汽车电子七部曲

6.7 TCP命令接口：开发调试的便捷通道

一个场景：产品出厂前，需要在HSM中写入客户特定的安全数据（如UDS 27服务所需的mask）。但生产线上的设备还没有集成完整的AUTOSAR诊断系统，如何快速写入数据？

一个问题浮出水面：如何在开发/生产阶段方便地操作HSM？有没有比完整诊断系统更轻量的方案？

一个隐喻：这像公寓的后门——正门（UDS诊断）需要完整的门禁系统，但后门（TCP命令）提供了快捷通道，方便物业人员（工程师）直接操作。后门同样需要钥匙（权限验证），只是更灵活。

TCP命令接口的定位

TCP命令接口是为开发和生产阶段设计的轻量级HSM操作方案：

HSM操作方式对比

开发/生产阶段              运行阶段
    │                        │
    ↓                        ↓
TCP命令接口                 UDS诊断服务
（轻量、灵活）              （标准化、安全）
    │                        │
    ↓                        ↓
    └────────────┬────────────┘
                 ↓
               HSM

TCP命令接口的特点：

1. 轻量：通过简单的TCP socket发送命令
2. 灵活：可以执行任意HSM API操作
3. 开发友好：便于调试和测试
4. 生产适用：可用于出厂前的数据灌装

运行阶段使用UDS诊断服务，遵循汽车行业标准。

TCP命令架构

现有TCP框架

很多车载系统已有TCP命令框架，用于上位机与ECU的交互：

TCP框架流程

上位机                ECU
  │                     │
  │── TCP命令 ──────────│
  │                     │
  │                     ↓ TcpServer_SoAdTpCopyRxData
  │                     │
  │                     ↓ 命令路由（选择处理函数）
  │                     │
  │                     ↓ 组包发送给其他核
  │                     │
  │                     ↓ 等待响应
  │                     │
  │←── TCP响应 ─────────│

复用框架设计

为了最小化改动，HSM TCP命令复用现有框架：

HSM TCP命令设计

步骤1-2：复用现有流程
- TcpServer_SoAdTpCopyRxData接收TCP命令
- 命令路由选择HSM处理函数

步骤3：触发状态机
- HSM处理函数触发状态机
- 状态机开始执行HSM操作

步骤4：周期执行状态机
- 后台任务周期调用状态机
- 状态机推进到完成

步骤5：复用现有发送流程
- 状态机完成后，写入共享内存
- TcpServer_Bkgd发送响应

这种设计的优势：

1. 最小改动：复用现有TCP框架的大部分代码
2. 非阻塞：状态机在后台执行，不影响其他命令处理
3. 可扩展：新增HSM命令只需注册新处理函数

TCP命令实现

命令格式

TCP命令采用简单的文本格式：

命令格式

hsm_get_random                    ← 获取随机数
hsm_write_file <file_id> <hex_data>  ← 写入文件
hsm_read_file <file_id> [len]        ← 读取文件

示例：

# 获取16字节随机数
echo hsm_get_random | nc <IP> <PORT>

# 向文件0x0006写入16字节数据
echo hsm_write_file 0x6 01020304050607080910111213141516 | nc <IP> <PORT>

# 从文件0x0006读取16字节数据
echo hsm_read_file 0x6 16 | nc <IP> <PORT>

# 从文件0x0006读取（默认16字节）
echo hsm_read_file 0x6 | nc <IP> <PORT>

命令处理函数

// 命令路由注册
void register_hsm_commands(void) {
    register_tcp_cmd("hsm_get_random", handle_hsm_get_random);
    register_tcp_cmd("hsm_write_file", handle_hsm_write_file);
    register_tcp_cmd("hsm_read_file", handle_hsm_read_file);
}

// 命令处理函数示例
int handle_hsm_get_random(char *cmd, char *response) {
    // 触发状态机
    trigger_hsm_state_machine(HSM_OP_GET_RANDOM);
    return CMD_PENDING;  // 返回pending，等待状态机完成
}

状态机实现

typedef enum {
    HSM_STATE_IDLE,
    HSM_STATE_VERIFY_PIN,
    HSM_STATE_SELECT_FILE,
    HSM_STATE_READ_FILE,
    HSM_STATE_WRITE_FILE,
    HSM_STATE_COMPLETE,
    HSM_STATE_ERROR
} HsmState;

typedef struct {
    HsmState state;
    HsmOperation op;        // 当前操作类型
    uint8_t result[128];    // 结果数据
    uint32_t result_len;
    se_error_t error_code;
} HsmStateMachine;

static HsmStateMachine hsm_sm = {HSM_STATE_IDLE};

