CN112287348B - 一种车载模块的自刷新方法和系统 - Google Patents

Abstract

本发明涉及车载模块的自刷新方法和系统。车载模块的自刷新方法包括下列操作：将刷新对象的第一存储区划分成第一子存储区和第二子存储区，以用于分别存储被标识为原始激活版本和原始备份版本的所述刷新对象的两个复制；利用安全校验机制来校验接收的更新数据包；通过原始激活版本利用通过校验的更新数据包来刷新原始备份版本；以及将刷新的原始备份版本标识为所产生激活版本。

Description

一种车载模块的自刷新方法和系统

技术领域

本发明涉及车载模块更新领域。具体而言，本发明涉及一种车载模块的自刷新方法和系统。

背景技术

随着车联网以及智能汽车的发展，车载系统日益复杂，系统中的软件更新问题也正引起人们的关注。越来越多的车辆逐步将车载系统的电子控制单元（ElectronicControl Unit，ECU）、微控制器单元（MicroController Unit，MCU）的软件刷新过程拓展到了互联网。在通过网络进行软件刷新的过程中，待刷新软件的上位机系统通过互联网下载期望的更新软件版本并利用其刷新软件。在一些车辆中，还通过空中下载（Over The Air，OTA）技术利用无线网络进行软件刷新，使得用户通过在车载屏幕或手机上操作即可实现相关车载系统的更新和升级。

然而，除了（从节点处的）待刷新的软件之外，用于刷新各个软件的上位机系统（例如，处于刷新主节点的车载信息娱乐系统模块）自身也需要被刷新。如果不能保证该刷新过程中的安全性和稳定性以及主节点处的模块软件数据完整性，将在很大程度上影响车辆系统的正常工作。

另外，由于是通过OTA技术基于以太网数据传输获得更新数据包，所传输文件有受到恶意攻击的风险，如果被篡改过的数据包被更新到车载系统或模块中，容易对车辆安全造成威胁。

发明内容

因此，需要一种能够保证特别是刷新主节点的刷新期间的安全性和稳定性的车载模块的自刷新方法和系统。

为实现以上目的的一个或多个，本发明提供以下技术方案。

按照本发明的第一方面，提供一种车载模块的自刷新方法，其特征在于，包括下列操作：将刷新对象的第一存储区划分成第一子存储区和第二子存储区，以用于分别存储被标识为原始激活版本和原始备份版本的刷新对象的两个复制；利用安全校验机制来校验接收的更新数据包；通过原始激活版本利用通过校验的更新数据包来刷新原始备份版本；以及将刷新的原始备份版本标识为所产生激活版本。

根据本发明一实施例的车载模块的自刷新方法，其中，安全校验机制是数字签名校验机制。

根据本发明一实施例或以上任一实施例的车载模块的自刷新方法，还包括在第二存储区中存储用于标识第一子存储区和第二子存储区中的版本的版本标识信息。

根据本发明一实施例或以上任一实施例的车载模块的自刷新方法，其中，第二存储区还存储用于表示自刷新状态的自刷新状态指示符，自刷新状态包括刷新未结束、刷新成功以及刷新失败。

根据本发明一实施例或以上任一实施例的车载模块的自刷新方法，其还包括：运行所产生激活版本；以及代替原始激活版本将所产生激活版本的复制存储为所产生备份版本。

按照本发明的第二方面，提供一种车载模块的自刷新系统，其特征在于，包括：刷新对象的第一存储区，其被划分成第一子存储区和第二子存储区，以用于分别存储被标识为原始激活版本和原始备份版本的刷新对象的两个复制；其中原始激活版本在由自刷新系统运行时：利用安全校验机制来校验接收的更新数据包；利用通过校验的更新数据包来刷新原始备份版本；以及将刷新的原始备份版本标识为所产生激活版本。

根据本发明一实施例的车载模块的自刷新系统，其中，安全校验机制是数字签名校验机制。

根据本发明一实施例或以上任一实施例的车载模块的自刷新系统，其还包括第二存储区，在第二存储区中存储用于标识第一子存储区和第二子存储区中的版本的版本标识信息。

根据本发明一实施例或以上任一实施例的车载模块的自刷新系统，其中，第二存储区还存储用于表示自刷新状态的自刷新状态指示符，自刷新状态包括刷新未结束、刷新成功以及刷新失败。

