CN115129347A - 一种汽车安全数据的更新方法、装置、设备及产品 - Google Patents

Abstract

本发明公开了一种汽车安全数据的更新方法、装置、设备及产品，涉及汽车技术领域，该方法包括：电池管理系统确定由服务端发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位；第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位；硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区；将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内。本发明省去了拆车拆包的过程，节省了人力物力，符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

Description

一种汽车安全数据的更新方法、装置、设备及产品

技术领域

本发明涉及汽车技术领域，具体涉及一种汽车安全数据的更新方法、装置、设备及产品。

背景技术

由电动汽车的动力来源可知，电动汽车极其重要的组成部分之一便是电池管理系统(Battery Management System，BMS)。BMS中可以集成硬件安全模块(Hardware SecurityModule，HSM)，HSM旨在提高汽车车载网络和车联网(Vehicle to X，V2X)应用的防御攻击的能力。BMS通过CANbus与电动汽车整车控制器通信，然而，HSM的运行代码不能通过CANbus来进行软件更新，只能通过调试器直接连接硬件调试接口来更新代码，这样导致经过标准作业程序(Standard Operating Procedure，SOP)以后的电动汽车整车，只能拆车拆包才能HSM的代码，费事费力，且不符合汽车现有的产业结构和安全需求，不能对汽车软件更新的全生命周期进行安全防护。

因此，如何在BMS装车后不拆车拆包的情况下更新HSM的代码以更新安全信息是目前业界亟待解决的重要课题。

发明内容

有鉴于此，本发明实施例提供了一种汽车安全数据的更新方法、装置、设备及产品，以解决BMS装车后只能拆车拆包才能HSM的代码的问题。

根据第一方面，本发明实施例提供了一种汽车安全数据的更新方法，所述方法应用于客户端，客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信，所述方法包括：

电池管理系统确定由服务端发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位；

第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位；硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；

确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区；

第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内；第三代码区内的数据通过第一代码区擦除。

结合第一方面，在第一方面第一实施方式中，刷写数据中包含签名信息；

所述确定由服务端基于请求刷写标志位返回的刷写数据，将已确定的刷写数据写入第二代码区，具体包括：

电池管理系统确定服务端基于请求刷写标志位返回的刷写数据，并将刷写数据存放在IPC中；

基于第一代码区，确定刷写数据，将已确定的刷写数据写入第二代码区，并基于刷写数据中的签名信息对第二代码区内的数据进行校验；

确定第二代码区校验通过，第一代码区生成并向服务端第一成功标志位。

结合第一方面第一实施方式，在第一方面第二实施方式中，所述方法还包括：

确定第二代码区校验未通过，第一代码区生成并向服务端第一失败标志位，第一代码区删除第二代码区的数据并复位硬件安全模块。

结合第一方面第一实施方式，在第一方面第三实施方式中，所述第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内；第三代码区内的数据通过第一代码区擦除，具体包括：

基于第一成功标志位，第一代码区擦除第三代码区内的数据；

第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内，并基于刷写数据中的签名信息对第三代码区内的数据进行校验；

确定第三代码区校验通过，第一代码区生成并向服务端第二成功标志位。

结合第一方面第三实施方式，在第一方面第四实施方式中，所述方法还包括：

确定第三代码区校验未通过，第一代码区生成并向服务端第二失败标志位，第一代码区删除第三代码区的数据并复位硬件安全模块。

根据第二方面，本发明实施例还提供了一种汽车安全数据的更新方法，所述方法应用于服务端，所述方法包括：

确定数据更新请求以及刷写数据，并基于数据更新请求，确定信息刷写指令；

确定由客户端基于信息刷写指令返回的请求刷写标志位；客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信；

向客户端发送刷写数据；硬件安全模块中的第一代码区及电池管理系统之间通过IPC传输标志位和刷写数据，硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；第一代码区用于刷写、删除第二代码区的数据，擦除、删除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

根据第三方面，本发明实施例还提供了一种汽车安全数据的更新装置，所述装置应用于客户端，客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信，所述装置包括：

第一生成模块，用于通过电池管理系统确定由服务端发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位；

第二生成模块，用于通过第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位；硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；

第一刷写模块，用于确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区；

第二刷写模块，用于通过第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内；第三代码区内的数据通过第一代码区擦除。

根据第四方面，本发明实施例还提供了一种汽车安全数据的更新方法，所述装置法应用于服务端，所述装置包括：

第一确定模块，用于确定数据更新请求以及刷写数据，并基于数据更新请求，确定信息刷写指令；

第二确定模块，用于确定由客户端基于信息刷写指令返回的请求刷写标志位；客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信；

