基于UDP的混動商用車巡航控制器OTA系統(tǒng)開發(fā)

汪志瑩,李軍偉*,李興坤,李連強(qiáng),許金鵬,劉寶巖

1.山東理工大學(xué) 交通與車輛工程學(xué)院,山東 淄博 255049;2.北京裕峻汽車技術(shù)研究院,北京 100016; 3.一汽解放青島汽車有限公司, 山東 青島 266217

0 引言

隨著移動通信技術(shù)的飛速發(fā)展和汽車新四化(電動化、網(wǎng)聯(lián)化、智能化、共享化)建設(shè)的快速推進(jìn),車載控制器的功能越來越復(fù)雜,軟件更新越來越頻繁。空中下載技術(shù)(over the air technology,OTA)有效降低了控制器軟件升級成本,為用戶提供了更多的訂閱服務(wù)[1-2],實(shí)現(xiàn)了車輛駕駛輔助系統(tǒng)、空氣懸架系統(tǒng)、車輛導(dǎo)航系統(tǒng)、影音娛樂系統(tǒng)、自動泊車功能等系統(tǒng)的更新[3],已成為未來汽車智能化發(fā)展的主要趨勢,相比手機(jī)等智能設(shè)備,車載OTA的應(yīng)用環(huán)境更為復(fù)雜[4]。

為了提高混動商用車巡航控制器軟件升級效率,減少現(xiàn)場升級次數(shù)及人工調(diào)試成本,本文中從實(shí)際工程出發(fā),設(shè)計了一套基于用戶數(shù)據(jù)報協(xié)議(user datagram protocol,UDP)的混動商用車巡航控制器的OTA升級系統(tǒng),通過移動網(wǎng)絡(luò)實(shí)現(xiàn)軟件升級服務(wù),同時為開發(fā)人員提供遠(yuǎn)程調(diào)試功能,并通過混動商用車巡航控制器測試驗(yàn)證。

1 系統(tǒng)總體方案和實(shí)現(xiàn)功能

1.1 總體方案

混動商用車巡航控制器OTA系統(tǒng)基于Linux系統(tǒng)開發(fā),分為服務(wù)器端和控制器端。為滿足數(shù)據(jù)傳輸?shù)陌踩?服務(wù)器端和控制器端之間必須有完整的檢查機(jī)制和不同的加密機(jī)制[5]。服務(wù)器端安裝在云服務(wù)器上,用于存儲控制器升級所需的軟件包,并完成升級任務(wù)的分發(fā);控制器端安裝在混動商用車巡航控制器上,主要完成升級軟件包的接收和安裝功能。

設(shè)計OTA升級系統(tǒng),使控制器端通過傳輸控制協(xié)議(transmission control protocol,TCP)/網(wǎng)際協(xié)議(internet protocol,IP)將要發(fā)送的信息打包后,通過4G通信模塊發(fā)送到附近的移動基站,再通過互聯(lián)網(wǎng)發(fā)送到云服務(wù);服務(wù)器端解析接收到的報文,并通過互聯(lián)網(wǎng)將解析結(jié)果發(fā)送到控制器端,完成與控制器端的通信,實(shí)現(xiàn)軟件升級[6-7]。混動商用車巡航控制器每次起動時,自動運(yùn)行OTA系統(tǒng),確認(rèn)服務(wù)器是否有更新任務(wù)。

1.2 功能

1)發(fā)布升級任務(wù)。開發(fā)人員將升級軟件包上傳至服務(wù)器端,并在服務(wù)器端界面為控制器端指定升級軟件包,并選擇是否進(jìn)入命令行調(diào)試模塊。

2)數(shù)字證書交換與驗(yàn)證。由握手模塊完成服務(wù)器端和控制器端的數(shù)字證書交換和驗(yàn)證,實(shí)現(xiàn)對稱加密密鑰的安全傳輸,并獲取控制器端的報文標(biāo)識符(identification,ID)和軟硬件版本號。

3)命令行調(diào)試。控制器中加入命令行調(diào)試模塊,可滿足開發(fā)人員的遠(yuǎn)程調(diào)試需要,實(shí)現(xiàn)調(diào)試命令請求,并向服務(wù)器端返回調(diào)試命令執(zhí)行結(jié)果。

