CN113589793A - 汽车总线网络设计安全检测方法 - Google Patents

Abstract

本发明属于车载网络检测技术领域，具体涉及汽车总线网络设计安全检测方法，包括：报文获取步骤，获取整车的报文信息，报文信息的内容包括报文标识符及对应的数据段；报文处理步骤，对报文信息分别进行处理，保持报文标识符不变，按照预设的处理流程，分别将对应的数据段进行处理得到多个攻击报文，并将攻击报文依次发送给车载网络；防护测评步骤，根据整车对攻击报文的反应，记录车载网络的安全防护结果。本方法可以全面且准确的检测车载网络对于外部攻击的防护能力。

Description

汽车总线网络设计安全检测方法

技术领域

本发明属于车载网络检测技术领域，具体涉及汽车总线网络设计安全检测方法。

背景技术

随着智能网联汽车的飞速发展，车内各控制器已可以通过车载网络进行信号交互来实现整车功能。车载网络的安全问题对行车安全非常重要，如果出现车载数据被篡改、节点被仿冒等网络攻击，会对车内人员的安全造成威胁。因此，需要对车载网络的防护能力进行检测。

但是，现有技术中，对车载网络进行安全防护能力检测时，技术思路还是沿用的互联网的模拟攻击思路，如通过数据的重放、逆向或数据泛洪，来了解车载网络的安全防护能力。这样的测试方式，虽然通用性较强，但同时也存在以下问题：第一，测试的全面性不足，车载网络的通信矩阵涵盖的功能非常多，而互联网的测试方式的核心为无差别数据攻击，且针对的是网络安全而非功能安全，不会依次对单个功能进行检测，无法检测车载网络的所有功能；第二，测试的针对性不足，由于车载网络通信矩阵的信号设计方式的特殊性，要了解其某个状态(如上电、启动、加速等)下的某个功能是否安全，需要对对应功能的数据定义进行处理，而互联网测试思路下无差别攻击方式并不会对具体的数据定义进行处理，因而不能实现单个功能的针对性检测。

发明内容

本发明的目的在于，提供一种汽车总线网络设计安全检测方法，能够全面且准确的检测车载网络对于外部攻击的防护能力。

本发明提供的基础方案为：

汽车总线网络设计安全检测方法，包括：

报文获取步骤，获取整车的报文信息，报文信息的内容包括报文标识符及对应的数据段；

报文处理步骤，对报文信息分别进行处理，保持报文标识符不变，按照预设的处理流程，分别将对应的数据段进行处理得到多个攻击报文，并将攻击报文依次发送给车载网络；

防护测评步骤，根据整车对攻击报文的反应，记录车载网络的安全防护结果。

基础方案工作原理及有益效果：

车载网络通信矩阵的信号设计是通过对信号位进行定义，每个信号位都代表不同的功能，例如车门信号，车门信号只有两种状态，它只需要数据报文中的一位就可以表示，该位数据可定义为0代表开，1代表关，在信号接收方接收到对应的信号值后，就进行相应的动作或显示响应。

报文标识符，即identifier，简称ID，是汽车通信矩阵的重要属性，它在同一路总线上具有唯一性，通过它，可以对报文信息的优先级、报文类型分组等进行合理的划分。

与现有技术互联网的角度进行安全测试不同的是，本申请针对“车载网络通信矩阵的信号设计通过对信号位进行定义，且每个信号位都代表不同的功能”的特性，先获取整车的报文信息，这样，可以获取到正常情况下，当前检测的车载网络在各状态下各种操作的数据信息。

之后，在保持报文标识符不变的前提下，按照预设的处理流程，分别将对应的数据段进行处理(如取反或加和)得到多个攻击报文，并将攻击报文依次发送给车载网络。由于攻击报文中的报文标识符直接来源于整车的报文信息，攻击报文会直接对对应的功能进行攻击，换个说法，每个收集到的报文信息对应的功能，都会受到对应攻击报文的攻击，这样，可以保证对车载网络功能检测的完整度。并且，按照预设的处理流程时，可以对功能的数据定义进行多次处理得到多个攻击报文，后续每种功能都会依次受到这些攻击报文的攻击，相当于，对每种功能都按照预设方式完整的检测了一遍，进而实现每种功能的针对性检测。这样，就可以实现全功能检测，并对每一项功能进行针对性检测。

