客户要把机械拉索换挡的车辆改造成电子挡把换挡：驾驶员在挡把上按键 / 推拉，系统判断意图后通过执行机构拉动原车换挡拉索完成换挡。约束很硬：挡把本体与原车 PCB 外形固定，新板必须与原板同外形、同孔位、同插头直接替换；要满足 -30 ℃ 室外环境；原车没有任何 CAN 协议资料，接入整车总线必须对原车零干扰；作为改装产品还要防抄板并支持授权额度。客户提供整车与改装场景，我方负责从方案、协议、固件、上位机到量产 SOP 的完整闭环（硬件原理图 / PCB 由外包按我方交接说明设计）。
系统由挡把主板、拉索执行从板和一台成品 CANopen 伺服推杆组成。
1、换挡意图识别：P / B 按钮 + 两片 LDC0851 金属感应判断前推 / 后拉，双线圈覆盖判静止、单侧检出判触发并闩锁，按从板当前档查切换表决定目标档。
2、整车 CAN 零干扰接入：实车抓包定位档位与车速报文，bxCAN Silent 只听模式不发帧不应答，硬件过滤器只放行两个 ID，每 ID 2 s 新鲜度失活取保守值；台架 3700 帧/s 压测 0 溢出，实车确认无扰。
3、安全联锁：目标 R / P 且车辆非静止拒绝、未踩刹车拒绝、认证未过拒绝、从板离线 / 锁机 / 故障 / 未标定拒绝；熄火自动回 P；从板故障后需司机三键持续 15 s 授权才发起恢复序列，避免行驶中动杆。
4、CANopen 伺服定位：12 V→24 V 升压供电，CiA402 PP 定位 / HM 回零，27 态非阻塞 SDO 状态机，心跳 / EMCY 监视；到位三重判定（状态位门闩 + 位置读回 ±0.1 mm + 自动重触发）解决伺服丢触发的「假到位」；标定表双副本 + 档位记忆日志解决单圈编码器断电丢位置。
5、商业保护：两板各一片 ATECC608B 上电挑战-应答认证；RS485 报文 HMAC-SHA256 认证 + 序号防重放；硬件单调计数器实现换挡次数授权额度与离线解锁；STM32 读保护，密钥不入库。
6、两套 WPF 上位机：主板测试工具（模拟从板 + CAN 盒模拟整车 + 七项故障注入 + T1~T8 出厂测试向导）；从板标定工具（工厂版：USB 命令台、安全开卡、一键测试、9 步出厂 SOP；客户版：标定、档位测试、解锁），无硬件也能联调。
7、交付文档：完整设计方案、硬件设计交接说明、量产 SOP、客户现场烧录指南、故障闪码表、485 / USB 对接指南等 12 份以上。
我方职责：设计方案与硬件交接说明、接口与协议定义、主 / 从板固件、两套上位机、整车 CAN 抓包解析、台架与实车联调、量产 SOP 与客户现场烧录工具链；原理图 / PCB 由外包按我方交接说明设计，我方评审并出硬件待修复清单。
固件：两板同构的严格分层架构（App → Middleware → Components → Bsp 接口层 → CubeMX 生成层），裸机 + 静态任务表协作式调度，中断只入环形缓冲、业务全在主循环；STM32F103 @72 MHz；IWDG 活性喂狗、上电自检向量、故障闪码表。
协议：自定义 RS485 帧 + CRC16，加密帧带 HMAC-SHA256 + SEQ 滑窗防重放，软件 HMAC 约 0.3 ms；CANopen 纯 SDO 客户端，对象字典动态配置表，每次上电先清后配驱动器 DI。
上位机：C# WPF .NET 8 + CommunityToolkit.Mvvm + Serilog，xUnit 201 个单元测试，内存仿真从板，高级功能物理隔离在工厂程序集。
难点与解法：485 自动方向收发器吞首字节靠 2 ms turnaround 静默（400 帧 0 坏帧）；安全芯片单命令 15~25 ms 无法逐帧认证，改为芯片只做上电认证 + 逐帧软件 HMAC；升压带载触发伺服欠压靠速度 / 加减速整定；增量编译曾编出零密钥固件，出厂脚本缺真密钥拒绝编译 + 上电自检密钥非零。
工具链：pyOCD 烧录与 RDP 脚本、Python HIL 模拟从板 / CAN 观测、PowerShell 出厂编译脚本。
规模与周期：二代固件约 1.1 万行 C，上位机约 1.1 万行 C#；从板固件 8 天、主板 2 天、两套上位机各 1~2 天完成；2026-10 实车验证通过定稿，样机 / 小批交付，具备量产 SOP 与产线工具。
评论