CN114667712A - 探测在机动车面向包的数据网络中未经授权的数据通信的方法和控制器以及相应的机动车 - Google Patents

Abstract

本发明涉及一种用于探测机动车(10)的面向包的数据网络(11)中的未经授权的数据通信的方法，通过处理器电路(P)从数据网络(11)读取至少一个数据包(14、14‘、19)，并分别就以下方面检查数据包(14、14‘、19)的报头数据(27)，即，通过报头数据(27)所描述的连接信息(30‘)是否表明通信连接(17)对于机动车(10)的运行是许可的，如果数据包(14、14‘、19)被识别为属于许可的通信连接(17)，就以下方面检查数据包(14、14‘、19)的有效载荷数据(34)，即，有效载荷数据(34)的数据值(36)是否具有针对通信连接(17)所设置的值特征(34)，如果出现了对于数据包(14、14‘、19)来说缺少许可的通信连接(17)或缺少许可的值特征(43‘)的情况之一，则产生探测信号(25)，该探测信号将数据包(14、14‘、19)报告为未经授权的数据通信。

Description

探测在机动车面向包的数据网络中未经授权的数据通信的方 法和控制器以及相应的机动车

技术领域

本发明涉及一种用于探测在机动车的面向包/面向数据包的数据网络中的未经授权的数据通信的方法。当机动车的控制器被黑客攻击篡改和/或将不是由机动车的制造商所设置的额外计算机联接到数据网络时，可能会产生这种未经授权的数据通信。本发明还包括控制器，借助该控制器可以在机动车中执行本方法，以及包括具有这样的控制器的机动车。

背景技术

在机动车中，除了数据总线之外或者作为数据总线的替选，还可以提供面向包的数据网络，例如以太网网络。与数据总线的情况不同的是，经由面向包的数据网络还可以建立不是由机动车制造商根据车辆规格所设置的通信连接。然而，因此可能使有篡改意图的用户能够基于已经被篡改的机动车控制器或通过将额外的计算机联接到数据网络，使干扰机动车无故障地运行的有害数据经由与另外的控制器的新创建的通信连接混入到机动车中。然而，即使当在这样的黑客攻击的情况下只能够使用根据车辆规格在两个控制器之间已经设置好的通信连接时，与在数据总线中的情况不同地在面向包的数据网络中仍有可能在设计数据包中的所谓有效载荷/有效数据(Payload、有用数据部分)中榨取更多的自由度，从而将有害数据传输到机动车的控制器中。

因此，在具有面向包的数据通信的机动车的面向包的数据网络中，尤其是在以太网网络中，期望对篡改性攻击或黑客攻击进行识别。

对机动车的数据网络中的数据通信的监控例如由DE 10 2018 122 152 A1、EP3373553 A1、US 2018/0083914 A1和WO 2016/055730 A1所已知。然而，已知的解决方案并没有提供如下的双重保护，即，在数据网络中对不是根据车辆规格设置的、新的通信连接进行探测，以及对经由根据车辆规格所允许的通信连接所实施的操纵进行探测。因此为了确保机动车不受干扰的运行，力求对这种未经授权的(车辆规格中没有设置的)数据通信进行探测。

发明内容

因此本发明的目的是，在机动车内探测在面向包的数据网络中的未经授权的数据通信(所谓的“Intrusion-Detection(入侵探测)”)。

该目的通过独立专利权利要求的主题来解决。有利的实施方式由从属专利权利要求、以下描述以及附图得出。

通过本发明提供了一种用于探测在机动车的面向包/面向数据包的数据网络中的未经授权的数据通信的方法。该方法可以通过处理器电路来执行，该处理器电路例如可以在机动车控制器中提供。该方法的出发点在于，处理器电路与数据网络耦合，以便可以从数据网络本身接收或至少一同读取至少一个数据包。因此，在该方法中，从数据网络中读取到至少一个在数据网络中传输的数据包。数据包可以以所述方式在此发送到处理器电路或其他接收器。现在有必要确认这样的数据包是否代表未经授权的数据通信，即是否是根据事先已知的车辆规格——如机动车制造商所设置的车辆规格——不许可/不允许或不应当存在的数据通信。

