CN110263590A - 一种车载ecu及其安全防护方法 - Google Patents

Abstract

本申请公开了一种车载ECU，包括单片机、硬件调试接口和安全防护模块；安全防护模块至少包括第一开关以及第一开关驱动电路，第一开关串联在单片机与硬件调试接口之间的通讯线上，在满足预设条件时，表明车载ECU处于出厂状态，单片机通过第一开关驱动电路控制第一开关断开，从而避免对车载ECU中的程序进行非法刷写，从而保证车载ECU的安全性。

Description

一种车载ECU及其安全防护方法

技术领域

本申请属于机动车安全防护技术领域，尤其涉及一种车载ECU及其安全防护方法。

背景技术

ECU(Electronic Control Unit，电子控制单元)是汽车中的重要部件，相当于汽车的大脑。ECU主要包括单片机、存储器、输入输出接口和模数转换器。ECU中通常还设置有硬件调试接口，其目的是在生成阶段更加方便地对ECU进行调试。

ECU的安全性是保证汽车安全稳定运行的基础。但是，申请人发现，在汽车出厂后，存在通过硬件调试接口对ECU进行程序刷写的情况，这会严重影响ECU的可靠性，给车辆的安全行驶造成极大的隐患。

发明内容

有鉴于此，本申请的目的在于提供一种车载ECU及其安全防护方法，能够防止ECU中的程序在车辆出厂后被非法刷写。

为实现上述目的，本申请提供如下技术方案：

本申请提供一种车载ECU，包括单片机和硬件调试接口，所述车载ECU还包括安全防护模块；

所述安全防护模块至少包括第一开关以及第一开关驱动电路，所述第一开关串联在所述单片机与所述硬件调试接口之间的通讯线上，所述第一开关的控制端与所述第一开关驱动电路的输出端连接；

所述单片机与所述第一开关驱动电路的控制端连接，在满足预设条件时，所述单片机通过所述第一开关驱动电路控制所述第一开关断开；其中，所述预设条件用于确定所述车载ECU是否处于出厂状态。

可选的，在上述车载ECU中，所述单片机还用于：

在确定满足所述预设条件，通过所述第一开关驱动电路控制所述第一开关断开之后，在接收到程序刷写请求时，基于所述程序刷写请求确定用户是否具有程序刷写权限，在确定所述用户具有程序刷写权限的情况下，通过所述第一开关驱动电路控制所述第一开关导通。

可选的，在上述车载ECU中，所述安全防护模块还包括第二开关、第三开关、第二开关驱动电路和第三开关驱动电路；

所述第二开关和所述第三开关串联在所述单片机的电源管脚和高压电源之间，所述第二开关的控制端与所述第二开关驱动电路的输出端连接，所述第三开关的控制端与所述第三开关驱动电路的输出端连接，所述第三开关驱动电路的控制端与所述单片机连接；

在所述硬件调试接口中插入刷写设备时，所述第二开关驱动电路控制所述第二开关导通，并且所述硬件调试接口生成第一触发信号，在所述硬件调试接口中未插入刷写设备时，所述第二开关驱动电路控制所述第二开关断开；

所述单片机还用于：在获得第一触发信号时，确定是否接收到程序刷写请求；如果未接收到程序刷写请求，则通过所述第三开关驱动电路控制所述第三开关导通，以便所述高压电源损毁所述单片机。

可选的，在上述车载ECU中，所述单片机还用于：

在获得所述第一触发信号后，如果接收到程序刷写请求，则基于所述程序刷写请求确定用户是否具有程序刷写权限；在确定所述用户具有程序刷写权限的情况下，通过所述第三开关驱动电路控制所述第三开关断开，通过所述第一开关驱动电路控制所述第一开关导通；在确定所述用户不具有程序刷写权限的情况下，通过所述第三开关驱动电路控制所述第三开关导通，以便所述高压电源损毁所述单片机。

