CN116707819B - 一种车辆ota升级安全机制的构建方法 - Google Patents

Abstract

本发明公开了一种车辆OTA升级安全机制的构建方法，包括：车辆OTA进入升级之前，检查安装包文件的存在性、文件大小和文件的MD5值，检验车辆内存空间，获取对应状态，对应状态包括车辆状态、档位状态和车辆当前通话服务状态；车辆OTA进行升级过程中，监测档位变化，并使界面处于霸屏状态；车辆OTA升级结束后，对当前结束后的状态进行通知。从多个方面确保车辆OTA软件升级过程的安全性，有效防止车辆OTA升级过程中的安全隐患。

Description

一种车辆OTA升级安全机制的构建方法

技术领域

本发明涉及汽车软件升级技术，尤其涉及一种车辆OTA升级安全机制的构建方法。

背景技术

随着智能汽车的发展，车载系统变得越来越复杂，同时也更加方便了人们的日常使用。与此同时，车载OTA(Over-The-Air，空中下载)技术也需要不断的去更新完善，可以方便地通过无线网络对汽车的车载OTA进行远程更新。然而，在升级过程中，网络安全问题愈发严重，汽车OTA升级的安全性也面临着严峻挑战，如何保证车辆以及用户的安全？当车辆升级前，升级时应该判断哪些前置条件，升级失败，升级过程中开车，升级过程中断电败，发生这些情况该如何处理？

为了确保车辆OTA升级过程的安全性，急需构建一种车辆OTA升级安全机制。

发明内容

本发明提供了一种车辆OTA升级安全机制的构建方法，以解决现有技术中存在的随着智能汽车的发展，车载系统变得越来越复杂，同时也更加方便了人们的日常使用。与此同时，车载OTA(Over-The-Air，空中下载)技术也需要不断的去更新完善，可以方便地通过无线网络对汽车的车载OTA进行远程更新。然而，在升级过程中，网络安全问题愈发严重，汽车OTA升级的安全性也面临着严峻挑战，如何保证车辆以及用户的安全？当车辆升级前，升级时应该判断哪些前置条件，升级失败，升级过程中开车，升级过程中断电败，发生这些情况该如何处理的上述问题。

为了达到上述目的，本发明提供如下技术方案：

一种车辆OTA升级安全机制的构建方法，包括：

S101：车辆OTA进入升级之前，检查安装包文件的存在性、文件大小和文件的MD5值，检验车辆内存空间，获取对应状态，对应状态包括车辆状态、档位状态和车辆当前通话服务状态；

S102：车辆OTA进行升级过程中，监测档位变化，并使界面处于霸屏状态；

S103：车辆OTA升级结束后，对当前结束后的状态进行通知。

其中，S101步骤包括：

S1011：安装OTA升级包之前，检查目录下安装包文件的存在性，文件大小以及文件的MD5值，确保安装包完整且为服务器下发，若条件不满足，则通知用户；

S1012：检查车辆内存是否满足OTA升级所需空间大小，其中，满足条件的判断标准包括文件目录下空间大小是否大于文件大小加预设阈值的和，其中，预设阈值为100M，若不满足条件，则通知用户；

S1013：通过系统接口获取车辆状态和档位状态，当车辆状态处于点火状态且档位状态处于P档状态时，则符合OTA升级条件，若条件不满足，则通知用户；

S1014：通过系统接口获取车辆当前通话服务状态，当通话服务没有运行时，则符合OTA升级条件，若条件不满足，则通知用户。

其中，S102步骤包括：

S1021：当安装OTA升级包时，通过提高窗口的层级将显示界面设置为霸屏状态；

S1022：在OTA升级包安装过程中，若用户切换档位，则取消OTA升级，并通知用户切换档位；

S1023：在OTA升级包安装过程中，若用户强行断电，重启后，取消OTA升级操作，用户通过显示界面点击安装后继续进行OTA升级。

其中，S103步骤包括：

S1031：在OTA升级安装结束后，重启车辆，并根据升级结果通知用户升级成功或升级失败；

S1032：当OTA升级安装完成或者中断时，显示界面将自动取消霸屏状态，恢复正常交互状态；

S1033：在恢复正常交互状态期间，用户通过显示界面查看升级结果或继续完成未完成的升级任务。

其中，S1011步骤包括：

通过判断文件检查目录下的安装包文件是否存在于预定目录内，获取OTA升级安装包文件大小，将OTA升级安装包文件大小与服务器下发的文件参数进行比较，若大小相等，则符合OTA升级安装包为完整安装包的条件，获取OTA升级安装包文件MD5值，将OTA升级安装包文件MD5值与服务器下发的MD5值进行比较，若两者值相等，则符合OTA升级安装包为完整安装包的条件，当OTA升级安装包文件大小和安装包文件MD5值同时满足条件时，则判定OTA升级安装包完整且为服务器下发，当OTA升级安装包文件大小和安装包文件MD5值未同时满足条件时，则提示用户重新下载OTA升级安装包。

其中，判断OTA升级安装包是否完整且是否为服务器下发的过程中，对OTA升级安装包进行签名校验，OTA升级安装包校验阶段，通过预置的公钥对下载后的OTA升级安装包和数字签名文件进行签名校验，该预置的公钥与之前服务器端签名所用私钥属于一对匹配的密钥；

