CN107817779B - 基于以太网交换机的信息验证未注册的装置的系统及方法 - Google Patents

Abstract

本发明涉及基于以太网交换机的信息验证未注册的装置的系统及方法。构成基于以太网的车辆网络的多个通信节点之中的第一通信节点的操作方法可以包括：从第二通信节点接收消息；确定消息的源地址是否存在于存储在所述第一通信节点的存储器中的第一地址表中；并且响应于确定在第一地址表中存在消息的源地址，将消息和关于消息的源地址的信息发送到管理节点。

Description

基于以太网交换机的信息验证未注册的装置的系统及方法

相关申请的交叉引用

本申请要求在韩国知识产权局(KIPO)于2016年9月12日提交的韩国专利申请第10-2016-0117552号和2017年7月28日提交的韩国专利申请第10-2017-0096351号的权益和优先权，其全部内容通过引证结合于此，犹如本文完整阐述的。

技术领域

本公开涉及一种用于诊断基于以太网的车辆网络中的通信错误或检测连接到基于以太网的车辆网络的错误的外部通信设备的系统和方法，更具体地，涉及一种用于诊断通信设备的通信错误并基于以太网交换机具有的信息来验证未注册的装置的系统和方法。

背景技术

车辆中安装的电子装置的数量和种类随着车辆零件的最近的数字化而显著增加。通常，可以在整个车辆中使用电子装置，例如，在动力传动控制系统(例如，发动机控制系统、自动变速器控制系统等)、主体控制系统(例如，主体电子装备控制系统、便利设备控制系统、灯控制系统等)、底盘控制系统(例如，转向设备控制系统、制动控制系统、悬架控制系统等)、车辆网络(例如，控制器区域网络(CAN)、基于FlexRay的网络、基于媒体定向系统传输(MOST)的网络等)、多媒体系统(例如，导航设备系统、远程信息处理系统、信息娱乐系统等)等中。

在这些系统中的每个系统使用的电子装置经由支持电子装置的功能的车辆网络连接。例如，CAN可以支持高达1Mbps的传输速率，并支持冲突消息的自动重传、基于循环冗余接口(CRC)的错误检测等。基于FlexRay的网络可以支持高达10Mbps的传输速率，并且支持通过两个信道同时传输数据、同步数据传输等。基于MOST的网络是高质量多媒体的通信网络，其可以支持高达150Mbps的传输速率。

同时，远程信息处理系统和信息娱乐系统，与车辆的大多数增强型安全系统一样，需要更高的传输速率和系统扩展性。然而，CAN、基于FlexRay的网络等可能不足以支持这些要求。特别是基于MOST的网络可以支持比CAN或基于FlexRay的网络更高的传输速率。然而，将基于MOST的网络应用于车辆网络可能是昂贵的。由于这些限制，基于以太网的网络通常用作车辆网络。基于以太网的网络可以支持通过一对绕组的双向通信，并且可以支持高达10Gbps的传输速率。

与现有的基于CAN的通信网络相比，车辆网络的系统配置在与外部以及车载网络的连接性方面扩展。考虑到更广泛的应用范围，例如，与用于通信装置和连接的车辆的云服务器的通信，以太网通信正在应用于车载网络。

然而，当将以太网通信应用于车载网络时，由于对车辆的安全威胁和通信错误所造成的故障的可能性会随着与外部装置的通信(这不能预先考虑)而增加。因此，需要采取措施来应对这样的安全威胁和通信错误。而且，由于系统故障或内部装置以及外部装置的错误，所以可能会发生无意的错误，因此，需要一种诊断这样的错误的方法。

发明内容

为了解决上述问题，本公开提供了一种用于基于以太网交换机具有的信息来诊断连接到基于以太网的车辆网络的内部和外部装置的通信错误的系统和方法。

此外，本公开提供了一种用于基于以太网交换机具有的信息来验证连接到基于以太网的车辆网络的未注册装置的系统和方法。

此外，本公开提供了一种用于基于以太网交换机具有的信息来检测由于通信错误导致的故障和未注册装置的安全威胁的系统和方法。

根据本公开的实施例，一种构成基于以太网的车辆网络的多个通信节点之中的第一通信节点的操作方法可以包括：从第二通信节点接收消息；确定消息的源地址是否存在于存储在第一通信节点的存储器中；并且响应于确定消息的源地址存在于第一地址表中，将所述消息和关于消息的源地址的信息发送到管理节点。

操作方法还可以包括从管理节点接收消息的源地址的验证结果。

操作方法还可以包括当基于验证结果确定消息的源地址存在于存储在管理节点中的第二地址表中时，将源地址添加到第一地址表中。

当基于验证结果确定消息的源地址存在于存储在管理节点中的第二地址表中时，可以确定构成基于以太网的车辆网络的通信节点之间的通信错误。

操作方法还可以包括当基于验证结果确定消息的源地址存在于存储在管理节点中的第二地址表中时，将关于消息的源地址的信息发送到连接到第一通信节点的第三通信节点。

操作方法还可以包括从管理节点接收消息的认证结果。

操作方法还可以包括当基于认证结果确定消息被认证时，将源地址添加到第一地址表中。

操作方法还可以包括将关于源地址的信息发送到连接到第一通信节点的第三通信节点。

操作方法还可以包括当基于认证结果确定消息未被认证时，断开在第一通信节点和第二通信节点之间的通信连接。

此外，根据本公开的实施例，一种在基于以太网的车辆网络中的管理节点的操作方法可以包括：从第一通信节点接收消息和关于消息的源地址的信息；确定消息的源地址是否存在于存储在构成基于以太网的车辆网络的所有通信节点的存储器中的地址表中；响应于确定消息的源地址存在于地址表中，将源地址的验证结果发送到第一通信节点；并且响应于确定消息的源地址未存在于地址表中，执行消息的认证。

