CN109541987A - 一种具有冗余结构的即插即用型智能汽车域控制器及方法 - Google Patents

Abstract

本发明涉及一种具有冗余结构的即插即用型智能汽车域控制器及方法，该域控制器通过硬件冗余方式设置有电源冗余结构、微控制器冗余结构、微处理器冗余结构、通信冗余结构、数据冗余结构以及余度管理模块，其中，微控制器冗余结构包括两个以上实现智能控制的微控制器MCU和辅助芯片，微处理器冗余结构为多嵌入式微处理器结构，通信冗余包括多路冗余总线；数据冗余结构包括两个以上数据存储单元；余度管理模块用于在发现故障或攻击时隔离、切换和重构域控制器输入输出通道及信号；该域控制器与整车连接后完成安全部署，适用于L3级及以上智能汽车或网联智能汽车。与现有技术相比，本发明具有安全性高、可靠性高、适应性强、跨平台通用性好等优点。

Description

一种具有冗余结构的即插即用型智能汽车域控制器及方法

技术领域

本发明涉及智能汽车领域中的域控制器，特别涉及一种具有冗余结构的即插即用型智能汽车域控制器及方法。

背景技术

近年来，得益于信息技术不断取得的重大突破，汽车行业进入信息化时代，汽车产品也逐步走向智能化、网联化。我国大力推进智能汽车及网联智能汽车发展，尤其是智能交通和物联网的发展不断推进着以汽车为节点的车联网的发展，汽车与外界之间的信息交互将更加频繁与复杂。然而在信息的交互过程中，来自外部的攻击或者被植入恶意的木马病毒等都将使汽车的电控系统遭到破坏，导致严重事故的可能性大增。切诺基就因为没有考虑到汽车与外界的接口及车内通信的信息安全，于2014年被黑客攻击导致大量车召回。当前车辆主要考虑其功能与成本，对通信的安全性考虑不足。控制器之间的通信都为明文传输，所传递的帧结构和通信协议都能获得，而且控制器无法验证所接收的报文帧来源身份，被入侵的总线系统会对整个车内的通信网络构成实质的威胁。当前许多汽车制造厂商也没有在设计域控制器之前就充分考虑到其安全性。

随着汽车向电动化、智能化、网联化及轻量化方向发展，汽车上的ECU数量逐年增加，汽车的整个电子电气架构趋于复杂。为了增强汽车对车载ECU的管理，将车辆电子电气架构分割为几个特定区域，包括动力总成域、车身域、底盘域、安全域及信息娱乐域，这些子网域分别由相应的域控制器管理。每个子网域通过车载以太网连接到高速的主干网，子网域内使用CANFD车载网络通信。电子电气架构采用域控制器能够简化车载网络、降低车内通信系统复杂性，将许多应用整合到高效能的域控制器内能够大大减少整车ECU的数量。

随着用户对产品多样化的需求增加，汽车更新换代的速度加快，汽车制造厂商开始面临更细分和更个性化的市场需求。为了满足不同用户的需求，不同的汽车制造厂商都设计研发了许多车型，而且相同的车型也拥有多种配置。高昂的研发费用和短暂的生命周期提高了汽车制造厂商的成本，严重阻碍了汽车制造厂商的发展。在不同电子电气架构的不同平台车型上使用通用化的零部件和总成的方法研究已经成为各大汽车制造厂商的研究热点。

现代汽车电子开发流程复杂，开发周期长，智能汽车的域控制器的开发也不例外。智能汽车的域控制器的开发流程包括功能设计、原型算法开发、离线仿真、硬件在环仿真、生成ECU中的可执行代码、台架开发和标定、整车标定、功能验证和整车性能验收。因此，不能跨平台的智能汽车的域控制器大大增加汽车制造厂商的研发成本。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种具备高效安全机制的跨平台的即插即用型智能汽车域控制器及方法。

本发明的目的可以通过以下技术方案来实现：

一种具有冗余结构的即插即用型智能汽车域控制器，该域控制器用于L3级及以上智能汽车或网联智能汽车传感器信号的采集与处理、实现智能控制与决策；

该域控制器内通过硬件冗余方式设置有电源冗余结构、微控制器冗余结构、微处理器冗余结构、通信冗余结构、数据冗余结构以及余度管理模块，其中，

所述电源冗余结构包括两路供电电源；

所述微控制器冗余结构包括两个以上实现智能控制的微控制器MCU和辅助芯片，所述MCU内设有三个以上的内核，各内核独立运行一操作系统，所述MCU内集成有硬件安全模块HSM，所述辅助芯片监控所述MCU，多核或多MCU可采用投票机制计算并选择最优输出；