签名校验包括通过公钥对数字签名进行解密，若解密成功，则说明OTA升级安装包未被篡改，若解密失败，则说明OTA升级安装包有被篡改风险，不能安装；若签名校验成功，则进入安装阶段，若签名校验失败，则终止OTA升级安装包的安装，通知用户重试下载。

其中，S1013步骤包括：通过与车辆的通信接口相连的控制单元，获取车辆实时状态信息，车辆实时状态信息包括车辆点火状态和档位状态；

分析获取的车辆状态信息，判断车辆是否处于点火状态，当车辆处于点火状态时，分析获取的档位状态信息，判断车辆是否处于P档状态，当车辆处于P档状态时，进行OTA升级；若车辆状态信息显示车辆处于非点火状态或档位状态非P档，视为不满足OTA升级条件，执行通知用户操作，通知用户的方式包括在车辆信息显示屏上展示提示信息、通过车载语音提示系统进行语音播报、通过与用户设备连接的通信方式发送通知，通知用户后，引导用户执行相关操作使车辆满足OTA升级条件；当获取的车辆状态信息显示车辆处于点火状态且档位状态处于P档时，视为符合OTA升级条件，执行后续OTA升级安装包下载操作。

其中，S1021步骤包括：

在通过提高窗口的层级将显示界面设置为霸屏状态过程中，打开OTA升级应用程序，让OTA升级应用程序覆盖于显示界面的其他应用程序窗口之上，使OTA升级应用程序占据整个显示屏幕，若存在其他窗口出现在OTA升级应用程序之上的情况，则通过提高窗口的层级进行霸屏状态设置。

其中，S1031步骤包括：在OTA升级安装结束后，车载智能单元将自动更新安全系统，检测已安装的安全系统版本，安全系统包括车载通信模块、刹车控制模块和膨胀气囊模块；将已安装安全系统的版本信息与服务器上的安全系统最新版本信息进行比较；若已安装安全系统的版本信息与服务器上的安全系统最新版本信息不同，则从OTA服务器中下载并安全更新包；车载智能单元自动重新启动并应用更新后的安全系统，若安全系统更新失败，则车载智能单元自动恢复到更新前安全系统的版本。

其中，S101步骤之前包括：

在车辆OTA进入升级之前，对用户身份进行验证和授权，在用户身份验证模块中对升级设备设定对应的名单，在白名单中的设备则被允许进行OTA升级，通过设备ID、序列号、MAC地址和设备对应的唯一标识符进行识别和匹配，匹配成功则符合身份验证成功的条件，对于待升级的应用程序，通过版本号信息与OTA升级包中的版本信息进行匹配，匹配成功后符合身份验证成功的条件，当匹配成功时，自动进行OTA升级操作，否则拒绝升级请求并向用户显示错误信息。

与现有技术相比，本发明具有以下优点：

一种车辆OTA升级安全机制的构建方法，包括：车辆OTA进入升级之前，检查安装包文件的存在性、文件大小和文件的MD5值，检验车辆内存空间，获取对应状态，对应状态包括车辆状态、档位状态和车辆当前通话服务状态；车辆OTA进行升级过程中，监测档位变化，并使界面处于霸屏状态；车辆OTA升级结束后，对当前结束后的状态进行通知。从多个方面确保车辆OTA软件升级过程的安全性，有效防止车辆OTA升级过程中的安全隐患。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为本发明实施例中一种车辆OTA升级安全机制的构建方法的流程图一；

图2为本发明实施例中车辆OTA进入升级之前的流程图；

图3为本发明实施例中一种车辆OTA升级安全机制实现的流程图二。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

本发明实施例提供了一种车辆OTA升级安全机制的构建方法，请参见图1至图3，包括：

S101：车辆OTA进入升级之前，检查安装包文件的存在性、文件大小和文件的MD5值，检验车辆内存空间，获取对应状态，对应状态包括车辆状态、档位状态和车辆当前通话服务状态，当安装包符合升级条件时，进入车辆OTA升级操作；

S102：车辆OTA进行升级过程中，监测档位变化，并使界面处于霸屏状态；

S103：车辆OTA升级结束后，对当前结束后的状态进行通知。

上述技术方案的工作原理为：车辆OTA升级，在安装前，获取本地安装包大小和签名，判断是否与服务器下发的值相等，来校验安装包的完整性和正确性；获取安装路径下内存空间大小，判断该内存大小是否大于OTA升级所需内存；获取车机上电状态，档位状态，以及通话服务状态，判断是否满足上电、P档、通话服务未启用状态。安装过程中，监听档位变化，如果档位变为非P档，取消安装，安装过程中，界面处于霸屏状态，通过提高窗口的层级，使界面处于最上层来达到霸屏效果，通过以上的条件逻辑和技术手段完成车辆OTA升级的安全机制。

