CN115220755A - 一种基于可信度量的路由器在线升级系统 - Google Patents

Abstract

本发明提供了一种基于可信度量的路由器在线升级系统，由网管设备与多个路由器组成，网管设备，用于提供路由器所需的可信软件包与远程下发指令，内置有可信模块；每个路由器包括主控板与多个单板，均设有独立的可信模块与存储设备，主控板设置有设备软件管理模块，下载可信软件包并进行软件包校验；将软件升级指示下达到各单板，并收集各单板升级结果进行上报；每个单板设置有单板软件管理模块，实现单板的可信软件更新及激活；可信模块，用于可信计算以及校验；存储设备，划分为两个分区，当前软件运行的分区为主区，另一分区为备区。本发明保证了全网路由器在线升级的高安全性和高可靠性要求，适用于内生安全通信网络的演进维护需求场景。

Description

一种基于可信度量的路由器在线升级系统

技术领域

本发明涉及网络通信领域，特别涉及一种基于可信度量的路由器在线升级系统。

背景技术

路由器作为网络通信中的重要网络节点，其安全性和可靠性均影响整个网络通信。路由器设备的硬件成本高，随着设备功能完善和性能提升，以及已知bug的修复，设备的程序在线升级不可避免，其中包括硬件程序FPGA，操作系统内核、各功能模块软件的升级。路由器作为一种嵌入式系统，使用可信度量技术可以有效的防止病毒入侵以及木马注入。但是可信度量的起点是RTM(root of trust for measurement)，这是一段不能被轻易更改的代码，是让用户感到可信的代码，那如何在具有可信度量功能的路由器上进行可靠的在线升级成为了一个难点。目前业界缺乏这样一种支持可信度量路由器的在线升级方法。

业界常见的设备升级方法存在以下缺点：1)现有的可信计算机升级方式仅支持单系统升级，软件类型单一，无法支持多单板多系统的路由器升级；2)升级过程保护不足，其间易植入木马病毒；3)程序更新过程中业务会中断，如果核心路由器出现业务中断，则会引起整个网络瘫痪；4)传统的路由器嵌入式设备需要预留专门的升级接口，如串口进行升级，这种传统升级方式比较繁琐且易出错，而且一些偏远地区需要专门的维护人员前往进行现场升级，维护不方便且成本高。

发明内容

针对现有技术中存在的问题，提供了一种基于可信度量的路由器在线升级系统，以解决路由器在升级过程中的各类问题。

本发明采用的技术方案如下：一种基于可信度量的路由器在线升级系统，由网管设备与多个路由器组成，多个路由器处于同一内生安全通信网络中：

网管设备，用于提供路由器所需的可信软件包与远程下发软件包下载或更新指令，内置有可信模块；

每个路由器包括主控板与多个单板，主控板与多个单板均设有独立的可信模块与存储设备，主控板中设置有设备软件管理模块，每个单板设置有单板软件管理模块；

设备软件管理模块，用于下载可信软件包并进行软件包校验；负责将软件升级指示下达到各单板，并收集各单板升级结果进行上报；

单板软件管理模块，实现各类型单板的可信软件更新及可信软件激活；

可信模块，用于可信计算以及校验；

存储设备，划分为两个分区，当前软件运行的分区为主区，另一分区为备区。

进一步的，可信软件包包括HEAD与DATA两部分，HEAD存储有该软件包的版本号、HEAD的长度、适用的设备类型、整个软件包的长度以及HEAD可信度量值和DATA可信度量值六个字段；DATA中按照不同单板类型和不同内核类型进行分包，每种单板类型包含有CPU程序包和FPGA程序包，每种内核类型包含有一个内核程序包，每个程序包种均包含有可信程序以及可信度量列表。

进一步的，HEAD可信度量值和DATA可信度量值计算过程为：先完成DATA打包，之后封装HEAD，封装时直接计算DATA可信度值，并填入HEAD中DATA可信度量值中，将HEAD中HEAD可信度量值字段置零，然后计算HEAD的可信度量值，并填入对应字段中。

进一步的，在制作可信软件包时对可信程序进行加密处理，在路由器更新软件时进行解密处理；对未加密的可信程序进行HASH计算得到杂凑值作为该程序的可信度量值，对所有可信程序完成HASH计算得到的一系列可信度量值存储在可信度量列表中。

