3. 生产刷写流程总览

在英飞凌 AURIX 系列 MCU 的量产环节中，刷写并不是一个孤立的“写 Flash”动作，而是一条从空白芯片上电、建立调试连接、写入固件与标定数据、校验签名、锁定调试口，直到下线终检并回传追溯数据的完整链路。理解这条链路的关键，不在于记住每一步的名称，而在于看清三个问题：芯片在每个阶段处于什么状态、哪些数据在流动、哪些信息必须被记录并绑定到唯一身份上。本节以一条典型的 AURIX TC3xx 量产线为例，梳理从空白芯片到下线终检的完整流程、关键节点、数据流与追溯需求。

一、流程主线：从空白芯片到下线终检

空白芯片（Blank Chip）出厂时，用户 Flash（PFlash/DFlash）处于擦除态，UCB（User Configuration Block）为默认配置，调试接口（DAP/JTAG）开放，HSM（Hardware Security Module）尚未激活。整条产线流程可划分为六个阶段：

1. 上料与身份绑定：芯片进入烧录工位，扫码枪读取芯片托盘或载带上的唯一标识（如晶圆批次号 + 芯片坐标），同时读取 PCB 上的产品序列号（SN），在 MES 中建立“芯片—板卡—工位”的绑定关系。
2. 建立调试连接：烧录器通过 DAP 接口与 AURIX 建立连接，读取 Chip ID、Flash 容量、HSM 状态等基础信息，确认芯片型号与目标固件匹配。
3. 固件与标定数据写入：按分区写入 Bootloader、应用程序（App）、标定数据（CAL）、HSM 固件及密钥。写入顺序通常为：先写 Bootloader，再写 App 与 CAL，最后写 HSM 相关数据。
4. 校验与签名验证：对写入区域进行 CRC 校验，并验证固件签名（如 CMAC 或 ECDSA），确保数据完整且来源可信。
5. 调试口锁定与 UCB 配置：写入 UCB 中的调试保护配置，锁定 DAP 接口，防止后续非法读取；同时配置启动模式、看门狗等参数。
6. 下线终检（EOL Test）：芯片复位后运行自检程序，检查启动是否成功、通信是否正常、关键外设是否工作，并将结果与追溯数据回传 MES。

这六个阶段并非简单的线性步骤，而是存在数据依赖与状态跃迁。例如，HSM 固件写入必须在调试口锁定之前完成，否则将无法再访问 HSM 配置区；而 UCB 的写入又必须在所有固件写入完成之后，否则会触发保护机制导致后续写入失败。

二、关键节点与状态跃迁

在整条流程中，有三个节点对最终结果影响最大，可视为“不可逆节点”：

• HSM 激活节点：一旦 HSM 固件写入并激活，芯片的安全启动链即被建立。此后若固件签名不匹配，芯片将拒绝启动。因此，HSM 写入前必须确保 App 与 CAL 已通过校验。
• 调试口锁定节点：通过写入 UCB 中的 DAP 保护配置，将调试接口从“开放”变为“受保护”。锁定后，常规调试器无法再连接，量产阶段必须在此之前完成所有需要调试访问的操作。
• UCB 提交节点：UCB 的写入通常需要“写—校验—提交”三步，提交后配置生效且不可随意更改。若提交失败，芯片可能进入不可启动状态，需通过特定恢复流程处理。

这三个节点对应芯片状态的跃迁：从“空白/开放”到“已编程/受保护”，再到“已锁定/可启动”。每一步都应在 MES 中记录时间戳、操作员、工位号和结果，以便后续追溯。

三、数据流与追溯需求

量产刷写过程中流动的数据可分为三类：固件数据（Bootloader、App、CAL、HSM 固件）、配置数据（UCB、启动模式、保护配置）、追溯数据（芯片 ID、SN、批次号、工位号、时间戳、校验结果、签名验证结果）。

追溯需求的核心是“一芯一码，一码一档”。每颗芯片在烧录完成后，应生成一条完整的追溯记录，至少包含以下字段：

这些数据在烧录过程中由烧录器、MES 和测试程序共同产生，并通过接口回传至中央数据库。若后续出现现场故障，可通过芯片 ID 或 SN 反查该芯片的完整刷写历史，判断是否为固件版本错误、标定数据不匹配或 HSM 配置异常。

四、实际产线中的操作要点与判断依据

以一条典型的 AURIX TC3xx 产线为例，烧录工位的操作流程如下：操作员将载有芯片的托盘放入烧录器，扫码枪读取托盘上的批次码和芯片坐标，MES 自动分配 SN 并下发至烧录器。烧录器通过 DAP 接口连接芯片，读取 Chip ID 并与 MES 中的工单信息比对，若型号不匹配则立即报警并停止烧录。

固件写入阶段，烧录器按分区依次写入 Bootloader、App、CAL 和 HSM 固件。每写完一个分区，立即读取该区域数据进行 CRC 校验，校验失败则重试写入，重试三次仍失败则标记该芯片为 NG 并记录错误码。HSM 固件写入后，烧录器调用签名验证接口，使用预置的公钥验证固件签名，验证通过后才允许进入下一步。

调试口锁定阶段，烧录器向 UCB 写入保护配置，写入后执行“提交”操作。提交成功后，烧录器尝试重新连接 DAP，若连接被拒绝，说明锁定成功；若仍能连接，则锁定失败，需检查 UCB 写入是否正确。下线终检阶段，芯片复位后运行 Bootloader，Bootloader 依次检查 App 签名、CAL 数据完整性和 HSM 状态，全部通过后跳转至 App 并点亮“自检通过”指示灯。测试程序读取该指示灯状态和芯片返回的自检结果，将结果与追溯数据一并回传 MES。

五、追溯需求的落地方式

追溯需求最终要落到“可查、可追、可判”三个能力上。可查，是指通过 Chip ID 或 SN 能快速检索到该芯片的完整刷写记录；可追，是指能追溯到具体的固件版本、标定数据版本、烧录工位和时间；可判，是指能根据记录判断故障是否与刷写过程相关。为满足这三个能力，产线需在烧录工位部署 MES 接口，确保每颗芯片的刷写数据实时上传，并定期备份追溯数据库。对于 HSM 相关操作，还需额外记录密钥版本和签名验证结果，以满足功能安全与信息安全审计要求。

综上，从空白芯片到下线终检的完整流程，本质上是一条“状态跃迁 + 数据绑定 + 追溯记录”的链路。理解每个阶段芯片的状态、数据的流向和追溯的字段，是设计和优化量产刷写方案的基础。