操作方法还可以包括当源地址存在于地址表中时，将源地址和源地址的验证结果发送到连接至管理节点的第二通信节点。

操作方法还可以包括当源地址存在于地址表中时，在存储器中存储指示通信错误的诊断故障码，并以视觉方式和听觉方式中的至少一种方式，显示诊断故障码。

操作方法还可以包括将诊断故障码发送到连接至管理节点的诊断设备。

操作方法还可以包括将消息的认证结果发送到第一通信节点。

操作方法还可以包括当基于认证结果确定消息被认证时，将消息的源地址添加到地址表中。

操作方法还可以包括当基于认证结果确定消息被认证时，将源地址和认证结果发送到第二通信节点。

操作方法还可以包括当基于认证结果确定消息未被认证时，丢弃消息并将源地址和认证结果发送到第一通信节点和连接到管理节点的第二通信节点。

此外，根据本公开的实施例，一种构成基于以太网的车辆网络的管理节点可以包括处理器以及存储由处理器执行的至少一个指令和构成基于以太网的车辆网络的所有通信节点的地址表的存储器。此外，至少一个指令可以被配置为：从第一通信节点接收消息，并确定消息的源地址是否存在于地址表中；响应于确定消息的源地址存在于地址表中，将源地址的验证结果发送给第一通信节点；并且响应于确定消息的源地址未存在于地址表中，执行消息的认证。

至少一个指令还可以被配置为将消息的认证结果发送到第一通信节点。

至少一个指令还可以被配置为当基于认证结果确定消息被认证时，将源地址添加到地址表中。

根据本公开的实施例的基于以太网交换机的信息的系统和方法可以诊断连接到以太网的内部或外部通信节点的通信错误。

根据本公开的实施例的基于以太网交换机的信息的系统和方法可以检查在通信节点处接收到的消息的源地址，并检查发送消息的通信节点是否已经被注册。

根据本公开的实施例的基于以太网交换机的信息的系统和方法可以确定是否认证外部装置以及是否保持与外部装置的通信连接。然后，可以阻止与未注册的(未认证的)装置的通信连接。另一方面，注册的(认证的)装置的源地址可以被更新至通信节点的地址表。

根据本公开的实施例的基于以太网交换机的信息的系统和方法可以防止由于车辆的内部或外部装置的系统故障或错误引起的未认证的操作。

附图说明

通过参照附图详细描述本公开的形式，本公开的实施例变得更加显而易见，其中：

图1示出了说明车辆网络拓扑的实施例的框图；

图2示出了说明属于车辆网络的通信节点的实施例的框图；

图3示出了根据本公开的实施例的用于基于以太网交换机具有的信息来诊断通信设备的通信错误并且检测未注册装置的系统的框图；

图4示出了以太网交换机的配置的概念图；

图5示出了以太网数据帧格式的概念图；

图6示出了说明在端部节点处接收的帧中包含的源地址的实例的概念图；

图7示出了应用本公开的实施例的基于以太网的车辆网络的概念图；

图8示出了根据本公开的实施例的用于说明聚焦用于基于以太网交换机的信息检测通信错误和更新源地址的方法的通信节点的操作的序列图；以及

图9示出了根据本公开的实施例的用于说明聚焦用于基于以太网交换机的信息检测未注册装置和更新源地址的方法的通信节点的操作的序列图。

应当理解，上面提及的附图不一定按比例绘制，呈现了说明本公开的基本原理的各种优选特征的稍微简化的表示。本公开的具体设计特征(包括例如特定尺寸、取向、位置和形状)将部分地由特定的预期应用和使用环境来确定。

具体实施方式

在下文中，将参照附图详细描述本公开的实施例。如本领域技术人员将认识到的，在不脱离本公开的精神或范围的情况下，可以以各种不同的方式修改所描述的实施例。此外，在整个说明书中，相同的附图标记表示相同的元件。

本文使用的术语仅用于描述特定形式，并不旨在限制本公开。如本文所使用的，单数形式“一个(a)”，“一个(an)”和“该(the)”旨在也包括复数形式，除非上下文另有明确指示。要进一步理解的是，当在本说明书中使用时，术语“包括(comprise)”和/或“包括(comprising)”指定存在所述特征、整体、步骤、操作、元件和/或部件，但不排除存在或添加一个或多个其他特征、整体、步骤、操作、元件、部件和/或其组合。如本文所用，术语“和/或”包括一个或多个相关列出的项目的任何和所有组合。

要理解的是，在本文中所使用的术语“车辆”或“车辆的”或其他相似的术语通常包括机动车辆，例如，包括运动型多用途车(SUV)的客车、公共车辆、卡车、各种商用车辆、包括各种船舶和轮船的船只、飞机等，并且包括混合动力车辆、电动车辆、燃烧插入式混合动力车辆、氢动力车辆以及其他可选的燃料车辆(例如，源自石油以外的资源的燃料)。

虽然在本文将形式描述为使用多个单元来执行示例性处理，但是要理解的是，示例性处理还可以由一个或多个模块执行。此外，要理解的是，控制器/控制单元可以执行下面进一步描述的一个或多个处理，并且术语控制器/控制单元是指包括存储器和处理器的硬件装置。存储器被配置为存储模块，并且处理器具体地被配置为执行所述模块，以执行下面进一步描述的一个或多个处理。此外，要理解的是，本文所述的单元或模块可以具体化为用于控制单元或模块的操作的控制器/控制单元。

而且，本发明的控制逻辑可具体化为计算机可读介质上的非暂时性计算机可读介质，包含由处理器、控制器/控制单元等执行的可执行程序指令。计算机可读介质的实例包括但不限于只读存储器(ROM)、随机存取存储器(RAM)、光盘(CD)-ROM、磁带、软盘、闪存盘、智能卡以及光学数据储存装置。计算机可读记录介质还可以分布在网络耦合的计算机系统中，以便通过分布的方式储存和执行计算机可读介质，例如，通过远程信息处理服务器或控制器局域网络(CAN)。

由于本公开可以进行各种修改并具有几种形式，因此具体实施例将在附图中示出并在具体实施方式中详细描述。然而，将理解的是，并不旨在将本公开限于具体实施例，而是相反，本公开涵盖落入本公开的精神和范围内的所有修改和替换。

