基于 Adaptive AUTOSAR的 OTA更新
[導(dǎo)讀]具備OTA的平臺(tái)提供了哪些優(yōu)勢？在汽車開發(fā)中，用軟件實(shí)現(xiàn)新功能是一個(gè)明顯的趨勢。已上市的車輛越來越多地加裝最新功能，例如與全自動(dòng)駕駛有關(guān)的功能。同時(shí)，軟件架構(gòu)的功能也越來越強(qiáng)大。本文介紹了EB在AdaptiveAUTOSAR中安全更新的概念和解決方案。隨著越來越多的車輛功能通過軟...
具備OTA的平臺(tái)提供了哪些優(yōu)勢？
在汽車開發(fā)中，用軟件實(shí)現(xiàn)新功能是一個(gè)明顯的趨勢。已上市的車輛越來越多地加裝最新功能，例如與全自動(dòng)駕駛有關(guān)的功能。同時(shí)，軟件架構(gòu)的功能也越來越強(qiáng)大。本文介紹了EB在Adaptive AUTOSAR中安全更新的概念和解決方案。
隨著越來越多的車輛功能通過軟件實(shí)現(xiàn)，更新周期也越來越短。例如，全自動(dòng)駕駛中的功能可以通過機(jī)器學(xué)習(xí)不斷改進(jìn)。此外，客戶方面也明確期望，可以在日后更新或增加功能，例如，輔助駕駛系統(tǒng)的改進(jìn)、新的應(yīng)用程序等。能夠?yàn)檫@些要求提供穩(wěn)定的技術(shù)基礎(chǔ)，正成為汽車制造商區(qū)別于競爭對手的重要因素。如果缺少了這樣的概念，后果就是失去競爭能力。未來，電動(dòng)汽車也可能需要更長的維護(hù)周期。但如果只能在維修車間進(jìn)行軟件更新，就難以與對手競爭。
因此，與其他行業(yè)一樣，今后的更新也需要“OTA”。車輛與互聯(lián)網(wǎng)的連接以及各部件之間的聯(lián)網(wǎng)為這種更新機(jī)制提供了必要的先決條件。然而，更新車輛的關(guān)鍵功能對用于此目的的過程的安全性和可靠性提出了很高的要求。
Adaptive AUTOSAR中的概念升級(jí)
為了應(yīng)對這些挑戰(zhàn)，除了以前的AUTOSAR軟件環(huán)境，還需要一個(gè)新的平臺(tái)：Adaptive AUTOSAR。這意味著OEM及其供應(yīng)商不必為關(guān)鍵和復(fù)雜的功能不斷開發(fā)新的、有時(shí)是專有的解決方案。與Classic AUTOSAR相比，Adaptive AUTOSAR依賴于運(yùn)行時(shí)環(huán)境的并行化和動(dòng)態(tài)化。具體來說，這意味著能夠重新加載和注銷軟件組件。Adaptive AUTOSAR為應(yīng)用程序提供了所有必要的編程接口，無論使用何種操作系統(tǒng)。這使得可以使用現(xiàn)有的高性能計(jì)算、嵌入式視覺或機(jī)器學(xué)習(xí)領(lǐng)域的軟件庫（圖1）。
圖1. AUTOSAR Adaptive架構(gòu)
例如，在Classic AUTOSAR下，CAN總線是基于信號(hào)的通信，在Adaptive AUTOSAR中已經(jīng)被面向服務(wù)的通信所取代。這種系統(tǒng)架構(gòu)使得新的應(yīng)用更容易集成到整個(gè)系統(tǒng)中?，F(xiàn)代化和部分自動(dòng)化的開發(fā)工具，如Elektrobit提供的Tresos（其他還包括Vector的Davinci和ETAS的V-RTE等），支持自適應(yīng)汽車的軟件開發(fā)。它們提供了專門為新的現(xiàn)代系統(tǒng)架構(gòu)設(shè)計(jì)的功能，如基于編譯器的靜態(tài)和動(dòng)態(tài)數(shù)據(jù)流分析、自動(dòng)運(yùn)行時(shí)間估計(jì)和自動(dòng)軟硬件優(yōu)化。
AUTOSAR聯(lián)盟包括來自70多家不同公司的250多名參與者，負(fù)責(zé)Adaptive AUTOSAR的標(biāo)準(zhǔn)化和進(jìn)一步開發(fā)。AUTOSAR組織每年會(huì)發(fā)布兩次新版本的Adaptive AUTOSAR，3月底和10月底。這確保了規(guī)范和功能的持續(xù)維護(hù)和更新。詳細(xì)信息請登錄www.Autosar.org/standards/adaptive-platform。
