CN104468784B - 一种通过dsrc接口实现车载单元软件升级的***及方法 - Google Patents

Abstract

本发明涉及一种通过DSRC接口实现ETC车载单元软件安全升级的***及方法。包括：升级终端通过DSRC接口向车载单元发出升级查询指令；所述车载单元将该车载单元当前版本信息反馈给升级终端；所述升级终端通过DSRC接口接收所述反馈的版本信息，并判断所述车载单元是否需要升级；所述升级终端根据判断结果决定是否向所述车载单元发送升级指令和升级数据包；所述车载单元通过DSRC接口接收所述升级指令和升级数据包，进行软件升级。本发明的方法可为不同型号的车载单元提供统一的升级接口，并保证升级操作的安全性。

Description

一种通过DSRC接口实现车载单元软件升级的***及方法

技术领域

本发明涉及ITS(Intelligent Transport System，智能交通***)技术领域，尤其涉及一种通过DSRC接口实现车载单元软件升级的***及方法。

背景技术

高速公路ETC(Electronic Toll Collection，电子不停车收费)***是采用专用短程通信(Dedicated Short Range Communication，简称DSRC)协议的方式实现车辆不停车通过高速公路收费站的非现金自动收费***。ETC***的交易设备主要包括车载电子标签(或车载单元，On-Board Unit，安装于车辆上)、路侧单元(Road Side Unit，简称RSU，位于收费车道上方)。当车辆驶入ETC车道时，路侧单元的天线与安装在汽车挡风玻璃的车载单元进行DSRC通信，根据通信结果完成计费操作，并控制车道栏杆动作。整个过程在很短的时间内自动完成，车辆无需停车即可完成收费交易。

ETC***车载单元安装到车辆上交付用户使用之后，如果出现产品设计缺陷、ETC***升级等情况，有时需要对车载单元的软件程序进行升级。软件程序升级可降低产品成本，避免产品召回给用户和设备商、运营商带来时间和成本损失。我国现有的ETC车载单元升级尚无统一的升级方式和数据接口，并且缺乏升级数据的有效性确认和操作安全保证。具体而言，首先，各车载单元厂商采用的专用升级设备各不相同，大都采用有线数据接口进行升级，专用升级设备的结构、升级的有线数据硬件接口不统一，升级使用的通信协议也不尽相同，由此产生了极大的资源浪费。其次，各专用升级设备的使用需要进行大量的人员培训，给升级工作带来较大的负担。最后，现有的车载单元升级过程缺乏数据安全保证机制，存在用户或者厂商通过有线数据接口私自升级和改变车载单元软件程序的风险。随着ETC在全国的普及，现有的ETC车载单元软件程序升级方式也无法适应大规模的车载单元升级业务需求。

发明内容

解决现有技术中车载单元升级繁琐，浪费时间和人力成本的问题，提供了一种通过DSRC接口实现车载单元软件升级的***及方法。

本发明实施例提供的一种通过DSRC接口实现ETC车载单元软件升级的***，包括，

车载单元，升级终端；

所述升级终端通过DSRC接口向所述车载单元发出升级查询指令；

所述车载单元将该车载单元当前版本信息反馈给升级终端；

所述升级终端通过DSRC接口接收所述反馈的版本信息，并判断所述车载单元是否需要升级；

所述升级终端根据判断结果决定是否向所述车载单元发送升级指令和升级数据包；

所述车载单元通过DSRC接口接收所述升级指令和升级数据包，进行软件升级。

根据本发明实施例所述的一种通过DSRC接口实现ETC车载单元软件升级***的一个进一步的方面，所述车载单元包括处理器，存储区，DSRC模块和安全访问模块，其中，

所述处理器，用于进行数字信号处理和控制；

所述DSRC模块，用于进行DSRC信号收发；

所述安全访问模块，用于存储密钥数据并进行加解密计算；

所述存储区，包含升级控制驻留单元，应用程序单元和缓存区，其中所述升级控制驻留单元根据升级指令控制升级流程；所述应用程序单元执行所述车载单元进行ETC交易；所述缓存区用于存储接收到的升级数据包。其中，升级控制驻留单元、应用程序单元和缓存区都位于同一存储器芯片中。

根据本发明实施例所述的一种通过DSRC接口实现ETC车载单元软件升级***的再一个进一步的方面，所述升级控制驻留单元为只读存储芯片。

根据本发明实施例所述的一种通过DSRC接口实现ETC车载单元软件升级***的另一个进一步的方面，所述升级终端包括，处理器，存储区，DSRC模块和安全访问模块，其中，

