CN111480314A

CN111480314A - 安全的车辆控制单元更新

Info

Publication number: CN111480314A
Application number: CN201880081036.3A
Authority: CN
Inventors: A·特罗亚
Original assignee: Micron Technology Inc
Current assignee: Micron Technology Inc
Priority date: 2017-12-19
Filing date: 2018-12-12
Publication date: 2020-07-31
Also published as: US11178133B2; WO2019125850A1; US20220070159A1; US20190187291A1

Abstract

本公开包含与安全车辆控制单元更新相关的设备和方法。实例设备包括耦合到存储器资源的处理资源。所述存储器资源可被配置成存储与车辆相关联的私用密钥并存储对应于对所述车辆的控制单元的更新的数据。所述处理资源可被配置成将与所述车辆相关联的所述私用密钥与存储于所述存储器资源中的包含于对应于对所述控制单元的所述更新的所述数据中的私用密钥进行比较并响应于与所述车辆相关联的所述私用密钥与包含于所述数据中的所述私用密钥匹配而允许传输对所述车辆的所述控制单元的所述更新。

Description

安全的车辆控制单元更新

技术领域

本公开大体上涉及半导体存储器和方法，并且更具体地说，涉及与安全车辆控制单元更新相关的设备和方法。

背景技术

在常规机动车(例如，汽车、轿车、卡车、公共汽车等)中，驾驶者是操作车辆的控制系统的关键。举例来说，常规机动车的驾驶者做出关于车辆的安全操作的决策。这类决策可包含关于车辆速度、车辆转向、障碍物和/或危险辨识，和障碍物和/或危险避让的决策。然而，在一些情况下，驾驶者做出这些决策和操作车辆的控制系统的能力可为有限的。举例来说，驾驶者损伤、疲劳、注意力和/或例如能见度(例如，归因于天气或地形改变)的其它因素可限制驾驶者安全操作常规机动车和/或其控制系统的能力。并且，可更新为车辆的控制系统(例如，控制单元)的固件和软件。所述更新可与改进车辆的性能相关联。

为了减少由常规机动车的驾驶者操作引起的缺陷，各个制造商已对自主车辆进行实验。尽管自主车辆可允许减少可由于驾驶者操作常规机动车的能力减弱引起的问题，但自主车辆自身具有缺点。

举例来说，包含自主车辆的车辆可依赖于各种控制组件(例如，控制电路)、传感器和/或相机来确定操作车辆的速度、车辆转向、障碍物和/或危险辨识，以及障碍物和/或危险避让。这类控制组件、传感器和/或相机可发生故障和/或可向负责提供对自主车辆的更新的主机计算装置要求用以安全操作车辆的额外信息(例如，更新)。如果控制组件、传感器和/或相机发生故障或不能接收到继续操作车辆的足够或经恰当配置的信息，那么车辆可中止操作或在更糟情况下，无法提供足够的障碍物和/或危险辨识与障碍物和/或危险避让，这可造成车辆中的乘客受伤或死亡。

附图说明

图1为根据本公开的数个实施例的呈防火墙形式的设备和呈控制单元形式的设备的框图。

图2为根据本公开的数个实施例的包含主机计算装置、远程计算装置、防火墙和控制单元的系统的框图。

图3为根据本公开的数个实施例的包含防火墙和控制单元的车辆的框图。

图4为根据本公开的数个实施例的流程图。

具体实施方式

本公开包含与安全车辆控制单元更新相关的设备和方法。实例设备包括耦合到存储器资源的处理资源。所述存储器资源可被配置成存储与车辆相关联的私用密钥并存储对应于对所述车辆的控制单元的更新的数据。所述处理资源可被配置成将与所述车辆相关联的所述私用密钥与存储于所述存储器资源中的包含于对应于对所述控制单元的所述更新的所述数据中的私用密钥进行比较并响应于与所述车辆相关联的所述私用密钥与包含于所述数据中的所述私用密钥匹配而允许传输对所述车辆的所述控制单元的所述更新。举例来说，存储于存储器资源中的包含于对应于对控制单元的更新的所述数据中的私用密钥可包含于安全消息中，所述安全消息具有使用消息认证通信(MAC)生成的消息签名。与所述车辆相关联的私用密钥可存储于设备的存储器资源中且包含于由处理资源生成的签名中以用于与存储于存储器资源中的包含于对应于对控制单元的更新的所述数据中的私用密钥进行比较。

