EP4118548A1 - Procédé et dispositif de mise à jour d'un logiciel comportant des adresses physiques vers la mémoire d'un calculateur embarqué d'un véhicule - Google Patents

Procédé et dispositif de mise à jour d'un logiciel comportant des adresses physiques vers la mémoire d'un calculateur embarqué d'un véhicule

Info

Publication number
EP4118548A1
EP4118548A1 EP21707766.8A EP21707766A EP4118548A1 EP 4118548 A1 EP4118548 A1 EP 4118548A1 EP 21707766 A EP21707766 A EP 21707766A EP 4118548 A1 EP4118548 A1 EP 4118548A1
Authority
EP
European Patent Office
Prior art keywords
software
update
computer
zone
memory
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP21707766.8A
Other languages
German (de)
English (en)
Inventor
Pierre SCHMIDT
Francois Rochette
Thierry Lopez
Emmanuel GEORGES
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Stellantis Auto SAS
Original Assignee
PSA Automobiles SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by PSA Automobiles SA filed Critical PSA Automobiles SA
Publication of EP4118548A1 publication Critical patent/EP4118548A1/fr
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/572—Secure firmware programming, e.g. of basic input output system [BIOS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/575—Secure boot
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0813—Configuration setting characterised by the conditions triggering a change of settings
    • H04L41/082—Configuration setting characterised by the conditions triggering a change of settings the condition being updates or upgrades of network functionality
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/085—Retrieval of network configuration; Tracking network configuration history
    • H04L41/0859—Retrieval of network configuration; Tracking network configuration history by keeping history of different configuration generations or by rolling back to previous configuration versions
    • H04L41/0863—Retrieval of network configuration; Tracking network configuration history by keeping history of different configuration generations or by rolling back to previous configuration versions by rolling back to previous configuration versions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0866—Checking the configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters 