所述处理器，用于数字信号处理和控制；

所述DSRC模块，用于进行DSRC信号收发；

所述安全访问模块，用于存储密钥数据并进行密钥数据计算；

所述存储区进一步包括，升级控制单元，用于升级操作的控制；数据存储区，用于存储升级数据包。

根据本发明实施例所述的一种通过DSRC接口实现ETC车载单元软件升级***的另一个进一步的方面，所述升级终端包括，处理器，存储区，DSRC模块和无线通信模块，其中，

所述处理器，用于数字信号处理和控制；

所述DSRC模块，用于进行DSRC信号收发；

所述无线通信模块，用于与后台服务器进行通信，获取升级数据包和加解密计算结果；

所述存储区进一步包括，升级控制单元，用于升级操作的控制；数据存储区，用于存储升级数据包。

本发明实施例还提供了一种通过DSRC接口实现ETC车载单元软件升级方法，

升级终端通过DSRC接口向车载单元发出升级查询指令；

所述车载单元将该车载单元当前版本信息反馈给升级终端；

所述升级终端通过DSRC接口接收所述反馈的版本信息，并判断所述车载单元是否需要升级；

所述升级终端根据判断结果决定是否向所述车载单元发送升级指令和升级数据包；

所述车载单元通过DSRC接口接收所述升级指令和升级数据包，进行软件升级。

根据本发明实施例所述的一种通过DSRC接口实现ETC车载单元软件升级方法的一个进一步的方面，所述车载单元对所述升级查询指令、升级指令和升级数据包进行加解密计算以验证所述升级查询指令、升级指令和升级数据包的数据安全性。

根据本发明实施例所述的一种通过DSRC接口实现ETC车载单元软件升级方法的再一个进一步的方面，将车载单元中控制升级流程的升级控制驻留单元放置于只读存储芯片中。

根据本发明实施例所述的一种通过DSRC接口实现ETC车载单元软件升级方法的另一个进一步的方面，所述升级终端对升级数据包和所述车载单元反馈的比较结果进行加解密计算以验证所述升级数据包和所述比较结果的数据安全性。

根据本发明实施例所述的一种通过DSRC接口实现ETC车载单元软件升级方法的另一个进一步的方面，所述升级终端与后台服务器获取升级数据包和加解密计算结果。

通过本发明实施例的方法及***，采用DSRC接口作为车载单元软件升级的统一接口，降低升级成本；通过专用的DSRC指令格式进行升级操作，兼容所有的车载单元型号；升级前进行车载单元和升级终端设备的合法性验证，保证升级数据和升级过程的安全。

本发明中，升级软件数据包由ETC***运营商审核后，置于升级终端或者ETC运营商的后台***中，升级验证需要的密钥由ETC***运营商控制，从而保证升级数据包的完整性、合法性和升级过程中的数据安全。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。在附图中：

图1为车载单元的功能模块构成示意图；

图2为升级终端设备的功能模块构成示意图；

图3为通过DSRC接口实现ETC车载单元软件程序安全升级的流程图；

图4为另一种形式的升级终端设备的功能模块构成示意图；

图5所示为本发明实施例提供的一种通过DSRC接口实现ETC车载单元软件升级***的结构示意图；

图6所示为本发明实施例一种通过DSRC接口实现ETC车载单元软件升级方法的流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

如图5所示为本发明实施例提供的一种通过DSRC接口实现ETC车载单元软件升级***的结构示意图，包括车载单元501，升级终端502；

所述升级终端通过DSRC接口向所述车载单元发出升级查询指令；

所述车载单元将该车载单元当前版本信息反馈给升级终端；

所述升级终端通过DSRC接口接收所述反馈的版本信息，并判断所述车载单元是否需要升级；

所述升级终端根据判断结果决定是否向所述车载单元发送升级指令和升级数据包；

所述车载单元通过DSRC接口接收所述升级指令和升级数据包，进行软件升级。

其中，车载单元501和升级终端502在升级时首先双向合法性验证和车载单元501的软硬件版本匹配验证；验证通过后，升级终端502将需要传输的升级数据加密发送给车载单元501；车载单元501接收到升级数据后进行解密、完整性校验，以及升级操作；升级完成后，车载单元501向升级终端502返回升级结果确认响应。