本申请还提供一种车载ECU的安全防护方法，所述车载ECU包括单片机和硬件调试接口，所述车载ECU还包括安全防护模块，所述安全防护模块至少包括第一开关以及第一开关驱动电路，所述第一开关串联在所述单片机与所述硬件调试接口之间的通讯线上；所述方法应用于所述单片机，所述方法包括：

判断是否满足预设条件，以确定所述车载ECU是否处于出厂状态；

在满足所述预设条件时，通过所述第一开关驱动电路控制所述第一开关断开。

可选的，在上述方法的基础上，在所述通过所述第一开关驱动电路控制所述第一开关断开之后，还包括：

接收程序刷写请求；

基于所述程序刷写请求确定用户是否具有程序刷写权限；

在确定所述用户具有程序刷写权限的情况下，通过所述第一开关驱动电路控制所述第一开关导通。

可选的，所述程序刷写请求携带有用户标识；在上述方法中，所述基于所述程序刷写请求确定用户是否具有访问权限，包括：

判断所述程序刷写请求携带的用户标识是否包含于预设的用户标识；

如果所述程序刷写请求携带的用户标识包含于预设的用户标识，则确定所述用户具有程序刷写权限。

可选的，在上述方法中，所述基于所述程序刷写请求确定用户是否具有访问权限，包括：

判断所述程序刷写请求是否携带有预设的验证码；

如果所述程序刷写请求携带有预设的验证码，则确定所述用户具有程序刷写权限。

可选的，所述安全防护模块还包括第二开关、第三开关、第二开关驱动电路和第三开关驱动电路，所述第二开关和所述第三开关串联在所述单片机的电源管脚和高压电源之间，在所述硬件调试接口中插入刷写设备时，所述第二开关驱动电路控制所述第二开关导通，所述硬件调试接口生成第一触发信号，在所述硬件调试接口中未插入刷写设备时，所述第二开关驱动电路控制所述第二开关断开；所述方法还包括：

在获得第一触发信号时，确定是否接收到程序刷写请求；

如果未接收到程序刷写请求，则通过所述第三开关驱动电路控制所述第三开关导通，以便所述高压电源损毁所述单片机。

可选的，在上述方法的基础上，还包括：

在获得所述第一触发信号后，如果接收到程序刷写请求，则基于所述程序刷写请求确定用户是否具有程序刷写权限；

在确定所述用户具有程序刷写权限的情况下，通过所述第三开关驱动电路控制所述第三开关断开，通过所述第一开关驱动电路控制所述第一开关导通；

在确定所述用户不具有程序刷写权限的情况下，通过所述第三开关驱动电路控制所述第三开关导通，以便所述高压电源损毁所述单片机。

由此可见，本申请的有益效果为：

本申请公开的车载ECU，包括单片机、硬件调试接口和安全防护模块。其中，安全防护模块至少包括第一开关以及第一开关驱动电路，第一开关串联在单片机与硬件调试接口之间的通讯线上。在满足预设条件时，表明车载ECU处于出厂状态，单片机通过第一开关驱动电路控制第一开关断开，从而断开单片机与硬件调试接口之间的通讯线，避免其他人员在车载ECU出厂后对其内部的程序进行非法刷写，从而保证车载ECU的安全性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请公开的一种车载ECU的安全防护方法的流程图；

图2为本申请公开的另一种车载ECU的安全防护方法的流程图；

图3为本申请公开的一种确定用户是否具有程序刷写权限的方法的流程图；

图4为本申请公开的另一种确定用户是否具有程序刷写权限的方法的流程图；

图5为本申请公开的另一种车载ECU的安全防护方法的流程图；

图6为本申请公开的一种车载ECU的结构示意图；

图7为本申请公开的另一种车载ECU的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请公开一种车载ECU及其安全防护方法，能够防止ECU中的程序在车辆出厂后被非法刷写。

参见图1，图1为本申请公开的一种车载ECU的安全防护方法的流程图。其中，车载ECU包括单片机、硬件调试接口和安全防护模块。该安全防护模块至少包括第一开关和第一开关驱动电路，可以参见图6及下文中的相关描述。