其中，根据图3所示，实现车辆OTA升级安全机制的构建方法包括：

步骤1：对安装包完整性进行校验，校验方式为签名校验，若校验失败，则弹窗提示用户重新通过服务器下载安装包，若校验成功，则进入步骤2；

步骤2：对车辆系统内存进行校验，若内存不满足设定条件，则弹窗提示用户调整内存空间，若内存满足设定条件，则进入步骤3；

步骤3：判断当前车辆状态是否为点火状态，若当前状态并非点火状态，则弹窗提示用户强制断电熄火并取消安装，下次启动时可继续安装，若当前状态是点火状态，则进入步骤4；

步骤4：判断车辆档位是否为P档，若否，则弹窗提示用户切换车辆档位，若当前车辆档位是P档，则进入步骤5；

步骤5：判断通话服务是否运行，若是，则弹窗提示用户，若否，则开始安装，安装过程中屏幕处于霸屏状态；

步骤6：判断安装包是否安装成功，若否，则提示用户安装失败，重启后退回原系统版本，若是，则重启后，显示安装后的系统版本。

上述技术方案的有益效果为：车辆OTA进入升级之前，检查安装包文件的存在性、文件大小和文件的MD5值，检验车辆内存空间，获取对应状态，对应状态包括车辆状态、档位状态和车辆当前通话服务状态，其中，MD5是一种散列函数，它接受一个消息(字符串)作为输入并输出其128位(16个字节)的哈希值；MD5算法被广泛应用于数据完整性校验、密码验证和数字签名等领域。它的输出通常以十六进制表示，常用于网站文件下载的安全校验和校验文件完整性；车辆OTA进行升级过程中，监测档位变化，并使界面处于霸屏状态；车辆OTA升级结束后，对当前结束后的状态进行通知。从多个方面确保车辆OTA软件升级过程的安全性，有效防止车辆OTA升级过程中的安全隐患。

在另一实施例中，S101步骤包括：

S1011：安装OTA升级包之前，检查目录下安装包文件的存在性，文件大小以及文件的MD5值，确保安装包完整且为服务器下发，若条件不满足，则通知用户；

S1012：检查车辆内存是否满足OTA升级所需空间大小，其中，满足条件的判断标准包括文件目录下空间大小是否大于文件大小加预设阈值的和，其中，预设阈值为100M，若不满足条件，则通知用户；

S1013：通过系统接口获取车辆状态和档位状态，当车辆状态处于点火状态且档位状态处于P档状态时，则符合OTA升级条件，若条件不满足，则通知用户；

S1014：通过系统接口获取车辆当前通话服务状态，当通话服务没有运行时，则符合OTA升级条件，若条件不满足，则通知用户。

上述技术方案的工作原理为：获取文件大小和服务器下发的参数大小相等，且文件的MD5值与服务器下发的MD5值相等，以确定安装包完整且为服务器下发，若条件不满足，则通知用户；从而确保了所使用的安装包是完全无损并且是从服务器下载得到的正确版本，以防止使用损坏或篡改过的文件进行升级。判断车辆内存空间大小是否满足升级所需，标准为：文件目录下可用空间>文件大小+预设阈值，阈值为100M，若不满足条件，则通知用户；从而确保了车辆可用空间能够满足OTA升级所需空间大小，从而避免因存储空间不足而导致升级失败的问题。要求车辆处于点火状态且档位处于P档才能进行OTA升级；若条件不满足，则通知用户；要求通话服务没有运行，即当前用户不在通话中，才能进行OTA升级，若条件不满足，则通知用户；确保了车辆状态和用户状态在合适的条件下进行OTA升级，从而避免对用户和车辆的驾驶安全造成影响。

上述技术方案的有益效果为：安装OTA升级包之前，检查目录下安装包文件的存在性，文件大小以及文件的MD5值，确保安装包完整且为服务器下发，若条件不满足，则通知用户；确保了所使用的安装包是完全无损并且是从服务器下载得到的正确版本，以防止使用损坏或篡改过的文件进行升级。检查车辆内存是否满足OTA升级所需空间大小，其中，满足条件的判断标准包括文件目录下空间大小是否大于文件大小加预设阈值的和，其中，预设阈值为100M，若不满足条件，则通知用户；确保车辆可用空间能够满足OTA升级所需空间大小，从而避免因存储空间不足而导致升级失败的问题。通过系统接口获取车辆状态和档位状态，当车辆状态处于点火状态且档位状态处于P档状态时，则符合OTA升级条件，若条件不满足，则通知用户；通过系统接口获取车辆当前通话服务状态，当通话服务没有运行时，则符合OTA升级条件，若条件不满足，则通知用户；确保车辆状态和用户状态在合适的条件下进行OTA升级，从而避免对用户和车辆的驾驶安全造成影响。

在另一实施例中，S102步骤包括：

S1021：当安装OTA升级包时，通过提高窗口的层级将显示界面设置为霸屏状态；

S1022：在OTA升级包安装过程中，若用户切换档位，则取消OTA升级，并通知用户切换档位；

S1023：在OTA升级包安装过程中，若用户强行断电，重启后，取消OTA升级操作，用户通过显示界面点击安装后继续进行OTA升级。

上述技术方案的工作原理为：进行安装操作时，屏幕处于霸屏状态，以避免用户误操作导致车辆升级失败或升级过程中发生危险；并在安装过程中取消条件发生时，取消OTA升级，并通知用户。从而实现在升级过程中尽量减少用户误操作的可能性和保证车辆安全，确保升级过程顺利进行。