诸如第一、第二等关系术语可以用于描述各种元件，但是这些元件不应该受到术语的限制。这些术语仅用于将一个元件与另一个元件区分开。例如，在不脱离本公开的范围的情况下，第一部件可以称为第二部件，并且第二部件也可以同样称为第一部件。术语“和/或”是指多个相关和描述的项目中的任何一个或组合。

当提及某个部件与另一部件“耦接”或“连接”时，应当理解的是，某个部件与另一部件直接“耦接”或“连接”，或者另外的部件可以是位于其间。相反，当提及某个部件与另一部件“直接耦接”或“直接连接”时，将理解的是，另外的部件未位于其间。

除非特别说明或者在上下文中显而易见，否则在本文中使用的术语“大约”被理解为在本领域的正常公差的范围内，例如，在平均值的2个标准偏差内。“大约”可理解为在所述值的10％、9％、8％、7％、6％、5％、4％、3％、2％、1％、0.5％、0.1％、0.05％或0.01％内。除非在上下文中另有明确规定，否则在本文中提供的所有数值由术语“大约”修饰。

除非另有定义，本文使用的所有术语(包括技术和科学术语)具有与本公开所属领域的普通技术人员通常理解的相同的含义。诸如通常使用并已在词典中的术语等术语应被理解为具有与本领域中的语境意义相匹配的含义。在本说明书中，除非明确限定，否则术语不被理想、过度地理解为形式含义。

在下文中，将参照附图详细描述本公开的形式。在描述本公开时，为了便于整体理解本公开，在附图的描述中，相同的附图标记指代相同的元件，并且将省略其重复的描述。

在构成基于以太网的网络的装置随着时间动态地改变的情况下，可以通过作为以太网交换机的基本功能的介质访问控制(MAC)学习来更新以太网交换机中的地址表。另一方面，在以静态方式定义构成网络的装置的位置或地址的受限制的网络环境(例如，车载网络)中，可以通过预定义以太网交换机中的地址表来省略不必要的MAC学习处理。这样可以提高网络通信处理的效率和网络管理的效率。本公开提出了用于通过利用车载网络的这样的特性和构成车载网络的以太网交换机的功能来在外部装置和应用以太网的车辆之间进行通信时，基于以太网交换机具有的信息诊断基于以太网的车辆网络中的内部或外部装置中的通信错误并且检测未注册的(未认证的)外部装置的系统和方法的实施例。

图1示出了车辆网络拓扑的实施例的框图。

参考图1，构成车辆网络的通信节点可以是网关、交换机(或网桥)或终端节点。网关100可以与至少一个交换机110、110-1、110-2、120和/或130连接，并且可以被配置为连接不同的网络。例如，网关100可以支持在支持控制器区域网络(CAN)(或FlexRay、媒体定向系统传输(MOST)或本地互连网络(LIN))的交换机与支持以太网协议的交换机之间的连接。交换机110、110-1、110-2、120和130中的每一个可以连接到终端节点111、112、113、121、122、123、131、132和133中的至少一个。交换机110、110-1、110-2、120和130中的每一个可以与终端节点111、112、113、121、122、123、131、132和133互连，并且控制与交换机连接的终端节点111、112，112、113、121、122、123、131、132和133中的至少一个。

终端节点111、112、113、121、122、123、131、132和133中的每一个可以包括被配置为控制安装在车辆内的各种类型的装置的电子控制单元(ECU)。例如，终端节点111、112、113、121、122、123、131、132和133中的每一个可以包括包含在信息娱乐装置(例如，显示装置、导航装置和环视监测(AVM)装置)中的ECU。

同时，构成车辆网络的通信节点(即，网关、交换机、终端节点等)可以以星形拓扑、总线拓扑、环形拓扑、树形拓扑、网状拓扑等连接。此外，构成车辆网络的每个通信节点可以支持CAN协议、FlexRay协议、MOST协议、LIN协议、以太网协议等。本公开的实施例可以应用于以上述拓扑中的一个连接的车辆网络，但是应用于本公开的实施例的网络拓扑可以不同地配置，而不限于此。

图2是示出属于车辆网络的通信节点的第一实施例的框图。

参考图2，构成车辆网络(例如，图1所示的车辆网络)的通信节点200可以包括物理(PHY)层210和控制器220。此外，通信节点200还可以包括用于供电的调节器(未示出)。具体地，控制器220可以被实现为包括媒体访问控制(MAC)层。PHY层210可以被配置为从另一个通信节点接收信号或向另一个通信节点发送信号。控制器220可以被配置为控制PHY层210并执行各种功能(例如，信息娱乐功能等)。PHY层210和控制器220可以被实现为一个片上系统(SoC)，或者可选地可以被实现为单独的芯片。

PHY层210和控制器220可以经由媒体独立接口(media independent interfaceMII)230连接。MII 230可以包括在IEEE 802.3中定义的接口，并且可以包括在PHY层210和控制器220之间的数据接口和管理接口。可以使用简化的MII(RMII)、千兆MII(GMII)、简化的GMII(RGMII)、串行GMII(SGMII)以及10GMII(XGMII)中的一个，代替MII 230。数据接口可以包括传输信道和接收信道，每个信道可以具有独立的时钟、数据和控制信号。管理接口可以包括双信号接口，一个信号用于时钟，一个信号用于数据。

PHY层210可以包括PHY层接口211、PHY层处理器212和PHY层存储器213。PHY层210的配置不限于此，并且PHY层210可以以各种方式配置。PHY层接口211可以被配置为将从控制器220接收的信号发送到PHY层处理器212，并将从PHY层处理器212接收到的信号发送到控制器220。PHY层处理器212可以被配置为控制PHY层接口211和PHY层存储器213的操作。PHY层处理器212可以被配置为调制要发送的信号或解调接收到的信号。PHY层处理器212可以被配置为控制PHY层存储器213来输入或输出信号。PHY层存储器213可以被配置为存储接收到的信号，并且基于来自PHY层处理器212的请求输出所存储的信号。

