2. 汽车电子与ECU基础
在进入固件安全刷写之前，必须先建立对 ECU 的基本认知。ECU（Electronic Control Unit，电子控制单元）是汽车电子系统的执行与决策节点，它把传感器输入、控制算法、执行器驱动和通信接口封装在一个可独立工作的控制器中。理解 ECU 的组成、分类、网络位置以及固件与软件的区别，是后续分析刷写协议、Bootloader、签名校验和回滚机制的前提。
一、ECU 的典型组成
一个量产 ECU 通常由以下部分构成：
- 主控芯片（MCU/SoC）：包含 CPU 内核、Flash、RAM、时钟与电源管理模块，是固件运行的物理载体。
- 存储区：分为 Bootloader 区、应用程序区、标定数据区、配置区，部分芯片还包含 OTP 或 HSM 安全区。
- 输入接口：ADC、数字 IO、PWM 捕获、LIN/CAN 收发器等，用于采集传感器与开关信号。
- 输出驱动：高边/低边驱动、H 桥、继电器驱动，用于控制喷油器、电机、灯组等执行器。
- 通信接口：CAN/CAN FD、LIN、FlexRay、以太网，负责与其他 ECU 及诊断设备交互。
- 电源与保护：反接保护、过压欠压保护、看门狗、复位电路。
从刷写视角看，最关键的是存储分区与通信接口：Bootloader 决定能否被安全地重新编程，通信接口决定刷写数据以何种报文和速率进入 ECU。
二、ECU 功能分类
按控制对象和功能域，ECU 可大致分为动力域、底盘域、车身域、座舱域和智驾域。不同域对实时性、安全等级和刷写窗口的要求差异很大。
| 功能域 | 典型 ECU | 关键特征 | 刷写关注点 |
|---|---|---|---|
| 动力域 | 发动机 ECU、变速箱 TCU、VCU | 强实时、高安全 | 刷写需在安全状态，防止误驱动 |
| 底盘域 | ABS/ESC、EPS、EPB | 功能安全等级高 | 签名校验、回滚策略严格 |
| 车身域 | BCM、车门模块、座椅模块 | 低速、多节点 | LIN/CAN 刷写，节点唤醒管理 |
| 座舱域 | IVI、仪表、HUD | 算力高、系统复杂 | 大镜像、以太网刷写、A/B 分区 |
| 智驾域 | ADAS 控制器、域控制器 | 高带宽、多传感器 | OTA 与安全启动强绑定 |
三、车载网络架构与刷写路径
现代汽车网络呈分层结构：骨干网（以太网或 CAN FD）连接域控制器，子网（CAN/LIN）连接末端 ECU。诊断接口 OBD-II 通常接入网关，由网关转发诊断请求到目标 ECU。刷写时，数据流一般经过“诊断仪 → 网关 → 目标 ECU”的路径，因此网关的路由配置、报文过滤和刷写权限直接影响刷写可行性。
四、固件与软件的区别
在 ECU 语境中，“固件”和“软件”常被混用，但二者边界清晰：
- 固件（Firmware）：直接运行在 MCU 上、与硬件强耦合的底层程序，通常包含启动代码、驱动、Bootloader、RTOS 和应用程序。它被烧录在 Flash 中，负责上电初始化、外设配置和实时控制。
- 软件（Software）：更上层的功能实现，可能运行在 SoC 的 Linux/QNX 上，也可能以应用层任务形式存在于固件中。它依赖固件提供的硬件抽象和通信服务。
从刷写角度看，固件刷写通常涉及整包镜像、分区切换和安全启动链；而应用软件更新可能只替换文件系统或应用分区。二者在签名、校验和回滚策略上要求不同。
关键区分：固件是“让硬件活起来”的代码，软件是“让功能跑起来”的逻辑。刷写固件时，一旦失败可能导致 ECU 无法启动；刷写应用软件失败，通常还有恢复空间。
五、案例与常见误区
某车型在 OTA 刷写 BCM 时失败，诊断仪显示“请求超出范围”。排查发现网关未开放目标 ECU 的诊断路由，刷写请求被网关丢弃。这说明：刷写不仅是 ECU 内部的事，还依赖整车网络配置。
常见误区：认为“能连上 OBD 就能刷所有 ECU”。实际上，网关路由、ECU 唤醒状态、电压条件、安全访问等级都会影响刷写。忽略这些前置条件，容易在刷写中途失败甚至变砖。
刷写前置检查清单（示例）：
1. 蓄电池电压 ≥ 12.5V，必要时接稳压电源
2. 目标 ECU 处于唤醒状态，总线无高负载
3. 网关已配置目标 ECU 的诊断路由
4. 诊断仪与 ECU 完成安全访问（Security Access）
5. 确认刷写镜像的签名与版本匹配
6. 刷写过程中禁止断电、禁止拔插诊断接头