CN110554681A - 交通工具通信网络和方法 - Google Patents

交通工具通信网络和方法 Download PDF

Info

Publication number
CN110554681A
CN110554681A CN201910446073.6A CN201910446073A CN110554681A CN 110554681 A CN110554681 A CN 110554681A CN 201910446073 A CN201910446073 A CN 201910446073A CN 110554681 A CN110554681 A CN 110554681A
Authority
CN
China
Prior art keywords
processing unit
secure
main processing
symmetric
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910446073.6A
Other languages
English (en)
Other versions
CN110554681B (zh
Inventor
威廉·D·哈斯
拉斯·沃利申斯基
安德烈·维梅斯基奇
大卫·C·巴雷斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Lear Corp
Original Assignee
Lear Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Lear Corp filed Critical Lear Corp
Publication of CN110554681A publication Critical patent/CN110554681A/zh
Application granted granted Critical
Publication of CN110554681B publication Critical patent/CN110554681B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/575—Secure boot
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0218—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterised by the fault detection method dealing with either existing or incipient faults
    • G05B23/0221—Preprocessing measurements, e.g. data collection rate adjustment; Standardization of measurements; Time series or signal analysis, e.g. frequency analysis or wavelets; Trustworthiness of measurements; Indexes therefor; Measurements using easily measured parameters to estimate parameters difficult to measure; Virtual sensor creation; De-noising; Sensor fusion; Unconventional preprocessing inherently present in specific fault detection methods like PCA-based methods
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Automation & Control Theory (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Small-Scale Networks (AREA)
  • Stored Programmes (AREA)

Abstract

本申请涉及交通工具通信网络和方法。经由交通工具通信网络进行通信的方法包括：提供电子控制单元(ECU)，该ECU包括主处理单元和安全处理单元，该安全处理单元包括对称安全密钥；尝试主处理单元的安全引导；如果主处理单元的安全引导成功，则向主处理单元提供对称安全密钥的使用；如果主处理单元的安全引导不成功，则阻止主处理单元使用对称安全密钥；经由认证处理单元对主处理单元实施远程认证；以及经由认证处理单元来根据远程认证确定主处理单元的安全引导是否成功。

