CN111466107A - 用于载具内控制器的以太网网络剖析入侵检测控制逻辑和架构 - Google Patents

Abstract

本文提出的是用于联网载具控制器和设备的入侵检测系统和算法、用于制造/使用这样的系统和算法的方法、以及具有ECU网络和网络剖析入侵检测能力的机动载具。一种用于检测对载具控制器的机载网络的入侵的方法包括：确定载具的当前操作状态，以及标识与载具的当前操作状态相对应的网络业务模式表。当在机动载具在当前操作状态中操作的同时通过以太网通信接口交换数据时，监视载具内控制器中的一个的网络业务流。所述方法然后确定所监视的网络业务流的业务特性是否在根据网络业务模式表确定的校准边界之外。响应于所监视的网络业务流特性在校准边界之外，所述方法执行补救动作响应。

Description

用于载具内控制器的以太网网络剖析入侵检测控制逻辑和 架构

背景技术

本公开总体涉及分布式计算网络和计算机网络协议。更具体地，本公开的各方面涉及用于检测对载具内联网控制器和设备的未授权访问的系统架构和控制逻辑，所述载具内联网控制器和设备提供载具功能的分布式控制。

当前生产的机动载具（诸如现代汽车）原始配备有遍布载具的电子控制器和计算设备的网络，以执行各种载具功能。这些载具功能——无论是完全自动化还是部分自动化——都可以包括控制载具门锁、座椅定位、巡航控制、娱乐系统组件、采暖通风和空气调节（HVAC）、防盗系统的启动/解除、内部和外部照明、动力系操作和系统诊断，以及载具辅助的“自主”驾驶操控。虽然一些机载电子控制单元（ECU）、诸如引擎控制模块（ECM）、变速器控制模块（TCM）和制动系统控制模块（BCM）通常专用于控制单个子系统，但其它ECU在可互操作的组中运作，以协作地控制载具操作。许多载具控制任务由协同工作的若干个ECU执行，并经由数据链路协调它们的操作。例如，一些嵌入式载具ECU可能包含用于若干个不相关的载具控制任务的控制逻辑的部分，但可能不包含用于任何单个控制任务的完整控制逻辑。

载具内控制器通常经由网络通信总线或以太网交换机相互通信，所述网络通信总线或以太网交换机中的任一个可以单独实现，或者作为局域网（LAN）形式的串行通信接口实现。除了用于在联网的ECU之间传递信号的必需硬件之外，还实现了可靠的通信协议，以帮助确保主任务和辅助任务能够同步执行。一种这样的任务是网络管理，用以提供系统范围的通用方法，以用于处置诸如通信能力的有序启动（激活）和关闭（去激活）以及从可检测的通信错误中可预测地恢复之类的事件。有序的启动和关闭有助于确保ECU能够将其信号接收预期与其它ECU的信号传输可用性同步。需要可靠的网络通信以确保控制器同步的其它任务牵涉管控动力系、转向和制动操作以执行载具辅助驾驶操控。例如，在完全和部分自主的载具架构中，ECM、TCM和BCM以及其它常驻和远程设备之间可信赖并且不受阻碍的通信交换对于安全地执行常规和非典型的操作至关重要。

随着原始装备制造商（OEM）走向互连的“会说话的”小汽车和更高等级的驾驶自动化（包括4级和5级完全自主的乘用载具），载具内控制器的计算机联网黑客攻击和载具电子控制系统的恶意软件破坏正在成为更普遍的威胁。对载具的分布式控制器网络的攻击可以使用载具的无线以太网桥中的一个或其它无线数据端口来实现，入侵者在其中执行恶意代码来破坏和劫持ECU中的一个。然后，入侵者利用受损的ECU作为用于攻击其它系统节点和重要操作系统文件的入口点，包括向更敏感的ECU传输恶意代码或非法命令。为了阻止这样的未授权访问——在行业中被称为“入侵”——OEM正在实现各种入侵检测软件应用来监视载具的控制器网络，以防止所附带的任何恶意活动和违反政策的行为。

发明内容

本文所公开的是用于载具内联网控制器和设备的入侵检测系统（IDS）架构和逻辑、用于实现这样的架构/算法的方法和用于构造这样的架构/算法的方法、以及机动载具，所述机动载具装备有网络剖析入侵检测能力，以用于标识和防止对ECU的机载网络的未授权入侵。作为示例，提出了一种汽车以太网网络剖析入侵检测方法，该方法用于通过利用网络业务模式的知识来检测联网控制器的若干种类型的攻击和系统故障。所公开的方法被设计成在其中ECU（具有嵌入式以太网交换机）已经受损的情况下发现并挫败攻击。入侵检测部分地通过标识网络配置文件和业务模式中的异常来实现，所述异常包括源-目的地对、消息频率、消息量、业务流的时延等中的反常。以太网IDS框架既适用于静态场景也适用于动态场景，在静态场景中网络模式不在驾驶模式之间改变（一种操作“模式”），在动态场景中网络模式在驾驶模式之间变化并且针对控制器的不同操作状态而变化。

