CN107948176A - 一种面向can网络的信息安全增强方法及控制器 - Google Patents

Abstract

一种面向CAN网络的信息安全增强方法及控制器，所述控制器包括：跳变控制模块(1)、应用层ID模块(2)、ID跳变表模块(3)、消息计数器(4)、接收过滤器(5)。消息发送状态：控制器将应用层的消息ID映射为物理层ID后再经物理线路传输；接收状态：物理层ID在通过接收过滤器(5)后，控制器将消息ID将还原为应用层ID并写入FIFO缓存。所述方法通过消息计数器同步和相对优先级映射保障各ECU所存储的ID表格处在同一页面，且各时刻下全局ID的优先级相对顺序固定，实现物理层ID传输的匿名化。本发明可有效提高CAN网络防逆向工程能力和抵御重放伪装等攻击，兼容现有汽车网络应用设计，具有实时不占带宽的特点。

Description

一种面向CAN网络的信息安全增强方法及控制器

技术领域

本发明是一种面向CAN网络的信息安全增强方法及控制器，特别是一种实时的信息安全增强方法和CAN信息安全增强控制器设计，可用于汽车电子网络、工业设备现场控制网络等多种工业系统领域。

背景技术

随着汽车不断朝着智能化、互联化和电动化以及无人驾驶方向的的不断发展，越来越多的汽车电子内部网络开始通过OBD、WIFI、Bluetooth等接口与外部网络进行通信，一方面給汽车赋予更多智能化和舒适的功能，同时也給汽车带来了新的信息安全问题，CAN网络作为使用最为广泛的一种汽车内部网络，其本身的设计的初衷在于提供一种高效率、稳健的现场总线网络，旨在降低链接汽车各个ECU的线束和降低汽车生产成本，提高效率，并没有考虑信息安全方面的问题，已有研究者通过实验实现了对汽车的远程无线攻击和控制，越来越多的研究表明针对汽车CAN网络的安全攻击成为可能，例如Dos攻击和重放攻击，针对CAN网络的安全攻击将造成严重的用户生命财产损失；然而CAN在设计之初没有考虑信息安全的问题，缺乏消息认证和数据加密的功能，但在汽车领域通过CAN网络互联的ECU往往是安全关键的，例如防抱死系统（Anti-lock Braking System (ABS)）等，这类系统有着严格的端到端的时延和强实时间约束，因此在设计信息安全增强方法的同时需要考虑到计算和通信时间开销給这类系统带来的问题。

针对CAN的信息安全增强设计显得尤其重要，现有研究在进行信息安全争强的同时不免带来了更多的计算和通信开销，而本发明旨在不增加计算资源和通信开销的情况下，利用CAN网络本身的广播通信的特性，采用了消息计数器作为同步参数，提出一种消息ID跳变的信息安全增强方法，并为实现本方法设计了基于FPGA的信息安全增强控制器设计，这种优化方案也符合当代汽车系统的增量设计风格，即在不改变原有平台的前提下仅对当前系统进行渐进式的升级。

CAN网络是一种基于广播的消息ID优先级总线，1986年由Robert Bosch GmbH发明，被设计用于满足汽车实时系统下串行总线要求，具有良好的抗干扰能力和较高的带宽，现在已经成为汽车总线协议的标准规范，被广泛应用于汽车领域，CAN具有四种不同的协议帧。其中基本协议帧由仲裁ID域、控制域、数据域、CRC域、ACK域和帧结束符以及3 bits的帧间隔位组成，其中普通帧仲裁ID域为11 bits，扩展帧为29 bits。CAN采用无损仲裁方式解决消息并发冲突，ID域即作为消息的接收目的节点识别符，同时也是消息传输冲突时用于仲裁的优先级，其中ID数值越小，优先级越高。

目前的CAN协议及其信息安全增强方法存在以下不足：

1）一般的CAN协议本身没有安全机制，CAN协议是一种基于广播的串行总线网络，因此一旦被非法接入，攻击者即可实现消息侦听、重放、伪装攻击等行为，CAN消息采用基于优先级的无损仲裁机制，其消息ID数值越小，优先级越高；