Description

交通工具通信网络和方法
技术领域
本公开总体上涉及交通工具通信网络和交通工具通信方法。
背景
下面仅为了提供背景的目的而阐述此背景描述。因此，此背景描述的任何方面，在其未被以其它方式证明是现有技术的程度上，既没有明确也不隐含地被承认是针对本公开的现有技术。
交通工具通信网络继续变得更加先进和强大。保护交通工具通信网络免受未经授权的访问以及检测未经授权的访问变得越来越重要。一些系统可能涉及不对称密钥，但是不对称密钥可能不如对称安全密钥有效和/或高效。可能期望从远程位置(例如，从交通工具中的另一位置或从交通工具外部)确定网络的一个或更多个组件的状态。
需要使交通工具通信网络和方法的一个或更多个挑战或缺点最小化或者将其消除的解决方案/选项。前述讨论仅旨在说明本领域的示例并且不应被认为是对范围的否认。
概述
在实施方案中，经由交通工具通信网络进行通信的方法可以包括提供电子控制单元(ECU)。ECU可以包括主处理单元和/或安全处理单元。安全处理单元可以包括对称安全密钥。该方法可以包括尝试主处理单元的安全引导；如果主处理单元的安全引导成功，则向主处理单元提供对称安全密钥的使用；如果主处理单元的安全引导不成功，则阻止主处理单元使用对称安全密钥；经由认证(attestation)处理单元对主处理单元实施远程认证；和/或经由认证处理单元，根据该远程认证确定主处理单元的安全引导是否成功。实施远程认证可以包括：认证处理单元向主处理单元发送使用对称安全密钥进行计算的请求；如果主处理单元响应于该请求提供涉及对称安全密钥的计算的正确结果，则确定主处理单元已经完成安全引导；和/或如果主处理单元响应于该请求没有提供涉及对称安全密钥的计算的正确结果，则确定主处理单元不安全。
对于实施方案，主处理单元可以被配置成使用安全处理单元的服务，和/或主处理单元和安全处理单元可以被配置成使得主处理单元不能够直接从安全处理单元读取数据。ECU可以被配置为网关ECU。对称安全密钥可以储存在安全处理单元的存储器中。存储器可以包括引导保护。向主处理单元提供对称安全密钥的使用可以不包括向主处理单元提供对称安全密钥。ECU可以布置在交通工具中，并且认证处理单元可以是布置在交通工具外部的远程处理单元。
在实施方案中，经由交通工具通信网络进行通信的方法可以包括提供第二ECU。第二ECU可以包括第二主处理单元和第二安全处理单元。第二ECU可以被配置成控制交通工具系统的操作。第二ECU可以包括第二对称安全密钥。经由交通工具通信网络进行通信的方法可以包括：尝试第二主处理单元的安全引导；如果第二主处理单元的安全引导成功，则从第二安全处理单元向第二主处理单元提供第二对称安全密钥的使用；如果第二主处理单元的安全引导不成功，则阻止第二主处理单元使用第二对称安全密钥。实施远程认证可以包括：认证处理单元向第二主处理单元发送使用第二对称安全密钥进行第二计算的第二请求；如果第二主处理单元响应于第二请求提供涉及第二对称安全密钥的第二计算的正确结果，则确定第二主处理单元已经完成安全引导；和/或如果第二主处理单元响应于第二请求没有提供涉及第二对称安全密钥的第二计算的正确结果，则确定第二主处理单元不安全。经由交通工具通信网络进行通信的方法可以包括经由ECU确定第二主处理单元的安全引导是否成功。
对于实施方案，经由交通工具通信网络进行通信的方法可以不涉及不对称安全密钥。远程认证可以不包括将对称安全密钥传送到认证处理单元。安全处理单元可以是安全硬件扩展兼容的。经由交通工具通信网络进行通信的方法可以包括提供多个辅助ECU。辅助ECU可以各自包括辅助主处理单元和与辅助主处理单元相关联的辅助安全处理单元。每个辅助ECU可以被配置成控制多个交通工具系统中的相应交通工具系统的操作。每个辅助ECU可以包括相应的对称安全密钥。经由交通工具通信网络进行通信的方法可以包括：尝试多个辅助ECU中的至少两个辅助ECU的辅助主处理单元的安全引导；为成功完成安全引导的每个辅助主处理单元提供相关联的安全处理单元的相应安全密钥的使用；和/或对于未能成功完成安全引导的每个辅助主处理单元，阻止对相关联的安全处理单元的相应安全密钥的使用。ECU的对称安全密钥和辅助ECU的所有相应的对称安全密钥可以彼此不同。多个交通工具系统可以包括制动系统、变速器和/或信息娱乐系统。远程认证可以按以下方式中的至少一种实施：周期性地实施；以及在交通工具启动时实施。
在实施方案中，交通工具通信网络可以包括布置在交通工具中的电子控制单元(ECU)。ECU可以包括被配置用于安全引导的主处理单元和包括对称安全密钥的安全处理单元。安全处理单元可以被配置成(i)如果主处理单元的安全引导成功，则向主处理单元提供对称安全密钥的使用，和/或(ii)如果主处理单元的安全引导不成功，则阻止主处理单元使用对称安全密钥。交通工具通信网络可以包括认证处理单元，该认证处理单元被配置成实施对主处理单元的远程认证，并且被配置成根据远程认证确定主处理单元的安全引导是否成功。实施远程认证可以包括：认证处理单元向主处理单元发送使用对称安全密钥进行计算的请求；如果主处理单元响应于该请求提供涉及对称安全密钥的计算的正确结果，则确定主处理单元的安全引导成功；和/或如果主处理单元响应于该请求没有提供涉及对称安全密钥的计算的正确结果，则确定主处理单元不安全。交通工具通信网络可以包括多个辅助ECU。辅助ECU可以各自包括辅助主处理单元和与辅助主处理单元相关联的辅助安全处理单元。每个辅助ECU可以被配置成控制多个交通工具系统中的相应交通工具系统的操作。每个辅助安全处理单元可以包括相应的对称安全密钥。每个辅助安全处理单元可以被配置成只有当与辅助安全处理单元相关联的辅助主处理单元完成安全引导时，才向与辅助安全处理单元相关联的辅助主处理单元提供相应的安全密钥的使用。