在一些实施例中，安全消息可包含一或多个认证协议，其可包含一或多个防重放机制。防重放机制可包含指示安全消息的“新鲜度”(例如，指示消息在特定时间段处或特定时间段内生成)的信息和/或额外字段可包含降低例如中间人攻击风险的一或多个防重放协议。防重放机制的非限制性实例可包含可生成且被包含为防重放机制的部分的时戳(例如，安全时戳)、可为经生成以供一次性使用且被包含为防重放协议的部分的随机或伪随机值的密码临时数，和/或可被包含为防重放机制的部分的计数值。在一些实施例中，计数值可为与计数器相关联的数值，其基于例如启动车辆、将车辆部件安装于车辆中等各种准则单调递增。

车辆在生产期间可在车辆制造商的控制下。车辆制造商可在生产期间或直接在生产之后但在车辆送达最终用户之前提供车辆的初始配置和/或车辆组件。然而，在车辆不再处于制造商的控制下之后(例如，一旦车辆已经装运、购买等)，制造商对车辆的配置可不再具有任何控制。

对车辆的控制单元的更新可经由车载诊断(ODB)II端口从主机计算装置(例如，维修车间处的计算机)传送到车辆。因为制造商在车辆离开其控制后无法再控制车辆，所以最终用户(例如，车辆的购买者)和/或车辆服务中心(例如，机械师)有可能多车辆的控制单元安装未恰当配置且可造成车辆的危害性操作的更新。这在车辆的多个功能可经由控制电路(例如，硬件)和/或人工智能组件控制的自主车辆部署中可进一步加剧，因为对车辆的控制单元的更新可能未恰当地配置，这可造成车辆的故障，并且在极端情况下造成车辆操作者受伤或死亡。如本文中所使用，“自主车辆”是例如轿车、卡车、公共汽车、摩托车、轻型机踏车、全地形车辆、军用车辆、罐车等车辆，其中做决策和/或车辆控制操作的至少一部分受计算机硬件和/或软件控制，而非受人类操作者控制。

在一些方法中，自主车辆可包含一或多个人工智能组件。这些组件可被配置成感知周围环境并采取措施使成功完成特定目标的可能性最大化。在自主车辆中，特定目标可为安全地操作自主车辆。举例来说，所述目标可为以安全速度操作自主车辆、安全地控制自主车辆的转向，和/或提供障碍物和/或危险辨识和/或障碍物和/或危险避让。

在一些方法中，车辆中控制单元的控制电路可用以更新与一或多个车辆部件和/或控制电路相关联的固件和/或控制单元参数。举例来说，在一些方法中，车辆的控制电路可被配置成在控制电路和与车辆的特定功能相关联的控制模块之间转移信息，例如配置和/或配置概要信息。然而，在一些方法中，车辆的控制单元可接收可通过促使车辆以不安全方式操作或操作以使得车辆组件受损而使车辆受损，甚至到车辆变得不可操作的程度的更新。如本文中所使用，“配置概要”为管理控制电路、主机计算装置、车辆部件等的功能性的指令或语义集。在一些实施例中，配置概要可例如为固件。

举例来说，因为车辆中控制系统的操作可完全或部分由控制电路处置，所以车辆可易受来自第三方对控制单元的破坏性更新的影响。在一些方法中，举例来说，对车辆的控制电路的更新(例如，固件更新、控制单元参数更新、车辆对象辨识更新等)可易受中间人攻击影响，在中间人攻击中，恶意参与者秘密地重放、更改通信，和/或在车辆与负责提供对车辆的控制单元的更新的主机计算装置之间发送破坏性更新。这可导致不安全情境，在其中恶意实体可获取对车辆的全部或一部分操作的控制。