2）现有的信息安全增强方法主要包括，消息加密、MAC等方法、CAN+三种类型，其中消息加密需要消耗大量的计算资源和时间开销，MAC的方法不可避免的需要消耗消息桢的有效数据段，而CAN协议的数据段资源仅有16 Bytes，CAN+协议需要通过握手等方式实现消息的认证，这将需要额外的消息，降低了网络有效利用，另外更重要的是，以上针对CAN的信息安全增强方法都将影响CAN消息的可调度行分析，这对汽车电子这类安全关键的实时系统将造成重大影响。

综上，现有的CAN是一种缺乏信息安全保护机制的网络协议，而现有的信息安全增强方案又将带来计算和时间的开销，且将影响系统消息的可调度性。

发明内容

本发明的首要目的是，针对当前CAN协议无法提供信息安全保障，且现有针对CAN协议提出的信息安全争强方法存在计算和通信带宽及时间开销的问题，提供一种实时，符合汽车产品开发特点的CAN协议信息安全增强方法，并通过FPGA设计了专用控制器来实现该方法，通过采用本发明方法能够有效抵御CAN网络中的重放，伪装等攻击，提高系统防范逆向工程的效果，使用本发明可兼容现有系统设计，因此具有经济高效的特点。

为解决上述技术问题，本发明采用以下技术方案，一种面向CAN网络的信息安全增强方法及控制器， 它的步骤为：

（1）根据系统设计需求和资源约束，完成可调度性分析、消息集分配及消息优先级ID分配后确定系统ECU集合E{ e ₁,e ₂,e ₃,…,e _n }中所有ECU节点的应用层消息数量N及其相对优先级顺序P _m{p ₁,p ₂,…,p _n}，根据系统需求对ECU进行消息分配，确定各个ECU所包含消息子集E _i (m ₁,m ₂,m ₃,…,m _n)（包括发送和接收消息）；

（2）从可用CAN消息ID可选范围0-2048中选取数量为N的不重复消息ID集按照优先级从高到低的顺序排序后作为一组物理层ID作为一页ID组，按信息安全级别的1、2、3级分布生成4、8、16组组合系统层面ID_hopping_table；

（3）根据消息子集E _i (m ₁,m ₂,m ₃,…,m _n)、P _m{p ₁,p ₂,…,p _n}和系统层ID_hopping_table按照消息分配，生成ECU层面E _i _ID_hopping_table，并依据其中各页ID接收消息集合生成各ECU对应的新的掩码及消息过滤寄存器相加后得到新的E _i _ID_hopping_table；

（4）在系统生成部署阶段将E _i _ID_hopping_table和排序后的应用层ID集E _i (m ₁,m ₂,m ₃,…,m _n)写入到各ECU的CAN安全增强控制器寄存器当中，其中寄存器写入后锁定为只可读模式；

（5）系统通过启动指令0x000进行服务和启动，系统运行中所有ECU中安全增强控制器对当前网络传输的消息进行计数，当收到同步跳变指令或计数器累计到达触发跳变阀值，全局ECU同步跳变到下一页物理层ID组。

一种面向CAN的信息安全增强方法及控制器，所述控制器包括跳变控制模块(1)、排序后的应用层ID存储模块(2)、ID_hopping_table存储模块(3)、消息计数器模块(4)以及接收过滤器(5)，所述跳变控制器模块其功能为控制同步跳变，控制应用层消息ID到物理层消息ID的映射，实现对物理层消息ID到应用层消息ID的还原和FIFO写入，通过对接收过滤器寄存器及掩码的写入等保障伪装和重放攻击的消息ID被阻隔，符合要求的消息ID将被接收处理。

作为本发明的进一步改进，所述ID_hopping_table的生成步骤为：

（1）根据系统设计需求和资源约束，通过可调度性分析、消息集分配及消息优先级ID分配，确定系统ECU集合E{ e ₁,e ₂,e ₃,…,e _n }中所有ECU节点的应用层消息数量N及其相对优先级顺序P_m{p ₁,p ₂,…,p _n}，根据系统需求确定ECU于消息集之间的关系，确定各个ECU所包含消息子集E _i (m ₁,m ₂,m ₃,…,m _n)（包括发送和接收消息）；