控制器220可以被配置为使用MII 230来监测和控制PHY层210。控制器220可以包括控制器接口221、控制器处理器222、主存储器223和辅助存储器224。控制器220的配置不限于此，并且控制器220可以以各种方式配置。控制器接口221可以被配置为从PHY层210(例如，PHY层接口211)或上层(未示出)接收信号，将接收到的信号发送到控制器处理器222，并且将从控制器处理器222接收到的信号发送到PHY层210或上层。控制器处理器222还可以包括用于控制控制器接口221、主存储器223和辅助存储器224的独立存储器控制逻辑或集成存储器控制逻辑。存储器控制逻辑可以被实现为包括在主存储器223和辅助存储器224中，或者可以被实现为包括在控制器处理器222中。

主存储器223和辅助存储器224中的每一个可以被配置为存储由控制器处理器222处理的信号，并且可以被配置为基于来自控制器处理器222的请求输出存储的信号。主存储器223可以是易失性存储器(例如，RAM)，其被配置为临时存储控制器处理器222的操作所需的数据。辅助存储器224可以是非易失性存储器，用于执行控制器220的功能的操作系统代码(例如，内核和设备驱动器)和应用程序代码可以存储在该非易失性存储器内。具有高处理速度的闪存、硬盘驱动器(HDD)或用于大容量数据存储的光盘只读存储器(CD-ROM)可以用作非易失性存储器。通常，控制器处理器222可以包括具有至少一个处理核心的逻辑电路。高级RISC机(ARM)系列的核心或Atom系列的核心可以用作控制器处理器222。

在下文中，将描述在属于车辆网络的通信节点和相应的对应通信节点处执行的方法。在下文中，甚至在描述要在第一通信节点执行的方法(例如，发送或接收消息)时，相应的第二通信节点可以执行与在第一通信节点执行的方法(例如，接收或发送消息)对应的方法。即，当描述第一通信节点的操作时，对应的第二通信节点可以执行与第一通信节点的操作对应的操作。相反，当描述第二通信节点的操作时，对应的第一通信节点可以执行与交换机的操作对应的操作。

图3是示出根据本公开的实施例的用于基于以太网交换机具有的信息来诊断通信设备的通信错误并且检测未注册装置的系统的框图，图4是示出以太网交换机的配置的概念图。

参考图3和图4，根据本公开的实施例的系统300可以包括诊断设备310、管理节点320和至少一个通信节点330。这里，管理节点320和至少一个通信节点330可以位于车辆内，并且诊断设备310可以位于车辆外部。如图4所示，开关元件可以放置在PHY层和至少一个通信节点330中的每一个的相应通信端口(端口1、2、3、4和5)之间，可以是物理元件或逻辑元件。

诊断设备310可以连接到车辆的以太网，以诊断通信错误并且识别车辆的至少一个通信节点330(例如，车辆的控制单元)中的每一个的通信错误的类型。诊断设备310可以通过使用其自诊断功能来加载车辆的错误记录，并将其显示在屏幕上，并且可以更新车辆的终端节点、交换机和网关的固件。此外，诊断设备310可以将关于连接到车辆的以太网的预先注册的外部装置的源地址的信息更新到车载装置(例如，终端节点、交换机、网关等)的存储器。此外，诊断设备310可以更新关于连接到车辆的以太网的车载装置的存储器中的未注册的(或未认证的)外部装置的源地址(例如，源MAC地址)的信息。

至少一个通信节点330中的每一个可以包括电子控制单元(ECU)、存储器(未示出)和多个通信端口。同样，可以应用至少一个通信节点330、交换机和终端节点。作为终端节点的实例，可以应用车辆的各种控制单元(或控制器)。

由于当车辆运行时，设置在其中的车载装置之间的连接关系不改变，所以至少一个通信节点330可以根据关于分配给每个通信端口的地址的信息来识别从哪个装置接收到消息。

作为实例，下面的表格1中描述的用于通信端口的地址表可以存储在至少一个通信节点330中的每一个的存储器中。这里，用于每个通信端口的源MAC地址可以存储在地址表中。

[表格1]

端口号	MAC地址
		1	00-10-A0-C0-00-01
2	00-10-A0-C0-00-02
		3	00-10-A0-C0-00-03
4	00-10-A0-C0-00-04
		5	00-10-A0-C0-00-05

图5是示出以太网数据帧格式的概念图。

参考图5，车辆的通信节点(例如，网关、交换机或终端节点)可以使用图5所示的帧格式发送和接收以太网数据。以太网数据的帧格式可以包括前导码(preamble)(未示出)、MAC报头、数据有效载荷和帧校验序列(FCS)。

可以在发送侧的PHY层处添加和发送前导码，从而接收侧可以与帧的接收时间同步。尽管图5中未示出，但是可以在前导码之后放置帧定界符(SFD)的开始，以指示正常帧的开始。MAC报头可以包括指示接收机的MAC地址的目的地MAC地址字段、指示发送机的MAC地址的源MAC地址字段、以及定义以太网数据的长度和类型的以太网类型字段。数据有效载荷可以包括从较高层的协议封装的数据。可以使用FCS来确定接收到的帧的错误，发送侧可以添加循环冗余校验(CRC)，并且接收侧可以检查CRC，从而可以检查接收到的帧的错误。

通信节点330(交换机或终端节点)可以通过使用以太网数据帧格式向车辆的其他通信节点(交换机或端点节点)或网关发送数据和从其中接收数据。即，通信节点330可以利用设置在车辆内的内部控制器或设置在车辆外部的外部控制器来发送和接收数据。

在位于车辆内部的管理节点320和通信节点330之间发送和接收的消息可以包括认证信息。这里，认证信息可以包括在消息中，以验证消息的发送或接收是否成功以及该消息是否属于与车辆中的通信节点330的正常通信连接。此外，认证信息可以包括在消息中，以验证在通信节点330处从车辆外部的外部装置接收到的消息的发送或接收是否成功，并且验证与车辆外部的外部装置的通信连接。