相比之下，本文中所公开的实施例可以允许车辆与主机计算装置之间控制单元更新的安全递送和实施。对应于所述更新的数据可提供对车辆控制单元和/或车辆部件的固件的更新、车辆部件配置数据、用于操作自主车辆的神经网络的训练数据集、控制单元参数更新、通过自主车辆收集的数据(例如对应于对于自主车辆不可辨识的对象的数据)等。

本文中的图式遵循编号定则，其中第一一或多个数字对应于图号，且剩余的数字标识图式中的元件或组件。可通过使用类似数字来标识不同图式之间的类似元件或组件。举例来说，101可表示图1中的元件“02”，且类似元件可在图2中表示为202。如应了解，可添加、交换和/或排除本文中的各种实施例中展示的元件，从而提供本公开的数个额外实施例。另外，如应了解，图式中提供的元件的比例和相对标度意图说明本发明的某些实施例，且不应以限制性意义理解。

图1为根据本公开的数个实施例的呈防火墙102和控制单元101形式的设备100的框图。如本文中所使用，防火墙102、控制单元101、处理资源105、存储器资源107、控制器109，和/或神经网络110也可单独地被视为“设备”。

如图1所示，设备100包含防火墙102，其包含处理资源104、存储器资源106，和控制器108。处理资源104可为中央处理单元(CPU)、基于半导体的微处理器、基于集成电路的微处理器、向量处理器，和/或适合于检索和执行存储于存储器资源106中的指令的一或多个其它硬件装置。防火墙102可耦合到车辆的车载诊断(OBD)II端口并接收与控制单元101相关联的命令、请求，和或数据。

存储器资源106可包含被配置成存储可由处理资源104执行的指令的易失性和/或非易失性存储器。举例来说，存储器资源106可包含快闪存储器、只读存储器(ROM)、可编程只读存储器(PROM)、可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)、动态随机存取存储器(DRAM)、静态随机存取存储器(SRAM)，和/或其它合适的存储介质。

存储器资源106可被配置成存储对应于对控制单元102的更新的数据和/或与车辆相关联的私用密钥111。私用密钥111可至少部分地基于与车辆相关联的车辆识别号(VIN)。私用密钥可至少部分地基于VIN，但可并不具有与VIN一样的任何信息(例如，数目和/或数字)。一般来说，所制造的每个车辆均具有在制造车辆时指配给其的独特VIN。所述VIN尤其可用于标识车辆。

如上文所论述，私用密钥111可至少部分地基于VIN。举例来说，私用密钥111可经生成使得其与VIN相关联以促进特定车辆的识别。类似于VIN，私用密钥对于指配有所述私用密钥的车辆可为唯一的。在一些实施例中，私用密钥111可在制造车辆时存储于存储器资源106中。实施例不受如此限制；然而，私用密钥可存储于耦合到防火墙102的存储器装置中。

私用密钥111可经读取；然而，私用密钥111可能未经修改。因此，可保留私用密钥111的完整性。在一些实施例中，私用密钥111可能并不从车辆转移(例如，私用密钥111可能并不跨越提供信号路径的总线从控制单元转移到车辆和/或主机计算装置中的其它电路)。

在一些实施例中，私用密钥111可用于确保未经授权的对车辆的控制单元作出的改变未经允许。举例来说，处理资源105可将存储于存储器资源107中的私用密钥111与包含于与对车辆的控制单元的更新相关联的数据中的私用密钥进行比较以便防止使用未经授权的车辆改装，例如售后调整。如果存储于存储器资源107中的私用密钥111与包含于与对车辆的控制单元的更新相关联的数据中的私用密钥匹配，那么所述更新被从防火墙101发送到控制单元102且由控制单元102执行。如果存储于存储器资源107中的私用密钥111并不与包含于与对车辆的控制单元的更新相关联的数据中的私用密钥匹配，那么所述更新并不从防火墙101发送到控制单元102且所述更新并不由控制单元102执行。

控制器108可被配置成控制防火墙102的操作。在一些实施例中，控制器108可将用于控制防火墙102和控制单元101的操作的所接收信号解码到防火墙102。控制器108可为状态机、定序器，或某一其它类型的控制器，且可包含呈专用集成电路(ASIC)、现场可编程门阵列等形式的硬件和/或固件(例如，微码指令)。在一些实施例中，控制器108可控制在控制单元101、防火墙102和主机计算装置(例如，图2中所说明的主机计算装置203)之间传输的安全消息的生成和解码。