数据发送模块，用于向客户端发送刷写数据；硬件安全模块中的第一代码区及电池管理系统之间通过IPC传输标志位和刷写数据，硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；第一代码区用于刷写、删除第二代码区的数据，擦除、删除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

根据第五方面，本发明实施例还提供了一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一项所述汽车安全数据的更新方法的步骤。

根据第六方面，本发明实施例还提供了一种非暂态计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上述任一项所述汽车安全数据的更新方法的步骤。

根据第七方面，本发明实施例还提供了一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时，实现如上述任一所述的汽车安全数据的更新方法。

本发明提供的汽车安全数据的更新方法、装置、设备及产品，应用于客户端时，通过IPC，可以进行客户端HSM和BMS之间的数据交互，服务端基于IPC和现有的CAN等通信方式，可以对HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力；通过将HSM的代码闪存划分为第一、二、三代码区，实现刷写数据的有序刷写，确保刷写数据能够安全且有效地刷写至HSM，按需求完成HSM运行代码的更新。本发明符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护；

应用于服务端时，服务端接收到客户端正响应的请求刷写标志位，之后服务端基于IPC和现有的CAN等通信方式，传输刷写数据，对客户端的HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力，按需求完成HSM运行代码的更新。本发明符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

附图说明

通过参考附图会更加清楚的理解本发明的特征和优点，附图是示意性的而不应理解为对本发明进行任何限制，在附图中：

图1示出了本发明实施例提供的汽车安全数据的更新方法应用于客户端时的流程示意图；

图2示出了本发明实施例提供的汽车安全数据的更新方法中步骤S20具体的流程示意图；

图3示出了本发明实施例提供的汽车安全数据的更新方法中步骤S40具体的流程示意图。

图4示出了本发明实施例提供的汽车安全数据的更新方法应用于服务端时的流程示意图；

图5示出了本发明实施例提供的汽车安全数据的更新装置应用于客户端时的结构示意图；

图6示出了本发明实施例提供的汽车安全数据的更新装置应用于服务端时的流程示意图；

图7示出了本发明实施例提供的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

汽车行业考虑到节能化的要求，出现了相对于燃油汽车而言，使用新能源的电动汽车，与传统燃油汽车不同的是，电动汽车的动力来源为电池给电动机供电后电动机产生的动力。

由电动汽车的动力来源可知，电动汽车极其重要的组成部分之一便是BMS。BMS负责实时采集、处理、存储电池组运行过程中的重要信息，并负责与外部设备如整车控制器交换信息，可以解决电动汽车的锂电池系统中安全性、可用性、易用性、使用寿命等关键问题。

例如，由于电动汽车的锂电池是电化学载体，锂电池在充电的时候会发生各种反应，在外界有诸多不安全因素的情况下，如何保障电池系统的安全，是电池管理技术的核心问题。BMS可以根据电池电压、温度和所使用的环境，来制定电池充放电功率，将信息反馈给整车，让电池用在比较舒适的环境。

HSM是用于保护和管理强认证系统所使用的密钥和敏感数据，并同时提供相关密码学操作的计算机设备。在汽车领域为了能达到车规级鲁棒性要求，HSM一般是一片独立的芯片或者集成在芯片上的一个分区，因此目前HMS是可以集成在BMS上的。

HSM对于完全的安全车载通信(Secure Onboard Communication，SecOC)是必不可少的。HSM有助于确保此处收到的所有数据的真实性，并防止攻击者通过绕过与安全性相关的ECU接口，获得对中央处理器甚至车载网络的访问权限。

目前，BMS会同锂电池的动力电池组一起组成电池包整体，此时与BMS存在通信关系为：整车控制器和充电机。具体的，BMS通过CANbus与电动汽车整车控制器通信，上报电池包状态参数、接收整车控制器指令，以配合整车需要，确定功率输出，或者，BMS监控整个电池包的运行状态，保护电池包不受过放、过热等非正常运行状态的侵害；充电过程中，BMS与充电机进行交互，管理充电参数并监控电动汽车充电过程，以保证充电能够正常完成。

然而，HSM的运行代码不能通过CANbus进行更新，只能通过调试器直接连接硬件调试接口来更新代码，这样就存在一个问题，经过标准作业程序(Standard OperatingProcedure，SOP)以后的电动汽车整车，只能拆车拆包才能更新HSM的运行代码。

