CN110427784A - 一种车辆的安全网关装置及安全通信方法 - Google Patents

Abstract

本发明提供了一种车辆的安全网关装置及安全通信方法，属于安全通信领域。该安全网关装置包括：微控制器，存储有所述安全网关装置的完整程序的部分代码；和加密芯片，存储有与所述部分代码共同构成所述完整程序的剩余代码，以使得外部模块在访问所述安全网关装置时需要通过所述加密芯片授权来读取所述完整程序。本发明还提供了应用于上述装置的安全通信方法。本发明的安全网关装置及安全通信方法能够提高车辆的网关的通信安全性。

Description

一种车辆的安全网关装置及安全通信方法

技术领域

本发明涉及安全通信领域，特别是涉及一种车辆的安全网关装置及安全通信方法。

背景技术

近年来，互联网造车热度大增，随着互联网企业的加入，汽车的智能化程度大幅提升，对于整车厂来说车辆的功能迭代变的更为频繁。传统的4S店4S店或者是指定的一些地点，且需使用专业的人员以及专业的设备实现对ECU端的刷写的方式已不适用，不仅耗费整车厂的人力、物力，还给消费者造成不便，因此很多整车厂已开发远程刷写功能。通过OTA技术，联网汽车用户只需在自己的车机屏幕或手机上操作就可以实现相关系统的升级，一次能够节省时间、人工等方面的成本。FOTA带来了给主机厂和客户都带来了便利，但远程刷写及手机交互的应用增加了车辆的安全风险。

网关作为连接车内各条总线及控制器的通道，是汽车内部通信的核心，通过它可以实现各条总线上信息的共享以及实现汽车内部的网络管理和故障诊断功能，对整车的电子电气架构灵活性，扩展性，可靠性等都有较大的影响。因此车内网关的安全性尤为重要。

现有车企网关通常没有防火墙或仅有简单的软件上的防火墙功能，不能有效的阻止外部入侵，容易引起整车通讯干扰、控制车辆等危及整车安全驾驶。因此提高车辆的网关的通信安全性迫在眉睫。

发明内容

本发明的一个目的是提供一种车辆的安全网关装置及安全通信方法，能够提高车辆的网关的通信安全性。

本发明的一个进一步的目的是要提高车辆在加装设备后的通信安全性。

特别地，本发明提供了一种车辆的安全网关装置，包括：

微控制器，存储有所述安全网关装置的完整程序的部分代码；和

加密芯片，存储有与所述部分代码共同构成所述完整程序的剩余代码，以使得外部模块在访问所述安全网关装置时需要通过所述加密芯片授权来读取所述完整程序。

可选地，所述安全网关装置设有用于隔离加装设备的物理隔离，使得加装设备与车内网络隔离。

可选地，所述安全网关装置还内置有用于对所述加装设备访问所述安全网关装置时的安全认证程序，以使得所述加装设备在通过安全认证后接收所述安全网关装置的信息。

特别地，本发明还提供了一种车辆的安全通信方法，包括以下步骤：

将所述车辆的安全网关装置的完整程序的部分代码存储至微控制器，将与所述部分代码共同构成所述完整程序的剩余代码存储至加密芯片内部，以使得外部模块在访问所述安全网关装置时需要通过所述加密芯片的授权来读取所述完整程序。

可选地，该安全通信方法还包括以下步骤：

在所述安全网关装置上设置用于隔离加装设备的物理隔离，以使得加装设备与车内网络隔离。

可选地，该安全通信方法还包括以下步骤：

在所述加装设备访问所述安全网关装置时进行安全认证；

在所述安全认证通过时允许所述加装设备接收所述安全网关装置的信息；

否则显示认证失败并通知所述加装设备和平台。

可选地，该安全通信方法还包括以下步骤：

在所述安全网关装置上电后校验所述安全网关装置的APP区域内的程序的数据完整性；

在所述APP区域内的程序通过校验时运行所述APP区域内的程序。

可选地，该安全通信方法还包括以下步骤：

过滤未定义报文和不正确报文。

可选地，该安全通信方法还包括以下步骤：

通过设置周期监控检测表记录丢失报文。

可选地，该安全通信方法还包括以下步骤：

计算网络报文的负载率，并在所述负载率超出上限值时告知后台。

本发明的安全网关装置内设置有加密芯片，将原来全部存储在微控制器内部的完整程序的某一部分植入到加密芯片内，通过加密芯片来执行这部分程序，从而达到加密的目的。由于微控制器内部的程序是不完整的，即使被破译了，由于缺少关键代码，也无法复制。在外部模块访问网关时，需要通过加密芯片授权，否则无法读取安全网关装置的内部程序，增加了非法接入整车网络的难度。即本发明通过将一部分程序植入加密芯片的硬件加密方法提高了安全网关装置的安全性。