如图1所示，设备100包含控制单元101(例如，车辆电子控制单元)，其包含处理资源104、存储器资源107，和控制器109。处理资源可为中央处理单元(CPU)、基于半导体的微处理器、基于集成电路的微处理器、向量处理器，和/或适合于检索和执行存储于存储器资源107中的指令的一或多个其它硬件装置。

存储器资源107可包含被配置成存储可由处理资源104执行的指令的易失性和/或非易失性存储器。举例来说，存储器资源107可包含快闪存储器、只读存储器(ROM)、可编程只读存储器(PROM)、可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)、动态随机存取存储器(DRAM)、静态随机存取存储器(SRAM)，和/或其它合适的存储介质。

控制单元201可对应于车辆所利用的各种电子控制单元。举例来说，控制单元201可包含引擎控制组件、车辆控制组件、动力系统控制组件、电子制动控制组件、主体控制组件，和/或其组合。这些组件可负责执行和/或协调执行各种车辆任务，例如操作车辆、使车辆转向、控制车辆的制动等。

引擎控制组件可包含配置成控制车辆的引擎的致动器的硬件和/或指令。举例来说，引擎控制组件可控制车辆的点火时序、空气燃料比等。车辆控制组件可包含被配置成控制引擎和/或车辆执行的硬件和/或软件。

动力系统控制组件可包含控制车辆的动力系统的硬件和/或软件。电子制动控制组件可包含控制和/或读取对应于车辆的制动系统的数据的硬件和/或软件，且主体控制组件可包含被配置成控制车辆的主体特征，例如电动窗、电动座椅等的硬件和/或软件。

存储器资源107可存储与车辆相关联的私用密钥111。私用密钥111可至少部分地基于与车辆相关联的车辆识别号(VIN)。一般来说，所制造的每个车辆均具有在制造车辆时指配给其的独特VIN。所述VIN尤其可用于标识车辆。

如上文所论述，私用密钥111可至少部分地基于VIN。举例来说，私用密钥111可经生成使得其与VIN相关联以促进特定车辆的识别。类似于VIN，私用密钥对于指配有所述私用密钥的车辆可为唯一的。在一些实施例中，私用密钥111可在制造车辆时存储于存储器资源107中。实施例不受如此限制；然而，私用密钥可存储于耦合到控制单元101的存储器装置中。

控制器109可被配置成控制控制单元101的操作。在一些实施例中，控制器109可将用于控制控制单元101的操作的所接收信号解码到控制单元101。控制器109可为状态机、定序器，或某一其它类型的控制器，且可包含呈专用集成电路(ASIC)、现场可编程门阵列等形式的硬件和/或固件(例如，微码指令)。在一些实施例中，控制器109可控制在控制单元101与主机计算装置(例如，图2中所说明的主机计算装置203)之间传输的安全消息的生成和解码。

图2为根据本公开的数个实施例的包含主机计算装置203、远程计算装置213、防火墙202，和控制单元201的系统的框图。如图2中所示，控制单元201、防火墙202和主机计算装置203可被配置成经由通信路径215和217交换通信。在一些实施例中，通信路径215可用以经由防火墙202将通信从控制单元201转移到主机计算装置203，且通信路径217可用以经由防火墙202将通信从主机计算装置203转移到控制单元201。通信路径215和/或217可表示以下路径：经由所述路径，可转移控制单元201、防火墙202和主机计算装置203之间的有线和/或无线通信。

为了促进控制单元201与主机计算装置203之间的通信，可使用各种通信协议。举例来说，各种车载诊断协议(例如，OBD-II协议)，例如SAE J1850 PWM或SAE J1850 VPM可用于促进控制单元201与主机计算装置203之间的通信。实例不受如此限制；然而，控制单元201与主机计算装置203之间的通信协议可包含例如ISO 9141-2、ISO 14230 KPW2000、ISO15765 CAN、以太网、局域网、FlexRay等协议。主机计算装置203可包含端口216(例如，OBDII端口)且防火墙202可包含端口218(例如，OBD II端口)，其中主机计算装置203和防火墙202可在通信路径215和/或217上在端口216与218之间发送通信。

