CN111459496A - 一种防篡改的程序文件的生成方法、设备的升级方法 - Google Patents

Abstract

本发明公开了一种防篡改的程序文件的生成方法、设备的升级方法。其中程序文件的生成方法，包括步骤：将用于识别程序文件的识别码编译在所述程序文件地址的第一固定位置；将程序文件划分为多个片段，并生成用于验证每个片段的第一校验码，将所述第一校验码编译在所述程序文件地址的第二固定位置；编译生成完整的程序文件。本发明可以在资源稀缺的设备中有效实现防篡改。

Description

一种防篡改的程序文件的生成方法、设备的升级方法

技术领域

本发明涉及硬件升级技术，尤其涉及一种控制器资源稀缺的嵌入式设备的程序升级文件防篡改的编译方法，以及对应的设备的升级方法。

背景技术

设备的软件程序升级是设备的一种重要更新方式，通常来说，对设备进行软件程序的升级需要设备具备大容量缓存，需要具备程序空间外的存储空间，当需要升级时设备将全部程序文件下载下来，验证OK后，再进行擦除、烧录，此时会同时保存新旧两种版本程序，以避免程序升级异常失败后，程序切换恢复。

但是在很多设备出于成本考虑，因此没有大容量缓存，不具备程序空间外的存储空间，无法将全部程序文件下载下来，待验证OK后再进行擦除、烧录，同时也无法同时保存新旧两种版本程序。例如，多联机的内机和外机的控制器就是这样的设备，同时，内机和外机可能存在的机型众多，程序也不统一，因此，目前在诸如多联机这种资源稀缺类设备的程序升级过程中，基本都采取程序文件分段烧录的方式，并且至少存在以下三种严重问题，导致程序升级失败：

1）、程序被篡改，包括无意中的程序文件更改，以及恶意篡改文件数据；

2）、来源不明的非法程序文件；

3）、程序文件被误用，及程序文件数据本身是合法的，但被烧录至适用范围外的设备（如烧录至适用范围外的内机或外机）；

在空调设备中，以上三种问题都会导致程序升级后的机组无法正常运行，甚至会出现负载控制异常，机组损坏的严重后果。

发明内容

为了解决现有技术中存储空间紧缺类设备进行分段升级时无法确保程序文件正确导致升级失败的技术问题，本发明提出了一种防篡改的程序文件的生成方法、设备的升级方法。

本发明提出的程序文件的生成方法，包括步骤：

步骤1，将用于识别程序文件的识别码编译在所述程序文件地址的第一固定位置；

步骤2，将程序文件划分为多个片段，并生成用于验证每个片段的第一校验码，将所述第一校验码编译在所述程序文件地址的第二固定位置；

步骤3，编译生成完整的程序文件。

在第一实施例中，所述第一固定位置和所述第二固定位置为所述程序文件的第一个片段中的地址。当所有片段的第一校验码被编译在所述第一个片段中的第二固定位置时，在所述步骤3之前，再生成一个对第一片段的当前内容进行校验的第二校验码并编译在该片段中的第三固定位置。

在第二实施例中，所述第一固定位置为所述程序文件的第一个片段中的地址；所述第二固定位置为每个第一校验码对应的所述片段中的地址。

进一步，所述第一校验码包含的信息包括片段内容的验证信息和片段的地址偏移信息。

进一步，所述第二校验码为循环冗余校验码。

进一步，所述程序文件的识别码包含的信息包括标识待升级设备名称、型号以及程序版本号的字符或字符串。

优选的，所述片段的大小小于10KB。

本发明提出的设备的升级方法，采用了上述技术方案所述的生成方法获得待升级的程序文件；

升级时，依次接收所述程序文件的片段；

对当前接收的片段进行解析，获取所述识别码和第一校验码并进行依次验证，验证通过，则擦除旧程序开始升级。

进一步，若当前接收的片段中具有第二校验码时，对所述识别码、当前接收的片段对应的第一校验码和第二校验码进行验证，均验证通过时，才擦除旧程序开始升级。

进一步，若当前接收的片段仅有第一校验码时，获取所述片段对应的第一校验码进行验证，验证通过则继续升级。

进一步，若当前接收的片段没有第一校验码时，将之前获取到的该片段对应的第一校验码对其进行验证，验证通过则继续升级。

通过本发明的程序文件的生成方法，可以使程序在升级时对待升级设备的主芯片的资源需求少，不需要复杂协议支持、操作简便，同时可以解决防篡改问题，尤其适用于资源稀缺类型的设备的程序升级。