Definitions

  • the invention relates to the software update of one or more computers of a motor vehicle carried out remotely from a diagnostic tool also called an OTA update (for Over The Air).
  • OTA update for Over The Air
  • an OTA update can save a lot of time compared to an organized recall of vehicles in the garage of the authorized or independent network.
  • This type of problem can arise for example in the case where the destination computer tries to write a value on a corrupted memory cell for example, or in the case of a transmission error due for example to an electromagnetic field, or of still other cases.
  • Such a type of problem is generally detected by the recipient computer (for example by means of a verification of a CRC Cyclic Redoundancy Check in the event of an erroneous reception). In this case, information will be sent to the master computer to request the execution of the rollback process.
  • document US20190057214 discloses an update control device which comprises a first communication unit, a second communication unit, and a control unit.
  • the first communication unit is configured to receive patch data for each software block and first authentication data for each software authentication block in an updated terminal using the patch data on a basis. by block.
  • the control unit is configured to request the terminal to rollback for restoration from a first block to a (M-1) th block using the patch data upon receipt of an update result indicating a failure in an authentication of an Mth block (M> 1).
  • An object of the present invention is to provide a solution for quickly resetting to a previous state a software update of a computer of a vehicle in particular when an update has been identified as corrupt.
  • the invention relates in particular to a method of installing a software update of an on-board computer of a vehicle, comprising a memory comprising a first zone (Z1), a second zone (Z2), a current software, generated during a first preliminary compilation, being stored in the first zone (Z1), said current software comprising physical addresses, determined during the first preliminary compilation, designating parts of said first zone (Z1), and a pointer indicating to the computer which instructions to execute, said pointer indicating the first memory area (Z1), characterized in that it comprises steps of:
  • the invention has the advantage of operating with computers having advanced microcontrollers. Indeed, the invention does not require the microcontroller responsible for memory management to have an address translation mechanism.
  • the advantage of the invention is when an integrity test of the data received results in failure, to allow the installation procedure to be interrupted without delay and to continue to use the current software which is not modified in the first one. memory.
  • a rollback step (for example, following a malfunction observed by a user), can easily be implemented by modifying the pointer again to return to the software still present in the first memory area.
  • the invention therefore saves time but also enhanced security insofar as it eliminates additional risks of data corruption. inevitably linked to successive software block generation operations during the rollback phase in the solution of the state of the art.
  • the method for updating software of a computer further comprises a step of sending a request controlling a check of the integrity of the updated software in the second zone, the step of sending a request commanding an activation of the updated software, only if the integrity is verified.
  • the method for updating software of a computer further comprises a step of returning to a state preceding the update, said return to a previous state comprising a modification of the pointer, of so that this indicates the first memory area.
  • the method for updating the software of a computer further comprises, following detection of an error, a step of sending a request ordering the stopping of the. installing the update.
  • stopping the installation of the update involves sending a message to the driver to inform him of the stopping of the installation.
  • the invention also relates to a computer program product comprising instructions adapted for the execution of the steps of the method according to the invention, when the computer program is executed by at least one processor.
  • the invention also relates to a device for updating computer software, said device comprising a memory associated with at least one processor configured to implement the steps of the method according to the invention.
  • the invention also relates to a vehicle characterized in that it comprises a device for updating computer software according to the invention.
  • FIG. 1 schematically illustrates a system, according to a particular embodiment of the present invention
  • FIG. 2 schematically illustrates a computer, according to a particular embodiment of the present invention
  • FIG. 3 schematically illustrates an updating method, according to a particular embodiment of the present invention.
  • FIG 4 illustrates an example of the successive states of memories of a computer during an update.
  • the system comprises a vehicle 101 connected to a remote update server 102.
  • the vehicle 101 comprises a plurality of computers ECU1, ECU2, ECU3 including an on-board communication unit which communicates with the server 102, via a wireless connection.
  • the connection or wireless link is a connection by radio waves (3G, 4G, ).
  • the computers ECU1, ECU2, ECU3 communicate with each other via a data bus 104 (for example of the CAN type).
  • the unloaded server 102 is for example a generic computer comprising at least one memory and one processor.
  • the vehicle 101 and the disembarked server 102 communicate via a wide area network 105 such as a fixed communication network 103 (or WAN for “Wide Area Network”), for example the Internet network to which the vehicle is connected by a wireless link (3G, 4G, ).
  • a wide area network 105 such as a fixed communication network 103 (or WAN for “Wide Area Network”), for example the Internet network to which the vehicle is connected by a wireless link (3G, 4G, ).
  • the ECU1 computer also called the update management computer (or FOTA Master - for Firmware Over-The-Air) which allows the updating of the ECU2 to ECU3 computers, has for this purpose mechanisms capable of transferring the files from data received in frames awaited by the recipient ECU2, ECU3 computers to install their software.
  • the computer playing the role of FOTA master in a vehicle may or may not be the same computer as the one which has wireless communication functions.
  • An operator via a terminal 107 can perform the checks and transmits remote instructions to the vehicle 101. These instructions are transmitted to the vehicle 101 by wave which can be 4G, WIFI or any other wireless communication technology. to come.
  • wave which can be 4G, WIFI or any other wireless communication technology. to come.
  • ECU1, ECU2, ECU3 calculators can be updated in a garage.
  • Updating software in a garage responds to a specific procedure (case 1 in figure 1) during which the operator becomes responsible for the vehicle entrusted to him.
  • he places the vehicle in a “safe and secure” environment before launching this operation from a tool 106 connected to a dedicated outlet 108 of the vehicle 101
  • he performs certain checks in order to to ensure its proper functioning.
  • the technician will take the necessary measures to correct the anomaly (new test, change of part, etc.) before returning the vehicle. to the client.
  • the garage owner is therefore an important link in the safety chain, but is also in charge of ensuring the quality of the operation carried out.
  • the FOTA master communicates with said target computer via the communication network available in the vehicle (for example CAN, Ethernet or other).
  • the communication network available in the vehicle (for example CAN, Ethernet or other).
  • the FOTA master uses a dedicated communication protocol, such as, for example, the UDS protocol (standard IS014229) commonly used to perform the diagnosis or download the software of the on-board computers in motor vehicles.
  • UDS protocol standard IS014229
  • the computer 200 comprises a microcontroller provided with a Flash memory 201.
  • the flash memory 201 comprises: - a first zone Z1, also called execution zone, used to execute the downloaded software, and of a size at least equal to a given size N,
  • a second zone Z2 also called backup zone, of a size at least equal to the given size N, used as a backup memory allowing to revert to the previous version of the software in the event of a problem during installation,
  • the size of the flash memory 201 is therefore at least twice the given size N.
  • Z2 can be a memory module separate from the first zone Z1 or form part of the same memory module as a zone contiguous to the first zone Z1.
  • the principle of selecting the memory area of the software to be executed is achieved by programming at a particular address commonly called the Reset Vector pointer generally located at the start of the Flash memory (address OOOOOh) an instruction whose execution will cause a jump to the memory zone Z1 or Z2 corresponding to the execution zone. Start-up will therefore always take place in the memory area which contains the reset vector. The rest of the execution will take place from the correct memory zone because the addresses from which the microcontroller will read the instructions to be executed will be linked either to zone Z1, or else to zone Z2, the values of these addresses being produced when the software was compiled.
  • the computer to be updated 200 or target computer, has software (version N) in its first memory area Z1.
  • the FOTA master before updating the target computer, places the computer 200 in a state dedicated to programming (where the functional is deactivated) using a reprogramming session-entry request.
  • the target computer 200 accepts to execute this request only if the safety conditions are met (eg: vehicle stationary, traction chain deactivated, etc.)
  • the FOTA master communicates directly with the boot software of the target computer 200.
  • the computer boot software can perform various operations (write, copy, integrity check) on one of the two memories available (ME execution memory or MS backup memory).
  • Figure 3 describes a succession of actions to be performed by the FOTA master to install new software in the target computer 200.
  • the target computer 200 is in a first state 501, called the initial state, in which: the first zone Z1 contains the current software (version N).
  • a first step 311 the FOTA master downloads updated software compiled to be installed in the second memory area.
  • the compilation has the effect of including in the image constituting the update to be installed, the memory addresses which differ depending on whether the software is intended to run from the first or from the second bank.
  • the translation of the addresses is therefore carried out not dynamically (in other words during the execution of the software by the microcontroller), but at the time of creation (compilation) of the software.
  • a software for example version n
  • the software compiled for the second memory area includes addresses between 10000h and I FFFFh.
  • the software compiled for the first zone includes addresses between OOOOh and OFFFFh.
  • the FOTA master sends a request to ask the target computer 200 to erase the second zone Z2.
  • the FOTA master then sends 312 to the target computer the update and orders its writing in the second zone Z2.
  • the FOTA master then sends 313 a request to ask the target computer to check the integrity of the data copied into the second zone Z2.
  • This check can be carried out using a Cyclic Redoundancy Check CRC or any other method known in the state of the art (example: calculation, using a hash function, of a "hash »Of the data content and comparison of the result with a reference value transmitted beforehand by the FOTA master). If the memory is made up of several data blocks, each block has its own integrity control mechanism (based on the same method or different methods).
  • the target computer 200 is in a second state 502, in which: the first zone Z1 comprises the current software (version N) and the second zone Z2 contains the updated software (version N + 1 ).
  • the FOTA master then orders the activation 314 of the updated software (version N + 1).
  • the FOTA master interrupts the installation 315 without activating the software of the second zone Z2. Use of the vehicle then remains possible by continuing to run the software contained in the first zone Z1. An error message is then displayed indicating the failure of the installation to the customer who must then drop off his vehicle in a garage.
  • a return to the previous version (version N) is possible by performing a rollback.
  • the latter consists, in the case of the double bank memory, of a simple reactivation of the execution of the software still present in the first zone (Z1). No copying is necessary, the rollback operation here consisting in reassigning the execution pointer to the first zone (Z1), so that each time the computer is powered on (vehicle start) the software which will be executed. will be that of the first zone (Z1).
  • the activation step 314, or the execution of a possible rollback is carried out by simply reassigning the execution address to the memory zone containing the new software (activation) or that containing the old version used.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Stored Programmes (AREA)