图1所示的安全防护方法应用于车载ECU中的单片机，具体包括：

步骤S101：判断是否满足预设条件，以确定车载ECU是否处于出厂状态。

需要说明的是，车载ECU处于出厂状态是指：该车载ECU的调试已经完成，通过质量检测，满足出厂条件。

作为一种实施方式，在车载ECU出厂前，工作人员通过其他电子设备向车载ECU发送第一指令。该预设条件为：接收到第一指令。

作为另一种实施方式，检测设备在车载ECU通过质量检测时，向车载ECU发送检测合格指示。该预设条件为：接收到检测合格指示。

步骤S102：在满足预设条件时，通过第一开关驱动电路控制第一开关断开。

第一开关串联在单片机与硬件调试接口之间的通讯线上。在确定满足预设条件时，表明车载ECU处于出厂状态，单片机向第一开关驱动电路发送控制信号，使得第一开关驱动电路控制第一开关断开。此时，单片机与硬件调试接口之间的通讯线被断开，其他人员无法再通过硬件调试接口对车载ECU中的程序进行刷写。

本申请图1所示的车载ECU的安全防护方法，当确定满足预设条件时，表明车载ECU处于出厂状态，单片机通过第一开关驱动电路控制第一开关断开，从而断开单片机与硬件调试接口之间的通讯线，避免其他人员在车载ECU出厂后对其内部的程序进行非法刷写，从而保证车载ECU的安全性。

参见图2，图2为本申请公开的另一种车载ECU的安全防护方法的流程图。其中，车载ECU包括单片机、硬件调试接口和安全防护模块。该安全防护模块至少包括第一开关和第一开关驱动电路，可以参见图6及相关描述。

图2所示的安全防护方法应用于车载ECU中的单片机，具体包括：

步骤S201：判断是否满足预设条件，以确定车载ECU是否处于出厂状态。

步骤S202：在满足预设条件时，通过第一开关驱动电路控制第一开关断开。

步骤S201和步骤S202的具体实现，请参见前文中关于步骤S101和步骤S102的描述，这里不再进行赘述。

步骤S203：接收程序刷写请求。

步骤S204：基于程序刷写请求确定用户是否具有程序刷写权限。

步骤S205：在确定用户具有程序刷写权限的情况下，通过第一开关驱动电路控制第一开关导通。

本申请图2所示的车载ECU的安全防护方法，当确定满足预设条件时，表明车载ECU处于出厂状态，单片机通过第一开关驱动电路控制第一开关断开，从而断开单片机与硬件调试接口之间的通讯线，避免其他人员在车载ECU出厂后对其内部的程序进行非法刷写，从而保证车载ECU的安全性；另外，在接收程序刷写请求时，如果输入该程序刷写请求的用户具有程序刷写权限，那么单片机通过第一开关驱动电路控制第一开关导通，从而连通单片机与硬件调试接口之间的通讯线，以便具有程序刷写权限的用户能够对车载ECU进行程序刷写。

在一个实施例中，程序刷写请求携带有用户标识。相应的，步骤S204基于程序刷写请求确定用户是否具有访问权限，采用如图3所示的方案，具体包括：

步骤S301：判断程序刷写请求携带的用户标识是否包含于预设的用户标识。

步骤S302：如果程序刷写请求携带的用户标识包含于预设的用户标识，则确定用户具有程序刷写权限。

预先确定具有程序刷写权限的用户，并存储这些用户的用户标识。实施中，可以在ECU的存储器中存储预设的用户标识，单片机在执行步骤S301时，从ECU的存储器读取预设的用户标识即可。另外，也可以将预设的用户标识存储于服务器中，那么单片机在执行步骤S301时，需要从服务器获取预设的用户标识。