OTA更新標(biāo)準(zhǔn)功能
與OTA更新相關(guān)，Adaptive AUTOSAR為功能和組件的定向更新提供標(biāo)準(zhǔn)化的基本功能。Classic AUTOSAR總是需要對應(yīng)用軟件進(jìn)行整體更新，而Adaptive AUTOSAR支持差異化更新。后臺(tái)是模塊化架構(gòu)，只更新應(yīng)用組件部分，也支持差分更新，將目標(biāo)應(yīng)用加入到新的軟件狀態(tài)之中。為此，更新主節(jié)點(diǎn)接收從連接客戶端接收OTA更新數(shù)據(jù)，然后與更新配置管理器（Update Configuration Management，UCM）和診斷管理器（Diagnostic Management，DM）一起，對各個(gè)軟件組件進(jìn)行有針對性的更新（圖2）。
圖2. OTA更新標(biāo)準(zhǔn)功能
為了使OEM或服務(wù)提供商的整個(gè)更新過程盡可能簡單直接，Elektrobit提供了EB Update OTA，這是一個(gè)可擴(kuò)展和靈活的完整解決方案。根據(jù)OEM的規(guī)范，它包含必要的云端或后端環(huán)境，以便在整個(gè)車輛生命周期內(nèi)準(zhǔn)備、管理和實(shí)施更新。在一次更新過程中，可以同時(shí)更新多個(gè)高性能ECU和車輛的信息娛樂系統(tǒng)。只要ECU是支持標(biāo)準(zhǔn)化診斷協(xié)議的。
端到端安全架構(gòu)保護(hù)整車安全
聯(lián)網(wǎng)車輛的互聯(lián)可以實(shí)現(xiàn)許多有用的功能，從而為駕駛員和汽車制造商帶來明顯的好處。但同時(shí)，也增加了可能的攻擊點(diǎn)。Car2X、WiFi、藍(lán)牙、App遠(yuǎn)程控制、OBD-II、無線鑰匙等連接都是黑客攻擊的潛在入口。除了數(shù)據(jù)丟失或故障等顯而易見的風(fēng)險(xiǎn)外，對于OEM廠商來說，這些情況還包括可能的威脅，如在客戶和業(yè)務(wù)伙伴中的聲譽(yù)損失、召回或?qū)Σ叩某杀撅L(fēng)險(xiǎn)、客戶方的不滿、責(zé)任風(fēng)險(xiǎn)和可能的法律后果。在此背景下，OTA軟件更新對車內(nèi)外的安全架構(gòu)提出了特殊要求。毋庸置疑，上面列出的其他攻擊點(diǎn)也有專門的保護(hù)措施。然而，在下文中，重點(diǎn)是Adaptive AUTOSAR的安全功能，特別是在OTA更新的情況下。
底層安全架構(gòu)考慮到車輛組件及其連接和接口，以及后端和任何額外連接的終端設(shè)備。因此，這個(gè)概念包括了車輛環(huán)境內(nèi)外所涉及的所有層面：單個(gè)組件和控制單元、車輛內(nèi)的總線系統(tǒng)、外部接口和協(xié)議（例如也包括WLAN），以及所有相關(guān)服務(wù)的端到端加密和保護(hù)。這不僅保證了系統(tǒng)的完整性，防止了濫用的企圖，而且滿足了不斷提高的數(shù)據(jù)保護(hù)和信息安全的法律要求（圖3）。
圖3. 端到端安全架構(gòu)
Adaptive AUTOSAR的高保護(hù)等級(jí)
為了實(shí)現(xiàn)這些目標(biāo)，采用了汽車安全領(lǐng)域的解決方案和方法，如SecOC（安全車載通信）和HSM（硬件安全模塊）。另一方面，安全架構(gòu)也是基于經(jīng)典的汽車解決方案和流程，從客戶端服務(wù)器通信，如TLS（傳輸層安全），認(rèn)證認(rèn)證和加密。安全車載通信（SecOC）概念確保車載通信中所攜帶的數(shù)據(jù)是真實(shí)的。因此，SecOC可以防止對數(shù)據(jù)包的操縱、插入攻擊或其他攻擊場景。為了防止黑客未經(jīng)授權(quán)訪問CAN總線，SecOC模塊在內(nèi)部總線上傳輸?shù)拿總€(gè)數(shù)據(jù)中增加了一個(gè)消息驗(yàn)證碼（MAC）。