为此，针对每个所读取的数据包都要分别执行以下步骤。通过处理器电路借助第一检查程序就以下方面检查报头数据、即所谓的“包头”的数据：通过报头数据所描述的连接信息是否表明通信连接对于机动车的运行是许可的/允许的。这是可行的，因为在报头数据中通常明确地鉴别通信连接，例如通过由发送方地址和接收方地址构成的组合和/或发送端口和/或接收端口和/或发送应用程序和/或接收应用程序来鉴别。在此，可以从所述车辆规格中获悉哪种通信连接是许可的，这是因为早在机动车实际运行之前，在机动车的建造时就已知了，并且借助编程数据确认了究竟哪个控制器将与其他哪个控制器运行通信连接。在机动车中可以例如通过规格数据来限定或描述多个许可的通信连接。基于报头数据，使得处理器电路现在可以识别出：当前所读取的数据包是否属于被许可用于机动车运行的通信连接。

如果数据包被识别为属于这种许可的通信连接的情况，则在第二步骤中，将数据包的有效载荷数据，即与报头数据不同且通常在报头数据之后所发送的有效载荷数据，借助第二检查程序进行如下方面的检查，即，检查有效载荷数据的数据值是否具有如下的值特征，该值特征对通信连接是典型的或所设置的。例如，有效载荷数据可以被看作是一系列单独的字节，其中，每个字节可以代表从0到255(8比特)的数值。如果通信连接以被设置用于机动车的运行的方式，即按照规格来使用，则有效载荷数据的各个字节预期地分别具有在预期或典型的值区间内的值。将所有的有效载荷数据的值进行合并得到了值特征，即例如每个字节的值说明。如果该值特征整体上与针对通信连接所设置的目标特征或多个可能的目标特征之一相对应，则可以将该数据包视为经授权的或对于机动车运行是典型的或为机动的运行所设置的数据包。可以由本领域技术人员来确认：数据包的哪个部分属于报头数据，且哪个部分属于有效载荷数据并因此被传递给第一检查程序或第二检查程序。报头数据和有效载荷数据可能是不相交，或者可以是完全或部分重叠。报头数据和有效载荷数据的划分可以由所使用的通信协议来得出。有效载荷数据可以是针对进行接收的应用程序(接收器中的应用程序)所设置的数据，报头数据可以是针对接收器的协议栈所设置的数据(ISO/OSI参考模型的中间层)。

然而，如果出现了对于数据包来说缺少许可的通信连接或许可的值特征的情况之一，则通过处理器电路产生探测信号，该探测信号将数据包标记为或报告为未经授权的数据通信。然后，基于这样的探测信号例如可以触发保护措施，例如让机动车的运行停止。保护措施例如可以依赖于哪些控制器与数据包有关来选出。

所述方法不仅可以应用于机动车的数据网络中的各个中央部件(例如交换机或路由器或网关)，而且还可以附加或替选地还在一个或多个终端/控制器中实施并在那里应用。由此使得覆盖范围可以根据需要进行缩放和/或局部化。因此，该方法通常可以由单个处理器电路执行或多个处理器电路分别单独地执行。

通过本发明得到的优点是，在面向包的数据网络中，无论是经由新创建或新设置的通信连接，还是经由现有的、经授权的通信连接，都不会将可能干扰机动车的运行的有害数据混入到机动车中。

本发明还包括得到附加优点的实施方式。

在一个实施方式中，值特征以所述方式包括：将有效载荷数据划分成数据段、例如单个字节，并针对每个数据段确定通过该数据段的比特所限定的数值，并将数据段中出现的数值的相应绝对或相对的出现频率进行计数。在该实施方式中，通过该数据段的比特所代表的数值与相应数据段在有效载荷数据中的位置无关地确定，并且在直方图中确定在当前数据包的有效载荷数据中出现的数值的绝对或相对的出现频率。由此得到的优点是，为检查数据包，每个可能的数值只需要一个计数器来管理或实施，这就能够在短时间内实现对数据包的分析，从而可以在不间断的情况下检查数据网络中的先后连续的数据包。

在一个实施方式中，所述值特征包括：基于数值的出现频率为数据包计算熵值，并且针对每个许可的通信连接在数据存储器中准备好相应目标熵值/标称熵值，并且只有当所计算的熵值与数据包所属的通信连接的目标熵值之间的差小于预先确定的公差值的情况下，才将该值特征识别为许可的。针对数据包的有效载荷数据，以有利的方式借助熵值只计算单个的值用于检查。由此可以经过较少的计算步骤就可以进行检查。由于有效载荷数据是在基本的通信连接已被识别为属于机动车运行的情况下进行检查，所以也已知了针对该通信连接预期哪个目标熵值。然后，当前数据包的有效载荷数据的熵值必须位于(由公差值限定的)预先确定的公差区间内，以此使当前数据包也被识别在所识别的通信连接的意义下是有效的。通过使用公差值可以考虑到机动车的不同运行情况。