图1所示的车载单元的功能模块构成示意图中，其中存储区102，该部分包含升级控制驻留单元1021，应用程序单元1022、和缓存区1023，其中，

升级控制驻留单元1021负责根据升级指令判断当前车载端元的工作模式和工作状态。如果是ETC交易或者车载单元发行指令，则将控制权交给应用程序单元1022，进行相应的ETC交易或者车载单元发行业务；如果是升级指令，则进行相应的升级操作。车载单元启动时，处理器首先访问升级控制驻留单元1021并由其指定操作内容。

应用程序单元1022，是车载单元进行ETC交易和其他非现金交易的关键部件，程序升级主要是对应用程序单元中的应用程序进行升级；

缓存区1023，是车载单元内存区域的数据缓存空间，用于存储接收到的升级数据包或者缓存其他应用数据。

车载单元的升级控制驻留单元1021，应用程序单元1022、和缓存区1023可以置于同一存储器芯片中，或者升级控制驻留单元1021单独置于只读存储器芯片中。升级控制驻留单元1021一旦写入车载单元，将固化作为只读区域不允许修改；应用程序单元1022区域是控制可读写的，缓存区1023是可读写区域。

车载单元的安全访问模块104由独立的芯片组成，在车载单元安装发行时由ETC运营商写入车辆信息数据和安全密钥数据，该模块也称为ESAM(Embedded Security AccessModule，简称安全模块)模块，存有密钥数据并负责加解密计算。

图2所示的升级终端设备的功能模块构成示意图中，包括处理器201，存储区202，DSRC模块203，安全访问模块204，其中存储区202，该部分包含升级控制单元2021，实现应用程序升级操作的控制流程，包括升级终端设备与车载单元的双向合法性验证、车载单元产品型号和软硬件版本确认、升级数据加密和发送等功能；数据存储区2022，用于存储待升级数据包和其他缓存数据。

安全访问模块204中***PSAM卡，PSAM卡保留有根密钥数据，可对不同型号的车载单元进行加解密计算。

如图6所示为本发明实施例一种通过DSRC接口实现ETC车载单元软件升级方法的流程图。

包括步骤601，升级终端通过DSRC接口向车载单元发出升级查询指令。

步骤602，所述车载单元将该车载单元当前版本信息反馈给升级终端。

步骤603，所述升级终端通过DSRC接口接收所述反馈的版本信息，并判断所述车载单元是否需要升级。

步骤604，所述升级终端根据判断结果决定是否向所述车载单元发送升级指令和升级数据包。

步骤605，所述车载单元通过DSRC接口接收所述升级指令和升级数据包，进行软件升级。

图3给出了通过DSRC接口实现ETC车载单元软件程序安全升级的流程图，步骤如下：

步骤300，升级数据装载。升级数据包由车载单元设备商提供给ETC***运营商，ETC***运营商将待升级的数据包存于升级终端设备的数据存储区中，每一款需要升级的车载单元型号对应一个升级数据包；

步骤301，升级终端发送唤醒车载单元的下行指令。该指令格式与ETC车道路侧单元或者发行设备唤醒车载单元的唤醒信号BST(Beacon Service Table，信标服务表)格式一致；

步骤302，车载单元返回自身的相关信息，在DSRC协议中为VST(Vehicle ServiceTable，车辆服务表)，VST中应包含车载单元的关键信息(如车载单元合同序列号、物理地址、发行时间等信息)；

步骤303，升级终端向车载单元发送升级查询指令。

升级终端发送升级查询指令给车载单元，车载单元收到升级指令后，返回软件版本和硬件版本信息。升级终端设备对车载单元产品型号和软硬件版本，以及步骤302返回VST中的车载单元的合同序列号判断其生产批次和是否需要升级。如果需要升级，则进入步骤304进行升级；否则进入步骤310，释放通信链路，车载单元进入休眠状态；

步骤304、升级终端设备与车载单元进行双向合法性验证。

升级终端向车载单元发送随机产生的数据，车载单元对其加密后返回响应的唯一加密数据，例如通过车载终端的序列号对所述随机数据进行加密，升级终端根据车载单元的序列号信息对其进行加密验证，验证通过后，完成升级终端设备对车载单元的单向合法性验证；随后，车载单元向升级终端返回随机数，升级终端加密后下发给车载单元，例如通过升级终端的序列号将随机数进行加密，车载单元通过所述升级终端的序列号对所述随机数据进行加密验证，验证通过后，完成车载单元对升级终端设备的合法性验证。