上述技术方案的有益效果为：当安装OTA升级包时，通过提高窗口的层级将显示界面设置为霸屏状态；在OTA升级包安装过程中，若用户切换档位，则取消OTA升级，并通知用户切换档位；在OTA升级包安装过程中，若用户强行断电，重启后，取消OTA升级操作，用户通过显示界面点击安装后继续进行OTA升级。从而实现在升级过程中尽量减少用户误操作的可能性和保证车辆安全，确保升级过程顺利进行。

在另一实施例中，S103步骤包括：

S1031：在OTA升级安装结束后，重启车辆，并根据升级结果通知用户升级成功或升级失败；

S1032：当OTA升级安装完成或者中断时，显示界面将自动取消霸屏状态，恢复正常交互状态；

S1033：在恢复正常交互状态期间，用户通过显示界面查看升级结果或继续完成未完成的升级任务。

上述技术方案的工作原理为：根据汽车OTA升级的结果或异常情况及时通知用户的过程包括以下步骤：

步骤1：初始化，在汽车系统中加载升级程序并执行，升级程序包括获取服务器端的升级信息，判断是否需要进行升级；若需要升级，则进行后续步骤；若不需要升级，则终止升级程序；

步骤2：检查升级条件，在汽车系统中检查是否满足升级所需的条件，包括检查本地安装包的完整性，检查足够的内存空间，确认车辆处于上电状态、档位处于P档且通话服务未启用状态；若满足条件，则进入步骤3，若不满足条件，则根据具体不满足条件的原因，生成相应的提示信息并通知用户；

步骤3：界面霸屏并显示升级信息，通过提高窗口层级将界面置于最上层，实现界面霸屏，避免用户在升级过程中进行误操作，同时，在界面上展示升级过程中的进度和状态信息；

步骤4：执行升级操作，按照预定的流程执行OTA升级操作，包括安装升级包和重启车机，在执行过程中，实时监控升级进度及各个步骤的执行状态。

步骤5：判断升级结果与异常情况，根据步骤4中获取的升级进度及执行状态判断升级结果，若升级成功，生成对应的成功提示信息；若升级过程中发生异常或升级失败，根据具体原因生成相应的失败提示信息；若用户需要主动手动操作来继续OTA升级，生成相应的手动操作提示信息；

步骤6：及时通知用户升级结果与异常情况，根据步骤5生成的提示信息及时通知用户，可以通过界面霸屏状态下显示的方式，或者在取消霸屏状态后的用户可操作界面进行展示，这样可以让用户清楚地知道升级成功、失败还是需要进行手动操作。

步骤7：结束升级过程，在确认用户已经收到升级结果通知后，结束升级过程，并根据具体情况决定是否需要重启车机或执行其他后续操作。

上述技术方案的有益效果为：在OTA升级安装结束后，重启车辆，并根据升级结果通知用户升级成功或升级失败；当OTA升级安装完成或者中断时，显示界面将自动取消霸屏状态，恢复正常交互状态；在恢复正常交互状态期间，用户通过显示界面查看升级结果或继续完成未完成的升级任务。实现了根据升级结果或异常情况及时通知用户升级成功、失败或用户需要主动操作来继续OTA升级的方法，从而使用户能够更好地了解车辆OTA升级的过程及结果，提高用户体验。

在另一实施例中，S1011步骤包括：

通过判断文件检查目录下的安装包文件是否存在于预定目录内，获取OTA升级安装包文件大小，将OTA升级安装包文件大小与服务器下发的文件参数进行比较，若大小相等，则符合OTA升级安装包为完整安装包的条件，获取OTA升级安装包文件MD5值，将OTA升级安装包文件MD5值与服务器下发的MD5值进行比较，若两者值相等，则符合OTA升级安装包为完整安装包的条件，当OTA升级安装包文件大小和安装包文件MD5值同时满足条件时，则判定OTA升级安装包完整且为服务器下发，当OTA升级安装包文件大小和安装包文件MD5值未同时满足条件时，则提示用户重新下载OTA升级安装包。

上述技术方案的工作原理为：检查目录下安装包文件的存在性，检查目录下安装包文件的存在性是通过判断文件是否存在于预定目录内来实现；检查文件大小以及文件的MD5值，检查文件大小是通过与服务器下发的文件大小进行比较来实现，检查文件MD5值是通过计算本地文件的MD5值与服务器下发的MD5值进行比较来实现；确保安装包完整且为服务器下发；当文件存在且文件大小及MD5值与服务器下发的相符时，才认为安装包完整且为服务器下发；若条件不满足，则通知用户，通知用户的方式可以包括但不限于弹窗提示、语音提示或在界面上显示提示信息；当条件不满足时，还可以提示用户重新下载安装包或联系客服以获取支持。

