CN109951367B - 一种待开源车辆平台的整车控制协议的加密方法 - Google Patents

Abstract

本发明涉及一种待开源车辆平台的整车控制协议的加密方法，以解决现有技术中整车平台协议开放后的安全性能低的问题。该方法，包括：在待开源车辆平台的网关上增加一路与开发控制端进行报文交互的私有CAN通道；在网关和待开源车辆平台的执行机构上分别建立路由协议，所述路由协议中限定有：所述开发控制端和所述网关间交互的报文的数据段以及所述网关和所述执行机构之间交互的报文的数据段均包括：用于填入数据的数据参数字节和用于填入校验码的校验码字节；在所述网关和所述执行机构上分别固化校验码算法，使同一报文在所述开发控制端和所述网关之间传输时的校验码字节为空值，以及在所述网关和所述执行机构之间传输时不为空值。

Description

一种待开源车辆平台的整车控制协议的加密方法

技术领域

本发明涉及协议加密方法领域，具体是一种待开源车辆平台的整车控制协议的加密方法。

背景技术

随着自动驾驶的技术兴起，对自动驾驶技术感兴趣的科研机构以及初创公司越来越多。企业为了抢占开源汽车市场这块处女地，纷纷开放自家的车辆平台，以供开发者验证他们的算法，同时帮助其产品落地。整车协议是主机厂最重要的智力成果之一，是可以开启此主机厂所有车的一把 “钥匙”。

开放平台的同时要将整车协议向开发者开放，意味着将车辆核心控制权交给了开发者，开发者可以发送相应信号控制车辆的油门、刹车、转向、档位等执行机构。目前，整车协议向开发者开放时并未采取加密措施，一旦开发者利用整车协议对车辆进行远程操控，危害乘车人员人身安全的同时也对公共安全造成了极大威胁。

发明内容

本发明的目的在于提供一种待开源车辆平台的整车控制协议的加密方法，以解决现有技术中整车平台协议开放后的安全性能低的问题。

本发明的技术方案为：

本发明提供了一种待开源车辆平台的整车控制协议的加密方法，包括：

在待开源车辆平台的网关上增加一路与开发控制端进行报文交互的私有CAN通道；

在网关和待开源车辆平台的执行机构上分别建立路由协议，所述路由协议中限定有：所述开发控制端和所述网关间交互的报文的数据段以及所述网关和所述执行机构之间交互的报文的数据段均包括：用于填入数据的数据参数字节和用于填入校验码的校验码字节；

在所述网关和所述执行机构上分别固化校验码算法，使同一报文在所述开发控制端和所述网关之间传输时的校验码字节为空值，以及在所述网关和所述执行机构之间传输时不为空值。

优选地，所述开发控制端和所述网关之间交互的报文的数据段以及所述网关和所述执行机构之间交互的报文的数据段还包括：序列号字节；

所述开发控制端发送给所述网关的报文的序列号字节、所述执行机构发送给所述网关的报文的序列号字节以及所述网关发送给所述开发控制端的报文的序列号字节均为空值所述网关发送给所述执行机构的报文的序列号字节不为空值。

优选地，所述方法还包括：

在所述网关中增加ID值重排算法；

所述网关可根据所述ID值重排算法对所述开发控制端发送的报文的ID以及所述执行机构发送的报文的ID进行ID值重排，使同一报文在所述开发控制端和所述网关之间传输时的ID值和在所述网关和所述执行机构之间传输时的ID值不同。

优选地，所述方法还包括：

在所述网关中增加数据参数位置重排算法；

所述网关可根据所述数据参数位置重排算法对所述开发控制端发送的报文的数据参数以及所述执行机构发送的报文的数据参数进行位置重排，使同一报文在所述开发控制端和所述网关之间传输时的数据参数位置和在所述网关和所述执行机构之间传输时的数据参数位置不同。

优选地，在所述网关中增加序列号值算法；

所述网关可在根据所述ID值重排算法对所述开发控制端发送的报文进行ID值重排后，根据所述序列号值算法确定向所述执行机构发送出的上一帧报文中的序列号值，并将所述上一帧报文的序列号值之后的下一序列号值填入至内容为空值的序列号字节中，使发送给所述执行机构的报文的序列号字节不为空值；

