CN114826680A - 车载数据处理方法及装置 - Google Patents

车载数据处理方法及装置 Download PDF

Info

Publication number
CN114826680A
CN114826680A CN202210322263.9A CN202210322263A CN114826680A CN 114826680 A CN114826680 A CN 114826680A CN 202210322263 A CN202210322263 A CN 202210322263A CN 114826680 A CN114826680 A CN 114826680A
Authority
CN
China
Prior art keywords
preset
message
address
mac address
rule
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210322263.9A
Other languages
English (en)
Other versions
CN114826680B (zh
Inventor
杨孙永
武剑
梁琼
郭卫华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Jingwei Hirain Tech Co Ltd
Original Assignee
Beijing Jingwei Hirain Tech Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Jingwei Hirain Tech Co Ltd filed Critical Beijing Jingwei Hirain Tech Co Ltd
Priority to CN202210322263.9A priority Critical patent/CN114826680B/zh
Publication of CN114826680A publication Critical patent/CN114826680A/zh
Application granted granted Critical
Publication of CN114826680B publication Critical patent/CN114826680B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本公开提供一种车载数据处理方法及装置，该方法应用于车载网络中任一防火墙，包括：在车载网络设备发送的待测报文中源MAC地址与预设安全规则中所有预设MAC地址均不相同的情况下，将所述待测报文中源IP地址与预设动态学习安全规则中预设IP地址进行匹配；在所述源IP地址与预设IP地址相同的情况下，将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中，并允许所述待测报文通过；在所述源IP地址与所有预设IP地址均不相同的情况下，将所述待测报文丢弃。该方法可以通过过滤IP地址的方式自动更新预设安全规则，而无需人工参与，从而不仅节省了人力，还可以提高预设安全规则的更新效率，进而提高车载网络设备的接入效率。

Description

车载数据处理方法及装置
技术领域
本公开涉及汽车技术领域，具体而言，涉及一种车载数据处理方法及装置。
背景技术
随着人们生活水平的提高，汽车保有量越来越多，同时，人们对车辆驾驶安全的要求也越来越高。车辆中包括TBOX(TelematicsBOX，远程信息处理器)和多个ECU(ElectronicControl Unit，电子控制单元)，且它们之间通过车载网络进行通信。为了防止TBOX或ECU被攻击造成车辆行驶风险，如图1所示，可以在TBOX和ECU中分别部署车载网络链路层防火墙。当防火墙接收到车载网络设备(TBOX、ECU或者外部设备)发送的报文后，可以基于预设安全规则和该报文的源MAC(Media Access Control，媒体访问控制)对该报文进行安全过滤，对于不安全的报文进行丢弃。而对于新接入的车载网络设备，则需要将新接入的车载网络设备的MAC地址手动增加到预设安全规则中才能保障与新接入车载网络设备的正常交互，但是手动增加耗费人力、效率低。
发明内容
本公开提供了一种车载数据处理方法及装置，能够解决相关技术中通过手动更新预设安全规则使得新车载网络设备成功接入而导致耗费人力、效率低的问题。
具体的技术方案如下：
第一方面，本公开实施例提供了一种车载数据处理方法，所述方法应用于车载网络中任一防火墙，所述方法包括：