上述技术方案的有益效果为：通过判断文件检查目录下的安装包文件是否存在于预定目录内，获取OTA升级安装包文件大小，将OTA升级安装包文件大小与服务器下发的文件参数进行比较，若大小相等，则符合OTA升级安装包为完整安装包的条件，获取OTA升级安装包文件MD5值，将OTA升级安装包文件MD5值与服务器下发的MD5值进行比较，若两者值相等，则符合OTA升级安装包为完整安装包的条件，当OTA升级安装包文件大小和安装包文件MD5值同时满足条件时，则判定OTA升级安装包完整且为服务器下发，当OTA升级安装包文件大小和安装包文件MD5值未同时满足条件时，则提示用户重新下载OTA升级安装包。从而确保所使用的OTA升级安装包是完全无损并且是从服务器下载得到的正确版本，以防止使用损坏或篡改过的文件进行升级。

在另一实施例中，判断OTA升级安装包是否完整且是否为服务器下发的过程中，对OTA升级安装包进行签名校验，OTA升级安装包校验阶段，通过预置的公钥对下载后的OTA升级安装包和数字签名文件进行签名校验，该预置的公钥与之前服务器端签名所用私钥属于一对匹配的密钥；

签名校验包括通过公钥对数字签名进行解密，若解密成功，则说明OTA升级安装包未被篡改，若解密失败，则说明OTA升级安装包有被篡改风险，不能安装；若签名校验成功，则进入安装阶段，若签名校验失败，则终止OTA升级安装包的安装，通知用户重试下载。

上述技术方案的工作原理为：在OTA升级过程中，为确保安装包的完整性和可信度，对安装包进行签名校验，签名校验的具体操作包括：

安装包生成阶段：在服务器端，收集并整理待更新的文件，根据版本要求生成OTA升级安装包；使用预置的私钥对生成的安装包进行签名，签名算法采用RSA的公钥密码体制的签名算法，签名过程生成一个数字签名文件；将数字签名文件与安装包一起发布到服务器，供用户下载。

安装包下载阶段：用户设备从服务器下载相应的OTA升级安装包和数字签名文件；下载完成后，将安装包存储于本地设备。

安装包校验阶段：在开始安装OTA升级包之前，使用预置的公钥对下载后的安装包和数字签名文件进行签名校验，该公钥与之前服务器端签名所用私钥是一对匹配的密钥；验证签名的过程包括使用公钥对数字签名进行解密，若解密成功，则说明安装包未被篡改，可信度较高，若解密失败，则说明安装包可能被篡改，不能安装；若签名校验成功，进入安装阶段，若签名校验失败，终止安装，通知用户重试下载或寻求帮助。从而确保了OTA升级安装包的安全性，有效抵抗了潜在的安全威胁和恶意攻击。

上述技术方案的有益效果为：判断OTA升级安装包是否完整且是否为服务器下发的过程中，对OTA升级安装包进行签名校验，OTA升级安装包校验阶段，通过预置的公钥对下载后的OTA升级安装包和数字签名文件进行签名校验，该预置的公钥与之前服务器端签名所用私钥属于一对匹配的密钥；签名校验包括通过公钥对数字签名进行解密，若解密成功，则说明OTA升级安装包未被篡改，若解密失败，则说明OTA升级安装包有被篡改风险，不能安装；若签名校验成功，则进入安装阶段，若签名校验失败，则终止OTA升级安装包的安装，通知用户重试下载。从而确保了OTA升级安装包的安全性，有效抵抗了潜在的安全威胁和恶意攻击。

在另一实施例中，S1013步骤包括：通过与车辆的通信接口相连的控制单元，获取车辆实时状态信息，车辆实时状态信息包括车辆点火状态和档位状态；

分析获取的车辆状态信息，判断车辆是否处于点火状态，当车辆处于点火状态时，分析获取的档位状态信息，判断车辆是否处于P档状态，当车辆处于P档状态时，进行OTA升级；若车辆状态信息显示车辆处于非点火状态或档位状态非P档，视为不满足OTA升级条件，执行通知用户操作，通知用户的方式包括在车辆信息显示屏上展示提示信息、通过车载语音提示系统进行语音播报、通过与用户设备连接的通信方式发送通知，通知用户后，引导用户执行相关操作使车辆满足OTA升级条件；当获取的车辆状态信息显示车辆处于点火状态且档位状态处于P档时，视为符合OTA升级条件，执行后续OTA升级安装包下载操作。

上述技术方案的工作原理为：通过与车辆的CAN总线或其他通信接口相连的控制单元，获取车辆实时状态信息，包括车辆点火状态和档位状态；分析获取的车辆状态信息，判断车辆是否处于点火状态，当车辆处于点火状态时，发动机正在运行，车辆具有行驶能力，在此状态下，可进行OTA升级操作；同时，分析获取的档位状态信息，判断车辆是否处于P档(停车档)状态，当车辆处于P档状态时，车辆停车熄火，驻车制动器被施加，造成车轮不能旋转，通常情况下，在进行OTA升级时，建议确保车辆处于P档状态，避免车辆在升级过程中意外移动或发生危险；若车辆状态信息显示车辆处于非点火状态或档位状态非P档，视为不满足OTA升级条件，执行通知用户操作，通知用户的方式包括在车辆信息显示屏上展示提示信息、通过车载语音提示系统进行语音播报、通过与用户设备(如智能手机)连接的通信方式发送通知；通知用户后，引导用户执行相关操作以使车辆满足OTA升级条件。例如，在车辆点火、挂P档之后，用户可以通过车载信息系统或者其它相关平台(如手机APP)重新发起OTA升级操作；当获取的车辆状态信息显示车辆处于点火状态且档位状态处于P档时，视为符合OTA升级条件，可以执行安装包签名校验、安装包下载等后续操作，为OTA升级做好准备。从而实时监测车辆状态信息，并在满足特定条件时才允许进行OTA升级操作，有效降低在不适宜的场景下执行升级操作所可能带来的风险。