（2）从可用CAN消息ID可选范围0-2048中选取数量为N的消息ID集按照优先级从高到低的顺序排序后作为一组物理层ID集作为一页ID集，按信息安全级别的1、2、3级分布生成4、8、16组组合系统层面ID_hopping_table=IDs[N_page][k][11or29 bits]，其中可用组合ID数可通过组合计算公式:

（1）

得到，例如对于一个包含200个消息集的CAN网络系统，其中n为2018，k为200，那么可用ID组合为，这将是一个非常巨大的数，为我们的系统实现物理层多样ID提供了支撑;

（3）为提高系统的安全性能，我们希望得到的ID_hopping_table具有更好的多样性，非格式化的组合，其中目标函数为得到信息熵最大化的ID_hopping_table。为计算所生成ID_ hopping_table的信息熵，定义CAN系统，其中为时间窗口T内出现的系统ID集合，为系统消息ID周期（周期消息）或最小间隔时间（非周期消息），因此在观察时间T内，系统消息ID的信息熵可表示为：

（2）

由于本步骤是在系统设计通过可调度性分析以后的，因此在时间T内系统可能会出现的总ID数量N _total 可通过公式：

（3）

计算得到，另外id _i 在时间T内将出现的次数为，进而id _i 在时间T内出现的概率P（id _i ）可表示为：

（4）

显然可见的是，，P（id _i ）>0 (i=1,2,…,n)。因此id _i 的不确定性参数为：

（5）

因此在采样周期T内，id _i 的信息熵可计算为：

（6）

系统在采用周期T内的平均信息熵则可表示为：

（7）

因此根据以上分析方法，可采用模拟退火等启发式算法或ILP工具生成目标ID_ hopping_table，所述ID_hopping_table是在系统设计阶段生成的，因此其生成时间开销对系统运行本身不会产生影响。

以现有技术相比，本发明的优点在于：

（1）不改变应用层消息ID，通过信息安全增强控制器设计，实现物理层消息ID的多样化和匿名化；

（2）由于消息相对优先级顺序没有发生改变，因此基于ID仲裁和优先级分配的CAN消息可调度性分析模型没有发生变化，可以很好的确保消息可调度性，同已有系统设计和上层协议进行兼容；

（3）由于通过FPGA硬件实现消息的转换和映射，响应时间短，时间开销小，可应用于安全关键的系统领域；

（4）由于物理层实际传输的消息ID在不断跳变，提高了系统抗逆向工程和匿名及重放攻击的能力。

一种面向CAN网络的信息安全增强方法及控制器，存在两种情况将触发ID表格页面的跳变，1）在消息跳变阶段，当网络中成功传输的消息数量达到触发阀值（本实施里中为8），网络中所有ECU对物理层ID页面进行一次跳变，所述跳变包括下一页面或跨跃性跳变，于此同时，各ECU节点根据当前物理层消息ID页面及所需要接收的消息ID得到新的消息接收过滤参数寄存器。以达到对非本节点消息的过滤功能，2）当网络中设定为控制节点的ECU发出同步跳变指令，ID为0x000，所有ECU节点在接收到该指令后，网络中所有ECU对物理层ID页面进行一次跳变。

综上，可知本发明的工作原理是：通过控制器的设计和部署，利用相对优先级顺序将CAN网络中的应用层ID与物理层ID建立一种映射关系，在保证应用层消息ID不变的情况下，通过设计阶段预先生成多组物理层消息ID，在系统运行过程中，通过跳变控制器和同步参数来对物理层信息ID进行动态的跳变动作，所述同步参数包括基于CAN广播特性的消息计数器，和通过控制节点发出的高优先级ID，由于系统跳变的同步，和相对优先级的保持，系统可在保障实时性的同时，将实际物理层传输的ID进行动态变化，可有效的抵御重放、伪装、目标DOS等攻击，且能够提高逆向工程的防御能力。

