4. EDR数据存储与保护：非易失性存储器、数据防篡改机制、断电保护策略

EDR这玩意儿，说白了就是汽车上的黑匣子。数据存不住，或者存下来被人改了，那这系统就废了。我做了这么多年车载存储，最深的体会就是：存储和保护，是EDR的命根子。

今天咱们就聊聊这三个核心问题：用什么存？怎么防篡改？断电了怎么办？

4.1 非易失性存储器选型：别指望RAM能救命

EDR的数据必须掉电不丢失。所以，非易失性存储器是唯一选择。常见的就这几种：NOR Flash、NAND Flash、EEPROM，还有现在比较火的FRAM（铁电存储器）。

我个人习惯，根据场景来选：

存储器类型	优点	缺点	EDR适用场景
NOR Flash	读取快，XIP（片内执行），可靠性高	写入慢，容量小，价格贵	存储固件、关键配置参数
NAND Flash	容量大，成本低	有坏块，需要ECC纠错，写入慢	存储大量事件数据（视频、波形）
EEPROM	字节级擦写，寿命长	容量极小（K级），速度慢	存储VIN码、校准参数、事件计数
FRAM	读写快，几乎无限次擦写，低功耗	容量中等，价格较高	存储频繁更新的日志、状态标志

4.2 数据防篡改机制：让“动手脚”变得不可能

EDR数据是要作为法律证据的。如果有人想改数据，怎么办？

防篡改，我总结了三板斧：

1. 硬件写保护：关键存储器（比如存VIN码的EEPROM）在正常运行时，通过GPIO拉低写保护引脚。只有诊断模式下才能写入。我在项目中遇到过，有人想通过OBD口刷写数据，结果写保护引脚焊死在PCB上，根本改不了。
2. 数字签名与哈希校验：每条事件记录，都附带一个HMAC（哈希消息认证码）。密钥存在安全芯片里。读取时，先验签名。签名不对，数据无效。
3. 时间戳防回滚：EDR记录的时间戳，必须单调递增。我见过有人想用旧数据覆盖新数据，结果时间戳比当前还小，系统直接拒绝写入。

代码层面，签名校验的伪代码大概长这样：

// 写入事件时
uint8_t event_data[256];
uint8_t signature[32];
hmac_sha256(event_data, sizeof(event_data), secret_key, signature);
write_to_flash(event_data, signature);

// 读取事件时
uint8_t stored_data[256];
uint8_t stored_sig[32];
uint8_t computed_sig[32];
read_from_flash(stored_data, stored_sig);
hmac_sha256(stored_data, sizeof(stored_data), secret_key, computed_sig);
if (memcmp(stored_sig, computed_sig, 32) != 0) {
    // 数据被篡改，标记为无效
    set_event_invalid();
}

4.3 断电保护策略：最后一口气也要把数据写完

EDR最怕什么？写到一半，电没了。数据写到一半断电，轻则丢一条记录，重则文件系统崩溃，整个存储器变砖。

我总结的断电保护三板斧：

• 大电容/超级电容保供电：主电源掉电后，电容里的电还能撑几十到几百毫秒。这时间足够把关键数据刷进Flash。我习惯用4700μF的电解电容，配合一个电压检测芯片。电压掉到阈值以下，立即触发中断，开始紧急存储。
• 原子写入与日志结构：别直接覆盖旧数据。用“先写新区域，再更新指针”的方式。比如，用环形缓冲区，每次写新事件到下一个空闲块，写完后更新“最新事件索引”。即使写索引时断电，下次上电也能通过扫描找到最新有效数据。
• 双备份机制：关键数据（比如触发标志、事件计数）存两份。一份在主区，一份在备份区。上电时比较两份数据，取最新且完整的那个。我做过一个项目，用两个不同的Flash扇区存同一个事件，一个坏了还有另一个。

4.4 知识体系总览

说了这么多，咱们用一张图把核心逻辑串起来。你想想看，EDR数据从采集到存储，再到保护，其实就这三层：

嗯，这张图把咱们刚才讲的三层关系理清了。底层是存储介质选型，中间是防篡改，顶层是断电保护。每一层都不可或缺。