4)軟件包下載。由文件下載模塊確認(rèn)控制器端的軟件升級版本,實(shí)現(xiàn)升級軟件包下載,支持文件下載斷點(diǎn)續(xù)傳,下載完成后驗(yàn)證軟件包完整性。

5)文件備份與軟件升級。在控制器軟件升級前,由備份升級模塊檢測并判斷當(dāng)前車輛狀態(tài)是否滿足升級條件,并進(jìn)行文件備份;若升級失敗,則回滾重刷重新升級[8],確保混動商用車巡航控制器軟件成功升級。

2 模塊程序設(shè)計

基于系統(tǒng)總體方案和功能,設(shè)計通信模塊、握手模塊、命令行調(diào)試模塊、文件下載模塊和備份升級模塊,并完成服務(wù)器端界面的設(shè)計。

2.1 通信模塊

通信模塊是實(shí)現(xiàn)混動商用車巡航控制器OTA系統(tǒng)升級的基礎(chǔ),主要功能包括基于UDP實(shí)現(xiàn)控制器端與服務(wù)器端的通信、通過循環(huán)冗余校驗(yàn)碼(cyclic redundancy check,CRC)校驗(yàn)報文準(zhǔn)確性和通過加解密程序保證通信安全性,其中,控制器端與服務(wù)器端的通信是設(shè)計的重點(diǎn)。

2.1.1 UDP通信

由于服務(wù)器端需通過互聯(lián)網(wǎng)同時與多個控制器端進(jìn)行通信,因此選取Linux提供的套接字接口作為通信端點(diǎn),開發(fā)套接字初始化函數(shù),設(shè)置套接字句柄,完成套接字初始化。選擇套接字協(xié)議簇為IPv4,類型為數(shù)據(jù)報套接字,即使用UDP實(shí)現(xiàn)套接字傳輸[9-10],進(jìn)行網(wǎng)絡(luò)通信,該通信方式不需要維護(hù)連接狀態(tài)且適合一對多的通信。

在控制器端建立通信目標(biāo)地址結(jié)構(gòu)體,并在結(jié)構(gòu)體輸入服務(wù)器端的IP地址和端口號[11],完成地址結(jié)構(gòu)體初始化。由于網(wǎng)絡(luò)延遲時間為1 ms～1 s,為避免網(wǎng)絡(luò)波動造成通信失敗,設(shè)置套接字超時時間為2 s。套接字和地址結(jié)構(gòu)體初始化完成后,進(jìn)入發(fā)送和接收報文狀態(tài)。

2.1.2 CRC校驗(yàn)

網(wǎng)絡(luò)傳輸過程中會隨機(jī)出現(xiàn)位翻轉(zhuǎn)、截斷、位缺失等錯誤,造成控制器軟件升級失敗,甚至功能失效,需采用報文校驗(yàn)函數(shù)檢測。由于設(shè)計的升級系統(tǒng)中最長報文為1 410字節(jié),因此選擇32位CRC進(jìn)行報文校驗(yàn)。

發(fā)送方根據(jù)代數(shù)編碼理論將校驗(yàn)數(shù)據(jù)編碼為原始信息碼多項(xiàng)式D(x),最高次冪為校驗(yàn)數(shù)據(jù)字節(jié)數(shù)m減1,生成最高冪次為m的固定多項(xiàng)式P(x);D(x)乘以2m(即左移m位),再除以P(x),所得的商式為Q(x),余式為CRC碼多項(xiàng)式C1(x),將C1(x)附在D(x)之后,即為信息碼多項(xiàng)式M(x),即M(x)=2mD(x)+C1(x)=Q(x)P(x),其中M(x)能被C1(x)整除[12]。

接收方將信息碼多項(xiàng)式M(x)除以P(x),若余數(shù)為0,則該報文數(shù)據(jù)通過CRC校驗(yàn),表明報文傳輸未發(fā)生錯誤;若余數(shù)不為0,則該報文數(shù)據(jù)未能通過CRC校驗(yàn),表明報文傳輸發(fā)生錯誤,需重新傳輸。為了簡化程序,本文中設(shè)計的升級系統(tǒng)中接收方計算接收報文數(shù)據(jù)的CRC校驗(yàn)碼C2(x),通過對比C1(x)與C2(x)進(jìn)行校驗(yàn)。若二者相同,則該報文數(shù)據(jù)通過CRC校驗(yàn),表明報文傳輸未發(fā)生錯誤;若二者不同,則該報文數(shù)據(jù)未能通過CRC校驗(yàn),表明報文傳輸發(fā)生錯誤。

