基于 Adaptive AUTOSAR的 OTA更新
时间：2021-10-19 16:07:42
手机看文章
扫描二维码
随时随地手机看文章
[导读]具备OTA的平台提供了哪些优势？在汽车开发中，用软件实现新功能是一个明显的趋势。已上市的车辆越来越多地加装最新功能，例如与全自动驾驶有关的功能。同时，软件架构的功能也越来越强大。本文介绍了EB在AdaptiveAUTOSAR中安全更新的概念和解决方案。随着越来越多的车辆功能通过软...
具备OTA的平台提供了哪些优势？
在汽车开发中，用软件实现新功能是一个明显的趋势。已上市的车辆越来越多地加装最新功能，例如与全自动驾驶有关的功能。同时，软件架构的功能也越来越强大。本文介绍了EB在Adaptive AUTOSAR中安全更新的概念和解决方案。
随着越来越多的车辆功能通过软件实现，更新周期也越来越短。例如，全自动驾驶中的功能可以通过机器学习不断改进。此外，客户方面也明确期望，可以在日后更新或增加功能，例如，辅助驾驶系统的改进、新的应用程序等。能够为这些要求提供稳定的技术基础，正成为汽车制造商区别于竞争对手的重要因素。如果缺少了这样的概念，后果就是失去竞争能力。未来，电动汽车也可能需要更长的维护周期。但如果只能在维修车间进行软件更新，就难以与对手竞争。
因此，与其他行业一样，今后的更新也需要“OTA”。车辆与互联网的连接以及各部件之间的联网为这种更新机制提供了必要的先决条件。然而，更新车辆的关键功能对用于此目的的过程的安全性和可靠性提出了很高的要求。
Adaptive AUTOSAR中的概念升级
为了应对这些挑战，除了以前的AUTOSAR软件环境，还需要一个新的平台：Adaptive AUTOSAR。这意味着OEM及其供应商不必为关键和复杂的功能不断开发新的、有时是专有的解决方案。与Classic AUTOSAR相比，Adaptive AUTOSAR依赖于运行时环境的并行化和动态化。具体来说，这意味着能够重新加载和注销软件组件。Adaptive AUTOSAR为应用程序提供了所有必要的编程接口，无论使用何种操作系统。这使得可以使用现有的高性能计算、嵌入式视觉或机器学习领域的软件库（图1）。
图1. AUTOSAR Adaptive架构
例如，在Classic AUTOSAR下，CAN总线是基于信号的通信，在Adaptive AUTOSAR中已经被面向服务的通信所取代。这种系统架构使得新的应用更容易集成到整个系统中。现代化和部分自动化的开发工具，如Elektrobit提供的Tresos（其他还包括Vector的Davinci和ETAS的V-RTE等），支持自适应汽车的软件开发。它们提供了专门为新的现代系统架构设计的功能，如基于编译器的静态和动态数据流分析、自动运行时间估计和自动软硬件优化。
AUTOSAR联盟包括来自70多家不同公司的250多名参与者，负责Adaptive AUTOSAR的标准化和进一步开发。AUTOSAR组织每年会发布两次新版本的Adaptive AUTOSAR，3月底和10月底。这确保了规范和功能的持续维护和更新。详细信息请登录www.Autosar.org/standards/adaptive-platform。
OTA更新标准功能
与OTA更新相关，Adaptive AUTOSAR为功能和组件的定向更新提供标准化的基本功能。Classic AUTOSAR总是需要对应用软件进行整体更新，而Adaptive AUTOSAR支持差异化更新。后台是模块化架构，只更新应用组件部分，也支持差分更新，将目标应用加入到新的软件状态之中。为此，更新主节点接收从连接客户端接收OTA更新数据，然后与更新配置管理器（Update Configuration Management，UCM）和诊断管理器（Diagnostic Management，DM）一起，对各个软件组件进行有针对性的更新（图2）。
图2. OTA更新标准功能
为了使OEM或服务提供商的整个更新过程尽可能简单直接，Elektrobit提供了EB Update OTA，这是一个可扩展和灵活的完整解决方案。根据OEM的规范，它包含必要的云端或后端环境，以便在整个车辆生命周期内准备、管理和实施更新。在一次更新过程中，可以同时更新多个高性能ECU和车辆的信息娱乐系统。只要ECU是支持标准化诊断协议的。
端到端安全架构保护整车安全
联网车辆的互联可以实现许多有用的功能，从而为驾驶员和汽车制造商带来明显的好处。但同时，也增加了可能的攻击点。Car2X、WiFi、蓝牙、App远程控制、OBD-II、无线钥匙等连接都是黑客攻击的潜在入口。除了数据丢失或故障等显而易见的风险外，对于OEM厂商来说，这些情况还包括可能的威胁，如在客户和业务伙伴中的声誉损失、召回或对策的成本风险、客户方的不满、责任风险和可能的法律后果。在此背景下，OTA软件更新对车内外的安全架构提出了特殊要求。毋庸置疑，上面列出的其他攻击点也有专门的保护措施。然而，在下文中，重点是Adaptive AUTOSAR的安全功能，特别是在OTA更新的情况下。
