CN111935325A - 一种ota升级方法及装置 - Google Patents

Abstract

本发明公开了一种OTA升级方法及装置。所述接收服务器发送的OTA升级数据包，并从所述OTA升级数据包中获取CAN节点软件包和以太网节点软件包；向CAN节点传输所述CAN节点软件包，并在传输过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种；向以太网节点传输所述以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测；在所述CAN节点根据所述CAN节点软件包和所述以太网节点根据所述以太网节点软件包完成升级后，向所述服务器反馈所述CAN节点和所述以太网节点的升级信息。本发明能够在汽车OTA升级的过程中实现数据在车内网内的安全传输。

Description

一种OTA升级方法及装置

技术领域

本发明涉及信息安全技术领域，尤其涉及一种OTA升级方法及装置。

背景技术

随着汽车的智能化、网联化发展，软件更新迭代速度越来越快，OTA升级技术广泛应用于汽车。而OTA升级的ECU涉及到娱乐***、驾驶***等多个汽车***，往往要求汽车每一次OTA升级都能安全顺利进行，以确保每一次升级后的ECU软件的完整性及准确性，避免在升级过程中升级数据被篡改而导致的ECU功能异常问题，影响汽车正常功能。基于此要求，现有的OTA升级方法主要对服务端到车载通信端的OTA升级数据包安全加密，未考虑车载通信端常常处于联网状态，接口众多，可能出现OTA升级数据包被篡改的情况，忽略了车内网的信息传输安全，容易导致ECU软件升级出现异常，从而影响整车的功能完整性及车辆安全性。

发明内容

为克服现有技术的缺陷，本发明提供一种OTA升级方法及装置，能够在汽车OTA升级的过程中实现数据在车内网内的安全传输。

为了解决上述技术问题，第一方面，本发明一实施例提供一种OTA升级方法，包括：

接收服务器发送的OTA升级数据包，并从所述OTA升级数据包中获取CAN节点软件包和以太网节点软件包；

向CAN节点传输所述CAN节点软件包，并在传输过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种；

向以太网节点传输所述以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测；

在所述CAN节点根据所述CAN节点软件包和所述以太网节点根据所述以太网节点软件包完成升级后，向所述服务器反馈所述CAN节点和所述以太网节点的升级信息。

进一步地，在所述接收服务器发送的OTA升级数据包，并从所述OTA升级数据包中获取CAN节点软件包和以太网节点软件包之前，还包括：

判定车载通信终端和中央网关通过身份安全验证。

进一步地，所述接收服务器发送的OTA升级数据包，并从所述OTA升级数据包中获取CAN节点软件包和以太网节点软件包，具体为：

接收所述OTA升级数据包，并根据预存密钥解压所述OTA升级数据包，得到多个软件包；

根据预先定义的软件包命名规则将所述多个软件包分为所述CAN节点软件包和所述以太网节点软件包。

进一步地，所述在传输过程中进行ID过滤，具体为：

根据预先定义的基于CAN数据帧标识符的访问控制策略，判断数据帧的标识符是否符合所述访问控制策略，若不符合，则丢弃或记录所述数据帧。

进一步地，所述在传输过程中进行数据帧健康检测，具体为：

根据预先定义的CAN节点信号值，判断数据帧的信号值是否符合所述CAN节点信号值，若不符合，则丢弃或记录所述数据帧。

进一步地，在所述向以太网节点传输所述以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测之前，还包括：

对所述以太网节点进行安全区域划分。

进一步地，所述对所述以太网节点进行安全区域划分，具体为：

根据预先定义的以太网节点安全功能等级，对所述以太网节点进行安全区域划分，得到多个虚拟局域网。

进一步地，所述在传输过程中进行访问控制和/或协议状态检测，具体为：

根据预先定义的访问控制列表，判断数据包是否符合所述访问控制列表，丢弃或记录不符合所述访问控制列表的数据包；和/或，

根据所述数据包的TCP/IP会话流状态，判断所述数据包是否为攻击数据包，丢弃或记录所述攻击数据包。

进一步地，所述在所述CAN节点根据所述CAN节点软件包和所述以太网节点根据所述以太网节点软件包完成升级后，向所述服务器反馈所述CAN节点和所述以太网节点的升级信息，具体为：

