软件定义汽车——OTA（第四部分）

一、概念

OTA，Over-the-Air Technology，空中下载技术，简单的可以理解为远程升级。所谓“空中”指的是远程无线方式，即通过无线网络下载数据包从而对汽车系统进行升级的方式。

车机内搭载了SIM卡模块或者WiFi模块，即可实现OTA。

二、类型

OTA分为两类：

（1）FOTA

Firmware Over The Air，固件升级，指的是终端的固件升级，包括驱动、系统、功能、应用等的升级，和硬件没有直接关系。FOTA通过给车辆控制器下载安装完整的固件镜像，来实现系统功能完整的升级更新。（给汽车下载一个完整的固件镜像或者修补现有的固件）

（2）SOTA

 Software Over The Air，软件升级，应用软件升级。通过给车辆控制器安装“增量包”，来实现控制器功能的一个“增量”更新，一般应用于娱乐系统和智驾系统。例如更换多媒体系统操作界面，优化仪表盘显示风格，更新娱乐主机里的地图程序时，用到的都是SOTA升级方式。（功能局部更新，“补丁”（仅需要修改的部分），减小升级包文件大小、从而节约网络流量和存储空间）

SOTA流程：

（1） 升级包的打包和组装

（2）升级包传输

（3）升级包安装

（4）升级包激活

（5）升级包回滚

三、OTA架构

OTA架构由OTA云端，OTA终端和OTA升级三部分组成

云端功能包括：

OEM 云对接、车型 / 车辆 /ECU 版本信息管理、升级软件管理，差分包管理、大版本管理及策略创建、ECU 关联升级配置、升级模式配置、策略测试、审批、发布等。

车端功能包括：

升级条件判断、软件包下载、升级包验签、 升级包解密、安全刷写、升级状态上报等。

通讯端功能包括：

  OTA 升级过程中进行报文传输及升级包下载等。

四、OTA 升级中信息安全威胁

（1）黑客攻击

（2）安全策略——OTA 升级校验模式

A.基于 HASH 算法的完整性校验

云端使用 HASH 算法如 MD5 、 SHA-1 等计算升级文件 HASH值，车端 UC-Mstaer 使用相同算法计算升级文件HASH 值，通过对比 HASH 值，实现升级文件完整性校验， 完成 OTA 升级校验。

B.基于签名算法的签名校验

通过使用 PKI 系统生成公私钥，云端使用私钥对升级包数据校验和或其他与数据内容有关的变量进行加密处理，完成对数据的合法“签名”，UC-Master 则利用云端的公钥来解读收到的“数字签名”，并将解读结果用于对数据完整性的检验，确认签名的合法性。

数字签名算法有：MD5withRSA／SHA1withRSA／SHA256withRSA／SHA1withDSA／SHA

256withDSA ／ SHA512withDSA ／ ECDSA 等

五、技术原理

（1）基于对称密钥加密技术

OEM、汽车和云端

在任何软件更新之前，使用一个链路密钥在软件供应商和车辆之间建立安全连接，形成可信通道。

（2）基于哈希算法

车、服务器后端、互联网和无线基站

将更新后的二进制文件划分为多个数据块，对每个片段进行哈希处理，创建哈希表，服务器后端使用预共享的加密密钥对的每个数据块进行加密，然后再将它们传输汽车终端。

（3）基于区块链技术

OEM、服务中心、汽车、云服务器和SW主机

SW主机向云服务器发送一个带有自己签名的存储请求。在验证成功后，云服务器发送一个二次确认包，包括自己的签名和软件上传过程中需要的文件描述符发送到SW主机中。将新软件上传到云服务器后，SW主机在区块中创建一个更新事件，其中包含关于新软件在云端位置等信息。然后SW主机中使用私钥签署这个事件，并最终将加密的事件广播给车辆

（4）对称密钥与非对称密钥的组合加密算法

OEM、服务中心、汽车终端和汽车维修人员

汽车维修人员使用NFC智能卡与PIN码对手持设备进行对称的身份验证，然后服务后端返回会话密钥，利用该会话密钥配合汽车RSA公钥将安装包加密下发到每个汽车。接收成功后，汽车在安装前对软件用私钥进行验证解密。

（5）硬件安全模块

网关ECU从远程服务器下载更新后的软件。然后ECU使用TPM中预定义的散列验证下载的软件。验证成功后，ECU将更新后的软件发送到目标ECU进行安装。使用TPM的好处是它支持许多流行的加密算法，例如RSA、SHA、AES。

四、应用

现在车用OTA更多是对车载应用、多媒体系统或整车底层系统进行升级。