CN101419557A - 一种程序下载控制方法 - Google Patents

Abstract

一种程序下载控制方法，包括程序初始写入和程序升级下载，程序初始写入包括向嵌入式硬件的引导区写入Boot程序文件；嵌入式硬件启动，Boot程序运行并获得应用程序代码后将应用程序代码写入应用程序存储区。程序升级下载包括：发行站进行认证装置初始化向其中写入认证信息；将升级程序载入到下载站，嵌入式硬件连接到下载站；将认证装置连接到嵌入式硬件，Boot程序进行认证；判断认证是否通过；认证通过则Boot程序下载升级程序并将升级程序代码写入应用程序存储区，结束；认证未通过则直接结束。从而从软硬件两方面实现了对程序下载灵活的权限控制。

Description

一种程序下载控制方法

技术领域

本发明涉及嵌入式硬件装置，特别是涉及到嵌入式硬件的程序下载控制方法，以对嵌入式硬件的程序写入和更新进行权限控制。

背景技术

嵌入式硬件装置的应用程序代码在开发设计完成后一般会编译成一个二进制文件，该文件下载到硬件设备中，由硬件设备的处理器和电路执行，实现相应的功能。应用程序代码不论是源代码还是编译好的二进制文件，如果向外泄露，则会导致竞争对手的仿造，或是对客户使用的硬件设备里面的私密数据造成泄露的隐患；另一方面，嵌入式硬件装置所存储的应用程序代码只能由其自己的生产商下载和更新，而不能是其它非法的操作人员，因为设备中的代码一旦被改写，那么设备所执行的功能也将脱离设计者和使用者的正常意愿，对使用者来说，还有可能承受利益方面的损失。

目前嵌入式硬件装置的程序下载方法从安全角度来讲可分为两类：

一类是应用程序代码不加密，对代码安全的保护从管理手段实现，没有技术手段辅助，一旦泄露，非法使用人员可以轻易地进行分析代码，仿造产品等非法操作；对硬件设备来说，下载工具和下载方法是硬件设备使用的CPU架构所决定的通用工具，生产出来的设备，可以被第三方使用同样的工具下载非法代码，设备本身的正常使用没有受到保护。

二是硬件设备选择的CPU架构和开发工具本身提供了加密代码的功能，而且存储代码的芯片单元具有代码下载的密码校验功能，要下载先输入密码进行校验，这种方式解决了代码没加密的问题，下载也不能随意下载，比起第一种下载方法安全了很多，但这种下载工具和方法都是由CPU和开发工具的供应商提供的，产品开发人员对其无法改动，只能机械地使用，并且凡是选用了这种CPU架构和开发工具的产品生产商，使用的工具都相同，而且第三方也可以很容易地从CPU架构和开发工具供应商那里拿到这些工具，工具都相同，不同的只是密码，密码一旦泄露或者开发工具在加密这部分被破解，这道保护屏障就形同虚设。

因此，无论是从管理手段或是根据特定硬件的架构的加密代码功能，均无法满足用户对代码保密性和代码下载更新控制的需求。尤其是在对代码有较高保密要求的嵌入式硬件应用领域，如金融、税务、门禁等，现有技术还无法解决灵活和安全的程序下载控制的问题。

发明内容

因此，本发明的目的即在于：解决现有技术的上述缺点，提供一种既能对代码下载和更新提供良好的保密控制，又方便用户根据使用需求灵活设计而无需依赖于嵌入式硬件体系结构和生产厂商的程序下载方法。

为达此目的，本发明提出了一种程序下载控制方法，通过包括发行站、下载站、认证装置和待下载程序的嵌入式硬件装置在内的***实现，所述嵌入式硬件装置包括一引导区和一应用程序存储区，所述方法包括程序初始写入和程序升级下载，其中所述程序初始写入包括以下步骤：