在车载网络设备发送的待测报文中源媒体访问控制MAC地址与预设安全规则中所有预设MAC地址均不相同的情况下，将所述待测报文中源互联网协议IP地址与预设动态学习安全规则中预设IP地址进行匹配；
在所述源IP地址与预设IP地址相同的情况下，将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中，并允许所述待测报文通过；
在源IP地址与所有预设IP地址均不相同的情况下，将所述待测报文丢弃。
在一种实施方式中，所述预设安全规则包括第一规则部分和第一动作部分，其中，所述第一规则部分包括所述预设MAC地址，用于指示将所述待测报文中的所述源MAC地址与所述预设MAC地址进行匹配，且所述源MAC地址与所述预设MAC地址相同时匹配成功，所述源MAC地址与所述预设MAC地址不同时匹配失败，所示第一动作部分包括允许通过和丢弃，所述第一规则部分匹配成功时，所述第一动作部分为允许通过，所述第一规则部分匹配失败时，所述第一动作部分为丢弃；和/或，
所述预设动态学习安全规则包括第二规则部分和第二动作部分，其中，所述第二规则部分包括所述预设IP地址，用于指示将所述待测报文的所述源IP地址与所述预设IP地址进行匹配，且所述源IP地址与所述预设IP地址相同时匹配成功，所述源IP地址与所述预设IP地址不同时匹配失败，所述第二动作部分包括将所述待测报文中所述源MAC地址增加到所述预设安全规则和丢弃，所述第二规则部分匹配成功时，所述第二动作部分为将所述待测报文中所述源MAC地址增加到所述预设安全规则，所述第二规则部分匹配失败时，所述第二动作部分为丢弃。
在一种实施方式中，所述方法还包括：
记录与报文处理相关的特定事件信息，其中，所述特定事件信息包括报文处理动作事件、与预设动态学习安全规则匹配失败事件、与预设安全规则匹配失败事件中至少一项；
调用PERF EVENT接口，并通过所述PERF EVENT接口将所述特定事件信息写入环形缓冲区，并更新所述环形缓冲区的缓冲区文件描述符，以使日志记录守护进程检测到所述缓冲区文件描述符发生变化时，根据缓冲区读取索引从所述环形缓冲区读取特定事件信息，并将读取的特定事件信息写入存储器中，
其中，所述存储器中的日志文件信息包括产生日志的事件、产生日志的所述车载网络设备、日志上报的具体原因、产生日志的报文地址信息、报文处理动作中至少一项。
在一种实施方式中，通过所述PERF EVENT接口将所述特定事件信息写入环形缓冲区，包括：
在缓冲区写入索引所对应的存储区域为空的情况下，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域；
在缓冲区写入索引所对应的存储区域不为空的情况下，判断所述缓冲区写入索引所对应的存储区域是否被读取；
在所述缓冲区写入索引所对应的存储区域已被读取的情况下，通过所述PERFEVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息；
在所述缓冲区写入索引所对应的存储区域未被读取的情况下，等待所述日志记录守护进程读取所述环形缓冲区，直至所述缓冲区读取索引指向所述缓冲区写入索引所对应存储区域的下一个存储区域时，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息。
在一种实施方式中，在所述日志记录守护进程为syslogd守护进程的情况下，将读取的特定事件信息写入存储器中包括：
通过所述syslogd守护进程将读取的特定事件信息以标准日志文件格式写入所述存储器中。
在一种实施方式中，所述方法还包括：
在连续接收到的多个待测报文中源MAC地址与所述预设安全规则中预设MAC地址相同的情况下，将所述预设动态学习安全规则删除。
7、在一种实施方式中，在将所述预设动态学习安全规则删除之后，所述方法还包括：
在所述车载网络设备发送的所述待测报文中所述源MAC地址与所述预设安全规则中某个所述预设MAC地址相同的情况下，允许所述待测报文通过；
在所述车载网络设备发送的所述待测报文中所述源MAC地址与所述预设安全规则中所有所述预设MAC地址均不相同的情况下，将所述待测报文丢弃。
在一种实施方式中，在将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中之后，所述方法还包括：
将更新后的所述预设安全规则同步至所述车载网络中的其他防火墙；
或者，将新增的预设MAC地址同步至所述车载网络中的其他防火墙。
在一种实施方式中，所述待测报文为地址解析协议ARP报文或者IP报文。
第二方面，本公开的另一个实施例提供了一种车载数据处理装置，所述装置应用于车载网络中任一防火墙，所述装置包括：