单片机在接收到程序刷写请求时，提取该程序刷写请求携带的用户标识，将提取出的用户标识与预设的用户标识进行比对，如果程序刷写请求携带的用户标识包含于预设的用户标识，则确定用户具有程序刷写权限。如果程序刷写请求携带的用户标识未包含于预设的用户标识，则确定用户不具有程序刷写权限。

实施中，用户标识可以为用户的账号信息。另外，用户标识也可以为用户的身份标识，例如用户的身份证号码。

本申请图3所示的方案中，程序刷写请求携带有用户标识，单片机接收到程序刷写请求后，将该程序刷写请求携带的用户标识与预设的用户标识进行比对，如果程序刷写请求携带的用户标识包含于预设的用户标识，则确定用户具有程序刷写权限，如果程序刷写请求携带的用户标识未包含于预设的用户标识，则确定用户不具有程序刷写权限。

在另一个实施例中，步骤S204基于程序刷写请求确定用户是否具有访问权限，采用如图4所示的方案，具体包括：

步骤S401：判断程序刷写请求是否携带有预设的验证码。

步骤S402：如果程序刷写请求携带有预设的验证码，则确定用户具有程序刷写权限。

预先设置验证码并进行存储。实施中，可以在ECU的存储器中存储验证码，单片机在执行步骤S301时，从ECU的存储器读取验证码即可。另外，也可以将验证码存储于服务器中，那么单片机在执行步骤S301时，需要从服务器获取验证码。

本申请图4所示的方案中，单片机接收到程序刷写请求后，判断该程序刷写请求是否携带有预设的验证码，如果该程序刷写请求携带有预设的验证码，则确定用户具有程序刷写权限，如果该程序刷写请求未携带预设的验证码，则确定用户不具有程序刷写权限。

参见图5，图5为本申请公开的另一种车载ECU的安全防护方法的流程图。

其中，车载ECU包括单片机、硬件调试接口和安全防护模块。该安全防护模块包括第一开关、第一开关驱动电路、第二开关、第二开关驱动电路、第三开关和第三开关驱动电路。在硬件调试接口中插入刷写设备时，第二开关驱动电路控制第二开关导通，并且，硬件调试接口生成第一触发信号，在硬件调试接口中未插入刷写设备时，第二开关驱动电路控制第二开关断开。具体可以参见图7及下文中的相关描述。

图5所示的安全防护方法应用于车载ECU中的单片机，具体包括：

步骤S501：判断是否满足预设条件，以确定车载ECU是否处于出厂状态。

步骤S502：在满足预设条件时，通过第一开关驱动电路控制第一开关断开。

上述的步骤S501和步骤S502的具体实现，请参见前文中关于步骤S101和步骤S102的描述，这里不再进行赘述。

步骤S503：在获得第一触发信号时，确定是否接收到程序刷写请求。

步骤S504：如果未接收到程序刷写请求，则通过第三开关驱动电路控制第三开关导通，以便高压电源损毁单片机。

步骤S505：如果接收到程序刷写请求，则基于程序刷写请求确定用户是否具有程序刷写权限。

步骤S506：在确定用户具有程序刷写权限的情况下，通过第三开关驱动电路控制第三开关断开，通过第一开关驱动电路控制第一开关导通。

步骤S507：在确定用户不具有程序刷写权限的情况下，通过第三开关驱动电路控制第三开关导通，以便高压电源损毁单片机。

需要说明的是，第二开关和第三开关的原始状态均为断开状态。

单片机确定满足预设条件时，通过第一开关驱动电路控制第一开关断开。此时第二开关和第三开关均为断开状态。当硬件调试接口中插入刷写设备时，第二开关驱动电路控制第二开关导通，同时硬件调试接口还会生成第一触发信号。单片机获得第一触发信号时，进一步判断是否接收到程序刷写请求。

如果单片机未接收到程序刷写请求，那么确定有人要对车载ECU进行非法的程序刷写，单片机通过第三开关驱动电路控制第三开关导通，此时第二开关和第三开关都处于导通状态，高压电源被接入单片机的电源管脚，高压电源将单片机损毁。

