CN115022092A - 车辆软件升级方法、设备和存储介质 - Google Patents

Abstract

本发明涉及车辆领域，公开了一种车辆软件升级方法、设备和存储介质。该方法包括：计算升级包的摘要，对所述摘要进行签名处理，获得签名摘要，利用通讯证书的私钥对加密后的对称密钥进行解密，获得对称密钥，并利用对称密钥对升级包进行对称加密处理，获得加密后的升级包；生成第一随机身份标识码，对所述第一随机身份标识码进行签名处理，获得第一身份签名，将第一身份签名以及加密后的升级包发送至内容分发系统；内容分发系统基于第一身份签名对在线升级系统的身份进行验证。本实施例提高了软件升级过程的安全性，为车联网在线升级各环节的网络安全和数据安全提供全方位的保障。

Description

车辆软件升级方法、设备和存储介质

技术领域

本发明涉及车辆领域，尤其涉及一种车辆软件升级方法、设备和存储介质。

背景技术

随着车辆的智能化和网联化发展，越来越多的MCU（Microcontroller Unit，微控制单元）和ECU（Electronic Control Unit，电子控制单元）被应用于车端，对应的软件迭代速度也越来越快。

基于OTA（Over-the-Air Technology，空中下载技术）的远程升级方式被广泛应用于车辆的软件升级中。然而，汽车作为特殊的消费终端，在线升级过程必须优先保证车辆安全。

有鉴于此，特提出本发明。

发明内容

为了解决上述技术问题，本发明提供了一种车辆软件升级方法、设备和存储介质，提高了软件升级过程的安全性，为车联网在线升级各环节的网络安全和数据安全提供全方位的保障。

本发明实施例提供了一种车辆软件升级方法，该方法包括：

当在线升级系统中有新的升级包生成时，通过所述在线升级系统计算所述升级包的摘要，获得所述升级包的第一摘要值；

通过所述在线升级系统将所述第一摘要值发送至签名系统；

通过所述签名系统对所述第一摘要值进行签名处理，获得签名摘要，并通过所述签名系统将所述签名摘要反馈至所述在线升级系统，所述签名摘要用于确定所述升级包是否被修改过；

通过所述在线升级系统向密钥管理系统发送申请信息，以获取用于对所述升级包进行加密处理的对称密钥，其中，所述申请信息中包括所述在线升级系统的通讯证书；

通过所述密钥管理系统基于所述申请信息生成所述对称密钥，并利用所述通讯证书的公钥对所述对称密钥进行加密处理，并将加密后的对称密钥反馈至所述在线升级系统；

通过所述在线升级系统利用所述通讯证书的私钥对所述加密后的对称密钥进行解密，获得所述对称密钥，并利用所述对称密钥对所述升级包进行对称加密处理，获得加密后的升级包；

通过所述在线升级系统生成第一随机身份标识码，并将所述第一随机身份标识码发送至所述签名系统，以通过所述签名系统对所述第一随机身份标识码进行签名处理，获得第一身份签名，并将所述第一身份签名反馈至所述在线升级系统；

通过所述在线升级系统将所述第一身份签名以及所述加密后的升级包发送至内容分发系统；

通过所述内容分发系统基于所述第一身份签名对所述在线升级系统的身份进行验证，在确定所述在线升级系统的身份满足第一验证条件时，对所述加密后的升级包进行存储，以供车端设备请求下载。

本发明实施例提供了一种电子设备，所述电子设备包括：

处理器和存储器；

所述处理器通过调用所述存储器存储的程序或指令，用于执行任一实施例所述的车辆软件升级方法的步骤。

本发明实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储程序或指令，所述程序或指令使计算机执行任一实施例所述的车辆软件升级方法的步骤。

本发明实施例具有以下技术效果：

同时使用对称密钥和非对称密钥，对称密钥用非对称密钥加密后以密文形式传输，保证了对称密钥的安全；升级包加密密钥安全存储在密钥管理系统中，便于所有历史加密升级包的管理，杜绝密钥遗失风险；基于数字证书对所有敏感信息做签名处理，接收方验签以证明发送方身份和发送信息的真伪，降低伪造信息传播风险，防止升级过程中被劫持攻击；发送方将敏感信息分离分发，降低一次攻击获取全部敏感信息的风险；接收方将多次接收到的信息比对核验，核验通过才认为可信，提升了安全信任度；内容分发系统验证消息发送者身份，有效避免了非法系统上传非法升级包；升级包以加密形式保存在内容分发系统，使得升级包不易被篡改和窃取。提高了软件升级过程的安全性，为车联网在线升级各环节的网络安全和数据安全提供全方位的保障。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种车辆软件升级方法的流程图；