2.1.3 加、解密程序

為保證OTA通信報文在互聯(lián)網(wǎng)上傳播過程中的安全性和保密性,調(diào)用開放式安全套接層協(xié)議(open secure sockets layer,OpenSSL)庫,設(shè)計加、解密程序使通信模塊在網(wǎng)絡(luò)傳輸前加密報文,接收后解密報文。

設(shè)計加、解密程序時,首先定義加密標(biāo)志flag的取值,根據(jù)flag的值選擇對應(yīng)的加密和解密方式,調(diào)用不同的函數(shù)和密鑰,結(jié)合不同的加密算法,完成數(shù)據(jù)的加密或解密,并返回數(shù)據(jù)長度。若flag為-1,不對報文內(nèi)容進(jìn)行加密。若flag為0,使用非對稱加密算法,非對稱加密時,加密程序調(diào)用Linux內(nèi)置的OpenSSL庫內(nèi)RSA_public_encrypt()函數(shù),使用接收方的非對稱加密密鑰Public_Key以117字節(jié)為數(shù)據(jù)單位加密數(shù)據(jù);非對稱解密時,解密程序調(diào)用OpenSSL內(nèi)的RSA_private_decrypt()函數(shù),使用解密程序的私鑰Private_Key以128字節(jié)為數(shù)據(jù)單位依次解密數(shù)據(jù)。若flag為1,使用對稱加密算法,加密或解密時,均調(diào)用OpenSSL內(nèi)的AES_ecb_encrypt()函數(shù),使用對稱加密密鑰AES_Key對數(shù)據(jù)進(jìn)行加密或解密,加密時設(shè)置模式為AES_ENCRYPT,解密時設(shè)置模式為AES_DECRYPT。通常,flag先置0,再置1,這是由于對稱加密的密鑰相同,只有非對稱加密之后,才能傳輸對稱加密的密鑰。

2.1.4 發(fā)送接收程序

UDP報文發(fā)送與接收過程流程圖如圖1所示。

a)發(fā)送過程 b)接收過程

由圖1a)可知:設(shè)計UDP報文發(fā)送程序時,將C1(x)附在D(x)后作為完整報文,調(diào)用加密程序加密后,執(zhí)行Linux系統(tǒng)內(nèi)的sys/socket庫中的sendto()函數(shù)將加密報文寫入4G通信模塊緩沖區(qū),緩沖區(qū)按報文寫入順序向移動基站發(fā)送報文[13],若2 s未發(fā)送成功,則重新調(diào)用sendto()函數(shù),若超時2次退出程序。

由圖1b)可知:設(shè)計UDP報文接收程序時,調(diào)用sys/socket庫中的recvfrom()函數(shù)取出4G通信模塊緩沖區(qū)的報文,若2 s內(nèi)未取出報文,則重新調(diào)用recvfrom()函數(shù),超時2次退出程序;調(diào)用解密程序解密取出的報文內(nèi)容后,比較C2(x)與C1(x),若校驗(yàn)碼相同,則校驗(yàn)通過,若不同,則廢棄報文;報文校驗(yàn)通過后,接收函數(shù)識別ID,調(diào)用相應(yīng)的程序,進(jìn)行數(shù)據(jù)處理。

2.1.5 通信協(xié)議

由于UDP中報文頭不能確認(rèn)該幀報文的功能,為區(qū)分不同報文的功能,本文中設(shè)計OTA系統(tǒng)時,在報文頭部添加報文ID,用來標(biāo)識報文的功能,報文ID對應(yīng)的功能如表1所示。

