CN103986687A - 一种实现车联网设备授权管理的方法、设备及系统 - Google Patents

Abstract

本发明公开了一种车联网设备授权管理的方法、设备及系统。本发明实施例的方法包括：车联网设备在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，该认证证书申请中携带自身的标识信息；在接收到认证系统为自身颁发的设备认证证书后，根据该设备认证证书，向注册系统发送注册证书申请，该注册证书申请中携带设备认证证书；以及在接收到注册系统为自身颁发的设备注册证书后，根据该设备注册证书，向授权系统发送授权证书申请，并接收到授权系统为自身颁发的设备授权证书，该授权证书申请中携带设备注册证书。

Description

一种实现车联网设备授权管理的方法、设备及系统

技术领域

本发明涉及无线通信领域，特别涉及一种车联网设备授权管理的方法、设备及系统。

背景技术

车联网系统主要包括安装在车辆上的车载设备（On-Board Unit，OBU）、安装在路侧的路边设备（Road Side Unit，RSU）以及提供各种信息服务的服务系统（如服务提供商（Service Provider，SP）），参见图1所示。其中，OBU与OBU之间，以及OBU与RSU之间均采用专用短距离通信（Dedicated ShortRange Communication，DSRC）技术，RSU与服务系统之间可采用专网或公网通信。这里将OBU、RSU以及服务系统相关设备统称为设备。车联网技术主要的应用目的是减少交通事故的发生。

车联网系统主要应用场景包括如下三种：

1）OBU监控车辆的位置及行驶信息，并向周围车辆广播这些信息，同时该车辆上的OBU还接收其他车辆的OBU发送的信息；该车辆上的OBU将分析本车辆及其他车辆的行驶信息，并将可能的交通威胁及时通知给驾驶员；

2）RSU向OBU播发各种交通安全信息，如道路限速信息、红绿灯信息、道路施工信息等，RSU还可通过监听OBU广播信息了解交通情况，并向交通控制中心汇报监控信息；

3）SP可通过有线或空中接口分别与OBU及RSU进行通信，以提供相应的服务功能，如交通信息的收集与播发，路桥及停车场收费，以及天气信息和本地服务信息的广播等等。

为避免收到虚假或恶意的信息，车联网系统中的OBU必须使用消息证书对其播发的消息进行数字签名。另外，不同种类的OBU所执行的功能是不同的，即使是同类OBU其所拥有的权利也是不同的。例如，对行驶在道路上的车辆来说，普通车辆、公交车辆、校车、警车、消防车或救护车等的道路通行优先权是不同的。为确保OBU只能播发允许其播发的消息，消息证书中定义有权利描述域，其中规定了该消息证书所能签发消息的种类和范围，一个消息证书不能被用来签发超过其权利规定范围的消息。相应的，消息接收方也能够利用消息证书中的权利描述验证发送方发送的消息是否超出其所拥有的权利。

车联网系统中的RSU种类也很多，如负责广播红绿灯信息的路侧设备，可移动的负责广播道路施工信息的路侧设备，负责高速公路交通规则播发的路侧设备等等。这些RSU所能播发的信息，即权利也是不同。对负责服务消息播发的后台服务提供商来说，其所能播发的信息种类和信息的优先级也是不同的，例如，发布交通信息的交通控制中心和发布服务广告信息的本地服务提供商所拥有的权利是不同，并且他们所发布的信息的优先级也是不同的。因此，为提供车联网系统所需的认证和权利控制功能，车联网系统需要建立一套认证和授权管理机制。

车联网技术目前还处于研究和相关标准的制定阶段，许多议题尚未得到关注。至目前为止，相关的技术标准均未涉及到如何实现车联网系统中各设备的授权的技术方案，也未发现有相关的研究工作讨论此议题。

发明内容

本发明实施例提供了一种车联网设备授权管理的方法、设备及系统。用于解决现有技术中还未涉及如何实现车联网设备授权管理的相关技术方案的问题。

本发明实施例提供了一种实现车联网设备授权管理的方法，包括：

车联网设备在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，所述认证证书申请中携带自身的标识信息；

所述车联网设备在接收到所述认证系统为自身颁发的设备认证证书后，根据所述设备认证证书，向注册系统发送注册证书申请，所述注册证书申请中携带所述设备认证证书；

所述车联网设备在接收到所述注册系统为自身颁发的设备注册证书后，根据所述设备注册证书，向授权系统发送授权证书申请，并接收到所述授权系统为自身颁发的设备授权证书，所述授权证书申请中携带所述设备注册证书。

本发明实施例提供的一种车联网设备，包括：

第一申请模块，用于在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，所述认证证书申请中携带自身的标识信息；

第二申请模块，用于在所述第一申请模块接收到所述认证系统为自身颁发的设备认证证书后，根据所述设备认证证书，向注册系统发送注册证书申请，所述注册证书申请中携带所述设备认证证书；

第三申请模块，用于在所述第二申请模块接收到所述注册系统为自身颁发的设备注册证书后，根据所述设备注册证书，向授权系统发送授权证书申请，并接收到所述授权系统为自身颁发的设备授权证书，所述授权证书申请中携带所述设备注册证书。

本发明实施例提供的一种认证系统，包括：

第一验证模块，用于在接收到所述车联网设备发送的认证证书申请后，验证所述认证证书申请的有效性以及所述车联网设备所具有的各项功能；

认证证书签发模块，用于在验证通过后，为所述车联网设备颁发相应的设备认证证书，并将所述设备认证证书发送给所述车联网设备。

本发明实施例提供的一种注册系统，包括：

第二验证模块，用于在接收到所述车联网设备发送的所述注册证书申请后，根据所述认证系统对应的根证书，验证所述注册证书申请中携带的所述设备认证证书的有效性；以及根据通过验证的设备认证证书，验证所述注册证书申请的有效性；

