Flash Reprogramming 정리

📥 Flash Reprogramming 이란?

임베디드는 개발은 보통 ECU(전자 제어 장치)를 개발자가 코딩을 통해 개발한 소프트웨어(펌웨어)를 사용해 원하는 기능을 하도록 하는 것을 의미한다. 
이 때, ECU에 소프트웨어를 업데이트 하는 과정을  Flash Reprogramming 이라고 부른다. 
개발 단계 이후 양산 단게에서도 오작동을 수정하거나 새로운 기능을 추가하는 등의 소프트웨어 업데이트가 필요한 경우 
Flash Reprogramming을 통해 소프트웨어를 업데이트 할 수 있다.
자동차의 OBD-II 포트에 제조사별로 사용하는 펌웨어 업그레이드 장비를 연결해 Flash Memory에 소프트웨어를 업데이트 하는 방식을 사용한다. 

OBD - II 단자 구성 출처 : https://m.blog.naver.com/suresofttech/221282372396

📥 주요 구성 요소

Flash Reprogramming 과정은 Flash Memory 공간에 새로운 소프트웨어를 기록하여 ECU의 기능을 업데이트하는 프로세스이다. 주요 구성 요소는 아래와 같다.
Flash Memory 공간을 사용하는 이유는 Flash Memory는 전원이 꺼져도 계속 유지되기 때문에 소프트웨어가 계속 유지될 수 있으며, CPU에 직접 접근이 가능한 공간으로 읽기 쓰기 속도가 빠르기 때문에 기본적으로 펌웨어(소프트웨어)는 
디스크, 메모리 공간이 아닌 Flash Memory 공간에 저장된다. 

출처 : https://buildstorm.com/blog/automotive-bootloader-fbl/

Application Software 

C, C++ 등의 언어로 작성된 ECU의 여러가지 기능 수행을 위한 소프트웨어

PreLoader 

시스템 부팅 시 가장 먼저 실행되는 소프트웨어 모듈이며 주로 아래 2가지 동작을 수행한다.

1. Application 또는 FBL 부팅 결정
   시스템이 부팅될 때 어떤 소프트웨어 모듈을 실행할지 결정한다.
   (※ 예를 들어 업데이트가 필요 -> Flash Bootloader, 동작이 필요 -> Application Software)
2. 신규 업데이트나 손상된 Application 처리
   만약 새로운 소프트웨어 업데이트가 준비되어 있거나, 현재 실행 중인 Application이 손상된 경우, PreLoader는 보통 부트로더(FBL)로부터 시스템을 부팅하여 새로운 소프트웨어를 로드하거나, 손상된 소프트웨어를 대체한다.

Primary Bootloader

주로 업데이트된 프로그램을 Flash 메모리에 쓰는 등의 업데이트 프로세스와 기타 아래 동작을 수행한다.

1. 업데이트 처리 루틴
   새로운 소프트웨어를 Flash 메모리에 쓰는 등의 업데이트 프로세스를 처리
2. 내부 보안 인증 절차
   보안을 강화하기 위해 Flash Bootloader는 업데이트 프로세스에서 내부 보안 인증 절차를 거쳐 외부로부터의 불법적인 업데이트를 방지하고, 오작동을 방지한다.
3. 바이너리의 정합성 및 동일성 검사 (★ 중요)
   소프트웨어가 Flash 메모리에 쓰여진 후, Flash Bootloader는 쓰기가 완료되었는지 확인하기 위해 바이너리의 정합성 및 동일성을 검사한다. (※ 소프트웨어가 올바르게 업데이트되었는지 확인)
4. 애플리케이션으로 제어 제어
   모든 업데이트와 검사가 완료되면, Flash Bootloader는 새로운 소프트웨어로 제어를 넘겨주어 애플리케이션이 정상적으로 실행되도록 한다.

Secondary Bootloader

일반적으로 장애가 발생할 경우 시스템을 복구하거나 손상된 부분을 수정하는 데 사용되며
주로 기본 부트로더의 심각한 오류나 손상 시에만 활성화되며, 이 경우에만 작동한다.
Window로 치면 일종의 바이오스이다.

 

📥 Reprogramming Process

안전하게 업데이트 되기 위해 아래 3가지 단계를 거쳐 소프트웨어를 업데이트한다.