表1 報文ID及對應(yīng)的功能

2.2 握手模塊

握手模塊包括控制器端、服務(wù)器端2個模塊,握手模塊流程設(shè)計如圖2所示。

a)控制器端 b)服務(wù)器端

由圖2可知:控制器端將ID為0x12的報文(內(nèi)含控制器數(shù)字證書),發(fā)送給服務(wù)器端,服務(wù)器端接收到控制器數(shù)字證書并驗(yàn)證通過后,發(fā)送ID為0x11的報文;控制器端接收后,調(diào)用OpenSSL庫,驗(yàn)證報文內(nèi)服務(wù)器數(shù)字證書的有效期和數(shù)字簽名;若控制器未接收到ID為0x11的報文,或報文驗(yàn)證未通過,則退出OTA系統(tǒng);驗(yàn)證通過后,設(shè)置flag=0,解析Public_Key,通過ID為0x10的報文(內(nèi)含加密信息)發(fā)送控制器;若控制器接收到ID為0x10的報文,設(shè)置flag=1,解析AES_Key,同時將ID為0x50的報文(內(nèi)含控制器端ID、軟硬件版本號等信息),對稱加密后發(fā)送至服務(wù)器端;若控制器未接收到ID為0x10的報文,則退出OTA系統(tǒng);服務(wù)器端接收ID為0x50的報文,解密并核對,根據(jù)通信之前服務(wù)器端的設(shè)置,決定進(jìn)入命令行調(diào)試模塊或者文件下載模塊。若服務(wù)器端接收到ID為0x28的報文,進(jìn)入命令行調(diào)試模塊;若接收到ID為0x34的報文,進(jìn)入文件下載模塊;若未收到ID為0x50的報文,結(jié)束程序。

2.3 命令行調(diào)試模塊

命令行調(diào)試模塊無法直接執(zhí)行命令,需要先新建一個文件流指針stream,用于存儲標(biāo)準(zhǔn)輸出流,再調(diào)用C標(biāo)準(zhǔn)庫中的popen()函數(shù),新建一個管道,用于執(zhí)行調(diào)試命令。由于popen()函數(shù)默認(rèn)返回標(biāo)準(zhǔn)輸出流,為了避免錯誤輸出流,重新定向到標(biāo)準(zhǔn)輸出流,將popen()函數(shù)執(zhí)行結(jié)果讀入字符串buf,再關(guān)閉文件流指針stream。命令行調(diào)試模塊包括控制器端、服務(wù)器端2個模塊,命令行調(diào)試模塊流程設(shè)計如圖3所示。

a)控制器端 b)服務(wù)器端

由圖3可知:控制器端發(fā)送ID為0x68的報文,向服務(wù)器端請求調(diào)試命令,服務(wù)器端先確認(rèn)是否為調(diào)試請求,收到請求后若有調(diào)試命令,則向控制器端發(fā)送ID為0x28的報文(內(nèi)含調(diào)試命令);若未收到調(diào)試請求或無調(diào)試命令,則等待重新接收報文;控制器端解析報文內(nèi)容,區(qū)分命令類型,若是調(diào)試命令,則執(zhí)行該命令,并將執(zhí)行后的標(biāo)準(zhǔn)輸出打包成ID為0x68的報文,發(fā)送到服務(wù)器端;若是空命令,則繼續(xù)向服務(wù)器端請求調(diào)試命令;服務(wù)器端若收到調(diào)試結(jié)果,則顯示結(jié)果,否則檢測是否退出調(diào)試;若不退出調(diào)試,則等待接收調(diào)試請求;若退出調(diào)試,則結(jié)束調(diào)試程序;控制器重復(fù)上述過程,直至接收到服務(wù)器發(fā)出的ID為0x34的報文,退出命令行調(diào)試模塊,進(jìn)入文件下載模塊。

2.4 文件下載模塊

設(shè)計文件下載模塊時,先新建數(shù)據(jù)緩沖數(shù)組rdata[20],檢測是否需要斷點(diǎn)續(xù)傳,控制器端獲取報文發(fā)送順序和進(jìn)度,并將數(shù)據(jù)有序儲存到rdata[20],直至rdata[20]被寫滿、剩余報文不足20幀或出現(xiàn)超時錯誤時,檢測rdata[20]是否存在數(shù)據(jù)缺失。若沒有數(shù)據(jù)缺失,將rdata[20]寫入臨時文件,重新計算下載文件大小Size,并將其用ID為0x78的報文發(fā)送到服務(wù)器端;若數(shù)據(jù)缺失,則舍棄該組報文,不重新計算Size;重復(fù)接收報文程序,直至下載進(jìn)度為100%后,關(guān)閉臨時文件。