与其它市场上可获得的载具内入侵检测方法相比，所公开的入侵检测架构和算法中的至少一些的附带益处包括低的计算开销。此外，所公开的方法中的至少一些独立于汽车网络域和拓扑，并且因此可更容易地缩放和适应不同的载具平台。其它附带的益处可以包括使网络业务模式适应个体用户的能力，以及增强以太网交换机中通常使用的进入策略的能力。另一个潜在优势是使得能够在汽车应用中更安全地使用以太网主干架构的能力。通过改进的系统入侵检测、隔离和防御技术，使得能够实现具有降低的黑客攻击和感染风险的安全且受保护的网络融合。

本公开的各方面针对用于标识和防止对联网载具控制器的未授权入侵的网络剖析入侵检测逻辑和计算机可执行算法。例如，提出了一种用于检测对机动载具的电子控制器的机载网络的入侵的方法。代表性方法以任何顺序并与任何公开的特征和选项相组合地包括：确定机动载具的当前操作状态；标识与机动载具的当前操作状态相对应的网络业务模式表；当每个控制器在机动载具在当前操作状态中操作的同时通过以太网通信接口交换数据时，监视电子控制器中的一个或多个的网络业务流；确定所监视的网络业务流的业务特性是否在根据网络业务模式表确定的校准边界之外；以及响应于所监视的网络业务流的业务特性在所述校准边界之外而执行补救动作。该补救动作可以包括：例如经由数字仪表板（IP）或中央堆栈显示设备向载具驾驶员传输音频和/或视觉告警；向远程服务器传输指示检测到异常和潜在入侵的电子告警；生成中断信号以中止由（一个或多个）被破坏的控制器进行的进一步数据交换；和/或在常驻或远程存储器设备中存储检测到的异常的记录。监视选择控制器的网络业务流可以包括从以太网通信接口的指定端口接收以太网帧，以及利用指示业务特性的数据来标识一个或多个以太网帧内的规定字段。

本公开的其它方面针对机动载具，其装备有载具控制器和计算设备（统称为“控制器”或“ECU”）的机载网络以及用于管控这些控制器的操作的控制逻辑。如本文所使用的，术语“机动载具”可以包括任何相关的载具平台，诸如乘用载具（内燃机、混合动力电动、全电动、燃料电池、燃料电池混合动力、完全或部分自主等）、商用载具、工业载具、履带式载具、越野和全地形载具（ATV）、农业装备、船只等。在示例中，提出了一种机动载具，其包括载具本体、安装到载具本体的引擎和/或马达、以及附接到载具本体并且驱动地连接到引擎/马达的多个车轮。电子控制单元的网络遍布载具本体，其中一个或多个以太网通信接口将ECU网络无线连接到分布式计算网络。对于至少一些系统架构，以太网通信接口嵌入在每个联网的ECU内。

继续上面的示例，本质上可以是中央控制模块（CCM）或通用电子模块（GEM）的专用载具控制器通信连接到ECU网络。该控制器被编程为确认载具的当前操作状态（例如，汽车工程师协会（SAE）等级0-5），并标识与载具的当前操作状态相对应的网络业务模式表。然后，当一个ECU/多个ECU在载具在当前操作状态中操作时通过（一个或多个）以太网通信接口交换数据的时候，载具控制器监视载具的联网ECU中的一个或多个或全部的网络业务流。然后，载具控制器确定与所监视的网络业务流相关联的一组指定业务特性中的任何一个或多个网络业务模式特性是否在如根据网络业务模式表所确定的对应校准边界之外。控制器将响应于所监视的业务流的业务特性中的任何一个在其相应的校准边界之外而执行补救动作。

上面的概述并不旨在表示本公开的每个实施例或每个方面。相反，前面的概述仅仅提供了本文阐述的一些新颖概念和特征的范例。当结合附图和所附权利要求理解时，上面的特征和优点以及其它特征和优点将从以下对所图示实施例和用于实施本公开的代表性模式的详细描述中变得显而易见。此外，本公开明确地包括上面和下面提出的要素和特征的任何和所有组合以及子组合。

