CN106529301A - 车机系统的控制方法、装置以及车机系统 - Google Patents

Abstract

本发明公开了一种车机系统的控制方法、装置以及车机系统。其中，方法包括：在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证；当引导加载程序的完整性通过验证时，确定预设的根文件系统，并通过引导加载程序分别对内核和根文件系统的完整性进行验证；当内核和根文件系统的完整性通过验证时，启动车机系统。该方法可以大大缩短了系统启动的时间，同时又保证了整个系统未被篡改，使得在车机系统的启动过程中，既能保证车机系统的安全性又能实现快速启动车机系统，提升了用户体验。

Description

车机系统的控制方法、装置以及车机系统

技术领域

本发明涉及汽车技术领域，尤其涉及一种车机系统的控制方法、装置以及车机系统。

背景技术

随着汽车技术领域的快速发展以及用户需求的提高，越来越多的车载信息娱乐产品被安装在汽车中，以满足用户的多样化需求，其中，这些被安装在汽车中的车载信息娱乐产品可简称为车机。目前，在车机系统刷写或更新过程中，系统本身可能会被篡改，篡改后的系统在启动之后，车机将面临各种安全威胁，后续的安全机制也可能被破坏，所以车机系统的安全是一切安全的基础，从系统启动开始就要保证车机系统未被篡改过。

相关技术中，车机系统的安全启动方法通常是从验证系统引导程序开始，到最终的整个文件系统的验证，逐级验证，保证车机系统的完整性。然而，车机系统中的文件系统一般都很大，如几百兆，如果等到用户文件系统验证之后再安全启动系统，耗时比较长，系统启动效率低。因此，如何在车机系统的启动过程中，既能保证车机系统的安全性又能实现快速启动车机系统，已经成为亟待解决的问题。

发明内容

本发明的目的旨在至少在一定程度上解决上述的技术问题之一。

为此，本发明的第一个目的在于提出一种车机系统的控制方法。该方法可以在车机系统的启动过程中，既能保证车机系统的安全性又能实现快速启动车机系统，提升了用户体验。

本发明的第二个目的在于提出一种车机系统的控制装置。

本发明的第三个目的在于提出一种车机系统。

为达上述目的，本发明第一方面实施例的车机系统的控制方法，包括：在接收到针对所述车机系统的启动指令时，对所述车机系统中的引导加载程序的完整性进行验证；当所述引导加载程序的完整性通过验证时，确定预设的根文件系统，并通过所述引导加载程序分别对内核和根文件系统的完整性进行验证；当所述内核和根文件系统的完整性通过验证时，启动所述车机系统。

根据本发明实施例的车机系统的控制方法，在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证，并在引导加载程序的完整性通过验证时，确定预设的根文件系统，并通过引导加载程序分别对内核和根文件系统的完整性进行验证，以及在内核和根文件系统的完整性通过验证时，直接启动车机系统。即通过对影响车机系统启动的必要模块、文件或进程进行完整性验证，并在通过验证时，直接启动车机系统，无需在启动车机系统的过程中，对用户系统进行验证，只需在车机系统启动后在对用户系统进行验证，这样可以大大缩短了系统启动的时间，同时又保证了整个系统未被篡改，使得在车机系统的启动过程中，既能保证车机系统的安全性又能实现快速启动车机系统，提升了用户体验。

根据本发明的一个实施例，所述根文件系统通过以下步骤预先设定的：获取业务功能，并确定所述业务功能的性质；根据所述业务功能的性质生成对应的验证策略，并根据所述验证策略确定所述根文件系统，其中，所述根文件系统包括至少一个待验证进程。

根据本发明的一个实施例，所述根文件系统包括监控进程，所述监控进程用于监控所述车机系统的应用层软件的安全；其中，所述通过所述引导加载程序对根文件系统的完整性进行验证，包括：通过所述引导加载程序对所述监控进程进行完整性验证。

根据本发明的一个实施例，在启动所述车机系统之后，所述方法还包括：通过所述监控进程对所述车机系统的应用层软件进行安全性验证。

根据本发明的一个实施例，所述方法还包括：当所述应用层软件的安全性未通过验证时，确定所述应用层软件的功能类型；根据所述应用层软件的功能类型确定所述车机系统与车辆之间的交互信息；根据所述车机系统与车辆之间的交互信息生成提醒信息，并将所述提醒信息提供给用户。

