CN103338985B

CN103338985B - 用于车辆安全的方法和设备

Info

Publication number: CN103338985B
Application number: CN201280008133.2A
Authority: CN
Inventors: A.布里克斯; R.兰布
Original assignee: Delphi Technologies Holding SARL
Current assignee: Delphi Technologies IP Ltd
Priority date: 2011-02-08
Filing date: 2012-02-02
Publication date: 2015-11-25
Anticipated expiration: 2032-02-02
Also published as: JP5937109B2; ES2446974T3; EP2484564B1; WO2012107346A1; JP2014510660A; EP2484564A1; CN103338985A

Abstract

描述了适于保护车辆的方法和发动机控制系统。发动机控制单元（2）使用存储在第一存储器中的静态数字数据的一个或多个项。防盗锁（3）适于确保存储在第一存储器中的任何项受到针对未经授权修改的保护。

Description

用于车辆安全的方法和设备

技术领域

本发明涉及用于车辆安全的方法和设备。更具体而言，本发明涉及存储在车辆的计算系统中的数据的安全性。

背景技术

包括内燃发动机的车辆通常包括对于车辆的有效操作重要的计算系统。一种这样的重要系统是发动机控制单元(ECU)。该单元为电子控制单元，其控制发动机操作并设置诸如燃料混合物的组成、点火正时、怠速和阀门正时及控制的各种操作参数。

ECU可配有安全功能以确保其不受到未经授权的修改，如果检测到这样的修改，则ECU可以用于禁止或以其它方式限制发动机操作。这样的安全功能在现有ECU设计中设置在软件中，因为安全硬件的额外的成本和复杂性阻止该功能在此背景下成为商业上可接受的解决方案。这样的软件安全功能易于受到ECU数据的修改、ECU的再编程或ECU的物理更换的攻击。这危害了车辆的总体安全性，因为这些方法可用作获取对车辆的非法控制的手段。

希望提供一种防止对涉及绕过ECU安全功能的对车辆安全性的危害的解决方案。

发明内容

因此，本发明提供一种保护车辆的方法，其包括：提供发动机控制单元，其中用于由发动机控制单元使用的静态数字数据中的一个或多个项存储在第一存储器中；以及提供防盗锁，其中防盗锁为发动机控制单元提供信任根，并且由此防盗锁适于确保存储在第一存储器中的一个或多个项受到针对未经授权修改的保护；其中发动机控制单元适于在验证例程被成功执行之前不允许车辆的操作或限制车辆的性能，其中所述一个或多个项包括由验证例程使用的静态数据项，并且其中所述静态数据项包括一组密钥对或密钥集的一个或多个公钥，其中一个或多个公钥在验证例程中用来确定发动机控制单元软件的测量值是否对应于使用一个或多个相关联的私钥签名的值。

该方法防止通过修改或攻击ECU而危害车辆安全性或改变性能的活动类型。通过使用防盗锁(其功能设计成能够受用户信任的相对安全的部件)来保证第一存储器的安全性，这在防盗锁中设置了ECU功能的信任根，从而提高了车辆的安全性和用户信心。防盗锁是许多管辖区中的必需物品，并且将按照足够高的安全标准构造以实现有效的功能和实现高的认证水平(例如，以减少保险费)，使得这样使用它们预计可以增加系统的总体安全性。

在一个实施中，防盗锁包括第一存储器，其中如果试图修改或移除第一存储器中的数据，则防盗锁提供锁止响应以防止车辆的有效工作。为了有助于该功能，可以将一个或多个项以加密形式存储和/或可以物理地保护防盗锁存储器以防止修改。

在备选实施中，第一存储器被包括在发动机控制单元内，其中防盗锁检查第一存储器以确定存储在其中的一个或多个项的值是否为有效的，从而在任何值为无效的时，防盗锁提供锁止响应以防止车辆的有效工作。

该方法可以在几乎不修改现有ECU和防盗锁设计的情况下容易地实施，并且实现了可靠的安全结果。

第一存储器可包括在发动机控制单元的闪存内。在该布置中，一个或多个项可以加密形式存储并通过与防盗锁交互而解密。

发动机控制单元适于限制车辆的操作，除非成功地执行验证例程，在这种情况下，一个或多个项可包括由验证例程使用的静态数据项。防盗锁能因此用来确保在ECU及其通信的任何类型的安全验证中使用的参数的真实性。一个或多个项包括一组非对称加密密钥的一个或多个公钥，其中一个或多个公钥在验证例程中用来确定发动机控制单元软件或通信至ECU的数据的测量值是否等于由对应的私钥签名的值。这些密钥可以例如在密钥对中，或者可以在组签名方案中。作为另一示例，值可以是在用来验证软件或数据完整性的ECU内的一组的一个或多个安全散列值。可以使用备选的加密解决方案，并且相关参数受此处所述方法保护。

