T-BOX的全称为Telematics Box ，远程/车载通信模块，是一个集成车身网络和无线通讯功能的智能终端设备，T-BOX实现了多媒体车机与TSP以及互联网之间的无线路由器. 使得用户有机会远程访问。车辆所配备的各ECU，实现对车辆的启停发动机、开关空调、开关天窗、开关后备箱门、开关车门、闪灯鸣笛等远程控制。并且TBOX设计有 MCU 来接收处理CAN消息,直接访问车辆所配备的各ECU。

通常的T-Box控制器的结构图如下所示。

302e9021aa6fefd0ca10d7439f2d5511_640_wx_fmt=png&from=appmsg&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1.webp

▲图 T-Box控制器爆炸图

fd7712404226fa4d2f5c447d1ccceebb_640_wx_fmt=png&from=appmsg&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1.webp

▲图 T-Box硬件系统框图

那T-Box有哪些功能呢？下面来详细说一说。

01.

安全策略

系统安全目标是通过符合TBox应用场景的身份权限管理和访问控制机制，正确地响应授权操作和处理异常行为，对抗针对系统的溢出攻击、暴力破解、中间人攻击、重放、篡改、伪造等多种安全威胁，保证系统文件和数据的可用性、保密性、完整性和可审计性，保证对各类资源的正常访问，以及保证系统在恶意攻击下仍然能够按照预期正常运行。

首先是安全启动，MCU支持Secure Boot，该模式启动后，MCU采用硬件算法确保启动后的ROM中所保存的程序是用户所期望的，其策略包括在做MCU升级包的时候，会生成Boot Key，升级时将其存放到HSM区域，MCU升级完成后设置Secure Boot模式生效，启动时计算的Boot Key与HSM中保存的Boot Key比对。

其次是应用软件安全，应用安全目标是要保证TBox上的运行的服务或应用程序具备相应的保密性、完整性的防护措施，可以对抗逆向分析、反编译、篡改、非授权访问等各种针对应用的安全威胁，并确保应用产生、使用的数据得到安全的处理以及TBox的应用或服务与相关服务器之间通信的安全性，保证应用在提供服务时，以及应用在启动、升级、运行等各个模式下的安全性。

然后是数据存储安全，数据安全目标是要保证TBox所采集、存储、处理、传输的数据的安全性，确保数据的机密性、完整性和可用性得到有效的防护，同时具有清除机制，保护数据生命周期各环节的安全性，具体要求如下：

1. 使用SELinux的权限控制保证数据只能被授权应用访问；

2. 利用Openssl和TrustZone提供的加密接口对数据进行加密或签名，保证完整性；

3. 利用TrustZone提供的接口对机密数据(Private key ,password…)进行存储；

4. MCU侧使用HSM对机密数据进行存储和加密。

再次是通信安全，对内通信是指各个ECU之间的通信。其安全目标是根据应用场景在不同ECU通信和数据交换时，保证ECU不向电子电气系统发送伪造、重放等攻击方式的指令和数据，不非法占用内部总线资源，保证车内子系统和数据的保密性、完整性，以及在收到非法指令和数据时具有异常处理机制，保证ECU的功能正常，具体要求如下：TBox对以太网连接提供防火墙机制，实现对报文的安全过滤；TBox对CANFD连接提供白名单机制，实现对CANFD信号的安全过滤。

对外的话通信安全包括TBox与蜂窝网络的通信，与移动终端间的短距离通信（如：BT等），以及与其它车辆和路侧设施等的通信。对外通信安全的目标是根据应用场景在TBox与外部网络或设备建立通信连接时或在通信以及数据交换时，采取必要的认证、加密和完整性校验手段，对抗嗅探、中间人攻击、重放等多种针对通信的安全威胁，保证数据的保密性、完整性以及通信的质量，具体要求如下：1. TBox对移动网络连接提供防火墙机制，实现对报文的安全过滤；2. PU与OTA Server，TSP Server之间数据通信前实施基TLS1.2的双向认证。

02.

远程控制

1. 远程控制车窗

用户通过手机APP远程控制车窗，TBox接收到远程控制车窗的命令后，如果整车总线处于休眠状态，则先唤醒整车网络，否则直接同时发送鉴权认证和控制车窗控制指令，并将执行结果以及失败原因反馈到TSP。

该功能进入的前提条件为车辆速度≤2km/h且车辆挡位处于P挡位。在该条件下，当T-box状态机为running或者listen，收到唤醒指令且收到远程控制车窗指令，则T-box会将车窗控制指令发送给车身控制器，车身控制器则执行车窗控制指令。

整体的流程图如下所示。

0106abd4c31e2b944c41585ae447c66f_640_wx_fmt=jpeg&tp=webp&wxfrom=5&wx_lazy=1&wx_co=1.webp

▲图远程车窗控制流

2. 远程控制门锁

用户通过手机APP远程控制车门锁，TBox接收到远程控制门锁的命令后，如果整车总线处于休眠状态，则先唤醒整车网络，否则直接同时发送鉴权认证和上锁/解锁控制指令，并将执行结果以及失败原因反馈到TSP。

该功能进入的前提条件为车辆速度≤2km/h且车辆挡位处于P挡位。在该条件下，当T-box状态机为running或者listen，收到唤醒指令且收到远程控制门锁指令，则T-box会将车窗控制指令发送给车身控制器，车身控制器则执行门锁控制指令。

整体的流程图如下所示。

▲图远程门锁控制流

除了车窗和门锁控制，还有其他类似的远程控制功能，比如远程充电控制、远程车门控制、远程寻车、远程空调控制、远程控制净化器、远程座椅加热控制等等。

03.