根据本发明的一个实施例，所述方法还包括：当所述引导加载程序的完整性未通过验证时，不加载所述内核和根文件系统，并退出所述车机系统的启动过程；当所述内核的完整性未通过验证，和/或，所述根文件系统的完整性未通过验证时，不启动所述车机系统。

根据本发明的一个实施例，所述车机系统的ROM芯片中包含预先写入的可信根，所述可信根包括代码签名证书；其中，根据所述代码签名证书的公钥依次对所述引导加载程序、所述内核和所述根文件系统进行完整性验证。

为达上述目的，本发明第二方面实施例的车机系统的控制装置，包括：第一验证模块，用于在接收到针对所述车机系统的启动指令时，对所述车机系统中的引导加载程序的完整性进行验证；确定模块，用于在所述引导加载程序的完整性通过验证时，确定预设的根文件系统；所述第一验证模块还用于通过所述引导加载程序分别对内核和根文件系统的完整性进行验证；控制模块，用于在所述内核和根文件系统的完整性通过验证时，启动所述车机系统。

根据本发明实施例的车机系统的控制装置，可通过第一验证模块在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证，确定模块在引导加载程序的完整性通过验证时，确定预设的根文件系统，第一验证模块通过引导加载程序分别对内核和根文件系统的完整性进行验证，控制模块在内核和根文件系统的完整性通过验证时，直接启动车机系统。即通过对影响车机系统启动的必要模块、文件或进程进行完整性验证，并在通过验证时，直接启动车机系统，无需在启动车机系统的过程中，对用户系统进行验证，只需在车机系统启动后在对用户系统进行验证，这样可以大大缩短了系统启动的时间，同时又保证了整个系统未被篡改，使得在车机系统的启动过程中，既能保证车机系统的安全性又能实现快速启动车机系统，提升了用户体验。

根据本发明的一个实施例，所述装置还包括：预先处理模块，用于获取业务功能，并确定所述业务功能的性质，并根据所述业务功能的性质生成对应的验证策略，以及根据所述验证策略确定所述根文件系统，其中，所述根文件系统包括至少一个待验证进程。

根据本发明的一个实施例，所述根文件系统包括监控进程，所述监控进程用于监控所述车机系统的应用层软件的安全；其中，所述第一验证模块具体用于：通过所述引导加载程序对所述监控进程进行完整性验证。

根据本发明的一个实施例，所述装置还包括：第二验证模块，用于在所述控制模块启动所述车机系统之后，通过所述监控进程对所述车机系统的应用层软件进行安全性验证。

根据本发明的一个实施例，所述装置还包括：第一确定模块，用于在所述应用层软件的安全性未通过验证时，确定所述应用层软件的功能类型；第二确定模块，用于根据所述应用层软件的功能类型确定所述车机系统与车辆之间的交互信息；生成模块，用于根据所述车机系统与车辆之间的交互信息生成提醒信息；提供模块，用于将所述提醒信息提供给用户。

根据本发明的一个实施例，所述控制模块还用于：在所述引导加载程序的完整性未通过验证时，不加载所述内核和根文件系统，并退出所述车机系统的启动过程；在所述内核的完整性未通过验证，和/或，所述根文件系统的完整性未通过验证时，不启动所述车机系统。

根据本发明的一个实施例，所述车机系统的ROM芯片中包含预先写入的可信根，所述可信根包括代码签名证书的公钥；其中，所述第一验证模块具体用于：根据所述代码签名证书的公钥依次对所述引导加载程序、所述内核和所述根文件系统进行完整性验证。

为达上述目的，本发明第三方面实施例的车机系统，包括：本发明第二方面实施例所述的控制装置。

根据本发明实施例的车机系统，可通过控制装置中的第一验证模块在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证，确定模块在引导加载程序的完整性通过验证时，确定预设的根文件系统，第一验证模块通过引导加载程序分别对内核和根文件系统的完整性进行验证，控制模块在内核和根文件系统的完整性通过验证时，直接启动车机系统。即通过对影响车机系统启动的必要模块、文件或进程进行完整性验证，并在通过验证时，直接启动车机系统，无需在启动车机系统的过程中，对用户系统进行验证，只需在车机系统启动后在对用户系统进行验证，这样可以大大缩短了系统启动的时间，同时又保证了整个系统未被篡改，使得在车机系统的启动过程中，既能保证车机系统的安全性又能实现快速启动车机系统，提升了用户体验。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1是根据本发明一个实施例的车机系统的控制方法的流程图；

