃完苦中苦，终于成为了人下人
享受高清视频通讯体验
[图文]晶体管超外差收音机整机电路分析
PLC是如何调试的呢？
LoRa低功耗远程唤醒及扩频调制详解
“中国制造”稳步发展,倒逼中企独立开发
行空板入门教程第一课：初识行空板
变频器定长控制模式怎么设置，有什么注意事项？
小米6C什么时候上市？小米6C最新消息：小米6C澎湃S2处理器+不整容的颜值，外观、配置、价格汇总
小米6什么时候上市？小米6售价曝光，小米6所有的爆料消息整理
规范：
整车厂只有对app程序刷新的规范，没有对boot自刷新的规范。因为规范是针对量产车的，售后只负责app程序的升级，不对boot升级（也不允许boot升级）。所以，boot的自刷新只存在于项目开发阶段，且由供应商自行提供方案。本文分析五种boot自更新方式的优缺点。
方式一，sb更新cb：
如图1-a，有的软件架构是两级boot：sb+cb，start boot只检查cpu最小系统，与具体项目的外围电路无关，它独立于客户需求，由供应商自行维护，在pilot项目早期就应开发完成。因为程序启动顺序是sb->cb->app,这样在sb里增加刷新逻辑可以更新cb。通常情况下运行cb更新app程序，特殊情况下程序启动后一直停留在sb里，更新cb。
优点：
1.逻辑结构简单清晰，软件分工明确。
2.一次刷新，操作简易。
缺点：
1.需要较大的flash空间在sb里存放刷新逻辑，项目sop后又要禁止这种刷新方式，造成额外的浪费。
2.软件分三级启动，结构复杂，开发和维护成本较高。对于不需要sb的控制器是一种负担。
3.万一sb也需要更新怎么办？按照这种策略，还得做个ssb？显然不现实。
方式二、ram+flash reboot更新
如图2-a，不存在sb情况下，程序启动顺序是cb->app。需要刷新boot时，首先把reboot程序下载到不用的ram里（图2-b），然后在ram环境下运行reboot,下载新的cb（图2-c）
优点：
1. 不需要额外的flash空间，boot程序运行只需要少量的ram，因此为app设计的ram临时可以保存reboot程序。
2. ram擦写速度很快，则下载reboot的速度会很快。
缺点：
在cb更新过程中万一cpu掉电，重新上电后reboot内容全无，cb已经破损，程序不能正常启动，控制器瘫痪，只能开盖用jtag烧写程序。
方式三、ram+ram reboot更新（对方式二的改进）
首先把reboot（蓝色）+newcb（紫色）一起都下载到ram里（图3-a），然后运行reboot,擦除cb flash区域，将ram中newcb复制到cb flash区域（这一步内部完成）。最后，重新上电复位，ram中的reboot和newcb自动丢失，程序从新的cb开始运行。
优点：
1.相比方式二少了一步刷新（因为reboot和cb是绑在一起的）。
2.相比方式二cb更新全部在cpu内部执行，不受外界干扰，耗时更短。
缺点：
1. 相比方式二需要更大的ram空间存储reboot+newcb。
2. 和方式二一样存在cb更新阶段掉电后控制器瘫痪的风险 。
方式四、借助app程序flash空间
刷新分三步：1.图4-b运行cb，擦除app，把reboot下载到app区域。2.图4-c运行reboot,擦除旧cb，刷入新cb。3.图4-d运行新cb，刷回app。
优点：
1.不需要额外的flash和ram资源。
2.稳定可靠，通过优化设计，可以保证在任何一个步骤突然掉电，上电后可以继续操作，控制器不会刷死。（详细设计方法请看附录）
3.对cb做稍微改造就可以成为reboot程序，开发快速。
缺点：
1.步骤繁多，为了更新cb必须要先擦除app，最后恢复app，至少三次刷新。对不熟悉步骤的操作者容易搞混乱。
2.整体刷新时间会较长，两次boot+一次app
方式五、借助额外flash空间
相比方式四，需要一块和cb一样大小的额外flash空间，刷新分三步：
图5-b,运行cb，刷入reboot到额外flash。
图5-c,运行reboot，更新cb。
运行新的cb，破坏reboot（全部擦除，或只擦除reboot有效性标志）
优点：相比方式四，不需要破坏app程序，也省去了这部分更新时间。
缺点：相比方式四，需要额外的flash空间，且必须是独立的block。
小结：
本质上只有三种：
依赖启动程序sb（方式一），当cpu的flash资源很富余且项目需要两级boot时，用该方法最节省时间。
借助ram（方式二、三）3.借助flash（方式四、五）。只需要单级boot（cb）时，可以容忍因boot刷新瘫痪必须要给控制器开盖带来时间，人力，物力的成本损耗的情况下用方式二，三较方便。
只需要单级boot（cb）时，不允许或不方便控制器开盖，但可以容忍boot更新步骤繁多时间较长的情况下用方式四、五最可靠。