进一步的，设备软件管理模块在下载软件包之前先通过可信模块提供的证书、签名、验签及杂凑值计算功能与网管设备进行可信认证。

进一步的，设备软件管理模块接收可信软件包下载指令后，验证待下载的软件包版本号是否与本地软件包相同，若不同则开始下载，下载成功后，对可信软件包进行校验，校验通过则上传下载成功消息给网管设备，同时将可信软件包存储在主控板的存储设备中，否则返回下载失败消息。

进一步的，校验过程为：

步骤1、对可信软件包解包得到HEAD中各字段和DATA；

步骤2、根据HEAD的各字段内容分别进行版本规则校验、设备类型匹配校验以及HEAD长度和整个软件包长度校验；

步骤3、将可信软件包的HEAD中的HEAD可信度量值字段置零，再计算HEAD的可信度量值，将计算结果与置零前的HEAD可信度量值进行可信对比校验，校验一致后，计算可信软件包的DATA的可信度量值，并于HEAD中存储的DATA可信度量值进行对比校验。

进一步的，单板软件管理模块实现各类型单板的可信软件更新过程为：收到软件更新指令后，检查对应单板软件是否需要更新，若是，则下载需要的单板程序包和内核程序包至存储设备中的备区，在备区对程序包进行解密以及完整性校验，校验成功后将程序包携带的可信度量值写入单板的存储设备备区，完成软件更新，并返回更新结果。

进一步的，解密以及完整性校验的具体过程为：通过可信模块对可信程序进行解密，解密后再通过可信模块逐个对可信程序进行可信杂凑计算，计算出的可信杂凑与可信度量列表进行逐个比对校验，全部比对一致表示校验成功。

进一步的，网管设备下发软件激活消息至所有路由器，路由器收到软件激活消息后延时T1后向个各单板发送激活指示，各单板在收到激活指示后延时T2后重启单板完成激活；在单板激活过程中，需要重新设置启动分区，即当前启动分区指示为主区，则激活时更改启动分区指示为备区，其中，T1根据最晚收到软件激活消息的路由器时间设置，T2根据最晚收到激活指示的单板时间设置。

与现有技术相比，采用上述技术方案的有益效果为：

(1)通过可信软件包的打包结构支持多单板多系统的路由器在线升级，并支持FPGA程序、操作系统、应用软件等多种软件类型升级。

(2)将可信模块集成到路由器上，软件包使用可信卡进行完整性校验，有效利用路由器的可信度量优势，使整个升级过程中无法注入病毒和木马，且升级后保持路由器的整个可信环境。

(3)利用存储设备的主/备区倒换机制，保障程序更新过程整个内生安全通信网络的通信业务不中断，升级过程安全可靠。

(3)利用网管远程控制整个网络的路由器在线升级，升级网点不用专业技术人员现场维护，降低网络升级维护成本。

附图说明

图1为本发明提出的支持可信度量的路由器在线升级系统组成示意图。

图2为本发明提出的可信软件包模型示意图。

图3为本发明提出的基于可信模块的路由器在线升级网络示意图。

图4为本发明提出的基于可信度量的路由器启动示意图。

图5为本发明一实施例中地址空间分配示意图。

图6为本发明一实施例中用户预留地址空间分配示意图。

图7为本发明提出的支持可信度量的在线升级流程图。

图8为本发明提出的可信软件包下载流程图。

图9为本发明提出的可信软件包更新流程图。

具体实施方式

下面详细描述本申请的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的模块或具有相同或类似功能的模块。下面通过参考附图描述的实施例是示例性的，仅用于解释本申请，而不能理解为对本申请的限制。相反，本申请的实施例包括落入所附加权利要求书的精神和内涵范围内的所有变化、修改和等同物。

在内生安全通信网络中，路由器系统的可信度量功能可以有效防止病毒入侵以及木马注入，而在线升级对提升整个网络的维护能力也至关重要；本实施例提出了一种支持可信度量的路由器在线升级系统，主要解决的以下问题：