图2是根据本发明一个具体实施例的车机系统的控制方法的流程图；

图3根据本发明另一个具体实施例的车机系统的控制方法的流程图；

图4是根据本发明一个实施例的车机系统的控制装置的结构示意图；

图5是根据本发明一个具体实施例的车机系统的控制装置的结构示意图；

图6是根据本发明另一个具体实施例的车机系统的控制装置的结构示意图；

图7是根据本发明又一个具体实施例的车机系统的控制装置的结构示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

下面参考附图描述本发明实施例的车机系统的控制方法、装置以及车机系统。

图1是根据本发明一个实施例的车机系统的控制方法的流程图。需要说明的是，本发明实施例的车机系统的控制方法可应用于本发明实施例的车机系统的控制装置，该车机系统的控制装置可被配置于车机系统上。其中，该车机系统的操作系统可为安卓Android系统。

如图1所示，该车机系统的控制方法可以包括：

S110，在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证。

举例而言，假设本发明实施例的车机系统的控制方法应用于车机系统，该车机系统可被安装于汽车中，可以理解，该汽车或该车机系统上具备该车机系统的启动按钮，当用户通过该启动按钮启动车机系统时，车机系统可接收到启动指令，此时可加载引导加载程序，并对该引导加载程序进行完整性验证。其中，在本发明的实施例中，该引导加载程序可为Bootloader。

也就是说，在车机系统中操作系统内核运行之前，先加载该引导加载程序，并对该引导加载程序进行完整性验证，以保证该引导加载程序是安全的。作为一种示例，可通过签名验证的方式对引导加载程序进行完整性验证。例如，基于安全启动，可利用一次性可编程模块，将可信根写入该一次性可编程模块中，该一次性可编程模块可被配置于车机系统的ROM芯片中，其中，该可信根可包含针对该引导加载程序的完整性验证的密钥，因此，在加载该引导加载程序时，可根据可信根中的密钥对该引导加载程序进行完整性验证。

需要说明的是，在本发明的实施例中，当引导加载程序的完整性未通过验证时，不加载内核和根文件系统，并退出车机系统的启动过程。例如，针对该引导加载程序的完整性验证，当可信根中的密钥与车机系统中加载的引导加载程序的密钥不一致时，可判定该车机系统中所加载的引导加载程序未通过完整性的验证，即该引导加载程序被篡改，此时不再继续加载车机系统中的内核和根文件系统，并停止车机系统的启动，退出该车机系统的启动过程。这样，在车机系统被篡改时，可以保证被及时发现。

S120，当引导加载程序的完整性通过验证时，确定预设的根文件系统，并通过引导加载程序分别对内核和根文件系统的完整性进行验证。

具体地，在引导加载程序的完整性通过验证时，可确定预先设置的根文件系统，并加载车机系统中的内核以及该根文件系统，并分别对该内核和根文件系统进行完整性验证。

可以理解，在车机系统的启动过程中，哪些文件系统需要先进行完整性验证以保证车机系统的安全性，可以是根据实际需求设定的，即可根据实际业务功能来决定：作为一种示例，该根文件系统可通过以下步骤预先设定的：获取业务功能，并确定业务功能的性质；根据业务功能的性质生成对应的验证策略，并根据验证策略确定根文件系统，其中，根文件系统包括至少一个待验证进程。其中，在本发明的实施例中，该业务功能可理解为该车机系统所能够实现的业务功能，例如，车载导航功能、车载多媒体(如播放音视频等)功能等。

举例而言，假设车机系统是用于车载导航时，则可确定该车机系统的业务功能为车载导航功能，并确定该车载导航功能的性质为GPS导航，之后，可根据该特性生成对应的验证策略，该验证策略可包括需要验证的文件系统或进程，最后，根据该验证策略确定根文件系统，该根文件系统可理解为该用于车载导航的车机系统在快速启动时，必须要启动并进行完整性验证的文件系统，以保证该车机系统的车载导航功能能够安全，不被篡改。

为了能够实现快速启动车机系统，在对根文件系统进行完整性验证时，需对操作系统中重要资源，如负责用户系统安全的监控进程进行完整性验证。作为一种示例，该根文件系统可包括监控进程，监控进程可用于监控车机系统的应用层软件的安全。其中，在本发明的实施例中，通过引导加载程序对根文件系统的完整性进行验证的具体实现过程可包括：通过引导加载程序对监控进程进行完整性验证。