匹配单元，用于在车载网络设备发送的待测报文中源媒体访问控制MAC地址与预设安全规则中所有预设MAC地址均不相同的情况下，将所述待测报文中源互联网协议IP地址与预设动态学习安全规则中预设IP地址进行匹配；
增加单元，用于在所述源IP地址与预设IP地址相同的情况下，将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中；
通过单元，用于在将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中之后，允许所述待测报文通过；
丢弃单元，用于在源IP地址与所有预设IP地址均不相同的情况下，将所述待测报文丢弃。
在一种实施方式中，所述预设安全规则包括第一规则部分和第一动作部分，其中，所述第一规则部分包括所述预设MAC地址，用于指示将所述待测报文中的所述源MAC地址与所述预设MAC地址进行匹配，且所述源MAC地址与所述预设MAC地址相同时匹配成功，所述源MAC地址与所述预设MAC地址不同时匹配失败，所示第一动作部分包括允许通过和丢弃，所述第一规则部分匹配成功时，所述第一动作部分为允许通过，所述第一规则部分匹配失败时，所述第一动作部分为丢弃；和/或，
所述预设动态学习安全规则包括第二规则部分和第二动作部分，其中，所述第二规则部分包括所述预设IP地址，用于指示将所述待测报文的所述源IP地址与所述预设IP地址进行匹配，且所述源IP地址与所述预设IP地址相同时匹配成功，所述源IP地址与所述预设IP地址不同时匹配失败，所述第二动作部分包括将所述待测报文中所述源MAC地址增加到所述预设安全规则和丢弃，所述第二规则部分匹配成功时，所述第二动作部分为将所述待测报文中所述源MAC地址增加到所述预设安全规则，所述第二规则部分匹配失败时，所述第二动作部分为丢弃。
在一种实施方式中，所述装置还包括：
记录单元，用于记录与报文处理相关的特定事件信息，其中，所述特定事件信息包括报文处理动作事件、与预设动态学习安全规则匹配失败事件、与预设安全规则匹配失败事件中至少一项；
调用单元，用于调用PERF EVENT接口；
写入单元，用于通过所述PERF EVENT接口将所述特定事件信息写入环形缓冲区；
更新单元，用于更新所述环形缓冲区的缓冲区文件描述符，以使日志记录守护进程检测到所述缓冲区文件描述符发生变化时，根据缓冲区读取索引从所述环形缓冲区读取特定事件信息，并将读取的特定事件信息写入存储器中，
其中，所述存储器中的日志文件信息包括产生日志的事件、产生日志的所述车载网络设备、日志上报的具体原因、产生日志的报文地址信息、报文处理动作中至少一项。
在一种实施方式中，写入单元，包括：
第一写入模块，用于在缓冲区写入索引所对应的存储区域为空的情况下，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域；
判断模块，用于在缓冲区写入索引所对应的存储区域不为空的情况下，判断所述缓冲区写入索引所对应的存储区域是否被读取；
第二写入模块，用于在所述缓冲区写入索引所对应的存储区域已被读取的情况下，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息；
第三写入模块，用于在所述缓冲区写入索引所对应的存储区域未被读取的情况下，等待所述日志记录守护进程读取所述环形缓冲区，直至所述缓冲区读取索引指向所述缓冲区写入索引所对应存储区域的下一个存储区域时，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息。
在一种实施方式中，第三写入模块，用于在所述日志记录守护进程为syslogd守护进程的情况下，通过所述syslogd守护进程将读取的特定事件信息以标准日志文件格式写入所述存储器中。
在一种实施方式中，所述装置还包括：
删除单元，用于在连续接收到的多个待测报文中源MAC地址与所述预设安全规则中预设MAC地址相同的情况下，将所述预设动态学习安全规则删除。
在一种实施方式中，通过单元，还用于在将所述预设动态学习安全规则删除之后，在所述车载网络设备发送的所述待测报文中所述源MAC地址与所述预设安全规则中某个所述预设MAC地址相同的情况下，允许所述待测报文通过；
丢弃单元，还用于在将所述预设动态学习安全规则删除之后，在所述车载网络设备发送的所述待测报文中所述源MAC地址与所述预设安全规则中所有所述预设MAC地址均不相同的情况下，将所述待测报文丢弃。
在一种实施方式中，所述装置还包括：
同步单元，用于在将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中之后，将更新后的所述预设安全规则同步至所述车载网络中的其他防火墙；或者，将新增的预设MAC地址同步至所述车载网络中的其他防火墙。