本发明公开了一种面向CAN网络的信息安全增强方法及控制器，通过控制器将CAN应用层ID转变为一种动态跳变的物理层ID，1）在消息发送状态通过网络控制器将应用层的消息ID映射为物理层ID，然后再通过物理层传输；2）在消息接收状态将通过接收过滤器后的接收的物理层ID还原为应用层ID，写入FIFO供应用层使用，所述方法各时刻消息优先级相对顺序不变，其中应用层ID根据系统设计需求确定，物理层ID根据应用层ID相对优先级顺序及同步参数查表获取，所述表格为ID跳变表格，所述ID包括11 bits和29 bits两种，所有ECU当前物理层ID页可通过消息计数器进行跳变同步，所述控制器为一种用于连接应用层和物理层的网络控制器，包括跳：变控制模块(1)、排序后的应用层ID存储模块(2)、ID_ hopping_table存储模块(3)、消息计数器模块(4)以及接收过滤器(5)；本发明可实现物理层ID的匿名化，通过采用本发明方法能够有效防御CAN网络中的重放攻击，伪装攻击，提高系统防止逆向工程的能力，可兼容现有系统设计和上层协议规范（例如SAE J1939），具有实时、不占用通信带宽和经济高效的特点。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1 是 发明实施例中，一种基于FPGA的信息安全增强CAN控制器及方法。

图2 是发明实施例中，普通CAN系统设计流程和本发明基于ID跳变的CAN设计流程对比图。

图3 是 一个消息ID跳变的实例。

图4 是分别从消息和ECU的视角来看ID_hopping_table。

图5 是 消息ID跳变的数据流图。

图6 是控制器设计框图。

附图标记说明：1.跳变控制模块， 2.排序后的应用层ID存储模块，3.ID_hopping_ table存储模块， 4.消息计数器模块，5.以及接收过滤器。

具体实施方式

以下将结合说明书附图和具体实施例对本发明做进一步详细说明。

如图1所示，本发明提供一种信息安全争强的CAN其控制器及方法，CAN协议可分为应用层、数据链路层和物理层，消息ID在各个层分别为应用层ID物理层ID和数据链路层ID，其中本发明一种信息安全争强的CAN方法及其控制器工作与数据链路层，在装配有本控制器的ECU节点，所述方法步骤为：

（1）根据系统设计需求和资源约束，完成可调度性分析、消息集分配及消息优先级ID分配后确定系统ECU集合E{ e ₁,e ₂,e ₃,…,e _n }中所有ECU节点的应用层消息数量N及其相对优先级顺序P _m{p ₁,p ₂,…,p _n}，根据系统需求对ECU进行消息分配，确定各个ECU所包含消息子集E _i (m ₁,m ₂,m ₃,…,m _n)（包括发送和接收消息）；

（2）从可用CAN消息ID可选范围0-2048中选取数量为N的不重复消息ID集以优先级从高到低的顺序排序后作为一组物理层ID作为一页ID组，按信息安全级别的1、2、3级分布生成4、8、16组组合系统层面ID_hopping_table；

（3）根据消息子集E _i (m ₁,m ₂,m ₃,…,m _n)、P _m{p ₁,p ₂,…,p _n}和系统层ID_hopping_table按照消息分配，生成ECU层面E _i _ID_hopping_table，并依据其中各页ID接收消息集合生成各ECU对应的新的掩码及消息过滤寄存器相加后得到新的E _i _ID_hopping_table；

（4）在系统生成部署阶段将E _i _ID_hopping_table和排序后的应用层ID集E _i (m ₁,m ₂,m ₃,…,m _n)写入到各ECU的CAN安全增强控制器寄存器当中，其中寄存器写入后锁定为只可读模式；

（5）系统通过启动指令0x000进行服务和启动，系统运行中所有ECU中安全增强控制器对当前网络传输的消息进行计数，当收到同步跳变指令或计数器累计到达触发跳变阀值，全局ECU同步跳变到下一页物理层ID组。

通过本发明，将CAN在保持应用层ID、在同一时刻下，新查表获取的物理层消息ID相对优先级同应用层ID相对优先级一致的情况，通过网络控制器的改进设计，是的物理层实际传输的消息ID在时间维度上，达到了多样化的动态变化的效果，而不是传统CAN网络中，一个消息对应一个ID在整个产品生命周期中保持不变的情况。