需要说明的是，在本发明的实施例中，当内核的完整性未通过验证，和/或，根文件系统的完整性未通过验证时，不启动车机系统。也就是说，在内核的完整性未通过验证，和/或，根文件系统的完整性未通过验证时，直接停止车机系统的启动，以避免不安全的车机系统启动后，会发送不安全信息，以影响汽车中其他控制系统，避免汽车由于车机系统而存在安全隐患。

S130，当内核和根文件系统的完整性通过验证时，启动车机系统。

具体地，在内核和根文件系统的完整性通过验证时，直接启动车机系统。这样可以通过对操作系统的必要模块、文件或进程进行完整性验证，达到快速通过验证的目的，实现了车机系统的快速启动功能，大大缩短了启动时间，在保证车机系统本身的完整性的同时，又保证了车机启动时间。

在保证车机系统本身的完整性的同时，还需保证用户系统的安全性，进一步地，在本发明的一个实施例中，在快速启动车机系统之后，可通过监控进程对用户系统进行安全性验证。具体地，如图2所示，该控制方法可包括：

S210，在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证。

S220，当引导加载程序的完整性通过验证时，确定预设的根文件系统，并通过引导加载程序分别对内核和监控进程进行完整性验证。

S230，当内核和根文件系统的完整性通过验证时，启动车机系统。

S240，通过监控进程对车机系统的应用层软件进行安全性验证。

由此，在快速启动车机系统之后，可通过监控进程完成对车机系统中的整个文件系统进行安全性验证，大大缩短了系统启动的时间，同时又保证了整个系统未被篡改。

为了提升用户体验，在对车机系统的应用层软件进行安全性验证的过程中，如果应用层软件出现安全隐患，则可生成对应的提醒信息以提醒用户。作为一种示例，如图3所示，在如图2所示的基础上，在通过监控进程对车机系统的应用层软件进行安全性验证之后，该控制方法还可包括：

S310，当应用层软件的安全性未通过验证时，确定应用层软件的功能类型。

其中，应用层软件的功能类型可理解为该应用层软件所实现的功能，例如，该应用层软件为车载导航软件，则该功能类型为车载导航类型。

S320，根据应用层软件的功能类型确定车机系统与车辆之间的交互信息。

例如，以该应用层软件的功能类型为车载导航类型为例，该车载导航软件具有路线规划功能，该路线规划需要根据车速、当前地理位置等信息进行计算，其中，车速需要从车辆中的车速采集模块获得，所以，可以确定该具有车载导航功能的车机系统与车辆之间的交互信息可包括车辆的车速信息。

S330，根据车机系统与车辆之间的交互信息生成提醒信息，并将提醒信息提供给用户。

例如，假设该车机系统与车辆之间的交互信息为车辆的车速信息时，可根据该车速信息生成对应的提醒信息，例如，该提醒信息可为“当前车载导航软件存在安全隐患，其中可能会影响以下车辆信息：车速信息、GPS定位等”，并将该提醒信息提供给用户，以对用户进行提醒。其中，该提供方式可以是文本和/或语音的方式。

可以理解，在本发明的实施例中，该车机系统的ROM芯片中包含预先写入的可信根，可信根包括代码签名证书的公钥；其中，可根据代码签名证书的公钥依次对引导加载程序、内核和根文件系统进行完整性验证。也就是说，可根据可信根中的代码签名证书的公钥依次对引导加载程序、内核和根文件系统的完整性逐级进行验证，例如，以引导加载程序的完整性验证为例，可使用可信根中的代码签名证书的公钥解密引导加载程序中被签名的哈希值，然后将该哈希值与该引导加载程序中自带的哈希值进行比较，若不相同，则判定该引导加载程序的完整性未能通过验证，即该引导加载程序可能存在隐患，若相同，则判定该引导加载程序的完整性通过验证。该ROM芯片具有一次性可编程的特性。由此，在车机系统的启动过程中，既能保证车机系统的安全性又能保证车机启动时间。

根据本发明实施例的车机系统的控制方法，在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证，并在引导加载程序的完整性通过验证时，确定预设的根文件系统，并通过引导加载程序分别对内核和根文件系统的完整性进行验证，以及在内核和根文件系统的完整性通过验证时，直接启动车机系统。即通过对影响车机系统启动的必要模块、文件或进程进行完整性验证，并在通过验证时，直接启动车机系统，无需在启动车机系统的过程中，对用户系统进行验证，只需在车机系统启动后在对用户系统进行验证，这样可以大大缩短了系统启动的时间，同时又保证了整个系统未被篡改，使得在车机系统的启动过程中，既能保证车机系统的安全性又能实现快速启动车机系统，提升了用户体验。