远程车辆监控

1 车辆状态上报

当车辆被非法入侵BDCM发出非法入侵报警后，TBox采集车身状态信息和报警标志上传到TSP，TSP同步给APP报警信息，并通知车主。

当车辆被异常移动，如碰撞、拖车、溜车等，触发TBox的G-sensor阈值，TBox将车身数据和报警标志上传给TSP，TSP将报警信息同步给APP并通知客户。

该功能触发的前提条件为车辆处于锁车状态；车辆挡位为P挡；触发G-sensor阈值唤醒T-Box；GNSS位置相较于listen/sleep前位置移动≥600m。

功能的流程图如下所示。

▲图车辆状态上报流

2 车辆信息周期上报

TBox采集车辆状态、位置等相关信息，周期性的上报到TSP。该功能在整车上高压正常，且T-box处于功能正常状态。

▲图车辆信息周期上报流

3 紧急求救功能eCall

eCall有两种发起的方式，一种是主动发起的方式，这种方式是由车上的人员主动触发车上的eCall按钮发起的；另外一种方式是被动发起。由于交通事故碰撞等原因导致车上的安全气囊弹出，TBox收到报文后，自动拨打eCall电话。

车辆被碰撞之后或者手动按下SOS按键时，TBox采集车辆位置信息和车辆信息上传至TSP，而后自动拨打救援中心电话建立通话，并把通话过程显示在CID。

功能的执行流程如下所示。

a. eCall系统会在汽车启动后启动，并完成所有初始化；

b. 手动或被动触发eCall后，LTE中的modem上的所有其他通讯暂停，并且Mic和Spk都将切换到eCall服务，将其他音源mute；

c. 车上的eCall系统基本同时和急救系统建立数据与语音通讯链路；

d. 当急救中心后台收到eCall请求， eCall系统会首先上传MSD数据；

e. 当MSD数据从传输成功后，接通车辆与急救中心的语音链接，车上人员与急救中心后台人员通话；

f. 急救中心后台自动解析MSD数据，并根据MSD数据内容及时调度最近的救援；

g. 当急救中心后台发现数据有误时，可重复请求MSD数据直到数据正确为止；

▲图紧急呼叫流

04.

OTA功能

Tbox支持软件在线升级功能，负责自己和域内其它ETH节点的升级。在Tbox软件中会部署第三方提供的升级管理模块，负责升级包下载、备份、还原、升级状态管控、从节点升级包传输，同时还部署程序安装模块，负责Tbox自身固件和软件的刷写。

OTA升级方式主要有以下三种：

主动升级：由车主在HU大屏上点击设置，进入版本查询与升级，主动发起版本查询、下载、升级事宜，并且相应步骤都应给用户充分都提示和确认，多用于用户在取消推送升级后进行手动发起OTA升级。

推送升级：由OTA升级服务器后台推送版本升级，车主在HU大屏货手机APP上上点击确认，下载、升级由后台OTA升级程序自动完成，过程中给用户一次性授权提示和操作，多用于重大功能更新迭代，提高OTA升级覆盖率。

静默升级：主要用来强制性修复重大bug，上电满足版本查询和下载条件后Tbox就运行OTA功能，进行查询和下载，下载完成后等待升级条件满足，条件满足后进行强制性升级，升级时间段多选择在半夜12点后。

OTA都升级软件包有以下两种：

差分升级包：差分升级包是指在当前版本之上有新版本可升级，且版本跨度不大，更改内容比较小，制作差分升级包来供设备升级，从而达到节省升级时间、提高升级效率、节约流量、内存占用小的目的。

全量升级包：全量升级包则是一个完整的升级包，适用于版本跨度大，更改内容较多，升级重要内容的版本，优点是安全、稳定，缺点是软件包大，下载时间长，升级时长。

其中主动升级的流程为例，其流程如下。

查询、下载

车主点击中控大屏中的设置选项，进入查询版本功能；
T-box收到IDCM发出都版本查询指令，搜集车辆ECU都版本信息；
T-box将搜集到都ECU版本信息上报给OTA升级服务器；
OTA升级服务器收到版本信息后，进行版本比对，如有新版本则发送版本信息和下载地址到T-box，否则回复无新版本可更新；
T-box判断上次软件下载是否完成，如果完成则等待授权条件满足后，Tbox发送升级授权请求到授权模块，否则继续上次未完成的下载流程（授权条件：车速低于10km/h）；
授权模块发送授权结果给T-box，T-box将授权结果上传到OTA升级服务器；
T-box通过OTA升级服务器下发的地址下载升级包；
T-box上报下载升级包结果（如果下载失败，本次升级结束）；
T-box校验升级包的合法性以及完整性；
T-box上报并在相关显示模块上显示升级包的合法校验结果（如果校验失败，则本次升级结束）；

升级

用户在中控大屏上点击开始升级；
Tbox收到指令后开始执行升级任务；
Tbox升级结束，T-box将升级结果发送给IDCM，并重启；
Tbox上报升级结果到OTA升级服务器；
OTA升级服务器同步升级结果到手机APP。