Abstract

Procédé et dispositif de mise à jour d'un logiciel comportant des adresses physiques vers la mémoire d'un calculateur embarqué d'un véhicule L'invention concerne un procédé d'installation d'une mise à jour d'un logiciel d'un calculateur embarqué d'un véhicule, comportant une mémoire comprenant une première zone, une deuxième zone, un logiciel courant, généré lors d'une première compilation préalable, étant stocké dans la première zone, et comportant des adresses physiques, déterminées lors de la première compilation préalable, désignant des parties de ladite première zone, et un pointeur indiquant au calculateur quelles instructions exécuter, ledit pointeur indiquant la première zone mémoire, comportant des étapes de : - Téléchargement (311) d'un logiciel de mise à jour, généré lors d'une deuxième compilation préalable, comportant des adresses physiques, désignant des parties de ladite deuxième zone mémoire, - Emission (312) d'une requête commandant une écriture de la mise à jour dans la deuxième zone - Emission (314) d'une requête commandant une activation du logiciel mis à jour, comportant une modification du pointeur, de sorte que celui-ci indique la deuxième zone.

Description

DESCRIPTION
Titre : Procédé et dispositif de mise à jour d’un logiciel comportant des adresses physiques vers la mémoire d’un calculateur embarqué d’un véhicule « La présente invention revendique la priorité de la demande française 2002378 déposée le 10.03.2020 dont le contenu (texte, dessins et revendications) est ici incorporé par référence. »
Domaine technique
L’invention concerne la mise à jour logicielle d’un ou plusieurs calculateurs d’un véhicule automobile réalisée à distance d’un outil de diagnostic aussi appelée mise à jour OTA (pour Over The Air).
Arrière-plan technologique
Dans la suite de la description, lorsque le fichier à télécharger contient des instructions ou le code exécutable d'un logiciel, on parlera également de téléchargement d'un logiciel.
La complexité croissante de la fonction électronique embarquée entraîne une multiplication des boîtiers électroniques (ou calculateurs) montés sur les véhicules automobiles.
Afin de limiter la diversité qui en résulte, il a été décidé de reporter lorsque cela est possible la diversité matérielle sur le logiciel et de pratiquer un téléchargement de ces calculateurs. L'opération est réalisée moyennant un outil débarqué qui se connecte sur la prise diagnostic du véhicule et permet de programmer dans la mémoire du ou des calculateurs le logiciel qui assure un fonctionnement conforme du véhicule produit en prenant en compte les caractéristiques (motorisation, options) propres à ce véhicule. La communication entre l'outil et le ou les calculateurs fait généralement usage soit de la technologie CAN 500kbps connue de l’état de l’art actuel ou de la technologie Ethernet 100 Mbits/s en cours de déploiement dans le monde automobile afin de transférer les données à programmer. On connaît déjà dans l'état de la technique des procédés et des systèmes de téléchargement de fichiers dans des calculateurs embarqués à bord de véhicules automobiles, tels que ceux décrits par exemple dans le document FR-A-2719924. Ce document détaille les différentes étapes successives de la procédure utilisée lors de l'assemblage des véhicules ou dans le réseau après-vente d'un constructeur, lors de la correction d'une prestation par échange de fichier.
Cependant, dans le but de rendre les véhicules toujours plus sûrs pour leurs clients, les constructeurs automobiles envisagent de pouvoir réaliser certaines mises à jour directement chez le client final, à l’image de ce qui existe déjà dans le domaine du consumérisme pour un PC ou un smartphone par exemple. En effet, les moyens de connectivité présents dans les véhicules permettent déjà d’échanger de nombreuses informations avec l’extérieur (informations de trafic, de navigation, de données pour la réparation ou pour les assureurs, ...) et ces échanges sont en pleine expansion. Il en résulte une demande accrue pour la protection des données clients, mais aussi pour une protection importante de ces véhicules compte tenu des possibilités de cyber attaque et du risque encouru sur la sécurité routière. En effet, lors de la détection d’une attaque de ce type et de la disponibilité d’un « patch » correctif (un logiciel ou module logiciel) en mesure d’en supprimer ou d’en réduire les risques, la vitesse à laquelle cette correction peut être installée revêt sans aucun doute un aspect primordial. Dans ce cas, une mise à jour OTA peut permettre de gagner beaucoup de temps en comparaison d’un rappel organisé des véhicules dans le garage du réseau agrée ou indépendant.
Pour pouvoir réaliser ce type d’opération directement chez le client final, il convient néanmoins de prendre en considérations plusieurs aspects qui ajoutent à la complexité de cette opération.
La mise à jour du logiciel d’un calculateur d’une automobile peut dans certains cas la rendre indisponible ou encore induire des conséquences importantes tant pour les occupants du véhicule que pour son environnement. C’est la raison pour laquelle la mise à jour en OTA de certains calculateurs et en particulier ceux qui sont associés à la dynamique du véhicule nécessitent un mécanisme appelé Rollback (ou retour en arrière, ou encore retour à un état précédent) qui permet de revenir à la configuration logicielle antérieure dans le cas de la détection d’un problème survenu pendant la mise à jour du logiciel d’un ou plusieurs calculateurs du véhicule.
Ce type de problème peut intervenir par exemple dans le cas où le calculateur destinataire essaye d’écrire une valeur sur une cellule mémoire corrompue par exemple, ou dans le cas d’une erreur de transmission due par exemple à un champ électromagnétique, ou d’autres cas encore.
Un tel type de problème est généralement détecté par le calculateur destinataire (par exemple au moyen d’une vérification d’un CRC Cyclic Redoundancy Check dans le cas d’une réception erronée). Dans ce cas, une information sera transmise au calculateur maitre pour demander l’exécution du processus de rollback.