為了防止被截獲的數(shù)據(jù)塊進(jìn)行操縱，加密計(jì)算考慮到了一個(gè)與時(shí)間有關(guān)的部分，記錄了信息的真實(shí)性。由于經(jīng)典的CAN總線的限制（協(xié)議規(guī)定幀大小只有8個(gè)字節(jié)），只有部分實(shí)際證書和MAC可以和用戶數(shù)據(jù)一起傳輸。接收模塊則計(jì)算出完整的MAC和實(shí)際值，并與（部分）接收到的值進(jìn)行比較。如果它們不匹配，則拒絕接收數(shù)據(jù)包。SecOC以硬件為基礎(chǔ)的加密和組件及控制單元的內(nèi)部信任和安全機(jī)制為補(bǔ)充。這些包括認(rèn)證、防盜和檢測異常情況或未經(jīng)授權(quán)的訪問嘗試。這些安全元素也受益于Adaptive AUTOSAR的架構(gòu)優(yōu)勢，例如通過并行執(zhí)行，從而加速復(fù)雜的加密計(jì)算。
更新過程的廣泛保護(hù)
基于所描述的安全架構(gòu)和概念，Adaptive AUTOSAR系統(tǒng)保護(hù)了從系統(tǒng)啟動(dòng)，到接收OTA更新數(shù)據(jù)，再到安裝更新的整個(gè)更新過程。通過安全的引導(dǎo)機(jī)制，確保車內(nèi)系統(tǒng)環(huán)境的完整性。只加載和執(zhí)行經(jīng)過認(rèn)證的軟件組件。驗(yàn)證過程與軟件同步運(yùn)行，以盡可能縮短加載和啟動(dòng)時(shí)間。后端和車載組件之間的端到端加密通信鏈路，以及后端和車載的數(shù)據(jù)加密存儲(chǔ)，確保更新數(shù)據(jù)的傳輸和存儲(chǔ)受到保護(hù)。Bootloader獨(dú)立于應(yīng)用程序的程序代碼，在車輛中為安裝更新軟件創(chuàng)造了一個(gè)安全的環(huán)境。上述保護(hù)機(jī)制也用于更新數(shù)據(jù)包的認(rèn)證和更新軟件的實(shí)際安裝過程中。由于Adaptive AUTOSAR擁有自己的加密庫，軟件和硬件組件的認(rèn)證和驗(yàn)證與更新過程并行進(jìn)行。同時(shí)，安全診斷系統(tǒng)模塊監(jiān)控診斷客戶端與受影響ECU之間的通信。OEM可以選擇不同的認(rèn)證方法，如Seed
在汽車開發(fā)中，用軟件實(shí)現(xiàn)新功能是一個(gè)明顯的趨勢。已上市的車輛越來越多地加裝最新功能，例如與全自動(dòng)駕駛有關(guān)的功能。同時(shí)，軟件架構(gòu)的功能也越來越強(qiáng)大。本文介紹了EB在Adaptive AUTOSAR中安全更新的概念和解決方案。
隨著越來越多的車輛功能通過軟件實(shí)現(xiàn)，更新周期也越來越短。例如，全自動(dòng)駕駛中的功能可以通過機(jī)器學(xué)習(xí)不斷改進(jìn)。此外，客戶方面也明確期望，可以在日后更新或增加功能，例如，輔助駕駛系統(tǒng)的改進(jìn)、新的應(yīng)用程序等。能夠?yàn)檫@些要求提供穩(wěn)定的技術(shù)基礎(chǔ)，正成為汽車制造商區(qū)別于競爭對手的重要因素。如果缺少了這樣的概念，后果就是失去競爭能力。未來，電動(dòng)汽車也可能需要更長的維護(hù)周期。但如果只能在維修車間進(jìn)行軟件更新，就難以與對手競爭。
因此，與其他行業(yè)一樣，今后的更新也需要“OTA”。車輛與互聯(lián)網(wǎng)的連接以及各部件之間的聯(lián)網(wǎng)為這種更新機(jī)制提供了必要的先決條件。然而，更新車輛的關(guān)鍵功能對用于此目的的過程的安全性和可靠性提出了很高的要求。
Adaptive AUTOSAR中的概念升級(jí)