S110：向嵌入式硬件装置的引导区写入Boot程序文件；

S120：嵌入式硬件装置启动，Boot程序运行；

S130：Boot程序获得应用程序代码；

S140：Boot程序将应用程序代码写入应用程序存储区。

所述程序升级下载包括以下步骤：

S210：发行站进行认证装置初始化，向认证装置中写入认证信息；

S220：发行站将升级程序载入到下载站；

S230：将认证装置连接到嵌入式硬件装置，Boot程序进行认证；

S240：判断认证是否通过；

S250：认证通过则Boot程序下载升级程序并将升级程序代码写入应用程序存储区，结束；认证未通过则直接结束。

本发明的有益效果在于：使用本方法，通过设置认证装置进行双向验证和权限控制，使嵌入式硬件装置的研发人员可以经由boot程序灵活地对应用程序代码的安全保护进行设计和管理，不再局限于开发工具的固有模式或硬件架构本身。一方面在代码的研发、发行、升级各个环节避免了泄露，另一方面硬件设备本身对代码的更新也有了灵活、多变的权限限制，而不是使用单一密码限制或是不限制的状况。并且，本发明的方法不受硬件平台的限制，可以方便地应用于各种嵌入式硬件装置。

附图说明

图1是本发明嵌入式硬件装置程序下载***实施例的结构模块示意图；

图2是本发明程序下载控制方法的程序初始写入流程示意图；

图3是本发明程序下载控制方法的程序升级流程示意图；

图4是本发明程序下载控制方法一实施例的程序升级流程示意图。

附图标记说明：

1-发行站；101-发行站存储器；102-发行站CPU；103-IC卡读写器；2-下载站；201-下载站存储器；202-下载站CPU；203-下载站通信接口；3-嵌入式硬件装置；301-嵌入式硬件存储器；3011-引导区；3012-应用程序存储区；302-嵌入式处理器；303-IC卡接口；305-通信接口；4-IC卡。

具体实施方式

本发明的嵌入式硬件程序下载***实施例的结构模块示意图如图1所示。从图中可清楚地看出，嵌入式硬件程序下载***包括发行站1、下载站2和嵌入式硬件装置3，以及作为认证装置的IC卡4。其中，发行站1至少包括有发行站存储器101、发行站CPU102和用于与IC卡4进行通信的IC卡读写器103；下载站2至少包括有下载站存储器201、下载站CPU202和用于与嵌入式硬件装置3进行通信的下载站通信接口203。且发行站1和下载站2之间可以进行数据通信。较佳地，发行站1还包括用于与嵌入式硬件装置3进行通信的发行站通信接口104。其中，所述下载站或发行站和嵌入式硬件装置之间连接的通信接口可以是现有技术中任意具有通信功能的接口。嵌入式硬件装置3至少包括嵌入式硬件存储器301、嵌入式处理器302和IC卡接口303、通信接口305。这里，作为认证装置的IC卡4亦可以是USB存储器、Flash存储器等任何具有存储功能的硬件装置。但以IC卡，特别是带有卡片CPU和片上操作***的智能IC卡为优选实施方式。

根据本发明的一个实施例，发行站1和下载站2可以用PC(个人电脑)实现。其中，发行站1为嵌入式硬件装置3的生产商所提供，在装置销售给用户之前对其进行初始化和应用程序初装或是用户的PC机，由用户自行进行嵌入式硬件装置的初始化；下载站是用户的PC机，其通过互联网或其它途径与发行站进行通信并获得升级程序，之后将升级程序载入到嵌入式硬件装置。发行站1和下载站2亦可以是设置在同一台PC主机上，通过两种不同的功能软件(以下称之为发行软件和下载软件)和相应***设备而实现各自的功能，将其分为两个部分只是一种从功能出发的逻辑上的划分，并不因此而限制本发明的实现形式。

通常，嵌入式硬件存储器301包括两部分：引导区3011和应用程序存储区3012。引导区内的Boot(引导)程序在嵌入式硬件装置启动时被调用，以完成硬件初始化引导，并驻留在硬件内存之中，执行相应功能。本发明的控制方法正是通过向引导区写入具有预定功能的代码段实现的。