再然后，(检测人员)根据整车对攻击报文的反应，即车载网络遭到模拟攻击后的反应，可以了解整车对对应攻击的防护能力，从而可以完整且准确的记录车载网络的安全防护结果。

使用本方法，可以全面且准确的检测车载网络对于外部攻击的防护能力。

进一步，报文获取步骤中，获取的报文信息的类型包括整车周期报文和事件报文。

通过整车周期报文和事件报文，能够全面且完整的了解车载网络各功能在不同状态下的报文信息，保证报文信息的完整性。

进一步，报文获取步骤中，获取周期报文时，使用车载信号收发系统在整车状态发生预设改变时，收集此时的整车周期报文。

车载信号收发系统，即，用于对车载网络的报文信息进行收集和发送的软件系统。这样的方式，可以收集各种状态下的整车周期报文，并且流程化的收集方式，实际操作起来也很方便。

进一步，预设的改变包括由断电转为上电、由断电转为启动、以及由静态怠速转为动态加速。

这些状态涵盖了车载网络在运行时的所有状态，可以保证整车周期报文的全面性和完整性。

进一步，预设的改变依次为由断电转为上电、由断电转为启动、以及由静态怠速转为动态加速。

可以使检测更加有序，并且这样的次序操作起来也很流畅，可以保障整体效率。

进一步，报文获取步骤中，获取事件报文时，先持续预设时长接收整车处于预设状态且无人工操作时的报文，得到报文X；再持续预设时长接收整车处于预设状态且存在不少于预设人工操作时的报文，得到报文X+1；之后，对比报文X及报文X+1，找出差异报文并记为事件报文。

这样的方式，可以收集到车载网络在各种状态下的事件报文，即，完整的收集到车辆在各种状态下，人工进行不同操作时产生的各类报文。

进一步，预设状态包括上电、启动静止、启动行驶及下电。

这些状态涵盖了车载网络在运行时的所有状态，可以保证事件报文的全面性及完整性。

进一步，预设时长不小于1分钟。

这样的预设时长，可保证对应流程的完成性，防止出现因时长不足，不能进行完整的人工操作的情况出现。

进一步，报文处理步骤中，预设的处理流程包括，将对应的数据段取反、将对应的数据段加0x33333333、将对应的数据段加0xAAAAAAAA、以及将对应的数据段加0xffffffff。

这样的处理流程，包含了数据段取反、状态位改变等操作，可对单个功能进行全面的检测。并且，上述处理流程结合了车载网络通信矩阵的信号设计原理，涵盖范围极广，无论当前检测功能的数据定义处于哪个位置、有多少位，都可以实现其数据定义的更改(取反/状态位改变)，进而确保对所有状态下所有功能的针对性检测。再者，这样的处理方式，不用专门设计当前对当前检测功能的数据定义的位置及位数的分析软件，大幅的降低了检测需要的技术门槛，通用性非常强。

进一步，报文处理步骤中，预设的处理流程依次为，将对应的数据段取反、将对应的数据段加0x33333333、将对应的数据段加0xAAAAAAAA、以及将对应的数据段加0xffffffff。

这样，可以有序的对对应的数据段进行处理，便于后续检测结果的观察和记录。

附图说明

图1为本发明实施例一的流程图。

具体实施方式

下面通过具体实施方式进一步详细的说明：

现有技术是网络层面的检测，其检测方式是看车载网络的对外攻击能力防护；仍是属于互联网的检测方式，当发现漏洞后，通过补丁的方式进行处理。在以往，车辆的主要功能都是由人工操作，即使被攻击，通常也不会造成严重的安全事故，除此，网络层级的安全防护如果较为理想，确实难以发现漏洞进行攻击。因此，本领域技术人员一直都是沿用这样的技术思路进行车载网络的安全监测，没有人对其提出针对性的改进，偶有改进也只是对攻击的手段进行改进。

由于互联网式的检测方式的成熟，导致本领域技术人员在进行车载网络的检测时思维受到了局限，进行车载网络的安全检测时，都直接采用互联网的安全检测方式。这样做的优点很明显，技术成熟，直接套用即可；通用性强，各种车型都能够直接套用；加上网络层级的安全防护如果较为理想，也的确难以发现漏洞进行攻击。因此，本领域技术人员都没有动机对该测试方法进行修改，或设计新的测试方法。即使目前车载网络的智能化趋势已经越来越明显，所涉及的功能也越来越核心，由于安全防护级别高的互联网公司的防护能力也越来越强，本领域技术人员基本也还是在沿用互联网式的测试方法，毕竟有大量的现成经验可以直接使用。