文件下載模塊包括控制器端、服務(wù)器端2個模塊,文件下載模塊流程設(shè)計如圖4所示。

由圖4可知:控制器端接收到ID為0x34的報文并解析,獲取最新軟件版本號和該軟件包大小后,顯示升級信息,詢問用戶是否升級,并監(jiān)聽用戶的標(biāo)準(zhǔn)輸入流,如果用戶輸入Y或者y則視為同意;服務(wù)器端接收到ID為0x74的報文,且同意升級,進(jìn)入下載程序,否則結(jié)束下載程序;控制器判斷是否需要斷點(diǎn)續(xù)傳,如需要則先調(diào)整下載進(jìn)度,否則直接下載軟件,文件下載完成后,服務(wù)器端發(fā)送ID為0x39的報文,傳輸軟件包哈希值,并調(diào)用OpenSSL庫計算軟件包哈希值,2個哈希值若相同,則驗(yàn)證通過,否則服務(wù)器發(fā)送ID為0x74的報文,重新下載。

a)控制器端 b)服務(wù)器端

若文件下載中斷時,先排除中斷原因,再檢索下載目錄是否有與最新軟件版本號同名的臨時文件;若沒有,新建該臨時文件并設(shè)置Size為0,重新下載;若存在臨時文件,則需要進(jìn)入斷點(diǎn)續(xù)傳,并設(shè)置Size為臨時文件大小,將Size打包成ID為0x74的報文發(fā)送給服務(wù)器端,服務(wù)器端根據(jù)報文內(nèi)容控制下載進(jìn)度,完成文件下載。

2.5 備份升級模塊

備份升級模塊流程設(shè)計如圖5所示。如圖5可知,為避免軟件升級失敗或引起安全事故,先判斷車輛狀態(tài)是否滿足升級條件,不滿足條件的調(diào)整車輛狀態(tài),車輛狀態(tài)應(yīng)為發(fā)動機(jī)轉(zhuǎn)速為0,車速為0,駐車制動開啟狀態(tài),擋位為P擋,剩余電量應(yīng)大于標(biāo)定最低電量;車輛狀態(tài)滿足升級條件后將之前軟件目錄內(nèi)的文件壓縮備份,并將壓縮包命名為原版軟件版本號,解壓新版軟件包,覆蓋原版軟件目錄;設(shè)置Linux系統(tǒng)自啟動腳本并重啟系統(tǒng),系統(tǒng)重啟后運(yùn)行新版軟件包內(nèi)的install.sh,運(yùn)行完后更名為installed.sh;若軟件升級失敗,先解壓原版軟件備份并覆蓋原版軟件目錄,再重啟運(yùn)行原版軟件目錄內(nèi)的installed.sh,提高軟件升級過程的安全性和可靠性。

圖5 備份升級模塊流程

2.6 服務(wù)器端界面設(shè)計

通過Qt Creator,采用多線程機(jī)制,設(shè)計服務(wù)器端界面。主線程負(fù)責(zé)更新界面信息,子線程負(fù)責(zé)與控制器端進(jìn)行信息傳輸,主線程與子線程之間通過信號槽機(jī)制傳輸信息,保證程序穩(wěn)定性。定義一個類保存控制器端的通信進(jìn)度和狀態(tài),同時為正在通信的控制器端建立子類,保證不同控制器端的通信互不相擾。服務(wù)器端界面設(shè)計如圖6所示。

由圖6可知:服務(wù)器端界面分為控制器端列表區(qū)、通信信息狀態(tài)區(qū)和調(diào)試控制區(qū);控制器端列表區(qū)包括新建控制器端ID、通信時IP地址、端口號、通信狀態(tài)和下載進(jìn)度條;通信信息狀態(tài)區(qū)將通信過程中的主要信息顯示在新建的文本列表中;調(diào)試控制區(qū)包含ID、IP和端口號文本框,文本框中包含“開啟調(diào)試、發(fā)送命令和結(jié)束調(diào)試”按鍵,同時可顯示選中的控制器端信息。為指定控制器端更新軟件包時,鼠標(biāo)右鍵單擊控制器端ID,并單擊選擇的軟件包;控制器端與服務(wù)器端建立聯(lián)系時,控制器端列表區(qū)顯示通信目標(biāo)的IP和端口號,通信狀態(tài)為“上線”;鼠標(biāo)單擊控制器端列表區(qū)可選中對應(yīng)控制器端,調(diào)試控制區(qū)顯示被選中的控制器端信息,點(diǎn)擊“開啟調(diào)試”按鍵后,控制器端完成通信后,進(jìn)入命令行調(diào)試模塊;調(diào)試時,先鍵入調(diào)試命令,點(diǎn)擊“發(fā)送命令”按鍵發(fā)送;結(jié)束調(diào)試時,點(diǎn)擊“結(jié)束調(diào)試”按鍵,進(jìn)入文件下載模塊。