在OTA升级过程中，设计故障回滚机制是非常重要的，如果在OTA升级过程中发生故障，例如网络中断、断电等情况，需要将回滚机制应用到升级程序中以确保设备的正常运行。

在车辆OTA进入升级之前，通过检查安装包确认符合安装条件后，设置回滚机制，在设置回滚机制的操作过程中，设计多版本镜像，每个版本独立更新，通过版本控制系统进行镜像的管理和备份，开发固件升级更新程序，实现升级前后的版本判断和升级程序执行，OTA升级时，先将等待升级的固件版本下载到本地，再执行升级程序进行升级，在升级过程中记录日志以便查错和回滚操作；在升级过程中，将本次升级的版本信息写入到固件中，当下次升级失败时，通过版本信息判断是否需要进行回滚操作；若升级失败，则通过回滚机制自动执行回滚操作，将设备恢复到之前的工作状态；在回滚过程中，将升级前的固件版本重新写入设备，保证设备的正常工作。

上述技术方案的有益效果为：通过与车辆的通信接口相连的控制单元，获取车辆实时状态信息，车辆实时状态信息包括车辆点火状态和档位状态；分析获取的车辆状态信息，判断车辆是否处于点火状态，当车辆处于点火状态时，分析获取的档位状态信息，判断车辆是否处于P档状态，当车辆处于P档状态时，进行OTA升级；若车辆状态信息显示车辆处于点火状态或档位状态非P档，视为不满足OTA升级条件，执行通知用户操作，通知用户的方式包括在车辆信息显示屏上展示提示信息、通过车载语音提示系统进行语音播报、通过与用户设备连接的通信方式发送通知，通知用户后，引导用户执行相关操作使车辆满足OTA升级条件；当获取的车辆状态信息显示车辆处于点火状态且档位状态处于P档时，视为符合OTA升级条件，执行后续OTA升级安装包下载操作。从而实时监测车辆状态信息，并在满足特定条件时才允许进行OTA升级操作，有效降低在不适宜的场景下执行升级操作所可能带来的风险。

在另一实施例中，S1021步骤包括：

在通过提高窗口的层级将显示界面设置为霸屏状态过程中，打开OTA升级应用程序，让OTA升级应用程序覆盖于显示界面的其他应用程序窗口之上，使OTA升级应用程序占据整个显示屏幕，若存在其他窗口出现在OTA升级应用程序之上的情况，则通过提高窗口的层级进行霸屏状态设置。

上述技术方案的工作原理为：在通过提高窗口的层级将显示界面设置为霸屏状态过程中，打开OTA升级应用程序，让OTA升级应用程序覆盖于显示界面的其他应用程序窗口之上，使OTA升级应用程序占据整个显示屏幕，若存在其他窗口出现在OTA升级应用程序之上的情况，则通过提高窗口的层级进行霸屏状态设置。在Android中，可以在屏幕底部找到“导航栏”，长按“最近使用的应用程序”按钮，然后选择OTA升级应用程序图标并向上拖动，将其拖动到“主页”和“关闭应用程序”之间的“拖到这里以在顶部显示”位置。

界面霸屏状态通过提高窗口的层级使界面处于最上层来实现，在界面霸屏状态期间，用户无法进行任何操作，包括返回和下滑的操作，界面显示升级过程中的进度、状态信息或其他相关提示信息，当升级完成或中断时，显示界面将自动取消霸屏状态，并恢复正常可交互状态，在取消显示界面霸屏状态期间，可提供用户操作界面以查看升级结果或继续完成未完成的升级任务。

上述技术方案的有益效果为：在通过提高窗口的层级将显示界面设置为霸屏状态过程中，打开OTA升级应用程序，让OTA升级应用程序覆盖于显示界面的其他应用程序窗口之上，使OTA升级应用程序占据整个显示屏幕，若存在其他窗口出现在OTA升级应用程序之上的情况，则通过提高窗口的层级进行霸屏状态设置。屏幕处于霸屏状态，以避免用户误操作导致车辆升级失败或升级过程中发生危险。

在另一实施例中，S1031步骤包括：在OTA升级安装结束后，车载智能单元将自动更新安全系统，检测已安装的安全系统版本，安全系统包括车载通信模块、刹车控制模块和膨胀气囊模块；将已安装安全系统的版本信息与服务器上的安全系统最新版本信息进行比较；若已安装安全系统的版本信息与服务器上的安全系统最新版本信息不同，则从OTA服务器中下载并安全更新包；车载智能单元自动重新启动并应用更新后的安全系统，若安全系统更新失败，则车载智能单元自动恢复到更新前安全系统的版本。