但是，申请人认为，智能车领域毕竟与互联网领域存在一些行业区别，常用的互联网领域的安全手段即使被破解、发现漏洞，通常也只会受到一些资料数据的攻击；而随着智能车关键技术的发展，若智能车的关键功能受到攻击，如目前大力研发的自动驾驶、辅助驾驶等功能受到攻击，则会严重威胁到车内人员的生命安全。另一方面，防护级别较高的互联网公司的防护技术通常属于内部机密，不能轻易获取，如果基于这些防护级别较高的互联网公司的经验来自行研发，第一，研发费用过高且耗时过长(通常需要经过多个版本的迭代才能投入使用)；第二，该模式的核心在于网络层级的防护能力以及对漏洞的修补，如果智能车本身功能的防护能力已经足够，那么网络层级的防护能力加强起到的实际作用并不明显，容易出现费力不讨好的情况，如果智能车本身功能的防护能力不理想，网络层级的防护能力即使通过了测试，一旦被发现漏洞对智能车进行功能攻击，仍有可能威胁到车内人员的生命安全。

基于这样的发现和思考，申请人仔细研究了车载网络的特点，在本领域技术人员都仍在沿用互联网检测思路的时候，创造性的提出了一种基于车载网络通信矩阵的信号设计方式的车载网络安全检测方法，能够直接了解车辆各状态下各功能是否具备防护攻击的能力，并且操作方便、整体流程标准化程度高、智能化程度高。通过本方案测试的车载网络，可以保证各功能均具备良好的防攻击能力，进而保证车辆的安全性，并且需要的成本极低。

实施例一

本实施例中，进行测试时，需要一台安装CAN驱动及对应测试软件的笔记本电脑，其他实施例中，笔记本电脑也可以用台式电脑替代；还需要一个与笔记本电脑通信的CAN盒，被测试的整车或电控单元与CAN盒通信。其中，对应测试软件包括车载总线信号收发系统及车载总线报文处理系统，车载总线信号收发系统用于通过CAN盒进行报文信息的收集和发送；车载总线报文处理系统用于对收集的报文信息进行预设的处理。

如图1所示，汽车总线网络设计安全检测方法，包括：

报文获取步骤，使用车载信号收发系统接收整车的报文信息。其中，报文信息的内容包括报文标识符及对应的数据段；报文信息的类型包括整车周期报文和事件报文。

具体的，获取周期报文时，在整车状态发生预设改变时，收集此时的整车周期报文。其中，预设的改变包括由断电转为上电、由断电转为启动、以及由静态怠速转为动态加速。这些预设的改变的具体顺序，本领域技术人员可依据测试的车型具体设置，本实施例中，预设的改变的顺序依次为断电转为上电、由断电转为启动、以及由静态怠速转为动态加速。

获取事件报文时，先持续预设时长接收整车处于预设状态且无人工操作时的报文，得到报文X；再持续预设时长接收整车处于预设状态且存在不少于预设人工操作时的报文，得到报文X+1；之后，对比报文X及报文X+1，找出差异报文并记为事件报文。其中，预设状态包括上电、启动静止、启动行驶及下电；本实施例中，预设的改变的顺序依次为上电、启动静止、启动行驶及下电。预设时长不小于1分钟。这样的预设时长，可保证对应流程的完成性。本实施例中，预设时长为2分钟。

报文处理步骤，分别对收集到的周期报文和事件报文进行处理，保持报文标识符不变并按照预设的处理流程将对应的数据段进行处理得到多个攻击报文，并将攻击报文依次发送给车载网络。具体的，在保持报文标识符不变的前提下，先对对应的数据段取反并发送给车载网络；再对对应的数据段加0x33333333并发送给车载网络；之后，对对应的数据段加0xAAAAAAAA并发送给车载网络；再然后，对数据段加0xffffffff并发送给车载网络。由于获取报文信息时，会获取整车各个阶段(如上电、下电、启动等)的报文信息，因此，报文处理步骤中，也默认为会在整车各个阶段进行处理段处理并发送给车载网络。