双向合法性验证通过后，升级终端设备进入步骤305，进行升级后续操作；否则进入步骤310，释放通信链路，车载单元进入休眠状态；

步骤305，升级数据传输。升级数据包通过一条或者多条DSRC数据组传输给车载单元，每次DSRC传输均进行帧完整性校验，校验可采用CRC(Cyclic Redundancy Check，循环冗余校验码)校验。每帧DSRC数据传输后，车载单元都返回接收完成的上行响应数据帧，如果中间某一帧数据未能接收正确，则返回接收错误的上行数据帧，升级终端再次重发下行数据帧，直到所有数据都传输完成。

升级数据包的数据可以是明文传输，或者加密传输，由升级终端设备指定传输方式。如果采用密文传输升级数据包，有两种可选方式：

加密方式1：数据加解密的密钥可采用预存于车载单元的安全访问模块中的ETC应用加密密钥或由升级终端设备制定其他密钥如应用认证密钥等。该密钥数据在车载单元安装发行时已经写入ETC安全模块，可通过专用指令使用；

加密方式2：每次升级时，由升级终端临时产生加密密钥，在传输升级数据包前，通过专用DSRC指令下发给车载单元，车载单元的升级驻留控制程序保存并在接收完数据包之后进行解密。

车载单元设备商提供给ETC***运营商的升级数据包可以是明文，也可以由车载单元设备商进行二次加密后提供给ETC运营商。

步骤306，升级数据包完整性验证。升级数据传输完成后，车载单元的升级控制驻留程序单元对缓存区中的升级数据包的数据进行完整性验证，验证通过后返回验证正确的信息。

步骤307，升级应用程序。车载单元的升级控制驻留程序单元将缓存区的升级程序包进行升级，升级有两种方式：程序替换方式和程序切换方式。

程序替换方式是将升级数据包程序替换原有的擦除应用程序区，原有的应用程序不再存在。

程序切换方式是将数据缓存区的升级数据包的数据放入应用程序存储区域的另一个存储空间，并将ETC交易功能由升级的应用程序控制，原有的应用程序作为备份应用程序，这种方法的优点在于升级失败时，可以切换到原有的应用程序进行ETC交易，保证产品的可靠性。

步骤308，升级结果响应。车载单元向升级终端设备返回升级结果响应，如果升级成功，则进入步骤310，释放通信链路，车载单元进入休眠状态；否则如果升级失败，则车载单元返回升级失败的类型信息，如数据包长度不符、解密失败、或者升级出错等，进入步骤309，由升级终端设备决定再次升级还是停止升级。

步骤309，升级终端后续处理。升级终端设备根据车载单元返回的失败类型信息，决定再次升级还是停止升级。如果决定停止升级，则进入步骤310，释放通信链路，记录升级信息，车载单元进入休眠状态；如果决定重新升级，则进入步骤301，再次升级，多次升级失败之后，将记录多次失败信息并停止升级。

步骤310，升级终端设备下发释放链路指令，升级结束。

图4给出本发明的另一种升级终端设备形式，在图4中，升级数据包和安全计算由ETC***后台提供，升级终端设备只提供传输通道，将通过无线通信模块接收到的数据通过DSRC接口发送给车载单元，数据的完整性验证和加解密是在ETC后台***和车载终端之间完成。图4的升级终端设备可采用独立的专用设备，或者采用智能手机加DSRC模块的方式，后者由智能手机中的应用程序作为升级控制单元，智能手机的无线通信模块和ETC***后台通信获取升级数据，在其他实施例中也可以通过其它设备实现处理器、存储区(包括其中的数据升级控制单元和数据存储区)和无线通信单元的作用，例如平板电脑、或者带通信功能的PDA等设备，通过USB或者micro USB接口或者蓝牙方式与DSRC模块连接实现所述升级终端的功能。升级流程与图3相同，在此不再赘述。

为了更清楚的描述本发明的实现方式，下面给出本发明的两个实施例。第一个实施例的升级终端设备内置安全模块，结构如图2所示，数据传输采用明文方式。第二个实施例的升级终端设备采用智能手机加DSRC模块的方式，升级数据由ETC后台***提供，采用明文加验证码的方式传输升级数据。