為了應(yīng)對這些挑戰(zhàn)，除了以前的AUTOSAR軟件環(huán)境，還需要一個(gè)新的平臺(tái)：Adaptive AUTOSAR。這意味著OEM及其供應(yīng)商不必為關(guān)鍵和復(fù)雜的功能不斷開發(fā)新的、有時(shí)是專有的解決方案。與Classic AUTOSAR相比，Adaptive AUTOSAR依賴于運(yùn)行時(shí)環(huán)境的并行化和動(dòng)態(tài)化。具體來說，這意味著能夠重新加載和注銷軟件組件。Adaptive AUTOSAR為應(yīng)用程序提供了所有必要的編程接口，無論使用何種操作系統(tǒng)。這使得可以使用現(xiàn)有的高性能計(jì)算、嵌入式視覺或機(jī)器學(xué)習(xí)領(lǐng)域的軟件庫（圖1）。
圖1. AUTOSAR Adaptive架構(gòu)
例如，在Classic AUTOSAR下，CAN總線是基于信號(hào)的通信，在Adaptive AUTOSAR中已經(jīng)被面向服務(wù)的通信所取代。這種系統(tǒng)架構(gòu)使得新的應(yīng)用更容易集成到整個(gè)系統(tǒng)中?，F(xiàn)代化和部分自動(dòng)化的開發(fā)工具，如Elektrobit提供的Tresos（其他還包括Vector的Davinci和ETAS的V-RTE等），支持自適應(yīng)汽車的軟件開發(fā)。它們提供了專門為新的現(xiàn)代系統(tǒng)架構(gòu)設(shè)計(jì)的功能，如基于編譯器的靜態(tài)和動(dòng)態(tài)數(shù)據(jù)流分析、自動(dòng)運(yùn)行時(shí)間估計(jì)和自動(dòng)軟硬件優(yōu)化。
AUTOSAR聯(lián)盟包括來自70多家不同公司的250多名參與者，負(fù)責(zé)Adaptive AUTOSAR的標(biāo)準(zhǔn)化和進(jìn)一步開發(fā)。AUTOSAR組織每年會(huì)發(fā)布兩次新版本的Adaptive AUTOSAR，3月底和10月底。這確保了規(guī)范和功能的持續(xù)維護(hù)和更新。詳細(xì)信息請登錄www.Autosar.org/standards/adaptive-platform。
OTA更新標(biāo)準(zhǔn)功能
與OTA更新相關(guān)，Adaptive AUTOSAR為功能和組件的定向更新提供標(biāo)準(zhǔn)化的基本功能。Classic AUTOSAR總是需要對應(yīng)用軟件進(jìn)行整體更新，而Adaptive AUTOSAR支持差異化更新。后臺(tái)是模塊化架構(gòu)，只更新應(yīng)用組件部分，也支持差分更新，將目標(biāo)應(yīng)用加入到新的軟件狀態(tài)之中。為此，更新主節(jié)點(diǎn)接收從連接客戶端接收OTA更新數(shù)據(jù)，然后與更新配置管理器（Update Configuration Management，UCM）和診斷管理器（Diagnostic Management，DM）一起，對各個(gè)軟件組件進(jìn)行有針對性的更新（圖2）。
圖2. OTA更新標(biāo)準(zhǔn)功能
為了使OEM或服務(wù)提供商的整個(gè)更新過程盡可能簡單直接，Elektrobit提供了EB Update OTA，這是一個(gè)可擴(kuò)展和靈活的完整解決方案。根據(jù)OEM的規(guī)范，它包含必要的云端或后端環(huán)境，以便在整個(gè)車輛生命周期內(nèi)準(zhǔn)備、管理和實(shí)施更新。在一次更新過程中，可以同時(shí)更新多個(gè)高性能ECU和車輛的信息娛樂系統(tǒng)。只要ECU是支持標(biāo)準(zhǔn)化診斷協(xié)議的。
端到端安全架構(gòu)保護(hù)整車安全
聯(lián)網(wǎng)車輛的互聯(lián)可以實(shí)現(xiàn)許多有用的功能，從而為駕駛員和汽車制造商帶來明顯的好處。但同時(shí)，也增加了可能的攻擊點(diǎn)。Car2X、WiFi、藍(lán)牙、App遠(yuǎn)程控制、OBD-II、無線鑰匙等連接都是黑客攻擊的潛在入口。除了數(shù)據(jù)丟失或故障等顯而易見的風(fēng)險(xiǎn)外，對于OEM廠商來說，這些情況還包括可能的威脅，如在客戶和業(yè)務(wù)伙伴中的聲譽(yù)損失、召回或?qū)Σ叩某杀撅L(fēng)險(xiǎn)、客戶方的不滿、責(zé)任風(fēng)險(xiǎn)和可能的法律后果。在此背景下，OTA軟件更新對車內(nèi)外的安全架構(gòu)提出了特殊要求。毋庸置疑，上面列出的其他攻擊點(diǎn)也有專門的保護(hù)措施。然而，在下文中，重點(diǎn)是Adaptive AUTOSAR的安全功能，特別是在OTA更新的情況下。