如图2所示，普通CAN系统设计流程和本发明基于ID跳变的CAN设计流程对比图，其中通用CAN系统设计消息ID可选范围0-2048中选取数量为N的消息ID集以优先级从高到低的顺序排序后作为一组物理层ID集作为一页ID集，然后根据设计分配到各ECU当中，而在本发明的ID跳变方法中，将通过ID_hopping_table生成算法按信息安全级别的1、2、3级分布生成4、8、16组组合系统层面ID_hopping_table，再分配到各ECU，并根据消息子集E _i (m ₁,m ₂,m ₃,…,m _n)、P _m{p ₁,p ₂,…,p _n}及系统层ID_hopping_table，得到ECU层面E _i _ID_hopping_ table，并依据其中各页ID接收消息集合生成各ECU对应的新的掩码及消息过滤寄存器相加后得到新的E _i _ID_hopping_table。

如图3所示，本实施例中，ID_hopping_table存储于数据链路层的控制器中，表的大小为Phy_IDs*Pages_number, 本实施例中为4*11。消息从一个ECU节点发送到另外一个ECU节点的过程为，从应用层的消息通过写入寄存器控制网络控制器进行发送操作的同时，本发明的控制器将通过该应用层ID所在优先级顺序，以及当前物理层ID页读取一个对应的物理层ID，用于网络发送，由于此刻接收ECU与发送ECU通过同步参赛，所在物理层页面为同一个，因此在通过该接收ECU的接收过滤器以后，该物理层ID被接收，并由本发明的控制器根据其所在物理层页的相对优先级顺序映射出应用层ID写入到FIFO寄存器缓存中，同时，由于非该消息的接收节点，通过接受过滤，将不是本节点的消息直接过来，而不会产生计算开销，由于物理层ID页面根据消息计数器在不断的跳变，因此可以通过该方法有效的抵御重放鹤匿名消息ID攻击。ID_hopping_table表，为一个三维ID表格，每一页ID表都可作为一个状态下的ID资源；其中从系统的角度看，包括系统中所有传输的消息ID，从ECU的角度考虑包括该ECU阶段收发的所有消息ID，从单个消息的角度看为一个ID系列；消息计数器，通过记录当前网络中成功传输的消息数量，接收过滤器模块，根据新的过滤设置来对非本节点消息进行过滤。

如图4所示，本发明消息ID的跳变方法分为，CAN系统中每一个消息对应一个独一无二的消息ID，因此在不同的时刻，每个消息的ID是不一样的，ID_hopping_table的大小取决于消息集的数量和跳变的页数IDs [N_page][k][11 or 29 bits]，如图4所示，可分别从消息的视角和从ECU的视角来看ID_hopping_table。

如图5所示，为本发明中消息ID从应用层到物理层、从物理层消息ID到应用层这样一个完整消息收发过程中的工作流，其中：

1）在消息发送状态，通过控制器将应用层的消息ID映射为物理层ID，然后再通过物理层传输，具体步骤为：当前ECU节点应用层消息ID通过查找网络所有节点应用层根据优先级排序后的ID表，得到消息的优先级顺序，根据该顺序参赛通过查找ID_hopping_table获取当前页的物理层消息ID表，得到新的物理层消息ID，将其替换掉原有消息带来的应用层ID后，消息通过网络控制器发送到物理线路；

2）在消息接收状态将物理层ID还原为应用层ID，写入FIFO供应用层使用，具体步骤为：当ECU接收到通过接收过滤器后的消息，通过查找ID_hopping_table获取当前页的物理层消息ID表，得到该消息的相对有优先级顺序参赛，根据该参数查找所有节点应用层根据优先级排序后的ID表，得到消息应用层ID，写入FIFO寄存器，供应用层使用。