如果单片机接收到程序刷写请求，但输入该程序刷写请求的用户并不具备程序刷写权限，那么确定有人要对车载ECU进行非法的程序刷写，单片机通过第三开关驱动电路控制第三开关导通，从而使得高压电源将单片机损毁。

需要说明的是，在单片机被损毁后，车载ECU停止工作，与车载ECU中的程序被非法修改相比，能够保证车辆的行车安全。

如果单片机接收到程序刷写请求，并且输入该程序刷写请求的用户具备程序刷写权限，那么单片机通过第三开关驱动电路控制第三开关维持在断开状态，另外，通过第一开关驱动电路控制第一开关导通，以便该用户通过硬件调试接口对ECU进行程序刷写。

其中，基于程序刷写请求确定用户是否具有访问权限，可以采用上文中公开的方案，这里不再进行赘述。

本申请图5所示的车载ECU的安全防护方法，当确定满足预设条件时，表明车载ECU处于出厂状态，单片机通过第一开关驱动电路控制第一开关断开，从而断开单片机与硬件调试接口之间的通讯线，避免其他人员在车载ECU出厂后对其内部的程序进行非法刷写，从而保证车载ECU的安全性。另外，在高压电源与单片机的电源管脚之间串联有第二开关和第三开关，当有刷写设备插入硬件调试接口时，第二开关导通，单片机进一步判断是否接收到程序刷写请求，如果未接收到程序刷写请求，或者接收到程序刷写请求，但输入该程序刷写请求的用户不具备程序刷写权限，那么单片机控制第三开关导通，从而利用高压电源损毁单片机，保证车辆的行车安全；如果接收到程序刷写请求，并且输入该程序刷写请求的用户具有程序刷写权限，那么单片机控制第三开关保持断开状态，控制第一开关导通，以便具有程序刷写权限的用户能够对车载ECU进行程序刷写。

本申请还公开一种车载ECU，能够避免其他人员在车载ECU出厂后对其内部的程序进行非法刷写。

参见图6，图6为本申请公开的一种车载ECU的结构示意图。该车载ECU包括单片机10、硬件调试接口20和安全防护模块。

其中，安全防护模块至少包括第一开关K1和第一开关驱动电路3001。

第一开关K1串联在单片机10与硬件调试接口20之间的通讯线上，第一开关K1的控制端与第一开关驱动电路3001的输出端连接，第一开关驱动电路3001的控制端与单片机连接。可以理解的是，第一开关驱动电路3001的控制端与单片机10的一个输入输出管脚连接。

需要说明的是，单片机10与硬件调试接口20之间连接有多个通讯线。实施中，可以在任意一个通讯线上串联开关，也可以在多个通讯线上分别串联一个开关。本申请中将串联在单片机10和硬件调试接口20之间的通讯线上的开关称为第一开关。也就是说，第一开关的数量可以为一个或多个。在第一开关为多个的情况下，多个第一开关的控制端与第一开关驱动电路的输出端连接。

单片机10用于：在确定满足预设条件时，通过第一开关驱动电路控制第一开关断开。其中，该预设条件用于确定车载ECU是否处于出厂状态。该预设条件的具体选取，可以参见前文中的描述。

本申请图6所示的车载ECU，包括单片机、硬件调试接口和安全防护模块。其中，安全防护模块至少包括第一开关以及第一开关驱动电路，第一开关串联在单片机与硬件调试接口之间的通讯线上。在满足预设条件时，表明车载ECU处于出厂状态，单片机通过第一开关驱动电路控制第一开关断开，从而断开单片机与硬件调试接口之间的通讯线，避免其他人员在车载ECU出厂后对其内部的程序进行非法刷写，从而保证车载ECU的安全性。

在另一个实施例中，在图6所示的车载ECU的基础上，单片机10还用于：

在确定满足预设条件，通过第一开关驱动电路控制第一开关断开之后，在接收到程序刷写请求时，基于程序刷写请求确定用户是否具有程序刷写权限，在确定用户具有程序刷写权限的情况下，通过第一开关驱动电路控制第一开关导通。