其中，所述网关向所述执行机构发送出的上一帧报文中的ID值与当前待发送出的报文重排后的ID值相同。

本发明的有益效果为：

通过在原有功能保持不变的基础上增加一路独立的私有CAN通道11，此通道用于开发人员的交互工作。此外，将相关算法固化在芯片内部，信号由私有CAN通道11进入网关，通过网关内部算法将报文进行重组、分发。算法可以完成报文重组、分发、信号校验、定时发送的功能。在网关和执行机构之间增加校验码算法，从软件上杜绝了开发人员对网关和执行机构之间交互的报文的校验码成功解密的可能性；在网关额执行机构上增加序列号值算法和数据参数位置重排算法，进一步提高了开发人员对网关和执行机构之间的交互报文的解密难度。上述的方法，能在开放车辆平台的情况下，将车辆平台的整车控制协议进行加密，防止车辆被乘车人员以外的人操控。

附图说明

图1为本发明的方法的流程图；

图2为本发明的开源控制端、网关和执行机构三者之间的结构框图。

具体实施方式

参照图1，本发明提供了一种整车控制协议的加密方法，包括：

步骤101，在待开源车辆平台的网关1上增加一路与开发控制端2进行报文交互的私有CAN通道11。

其中，该私有CAN通道11用于在车辆平台在开源后，供开发人员与车辆之间的进行CAN报文交互工作，该私有CAN通道11作为一路与网关1上的其它通道相隔离设置的独立通道。增加该私有CAN通道11的方式，可以为重新选用新的MCU型号，或者，直接利用芯片上闲置的CAN控制接口即可。增加该私有CAN通道11以后，开发人员在进行开源平台测试时，开发人员所对应的开发控制端2与待开源车辆之间通过该私有CAN通道11进行信息交互，而不会改变车辆上的原有整车的信号链路，从硬件层面上对报文的传输进行了隔离保密，这样，开发人员便不能依靠该私有CAN通道11来获取到整车控制协议，可达到对整车控制协议加密的效果。

总线上，通过对各个执行机构3所在节点的通断电，就可以识别出对应节点（开发控制端2）发送了哪些报文。通过改变相关执行机构3的状态，可以识别出对应信号的具体含义。独立CAN通道11增加后，只允许开发者从独立CAN通道11进行数据收发，从而在硬件层面对报文传输进行保密，同时不破坏整车的原有数据链路结构。

步骤102，在网关1和待开源车辆平台的执行机构3上分别建立路由协议，所述路由协议中限定有：所述开发控制端2和所述网关1间交互的报文的数据段以及所述网关1和所述执行机构3之间交互的报文的数据段均包括：用于填入数据的数据参数字节和用于填入校验码的校验码字节；在所述网关1和所述执行机构3上分别固化校验码算法，使同一报文在所述开发控制端2和所述网关1之间传输时的校验码字节为空值，以及在所述网关1和所述执行机构3之间传输时不为空值。

如图2所示，对于网关1上建立的协议为开源版报文路由协议，对于车辆平台一侧的执行机构3上所建立的路由协议为平台协议报文，而在开发控制端2一侧的路由协议为开源协议报文。

与现有技术的CAN报文相比，本申请对于报文的数据段进行了功能增加，具体来说，是在原有的CAN报文的基础上增加另一层校验码验证。

其中，对于车辆的网关1来说，其通过使用PCAN（Power Train CAN）、BCAN（BodyCAN）。PCAN作为动力总成总线，挂载了多个执行机构3，如EPS、ESP、EMS、TCU等节点；BCAN作为车身总线，挂载了多个执行机构3，如BCM、IP、LCM等节点。

该增加的校验码验证的校验码算法，只固化在了车辆端，而不会提供给开源控制端2。也就是说，开源控制端2是在不了解车辆端进行二重校验码校验所使用的校验码算法的前提下，即便开源控制端2通过非正常途径获取到了已开源车辆平台的控制协议，其也无法对获取到的相关报文信息进行解密。这样，则在软件层面上对整车控制协议进行了第一层保护。

在本申请实施例中，所增加的校验码的校验码算法可以采用奇偶校验算法、海明码校验算法等算法。

当然，考虑到开发人员可能会通过非正常途径获取到厂商对于增加的校验码的校验码算法而快速获取到整车控制协议，在本申请中，还增加了用于提高对整车控制协议的加密效果的方法，具体来说，该方法还包括：

步骤103，在所述网关1中增加ID值重排算法；所述网关1可根据所述ID值重排算法对所述开发控制端2发送的报文的ID以及所述执行机构3发送的报文的ID进行ID值重排，使同一报文在所述开发控制端2和所述网关1之间传输时的ID值和在所述网关1和所述执行机构3之间传输时的ID值不同。