根据本发明一实施例或以上任一实施例的车载模块的自刷新系统，其还配置成：运行所产生激活版本；以及代替原始激活版本将所产生激活版本的复制存储为所产生备份版本。

附图说明

本发明的上述和/或其它方面和优点将通过以下结合附图的各个方面的描述变得更加清晰和更容易理解，附图中相同或相似的单元采用相同的标号表示。附图包括：

图1为根据本发明一实施例的车载模块的自刷新方法的流程图；

图2为根据本发明一实施例的车载模块的自刷新系统的示意性框图；

图3为根据本发明一实施例的刷新某一存储区中的刷新对象的示意性流程图；以及

图4为根据本发明一实施例的使用引导装载程序根据接收的更新数据包来刷新原始备份版本的示意性流程图。

具体实施方式

在本说明书中，参照其中图示了本发明示意性实施例的附图更为全面地说明本发明。但本发明可以按不同形式来实现，而不应解读为仅限于本文给出的各实施例。给出的各实施例旨在使本文的披露全面完整，以将本发明的保护范围更为全面地传达给本领域技术人员。

诸如“包含”和“包括”之类的用语表示除了具有在说明书和权利要求书中有直接和明确表述的单元和步骤以外，本发明的技术方案也不排除具有未被直接或明确表述的其它单元和步骤的情形。诸如“第一”和“第二”之类的用语并不表示单元在时间、空间、大小等方面的顺序而仅仅是作区分各单元之用。

下文参考根据本发明实施例的方法和系统的流程图说明、框图和/或流程图来描述本发明。将理解这些流程图说明和/或框图的每个框、以及流程图说明和/或框图的组合可以由计算机程序指令来实现。可以将这些计算机程序指令提供给通用计算机、专用计算机或其它可编程数据处理设备的处理器以构成机器，以便由计算机或其它可编程数据处理设备的处理器执行的这些指令创建用于实施这些流程图和/或框和/或一个或多个流程框图中指定的功能/操作的部件。

可以将这些计算机程序指令加载到计算机或其它可编程数据处理器上以使一系列的操作步骤在计算机或其它可编程处理器上执行，以便构成计算机实现的进程，以使计算机或其它可编程数据处理器上执行的这些指令提供用于实施此流程图和/或框图的一个或多个框中指定的功能或操作的步骤。还应该注意在一些备选实现中，框中所示的功能/操作可以不按流程图所示的次序来发生。例如，依次示出的两个框S101和S102实际可以基本同时地执行或这些框有时可以按逆序执行，具体取决于所涉及的功能/操作。

现在参考图1，图1为根据本发明一实施例的车载模块的自刷新方法100的流程图。该方法尤其适合用于刷新作为OTA刷新主节点的中央网关，可以在没有上位机的情况下实现中央网关的自刷新。但是，在适用的情况下，本发明也可以用于其它模块或软件的刷新以实现其它有益的技术效果。

在步骤S101中，将刷新对象（例如，车辆的信息娱乐模块）的第一存储区划分成第一子存储区和第二子存储区，以用于分别存储被标识为原始激活版本和原始备份版本的刷新对象的两个复制。其中原始激活版本可以指刷新之前用于提供网关功能、刷新主节点功能以刷新对象的正常功能的版本。在后续的步骤中，可以通过运行原始激活版本来执行对原始备份版本的刷新，从而实现该刷新对象的自刷新。原始备份版本可以指刷新之前的与原始激活版本在数据上一致但是即将被更新的版本，并且因此原始备份版本一般不运行。在一个实施例中，第一存储区可以是闪速存储器的形式。

在步骤S102中，利用安全校验机制来校验接收的更新数据包，从而验证中央网关接收的更新数据包是否与原始发送的更新数据包一致。在一个实施例中，所述安全校验机制是数字签名校验机制。例如，在发送更新数据包时，可以利用哈希函数对更新数据包生成数据摘要，然后用自己的私人密钥对该摘要进行加密，加密后的摘要将作为数字签名和更新数据包一起发送给接收方。接收方首先用上述哈希函数计算出摘要，再用发送方的公钥对数字签名解密。如果计算出的摘要和解密出的摘要一致，则可以确认数字签名是发送方发送的。如此，可以在将更新数据包更新到系统中之前确保更新数据包的来源可靠，从而在一方面确保了后续更新过程的安全性。