例如，通信节点330可以检查包括在数据帧中的MAC报头的目的地地址字段和源地址字段，以识别数据的来源和目的地。此外，通信节点330可以检查包括在数据帧中的MAC报头的目的地址字段和源地址字段，以确定是否从能够连接到车辆的以太网的正常(即，注册的)通信节点接收到消息。即，通信节点330可以通过识别包括在数据帧中的MAC报头的目的地地址字段和源地址字段来确认是否已经从注册的内部装置或注册的外部装置正常接收到消息。

在接收到消息时，通信节点330可以将接收到的消息的源地址(例如，源MAC地址)与存储在存储器中的地址表的信息进行比较。这里，通信节点330可以确定存储在存储器中的地址表的信息是否与从车辆的内部或外部装置接收的消息的源地址匹配。即，通信节点330可以将存储在存储器中的地址表的信息与接收到的消息的源地址进行比较，以确定在通信节点330处接收的消息的源地址是否存在于通信节点330的存储器的地址表中。因此，可以确定在通信节点330处接收到的消息是否是从正常(注册或认证的)车载装置或外部装置接收的正常消息。

作为确定的结果，当接收到具有与存储在通信节点330的存储器中的地址表不匹配的源地址的消息时，通信节点330可以将消息和关于通过其接收消息的通信端口(即，端口号)的信息发送到能够验证车辆的所有控制器的源地址的管理节点320。即，如果在通信节点330处接收的消息的源地址未出现在通信节点330的存储器中存储的地址表中，则通信节点330可以将接收到的消息和接收的消息的源地址的信息发送到管理节点320。

例如，地址表存储在管理节点320的存储器中。该地址表存储设置在车辆内部的网关、交换机和终端节点以及从车辆外部连接的通信节点的源地址。因此，管理节点320可以通过使用地址表来验证网关、交换机、终端节点和外部通信节点的源地址。通信节点330可以通过连接到管理节点320的特定通信端口，发送如图6所示的源地址信息，用于对接收到的消息的源地址进行认证。

尽管图3和图4示出了通信节点330和管理节点320分别具有五个通信端口，但是可以根据连接的设备的数量来改变通信端口的数量。

管理节点320可以包括存储器(未示出)和多个通信端口，并且能够经由特定通信端口从通信节点330接收消息和该消息的源地址信息。例如，通信节点330可以将图6所示的源地址信息发送到管理节点320。

网关(GW)可以被应用为管理节点320，并且由PHY层和控制器执行的至少一个指令存储在管理节点320的存储器中。而且，管理节点320的存储器可以存储包括车辆的所有通信节点(网关、交换机、终端节点等)的源地址(例如，源MAC地址)的地址表。此外，管理节点320的存储器可以存储用于从车辆外部连接的外部通信节点的源地址表。

例如，如下面的表格2所示，管理节点320的相应通信端口的源MAC地址可以以表格的形式存储在管理节点320的存储器中。此外，在管理节点320的存储器中，通信节点330的相应通信端口的源MAC地址可以以表格的形式存储。

[表格2]

在表格2中，‘GW’表示管理节点320，“ECU1”表示连接到管理节点320的通信节点330。此外，描述分配给管理节点320的相应通信端口的MAC地址和分配给通信节点330的相应通信端口的MAC地址。

当在管理节点320处从通信节点330接收到消息的源地址时，管理节点320可以将接收的源地址与存储在存储器中的地址表的信息进行比较。因此，管理节点320可以确定存储在存储器中的地址表的信息是否与从通信节点330接收的消息的源地址匹配。即，管理节点320可以确定是否正常从预先注册的控制器(车辆的内部装置和外部装置)接收到消息。这里，存储在管理节点320的存储器中的地址表可以包括关于车载装置的MAC地址和从车辆外部连接的外部装置的MAC地址的信息。

如果存储在存储器中的地址表中的信息与从通信节点330接收的源地址信息匹配，则管理节点320可以确定已经从车辆的内部装置接收到消息。相应地，管理节点320可以确定在车辆的内部装置之间发生通信错误。即，当从通信节点330接收到的源地址存在于存储器中存储的地址表中时，管理节点320可以确定在车辆的内部装置之间存在通信错误。此时，管理节点320可以将关于接收到的消息的源地址的信息发送到通信节点330。通信节点330可以通过将从管理节点320接收的源地址添加到存储在存储器中的其地址表中来更新其地址表。

然后，管理节点320可以在管理节点320的存储器中存储指示在车辆的内部装置之间的通信错误的诊断故障码(DTC)。即，虽然在通信节点330处接收的帧的源地址与存储在通信节点330的存储器中的地址表的MAC地址信息不匹配，但是可能发生在通信节点330处接收的帧的源地址与存储在管理节点320的存储器中的地址表的MAC地址匹配的情况。在这种情况下，管理节点320可以确定发生了通信错误，并且在管理节点320的存储器中存储指示在车辆的内部装置之间的通信错误的诊断故障码(DTC)。

此外，管理节点320可以以视觉方式和听觉方式中的至少一种方式向用户(或驾驶员)显示指示在车辆的内部装置之间的通信错误的DTC。即，可以打开指示DTC的警告灯，或者在显示屏幕上显示DTC。也可以输出指示DTC的警告声或输出作为音频信号的DTC。这可允许警告用户(或驾驶员)在内部控制器之间的通信错误。此外，管理节点320可以将指示车辆的内部装置之间的通信错误的DTC发送到诊断设备310，以更新车辆的网关、交换机和终端节点的固件。此外，管理节点320可以引导用户(或者驾驶员)需要重新设置内部控制器的连接的服务。

作为另一实例，如果存储在存储器中的地址表的MAC地址和从通信节点330接收的帧的源地址不匹配，则管理节点320可以执行具有已经发送的消息的装置的认证过程。此时，当存储在存储器中的地址表的MAC地址和从通信节点330接收的帧的源地址不匹配时，管理节点320可以确定已经从最近连接到车辆的网络的外部通信节点接收到该消息。

然后，管理节点320可以识别包括在接收到的消息中的认证信息。即，当接收到的消息的认证信息不存在或者包括在消息中的认证信息与预设的认证信息不匹配时，管理节点320可以确定已经从连接到车辆的以太网的未认证的(即，未注册的)外部装置接收到该消息。即，管理节点320可以确定已经从未认证的外部装置接收到消息。