底層安全架構(gòu)考慮到車輛組件及其連接和接口，以及后端和任何額外連接的終端設(shè)備。因此，這個(gè)概念包括了車輛環(huán)境內(nèi)外所涉及的所有層面：單個(gè)組件和控制單元、車輛內(nèi)的總線系統(tǒng)、外部接口和協(xié)議（例如也包括WLAN），以及所有相關(guān)服務(wù)的端到端加密和保護(hù)。這不僅保證了系統(tǒng)的完整性，防止了濫用的企圖，而且滿足了不斷提高的數(shù)據(jù)保護(hù)和信息安全的法律要求（圖3）。
圖3. 端到端安全架構(gòu)
Adaptive AUTOSAR的高保護(hù)等級(jí)
為了實(shí)現(xiàn)這些目標(biāo)，采用了汽車安全領(lǐng)域的解決方案和方法，如SecOC（安全車載通信）和HSM（硬件安全模塊）。另一方面，安全架構(gòu)也是基于經(jīng)典的汽車解決方案和流程，從客戶端服務(wù)器通信，如TLS（傳輸層安全），認(rèn)證認(rèn)證和加密。安全車載通信（SecOC）概念確保車載通信中所攜帶的數(shù)據(jù)是真實(shí)的。因此，SecOC可以防止對數(shù)據(jù)包的操縱、插入攻擊或其他攻擊場景。為了防止黑客未經(jīng)授權(quán)訪問CAN總線，SecOC模塊在內(nèi)部總線上傳輸?shù)拿總€(gè)數(shù)據(jù)中增加了一個(gè)消息驗(yàn)證碼（MAC）。為了防止被截獲的數(shù)據(jù)塊進(jìn)行操縱，加密計(jì)算考慮到了一個(gè)與時(shí)間有關(guān)的部分，記錄了信息的真實(shí)性。由于經(jīng)典的CAN總線的限制（協(xié)議規(guī)定幀大小只有8個(gè)字節(jié)），只有部分實(shí)際證書和MAC可以和用戶數(shù)據(jù)一起傳輸。接收模塊則計(jì)算出完整的MAC和實(shí)際值，并與（部分）接收到的值進(jìn)行比較。如果它們不匹配，則拒絕接收數(shù)據(jù)包。SecOC以硬件為基礎(chǔ)的加密和組件及控制單元的內(nèi)部信任和安全機(jī)制為補(bǔ)充。這些包括認(rèn)證、防盜和檢測異常情況或未經(jīng)授權(quán)的訪問嘗試。這些安全元素也受益于Adaptive AUTOSAR的架構(gòu)優(yōu)勢，例如通過并行執(zhí)行，從而加速復(fù)雜的加密計(jì)算。
更新過程的廣泛保護(hù)
基于所描述的安全架構(gòu)和概念，Adaptive AUTOSAR系統(tǒng)保護(hù)了從系統(tǒng)啟動(dòng)，到接收OTA更新數(shù)據(jù)，再到安裝更新的整個(gè)更新過程。通過安全的引導(dǎo)機(jī)制，確保車內(nèi)系統(tǒng)環(huán)境的完整性。只加載和執(zhí)行經(jīng)過認(rèn)證的軟件組件。驗(yàn)證過程與軟件同步運(yùn)行，以盡可能縮短加載和啟動(dòng)時(shí)間。后端和車載組件之間的端到端加密通信鏈路，以及后端和車載的數(shù)據(jù)加密存儲(chǔ)，確保更新數(shù)據(jù)的傳輸和存儲(chǔ)受到保護(hù)。Bootloader獨(dú)立于應(yīng)用程序的程序代碼，在車輛中為安裝更新軟件創(chuàng)造了一個(gè)安全的環(huán)境。上述保護(hù)機(jī)制也用于更新數(shù)據(jù)包的認(rèn)證和更新軟件的實(shí)際安裝過程中。由于Adaptive AUTOSAR擁有自己的加密庫，軟件和硬件組件的認(rèn)證和驗(yàn)證與更新過程并行進(jìn)行。同時(shí)，安全診斷系統(tǒng)模塊監(jiān)控診斷客戶端與受影響ECU之間的通信。OEM可以選擇不同的認(rèn)證方法，如Seed
下載文檔