在所述CAN节点根据所述CAN节点软件包和所述以太网节点根据所述以太网节点软件包完成升级后，向所述CAN节点和所述以太网节点发起软硬件诊断报文，获取所述CAN节点和所述以太网节点升级后的软硬件版本号；

将所述软硬件版本号和相关升级信息作为所述升级信息反馈至所述服务器。

第二方面，本发明一实施例提供一种OTA升级装置，包括中央网关，所述中央网关执行如上所述的OTA升级方法。

本发明的实施例，具有如下有益效果：

通过从服务器发送的OTA升级数据包中获取CA N节点软件包和以太网节点软件包，向CAN节点传输CAN节点软件包，并在传输过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种，同时向以太网节点传输以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测，在CAN节点根据CAN节点软件包和以太网节点根据以太网节点软件包完成升级后，向服务器反馈CAN节点和以太网节点的升级信息，完成汽车OTA升级。相比于现有技术，本发明的实施例针对车内网不同的总线类型对传输数据进行不同的安全校验，即在CAN节点根据CAN节点软件包升级的过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种安全校验，在以太网节点根据以太网节点软件包升级的过程中进行访问控制和/或协议状态检测的安全校验，从而能够在汽车OTA升级的过程中实现数据在车内网内的安全传输。

附图说明

图1为本发明第一实施例中的一种OTA升级方法的流程示意图；

图2为本发明第一实施例中的一种OTA升级方法的另一流程示意图；

图3为本发明第一实施例中的基于中央网关的OTA升级流程框图；

图4为本发明第一实施例中的CAN节点安全校验的流程示意图；

图5为本发明第一实施例中的以太网节点安全校验的流程示意图。

具体实施方式

下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，文中的步骤编号，仅为了方便具体实施例的解释，不作为限定步骤执行先后顺序的作用。本实施例提供的方法可以由中央网关执行，且下文均以中央网关作为执行主体为例进行说明。

第一实施例：

如图1-2所示，第一实施例提供一种OTA升级方法，包括步骤S1~S4：

S1、接收服务器发送的OTA升级数据包，并从OTA升级数据包中获取CA N节点软件包和以太网节点软件包。

S2、向CAN节点传输CAN节点软件包，并在传输过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种。

S3、向以太网节点传输以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测。

S4、在CAN节点根据CAN节点软件包和以太网节点根据以太网节点软件包完成升级后，向服务器反馈CAN节点和以太网节点的升级信息。

作为示例性地，基于中央网关的OTA升级流程框图如图3所示，在步骤S1中，当车载通信终端将服务器发送的OTA升级数据包转发给中央网关时，中央网关接收到服务器发送的OTA升级数据包，并从OTA升级数据包中获取CAN节点软件包和以太网节点软件包。

在步骤S2中，将获取的CAN节点软件包传输至CAN节点，并在传输过程中对传输数据进行ID过滤、数据帧健康监测、数据帧异常监测、UDS会话检测中的任一种或多种安全校验，确保CAN节点可根据安全的CAN节点软件包进行升级。

在步骤S3中，将获取的以太网节点软件包传输至以太网节点，并在传输过程中对传输数据进行访问控制和/或协议状态检测的安全校验，确保以太网节点可根据安全的以太网节点软件包进行升级。

在步骤S4中，当CAN节点根据CAN节点软件包完成升级，且以太网节点根据以太网节点软件包完成升级时，将获取的CAN节点和以太网节点的升级信息，比如升级后的软硬件版本号等经车载通信终端反馈给服务器，完成汽车OTA升级。

本实施例通过从服务器发送的OTA升级数据包中获取CA N节点软件包和以太网节点软件包，向CAN节点传输CAN节点软件包，并在传输过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种，同时向以太网节点传输以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测，在CAN节点根据CAN节点软件包和以太网节点根据以太网节点软件包完成升级后，向服务器反馈CAN节点和以太网节点的升级信息，完成汽车OTA升级。本实施例针对车内网不同的总线类型对传输数据进行不同的安全校验，即在CAN节点根据CAN节点软件包升级的过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种安全校验，在以太网节点根据以太网节点软件包升级的过程中进行访问控制和/或协议状态检测的安全校验，从而能够在汽车OTA升级的过程中实现数据在车内网内的安全传输。