注册证书签发模块，用于在验证通过后，为所述车联网设备颁发相应的设备注册证书，并将所述设备注册证书发送给所述车联网设备。

本发明实施例提供的一种授权系统，包括：

第三验证模块，用于在接收到所述车联网设备发送的所述授权证书申请后，根据所述注册系统对应的根证书，验证所述授权证书申请中携带的所述设备注册证书的有效性；以及根据通过验证的设备注册证书，验证所述授权证书申请的有效性；

授权证书签发模块，用于在验证通过后，为所述车联网设备颁发相应的设备授权证书，并将所述设备授权证书发送给所述车联网设备。

本发明实施例提供的一种授权管理系统，包括：

车联网设备，用于在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，所述认证证书申请中携带自身的标识信息；在接收到所述认证系统为自身颁发的设备认证证书后，根据所述设备认证证书，向注册系统发送注册证书申请，所述注册证书申请中携带所述设备认证证书；以及在接收到所述注册系统为自身颁发的设备注册证书后，根据所述设备注册证书，向授权系统发送授权证书申请，并接收到所述授权系统为自身颁发的设备授权证书，所述授权证书申请中携带所述设备注册证书；

认证系统，用于在接收到所述车联网设备发送的认证证书申请后，验证所述认证证书申请的有效性以及所述车联网设备所具有的各项功能；以及在验证通过后，为所述车联网设备颁发相应的设备认证证书，并将所述设备认证证书发送给所述车联网设备；

注册系统，用于在接收到所述车联网设备发送的所述注册证书申请后，根据所述认证系统对应的根证书，验证所述注册证书申请中携带的所述设备认证证书的有效性；在验证通过后，根据所述设备认证证书，验证所述注册证书申请的有效性；以及在验证通过后，为所述车联网设备颁发相应的设备注册证书，并将所述设备注册证书发送给所述车联网设备；

授权系统，用于在接收到所述车联网设备发送的所述授权证书申请后，根据所述注册系统对应的根证书，验证所述授权证书申请中携带的所述设备注册证书的有效性；在验证通过后，根据所述设备注册证书，验证所述授权证书申请的有效性；以及在验证通过后，为所述车联网设备颁发相应的设备授权证书，并将所述设备授权证书发送给所述车联网设备。

本发明实施例的车联网设备在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，该认证证书申请中携带自身的标识信息；在接收到认证系统为自身颁发的设备认证证书后，根据该设备认证证书，向注册系统发送注册证书申请，该注册证书申请中携带设备认证证书；以及在接收到注册系统为自身颁发的设备注册证书后，根据该设备注册证书，向授权系统发送授权证书申请，并接收到授权系统为自身颁发的设备授权证书，该授权证书申请中携带设备注册证书，从而实现了车联网设备授权管理的完整过程。

附图说明

图1为背景技术中车联网系统的结构示意图；

图2为本发明实施例提供的授权管理系统的结构示意图；

图3为本发明实施例提供的车联网设备的结构示意图；

图4为本发明实施例提供的认证系统的结构示意图；

图5为本发明实施例提供的注册系统的结构示意图；

图6为本发明实施例提供的授权系统的结构示意图；

图7为本发明实施例提供的实现车联网设备授权管理的方法流程示意图；

图8为本发明实施例提供的授权管理系统的网络架构示意图；

图9为本发明实施例提供的授权管理系统中各设备之间的交互示意图。

具体实施方式

下面先对本发明实施例中涉及的各技术名词进行说明，具体如下：

车联网设备：车载设备、路侧设备和服务系统中与信息处理相关的设备等的统称；

生产厂商：负责车联网设备的生产。在生产过程中，生产厂商将用于在全球范围内唯一标识车联网设备的标识信息（如设备序列号）、认证系统对应的根证书以及其他可在设备生产阶段写入的信息均写入该车联网设备；

认证系统：主要负责检查车联网设备是否是由合法的设备制造商生产，并且能够正确执行各车联网设备（如车载设备、路侧设备、服务系统中与信息处理相关的设备）所定义的各项功能，若该车联网设备为能够正常工作的合法设备，则认证系统会向其颁发相应的认证证书，该车联网设备的认证证书包括该车联网设备的标识信息（如设备序列号）以及该车联网设备的类别。车联网设备的类别包括车载设备、路侧设备及服务系统相关设备。

注册系统：主要负责对车联网设备做入网许可检查，并向被其认可的车联网设备颁发注册证书。只有被注册系统认可的车联网设备才能在所辖地域内使用。注册证书包括该车联网设备的标识信息（如设备序列号）、该车联网设备的类别以及该车联网设备的应用范围，其中，应用范围规定了该车联网设备所能播发或接受信息的种类和适用范围，如地理区域或行政区域等。

授权系统：在注册系统为该车联网设备所界定的应用范围内确定该车联网设备所能执行的具体功能。授权系统所授予的权限存储在授权证书中。授权系统颁发授权证书的基础是该车联网设备的注册证书，其所能授予的权利不能超过注册证书所规定的范围，例如，RSU的权利不能授予给OBU，适用范围为北京地区的注册证书只能用来申请适用于北京地区的授权证书等等；另外，授权证书的有效期也不能超出注册证书的有效期。