On connaît par exemple par le document US20190057214 un dispositif de commande de mise à jour qui comprend une première unité de communication, une seconde unité de communication, et une unité de commande. La première unité de communication est configurée pour recevoir des données de patch pour chaque bloc des logiciels et des premières données d'authentification pour chaque bloc d'authentification d'un logiciel dans un terminal mis à jour en utilisant les données de patch sur une base par bloc.
L'unité de commande est configurée pour demander au terminal d'effectuer un rollback pour restauration d’un premier bloc à un (M-1) ième bloc en utilisant les données de patch à réception d'un résultat de mise jour indiquant une défaillance dans une authentification d’un bloc Mième (M> 1).
Cette solution présente l’inconvénient de devoir générer des blocs de logiciels et de vérifier leur intégrité au cours de la procédure de rollback. Ceci augmente le risque d’échec de la procédure de rollback.
Résumé de l’invention
Un objet de la présente invention est de proposer une solution pour remettre rapidement à un état précédent une mise à jour logicielle d’un calculateur d’un véhicule en particulier lorsqu’une mise à jour a été identifiée comme corrompue. L’invention concerne en particulier un procédé d’installation d’une mise à jour d’un logiciel d’un calculateur embarqué d’un véhicule, comportant une mémoire comprenant une première zone (Z1), une deuxième zone (Z2), un logiciel courant, généré lors d’une première compilation préalable, étant stocké dans la première zone (Z1), ledit logiciel courant comportant des adresses physiques, déterminés lors de la première compilation préalable, désignant des parties de ladite première zone (Z1), et un pointeur indiquant au calculateur quelles instructions exécuter, ledit pointeur indiquant la première zone mémoire (Z1), caractérisé en ce qu’il comporte des étapes de :
- Téléchargement (311 ) d’un logiciel de mise à jour, généré lors d’une deuxième compilation préalable, ledit logiciel de mise à jour comportant des adresses physiques, déterminés lors de la deuxième compilation préalable, désignant des parties de ladite deuxième zone (Z2) mémoire,
-Emission (312) d’une requête commandant une écriture de la mise à jour dans la deuxième zone (Z2)
- Emission (314) d’une requête commandant une activation du logiciel mis à jour, ladite activation comportant une modification du pointeur, de sorte que celui-ci indique la deuxième zone mémoire (Z2).
L’invention a pour avantage de fonctionner avec des calculateurs disposant de microcontrôleurs peut évolués. En effet, l’invention ne nécessite pas que le microcontrôleur chargé de la gestion de la mémoire dispose d’un mécanisme de translation d’adresse.
L’invention a pour avantage lorsqu’un test d’intégrité des données reçues abouti à un échec, de permettre d’interrompre sans délai la procédure d’installation et de continuer à utiliser le logiciel courant qui n’est pas modifié dans la première mémoire.
En outre une étape de rollback (par exemple, suite à un disfonctionnement constaté par un utilisateur), peut facilement être mise en œuvre en modifiant à nouveau le pointeur pour revenir au logiciel toujours présent dans la première zone mémoire.
L’invention offre donc un gain de temps mais aussi une sécurité renforcée dans la mesure où elle élimine des risques supplémentaires de corruption des données inévitablement liées aux opérations successives de génération de bloc de logiciels au cours de la phase de rollback dans la solution de l’état de la technique.
Avantageusement, le procédé de mise à jour d’un logiciel d’un calculateur selon l’invention, comporte en outre une étape d’émission d’une requête commandant une vérification de l’intégrité du logiciel mis à jour dans la deuxième zone, l’étape d’émission d’une requête commandant une activation du logiciel mis à jour, seulement si l’intégrité est vérifiée.
Avantageusement, le procédé de mise à jour d’un logiciel d’un calculateur selon l’invention, comporte en outre une étape de retour à un état précédent la mise à jour, ledit retour à un état précédent comportant une modification du pointeur, de sorte que celui indique la première zone mémoire.
Avantageusement, le procédé de mise à jour d’un logiciel d’un calculateur selon l’invention, comporte en outre, consécutivement à une détection d’une erreur, une étape d’émission d’une requête commandant l’arrêt de l’installation de la mise à jour.
Avantageusement, l’arrêt de l’installation de la mise à jour comporte l’émission d’un message destiné au conducteur pour l’informer de l’arrêt de l’installation.
L’invention concerne aussi un produit programme d’ordinateur comportant des instructions adaptées pour l’exécution des étapes du procédé selon l’invention, lorsque le programme d’ordinateur est exécuté par au moins un processeur.
L’invention concerne aussi un dispositif de mise à jour d’un logiciel d’un calculateur, ledit dispositif comprenant une mémoire associée à au moins un processeur configuré pour mettre en œuvre les étapes du procédé selon l’invention.
L’invention concerne aussi un véhicule caractérisé en ce qu’il comporte un dispositif de mise à jour d’un logiciel d’un calculateur selon l’invention.
Brève description des figures
D’autres caractéristiques et avantages de l’invention ressortiront de la description des modes de réalisation non limitatifs de l’invention ci-après, en référence aux figures annexées, sur lesquelles : [Fig. 1] illustre de façon schématique un système, selon un exemple de réalisation particulier de la présente invention ;
[Fig. 2] illustre de façon schématique un calculateur, selon un exemple de réalisation particulier de la présente invention; [Fig. 3] illustre schématiquement un procédé de mise à jour, selon un exemple de réalisation particulier de la présente invention.