下面结合图1描述本申请的汽车安全数据的更新方法，图1的方法应用于客户端，需要说明的是，客户端中安装有HSM的BMS，HSM和BMS是基于IPC建立通信的，该方法包括：

S10、客户端中的BMS确定由服务端(例如上位机)发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位。

目前，上位机若想要与集成在装车后的BSM中的HSM进行通信，必须通过IPC(InterProcessor Communication)的通道(channel)进行通信，上位机并不能直接通过CANbus与集成在装车后的BSM中的HSM进行通信。IPC通信技术即通过硬件通信(mailbox)、共享内存(Share memory)及仲裁电路来实现各异构核之间数据快速交换及存取。

在本实施例中，会通过IPC中的两条通道实现BSM与HSM之间的通信，其中一条通道(channel1)负责存放并传输标志位，另一条通道(channel2)则负责存放并传输刷写数据。

BMS在确定由服务端发送的信息刷写指令后，会生成信息更新标志位，该信息更新标志位即会存放在IPC中。

S20、第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位。

在本实施例中，HSM中负责储存程序代码的代码闪存(Code Flash)被划分为第一代码区、第二代码区和第三代码区，第一代码区为HSM的更新区(HSM Updater区)，第二代码区为HSM的新代码区、第三代码区为HSM的旧代码区。

例如，整个代码闪存段的存储大小为192KB，代码闪存段的存储地址为0x608000-0x637FFF，被划分的第一代码区的存储地址为0x6200000-0x620FFFF，被划分的第二代码区的存储地址为0x6300000-0x630FFFF，被划分的第三代码区的存储地址为0x6100000-0x610FFFF。

同样的，第一代码区确定信息更新标志位后，生成请求刷写标志位，请求刷写标志位也会存放在IPC中，借由IPC传输给BMS，BMS能够直接通过CANbus例如基于CAN FD与服务端通信，因此服务端是可以接收到BMS处的请求刷写标志位。服务端得到BMS的正响应之后，会向BMS发送刷写数据，进行安全数据的更新。

在本实施例中，第一代码区每经过预设检测时长确定IPC中是否存在信息更新标志位，也就是说第一代码区会周期性的检测IPC中是否存在信息更新标志位，当第一代码区检测到信息更新标志位后，生成请求刷写标志位。

在本发明一些可能的实施例中，预设检测时长之间不设置时间间隔，也就是第一代码区会不间断的进行检测；在本发明另一些可能的实施例中，预设检测时长之间会设置预设时间间隔，也就是第一代码区每检测一次标志位后会间隔一段时长，再进行下一次的标志位检测。

S30、确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区。

服务端基于请求刷写标志位返回的刷写数据会先发送给BMS，BMS将刷写数据存放到IPC中，并基于IPC将刷写数据传输给HSM，HSM在接的第一代码区收到刷写数据后，将刷写数据写入第二代码区，进行安全数据的更新。

在本发明的方法中，安全数据更新所需的标志位和刷写数据均通过在BMS与HSM之间建立的IPC进行传输，因此，BMS可以直接通过CANbus与服务端进行标志位和刷写数据的传输，也即，通过IPC和现有的CAN通信方式，服务端可以对HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力，符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

S40、通过第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内，在本实施例中，第三代码区内的数据是通过第一代码区擦除的。

当HSM收到完整的刷写数据，也就是当新代码完全更新至第二代码区后，第一代码区会将第三代码区的数据擦除，擦除完成后，第一代码区再将第二代码区的数据直接拷贝到第三代码区。

在本实施例中，拷贝完成也就是第三代码区完全写入新代码后，第一代码区还会删除第二代码区的数据，为以后的数据更新做准备。

因此，在本实施例中，第一代码区用于刷写第二代码区的数据、擦除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

本发明的汽车安全数据的更新方法，通过IPC，可以进行客户端的HSM和BMS之间的数据交互，服务端基于IPC和现有的CAN等通信方式，可以对HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力；通过将HSM的代码闪存划分为第一、二、三代码区，实现刷写数据的有序刷写，确保刷写数据能够安全且有效地刷写至HSM，按需求完成HSM运行代码的更新。本发明符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

由于数据么刷写时必须知道要刷到哪里(即起始地址和结束地址)、刷写空间够不够大、刷写是否正确完成等，才能保证刷写的质量，需要说明的是，本发明的刷写数据中包含存储地址、待更新数据、校验数据、刷写类型和刷写长度等信息，校验数据用于验证刷写是否正确。刷写数据中包含的上述信息可以通过专用的工具进行解析，然后将解析的信息通过相应的服务实现刷写。