管理系统：主要负责车联网系统的管理及运营，以及负责将相关的证书和与运行维护相关的信息写入各种车联网设备，例如，车联网设备所需的注册系统对应的根证书以及授权系统对应的根证书。

车联网公钥证书的基本字段是:[CT，ET，CI，CS，CV，CP，Sig]，其中，CT（Certificate Type）是证书的类别，通过该值可确定证书的用途。例如，CA证书，消息证书，或证书申请证书等；ET（Equipment Type）是设备类别，设备类别为OBU，RSU或SP等；CI（Certificate Issuer）是证书签发者的标识，即某CA的标识；CS（Certificate Subject）是证书的主题，即证书所有者的标识；CV（Certificate Validity）是证书的有效期；CP（Certificate Privilege）是证书的权利，证书的权利主要描述设备所能处理消息的种类以及适用范围，某些证书的权利描述字段可能为空，如设备认证证书；Sig（Signature）是证书的签名值。车联网系统证书的颁发可分为设备认证证书的颁发、设备注册证书的颁发和设备授权证书的颁发三步，车联网认证和授权体系中所使用的证书的种类有：

1、设备认证证书：设备认证证书由认证系统颁发给车联网设备用以证明其由合法的生产厂商生产且能完成所定义的功能。该设备认证证书存储的主要内容是[CT，ET，CI，CS，CV，Sig]，其中CT值为认证证书；ET的值为认证设备的类别；CI的值为认证系统的标识；CS的值为认证设备的唯一标识。

2、设备注册证书：设备注册证书由注册系统颁发给车联网设备用以证明其已可以连入车联网系统。该设备注册证书存储的主要内容是[CT，ET，CI，CS，CV，CP，Sig]，其中CT值为注册证书；ET的值为注册设备的类别；CI的值为注册系统的标识；CS的值为注册设备的唯一标识；CP为注册设备的权利，通过该字段注册系统限定了设备所能执行的功能范围，例如，OBU签发安全行驶消息，RSU签发道路交通信息，SP播发服务广告信息等，以及该证书所适用的地理范围。

3、设备授权证书：设备授权证书由授权系统颁发给车联网设备以规定设备所能执行的具体功能。该设备授权证书存储的主要内容是[CT，ET，CI，CS，CV，CP，Sig]，其中CT值为授权证书；ET的值为授权设备的类别；CI的值为授权系统的标识；CS的值为授权设备的标识；CP为授权设备的权利，通过该字段授权系统授予了设备所能执行的具体功能，例如，OBU能签发普通安全行驶消息或急救车辆安全行驶消息等，RSU能签发道路交通信息或道路施工信息等，SP播发天气服务广告信息或本地加油站信息等。授权证书的权利必须在注册证书所界定范围内。

需要说明的是，本发明实施例中，不对各证书的具体格式进行限定，既可以采用IEEE 1609.2中定义的证书格式，也可以采用能够实现各证书的功能的其他证书格式；且本发明实施例中，各证书包含的内容也不限于上述描述，可根据需要设定各证书的内容。

下面结合说明书附图对本发明实施例作进一步详细描述。

参见图2所示，本发明实施例提供的授权管理系统，包括：

车联网设备10，用于在确定自身需要申请设备认证证书时，向认证系统20发送认证证书申请，认证证书申请中携带自身的标识信息；在接收到认证系统20为自身颁发的设备认证证书后，根据该设备认证证书，向注册系统30发送注册证书申请，注册证书申请中携带设备认证证书；以及在接收到注册系统30为自身颁发的设备注册证书后，根据该设备注册证书，向授权系统40发送授权证书申请，并接收到授权系统40为自身颁发的设备授权证书，该授权证书申请中携带设备注册证书；

认证系统20，用于在接收到车联网设备10发送的认证证书申请后，验证认证证书申请的有效性以及车联网设备10所具有的各项功能；以及在验证通过后，为车联网设备10颁发相应的设备认证证书，并将该设备认证证书发送给车联网设备10；

注册系统30，用于在接收到车联网设备10发送的注册证书申请后，根据认证系统20对应的根证书，验证注册证书申请中携带的设备认证证书的有效性；在验证通过后，根据该设备认证证书，验证注册证书申请的有效性；以及在验证通过后，为车联网设备10颁发相应的设备注册证书，并将该设备注册证书发送给车联网设备10；

授权系统40，用于在接收到车联网设备10发送的授权证书申请后，根据注册系统30对应的根证书，验证授权证书申请中携带的设备注册证书的有效性；在验证通过后，根据该设备注册证书，验证授权证书申请的有效性；以及在验证通过后，为车联网设备10颁发相应的设备授权证书，并将该设备授权证书发送给所述车联网设备10。

优选的，本发明实施例中，车联网设备为：OBU、RSU或服务系统中用于进行信息处理的设备。

参见图3所示，本发明实施例中，车联网设备10进一步包括：

第一申请模块101，用于在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，其中，该认证证书申请中携带自身的标识信息；

第二申请模块102，用于在第一申请模块101接收到认证系统为自身颁发的设备认证证书后，根据该设备认证证书，向注册系统发送注册证书申请，其中，该注册证书申请中携带设备认证证书；

第三申请模块103，用于在第二申请模块102接收到注册系统为自身颁发的设备注册证书后，根据该设备注册证书，向授权系统发送授权证书申请，并接收到授权系统为自身颁发的设备授权证书，其中，该授权证书申请中携带所述设备注册证书。