实施例1：

步骤300，升级数据装载。升级数据包预存于升级终端设备的存储区中。

步骤301，升级终端设备发送升级的下行DSRC指令，指令格式为BST信号。

步骤302，车载单元返回车辆服务表信号(VST)，VST指令中应包含车载单元的关键信息(如车载单元合同序列号、物理地址、发行时间等)。

步骤303，升级终端发送升级查询指令给车载单元，该指令采用Transferchannel.rq指令格式，车载单元收到升级指令后，返回Transferchannel.rs响应。

TransferChannel.rq数据帧格式及其含义示例如下表：

上表中，“00D6810004”为读取型号和版本信息的指令。“0102”为待升级的软件版本信息，“0100”为硬件版本信息。

车载单元对待升级的软件版本与自身的软件版本进行对比，如果待升级的版本为最新，则返回可以升级的回复，返回的TransferChannel.rs数据帧格式及其含义示例如下表：

上表中，车载单元的当前版本为“0100”，待升级版本较新，可以升级，因此返回“9000”的信息。如果待下载版本不是最新，表示车载单元已经升级，不必再升级，返回信息为“6985”。

或者，升级终端可以根据收到的车载单元产品型号、软件版本和硬件版本等信息，判断当前版本是否需要升级，如果需要升级，则进入步骤304进行验证；否则进入步骤310，释放通信链路，车载单元进入休眠状态；

步骤304、升级终端设备与车载单元进行双向合法性验证。

验证指令采用getSecure.rq和TransferChannel.rq指令。升级终端设备在getSecure.rq指令中下发验证随机数(RandRSUForAuthen)给车载单元，车载单元进行安全计算后通过getSecure.rs指令返回计算结果(即鉴别码Authenticator)给升级终端，车载单元同时返回8字节的随机数给升级终端。升级终端对返回的鉴别码进行验证计算之后，如果正确，则完成了升级终端向车载单元的单向合法性验证；随后，升级终端对车载单元返回的8字节随机数进行加密后通过TransferChannel.rq指令下发给车载单元，车载单元验证通过后，完成车载单元对升级终端的合法性验证，返回TransferChannel.rs响应。车载单元的数据验证由ESAM模块计算，升级终端设备的数据验证由PSAM模块计算。

双向合法性验证通过后，升级终端设备进入步骤305，进行升级后续操作；否则进入步骤310，释放通信链路，车载单元进入休眠状态；

步骤305，升级数据传输。升级数据包通过一条或者多条TransferChannel.rq指令传输给车载单元，现有的DSRC数据帧传输均采用CRC校验，校验码为2字节。每帧DSRC数据传输后，车载单元都将接收和校验情况通过TransferChannel.rs数据帧返回给升级终端。如果中间某一帧数据未能接收正确，则车载单元返回接收错误信息，升级终端再次重发下行数据帧，直到所有数据都传输完成。

本实施例中，升级数据包的数据采用明文传输方式。车载单元商提供给ETC***运营商的升级数据包是否进行二次加密，不影响升级流程的有效性。如果车载单元设备商认为有必要保护其升级数据，则在车载单元出厂时内置二次加密密钥，用于对升级数据包进行解密。

升级数据传输的TransferChannel.rq帧格式及其含义示例如下表：

上表中，“00D6810120”为升级传输指令，“20”表示本DSRC数据帧后续的升级数据长度，单位为字节。

车载单元接收完成后，返回相应数据帧，返回的TransferChannel.rs数据帧格式及其含义示例如下表：

上表中，车载单元完成接收后返回“9000”，如果接收失败则返回“6985”，如果是其他错误则返回其他数值。

步骤306，升级数据包完整性验证。升级数据传输完成后，升级终端发送数据包结束的TransferChannel.rq指令，该数据帧包含升级数据结束指令、升级数据包长度信息、以及升级数据包的CRC校验码。车载单元收到后，其升级控制驻留程序对缓存区中的升级数据包长度和CRC校验码进行完整性验证，验证通过后返回验证正确的信息，验证失败则返回验证失败信息。如果车载单元验证失败，则进入步骤305再次传输升级数据，如果累计3次传输失败，则停止升级，进入步骤310，升级终端人机界面显示相应信息。