防护测评步骤，根据整车对处理后数据段的反应，记录车载网络的安全防护结果。

具体实施过程如下：

以整车测试为例，在搭建好测试环境后，将CAN盒接入车辆OBD端口或通信接入口，使用CAN盒读取CAN线的数据，保障通信正常。

之后，通过CAN盒来收集整车的报文信息。在收集整车周期报文时，分别收集整车状态由断电转为上电、由断电转为启动、由静态怠速转为动态加速时的整车周期报文。在收集事件报文时，持续收集整车上电且无人工操作时的报文2分钟，记为报文X；再持续收集整车上电且存在预设人工操作时的报文2分钟，记为报文X+1，此处的预设人工操作，可由本领域技术人员依据车辆的型号具体设置。之后，测试软件对比报文X及报文X+1，找出差异报文并记为事件报文。按照上述过程，依次收集整车上电、整车启动静止、整车启动行驶和整车下电时的事件报文。这样，可以全面且完整的获取当前检测整车的车载网络在所有状态下的整车周期报文及事件报文。

收集到报文信息后，车载总线报文处理系统在整车各个阶段(如上电、下电、启动等)，保持报文标识符不变并对对应的数据段取反后，生成攻击报文并通过CAN盒发送给车载网络，观察整车是否出现异常，如果出现异常则说明攻击成功，工作人员可进行对应的记录。同样的，在整车各个阶段，保持报文标识符不变并对数据段加0x33333333，生成攻击报文并通过CAN盒发送给车载网络，如果出现异常则进行对应的记录；在整车各个阶段，保持报文标识符不变并对数据段加0xAAAAAAAA，生成攻击报文并通过CAN盒发送给车载网络，如果出现异常则进行对应的记录；在整车各个阶段，保持报文标识符不变并对数据段加0xffffffff，生成攻击报文并通过CAN盒发送给车载网络，如果出现异常则进行对应的记录。

这样的检测方式，与现有技术直接使用互联网的检测方法相比，不再只是从整体网络的层面进行无差别攻击检测。而是在仔细研究了车载网络的通信矩阵之后，针对车载网络的具体状态下各种功能进行的针对性检测。车载网络通信矩阵的信号设计是通过对信号位进行定义，每个信号位都代表不同的功能，例如车门信号，车门信号只有两种状态，它只需要数据报文中的一位就可以表示，该位数据可定义为0代表开，1代表关，在信号接收方接收到对应的信号值后，就进行相应的动作或显示响应。本申请针对“车载网络通信矩阵的信号设计通过对信号位进行定义，且每个信号位都代表不同的功能”的特性，先获取整车的报文信息，这样，可以获取到正常情况下，当前检测的车载网络在各状态下各种操作的数据信息。这种以功能为检测对象的方式，可以直接对车载网络可能被攻击的功能进行模拟攻击检测，而不再是对网络层级进行检测，可以避免出现“网络测试中表现出色，但某个功能在实际行驶中仍然被攻击”的情况，当发现不足时，也能够精准的了解具体是哪种状态下的哪个功能存在不足，后续处理的针对性极强，进而保证车内人员的安全性。

除此，采用本申请的检测流程：

第一、攻报文中的识别符直接来自于当前检测车辆的报文信息，并且由于报文信息包含了被检测整车在各种状态下各种功能的报文，因此，其检测的覆盖范围包括了车载网络在各种状态下各种功能，保证检测的完整度。

第二、每种状态下每种功能，都会经历数据段取反、数据段加0x33333333、数据段加0xAAAAAAAA及数据段加0xffffffff这四种模拟攻击。即使各种功能的数据定义在所属数据段中的位置及长度不同，均可以通过上述四种处理方式进行有效的模拟攻击。可以实现了对每种功能的针对性检测。

第三、这样的处理方式，不用专门设计当前对当前检测功能的数据定义的位置及位数的分析软件，大幅的降低了检测需要的技术门槛，通用性非常强。

具体的，对所有只使用一位数据定义的功能进行攻击，达到的攻击状态为所有状态相反，例如，正常情况下显示门开，攻击之后，显示门关。对使用两位数据定义的功能进行安全检测，可以实现除了正常状态下的所有或部分状态，例如，整车系统的电源状态信号有0x0:Off；0x1:Acc；0x2:On；0x3:Start四种，如果整车当前状态为on，通过以上四步安全检测可实现ACC、off两种状态。对使用三位数据定义的功能进行攻击，可以实现除了正常状态下的部分状态，例如，仪表中的车模型颜色设置状态信号有0x0:Inactive，0x1:white(白色)，0x2:black(黑色)，0x3:red(红色)，0x4:orange(橙色)，0x5:gray(灰色)，0x6:blue(蓝色)，0x7:silver(银色)，如果整车当前状态为白色，通过以上四步的安全检测可实现0x6、0x4、0x3、0x0四种。对超过使用三位数定义的功能(如车速、转速等)进行安全检测原理同上，这在此不再赘述。