Pre Programming 

리프로그래밍 세션을 설정하고 ECU의 상태를 준비하며, 이 단계에서는 보안 잠금을 해제하고, 소프트웨어 정보를 읽어온다. 추가로 ECU의 진단 기능을 비활성화하여 안정성을 확보하는 과정이다.
(※ 세션 : 두 개 이상의 장치 간에 일어나는 특정 기간 동안의 통신 활동)

1. Extended Diagnostic 세션 진입 요청 및 TP 메시지 전송
    Flash Reprogramming을 시작하기 전, 모든 ECU에게 Extended Diagnostic 세션에 진입하도록 요청하고,
    해당 세션을 유지하여 프로그래밍 세션이 시작되기 전에 통신이 원활하게 이루어지게 한다.
   (※ Extended Diagnostic 세션 : ECU와 진단 도구간 여러가지 정보 획득을 위한 통신 활동)
2. 세션 변경 요청
   네트워크에 연결된 모든 ECU에 대해 Extended Diagnostic 세션에 진입하도록 요청한다. 이때
   TP 메시지를 사용하여 세션을 유지하여, 통신이 중단되거나 세션이 만료되는 것을 방지한다.
   (※ TP 메시지 : 세션 시작, 세션 종료 등의 진단 도구와 ECU간에 주고 받는 각종 메시지) 
3. OBD 보안 잠금 해제 요청
   프로그래밍을 위한 OBD 보안 잠금을 해제 요청을 보내어 프로그래밍 작업을 가능하게 한다. 
   (※ OBD (Ontario Board Diagnostics)  : 차의 내부에 내장된 진단 시스템으로 여러 문제를 모니터링) 
4. 프로그래밍 식별 정보 읽기
   각 ECU에 대해 프로그래밍에 필요한 Part number와 version ID 등의 식별 정보를 읽어와 프로그래밍 프로세스의
   일부로 활용한다. 
   (※ Part number : 제품의 일련 번호나 부품 번호, Version ID : ECU에서 사용중인 소프트웨어 버전)
5. ECU의 DTC 설정 비활성화 요청
   프로그래밍 중에 발생할 수 있는 오류를 방지하기 위해 네트워크에 연결된 모든 ECU의 DTC 설정을 비활성화한다.
   (※ DTC (Diagnostic Trouble Code) : 자동차의 진단 시스템에서 발생한 문제를 식별하는데 사용되는 코드)  
6. ECU의 non-diagnostic 메시지 송수신 비활성화 요청
   프로그래밍 세션 동안 ECU가 비 진단 메시지를 송수신하지 않도록 비활성화한다.

Server Programming 

서버에서 소프트웨어 업데이트를 시작하고, 이 과정에서 보안 접근을 설정하고 데이터를 업로드한다.
최종 업데이트 후 ECU를 재설정하여 새로운 소프트웨어가 적용될 수 있도록 한다.

1. 세션 변경 요청
   프로그래밍 세션에 진입하기 위해 각 대상 ECU에 세션 진입을 요청
   (※ 프로그래밍 세션 : ECU에 소프트웨어를 쓰거나 업데이트하는 통신 활동)
2. Security Access 요청 및 권한 수령
   각 대상 ECU에 대해 보안 액세스를 요청하고 권한을 수령
3. Tester 시리얼 넘버 쓰기 요청
   추적 및 기록, 보안 인증을 위해 프로그래밍 과정에서 Tester의 시리얼 넘버를 대상 ECU에 쓰기 위해 요청 
4. Programming Date 쓰기 요청
   대상 ECU에 프로그래밍 날짜를 쓰기 위해 요청
5. 업데이트할 영역 삭제 요청
   대상 ECU에 대해 업데이트할 영역을 삭제하고 초기화하기 위해 요청
6. 업데이트할 data segment 단위로 전송 요청
   대상 ECU에 대해 업데이트할 데이터를 segment 단위로 전송하기 위해 요청
7. 다운로드된 data 정확성 체크
   전송된 데이터의 정확성을 확인하고 검증하기 위해 다운로드된 데이터를 체크
8. ECU Reset:
   프로그래밍이 완료되면 대상 ECU를 재설정하여 새로운 소프트웨어가 적용되도록 한다. 

Post Programming 

업데이트 후 ECU의 상태를 복구하고 리프로그래밍 세션을 종료한다.
이 단계에서는 보안 설정을 다시 활성화하고, ECU를 기본 세션으로 복원하여 정상적인 작동을 보장한다.

1. 세션 변경 요청
    프로그래밍이 완료된 후, 대상 ECU에 대해 Extended Diagnostic Session에 다시 진입하기 위한 요청을 보낸다. 
2. 네트워크에 연결된 모든 ECU non-diagnostic 메시지 송수신 활성화 요청
   프로그래밍이 완료되고 정상적인 통신이 재개된 후, 네트워크에 연결된 모든 ECU의 비 진단 메시지 송수신을 다시
   활성화한다. 
3. 네트워크에 연결된 모든 DTC setting On 요청
    프로그래밍이 완료된 후, 네트워크에 연결된 모든 ECU의 DTC 설정을 다시 활성화한다.
4. 세션 변경 요청
   프로그래밍이 완료된 후, 네트워크에 연결된 모든 ECU에 대해 Default Session에 진입하기 위한 요청을 보낸다.

참조

https://blog.naver.com/mdstec_auto/222175529338

https://buildstorm.com/blog/automotive-bootloader-fbl/

https://m.blog.naver.com/suresofttech/221282372396