与上述几种实施例提供的车机系统的控制方法相对应，本发明的一种实施例还提供一种车机系统的控制装置，由于本发明实施例提供的车机系统的控制装置与上述几种实施例提供的车机系统的控制方法相对应，因此在前述车机系统的控制方法的实施方式也适用于本实施例提供的车机系统的控制装置，在本实施例中不再详细描述。图4是根据本发明一个实施例的车机系统的控制装置的结构示意图。如图4所示，该车机系统的控制装置可以包括：第一验证模块410、确定模块420和控制模块430。

具体地，第一验证模块410可用于在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证。

确定模块420可用于在引导加载程序的完整性通过验证时，确定预设的根文件系统。

进一步地，在本发明的一个实施例中，如图5所示，该控制装置还可包括：预先处理模块440。其中，预先处理模块440可用于获取业务功能，并确定业务功能的性质，并根据业务功能的性质生成对应的验证策略，以及根据验证策略确定根文件系统，其中，根文件系统包括至少一个待验证进程。

第一验证模块410还可用于通过引导加载程序分别对内核和根文件系统的完整性进行验证。

为了能够实现快速启动车机系统，在对根文件系统进行完整性验证时，需对操作系统中重要资源，如负责用户系统安全的监控进程进行完整性验证。作为一种示例，该根文件系统可包括监控进程，监控进程用于监控车机系统的应用层软件的安全。其中，在本发明的实施例中，该第一验证模块410通过引导加载程序对根文件系统的完整性进行验证的具体实现过程可如下：通过引导加载程序对监控进程进行完整性验证。

控制模块430可用于在内核和根文件系统的完整性通过验证时，启动车机系统。

在保证车机系统本身的完整性的同时，还需保证用户系统的安全性，进一步地，在本发明的一个实施例中，如图6所示，该控制装置还可包括：第二验证模块450。其中，第二验证模块450可用于在控制模块430启动车机系统之后，通过监控进程对车机系统的应用层软件进行安全性验证。

为了提升用户体验，在对车机系统的应用层软件进行安全性验证的过程中，如果应用层软件出现安全隐患，则可生成对应的提醒信息以提醒用户。作为一种示例，在本发明的一个实施例中，如图7所示，该控制装置还可包括：第一确定模块460、第二确定模块470、生成模块480和提供模块490。其中，第一确定模块460可用于在应用层软件的安全性未通过验证时，确定应用层软件的功能类型。第二确定模块470可用于根据应用层软件的功能类型确定车机系统与车辆之间的交互信息。生成模块480可用于根据车机系统与车辆之间的交互信息生成提醒信息。提供模块490可用于将提醒信息提供给用户。

需要说明的是，在本发明的一个实施例中，该控制模块430还可用于：在引导加载程序的完整性未通过验证时，不加载内核和根文件系统，并退出车机系统的启动过程；在内核的完整性未通过验证，和/或，根文件系统的完整性未通过验证时，不启动车机系统。

可以理解，在本发明的实施例中，该车机系统的ROM芯片中可包含预先写入的可信根，可信根包括代码签名证书的公钥。其中，在本发明的实施例中，第一验证模块410可具体用于：根据代码签名证书的公钥依次对引导加载程序、内核和根文件系统进行完整性验证。

根据本发明实施例的车机系统的控制装置，可通过第一验证模块在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证，确定模块在引导加载程序的完整性通过验证时，确定预设的根文件系统，第一验证模块通过引导加载程序分别对内核和根文件系统的完整性进行验证，控制模块在内核和根文件系统的完整性通过验证时，直接启动车机系统。即通过对影响车机系统启动的必要模块、文件或进程进行完整性验证，并在通过验证时，直接启动车机系统，无需在启动车机系统的过程中，对用户系统进行验证，只需在车机系统启动后在对用户系统进行验证，这样可以大大缩短了系统启动的时间，同时又保证了整个系统未被篡改，使得在车机系统的启动过程中，既能保证车机系统的安全性又能实现快速启动车机系统，提升了用户体验。