(1)解决路由器如何支持多单板多系统的在线升级问题，每块单板均需要支持硬件程序FPGA，操作系统内核、各功能模块软件等多种软件类型升级。

(2)解决路由器在线升级过程中如何有效防止病毒入侵及木马注入的问题，确保在线升级过程安全可靠。

(3)解决路由器在线升级过程中通信中断的问题，确保任何情况下升级失败均不影响当前通信业务，仅在设备升级成功后重启时允许短暂通信中断后快速恢复。

(4)解决路由器升级需要专职人员现场维护导致维护成本高的问题，需要支持远程在线升级。

具体的，如图1所示，一种基于可信度量的路由器在线升级系统，由网管设备与多个路由器组成，多个路由器处于同一内生安全通信网络中：

网管设备，用于提供路由器所需的可信软件包与远程下发软件包下载或更新指令，内置有可信模块；

每个路由器包括主控板与多个单板，主控板与多个单板均设有独立的可信模块与存储设备，主控板设置有设备软件管理模块，每个单板设置有单板软件管理模块；

设备软件管理模块，用于下载可信软件包并进行软件包校验；负责将软件升级指示下达到各单板，并收集各单板升级结果进行上报；

单板软件管理模块，实现各类型单板的可信软件更新及可信软件激活；

可信模块，用于可信计算以及校验；

存储设备，划分为两个分区，当前软件运行的分区为主区，另一分区为备区。

还包括日志管理模块，用于存储路由器升级过程产生的日志。

在该系统中，整个可行在线升级包括可信软件包下载、可信软件更新以及可信软件激活三部分；其核心是设备软件管理模块和单板软件管理模块，设备软件管理模块主要负责路由器征集的可信软件管理，包括可信软件包管理、整机可信软件更新管理、整机可信软件激活管理，负责将软件升级指示下达到各单板，并收集各单板升级结果进行上报；单板软件管理模块实现各类型单板的可信软件更新及可信软件激活功能；该系统中的可信度量主要通过路由器中集成可信模块以作为内置RTM，可信模块提供可信计算功能，存储设备用于存储软件程序及对应的可信度量值用于进行可信校验。

在线升级的前置条件是需要有一个可信软件包，而如何制作出一个可信的软件包对支持可信度量的在线升级功能至关重要，因此，本实施例提出了一种可信软件包的制作方法，内生安全通信网络中一般包含多种型号的路由器，针对每种型号各自制作不同的软件包，其统一模型如图2所示。

可信软件包包括HEAD与DATA两部分，HEAD包含SP_VESION、HEAD_LEN、DEV_TYPE、TOTEL_LEN、HEAD_CHECK_SUM、DATA_CHECK_SUM六个字段。SP_VESION为软件包版本号，用以区分不同版本；HEAD_LEN为软件包HEAD部分的长度；DEV_TYPE为设备类型，用以区分不同型号的路由器设备；TOTEL_LEN为整个软件包的长度；HEAD_CHECK_SUM为软件包HEAD部分的可信度量值；DATA_CHECK_SUM为软件包DATA部分的可信度量值。

需要说明的是HEAD_CHECK_SUM的计算方法如下：先完成DATA部分打包，然后再封装HEAD,封装HEAD时先计算完成DATA_CHECK_SUM并填入HEAD中，HEAD_CHECK_SUM字段置零，然后通过可信计算出HEAD_CHECK_SUM后填入对应位置。

而可信软件包的DATA部分主要按不同单板类型和不同内核类型进行分包，由于不同单板可能使用相同内核，避免软件包空间浪费，所以内核单独打包。而程序包包括CPU程序包、FPGA程序包、内核程序包三类，因此每种单板类型中包含CPU程序包和FPGA程序包，每种内核类型包含一个内核程序包，每个程序包中均包含可信程序及可信度量列表两部分。

本实施例中制作可信软件包的打包设备设有与路由器相同的可信模块，且安装程序在路由器可直接执行，无二次安装过程，可信程序在打包时采用可信模块进行加密处理，在解包时采用可信模块进行解密处理。

可信度量列表是针对未加密的程序通过可信模块进行HASH计算出杂凑值，该计算过程即为可信计算，计算出的HASH值即为度量程序的可信度量值，可信度量需要对所有程序进行可信计算，计算得出的一系列可信度量值记录在可信度量列表中。

可信度量列表主要有两个作用：第一个作用是静态保护，在升级过程中针对解密的程序进行可信校验，确保升级过程无木马、病毒注入；第二个作用是动态保护，升级后在设备或程序启动过程中进行实时校验，保障设备在运行过程中无木马、病毒注入。

在可信软件包制作完成之后，网管设备通过光盘等安全媒介获取可信软件包，之后将可信软件包按照不同的设备类型发送给生安全通信网络中的各路由器，发送过程如图3所示。

路由器在下载可信软件包之前，需要与网管设备之间进行可信认证，本实施例中，直接采用可信模块的证书、签名、验签及杂凑计算等功能进行设备间的可信认证，认证成功后，路由器开始进行可信软件包的下载过程。