一个或多个数据项可包括用于由发动机控制单元的处理器执行的代码或发动机控制单元的静态值或两者。这可以与验证方案完全分离(与在发动机控制单元的操作中使用的其它代码完全相关)，但对于验证方案来说，这也可以允许安全地保持其它重要值，例如公钥、散列值、存储器范围约束、数字签名的散列值和/或数字签名。

在另一方面，本发明提供了一种用于车辆的发动机控制系统，其包括：发动机控制单元，其中用于由发动机控制单元使用的静态数字数据中的一个或多个项存储在第一存储器中；以及防盗锁，其中防盗锁为发动机控制单元提供信任根，并且由此防盗锁适于确保存储在第一存储器中的一个或多个项受到针对未经授权修改的保护；其中发动机控制单元适于在验证例程被成功执行之前限制车辆的操作，其中所述一个或多个项包括由验证例程使用的静态数据项，并且其中所述静态数据项包括密钥对或密钥集的一个或多个公钥，其中一个或多个公钥在验证例程中用来确定发动机控制单元软件的测量值是否对应于使用一个或多个相关联的私钥签名的值。

在一个实施中，第一存储器包括在防盗锁内。

在另一个实施中，第一存储器包括在发动机控制单元内，并且其中防盗锁适于检查第一存储器以确定存储在其中的一个或多个项的值是否为有效的，从而在任何值为无效的时，防盗锁进一步适于提供锁止响应以防止车辆的有效工作。

附图说明

现在将以举例方式结合附图描述本发明的实施例，在附图中：

图1示意性地示出车辆系统的相关元件；

图2示意性地示出根据本发明的实施例的防盗锁和发动机控制单元之间的关系；以及

图3示意性地示出根据本发明的实施例的防盗锁相对于发动机控制单元的操作的方法。

具体实施方式

图1示出典型的车辆系统的相关元件。车辆发动机1在发动机控制单元(ECU)2的控制下操作，ECU2控制发动机操作并设置发动机1的各种操作参数。ECU2与由车辆的电气系统和网络链接的车辆的其它元件交互，这些元件中有防盗锁3。防盗锁3是除非存在正确的令牌否则将禁用车辆的有效操作的电子装置。该令牌通常由车辆的驾驶员携带的物理钥匙4(驾驶员的车钥匙)提供。

ECU2通常实现为电路板，该电路板包括CPU5和一个或多个存储器6以及其它电子部件。用于ECU2的操作的软件通常存储在该存储器6内(一些部分也可存在于CPU5自身内的专用存储器内)。通常，存储器6包括闪存或EPROM。因此，CPU5可通常通过替换存储在存储器6中的软件(可能也通过添加额外的芯片以提供具体功能)而再编程。

防盗锁3为标准车辆部件，并且在许多管辖区中，使用防盗锁来保护不被未经授权使用或盗窃是强制的(并且在其它管辖区中，防盗锁将确定保险费)。许多现有的防盗锁应用加密算法来确保诸如车钥匙4的车辆的物理部件的真实性。如果部件认证失败，则防盗锁将禁用车辆的有效功能。

防盗锁3可以采用多种不同的方法来禁用车辆的有效功能。当检测到触发条件(例如，在没有正确令牌的情况下尝试启动车辆)时，防盗锁3将使用这些方法中的一个或多个作为锁止响应的一部分。所采取的方法根据所用防盗锁的具体设计和车辆内存在的系统而变化。在一些情况下，防盗锁3使用ECU存储器6的部分并与ECU2交互以防止例如由ECU2对发动机1的操作，从而防止燃料流动或点火发生。虽然本发明的实施例涉及在ECU2和防盗锁3之间的交互，但应当理解，本发明的实施例不需要这种交互作为防盗锁3的正常锁止响应的一部分发生，以便在检测到触发条件时禁用车辆的有效操作。