在一个实施方式中，熵值通过如下方式来计算，即，计算对数化的出现频率值之和或对数化的出现频率倒数值之和。因此，熵值包括来自可能出现在有效载荷的数据段中的每个可能的数值的信息。因此，通过对数化使得以非线性的方式评估与预期的值特征的差，与线性求和或加权求和相比，这提升了探测方法的灵敏性。

在一个实施方式中，第一检查程序(借助该第一检查程序检查数据包究竟是否属于许可的通信连接)包括：选出报头数据中的预先确定的数据元素/数据项或至少一个预先确定的数据元素，并针对每个选出的数据元素计算哈希值或校验和值(Prüfsummenwert)。换句话说，所有被选出的数据项进行合并，并为合并的数据元素计算哈希值或校验和值。无论从报头数据中选出多少个数据元素，这些数据元素都被组合成一个哈希值或校验和值。由此无需调整检查程序的其余部分，就例如可以调整或重新配置数据元素的选出，这是因为仍必须继续处理具有恒定长度的哈希值或校验和值。检查：所计算出的哈希值是否与目标哈希值相一致，其中，针对每个许可的通信连接分别在数据存储器中准备好至少一个目标哈希值。因此，可以为每个通信连接提供一个或一个以上的目标哈希值，以便分别通过目标哈希值来描述通信连接或通信连接的多个实施方式。因此，即使在使用来自报头数据中的多个不同的数据元素的情况下，也只需在哈希值/校验和值与每个可能的目标哈希值之间进行一次比较。每个哈希值/校验和值都代表了由数据元素构成的特定组合，从而通过检查单个哈希/校验和值，就检查了整个组合。这具有高效的优势。

在一个实施方式中，第一检查程序包括：借助布谷鸟过滤器(Cuckoo-Filter)和/或借助布隆过滤器(Bloom-Filter)进行检查。尤其地，所述的哈希值或校验和值借助所述过滤器中的一个或两个来检查。由此得到的优点是，没有必要与一个或多个目标哈希值进行数字比较，而是当借助布谷鸟过滤器和/或布隆过滤器过滤得到相应的过滤结果时获得一致性。

在一个实施方式中，从报头数据中选出对通信连接的如下特征中的一个或多个或所有特征进行描述的一个或多个这种数据元素：发送方地址、接收方地址、Mac地址、有效载荷长度(数据包的报头数据之后的有效载荷数据的数据长度)。这些数据元素已被证实是有意义的或作为针对通信连接的描述被证实是有用的。尤其地，这些数据元素中的多个数据元素的组合适合于将所述通信连接与每个其他的通信连接明确区分开。

正如已经解释过地，该方法就面向包的数据网络方面尤其适用于以太网网络。这种以太网网络是“无状态”的，因此在此可以提供利用该方法所设置的对各个数据包进行独立检查。

为了在机动车中执行根据本发明的方法，通过本发明还提供了用于机动车的控制器。该控制器可以联接到机动车的数据网络，并可以例如被设计为发送器或接收器，或被设计为路由器或交换机。控制器具有处理器电路，处理器电路被设置成用于执行根据本发明的方法的实施方式。为此，处理器电路可以包括至少一个微处理器和/或至少一个微控制器。处理器电路可以具有存储程序指令的数据存储器，程序指令被设置成用于使得在通过处理器电路实施时促使该处理器电路执行根据本发明的方法的所述实施方式。数据存储器可以被设计为非易失性计算机可读存储介质，例如闪存或ROM(Read only Memory、只读存储器)或SSD。

机动车同样是本发明的组成部分。该机动车具有数据网络、尤其是以太网网网络，并且具有至少一个根据本发明的控制器，该控制器联接到数据网络。根据本发明的机动车优选被设计为汽车、尤其是被设计为乘用车辆或载重车辆。

本发明还包括所述实施方式的特征的组合。

附图说明

下文描述本发明的实施例。其中：

图1示出一个根据本发明的机动车的实施方式的示意图；并且

图2示出用于说明可以应用于数据网络的数据包的两个检查程序的简图。

具体实施方式

下文所解释的实施例是本发明的优选的实施方式。在实施例中，所描述的实施方式的各个部分相应代表了本发明的各个应被独立考虑的特征，这些特征也相应独立地改进了本发明。因此，本公开内容还包括除所示的实施方式的特征的组合以外的组合。此外，所述的实施方式还能通过另外的已述的本发明的特征来补充。