本发明实施例中，车联网设备的标识信息是由设备生产厂商在安全的环境下，写入该车联网设备的，该标识信息用于在全球范围内唯一标识该车联网设备，如该车联网设备的序列号（Serial Number，SN）。

进一步，该设备生产厂商在将该车联网设备的标识信息写入该车联网设备时，还将认证系统对应的根证书写入该车联网设备。

本发明实施例中，第一申请模块101具体用于：

采用自身生成的且与认证证书匹配的第一密钥对中的私钥，对该认证证书申请进行数字签名处理，并将处理后的认证证书申请发送给认证系统。

优选的，第一申请模块101执行的具体处理过程如下：

在确定自身需要申请设备认证证书时，生成与认证证书匹配的第一密钥对（PK1，SK1），其中，PK1为公钥，SK1为私钥；并将第一密钥对的公钥PK1及自身的标识信息（如序列号）携带在认证证书申请中；以及采用第一密钥对的私钥SK1对该认证证书申请进行数字签名处理，并将处理后的认证证书申请发送给认证系统。

进一步，第一申请模块101还用于：

在接收到认证系统为自身颁发的设备认证证书后，根据自身保存的认证系统对应的根证书，验证接收到的设备认证证书的正确性；在验证通过后，保存该设备认证证书，并触发第二申请模块102。

本发明实施例中，第二申请模块102具体用于：

采用自身生成的且与认证证书匹配的第一密钥对中的私钥，对注册证书申请进行数字签名处理，并将处理后的注册证书申请发送给注册系统。

优选的，该第二申请模块102执行的具体过程如下：

在确定自身需要申请设备注册证书时，生成与注册证书匹配的第二密钥对（PK2，SK2），其中，PK2为公钥，SK2为私钥；并将第二密钥对的公钥PK2及第一申请模块101保存的设备认证证书携带在注册证书申请中；以及采用第一密钥对的私钥SK1对该注册证书申请进行数字签名处理，并将处理后的注册证书申请发送给认证系统。

进一步，第二申请模块102还用于：

在接收到注册系统为自身颁发的设备注册证书后，根据自身保存的注册系统对应的根证书，验证接收到的设备注册证书的正确性；在验证通过后，保存该设备注册证书，并触发第三申请模块103。

其中，车联网设备保存的注册系统对应的根证书，是由管理系统在安全的环境下写入该车联网设备的。

本发明实施例中，第三申请模块103具体用于：

采用自身生成的且与注册证书匹配的第二密钥对中的私钥，对授权证书申请进行数字签名处理，并将处理后的授权证书申请发送给授权系统。

优选的，该第三申请模块103具体执行如下步骤：

在确定自身需要申请设备授权证书时，生成与授权证书匹配的第三密钥对（PK3，SK3），其中，PK3为公钥，SK3为私钥；并将第三密钥对的公钥PK3及第二申请模块102保存的设备注册证书携带在授权证书申请中；以及采用第二密钥对的私钥SK2对该授权证书申请进行数字签名处理，并将处理后的授权证书申请发送给授权系统。

进一步，第三申请模块103具体用于：

根据自身保存的授权系统对应的根证书，验证接收到的设备授权证书的正确性；以及在验证通过后，保存该设备授权证书。

其中，车联网设备保存的授权系统对应的根证书，是由管理系统在安全的环境下写入该车联网设备的。

参见图4所示，本发明实施例中，认证系统20进一步包括：

第一验证模块201，用于在接收到车联网设备发送的认证证书申请后，验证该认证证书申请的有效性以及该车联网设备所具有的各项功能；

认证证书签发模块202，用于在验证通过后，为车联网设备颁发相应的设备认证证书，并将该设备认证证书发送给车联网设备。

优选的，该第一验证模块201具体执行如下步骤：

采用接收到的认证证书申请中携带的公钥，验证该认真在申请书的有效性；并在验证通过后，检测该车联网设备是否能够正确执行器所具有的各项功能；在验证通过后，触发认证证书签发模块202。

优选的，认证证书签发模块202为该车联网设备签发的设备认证证书的主题为该车联网设备的标识信息（如序列号SN）。

参见图5所示，本发明实施例中，注册系统30进一步包括：

第二验证模块301，用于在接收到车联网设备发送的注册证书申请后，根据认证系统对应的根证书，验证该注册证书申请中携带的设备认证证书的有效性；以及根据通过验证的设备认证证书，验证该注册证书申请的有效性；

注册证书签发模块302，用于在验证通过后，为车联网设备颁发相应的设备注册证书，并将该设备注册证书发送给车联网设备。

具体的，注册证书签发模块302根据设备注册策略，为该车联网设备颁发相应的设备注册证书。

优选的，注册证书签发模块302为该车联网设备签发的设备注册证书的主题为该车联网设备的标识信息（如序列号SN），其中，该车联网设备的标识信息是注册证书签发模块302从该车联网设备的设备认证证书中获得的。

参见图6所示，本发明实施例中，授权系统40进一步包括：

第三验证模块401，用于在接收到该车联网设备发送的授权证书申请后，根据注册系统对应的根证书，验证该授权证书申请中携带的设备注册证书的有效性；以及根据通过验证的设备注册证书，验证该授权证书申请的有效性；

授权证书签发模块402，用于在验证通过后，为车联网设备颁发相应的设备授权证书，并将该设备授权证书发送给车联网设备。

具体的，授权证书签发模块402根据设备授权策略以及设备注册证书中的权利描述为该车联网设备颁发相应的设备授权证书。

优选的，授权证书签发模块402为该车联网设备签发的设备授权证书的主题为该车联网设备的标识信息（如序列号SN），其中，该车联网设备的标识信息是授权证书签发模块402从该车联网设备的设备注册证书中获得的。