本发明程序下载控制方法的程序初始写入流程示意图如图2所示。嵌入式硬件产品在未下载任何程序时，嵌入式硬件存储器301为空，首先将代码存储区划分为引导区3011和应用程序存储区3012。

程序初始写入包括以下步骤：

S100：开始

S110：嵌入式硬件装置的通信接口和发行站或下载站的通信接口连接，向嵌入式硬件装置的引导区写入Boot程序文件；

S120：嵌入式硬件装置启动，Boot程序运行；

S130：Boot程序获得应用程序代码，通过嵌入式硬件装置的通信接口发送预先编译好的应用程序代码文件给Boot程序；其中，初始的应用程序代码可由发行站或下载站向嵌入式硬件装置发送；

S140：BOOT程序将应用程序代码写入应用程序存储区；

S150：结束，此时嵌入式硬件装置的BOOT区和应用代码区都已写入完整的代码，完成下载。

当嵌入式硬件装置的代码区已经有代码，需要升级代码时执行升级下载，如图3所示，升级下载包括以下步骤：

S200：开始

S210：发行站进行认证装置初始化，向认证装置中写入认证信息；

S220：发行站将升级程序载入到下载站；

S230：将认证装置连接到嵌入式硬件装置，Boot程序进行认证；

S240：判断认证是否通过；

S250：认证通过则Boot程序下载升级程序并将升级程序代码写入应用程序存储区，结束升级下载；认证未通过则直接结束此次升级下载。

根据图3所示的方法流程，本发明升级下载的一具体实施例如图4所示。升级下载包括以下步骤：

S300：开始，此时，已将编译好的升级程序代码文件拷贝到发行站。

S310：发行站连接认证装置并读取其ID，本实施例中以认证装置为IC卡为例，向发行站的IC卡读写器103中***授权IC卡4，发行软件通过IC卡读写器103读取授权IC卡4的身份信息(ID)，例如，该身份信息包括IC卡的编号，但并不局限于此，所述ID亦可以是任何对于IC卡来说可表明其特定特征的信息。

S315：发行站生成包含认证装置ID的升级下载文件和其文件信息，所述升级下载文件是由发行软件将该认证装置ID，如授权IC卡4的ID和升级程序代码文件合并，并打包生成，即该升级下载文件至少包括认证装置ID和程序代码两部分。升级下载文件的文件信息可包括升级程序代码文件的文件名、版本号、升级程序代码文件大小、发行日期等，以及认证装置ID；但不限于此，例如，所述文件信息还可以包括针对本IC卡的升级下载文件可用次数N，以控制使用授权IC卡4的升级下载次数。其中，较佳地实施方式是对升级下载文件和其文件信息均进行加密。

S320：发行站将升级下载文件的文件信息写入认证装置，升级下载文件的文件信息通过IC卡读写器103写入授权IC卡4。

S325：发行站将升级下载文件复制到下载站。需说明的是这一步骤在步骤S300开始之后，随时可以进行，在下载站与待升级嵌入式硬件装置连接开始与升级下载有关的数据传输之前完成即可。并且可由下载站2根据升级下载文件获得升级下载文件的文件信息和程序代码。

S330：将认证装置连接到待升级的嵌入式硬件装置，将嵌入式硬件装置连接到下载站，即将授权IC卡4***待升级的嵌入式硬件装置3的IC卡接口303，并将该嵌入式硬件装置3的通信接口305和下载站2的通信接口203连接。

S335：Boot程序从下载站获取升级下载文件的文件信息，是通过下载站2和嵌入式硬件装置3的通信接口203、305将升级下载文件的文件信息传送给硬件设备的BOOT程序。

S340：Boot程序从升级下载文件的文件信息中提取认证装置ID，如在步骤S315中进行了加密，则此步骤中Boot程序要对升级下载文件的文件信息进行解密。

S345：Boot程序与认证装置进行ID认证，该ID认证可为由Boot程序完成的单向认证，即由Boot程序判断步骤S340中提取的ID是否与连接到硬件的认证装置的ID一致，一致则返回认证通过信息；也可是由Boot程序和认证装置，如IC卡4，共同完成的双向认证，即在Boot程序进行判断的同时，IC卡4也对其自身的ID和步骤S340中提取的ID是否一致进行判断，只有当Boot程序和IC卡均判断一致才返回认证通过信息。