在钥匙4和防盗锁3之间的交互通常具有以下多样性。钥匙4内的令牌包括在特定存储器中存储的值。在插入车辆内的适当位置时，存储的值被传输到防盗锁3。这可以通过多种备选方式中的一种进行。一种方式仅仅是在钥匙的相关部分和防盗锁之间进行直接电连接。优选的方法是将该值存储在钥匙4内的RFID标签中。当钥匙被置于车辆中的合适位置时，该标签被激活，该值广播并由防盗锁3或代表防盗锁3被感测。如果存储的值是防盗锁3所预期的，则允许车辆操作，否则，触发锁止响应。

在确定存储的值是否是所预期的时，防盗锁3的一些设计可使用ECU存储器6。正确的(和因此预期的)值可以存储在ECU存储器6的专用区域中。在执行锁止响应的过程中，例如在防止ECU2允许燃料泵激活或点火的过程中，防盗锁3也可访问ECU2和ECU存储器6。

预期的和因此存储的值可以随时间推移改变以增加该系统的安全性。通过使用滚动码系统或通过使用诸如单次密本的高级加密解决方案可以在交互之间改变该值。该可能需要在防盗锁本身内的加密能力(例如，加密处理器和安全存储器)，或者该能力可在可访问到防盗锁的另一部件中提供。

图2示意性地示出在本发明的一个实施例中在防盗锁3和ECU2之间的关系。在该实施例中，ECU2使用数字签名方案来确保ECU2中使用的软件是由制造商提供的或以其它方式被授权的。这可以通过生成具有具体代码的数字签名和在制造时将该信息存储在ECU存储器6内而实现。签名的生成使用授信的私钥(例如，由制造商为此目的使用且未透露给其他方的私钥)进行，并且软件和数字签名两者的存储使得能够进行后续测量。私钥是密钥对的一部分，该密钥对的真实性使用被认为对于具体情景足够安全的做法来确保。例如，密钥对真实性可使用常规的PKI基数字签名方案、信任网、或其它物理保护和安全协议的实施来确保，这些物理保护和安全协议确保真实性，同时避免私钥的泄露。其它实施例可使用不同的布置–例如，可使用组签名方案，其中不止一方具有对全部或部分ECU的签名权。在这种情况下，在私钥和公钥之间可能不存在简单的一对一关系，可能存在与单个公钥相关联的多个私钥，或者与单个私钥相关联的多个公钥。

然后存储对应于一个或多个私钥的一个或多个公钥21，以便典型地在ECU存储器6的专用部分中的ECU2可以访问它们。在作用于对执行受限制的操作(例如，刷写ECU或起动车辆)的请求之前，ECU2可使用一个或多个公钥和数字签名验证算法来验证可供ECU2实施动作使用的软件和数据的真实性。对于ECU上存储的软件和数据来说，签名验证涉及如图2的项目22所示存储在ECU中的数字签名。在作用于通信到ECU的请求之前，公钥和数字签名验证算法可用来验证通过通信信道接收的请求、软件和数据为真实的。在这种情况下，消息而不是ECU将典型地包含用于验证的数字签名。在两种情景中，如果不认为数字信息是真实的，则ECU2采取适当的措施(这可包括降低发动机性能、禁止点火或燃料泵操作或以其它方式限制车辆功能)。

该方法可以通过至少两种方式被破坏。一种方式是更换整个ECU2。如果这样做，将绕过整个数字签名方案。另一种方式是在ECU软件被修改时用新的公钥和数字签名替换一个或多个公钥和数字签名。一个或多个新公钥是未经授权的密钥集的一部分，每个密钥集中的一个或多个私钥由修改器来保持。修改器使用非法的私钥来生成修改的ECU软件的签名，并且这些新的数字签名被记录以替换初始签名。虽然由ECU使用的数字签名验证算法未被修改，并且严格按此前那样继续操作，但它不会检测到这种破坏。这样逃脱检测是因为虽然ECU2能应用数字签名验证算法来确保数字已用对应于该算法可用的公钥的一个或多个私钥签名，但ECU2不能保证其自有的公钥为真实的。在联网计算机的世界中，该问题常常通过与授信的第三方通信(例如通过联系作为PKI一部分的远程认证中心)以证实密钥的真实性来解决。这样的机制对大多数ECU不可用，并且其实施增加成本。因此，内部ECU数据，典型地存储在ECU本身内的公钥和证书，常常用作此类嵌入装置的信任根，并且必须加以保护。