在一些实施例中，系统可包含网关219。如本文中所使用，网关219可为被配置成介接在装置之间且使用不同协议的网络网关。举例来说，由控制单元201和防火墙202使用的协议可不同于由主机计算装置203使用的协议，且网关219可被配置成促进控制单元201、防火墙202和主机计算装置203之间的通信。在一些实施例中，网关219包含被配置成在由控制单元201、防火墙202和主机计算装置203使用的协议之间转换的硬件。举例来说，网关219可使用协议(例如，MAC协议)计算基于私用密钥的安全消息签名。

网关219可被配置为因特网网关、云网关、物联网网关、服务器或用于促进控制单元201、防火墙202和主机计算装置203之间的通信的其它合适的网关。在一些实施例中，网关可安置于车辆中，或网关可安置于主机计算装置203中或附近(例如，网关可远离车辆)。

主机计算装置203和远程计算装置213可包含被配置成执行特定任务的硬件(例如，物理计算装置、服务器等)，和/或主机计算装置203和远程计算装置213可部署为软件界定数据中心的部分(例如，作为虚拟化计算装置)。在一些实施例中，主机计算装置203和远程计算装置213可位于彼此不同且与控制单元201和防火墙202不同的地球物理位置中，所述控制单元和防火墙在本文中可如结合图3更详细描述安置于车辆中。远程计算装置213可由自主车辆的制造商维护且主机计算装置203可由车辆服务提供商(例如，机械车间)维护。举例来说，远程计算装置213可在车辆的制造商和/或车辆部件的制造商的控制下且主机计算装置203可在与车辆制造商相关联的经认证的服务提供商的控制下。主机计算装置203可耦合到远程计算装置213，具有有线和/或无线网络的部分，包含网关，例如网关219。

在一些实施例中，主机计算装置203可经由端口216、通信路径217和端口218将更新控制单元201的请求发送到防火墙202。防火墙202可将所述请求辨识为将数据写入到控制单元201并且作为响应，经由端口218、通信路径215和端口216将车辆的车辆识别号(VIN)发送到主机计算装置203的请求。主机计算装置203可将VIN以及对于与对控制单元201的更新相关联的数据的请求发送到远程计算装置213。远程计算装置213可将对应于所述更新的数据以及与VIN相关联的私用密钥发送回到主机计算装置203。主机计算装置203可将对应于所述更新的数据发送到防火墙202。防火墙202可将对应于所述更新的数据存储到防火墙202上的存储器资源。防火墙可将包含于对应于对控制单元的所述更新的数据中的私用密钥与存储于防火墙中的私用密钥进行比较。如果包含于对应于对控制单元的更新的数据中的私用密钥与存储于防火墙中的私用密钥匹配，那么所述更新由防火墙授权且对应于所述更新的数据被发送到控制单元。

在一些实施例中，包含私用密钥的对应于对控制单元的更新的数据可作为安全消息发送。所述安全消息可由防火墙202解密。

在一些实施例中，主机计算装置203可经由端口216、通信路径217和端口218将从控制单元201获得数据的请求发送到防火墙202。防火墙202可将所述请求辨识为从控制单元201读取数据的请求。防火墙202可将所述请求发送到控制单元201以作为响应且控制单元201可将所请求的数据发送到主机计算装置203。可发送所请求的数据而无需防火墙基于匹配私用密钥授权所述请求。

存储于防火墙202的存储器资源中的私用密钥可包含于由防火墙202的处理资源生成的安全密钥中。安全密钥可包含签名，其包含存储于防火墙202的存储器资源中的私用密钥。

主机处理装置203、远程处理装置、防火墙202和控制单元201可经由安全消息通信。举例来说，对控制单元的更新可包含于从远程计算装置213发送到主机计算装置203的安全消息和从主机计算装置203发送到防火墙202的安全消息中。所述安全消息可包含页头。所述页头可包含置于安全消息开头处的补充数据。所述页头可包含例如为递送安全消息而提供的控制信息。