附图说明

图1是根据本公开各方面的具有载具内控制器和设备的网络以及以太网网络剖析入侵检测系统的代表性机动载具的示意图示；

图2是根据本公开的各方面的代表性载具内以太网网络的示意图，其图示了攻击场景和入侵检测响应的示例；

图3是根据所公开概念的各方面的网络剖析入侵检测协议的流程图，该网络剖析入侵检测协议可以对应于由机载控制逻辑电路、可编程电子控制单元或机动载具的其它基于计算机的设备执行的指令；

本公开可以有各种修改和替代形式，并且一些代表性实施例已经在附图中通过示例的方式示出，并且将在本文中详细描述。然而，应当理解，本公开的新颖方面不限于上面列举的附图中所图示的特定形式。相反，本公开将覆盖落入如由所附权利要求限定的本公开范围内的所有修改、等同物、组合、子组合、置换、分组和替代物。

具体实施方式

本公开容许许多不同形式的实施例。在附图中示出了本公开的代表性实施例，并且将在本文中对其进行详细描述，应当理解，这些图示的示例是作为所公开的原理的范例提供的，而不是对本公开的广泛方面的限制。就该范围而言，例如在摘要、背景技术、发明内容和具体实施方式部分中描述的、但在权利要求中没有明确阐述的要素和限制，不应当通过暗示、推断或其它方式单独或共同地并入到权利要求中。

为了本详细描述的目的，除非特别否认，否则：单数包括复数，并且反之亦然；词语“和”和“或”应是连词和转折连接词这两者；词语“所有”意味着“任何和所有”；单词“任何”意味着“任何和所有”；并且词语“包括”和“包含”以及“具有”意味着“无限制地包括”。此外，近似的词语，诸如“大约”、“几乎”、“基本上”和“近似”等，在本文中可以以“在、接近或接近在”或“在……的0-5%之内”或“在可接受的制造公差之内”或它们的任何逻辑组合的意义上使用。最后，诸如前、后、舷内、舷外、右舷、左舷、竖向、水平、向上、向下、前侧、后侧、左侧、右侧等方向形容词和副词例如是相对于机动载具的（即当载具操作性地定向在正常驾驶表面上时机动载具的向前驾驶方向）。

现在参考附图，其中相同的附图数字贯穿若干个视图指代相同的特征，在图1中示出了代表性汽车的示意图示，该汽车总体上以10指定，并且为了讨论的目的，在本文中被描绘为四门轿车类型的乘用载具。封装在汽车10的载具本体12内（例如遍布不同的载具隔室）的是控制器的机载网络，诸如下面描述的各类计算设备和电子控制单元。所图示的汽车10——为了简洁在本文中也称为“机动载具”或“载具”——仅仅是可以利用其来实践本公开的各方面和特征的示例性应用。同样，对于图1中图示的特定数量和类型的计算设备的所呈现概念的实现也应当被领会为本文公开的概念和特征的示例性应用。照此，应当理解，本公开的各方面和特征可以应用于任何数量、类型和布置的联网控制器和设备，由任何逻辑相关类型的机动载具实现，并用于汽车和非汽车应用这两者。此外，仅已经示出了载具10的选择组件，并且将在本文中的附加细节中对其进行描述。尽管如此，本文讨论的机动载具和网络架构可以包括许多附加的和替代的特征，以及其它合适的外围组件，例如，以用于实施本公开的各种方法和功能。最后，本文呈现的附图不一定是成比例的，并且纯粹是为了指导的目的而提供的。因此，附图中示出的具体和相对尺寸不应被解释为限制性的。

图1的代表性载具10原始配备有载具电信和信息（通俗地称为“远程信息处理（telematics）”）单元14，该单元14与无线通信系统（例如，蜂窝塔、基站和/或移动交换中心（MSC）等；未示出）通信。作为非限制性示例，图1中总体示出的一些其它载具硬件16包括显示设备18、麦克风28、扬声器30和输入控制32（例如，按钮、旋钮、开关、键盘、触摸屏等）。一般地，这些硬件16组件使得用户能够与远程信息处理单元14以及载具10内的其它系统和系统组件通信。麦克风28为载具乘客提供了用以输入口头或其它听觉命令的手段，并且可以装备有利用人机接口（HMI）技术的嵌入式语音处理单元。相反，扬声器30向载具乘客提供可听输出，并且可以是专用于供远程信息处理单元14使用的独立扬声器，或者可以是载具音频系统22的一部分。音频系统22操作性地连接到网络连接接口34和音频总线20以接收模拟信息，经由一个或多个扬声器组件将所述模拟信息呈现为声音。