[Fig 4] illustre un exemple des états successifs de mémoires d’un calculateur au cours d’une mise à jour.
En référence à la figure 1 , le système selon l’invention comporte un véhicule 101 connecté à un serveur 102 de mise à jour distant.
Le véhicule 101 comprend une pluralité de calculateurs ECU1 , ECU2, ECU3 dont une unité de communication embarquée qui communique avec le serveur 102, par l'intermédiaire d'une connexion sans fil. Typiquement, la connexion ou liaison sans fil est une connexion par ondes radio (3G, 4G,...). Les calculateurs ECU1 , ECU2, ECU3 communiquent entre eux par l’intermédiaire d’un bus de données 104 (par exemple de type CAN).
Le serveur débarqué 102 est par exemple un calculateur générique comportant au moins une mémoire et un processeur.
Le véhicule 101 et le serveur débarqué 102 communique via un réseau étendu 105 tel que un réseau de communication fixe 103 (ou WAN pour "Wide Area Network"), par exemple le réseau Internet auquel véhicule se connecte par une liaison sans fil (3G, 4G,...).
Le calculateur ECU1 aussi appelé calculateur de gestion de mise à jour (ou encore FOTA Master - pour Firmware Over-The-Air) qui permet la mise à jour des calculateurs ECU2 à ECU3, dispose à cet effet des mécanismes capables de transférer les fichiers de données reçues en trames attendues par les calculateurs ECU2, ECU3 destinataires pour installer leur logiciel. A noter que le calculateur jouant le rôle de FOTA master dans un véhicule peut ou non être le même calculateur que celui qui dispose des fonctions de communication sans fils.
Un opérateur via un terminal 107 peut réaliser les vérifications et transmet des instructions à distance au véhicule 101. Ces instructions sont transmises au véhicule 101 par voie d’onde qui peut être de la 4G, du WIFI ou toute autre technologie de communication sans fil à venir.
Les calculateurs ECU1 , ECU2, ECU3 peuvent être mis à jour dans un garage. La mise à jour d’un logiciel dans un garage répond à une procédure spécifique (cas 1 de la figure 1) au cours de laquelle, l’opérateur devient responsable du véhicule qui lui a été confié. A cet égard, il place le véhicule dans un environnement « safe and secure » avant de lancer cette opération à partir d’un outil 106 branché sur une prise dédiée 108 du véhicule 101 Puis une fois l’opération terminée, il effectue certains contrôles afin de s’assurer de son bon fonctionnement. En cas de problème détecté, soit lors du déroulement de la procédure ou après la mise à jour, le technicien prendra les mesures nécessaires à la correction de l’anomalie (nouvel essai, changement de pièce, ...) avant de restituer le véhicule au client. Le garagiste est donc à ce titre un maillon important de la chaîne safety mais est aussi en charge de s’assurer de la qualité de l’opération réalisée.
Lors d’une mise à jour OTA chez un client (cas 2 de la figure 1 ), rien de tout cela n’est possible et il convient donc d’ajouter dans chaque calculateur un mécanisme permettant de revenir à la version antérieure en cas de problème.
Pour réaliser une mise à jour d’un calculateur cible, le FOTA master communique avec ledit calculateur cible via le réseau de communication disponible dans le véhicule (par exemple CAN, Ethernet ou autre). Il utilise pour cela un protocole de communication dédié, comme par exemple, le protocole UDS (norme IS014229) couramment employé pour réaliser le diagnostic ou le téléchargement du logiciel des calculateurs embarqués dans les véhicules automobiles.
En référence à la figure 2, le calculateur 200 selon l’invention comporte un microcontrôleur muni d’une mémoire Flash 201. La mémoire flash 201 comporte : - une première zone Z1 , aussi appelée zone d’exécution, utilisée pour exécuter le logiciel téléchargé, et d’une taille au moins égale à une taille donnée N,
- une deuxième zone Z2, aussi appelée zone de sauvegarde, d’une taille au moins égale à la taille donnée N, utilisée comme mémoire de sauvegarde permettant de revenir à la version précédente du logiciel en cas de problème lors de l’installation,
La taille de la mémoire flash 201 est donc d’au moins deux fois la taille donnée N.
La Z2 peut être un module mémoire séparé de la première zone Z1 ou faire partie du même module mémoire en tant que zone contiguë à la première zone Z1.
Dans l’exemple de la figure 2 les plages d’adresses OOOOOh-OFFFFh (h pour hexadécimal) et 10000h-1 FFFFh correspondant respectivement à la première Z1 puis à la deuxième zone Z2. Le principe de sélection de la zone mémoire du logiciel à exécuter est réalisé en programmant à une adresse particulière communément appelée pointeur Vecteur de Reset généralement situé au début de la mémoire Flash (adresse OOOOOh) une instruction dont l’exécution va provoquer un saut vers la zone mémoire Z1 ou Z2 correspondant à la zone d’exécution. Le démarrage aura donc toujours lieu dans la zone mémoire qui contient le vecteur de reset. La suite de l’exécution aura lieu à partir de la bonne zone mémoire car les adresses à partir desquelles le microcontrôleur va lire les instructions à exécuter seront liées soit à la zone Z1 , ou bien à la zone Z2, les valeurs de ces adresses étant produites au moment de la compilation du logiciel.
Dans la suite de la description, on verra que l’activation d’une mise à jour nouvellement installée consiste donc simplement à programmer le Vecteur de Reset en lui affectant l’adresse de saut vers la zone contenant le logiciel mis à jour (version N+1 ). De même, un rollback est réalisé en inscrivant au Vecteur de Reset, l’adresse de base de la zone mémoire contenant la version précédente (version N).
Dans l’exemple de la figure 4, le calculateur à mettre à jour 200, ou calculateur cible, dispose d’un logiciel (version N) dans sa première zone mémoire Z1.