圖6 服務(wù)器端界面

3 測試

通過電腦上傳測試軟件包、發(fā)布控制器端升級任務(wù);遠(yuǎn)程操控公網(wǎng)IP的云服務(wù)器,實(shí)現(xiàn)服務(wù)器端部署,并在服務(wù)器端界面上實(shí)時顯示升級過程中的關(guān)鍵信息;控制器端連接顯示器,通過4G模塊與互聯(lián)網(wǎng)建立通信,實(shí)時顯示升級進(jìn)度,混動商用車巡航控制器OTA系統(tǒng)測試步驟如下。

1)開啟服務(wù)器端,設(shè)置ID為12345678的控制器端升級軟件包,選擇命令行調(diào)試,打開控制器端程序,與服務(wù)器端建立通信并開始測試。

2)OTA系統(tǒng)自動進(jìn)入握手模塊,服務(wù)器端顯示數(shù)字證書驗(yàn)證通過、密鑰發(fā)送成功、成功解密、控制器端版本號1.0.0等提示,隨后自動進(jìn)入命令行調(diào)試模塊。

3)服務(wù)器端連續(xù)2次顯示“請求調(diào)試命令”的提示后,在服務(wù)器端界面鍵入“./test”調(diào)試命令,并點(diǎn)擊“發(fā)送命令”按鈕,顯示發(fā)送的調(diào)試命令和命令執(zhí)行結(jié)果。

4)點(diǎn)擊“結(jié)束調(diào)試”按鍵,控制器端顯示可用更新版本,并詢問是否升級,輸入“y”后,服務(wù)器端顯示用戶同意,開始下載,進(jìn)度條顯示下載進(jìn)度;下載過程中強(qiáng)制關(guān)閉控制器,并重新打開繼續(xù)升級,服務(wù)器端下載進(jìn)度條從上次中斷處開始,表示實(shí)現(xiàn)了斷點(diǎn)續(xù)傳功能;下載完成后,服務(wù)器端顯示發(fā)送哈希值,進(jìn)行校驗(yàn)。

5)校驗(yàn)完成后,控制器端顯示校驗(yàn)通過,提示手剎未拉緊,將手剎拉緊后,顯示滿足條件;控制器端顯示備份完成,重啟系統(tǒng),自動打開命令行窗口,運(yùn)行install.sh;運(yùn)行完畢后,控制器端顯示安裝成功和測試成功,并要求用戶重啟系統(tǒng);重新運(yùn)行install.sh,并人為造成測試失敗,控制器端提示回滾,解壓完備份文件后,運(yùn)行備份文件中的installed.sh,確認(rèn)是否安裝成功;若軟件安裝成功,提示回滾到版本1.0.0,否則重新運(yùn)行installed.sh。

以上測試顯示該系統(tǒng)能滿足混動商用車巡航控制器的遠(yuǎn)程升級和調(diào)試,實(shí)現(xiàn)斷點(diǎn)續(xù)傳和回滾重刷,保證了網(wǎng)絡(luò)波動時軟件包的完整性,解決了控制器調(diào)試繁瑣的問題。

4 結(jié)論

1)混動商用車巡航控制器OTA升級,實(shí)現(xiàn)了基于UPD協(xié)議的在線升級,同時對控制器開發(fā)階段的調(diào)試工作提供了解決方案。

2)OTA系統(tǒng)中通信模塊完成報文傳輸,握手模塊完成通信加密,命令行調(diào)試模塊完成命令調(diào)試,下載模塊完成軟件包傳輸,備份升級模塊完成軟件的升級和備份。

3)OTA系統(tǒng)設(shè)計時,通過對報文進(jìn)行加密和CRC校驗(yàn),對下載文件進(jìn)行哈希校驗(yàn),確保升級過程中數(shù)據(jù)的安全。