在本发明一些可能的实施例中，校验数据为校验和(checksum)，即通过校验和校验刷写是否正确。

在本实施例中，刷写数据中还包含有由服务端签发的签名信息，对签名信息的校验用于确认刷写数据是否被篡改。

基于上述内容，下面结合图2描述本申请的汽车安全数据的更新方法，步骤S30，具体包括：

S31、当客户端收到服务端反馈的可以下载正响应后，通过BMS确定由服务端基于请求刷写标志位返回的刷写数据，之后由BMS将刷写数据存放在IPC中。

S32、基于第一代码区，确定刷写数据，将已确定的刷写数据写入第二代码区，并基于刷写数据中的签名信息对第二代码区内的数据进行校验。

在本发明一些可能的实施例中，步骤32中，IPC中存放的数据是由第一代码区确定的，当第一代码区接收到IPC中存放的刷写数据后，将刷写数据更新写入第二代码区；在本发明另一些可能的实施例中，步骤S32中也可以由服务端依次通过现有的通信方式以及IPC，将刷写数据更新写入至第二代码区。

S33、确定第二代码区校验通过，第一代码区生成并向服务端第一成功标志位。

第一代码区中可以集成有用于解析签名信息的签名验证信息，也可以由服务端依次通过CAN、IPC将签名验证信息传输给第一代码区，之后第二代码区基于现有的能够进行签名验证的方式进行签名验证，当服务端签发的签名信息能够被验证通过，例如签名是一致的，即第二代码区的数据校验通过。此时，第一代码区会生成第一成功标志位并存放在IPC中，第一成功标志位通过IPC传输给BMS，BMS再通过现有的通信方式将第一成功标志位传输给服务端，也即客户端会正响应给服务端。

S34、确定第二代码区校验未通过，第一代码区生成并向服务端第一失败标志位，第一代码区删除第二代码区的数据并复位硬件安全模块。

若第二代码区的数据校验未通过。此时，第一代码区会生成第一失败标志位并存放在IPC中，第一失败标志位通过IPC传输给BMS，BMS再通过现有的通信方式将第一失败标志位传输给服务端，也即客户端会负响应给服务端，同时第一代码区还会删除第二代码区的数据，并复位HSM，为之后的数据刷写做准备。基于负响应，服务端传输新的刷写数据，并重复步骤S10至步骤S30，直至客户端会正响应给服务端，完成一次安全数据的更新。

刷写数据的数据就会按照一一对应的地址逐块地被刷写到第二代码区中，当数据刷写完毕，则开始验证刷写数据中包含的校验数据，例如，验证校验和。以验证校验和为例进行说明，根据起始地址和地址大小来获取第二代码区的数据，通过既定的算法计算得到一个实际的校验和，比较实际的和预期的校验和，两者相等则说明刷写的数据正确，实际的和预期的校验和不相等时，说明刷写的数据并非全部正确的。

在本发明一些可能的实施例中，当校验数据未校验通过时，也可以生成第一失败标志位，并基于IPC、CAN等传输给服务端，也即当校验数据未校验通过时客户端也会负响应给服务端。

下面结合图3描述本申请的汽车安全数据的更新方法，步骤S40具体包括：

S41、基于第一成功标志位，第一代码区擦除第三代码区内的数据。

S42、通过第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内，并基于刷写数据中的签名信息对第三代码区内的数据进行校验。

步骤S42的校验过程与步骤S32类似，在此不做过多阐述。

S43、确定第三代码区校验通过，第一代码区生成并向服务端第二成功标志位。

与步骤S33类似，第三代码区的数据校验通过时，第一代码区会生成第二成功标志位并存放在IPC中，第二成功标志位通过IPC传输给BMS，BMS再通过现有的通信方式将第二成功标志位传输给服务端，也即客户端会正响应给服务端。

S44、确定第三代码区校验未通过，第一代码区生成并向服务端第二失败标志位，第一代码区删除第三代码区的数据并复位硬件安全模块。

与步骤S34类似，第三代码区的数据校验未通过时，第一代码区会生成第二失败标志位并存放在IPC中，第二失败标志位通过IPC传输给BMS，BMS再通过现有的通信方式将第二失败标志位传输给服务端，也即客户端会负响应给服务端。基于负响应，服务端传输新的刷写数据，并重复步骤S10至步骤S40，直至客户端会正响应给服务端，完成一次安全数据的更新。