对于实施方案，交通工具通信的方法可以包括：经由异常(anomaly)检测系统检测交通工具的通信网络中存在异常；经由异常检测系统确定电子控制单元(ECU)对异常负责，该ECU包括主处理单元和安全处理单元，该安全处理单元包括对称安全密钥；尝试主处理单元的安全引导；如果主处理单元的安全引导成功，则从安全处理单元向主处理单元提供对称安全密钥的使用；如果主处理单元的安全引导不成功，则阻止主处理单元使用对称安全密钥；经由认证处理单元对主处理单元实施远程认证；和/或经由认证处理单元根据远程认证来确定主处理单元的安全引导是否成功。实施远程认证可以包括认证处理单元向主处理单元发送使用对称安全密钥进行计算的请求，如果主处理单元响应于该请求提供涉及对称安全密钥的计算的正确结果，则确定主处理单元的安全引导成功，和/或如果主处理单元响应于该请求没有提供涉及对称安全密钥的计算的正确结果，则确定主处理单元的安全引导不成功。
通过阅读下面的描述和查阅附图，本公开的实施方案的前述和其它方面、特征、细节、效用和/或优点将是明显的。
附图说明
图1是大致图示了根据本公开的教导的交通工具通信网络的实施方案的示意图。
图2是根据本公开的教导的交通工具通信方法的实施方案的流程图，包括储存安全密钥。
图3是根据本公开的教导的交通工具通信方法的实施方案的流程图，包括远程认证。
图4是根据本公开的教导的交通工具通信方法的实施方案的流程图，包括异常检测。
详细描述
现在将详细参考本公开的实施方案，其示例在本文中被描述且在附图中示出。虽然将结合实施方案和/或示例来描述本公开，但是将理解，它们并不旨在将本公开限制到这些实施方案和/或示例。相反，本公开旨在覆盖可选方案、修改和等同物。
在诸如图1大体图示的实施方案中，交通工具通信网络10可以包括交通工具12和/或可与交通工具12通信的远程电子设备14。对于实施方案，交通工具12可以包括电子控制单元(ECU)20、信息娱乐系统22、通信单元24、OBD-II端口/总线26、异常检测系统28、一个或更多个辅助ECU 30和/或一个或更多个交通工具系统32。
在实施方案中，ECU 20可以被配置为网关ECU，并且可以被配置成与信息娱乐系统22、通信单元24、OBD-II端口/总线26、异常检测系统28和/或一些或所有其它ECU 30中的一个或更多个通信。ECU 20可以包括通信单元24和/或连接到通信单元24。通信单元24可以被配置成经由有线和/或无线连接进行通信。例如，但不限于，通信单元24可以被配置成通过以下方式进行通信：WiFi、蜂窝网络、局域网(LAN)、无线局域网(WLAN)、广域网(WAN)、控制器区域网络(CAN)、专用短程通信(DSRC)、个人区域网络(PAN)无线电网络和/或其它类型的通信。通信单元24可以包括例如无线通信接收器、发射器和/或收发器。ECU 20可以包括异常检测系统28和/或一个或更多个交通工具系统32和/或连接到异常检测系统28和/或一个或更多个交通工具系统32。
对于实施方案，ECU可以包括主处理单元40和安全处理单元42，它们可以被配置成彼此通信。
在实施方案中，主处理单元40可以包括主处理器50和主存储器52。主处理单元40可以被配置用于安全引导或启动过程。安全引导过程可以包括处理器(诸如主处理器50)分析存储器(诸如主存储器52)的一个或更多个部分(例如，储存在存储器上的文件或代码部分)。例如但不限于，主处理器50可以检查有效的安全签名或证书和/或可以检查可信列表或白名单。安全引导过程可以阻止恶意代码或软件(例如，bootkit)在处理单元上运行。主处理单元40可以被配置成与一个或更多个辅助ECU 30和/或交通工具系统32通信和/或控制一个或更多个辅助ECU 30和/或交通工具系统32。
对于实施方案，安全处理单元42可以包括安全处理器60和/或安全存储器62。安全存储器62可以例如经由安全硬件扩展(SHE)规范而提供安全储存。安全存储器62可以包括引导保护和/或调试器保护。对于例如结合图2的方法大体图示的实施方案，一个或更多个安全密钥(例如，数字/电子安全密钥)可以储存在安全存储器62中。例如但不限于，安全存储器62可以包括对称安全密钥。储存安全密钥的方法70可以包括提供存储器(步骤72)，例如安全存储器62。存储器可以根据SHE规范来配置(步骤74)，并且可以被设置有引导保护和/或调试器保护(步骤76)。一个或更多个安全密钥可以储存在存储器(例如安全存储器62)中(步骤78)。一个或更多个安全密钥可以包括对称密钥。安全处理单元42可以被配置成与主处理单元40通信和/或监控主处理单元40。例如但不限于，安全处理单元42可以被配置成确定主处理单元40是否已经成功完成安全引导。如果安全处理单元42确定主处理单元40已经成功完成安全引导，则安全处理单元42可以为主处理单元40提供一个或更多个安全密钥的使用。如果安全处理单元42确定主处理单元40没有成功完成安全引导，则安全处理单元42可以阻止主处理单元40使用一个或更多个安全密钥。在实施方案中，安全处理单元42可以被配置为硬件安全模块(HSM)和/或包括硬件安全模块(HSM)。在某些情况下，安全处理单元42可以为其它组件提供安全密钥的使用。安全处理单元42可以不传输安全密钥，并且可以不允许修改安全密钥。主处理单元40可以不被配置成直接访问安全处理单元42的任何数据。
对于实施方案，信息娱乐系统22可以包括主处理单元80和/或安全处理单元82。信息娱乐系统22的主处理单元80和安全处理单元82可以分别以与ECU 20的主处理单元40和安全处理单元42相似或相同的方式来配置(例如，可以包括主处理器、主存储器、安全处理器和安全存储器)。