通信耦合到远程信息处理单元14的是网络连接接口34，其合适的示例包括双绞线/光纤以太网交换机、内部/外部的并行/串行通信总线、LAN、控制器局域网（CAN）、面向媒体的系统传输（MOST）和本地互连网络（LIN）等。其它合适的通信接口可以包括符合可应用的ISO、SAE和IEEE标准和规范的那些接口。网络连接接口34使得包括远程信息处理单元14的载具硬件16能够彼此以及与载具本体12内和载具10外部的各种系统和子系统发送和接收信号，以执行各种载具功能，诸如解锁载具门、定位和定向载具座椅、控制引擎节流阀、接合/解除制动系统、修改方向盘角度和/或速度等。例如，远程信息处理单元14从/向以下各项接收和/或传输数据：制动系统控制模块（BCM） 52、引擎控制模块（ECM）54、信息娱乐应用模块56、（一个或多个）传感器接口模块58和各类其它载具ECU 60，诸如变速器控制模块（TCM）、气候控制模块（CCM）、动力系控制模块（PCM）等。

继续参考图1，远程信息处理单元14是机载计算设备，其单独地以及通过与其它联网设备的通信这两者来提供混合服务。该远程信息处理单元14一般由一个或多个处理器构成，所述处理器可以体现为操作性地耦合到一个或多个电子存储器设备38和实时时钟（RTC） 46的分立的微处理器、专用集成电路（ASIC）、中央处理单元（CPU） 36等，每个电子存储器设备38可以采取CD-ROM、磁盘、集成电路（IC）设备、半导体存储器（例如，各种类型的RAM或ROM）等形式。经由蜂窝芯片组/组件40、无线调制解调器42、导航和位置芯片组/组件44（例如，全球定位系统（GPS））、短程无线通信设备48（例如，蓝牙®单元）和/或双天线50中的一个或多个或全部来提供与远程非机载的联网设备的通信能力。应当理解，远程信息处理单元14可以在没有上面列出的组件中的一个或多个的情况下实现，或者可以包括对于特定最终用途而言所期望的附加组件和功能。

接下来转向图2，示出了代表性的载具内以太网网络100，其被设计成支持与机动载具110的多个电子控制器和计算设备（统称为“控制器”）112A、112B、112C、112D、112E …112N的数字数据通信以及在上述多个电子控制器和计算设备之间的数字数据通信。如上面指示的，控制器112A-112N本质上可以是载具系统模块以及其它机载和远程电子硬件组件，所述控制器112A-112N遍及载具110而定位并且接收来自一个或多个乘客、传感器、机载或远程组件等的输入，并使用这些输入来执行监视、控制、诊断、报告和/或其它功能。控制器112A-112N中的每一个被示出为通过以太网交换机114A、114B、114C、114D、114E … 114N的嵌入式阵列而彼此通信连接并通信连接到一个或多个远程设备。虽然在外观上不同，但是预见到，上面参考图1的载具内网络架构公开的特征中的任何一个可以单独地或以任何组合并入图2的联网架构100中，并且反之亦然。作为非限制性示例，图2的控制器112A-112N可以采取以上关于图1描述的对应载具内设备配置中的任何一个，诸如远程信息处理单元14、显示设备18、音频系统22、BCM 52、ECM 54、信息娱乐应用模块56、（一个或多个）传感器接口模块58、其它载具ECU 60等。在图2中，将各种所图示的组件互连的箭头是电子信号或其它通信交换的象征，通过所述电子信号或其它通信交换，数据和/或控制命令被有线或无线地从一个组件传输到另一个组件。

在图2的所图示的示例中，载具110被提供有如下所述的入侵保护、检测和补救功能。在载具操作期间，网络100可能遭受不同类型的可疑活动，包括试图危害和操控载具控制器112A-112N中的一个或多个的操作。该可疑活动可能以各种形式出现，诸如但不限于拒绝服务（DoS）攻击、网络钓鱼、电子欺骗、垃圾邮件、网络溢出和劫持。DoS攻击是其中攻击者（黑客）试图阻止对网络设备或资源的合法访问和对来自网络设备或资源的服务的使用的任何类型的入侵。DoS攻击的典型特征是攻击者故意利用多余的请求淹没目标控制器，以便使该控制器负担过重，并阻止合法请求被接收和满足。DoS入侵一般引起控制器性能的降级并且扰乱总体系统功能和操作。根据图示的示例，第三方（犯罪者）设备111已经侵入网络100并使第二控制器112B受损。一旦被劫持，第三方设备111就阻止第二控制器112B向第四控制器112D发送合法的网络业务（如由叠加在连接控制器112B和112D的箭头上的放大的“X”所指示的）；这进而使得第四控制器112D不能执行其一个或多个正常功能。附加地，第三方设备111利用受损的控制器112B来用过多的需求掩没第五控制器112E，所述需求例如验证具有无效返回地址的请求（如由叠加在连接控制器112B和112E的箭头上的放大箭头所指示的）。这两种危害安全的入侵引起对联网控制器中的功能的扰乱，并使网络的完整性受损。