S350：判断ID认证是否通过，未通过则结束此次升级下载过程；通过则继续下一步骤；

S355：嵌入式硬件装置Boot程序从认证装置中读取升级下载文件的文件信息，并进行文件认证，即将来自认证装置的与来自下载站的文件信息比较，二者一致则认证通过，继续下一步，不一致则停止执行下载操作，结束此次升级下载过程。

S360：下载站向Boot程序传送升级下载文件，此步骤由嵌入式硬件装置3的Boot程序返回文件信息认证通过的响应数据给下载站2，之后下载站2传送升级下载文件的程序代码文件到嵌入式硬件装置3。

S365：Boot程序将升级下载文件的程序代码文件写入应用程序存储区，升级程序代码区完成更新。同样，如在步骤S315中进行了加密，则此步骤中Boot程序要对升级下载文件的文件信息进行解密。

S370：结束。

其中，若步骤S315中，在升级下载文件的文件信息中加入了针对该IC卡4的升级下载文件可用次数N，则在步骤S365，升级下载成功完成后，还相应包括一升级下载可用次数更新过程，即将剩余可用次数N减1。

其中，关于各个涉及加密或解密的步骤，例如步骤S315，S340，S365等，本领域技术人员当可根据本发明的内容，灵活的选择加解密的方式和方法。例如，一种优选的实施方式是，在所述步骤S315中对升级下载文件和其文件信息使用相同的加密算法进行加密，以节约***资源；并通过密钥来进行权限控制。例如，每次对升级下载文件进行加密使用不同的密钥索引，将进行加密所用算法的根密钥固化在所述Boot程序之中，将所述密钥索引加入到升级下载文件的文件信息中。Boot程序可以直接对升级下载文件的文件信息进行解密，但必须从所述文件信息中获得“密钥索引”后，才能对升级下载文件进行解密。

当然，也可分别使用不同的加密算法对升级下载文件和其文件信息分别进行加密。例如，在步骤S315中在加密生成升级下载文件时，使用加密算法一，优选地，每次对升级下载文件进行加密使用不同的索引密钥，并将其索引密钥写入其文件信息；而对该文件信息使用加密算法二进行加密；而在步骤S340使用与加密算法二对应的解密算法进行解密，该解密算法固化在Boot程序中，并获得加密算法一的索引密钥；而在认证通过后，Boot程序根据从升级下载文件的文件信息获得的索引密钥和其中固化的加密算法一的根密钥，对升级下载文件进行解密。而加密算法一、加密算法二中所使用的加解密算法可为现有技术中任何通用加解密算法。

并且，从上述步骤可以看出，基于PC的发行站所安装的特定发行软件，其具有的功能包括导入编译好的升级程序代码文件、向认证装置输入信息、调用加密算法对升级程序代码文件进行加密、读取授权IC卡的身份信息(如***ID)等；而基于PC的下载站上安装的相应的下载软件，其具有的功能包括导入升级下载文件、和嵌入式硬件装置通信、将升级下载文件中的代码文件和授权IC卡信息分离分别下传给Boot程序，在下传的过程中需要获得Boot程序的响应，根据响应的状态判断是否继续下传数据。而所述Boot程序，除现有嵌入式硬件装置的一般引导功能之外，还至少包涵能执行本发明程序下载步骤中所涉及的各种功能的子函数和/或程序代码段。对本领域一般技术人员来说，在明了所述的程序功能和流程的前提下，具体的代码实现将无需创造性的劳动，因此，无论以何种程序语言或何种代码形式进行实现，只要其所使用的方法不超出本发明的思想和范围，都将落入本发明的权利要求保护范围之内。

以上对本发明的描述是说明性的，而非限制性的，本专业技术人员理解，在权利要求限定的精神与范围之内可对其进行许多修改、变化或等效，但是它们都将落入本发明的保护范围内。