对于实施方案，辅助ECU 30可以被配置成控制一个或更多个交通工具系统32。交通工具系统32可以包括，例如但不限于，制动系统/模块、变速器、车身控制系统、信息娱乐系统、转向系统和/或悬架系统等。辅助ECU 30可以包括主处理单元90和/或安全处理单元92。辅助ECU 30的主处理单元90和安全处理单元92可以分别以与ECU 20的主处理单元40和安全处理单元42相似或相同的方式来配置(例如，可以包括相应的主处理器、主存储器、安全处理器和安全存储器)。
在实施方案中，远程电子设备14可以被配置成直接或间接地与交通工具12通信，例如与ECU 20、信息娱乐系统22、通信设备24、一个或更多个辅助ECU 30通信。远程电子设备14可以包括远程处理单元110，其可以包括远程处理器112和/或远程存储器114。远程电子设备14可以布置在交通工具12外部和/或可以不物理地连接到交通工具12。例如但不限于，远程电子设备14可以布置在远程监控站处，该远程监控站可以由监控服务和/或由交通工具或组件制造商监控。
对于实施方案，远程处理单元110可以被配置成对交通工具12的一个或更多个ECU(例如，ECU 20、30)实施远程认证。远程认证可以包括评估ECU的主处理单元(例如，主处理单元40、90)。远程处理单元110可以实施远程认证，以确定处理单元(诸如主处理单元40)的安全引导是否成功。对于例如大体在图3中图示的实施方案，远程认证方法120可以包括远程处理单元110向主处理单元40发送计算请求(例如，电子请求/口令(challenge))(步骤122)。确定/生成对所请求的计算的有效响应可能需要储存在安全处理单元42中的一个或更多个安全密钥。例如但不限于，如果主处理单元40成功完成安全引导并且安全处理单元42向主处理单元40提供一个或更多个安全密钥的使用，则主处理单元40可以只提供所请求的计算的正确结果。远程处理单元110可以等待来自主处理单元40的响应(步骤124)。
在实施方案中，ECU(例如，ECU 20)可以接收请求/口令(步骤126)。ECU 20可以尝试执行所请求的计算和/或生成对口令的响应(步骤128)。执行所请求的计算和/或生成响应可以涉及和/或要求对可以储存在安全处理单元42中的安全密钥的访问。如果ECU 20的主处理单元40已经完成安全引导，则主处理单元40可以尝试执行所请求的计算(步骤128)，并且安全处理单元42可以向主处理单元40提供安全密钥的使用(步骤130)，这可以允许主处理单元40成功地执行所请求的计算和/或发送对口令的有效响应(步骤132)。如果ECU 20的主处理单元40没有完成安全引导，则安全处理单元42可以不向主处理单元40提供安全密钥的使用，这可以阻止主处理单元40执行所请求的计算和/或生成对口令的有效响应。如果主处理单元40没有成功使用安全密钥(步骤130)，则主处理单元40可以向远程处理单元110提供无效响应(步骤132)和/或可以不提供响应。
对于实施方案，如果远程处理单元110在一定量时间内没有接收到响应，则可能发生超时(步骤136)，并且远程处理单元110可以指示错误已经发生和/或主处理单元40没有完成安全引导(步骤138)。如果远程处理单元110从主处理单元40接收到及时的响应(步骤134)，则远程处理单元110可以确定该响应是否有效(步骤140)。远程处理单元110可以被配置成如果主处理单元40响应于该请求提供涉及对称安全密钥的计算的正确结果，则确定主处理单元40已经完成安全引导(步骤142)。另外地或可选地，远程处理单元110可以被配置成如果主处理单元40响应于该请求没有提供涉及对称安全密钥的计算的正确结果，则确定主处理单元40没有完成安全引导。如果主处理单元40响应于该请求没有提供涉及对称安全密钥的计算的正确结果，则远程处理单元110可以指示错误已经发生和/或主处理单元40没有完成安全引导(步骤138)。
在实施方案中，指示错误已经发生和/或主处理单元40没有完成安全引导(步骤138)可以包括将故障记录在日志(例如，实施远程认证的ECU的日志)中，向交通工具12的乘员提供错误的指示，和/或与外部接收器(例如，监控公司、交通工具制造商、组件供应商、紧急服务等)通信。如果确定ECU 20、30或系统22、32未能完成安全引导，则远程处理单元110和/或网关ECU 20可以被配置成控制(例如，指示、修改、限制等)交通工具12的操作(步骤144)。例如但不限于，远程处理单元110和/或网关ECU 20可以被配置成使交通工具12转换到安全模式，关闭由故障的ECU控制的交通工具系统，和/或使交通工具12关闭。
对于实施方案，远程认证可以不包括任何安全密钥的传输。例如但不限于，安全处理单元42向主处理单元40提供对称安全密钥的使用可以不包括向主处理单元40提供对称安全密钥或其副本。
在实施方案中，ECU 20可以被配置成对一个或更多个其它ECU 30或系统32实施远程认证。例如但不限于，ECU 20可以被配置成对一个或更多个辅助ECU 30和/或信息娱乐系统22实施远程认证。另外地或可选地，辅助ECU 30可以被配置成对另一个辅助ECU 30和/或ECU 20(例如，网关ECU)实施远程认证。
在实施方案中，可以根据各种因素、活动和/或事件中的一个或更多个来(例如，通过远程处理单元110和/或ECU 20、30)发起远程认证。例如但不限于，远程处理设备14可以根据需要、在交通工具12点火/启动时、在交通工具12接通(key-on)时、根据时间表、根据间隔或周期、和/或在检测到异常时等发起远程认证。