Avantageusement, avant la mise à jour du calculateur cible, le FOTA master place le calculateur 200 dans un état dédié à la programmation (où le fonctionnel est désactivé) en utilisant une requête d’entrée en session reprogrammation. Le calculateur cible 200 accepte d’exécuter cette requête uniquement si les conditions sécuritaires sont remplies (ex : véhicule à l’arrêt, chaîne de traction désactivée, etc.)
En session reprogrammation, le FOTA master communique directement avec le logiciel de boot du calculateur cible 200. En fonction des requêtes envoyées par le FOTA master, le logiciel de boot du calculateur peut exécuter différentes opérations (écriture, copie, contrôle d’intégrité) sur l’une des deux mémoires dont il dispose (mémoire d’exécution ME ou mémoire de sauvegarde MS). La figure 3 décrit une succession d’actions à réaliser par le FOTA master pour installer un nouveau logiciel dans le calculateur cible 200.
Avant l’exécution du procédé de mise à jour selon l’invention, le calculateur cible 200 se trouve dans un premier état 501 , dit état initial, dans lequel : la première zone Z1 comporte le logiciel courant (version N).
Dans une première étape 311 , le FOTA master télécharge un logiciel mis à jour compilé pour être installé dans la deuxième zone mémoire. La compilation a pour effet d’inclure dans l’image constituant la mise à jour à installer, les adresses mémoires qui diffèrent selon que le logiciel est destiné à s’exécuter depuis la première ou depuis la seconde banque.
Selon l’invention, la translation des adresses est donc réalisée non pas dynamiquement (autrement dit pendant l’exécution du logiciel par le microcontrôleur), mais au moment de la création (compilation) du logiciel. Ainsi un logiciel (par exemple version n) serait compilé pour la première banque et la mise à jour (n+1) pour la seconde banque. Dans l’exemple de la figure 2, le logiciel compilé pour la deuxième zone mémoire comprend adresses comprises entre 10000h et I FFFFh. Le logiciel compilé pour la première zone comprend des adresses comprises entre OOOOh et OFFFFh.
De façon optionnelle, le FOTA master envoie une requête pour demander au calculateur cible 200 d’effacer la deuxième zone Z2. Le FOTA master envoie ensuite 312 au calculateur cible la mise à jour et commande son écriture dans la deuxième zone Z2.
Le FOTA master envoie 313 ensuite une requête pour demander au calculateur cible de contrôler l’intégrité des données copiées dans la deuxième zone Z2. Cette vérification peut être réalisée à l’aide d’un CRC Cyclic Redoundancy Check ou toute autre méthode connue de l’état de l’art (exemple : calcul, à l’aide d’une fonction de hachage, d’un « condensât » du contenu des données et comparaison du résultat avec une valeur de référence transmise au préalable par le FOTA master). Si la mémoire est composée de plusieurs blocs de données, chaque bloc dispose de son propre mécanisme de contrôle d’intégrité (basé sur la même méthode ou des méthodes différentes).
A l’issue de cette étape le calculateur cible 200 se trouve dans un deuxième état 502, dans lequel : la première zone Z1 comporte le logiciel courant (version N) et la deuxième zone Z2 comporte le logiciel mis à jour (version N+1).
Le FOTA master commande alors l’activation 314 du logiciel mis à jour (version N+1).
A noter que quelle que soit la phase de l’installation, plus particulièrement l’opération consistant à programmer la mise à jour, si une erreur est détectée (erreur de programmation de la mémoire Flash, réponse négative après plusieurs tentatives), le FOTA master interrompt 315 l’installation sans activer le logiciel de la deuxième zone Z2. L’utilisation du véhicule reste alors possible en continuant d’exécuter le logiciel contenu dans première zone Z1. Un message d’erreur est alors affiché signalant l’échec de l’installation au client qui doit alors déposer son véhicule dans un garage.
Si à l’issue d’une installation réussie, il s’avère qu’un fonctionnement anormal du véhicule est détecté par le client, un retour à la version précédente (version N) est possible en pratiquant un rollback. Ce dernier consiste dans le cas de la mémoire double bank en une simple réactivation de l’exécution du logiciel encore présent dans première zone (Z1). Aucune recopie n’est nécessaire, l’opération de rollback consistant ici à réaffecter le pointeur d’exécution à la première zone (Z1), si bien qu’à chaque mise sous tension du calculateur (démarrage véhicule) le logiciel qui s’exécutera sera celui de la première zone (Z1). L’étape d’activation 314, ou l’exécution d’un éventuel rollback, s’opèrent par simple réaffectation de l’adresse d’exécution à la zone mémoire contenant le nouveau logiciel (activation) ou celle contenant l’ancienne version servant de mémoire de sauvegarde (rollback) selon un mécanisme connu de l’état de l’art. On peut noter que les affectations « mémoire d’exécution » (ou zone d’exécution) et « mémoire de sauvegarde » (ou zone de sauvegarde) ne sont donc pas fixes puisqu’une banque donnée devient à chaque mise à jour alternativement mémoire d’exécution puis mémoire de sauvegarde. En effet lorsqu’une mise à jour réussie est éprouvée du point de vue de la prestation qu’elle est censée assurer (pas de rollback déclenché par le client pendant un certain temps), la mémoire de sauvegarde devient disponible pour accueillir une éventuelle nouvelle mise à jour et ce sera alors la mémoire d’exécution qui deviendra mémoire de sauvegarde lors de l’installation de la nouvelle mise à jour. A chaque mise à jour réussie, les affectations mémoire d’exécution et mémoire de rollback s’inversent donc. On peut aussi noter que par souci de simplification, seul le cas de sortie lié à un échec survenant au cours du test d’intégrité a été représenté sur la figure 3. Le bon déroulement de la procédure d’installation est cependant bien supervisé au cours de chaque étape, plus particulièrement l’effacement de la mémoire et la phase de transfert- écriture des données en mémoire depuis le FOTA master. Si une erreur survient après plusieurs (par exemple 3) tentatives, la procédure d’installation prend fin ce qui se solde par un échec de la mise à jour.