所述微处理器冗余结构为多嵌入式微处理器结构，包括两个以上用于决策计算的微处理器MPU；

所述通信冗余结构包括多路冗余总线，包括四路以上的CANFD通道和六路以上的车载以太网通道，所述车载以太网支持百兆和千兆以太网；

所述数据冗余结构包括两个以上数据存储单元，用于存储本控制器和其他指定控制器的数据，实现数据的备份回退；

所述余度管理模块用于在发现故障或攻击时隔离、切换和重构域控制器输入输出通道及信号，实现冗余控制；

该域控制器通过预留的域控制器接口与整车连接后完成安全部署，实现域控制器的即插即用。

进一步地，该域控制器符合功能安全ISO26262ASIL-D等级。

进一步地，多个所述域控制器之间通过车载以太网连接，形成可扩展环形网络，构建成整车域控制系统。

进一步地，所述车载以太网通道设有六路以上，其中一路用于域控制器的诊断，两路以上用于连接相连的节点，其他三路以上作为冗余总线，实现车载以太网容错控制。

本发明还提供一种如所述的具有冗余结构的即插即用型智能汽车域控制器的应用方法，包括：

配置与连接步骤，将域控制器通过整车预留的域控制器接口接入整车网络框架，完成域控制器信息、数字签名和证书的写入；

安全部署步骤，对接入的域控制器进行认证和授权。

进一步地，所述配置与连接步骤具体为：

首先向域控制器写入Bootloader程序和安全驱动固件进行配置，在通过整车预留的域控制器接口接入域控制器后，根据域控制器的ID号相应域控制器信息，将该域控制器信息与数字签名、证书合并生成标定参数文件，将该标定参数文件与原有内存映射文件合并，生成完整内存映射文件，然后通过OTA实现域控制器的软件更新，完成域控制器信息、数字签名和证书的写入，实现域控制器与整车的连接。

进一步地，所述域控制器信息包括域控制器的工作平台、车型和工作域名称。

进一步地，所述安全部署步骤具体包括：

1)域控制器广播一车载以太网报文，该车载以太网报文包括域控制器信息、数字签名和证书；

2)车载密钥管理ECU基于身份验证单元根据所述车载以太网报文对域控制器进行认证，若认证成功，则执行步骤3)，若认证失败，则停止对应域控制器的工作；

3)车载密钥管理ECU给域控制器动态分配一个IP，并广播；

4)域控制器获取CANFD网络中ECU的控制权。

进一步地，车载密钥管理ECU基于身份验证单元根据所述车载以太网报文对域控制器进行认证具体为：

车载密钥管理ECU通过证书获取公钥，使用该公钥验证域控制器信息是否与数字签名匹配，匹配则获取域控制器信息，判定该域控制器身份验证成功。

进一步地，域控制器获取CANFD网络中ECU的控制权具体为：

域控制器将域控制器信息与CANFD ID发送给车载密钥管理ECU，车载密钥管理ECU生成对应的数字签名，域控制器在CANFD网络广播所述数字签名的报文，CANFD网络中ECU对报文进行验证后添加CANFD ID至自身过滤器中，实现控制权的授予。

与现有技术相比，本发明具有以下有益效果：

1)本发明采用硬件冗余结构实现硬件容错提高域控制器的稳定性，一旦检测或诊断到域控制器发生故障就立刻切换到备份部件，以达到故障容错的目的。

2)本发明的域控制器通过配置写入参数及证书，接入整车预留的域控制器接口即能在认证成功后正常工作，用于提高域控制器的通用性和便携性，实现域控制器的即插即用。

3)本发明通过数字签名和证书的认证实现安全部署，提高了域控制器的可靠性和安全性。

4)本发明可通过整车预留的域控制器口实现与整车的连接，可以挂载车载以太网和CANFD总线，可以配置为汽车任何域的域控制器，实现安全高效的域管理。

5)本发明适应性强、扩展性强、实用性强，可以满足不同汽车制造厂商跨平台使用域控制器的需求。

附图说明

图1为本发明域控制器的原理示意图；

图2为本发明一实施例的车载以太网容错控制结构示意图；

图3为本发明一实施例的域控制器系统冗余控制结构示意图；

图4为本发明一实施例的配置与连接步骤示意图；

图5为本发明一实施例的系统安全部署流程示意图；

图中标号说明：

1为摄像头传感器，2为雷达传感器，3为制动执行器，4位转向电机，5为驱动电机，6为新增执行器，7为方向盘传感器，8为新增传感器，9为第一域控制器，10为第二域控制器，11为第三域控制器，12为第四域控制器。