再次参考图1，对于实施方案，交通工具12可以包括异常检测系统(ADS)28。异常检测系统28可以与ECU 20通信和/或可以与ECU 20集成在一起。异常检测系统28可以包括处理单元150，处理单元150可以包括处理器152和/或存储器154。在美国专利申请序列号15/589,479中大致描述了异常检测系统28的示例，该专利申请的公开内容由此通过引用以其整体并入。在例如大体在图4中图示的实施方案中，经由异常检测系统28检测异常的方法160可以包括监控交通工具通信网络10中的异常(步骤162)。如果检测到异常(步骤164)，则异常检测系统28可以确定ECU或系统(例如，ECU 20、30或系统22、32)是否被怀疑对该异常负责(步骤166)。如果怀疑ECU或系统对异常负责，则可以例如经由远程处理单元110和/或经由ECU 20对被怀疑的ECU或系统实施远程认证(例如方法120)(步骤168)。如果远程认证确定被怀疑的ECU或系统没有成功完成安全引导，则实施远程认证的处理单元(例如，认证处理单元，诸如主处理单元40、主处理单元90和/或远程处理单元110)可以确认被怀疑的ECU或系统对异常负责。远程认证的结果可以(例如，从远程处理单元110和/或网关ECU 20)被传输到异常检测系统28(步骤170)和/或其它组件。
对于实施方案，交通工具通信网络10和/或与其连接的组件(例如，ECU、处理单元等)可以比其它设计更有效和/或更安全地操作(例如，可以提供改进的性能)。
在实施方案中，处理器(例如，处理器50、60、112等)可包括电子处理器，诸如可编程微处理器和/或微控制器。在实施方案中，处理器可包括例如专用集成电路(ASIC)。处理器可以包括中央处理单元(CPU)、存储器和/或输入/输出(I/O)接口。处理器可以被配置成利用体现在软件、硬件和/或其它介质中的适当的编程指令和/或代码来执行各种功能，包括在本文中更详细地描述的那些功能。在实施方案中，处理器可以包括多个处理器。在实施方案中，处理器和/或ECU可以连接到显示器，例如触摸屏显示器。
本文描述了用于各种装置、系统和/或方法的各种实施方案。阐述了很多具体细节，以提供对于如在说明书中描述的以及在附图中示出的实施方案的总体结构、功能、制造以及使用的透彻理解。然而，本领域技术人员将理解的是，实施方案可以在没有这些具体细节的情况下进行实践。在其它例子中，众所周知的操作、组件以及元件并未详细描述，以免混淆说明书中所描述的实施方案。本领域普通技术人员将理解，本文中描述的以及示出的实施方案是非限制性的示例，因此可认识到的是，本文中所公开的具体结构和功能的细节可以是代表性的且不必限制实施方案的范围。
在整篇说明书中对“各个实施方案”、“对于实施方案”、“在实施方案中”或“实施方案”或诸如之类的提及意指与实施方案结合描述的特定特征、结构、或特性包括于至少一个实施方案中。因此，在整个说明书中在各处出现的短语“在各个实施方案中”、“对于实施方案”、“在实施方案中”或“实施方案”或诸如之类不必都指相同的实施方案。此外，特定特征、结构或特性可以以任何适当的方式在一个或更多个实施方案中组合。因此，结合一个实施方案/示例示出或描述的特定特征、结构或特性可以不受限制地与一个或更多个其它实施方案/示例的特征、结构、功能和/或特性整体地或部分地组合，只要这种组合不是不合逻辑的或不起作用的。此外，可以进行许多修改以使特定情况或材料适应本公开的教导，而不脱离本公开的范围。
应当理解，对单个元件的提及不一定被如此限制，而是可以包括一个或更多个这样的元件。任何方向参考(例如，正(plus)、负(minus)、上部、下部、向上、向下、左、右、向左、向右、顶部、底部、上方、下方、竖直、水平、顺时针和逆时针)仅用于识别目的以帮助读者理解本公开，并且不产生限制，特别是关于实施方案的位置、定向或使用的限制。
接合参考(例如，附接、联接、连接及类似词语)应被广义地解释，并且可包括元件的连接之间的中间构件以及元件之间的相对移动。因此，接合参考并不一定意味着两个元件是直接连接/联接的以及彼此处于固定的关系。贯穿本说明书的“例如”的使用应被广义地解释并且用于提供本公开的实施方案的非限制性示例，并且本公开不限于这样的示例。“和”和“或”的使用应被广义地解释(例如，被视为“和/或”)。例如，但不限于，“和”的使用并不必然需要所列出的所有要素或特征，以及“或”的使用旨在是包容性的，除非这样的结构是不合逻辑的。
关于本文中描述的过程、系统、方法、启发法等，应理解，尽管这样的过程的步骤等可以被描述为根据特定的有序序列发生，但这样的过程可以被实施，其中所描述步骤以不同于本文中描述的顺序的顺序被执行。还应当理解，某些步骤可以同时执行，可以添加其它步骤，或者可以省略本文中描述的某些步骤。换句话说，在本文中提供过程描述是出于说明某些实施方案的目的，并且决不应被解释为限制。
目的是，在以上描述中包含的或在附图中示出的所有内容应仅被解释为说明性的而非限制性的。可在细节或结构上做出改变而不偏离本公开。
应理解的是，如本文所描述的电子控制单元(ECU)、系统和/或处理器可以包括处理装置，其可以能够执行储存在相关联的存储器中的预编程的指令，其全部根据本文描述的功能来执行。就在本文描述的方法以软件来实现的情况而言，得到的软件可以被存储在相关联的存储器中并且也可以构成用于执行这种方法的装置。这样的系统或处理器还可以是同时具有ROM、RAM、非易失性和易失性存储器的组合的类型，使得可以存储任何软件并还允许存储和处理动态生成的数据和/或信号。
应进一步理解的是，根据本公开的制造物品可以包括非暂时性计算机可读储存介质，该介质具有在其上编码的用于实施本文所述的逻辑和其它功能的计算机程序。该计算机程序可以包括用于执行本文公开的一个或更多个方法的代码。这样的实施方案可以被配置成执行一个或更多个处理器、多个处理器，该多个处理器被集成到单个系统中或者分布在通信网络上并通过通信网络连接在一起，以及/或者，其中网络可以是有线或无线的。用于实现结合一个或更多个实施方案描述的特征中的一个或更多个的代码可以在由处理器执行时使多个晶体管从第一状态改变到第二状态。特定的改变模式(例如，哪些晶体管改变状态以及哪些晶体管不改变)可以至少部分地通过逻辑和/或代码来指定。