基于上述实施例，本发明实施例还提供了一种实现车联网设备授权管理的方法，参见图7所示，包括以下步骤：

步骤71、车联网设备在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，其中，该认证证书申请中携带自身的标识信息；

步骤72、车联网设备在接收到认证系统为自身颁发的设备认证证书后，根据该设备认证证书，向注册系统发送注册证书申请，其中，该注册证书申请中携带设备认证证书；

步骤73、车联网设备在接收到注册系统为自身颁发的设备注册证书后，根据该设备注册证书，向授权系统发送授权证书申请，并接收到授权系统为自身颁发的设备授权证书，其中，该授权证书申请中携带设备注册证书。

进一步，步骤71中，车联网设备向认证系统发送认证证书申请，具体包括：

车联网设备采用自身生成的且与认证证书匹配的第一密钥对中的私钥，对认证证书申请进行数字签名处理，并将处理后的认证证书申请发送给认证系统。

本发明实施例中，该方法还包括：

认证系统在接收到车联网设备发送的认证证书申请后，验证该认证证书申请的有效性以及该车联网设备所具有的各项功能；以及

在验证通过后，认证系统为该车联网设备颁发相应的设备认证证书，并将该设备认证证书发送给车联网设备。

进一步，步骤72中，车联网设备在接收到认证系统为自身颁发的设备认证证书后，根据该设备认证证书，向注册系统发送注册证书申请，具体包括：

车联网设备在接收到认证系统为自身颁发的设备认证证书后，根据自身保存的认证系统对应的根证书，验证该设备认证证书的正确性；以及

在验证通过后，车联网设备保存该设备认证证书，并根据该设备认证证书，向注册系统发送注册证书申请。

优选的，步骤72中，在验证通过后，车联网设备向注册系统发送注册证书申请，进一步包括：

车联网设备采用自身生成的且与认证证书匹配的第一密钥对中的私钥，对该注册证书申请进行数字签名处理，并将处理后的注册证书申请发送给注册系统。

本发明实施例中，该方法还包括：

注册系统在接收到车联网设备发送的注册证书申请后，根据认证系统对应的根证书，验证该注册证书申请中携带的设备认证证书的有效性；

在验证通过后，注册系统根据该设备认证证书，验证该注册证书申请的有效性；以及

在验证通过后，注册系统为车联网设备颁发相应的设备注册证书，并将该设备注册证书发送给车联网设备。

进一步，步骤73中，车联网设备在接收到注册系统为自身颁发的设备注册证书后，根据该设备注册证书，向授权系统发送授权证书申请，具体包括：

车联网设备在接收到注册系统为自身颁发的设备注册证书后，根据自身保存的注册系统对应的根证书，验证该设备注册证书的正确性；以及

在验证通过后，车联网设备保存该设备注册证书，并根据该设备注册证书，向授权系统发送授权证书申请。

优选的，步骤73中，在验证通过后，车联网设备向授权系统申请设备授权证书，进一步包括：

在验证通过后，车联网设备采用自身生成的且与注册证书匹配的第二密钥对中的私钥，对该授权证书申请进行数字签名处理，并将处理后的授权证书申请发送给授权系统。

本发明实施例中，该方法还包括：

授权系统在接收到车联网设备发送的授权证书申请后，根据注册系统对应的根证书，验证该授权证书申请中携带的设备注册证书的有效性；

在验证通过后，授权系统根据该设备注册证书，验证该授权证书申请的有效性；以及

在验证通过后，授权系统为该车联网设备颁发相应的设备授权证书，并将该设备授权证书发送给车联网设备。

进一步，步骤73中，车联网设备接收到授权系统为自身颁发的设备授权证书之后，还包括：

车联网设备根据自身保存的授权系统对应的根证书，验证该设备授权证书的正确性；以及

在验证通过后，车联网设备保存该设备授权证书。

本发明实施例中，车联网设备为：OBU、RSU或服务系统中用于进行信息处理的设备。

下面从车联网设备授权系统中各系统之间的交互过程来说明本发明实施例的车联网设备的授权过程，其网络架构参见图8所示，交互过程参见图9所示，包括以下步骤：

步骤901、设备生产厂商在安全的环境下将可在全球唯一标识该设备的序列号SN和认证系统对应的根证书（记为CA-Cert1）写入车联网设备。

步骤902、车联网设备生成密钥对（PK1，SK1），其中，PK1为公钥，SK1为私钥；车联网设备向认证系统申请认证证书，该认证证书申请的主要内容为[PK1，SN]；车联网设备采用私钥SK1对该认证证书申请进行数字签名。

步骤903、认证系统采用认证证书申请中的公钥PK1验证该认证证书申请的有效性；认证系统检测该车联网设备是否能够正确执行该类设备所应具有的各项功能；认证系统向通过以上两项检查的车联网设备颁发相应的设备认证证书（记为E-Cert1），其中，该设备认证证书的主题为该车联网设备的序列号SN。

步骤904、车联网设备利用认证系统对应的根证书验证E-Cert1的正确性；若验证通过（即该设备认证证书正确，）则该车联网设备存储该设备认证证书。

步骤905、管理系统在安全的环境下将注册系统对应的根证书（记为CA-Cert2）和授权系统对应的根证书（记为CA-Cert3）写入该车联网设备。

步骤906、车联网设备生成密钥对（PK2，SK2），其中PK2为公钥，SK2为私钥；该车联网设备根据设备认证证书，向注册系统申请注册证书，该注册证书申请的主要内容为[PK2，E-Cert1]；该车联网设备采用与认证证书配对的私钥SK1对注册证书申请进行数字签名。