具体实施方式

下面结合附图和具体实施例对本发明进行详细说明。本实施例以本发明技术方案为前提进行实施，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述的实施例。

如图1所示，本发明实现一种具有冗余结构的即插即用型智能汽车域控制器，该域控制器用于L3级及以上智能汽车或网联智能汽车传感器信号的采集与处理、实现智能控制与决策。该域控制器内通过硬件冗余方式设置有电源冗余结构、微控制器冗余结构、微处理器冗余结构、通信冗余结构、数据冗余结构以及余度管理模块，采用硬件冗余结构实现硬件容错提高域控制器的稳定性，一旦检测或诊断到域控制器发生故障就立刻切换到备份部件，以达到故障容错的目的。该域控制器符合功能安全ISO26262ASIL-D等级。

电源冗余结构包括两路供电电源。

微控制器冗余结构包括两个以上实现智能控制的微控制器MCU和辅助芯片，MCU内设有三个以上的内核，各内核独立运行一操作系统，MCU内集成有硬件安全模块HSM，辅助芯片监控MCU，多核或多MCU可采用投票机制计算并选择最优输出。当系统受到攻击发生故障时，发生故障的控制器能够阻断攻击，并切换至备用控制器。MCU内设有三个以上的内核，各内核独立运行一操作系统，一旦操作系统或内核奔溃立刻切换至其它内核的操作系统上，从而实现处理器冗余。辅助芯片监控MCU，搜集信息并辅助计算，一旦发现异常则使主控芯片复位。MCU集成有硬件安全模块(Hardware Security Module，HSM)，写有安全驱动固件，用于实现密钥管理及数据硬件加密。

微处理器冗余结构为多嵌入式微处理器结构，包括两个以上用于决策计算的微处理器MPU。

通信冗余结构包括多路冗余总线，若总线出现故障，系统中所有节点均能自动切换到备用总线工作，包括四路以上的CANFD通道和六路以上的车载以太网通道，在CANFD总线或车载以太网总线内部可以相互切换总线实现通信冗余，提高通信抗干扰能力。

数据冗余结构包括两个数据存储单元。其中一个存储单元用于域控制固件版本及重要信息的备份，以在出现意外时使得域控制器能够退回之前的状态。另一个存储单元用于其他指定控制器数据的备份，使得该控制器在其宕机的情况下替代其工作。

余度管理模块用于在发现故障或攻击时隔离、切换和重构域控制器输入输出通道及信号，实现电源、通信等的冗余控制。

上述域控制器通过配置写入参数及证书，接入整车预留的域控制器接口即能在认证成功后正常工作，用于提高域控制器的通用性和便携性，实现域控制器的即插即用。

多个域控制器之间通过车载以太网连接，形成可扩展环形网络，构建成整车域控制系统。

在某些实施例中，车载以太网通道设有六路以上，一路用于域控制器的诊断，两路以上用于连接相连的节点，其他三路以上作为冗余总线，在车载以太网通信链路发生故障的时候，启用另外一条健全的通信链路，实现车载以太网容错控制，使网络通信的可靠性大大提高。车载以太网容错控制的结构为可扩展环形网络，构建整车域控制系统。域控制器之间通过车载以太网连接形成高速环形网络。

如图2所示为一种车载以太网容错控制结构示意图，该结构中具有四个域控制器，通过车载以太网连接成环形，形成四个域控制器系统。域控制器为双向通信的域控制器，各域控制器两个车载以太网端口分别连接相邻的内环车载以太网交换机形成内环第一通信线路或外环第一通信线路，另外两个车载以太网端口分别连接相邻的两个外环车载以太网交换机形成内环第二通信线路或外环第二通信线路。内部某个域控制器发生故障，相邻的域控制可以迅速代替它工作，接收车载以太网网络的传感器信号，并向车载以太网网络发送控制信号。一旦某一通信线路出现故障，车载以太网网络上所有节点切换至另一通信线路进行通信。