现在参考图3的流程图，根据本公开的各方面，在200处总体描述了用于检测对遍布机动载具（诸如图1的汽车10）的电子控制器的机载网络（诸如图2的网络100）的入侵的改进方法或控制策略。在图3中图示并在下面进一步详细描述的操作中的一些或所有可以代表与处理器可执行指令相对应的算法，所述处理器可执行指令可以存储在例如主存储器或辅存储器或远程存储器中，并且例如由机载或远程ECU、中央处理单元（CPU）、载具控制逻辑电路或其它模块或设备执行，以执行与所公开的概念相关联的在上面和下面描述的功能中的任何一个或所有。应当认识到，所图示的操作框的执行顺序可以改变，可以添加附加的框，并且可以修改、组合或消除所描述的框中的一些。在持续进行的载具使用或操作期间，可以实时地、连续地、系统地、偶发地和/或以规律间隔（例如每100微秒、3.125、6.25、12.5、25和100毫秒等）执行例程。可替代地，可以响应于载具操作期间事件的发生来执行例程。

方法200开始于终端框201，其具有用于可编程控制器（诸如中央控制模块（CCM）或通用电子模块（GEM））的处理器可执行指令，以调用入侵检测系统（IDS）协议的初始化过程来标识和改善对一个或多个载具内控制器的入侵。在至少一些实施例中，实时监视针对指定控制器的跨嵌入式以太网交换机的网络业务，分析网络业务特性（例如，来自给定节点的业务流的消息频率），并且如果所分析的特性在载具校准边界之外（例如，消息频率超过由离线载具仿真和映射定义的阈值），则标记异常。方法200的利用将有助于标识各种类型的攻击，包括故意传输混乱消息（无论频率如何）、故意调整业务突发的大小以超过以太网介质带宽、扰乱关键通信、其它DoS攻击以及由此导致的系统故障等。对于至少一些实现，方法200通过利用网络业务模式的知识来检测攻击或系统故障。当与可用于载具内实现的其它方法相比时，使用网络业务信息作为检测入侵的主要（如果不是唯一的）度量提供了更低的计算开销。这也允许IDS方法200独立于汽车网络域和拓扑，并且因此可以被缩放和适应于不同的载具平台。所公开的方法可以基于例如驾驶员的驾驶行为和随后的载具内以太网业务模式来使网络业务模式分析适应于个体驾驶员。

在执行与终端框201相关联的一个操作或多个操作之前、与之同时或之后，图3的方法200继续到输入/输出框203，以接收、检索或以其它方式确定机动载具的当前操作状态。在示例中，图2的联网控制器112A-112N中的一个被体现为外部对象计算模块（EOCM），其可操作来执行载具110的例如用于自主载具操作的载具辅助操控。主EOCM可以被编程为选择性地致动动力转向马达、马达驱动的节流阀和/或液压制动致动器，以补充一个或多个驾驶员输入、抵消一个或多个驾驶员输入、和/或采取独立于驾驶员输入的驾驶控制。可以响应于来自CCM 或GCM的提示而从EOCM读取载具的当前操作状态。自主驾驶场景中的操作状态可以是以电子信号的形式的，其指示SAE等级0-5驾驶模式。例如，SAE等级0一般典型地为“无辅助”驾驶，所述“无辅助”驾驶允许载具在瞬间干预的情况下生成的警告，但在其它情况下仅依靠人类控制。相比之下，SAE等级3允许无辅助、部分辅助和完全辅助驾驶，其具有充分的载具自动化以用于完全的载具控制（转向、速度、加速/减速等），同时强制驾驶员在校准的时间帧内进行干预。在该范围的上端处是等级5自动化，其整体地消除了人类干预（例如，没有方向盘、油门踏板或换档旋钮）。诸如与EOCM通信的中央堆栈HMI之类的自主激活接口可以被编程为基于用户期望的操作状态输入和周围环境条件来激活或去激活自主控制的驾驶等级。应当预见到，在不脱离本公开的意图范围的情况下，可以使用其它手段和输入来确认载具的操作状态。例如，载具ECU可以被配置为接收诸如通过驾驶员对方向盘、加速踏板和/或制动踏板的物理操作的以电子信号形式的驾驶员输入，并且根据该信号确定对应的操作状态。