如果发送消息的外部装置是由车辆的制造商认证的装置，则管理节点320可以确定由于通信节点330未认识到新的通信节点而发生通信错误。

此外，管理节点320可以将由制造商认证的正常外部装置的源地址添加到存储在管理节点320的存储器中的地址表。

此外，在从制造商认证的正常外部装置接收到消息的情况下，管理节点320可以向通信节点330发送认证结果作为检查消息的认证信息的结果。

此外，管理节点320可以将由制造商认证的正常外部装置的源地址发送到与其连接的其他通信节点、交换机或网关。

从管理节点320接收认证结果的通信节点330可以将由制造商认证的正常外部装置的源地址添加到存储在通信节点330的存储器中的地址表。此外，通信节点330可以将接收到的消息的认证结果和源地址发送到连接到通信节点330的其他通信节点、交换机和网关，以便更新其他通信节点、交换机和网关的地址表。

同时，在管理节点320确定已经从未被车辆的制造商认证的外部装置(移动通信装置或物联网(IoT)装置)接收到消息的情况下，管理节点320可以确定由于外部安全威胁(例如，黑客行为)而发生通信错误。即，在已经从未被车辆制造商认证的外部装置接收到消息的情况下，管理节点320可以确定由于外部安全威胁(例如，黑客行为)而发生通信错误。然后，管理节点320可以向通信节点330发送认证结果，以通知由于外部安全威胁而发生通信错误。在从管理节点320接收到认证结果时，通信节点330可以断开连接到未认证的外部装置的通信端口的通信连接。此时，通信节点330可以通过断开连接PHY层和通信端口的切换单元来断开通信端口与未认证的外部装置之间的通信连接。

如上所述，在管理节点320从作为检查消息的认证信息的结果而未被制造商认证的错误外部装置接收到消息的情况下，管理节点320可以确定车辆网络存在安全威胁。即，管理节点320可以确定黑客试图从外部对车辆进入。

因此，管理节点320可以丢弃从黑客试图进入的外部装置接收的消息。此外，由于黑客威胁可能从错误外部装置连续地发生，所以管理节点320可以在管理节点320的存储器中存储有关尝试黑客行为的错误外部装置的源地址的信息，以阻止与错误外部装置通信。基于关于存储在存储器中的错误外部装置的源地址的信息，当在未来尝试来自错误外部装置的通信访问时，管理节点320可以阻止与错误外部装置通信。

此外，管理节点320可以向通信节点330发送关于尝试黑客行为的错误外部装置的源地址的信息。通信节点330可以在通信节点330的存储器内存储尝试黑客行为的错误外部装置的源地址。然后，基于关于存储在存储器中的错误外部装置的源地址的信息，当在未来尝试来自错误外部装置的通信访问时，通信节点330可以阻止与错误外部装置通信。

如上所述，用于基于以太网交换机具有的信息诊断通信错误并且检测未注册装置的系统可以在管理节点320的存储器中存储和管理关于的车辆的内部装置和外部装置的源地址的信息，使得可以防止由于未认证的外部装置的通信连接和黑客尝试而导致的车载网络中的地址变化。

根据本公开的系统和方法可以允许以限制的方式更新设置在车辆中的控制器的地址表，以便防止未经认证的外部装置的通信连接和黑客攻击。

例如，车辆的制造商可以在交付车辆之前操作初始模式(或诊断模式)，将诊断设备310连接到车辆的以太网，并且在设置在车辆中的至少一个通信节点330和管理节点320上进行MAC学习。连接到至少一个通信节点330的控制器的源地址可以通过诊断设备310更新到存储在至少一个通信节点330的存储器中的地址表。另外，连接到管理节点320的控制器的源地址可以通过诊断设备310更新到存储在管理节点320的存储器中的地址表。即，可以在管理节点320的存储器中更新设置在车辆中的所有控制器的MAC地址。

这里，管理节点320的ECU和通信节点330的ECU可以被配置为除了初始模式之外不单独地更新地址表。当对存储在管理节点320的存储器中的地址表进行变化时，关于该变化的信息可以发送到服务器，使得可以系统地执行车辆的管理。即，可以向服务器发送关于驾驶员无意的地址表的变化的信息，从而可以管理由于外部装置的访问而导致的车辆黑客的风险。

因此，用于基于以太网交换机的信息诊断通信错误的系统并且检测未注册装置的系统不会在每次车辆的内部装置的源地址改变时更新固件，而是仅以预定模式(例如，初始模式或诊断模式)更新固件或源地址。这使得可以防止由于未认证的外部装置的通信连接和黑客尝试而导致的车辆中的数据的变化。

图7示出了应用本公开的实施例的基于以太网的车辆网络的概念图。

参考图7，车载以太网可以包括管理节点320、第一通信节点330和第二通信节点340。诊断设备310可以位于车辆外部，并且管理节点320、第一通信节点330和第二通信节点340可以位于车辆内部。

在图7中，示出了相机控制器被应用为第二通信节点340(例如，环视显示器(AVM))的实例。用于拍摄外部环境的相机342可以设置在车辆中，并且第二通信节点340和相机342可以通过通信端口连接。

可以通过设置在车辆中的通信节点的故障或破坏来进行通信节点的替换。例如，当替换第二通信节点340时，第二通信节点340的相应通信端口的源地址会改变。由于现有的第二通信节点340的源地址存储在第一通信节点330和管理节点320的存储器中存储的地址表中，所以第二通信节点340的现有源地址和新源地址会变得不一致。即，存储在第一通信节点330和管理节点320的存储器中存储的地址表中的现有第二通信节点340的源地址和最近替换的第二通信节点340的源地址会变得不一致。

因此，在根据本公开的实施例的系统和方法中，可以在分别存储在第一通信节点330和管理节点320的存储器内的地址表中更新被替换的新控制器(例如，第二通信节点340)的源地址。