在上述实施例中，当确定满足预设条件时，表明车载ECU处于出厂状态，单片机通过第一开关驱动电路控制第一开关断开，从而断开单片机与硬件调试接口之间的通讯线，避免其他人员在车载ECU出厂后对其内部的程序进行非法刷写，从而保证车载ECU的安全性；另外，在接收程序刷写请求时，如果输入该程序刷写请求的用户具有程序刷写权限，那么单片机通过第一开关驱动电路控制第一开关导通，从而连通单片机与硬件调试接口之间的通讯线，以便具有程序刷写权限的用户能够对车载ECU进行程序刷写。

在一个实施例中，程序刷写请求携带有用户标识。

单片机10基于程序刷写请求确定用户是否具有访问权限，具体为：判断程序刷写请求携带的用户标识是否包含于预设的用户标识；如果程序刷写请求携带的用户标识包含于预设的用户标识，则确定用户具有程序刷写权限。

在另一个实施例中，单片机10基于程序刷写请求确定用户是否具有访问权限，具体为：判断程序刷写请求是否携带有预设的验证码；如果程序刷写请求携带有预设的验证码，则确定用户具有程序刷写权限。

参见图7，图7为本申请公开的另一种车载ECU的结构示意图。该车载ECU包括单片机10、硬件调试接口20和安全防护模块。

其中，安全防护模块包括第一开关K1、第一开关驱动电路3001、第二开关K2、第二开关驱动电路3002、第三开关K3和第三开关驱动电路3003。

第一开关K1串联在单片机10与硬件调试接口20之间的通讯线上，第一开关K1的控制端与第一开关驱动电路3001的输出端连接，第一开关驱动电路3001的控制端与单片机10连接。

第二开关K2和第三开关K3串联在单片机10的电源管脚和高压电源之间。

需要说明的是，单片机10的电源管脚还与标准电源连接，在单片机10正常工作时，由标准电源为单片机10供电。当第二开关K2和第三开关K3均导通时，高压电源被接入单片机10的电源管脚，高压电源的电压能够将单片机10损毁。

第三开关K3的控制端与第三开关驱动电路3003的输出端连接，第三开关驱动电路3003的控制端与单片机10连接。

可以理解的是，第一开关驱动电路3001的控制端与单片机10的一个输入输出管脚连接，第三开关驱动电路3003的控制端与单片机10的另一个输入输出管脚连接。

第二开关K2的控制端与第二开关驱动电路3002的输出端连接。在硬件调试接口20中插入刷写设备时，第二开关驱动电路3002控制第二开关K2导通，并且硬件调试接口20产生第一触发信号；在硬件调试接口20中未插入刷写设备时，第二开关驱动电路3002控制第二开关K2断开。

作为一种实施方式，在有刷写设备插入硬件调试接口20的状态下，以及在没有刷写设备插入硬件调试接口20的状态下，硬件调试接口20中的特定管脚处的电平信号会发生跳变，第二开关驱动电路3002在该特定管脚的电平信号的触发下，控制第二开关K2导通或者关闭。另外，将该特定管脚在有刷写设备插入硬件调试接口20的状态下的电平信号作为第一触发信号。

例如，在有刷写设备插入硬件调试接口20的状态下，该特定管脚处为高电平信号，第二开关驱动电路3002在该高电平信号的触发下，控制第二开关K2导通；在没有刷写设备插入硬件调试接口20的状态下，该特定管脚处为低电平信号，第二开关驱动电路3002在该低电平信号的触发下，控制第二开关K2关闭。

作为另一种实施方式，在硬件调试接口20中设置检测位。在有刷写设备插入硬件调试接口20的状态下，该检测位的电平信号为第一电平信号，在没有刷写设备插入硬件调试接口20的状态下，该检测位的电平信号为第二电平信号。第二开关驱动电路3002在该检测位的电平信号的触发下，控制第二开关K2导通或者关闭。具体的，当该检测位的电平信号为第一电平信号时，第二开关驱动电路3002控制第二开关K2导通，当该检测位的电平信号为第二电平信号时，第二驱动电路3002控制第二开关K2关闭。另外，将该检测位的第一电平信号作为第一触发信号。