在通过上位机对待升级设备进行程序升级时，待升级设备在进行正式升级前，先不擦除旧的程序文件，当收到新的程序文件的第一个程序片段文件（数据块）后，从该片段文件（数据块）中相应地址，获取当前程序编码、版本号以及对应的校验码，当程序编码与当前设备编码一致，软件版本比当前版本高，相关校验码校验OK,以上条件全部满足时，才允许进行程序升级，开始设备旧程序文件的擦除，进行正式程序升级，实现在资源稀缺类嵌入式设备程序升级文件防篡改的实现方法。本发明使用的方法，无需待升级设备具备大容量缓存以及除程序空间之外的存储空间，适用于控制器资源稀缺类嵌入式设备的程序升级文件确认，避免被篡改的、来源不明的以及设备适用范围外的程序文件被烧录到待升级设备中，避免设备程序运行异常，导致可能的设备损坏。

附图说明

下面结合实施例和附图对本发明进行详细说明，其中：

图1是本发明的程序文件生成流程图。

图2是本发明的升级流程图。

具体实施方式

下面结合附图详细说明本发明的原理及实施例。

本发明提供的技术方案主要是针对控制器资源稀缺类嵌入式设备的程序升级，即没有多余的存储空间，同时无条件部署服务器。通过制定上位机和待升级设备之间的相应的协议，将待升级的设备的相关信息包括设备的名称、型号以及程序版本号的字符或字符串作为程序文件的识别码，将程序文件的内容的校验码编译在程序文件的固定地址处。升级时，当待升级的设备接收到部分程序文件，获取对应的识别码以及校验码，全部验证通过以后，才进行设备的芯片擦除，开始程序文件烧录，避免被篡改的、来源不明的以及设备适用范围外的程序文件被烧录到待升级设备中，避免设备程序运行异常，导致可能的设备损坏。

图1为待升级设备的程序文件生成的流程示意图。

在对待升级的设备进行区分时，可以将待升级设备与其他采用不同程序的设备，在名称、编码上不一样，因此可直接将待升级设备的名称或者编码，或者其他能唯一标识的字符或字符串作为待升级设备的程序文件的识别码的一部分，本实施例将这部分识别码以string来标识。

确定待升级的设备的程序文件的程序版本号version作为识别码的另一部分，可以是Vxx之类的简单版本标识，也可以是其他能区分不同版本的字符串。

将设备的需要升级的程序文件的识别码（即string和version）编译到程序文件地址的第一固定位置A处，为便于接收的带升级设备处理，通常选择第一个片段中比较靠前的地址。

将程序文件划分为多个片段，并生成用于验证每个片段的内容的第一校验码，将第一校验码编译在程序文件地址的第二固定位置B，程序文件的固定地址可以只有源代码体现，也可以编译成库的形式。

在第一个实施例中，第一固定位置A和第二固定位置B为程序文件的第一个片段中的地址。例如，根据上位机和待升级设备之间的协议，将程序文件划分为x个片段，最后一个片段不足4KB的按照0xff补齐，计算x个片段的程序代码的第一校验码checksum1至checksumx,共计x个第一校验码，将以上x个第一校验码一起编译在第1KB片段地址空间的addr_B起始处，也就是第一个片段中的第二固定地址B。

为了确保整个程序文件，而不是程序文件的个别片段的文件被篡改，同时又因为待升级设备不具备缓存或者存储空间来接收整个程序文件再进行验证，可以将片段内容的验证信息和片段的地址偏移信息作为第一校验码包含的信息，并将第一校验码存储在程序文件内，确保整个程序文件的合法性。

接着生成一个对第一片段当前的内容（包含识别码和第一校验码）进行校验的第二校验码并编译在第一片段地址的第三固定位置C处，通常为第一个片段的末尾地址。第二校验码是验证第一固定地址A和第二固定地址B所在片段除片段末尾地址外的内容，第二校验码可以采用CRC（循环冗余校验码）或者其他校验方式，生成第二校验码checksum。