Claims (21)

1.一种经由交通工具通信网络进行通信的方法，所述方法包括：
提供电子控制单元(ECU)，所述电子控制单元包括主处理单元和安全处理单元，所述安全处理单元包括对称安全密钥；
尝试所述主处理单元的安全引导；
如果所述主处理单元的安全引导成功，则向所述主处理单元提供所述对称安全密钥的使用；
如果所述主处理单元的安全引导不成功，则阻止所述主处理单元使用所述对称安全密钥；
经由认证处理单元对所述主处理单元实施远程认证；和
经由所述认证处理单元，根据所述远程认证确定所述主处理单元的安全引导是否成功；
其中实施所述远程认证包括：所述认证处理单元向所述主处理单元发送使用所述对称安全密钥进行计算的请求；如果所述主处理单元响应于所述请求而提供涉及所述对称安全密钥的计算的正确结果，则确定所述主处理单元已经完成安全引导；以及如果所述主处理单元响应于所述请求而没有提供涉及所述对称安全密钥的计算的正确结果，则确定所述主处理单元不安全。
2.根据权利要求1所述的方法，其中，所述主处理单元被配置成使用所述安全处理单元的服务，并且所述主处理单元和所述安全处理单元被配置成使得所述主处理单元不能够直接从所述安全处理单元读取数据。
3.根据权利要求1所述的方法，其中，所述电子控制单元被配置为网关电子控制单元。
4.根据权利要求1所述的方法，其中，所述对称安全密钥储存在所述安全处理单元的存储器中。
5.根据权利要求4所述的方法，其中，所述存储器包括引导保护。
6.根据权利要求1所述的方法，其中，向所述主处理单元提供所述对称安全密钥的使用不包括向所述主处理单元提供所述对称安全密钥。
7.根据权利要求1所述的方法，其中，所述电子控制单元布置在交通工具中，并且所述认证处理单元是布置在所述交通工具外部的远程处理单元。
8.根据权利要求1所述的方法，包括：
提供第二电子控制单元，所述第二电子控制单元包括第二主处理单元和第二安全处理单元；其中所述第二电子控制单元被配置成控制交通工具系统的操作；并且所述第二电子控制单元包括第二对称安全密钥；
尝试所述第二主处理单元的安全引导；
如果所述第二主处理单元的安全引导成功，则从所述第二安全处理单元向所述第二主处理单元提供所述第二对称安全密钥的使用；并且
如果所述第二主处理单元的安全引导不成功，则阻止所述第二主处理单元使用所述第二对称安全密钥。
9.根据权利要求8所述的方法，其中，实施所述远程认证包括：所述认证处理单元向所述第二主处理单元发送使用所述第二对称安全密钥进行第二计算的第二请求；如果所述第二主处理单元响应于所述第二请求提供涉及所述第二对称安全密钥的所述第二计算的正确结果，则确定所述第二主处理单元已经完成安全引导；以及如果所述第二主处理单元响应于所述第二请求而没有提供涉及所述第二对称安全密钥的所述第二计算的正确结果，则确定所述第二主处理单元不安全。
10.根据权利要求8所述的方法，包括经由所述第二电子控制单元确定所述第二主处理单元的安全引导是否成功。
11.根据权利要求1所述的方法，其中，所述方法不涉及不对称安全密钥。
12.根据权利要求1所述的方法，其中，所述远程认证不包括将所述对称安全密钥传送给所述认证处理单元。
13.根据权利要求1所述的方法，其中，所述安全处理单元是安全硬件扩展兼容的。
14.根据权利要求1所述的方法，包括：
提供多个辅助电子控制单元，所述多个辅助电子控制单元各自包括辅助主处理单元和与所述辅助主处理单元相关联的辅助安全处理单元；其中每个辅助电子控制单元被配置成控制多个交通工具系统中的相应交通工具系统的操作；并且每个辅助电子控制单元包括相应的对称安全密钥；
尝试所述多个辅助电子控制单元中的至少两个辅助电子控制单元的所述辅助主处理单元的安全引导；
对于成功完成安全引导的每个辅助主处理单元，提供相关联的安全处理单元的相应安全密钥的使用；和
对于未能成功完成安全引导的每个辅助主处理单元，阻止使用相关联的安全处理单元的相应安全密钥。
15.根据权利要求14所述的方法，其中，所述对称安全密钥和所有所述相应的对称安全密钥彼此不同。
16.根据权利要求14所述的方法，其中，所述多个交通工具系统包括制动系统、变速器和信息娱乐系统。
17.根据权利要求1所述的方法，其中，所述远程认证是按以下方式中的至少一种来实施：周期性地，以及在交通工具启动时。
18.一种交通工具通信网络，包括：
电子控制单元(ECU)，其布置在交通工具中，所述电子控制单元包括：
主处理单元，其被配置用于安全引导；和
安全处理单元，其包括对称安全密钥，所述安全处理单元被配置成(i)如果所述主处理单元的安全引导成功，则向所述主处理单元提供所述对称安全密钥的使用，以及(ii)如果所述主处理单元的安全引导不成功，则阻止所述主处理单元使用所述对称安全密钥；和
认证处理单元，其被配置成对所述主处理单元实施远程认证，并且被配置成根据所述远程认证确定所述主处理单元的安全引导是否成功；
其中，实施所述远程认证包括：所述认证处理单元向所述主处理单元发送使用所述对称安全密钥进行计算的请求；如果所述主处理单元响应于所述请求提供涉及所述对称安全密钥的计算的正确结果，则确定所述主处理单元的安全引导成功；以及如果所述主处理单元响应于所述请求而没有提供涉及所述对称安全密钥的计算的正确结果，则确定所述主处理单元不安全。
19.根据权利要求18所述的交通工具通信网络，包括：
多个辅助电子控制单元，所述辅助电子控制单元各自包括辅助主处理单元和与所述辅助主处理单元相关联的辅助安全处理单元；其中每个辅助电子控制单元被配置成控制多个交通工具系统中的相应交通工具系统的操作；并且每个辅助安全处理单元包括相应的对称安全密钥；以及
每个辅助安全处理单元被配置成只有在与所述辅助安全处理单元相关联的所述辅助主处理单元完成安全引导时，才向与所述辅助安全处理单元相关联的所述辅助主处理单元提供相应的安全密钥的使用。
20.一种交通工具通信的方法，所述方法包括：
经由异常检测系统检测交通工具的通信网络中存在异常；
经由所述异常检测系统确定电子控制单元(ECU)对所述异常负责，所述电子控制单元包括主处理单元和安全处理单元，所述安全处理单元包括对称安全密钥；
尝试所述主处理单元的安全引导；
如果所述主处理单元的安全引导成功，则从所述安全处理单元向所述主处理单元提供所述对称安全密钥的使用；
如果所述主处理单元的安全引导不成功，则阻止所述主处理单元使用所述对称安全密钥；
经由认证处理单元对所述主处理单元实施远程认证；和
经由所述认证处理单元，根据所述远程认证确定所述主处理单元的安全引导是否成功；
其中实施所述远程认证包括：所述认证处理单元向所述主处理单元发送使用所述对称安全密钥进行计算的请求；如果所述主处理单元响应于所述请求提供涉及所述对称安全密钥的计算的正确结果，则确定所述主处理单元的安全引导成功；以及如果所述主处理单元响应于所述请求而没有提供涉及所述对称安全密钥的计算的正确结果，则确定所述主处理单元的安全引导不成功。
21.一种非暂时性计算机可读储存介质，其具有在其上编码的用于实施根据权利要求1-17和20中的任一项所述的方法的计算机程序。
CN201910446073.6A 2018-05-30 2019-05-27 交通工具通信网络和方法 Expired - Fee Related CN110554681B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US15/992,919 US10841284B2 (en) 2018-05-30 2018-05-30 Vehicle communication network and method
US15/992,919 2018-05-30