对于CAN报文来说，报文ID作为表示报文优先级的参数，执行机构3在接收到报文时，主要是按照报文ID所指示的优先级顺序进行报文处理。本申请中，将同一报文在网关1和开发控制端2之间传输时的ID值和在网关1和执行机构3之间传输时的ID值设计为不同。这样，即便开发控制端2获取到了网关1和执行机构3之间传输的报文，其也很难根据接收到的报文来解析出整车控制协议逻辑。为了实现该效果，在网关2中预存有一个报文ID值重排表，在该报文ID值重排表中记录有，同一报文在所述开发控制端2和所述网关1之间传输时的ID值和在所述网关1和所述执行机构3之间传输时的ID值的对应关系，网关1在接收到开发控制端2或执行机构3发送的报文时，依据该报文ID值重排表即可确定，该报文的ID值所需要变更后的数值，这样，便可保证开发控制端2、网关1和执行机构3之间的报文进行正确交互。同时，对于网关1和执行机构3之间来说，可以通过该校验码进一步验证报文的完整性和正确性。这样，在软件层面上对整车控制协议进行了第二层加密保护。

步骤104，在所述网关1中增加数据参数位置重排算法；所述网关1可根据所述数据参数位置重排算法对所述开发控制端2发送的报文的数据参数以及所述执行机构3发送的报文的数据参数进行位置重排，使同一报文在所述开发控制端2和所述网关1之间传输时的数据参数位置和在所述网关1和所述执行机构3之间传输时的数据参数位置不同。

通过将报文中的数据参数位置进行替换，即便开发控制端2通过非正常途径获取到了网关1和执行机构3之间交互的报文，其在进行数据解析时，也会增加开发人员的解析难度，开发人员必须将每一种类型的报文中的数据参数位置进行多次调换试验，才能正确地确定出准确的数据参数位置。为了实现该效果，在网关1中预存有一个数据参数位置重排表，在该数据参数位置重排表中记录有，同一报文在所述开发控制端2和所述网关1之间传输时的数据参数位置和在所述网关1和所述执行机构3之间传输时的数据参数位置的对应关系，网关1在接收到开发控制端2或执行机构3发送的报文时，依据该数据参数位置重排表即可确定，该报文的各个数据参数所需要变更后的位置，这样，便可保证开发控制端2、网关1和执行机构3之间的报文进行正确交互。例如：开发控制端2向发动机管理系统EMS发送的报文中携带有发动机温度，发动机转速，发动机输出扭矩三个控制参数，在数据段中按照发动机温度、发动机转速和发动机输出扭矩进行位置排序，网关1在接收到该控制报文后，按照预先存储在本地中的数据参数位置重排表中记录的信息，对上述三个参数的顺序调换为发动机转速、发动机温度和发动机输出扭矩的位置排序，再发送给执行机构3，即发动机管理系统EMS。发动机管理系统EMS在接收到该控制报文后，将采集到的参数填入到该数据段中对应的字节位置处，并反馈给网关1。网关1在接收到发动机管理系统EMS反馈的报文后，再次依据该报文数据位置重排表的记录信息，将反馈报文中的三个数据参数的顺序调换为发动机温度、发动机转速和发动机输出扭矩的顺序。其中，在图2中，对于开源控制端2中的开源协议报文中的信号排列，即为上述的发动机温度、发动机转速和发动机输出扭矩的位置排序，信号数量为3个；对于车辆平台的执行机构3中的平台协议报文中的信号排列，即为上述的发动机转速、发动机温度和发动机输出扭矩的位置排序，信号数量为3个。这样，在软件层面上对整车控制协议进行了第三层加密保护。

在本实施例中，为了避免网关1和执行机构3间出现报文丢帧或漏帧的情况出现，在本申请中，所述路由协议中还限定有：所述开发控制端2和所述网关1之间交互的报文的数据段以及所述网关1和所述执行机构3之间交互的报文的数据段还包括：序列号字节；所述开发控制端2发送给所述网关1的报文的序列号字节、所述执行机构3发送给所述网关1的报文的序列号字节以及所述网关发送给所述开发控制端2的报文的序列号字节均为空值，所述网关1发送给所述执行机构3的报文的序列号字节不为空值。

具体来说，该方法包括：

步骤105，在所述网关1中增加序列号值算法；所述网关1可在根据所述ID值重排算法对所述开发控制端2发送的报文进行ID值重排后，根据所述序列号值算法确定向所述执行机构3发送出的上一帧报文中的序列号值，并将所述上一帧报文的序列号值之后的下一序列号值填入至内容为空值的序列号字节中，使发送给所述执行机构3的报文的序列号字节不为空值；