最后生成完整的待升级的程序文件。

在第二个实施例中，第一固定位置为程序文件的第一个片段对应地址的固定位置，第二固定位置为每个第一校验码对应的片段对应的地址的第二固定位置。也就是说，x个第一校验码分别编译在各个片段对应的扇区page中的第二固定位置处。这样不需要编译第二校验码。

下面以较优的第一实施例以及多联机的室内机作为带升级设备进行具体举例。

多联室内机的机型类型众多，连接在一个工程的同一个网络中，普通室内机的升级程序文件的识别码为：Z6L35KVx.HEX，风管机的升级程序文件的识别码为：Z6L25QVx.HEX，其中Vx之前的字符串代表的是机型名称型号，Vx为软件版本号，程序升级过程中，各个设备与程序文件的识别码必须一一对应，实际操作过程中，设备的程序文件的名称以及内容有可能会被有意或者无意地被篡改，或者来源不明的程序文件修改伪装成合法程序，或者不同类型的设备的程序文件被混淆。同时又由于多联机的控制器通常情况下存储资源都十分稀缺，不具备大容量缓存和存储记忆空间，工程现场也无法部署网络服务，因此在这些不利情况下，需要一种本发明简洁可靠的程序升级方法，解决以上可能出现的问题。通常，多联机的控制器中程序包括两部分：Bootloader部分程序和应用部分程序，Boolloader部分程序负责启动与运行，以及应用部分程序文件的更新；应用部分程序用于实现控制器逻辑功能。Bootloader部分程序是一直存在于程序空间的，不能被擦除。应用部分程序可以被擦除，安装新的升级程序文件。

以风管机程序为例，假设当前需要升级的软件版本为Vn，则将Z6L25QVn字符串，编译在程序文件的第1KB空间的地址add_A处，同时将程序文件按照4KB大小一段划分为x个片段，最后一个片段不足4KB的按照0xff补齐，计算x个片段的程序代码的校验码checksum1至checksumx,共计x个校验码，将以上x个校验码编译在第1KB地址空间的addr_B起始处；将用于校验第1个片段的内容的第二校验码checksum0编译在第1KB地址空间的地址addr_C处。由此第1KB片段的地址空间内，包含了唯一程序字符串Z6L25Q、软件版本Vn、x+1个检验码。

图2为待升级设备进行程序升级的流程。

待升级的设备通过某种方式进入程序升级状态，此方式可以是功能码指令的方式，或者其他命令方式。

待升级的设备依次接收程序文件的片段，一般一个片段的大小在数KB大小左右，即小于10KB，不会占用待升级设备的控制器太多程序缓存空间。

针对于上述第一实施例所生成的程序文件，待升级的设备通过对片段进行分析，从地址A、B、C处，解析获取到识别码string_temp和version_temp以及第一校验码checksum1至checksunx和第二校验码checksum;

待升级设备根据第二校验码的计算规则计算当前片段的第二校验码checksum_temp;

根据文件编码、软件版本地址规则，获取当前运行的程序文件的识别码string_old和version_old，将之前的识别码string_temp加version_temp与当前运行的程序文件的识别码string_old加version_old进行比较，如果string_temp和string_old不一致，则验证不通过，若是version_temp没有比version_old的版本更高，同样验证也不通过，否则验证通过，则表明准备接收的程序文件适用于当前控制器，然后再判断获取的第二校验码checksum与设备自己计算出来的校验码checksum_temp是否一致，如果一致，说明程序文件未被篡改。在识别码符合要求，且程序文件未被篡改的情况下，允许程序文件更新，进入程序更新状态，擦除旧程序文件，开始安装新的程序文件。

之后接收到第二个或者第二个以上片段时，计算当前接收的片段的第一验证码，该计算出来的第一验证码与之前获取到的与该片段对应的第一验证码进行匹配，如果一致，说明没有被篡改，否则需要通知技术人员重新升级。。

基于第二个实施例的升级方法与第一实施例的升级方法相同，即线获取识别码和第一个片段的第一校验码，要是验证通过，则开始升级，之后每获取一个片段，则从中取得第一校验码并对片段的内容计算得到一个第一校验码，两者一致，则说明没有被篡改，否则需要通知技术人员重新升级。