Publications (2)

Publication Number Publication Date
CN110554681A true CN110554681A (zh) 2019-12-10
CN110554681B CN110554681B (zh) 2022-09-23

Family

ID=68576532

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910446073.6A Expired - Fee Related CN110554681B (zh) 2018-05-30 2019-05-27 交通工具通信网络和方法

Country Status (3)

Country Link
US (1) US10841284B2 (zh)
CN (1) CN110554681B (zh)
DE (1) DE102019201515A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113395252A (zh) * 2020-03-12 2021-09-14 丰田自动车株式会社 车载用控制装置

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11290437B2 (en) * 2018-12-27 2022-03-29 Beijing Voyager Technology Co., Ltd. Trusted platform protection in an autonomous vehicle

Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090259854A1 (en) * 2008-04-10 2009-10-15 Nvidia Corporation Method and system for implementing a secure chain of trust
CN104168267A (zh) * 2014-07-23 2014-11-26 中国科学院信息工程研究所 一种接入sip安防视频监控系统的身份认证方法
US20150263855A1 (en) * 2014-03-13 2015-09-17 Intel Corporation Symmetric keying and chain of trust
CN105827586A (zh) * 2015-01-27 2016-08-03 瑞萨电子株式会社 通信设备、lsi、程序和通信系统
CN106027260A (zh) * 2016-05-12 2016-10-12 成都信息工程大学 基于密钥预分配的汽车ecu完整性验证和加密通信方法
CN106357681A (zh) * 2016-11-02 2017-01-25 合肥工业大学 一种车载远程诊断服务的安全接入与保密通信方法
US20170063842A1 (en) * 2015-08-24 2017-03-02 Hyundai Motor Company Method for controlling vehicle security access based on certificate
CN106533655A (zh) * 2016-10-27 2017-03-22 江苏大学 一种车内网ecu安全通信的方法
CN106685985A (zh) * 2017-01-17 2017-05-17 同济大学 一种基于信息安全技术的车辆远程诊断系统及方法
US20170230179A1 (en) * 2016-02-05 2017-08-10 Mohammad Mannan Password triggered trusted encrytpion key deletion
US20170235957A1 (en) * 2016-02-16 2017-08-17 Atmel Corporation Controlled secure code authentication
CN107086981A (zh) * 2016-02-16 2017-08-22 爱特梅尔公司 受控安全代码认证
CN107105060A (zh) * 2017-05-27 2017-08-29 天津恒天新能源汽车研究院有限公司 一种实现电动汽车信息安全的方法
WO2018029891A1 (ja) * 2016-08-09 2018-02-15 Kddi株式会社 管理システム、鍵生成装置、車載コンピュータ、管理方法、及びコンピュータプログラム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8650399B2 (en) * 2008-02-29 2014-02-11 Spansion Llc Memory device and chip set processor pairing
US8775784B2 (en) 2011-11-11 2014-07-08 International Business Machines Corporation Secure boot up of a computer based on a hardware based root of trust
US9792440B1 (en) * 2014-04-17 2017-10-17 Symantec Corporation Secure boot for vehicular systems
JP6197000B2 (ja) * 2015-07-03 2017-09-13 Kddi株式会社 システム、車両及びソフトウェア配布処理方法
JP6217728B2 (ja) * 2015-10-19 2017-10-25 トヨタ自動車株式会社 車両システムおよび認証方法
JP6260066B2 (ja) * 2016-01-18 2018-01-17 Kddi株式会社 車載コンピュータシステム及び車両
US10970398B2 (en) * 2016-08-10 2021-04-06 Kddi Corporation Data provision system, data security device, data provision method, and computer program
EP3566400B1 (en) * 2017-01-05 2022-08-17 Guardknox Cyber Technologies Ltd. Specially programmed computing systems with associated devices configured to implement centralized services ecu based on services oriented architecture and methods of use thereof
JP6782446B2 (ja) * 2017-02-16 2020-11-11 パナソニックＩｐマネジメント株式会社 監視装置、通信システム、車両、監視方法、およびコンピュータプログラム
KR102002517B1 (ko) * 2017-06-30 2019-07-22 주식회사 페스카로 전자식 제어기 보안 기능 설정 방법 및 시스템
US10009325B1 (en) * 2017-12-07 2018-06-26 Karamba Security End-to-end communication security
US20190190899A1 (en) * 2017-12-18 2019-06-20 Thorsten Wilmer Secure storage of monotonic odo value inside a secure hardware elements update counter
US10761951B2 (en) * 2017-12-28 2020-09-01 Intel Corporation FPGA based functional safety control logic (FFSCL)

