Prenons l’exemple d’une unité de contrôle électronique (ECU) utilisant un logiciel embarqué statique traditionnel. Le chargeur de démarrage est un composant logiciel utilisé à la fois pour lancer le démarrage du logiciel principal de l’ECU, y compris la copie du logiciel dans la RAM, et pour effectuer des vérifications sur le logiciel avant le démarrage. Le chargeur d’amorçage est également responsable de la mise à jour du logiciel, de la réception, de la vérification et de l’écriture du logiciel mis à jour dans la mémoire, généralement la mémoire Flash. Par conséquent, le terme Flash Bootloader est également couramment utilisé.
Les mêmes chargeurs d’amorçage sont-ils utilisés en développement et en production ?
Généralement, le même chargeur d’amorçage peut être utilisé dans le développement de véhicules et des calculateurs associés et dans la production normale, avec des protections pour s’assurer que les calculateurs de production ont de nombreuses capacités de développement ou d’ingénierie des chargeurs d’amorçage désactivés. Lors du développement d’un véhicule, il est souvent souhaitable de supprimer les mécanismes de sécurité des chargeurs d’amorçage de production pour permettre un déploiement rapide des logiciels de développement.
Chargeur d’amorçage sécurisé
De plus en plus, tous les chargeurs d’amorçage doivent être sécurisés. Cependant, traditionnellement, il s’agit d’une distinction, généralement mise en œuvre pour protéger les fonctionnalités liées à la sécurité, à la sûreté et parfois aux performances.
Les chargeurs d’amorçage vérifient généralement la mémoire logicielle de l’ECU au démarrage et le logiciel reçu avant une mise à jour logicielle et en mémoire après.
Les mécanismes comprennent généralement :
- Authentification du logiciel reçu et/ou présent en mémoire au démarrage, souvent à l’aide d’un hachage du binaire logiciel pour vérifier l’exactitude générée par un processus de compilation sécurisé des versions logicielles officiellement publiées.
- Authentification de l’expéditeur à l’aide d’une graine et d’une clé, protection des données sécurisées au sein de l’ECU à l’aide d’une mémoire sécurisée et de cartes mémoire pour définir des zones accessibles/réinscriptibles.
Double chargeur d’amorçage
Certaines implémentations de chargeurs d’amorçage sont en deux parties, d’où le terme de chargeur d’amorçage double. Dans ce cas, le chargeur d’amorçage principal ne peut pas être mis à jour, dans le cadre de la sécurisation du chargeur d’amorçage. Il s’agit du démarrage du module et de la mise à jour du chargeur d’amorçage secondaire. Le chargeur d’amorçage secondaire peut être mis à jour, via un processus sécurisé, ce qui permet de modifier le processus de mise à jour du logiciel, par exemple, la carte mémoire, ce qui permet de les verrouiller normalement. Ce type de chargeur d’amorçage est moins courant aujourd’hui en raison des nouvelles méthodes de sécurisation du processus de mise à jour à l’aide de matériel sécurisé embarqué, par exemple, HSM (Hardware Secure Module).
Notez que ce terme est comme le double démarrage, où des blocs à deux démarrages, ou des mémoires complètes sont disponibles, ce qui permet à une mise à jour d’avoir lieu sur la version inutilisée pendant qu’une version est active. Cela nécessite de la mémoire supplémentaire dans chaque calculateur prenant en charge cette méthode de mise à jour.
Chargeur d’amorçage intégré Capital
Capital Embedded Bootloader prend en charge des mises à jour fiables de l’ECU pendant le développement, dans la production du véhicule et pendant la durée de vie du véhicule, via des outils de diagnostic connectés ou des méthodologies over-the-air. Le protocole normalisé ISO 14229 UDS est utilisé sur une gamme de bus réseau de véhicules courants, Ethernet, CAN/CAN-FD, LIN, FlexRay, et il est également possible d’utiliser d’autres méthodes telles que les protocoles d’étalonnage ASAM. La cybersécurité est un aspect clé du flux de mise à jour logicielle et les fonctionnalités permettant l’authentification logicielle, et les options de démarrage sécurisé font partie de la solution. Pour répondre aux exigences spécifiques des OEM (fabricants d’équipements d’origine) et des MCU, un large support est disponible pour un large éventail de projets de calculateurs.
Quelle est la différence entre OTA et FOTA ?
La mise à jour OTA (over the air), ou FOTA (firmware over the air), est une méthode permettant de recevoir un nouveau logiciel pour un appareil embarqué, par exemple un calculateur automobile, à distance, et non via un outil de service directement connecté dans un atelier. Cela peut nécessiter une capacité de testeur de diagnostic embarqué dans un calculateur de coordination et/ou des capacités de récupération et d’auto-test dans le chargeur de démarrage lui-même.
