Kenderaan moden menerima berpuluh-puluh kemas kini perisian sepanjang hayatnya, kebanyakannya dihantar jauh melalui T-Box. Pengemaskinian over-the-air pada skala automotif ialah masalah kriptografi, susun atur memori dan pemulihan kegagalan sebagaimana ketersambungan: kemas kini yang gagal pada pengawal brek, bateri atau ketersambungan bukanlah kesulitan tetapi peristiwa keselamatan. Artikel ini menerangkan bagaimana kempen OTA selamat distruktur, mengapa partition A/B menggantikan penggilapan di tempat, bagaimana rantaian but selamat melabuhkan kepercayaan pada perkakasan, dan di mana T-Box sesuai sebagai induk kemas kini kenderaan.

Seni bina kempen OTA

Aliran biasa berjalan dari awan ke ECU secara berperingkat: backend mengurus kohort kenderaan dan inventori versi, menandatangani pakej kemas kini dan menolak pemberitahuan kempen; T-Box memuat turun pakej melalui rangkaian selular atau Wi-Fi sambil mengesahkan titik semakan apabila tiba; pengurus kemas kini dalam kenderaan menentukan masa berdasarkan keadaan kenderaan (diletakkan, mengecas, bateri mencukupi); dan ECU sasaran digilap melalui CAN-FD atau Ethernet automotif menggunakan jujukan UDS yang diterangkan dalam artikel CAN/UDS kami. Telemetri melaporkan hasil setiap kenderaan kembali ke awan, memberi pengurus kempen gelung tertutup kejayaan/kegagalan dan keupayaan untuk menjeda pelancaran sebaik sahaja kadar anomali meningkat.

Kemas kini delta dan strategi muat turun

Imej ECU penuh melalui rangkaian selular adalah mahal, jadi platform menggunakan pakej pembezaan (delta): algoritma perbezaan binari seperti bsdiff mengekod hanya bait yang berubah antara perisian tegar lama dan baharu, mengecilkan kemas kini 200 MB kepada beberapa megabait. Kenderaan membina semula imej penuh secara setempat berdasarkan versi semasanya yang diketahui, itulah sebabnya inventori versi yang tepat penting: delta hanya terpakai pada garis dasar yang tepat ia dibina daripadanya. Muat turun boleh disambung semula, berperingkat mengikut flash bebas dan diutamakan pada rangkaian tidak bermeter.

Partition A/B: mengemas kini tanpa mempertaruhkan peranti

Susun atur memori paling selamat menyimpan dua salinan lengkap perisian tegar, secara konvensyen slot A dan B. Sistem berjalan dari slot aktif sementara kemas kini ditulis, disahkan dan disediakan dalam slot tidak aktif — kenderaan yang sedang berjalan tidak pernah disentuh. Pada but semula seterusnya, pemuat but mencuba slot yang baru ditulis; jika ia but dan mengesahkan kesihatannya dalam tetingkap yang ditetapkan, ia ditanda aktif. Jika apa-apa gagal, pemuat but hanya berbalik kepada slot sebelumnya yang tidak disentuh pada permulaan seterusnya. Ini menjadikan kemas kini buruk penyembuhan diri dan menyingkirkan tetingkap berbahaya di mana penggilapan di tempat yang tergendala tidak meninggalkan sebarang perisian tegar yang boleh dijalankan.

Rantaian kepercayaan but selamat

Keselamatan kemas kini akhirnya bertumpu pada but selamat. Kepercayaan bermula dalam kod ROM yang tidak berubah dan mengalir berperingkat-peringkat, setiap lapisan mengesahkan tandatangan digital lapisan seterusnya sebelum melaksanakannya:

• Punca kepercayaan — cincangan kunci awam yang dileburkan ke dalam perkakasan ketika pembuatan tidak boleh diubah di lapangan.
• Pengesahan berperingkat — ROM mengesahkan pemuat but, yang mengesahkan OS/hipervisor, yang mengesahkan aplikasi dan imej ECU, termasuk pakej OTA.
• Anti-gulung-balik — penghitung versi monotonik dalam storan selamat menolak imej bertandatangan yang lebih lama, menghalang penyerang daripada kembali kepada versi dengan kelemahan yang diketahui.
• Storan selamat dan pengendalian kunci — kunci tandatangan tidak pernah meninggalkan HSM backend; kenderaan hanya memegang bahan pengesahan awam, dan rahsia berada dalam elemen selamat atau dunia TrustZone.

T-Box sebagai sempadan keselamatan

Oleh kerana T-Box ialah satu-satunya ECU yang terdedah kepada internet awam, ia ialah tembok api perimeter kenderaan. Pengukuhan termasuk: TLS saling disahkan untuk sesi awan; komunikasi atas papan selamat (mesej CAN yang disahkan dan dilindungi kesegaran di bawah AUTOSAR SecOC) supaya T-Box yang terjejas tidak boleh sewenang-wenangnya memerintah ECU dalaman; pengelogan pengesanan pencerobohan; akaun perkhidmatan keistimewaan paling rendah; dan proses tindak balas kelemahan pantas yang sejajar dengan piawai seperti ISO/SAE 21434 dan UN R155/R156, yang menjadikan pengurusan keselamatan siber dan keupayaan kemas kini sebagai kewajipan kelulusan jenis di banyak pasaran.

Merekabentuk kempen kemas kini yang boleh dipercayai

• Prasyaratkan setiap kemas kini: keadaan cas mencukupi, keadaan letak kenderaan stabil, flash mencukupi dan tetingkap tanpa gangguan yang terjamin.
• Guna slot A/B dengan gulung balik automatik dan kriteria komit kesihatan yang eksplisit.
• Tandatangani setiap pakej hujung-ke-hujung, sahkan sebelum pengaktifan dan kuatkuasakan penghitung anti-gulung-balik.
• Lancarkan dalam kohort berperingkat dengan pemantauan suis-mati; pastikan setiap ECU boleh dipulihkan melalui UDS walaupun selepas kegagalan terburuk.

Weijiang Power: Jaminan kuasa untuk kemas kini selamat

ECU tidak boleh kehilangan kuasa di tengah kemas kini. Weijiang Power membekalkan sel sandaran NiMH dan litium julat suhu luas serta pack tersuai yang membolehkan T-Box mengharungi gangguan bekalan dan menamatkan atau membatalkan kitaran penggilapan dengan selamat, dengan hayat kalendar panjang yang sepadan dengan tetingkap sokongan kemas kini kenderaan. Hantarkan reka bentuk rel anda dan tempoh kemas kini paling teruk, dan jurutera kami akan mensaizkan kuasa tahanan di sebalik strategi OTA kalis gagal.