底层安全架构考虑到车辆组件及其连接和接口，以及后端和任何额外连接的终端设备。因此，这个概念包括了车辆环境内外所涉及的所有层面：单个组件和控制单元、车辆内的总线系统、外部接口和协议（例如也包括WLAN），以及所有相关服务的端到端加密和保护。这不仅保证了系统的完整性，防止了滥用的企图，而且满足了不断提高的数据保护和信息安全的法律要求（图3）。
图3. 端到端安全架构
Adaptive AUTOSAR的高保护等级
为了实现这些目标，采用了汽车安全领域的解决方案和方法，如SecOC（安全车载通信）和HSM（硬件安全模块）。另一方面，安全架构也是基于经典的汽车解决方案和流程，从客户端服务器通信，如TLS（传输层安全），认证认证和加密。安全车载通信（SecOC）概念确保车载通信中所携带的数据是真实的。因此，SecOC可以防止对数据包的操纵、插入攻击或其他攻击场景。为了防止黑客未经授权访问CAN总线，SecOC模块在内部总线上传输的每个数据中增加了一个消息验证码（MAC）。为了防止被截获的数据块进行操纵，加密计算考虑到了一个与时间有关的部分，记录了信息的真实性。由于经典的CAN总线的限制（协议规定帧大小只有8个字节），只有部分实际证书和MAC可以和用户数据一起传输。接收模块则计算出完整的MAC和实际值，并与（部分）接收到的值进行比较。如果它们不匹配，则拒绝接收数据包。SecOC以硬件为基础的加密和组件及控制单元的内部信任和安全机制为补充。这些包括认证、防盗和检测异常情况或未经授权的访问尝试。这些安全元素也受益于Adaptive AUTOSAR的架构优势，例如通过并行执行，从而加速复杂的加密计算。
更新过程的广泛保护
基于所描述的安全架构和概念，Adaptive AUTOSAR系统保护了从系统启动，到接收OTA更新数据，再到安装更新的整个更新过程。通过安全的引导机制，确保车内系统环境的完整性。只加载和执行经过认证的软件组件。验证过程与软件同步运行，以尽可能缩短加载和启动时间。后端和车载组件之间的端到端加密通信链路，以及后端和车载的数据加密存储，确保更新数据的传输和存储受到保护。Bootloader独立于应用程序的程序代码，在车辆中为安装更新软件创造了一个安全的环境。上述保护机制也用于更新数据包的认证和更新软件的实际安装过程中。由于Adaptive AUTOSAR拥有自己的加密库，软件和硬件组件的认证和验证与更新过程并行进行。同时，安全诊断系统模块监控诊断客户端与受影响ECU之间的通信。OEM可以选择不同的认证方法，如Seed
在汽车开发中，用软件实现新功能是一个明显的趋势。已上市的车辆越来越多地加装最新功能，例如与全自动驾驶有关的功能。同时，软件架构的功能也越来越强大。本文介绍了EB在Adaptive AUTOSAR中安全更新的概念和解决方案。
随着越来越多的车辆功能通过软件实现，更新周期也越来越短。例如，全自动驾驶中的功能可以通过机器学习不断改进。此外，客户方面也明确期望，可以在日后更新或增加功能，例如，辅助驾驶系统的改进、新的应用程序等。能够为这些要求提供稳定的技术基础，正成为汽车制造商区别于竞争对手的重要因素。如果缺少了这样的概念，后果就是失去竞争能力。未来，电动汽车也可能需要更长的维护周期。但如果只能在维修车间进行软件更新，就难以与对手竞争。
因此，与其他行业一样，今后的更新也需要“OTA”。车辆与互联网的连接以及各部件之间的联网为这种更新机制提供了必要的先决条件。然而，更新车辆的关键功能对用于此目的的过程的安全性和可靠性提出了很高的要求。
Adaptive AUTOSAR中的概念升级
为了应对这些挑战，除了以前的AUTOSAR软件环境，还需要一个新的平台：Adaptive AUTOSAR。这意味着OEM及其供应商不必为关键和复杂的功能不断开发新的、有时是专有的解决方案。与Classic AUTOSAR相比，Adaptive AUTOSAR依赖于运行时环境的并行化和动态化。具体来说，这意味着能够重新加载和注销软件组件。Adaptive AUTOSAR为应用程序提供了所有必要的编程接口，无论使用何种操作系统。这使得可以使用现有的高性能计算、嵌入式视觉或机器学习领域的软件库（图1）。
图1. AUTOSAR Adaptive架构
例如，在Classic AUTOSAR下，CAN总线是基于信号的通信，在Adaptive AUTOSAR中已经被面向服务的通信所取代。这种系统架构使得新的应用更容易集成到整个系统中。现代化和部分自动化的开发工具，如Elektrobit提供的Tresos（其他还包括Vector的Davinci和ETAS的V-RTE等），支持自适应汽车的软件开发。它们提供了专门为新的现代系统架构设计的功能，如基于编译器的静态和动态数据流分析、自动运行时间估计和自动软硬件优化。