Claims

REVENDICATIONS
1. Procédé d’installation d’une mise à jour d’un logiciel d’un calculateur embarqué d’un véhicule, comportant une mémoire comprenant une première zone (Z1), une deuxième zone (Z2), un logiciel courant, généré lors d’une première compilation préalable, étant stocké dans la première zone (Z1), ledit logiciel courant comportant des adresses physiques, déterminées lors de la première compilation préalable, désignant des parties de ladite première zone (Z1), et un pointeur indiquant au calculateur quelles instructions exécuter, ledit pointeur indiquant la première zone mémoire (Z1), caractérisé en ce qu’il comporte des étapes de :
- Téléchargement (311 ) d’un logiciel de mise à jour, généré lors d’une deuxième compilation préalable, ledit logiciel de mise à jour comportant des adresses physiques, déterminés lors de la deuxième compilation préalable, désignant des parties de ladite deuxième zone (Z2) mémoire,
-Emission (312) d’une requête commandant une écriture de la mise à jour dans la deuxième zone (Z2)
- Emission (314) d’une requête commandant une activation du logiciel mis à jour, ladite activation comportant une modification du pointeur, de sorte que celui-ci indique la deuxième zone mémoire (Z2).
2. Procédé de mise à jour d’un logiciel d’un calculateur selon la revendication 1 , comportant en outre une étape d’émission (313) d’une requête commandant une vérification de l’intégrité du logiciel mis à jour dans la deuxième zone (Z2), l’étape d’émission (314) d’une requête commandant une activation du logiciel mis à jour, seulement si l’intégrité est vérifiée.
3. Procédé de mise à jour d’un logiciel d’un calculateur selon l’une des revendications précédentes, comportant en outre une étape de retour à un état précédent la mise à jour, ledit retour à un état précédent comportant une modification du pointeur, de sorte que celui indique la première zone mémoire (Z1).
4. Procédé de mise à jour d’un logiciel d’un calculateur selon l’une des revendications précédentes comportant en outre, consécutivement à une détection d’une erreur, une étape d’émission (315) d’une requête commandant l’arrêt de l’installation de la mise à jour.
5. Procédé de mise à jour d’un logiciel d’un calculateur selon la revendication précédente dans lequel l’arrêt de l’installation de la mise à jour comporte l’émission d’un message destiné au conducteur pour l’informer de l’arrêt de l’installation.
6. Produit programme d’ordinateur comportant des instructions adaptées pour l’exécution des étapes du procédé selon l’une des revendications 1 à 5, lorsque le programme d’ordinateur est exécuté par au moins un processeur.
7. Dispositif de mise à jour d’un logiciel d’un calculateur, ledit dispositif comprenant une mémoire associée à au moins un processeur configuré pour mettre en œuvre les étapes du procédé selon l’une quelconque des revendications 1 à 5.
8. Véhicule caractérisé en ce qu’il comporte un dispositif de mise à jour d’un logiciel d’un calculateur selon la revendication précédente.
EP21707766.8A 2020-03-10 2021-02-02 Procédé et dispositif de mise à jour d'un logiciel comportant des adresses physiques vers la mémoire d'un calculateur embarqué d'un véhicule Pending EP4118548A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR2002378A FR3108191B1 (fr) 2020-03-10 2020-03-10 Procédé et dispositif de mise à jour d’un logiciel comportant des adresses physiques vers la mémoire d’un calculateur embarqué d’un véhicule
PCT/FR2021/050190 WO2021181015A1 (fr) 2020-03-10 2021-02-02 Procédé et dispositif de mise à jour d'un logiciel comportant des adresses physiques vers la mémoire d'un calculateur embarqué d'un véhicule

