Files

Andrey 2fd51a1d7e docs: move SETCAN documentation into templates

2026-08-31 19:30:54 +03:00

446 KiB

Raw Blame History

Протокол CAN и ОАП

Таблицы перенесены из Протокол CAN и ОАП.xlsx. Цвета, объединённые ячейки и структура листов сохранены средствами HTML внутри Markdown.

Интерфейс протокола
Общее адресное пространство
Прошивка приборов по CAN

Прошивка приборов по CAN

Ниже зафиксирован формат планируемого загрузочного сервиса. Значения MsgType=0x9..0xD зарезервированы в протоколе, но обработчики загрузчика в текущих protocan.c/.h ещё не реализованы.

Загрузчик работает поверх classic CAN 2.0B с Extended ID. Управляющий модуль использует Route=0, прибор отвечает с Route=1. Команды стирания и записи всегда должны быть адресованы конкретной паре DeviceType/DeviceID; широковещательный режим допустим только для обнаружения.

Карта загрузочных сообщений

`MsgType`	Имя	Назначение `MsgBody`	CAN payload
`0x9`	`BOOT_CONTROL`	`SessionID:8 \| Command:8`	параметры команды
`0xA`	`BOOT_DATA_A`	номер 8-байтового блока слота A	8 байт образа
`0xB`	`BOOT_DATA_B`	номер 8-байтового блока слота B	8 байт образа
`0xC`	`BOOT_STATUS`	`SessionID:8 \| Command:8`	статус и прогресс
`0xD`	`BOOT_DISCOVERY`	подтип запроса/ответа	идентификация прибора

MsgBody в кадрах данных является не байтовым адресом, а номером блока:

block_offset = (uint32_t)MsgBody * 8U;

if (MsgType == PROTOCAN_MSGTYPE_BOOT_DATA_A) {
    address = SLOT_A_BASE + block_offset;
} else if (MsgType == PROTOCAN_MSGTYPE_BOOT_DATA_B) {
    address = SLOT_B_BASE + block_offset;
}

Диапазон MsgBody=0x0000..0xFFFF адресует ровно 65 536 блоков:

512 КиБ = 512 * 1024 = 524 288 байт
524 288 / 8 = 65 536 блоков

`MsgBody`	Номер блока	Смещение от начала слота	Диапазон байтов
`0x0000`	0	`0x00000`	`0x00000..0x00007`
`0x0001`	1	`0x00008`	`0x00008..0x0000F`
`0x0002`	2	`0x00010`	`0x00010..0x00017`
`0xFFFF`	65 535	`0x7FFF8`	`0x7FFF8..0x7FFFF`

Формула физического адреса блока:

address = SLOT_X_BASE + ((uint32_t)MsgBody * 8U);

Последний допустимый блок начинается со смещения 0x7FFF8 и заканчивается на 0x7FFFF включительно. Следующее смещение 0x80000 уже находится за границей 512-КиБ слота.

Таким образом, BOOT_DATA_A и BOOT_DATA_B адресуют два логических слота по 512 КиБ, всего 1 МиБ пространства образов. Физические SLOT_A_BASE и SLOT_B_BASE задаёт конкретный загрузчик. Если внутренняя Flash имеет ровно 1 МиБ, два полных слота в ней не поместятся вместе с загрузчиком и метаданными: нужно уменьшить слоты, выбрать MCU с большей Flash или хранить staging-образ во внешней памяти.

Кадр данных

Extended CAN ID
  Priority   = STANDARD
  Route      = FROM_PM
  DeviceType = тип целевого прибора
  DeviceID   = экземпляр целевого прибора
  MsgType    = 0xA (слот A) или 0xB (слот B)
  MsgBody    = BlockIndex, 0x0000..0xFFFF

DATA[0..7]   = очередные 8 байт образа

Например, MsgBody=0x0123 задаёт смещение 0x0123 * 8 = 0x0918 от начала выбранного слота. Последний неполный блок дополняется значениями 0xFF; фактический размер передаётся командой BEGIN_UPDATE, поэтому CRC32 считается только по байтам образа.