图2是本发明实施例提供的一种在线升级系统、密钥管理系统、签名系统以及内容分发系统之间的信息交互示意图；

图3是本发明实施例提供的一种在线升级系统、密钥管理系统、签名系统以及内容分发系统之间的信息交互示意图；

图4是本发明实施例提供的一种在线升级系统、密钥管理系统、签名系统以及内容分发系统之间的信息交互示意图；

图5是本发明实施例提供的一种在线升级系统、密钥管理系统、签名系统以及内容分发系统之间的信息交互示意图；

图6为本发明实施例提供的一种电子设备的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将对本发明的技术方案进行清楚、完整的描述。显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施例，都属于本发明所保护的范围。

本发明实施例提供的车辆软件升级方法，具体是基于OTA对车辆端的固件（固件是一种嵌入在硬件设备中的软件）进行安全升级。本发明实施例提供的车辆软件升级方法可以由车辆软件升级装置执行。

图1是本发明实施例提供的一种车辆软件升级方法的流程图。参见图1，该车辆软件升级方法具体包括如下步骤：

步骤110、当在线升级系统中有新的升级包生成时，通过所述在线升级系统计算所述升级包的摘要，获得所述升级包的第一摘要值。

步骤120、通过所述在线升级系统将所述第一摘要值发送至签名系统。

步骤130、通过所述签名系统对所述第一摘要值进行签名处理，获得签名摘要，并通过所述签名系统将所述签名摘要反馈至所述在线升级系统，所述签名摘要用于确定所述升级包是否被修改过。

具体的，签名系统利用在线升级系统的签名证书对应的私钥对所述第一摘要值进行加密处理，获得加密后的第一摘要值（即签名摘要）。签名证书是指CA机构发行的一种电子文档，是一串能够表明网络用户身份信息的数字，提供了一种在计算机网络上验证网络用户身份的方式。可以理解的是，在线升级系统的签名证书预先存储在签名系统，或者在升级系统向签名系统发送所述第一摘要值的同时发送其签名证书。

步骤140、通过所述在线升级系统向密钥管理系统发送申请信息，以获取用于对所述升级包进行加密处理的对称密钥，其中，所述申请信息中包括所述在线升级系统的通讯证书。

其中，通讯证书与签名证书的格式相同，两者根据用途进行区分。通讯证书用于服务端与客户端建立双向认证，即利用通讯证书对应的公钥对通讯数据加密，利用通讯证书对应的私钥对通讯数据解密，从而保证通讯数据的隐私性。签名证书用于对数据签名，即利用证书对应的私钥对数据签名，利用证书对应的公钥对数据验签，以保证数据的真实性。

进一步的，所述申请信息中还包括升级包版本号，对应的，所述密钥管理系统还用于对所述对称密钥和所述升级包版本号进行绑定管理，以便于统一管理历史版本的升级包的加密密钥。

步骤150、通过所述密钥管理系统基于所述申请信息生成所述对称密钥，并利用所述通讯证书的公钥对所述对称密钥进行加密处理，并将加密后的对称密钥反馈至所述在线升级系统。

具体的，密钥管理系统可以基于加密密钥算法生成加密密钥。

通过利用非对称密钥对对称密钥进行加密后以密文形式传输，保证了对称密钥的传输安全。升级包的加密密钥统一安全存储在密钥管理系统中，便于所有历史加密升级包的管理，降低了密钥遗失风险。

步骤160、通过所述在线升级系统利用所述通讯证书的私钥对所述加密后的对称密钥进行解密，获得所述对称密钥，并利用所述对称密钥对所述升级包进行对称加密处理，获得加密后的升级包。

步骤170、通过所述在线升级系统生成第一随机身份标识码，并将所述第一随机身份标识码发送至所述签名系统，以通过所述签名系统对所述第一随机身份标识码进行签名处理，获得第一身份签名，并将所述第一身份签名反馈至所述在线升级系统。

其中，签名系统对所述第一随机身份标识码进行签名处理的原理，与签名系统对上述第一摘要值进行签名处理的原理相同，即签名系统利用在线升级系统的签名证书对应的私钥对所述第一随机身份标识码进行加密处理，获得第一身份签名。

步骤180、通过所述在线升级系统将所述第一身份签名以及所述加密后的升级包发送至内容分发系统。

进一步的，为了提高通信过程中的数据安全，所述通过所述在线升级系统将所述第一身份签名以及所述加密后的升级包发送至内容分发系统，包括：

通过所述在线升级系统与所述内容分发系统之间的第一安全通信通道，将所述第一身份签名以及所述加密后的升级包发送至内容分发系统，其中，所述第一安全通信通道基于TLS（Transport Layer Security，传输层安全）协议以及所述在线升级系统的通讯证书建立。

即建立第一安全通信通道用到的证书是在线升级系统的通讯证书，签名系统里做签名的是签名证书，通讯证书与签名证书是两张不同证书，可进一步提高数据的安全性。具体的，如果同一张证书既用于签名又用于加密，一旦私钥泄露将导致这两项功能均不可信，尤其是签名数据需要重新运算并更新至内容分发系统中。本发明实施例的方案中通讯证书的私钥存储在服务器中，使用频率最高，相对泄露风险也较高；签名证书的私钥存储在签名系统的签名验签服务器中，通过物理设备的保护提升了私钥的存储安全性

