控制器非易失存储设计：学习值、诊断数据与累计量的持久化

课程大纲

• 能按「出厂前资产 vs 车端自产数据」划清本课的管辖对象，并列出一台热管理域控需要非易失保全的数据清单（每条带更新频次、丢失后果、恢复手段三列）
• 能判出哪些数据「丢了车上无法自恢复」，据此排定写入保护等级，而不是按主观的「重要不重要」排
• 能为一类数据选出介质（内部 Data Flash / 外部 EEPROM / EEPROM 模拟）与 NvM 块类型（Native/Redundant/Dataset），并用写入寿命预算式核算擦写耐久能否撑到整车寿命，算不过时给出改法
• 能设计掉电写一致性方案（A/B 双块交替 + CRC + 有效标志的写序不变量），并核算下电写入序列所需的电源保持时间，另给无预警断电的兜底
• 能定义上电有效性校验链与校验失败后的回退分支（安全默认值 + 可分辨「坏 vs 从未写过」的 DTC + 触发重学），并说清为什么整块清零是错路
• 能把「某个学习值该不该持久化」写成一份带正反两侧失效模式的权衡结论，而不是照搬「不持久化就是缺陷」
• 能给出 NVM 布局版本号方案与一次新增字段的迁移规则，并指定售后换件的复位路径（0x2E 还是 0x31）与应暴露为可读 DID 的关键状态

1. 车端运行期数据分类与保全需求：先划清「谁的数据」
   • 先把管辖边界划死：一份值是「库里发下来的」还是「车上算出来的」——前者（可执行代码、离线标定参数集、变型编码、发布件校验和）归 K4-04 与 K6-05，本课只管车端运行期自己产生、必须活过下一次上电的数据。判据就是这一句，不是数据放在哪块存储器里。
   • 要保全的对象列成六类清单：①执行器学习值（EXV 归零步数、风门止点、零点偏差补偿）②传感器零点补偿与在线校零结果 ③DTC 老化计数与 pending/confirmed/history 状态 ④冻结帧与扩展数据记录 ⑤累计量（运行小时、执行器动作与换向次数、能量累计）⑥用户记忆（上次设定温度/风量）与 EOL 写入项（变型配置字、零件号、标定基准）。每类必填三列：更新频次（每控制循环／每次事件／每次下电／一生一次）、丢失后果、允许的恢复手段。
   • 真正承重的是第 ②③④⑤ 四类，不是学习值——它们丢了车上没有任何在线手段能重建：老化历史与冻结帧一旦清零即永久丢失（诊断语义要求见 K5-01），累计量是售后判执行器是否到寿的唯一客观量（计数定义见 K1-02）；而执行器学习值丢了还能靠一次寻零重建。所以分类的第一判据是「丢失后可否在车上自恢复」，写入保护等级按此排序。
   • 更新频次决定载体，不是反过来：每个控制循环都在变的瞬时量根本不该进 NVM；缓变量（自适应增益、设定点偏置、老化补偿）只在收敛后或下电序列写（写入频次判定准则由 K7-03 给出，本课只接它对存储层的需求）；一生只写一次的 EOL 项要与高频块在物理布局上分区，避免被高频擦写波及。
   • 每一份要保全的数据必须回答四个问题才算规格完整：写入触发条件、丢失后果、上电校验失败时装载什么默认值、谁有权清除（产线／授权售后／用户）。缺任一项，售后现场就会变成「不知道该不该清」，而这类判断一旦交给现场随意做，历史数据会被成批抹掉。
2. 介质与 AUTOSAR 存储栈：块类型、磨损均衡与写入寿命预算
   • 三条介质路线与选型判据：MCU 内部 Data Flash（无外围件、擦除粒度大、耐久量级最低）、外部串行 EEPROM（可按字节改写、耐久量级最高，代价是多一颗器件与一条 SPI/I²C 链路及其失效模式）、在程序 Flash 上做 EEPROM 模拟（省物料，但写延迟与耐久最差、且与代码区共命运）。判据三条：单块写入频次、需要的最小写入原子性粒度、能否接受掉电写中断后靠软件恢复。