为了实现上述实施例，本发明还提出了一种车机系统，包括本发明上述任一个实施例的控制装置。

根据本发明实施例的车机系统，可通过控制装置中的第一验证模块在接收到针对车机系统的启动指令时，对车机系统中的引导加载程序的完整性进行验证，确定模块在引导加载程序的完整性通过验证时，确定预设的根文件系统，第一验证模块通过引导加载程序分别对内核和根文件系统的完整性进行验证，控制模块在内核和根文件系统的完整性通过验证时，直接启动车机系统。即通过对影响车机系统启动的必要模块、文件或进程进行完整性验证，并在通过验证时，直接启动车机系统，无需在启动车机系统的过程中，对用户系统进行验证，只需在车机系统启动后在对用户系统进行验证，这样可以大大缩短了系统启动的时间，同时又保证了整个系统未被篡改，使得在车机系统的启动过程中，既能保证车机系统的安全性又能实现快速启动车机系统，提升了用户体验。

在本发明的描述中，需要理解的是，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备(如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统)使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，"计算机可读介质"可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。计算机可读介质的更具体的示例(非穷尽性列表)包括以下：具有一个或多个布线的电连接部(电子装置)，便携式计算机盘盒(磁装置)，随机存取存储器(RAM)，只读存储器(ROM)，可擦除可编辑只读存储器(EPROM或闪速存储器)，光纤装置，以及便携式光盘只读存储器(CDROM)。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (10)

1.一种车机系统的控制方法，其特征在于，包括以下步骤：

在接收到针对所述车机系统的启动指令时，对所述车机系统中的引导加载程序的完整性进行验证；

当所述引导加载程序的完整性通过验证时，确定预设的根文件系统，并通过所述引导加载程序分别对内核和根文件系统的完整性进行验证；

当所述内核和根文件系统的完整性通过验证时，启动所述车机系统。

2.如权利要求1所述的方法，其特征在于，所述根文件系统通过以下步骤预先设定的：

获取业务功能，并确定所述业务功能的性质；

根据所述业务功能的性质生成对应的验证策略，并根据所述验证策略确定所述根文件系统，其中，所述根文件系统包括至少一个待验证进程。

3.如权利要求1所述的方法，其特征在于，所述根文件系统包括监控进程，所述监控进程用于监控所述车机系统的应用层软件的安全；

其中，所述通过所述引导加载程序对根文件系统的完整性进行验证，包括：

通过所述引导加载程序对所述监控进程进行完整性验证。

4.如权利要求3所述的方法，其特征在于，在启动所述车机系统之后，所述方法还包括：

通过所述监控进程对所述车机系统的应用层软件进行安全性验证。

5.如权利要求4所述的方法，其特征在于，所述方法还包括：

当所述应用层软件的安全性未通过验证时，确定所述应用层软件的功能类型；

根据所述应用层软件的功能类型确定所述车机系统与车辆之间的交互信息；

根据所述车机系统与车辆之间的交互信息生成提醒信息，并将所述提醒信息提供给用户。

6.如权利要求1所述的方法，其特征在于，所述方法还包括：

当所述引导加载程序的完整性未通过验证时，不加载所述内核和根文件系统，并退出所述车机系统的启动过程；

当所述内核的完整性未通过验证，和/或，所述根文件系统的完整性未通过验证时，不启动所述车机系统。

7.如权利要求1所述的方法，其特征在于，所述车机系统的ROM芯片中包含预先写入的可信根，所述可信根包括代码签名证书的公钥；其中，根据所述代码签名证书的公钥依次对所述引导加载程序、所述内核和所述根文件系统进行完整性验证。

8.一种车机系统的控制装置，其特征在于，包括：

第一验证模块，用于在接收到针对所述车机系统的启动指令时，对所述车机系统中的引导加载程序的完整性进行验证；

确定模块，用于在所述引导加载程序的完整性通过验证时，确定预设的根文件系统；

所述第一验证模块还用于通过所述引导加载程序分别对内核和根文件系统的完整性进行验证；

控制模块，用于在所述内核和根文件系统的完整性通过验证时，启动所述车机系统。

9.如权利要求8所述的装置，其特征在于，所述装置还包括：

预先处理模块，用于获取业务功能，并确定所述业务功能的性质，并根据所述业务功能的性质生成对应的验证策略，以及根据所述验证策略确定所述根文件系统，其中，所述根文件系统包括至少一个待验证进程。

10.一种车机系统，其特征在于，包括：如权利要求8或9所述的控制装置。