AUTOSAR联盟包括来自70多家不同公司的250多名参与者，负责Adaptive AUTOSAR的标准化和进一步开发。AUTOSAR组织每年会发布两次新版本的Adaptive AUTOSAR，3月底和10月底。这确保了规范和功能的持续维护和更新。详细信息请登录www.Autosar.org/standards/adaptive-platform。
OTA更新标准功能
与OTA更新相关，Adaptive AUTOSAR为功能和组件的定向更新提供标准化的基本功能。Classic AUTOSAR总是需要对应用软件进行整体更新，而Adaptive AUTOSAR支持差异化更新。后台是模块化架构，只更新应用组件部分，也支持差分更新，将目标应用加入到新的软件状态之中。为此，更新主节点接收从连接客户端接收OTA更新数据，然后与更新配置管理器（Update Configuration Management，UCM）和诊断管理器（Diagnostic Management，DM）一起，对各个软件组件进行有针对性的更新（图2）。
图2. OTA更新标准功能
为了使OEM或服务提供商的整个更新过程尽可能简单直接，Elektrobit提供了EB Update OTA，这是一个可扩展和灵活的完整解决方案。根据OEM的规范，它包含必要的云端或后端环境，以便在整个车辆生命周期内准备、管理和实施更新。在一次更新过程中，可以同时更新多个高性能ECU和车辆的信息娱乐系统。只要ECU是支持标准化诊断协议的。
端到端安全架构保护整车安全
联网车辆的互联可以实现许多有用的功能，从而为驾驶员和汽车制造商带来明显的好处。但同时，也增加了可能的攻击点。Car2X、WiFi、蓝牙、App远程控制、OBD-II、无线钥匙等连接都是黑客攻击的潜在入口。除了数据丢失或故障等显而易见的风险外，对于OEM厂商来说，这些情况还包括可能的威胁，如在客户和业务伙伴中的声誉损失、召回或对策的成本风险、客户方的不满、责任风险和可能的法律后果。在此背景下，OTA软件更新对车内外的安全架构提出了特殊要求。毋庸置疑，上面列出的其他攻击点也有专门的保护措施。然而，在下文中，重点是Adaptive AUTOSAR的安全功能，特别是在OTA更新的情况下。
底层安全架构考虑到车辆组件及其连接和接口，以及后端和任何额外连接的终端设备。因此，这个概念包括了车辆环境内外所涉及的所有层面：单个组件和控制单元、车辆内的总线系统、外部接口和协议（例如也包括WLAN），以及所有相关服务的端到端加密和保护。这不仅保证了系统的完整性，防止了滥用的企图，而且满足了不断提高的数据保护和信息安全的法律要求（图3）。
图3. 端到端安全架构
Adaptive AUTOSAR的高保护等级
为了实现这些目标，采用了汽车安全领域的解决方案和方法，如SecOC（安全车载通信）和HSM（硬件安全模块）。另一方面，安全架构也是基于经典的汽车解决方案和流程，从客户端服务器通信，如TLS（传输层安全），认证认证和加密。安全车载通信（SecOC）概念确保车载通信中所携带的数据是真实的。因此，SecOC可以防止对数据包的操纵、插入攻击或其他攻击场景。为了防止黑客未经授权访问CAN总线，SecOC模块在内部总线上传输的每个数据中增加了一个消息验证码（MAC）。为了防止被截获的数据块进行操纵，加密计算考虑到了一个与时间有关的部分，记录了信息的真实性。由于经典的CAN总线的限制（协议规定帧大小只有8个字节），只有部分实际证书和MAC可以和用户数据一起传输。接收模块则计算出完整的MAC和实际值，并与（部分）接收到的值进行比较。如果它们不匹配，则拒绝接收数据包。SecOC以硬件为基础的加密和组件及控制单元的内部信任和安全机制为补充。这些包括认证、防盗和检测异常情况或未经授权的访问尝试。这些安全元素也受益于Adaptive AUTOSAR的架构优势，例如通过并行执行，从而加速复杂的加密计算。
更新过程的广泛保护
基于所描述的安全架构和概念，Adaptive AUTOSAR系统保护了从系统启动，到接收OTA更新数据，再到安装更新的整个更新过程。通过安全的引导机制，确保车内系统环境的完整性。只加载和执行经过认证的软件组件。验证过程与软件同步运行，以尽可能缩短加载和启动时间。后端和车载组件之间的端到端加密通信链路，以及后端和车载的数据加密存储，确保更新数据的传输和存储受到保护。Bootloader独立于应用程序的程序代码，在车辆中为安装更新软件创造了一个安全的环境。上述保护机制也用于更新数据包的认证和更新软件的实际安装过程中。由于Adaptive AUTOSAR拥有自己的加密库，软件和硬件组件的认证和验证与更新过程并行进行。同时，安全诊断系统模块监控诊断客户端与受影响ECU之间的通信。OEM可以选择不同的认证方法，如Seed
下载文档