步骤190、通过所述内容分发系统基于所述第一身份签名对所述在线升级系统的身份进行验证，在确定所述在线升级系统的身份满足第一验证条件时，对所述加密后的升级包进行存储，以供车端设备请求下载。

其中，内容分发系统基于所述第一身份签名对所述在线升级系统的身份进行验证的过程具体为：内容分发系统利用在线升级系统的签名证书（该签名证书可以预先存储在内容分发系统，也可以与签名数据一同发至内容分发系统）对应的公钥对所述第一身份签名进行验签，若能成功验签，则表示在线升级系统的身份满足第一验证条件，即在线升级系统的身份可信，在线升级系统通过身份验证。

通过基于所述第一身份签名对所述在线升级系统的身份进行验证，可保证在线升级系统是可信的，而不是被攻击修改过的，从而保证升级包的正确性。

通过上述步骤110-步骤190实现了从安全的、可信的在线升级系统获取加密后的升级包，并将该加密后的升级包存储在内容分发系统供车端设备请求下载。为了使车端设备获取到可信的、安全的升级包括，在车端设备从内容分发系统请求下载加密后的升级包的过程中，需保证升级包不被篡改、保证车端设备从正确的、可信的内容分发系统获取升级包。

示例性的，所述车辆软件升级方法还包括如下步骤：

步骤200、通过所述在线升级系统将所述内容分发系统的网络地址发送至所述签名系统，以通过所述签名系统对所述网络地址进行签名处理，获得签名地址，并将所述签名地址反馈至所述在线升级系统。通过对内容分发系统的网络地址进行签名处理，实现了对该内容分发系统的网络地址进行保护的目的。

其中，签名系统对所述网络地址进行签名处理的原理，与签名系统对上述第一摘要值进行签名处理的原理相同，即签名系统利用在线升级系统的签名证书对应的私钥对所述网络地址进行加密处理，获得签名地址。

步骤210、当车端设备接收到所述在线升级系统推送的升级通知时，响应于第一设定触发操作（例如是车端用户同意升级的触发操作），基于传输层安全TLS协议建立所述车端设备与所述在线升级系统之间的第二安全通信通道，所述车端设备通过所述第二安全通信通道向所述在线升级系统发送车端设备的数字证书。

步骤220、通过所述在线升级系统基于所述数字证书获取对应的公钥，并将所述公钥发送至所述密钥管理系统，以通过所述密钥管理系统利用所述公钥对所述对称密钥进行加密，获得所述对称密钥的数字信封，并将所述数字信封反馈至所述在线升级系统。

通过对对称密钥进行加密处理，达到了保护对称密钥被泄露的目的，从而保护了对称密钥的安全。

步骤230、所述在线升级系统通过所述第二安全通信通道将所述数字信封、所述签名地址、所述签名摘要以及所述签名系统的签名证书发送至所述车端设备。

进一步的，为了降低一次攻击获取全部敏感信息的风险，本公开实施例将敏感信息分离分发，示例性的，所述在线升级系统通过所述第二安全通信通道将所述数字信封、所述签名地址、所述签名摘要以及所述签名系统的签名证书发送至所述车端设备，包括：

所述在线升级系统通过所述第二安全通信通道将所述数字信封、所述签名地址、所述签名摘要以及所述签名系统的签名证书逐一地分别发送至所述车端设备。

即不将所述数字信封、所述签名地址、所述签名摘要以及所述签名系统的签名证书打包在一起同时发送至车端设备，而是一个一个的分别被发送至车端设备，从而实现降低一次攻击获取全部敏感信息的风险的目的。

步骤240、通过所述车端设备的安全中间件对所述签名地址以及所述签名系统的签名证书进行验证，在确定验证结果满足第二验证条件时，从所述内容分发系统获取所述加密后的升级包。

其中，车端设备的安全中间件是安装在车端设备上的专门负责实现数字证书验证、签名验签、加解密等的软件工具，例如TBOX\IVI\OBU。

具体的，所述通过所述车端设备的安全中间件对所述签名地址、所述签名摘要以及所述签名系统的签名证书进行验证，在确定验证结果满足第二验证条件时，从所述内容分发系统获取所述加密后的升级包，包括：