在附图中，相同的附图标记相应标注了功能相同的元件。

在图1中示出了机动车10，其可以是汽车，尤其是乘用车辆或载重车辆。在机动车10中可以提供数据网络11，数据网络可以实现面向包的数据通信。数据网络11尤其可以是以太网网络。机动车的控制器12可以联接到数据网络11。在下文中出发点在于，在实施例的范围中，其中一个控制器12是发送器13，发送器将数据包14传送给接收器15。由于根据机动车10的车辆规格——即根据按计划的运行——设置数据包14从发送器13到接收器15的发送，因此所形成的通信连接16是许可的通信连接17。通信连接16例如由发送器13、接收器15和数据包14的通信内容或通信类型、即例如数据包14中的消息类型(仅举例说明，例如传输温度值或转速值或特定的控制命令)的组合而得到。在图1中示出，也可能有附加的发送器18联接在数据网络11上，该附加的发送器例如是试图篡改机动车10的运行的人的计算机。附加的发送器18也可以是被篡改的机动车10控制器。在所示的示例中，附加的发送器18也向接收器15发送数据包19，但是其中，从发送器18到接收器15的组合获得了通信连接16，而该通信连接是未被设置或不许可的通信连接20，这是因为该通信连接不是车辆规格的组成部分。与发送器13相关地可能发生的情况是，该发送器例如由于其运行软件被篡改使得也经由许可的通信连接17向接收单元15发送一个或多个数据包14‘，但是在此在数据包14‘中包含不被许可的数据内容21，例如不被许可的、针对转速或功率的数据值或针对接收器15的控制命令。

为了探测数据网络11中不被许可的通信连接20和/或被篡改的数据包14‘，在机动车10中至少一个控制器12——这里在图1中是控制器22——可以被设计成用于探测数据包19、14‘中的这种未经授权或不是根据规格的数据通信。为此，控制器22可以窃听或读取数据网络11中的数据通信，也就是说产生所传输的数据包14、14‘、19的备份，并借助第一检查程序23和第二检查程序24检查，是否涉及不被许可的通信连接20的数据包和/或许可的通信连接17的被篡改的数据包14‘。

如果借助检查程序23、24识别到，数据网络14中存在至少一个篡改的数据包14‘和/或许可的通信连接20，则通过控制器22可以产生探测信号25，在此基础上可以在机动车10中触发至少一种保护措施26，以便对未经授权的数据通信作出反应。例如，可以停止机动车10或可以中断机动车10的运行。

图2示出了检查程序23、24的可能的实施方式。

示出了，可以如何处理从数据网络11读取的单个数据包。在此首先不知道的是，该数据包是许可的数据包14、被篡改的数据包14‘，还是不被许可的通信连接20的数据包19。

借助检查程序23，可以基于数据包的报头数据27借助校验和功能28计算出校验和或哈希值29。为此，可以从报头数据27中选出报头数据27的可能的数据元素30。仅举例说明，可能的数据元素可以是所述发送方地址、接收方地址、Mac地址、有效载荷长度。计算出的哈希值29或校验和值可以例如借助布谷鸟过滤器31来检查：哈希值29或一般的校验和值是有效的哈希值还是目标哈希值32，就如同报头数据27描述了许可的通信连接17时可获得的哈希值那样。过滤结果33描述了，哈希值29与可能的目标哈希值32是否一致。如果不一致，则可以产生探测信号25(见图1)。在其他情况下可以执行检查程序24。检查程序24可以应用于数据包的有效载荷数据34。在此，有效载荷数据34可以被划分成数据段35，例如可以观察有效载荷数据的各个字节。在图2中假设了如下情况，使得针对任意数据段25(单个字节)，其比特可以表示从0到255的范围。

检查程序24可以设置成，对于有效载荷数据34，对所得的实际数值36的出现频率H进行计数。因此针对每个可能的数值36得到了出现频率值H‘。因此得到了可能的数值36的出现频率H的直方图37。因此对数值0、1、2、......、255相应出现的频次进行计数。