需要说明的是，单片机与硬件调试接口之间连接有多个通讯线，可以在任意一个通讯线上串联开关，也可以在多个通讯线上分别串联一个开关。本申请中将串联在单片机和硬件调试接口之间的通讯线上的开关称为第一开关，第一开关的数量可以为一个或多个。在第一开关为多个的情况下，多个第一开关的控制端与第一开关驱动电路的输出端连接。

单片机用于：在确定满足预设条件时，通过第一开关驱动电路控制第一开关断开，其中，该预设条件用于确定车载ECU是否处于出厂状态；在获得第一触发信号时，确定是否接收到程序刷写请求，其中，硬件调试接口在有刷写设备插入时生成第一触发信号；如果未接收到程序刷写请求，则通过第三开关驱动电路控制第三开关导通，以便高压电源损毁单片机。

可选的，单片机10还用于：

在获得第一触发信号后，如果接收到程序刷写请求，则基于程序刷写请求确定用户是否具有程序刷写权限；在确定用户具有程序刷写权限的情况下，通过第三开关驱动电路控制第三开关断开，通过第一开关驱动电路控制第一开关导通；在确定用户不具有程序刷写权限的情况下，通过第三开关驱动电路控制第三开关导通，以便高压电源损毁单片机。

本申请图7所示的车载ECU，当确定满足预设条件时，表明车载ECU处于出厂状态，单片机通过第一开关驱动电路控制第一开关断开，从而断开单片机与硬件调试接口之间的通讯线，避免其他人员在车载ECU出厂后对其内部的程序进行非法刷写，从而保证车载ECU的安全性。另外，在高压电源与单片机的电源管脚之间串联有第二开关和第三开关，当有刷写设备插入硬件调试接口时，第二开关导通，单片机进一步判断是否接收到程序刷写请求，如果未接收到程序刷写请求，或者接收到程序刷写请求，但输入该程序刷写请求的用户不具备程序刷写权限，那么单片机控制第三开关导通，从而利用高压电源损毁单片机，从而保证车辆的行车安全；如果接收到程序刷写请求，并且输入该程序刷写请求的用户具有程序刷写权限，那么单片机控制第三开关保持断开状态，控制第一开关导通，以便具有程序刷写权限的用户能够对车载ECU进行程序刷写。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种车载ECU，包括单片机和硬件调试接口，其特征在于，所述车载ECU还包括安全防护模块；

所述安全防护模块至少包括第一开关以及第一开关驱动电路，所述第一开关串联在所述单片机与所述硬件调试接口之间的通讯线上，所述第一开关的控制端与所述第一开关驱动电路的输出端连接；

所述单片机与所述第一开关驱动电路的控制端连接，在满足预设条件时，所述单片机通过所述第一开关驱动电路控制所述第一开关断开；其中，所述预设条件用于确定所述车载ECU是否处于出厂状态。

2.根据权利要求1所述的车载ECU，其特征在于，所述单片机还用于：

在确定满足所述预设条件，通过所述第一开关驱动电路控制所述第一开关断开之后，在接收到程序刷写请求时，基于所述程序刷写请求确定用户是否具有程序刷写权限，在确定所述用户具有程序刷写权限的情况下，通过所述第一开关驱动电路控制所述第一开关导通。

3.根据权利要求1所述的车载ECU，其特征在于，所述安全防护模块还包括第二开关、第三开关、第二开关驱动电路和第三开关驱动电路；

所述第二开关和所述第三开关串联在所述单片机的电源管脚和高压电源之间，所述第二开关的控制端与所述第二开关驱动电路的输出端连接，所述第三开关的控制端与所述第三开关驱动电路的输出端连接，所述第三开关驱动电路的控制端与所述单片机连接；