对所述签名证书进行验证，在确定所述签名证书满足第一条件时，对所述签名地址进行验证，在确定所述签名地址满足第二条件时，对所述签名摘要进行验证，在确定所述签名摘要满足第三条件时，通过所述车端设备的安全中间件将解析出的第一摘要值以及解析出的内容分发系统的网络地址发送至所述车端设备，其中，当所述签名证书满足第一条件、所述签名地址满足第二条件且所述签名摘要满足第三条件时确定验证结果满足所述第二验证条件；响应于第二设定触发操作（例如车端设备基于所述解析出的内容分发系统的网络地址向内容分发系数发送的下载请求），基于传输层安全TLS协议建立所述车端设备与所述内容分发系统之间的第三安全通信通道；所述内容分发系统通过所述第三安全通信通道向所述车端设备发送所述加密后的升级包；通过所述安全中间件对所述加密后的升级包进行解密，获得升级包明文，并计算所述升级包明文的第二摘要值，将解密后的升级包明文以及所述第二摘要值反馈至所述车端设备；

所述车端设备将所述第二摘要值与所述第一摘要值进行比较，若两者一致，对所述解密后的升级包明文进行存储，以基于所述解密后的升级包明文进行软件升级。

示例性的，对所述签名证书进行验证包括：验证签名证书的真实性和有效性，比如验证签名证书的有效期是否过期、通过证书链验证签名证书是否合法（例如通过证书吊销列表验证签名证书是否被吊销，如果没有被吊销则确定是合法证书）。若确定签名证书在有效期内、且是合法的签名证书，则可确定签名证书满足第一条件。

对所述签名地址进行验证的过程具体为：利用在线升级系统的签名证书对应的公钥对所述签名地址进行验签，若验签成功，则可确定所述签名地址满足第二条件。可以理解的是，在线升级系统的签名证书预先存储在所述车端设备的安全中间件中。

对所述签名摘要进行验证的过程具体为：利用在线升级系统的签名证书对应的公钥对所述签名摘要进行验签，若验签成功，则可确定所述签名摘要满足第三条件，通过对所述签名摘要进行解密可获得解析出的第一摘要值，通过所述车端设备的安全中间件将解析出的第一摘要值以及解析出的内容分发系统的网络地址发送至所述车端设备，解析出的第一摘要值用于车端设备确认自己是否下载到了正确的升级包。

其中，通过所述安全中间件对所述加密后的升级包进行解密，获得升级包明文的过程为：安全中间件利用车端设备的数字证书对应的私钥对所述数字信封进行解密，获得其中的对称密钥，然后利用该对称密钥对加密的升级包进行解密，获得升级包明文。

为了进一步提高传输过程的数据安全，所述内容分发系统通过所述第三安全通信通道向所述车端设备发送所述加密后的升级包之前，所述车辆软件升级方法还包括：

所述车端设备将请求信息进行签名处理，获得签名请求；

所述车端设备生成第二随机身份标识码，并将所述第二随机身份标识码进行签名处理，获得第二身份签名；

所述车端设备通过所述第三安全通信通道向所述内容分发系统发送所述第二身份签名以及所述签名请求；

通过所述内容分发系统基于所述第二身份签名对所述车端设备的身份进行验证，在确定所述车端设备的身份满足第三验证条件时，所述内容分发系统按照所述签名请求通过所述第三安全通信通道向所述车端设备发送所述加密后的升级包。

具体的，内容分发系统基于所述第二身份签名以及所述签名请求对所述车端设备的身份进行验证的过程为：内容分发系统利用车端设备的数字证书的公钥对所述第二身份签名进行验签处理，若验签成功，则可确定所述车端设备的身份是可信的，按照请求信息通过所述第三安全通信通道向所述车端设备发送所述加密后的升级包。

通过增加针对第二身份签名的验证，可进一步提高安全性，保证将升级包发送至正确的车端设备。

在另一些实施例中，参考如图2所示的一种在线升级系统、密钥管理系统、签名系统以及内容分发系统之间的信息交互示意图，所述车辆软件升级方法包括如下步骤：

1、在线升级系统生成升级包；2、在线升级系统计算升级包的摘要，具体的，利用HASH算法计算升级包摘要值，以便对摘要值做签名。因为升级包大小不一，最大的可达2-3G，若直接对升级包做签名运算效率较低，而升级包摘要值是固定长度，针对摘要值做签名运算效率更高；3、在线升级系统向签名系统发送摘要值做签名；4、签名系统对摘要值做数字签名，签名系统主要为签名服务器，利用在线升级系统的签名证书对应的私钥对摘要值进行加密；5、签名系统返回签名摘要给在线升级系统；6、在线升级系统向密钥管理系统申请加密用的对称密钥，以便利用该对称密钥加密升级包，同时向密钥管理系统发送通讯证书以便使密钥管理系统利用通讯证书的公钥对对称密钥进行加密；7、密钥管理系统按加密密钥算法生成对称密钥，并提取在线升级系统的通讯证书公钥对该对称密钥进行加密，即数字信封形式；8、密钥管理系统返回给在线升级系统公钥加密的对称密钥；9、在线升级系统利用其通讯证书对应的私钥对加密的密钥进行解密获取所述对称密钥，并利用该对称密钥对升级包做对称加密；10、在线升级系统产生随机身份标识码并请求签名，与加密后的升级包一同发送给内容分发系统，以便让内容分发系统核验在线升级系统的身份；11、签名系统对在线升级系统的身份标识码进行签名，签名的原理同上述步骤4；12、签名系统向在线升级系统返回签名的身份标识码。