安全消息可包含类型识别。类型识别可包含与特定控制单元、对控制单元的更新、控制组件、主机计算装置等相关联的分类信息。举例来说，类型识别可包含对应于控制单元的制造商、型号和/或模型，对控制单元的更新，控制组件，主机计算装置等的信息。

安全消息可包含与车辆相关联的车辆识别号(VIN)。所述VIN可用于标识与安全消息相关联的特定车辆。在一些实施例中，所述VIN可与类型识别级联(例如，在类型识别上)。

安全消息可进一步包含序号。所述序号可为特定控制单元、对控制单元的更新、控制组件、主机计算装置等的序号。在一些实施例中，所述序号可提供关于特定控制单元、对控制单元的更新、控制组件、主机计算装置等的特定识别信息。所述序号可与VIN和/或类型识别级联(例如，在VIN和/或类型识别上)。

所述安全消息可进一步包含私用密钥。所述私用密钥可生成并包含于签名中，使得私用密钥与VIN相关联以促进特定车辆的识别。类似于VIN，私用密钥对于指配有所述私用密钥的车辆可为唯一的。所述私用密钥可与序号、VIN和/或类型识别级联(例如，紧接序号、VIN和/或类型识别)。

所述安全消息可进一步包含计数器值。所述计数器值可对应于由计数器生成的值，如上文所描述。在一些实施例中，计数器可为单调计数器。所述计数器可响应于车辆、对控制单元的更新、主机计算装置、一或多个控制单元、一或多个控制组件或其组合的动力循环而递增。计数器值可与私用密钥、序号、VIN和/或类型识别级联(例如，紧接私用密钥、序号、VIN和/或类型识别)。

所述安全消息可进一步包含酬载。所述酬载536可包含在主机计算装置、车辆部件、控制组件，和/或一或多个控制单元之间交换的消息。举例来说，所述酬载可包含对车辆的控制单元的更新的数据。

在一些实施例中，安全通信可进一步包含认证协议。在一些实施例中，所述认证协议可包含防重放认证协议。可提供所述认证协议以降低中间人或其它恶意数据包注入攻击的风险。在一些实施例中，认证协议每次在主机计算装置生成安全消息时可唯一地生成。

在一些实施例中，认证协议可包含额外字段。举例来说，认证协议可包含指示何时生成或传输安全消息的时戳。在一些实施例中，认证协议可包含随机值(例如，密码临时数)。在一些实施例中，认证协议可包含在生成每个安全消息时递增(例如，单调递增)的计数值。

在一些实施例中，安全消息可进一步包含消息认证码(MAC)。所述MAC可由主机计算装置、远程计算装置、车辆、车辆部件、一或多个控制单元、一或多个控制组件和/或主机计算装置等根据车辆生成，可包含用以认证安全消息和/或降低中间人攻击风险并保证系统免受防重放攻击的信息。在一些实施例中，所述MAC基于秘密密钥，其可为基于散列的消息认证码(HMAC)。在一些实施例中，所述MAC可基于私用密钥且可包括HMAC。所述MAC可由主机计算装置、远程计算装置和/或控制单元生成。在一些实施例中，所述MAC可基于私用密钥生成。

安全消息可进一步包含页脚。在一些实施例中，所述页脚可包含关于处置安全消息的信息，和/或所述页脚可包含表示安全消息的结尾的信息。在一些实施例中，所述页脚可包含关于安全消息的目的地的信息。

图3为根据本公开的数个实施例的呈车辆360形式的系统的图式。如图3中所示，车辆360可包含控制单元301和防火墙302。如图3中所示，防火墙302包含处理资源304、存储器资源306，和控制器308。

防火墙302被配置成经由通信路径322与控制单元301通信。通信路径322可用于将通信从控制单元301传输到防火墙302以及从防火墙302传输到控制单元301。

防火墙可包含处理资源304和存储器资源306。存储器资源306可存储与车辆360相关联的私用密钥以及从主机计算装置发送到防火墙的对应于对控制单元的更新的数据。处理资源304可将包含于对应于对控制单元的更新的数据中的私用密钥与存储于存储器资源306中的私用密钥进行比较。如果包含于对应于对控制单元的更新的数据中的私用密钥与存储于存储器资源306中的私用密钥匹配，那么控制器308授权所述更新并经由通信支付322将对应于所述更新的数据发送到控制单元301。