升级数据包完整性验证的TransferChannel.rq帧格式及其含义示例如下表：

上表中，“00B08101”为升级数据包完整性验证指令，本指令的末6个字节表示本次升级的数据包数据长度，单位为字节。

车载单元接收完成后，计算并比较升级的数据包长度，返回的TransferChannel.rs数据帧格式及其含义示例如下表：

上表中，车载单元接收到的数据包长度与指令下发的相同则返回“9000”，否则返回其他数值。

步骤307，升级应用程序。车载单元的升级控制驻留程序将数据缓存区的升级程序包进行升级。

本实施例中，车载单元采用程序替换方式进行升级，将原来的应用程序删除，并启用新的升级程序。

步骤308，升级结果响应。车载单元向升级终端返回升级结果响应，如果升级成功，则升级终端记录升级信息后进入步骤310，释放通信链路，车载单元进入休眠状态；否则如果升级失败，则车载单元返回升级失败的类型信息，如数据包长度不符、解密失败、或者升级出错等，进入步骤309，由升级终端设备决定再次升级还是停止升级。

步骤309，升级终端后续处理。升级终端根据车载单元返回的失败类型信息，决定再次升级还是停止升级。如果决定停止升级，则进入步骤310，释放通信链路，车载单元进入休眠状态；否则，如果决定重新升级，则进入步骤301，再次升级，累计3次升级失败之后，将停止升级，升级终端保存升级记录，并在其人机界面显示相应信息。

步骤310，升级终端下发释放链路指令(Event-Report)，本次通信结束，车载单元进入休眠状态。

实施例2：

步骤300，升级数据装载。升级数据包预存于ETC***后台服务器，该升级数据包由相应型号的车载单元厂商提供给ETC***运营商。

步骤301，本实施例中，升级终端由智能手机和DSRC模块组成，智能手机上的应用程序作为控制升级流程的程序，启动后连接ETC***后台服务器，并通过DSRC发送BST信号给待升级的车载单元。执行智能手机的应用程序需要ETC后台***验证操作人员的身份信息。

步骤302，车载单元返回车辆服务表信号(VST)，VST指令中应包含车载单元的关键信息(如车载单元合同序列号等)，智能手机通过DSRC接口接收VST信息，并通过无线通信接口传输到ETC后台***。

步骤303，智能手机中的应用程序发送升级查询指令给车载单元，该指令采用Transferchannel.rq指令格式，车载单元收到升级指令后，返回Transferchannel.rs响应。

本实施例中，所有车载单元的产品型号、软件版本和硬件版本、升级记录等由ETC后台***记录。车载单元返回的产品软硬件版本信息由智能手机转发给ETC后台***，ETC后台***根据车载单元的合同序列号，及其发行和升级纪录判断是否需要升级，如果需要升级，则进入步骤305进行升级；否则ETC后台***通过智能手机向车载单元发送释放链路指令，进入步骤310，停止升级，车载单元进入休眠状态。

本实施例中的指令数据帧格式和实施例1相同。

步骤304、双向合法性验证。

本实施例中，智能手机作为传输通道，双向合法性验证在ETC后台***和车载单元之间进行。ETC后台***产生认证随机数(RandRSUForAuthen)，智能手机收到后通过DSRC模块在getSecure.rq指令中下发给车载单元，车载单元进行安全计算后通过getSecure.rs指令返回计算结果(即鉴别码Authenticator)给智能手机，智能手机再转发给ETC后台***，车载单元同时返回8字节的随机数，经智能手机传输到ETC后台***。ETC后台***对返回的鉴别码进行验证计算之后，如果正确，则完成了ETC后台***向车载单元的单向合法性验证；随后，ETC后台***对车载单元返回的8字节随机数进行加密后经智能手机通过TransferChannel.rq指令下发给车载单元，车载单元验证通过后，完成车载单元对ETC后台***的合法性验证，返回TransferChannel.rs响应。车载单元的数据验证由ESAM模块计算，ETC后台***的加解密由加密机计算。

双向合法性验证通过后，升级终端设备进入步骤305，进行升级后续操作；否则验证失败停止升级，进入步骤310，智能手机向车载单元发送释放链路指令，车载单元进入休眠状态；

步骤305，升级数据传输。升级数据包由ETC后台***经智能手机通过一条或者多条TransferChannel.rq指令传输给车载单元，现有的DSRC传输均采用CRC校验，校验码为2字节。每帧DSRC数据传输后，车载单元都将接收和校验情况通过TransferChannel.rs数据帧返回给智能手机。智能手机保留当前传输的DSRC数据帧用做差错重传，当前DSRC数据帧被正确接收，则智能手机不再保存当前DSRC数据帧；否则如果当前数据帧未能接收正确，则车载单元返回接收错误信息，智能手机再次重发下行DSRC数据帧。