对应的，继续参考图3所示，13、在线升级系统把加密后的升级包和带签名的身份标识码打包在一起准备发送；14、在线升级系统确认内容分发系统的网络地址，以定向推送。15、在线升级系统与内容分发系统建立TLS安全通道，可以是单向HTTPS或者双向HTTPS；可选的，也可以不建安全通道；可选的，在线升级系统与内容分发系统集成在一起；可选的，在线升级系统与内容分发系统通过内网或VPN网络联通。16、在线升级系统将加密后的升级包和签名身份标识码发送给内容分发系统。17、内容分发系统校验信息发送方身份，即解析出签名身份标识码并对其验签。验签通过后认为接收到的消息可信。18、内容分发系统保存加密后的升级包，供车端设备请求下载。19、在线升级系统将内容分发系统的地址请求签名，以便保证该地址不会被中途篡改。20、签名系统对地址进行签名，签名原理同步骤4。21、签名系统向在线升级系统返回签名地址。

对应的，继续参考图4所示，22、汽车在接收到在线升级系统发出的升级推送后，由车主决定是否进行本次升级，如果进行升级，则车端设备与在线升级系统建立TLS安全通道，该通道可以是单向或双向HTTPS，将车端设备的数字证书发送给在线升级系统。23、在线升级系统从车端设备的数字证书中提取公钥，请求密钥管理系统做数字信封。24、密钥管理系统制定数字信封。25、密钥管理系统返回给在线升级系统加密密钥数字信封。26、在线升级系统准备签名证书、带签名的内容分发系统地址、带签名的升级包摘要值和数字信封，以便发送给车端设备。27、在线升级系统将内容分发系统地址、带签名的升级包摘要值和数字信封发送给车端设备。可选的，上述信息可批量下传，也可分批下传。

对应的，继续参考图5所示，28、车端设备接收到上述消息后，需要验证其真实性。29、首先验证签名证书的真实性和有效性。具体的，验证证书的有效期是否过期、通过证书链验证证书是否合法。可选的，通过证书吊销列表验证签名证书是否被吊销。30、签名证书验证通过后进一步验证签名消息。具体的，验证签名的内容分发系统的地址。31、如果签名消息验证有效，则将内容分发系统地址返回给车端设备。32、车端安全中间件解析数字信封，获取加密升级包的加密密钥并保存。33、车端设备根据内容分发系统地址请求下载升级包。可选的，车端设备可以与内容分发网络建立安全通道，可以为单向或双向HTTPS。可选的，请求消息可签名，即SDK利用车端证书私钥对请求消息加密后上传给内容分发系统；对应的，内容分发系统验签通过后再返回加密升级包。可选的，参照在线升级系统产生的随机身份标识码，车端设备也产生随机身份标识码并签名，内容分发系统验签通过（即验证车辆身份后）再下发加密升级包。34、内容分发系统将加密的升级包下发给车端设备。35、车端设备调车端安全中间件解密升级包。36、车端设备接收返回的升级包明文。37、车端设备调车端安全中间件计算升级包摘要值，以便利用该摘要值对所述签名摘要进行验签。可选的，升级包摘要计算可以由车端设备自主完成。38、车端安全中间件计算升级包摘要，利用计算出的升级包摘要值对所述签名摘要进行验签，并将验签结果返回给车端设备。39、返回验签结果。40、如果验签通过，则认为升级包可信，存储升级包，根据升级策略适时启动升级，否则丢弃升级包。

本发明实施例同时使用对称密钥和非对称密钥，对称密钥用非对称密钥加密后以密文形式传输，保证了对称密钥的安全；升级包加密密钥安全存储在密钥管理系统中，便于所有历史加密升级包的管理，杜绝密钥遗失风险；基于数字证书对所有敏感信息做签名处理，接收方验签以证明发送方身份和发送信息的真伪，降低伪造信息传播风险，防止升级过程中被劫持攻击；发送方将敏感信息分离分发，降低一次攻击获取全部敏感信息的风险；接收方将多次接收到的信息比对核验，核验通过才认为可信，提升了安全信任度；内容分发系统验证消息发送者身份，有效避免了非法系统上传非法升级包；升级包以加密形式保存在内容分发系统，使得升级包不易被篡改和窃取。提高了软件升级过程的安全性，为车联网在线升级各环节的网络安全和数据安全提供全方位的保障。