如图6所示，所述控制器包括：跳变控制模块(1)、排序后的应用层ID存储模块(2)、ID_hopping_table存储模块(3)、消息计数器模块(4)以及接收过滤器(5)；所述跳变控制器模块其功能为控制同步跳变，控制应用层消息ID到物理层消息ID的映射，以及物理层消息ID到应用层消息ID的还原和FIFO写入，接收过滤器寄存器及掩码写入等保障本发明中基于消息ID跳变原理的实现；其中本发明基于开源社区OpenCores提供的CAN控制器Verilog源代码进行设计，该代码完全兼容SAJ1000控制器，支持CAN2.0A/B。消息发送阶段，控制器根据消息优先级相对顺序来来映射到当前状态下的物理层ID；消息接收阶段，控制器通过当前物理ID的相对优先级顺序来映射应用层ID，其中当前物理ID所在页面通过同步参赛来进行同步。

以上仅是本发明的基本事实方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出对于本技术领域的技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，应视为本发明的保护范围。

Claims (5)

1.一种面向CAN网络的信息安全增强方法及控制器，应用于CAN网络系统，其特征在于，CAN网络中所有ECU根据同步参数以查找ID_hopping_table的方式对系统物理层传输的ID进行同步跳变，实现物理层实际传输的ID的动态变化及匿名化，控制器实现ID从应用层到物理层及物理层到应用层的双向映射，该方法包括如下步骤：

（1）根据系统设计需求和资源约束，完成可调度性分析、消息集分配及消息优先级ID分配后确定系统ECU集合E{ e ₁,e ₂,e ₃,…,e _n }中所有ECU节点的应用层消息数量N及其相对优先级顺序P _m{p ₁,p ₂,…,p _n}，根据系统需求对ECU进行消息分配，确定各个ECU所包含消息子集E _i (m ₁,m ₂,m ₃,…,m _n)（包括发送和接收消息）；

（2）从可用CAN消息ID可选范围0-2048中选取数量为N的不重复消息ID集按照优先级从高到低的顺序排序后作为一组物理层ID作为一页ID组，按信息安全级别的1、2、3级分布生成4、8、16组组合系统层面ID_hopping_table；

（3）根据消息子集E _i (m ₁,m ₂,m ₃,…,m _n)、P _m{p ₁,p ₂,…,p _n}和系统层ID_hopping_table按照消息分配，生成ECU层面E _i _ID_hopping_table，并依据其中各页ID接收消息集合生成各ECU对应的新的掩码及消息过滤寄存器相加后得到新的E _i _ID_hopping_table；

（4）在系统生成部署阶段将E _i _ID_hopping_table和排序后的应用层ID集E _i (m ₁,m ₂,m ₃,…,m _n)写入到各ECU的CAN安全增强控制器寄存器当中，其中寄存器写入后锁定为只可读模式；

（5）系统通过启动指令0x000进行服务和启动，系统运行中所有ECU中安全增强控制器对当前网络传输的消息进行计数，当收到同步跳变指令或计数器累计到达触发跳变阀值，全局ECU同步跳变到下一页物理层ID组。

2.根据权利要求书1所述的方法，其特征在于，所述同步参数包括单不限于消息计数器，同步指令用ID，由中央控制器发出的同步专用指令0x001等。

3.根据权利要求书1所述的方法，系统层面ID_hopping_table其特征在于其中每一页的ID与应用层消息集可通过相对优先级顺序一一映射； 系统层面ID_hopping_table得到的ID多样化更强，具体表现为消息ID在物理层传输状态下具有较大值的信息熵。

4.根据权利要求书1所述的方法，一种安全增强控制器包括跳变控制模块(1)、排序后的应用层ID存储模块(2)、ID_hopping_table存储模块(3)、消息计数器模块(4)以及接收过滤器(5)；所述跳变控制器模块其功能为控制同步跳变，控制应用层消息ID到物理层消息ID的映射，实现对物理层消息ID到应用层消息ID的还原和FIFO写入，通过对接收过滤器寄存器及掩码的写入等保障伪装和重放攻击的消息ID被阻隔，符合要求的消息ID将被接收处理。

5.根据权利要求4所述的控制器，其特征在于，所属同步方法方法中的消息计数器同步是通过传统CAN控制器中ACK信号捕捉实现。