Claims (10)

1、一种程序下载控制方法，通过包括发行站、下载站、认证装置和待下载程序的嵌入式硬件装置在内的***实现，所述嵌入式硬件装置包括一引导区和一应用程序存储区，其特征在于，所述方法包括程序初始写入和程序升级下载，其中所述程序初始写入包括以下步骤：

S110：向嵌入式硬件装置的引导区写入Boot程序文件；

S120：嵌入式硬件装置启动，Boot程序运行；

S130：Boot程序获得应用程序代码；

S140：Boot程序将应用程序代码写入应用程序存储区。

2、根据权利要求1所述的程序下载控制方法，其特征在于，所述程序升级下载包括以下步骤：

S210：发行站进行认证装置初始化，向认证装置中写入认证信息；

S220：发行站将升级程序载入到下载站；嵌入式硬件装置连接到下载站；

S230：将认证装置连接到嵌入式硬件装置，Boot程序进行认证；

S240：判断认证是否通过；

S250：认证通过则Boot程序下载升级程序并将升级程序代码写入应用程序存储区，结束；认证未通过则直接结束。

3、根据权利要求1或2所述的程序下载控制方法，其特征在于，所述程序升级下载包括以下步骤：

S310：发行站连接认证装置并读取其ID；

S315：发行站生成包含认证装置ID的升级下载文件和其文件信息；

S320：发行站将升级下载文件的文件信息写入认证装置；

S325：发行站将升级下载文件复制到下载站；

S330：将认证装置连接到待升级的嵌入式硬件装置，将嵌入式硬件装置连接到下载站；

S335：Boot程序从下载站获取升级下载文件的文件信息；

S340：Boot程序从升级下载文件的文件信息中提取认证装置ID；

S345：Boot程序与认证装置进行ID认证；

S350：判断ID认证是否通过，未通过则结束此次升级下载过程；通过则继续下一步骤；

S355：嵌入式硬件装置Boot程序从认证装置中读取升级下载文件的文件信息，并进行文件认证，认证通过则继续下一步，认证未通过则结束此次升级下载过程。

S360：下载站向Boot程序传送升级下载文件；

S365：Boot程序将升级下载文件的程序代码文件写入应用程序存储区。

4、根据权利要求3所述的程序下载控制方法，其特征在于，所述步骤S315中发行站生成包含认证装置ID的升级下载文件和其文件信息中，还包括对所述生成的升级下载文件和其文件信息进行加密，并在步骤340和步骤365中分别对升级下载文件的文件信息和升级下载文件进行解密。

5、根据权利要求4所述的程序下载控制方法，其特征在于，所述步骤S315中对升级下载文件和其文件信息分别使用不同的加密算法进行加密。

6、根据权利要求4所述的程序下载控制方法，其特征在于，所述步骤S315中对升级下载文件和其文件信息使用相同的加密算法进行加密，并将进行加密所用算法的根密钥固化在所述Boot程序之中。

7、根据权利要求6所述的程序下载控制方法，其特征在于，所述步骤S315中每次对升级下载文件进行加密使用不同的密钥索引，并将所述密钥索引加入到该升级下载文件的文件信息之中。

8、根据权利要求3所述的程序下载控制方法，其特征在于，所述步骤S345中的ID认证是由Boot程序将从升级下载文件的文件信息中提取的认证装置ID与嵌入式硬件装置直接从认证装置获取的其ID进行比较，二者一致则认证通过。

9、根据权利要求3所述的程序下载控制方法，其特征在于，所述步骤S345中的ID认证是由Boot程序和认证装置进行双向认证，二者均对从升级下载文件的文件信息中提取的认证装置ID与认证装置的实际ID进行比较，Boot程序和认证装置的比较结果均为上述两种ID一致则认证通过。

10、根据权利要求3所述的程序下载控制方法，其特征在于，所述步骤S315中，升级下载文件的文件信息中包括升级下载文件的可用次数N；在步骤S365中升级下载成功完成后，还相应包括一升级下载可用次数更新步骤，将该可用次数N减1。

Images