2. 车载固件基础

车载固件是运行在汽车电子控制单元（ECU）与域控制器上的底层软件集合，通常固化在非易失性存储器中，负责硬件初始化、实时控制、通信调度、诊断服务与安全启动。与普通消费电子固件不同，车载固件必须满足车规级温度、振动、电磁兼容与功能安全要求，并能在整车生命周期内通过OTA或诊断接口安全升级。理解固件的定义、分类、存储介质、启动流程以及ECU/域控制器架构，是后续可信发布与升级安全设计的基础。

一、核心原理：固件在汽车电子中的位置

从软件分层看，车载固件位于硬件与操作系统/应用软件之间。它通常包含启动加载程序（Bootloader）、硬件抽象层（HAL）、实时操作系统（RTOS）或AUTOSAR基础软件（BSW）、通信协议栈（CAN/LIN/FlexRay/Ethernet）、诊断栈（UDS/OBD）以及安全模块（HSM/SecOC）。固件的核心职责可归纳为四点：

• 硬件初始化与自检：上电后配置时钟、电源、外设与存储器，执行RAM/Flash/外设自检。
• 实时控制与调度：按周期任务或事件驱动执行电机控制、电池管理、制动控制等逻辑。
• 通信与诊断：通过CAN FD、以太网等总线收发信号，响应UDS诊断请求与刷写服务。
• 安全与可信：执行安全启动、固件签名验证、密钥管理与安全日志记录。

二、固件分类与存储介质

按功能与位置，车载固件可分为以下几类：

存储介质的选择直接影响升级策略。NOR Flash支持XIP（就地执行），适合Bootloader；NAND/eMMC容量大、成本低，适合域控制器应用固件；EEPROM适合频繁写入的小数据；HSM内部存储则用于密钥与证书，通常不可被主核直接访问。

三、启动流程与ECU/域控制器架构

典型车载ECU启动流程如下：上电复位 → BootROM执行 → 加载Bootloader → 校验应用固件签名 → 跳转应用 → 初始化RTOS与任务 → 进入正常通信与诊断。若签名校验失败，系统应停留在安全模式或回滚到备份分区。

上电复位
  → BootROM（固化，不可修改）
  → 一级Bootloader（Flash）
  → 校验应用固件签名/CRC
  → 跳转应用入口
  → RTOS初始化
  → 通信/诊断/控制任务启动
  → 正常模式或安全模式

在架构上，传统分布式ECU按功能划分，如发动机控制、车身控制、电池管理；域控制器则按域集中，如动力域、底盘域、座舱域、智驾域。域控制器通常运行Linux/QNX等富操作系统，固件体量更大，升级链路更长，安全要求也更高。

四、案例与场景：一次OTA升级中的固件角色

假设某车型通过OTA为电池管理ECU升级固件。云端发布固件包后，车端T-Box接收并缓存，网关将升级包路由到目标ECU。目标ECU的Bootloader先校验固件签名与版本兼容性，再写入备用分区；写入完成后重启并跳转到新分区。若新固件启动失败，Bootloader根据回滚标志切回旧分区，并通过DTC上报升级失败。整个过程涉及Bootloader、应用固件、安全固件、配置数据与诊断栈的协同，任何一环缺失都会导致升级不可信。

五、常见误区与复盘

• 误区一：把固件等同于应用软件。固件包含Bootloader、安全模块与标定数据，升级边界比应用软件更复杂。
• 误区二：忽略存储介质寿命。频繁写入EEPROM或NAND会导致磨损，需设计磨损均衡与写入次数限制。
• 误区三：只做应用层签名，不做启动链校验。攻击者可能替换Bootloader或降级固件，必须建立从BootROM到应用的完整信任链。
• 误区四：域控制器升级照搬ECU方案。域控制器固件体量大、分区多、依赖操作系统，需支持断点续传、差分升级与多分区一致性校验。