机动载具的当前操作状态可以包括静态场景和动态场景，在静态场景中，为特定类型的载具校准单个驾驶模式，在动态场景中，为特定类型的机动载具校准多个驾驶模式。作为举例而非限制，与静态场景的单个驾驶模式相对应的网络业务模式表可以由单个表组成，所述单个表由所监视的载具控制器存储并从其中提取。实际上，在静态场景中，网络模式不在模式之间改变（一种操作“模式”）；照此，对于一种类型的载具存在单个驾驶模式（例如，自主驾驶SAE 等级2城市或SAE等级 3高速公路）。对于静态业务流，IDS逻辑可以离线标识网络模式，并将模式存储在载具中的ECU中的合适数据结构中。在静态业务流运行时，IDS逻辑可以检查所存储的数据结构，并将它们与实时收集的数据进行比较。相反，对于动态业务流，与动态驾驶模式相对应的网络业务模式表可以从多个表中选择，所述多个表由机动载具的一个或多个所监视的电子控制器存储并从其中提取。对于动态业务流，网络模式可能在“模式”之间变化，并且处于不同的操作状态；照此，业务流可以说取决于操作模式。每个监视ECU可以存储多个表，所述多个表具有来自离线测试的业务模式，如下面进一步详细描述的。在动态业务流运行时，IDS逻辑监视业务，并为对应的模式调用适当的表。

处理框205包括常驻或远程载具控制器，诸如与图2的远程控制器112A协作的常驻控制器112B，其执行对应的一组存储器存储指令，以确定、检索或以其它方式标识与载具的当前操作状态相对应的一个或多个网络业务模式表。网络业务模式表（其示例在下面的表1中提供）可以被存储为常驻数据（例如，在监视ECU的非易失性辅存储器中维护），被本地存储（例如，在所监视的载具ECU的只读存储器（ROM）中维护）和/或远程存储（例如，由后端服务器计算机维护）。在非限制性示例中，监视ECU可以存储针对各类载具操作模式的多个业务模式表。每个网络业务模式表可以被“离线”构建，例如在仿真的载具驾驶期间交换数据时使用从测试台以太网网络收集的数据来构建。然后，为每个驾驶模式绘制业务流图并进行剖析，同时为选择网络业务特性建立校准的下阈值和/或上阈值。离线测试可以利用载具仿真来计及不同驾驶条件下的不同驾驶场景，同时始终收集数据来标识网络业务的正常操作限制。另一个可行的选项是在最终用户载具操作期间实时地和/或在载具在路上测试期间收集数据，并分析所收集的数据以评估可接受的网络模式的范围。如图3的关系数据库207所指示的，可以从远程数据库服务器检索离线计算的、模式相关的网络剖析矩阵。

。

在处理框209处，方法200在机动载具在当前操作状态中操作期间，当每个所监视的控制器通过以太网通信接口交换数据时，监视联网载具控制器中的一个或多个的网络业务流。跨以太网介质的运行时业务监视可以牵涉从穿过以太网通信接口的指定端口的数据分组接收一个或多个以太网帧，并利用指示一个或多个期望的网络业务特性的数据来标识（一个或多个）以太网帧内的规定字段。跨以太网链路传送的数据分组一般被称为“以太网帧”，其传输一般以前同步码和起始帧定界符（SFD）开头的数据有效负载。在指定ECU的交换机的特定端口中接收的以太网帧中，存在指示报头、时间戳、源和目的地交换机数据等的特定字段。通过收集和分析这些帧中的数据，监视ECU可以计算与接收到的帧相关联的不同特性（例如，在特定时间窗口中接收到的帧的频率、时延和数量）。

方法200然后前进到判定框211，以确定所监视的网络业务流的业务特性中的任何一个是否在从网络业务模式表中的对应一个中提取的相应校准边界之外。换句话说，IDS逻辑检查网络业务模式的边界，以意识到网络业务流上的可能异常。这些边界可以在引入适当的置信等级的情况下通过统计分析来建立，或者通过在收集不同场景的数据之后例如由后端服务器执行的机器学习技术来建立。每个边界可以并入“宽松的”下阈值和上阈值，以便避免误报的可能性。定义网络业务模式的特性单独地和以任何组合地包括但不限于：