根据记录的攻击成功的攻击报文以及整车被攻击时的具体状态，检测人员就可以了解当前检测整车的车载网络是否具备足够的防护能力，并且由于是针对功能进行攻击而且网络层级的检测，可以保证检测的有效性。如果防护能力不足，还可以知道整车具体是在哪种状态下执行哪个操作、受到那种攻击时会出现异常。

实施例二

与实施例一不同之处的是，本实施例中，报文获取步骤中，获取事件报文时，预设的改变的顺序依次为上电、启动行驶、启动静止及下电。

以上所述的仅是本发明的实施例，方案中公知的具体结构及特性等常识在此未作过多描述，所属领域普通技术人员知晓申请日或者优先权日之前发明所属技术领域所有的普通技术知识，能够获知该领域中所有的现有技术，并且具有应用该日期之前常规实验手段的能力，所属领域普通技术人员可以在本申请给出的启示下，结合自身能力完善并实施本方案，一些典型的公知结构或者公知方法不应当成为所属领域普通技术人员实施本申请的障碍。应当指出，对于本领域的技术人员来说，在不脱离本发明结构的前提下，还可以作出若干变形和改进，这些也应该视为本发明的保护范围，这些都不会影响本发明实施的效果和专利的实用性。本申请要求的保护范围应当以其权利要求的内容为准，说明书中的具体实施方式等记载可以用于解释权利要求的内容。

Claims (10)

1.汽车总线网络设计安全检测方法，其特征在于，包括：

报文获取步骤，获取整车的报文信息，报文信息的内容包括报文标识符及对应的数据段；

报文处理步骤，对报文信息分别进行处理，保持报文标识符不变，按照预设的处理流程，分别将对应的数据段进行处理得到多个攻击报文，并将攻击报文依次发送给车载网络；

防护测评步骤，根据整车对攻击报文的反应，记录车载网络的安全防护结果。

2.根据权利要求1所述的汽车总线网络设计安全检测方法，其特征在于：报文获取步骤中，获取的报文信息的类型包括整车周期报文和事件报文。

3.根据权利要求2所述的汽车总线网络设计安全检测方法，其特征在于：报文获取步骤中，获取周期报文时，使用车载信号收发系统在整车状态发生预设改变时，收集此时的整车周期报文。

4.根据权利要求3所述的汽车总线网络设计安全检测方法，其特征在于：报文获取步骤中，预设的改变包括由断电转为上电、由断电转为启动、以及由静态怠速转为动态加速。

5.根据权利要求4所述的汽车总线网络设计安全检测方法，其特征在于：报文获取步骤中，预设的改变依次为由断电转为上电、由断电转为启动、以及由静态怠速转为动态加速。

6.根据权利要求2所述的汽车总线网络设计安全检测方法，其特征在于：报文获取步骤中，获取事件报文时，先持续预设时长接收整车处于预设状态且无人工操作时的报文，得到报文X；再持续预设时长接收整车处于预设状态且存在不少于预设人工操作时的报文，得到报文X+1；之后，对比报文X及报文X+1，找出差异报文并记为事件报文。

7.根据权利要求6所述的汽车总线网络设计安全检测方法，其特征在于：报文获取步骤中，预设状态包括上电、启动静止、启动行驶及下电。

8.根据权利要求6所述的汽车总线网络设计安全检测方法，其特征在于：报文获取步骤中，预设时长不小于1分钟。

9.根据权利要求1所述的汽车总线网络设计安全检测方法，其特征在于：报文处理步骤中，预设的处理流程包括，将对应的数据段取反、将对应的数据段加0x33333333、将对应的数据段加0xAAAAAAAA、以及将对应的数据段加0xffffffff。

10.根据权利要求9所述的汽车总线网络设计安全检测方法，其特征在于：报文处理步骤中，预设的处理流程依次为，将对应的数据段取反、将对应的数据段加0x33333333、将对应的数据段加0xAAAAAAAA、以及将对应的数据段加0xffffffff。

Images