步骤907、注册系统采用认证系统对应的根证书，验证该注册证书申请中的设备认证证书的有效性；若验证通过（即该设备认证证书正确），则该注册系统采用E-Cert1验证该注册证书申请的有效性；若验证通过（即该注册证书申请正确），则该注册系统根据设备注册策略，为该车联网设备颁发设备注册证书（记为E-Cert2）；

其中，该设备注册证书的主题为该车联网设备的序列号SN，且该设备注册证书的权限为Priv1，SN是从该车联网设备的设备认证证书中获得的。

步骤908、车联网设备根据注册系统对应的根证书，验证E-Cert2的正确性；若验证通过（即验证该设备注册证书正确），则该车联网设备存储该设备注册证书。

步骤909、车联网设备生成密钥对（PK3，SK3），其中，PK3为公钥，SK3为私钥；该车联网设备根据设备注册证书，向授权系统申请授权证书；该车联网设备采用与注册证书配对的私钥SK2对授权证书申请进行数字签名；

其中，授权证书申请的主要内容为[PK3，E-Cert2]。

步骤910、授权系统根据注册系统对应的根证书，验证授权证书申请中的设备注册证书的有效性；若验证通过（即验证该设备注册证书正确）则该授权系统采用该设备注册证书验证该授权证书申请的有效性；若验证通过（即验证该授权证书申请正确），则该授权系统根据设备授权策略和设备注册证书中的权利描述，为该车联网设备颁发设备授权证书（记为E-Cert3）；

其中，该设备授权证书的主题为该车联网设备的序列号SN，且该设备授权证书的权限为Priv2；SN是从该车联网设备的设备注册证书中获得的。

步骤911、车联网设备根据授权系统对应的根证书，验证E-Cert3的正确性；若验证通过（即验证该设备授权证书正确），则该车联网设备存储该设备授权证书，从而完成了该车联网设备的授权管理过程。

下面以OBU的授权过程为例，对本发明实施例的实现车联网设备授权管理的过程进行说明。

1）OBU设备生产厂商在安全的环境下将用于在全球唯一标识该OBU的序列号以及认证系统对应的根CA证书写入该OBU；

具体写入内容为：

SN=OBU000001，CA-Cert1=Authentication CA-CERT。

2）OBU生成密钥对（PK1，SK1），并向认证系统发送认证证书申请；

假设该密钥对的具体内容为：PK1＝AAAA1111…，SK1=BBBB2222…；

则该认证证书申请的主要内容为：PK1＝AAAA1111…，SN=OBU000001。

进一步，在传输过程中，为了保证该认证证书申请的安全性，该OBU采用SK1对自身生成的认证证书申请进行数字签名处理，并将处理后的认证证书申请发送给认证系统。

3）认证系统在接收到该OBU发送的认证证书申请后，采用该认证证书申请中携带的PK1对该认证证书申请进行验证，并在验证通过后，对该OBU是否能够正确执行其具有的各项功能进行检测，在检测通过后，向该OBU颁发设备认证证书（记为OBU-CERT000001）；

其中，该设备认证证书的主题为该OBU序列号“OBU000001”。

4）该OBU在接收到的设备认证证书后，根据认证系统对应的根CA证书对该设备认证证书进行验证，并在验证通过后存储该设备认证证书；

5）管理系统在安全的环境下将注册系统对应的根CA证书和授权系统对应的根CA证书写入该OBU；

其中，具体写入的内容为：

CA-Cert2=EnrollmentCA-CERT，CA-Cert3=AuthorizationCA-CERT。

6）该OBU生成密钥对（PK2，SK2），并根据设备认证证书向注册系统发送注册证书申请；

假设生成的密钥对（PK2，SK2）的内容为：

PK2=CCCC3333…，SK2=DDDD4444…；

则该OBU发送的注册证书申请的主要内容为：

PK2=CCCC3333…，E-Cert1=OBU-CERT000001；

进一步，在传输过程中，为了保证该注册证书申请的安全性，该OBU采用与设备认证证书配对的私钥SK1对该注册证书申请进行数字签名处理，并将处理后的注册证书申请发送给注册系统。

7）注册系统根据认证系统对应的根CA证书对接收到的注册证书申请中携带的设备认证证书进行验证，并在验证通过后，根据该设备认证证书对该注册证书申请进行验证；注册系统在验证该注册证书申请有效后，根据设备注册策略为该OBU颁发设备注册证书（记为OBU-CERT000002），并将该设备注册证书发送给OBU；

其中，该设备注册证书的主题为OBU序列号“OBU000001”，且该设备注册证书的权限为Priv1=“WXYZ1234…”。

8）该OBU在收到注册系统发送的设备注册证书后，根据注册系统对应的根CA证书对该设备注册证书进行验证，并在验证通过后存储该设备注册证书。

9）该OBU生成密钥对（PK3，SK3），并根据设备注册证书，生成授权证书申请，并将该授权证书申请发送给授权系统；

假设生成的密钥对（PK3，SK3）的内容为：

PK3=EEEE5555…，SK3=FFFF6666…；

则该OBU生成的授权证书申请的主要内容为:

PK3=EEEE5555…，E-Cert2=OBU-CERT000002；

进一步，在传输过程中，为了保证该授权证书申请的安全性，该OBU采用与设备注册证书配对的私钥SK2对该授权证书申请进行数字签名处理，并将处理后的授权证书申请发送给授权系统。