本实施例中，升级数据包的数据采用明文加MAC验证码的传输方式，ETC后台***将升级数据包分成多个DSRC数据帧，经智能手机传输给车载单元，验证的密钥采用车载单元的ETC应用加密密钥。车载单元设备商提供给ETC***运营商的升级数据包是否进行二次加密，不影响升级流程的有效性。如果车载单元设备商认为有必要保护其升级数据，则在车载单元出厂时内置二次加密密钥，用于对升级数据包进行解密。

升级数据传输的TransferChannel.rq帧格式及其含义示例如下表：

上表中，“04D6810124”为升级传输指令，“24”表示本DSRC数据帧后续的升级数据加MAC验证码的长度(16进制的24表示36字节)，单位为字节。

车载单元接收完成后，进行验证，并将验证结果返回，返回的TransferChannel.rs数据帧格式及其含义示例如下表：

上表中，车载单元完成接收后返回“9000”，如果接收失败则返回“6985”，如果是其他错误则返回其他数值。

步骤306，升级数据包完整性验证。升级数据传输完成后，ETC后台***发送数据包结束的TransferChannel.rq指令，该数据帧包含升级数据结束指令、升级数据包长度信息、以及升级数据包的CRC校验码。车载单元经由智能手机收到结束指令后，其升级控制驻留程序对缓存区中的升级数据包长度和CRC校验码进行完整性验证，验证通过后返回验证正确的信息，验证失败则返回验证失败信息。如果车载单元验证失败，则进入步骤305再次传输升级数据，如果累计3次传输均失败，则停止升级，进入步骤310释放链路，智能手机应用程序界面显示相应信息。

本实施例的升级数据包完整性验证指令和返回数据帧格式与实施例1相同。

步骤307，升级应用程序。车载单元的升级控制驻留程序将数据缓存区的升级程序包进行升级。

本实施例中，车载单元采用程序切换方式进行升级，同时保留原来的应用程序和新下载的升级程序，新的升级程序数据包经车载单元的ETC应用加密密钥解密后存储于车载单元的存储区中，并标识为当前应用程序。

步骤308，升级结果响应。车载单元向智能手机返回升级结果响应，如果升级成功，则智能手机记录升级信息并上传至ETC后台***后进入步骤310，释放通信链路，车载单元进入休眠状态；否则如果升级失败，则车载单元返回升级失败的类型信息，如数据包长度不符、解密失败、或者升级出错等，进入步骤309，由ETC后台***决定再次升级还是停止升级。

步骤309，升级终端后续处理。本实施例中，智能手机根据车载单元返回的失败类型信息，决定再次升级还是停止升级。如果决定停止升级，则进入步骤310，释放通信链路，记录升级信息，车载单元进入休眠状态；如果决定重新升级，则进入步骤301，智能手机向ETC后台***申请进行再次升级，累计3次升级失败之后，智能手机记录升级失败信息并上传至ETC后台***，停止本次升级，智能手机的人机界面显示相应信息。

步骤310，升级终端设备下发释放链路指令(Event-Report)，释放与车载单元的通信连接，车载单元进入休眠状态。

本发明实施例中，用于合法性验证的数据加解密算法除了ETC***国家标准规定的DES/3DES算法之外，还可以采用AES、MD5和SHA1等常用的加密算法。

通过本发明实施例的方法及***，采用DSRC接口作为车载单元软件升级的统一接口，降低升级成本；通过专用的DSRC指令格式进行升级操作，兼容所有的车载单元型号；升级前进行车载单元和升级终端的合法性验证，保证升级数据和升级过程的安全。

针对上述各实施方式的详细解释，其目的仅在于对本发明进行解释，以便于能够更好地理解本发明，但是，这些描述不能以任何理由解释成是对本发明的限制，特别是，在不同的实施方式中描述的各个特征也可以相互任意组合，从而组成其他实施方式，除了有明确相反的描述，这些特征应被理解为能够应用于任何一个实施方式中，而并不仅局限于所描述的实施方式。

Claims (10)