进一步地，安全网关装置设有用于隔离加装设备的物理隔离，使得加装设备与车内网络隔离，使得后装的设备无法直接通过安全网关装置与车内网络通信，提高了车内网络的安全性。

进一步地，安全网关装置还内置有用于对所述加装设备访问所述安全网关装置时的安全认证程序，以使得所述加装设备在通过安全认证后接收所述安全网关装置的信息，即实现了网络报文只出不进，即使加装设备出现严重通讯故障，也不会影响车内网络正常通讯，不会干扰车辆正常工作。

根据下文结合附图对本发明具体实施例的详细描述，本领域技术人员将会更加明了本发明的上述以及其他目的、优点和特征。

附图说明

后文将参照附图以示例性而非限制性的方式详细描述本发明的一些具体实施例。附图中相同的附图标记标示了相同或类似的部件或部分。本领域技术人员应该理解，这些附图未必是按比例绘制的。附图中：

图1是根据本发明一个实施例的安全网关装置的结构框图；

图2是根据本发明一个实施例的安全网关装置与后装设备的安全认证流程图；

图3是根据本发明一个实施例的安全网关装置内启动程序校验流程图。

具体实施方式

图1是根据本发明一个实施例的安全网关装置的结构框图。如图1所示，本发明提供了一种车辆的安全网关装置100，其一般性地可以包括微控制器10(MCU)和加密芯片20。微控制器10存储有安全网关装置100的完整程序的部分代码。加密芯片20存储有与部分代码共同构成完整程序的剩余代码，以使得外部模块在访问安全网关装置100时需要通过加密芯片20授权来读取完整程序。

加密芯片20是指对内部集成了各种对称与非对称算法，自身具有极高安全等级，可以保护内部存储的密钥和信息数据不会被非法读取与篡改的一类安全芯片。

本实施例的安全网关装置100内设置有加密芯片20，将原来全部存储在微控制器10内部的完整程序的某一部分植入到加密芯片20内，通过加密芯片20来执行这部分程序，从而达到加密的目的。由于微控制器10内部的程序是不完整的，即使被破译了，由于缺少关键代码，也无法复制。在外部模块访问网关时，需要通过加密芯片20授权，否则无法读取安全网关装置100的内部程序，增加了非法接入整车网络的难度。即本实施例通过将一部分程序植入加密芯片20的硬件加密方法提高了安全网关装置100的安全性。

一个实施例中，安全网关装置100设有用于隔离加装设备的物理隔离，使得加装设备与车内网络隔离。

对于商用车来说，存在很多点单客户，他们会要求加装部分设备，例如T-BOX。很多整车厂对于加装设备直接接入整车网络未进行保护措施，导致整车通讯故障干扰或可能出现车辆被控制等不可预期的安全隐患。若将加装设备直接接入整车网络，则容易出现整车通讯出错。本实施例在物理连接上将加装设备与车内网络隔离，使得后装的设备无法直接通过安全网关装置100与车内网络通信，提高了车内网络的安全性。

另一个实施例中，安全网关装置100还内置有用于对加装设备访问安全网关装置100时的安全认证程序，以使得加装设备在通过安全认证后接收安全网关装置100的信息。

本实施例在安全认证通过后才允许加装设备接收安全网关装置100的信息，即实现了网络报文只出不进，即使加装设备出现严重通讯故障，也不会影响车内网络正常通讯，不会干扰车辆正常工作。

在其他实施例中，也可以将加装设备和安全网关装置100配置为允许部分报文双向通信，对于一些必要的通信或者安全风险小的信息，通过配置可以允许其双向通信。

本发明还提供了一种车辆的安全通信方法，其一般性地可以包括以下步骤：

将车辆的安全网关装置100的完整程序的部分代码存储至微控制器10，将与部分代码共同构成完整程序的剩余代码存储至加密芯片20内部，以使得外部模块在访问安全网关装置100时需要通过加密芯片20的授权来读取完整程序。

本实施例将原来全部存储在微控制器10内部的完整程序的某一部分植入到加密芯片20内，通过加密芯片20来执行这部分程序，从而达到加密的目的。由于微控制器10内部的程序是不完整的，即使被破译了，由于缺少关键代码，也无法复制。在外部模块访问网关时，需要通过加密芯片20授权，否则无法读取安全网关装置100的内部程序，增加了非法接入整车网络的难度。即本实施例通过将一部分程序植入加密芯片20的硬件加密方法提高了安全网关装置100的安全性。

另一个实施例中，该安全通信方法还包括以下步骤：

在安全网关装置100上设置用于隔离加装设备的物理隔离，以使得加装设备与车内网络隔离。

本实施例在物理连接上将加装设备与车内网络隔离，使得后装的设备无法直接通过安全网关装置100与车内网络通信，提高了车内网络的安全性。

一个实施例中，该安全通信方法还包括以下步骤：

在加装设备访问安全网关装置100时进行安全认证。

在安全认证通过时允许加装设备接收安全网关装置100的信息。

否则显示认证失败并通知加装设备和平台。

图2是根据本发明一个实施例的安全网关装置与后装设备的安全认证流程图。一个实施例中，加装设备为T-BOX，安全网关装置100(GW)与后装的T-BOX的安全认证流程如图2所示，通过校验后安全网关装置100(GW)开启向外部TBOX的路由功能。