路由器中设备软件管理模块接收可信软件包下载指令后，验证待下载的软件包版本号是否与本地软件包相同，若不同则开始下载，下载成功后，对可信软件包进行校验，校验通过则上传下载成功消息给网管设备，同时将可信软件包存储在主控板的存储设备备区中，否则返回下载失败消息。

在本实施例中，可信软件包的校验过程为：

步骤1、备软件管理模块对可信软件包解包得到HEAD中各字段和DATA；

步骤2、根据HEAD部分中的SP_VESION进行版本规则校验，根据DEV_TYPE与设备实际类型进行匹配校验，根据HEAD_LEN及TOTAL_LEN进行长度校验；

步骤3、将可信软件包HEAD中的HEAD_CHECK_SUM置0，通过计算HEAD部分的可信度量值，将计算结果与置零前的HEAD_CHECK_SUM进行可信校验，校验成功后，计算可信软件包DATA部分的可信度量值与DATA_CHECK_SUM进行可信校验。

可信校验成功后的DATA部分存储在如NAND FLASH或CF等存储设备中，其中包含整个设备各单板的可信CPU、内核、FPGA程序及可信度量列表。

在可信软件包下载完成之后，由单板软件管理模块执行可信软件的更新过程，单板软件管理模块收到软件更新指令后，检查对应单板软件是否需要更新，若是，则下载需要的单板程序包和内核程序包至存储设备中的备区，在备区对程序包进行解密以及完整性校验，校验成功后将程序包携带的可信度量值写入各单板存储设备备区，完成软件更新，并返回更新结果。

在更新过程中，每个单板根据单板类型和内核类型下载对应的单板程序包以及内核软件包，其中，单板程序包包含CPU程序包和FPGA程序包。本实施例中，存储设备在初始状态下划分为A区和B区，若当前软件运行在A区，则A区为主区，B区为备区，则将升级程序下载到B区，反之亦然。程序更新是需要通过可信模块对程序进行解密，解密后再通过可信模块逐个对程序进行可信杂凑计算，计算出的可信值与可信度量列表进行逐个比对校验，需要全部比对成功才说明软件更新成功。

为了更清楚的说明可信存储设备的主备区倒换机制，先说明下基于可信度量的路由器启动逻辑，如图4所示，可信度量以可行模块为可信根，硬件启动过程中向上度量。在本实施例中以PMON支持可信度量的在线升级机制为例进行说明，如主板上SPI FLASHI的大小为2MB，一页大小为64KB，该专利将顶端的1页留给PMON和用户可访问的数据空间，其余用于存放PMON的BIN文件分配如下图5所示，用户预留地址空间的数据格式为：从用户起始地址(0x40000000-1页大小+1)(实际为2*1024*1024-64*1024+1)，从图6中可以看出buf[200]的值为基地址，开始分配256个连续字节。对于PMON来说，需要针对启动的用户自定义功能用到不同的字节。其中buf[200]用于定义启动分区，表明从A区启动还是B区启动。以可信度量值为32字节为例，buf[201～328]存储A区及B区的内核及FPGA的可信度量值，PMON通过启动分析指示确定启动分区后，在存储设备的指定分区中读取对应的内核、FPGA文件并计算可信度量值，可信校验成功后启动对应文件。

单板的软件更新过程最后一步需要将在更新的可信度量列表中读取对应的可信度量值写入SPIFLASH的对应A/B区空间，如当前启动分区指示指向A区，则更新的可信度量值需写入B区。可信存储主备倒换机制可以保障软件更新过程中不影响主区程序运行，从而不影响当前业务，整个软件更新过程中通信业务不中断。即使发生软件更新失败、存储设备故障等事件，也可实时修复或重新升级。

在可信软件更新完成之后，需要进行可信软件的激活，而可信软件激活的关键是需要保障整个内生安全通信网络中的所有路由器及路由器的所有单板同时激活重启，否则关键节点或交换单板提前重启后会影响后续的激活消息无法到达其它设备或单板上。如果仅部分设备或单板升级成功，由于接口或协议不兼容则会引起整个网络瘫痪。所以需要保障网络管理设备发出的可信软件激活通知消息到达所有路由器，如果有一个路由器反馈失败或超时则需要发送激活取消消息给全网路由器，以防止部分路由器提前升级。由于可信激活消息在网络中存在延时，路由器收到软件激活消息后需延时T1后向各单板发送激活指示，各单板也需在收到软件激活消息后需延时T2后重启单板。