在优选的实施例当中，在所述接收服务器发送的OTA升级数据包，并从OTA升级数据包中获取CAN节点软件包和以太网节点软件包之前，还包括：判定车载通信终端和中央网关通过身份安全验证。

作为示例性地，在中央网关接收服务器发送的OTA升级数据包之前，需要判断车载通信终端和中央网关是否都通过身份安全验证，若车载通信终端和/或中央网关未通过身份安全验证，则中央网关不能接收OTA升级数据包；若车载通信终端和中央网关均通过身份安全验证，则中央网关才能接收OTA升级数据包。

本实施例通过在满足车载通信终端和中央网关均通过身份安全验证的条件下才允许中央网关接收OTA升级数据包，保证OTA升级数据包在安全的车载通信终端和中央网关之间传输，避免OTA升级数据包在车载通信终端到中央网关的传输过程中被篡改，从而能够在汽车OTA升级的过程中实现数据在车内网内的安全传输。

在优选的实施例当中，所述接收服务器发送的OTA升级数据包，并从OTA升级数据包中获取CAN节点软件包和以太网节点软件包，具体为：接收OTA升级数据包，并根据预存密钥解压OTA升级数据包，得到多个软件包；根据预先定义的软件包命名规则将多个软件包分为CAN节点软件包和以太网节点软件包。

作为示例性地，当中央网关接收到服务器发送的OTA升级数据包时，根据预存密钥解压OTA升级数据包，若预存密钥验证失败，则丢弃OTA升级数据包，向服务器反馈验证结果；若预存密钥验证成功，则解压OTA升级数据包，得到多个软件包，此时可根据预先定义的软件包命名规则将多个软件包分为CAN节点软件包和以太网节点软件包。

本实施例采用密钥验证OTA升级数据包的方式，能够保证OTA数据包的完整性和合法性。

在优选的实施例当中，所述在传输过程中进行ID过滤，具体为：根据预先定义的基于CAN数据帧标识符的访问控制策略，判断数据帧的标识符是否符合访问控制策略，若不符合，则丢弃或记录数据帧。

作为示例性地，在向CAN节点传输CAN节点软件包的过程中，若选择进行ID过滤，则根据预先定义的基于CAN数据帧标识符（CAN ID）的访问控制策略，判断数据帧的标识符是否符合访问控制策略，以丢弃或记录不符合访问控制策略的数据帧。

在优选的实施例当中，所述在传输过程中进行数据帧健康检测，具体为：根据预先定义的CAN节点信号值，判断数据帧的信号值是否符合CAN节点信号值，若不符合，则丢弃或记录数据帧。

作为示例性地，在向CAN节点传输CAN节点软件包的过程中，若选择进行数据帧健康检测，则根据预先定义的CAN节点信号值，判断数据帧的信号值是否符合CAN节点信号值，以丢弃或记录不符合CAN节点信号值的数据帧。其中，判断内容包括数据帧的信号值长度、信号值有效性等。

在优选的实施例当中，所述在传输过程中进行数据帧异常检测，具体为：检测数据帧的收发机制，判断数据帧的收发机制是否异常，若是，则丢弃或记录数据帧。

作为示例性地，在向CAN节点传输CAN节点软件包的过程中，若选择进行数据帧异常检测，则检测数据帧的收发机制，即数据帧之间发送与接收关系的机制，丢弃或记录收发机制异常的数据帧。

在优选的实施例当中，所述在传输过程中进行UDS会话检测，具体为：检测UDS物理寻址和功能寻址服务，拦截或记录在规定时间内通信频率超过预设阈值的寻址数据帧。

作为示例性地，在向CAN节点传输CAN节点软件包的过程中，若选择进行UDS会话检测，则检测UDS物理寻址和功能寻址服务，以拦截或记录在规定时间内通信频率超过预设阈值的寻址数据帧。