通过步骤S30和步骤40的两次校验过程，校验刷写数据是否被篡改，实现刷写数据的有序刷写，并且确保刷写数据能够安全且有效地刷写至HSM。

同时，本实施例中，第一代码区还用于校验刷写数据是否被篡改、删除第二、第三代码区的数据。

下面结合图4描述本申请的汽车安全数据的更新方法，图4的方法应用于服务端，服务端用于更新客户端的安全数据，需要说明的是，客户端中安装有HSM的BMS，HSM和BMS是基于IPC建立通信的，更新客户端的安全数据为更新HSM的运行代码，该方法包括：

S50、确定数据更新请求以及刷写数据，并基于数据更新请求，确定信息刷写指令。

服务端在获取到用户的数据更新请求后，生成信息刷写指令。

S60、确定由客户端基于信息刷写指令返回的请求刷写标志位。

需要说明的是，用户的数据更新请求还可以是对BMS其他模块的数据更新。客户端确定数据更新请求为HSM的更新请求或者包含HSM的更新请求后，才会向服务端返回请求刷写标志位。

目前，上位机若想要与集成在装车后的BSM中的HSM进行通信，必须通过IPC的通道(channel)进行通信，上位机并不能直接通过CANbus与集成在装车后的BSM中的HSM进行通信。IPC通信技术即通过硬件通信(mailbox)、共享内存(Share memory)及仲裁电路来实现各异构核之间数据快速交换及存取。

在本实施例中，会通过IPC中的两条通道实现BSM与HSM之间的通信，其中一条通道(channel1)负责存放并传输标志位，另一条通道(channel2)则负责存放并传输刷写数据。

在本发明一些可能的实施例中，BSM通过现有的CANbus等通信方式接收到信息刷写指令后，生成信息更新标志位，该信息更新标志位即会存放在IPC中，HSM确定IPC中存放的信息更新标志位后，HSM生成请求刷写标志位。请求刷写标志位也会存放在IPC中，再借由IPC传输给BMS，BMS能够直接通过CANbus例如基于CAN FD与服务端通信，因此服务端是可以接收到BMS处的请求刷写标志位。

S70、向客户端发送刷写数据。

服务端得到BMS的正响应之后，会向BMS发送刷写数据，BMS再通过IPC存放刷写数据并将刷写数据传输给HSM，之后将刷写数据刷写至HSM中，完成安全数据的更新。由于数据么刷写时必须知道要刷到哪里(即起始地址和结束地址)、刷写空间够不够大、刷写是否正确完成等，才能保证刷写的质量，需要说明的是，本发明的刷写数据中包含存储地址、待更新数据、校验数据、刷写类型和刷写长度等信息，校验数据用于验证刷写是否正确。刷写数据中包含的上述信息可以通过专用的工具进行解析，然后将解析的信息通过相应的服务实现刷写。

更具体的，HSM中的第一代码区及BMS之间通过IPC传输标志位和刷写数据，HSM的代码闪存包括第一代码区、第二代码区和第三代码区；第一代码区用于刷写、删除第二代码区的数据，擦除、删除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

在本发明的方法中，安全数据更新所需的标志位和刷写数据均通过在BMS与HSM之间建立的IPC进行传输，因此，服务端可以直接通过CANbus与客户端的BMS进行标志位和刷写数据的传输，也即，通过IPC和现有的CAN通信方式，服务端可以对HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力，符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

本发明的汽车安全数据的更新方法，服务端接收到客户端正响应的请求刷写标志位，之后服务端基于IPC和现有的CAN等通信方式，传输刷写数据，对客户端的HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力，按需求完成HSM运行代码的更新。本发明符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

下面对本发明提供的汽车安全数据的更新装置进行描述，下文描述的汽车安全数据的更新装置与上文描述的汽车安全数据的更新方法可相互对应参照。

下面结合图5描述本申请的汽车安全数据的更新装置，图5的装置应用于客户端，需要说明的是，客户端中安装有HSM的BMS，HSM和BMS是基于IPC建立通信的，该装置包括：

第一生成模块10，用于通过客户端中的BMS确定由服务端(例如上位机)发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位。

目前，上位机若想要与集成在装车后的BSM中的HSM进行通信，必须通过IPC的通道(channel)进行通信，上位机并不能直接通过CANbus与集成在装车后的BSM中的HSM进行通信。IPC通信技术即通过硬件通信(mailbox)、共享内存(Share memory)及仲裁电路来实现各异构核之间数据快速交换及存取。