   • 存储栈分层与职责：NvM（块管理、校验、默认值、请求队列）→ MemIf（介质抽象）→ Fee（Flash 上的 EEPROM 模拟，含扇区轮转与垃圾回收）/ Ea（外部 EEPROM 抽象）→ 存储驱动。分层的意义是让应用侧只按「块 ID + 读写请求」编程，换介质不改算法代码；这条栈在 BSW 分层里的位置与它的 CPU/RAM/Flash 开销核算归 K4-01，本课只管数据侧配置。
   • NvM 三种块类型对应三种需求，不是三个可随手选的选项：Native（单副本，最省空间，写中断即整块可疑）、Redundant（双副本各带校验，NvM 层自动挑好的那份，是承重数据的默认选择）、Dataset（同一块多条记录索引访问，适合多组配置、多执行器同构学习值、环形写的累计量）。选错的现场表现很具体：按 Native 配的 DTC 历史块，一次掉电写中断就整块回默认值，售后永远读到「干净的车」。
   • 磨损均衡的有效性有前提：Fee/Ea 靠扇区轮转把一个逻辑块的写分散到多个物理扇区，有效耐久约等于单扇区耐久乘参与轮转的扇区数——但只有写入在时间上分布均匀才成立。一个每秒写一次的计数器块会独吞轮转池，这类量必须先做写节流（累积到阈值或只在下电写）再谈均衡。
   • 写入寿命预算要在设计阶段算、算不过就改设计：按第 1 条公式核，降频次、加节流、换介质、扩轮转池四条改法任选，不能靠「实际用户没那么频繁使用」蒙过去。第二维是数据保持（retention）随温度退化——机舱内控制器的高温累积会缩短保持年限，须另按器件的温度-保持口径核，只看擦写次数会漏掉这一侧。
   • 存储栈的资源与时序代价必须进架构预算：NvM 队列与镜像 RAM、校验计算的 CPU 占用、以及 Fee 垃圾回收造成的写延迟尖峰——最后这一项直接决定下电写序列会不会超时，是第 3 讲保持时间核算里最容易被漏掉的输入。
3. 掉电时刻的写一致性：写中断是本领域的经典现场失效
   • 先把失效模式按介质分清：扇区擦除中途断电（扇区处于半擦除态，读出值不定）、多字节写中途断电（前半新值后半旧值，校验能查出）、以及「数据已写、有效标志未落」的窗口。所有一致性机制的目标只有一条：任何时刻断电，上电后都能找到一份完整可信的旧值或新值，绝不允许出现半新半旧且被当成有效。
   • 最小可用方案与它的写序不变量：A/B 双块交替 + 校验码 + 有效标志（或写完成序号）——先写非活动块的数据 → 回读校验 → 最后一步才落该块的有效标志/序号 → 上电取「有效且序号最新」的那块。顺序颠倒（先置标志再写数据）会把整套机制变成装饰，这是评审时第一个要看的地方。
   • 关机写入序列要作为显式设计对象，不能只在流程图上写「保存数据」：谁在什么时刻发起「准备下电」→ 各软件组件提交最后一次写 → NvM 队列排空 → 确认全部写完才允许掉电。判据是「待写块数 × 单块最坏写时间（含垃圾回收尖峰）≤ 可用保持时间」，超了就削减下电写清单，把能在运行期写掉的量提前写。
   • 硬件侧两个前提必须与硬件规格书对齐、不许软件单方面假设：①电源保持时间（保持电容或 DCDC 维持窗口）够不够 NvM 排空；②低压禁写门限——母线电压低于器件最低写电压时必须主动禁止写入，欠压下的写才是最容易写坏整块的动作。控制器自身电源与复位时序见 K2-01，整车电源模式与 run-on 编排见 K3-11，本课只向这两门提需求、不重讲电路与模式。
   • 有序关机之外还有两类无预警断电必须单列：接线端子瞬断／保险丝跳／碰撞断电，以及看门狗复位。这类断电没有任何写窗口可用，只能靠 A/B 双块与「宁可丢最后一次更新、不可损坏已有值」的策略兜底——所以验收判据是「任何时刻断电后系统仍可用」，不是「保持电容够大」。
