FOTA S32K

目的

OTA的概括和挑战
理解 NXP是如何在自己的产品处理线上更新
了解如何处理低成本边缘节点mcu(如S32K设备)中的空中更新

背景

一般车辆更新固件需要

1. 在经销商完成更新
2. 指定使用更新固件的工具
3. 引擎并非在运动状态
4. 目标节点应用被暂停
5. 主应用程序被擦出和在编程

动机

1. 不断增加回调软件的数量
2. 经销商更新需要额外的花费
3. 随着软件的不断增加复杂度，可能要求的软件更新也不断增加
4. 用户便捷 VS 去经销商
5. 快速更新软件的安全性能够被提高

汽车ECU和FOTA

FOTA由原来的信息系统或车联网系统更新，随着汽车ECU不断增加，fota面临新的挑战，汽车更多域的ECU。

车厂的汽车OTA架构

OTA两种方式

A/B 交换使用用例

A或B版本固件存储在Flash中。

优势：
● 更新固件，同时应用也在flash运行。
● 支持原始的固件回滚。
● 汽车可用
劣势：
● 需要两个flash的存储
● Higher max current(run current in block A+ 擦出/编程在B块)

替换

把当前的Fireware替换成新的固件。
优势：不需要额外的flash。
劣势：
● 要求在更新的过程中，汽车处于停工状态。
● 不支持版本回滚
● ECU操作时，具有高风险。

设定

1. 终端

• 需要获得部分或者全部镜像
• 烧写一个完整的镜像至少需要足够的空间
• 通过串行链路接收更新的软件
• 启动块永远不会随着OTA更新而改变

2. 最好情况：在执行更新时，运行存在的软件。
3. 在新的软件被激活之前，应用APP/启动boot 软件能执行

• 安全生效
• 功能性生效

4. 在更新完成后复位，新的软件开始执行。

全FOTA demo

在NXP设备上，本演示旨在演示许多系统中常见的固件更新功能。demo验证使用两个MPC5748G评估板：

• 一个评估板通过CAN发送更新
• 其他评估板接收更新，程序放进flash里，确保下次启动时，使用默认固件。

演示的关键特征

• 擦出重修映射 flash映射到不同的地址，提供一个简单的方式去切换固件。
• 闪存即可读又可写（RWW)能力 能够擦出或者编程一个flash块，同时能执行另一个flash块。
• 固件验证 确保固件来自有用源并在传输的过程中未收到干扰。

芯片

S32K1 OTA

flash 系统

Flash阵列

1. FOTA相关特征：
   1.1 区域尺寸（最小擦出尺寸）

• 程序Flash里4K Bytes（Bank 0）

• 数据Flash最小擦出尺寸2K Bytes（Bank 1）

  1.2 bank0（程序Flash）和bank1（数据Flash）同时具有读写特征

2. 关键附加的flash特征：

• C90TFS（Thin-Film-Storage)技术
• ECC支持：单bit错误纠正和双bit错误检测。
  • 数据flash 32bit ECC word
  • 程序flash 64bit ECC word
• 访问时间：Flash时钟大约是1/4的core时钟

A/B 固件交换

A/B固件更换步骤

检测更新镜像请求，并在bootloader开始握手。

下载flash程序并擦出RAM或者Dflash代码。

握手开始，接收新的部分镜像并擦出旧镜像，将新的部分镜像接入Flash块中，握手结束。重复上诉握手步骤直到镜像写入结束完成。

设置更新完成标识，产生reset信号。检测新的镜像和更新标识，切换到新镜像分支。擦出更新状态标识。

A/B交换总结

优势：A/B固件交换允许立即备份
限制：与具有多个代码分区的大型mcu相比，不能实时更新映像。

参考连接

NXP OTA