综上，工程师需要根据整体软件架构，cpu资源，时间人力物料等成本因素综合考虑一种适合自己产品及项目的boot自刷新方法。
附录：
《boot自刷新方式四（借助flash）的具体实现方法》
背景：
对于方式四借助flash刷新【不存在刷死风险，在任何一个步骤中控制器突然掉电，上电后可以继续操作。】的结论，是有条件的。笔者给出这个结论是从最理想的前提思考的，即只要控制器中至少有一个boot存在（即使一个是坏的），程序就可以从任何一正常的boot启动运行。这里就有一个问题，cpu怎么判断哪个boot是好的，哪个是坏的？现在分析一下存在控制器刷死这种风险的情况和几种对策方案。
两级启动地址介绍：
如下图示，cpu上电后程序按地址顺序，检查bootsector的有效性，如果boot_id合法则从指定的地址开始执行，否则检查下一个bootsector。
考虑cpu至少具备两个启动地址的情况，如图1-a,当且仅当启动地址1有效时（app为空），程序启动后自动进入boot。如图1-b,当且仅当启动地址2有效时（不带boot测试），程序启动后自动进入app。如图1-c，当启动地址1，2都有效势，程序优先从地址1启动，在boot里检查app程序有效时，再靠跳转指令jump到启动地址2，开始运行app。
方式四控制器刷死情况分析：
如图 2-a，运行reboot更新cb途中断电。重新上电后，如图2-b，由于启动地址1的内容是在刷新开始就被更新了是有效的，程序会进入cb运行，但是cb不完整，必然运行出错，程序不会跳入reboot里，从而不能再刷新（即刷死）。假设从擦除完旧cb开始到刷入新cb完成的时间有10s，在此期间掉电的可能性也不能忽略。
对策一、boot有效性标志与启动地址重合
考虑最普遍情况，cpu只能整块（block）的擦出（16k,32k,64k...），可以最少4字节单位写，没有顺序限制，现在cb只用了一个block。现在调整刷新顺序：擦出成功后，先刷新橙色区域，最后一步刷新启动地址1有效性标志（灰色区域）。这样，即使在更新橙色区域过程中掉电。重新上电后，程序依然从启动地址2开始运行，即重新运行reboot继续等待刷新cb指令，如图3-a所示。具体操作时也不需要更改下载流程，使用$34,36服务按顺序从上位机传输数据到cpu中，先把启动地址1的有效性标志放到ram里，当把橙色区域都下载到flash后，再从ram里把启动地址1的有效性标志写到flash里（这一步10ms以内即可完成，完全可以忽略在此时间内掉电的可能性）
如果最后一步启动地址1刷新成功，再重新上电后，程序从启动地址1开始运行新的boot。即启动地址1起了boot有效性标志的作用（最先擦，最后写），如图3-b所示。
对策二、boot有效性标志独立置尾，增加boot有效性检查逻辑
如图4-a,把boot分成2个段，sec1里仅存放少量的启动自检查逻辑，当它检测到置于sec2末尾的cb_validflg无效时，即认为boot是不完整的，则程序控制跳转到启动地址2继续运行reboot，重新刷新boot。
如图4-b,当sec1的逻辑检测到cb_validflg有效时，即认为boot刷新完成，则程序控制跳转入sec2里，此时由于app(reboot)末尾的app_validflg是无效的，程序并不会跳转入reboot里，接下来就可以刷入新的app了。
这种方法只需要对cb的逻辑和段分配做一下调整，不需要更改刷新顺序。sec1里的启动自检查逻辑可以做的尽量小，则只要保证刷新sec1段的过程中不掉电，控制器就不会刷死，大大降低风险。但是对量产软件，检查cb_validflg无效就直接跳转入app是不合理的，所以当boot最终定型后，应该把这个跳转逻辑关闭。
小结：
对策一简单可靠，经过实际测试验证，完全可以满足稳定刷新ecu的要求。
线束端子拉力试验机原理_洛克仪器Labverse
浙江发改委发布促进经济高质量发展政策，加大有效投资与科技创新力度
太赫兹技术：癌症成像的新视角
朗骏智能JL-2系列之JL-224B旋锁式电子式光控开关
川崎机器人已在个个物流上获得大量应用
分析五种Boot自更新方式的优缺点
什么是AI边缘计算，AI边缘计算的特点和优势介绍
物联网核心设计关键之通信协议
当语音无法哄骗AI 声音才能真正展开羽翼
官宣！致钛科技将发布SSD新品，配备长江存储3D闪存
我是一个采购，吃完苦中苦，终于成为了人下人
享受高清视频通讯体验
[图文]晶体管超外差收音机整机电路分析
PLC是如何调试的呢？
LoRa低功耗远程唤醒及扩频调制详解
“中国制造”稳步发展,倒逼中企独立开发
行空板入门教程第一课：初识行空板
变频器定长控制模式怎么设置，有什么注意事项？
小米6C什么时候上市？小米6C最新消息：小米6C澎湃S2处理器+不整容的颜值，外观、配置、价格汇总
小米6什么时候上市？小米6售价曝光，小米6所有的爆料消息整理