其中，T1的设置是为了保障所有路由器一起重启，否则如果其中有的中间通信路由器(如核心路由器)先激活重启，则其它路由器可能无法收到激活指示消息，T1由最晚收到消息的路由器时间决定，如设置10s。T2的设置是为了保障所有单板一起重启，否则如果其中有的中间通信单板(如交换板)先激活重启，则其它单板可能无法收到激活指示消息。T2由最晚收到消息的单板时间决定，如设置5s。

单板的可信激活过程需要重新设置启动分区指示，如SPIFLASH的当前启动分区指示为A区，则激活时更改启动分区指示为B区,启动分区指示更新成功后进行单板重启则表示可信软件激活成功，可信的设备启动过程已在前文中基于可信度量的路由器启动示意图中描述。设备启动后根据新的可信度量列表进行实时安全防护，如果文件被篡改或植入则会被拦截以防止病毒、木马入侵。

本实施例针对上述路由器在线系统给出进一步的软件下载、更新以及激活过程整体说明，如图7所示，包括以下过程：

步骤1、制作可信软件包；

步骤2、将可信软件包导入网管设备，根据设备类型发送给内生安全通信网络中的各个路由器；

步骤3、路由器接收到网关设备下发的配置消息后，与网管设备进行可信验证，验证成功后再进行可信软件包下载，并返回下载信息；

步骤4、网管设备下发软件升级指令至路由器，路由器将下载的可信软件包解压到升级路径；

步骤5、检测路由器内单板软件是否需要更新，若需要，则下载升级路径中对应的可信程序至存储器备区进行更新，并返回更新结果；

步骤6、网管设备下发激活消息，路由器在收到激活消息后延时T1后向各单板发送激活指示，各单板在收到激活消息后延时T2重启单板，完成激活。

如图8所示，所述3中可信软件包的下载过程为：

步骤3.1、路由器接收网管设备下发的可信软件包下载指令，判断可信软件包版本号是否与本地软件包相同，若相同则进入步骤3.4，若不同则进入步骤3.2；

步骤3.2、根据下载指令下载可信软件包，判断是否下载完成，若是则进入步骤3.3，若否则进入步骤3.5；

步骤3.3、对可信软件包进行校验，校验通过进入步骤3.4，反之进入步骤3.5；

步骤3.4、上报下载成功消息给网管设备；

步骤3.5、上报下载失败消息给网管设备。

如图9所示，所述步骤4包括以下子步骤：

步骤5.1、路由器接收到软件升级指令后，检查单板软件是否需要更新，若是，进入步骤5.2，否则进入步骤5.7；

步骤5.2、再升级路径中下载需要的单板程序包或内核程序包，并判断是否下载成功，若是，则进入步骤5.3，否则进入步骤5.6；

步骤5.3、将下载的程序包更新到存储器备区，并判断是否更新成功，若是，则进入步骤5.4，否则进入步骤5.6；

步骤5.4、在存储器备区内对程序包进行解密，并进行完整性校验，校验成功则进入步骤5.5，否则进入步骤5.6；

步骤5.5、将FPGA/KERNEL可信度量值写入硬件备区，软件更新结果为成功，进入步骤5.7；

步骤5.6、软件更新结果为失败，进入步骤5.7；

步骤5.7、返回单板软件更新结果。

本发明提出的在线升级系统及方法大幅提升了路由器在具有内生安全性基础上的维护能力，保证全网路由器在线升级的高安全性和高可靠性要求，适用于内生安全通信网络的演进维护需求场景。

需要说明的是，在本发明实施例的描述中，除非另有明确的规定和限定，术语“设置”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是直接连接，也可以通过中间媒介间接连接。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义；实施例中的附图用以对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

尽管上面已经示出和描述了本申请的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本申请的限制，本领域的普通技术人员在本申请的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (10)