在本实施例中，会通过IPC中的两条通道实现BSM与HSM之间的通信，其中一条通道(channel1)负责存放并传输标志位，另一条通道(channel2)则负责存放并传输刷写数据。

BMS在确定由服务端发送的信息刷写指令后，会生成信息更新标志位，该信息更新标志位即会存放在IPC中。

第二生成模块20，用于通过第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位。

在本实施例中，HSM中负责储存程序代码的代码闪存(Code Flash)被划分为第一代码区、第二代码区和第三代码区，第一代码区为HSM的更新区(HSM Updater区)，第二代码区为HSM的新代码区、第三代码区为HSM的旧代码区。

例如，整个代码闪存段的存储大小为192KB，代码闪存段的存储地址为0x608000-0x637FFF，被划分的第一代码区的存储地址为0x6200000-0x620FFFF，被划分的第二代码区的存储地址为0x6300000-0x630FFFF，被划分的第三代码区的存储地址为0x6100000-0x610FFFF。

同样的，第一代码区确定信息更新标志位后，生成请求刷写标志位，请求刷写标志位也会存放在IPC中，借由IPC传输给BMS，BMS能够直接通过CANbus例如基于CAN FD与服务端通信，因此服务端是可以接收到BMS处的请求刷写标志位。服务端得到BMS的正响应之后，会向BMS发送刷写数据，进行安全数据的更新。

在本实施例中，第一代码区每经过预设检测时长确定IPC中是否存在信息更新标志位，也就是说第一代码区会周期性的检测IPC中是否存在信息更新标志位，当第一代码区检测到信息更新标志位后，生成请求刷写标志位。

在本发明一些可能的实施例中，预设检测时长之间不设置时间间隔，也就是第一代码区会不间断的进行检测；在本发明另一些可能的实施例中，预设检测时长之间会设置预设时间间隔，也就是第一代码区每检测一次标志位后会间隔一段时长，再进行下一次的标志位检测。

第一刷写模块30，用于确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区。

服务端基于请求刷写标志位返回的刷写数据会先发送给BMS，BMS将刷写数据存放到IPC中，并基于IPC将刷写数据传输给HSM，HSM的第一代码区在接收到刷写数据后，将刷写数据写入第二代码区，进行安全数据的更新。

在本发明的装置中，安全数据更新所需的标志位和刷写数据均通过在BMS与HSM之间建立的IPC进行传输，因此，BMS可以直接通过CANbus与服务端进行标志位和刷写数据的传输，也即，通过IPC和现有的CAN通信方式，服务端可以对HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力，符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

第二刷写模块40，用于通过第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内，在本实施例中，第三代码区内的数据是通过第一代码区擦除的。

当HSM收到完整的刷写数据，也就是当新代码完全更新至第二代码区后，第一代码区会将第三代码区的数据擦除，擦除完成后，第一代码区将第二代码区的数据直接拷贝到第三代码区。

在本实施例中，拷贝完成也就是第三代码区完全写入新代码后，第一代码区还会删除第二代码区的数据，为以后的数据更新做准备。

因此，在本实施例中，第一代码区用于刷写第二代码区的数据、擦除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

本发明的汽车安全数据的更新装置，通过IPC，可以进行客户端的HSM和BMS之间的数据交互，服务端基于IPC和现有的CAN等通信方式，可以对HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力；通过将HSM的代码闪存划分为第一、二、三代码区，实现刷写数据的有序刷写，确保刷写数据能够安全且有效地刷写至HSM，按需求完成HSM运行代码的更新。本发明符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

下面结合图6描述本申请的汽车安全数据的更新装置，图6的装置应用于服务端，服务端用于更新客户端的安全数据，需要说明的是，客户端中安装有HSM的BMS，HSM和BMS是基于IPC建立通信的，更新客户端的安全数据为更新HSM的运行代码，该装置包括：

第一确定模块50，用于确定数据更新请求以及刷写数据，并基于数据更新请求，确定信息刷写指令。

服务端在获取到用户的数据更新请求后，生成信息刷写指令。

第二确定模块60，用于确定由客户端基于信息刷写指令返回的请求刷写标志位。

需要说明的是，用户的数据更新请求还可以是对BMS其他模块的数据更新。客户端确定数据更新请求为HSM的更新请求或者包含HSM的更新请求后，才会向服务端返回请求刷写标志位。