   • 验证要从功能测试之外另起一条：写一致性缺陷的现场特征是低概率、随机、随点火次数累积，功能测试抓不到。做法是随机时刻断电的循环试验，刻意覆盖擦除中、写数据中、写标志中三个窗口，统计上电后块状态分布（有效新值／有效旧值／默认值／不可信）——出现第四类即为设计缺陷。
4. 上电有效性校验、失效回退与「该不该存」的权衡
   • 上电校验要写成有序判据链，不是一句「校验 CRC」：块存在 → 校验码或冗余副本一致 → 布局版本号在兼容集内 → 值落在合法范围（range/plausibility） → 与其它块交叉一致（如零点补偿绑定的零件号是否还是当初那件）。每一级不过都要落到显式定义的处理分支，没有默认分支。
   • 校验失败的标准处置是三件套：装载出厂默认值（默认值必须是安全值，不是零）+ 置 DTC（要能分辨「数据损坏」与「从未写过」，否则新出厂车全报码）+ 给出触发重学/重标定的条件。⛔ 两条错路要点名：整块清零丢掉全部诊断历史与累计量；或把损坏当作「无数据/无故障」静默掩盖真状态（这条正是 K5-01 提出的诊断语义要求在存储侧的落点）。
   • 「该不该存」是权衡题，不是「不存就是缺陷」：把上次止点/零位持久化的作用，是把寻零从「每次上电必做」降级为条件触发（长时下电、丢步嫌疑、合法性校验不过、累计行程或换向超阈），并提供老化趋势基线；换来的收益是省下顶止点撞击的「咔」声（机构根因与治法见 C2-11）与上电行程时间。C2-03 与 G4-01 都把上电自学习列为推荐做法（G4-01 写明持久化只能降低归零频次、不能免除归零），本课不改这个结论，只把它接到存储侧。
   • 两条路的失效模式要摆在一起看：不存——每次上电顶止点，付出 NVH 与时间代价，多执行器同时找零还有电流叠加（排队错时见 K1-02、整包电流账见 K2-06），但基准永远是当次实测、不会错；存——省 NVH 与时间，却多出「写坏了没发现」和「换件沿用旧补偿量」两类失效，因此必须配合法性校验与周期性重做。交付物是一张按学习量逐条判「存／不存／存但只当趋势基线」的表，不是一条通用结论。
   • 换件后旧值能不能沿用，判据是「这个值描述的是哪一件的属性」：随执行器本体走的基准（阀的机械零位、零点偏差补偿）必须强制清零重学，否则新阀沿用旧阀补偿量会把全开度区间的流量标定整体偏置（G4-01 已点名此失效）；随整车安装位置走的可保留。重学清单与售后工位权限归 K6-09，本课只出「哪个块、清成什么值」。
   • 传感器零点补偿这类「一次寻零推不出来」的量是本讲的真正难点：它由装配公差与批次散差决定、只能产线逐件标定测出，丢了车上无法自恢复、只能进服务厂，因此它的保护等级必须高于任何可重学的学习值——这也回过头验证了第 1 讲按「能否自恢复」排序的判据。
5. 全生命周期：布局版本迁移、售后换件、产线写入与可读性
   • NVM 布局版本号是必备字段，不是可选优化：每个块（或整份布局）带版本号，上电按「可直接沿用／需迁移／需清除重学」三档判定。K4-04 已要求发布件声明它对上一版本车端 NVM 布局的兼容关系，本课负责提供被声明的那个对象——数据结构、版本号规则与迁移函数；两边一一对应才闭环。
   • 迁移规则要逐字段写清：新增字段的默认值填充、字段重排、以及语义变更（语义变了必须按清除处理，不能因为「类型没变」就沿用旧值）、旧块的丢弃时机。判据是「迁移后每个字段的来源都能说清」，说不清来源的字段只能填安全默认值并触发重学。
   • OTA 之后的「残留半套数据」是这条链上最贵的现场问题：固件可回、数据未必可回——A/B 双分区保的只是可执行代码，车端持久化数据不随分区切换回退，典型表现是「版本号已显示回到旧版、行为仍是新版的」。刷写事务、A/B 分区与失败回滚本体归 K7-02（该课已留这条接口句），固件签名、防回滚与 Secure Boot/HSM 密钥意义上的「安全存储」归 K2-04，本课只管数据侧的布局迁移与清除策略。