在一种实施方式中，所述待测报文为地址解析协议ARP报文或者IP报文。
第三方面，本公开的另一个实施例提供了一种存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器实现如第一方面任一实施方式所述的方法。
第四方面，本公开的另一个实施例提供了一种车辆，所述车辆包括：
一个或多个处理器；
存储装置，用于存储一个或多个程序，
其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如第一方面任一实施方式所述的方法。
由上述内容可知，本公开实施例提供的车载数据处理方法及装置，能够在车载网络设备发送的待测报文中源MAC地址与预设安全规则中所有预设MAC地址均不相同的情况下，防火墙将该待测报文中源IP(Internet Protocol Address，互联网协议)地址与预设动态学习安全规则中预设IP地址进行匹配，在源IP地址与预设IP地址相同的情况下，将待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中，并允许待测报文通过，在源IP地址与所有预设IP地址均不相同的情况下，将待测报文丢弃。由此可知，本公开实施例可以通过过滤IP地址的方式自动更新预设安全规则，而无需人工参与，从而不仅节省了人力，还可以提高预设安全规则的更新效率，进而提高车载网络设备的接入效率。
本公开实施例可以取得的技术效果还包括但不限于以下几点：
1、本公开实施例可以将防火墙与PERF EVENT相结合，在记录与报文处理相关的特定事件信息后，通过调用PERF EVENT接口，将特定事件信息写入环形缓冲区，并更新该环形缓冲区的缓冲区文件描述符，以便日志记录守护进程检测到该缓冲区文件描述符发生变化时，根据缓冲区读取索引从该环形缓冲区读取特定事件信息，并将读取的特定事件信息写入存储器中，从而可以实现将环形缓冲区作为临时存储空间，不断转存到可存储更多信息的存储器中，当需要提供给用户或者其他设备时，可以从该存储器中获取相关信息。其中，可以通过syslogd守护进程将读取的特定事件信息以标准日志文件格式写入存储器中，从而向用户或者其他设备提供更标准的日志信息。
2、在将特定事件信息写入环形缓冲区时，可以通过调整写入时机，防止在原有特定事件信息未被读取到的情况下被待写入的特定事件信息覆盖。
3、在连续接收到的多个待测报文中源MAC地址与预设安全规则中预设MAC地址相同的情况下，可以将预设动态学习安全规则删除，从而节省了防火墙所属设备的存储空间以及避免一直进行动态学习安全规则而造成资源和时间浪费。
4、在将该待测报文中源MAC地址作为预设MAC地址增加到预设安全规则中之后，当前的防火墙还可以将更新后的预设安全规则同步至车载网络中的其他防火墙，或者，将新增的预设MAC地址同步至车载网络中的其他防火墙，从而可以提高该车载网络设备成功通过其他防火墙防护的效率。
当然，实施本公开的任一产品或方法并不一定需要同时达到以上所述的所有优点。
附图说明
为了更清楚地说明本公开实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单介绍。显而易见地，下面描述中的附图仅仅是本公开的一些实施例。对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本公开实施例提供的一种车载网络架构示意图；
图2为本公开实施例提供的一种车载数据处理方法的流程示意图；
图3为本公开实施例提供的一种车载数据处理方法的流程示例图；
图4为本公开实施例提供的另一种车载数据处理方法的流程示例图；
图5为本公开实施例提供的另一种车载数据处理方法的流程示意图；
图6为本公开实施例提供的一种环形缓冲区的示例图；
图7为本公开实施例提供的又一种车载数据处理方法的流程示意图；
图8为本公开实施例提供的一种车载数据处理装置的组成框图。
具体实施方式
下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整的描述。显然，所描述的实施例仅仅是本公开的一部分实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有付出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。
需要说明的是，本公开实施例及附图中的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。例如包含的一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其他步骤或单元。