Patent Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090259854A1 (en) * 2008-04-10 2009-10-15 Nvidia Corporation Method and system for implementing a secure chain of trust
US20150263855A1 (en) * 2014-03-13 2015-09-17 Intel Corporation Symmetric keying and chain of trust
CN104168267A (zh) * 2014-07-23 2014-11-26 中国科学院信息工程研究所 一种接入sip安防视频监控系统的身份认证方法
CN105827586A (zh) * 2015-01-27 2016-08-03 瑞萨电子株式会社 通信设备、lsi、程序和通信系统
US20170063842A1 (en) * 2015-08-24 2017-03-02 Hyundai Motor Company Method for controlling vehicle security access based on certificate
US20170230179A1 (en) * 2016-02-05 2017-08-10 Mohammad Mannan Password triggered trusted encrytpion key deletion
US20170235957A1 (en) * 2016-02-16 2017-08-17 Atmel Corporation Controlled secure code authentication
CN107086981A (zh) * 2016-02-16 2017-08-22 爱特梅尔公司 受控安全代码认证
CN106027260A (zh) * 2016-05-12 2016-10-12 成都信息工程大学 基于密钥预分配的汽车ecu完整性验证和加密通信方法
WO2018029891A1 (ja) * 2016-08-09 2018-02-15 Kddi株式会社 管理システム、鍵生成装置、車載コンピュータ、管理方法、及びコンピュータプログラム
CN106533655A (zh) * 2016-10-27 2017-03-22 江苏大学 一种车内网ecu安全通信的方法
CN106357681A (zh) * 2016-11-02 2017-01-25 合肥工业大学 一种车载远程诊断服务的安全接入与保密通信方法
CN106685985A (zh) * 2017-01-17 2017-05-17 同济大学 一种基于信息安全技术的车辆远程诊断系统及方法
CN107105060A (zh) * 2017-05-27 2017-08-29 天津恒天新能源汽车研究院有限公司 一种实现电动汽车信息安全的方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113395252A (zh) * 2020-03-12 2021-09-14 丰田自动车株式会社 车载用控制装置
CN113395252B (zh) * 2020-03-12 2023-08-08 丰田自动车株式会社 车载用控制装置

Also Published As

Publication number Publication date
US10841284B2 (en) 2020-11-17
CN110554681B (zh) 2022-09-23
DE102019201515A1 (de) 2019-12-05
US20190372944A1 (en) 2019-12-05

Similar Documents

Publication Publication Date Title
CN107531250B (zh) 车辆安全电子控制系统
US8909978B2 (en) Remote access diagnostic mechanism for communication devices
US10489332B2 (en) System and method for per-task memory protection for a non-programmable bus master
US20180074929A1 (en) Network monitoring device, network system, and computer program product
KR20140132390A (ko) 전자 제어 시스템의 기능적 보안성을 향상시키고 이용 가능성을 증대시키는 방법, 및 전자 제어 시스템
EP2895982B1 (en) Hardware-enforced access protection
CN107306185B (zh) 用于避免对数据传输的操纵的方法和装置
CN110554681B (zh) 交通工具通信网络和方法
US8762788B2 (en) Redundancy control system and method of transmitting computational data thereof for detection of transmission errors and failure diagnosis
US20230281017A1 (en) Autonomous driving controller parallel processor boot order
WO2017009634A1 (en) Electronic control units for vehicles
TW201447638A (zh) 安全匯流排系統和匯流排系統安全方法
US10204228B2 (en) Device and method for safely operating the device
CN113226858A (zh) 信息处理装置
US20220300612A1 (en) Security processing device
CN113993752A (zh) 电子控制单元和程序
JP7012915B2 (ja) コントローラ
CN107179980B (zh) 用于监视计算系统的方法和相应的计算系统
JP6468133B2 (ja) 車載ネットワークシステム
WO2023205208A1 (en) Method for safety responses to security policy violations
CN112533173B (zh) 用于确保数据完整性以保证操作安全的方法以及车对外界信息交互的装置
JP7383589B2 (ja) 情報処理装置
CN111090270B (zh) 使用信息验证码的控制器故障通知
CN102541673A (zh) 一种cpu取指令异常的安全处理方法和电路
KR20220023213A (ko) 차량의 can 제어 장치 및 그 동작 방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20220923