Produkt · Inbyggd · Svit för säker uppdatering
Autotech Bootloader
En säker flash-bootloader för styrenheter i fordon. Den programmerar om över UDS, kontrollerar varje mjukvarudel innan den körs och har härdats i serieproduktion sedan 2016, tillsammans med Encrypt och Diag Com Stack.
0enheter brickade av Diadroms mjukvara sedan 2016Ström på eller återställning
Primär bootloader. Säker uppstart: varje del kontrolleras som giltig, komplett och kompatibel. Skyddad mot vanlig flashning.
Giltig
Applikation. Bara delar som markerats som giltiga får starta.
Uppdatering över UDS
Sekundär bootloader, laddad i RAM. Skriver, verifierar, markerar som giltig.
Diag Com StackUDS-server · CAN · DoIP
EncryptAUTOSAR CSM API · HSM eller SHE
Autotech Bootloader
Vad bootloadern gör.
Produktionsbootloadern som står mellan en rutinuppdatering och en styrenhet som inte längre startar. Lätt och robust, med en modulär design som går att anpassa till nya hårdvaruplattformar och kommunikationsprotokoll.
- 01
Två steg, ett jobb vardera
En primär bootloader startar vid ström på eller återställning och initierar mikrokontrollern. En sekundär bootloader laddas i RAM för att programmera flashminnet. Den primära bootloadern har ingen skrivåtkomst till flashminnet och är skyddad mot vanlig flashning, och samma skydd kan omfatta andra känsliga områden, till exempel kryptografiska nycklar.
- 02
Säker uppstart, vid varje start
Innan något startar kontrollerar den primära bootloadern att varje mjukvarudel är giltig, komplett och kompatibel. En SHA-256-hash över det säkra minnesområdet verifieras av SHE eller HSM, och resultatet loggas och kan läsas ut via diagnostik. Bara delar som markerats som giltiga får starta.
- 03
Signerad och krypterad, verifierad innan den körs
Mjukvarupaketen är signerade och krypterade. Varje del har en tabell med hashvärden per block, och en rothash som signerats av fordonstillverkarens trust center verifieras innan den nya mjukvaran markeras som giltig. Leverantörer signerar med en utvecklingsnyckel och fordonstillverkaren signerar om för produktion, så att samma binärfil går från rigg till fordon utan att byggas om. Signerad versionsinformation och en kontroll av releaseordningen stoppar otillåtna nedgraderingar till äldre, sårbara versioner.
- 04
Omprogrammering över UDS
Programmeringen följer ISO 14229: DiagnosticSessionControl och SecurityAccess, därefter RequestDownload, TransferData och RequestTransferExit (0x34, 0x36, 0x37). Hela uppsättningen tjänster står nedan.
- 05
Går att återställa när en uppdatering går fel
Den primära bootloadern raderas aldrig av en vanlig uppdatering, så en avbruten nedladdning går att återhämta i stället för att bli förödande. Om en applikation är giltig men inte fungerar kan styrenheten stanna i den primära bootloadern, så att en sekundär bootloader kan laddas ner och applikationen ersättas.
- 06
Hårdvarukryptografi bakom ett gränssnitt
Kryptografin går via Encrypt bakom AUTOSAR Crypto Service Manager API, med kiselleverantörens kryptobibliotek och hårdvaruacceleration under. Ett hårdvaruabstraktionslager mot HSM:en kortar tiden det tar att anpassa bootloadern till en ny kund och hårdvaruplattform.
Produktfilm
Bootloadern på en minut.
Med ljud och textning, på engelska: de två stegen, signerad och krypterad mjukvara, återställning när en uppdatering går fel och resultatet i serieproduktion.
Encrypt · Cybersäkerhetsstack
Encrypt: nycklarna och kryptografin under.
Encrypt ser till att mjukvaran kommer in i fordonet på ett säkert sätt och förblir pålitlig. Den abstraherar lagret för kryptografi och nyckellagring, så att samma säkerhetsbeteende följer med mellan olika hårdvaror.
- 07
HSM:en som förtroenderot i hårdvaran
Nycklar och kryptografiska operationer ligger i hårdvarusäkerhetsmodulen (HSM), eller i SHE där det är den hårdvara som finns: förtroenderoten för varje mjukvarupaket, där säker uppstart bara låter betrodd mjukvara köras.
- 08
Ett API, oavsett kisel
Kryptografi och nyckellagring ligger bakom AUTOSAR Crypto Service Manager API, så att samma beteende för säker uppstart och SecurityAccess följer med mellan hårdvaror. Pollade jobb eller avbrott – resultaten kommer tillbaka på samma sätt.