本发明实施例还提供一种车辆软件升级装置，在线升级系统、签名系统、密钥管理系统、内容分发系统、车辆设备以及车辆设备的安全中间件。

其中，当在线升级系统中有新的升级包生成时，通过所述在线升级系统计算所述升级包的摘要，获得所述升级包的第一摘要值；通过所述在线升级系统将所述第一摘要值发送至签名系统；通过所述签名系统对所述第一摘要值进行签名处理，获得签名摘要，并通过所述签名系统将所述签名摘要反馈至所述在线升级系统，所述签名摘要用于确定所述升级包是否被修改过；通过所述在线升级系统向密钥管理系统发送申请信息，以获取用于对所述升级包进行加密处理的对称密钥，其中，所述申请信息中包括所述在线升级系统的通讯证书；通过所述密钥管理系统基于所述申请信息生成所述对称密钥，并利用所述通讯证书的公钥对所述对称密钥进行加密处理，并将加密后的对称密钥反馈至所述在线升级系统；通过所述在线升级系统利用所述通讯证书的私钥对所述加密后的对称密钥进行解密，获得所述对称密钥，并利用所述对称密钥对所述升级包进行对称加密处理，获得加密后的升级包；通过所述在线升级系统生成第一随机身份标识码，并将所述第一随机身份标识码发送至所述签名系统，以通过所述签名系统对所述第一随机身份标识码进行签名处理，获得第一身份签名，并将所述第一身份签名反馈至所述在线升级系统；通过所述在线升级系统将所述第一身份签名以及所述加密后的升级包发送至内容分发系统；通过所述内容分发系统基于所述第一身份签名对所述在线升级系统的身份进行验证，在确定所述在线升级系统的身份满足第一验证条件时，对所述加密后的升级包进行存储，以供车端设备请求下载；通过所述在线升级系统将所述内容分发系统的网络地址发送至所述签名系统，以通过所述签名系统对所述网络地址进行签名处理，获得签名地址，并将所述签名地址反馈至所述在线升级系统；当车端设备接收到所述在线升级系统推送的升级通知时，响应于第一设定触发操作，基于传输层安全TLS协议建立所述车端设备与所述在线升级系统之间的第二安全通信通道，所述车端设备通过所述第二安全通信通道向所述在线升级系统发送车端设备的数字证书；通过所述在线升级系统基于所述数字证书获取对应的公钥，并将所述公钥发送至所述密钥管理系统，以通过所述密钥管理系统利用所述公钥对所述对称密钥进行加密，获得所述对称密钥的数字信封，并将所述数字信封反馈至所述在线升级系统；所述在线升级系统通过所述第二安全通信通道将所述数字信封、所述签名地址、所述签名摘要以及所述签名系统的签名证书发送至所述车端设备；通过所述车端设备的安全中间件对所述签名地址以及所述签名系统的签名证书进行验证，在确定验证结果满足第二验证条件时，从所述内容分发系统获取所述加密后的升级包。

图6为本发明实施例提供的一种电子设备的结构示意图。如图6所示，电子设备400包括一个或多个处理器401和存储器402。

处理器401可以是中央处理单元（CPU）或者具有数据处理能力和/或指令执行能力的其他形式的处理单元，并且可以控制电子设备400中的其他组件以执行期望的功能。

存储器402可以包括一个或多个计算机程序产品，所述计算机程序产品可以包括各种形式的计算机可读存储介质，例如易失性存储器和/或非易失性存储器。所述易失性存储器例如可以包括随机存取存储器（RAM）和/或高速缓冲存储器（cache）等。所述非易失性存储器例如可以包括只读存储器（ROM）、硬盘、闪存等。在所述计算机可读存储介质上可以存储一个或多个计算机程序指令，处理器401可以运行所述程序指令，以实现上文所说明的本发明任意实施例的车辆软件升级方法以及/或者其他期望的功能。在所述计算机可读存储介质中还可以存储诸如初始外参、阈值等各种内容。

在一个示例中，电子设备400还可以包括：输入装置403和输出装置404，这些组件通过总线系统和/或其他形式的连接机构（未示出）互连。该输入装置403可以包括例如键盘、鼠标等等。该输出装置404可以向外部输出各种信息，包括预警提示信息、制动力度等。该输出装置404可以包括例如显示器、扬声器、打印机、以及通信网络及其所连接的远程输出设备等等。

当然，为了简化，图6中仅示出了该电子设备400中与本发明有关的组件中的一些，省略了诸如总线、输入/输出接口等等的组件。除此之外，根据具体应用情况，电子设备400还可以包括任何其他适当的组件。

除了上述方法和设备以外，本发明的实施例还可以是计算机程序产品，其包括计算机程序指令，所述计算机程序指令在被处理器运行时使得所述处理器执行本发明任意实施例所提供的车辆软件升级方法的步骤。

所述计算机程序产品可以以一种或多种程序设计语言的任意组合来编写用于执行本发明实施例操作的程序代码，所述程序设计语言包括面向对象的程序设计语言，诸如Java、C++等，还包括常规的过程式程序设计语言，诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。