● 业务流的源-目的地对（IDS监视源ECU和交换机以及目的地ECU和交换机处的帧）

● 业务流的消息频率（IDS监视消息到达指定目的地的总速率）

● 来自源以太网交换机的消息数量（IDS在源和目的地处监视）

● 业务流的消息时延（IDS监视目的地处的传输和处理延迟，例如，通过将帧上的时间戳相对于接收ECU上的当前时钟时间进行比较）

该特性列表可以扩展为包括指示常规网络业务模式的其它变量。作为一些非限制性示例，列表可以包括以太网类型、与载具内以太网网络相关联的VLAN标签等。

响应于与所监视的网络业务流相关联的业务特性中的任何一个落在其相应的校准边界之外（框211 =是），方法200前进到处理框213，并执行一个或多个校正性动作来补救与网络业务流中的异常相伴的网络入侵事件。如果定义网络业务模式的特性不在校准边界内，则IDS逻辑可以发出警报，并同时通知管控系统控制器可能的攻击。然后，该警报可以被输入到入侵防御系统（IPS），该入侵防御系统可操作来决定将采取什么对抗措施（如果有的话）来停止和/或抵消攻击（例如，将系统转到安全模式以调查或限制攻击的影响）。处理框213的补救动作可以采取任何、许多不同的形式，诸如向载具驾驶员传输音频和/或视觉告警，从而警告他们潜在的攻击和载具功能的可能损失；向制造商或服务提供商的远程服务器传输指示检测到异常和潜在攻击的电子告警；生成中断信号以中止受损控制器的任何进一步的数据交换；和/或在存储器设备中存储检测到的异常的记录（例如，入侵日期、异常类型、被破坏的ECU的ID等）。在此时，图3的方法200可以循环回到终端框201或输入/输出框203，或者可以终止并重置。同样地，如果与所监视的网络业务流相关联的业务特性没有一个落在其相应的校准边界之外（框211 =否），则方法200可以响应性地循环回到框203。

在一些实施例中，本公开的各方面可以通过由机载的载具计算机执行的计算机可执行指令程序来实现，所述计算机可执行指令程序诸如程序模块，一般被称为软件应用或应用程序。在非限制性示例中，软件可以包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件和数据结构。该软件可以形成接口，以允许计算机根据输入源做出反应。所述软件还可以与其它代码段合作，以响应于接收到的数据连同接收到的数据的源来发起各种任务。该软件可以存储在各种存储器介质中的任何一种上，诸如CD-ROM、磁盘、气泡存储器和半导体存储器（例如，各种类型的RAM和ROM）。

此外，本公开的各方面可以利用各种计算机系统和计算机网络配置来实现，包括多处理器系统、基于微处理器或可编程消费电子器件、小型计算机和大型计算机等。此外，本公开的各方面可以在分布式计算环境中实践，在分布式计算环境中，任务由通过通信网络链接的远程处理设备来执行。在分布式计算环境中，程序模块可以位于包括存储器存储设备的本地计算机存储介质和远程计算机存储介质这两者中。因此，本公开的各方面可以在计算机系统或其它处理系统中与各种硬件、软件或它们的组合相结合地实现。

本文描述的任何方法可以包括供以下各项执行的机器可读指令：（a）处理器，（b）控制器，和/或（c）任何其它合适的处理设备。本文公开的任何算法、软件或方法可以体现在存储在有形介质上的软件中，所述有形介质诸如例如闪速存储器、CD-ROM、软盘、硬盘驱动器、数字多功能盘（DVD）或其它存储器设备，但是本领域普通技术人员应当容易领会到，整个算法和/或其部分可以可替代地由除控制器之外的设备执行，和/或以公知的方式体现在固件或专用硬件中（例如，它可以由专用集成电路（ASIC）、可编程逻辑器件（PLD）、现场可编程逻辑器件（FPLD）、离散逻辑等实现）。进一步地，尽管参考本文描述的流程图描述了特定算法，但是本领域普通技术人员应当容易领会到，可以可替代地使用实现示例机器可读指令的许多其它方法。

已经参考所图示的实施例详细描述了本公开的各方面；然而，本领域技术人员应当认识到，在不脱离本公开的范围的情况下，可以对其进行许多修改。本公开不限于本文所公开的精确构造和组成；从前面的描述中显而易见的任何和所有修改、改变和明显变型都在由所附权利要求限定的本公开范围内。此外，本概念明确地包括前述元素和特征的任何和所有组合和子组合。

Claims (20)