- 09
Autentiserad åtkomst
SecurityAccess (UDS 0x27) som utmaning och svar: AES-CMAC och AES-CTR över slumpmässiga utmaningar, med begränsning av antalet förfrågningar, räknare för felaktiga försök och fördröjningstimers.
- 10
Säker lagring och nyckelhantering
Förtroendelagrets integritet verifieras med MAC före varje åtkomst. Initiala nycklar sätts hos leverantören, produktionsnycklar programmeras hos fordonstillverkaren, och nyckelstatus går att läsa ut.
Licensieras separat, eller som tillägg till ett befintligt Bootloader-uppdrag.Encrypt-datablad · PDF (engelska)
Diag Com Stack · I styrenheten
Diag Com Stack: styrenhetens sida av varje diagnossamtal.
Ryggraden i fordonet som varje off-board-verktyg pratar med. Den tar hand om komplexiteten i transportlagret, så att diagnoskommunikationen förblir pålitlig.
- 11
UDS-servern i styrenheten
Serversidan av UDS (ISO 14229): styrenhetens sida av samtalet som DiagStudio och andra off-board-verktyg för.
- 12
Över CAN och DoIP
Transport över CAN och DoIP (ISO 13400). Svitens leverans till Volvo Cars leverantörer gick över CAN, CAN FD, LIN, GMSL och DoIP.
- 13
Den bär nedladdningen
Nedladdningssekvensen som bootloadern kör går över Diag Com Stack, med SecurityAccess som backas upp av svitens HSM-baserade säkerhet.
Licensieras separat, eller som del av sviten med Bootloader och Encrypt.Diag Com Stack-datablad · PDF (engelska)
För ingenjörerna i rummet
Vad den talar, vad den kör på, hur den är bevisad.
- UDS-tjänster
- ISO 14229: 0x10 DiagnosticSessionControl · 0x11 ECUReset · 0x22 ReadDataByIdentifier · 0x27 SecurityAccess · 0x2E WriteDataByIdentifier · 0x31 RoutineControl · 0x34 RequestDownload · 0x36 TransferData · 0x37 RequestTransferExit · 0x3E TesterPresent
- Transporter
- UDS över CAN, CAN FD, LIN, GMSL och DoIP (ISO 13400)
- Säkerhet
- HSM eller SHE som förtroenderot i hårdvaran · AUTOSAR Crypto Service Manager API · säker uppstart · signerade och krypterade mjukvarupaket · skydd mot nedgradering · SecurityAccess (UDS 0x27)
- Kisel
- Infineon AURIX TC3xx, NXP S32K, NXP MWCT2xxxS, Renesas RH850, Renesas RL78, STMicroelectronics STM32 och Microchip PIC32CZ CA, anpassat per kund och fordonstillverkare; en konceptintegration på NXP S32K148 över CAN och CAN FD
- Verifiering
- ~550 testfall över ~30 releaser, omkring 16 000 testkörningar i ett projekt; kommunikationslagren och nedladdningen testas automatiskt med Dolphin
- Bevis
- Spårbarhet mot krav enligt ASPICE · enhets-, system- och stresstester spårade till varje krav · MISRA C:2012-analys · en SBOM i CycloneDX-format med varje leverans
- UN R156
- Byggd för att ta fram de bevis som en fordonstillverkares system för hantering av mjukvaruuppdateringar enligt UNECE R156 måste kunna visa: signerade paket som verifieras innan en applikation markeras som giltig, och ett spårbart underlag som visar vad som har uppdaterats. R156 certifierar tillverkarens process, inte en komponent.
Algoritmer och nyckellängder per program, HSM-gränssnitt, kompilatorer och minnesavtryck publiceras inte här. Fråga oss nedan.
Bevis
I serieproduktion, inte i en presentation.
Bootloadern finns också i serieproduktion i ett projekt med en parkeringskamera för Lynk & Co.
Illustration, AI-genererad
Licensiering
Två sätt att ta in sviten.
- 01
Licens med anpassning
Diadrom anpassar bootloadern till er mikrokontroller och fordonstillverkarens krav, och ni licensierar resultatet – den form den har haft hos Volvo Cars leverantörer sedan 2016.
- 02
Återanvändningslicens
En implementation ni redan kör, licensierad för en ny fordonstillverkare utan något utvecklingsprojekt – som Nippon Seiki gjorde 2022.
Licenserna är eviga eller tidsbegränsade och avtalas per program. Deponering av källkod finns. Support och vidareutveckling sker under ett underhållsavtal. Mer om hur våra produkter licensieras (på engelska).
Läs mer
Ingenjörskonsten bakom.
Relaterade produkter
Sviten arbetar ihop med DiagStudio på verkstaden och Dolphin i testkedjan.
Fråga oss
Har du en fråga om bootloadern?
Två fält, direkt till ingenjörerna. Vi svarar inom en arbetsdag.