10）授权系统在接收到该授权证书申请后，根据注册系统对应的根CA证书对该授权证书申请中携带的设备注册证书进行验证，并在验证通过后，根据该设备注册证书对该授权证书申请进行验证；该授权系统在确定该授权证书申请有效后，根据设备授权策略以及设备注册证书中的权利描述为该OBU颁发设备授权证书（记为OBU-CERT000003），并将该设备授权证书发送给OBU；

其中，该设备授权证书的主题为该OBU序列号“OBU000001”，且该设备授权证书的权限为Priv2=“XY23…”。

11）该OBU在接收到该设备授权证书后，根据授权系统对应的根CA证书对该设备授权证书进行验证，并在验证通过后存储该设备授权证书。

上述方法处理流程可以用软件程序实现，该软件程序可以存储在存储介质中，当存储的软件程序被调用时，执行上述方法步骤。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (23)

1.一种实现车联网设备授权管理的方法，其特征在于，该方法包括：

车联网设备在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，所述认证证书申请中携带自身的标识信息；

所述车联网设备在接收到所述认证系统为自身颁发的设备认证证书后，根据所述设备认证证书，向注册系统发送注册证书申请，所述注册证书申请中携带所述设备认证证书；

所述车联网设备在接收到所述注册系统为自身颁发的设备注册证书后，根据所述设备注册证书，向授权系统发送授权证书申请，并接收到所述授权系统为自身颁发的设备授权证书，所述授权证书申请中携带所述设备注册证书。

2.如权利要求1所述的方法，其特征在于，所述车联网设备向所述认证系统发送认证证书申请，具体包括：

所述车联网设备采用自身生成的且与所述认证证书匹配的第一密钥对中的私钥，对所述认证证书申请进行数字签名处理，并将处理后的认证证书申请发送给所述认证系统。

3.如权利要求1或2所述的方法，其特征在于，所述方法还包括：

所述认证系统在接收到所述车联网设备发送的认证证书申请后，验证所述认证证书申请的有效性以及所述车联网设备所具有的各项功能；

在验证通过后，所述认证系统为所述车联网设备颁发相应的设备认证证书，并将所述设备认证证书发送给所述车联网设备。

4.如权利要求1所述的方法，其特征在于，所述车联网设备在接收到所述认证系统为自身颁发的设备认证证书后，根据所述设备认证证书，向所述注册系统发送注册证书申请，具体包括：

所述车联网设备在接收到所述认证系统为自身颁发的设备认证证书后，根据自身保存的所述认证系统对应的根证书，验证所述设备认证证书的正确性；

在验证通过后，所述车联网设备保存所述设备认证证书，并根据所述设备认证证书，向所述注册系统发送注册证书申请。

5.如权利要求4所述的方法，其特征在于，在验证通过后，所述车联网设备向所述注册系统发送所述注册证书申请，进一步包括：

所述车联网设备采用自身生成的且与所述认证证书匹配的第一密钥对中的私钥，对所述注册证书申请进行数字签名处理，并将处理后的注册证书申请发送给所述注册系统。

6.如权利要求4或5所述的方法，其特征在于，所述方法还包括：

所述注册系统在接收到所述车联网设备发送的所述注册证书申请后，根据所述认证系统对应的根证书，验证所述注册证书申请中携带的所述设备认证证书的有效性；

在验证通过后，所述注册系统根据所述设备认证证书，验证所述注册证书申请的有效性；

在验证通过后，所述注册系统为所述车联网设备颁发相应的设备注册证书，并将所述设备注册证书发送给所述车联网设备。

7.如权利要求1所述的方法，其特征在于，所述车联网设备在接收到所述注册系统为自身颁发的设备注册证书后，根据所述设备注册证书，向授权系统发送授权证书申请，具体包括：

所述车联网设备在接收到所述注册系统为自身颁发的设备注册证书后，根据自身保存的所述注册系统对应的根证书，验证所述设备注册证书的正确性；

在验证通过后，所述车联网设备保存所述设备注册证书，并根据所述设备注册证书，向所述授权系统发送授权证书申请。

8.如权利要求7所述的方法，其特征在于，在验证通过后，所述车联网设备向授权系统申请设备授权证书，进一步包括：

在验证通过后，所述车联网设备采用自身生成的且与所述注册证书匹配的第二密钥对中的私钥，对所述授权证书申请进行数字签名处理，并将处理后的授权证书申请发送给所述授权系统。

9.如权利要求7或8所述的方法，其特征在于，所述方法还包括：

所述授权系统在接收到所述车联网设备发送的所述授权证书申请后，根据所述注册系统对应的根证书，验证所述授权证书申请中携带的所述设备注册证书的有效性；

在验证通过后，所述授权系统根据所述设备注册证书，验证所述授权证书申请的有效性；

在验证通过后，所述授权系统为所述车联网设备颁发相应的设备授权证书，并将所述设备授权证书发送给所述车联网设备。

10.如权利要求1所述的方法，其特征在于，所述车联网设备接收到所述授权系统为自身颁发的设备授权证书之后，还包括：

所述车联网设备根据自身保存的所述授权系统对应的根证书，验证所述设备授权证书的正确性；

在验证通过后，所述车联网设备保存所述设备授权证书。

11.如权利要求1所述的方法，其特征在于，所述车联网设备为：车载设备OBU、路测设备RSU或服务系统中用于进行信息处理的设备。

12.一种车联网设备，其特征在于，该车联网设备包括：

第一申请模块，用于在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，所述认证证书申请中携带自身的标识信息；