上述技术方案的工作原理为：确保升级过程中车辆处于安全状态，如熄火、挂P档(停车档)等；在更新前，将安全系统切换到特定的模式，例如维护模式或诊断模式等，通过车辆的CAN总线或其他通信协议，发送指令将系统切换到相应模式；从服务器端获取安全系统的OTA更新包，并根据升级要求，下载对应的安全系统更新包到车辆的存储设备，校验安全系统的更新包，确保其完整性和来源的可信性，在校验成功后，将更新包解压和安装到对应的安全系统控制单元(如ABS、VSC控制器等)，安装过程将固件、参数、应用程序等内容替换或升级；更新完成后，验证安全系统的功能和性能，确保更新成功且无异常，包括对系统参数的检查、对控制单元的通信测试、对相关传感器和执行器的功能测试；在验证通过后，重启或恢复安全系统，使更新后的系统在车辆下次使用时生效；更新成功后，通知用户安全系统更新已完成，通知方式包括车辆信息显示屏上展示提示信息、通过车载语音提示系统进行语音播报、通过与用户设备(如智能手机)连接的通信方式发送通知等。车辆的安全系统在OTA升级后得到及时更新，确保车辆的安全性能得到有效保障。

上述技术方案的有益效果为：在OTA升级安装结束后，车载智能单元将自动更新安全系统，检测已安装的安全系统版本，安全系统包括车载通信模块、刹车控制模块和膨胀气囊模块；将已安装安全系统的版本信息与服务器上的安全系统最新版本信息进行比较；若已安装安全系统的版本信息与服务器上的安全系统最新版本信息不同，则从OTA服务器中下载并安全更新包；车载智能单元自动重新启动并应用更新后的安全系统，若安全系统更新失败，则车载智能单元自动恢复到更新前安全系统的版本。确保车载智能单元中的所有安全系统都得到更新，从而提高车辆的行驶安全，还可以减少车主或技术人员介入更新的必要性，从而降低更新成本和提高效率。

在另一实施例中，S101步骤之前包括：

对用户身份进行验证和授权，在用户身份验证模块中对升级设备设定对应的名单，在白名单中的设备则被允许进行OTA升级，通过设备ID、序列号、MAC地址和设备对应的唯一标识符进行识别和匹配，匹配成功则符合身份验证成功的条件，对于待升级的应用程序，通过版本号信息与OTA升级包中的版本信息进行匹配，匹配成功后符合身份验证成功的条件，当匹配成功时，自动进行OTA升级操作，否则拒绝升级请求并向用户显示错误信息。

上述技术方案的工作原理为：系统中维护一个设备白名单或黑名单，只有在白名单中的设备才允许进行OTA升级，对于需要升级的应用程序，版本号可以与OTA升级包中的版本信息进行匹配，只有匹配成功才允许进行升级，对于需要升级的设备，可以通过设备ID、序列号、MAC地址和设备唯一标识符进行识别和匹配，只有匹配成功才允许进行升级，采用白名单或黑名单的方法进行限制，可以有效识别可信设备并阻止不可信设备的升级请求，同时，版本匹配方法可以防止较旧版本的设备如果使用过期或不兼容的升级包导致车辆系统出现问题；当匹配成功时，系统会自动进行OTA升级操作，否则将拒绝升级请求，并向用户显示错误信息；限制升级范围、只允许特定设备、特定应用程序或特定版本进行OTA升级有助于提高车辆OTA升级的安全性和可靠性。实现简单，易于控制，可以防止非法设备或不兼容的设备执行OTA升级，从而降低车辆OTA升级的风险。

上述技术方案的有益效果为：对用户身份进行验证和授权，在用户身份验证模块中对升级设备设定对应的名单，在白名单中的设备则被允许进行OTA升级，通过设备ID、序列号、MAC地址和设备对应的唯一标识符进行识别和匹配，匹配成功则符合身份验证成功的条件，对于待升级的应用程序，通过版本号信息与OTA升级包中的版本信息进行匹配，匹配成功后符合身份验证成功的条件，当匹配成功时，自动进行OTA升级操作，否则拒绝升级请求并向用户显示错误信息。可以防止非法设备或不兼容的设备执行OTA升级，从而降低车辆OTA升级的风险。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (6)

1.一种车辆OTA升级安全机制的构建方法，其特征在于，包括：

S101：车辆OTA进入升级之前，检查安装包文件的存在性、文件大小和文件的MD5值，检验车辆内存空间，获取对应状态，对应状态包括车辆状态、档位状态和车辆当前通话服务状态；

S102：车辆OTA进行升级过程中，监测档位变化，并使界面处于霸屏状态；

S103：车辆OTA升级结束后，对当前结束后的状态进行通知；

S101步骤包括：

S1011：安装OTA升级包之前，检查目录下安装包文件的存在性，文件大小以及文件的MD5值，确保安装包完整且为服务器下发，若条件不满足，则通知用户；

S1012：检查车辆内存是否满足OTA升级所需空间大小，其中，满足条件的判断标准包括文件目录下空间大小是否大于文件大小加预设阈值的和，其中，预设阈值为100M，若不满足条件，则通知用户；