1.一种检测对被配置用于机动载具的电子控制器的机载网络的入侵的方法，所述机载网络是包括适应于无线连接到分布式计算网络的以太网通信接口的类型，所述方法包括：

确定所述机动载具的当前操作状态；

标识与所述机动载具的当前操作状态相对应的网络业务模式表；

当在所述机动载具在当前操作状态中操作的同时通过所述以太网通信接口交换数据时，监视所述电子控制器中的对应一个的网络业务流；

确定所监视的网络业务流的业务特性何时在根据所述网络业务模式表所确定的校准边界之外；以及

响应于所监视的网络业务流的业务特性在校准边界之外，执行补救动作，以检测对机载网络的入侵。

2.根据权利要求1所述的方法，其中监视电子控制器中的对应一个的网络业务流包括从以太网通信接口的指定端口接收一个或多个以太网帧。

3.根据权利要求2所述的方法，其中监视电子控制器中的对应一个的网络业务流进一步包括利用指示业务特性的数据来标识所述一个或多个以太网帧内的规定字段。

4.根据前述权利要求中任一项所述的方法，其中机动载具的当前操作状态包括具有针对机动载具类型校准的单个驾驶模式的静态场景。

5.根据权利要求4所述的方法，其中与静态场景的单个驾驶模式相对应的网络业务模式表是由电子控制器中所监视的对应一个存储并从其中提取的单个表。

6.根据前述权利要求中任一项所述的方法，其中机动载具的当前操作状态包括具有针对机动载具类型校准的多个驾驶模式的动态场景。

7.根据权利要求6所述的方法，其中与动态驾驶模式相对应的网络业务模式表选自由机动载具的电子控制器中的所监视的对应一个存储并从其中提取的多个表。

8.根据前述权利要求中任一项所述的方法，其中补救动作包括向机动载具的驾驶员传输音频和/或视觉告警，向远程服务器传输指示检测到异常的告警，生成中断信号以中止由电子控制器中的对应一个进行的数据交换，和/或在存储器设备中存储检测到的异常的记录。

9.根据前述权利要求中任一项所述的方法，其中电子控制器中的一个是外部对象计算模块（EOCM），所述外部对象计算模块可操作来执行载具辅助的操控，机动载具的当前操作状态是从EOCM接收的。

10.根据前述权利要求中任一项所述的方法，其中标识网络业务模式表包括查询远程数据库服务器和从远程数据库服务器接收网络业务模式表。

11.根据前述权利要求中任一项所述的方法，其中业务特性包括源-目的地对、消息频率值、消息量值和/或业务流时延值。

12.根据前述权利要求中任一项所述的方法，其中以太网通信接口嵌入在电子控制器中的对应一个内。

13.根据前述权利要求中任一项所述的方法，其中实时监视电子控制器中的对应一个的网络业务流。

14.一种机动载具，包括：

载具本体；

电子控制单元（ECU）的网络，其附接到所述载具本体；

以太网通信接口，其适应于将ECU的网络无线连接到分布式计算网络；以及

载具控制器，其通信连接到ECU的网络，并且被编程为：

确定所述机动载具的当前操作状态；

标识与所述机动载具的当前操作状态相对应的网络业务模式表；

当在所述机动载具在当前操作状态中操作的同时通过以太网通信接口交换数据时，监视ECU中的对应一个的网络业务流；

确定与所监视的网络业务流相关联的业务特性是否在根据所述网络业务模式表确定的校准边界之外；以及

响应于所监视的网络业务流的业务特性在校准边界之外，执行补救动作，以检测对机载网络的入侵。

15.根据权利要求14所述的机动载具，其中监视电子控制器的网络业务流包括从以太网通信接口的指定端口接收一个或多个以太网帧。

16.根据权利要求15所述的机动载具，其中监视电子控制器的网络业务流进一步包括利用指示业务特性的数据来标识所述一个或多个以太网帧内的规定字段。

17.根据前述权利要求中任一项所述的机动载具，其中机动载具的当前操作状态包括具有针对机动载具类型校准的单个驾驶模式的静态场景。

18.根据权利要求17所述的机动载具，其中与静态场景的单个驾驶模式相对应的网络业务模式表是由电子控制器中所监视的对应一个存储并从其中提取的单个表。

19.根据前述权利要求中任一项所述的机动载具，其中机动载具的当前操作状态包括具有针对机动载具类型校准的多个驾驶模式的动态场景。

20.根据权利要求19所述的机动载具，其中与动态驾驶模式相对应的网络业务模式表选自由机动载具的电子控制器中的所监视的对应一个存储并从其中提取的多个表。

Images