其中，所述网关1向所述执行机构3发送出的上一帧报文中的ID值与当前待发送出的报文重排后的ID值相同。

具体来说，网关1在填入序列号值时，是在预定排序范围内循环排序的，例如，按照1-15循环排序的。也就是说，网关1在向执行机构3发送ID值相同的多帧报文时，多帧报文的ID值是按照1-15的顺序循环的，当网关1在当前帧的报文的序列号字节中填入序列号15后，网关1在将下一帧相同ID值的报文发送给执行机构3之前，则需要在该下一帧报文的序列号字节中填入序列号1。这样，对于接收到报文的执行机构3来说，其根据接收到的当前帧的报文的ID值和接收到的上一帧报文的ID值进行比对，即可确定出是否存在丢帧或漏帧的情况。

通过在原有功能保持不变的基础上增加一路独立的私有CAN通道11，此通道用于开发人员的交互工作。此外，将相关算法固化在芯片内部，信号由私有CAN通道11进入网关1，通过网关内部算法将报文进行重组、分发。算法可以完成报文重组、分发、信号校验、定时发送的功能。在网关和执行机构之间增加校验码算法，从软件上杜绝了开发人员对网关和执行机构之间交互的报文的校验码成功解密的可能性；在网关1和执行机构3上增加序列号值算法和数据参数位置重排算法，进一步提高了开发人员对网关1和执行机构3之间的交互报文的解密难度。上述的方法，能在开放车辆平台的情况下，将车辆平台的整车控制协议进行加密，防止车辆被乘车人员以外的人操控。

Claims (5)

1.一种待开源车辆平台的整车控制协议的加密方法，其特征在于，包括：

在待开源车辆平台的网关（1）上增加一路与开发控制端（2）进行报文交互的私有CAN通道（11）；

在网关（1）和待开源车辆平台的执行系统（3）上分别建立路由协议，所述路由协议中限定有：所述开发控制端（2）和所述网关（1）间交互的报文的数据段以及所述网关（1）和所述执行系统（3）之间交互的报文的数据段均包括：用于填入数据的数据参数字节和用于填入校验码的校验码字节；

在所述网关（1）和所述执行系统（3）上分别固化校验码算法，使同一报文在所述开发控制端（2）和所述网关（1）之间传输时的校验码字节为空值，以及在所述网关（1）和所述执行系统（3）之间传输时不为空值。

2.根据权利要求1所述的方法，其特征在于，所述路由协议中还限定有：

所述开发控制端（2）和所述网关（1）之间交互的报文的数据段以及所述网关（1）和所述执行系统（3）之间交互的报文的数据段还包括：序列号字节；

所述开发控制端（2）发送给所述网关（1）的报文的序列号字节、所述执行系统（3）发送给所述网关（1）的报文的序列号字节以及所述网关（1）发送给所述开发控制端（2）的报文的序列号字节均为空值，所述网关（1）发送给所述执行系统（3）的报文的序列号字节不为空值。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

在所述网关（1）中增加预设报文ID值重排表；

所述网关（1）可根据所述预设报文ID值重排表对所述开发控制端（2）发送的报文的ID以及所述执行系统（3）发送的报文的ID进行ID值重排，使同一报文在所述开发控制端（2）和所述网关（1）之间传输时的ID值和在所述网关（1）和所述执行系统（3）之间传输时的ID值不同。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述网关（1）中增加预设数据参数位置重排表；

所述网关（1）可根据所述预设数据参数位置重排表对所述开发控制端（2）发送的报文的数据参数以及所述执行系统（3）发送的报文的数据参数进行位置重排，使同一报文在所述开发控制端（2）和所述网关（1）之间传输时的数据参数位置和在所述网关（1）和所述执行系统（3）之间传输时的数据参数位置不同。

5.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在所述网关（1）中增加预设序列号值排序范围；

所述网关（1）可在根据所述预设报文ID值重排表对所述开发控制端（2）发送的报文进行ID值重排后，根据所述预设序列号值排序范围确定向所述执行系统（3）发送出的上一帧报文中的序列号值，并将所述上一帧报文的序列号值之后的下一序列号值填入至内容为空值的序列号字节中，使发送给所述执行系统（3）的报文的序列号字节不为空值；

其中，所述网关（1）向所述执行系统（3）发送出的上一帧报文中的ID值与当前待发送出的报文重排后的ID值相同。

Images