Publications (1)

Publication Number Publication Date
EP4118548A1 true EP4118548A1 (fr) 2023-01-18

Family

ID=72088200

Family Applications (1)

Application Number Title Priority Date Filing Date
EP21707766.8A Pending EP4118548A1 (fr) 2020-03-10 2021-02-02 Procédé et dispositif de mise à jour d'un logiciel comportant des adresses physiques vers la mémoire d'un calculateur embarqué d'un véhicule

Country Status (4)

Country Link
EP (1) EP4118548A1 (fr)
CN (1) CN115280280A (fr)
FR (1) FR3108191B1 (fr)
WO (1) WO2021181015A1 (fr)

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB1209813A (en) 1968-02-22 1970-10-21 Agfa Gevaert Nv Improved photographic silver halide material
FR2719924B1 (fr) 1994-05-11 1996-08-14 Peugeot Procédé de déverrouillage de l'accès d'un outil de téléchargement d'un fichier, à un calculateur.
US6141683A (en) * 1998-01-30 2000-10-31 Lucent Technologies, Inc. Method for remotely and reliably updating of the software on a computer with provision for roll back
EP3590037A4 (fr) * 2017-07-25 2020-07-08 Aurora Labs Ltd Construction de mises à jour delta de logiciel pour un logiciel ecu de véhicule et détection d'anomalie basée sur une chaîne d'outils
JP2019036238A (ja) 2017-08-21 2019-03-07 株式会社東芝 更新制御装置、端末、更新制御方法およびプログラム
US20190095187A1 (en) * 2017-09-28 2019-03-28 Trillium Incorporated Incremental updates in static libraries

Also Published As

Publication number Publication date
FR3108191A1 (fr) 2021-09-17
FR3108191B1 (fr) 2023-05-19
WO2021181015A1 (fr) 2021-09-16
CN115280280A (zh) 2022-11-01

Similar Documents

Publication Publication Date Title
EP2178016B1 (fr) Procédé de fonctionnement d'un équipement embarqué, équipement associé et aéronef comprenant un tel équipement
EP3123387B1 (fr) Sécurisation du chargement de données dans une mémoire non-volatile d'un élément sécurisé
JP6432611B2 (ja) セキュリティサポートおよび耐障害サポートを提供する自動車修正システム
US11914987B2 (en) Master update agent and distributed update agent architecture for vehicles
WO2015121418A2 (fr) Procédé de déploiement d'un ensemble d'application(s) logicielle(s)
EP2466471A1 (fr) Module matériel de sécurité et procédé de débogage d'un tel module
FR2998689A1 (fr) Ensemble electronique comprenant un module de desactivation
FR3067136A1 (fr) Procede de mise a jour d’un calculateur embarque de vehicule
FR3096153A1 (fr) Procédé et dispositif de retour à un état précédent une mise à jour logicielle d’un calculateur d’un véhicule à distance
WO2021014064A1 (fr) Procédé et dispositif de mise à jour d'un logiciel d'un calculateur embarqué d'un véhicule, comportant une mémoire d'exécution, une mémoire de sauvegarde et une mémoire de contrôle
EP4118548A1 (fr) Procédé et dispositif de mise à jour d'un logiciel comportant des adresses physiques vers la mémoire d'un calculateur embarqué d'un véhicule
EP4018347A1 (fr) Procédé et dispositif de mise à jour d'un logiciel d'un calculateur embarqué d'un véhicule, comportant une mémoire d'exécution et une mémoire de sauvegarde
EP3891600A1 (fr) Procédé et dispositif de gestion de configurations logicielles d'équipements d'un aéronef
FR3099264A1 (fr) Procédé et dispositif de mise à jour d’un logiciel d’un calculateur embarqué d’un véhicule, comportant une mémoire d’exécution et une mémoire de sauvegarde
FR3099265A1 (fr) Procédé et dispositif de mise à jour d’un logiciel d’un calculateur embarqué d’un véhicule, comportant une mémoire d’exécution, une mémoire de sauvegarde et une mémoire de contrôle
WO2022064118A1 (fr) Procédé et dispositif de mise à jour d'un logiciel d'un calculateur embarqué d'un véhicule, comportant une mémoire d'exécution, une mémoire de sauvegarde et une mémoire de contrôle
EP1616256B1 (fr) Procédé de gestion d'un code executable téléchargé dans un système embarqué reprogrammable
FR3114415A1 (fr) Procédé et dispositif de mise à jour d’un logiciel d’un calculateur embarqué d’un véhicule, comportant une mémoire d’exécution et une mémoire de sauvegarde
WO2020165518A1 (fr) Procédé de mise à jour d'un calculateur automobile de façon à lui ajouter une fonctionnalité supplémentaire
WO2021105089A1 (fr) Procédé de mise à jour de système numérique
EP3991029A1 (fr) Procédé de dialogue avec un calculateur sur bus embarqué de véhicule
FR3100638A1 (fr) Procédé et dispositif de mise à jour d’un calculateur cible à partir d’un script interprété
FR2903791A1 (fr) Procede de telechargement d'un module logiciel.
EP4133367B1 (fr) Unité de commande électronique de véhicule, méthode de mise à jour de cette unité et véhicule équipé d'une telle unité
FR3099835A1 (fr) Procédé d’écriture dans une zone de données sécurisée d’un calculateur sur bus embarqué de véhicule.

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20220803

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
RAP3 Party data changed (applicant data changed or rights of an application transferred)

Owner name: STELLANTIS AUTO SAS