   • 售后换件与学习值复位要落到具体服务路径：复位走 UDS 0x2E WriteDataByIdentifier（写默认值或配置字）或 0x31 RoutineControl（触发重学例程）；报文结构、会话控制与权限分级归 K5-01，重学清单与工位权限归 K6-09。本课负责的是那张对应表——哪个块、复位成什么值、复位后哪些量必须重新产生、以及复位动作本身要不要留痕。
   • 产线 EOL 写入与出厂默认值：写入项（变型配置字、零件号、标定基准、首次学习值）与回读校验属工位清单，归 K6-09；本课只钉两件事——出厂默认值必须是安全值且能与「从未写过」区分开，以及 EOL 一次性写入项与运行期高频块在物理布局上分区。
   • 关键 NVM 状态必须做成可读 DID，否则整条链在售后端不可观测、只能靠换件试错：至少暴露布局版本号、各承重块的有效/默认/已迁移状态、写失败与校验失败计数、上次重学的时间戳或里程。读取走 0x22（服务本体见 K5-01），这套 DID 是判断「这台车的怪现象是不是数据问题」的第一手证据。

• 以为「值不落 NVM 就是缺陷、上电重学是将就」，其实 C2-03 与 G4-01 都把上电自学习列为推荐做法（G4-01 明写持久化只降低归零频次、不能免除归零）；持久化的正确作用是把寻零从「每次上电必做」降级为条件触发并提供老化趋势基线，该不该存是两侧都有失效模式的权衡题。
• 以为「有 CRC 就有掉电一致性」，其实校验码只能告出「这块坏了」，给不出一份可用的旧值；没有 A/B 双块与「数据先写、有效标志后落」的写序，每一次写中断都等于丢一代数据、回默认值。
• 以为「配了保持电容就能保证写完」，其实端子瞬断、保险丝跳、碰撞断电与看门狗复位没有任何写窗口；保持时间只覆盖有序关机那一条路径，验收判据必须是「任何时刻断电都不损坏已有值」，不是电容够大。
• 以为「校验失败就整块清零最安全」，其实清掉的正是无法重建的诊断历史与累计量；正确处置是装载安全默认值 + 置能分辨「坏 vs 从未写过」的 DTC + 触发重学，而不是抹掉证据（另一条错路是当作「无故障」静默掩盖）。
• 以为「擦写耐久几万几十万次很富裕」，其实决定寿命的是单块写入频次乘整车寿命：一个每分钟写一次的累计量块几年就能吃光轮转池；必须先做写节流再谈磨损均衡，而且高温还会从数据保持这一侧另砍一刀。
• 以为「A/B 双分区回滚了固件，行为就回到旧版」，其实车端持久化数据不随分区切换回退，现场表现是「版本号已显示回旧版、行为仍是新版的」；升级前必须把数据侧的迁移与清除策略定好（刷写事务本体见 K7-02）。
• 以为「换件后学习值照旧沿用没关系」，其实随执行器本体走的基准（阀机械零位、零点偏差补偿）必须清零重学，新阀沿用旧阀补偿量会把全开度区间的流量标定整体偏置；判据是这个值描述的是哪一件的属性，不是「类型一样就能用」。
• 以为「出厂默认值填零最省事」，其实默认值是校验失败后真正会被执行的那组值，必须是安全值（如阀退到安全位对应的开度、风门退除霜位），且要能与「从未写过」区分开，否则要么新车全报码、要么校验失败后动作到危险位。
• 以为「NVM 是软件内部的事、不必对外可见」，其实关键状态（布局版本、块的有效/默认/已迁移状态、写失败与校验失败计数）不做成可读 DID，售后就无法判断怪现象是不是数据问题，只能换件试错。
• 以为「块类型随便选，反正都能存」，其实 Native/Redundant/Dataset 对应三种不同需求：按 Native 配的 DTC 历史块，一次掉电写中断就整块回默认值，售后从此永远读到一台「干净的车」。

需求区 · 想听众筹

想听/点名均为需求登记，不涉及任何付款（意向金仅登记不收款）。满 5 人点名 → 自动向平台专家发邀约。