图2为本公开实施例提供的一种车载数据处理方法流程示意图，该方法主要应用于车载网络中任一防火墙，防火墙部署在ECU或者TBOX中，该方法主要包括：
S110：在车载网络设备发送的待测报文中源媒体访问控制MAC地址与预设安全规则中所有预设MAC地址均不相同的情况下，将所述待测报文中源互联网协议IP地址与预设动态学习安全规则中预设IP地址进行匹配。
预设安全规则包括第一规则部分和第一动作部分，其中，第一规则部分包括预设MAC地址，用于指示将报文的源MAC地址与预设MAC地址进行匹配，且源MAC地址与预设MAC地址相同时匹配成功，不同时匹配失败。第一动作部分包括允许通过和丢弃，其中，规则匹配成功时，第一动作部分是允许通过，规则匹配失败时，第一动作部分是丢弃。例如，预设安全规则可以如表1所示，在有预设动态学习安全规则阶段，若待测报文中源MAC地址与预设安全规则中所有预设MAC地址均不相同，不立即执行丢弃报文动作，而是先将待测报文中源IP地址与预设动态学习安全规则中预设IP地址进行匹配。
表1
Figure BDA0003572196330000081
同理，预设动态学习安全规则包括第二规则部分和第二动作部分，第二规则部分包括预设IP地址，用于指示将报文的源IP地址与预设IP地址进行匹配，且源IP地址与预设IP地址相同时匹配成功，不同时匹配失败。第二动作部分包括将报文中源MAC地址增加到预设安全规则和丢弃，第二规则部分匹配成功时，第二动作部分为将待测报文中源MAC地址增加到预设安全规则，第二规则部分匹配失败时，第二动作部分为丢弃。例如，预设动态学习安全规则可以如表2所示，只要与IP1或者IP2匹配成功，则将源MAC地址增加到预设安全规则，否则将报文丢弃。
表2
Figure BDA0003572196330000082
需要补充的是，在当前的防火墙位于ECU中时，该车载网络设备可以为TBOX，也可以为其他ECU；在当前的防火墙位于TBOX中时，该车载网络设备可以为ECU，也可以为车辆外部设备。
本公开实施例中的防火墙可以为EPBF(Extended Berkeley Packet Filter，扩展伯克利包过滤器)链路层防火墙，也可以为其他防火墙。EBPF是一个新型的Linux网络过滤工具，具有高效率，高灵活性特点。本公开软件在Linux网络协议栈驱动层加载EBPF程序，并设计了EBPF程序可以在Linux内核协议栈IP层处理之前对数据链路层报文进行过滤。
S120：在所述源IP地址与预设IP地址相同的情况下，将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中，并允许所述待测报文通过。
在源IP地址与某预设IP地址相同的情况下，说明待测报文是安全合法的报文，可以将待测报文中源MAC地址作为预设MAC地址增加到预设安全规则中，并允许其通过，以便于发送该报文的车载网络设备后续发送的报文能够成功通过。
在一种实施方式中，在将该待测报文中源MAC地址作为预设MAC地址增加到预设安全规则中之后，当前的防火墙还可以将更新后的预设安全规则同步至车载网络中的其他防火墙，或者，将新增的预设MAC地址同步至车载网络中的其他防火墙，从而提高该车载网络设备成功通过其他防火墙防护的效率。
S130：在所述源IP地址与所有预设IP地址均不相同的情况下，将所述待测报文丢弃。
在该源IP地址与所有预设IP地址均不相同的情况下，说明该待测报文不是安全合法的报文，很可能是恶意报文，为了避免车辆发生危险，可以将该待测报文丢弃。
在一种实施方式中，在连续接收到的多个待测报文中源MAC地址与所述预设安全规则中预设MAC地址相同的情况下，将所述预设动态学习安全规则删除，从而可以节省防火墙所属设备的存储空间以及避免一直进行动态学习安全规则而造成资源和时间浪费。
不同车载网络设备所使用的应用层协议不同，有的车载网络设备可能先发送ARP(Address Resolution Protocol，地址解析协议)报文，再发送IP报文，有的车载网络设备可能直接发送IP报文。因此，待测报文包括ARP(Address Resolution Protocol，地址解析协议)报文或者IP报文。
当车载网络设备先发送ARP报文再发送IP报文时，ECU中防火墙的防护过程可以如图3所示，方法包括：
S210：ECU中防火墙配置预设动态学习安全规则。
S220：车载网络设备向ECU发送ARP报文；其中，ARP报文的源IP地址为IP1，源MAC地址为MAC1。
S230：在ECU中防火墙将ARP报文中MAC1与预设安全规则匹配失败的情况下，将ARP报文中IP1与预设动态学习规则匹配，匹配成功，将报文中MAC1地址增加到预设安全规则中，并允许该ARP报文通过。
S240：车载网络设备向ECU发送IP报文；其中，车载网络设备发送的IP报文的源IP地址为IP1，源MAC地址为MAC1。