目前，上位机若想要与集成在装车后的BSM中的HSM进行通信，必须通过IPC的通道(channel)进行通信，上位机并不能直接通过CANbus与集成在装车后的BSM中的HSM进行通信。IPC通信技术即通过硬件通信(mailbox)、共享内存(Share memory)及仲裁电路来实现各异构核之间数据快速交换及存取。

在本实施例中，会通过IPC中的两条通道实现BSM与HSM之间的通信，其中一条通道(channel1)负责存放并传输标志位，另一条通道(channel2)则负责存放并传输刷写数据。

在本发明一些可能的实施例中，BSM通过现有的CANbus等通信方式接收到信息刷写指令后，生成信息更新标志位，该信息更新标志位即会存放在IPC中，HSM确定IPC中存放的信息更新标志位后，HSM生成请求刷写标志位。请求刷写标志位也会存放在IPC中，再借由IPC传输给BMS，BMS能够直接通过CANbus例如基于CAN FD与服务端通信，因此服务端是可以接收到BMS处的请求刷写标志位。

数据发送模块70，用于向客户端发送刷写数据。

服务端得到BMS的正响应之后，会向BMS发送刷写数据，BMS再通过IPC存放刷写数据并将刷写数据传输给HSM，之后将刷写数据刷写至HSM中，完成安全数据的更新。由于数据么刷写时必须知道要刷到哪里(即起始地址和结束地址)、刷写空间够不够大、刷写是否正确完成等，才能保证刷写的质量，需要说明的是，本发明的刷写数据中包含存储地址、待更新数据、校验数据、刷写类型和刷写长度等信息，校验数据用于验证刷写是否正确。刷写数据中包含的上述信息可以通过专用的工具进行解析，然后将解析的信息通过相应的服务实现刷写。

更具体的，HSM中的第一代码区及BMS之间通过IPC传输标志位和刷写数据，HSM的代码闪存包括第一代码区、第二代码区和第三代码区；第一代码区用于刷写、删除第二代码区的数据，擦除、删除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

在本发明的装置中，安全数据更新所需的标志位和刷写数据均通过在BMS与HSM之间建立的IPC进行传输，因此，服务端可以直接通过CANbus与客户端的BMS进行标志位和刷写数据的传输，也即，通过IPC和现有的CAN通信方式，服务端可以对HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力，符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

本发明的汽车安全数据的更新装置，服务端接收到客户端正响应的请求刷写标志位，之后服务端基于IPC和现有的CAN等通信方式，传输刷写数据，对客户端的HSM的运行代码进行更新，对于经过SOP的整车而言，省去了拆车拆包的过程，节省了人力物力，按需求完成HSM运行代码的更新。本发明符合汽车现有的产业结构和安全需求，同时还能够对汽车软件更新的全生命周期进行安全防护。

图7示例了一种电子设备的实体结构示意图，如图7所示，该电子设备可以包括：处理器(processor)810、通信接口(Communications Interface)820、存储器(memory)830和通信总线840，其中，处理器810，通信接口820，存储器830通过通信总线840完成相互间的通信。处理器810可以调用存储器830中的逻辑命令，以执行汽车安全数据的更新方法，该方法包括：

电池管理系统确定由服务端发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位；

第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位；硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；

确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区；

第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内；第三代码区内的数据通过第一代码区擦除；

或者，该方法包括：

确定数据更新请求以及刷写数据，并基于数据更新请求，确定信息刷写指令；

确定由客户端基于信息刷写指令返回的请求刷写标志位；客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信；

向客户端发送刷写数据；硬件安全模块中的第一代码区及电池管理系统之间通过IPC传输标志位和刷写数据，硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；第一代码区用于刷写、删除第二代码区的数据，擦除、删除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

此外，上述的存储器830中的逻辑命令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干命令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

另一方面，本发明还提供一种计算机程序产品，所述计算机程序产品包括计算机程序，计算机程序可存储在非暂态计算机可读存储介质上，所述计算机程序被处理器执行时，计算机能够执行上述各方法所提供的汽车安全数据的更新方法，该方法包括：

电池管理系统确定由服务端发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位；

第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位；硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；

确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区；

第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内；第三代码区内的数据通过第一代码区擦除；

或者，该方法包括：

确定数据更新请求以及刷写数据，并基于数据更新请求，确定信息刷写指令；

确定由客户端基于信息刷写指令返回的请求刷写标志位；客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信；

向客户端发送刷写数据；硬件安全模块中的第一代码区及电池管理系统之间通过IPC传输标志位和刷写数据，硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；第一代码区用于刷写、删除第二代码区的数据，擦除、删除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