S1013：通过系统接口获取车辆状态和档位状态，当车辆状态处于点火状态且档位状态处于P档状态时，则符合OTA升级条件，若条件不满足，则通知用户；

S1014：通过系统接口获取车辆当前通话服务状态，当通话服务没有运行时，则符合OTA升级条件，若条件不满足，则通知用户；

S1011步骤包括：

通过判断文件检查目录下的安装包文件是否存在于预定目录内，获取OTA升级安装包文件大小，将OTA升级安装包文件大小与服务器下发的文件参数进行比较，若大小相等，则符合OTA升级安装包为完整安装包的条件，获取OTA升级安装包文件MD5值，将OTA升级安装包文件MD5值与服务器下发的MD5值进行比较，若两者值相等，则符合OTA升级安装包为完整安装包的条件，当OTA升级安装包文件大小和安装包文件MD5值同时满足条件时，则判定OTA升级安装包完整且为服务器下发，当OTA升级安装包文件大小和安装包文件MD5值未同时满足条件时，则提示用户重新下载OTA升级安装包；

判断OTA升级安装包是否完整且是否为服务器下发的过程中，对OTA升级安装包进行签名校验，OTA升级安装包校验阶段，通过预置的公钥对下载后的OTA升级安装包和数字签名文件进行签名校验，该预置的公钥与之前服务器端签名所用私钥属于一对匹配的密钥；

签名校验包括通过公钥对数字签名进行解密，若解密成功，则说明OTA升级安装包未被篡改，若解密失败，则说明OTA升级安装包有被篡改风险，不能安装；若签名校验成功，则进入安装阶段，若签名校验失败，则终止OTA升级安装包的安装，通知用户重试下载；

S1013步骤包括：

通过与车辆的通信接口相连的控制单元，获取车辆实时状态信息，车辆实时状态信息包括车辆点火状态和档位状态；

分析获取的车辆状态信息，判断车辆是否处于点火状态，当车辆处于点火状态时，分析获取的档位状态信息，判断车辆是否处于P档状态，当车辆处于P档状态时，进行OTA升级；若车辆状态信息显示车辆处于非点火状态或档位状态非P档，视为不满足OTA升级条件，执行通知用户操作，通知用户的方式包括在车辆信息显示屏上展示提示信息、通过车载语音提示系统进行语音播报、通过与用户设备连接的通信方式发送通知，通知用户后，引导用户执行相关操作使车辆满足OTA升级条件；当获取的车辆状态信息显示车辆处于点火状态且档位状态处于P档时，视为符合OTA升级条件，执行后续OTA升级安装包下载操作。

2.根据权利要求1所述的一种车辆OTA升级安全机制的构建方法，其特征在于，S102步骤包括：

S1021：当安装OTA升级包时，通过提高窗口的层级将显示界面设置为霸屏状态；

S1022：在OTA升级包安装过程中，若用户切换档位，则取消OTA升级，并通知用户切换档位；

S1023：在OTA升级包安装过程中，若用户强行断电，重启后，取消OTA升级操作，用户通过显示界面点击安装后继续进行OTA升级。

3.根据权利要求1所述的一种车辆OTA升级安全机制的构建方法，其特征在于，S103步骤包括：

S1031：在OTA升级安装结束后，重启车辆，并根据升级结果通知用户升级成功或升级失败；

S1032：当OTA升级安装完成或者中断时，显示界面将自动取消霸屏状态，恢复正常交互状态；

S1033：在恢复正常交互状态期间，用户通过显示界面查看升级结果或继续完成未完成的升级任务。

4.根据权利要求2所述的一种车辆OTA升级安全机制的构建方法，其特征在于，S1021步骤包括：

在通过提高窗口的层级将显示界面设置为霸屏状态过程中，打开OTA升级应用程序，让OTA升级应用程序覆盖于显示界面的其他应用程序窗口之上，使OTA升级应用程序占据整个显示屏幕，若存在其他窗口出现在OTA升级应用程序之上的情况，则通过提高窗口的层级进行霸屏状态设置。

5.根据权利要求3所述的一种车辆OTA升级安全机制的构建方法，其特征在于，S1031步骤包括：

在OTA升级安装结束后，车载智能单元将自动更新安全系统，检测已安装的安全系统版本，安全系统包括车载通信模块、刹车控制模块和膨胀气囊模块；将已安装安全系统的版本信息与服务器上的安全系统最新版本信息进行比较；若已安装安全系统的版本信息与服务器上的安全系统最新版本信息不同，则从OTA服务器中下载并安全更新包；车载智能单元自动重新启动并应用更新后的安全系统，若安全系统更新失败，则车载智能单元自动恢复到更新前安全系统的版本。

6.根据权利要求1所述的一种车辆OTA升级安全机制的构建方法，其特征在于，S101步骤之前包括：

在车辆OTA进入升级之前，对用户身份进行验证和授权，在用户身份验证模块中对升级设备设定对应的名单，在白名单中的设备则被允许进行OTA升级，通过设备ID、序列号、MAC地址和设备对应的唯一标识符进行识别和匹配，匹配成功则符合身份验证成功的条件，对于待升级的应用程序，通过版本号信息与OTA升级包中的版本信息进行匹配，匹配成功后符合身份验证成功的条件，当匹配成功时，自动进行OTA升级操作，否则拒绝升级请求并向用户显示错误信息。