安全性的一些措施可通过将这些敏感的值存储在专用或安全存储器(例如，防篡改的可信平台模块(TPM))中或利用附加的加密(例如，基于唯一的ECU识别号)来实现，但这样增加了显著费用并且可能对于ECU的总体更换无效。

图2示出本发明的实施例如何防止这些类型的破坏。防盗锁3像正常那样与ECU2交互，但也对ECU2存储器内的静态数据的某些项承担责任。在此处具体考虑的情况中，这可能涉及对ECU数字签名验证软件的公钥21的安全性的假设，并且可能也用于ECU系统的其它静态值ECU(例如，安全散列值)，尽管对于ECU功能重要的其它静态值也可以这种方式存储。其它静态数据可以相同的方式被保护，例如ECU在操作中(这可以在ECU的正常操作中，而不只是在数字签名方案的操作中)使用的代码。然而，由于防盗锁3负责数字签名方案的操作所需的数据，在不破坏或更换防盗锁3的情况下，更换ECU或在更换软件时更换ECU的数字签名方案都将是无效的。这可能更难以实现，因为防盗锁的基本功能是保护车辆，通常将很好地保护它不受物理攻击或其它破坏。通过将信任根从相对不安全的ECU2移动至安全装置—防盗锁3，攻击者修改关键值以破坏安全措施的成本增加。这导致更低的攻击频率和提高的车辆安全性。

防盗锁3可用的内存量以及防盗锁3和ECU2之间的通信路径可决定所保护的数据的量。这也可以决定是否通过保护防盗锁处的数据项本身(更安全，但对空间要求更高)或通过存储数据项的数字签名或安全散列值(可能较不安全并且需要额外处理，但对存储器要求较低)来保护数据项。

对于由防盗锁3保护这些值的备选方法是可能的。防盗锁3可以仅将这些值存储在防盗锁存储器25中，并且ECU2根据需要直接从防盗锁存储器25(假设ECU2不能写入该存储器)或通过请求防盗锁处理器26来从防盗锁3获得这些值-除了按许可的方式之外的对获得这些值的尝试将触发锁止响应。备选地，防盗锁3可以将这些值的数字签名或安全散列值保持在防盗锁存储器25中，并且防盗锁处理器26可以使用验证算法来确定这些值25是否对应于从存储在ECU存储器6中的代码计算的那些值。如果不认为验证和这些值是真实的，则将采取锁止响应。这种存储的散列值也可以是防盗锁3为其保持公钥的数字签名，这样，ECU2的数字签名方案本身将由数字签名方案保护。

如果具有加密能力，或者通过内部软件或者装入密码协处理器和安全存储器(这可能存在于某些防盗锁解决方案中，以便在防盗锁3和钥匙4或ECU2之间提供高的安全级别)，则能提供更先进的加密解决方案。例如，可生成短期密钥对和数字签名以便可以保护动态数据。

防盗锁的作用是在允许正常操作之前确保满足多个先决条件。这些先决条件可以按串行顺序或并行地测试，具体取决于设计要求和硬件能力。执行测试的顺序可以在不同实施之间变化，图3示出当钥匙4被置于图3所示位置时用于操作防盗锁3的串行过程的优选实施例。防盗锁首先确定31钥匙4是否提供有效令牌，如果不提供，防盗锁将触发锁止响应40。防盗锁接着校验32ECU数字签名方案的公钥(和由防盗锁保护的任何其它静态值)，并且同样地如果校验失败，防盗锁将触发锁止响应40。ECU接着使用ECU数字签名方案校验33软件值，并且如果这些校验失败，ECU将不允许车辆操作(或者甚至可以自身触发锁止响应)，否则，允许34正常的车辆功能。

防盗锁和ECU的这种协同使用使更有效的安全性成为可能，而且在测试和制造阶段也具有益处。当用于ECU数字签名方案的公钥被固定在ECU中时，这可能在测试期间和某些制造阶段造成困难，在这些阶段可能希望在ECU软件中进行更改或改变ECU参数。公钥越安全地存储在ECU中，该方法在测试和制造期间就变得越麻烦。对防盗锁中的公钥值加以控制避免了这个问题，因为在ECU完整之前防盗锁通常将不连接到系统中。测试和制造的初始阶段可以在不存在防盗锁的情况下进行，以允许开发者更自由地进行修改。