图3为本发明另一实施例的域控制器系统冗余控制结构示意图。

如图3所示，各域控制器车载以太网端口a1和端口a2用于构成内环第一通信线路，端口b1和端口b2用于构成内环第二通信线路，实现车载以太网通信冗余，图中端口处的连线表示与外部连接。域控制器车载以太网端口c1和端口c2和域系统内部ECU通信，形成车载以太网环形网络外环第一通信线路，端口d1和端口d2用于构成外环第二通信线路，实现车载以太网通信冗余。域控制器CANFD与域内其他ECU连接，通过CANFD和其他ECU通信。CANFD采用四路以上的通道，从而在域控制器通过与该域内ECU通信达到控制管理该域的作用的同时能够实现通信冗余。

上述域控制器参照ISO26262功能安全标准和SAEJ3061信息安全指南定义的开发流程进行开发，同时满足一定的功能安全等级和信息安全等级，可以挂载各种汽车总线，可以配置为汽车任何域的域控制器，实现安全高效的域管理。

上述具有冗余结构的即插即用型智能汽车域控制器的应用方法，包括：

配置与连接步骤，将域控制器通过整车预留的域控制器接口接入整车网络框架，完成域控制器信息、数字签名和证书的写入；

安全部署步骤，对接入的域控制器进行认证和授权。

如图4所示，通过配置与连接步骤可以实现域控制器与整车的连接，具体包括：

步骤S101，域控制器制造商向域控制器写入Bootloader程序；

步骤S102，向硬件安全模块HSM写入安全驱动固件，用于实现密钥管理及数据硬件加密；

步骤S103，域控制器通过整车预留的域控制器接口接入搭建完成的网络框架；

步骤S104，汽车诊断仪通过汽车诊断接口和整车连接，显示全部域控制器的ID号，根据域控制器的ID号相应域控制器信息，包括域控制器的工作平台、车型和工作域名称，将该域控制器信息与数字签名、证书合并生成标定参数文件，将该标定参数文件与原有内存映射文件合并，生成完整内存映射文件，并通过OTA实现域控制器的软件更新，完成域控制器信息、数字签名和证书的写入，实现域控制器与整车的连接。

在OTA程序更新完成后开始进入系统安全部署的流程。如图5所示，安全部署步骤具体包括：

步骤S201，域控制器才特定的IP在车载以太网环形网络上广播一车载以太网报文，该车载以太网报文包括域控制器信息、数字签名和证书，车载密钥管理ECU(车载KeyMaster ECU)收到该车载以太网报文则开始认证该域控制器；

步骤S202，车载密钥管理ECU通过证书获取公钥，使用该公钥验证域控制器信息是否与数字签名匹配，匹配则获取域控制器信息，判定该域控制器身份验证成功，若认证失败，则车载密钥管理ECU产生报警信息，停止给该域控制器供电，域控制器停止工作；

步骤S203，认证成功后，车载密钥管理ECU给域控制器动态分配一个IP，并且广播内容为域控制器的IP的报文。

步骤S204，域控制器应用程序更新后，域控制器将域控制器的信息和CANFD ID发送给车载密钥管理ECU，然后车载密钥管理ECU生成域控制器的信息和CANFD ID的数字签名。

步骤S205，域控制器在CANFD网络上广播发送域控制器的信息和CANFD ID的数字签名的报文。

步骤S206，CANFD网络上的ECU接收到广播报文后，检测数字签名与域控制器的信息和CANFD ID是否匹配，匹配则添加域控制器的CANFD ID到ECU的过滤器中，获取ECU控制权。

步骤S207，域控制器作为网络的域控制器正常工作。

以上详细描述了本发明的较佳具体实施例。应当理解，本领域的普通技术人员无需创造性劳动就可以根据本发明的构思作出诸多修改和变化。因此，凡本技术领域中技术人员依本发明的构思在现有技术的基础上通过逻辑分析、推理或者有限的实验可以得到的技术方案，皆应在由权利要求书所确定的保护范围内。

Claims (10)