此外，本发明的实施例还可以是计算机可读存储介质，其上存储有计算机程序指令，所述计算机程序指令在被处理器运行时使得所述处理器执行本发明任意实施例所提供的车辆软件升级方法的步骤。

所述计算机可读存储介质可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以包括但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子（非穷举的列表）包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

需要说明的是，本发明所用术语仅为了描述特定实施例，而非限制本申请范围。如本发明说明书所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法或者设备中还存在另外的相同要素。

还需说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。除非另有明确的规定和限定，术语“安装”、“相连”、“连接”等应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案。

Claims (10)

1.一种车辆软件升级方法，其特征在于，包括：

当在线升级系统中有新的升级包生成时，通过所述在线升级系统计算所述升级包的摘要，获得所述升级包的第一摘要值；

通过所述在线升级系统将所述第一摘要值发送至签名系统；

通过所述签名系统对所述第一摘要值进行签名处理，获得签名摘要，并通过所述签名系统将所述签名摘要反馈至所述在线升级系统，所述签名摘要用于确定所述升级包是否被修改过；

通过所述在线升级系统向密钥管理系统发送申请信息，以获取用于对所述升级包进行加密处理的对称密钥，其中，所述申请信息中包括所述在线升级系统的通讯证书；

通过所述密钥管理系统基于所述申请信息生成所述对称密钥，并利用所述通讯证书的公钥对所述对称密钥进行加密处理，并将加密后的对称密钥反馈至所述在线升级系统；

通过所述在线升级系统利用所述通讯证书的私钥对所述加密后的对称密钥进行解密，获得所述对称密钥，并利用所述对称密钥对所述升级包进行对称加密处理，获得加密后的升级包；

通过所述在线升级系统生成第一随机身份标识码，并将所述第一随机身份标识码发送至所述签名系统，以通过所述签名系统对所述第一随机身份标识码进行签名处理，获得第一身份签名，并将所述第一身份签名反馈至所述在线升级系统；

通过所述在线升级系统将所述第一身份签名以及所述加密后的升级包发送至内容分发系统；

通过所述内容分发系统基于所述第一身份签名对所述在线升级系统的身份进行验证，在确定所述在线升级系统的身份满足第一验证条件时，对所述加密后的升级包进行存储，以供车端设备请求下载。

2.根据权利要求1所述的方法，其特征在于，还包括：

通过所述在线升级系统将所述内容分发系统的网络地址发送至所述签名系统，以通过所述签名系统对所述网络地址进行签名处理，获得签名地址，并将所述签名地址反馈至所述在线升级系统；

当车端设备接收到所述在线升级系统推送的升级通知时，响应于第一设定触发操作，基于传输层安全TLS协议建立所述车端设备与所述在线升级系统之间的第二安全通信通道，所述车端设备通过所述第二安全通信通道向所述在线升级系统发送车端设备的数字证书；

通过所述在线升级系统基于所述数字证书获取对应的公钥，并将所述公钥发送至所述密钥管理系统，以通过所述密钥管理系统利用所述公钥对所述对称密钥进行加密，获得所述对称密钥的数字信封，并将所述数字信封反馈至所述在线升级系统；

所述在线升级系统通过所述第二安全通信通道将所述数字信封、所述签名地址、所述签名摘要以及所述签名系统的签名证书发送至所述车端设备；

通过所述车端设备的安全中间件对所述签名地址以及所述签名系统的签名证书进行验证，在确定验证结果满足第二验证条件时，从所述内容分发系统获取所述加密后的升级包。

3.根据权利要求2所述的方法，其特征在于，所述在线升级系统通过所述第二安全通信通道将所述数字信封、所述签名地址、所述签名摘要以及所述签名系统的签名证书发送至所述车端设备，包括：

所述在线升级系统通过所述第二安全通信通道将所述数字信封、所述签名地址、所述签名摘要以及所述签名系统的签名证书逐一地分别发送至所述车端设备。

4.根据权利要求2所述的方法，其特征在于，所述通过所述车端设备的安全中间件对所述签名地址以及所述签名系统的签名证书进行验证，在确定验证结果满足第二验证条件时，从所述内容分发系统获取所述加密后的升级包，包括：

对所述签名证书进行验证，在确定所述签名证书满足第一条件时，对所述签名地址进行验证，在确定所述签名地址满足第二条件时，通过所述车端设备的安全中间件将解析出的内容分发系统的网络地址发送至所述车端设备，其中，当所述签名证书满足第一条件且所述签名地址满足第二条件时确定验证结果满足所述第二验证条件；