当在向CAN节点传输CAN节点软件包的过程中选择进行ID过滤、数据帧健康监测、数据帧异常监测、UDS会话检测时，CAN节点安全校验的流程示意图如图4所示。

在优选的实施例当中，在所述向以太网节点传输以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测之前，还包括：对以太网节点进行安全区域划分。

在本实施例的一优选方式当中，所述对以太网节点进行安全区域划分，具体为：根据预先定义的以太网节点安全功能等级，对以太网节点进行安全区域划分，得到多个虚拟局域网。

作为示例性地，在向以太网节点传输以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测之前，根据预先定义的以太网节点安全功能等级，对以太网节点进行安全区域划分，得到多个虚拟局域网（VLAN），使得后续在传输以太网节点软件包时，各个虚拟局域网之间相互隔离，传输数据不直接交互，有利于实现数据在车内网的安全传输。

在优选的实施例当中，所述在传输过程中进行访问控制和/或协议状态检测，具体为：根据预先定义的访问控制列表，判断数据包是否符合访问控制列表，丢弃或记录不符合访问控制列表的数据包；和/或，根据数据包的TCP/IP会话流状态，判断数据包是否为攻击数据包，丢弃或记录攻击数据包。

作为示例性地，在向以太网节点传输以太网节点软件包的过程中，若选择进行访问控制，则根据预先定义的访问控制列表（ACLs），判断数据包是否符合访问控制列表，以丢弃或记录不符合访问控制列表的数据包。定义访问控制列表的要素应包括源IP地址、目的IP地址、协议类型（例如TCP、UDP、ICMP等）、协议源端口、协议目的端口，可另外包括物理端口、通信方向（输入或输出）、源MAC地址、目的MAC地址等。访问控制列表应遵循默认拒绝原则，即对所有不符合条件的数据包默认丢弃或记录，以及遵循最小化授权原则，即仅授予必要权限。

在向以太网节点传输以太网节点软件包的过程中，若选择进行协议状态检测，则根据数据包的TCP/IP会话流状态，判断数据包是否为攻击数据包，以丢弃或记录攻击数据包。判断内容包括TCP握手状态、数据包长度、包序列和TCP会话关闭状态等。

当在向以太网节点传输以太网节点软件包的过程中选择进行访问控制和协议状态检测时，以太网节点安全校验的流程示意图如图5所示。

在优选的实施例当中，所述在CAN节点根据CAN节点软件包和以太网节点根据以太网节点软件包完成升级后，向服务器反馈CAN节点和以太网节点的升级信息，具体为：在CAN节点根据CAN节点软件包和以太网节点根据以太网节点软件包完成升级后，向CAN节点和以太网节点发起软硬件诊断报文，获取CAN节点和以太网节点升级后的软硬件版本号；将软硬件版本号和相关升级信息作为升级信息反馈至服务器。

作为示例性地，在CAN节点根据CAN节点软件包完成升级，且以太网节点根据以太网节点软件包完成升级后，向CAN节点和以太网节点发起软硬件诊断报文，获取CAN节点和以太网节点升级后的软硬件版本号，以将软硬件版本号和相关升级信息作为升级信息经车载通信终端反馈至服务器。

本实施例通过直接向CAN节点和以太网节点发起软硬件诊断报文获取CAN节点和以太网节点升级后的软硬件版本号，有利于向服务器反馈准确的升级信息。

第二实施例：

第二实施例提供一种OTA升级装置，包括中央网关，中央网关执行如第一实施例所述的OTA升级方法，且能达到与第一实施例相同的有益效果。

综上所述，实施本发明的实施例，具有如下有益效果：

通过从服务器发送的OTA升级数据包中获取CA N节点软件包和以太网节点软件包，向CAN节点传输CAN节点软件包，并在传输过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种，同时向以太网节点传输以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测，在CAN节点根据CAN节点软件包和以太网节点根据以太网节点软件包完成升级后，向服务器反馈CAN节点和以太网节点的升级信息，完成汽车OTA升级。本实施例针对车内网不同的总线类型对传输数据进行不同的安全校验，即在CAN节点根据CAN节点软件包升级的过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种安全校验，在以太网节点根据以太网节点软件包升级的过程中进行访问控制和/或协议状态检测的安全校验，从而能够在汽车OTA升级的过程中实现数据在车内网内的安全传输。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