Управляющие команды

В BOOT_CONTROL поле MsgBody имеет формат:

15........8 7.........0
 SessionID     Command

Рекомендуемые команды:

Код	Команда	Назначение
`0x01`	`IDENTIFY`	прочитать тип, аппаратную и программную версии
`0x02`	`ENTER_BOOT`	перейти из приложения в загрузчик
`0x03`	`BEGIN_IMAGE`	передать размер и CRC32 образа
`0x04`	`BEGIN_COMPAT`	передать тип, аппаратную и программную версии
`0x05`	`ERASE`	подготовить неактивный слот
`0x06`	`VERIFY`	проверить размер, CRC32 и подпись
`0x07`	`COMMIT`	назначить проверенный слот кандидатом на запуск
`0x08`	`CONFIRM`	подтвердить успешный запуск новой программы
`0x09`	`REBOOT`	перезагрузить прибор
`0x0A`	`ABORT`	отменить текущую сессию
`0x0B`	`QUERY_PROGRESS`	запросить слот и следующий ожидаемый блок

BEGIN_IMAGE содержит размер и CRC образа:

DATA[0..3] ImageSize, uint32 little-endian
DATA[4..7] ImageCRC32, uint32 little-endian

BEGIN_COMPAT содержит совместимость и версию:

DATA[0..1] ProductType, uint16 little-endian
DATA[2]    минимальная HardwareRevision
DATA[3]    максимальная HardwareRevision
DATA[4..7] FirmwareVersion, uint32 little-endian

Обе команды передаются с одним SessionID. До стирания Flash загрузчик обязан получить обе части метаданных и проверить ProductType, аппаратную ревизию, размер образа, границы выбранного слота и допустимость версии.

Ответ состояния

BOOT_STATUS возвращает результат команды и точку продолжения:

MsgBody[15..8] = SessionID
MsgBody[7..0]  = команда, на которую дан ответ

DATA[0]        Status
DATA[1]        TargetSlot: 0 = A, 1 = B
DATA[2..3]     NextBlock, uint16 little-endian
DATA[4..7]     RunningCRC32, uint32 little-endian

Минимальный набор статусов:

Код	Статус
`0x00`	`OK`
`0x01`	`BUSY`
`0x02`	`INVALID_COMMAND`
`0x03`	`WRONG_DEVICE`
`0x04`	`WRONG_HARDWARE`
`0x05`	`INVALID_SIZE`
`0x06`	`CRC_ERROR`
`0x07`	`FLASH_ERROR`
`0x08`	`SEQUENCE_ERROR`
`0x09`	`SIGNATURE_ERROR`
`0x0A`	`SESSION_ERROR`
`0x0B`	`VOLTAGE_ERROR`

NextBlock позволяет возобновить загрузку после разрыва связи. Для первой реализации допустимо подтверждать каждый блок. Для рабочей скорости лучше передавать окна по 16 кадров и подтверждать окно одним BOOT_STATUS; при необходимости протокол статуса можно расширить битовой картой потерянных блоков.

Выбор слота и безопасное обновление

GUI не должен самостоятельно перезаписывать активный слот. После получения BEGIN_IMAGE и BEGIN_COMPAT загрузчик выбирает неактивный слот и сообщает его в BOOT_STATUS:

активен A -> принимать BOOT_DATA_B
активен B -> принимать BOOT_DATA_A

Рекомендуемый цикл обновления:

Обнаружить прибор и сверить DeviceType/DeviceID, ProductType, UID и версии.
Выполнить адресную команду ENTER_BOOT и получить новый SessionID.
Передать BEGIN_IMAGE и BEGIN_COMPAT; загрузчик выберет неактивный слот.
Стереть выбранный слот и передать блоки BOOT_DATA_A или BOOT_DATA_B.
Выполнить VERIFY: проверить размер, CRC32 и цифровую подпись образа.
Выполнить COMMIT и перезагрузить устройство.
Новое приложение вызывает CONFIRM после успешной самопроверки.
При отсутствии подтверждения загрузчик возвращается к предыдущему слоту.

CRC32 обнаруживает случайное повреждение, но не защищает от подмены. Для серийных изделий образ следует подписывать, а открытый ключ проверки хранить в неизменяемой части загрузчика. Сам загрузчик не должен обновляться обычными командами BOOT_DATA_A/B.

Лист «Интерфейс протокола»

Таблица прокручивается по горизонтали; длинный лист ограничен по высоте окна.