基于出现频率H，可以借助对数函数38计算相应的出现频率值H‘或出现频率值倒数H‘的对数值38‘，其中，可以对出现频率值0进行特别处理。借助和函数39可以对这些值进行求和，即可以计算出经对数化的出现频率值或经对数化的出现频率倒数值之和。借助比较函数40可以检查，所得到的和41与目标熵值43的差是否小于预先确定的公差值42，可以为基于报头数据27所识别的附加的通信连接17提供该公差值。和41是代表有效载荷数据34的值特征41‘。目标熵值43是许可的值特征43‘。

该比较函数的结果44可说明，和41位于由公差值42获得的公差区间之外，并因此必须产生探测信号25。否则，数据包可以被识别为许可的数据包14，并且不产生探测信号25，或者借助探测信号25报告：已经识别到有效或许可的数据包，即识别到经授权的数据通信。然后可以对从数据网络11接收到的下一数据包进行分析。

为了执行检查程序23、24，控制器22可以包括处理器电路P。

数据元素30代表对以下通信连接16进行描述的连接信息30‘，相应的数据包要沿该通信连接进行传输。

整体上，这些示例示出了通过本发明如何可以提供用于车辆以太网的、基于规格的入侵探测方法。

Claims (10)

1.一种用于探测机动车(10)的面向包的数据网络(11)中的未经授权的数据通信的方法，其中，通过至少一个处理器电路(P)

分别从数据网络(11)读取在所述数据网络(11)中传输的至少一个数据包(14、14‘、19)，以及

分别借助第一检查程序(23)就以下方面检查数据包(14、14‘、19)的报头数据(27)，即，通过报头数据(27)所描述的连接信息(30‘)是否表明通信连接(17)对于机动车(10)的运行是许可的，

如果数据包(14、14‘、19)被识别为属于许可的通信连接(17)，则借助第二检查程序(24)就以下方面检查数据包(14、14‘、19)的有效载荷数据(34)，即，所述有效载荷数据(34)的数据值(36)是否具有针对通信连接(17)所设置的值特征(34‘)，

如果出现了对于数据包(14、14‘、19)来说缺少许可的通信连接(17)或缺少许可的值特征(43‘)的情况之一，则产生探测信号(25)，所述探测信号将数据包(14、14‘、19)报告为未经授权的数据通信。

2.根据权利要求1所述的方法，其特征在于，值特征(41‘)包括：将有效载荷数据(34)划分为数据段(35)，并针对每个数据段(35)确定通过所述数据段(35)的比特所限定的数值(36)，对在所述数据段(35)中全部出现的数值(36)的绝对的或相对的出现频率(H)的相应出现频率值(H‘)进行计数。

3.根据权利要求2所述的方法，其特征在于，值特征(41)包括：针对数据包(14、14‘、19)基于数值(36)的出现频率值(H‘)计算熵值(41)，针对每个许可的通信连接(17)在数据存储器中准备好相应的目标熵值(43)，只有在所计算的熵值(41)与数据包(14、14‘、19)所从属的相应通信连接(16)的目标熵值(43)的差小于预先确定的公差值(42)的情况下，才将所述值特征(41‘)识别为许可的。

4.根据权利要求3的方法，其特征在于，熵值(41)通过如下方式计算，即，计算对数化的出现频率值的和(39)或对数化的出现频率倒数值(38‘)的和(39)。

5.根据前述权利要求中任一项所述的方法，其特征在于，第一检查程序(23)包括：选出报头数据(27)的至少一个预先限定的数据元素(30)，并针对每个选出的数据元素(30)计算哈希值(29)，并且检查：所计算的哈希值(29)是否与目标哈希值(32)相一致，其特征在于，针对每个许可的通信连接(17)分别在数据存储器中准备好至少一个目标哈希值(32)。

6.根据前述权利要求中任一项所述的方法，其特征在于，第一检查程序(23)包括：借助布谷鸟过滤器(31)和/或借助布隆过滤器进行检查。

7.根据前述权利要求中任一项所述的方法，其特征在于，从报头数据(27)中选出对通信连接(16)以下特征中的一个或多个或所有特征进行描述的数据元素(30)中的至少一个：发送方地址、接收方地址、Mac地址、有效载荷长度。

8.根据前述权利要求中任一项所述的方法，其特征在于，所述数据网络(11)是以太网网络。

9.一种用于机动车(10)的控制器(22)，其特征在于，所述控制器(22)具有被设置成用于执行根据前述权利要求中任一项所述的方法的处理器电路(P)。

10.一种机动车(10)，所述机动车具有数据网络(11)和至少一个根据权利要求9所述的控制器(22)，所述控制器联接到所述数据网络(11)。

Images