在步骤S103中，通过原始激活版本来刷新原始备份版本。具体地，在刷新对象接收到刷新请求之后，作为中央网关运行的原始激活版本可以首先对车辆以及更新数据包进行验证，例如以确认完整性和安全性。这是由于在使用OTA接收更新数据的情况下，所传输文件有可能被恶意攻击。在一个实施例中，在第二存储区中可以存储有用于标识第一子存储区和第二子存储区中的版本的版本标识信息（Version information，VI）。在一个实施例中，第二存储区可以是非易失性存储区的形式。在另一个实施例中，在第二存储区中可以存储有用于表示自刷新状态的自刷新状态指示符（Self-Update Bit，SUB），所述自刷新状态包括刷新未结束、刷新成功以及刷新失败。

下面参考图3来描述步骤S103的刷新过程的一个实施方式。首先读取版本标识信息（S310），以确定原始激活版本所处的子存储区，由此获得其物理地址信息。例如，当版本标识信息为1时，表示第一子存储区（又称为子存储区A）的版本为原始激活版本（S320）；当版本标识信息为0时，表示第二子存储区（又称为子存储区B）的版本为原始激活版本（S325）。相应地，另一子存储区中的版本为原始备份版本。然后，读取自刷新状态指示符，以获取关于刷新对象的状态信息。例如，在刷新开始之前，可以将自刷新状态指示符SUB设置为1，然后开始对刷新对象的刷新（S340/S345），例如下文参考图4所描述的那样；并且在刷新成功或中途失败的情况下，将自刷新状态指示符设置为0（S350/S355）。即，在刷新的过程中，自刷新状态指示符的值为1。当读取的自刷新状态指示符为0时，可以使用引导装载程序对原始备份版本所处的子存储区的数据完整性进行判断（S360/S365），若数据完整则表示刷新成功，此时可以将VI设置为指示已刷新的子存储区（S370/S375）；反之则表示中途失败。如果判断中途失败，则停留在引导模式（S380/S385），并且在需要时继续运行原始激活版本，如此即使在刷新中途失败的情况下，也可以保持车辆模块的正常运行。如果判断刷新成功，则跳转到步骤S104。

在步骤S104中，将刷新的原始备份版本标识为所产生激活版本，从而作为下一次模块启动后运行的版本。在上述步骤完成后，如果存储原始备份版本的子存储区内的数据刷新状态指示符值为0x00，且其自刷新状态指示符为1（刷新未结束），则将自刷新状态指示符设置为0（刷新成功），并将版本标识信息设置为0（如果更新前的版本标识信息为1，反之亦然），以确保模块在重启后，能跳转到所产生激活版本开始正常工作，从而确保了中央网关功能的完整性及软件的最新状态。

在S105中，可选地运行所产生激活版本；以及代替原始激活版本将所产生激活版本的复制存储为所产生备份版本。

接下来，作为示例来具体描述上述步骤S340（S345的过程可以类似地执行）。当读取的版本标识信息为1时，参考图4来描述刷新过程（此时两个子存储区为A和B，且子存储区A存储原始激活版本，子存储区B存储原始备份版本）。可以使用引导装载程序根据接收的更新数据包来刷新原始备份版本。具体地，在一个实施例中，可以首先检查（S410）原始备份版本所处的子存储区状态，若该子存储区状态异常，则终止刷新并重置该子存储区（S425）。优选地，可以上报诊断故障代码（Diagnostic Trouble Code）给车辆主控单元进行处理。如果该子存储区状态正常，则进一步读取原始备份版本所处的子存储区的数据刷新状态指示符（Swap Indicator Flag，SIF）（S420），该指示符存储于相应的子存储区中。在一个示例中，可以根据数据刷新状态指示符进行如下操作。在一方面，如果数据刷新状态指示符值为0x00，则先将数据刷新状态指示符设置为0x01（S430），然后擦除除了数据刷新状态指示符所处地址之外的子存储区。接着从更新数据包内的刷新引导文件中解析出的刷新数据的目标地址，并将该刷新数据更新到子存储区B中（S440）。如果在S440刷新失败，将数据刷新状态指示符设置为0x02（S455），并进行S425。如果刷新成功，将数据刷新状态指示符设置为0x00（S450）。即，在引导装载程序刷新原始备份版本的过程中，数据刷新状态指示符的值为0x01。在另一方面，如果在S460数据刷新状态指示符值为0x01，则进行步骤S440，否则进行步骤S425。