响应于第二设定触发操作，基于传输层安全TLS协议建立所述车端设备与所述内容分发系统之间的第三安全通信通道；

所述内容分发系统通过所述第三安全通信通道向所述车端设备发送所述加密后的升级包。

5.根据权利要求4所述的方法，其特征在于，所述内容分发系统通过所述第三安全通信通道向所述车端设备发送所述加密后的升级包之前，还包括：

所述车端设备将请求信息进行签名处理，获得签名请求；

所述车端设备生成第二随机身份标识码，并将所述第二随机身份标识码进行签名处理，获得第二身份签名；

所述车端设备通过所述第三安全通信通道向所述内容分发系统发送所述第二身份签名以及所述签名请求；

通过所述内容分发系统基于所述第二身份签名对所述车端设备的身份进行验证，在确定所述车端设备的身份满足第三验证条件时，所述内容分发系统按照所述签名请求通过所述第三安全通信通道向所述车端设备发送所述加密后的升级包。

6.根据权利要求4所述的方法，其特征在于，还包括：

通过所述安全中间件对所述加密后的升级包进行解密，获得升级包明文，并计算所述升级包明文的第二摘要值，将解密后的升级包明文以及所述第二摘要值反馈至所述车端设备；

通过所述车端设备利用所述第二摘要值对所述签名摘要进行验签，若验签通过，对所述解密后的升级包明文进行存储，以基于所述解密后的升级包明文进行软件升级。

7.根据权利要求1所述的方法，其特征在于，所述通过所述在线升级系统将所述第一身份签名以及所述加密后的升级包发送至内容分发系统，包括：

通过所述在线升级系统与所述内容分发系统之间的第一安全通信通道，将所述第一身份签名以及所述加密后的升级包发送至内容分发系统，其中，所述第一安全通信通道基于传输层安全TLS协议以及所述在线升级系统的通讯证书建立；

所述申请信息中还包括升级包版本号，对应的，所述密钥管理系统还用于对所述对称密钥和所述升级包版本号进行绑定管理。

8.一种车辆软件升级装置，其特征在于，包括：在线升级系统、签名系统、密钥管理系统、内容分发系统、车辆设备以及车辆设备的安全中间件；

其中，当在线升级系统中有新的升级包生成时，通过所述在线升级系统计算所述升级包的摘要，获得所述升级包的第一摘要值；

通过所述在线升级系统将所述第一摘要值发送至签名系统；

通过所述签名系统对所述第一摘要值进行签名处理，获得签名摘要，并通过所述签名系统将所述签名摘要反馈至所述在线升级系统，所述签名摘要用于确定所述升级包是否被修改过；

通过所述在线升级系统向密钥管理系统发送申请信息，以获取用于对所述升级包进行加密处理的对称密钥，其中，所述申请信息中包括所述在线升级系统的通讯证书；

通过所述密钥管理系统基于所述申请信息生成所述对称密钥，并利用所述通讯证书的公钥对所述对称密钥进行加密处理，并将加密后的对称密钥反馈至所述在线升级系统；

通过所述在线升级系统利用所述通讯证书的私钥对所述加密后的对称密钥进行解密，获得所述对称密钥，并利用所述对称密钥对所述升级包进行对称加密处理，获得加密后的升级包；

通过所述在线升级系统生成第一随机身份标识码，并将所述第一随机身份标识码发送至所述签名系统，以通过所述签名系统对所述第一随机身份标识码进行签名处理，获得第一身份签名，并将所述第一身份签名反馈至所述在线升级系统；

通过所述在线升级系统将所述第一身份签名以及所述加密后的升级包发送至内容分发系统；

通过所述内容分发系统基于所述第一身份签名对所述在线升级系统的身份进行验证，在确定所述在线升级系统的身份满足第一验证条件时，对所述加密后的升级包进行存储，以供车端设备请求下载；

通过所述在线升级系统将所述内容分发系统的网络地址发送至所述签名系统，以通过所述签名系统对所述网络地址进行签名处理，获得签名地址，并将所述签名地址反馈至所述在线升级系统；

当车端设备接收到所述在线升级系统推送的升级通知时，响应于第一设定触发操作，基于传输层安全TLS协议建立所述车端设备与所述在线升级系统之间的第二安全通信通道，所述车端设备通过所述第二安全通信通道向所述在线升级系统发送车端设备的数字证书；

通过所述在线升级系统基于所述数字证书获取对应的公钥，并将所述公钥发送至所述密钥管理系统，以通过所述密钥管理系统利用所述公钥对所述对称密钥进行加密，获得所述对称密钥的数字信封，并将所述数字信封反馈至所述在线升级系统；

所述在线升级系统通过所述第二安全通信通道将所述数字信封、所述签名地址、所述签名摘要以及所述签名系统的签名证书发送至所述车端设备；

通过所述车端设备的安全中间件对所述签名地址以及所述签名系统的签名证书进行验证，在确定验证结果满足第二验证条件时，从所述内容分发系统获取所述加密后的升级包。

9.一种电子设备，其特征在于，所述电子设备包括：

处理器和存储器；

所述处理器通过调用所述存储器存储的程序或指令，用于执行如权利要求1至7任一项所述的车辆软件升级方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储程序或指令，所述程序或指令使计算机执行如权利要求1至7任一项所述的车辆软件升级方法的步骤。

Images