例如，车辆的以太网可以连接到诊断设备310，并且诊断设备310可以用于向管理节点320发送命令，以进入诊断模式。管理节点320可以基于接收到的诊断模式进入命令来引起设置在车辆中的所有控制器的地址表的更新。具体地，管理节点320可以向与其连接的通信节点(终端节点、交换机、网关等)发送诊断模式进入命令。从管理节点320接收诊断模式进入命令的每个通信节点(终端节点、交换机、网关等)可以通过执行MAC学习操作来更新其地址表。

这里，要最新替换的第二通信节点340的ECU可以将包括关于其源地址的信息的地址表发送到第一通信节点330。

第一通信节点330可以将最新替换的第二通信节点340的源地址的信息更新至其地址表。第一通信节点330可以将关于最新替换的第二通信节点340的源地址的信息发送到与其连接的其他通信节点。已经接收到关于最新替换的第二通信节点340的源地址的信息的每个通信节点可以在其自己的地址表中更新第二通信节点340的源地址。然后，每个通信节点可以将每个更新的地址表发送到管理节点320。管理节点320可以仅在其处于诊断模式时更新其地址表，以便防止未认证的外部通信节点的通信连接和黑客尝试。

图8示出了根据本公开的实施例的用于说明聚焦用于基于以太网交换机的信息检测通信错误和更新源地址的方法的通信节点的操作的序列图。

参考图8，当在第一通信节点330处从第二通信节点340接收到消息时(S110)，第一通信节点330可将接收到的消息的源地址与存储在存储器中的地址表的信息进行比较(S120)。由此，第一通信节点330可以确定接收到的消息是否是从车载装置(通信节点)或注册的正常外部装置发送的正常消息。

作为步骤S120中的比较的结果，如果接收到的消息的源地址存在于存储器中存储的地址表中，则第一通信节点330可以确定从第二通信节点340接收到正常消息。然后，第一通信节点330可以与发送消息的第二通信节点340保持通信连接(S130)。即，如果接收到的消息的源地址存在于存储在存储器中的地址表中，则第一通信节点330可以确定与另一个通信节点(即，第二通信节点340)存在正常的通信连接。

另一方面，如果在步骤S120中确定从第二通信节点340接收的消息的源地址未存在于存储在第一通信节点330的存储器中的地址表中，则第一通信节点330可以将关于接收到的消息和接收到的消息的源地址的信息发送到管理节点320(S140)。此时，第一通信节点330可以通过连接到管理节点320的特定通信端口发送关于图6所示的源地址和接收到的消息的信息，用于认证接收到的消息的源地址。

这里，由于车辆的所有通信节点(内部装置和外部装置)的源地址存储在管理节点320的存储器中，所以所有控制器的源地址的验证和消息的认证是可能的。

然后，当在管理节点320处从第一通信节点330接收到消息和关于源地址的信息时，管理节点320可以将接收的源地址与存储在存储器中的地址表的信息进行比较(S150)。

即，管理节点320可以确定接收到的消息的源地址是否与存储在管理节点320的存储器中的地址表的信息匹配，并且确定是否已经从注册的(认证的)通信节点(车辆的内部装置或外部装置)中接收到消息。

作为步骤S150的比较的结果，如果接收到的消息的源地址存在于存储在管理节点320的存储器中的地址表中，则管理节点320可以确定在内部通信节点之间发生通信错误(S160)。即，当从通信节点330接收的源地址存在于存储在管理节点320的存储器中的地址表中时，管理节点320可以确定在车辆的内部装置之间存在通信错误。

然后，管理节点320可将接收到的消息的源地址的验证结果发送到第一通信节点330(S170)。

然后，第一通信节点330可以基于接收到的消息的源地址的验证结果将源地址添加到存储在存储器中的地址表(S180)。

同时，管理节点320可以在管理节点320的存储器中存储指示车辆的内部装置之间的通信错误的DTC，并且向驾驶员显示指示通信错误的DTC(S190)。

图9示出了根据本公开的实施例的用于说明聚焦用于基于以太网交换机的信息检测未注册装置和更新源地址的方法的通信节点的操作的序列图。

参考图9，步骤S110到S150的操作与图8的操作相同。因此，将省略其详细描述。

作为步骤S150的比较的结果，如果接收到的消息的源地址未存在于存储在管理节点320的存储器中的地址表中，则可以进一步执行发送消息的通信节点的认证处理。管理节点320可以识别包括在接收到的消息中的认证信息(S260)。

这里，当存储在存储器中的地址表的MAC地址和由通信节点330接收的源地址信息不匹配时，管理节点320可以确定已经从车辆的外部装置接收到消息。

作为步骤S260的结果，如果用于接收到的消息的认证信息不存在或者包括在消息中的认证信息与预设认证信息不匹配，则管理节点320可以确定发生认证失败(例如，黑客尝试)(S270)。

具体地，当用于接收到的消息的认证信息不存在或者包括在消息中的认证信息与预设认证信息不匹配时，管理节点320可以确定未认证的外部装置(即，未注册的外部装置)连接到车辆的以太网。即，管理节点320可以确定已经从未认证的外部装置接收到消息并发生了安全威胁(黑客尝试)。以这种方式，当作为检查消息的认证信息的结果确定从未被制造商认证的错误外部装置接收到消息时，管理节点320可以丢弃从未认证的外部装置接收的消息。

另一方面，如果在步骤S260中确定包括在消息中的认证信息与预设认证信息相同，则管理节点320可以确定认证成功，并确定已经从被制造商认证的外部装置中接收到消息。然后，管理节点320可以将经认证的外部装置的源地址添加到存储在管理节点320的存储器中的地址表(S270)。

然后，管理节点320可将认证结果发送给第一通信节点330(S280)。

如果在步骤S270中，认证失败，则第一通信节点330可以阻止与未认证的装置的通信连接，因为确定已经从未认证的外部装置接收到消息(S290)。第一通信节点330可以立即阻止来自外部装置的通信并丢弃所接收的消息。