S250：ECU中防火墙将IP报文中MAC1与预设安全规则匹配，匹配成功，则允许该IP报文通过。
S260：ECU中防火墙将预设动态学习安全规则删除。
防火墙可以在更新预设安全规则后删除预设动态学习安全规则，也可以在连续多个IP报文中源MAC地址与预设安全规则匹配成功后删除预设动态学习安全规则。
S270：接入车载网络的攻击设备向ECU发送IP报文；其中，攻击设备发送的IP报文的源IP地址为IP2，源MAC地址为MAC2。
S280：ECU中防火墙将IP报文中MAC2与预设安全规则匹配，匹配失败，则丢弃该IP报文。
当车载网络设备直接发送IP报文时，ECU中防火墙的防护过程可以如图4所示，方法包括：
S310：ECU中防火墙配置预设动态学习安全规则。
S320：车载网络设备向ECU发送IP报文；其中，车载网络设备发送的IP报文的源IP地址为IP1，源MAC地址为MAC1。
S330：在ECU中防火墙将IP报文中MAC1与预设安全规则匹配失败的情况下，将IP报文中IP1与预设动态学习规则匹配，匹配成功，将报文中MAC1地址增加到预设安全规则中，并允许该IP报文通过。
S340：车载网络设备继续向ECU发送IP报文；其中，车载网络设备发送的IP报文的源IP地址为IP1，源MAC地址为MAC1。
S350：ECU中防火墙将IP报文中MAC1与预设安全规则匹配，匹配成功，则允许该IP报文通过；
S360：ECU中防火墙将预设动态学习安全规则删除。
防火墙可以在更新预设安全规则后删除预设动态学习安全规则，也可以在连续多个IP报文中源MAC地址与预设安全规则匹配成功后删除预设动态学习安全规则。
S370：接入车载网络的攻击设备向ECU发送IP报文；其中，攻击设备发送的IP报文的源IP地址为IP2，源MAC地址为MAC2。
S380：ECU中防火墙将IP报文中MAC2与预设安全规则匹配，匹配失败，则丢弃该IP报文。
在一种实施方式中，防火墙可以在网络协议栈驱动层对报文进行处理并上报日志，但目前的防火墙技术在内核与用户态进行传送信息时候，往往都是用共享数据的方式以固定的格式传送数据量较小的信息，而无法将较大数据量的日志信息提供给用户。本公开实施例可以基于用户空间的日志记录方式，利用一种PERF EVENT技术把内核的信息发送到用户空间，并且采用PERF EVENT、环形缓冲区和syslogd相配合的方法可以更高效地记录内核的信息。如图5所示，本公开实施例提供的方法包括：
S410：记录与报文处理相关的特定事件信息。
所述特定事件信息包括报文处理动作事件、与预设动态学习安全规则匹配失败事件、与预设安全规则匹配失败事件中至少一项，其中，所述报文处理动作事件涉及的报文处理动作包括允许报文通过和/或丢弃报文。
S420：调用PERF EVENT接口，并通过所述PERF EVENT接口将所述特定事件信息写入环形缓冲区，并更新所述环形缓冲区的缓冲区文件描述符，以便日志记录守护进程检测到所述缓冲区文件描述符发生变化时，根据缓冲区读取索引从所述环形缓冲区读取特定事件信息，并将读取的特定事件信息写入存储器中。
存储器中的日志文件信息包括产生日志的事件、产生日志的车载网络设备、日志上报的具体原因、产生日志的报文地址信息、报文处理动作中至少一项。产生日志的报文地址信息包括产生日志的报文的源IP地址、目的IP地址、源MAC地址、目的MAC地址等。
日志信息的格式例子如下：
Figure BDA0003572196330000111
在一种实施方式中，通过所述PERF EVENT接口将所述特定事件信息写入环形缓冲区的具体实现方式包括：在缓冲区写入索引所对应的存储区域为空的情况下，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域；在缓冲区写入索引所对应的存储区域不为空的情况下，判断所述缓冲区写入索引所对应的存储区域是否被读取；在所述缓冲区写入索引所对应的存储区域已被读取的情况下，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息；在所述缓冲区写入索引所对应的存储区域未被读取的情况下，等待所述日志记录守护进程读取所述环形缓冲区，直至所述缓冲区读取索引指向所述缓冲区写入索引所对应存储区域的下一个存储区域时，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息。本公开实施例在将特定事件信息写入环形缓冲区时，可以通过调整写入时机，来防止在原有特定事件信息未被读取到存储器的情况下而被待写入的特定事件信息覆盖。
当所述日志记录守护进程为syslogd守护进程时，可以通过所述syslogd守护进程将读取的特定事件信息以标准日志文件格式写入所述存储器中。