继续以风管机为例，当程序文件升级时，风管机收到升级该类型内机程序升级指令时，先不擦除程序空间，待接收到完整的第1KB片段时，按照编译时的规则，解析处所收片段中包含的识别码、x+1个校验码（第一校验码和第二校验码）。当识别码符合要求，第二校验码以及第一个片段对应的第一校验码一致时，允许进行程序升级，可以擦除设备的程序空间；升级过程中，每4KB片段会进行一次校验，以确定数据文件是否正确。如果连续多次校验不通过，则该程序文件则有被篡改过的风险，需要进入异常处理状态，异常处理的通常方案是除保留bootloader部分程序外，擦除已经编程过的程序空间，进入待升级状态，以进入再次升级。当然，如果一次校验不通过，有可能是数据传输错误，技术人员也可以重新进行升级来解决校验失败的问题。

通过以上方案，可以避免程序文件被篡改，同时不需要大容量空间将整个程序文件缓存或者存储起来，对于来源不明的程序文件，由于其不知道应用程序第1KB数据中包含的以上三种信息的规则，无法进行有效的伪造，不会进入正式程序升级；对于同一个网络其他类型的内机程序，由于程序名称彼此不同且唯一，不会误烧录其他类型内机程序。因此通过以上的方案，可以在资源稀缺类嵌入式设备程序升级时，确保程序文件不会被篡改，不会出现烧录与机型不匹配的程序。

当资源稀缺类嵌入式设备实现程序升级时，无法对程序文件进行全部缓冲进行校验，没有多余空间存储升级程序文件，此时程序升级需要将程序文件分段接收及编程。本发明可以在此种情况下，确保待升级设备可以正确识别升级程序文件，确保不会升级被篡改的、来源不明的以及其他错误的程序文件，保障程序升级的正常进行，实现程序升级功能。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种程序文件的生成方法，其特征在于，包括步骤：

步骤1，将用于识别程序文件的识别码编译在所述程序文件地址的第一固定位置；

步骤2，将程序文件划分为多个片段，并生成用于验证每个片段的第一校验码，将所述第一校验码编译在所述程序文件地址的第二固定位置；

步骤3，编译生成完整的程序文件。

2.如权利要求1所述的生成方法，其特征在于，所述第一固定位置和所述第二固定位置为所述程序文件的第一个片段中的地址。

3.如权利要求2所述的生成方法，其特征在于，当所有片段的第一校验码被编译在所述第一个片段中的第二固定位置时，在所述步骤3之前，再生成一个对第一片段的当前内容进行校验的第二校验码并编译在该片段中的第三固定位置。

4.如权利要求1所述的生成方法，其特征在于，所述第一固定位置为所述程序文件的第一个片段中的地址；所述第二固定位置为每个第一校验码对应的所述片段中的地址。

5.如权利要求1所述的生成方法，其特征在于，所述第一校验码包含的信息包括片段内容的验证信息和片段的地址偏移信息。

6.如权利要求3所述的生成方法，其特征在于，所述第二校验码为循环冗余校验码。

7.如权利要求1所述的生成方法，其特征在于，所述程序文件的识别码包含的信息包括标识待升级设备名称、型号以及程序版本号的字符或字符串。

8.如权利要求1所述的生成方法，其特征在于，所述片段的大小小于10KB。

9.一种设备的升级方法，其特征在于，采用了如权利要求1至8任意一项所述的生成方法获得待升级的程序文件；

升级时，依次接收所述程序文件的片段；

对当前接收的片段进行解析，获取所述识别码和第一校验码并进行依次验证，验证通过，则擦除旧程序开始升级。

10.如权利要求9所述的升级方法，其特征在于，若当前接收的片段中具有第二校验码时，对所述识别码、当前接收的片段对应的第一校验码和第二校验码进行验证，均验证通过时，才擦除旧程序开始升级。

11.如权利要求10所述的升级方法，其特征在于，若当前接收的片段仅有第一校验码时，获取所述片段对应的第一校验码进行验证，验证通过则继续升级。

12.如权利要求10所述的升级方法，其特征在于，若当前接收的片段没有第一校验码时，将之前获取到的该片段对应的第一校验码对其进行验证，验证通过则继续升级。

Images