第二申请模块，用于在所述第一申请模块接收到所述认证系统为自身颁发的设备认证证书后，根据所述设备认证证书，向注册系统发送注册证书申请，所述注册证书申请中携带所述设备认证证书；

第三申请模块，用于在所述第二申请模块接收到所述注册系统为自身颁发的设备注册证书后，根据所述设备注册证书，向授权系统发送授权证书申请，并接收到所述授权系统为自身颁发的设备授权证书，所述授权证书申请中携带所述设备注册证书。

13.如权利要求12所述的车联网设备，其特征在于，所述第一申请模块具体用于：

采用自身生成的且与所述认证证书匹配的第一密钥对中的私钥，对所述认证证书申请进行数字签名处理，并将处理后的认证证书申请发送给所述认证系统。

14.如权利要求12所述的车联网设备，其特征在于，所述第一申请模块还用于：

在接收到所述认证系统为自身颁发的设备认证证书后，根据自身保存的所述认证系统对应的根证书，验证所述设备认证证书的正确性；在验证通过后，保存所述设备认证证书，并触发所述第二申请模块。

15.如权利要求12或14所述的车联网设备，其特征在于，所述第二申请模块具体用于：

采用自身生成的且与所述认证证书匹配的第一密钥对中的私钥，对所述注册证书申请进行数字签名处理，并将处理后的注册证书申请发送给所述注册系统。

16.如权利要求12所述的车联网设备，其特征在于，所述第二申请模块还用于：

在接收到所述注册系统为自身颁发的设备注册证书后，根据自身保存的所述注册系统对应的根证书，验证所述设备注册证书的正确性；在验证通过后，保存所述设备注册证书，并触发所述第三申请模块。

17.如权利要求12或16所述的车联网设备，其特征在于，所述第三申请模块具体用于：

采用自身生成的且与所述注册证书匹配的第二密钥对中的私钥，对所述授权证书申请进行数字签名处理，并将处理后的授权证书申请发送给所述授权系统。

18.如权利要求12所述的车联网设备，其特征在于，所述第三申请模块具体用于：

根据自身保存的所述授权系统对应的根证书，验证所述设备授权证书的正确性；以及在验证通过后，保存所述设备授权证书。

19.如权利要求12所述的车联网设备，其特征在于，所述车联网设备为：OBU、RSU或服务系统中用于进行信息处理的设备。

20.一种认证系统，其特征在于，该认证系统包括：

第一验证模块，用于在接收到所述车联网设备发送的认证证书申请后，验证所述认证证书申请的有效性以及所述车联网设备所具有的各项功能；

认证证书签发模块，用于在验证通过后，为所述车联网设备颁发相应的设备认证证书，并将所述设备认证证书发送给所述车联网设备。

21.一种注册系统，其特征在于，该注册系统包括：

第二验证模块，用于在接收到所述车联网设备发送的所述注册证书申请后，根据所述认证系统对应的根证书，验证所述注册证书申请中携带的所述设备认证证书的有效性；以及根据通过验证的设备认证证书，验证所述注册证书申请的有效性；

注册证书签发模块，用于在验证通过后，为所述车联网设备颁发相应的设备注册证书，并将所述设备注册证书发送给所述车联网设备。

22.一种授权系统，其特征在于，该授权系统包括：

第三验证模块，用于在接收到所述车联网设备发送的所述授权证书申请后，根据所述注册系统对应的根证书，验证所述授权证书申请中携带的所述设备注册证书的有效性；以及根据通过验证的设备注册证书，验证所述授权证书申请的有效性；

授权证书签发模块，用于在验证通过后，为所述车联网设备颁发相应的设备授权证书，并将所述设备授权证书发送给所述车联网设备。

23.一种授权管理系统，其特征在于，该授权管理系统包括：

车联网设备，用于在确定自身需要申请设备认证证书时，向认证系统发送认证证书申请，所述认证证书申请中携带自身的标识信息；在接收到所述认证系统为自身颁发的设备认证证书后，根据所述设备认证证书，向注册系统发送注册证书申请，所述注册证书申请中携带所述设备认证证书；以及在接收到所述注册系统为自身颁发的设备注册证书后，根据所述设备注册证书，向授权系统发送授权证书申请，并接收到所述授权系统为自身颁发的设备授权证书，所述授权证书申请中携带所述设备注册证书；

认证系统，用于在接收到所述车联网设备发送的认证证书申请后，验证所述认证证书申请的有效性以及所述车联网设备所具有的各项功能；以及在验证通过后，为所述车联网设备颁发相应的设备认证证书，并将所述设备认证证书发送给所述车联网设备；

注册系统，用于在接收到所述车联网设备发送的所述注册证书申请后，根据所述认证系统对应的根证书，验证所述注册证书申请中携带的所述设备认证证书的有效性；在验证通过后，根据所述设备认证证书，验证所述注册证书申请的有效性；以及在验证通过后，为所述车联网设备颁发相应的设备注册证书，并将所述设备注册证书发送给所述车联网设备；

授权系统，用于在接收到所述车联网设备发送的所述授权证书申请后，根据所述注册系统对应的根证书，验证所述授权证书申请中携带的所述设备注册证书的有效性；在验证通过后，根据所述设备注册证书，验证所述授权证书申请的有效性；以及在验证通过后，为所述车联网设备颁发相应的设备授权证书，并将所述设备授权证书发送给所述车联网设备。