1.一种基于可信度量的路由器在线升级系统，其特征在于，由网管设备与多个路由器组成，多个路由器处于同一内生安全通信网络中：

网管设备，用于提供路由器所需的可信软件包与远程下发软件包下载或更新指令，内置有可信模块；

每个路由器包括主控板与多个单板，主控板与多个单板均设有独立的可信模块与存储设备，主控板设置有设备软件管理模块，每个单板设置有单板软件管理模块；

设备软件管理模块，用于下载可信软件包并进行软件包校验；将软件升级指示下达到各单板，并收集各单板升级结果进行上报；

单板软件管理模块，实现各类型单板的可信软件更新及可信软件激活；

可信模块，用于可信计算以及校验；

存储设备，划分为两个分区，当前软件运行的分区为主区，另一分区为备区。

2.根据权利要求1所述的基于可信度量的路由器在线升级系统，其特征在于，可信软件包包括HEAD与DATA两部分，HEAD存储有该软件包的版本号、HEAD的长度、适用的设备类型、整个软件包的长度以及HEAD可信度量值和DATA可信度量值六个字段；DATA中按照不同单板类型和不同内核类型进行分包，每种单板类型包含有CPU程序包和FPGA程序包，每种内核类型包含有一个内核程序包，每个程序包种均包含有可信程序以及可信度量列表。

3.根据权利要求2所述的基于可信度量的路由器在线升级系统，其特征在于，HEAD可信度量值和DATA可信度量值计算过程为：先完成DATA打包，之后封装HEAD，封装时直接计算DATA可信度值，并填入HEAD中DATA可信度量值中，将HEAD中HEAD可信度量值字段置零，然后计算HEAD的可信度量值，并填入对应字段中。

4.根据权利要求2或3所述的基于可信度量的路由器在线升级系统，其特征在于，在制作可信软件包时对可信程序进行加密处理，在路由器更新软件时进行解密处理；对未加密的可信程序进行HASH计算得到杂凑值作为该程序的可信度量值，对所有可信程序完成HASH计算得到的一系列可信度量值存储在可信度量列表中。

5.根据权利要求1所述的基于可信度量的路由器在线升级系统，其特征在于，设备软件管理模块在下载软件包之前先通过可信模块提供的证书、签名、验签及杂凑值计算功能与网管设备进行可信认证。

6.根据权利要求1所述的基于可信度量的路由器在线升级系统，其特征在于，设备软件管理模块接收可信软件包下载指令后，验证待下载的软件包版本号是否与本地软件包相同，若不同则开始下载，下载成功后，对可信软件包进行校验，校验通过则上传下载成功消息给网管设备，同时将可信软件包存储在主控板的存储设备的备区中，否则返回下载失败消息。

7.根据权利要求6所述的基于可信度量的路由器在线升级系统，其特征在于，校验过程为：

步骤1、对可信软件包解包得到HEAD中各字段和DATA；

步骤2、根据HEAD的各字段内容分别进行版本规则校验、设备类型匹配校验以及HEAD长度和整个软件包长度校验；

步骤3、将可信软件包的HEAD中的HEAD可信度量值字段置零，再计算HEAD的可信度量值，将计算结果与置零前的HEAD可信度量值进行可信对比校验，校验一致后，计算可信软件包的DATA的可信度量值，并于HEAD中存储的DATA可信度量值进行对比校验。

8.根据权利要求2所述的基于可信度量的路由器在线升级系统，其特征在于，单板软件管理模块实现各类型单板的可信软件更新过程为：收到软件更新指令后，检查对应单板软件是否需要更新，若是，则下载需要的单板程序包和内核程序包至存储设备中的备区，在备区对程序包进行解密以及完整性校验，校验成功后将程序包携带的可信度量值写入单板的存储设备的备区，完成软件更新，并返回更新结果。

9.根据权利要求8所述的基于可信度量的路由器在线升级系统，其特征在于，解密以及完整性校验的具体过程为：通过可信模块对可信程序进行解密，解密后再通过可信模块逐个对可信程序进行可信杂凑计算，计算出的可信杂凑与可信度量列表进行逐个比对校验，全部比对一致表示校验成功。

10.根据权利要求1所述的基于可信度量的路由器在线升级系统，其特征在于，网管设备下发软件激活消息至所有路由器，路由器收到软件激活消息后延时T1后向个各单板发送激活指示，各单板在收到激活指示后延时T2后重启单板完成激活；在单板激活过程中，需要重新设置启动分区，即当前启动分区指示为主区，则激活时更改启动分区指示为备区，其中，T1根据最晚收到软件激活消息的路由器时间设置，T2根据最晚收到激活指示的单板时间设置。

Images