28	27	26	23	19	15	11	7	3	DLC COUNT	7	6	5	4	3	2	1	0
Fields										DLC
Приоритет	Адресация			Сообщение
Priority (1 bit)	ПМ (1 bit)	Device Type (3 bits)	Device (4 bits)	Msg Type (4 bits)	Body (16 bits)
0x0. Критический	0x0. ПМ	0x0 Верхний уровень	NULL	0x0. Широковещательные	0x0. Статус				0	NULL
0x1. Стандартный	0х1. Устройство	0x1	0x0 - 0xF устройств		0x1. Запрос на вкл/выкл			Выбор "страницы" из 64 устройств (Битовые флаги в Data)	8	64 битовых адресса
		0x2	0x0 - 0xF устройств		0x2. Рестарт устройств			Выбор "страницы" из 64 устройств (Битовые флаги в Data)	8	64 битовых адресса
		0x3	0x0 - 0xF устройств		0x3. Установка времени				7	NULL	WeekDay	Date	Month	Year	Seconds	Minutes	Hours
		0x4	0x0 - 0xF устройств		0x0 – 0xFFFF. Резерв				NULL	NULL
		0x5	0x0 - 0xF устройств	0x1. Дискретные	0x0. Аварии
		0x6	0x0 - 0xF устройств		0x1. Предупреждения
		0x7	0x0 - 0xF устройств		0x2. Управляющие сигналы
					0x3. Флаги
					0x4. Рестарт устройства
					0x5. Изменение режима работы устройства
					0x6. Запрос на устройство - перечень параметров для отправки обратно. Возможность создания запроса с конт-м колличеством параметров	Тип Датчика. В Data - 64 "битовых адрессов"			8	64 битовых адресса
					0x7 – 0xF. Резерв	0x0 – 0xFFF. Резерв			NULL	NULL
				0x2. Аналог	0x0. Универсальный запрос	ID датчика (0х0 - 0xFFF)			Кол-во запр значений. 0...8	NULL
					0x1. Уставки	ID датчика (0х0 - 0xFFF)			Кол-во запр значений. 0...8	NULL
					0x2. Напряжение	ID датчика (0х0 - 0xFFF)			Кол-во запр значений. 0...8	NULL
					0x3. Ток	ID датчика (0х0 - 0xFFF)			Кол-во запр значений. 0...8	NULL
					0x4. Температура	ID датчика (0х0 - 0xFFF)			Кол-во запр значений. 0...8	NULL
					0x5 – 0xF. Резерв	0x0 – 0xFFF. Резерв			NULL	NULL
				0x3. Общее адресное пространство	Адрес регистра (Стартовый адрес, если DLC COUNT > 2) (0, 0x0000 - 65535, 0xFFFF)				0/2/4/6/8	Четвёртый регистр		Третий регистр		Второй регистр		Первый регистр
				0x4. Modbus Coil	Стартовый адрес регистра (0x0 - 0xFFF)			Кол-во регистров (0-15)		NULL
				0x5. Modbus Discrete	Стартовый адрес регистра (0x0 - 0xFFF)			Кол-во регистров (0-15)		NULL
				0x6. Modbus Holding	Стартовый адрес регистра (0x0 - 0xFFF)			Кол-во регистров (0-15(		NULL
				0x7. Modbus Input	Стартовый адрес регистра (0x0 - 0xFFF)			Кол-во регистров (0-15)		NULL
				0x8 Ошибки	Дополнительная информация		Код Ошибки		0	NULL
				0x9. BOOT_CONTROL	SessionID[15:8] \| Command[7:0]. Управление загрузчиком				0/8	Параметры команды
				0xA. BOOT_DATA_A	MsgBody = BlockIndex 0x0000–0xFFFF: 65 536 блоков по 8 байт, слот A 512 КиБ				8	8 байт прошивки слота A
				0xB. BOOT_DATA_B	MsgBody = BlockIndex 0x0000–0xFFFF: 65 536 блоков по 8 байт, слот B 512 КиБ				8	8 байт прошивки слота B
				0xC. BOOT_STATUS	SessionID[15:8] \| Command[7:0]. Ответ и точка продолжения				8	Status, Slot, NextBlock, RunningCRC32
				0xD. BOOT_DISCOVERY	Подтип запроса/ответа идентификации загрузчика				0/8	ProductType, HardwareRevision, BootVersion, FirmwareVersion
				0xE Settings	2BYTE		1BYTE
				0xF. Пульс	NULL				1	NULL							Счётчик





				0xE Settings	2BYTE		1BYTE
0x1. Стандартный	0х1. Устройство	0x7	0xF	sensor programmer	сборка(инв1, инв2,выпрям итд)		позиция в сборке(VD1 VD2 итд)			ID temp sens

Лист «Общее адресное пространство»