在所述硬件调试接口中插入刷写设备时，所述第二开关驱动电路控制所述第二开关导通，并且所述硬件调试接口生成第一触发信号，在所述硬件调试接口中未插入刷写设备时，所述第二开关驱动电路控制所述第二开关断开；

所述单片机还用于：在获得第一触发信号时，确定是否接收到程序刷写请求；如果未接收到程序刷写请求，则通过所述第三开关驱动电路控制所述第三开关导通，以便所述高压电源损毁所述单片机。

4.根据权利要求3所述的车载ECU，其特征在于，所述单片机还用于：

在获得所述第一触发信号后，如果接收到程序刷写请求，则基于所述程序刷写请求确定用户是否具有程序刷写权限；在确定所述用户具有程序刷写权限的情况下，通过所述第三开关驱动电路控制所述第三开关断开，通过所述第一开关驱动电路控制所述第一开关导通；在确定所述用户不具有程序刷写权限的情况下，通过所述第三开关驱动电路控制所述第三开关导通，以便所述高压电源损毁所述单片机。

5.一种车载ECU的安全防护方法，所述车载ECU包括单片机和硬件调试接口，其特征在于，所述车载ECU还包括安全防护模块，所述安全防护模块至少包括第一开关以及第一开关驱动电路，所述第一开关串联在所述单片机与所述硬件调试接口之间的通讯线上；所述方法应用于所述单片机，所述方法包括：

判断是否满足预设条件，以确定所述车载ECU是否处于出厂状态；

在满足所述预设条件时，通过所述第一开关驱动电路控制所述第一开关断开。

6.根据权利要求5所述的方法，其特征在于，在所述通过所述第一开关驱动电路控制所述第一开关断开之后，还包括：

接收程序刷写请求；

基于所述程序刷写请求确定用户是否具有程序刷写权限；

在确定所述用户具有程序刷写权限的情况下，通过所述第一开关驱动电路控制所述第一开关导通。

7.根据权利要求6所述的方法，其特征在于，所述程序刷写请求携带有用户标识；所述基于所述程序刷写请求确定用户是否具有访问权限，包括：

判断所述程序刷写请求携带的用户标识是否包含于预设的用户标识；

如果所述程序刷写请求携带的用户标识包含于预设的用户标识，则确定所述用户具有程序刷写权限。

8.根据权利要求6所述的方法，其特征在于，所述基于所述程序刷写请求确定用户是否具有访问权限，包括：

判断所述程序刷写请求是否携带有预设的验证码；

如果所述程序刷写请求携带有预设的验证码，则确定所述用户具有程序刷写权限。

9.根据权利要求5所述的方法，其特征在于，所述安全防护模块还包括第二开关、第三开关、第二开关驱动电路和第三开关驱动电路，所述第二开关和所述第三开关串联在所述单片机的电源管脚和高压电源之间，在所述硬件调试接口中插入刷写设备时，所述第二开关驱动电路控制所述第二开关导通，所述硬件调试接口生成第一触发信号，在所述硬件调试接口中未插入刷写设备时，所述第二开关驱动电路控制所述第二开关断开；所述方法还包括：

在获得第一触发信号时，确定是否接收到程序刷写请求；

如果未接收到程序刷写请求，则通过所述第三开关驱动电路控制所述第三开关导通，以便所述高压电源损毁所述单片机。

10.根据权利要求9所述的方法，其特征在于，还包括：

在获得所述第一触发信号后，如果接收到程序刷写请求，则基于所述程序刷写请求确定用户是否具有程序刷写权限；

在确定所述用户具有程序刷写权限的情况下，通过所述第三开关驱动电路控制所述第三开关断开，通过所述第一开关驱动电路控制所述第一开关导通；

在确定所述用户不具有程序刷写权限的情况下，通过所述第三开关驱动电路控制所述第三开关导通，以便所述高压电源损毁所述单片机。