1.一种具有冗余结构的即插即用型智能汽车域控制器，其特征在于，该域控制器用于L3级及以上智能汽车或网联智能汽车传感器信号的采集与处理、实现智能控制与决策；

该域控制器内通过硬件冗余方式设置有电源冗余结构、微控制器冗余结构、微处理器冗余结构、通信冗余结构、数据冗余结构以及余度管理模块，其中，

所述电源冗余结构包括两路供电电源；

所述微控制器冗余结构包括两个以上实现智能控制的微控制器MCU和辅助芯片，所述MCU内设有三个以上的内核，各内核独立运行一操作系统，所述MCU内集成有硬件安全模块HSM，所述辅助芯片监控所述MCU，多核或多MCU可采用投票机制计算并选择最优输出；

所述微处理器冗余结构为多嵌入式微处理器结构，包括两个以上用于决策计算的微处理器MPU；

所述通信冗余结构包括多路冗余总线，包括四路以上的CANFD通道和六路以上的车载以太网通道，所述车载以太网支持百兆和千兆以太网；

所述数据冗余结构包括两个以上数据存储单元，用于存储本控制器和其他指定控制器的数据，实现数据的备份回退；

所述余度管理模块用于在发现故障或攻击时隔离、切换和重构域控制器输入输出通道及信号，实现冗余控制；

该域控制器通过预留的域控制器接口与整车连接后完成安全部署，实现域控制器的即插即用。

2.根据权利要求1所述的具有冗余结构的即插即用型智能汽车域控制器，其特征在于，该域控制器符合功能安全ISO26262ASIL-D等级。

3.根据权利要求1所述的具有冗余结构的即插即用型智能汽车域控制器，其特征在于，多个所述域控制器之间通过车载以太网连接，形成可扩展环形网络，构建成整车域控制系统。

4.根据权利要求1所述的具有冗余结构的即插即用型智能汽车域控制器，其特征在于，所述车载以太网通道设有六路以上，其中一路用于域控制器的诊断，两路以上用于连接相连的节点，其他三路以上作为冗余总线，实现车载以太网容错控制。

5.一种如权利要求1所述的具有冗余结构的即插即用型智能汽车域控制器的应用方法，其特征在于，包括：

配置与连接步骤，将域控制器通过整车预留的域控制器接口接入整车网络框架，完成域控制器信息、数字签名和证书的写入；

安全部署步骤，对接入的域控制器进行认证和授权。

6.根据权利要求5所述的应用方法，其特征在于，所述配置与连接步骤具体为：

首先向域控制器写入Bootloader程序和安全驱动固件进行配置，在通过整车预留的域控制器接口接入域控制器后，根据域控制器的ID号相应域控制器信息，将该域控制器信息与数字签名、证书合并生成标定参数文件，将该标定参数文件与原有内存映射文件合并，生成完整内存映射文件，然后通过OTA实现域控制器的软件更新，完成域控制器信息、数字签名和证书的写入，实现域控制器与整车的连接。

7.根据权利要求6所述的应用方法，其特征在于，所述域控制器信息包括域控制器的工作平台、车型和工作域名称。

8.根据权利要求5所述的应用方法，其特征在于，所述安全部署步骤具体包括：

1)域控制器广播一车载以太网报文，该车载以太网报文包括域控制器信息、数字签名和证书；

2)车载密钥管理ECU基于身份验证单元根据所述车载以太网报文对域控制器进行认证，若认证成功，则执行步骤3)，若认证失败，则停止对应域控制器的工作；

3)车载密钥管理ECU给域控制器动态分配一个IP，并广播；

4)域控制器获取CANFD网络中ECU的控制权。

9.根据权利要求8所述的应用方法，其特征在于，车载密钥管理ECU基于身份验证单元根据所述车载以太网报文对域控制器进行认证具体为：

车载密钥管理ECU通过证书获取公钥，使用该公钥验证域控制器信息是否与数字签名匹配，匹配则获取域控制器信息，判定该域控制器身份验证成功。

10.根据权利要求8所述的应用方法，其特征在于，域控制器获取CANFD网络中ECU的控制权具体为：

域控制器将域控制器信息与CANFD ID发送给车载密钥管理ECU，车载密钥管理ECU生成对应的数字签名，域控制器在CANFD网络广播所述数字签名的报文，CANFD网络中ECU对报文进行验证后添加CANFD ID至自身过滤器中，实现控制权的授予。