示例性的，图6为一个环形缓冲区，该环形缓冲区被划分为多个存储区域(即数据块)。每写入一个存储区域，缓冲区写入索引加1，每读取一个存储区域，缓冲区读取索引加1，当缓冲区写入索引又回到写入起点时，若再写入新的数据将会替换原有数据，此时为了防止将被替换的原有数据未被读取时就被替换，可以先等待日志记录守护进程读取环形缓冲区，直至缓冲区读取索引指向缓冲区写入索引所对应存储区域的下一个存储区域时，才执行写入操作。
在一种实施方式中，从ECU或者TBOX中操作系统启动到存储日志信息的具体过程可以如图7所示：
S510：在ECU或者TBOX中操作系统启动时，EBPF程序(即防火墙)向操作系统的PERFEVENT进行注册，PERF EVENT将EBPF程序加入到PERF EVENT注册程序中；
S520：创建环形缓冲区，并为环形缓冲区分配一个缓冲区文件描述符；
S530：ECU接口收到报文后，将报文送到驱动层的EBPF程序进行处理；
S540：EBPF程序按照预设安全规则处理报文；
S550：EBPF程序记录与报文处理相关的特定事件信息；
S560：EBPF程序调用PERF EVENT接口，并通过PERF EVENT接口将特定事件信息写入环形缓冲区，并更新环形缓冲区的缓冲区文件描述符；
S570：当日志记录守护进程检测到缓冲区文件描述符发生变化时，根据缓冲区读取索引从环形缓冲区读取特定事件信息，并将读取的特定事件信息写入存储器中。
基于上述实施例，本公开实施例提供了一种车载数据处理装置，所述装置应用于车载网络中任一防火墙，如图8所示，所述装置包括：
匹配单元60，用于在车载网络设备发送的待测报文中源媒体访问控制MAC地址与预设安全规则中所有预设MAC地址均不相同的情况下，将所述待测报文中源互联网协议IP地址与预设动态学习安全规则中预设IP地址进行匹配；
增加单元62，用于在所述源IP地址与预设IP地址相同的情况下，将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中；
通过单元64，用于在将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中之后，允许所述待测报文通过；
丢弃单元66，用于在源IP地址与所有预设IP地址均不相同的情况下，将所述待测报文丢弃。
在一种实施方式中，所述装置还包括：
记录单元，用于记录与报文处理相关的特定事件信息；
调用单元，用于调用PERF EVENT接口；
写入单元，用于通过所述PERF EVENT接口将所述特定事件信息写入环形缓冲区；
更新单元，用于更新所述环形缓冲区的缓冲区文件描述符，以便日志记录守护进程检测到所述缓冲区文件描述符发生变化时，根据缓冲区读取索引从所述环形缓冲区读取特定事件信息，并将读取的特定事件信息写入存储器中。
在一种实施方式中，写入单元，包括：
第一写入模块，用于在缓冲区写入索引所对应的存储区域为空的情况下，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域；
判断模块，用于在缓冲区写入索引所对应的存储区域不为空的情况下，判断所述缓冲区写入索引所对应的存储区域是否被读取；
第二写入模块，用于在所述缓冲区写入索引所对应的存储区域已被读取的情况下，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息；
第三写入模块，用于在所述缓冲区写入索引所对应的存储区域未被读取的情况下，等待所述日志记录守护进程读取所述环形缓冲区，直至所述缓冲区读取索引指向所述缓冲区写入索引所对应存储区域的下一个存储区域时，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息。
在一种实施方式中，第三写入模块，用于当所述日志记录守护进程为syslogd守护进程时，通过所述syslogd守护进程将读取的特定事件信息以标准日志文件格式写入所述存储器中。
在一种实施方式中，所述特定事件信息包括报文处理动作事件、与预设动态学习安全规则匹配失败事件、与预设安全规则匹配失败事件中至少一项，其中，所述报文处理动作事件涉及的报文处理动作包括允许报文通过和/或丢弃报文；
和/或，所述存储器中的日志文件信息包括产生日志的事件、产生日志的车载网络设备、日志上报的具体原因、产生日志的报文地址信息、报文处理动作中至少一项。
在一种实施方式中，所述装置还包括：
删除单元，用于在连续接收到的多个待测报文中源MAC地址与所述预设安全规则中预设MAC地址相同的情况下，将所述预设动态学习安全规则删除。
在一种实施方式中，所述装置还包括：