图4为根据本公开的数个实施例的流程图450。在一些实施例中，流程图450可表示方法的执行。在框451处，存储与车辆相关联的私用密钥。在一些实施例中，车辆上的防火墙可存储私用密钥并使用所述私用密钥来授权对车辆的控制单元的更新。

在框452处，所述方法可包含存储对应于对车辆的控制单元的更新的数据。在一些实施例中，防火墙可接收更新车辆的控制单元的请求。防火墙可将对应于更新的数据存储于防火墙上的存储器资源中，同时防火墙确定是否授权对车辆的控制单元的更新。

在框453处，所述方法可包含将与车辆相关联的私用密钥与包含于与存储于存储器资源中的数据相关联的数据中的私用密钥进行比较。与更新相关联的数据可包含私用密钥。包含于与更新相关联的数据中的此私用密钥可与存储于防火墙上的存储器资源中的私用密钥进行比较。

在框454处，所述方法可包含响应于与所述车辆相关联的所述私用密钥与包含于所述数据中的所述私用密钥匹配而允许传输对所述车辆的所述控制单元的所述更新。在一些实施例中，当包含于与更新相关联的数据中的私用密钥与存储于防火墙上的存储器资源中的私用密钥匹配时，所述更新可由防火墙授权且与更新相关联的数据可发送到控制单元并由控制单元执行。

尽管已在本文中说明并描述了特定实施例，但所属领域的一般技术人员应了解，经计算以实现相同结果的布置可取代所展示的特定实施例。本公开意图涵盖本公开的一或多个实施例的改编或变化。应理解，以上描述是以说明性方式进行的，而不是限制性的。在查阅以上描述后，以上实施例和本文未特定描述的其它实施例的组合对于所属领域的技术人员来说将显而易见。本公开的一或多个实施例的范围包含使用以上结构和方法的其它应用。因此，本公开的一或多个实施例的范围应参考所附权利要求书以及此类权利要求被赋予的等同物的完整范围而确定。

在前述具体实施方式中，出于简化本公开的目的而将一些特征一并归到单个实施例中。本公开的这一方法不应被理解为反映本公开的所公开实施例必须比在每项权利要求中明确叙述那样使用更多特征的意图。相反，如所附权利要求书所反映，本发明主题在于单个所公开实施例的不到全部的特征。因此，所附权利要求书特此并入于具体实施方式中，其中每项权利要求就其自身来说作为单独实施例。

Claims

1.一种设备，其包括：

存储器资源，其被配置成：

存储与车辆相关联的私用密钥；和

存储对应于对所述车辆的控制单元的更新的数据；和

处理资源，其耦合到所述存储器资源，其中所述处理资源被配置成：

将与所述车辆相关联的所述私用密钥与存储于所述存储器资源中的包含于对应于对所述控制单元的所述更新的所述数据中的私用密钥进行比较；和

响应于与所述车辆相关联的所述私用密钥与包含于所述数据中的所述私用密钥匹配而允许传输对所述车辆的所述控制单元的所述更新。

2.根据权利要求1所述的设备，其中所述私用密钥是基于指配给所述车辆的车辆识别号而生成的。

3.根据权利要求1所述的设备，其中所述存储器资源被配置成经由车载诊断ODB II接口接收对应于对所述车辆的控制单元的所述更新的所述数据。

4.根据权利要求1所述的设备，其中所述更新为对所述车辆的所述控制单元的固件更新和控制单元参数更新。

5.根据权利要求1至4中任一权利要求所述的设备，其中所述设备包含控制器，所述控制器被配置成响应于与所述车辆相关联的所述私用密钥与包含于所述数据中的所述私用密钥匹配而发送对应于对所述车辆的所述控制单元的所述更新的所述数据。

6.根据权利要求1至4中任一权利要求所述的设备，其中所述设备包含控制器且响应于所述控制器接收到包含对所述车辆的所述控制单元的所述更新的请求而将所述数据存储于所述存储器资源中。