本领域普通技术人员可以理解实现上述实施例中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory，ROM）或随机存储记忆体（Random Access Memory，RAM）等。

Claims (10)

1.一种OTA升级方法，其特征在于，包括：

接收服务器发送的OTA升级数据包，并从所述OTA升级数据包中获取CAN节点软件包和以太网节点软件包；

向CAN节点传输所述CAN节点软件包，并在传输过程中进行ID过滤、数据帧健康检测、数据帧异常检测、UDS会话检测中的任一种或多种；

向以太网节点传输所述以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测；

在所述CAN节点根据所述CAN节点软件包和所述以太网节点根据所述以太网节点软件包完成升级后，向所述服务器反馈所述CAN节点和所述以太网节点的升级信息。

2.如权利要求1所述的OTA升级方法，其特征在于，在所述接收服务器发送的OTA升级数据包，并从所述OTA升级数据包中获取CAN节点软件包和以太网节点软件包之前，还包括：

判定车载通信终端和中央网关通过身份安全验证。

3.如权利要求1或2所述的OTA升级方法，其特征在于，所述接收服务器发送的OTA升级数据包，并从所述OTA升级数据包中获取CAN节点软件包和以太网节点软件包，具体为：

接收所述OTA升级数据包，并根据预存密钥解压所述OTA升级数据包，得到多个软件包；

根据预先定义的软件包命名规则将所述多个软件包分为所述CAN节点软件包和所述以太网节点软件包。

4.如权利要求1或2所述的OTA升级方法，其特征在于，所述在传输过程中进行ID过滤，具体为：

根据预先定义的基于CAN数据帧标识符的访问控制策略，判断数据帧的标识符是否符合所述访问控制策略，若不符合，则丢弃或记录所述数据帧。

5.如权利要求1或2所述的OTA升级方法，其特征在于，所述在传输过程中进行数据帧健康检测，具体为：

根据预先定义的CAN节点信号值，判断数据帧的信号值是否符合所述CAN节点信号值，若不符合，则丢弃或记录所述数据帧。

6.如权利要求1或2所述的OTA升级方法，其特征在于，在所述向以太网节点传输所述以太网节点软件包，并在传输过程中进行访问控制和/或协议状态检测之前，还包括：

对所述以太网节点进行安全区域划分。

7.如权利要求6所述的OTA升级方法，其特征在于，所述对所述以太网节点进行安全区域划分，具体为：

根据预先定义的以太网节点安全功能等级，对所述以太网节点进行安全区域划分，得到多个虚拟局域网。

8.如权利要求1或2所述的OTA升级方法，其特征在于，所述在传输过程中进行访问控制和/或协议状态检测，具体为：

根据预先定义的访问控制列表，判断数据包是否符合所述访问控制列表，丢弃或记录不符合所述访问控制列表的数据包；和/或，

根据所述数据包的TCP/IP会话流状态，判断所述数据包是否为攻击数据包，丢弃或记录所述攻击数据包。

9.如权利要求1或2所述的OTA升级方法，其特征在于，所述在所述CAN节点根据所述CAN节点软件包和所述以太网节点根据所述以太网节点软件包完成升级后，向所述服务器反馈所述CAN节点和所述以太网节点的升级信息，具体为：

在所述CAN节点根据所述CAN节点软件包和所述以太网节点根据所述以太网节点软件包完成升级后，向所述CAN节点和所述以太网节点发起软硬件诊断报文，获取所述CAN节点和所述以太网节点升级后的软硬件版本号；

将所述软硬件版本号和相关升级信息作为所述升级信息反馈至所述服务器。

10.一种OTA升级装置，其特征在于，包括中央网关，所述中央网关执行如权利要求1~9任一项所述的OTA升级方法。

Images