Nowoczesny pojazd otrzymuje w ciągu swojego życia dziesiątki aktualizacji oprogramowania, większość dostarczanych zdalnie przez T-Box. Aktualizacja over-the-air w skali motoryzacyjnej jest w równej mierze problemem kryptografii, układu pamięci i odzyskiwania po awarii, co łączności: nieudana aktualizacja sterownika hamulców, baterii czy łączności nie jest niedogodnością, lecz zdarzeniem bezpieczeństwa. Ten artykuł wyjaśnia, jak zbudowana jest bezpieczna kampania OTA, dlaczego partycje A/B zastąpiły przepisywanie w miejscu, jak łańcuch bezpiecznego rozruchu kotwiczy zaufanie w sprzęcie i gdzie T-Box pełni rolę nadzorcy aktualizacji pojazdu.
Typowy przepływ biegnie od chmury do ECU etapami: backend zarządza kohortami pojazdów i spisami wersji, podpisuje pakiety aktualizacji i wysyła powiadomienie o kampanii; T-Box pobiera pakiet przez sieć komórkową lub Wi-Fi, weryfikując punkty kontrolne w miarę nadejścia; menedżer aktualizacji wewnątrz pojazdu ustala czas według stanu pojazdu (zaparkowany, ładujący się, wystarczająca bateria); a docelowe ECU są przepisywane przez CAN-FD lub samochodowy Ethernet przy użyciu sekwencji UDS opisanej w naszym artykule CAN/UDS. Telemetria zgłasza wynik każdego pojazdu z powrotem do chmury, dając menedżerowi kampanii zamkniętą pętlę sukces/porażka oraz możliwość wstrzymania wdrożenia w momencie wzrostu wskaźników anomalii.
Pełne obrazy ECU przez sieć komórkową są kosztowne, więc platformy używają pakietów różnicowych (delta): algorytmy diff binarny, takie jak bsdiff, kodują tylko bajty zmienione między starym a nowym oprogramowaniem, zmniejszając aktualizację 200 MB do kilku megabajtów. Pojazd odtwarza pełny obraz lokalnie względem znanej bieżącej wersji, dlatego liczy się precyzyjny spis wersji: delta dotyczy tylko dokładnej linii bazowej, z której została zbudowana. Pobierania są wznawialne, dopasowane do wolnego flash i planowane preferencyjnie w sieciach nielimitowanych.
Najbezpieczniejszy układ pamięci przechowuje dwie kompletne kopie oprogramowania, konwencjonalnie sloty A i B. System działa z aktywnego slotu, podczas gdy aktualizacja jest zapisywana, weryfikowana i przygotowywana w slocie nieaktywnym — działający pojazd nigdy nie jest ruszany. Przy następnym restarcie bootloader próbuje nowo zapisanego slotu; jeśli uruchomi się i potwierdzi swoją sprawność w określonym oknie, zostaje oznaczony jako aktywny. Jeśli cokolwiek zawiedzie, bootloader po prostu wraca przy następnym starcie do nietkniętego poprzedniego slotu. Czyni to złą aktualizację samonaprawialną i usuwa niebezpieczne okno, w którym przerwane przepisanie w miejscu nie pozostawia żadnego działającego oprogramowania.
Bezpieczeństwo aktualizacji ostatecznie spoczywa na bezpiecznym rozruchu. Zaufanie zaczyna się w niezmiennym kodzie ROM i kaskadowo przechodzi etap po etapie, gdzie każda warstwa weryfikuje podpis cyfrowy następnej przed jej wykonaniem:
Ponieważ T-Box jest jedynym ECU wystawionym na publiczny internet, jest obwodową zaporą pojazdu. Hartowanie obejmuje: wzajemnie uwierzytelniony TLS dla sesji chmurowych; bezpieczną komunikację pokładową (uwierzytelnione, chronione świeżością komunikaty CAN w ramach AUTOSAR SecOC), aby skompromitowany T-Box nie mógł swobodnie rozkazywać wewnętrznym ECU; logowanie wykrywania włamań; konta usług o najmniejszych uprawnieniach; oraz szybkie procesy reagowania na luki zgodne z normami takimi jak ISO/SAE 21434 i UN R155/R156, które czynią zarządzanie cyberbezpieczeństwem i zdolność aktualizacji obowiązkiem homologacji na wielu rynkach.
ECU nie może stracić zasilania w trakcie aktualizacji. Weijiang Power dostarcza szerokotemperaturowe komórki zapasowe NiMH i litowe oraz niestandardowe pakiety, które pozwalają T-Box przetrwać przerwę w zasilaniu i dokończyć lub bezpiecznie przerwać cykl przepisywania, z długim życiem kalendarzowym dopasowanym do okna wsparcia aktualizacji pojazdu. Prześlij nam projekt szyny i najgorszy czas aktualizacji, a nasi inżynierowie wymiarują zasilanie podtrzymania za bezpieczną strategią OTA.