1.一种通过DSRC接口实现车载单元软件升级的***，其特征在于包括，车载单元，升级终端；

所述升级终端通过DSRC接口向所述车载单元发出升级查询指令；

所述车载单元将该车载单元当前版本信息反馈给升级终端；

所述升级终端通过DSRC接口接收所述反馈的版本信息，并判断所述车载单元是否需要升级；

若所述车载单元需要升级，则所述升级终端与所述车载单元进行双向合法性验证；

所述升级终端根据所述双向合法性验证的结果决定是否向所述车载单元发送升级指令和升级数据包；

所述车载单元通过DSRC接口接收所述升级指令和升级数据包，进行软件升级；

其中，所述双向合法性验证包括：

所述升级终端向所述车载单元发送一随机数据，所述车载单元将所述随机数据加密后返回给所述升级终端，所述升级终端验证所述加密后的随机数据；

所述车载单元向所述升级终端发送一随机数据，所述升级终端将所述随机数据加密后返回给所述车载单元，所述车载单元验证所述加密后的随机数据。

2.根据权利要求1所述的一种通过DSRC接口实现车载单元软件升级的***，其特征在于，所述车载单元包括处理器，存储区，DSRC模块和安全访问模块，其中，

所述处理器，用于进行数字信号处理和控制；

所述DSRC模块，用于进行DSRC信号收发；

所述安全访问模块，用于存储密钥数据并进行加解密计算；

所述存储区，包含升级控制驻留单元，应用程序单元和缓存区，其中所述升级控制驻留单元根据升级指令控制升级流程；所述应用程序单元执行所述车载单元进行ETC交易；所述缓存区用于存储接收到的升级数据包。

3.根据权利要求2所述的一种通过DSRC接口实现车载单元软件升级的***，其特征在于，所述升级控制驻留单元为只读存储芯片。

4.根据权利要求1所述的一种通过DSRC接口实现车载单元软件升级的***，其特征在于，所述升级终端包括，处理器，存储区，DSRC模块和安全访问模块，其中，

所述处理器，用于数字信号处理和控制；

所述DSRC模块，用于进行DSRC信号收发；

所述安全访问模块，用于存储密钥数据并进行密钥数据计算；

所述存储区进一步包括，升级控制单元，用于升级操作的控制；数据存储区，用于存储升级数据包。

5.根据权利要求1所述的一种通过DSRC接口实现车载单元软件升级的***，其特征在于，所述升级终端包括，处理器，存储区，DSRC模块和无线通信模块，其中，

所述处理器，用于数字信号处理和控制；

所述DSRC模块，用于进行DSRC信号收发；

所述无线通信模块，用于与后台服务器进行通信，获取升级数据包和加解密计算结果；

所述存储区进一步包括，升级控制单元，用于升级操作的控制；数据存储区，用于存储升级数据包。

6.一种通过DSRC接口实现车载单元软件升级的方法，其特征在于，

升级终端通过DSRC接口向车载单元发出升级查询指令；

所述车载单元将该车载单元当前版本信息反馈给升级终端；

所述升级终端通过DSRC接口接收所述反馈的版本信息，并判断所述车载单元是否需要升级；

若所述车载单元需要升级，则所述升级终端与所述车载单元进行双向合法性验证；

所述升级终端根据所述双向合法性验证的结果决定是否向所述车载单元发送升级指令和升级数据包；

所述车载单元通过DSRC接口接收所述升级指令和升级数据包，进行软件升级；

其中，所述双向合法性验证包括：

所述升级终端向所述车载单元发送一随机数据，所述车载单元将所述随机数据加密后返回给所述升级终端，所述升级终端验证所述加密后的随机数据；

所述车载单元向所述升级终端发送一随机数据，所述升级终端将所述随机数据加密后返回给所述车载单元，所述车载单元验证所述加密后的随机数据。

7.根据权利要求6所述的一种通过DSRC接口实现车载单元软件升级的方法，其特征在于，所述车载单元通过预置在安全访问模块中的密钥或者在所述车载单元与升级终端建立连接时接收的密钥对所述升级查询指令、升级指令和升级数据包进行加解密计算以验证所述升级查询指令、升级指令和升级数据包的数据安全性。

8.根据权利要求7所述的一种通过DSRC接口实现车载单元软件升级的方法，其特征在于，将车载单元中控制升级流程的升级控制驻留单元放置于只读存储芯片中。

9.根据权利要求6所述的一种通过DSRC接口实现车载单元软件升级的方法，其特征在于，所述升级终端对升级数据包和所述车载单元反馈的比较结果进行加解密计算以验证所述升级数据包和所述比较结果的数据安全性。

10.根据权利要求6所述的一种通过DSRC接口实现车载单元软件升级的方法，其特征在于，所述升级终端与后台服务器获取升级数据包和加解密计算结果。