// 周期调用函数
void hsm_sm_poll(void) {
    if (hsm_sm.state == HSM_STATE_IDLE) {
        return;  // 无操作，直接返回
    }
    
    switch (hsm_sm.state) {
        case HSM_STATE_VERIFY_PIN:
            // 执行PIN验证
            hsm_sm.error_code = hsm_verify_pin(&pin);
            if (hsm_sm.error_code == HSM_OK) {
                hsm_sm.state = next_state(hsm_sm.op);
            } else if (hsm_sm.error_code == HSM_ERR_PENDING) {
                // 继续等待
            } else {
                hsm_sm.state = HSM_STATE_ERROR;
            }
            break;
            
        case HSM_STATE_READ_FILE:
            // 执行文件读取
            hsm_sm.error_code = hsm_read_file(..., hsm_sm.result, &hsm_sm.result_len);
            if (hsm_sm.error_code == HSM_OK) {
                hsm_sm.state = HSM_STATE_COMPLETE;
            } else if (hsm_sm.error_code == HSM_ERR_PENDING) {
                // 继续等待
            } else {
                hsm_sm.state = HSM_STATE_ERROR;
            }
            break;
            
        case HSM_STATE_COMPLETE:
            // 完成，将结果写入共享内存，设置待发送标志
            write_response_to_shared_mem(hsm_sm.result, hsm_sm.result_len);
            set_response_pending_flag();
            hsm_sm.state = HSM_STATE_IDLE;  // 重置
            break;
            
        case HSM_STATE_ERROR:
            // 错误，写入错误响应
            write_error_response(hsm_sm.error_code);
            set_response_pending_flag();
            hsm_sm.state = HSM_STATE_IDLE;
            break;
    }
}

// 触发状态机
void trigger_hsm_state_machine(HsmOperation op) {
    hsm_sm.state = HSM_STATE_VERIFY_PIN;  // 从PIN验证开始
    hsm_sm.op = op;
    hsm_sm.result_len = 0;
    hsm_sm.error_code = HSM_OK;
}

后台任务集成

// 在后台任务中周期调用状态机
void TcpServer_Bkgd(void) {
    // 处理其他TCP命令...
    
    // 调用HSM状态机
    hsm_sm_poll();
    
    // 检查是否有待发送的响应
    if (is_response_pending()) {
        SoAd_TpTransmit(response_data, response_len);
        clear_response_pending_flag();
    }
}

TCP命令使用

获取随机数

$ echo hsm_get_random | nc 192.168.1.10 8002

响应：61655ADCE161C573

解析：
- 8字节随机数（十六进制显示）
- 每次调用返回不同的随机数

写入文件

$ echo hsm_write_file 0x6 01020304050607080910111213141516 | nc 192.168.1.10 8002

响应：OK

参数说明：
- 0x6：文件ID
- 01020304050607080910111213141516：16字节十六进制数据（最长100字节）

写入流程：

写入流程

1. 验证PIN（获取文件写权限）
2. 选择文件（file_id = 0x0006）
3. 写入数据（写入16字节）
4. 返回结果

读取文件

$ echo hsm_read_file 0x6 16 | nc 192.168.1.10 8002

响应：01020304050607080910111213141516

参数说明：
- 0x6：文件ID
- 16：读取长度（十进制，最长100字节，缺省为16）

读取流程：

读取流程

1. 验证PIN（获取文件读权限）
2. 选择文件（file_id = 0x0006）
3. 读取数据（读取16字节）
4. 返回结果

应用场景

场景一：出厂灌装UDS 27 mask

生产线上，使用TCP命令将客户特定的安全数据写入HSM：

# 写入Level 1的mask到文件0x0006
echo hsm_write_file 0x6 <客户mask数据> | nc <设备IP> 8002

# 写入Level 2的mask到文件0x0007
echo hsm_write_file 0x7 <客户mask数据> | nc <设备IP> 8002

# 验证写入结果
echo hsm_read_file 0x6 16 | nc <设备IP> 8002
echo hsm_read_file 0x7 16 | nc <设备IP> 8002

场景二：开发调试

开发阶段，快速测试HSM功能：

# 获取随机数测试
echo hsm_get_random | nc <设备IP> 8002

# 写入测试数据
echo hsm_write_file 0x10 AABBCCDD11223344 | nc <设备IP> 8002

# 读取验证
echo hsm_read_file 0x10 8 | nc <设备IP> 8002

安全考虑

TCP命令接口虽然方便，但也带来安全风险。设计时需要注意：

访问控制

1. 端口限制：TCP端口只在开发/生产网络开放，不在公网开放
2. IP白名单：只接受特定IP的命令
3. 命令权限：某些敏感命令需要额外验证

// IP白名单检查（伪代码示意，实际需使用inet_pton等API）
int check_ip_whitelist(struct sockaddr *addr) {
    // 只接受特定IP段（如192.168.1.x）
    // 实际实现应使用inet_pton + 掩码比较
    return 1;
}

生产环境隔离

生产完成后，禁用TCP命令接口：

// 生产完成后设置标志
if (production_complete) {
    disable_hsm_tcp_commands();
}

运行阶段只通过UDS诊断服务操作HSM，TCP命令不再可用。

命令范围限制

限制可执行的命令类型：

// 开发阶段：所有命令可用
// 生产阶段：只允许写入命令
// 运行阶段：禁用TCP命令

if (phase == PRODUCTION_PHASE) {
    if (cmd == hsm_read_file) {
        return CMD_NOT_ALLOWED;
    }
}

小结

TCP命令接口像一个快捷通道——在正门（UDS诊断）建设完成前，提供便捷的出入方式。但快捷通道也需要安全措施，防止滥用。

设计要点：

1. 复用现有TCP框架，最小化改动
2. 状态机管理异步HSM操作
3. 简单的命令格式，便于使用
4. 安全措施防止滥用

下一节，我们将总结集成经验——看最佳实践和教训。

【下集预告】

开发阶段有哪些关键步骤？

调试技巧是什么？错误码怎么解读？

设计决策怎么做出？

下一节，集成经验总结。