接下来参考图2描述根据本发明一实施例的车载模块的自刷新系统200的示意性框图。该系统尤其适合用于刷新作为OTA刷新主节点的中央网关，可以在没有上位机的情况下实现中央网关的自刷新。但是，在适用的情况下，本系统也可以用于其它模块或软件的刷新以实现其它有益的技术效果。

车载模块的自刷新系统200包括刷新对象（例如，车辆的信息娱乐模块）的第一存储区210，其被划分成第一子存储区2102和第二子存储区2104，以用于分别存储被标识为原始激活版本和原始备份版本的刷新对象的两个复制。其中原始激活版本可以指刷新之前用于提供网关功能、刷新主节点功能以刷新对象的正常功能的版本。在后续的步骤中，可以通过运行原始激活版本来执行对原始备份版本的刷新，从而实现该刷新对象的自刷新。原始备份版本可以指刷新之前的与原始激活版本在数据上一致但是即将被更新的版本，并且因此原始备份版本一般不运行。在一个实施例中，第一存储区210可以是闪速存储器的形式。

其中上述原始激活版本在由自刷新系统200运行时配置成利用安全校验机制来校验接收的更新数据包，从而验证中央网关接收的更新数据包是否与原始发送的更新数据包一致。在一个实施例中，所述安全校验机制是数字签名校验机制。例如，在发送更新数据包时，可以利用哈希函数对更新数据包生成数据摘要，然后用自己的私人密钥对该摘要进行加密，加密后的摘要将作为数字签名和更新数据包一起发送给接收方。原始激活版本可以配置成使得接收方（例如，刷新的中央网关）首先用上述哈希函数计算出摘要，再用发送方的公钥对数字签名解密。如果计算出的摘要和解密出的摘要一致，则可以确认数字签名是发送方发送的。如此，可以在将更新数据包更新到系统中之前确保更新数据包的来源可靠，从而在一方面确保了后续更新过程的安全性。

原始激活版本还可以配置成利用通过校验的更新数据包来刷新原始备份版本。具体地，在刷新对象接收到刷新请求之后，作为中央网关运行的原始激活版本可以配置成首先对车辆以及更新数据包进行验证，例如以确认完整性和安全性。这是由于在使用OTA接收更新数据的情况下，所传输文件有可能被恶意攻击。在一个实施例中，在第二存储区中可以存储有用于标识第一子存储区和第二子存储区中的版本的版本标识信息（Versioninformation，VI）。在一个实施例中，第二存储区可以是非易失性存储区的形式。在另一个实施例中，在第二存储区中可以存储有用于表示自刷新状态的自刷新状态指示符（Self-Update Bit，SUB），所述自刷新状态包括刷新未结束、刷新成功以及刷新失败。

具体地，在原始激活版本利用通过校验的更新数据包来刷新原始备份版本的过程中，首先读取版本标识信息以确定原始激活版本所处的子存储区，由此获得其物理地址信息。例如，当版本标识信息为1时，表示第一子存储区（又称为子存储区A）的版本为原始激活版本；当版本标识信息为0时，表示第二子存储区（又称为子存储区B）的版本为原始激活版本。相应地，另一子存储区中的版本为原始备份版本。然后，读取自刷新状态指示符，以获取关于刷新对象的状态信息。例如，在刷新开始之前，可以将自刷新状态指示符SUB设置为1，然后开始对刷新对象的刷新；并且在刷新成功或中途失败的情况下，将自刷新状态指示符设置为0。即，在刷新的过程中，自刷新状态指示符的值为1。当读取的自刷新状态指示符为0时，可以使用引导装载程序对原始备份版本所处的子存储区的数据完整性进行判断，若数据完整则表示刷新成功，此时可以将VI设置为指示已刷新的子存储区；反之则表示中途失败。如果判断中途失败，则停留在引导模式，并且在需要时继续运行原始激活版本，如此即使在刷新中途失败的情况下，也可以保持车辆模块的正常运行。

如果判断刷新成功，则将刷新的原始备份版本标识为所产生激活版本，从而作为下一次模块启动后运行的版本。在上述步骤完成后，如果存储原始备份版本的子存储区内的数据刷新状态指示符值为0x00，且其自刷新状态指示符为1（刷新未结束），则将自刷新状态指示符设置为0（刷新成功），并将版本标识信息设置为0（如果更新前的版本标识信息为1，反之亦然），以确保模块在重启后，能跳转到所产生激活版本开始正常工作，从而确保了中央网关功能的完整性及软件的最新状态。后续地，在需要时系统可选地运行所产生激活版本；以及代替原始激活版本将所产生激活版本的复制存储为所产生备份版本。