本发明的实施例可因此用来通过防盗锁和ECU的配合使用而提供增加的安全性，从而防止基于破坏或更换ECU的攻击。

在此处所述方法中，防盗锁充当ECU的信任根，并且用来认证由ECU使用的静态数据值形式的数字资产，例如ECU验证过程的参数。ECU验证过程本身可以涉及认证过程，从而形成从防盗锁通过ECU延伸至额外的物理和数字资产的信任树。

防盗锁也可用来充当车辆内的其它计算装置(例如移动通信设备和数字媒体装置)的信任根，并且可以保护各种类型的数字资产(软件、校准参数、数字媒体、生物测定和任何其它形式的数字编码数据)。这需要在其它计算装置和防盗锁之间的适当通信路径，并且通常也将需要在该计算装置处诸如数字签名验证算法的适当的机制，以便检查数字资产在使用之前是否未被破坏。

Claims

1.一种保护车辆的方法，包括：

提供发动机控制单元(2)，其中用于由所述发动机控制单元(2)使用的静态数字数据中的一个或多个项存储在第一存储器(6,25)中；以及

提供防盗锁(3)，其中所述防盗锁(3)为所述发动机控制单元(2)提供信任根，并且由此所述防盗锁(3)适于确保存储在所述第一存储器(6,25)中的所述一个或多个项受到针对未经授权修改的保护，

其中所述发动机控制单元(2)适于在验证例程被成功执行之前不允许所述车辆的操作或限制所述车辆的性能，其中所述一个或多个项包括由所述验证例程使用的静态数据项，并且其中所述静态数据项包括一组密钥对或密钥集的一个或多个公钥，其中所述一个或多个公钥在所述验证例程中用来确定发动机控制单元软件的测量值是否对应于使用一个或多个相关联的私钥签名的值。

2.根据权利要求1所述的方法，其中所述防盗锁(3)包括所述第一存储器(25)，其中如果试图修改或移除所述第一存储器(25)中的数据，则所述防盗锁(3)提供锁止响应以防止车辆的有效工作。

3.根据权利要求2所述的方法，其中所述一个或多个项以加密形式存储和/或所述第一存储器(25)受到针对修改的物理保护。

4.根据权利要求1所述的方法，其中所述第一存储器(6)包括在所述发动机控制单元(2)内，并且其中所述防盗锁(3)检查所述第一存储器(6)以确定存储在其中的所述一个或多个项的值是否为有效的，从而在任何值为无效的时，所述防盗锁(3)提供锁止响应以防止所述车辆的有效工作。

5.根据权利要求4所述的方法，其中所述第一存储器(6)包括在所述发动机控制单元(2)的闪存内。

6.根据权利要求4或5所述的方法，其中所述一个或多个项以加密形式存储并通过与所述防盗锁(3)交互而解密。

7.根据权利要求1-5中的任一项所述的方法，其中所述一个或多个项包括用于由所述发动机控制单元(2)的处理器执行的代码和/或所述发动机控制单元(2)的静态值。

8.根据权利要求6所述的方法，其中所述一个或多个项包括用于由所述发动机控制单元(2)的处理器执行的代码和/或所述发动机控制单元(2)的静态值。

9.一种用于车辆的发动机控制系统，包括：

发动机控制单元(2)，其中用于由所述发动机控制单元(2)使用的静态数字数据中的一个或多个项存储在第一存储器(6,25)中；以及

防盗锁(3)，其中所述防盗锁(3)为所述发动机控制单元(2)提供信任根，并且由此所述防盗锁(3)适于确保存储在所述第一存储器(6,25)中的所述一个或多个项受到针对未经授权修改的保护，

其中所述发动机控制单元(2)适于在验证例程被成功执行之前限制所述车辆的性能，其中所述一个或多个项包括由所述验证例程使用的静态数据项，并且其中所述静态数据项包括密钥对或密钥集的一个或多个公钥，其中所述一个或多个公钥在所述验证例程中用来确定发动机控制单元软件的测量值是否对应于使用一个或多个相关联的私钥签名的值。

10.根据权利要求9所述的发动机控制系统，其中所述第一存储器(25)包括在所述防盗锁(3)内。

11.根据权利要求9所述的发动机控制系统，其中所述第一存储器(6)包括在所述发动机控制单元(2)内，并且其中所述防盗锁(3)适于检查所述第一存储器(6)以确定存储在其中的所述公钥的值是否为有效的，从而在所述值为无效的时，所述防盗锁(3)进一步适于提供锁止响应以防止所述车辆的有效工作。