另一个实施例中，该安全通信方法还包括以下步骤：

在安全网关装置100上电后校验安全网关装置100的APP区域内的程序的数据完整性；

在APP区域内的程序通过校验时运行APP区域内的程序。

图3是根据本发明一个实施例的安全网关装置内启动程序校验流程图。如图3所示，网关完整的系统是由BOOT和APP两个区域的程序构成的，网关上电后首先进入BOOT启动程序，在这个程序中会对APP进行检查，实际上就是检查APP整个程序的Checksum校验值，这个也就是Bootloader规范里定义的数据完整性校验，这个校验的值的存在说明APP程序是合法的，这样网关会跳转到APP程序运行。否则，网关会停留在BOOT程序内部，同时等待APP程序的刷新。

如图3所示，该校验流程包括以下步骤：

1.启动进入BOOT。

2.BOOT检查APP的Checksum校验值。

3.判断Checksum校验值是否正确。

3.1.如果Checksum正确，跳转到APP，运行APP。

3.2.如果Checksum不正确，停留在BOOT。

本实施例的安全网关装置100在下载APP软件及每次上电启动时会对Checksum值进行计算，如果APP程序中的Checksum值与BOOT软件计算出来的Checksum值一致则程序跳转到APP运行，否则软件依然运行在BOOT区域(维持原有状态)，无法对网关程序进行篡改或注入。

一个实施例中，该安全通信方法还包括以下步骤：

过滤未定义报文和不正确报文。

通过设置ID检查表，过滤未定义报文。通过设置DLC检测表，过滤DLC不正确报文。当发现非法长度的报文时，网络屏蔽该信号，使其无法侵入整车网络，从而保证整车网络安全并正常工作。

一个实施例中，该安全通信方法还包括以下步骤：

通过设置周期监控检测表记录丢失报文。该周期可以设置为报文周期的5倍时间，最少满足250ms。

一个实施例中，该安全通信方法还包括以下步骤：

计算网络报文的负载率，并在负载率超出上限值时告知后台。安全网关装置100计数一段时间内网络上报文的数量，计算出负载率，并与所定义的上限值进行比较。如果超出上限值，则通过事件性报文告知后台，起到网络负载预警的作用。

至此，本领域技术人员应认识到，虽然本文已详尽示出和描述了本发明的多个示例性实施例，但是，在不脱离本发明精神和范围的情况下，仍可根据本发明公开的内容直接确定或推导出符合本发明原理的许多其他变型或修改。因此，本发明的范围应被理解和认定为覆盖了所有这些其他变型或修改。

Claims (10)

1.一种车辆的安全网关装置，其特征在于，包括：

微控制器，存储有所述安全网关装置的完整程序的部分代码；和

加密芯片，存储有与所述部分代码共同构成所述完整程序的剩余代码，以使得外部模块在访问所述安全网关装置时需要通过所述加密芯片授权来读取所述完整程序。

2.根据权利要求1所述的安全网关装置，其特征在于，

所述安全网关装置设有用于隔离加装设备的物理隔离，使得加装设备与车内网络隔离。

3.根据权利要求2所述的安全网关装置，其特征在于，

所述安全网关装置还内置有用于对所述加装设备访问所述安全网关装置时的安全认证程序，以使得所述加装设备在通过安全认证后接收所述安全网关装置的信息。

4.一种车辆的安全通信方法，其特征在于，包括以下步骤：

将所述车辆的安全网关装置的完整程序的部分代码存储至微控制器，将与所述部分代码共同构成所述完整程序的剩余代码存储至加密芯片内部，以使得外部模块在访问所述安全网关装置时需要通过所述加密芯片的授权来读取所述完整程序。

5.根据权利要求4所述的安全通信方法，其特征在于，还包括以下步骤：

在所述安全网关装置上设置用于隔离加装设备的物理隔离，以使得加装设备与车内网络隔离。

6.根据权利要求5所述的安全通信方法，其特征在于，还包括以下步骤：

在所述加装设备访问所述安全网关装置时进行安全认证；

在所述安全认证通过时允许所述加装设备接收所述安全网关装置的信息；

否则显示认证失败并通知所述加装设备和平台。

7.根据权利要求6所述的安全通信方法，其特征在于，还包括以下步骤：

在所述安全网关装置上电后校验所述安全网关装置的APP区域内的程序的数据完整性；

在所述APP区域内的程序通过校验时运行所述APP区域内的程序。

8.根据权利要求7所述的安全通信方法，其特征在于，还包括以下步骤：

过滤未定义报文和不正确报文。

9.根据权利要求8所述的安全通信方法，其特征在于，还包括以下步骤：

通过设置周期监控检测表记录丢失报文。

10.根据权利要求7所述的安全通信方法，其特征在于，还包括以下步骤：

计算网络报文的负载率，并在所述负载率超出上限值时告知后台。