更具体地，作为示例具体描述上述使用引导装载程序根据接收的更新数据包来刷新原始备份版本的操作。当读取的版本标识信息为1时，假设此时两个子存储区为A和B，且子存储区A存储原始激活版本，子存储区B存储原始备份版本。具体地，在一个实施例中，可以首先检查原始备份版本所处的子存储区状态，若该子存储区状态异常，则终止刷新并重置该子存储区。优选地，可以上报DTC给车辆主控单元进行处理。如果该子存储区状态正常，则进一步读取原始备份版本所处的子存储区的数据刷新状态指示符（Swap IndicatorFlag，SIF），该指示符存储于相应的子存储区中。在一个示例中，可以根据数据刷新状态指示符进行如下操作。在一方面，如果数据刷新状态指示符值为0x00，则先将数据刷新状态指示符设置为0x01，然后擦除除了数据刷新状态指示符所处地址之外的子存储区。接着从更新数据包内的刷新引导文件中解析出的刷新数据的目标地址，并将该刷新数据更新到子存储区B中。如果刷新失败，将数据刷新状态指示符设置为0x02，并重置且上报DTC。如果刷新成功，将数据刷新状态指示符设置为0x00。即，在引导装载程序刷新原始备份版本的过程中，数据刷新状态指示符的值为0x01。在另一方面，如果数据刷新状态指示符值为0x01，则利用更新数据包进行刷新，否则重置且上报DTC。

提供本文中提出的实施例和示例，以便最好地说明按照本技术及其特定应用的实施例，并且由此使本领域的技术人员能够实施和使用本发明。但是，本领域的技术人员将会知道，仅为了便于说明和举例而提供以上描述和示例。所提出的描述不是意在涵盖本发明的各个方面或者将本发明局限于所公开的精确形式。

Claims (6)

1.一种车载模块的自刷新方法，其特征在于，所述自刷新方法包括下列步骤：

将刷新对象的第一存储区划分成第一子存储区和第二子存储区，以用于分别存储被标识为原始激活版本和原始备份版本的所述刷新对象的两个一致的复制，其中，所述原始激活版本提供网关功能；

通过所述原始激活版本利用安全校验机制来校验接收的更新数据包，其中，所述安全校验机制是数字签名校验机制；

通过所述原始激活版本利用通过校验的所述更新数据包来刷新所述原始备份版本；

将刷新的原始备份版本标识为所产生激活版本；

运行所述所产生激活版本；以及

代替原始激活版本将所述所产生激活版本的复制存储为所产生备份版本。

2.根据权利要求1所述的自刷新方法，还包括在第二存储区中存储用于标识所述第一子存储区和所述第二子存储区中的版本的版本标识信息。

3.根据权利要求2所述的自刷新方法，其中，所述第二存储区还存储用于表示自刷新状态的自刷新状态指示符，所述自刷新状态包括刷新未结束、刷新成功以及刷新失败。

4.一种车载模块的自刷新系统，其特征在于，所述自刷新系统包括：

刷新对象的第一存储区，其被划分成第一子存储区和第二子存储区，以用于分别存储被标识为原始激活版本和原始备份版本的所述刷新对象的两个一致的复制；

其中所述原始激活版本提供网关功能，并且在由所述自刷新系统运行时：

利用安全校验机制来校验接收的更新数据包；

利用通过校验的所述更新数据包来刷新所述原始备份版本，其中，所述安全校验机制是数字签名校验机制；

将刷新的原始备份版本标识为所产生激活版本；

运行所述所产生激活版本；以及

代替原始激活版本将所述所产生激活版本的复制存储为所产生备份版本。

5.根据权利要求4所述的自刷新系统，其还包括第二存储区，在所述第二存储区中存储用于标识所述第一子存储区和所述第二子存储区中的版本的版本标识信息。

6.根据权利要求5所述的自刷新系统，其中，所述第二存储区还存储用于表示自刷新状态的自刷新状态指示符，所述自刷新状态包括刷新未结束、刷新成功以及刷新失败。