7.根据权利要求1所述的设备，其中包含于所述数据中的所述私用密钥经由安全消息接收。

8.一种设备，其包括：

主机计算装置，其包含处理资源和存储器资源，其中所述主机计算装置被配置成：

将车辆识别号VIN发送到远程计算装置；

从所述远程计算装置接收对应于对与所述VIN相关联的车辆的控制单元的更新的数据，其中所述数据包含与所述车辆相关联的私用密钥；以及

将对应于对所述车辆的所述控制单元的所述更新的所述数据传输到所述车辆。

9.根据权利要求8所述的设备，其中所述主机计算装置被配置成将更新所述车辆的所述控制单元的请求发送到所述车辆。

10.根据权利要求8所述的设备，其中所述主机计算装置被配置成将从所述车辆的所述控制单元读取数据的请求发送到所述车辆，且其中所述请求不包含与所述车辆相关联的所述私用密钥。

11.根据权利要求10所述的设备，其中所述车辆将与所述请求相关联的数据发送到所述计算装置而无需验证与所述车辆相关联的所述私用密钥与包含于所述请求中的私用密钥匹配。

12.一种系统，其包括：

车辆，其包含防火墙和控制单元；

主机计算装置，其包含存储器资源、处理资源，和控制器；以及

远程计算装置，其包含存储器资源、处理资源，和控制器，

其中所述主机计算装置被配置成响应于将更新所述控制单元的请求发送到所述车辆而从所述车辆接收车辆识别号VIN，

其中所述主机计算装置将对于对应于所述更新的数据的请求发送到所述远程计算装置并从所述远程计算装置接收包含私用密钥的对应于所述更新的所述数据，且

其中所述主机计算装置将对应于所述更新的所述数据发送到所述车辆且所述车辆的所述防火墙将包含于对应于所述更新的所述数据中的所述私用密钥与存储于所述防火墙中的私用密钥进行比较。

13.根据权利要求12所述的系统，其中所述车辆的所述防火墙被配置成将对应于所述更新的所述数据写入到所述防火墙中的存储器资源。

14.根据权利要求12所述的系统，其中所述车辆的所述防火墙被配置成响应于包含于对应于所述更新的所述数据中的所述私用密钥与存储于所述防火墙中的所述私用密钥匹配而发送对应于对车辆的所述控制单元的所述更新的所述数据。

15.根据权利要求12至14中任一权利要求所述的系统，其中所述远程计算装置存储与所述车辆的所述VIN相关联的所述私用密钥且至少部分地基于对于包含所述车辆的所述VIN的与所述更新相关联的数据的所述请求包含对应于所述更新的所述数据中的所述私用密钥。

16.一种方法，其包括：

将对于对应于对车辆的控制单元的更新的数据的请求从主机计算装置发送到远程计算装置；

在所述主机计算装置处从所述远程计算装置接收对应于对所述控制单元的所述更新的数据，其中对应于对所述控制单元的所述更新的所述数据包含与所述车辆相关联的私用密钥；

将对应于所述更新的所述数据从所述主机计算装置发送到所述车辆；

在所述车辆上的防火墙处将与所述车辆相关联的所述私用密钥与存储于所述防火墙上的私用密钥进行比较；以及

响应于与所述车辆相关联的所述私用密钥与存储于所述防火墙上的所述私用密钥匹配而授权对所述控制单元的所述更新。

17.根据权利要求16所述的方法，其进一步包含响应于与所述车辆相关联的所述私用密钥与存储于所述防火墙上的所述私用密钥匹配而将对应于对所述车辆的所述控制单元的所述更新的所述数据发送到所述车辆。

18.根据权利要求16所述的方法，其进一步包含将对应于所述更新的所述数据存储于所述防火墙上的存储器资源中。

19.根据权利要求16至18中任一权利要求所述的方法，其进一步包含在对于对应于所述更新的数据的所述请求下发送与所述车辆相关联的车辆识别号VIN。

20.根据权利要求16所述的方法，其进一步包含响应于与所述车辆相关联的所述私用密钥不与存储于所述防火墙上的所述私用密钥匹配而取消对所述控制单元的所述更新。