此外，如果在步骤S270中，认证失败，则第一通信节点330可以将认证的外部装置的源地址添加到存储在存储器中的地址表(S290)。

然后，管理节点320可以将关于已经尝试黑客行为的外部装置的源地址的信息存储到管理节点320的存储器，从而可以阻止与错误外部装置的通信。

此外，管理节点320可以将接收到的消息的认证结果和关于源地址的信息发送到连接到管理节点320的其他通信节点(终端节点、交换机、网关等)(S300)。

从管理节点320接收认证结果和关于源地址的信息的终端节点、交换机和网关中的每个可以基于认证结果更新存储在存储器中的地址表。

如上所述，根据本公开的实施例的基于以太网交换机的信息的系统和方法可以在管理节点320的存储器中存储和管理关于车辆的内部装置和外部装置的源地址的信息。因此，可以通过检查从外部装置接收的消息的认证信息来防止由于未认证的外部装置的通信连接和黑客尝试而导致的车载地址的变化。

此外，根据本公开的实施例的基于以太网交换机的信息的系统和方法可以允许对设置在车辆中的装置的地址表进行受限制的更新，以防止未认证的外部装置的通信连接和黑客尝试。

根据本公开的实施例的方法可以被实现为可由各种计算机执行并记录在计算机可读介质上的程序指令。计算机可读介质可以包括程序指令、数据文件、数据结构或其组合。记录在计算机可读介质上的程序指令可以具体地被设计和配置为用于本公开，或者可以是公知的，并且对计算机软件领域的技术人员是可用的。计算机可读介质的实例可以包括具体地被配置为存储和执行程序指令的硬件装置，例如，ROM、RAM和闪存。程序指令的实例包括例如由编译器制作的机器代码以及由计算机使用解释器可执行的高级语言代码。上述示例性硬件装置可以被配置为作为至少一个软件模块进行操作，以便执行本公开的操作，反之亦然。

虽然上面已经详细描述了本公开的实施例及其优点，但是应当理解，在不脱离本公开的范围的情况下，可以进行各种改变、替换和变更。

Claims (11)

1.一种构成基于以太网的车辆网络的多个通信节点之中的第一通信节点的操作方法，包括以下步骤：

从第二通信节点接收消息；

确定所述消息的源地址是否存在于存储在所述第一通信节点中的第一地址表中；

响应于确定所述消息的所述源地址未存在于所述第一地址表中，将所述消息和关于所述消息的所述源地址的信息发送到管理节点；

从所述管理节点接收所述消息的所述源地址的验证结果；

当所述验证结果为所述源地址未存在于存储在所述管理节点中的第二地址表中时，从所述管理节点接收所述消息的认证结果；以及

当基于所述认证结果确定所述消息被认证时，将所述源地址添加到所述第一地址表中，

其中，当所述验证结果为所述源地址存在于存储在所述管理节点中的第二地址表中时，确定在构成所述基于以太网的车辆网络的通信节点之间出现通信错误。

2.根据权利要求1所述的操作方法，还包括当基于所述验证结果确定所述消息的所述源地址存在于存储在所述管理节点中的第二地址表中时，将所述源地址添加到所述第一地址表中。

3.根据权利要求1所述的操作方法，还包括将关于所述源地址的信息发送到连接至所述第一通信节点的第三通信节点。

4.根据权利要求1所述的操作方法，还包括当基于所述认证结果确定所述消息未被认证时，断开在所述第一通信节点和所述第二通信节点之间的通信连接。

5.一种在基于以太网的车辆网络中的管理节点的操作方法，包括以下步骤：

当消息的源地址未存在于存储在第一通信节点中的第一地址表中时，从第一通信节点接收消息和关于所述消息的源地址的信息；

通过确定所述消息的源地址是否存在于存储在构成基于以太网的车辆网络的所有通信节点中的地址表中，执行所述源地址的验证；

将所述源地址的验证的验证结果发送到所述第一通信节点，

响应于确定所述消息的源地址未存在于所述地址表中，执行所述消息的认证；

将所述消息的认证的认证结果发送给所述第一通信节点；以及

当基于所述认证结果确定所述消息被认证时，将所述源地址添加到所述地址表中，

其中，当所述验证结果指示所述消息的所述源地址存在于所述地址表中时，确定在构成所述基于以太网的车辆网络的所有通信节点的至少一部分之间出现通信错误。

6.根据权利要求5所述的操作方法，还包括当所述源地址存在于所述地址表中时，将所述源地址和所述源地址的验证结果发送到连接至所述管理节点的第二通信节点。

7.根据权利要求5所述的操作方法，还包括当所述源地址存在于所述地址表中时，在存储器中存储指示所述通信错误的诊断故障码，并以视觉方式和听觉方式中的至少一种方式，显示所述诊断故障码。

8.根据权利要求7所述的操作方法，还包括将所述诊断故障码发送到连接到所述管理节点的诊断设备。

9.根据权利要求5所述的操作方法，还包括当基于所述认证结果确定所述消息被认证时，将所述源地址和所述认证结果发送到第二通信节点。

10.根据权利要求5所述的操作方法，还包括当基于所述认证结果确定所述消息未被认证时，丢弃所述消息并将所述源地址和所述认证结果发送到所述第一通信节点和连接至所述管理节点的第二通信节点。

11.一种构成基于以太网的车辆网络的管理节点，包括处理器以及存储由所述处理器执行的至少一个指令和构成所述基于以太网的车辆网络的所有通信节点的地址表的存储器，其中，所述至少一个指令被配置为：

当消息的源地址未存在于存储在第一通信节点中的第一地址表中时，从第一通信节点接收消息和关于所述消息的源地址的信息；

通过确定所述消息的源地址是否存在于所述地址表中，执行所述源地址的验证；

将所述源地址的验证的验证结果发送给所述第一通信节点，

响应于确定所述消息的源地址未存在于所述地址表中，执行所述消息的认证；

将所述消息的认证的认证结果发送给所述第一通信节点；以及

当基于所述认证结果确定所述消息被认证时，将所述源地址添加到所述地址表中，

其中，当所述验证结果指示所述消息的所述源地址存在于所述地址表中时，确定在构成所述基于以太网的车辆网络的所有通信节点的至少一部分之间出现通信错误。

Images