安全启动

知从科技可以为客户提供SecureBoot完整方案，并可针对项目特定需求和硬件模块定制开发：

l基于硬件加密方案

l基于软件加密方案

l密钥存储管理方案

l安全启动失效分析

l产线生产模式方案

l数据压缩下载

l数据加密升级

安全启动（SecureBoot）是 MCU 的基本功能，通过硬件加密模块来实现，该机制必须独立于用户程序运行，不能被破坏。作为整个安全启动信任链的基础，安全启动主要用于在 MCU 启动之后，用户程序执行之前，对用户定义的 Flash 中关键程序的数据完整性和真实性进行验证，确定是否被篡改。如果验证失败，说明 MCU 处于不可信的状态，部分功能甚至整个程序不能运行。

Ø安全启动信任根

安全启动依赖于芯片硬件支持，用于提供初始信任根的可执行代码和密钥。 信任根密钥用于信任根代码验证已签名软件或已签名的软件关键数据部分内容的第一个启动阶段。 此签名软件用于验证软件组件的后续运行阶段代码。 密钥应该由OEM在生产阶段供应给硬件厂商， 并存储在受保护内存中。

Ø安全启动信任链Secure Boot Trust Chain

安全启动信任链是由信任根代码建立的。通过信任根代码的root对第一阶段引导程序进行验证，验证成功则可通过此验证有效的软件执行并继续验证后续引导阶段软件有效性。

Ø安全启动过程

通过数据内容加密可实现对数据的保护以防止数据被泄露，同时也可防止数据在传输过程中被篡改。加密算法一般分为对称加密算法和非对称加密算法。对称加密算法的加密和解密使用相同密钥，而非对称算法则使用公钥和私钥加解密数据内容。公钥私钥成对存在，例如用公钥加密需用私钥解密，反之亦然。

AES是最常用的对称加密算法，其拥有运算速度快，内存需求低，分组长度和密钥长度设计灵活等优点。对于非对称加密算法来说，典型的有RSA和ECC两种加密算法。RSA加密算法常被选择用于镜像的签名与验签。

知从科技所开发的青龙SecureBoot包括硬件加密模块(HSM)的内核固件(zHSM CORE)和客户应用接口函数 (SHE CD)。内核固件除了满足常规的 SHE 功能(密钥注入、对称加解密、消息认证码生成与校验、随机数生成和安全启动等)，还可扩展多种算法，如 HASH 、ECC256以及国密算法等

升级软件

知从科技可以为客户提供Updater完整方案，并可针对项目特定需求和硬件模块定制开发：

l更新版本校验功能

升级软件（Updater）是汽车电子软件升级迭代的重要手段，主要用于将Bootloader的刷写流程进行更新，符合OEM最新的刷写流程方案。汽车电子软件在开发和使用过程中，由于硬件的限制以及软件部分模块功能的缺失，通常在首次发售时仅满足初版的OEM刷写规范。在后续应用软件更新的情况，为了使Bootloader软件也同步适配最新的OEM刷写规范以及修复Bootloader中存在的Bug，可以通过Updater软件更新Bootloader功能，减少软件升级的工作量并提高软件升级的效率。

知从科技所开发的青龙Bootloader支持Updater的版本校验、升级等功能。可以实现不同OEM的规范要求，可定制开发等。Updater在软件更新中起到重要的作用，它可以确保Bootloader在使用过程中也可以像应用软件一样进行更新迭代。

无线升级

知从科技可以为客户提供FOTA完整方案，并可针对项目特定需求和硬件模块定制开发：

lA/B区备份升级

l差分升级

l备份回滚

l无感升级

l配套上位机工具(玄武上位机工具)

l支持不同OEM厂家规范

随着越来越复杂的软件功能，在软件升级更新过程中，保证软件能够通过无线升级以及软件回滚功能变得越来越重要。

ØA/B区备份升级

传统升级过程中，旧的应用程序通常会被新的应用程序覆盖，当升级过程失败或中断时由于旧的应用程序已经被擦除，此时硬件并不能正常执行应用程序功能，为了避免在升级失败后应用程序失效，通过应用A/B分区备份升级功能，旧的应用程序在升级过程中可以进行回滚，保证了应用软件的可靠性；另一方面，A/B分区备份升级功能可以使应用软件在运行过程中进行升级，改善了用户的使用体验，极大提高了应用软件的升级效率。

Ø差分升级

差分升级又称增量升级，是通过差分算法将源版本与目标版本之间差异的部分提取出来制作成差分包，然后在设备通过还原算法将差异部分在源版本上进行还原从而升级成目标版本的过程。 差分升级方案不仅可以节省MCU内部的资源空间、还可以节省下载流程及下载和升级过程中的功耗。

Ø无感升级

知从青龙FOTA通过与应用程序结合，实现无感升级功能。车辆应用软件通过版本对比、获取升级任务、并自动完成下载，在应用软件运行的过程中下载最新软件数据，完成无感下载。应用软件在完成下载后，将最新软件数据安装到B系统，这一过程是在车辆运行时执行完成的，即无感安装。最后，车辆重新上电时，设备执行AB区切换，这一过程是激活过程，这一过程是能感知到的过程。对具备“无感升级”能力的设备升流程而言，用户能感知到的过程，仅为新软件系统“激活”的过程。耗时可能达数十分钟的B系统切换，在“无感升级”的情况下，可以大大缩短集成了复杂功能的域控设备的车辆用户可感知的升级时间，减小了驻车升级时对车辆电量的消耗、缩短了客户的车辆不可用时间，也保证了系统本身始终的可用性。

MCU端的FOTA是汽车电子OTA更新环节中的重要一环:

Ø  安全启动（SecureBoot）可以有效防止攻击者恶意修改软件；

Ø  升级软件（Updater）可以更新Bootloader软件，确保Boot符合最新的刷写流程；

Ø  无线升级（FOTA）可以在汽车运行过程中执行远程无线升级，配合AB分区、差分刷写等功能，可以高效地升级固件功能。

青龙软件BOOTLOADER产品证书

点击下载产品手册