又一方面，本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各方法提供的汽车安全数据的更新方法，该方法包括：

电池管理系统确定由服务端发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位；

第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位；硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；

确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区；

第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内；第三代码区内的数据通过第一代码区擦除；

或者，该方法包括：

确定数据更新请求以及刷写数据，并基于数据更新请求，确定信息刷写指令；

确定由客户端基于信息刷写指令返回的请求刷写标志位；客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信；

向客户端发送刷写数据；硬件安全模块中的第一代码区及电池管理系统之间通过IPC传输标志位和刷写数据，硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；第一代码区用于刷写、删除第二代码区的数据，擦除、删除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干命令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种汽车安全数据的更新方法，其特征在于，所述方法应用于客户端，客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信，所述方法包括：

电池管理系统确定由服务端发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位；

第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位；硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；

确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区；

第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内；第三代码区内的数据通过第一代码区擦除。

2.根据权利要求1所述的汽车安全数据的更新方法，其特征在于，刷写数据中包含签名信息；

所述确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区，具体包括：

电池管理系统确定服务端基于请求刷写标志位返回的刷写数据，并将刷写数据存放在IPC中；

基于第一代码区，确定刷写数据，将已确定的刷写数据写入第二代码区，并基于刷写数据中的签名信息对第二代码区内的数据进行校验；

确定第二代码区校验通过，第一代码区生成并向服务端第一成功标志位。

3.根据权利要求2所述的汽车安全数据的更新方法，其特征在于，所述方法还包括：

确定第二代码区校验未通过，第一代码区生成并向服务端第一失败标志位，第一代码区删除第二代码区的数据并复位硬件安全模块。

4.根据权利要求2所述的汽车安全数据的更新方法，其特征在于，所述第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内，具体包括：

基于第一成功标志位，第一代码区擦除第三代码区内的数据；

第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内，并基于刷写数据中的签名信息对第三代码区内的数据进行校验；

确定第三代码区校验通过，第一代码区生成并向服务端第二成功标志位。

5.根据权利要求4所述的汽车安全数据的更新方法，其特征在于，所述方法还包括：

确定第三代码区校验未通过，第一代码区生成并向服务端第二失败标志位，第一代码区删除第三代码区的数据并复位硬件安全模块。

6.一种汽车安全数据的更新方法，其特征在于，所述方法应用于服务端，所述方法包括：

确定数据更新请求以及刷写数据，并基于数据更新请求，确定信息刷写指令；

确定由客户端基于信息刷写指令返回的请求刷写标志位；客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信；

向客户端发送刷写数据；硬件安全模块中的第一代码区及电池管理系统之间通过IPC传输标志位和刷写数据，硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；第一代码区用于刷写、删除第二代码区的数据，擦除、删除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

7.一种汽车安全数据的更新装置，其特征在于，所述装置应用于客户端，客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信，所述装置包括：

第一生成模块，用于通过电池管理系统确定由服务端发送的信息刷写指令，并基于已确定的信息刷写指令，生成信息更新标志位；

第二生成模块，用于通过第一代码区确定信息更新标志位，生成并向服务端发送请求刷写标志位；硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；

第一刷写模块，用于确定由服务端基于请求刷写标志位返回的刷写数据，并基于第一代码区将已确定的刷写数据写入第二代码区；

第二刷写模块，用于通过第一代码区将第二代码区写入的刷写数据写入到已擦除数据的第三代码区内；第三代码区内的数据通过第一代码区擦除。

8.一种汽车安全数据的更新方法，其特征在于，所述装置法应用于服务端，所述装置包括：

第一确定模块，用于确定数据更新请求以及刷写数据，并基于数据更新请求，确定信息刷写指令；

第二确定模块，用于确定由客户端基于信息刷写指令返回的请求刷写标志位；客户端中安装有集成硬件安全模块的电池管理系统，硬件安全模块和电池管理系统基于IPC建立通信；

数据发送模块，用于向客户端发送刷写数据；硬件安全模块中的第一代码区及电池管理系统之间通过IPC传输标志位和刷写数据，硬件安全模块的代码闪存包括第一代码区、第二代码区和第三代码区；第一代码区用于刷写、删除第二代码区的数据，擦除、删除第三代码区的数据，以及，将第二代码区的数据写入第三代码区。

9.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至6任一项所述汽车安全数据的更新方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述汽车安全数据的更新方法的步骤。

Images