同步单元，用于在将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中之后，将更新后的所述预设安全规则同步至所述车载网络中的其他防火墙；或者，将新增的预设MAC地址同步至所述车载网络中的其他防火墙。
在一种实施方式中，所述待测报文为地址解析协议ARP报文或者互联网协议IP报文。
基于上述方法实施例，本公开的另一实施例提供了一种存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器实现上述任一方法实施例所述的方法。
基于上述方法实施例，本公开的另一实施例提供了一种车辆，所述车辆包括：一个或多个处理器；
存储装置，用于存储一个或多个程序，
其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上述任一方法实施例所述的方法。
上述系统、装置实施例与方法实施例相对应，与该方法实施例具有同样的技术效果，具体说明参见方法实施例。装置实施例是基于方法实施例得到的，具体的说明可以参见方法实施例部分，此处不再赘述。本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本公开所必须的。
本领域普通技术人员可以理解：实施例中的装置中的模块可以按照实施例描述分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。
最后应说明的是：以上实施例仅用以说明本公开的技术方案，而非对其限制；尽管参照前述实施例对本公开进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本公开实施例技术方案的精神和范围。

Claims (10)

1.一种车载数据处理方法，其特征在于，所述方法应用于车载网络中任一防火墙，所述方法包括：
在车载网络设备发送的待测报文中源媒体访问控制MAC地址与预设安全规则中所有预设MAC地址均不相同的情况下，将所述待测报文中源互联网协议IP地址与预设动态学习安全规则中预设IP地址进行匹配；
在所述源IP地址与预设IP地址相同的情况下，将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中，并允许所述待测报文通过；
在源IP地址与所有预设IP地址均不相同的情况下，将所述待测报文丢弃。
2.根据权利要求1所述的方法，其特征在于，所述预设安全规则包括第一规则部分和第一动作部分，其中，所述第一规则部分包括所述预设MAC地址，用于指示将所述待测报文中的所述源MAC地址与所述预设MAC地址进行匹配，且所述源MAC地址与所述预设MAC地址相同时匹配成功，所述源MAC地址与所述预设MAC地址不同时匹配失败，所示第一动作部分包括允许通过和丢弃，所述第一规则部分匹配成功时，所述第一动作部分为允许通过，所述第一规则部分匹配失败时，所述第一动作部分为丢弃；和/或，
所述预设动态学习安全规则包括第二规则部分和第二动作部分，其中，所述第二规则部分包括所述预设IP地址，用于指示将所述待测报文的所述源IP地址与所述预设IP地址进行匹配，且所述源IP地址与所述预设IP地址相同时匹配成功，所述源IP地址与所述预设IP地址不同时匹配失败，所述第二动作部分包括将所述待测报文中所述源MAC地址增加到所述预设安全规则和丢弃，所述第二规则部分匹配成功时，所述第二动作部分为将所述待测报文中所述源MAC地址增加到所述预设安全规则，所述第二规则部分匹配失败时，所述第二动作部分为丢弃。
3.根据权利要求1所述的方法，其特征在于，所述方法还包括：
记录与报文处理相关的特定事件信息，其中，所述特定事件信息包括报文处理动作事件、与预设动态学习安全规则匹配失败事件、与预设安全规则匹配失败事件中至少一项；
调用PERF EVENT接口，并通过所述PERF EVENT接口将所述特定事件信息写入环形缓冲区，并更新所述环形缓冲区的缓冲区文件描述符，以使日志记录守护进程检测到所述缓冲区文件描述符发生变化时，根据缓冲区读取索引从所述环形缓冲区读取特定事件信息，并将读取的特定事件信息写入存储器中，
其中，所述存储器中的日志文件信息包括产生日志的事件、产生日志的所述车载网络设备、日志上报的具体原因、产生日志的报文地址信息、报文处理动作中至少一项。
4.根据权利要求3所述的方法，其特征在于，通过所述PERF EVENT接口将所述特定事件信息写入环形缓冲区，包括：
在缓冲区写入索引所对应的存储区域为空的情况下，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域；
在缓冲区写入索引所对应的存储区域不为空的情况下，判断所述缓冲区写入索引所对应的存储区域是否被读取；
在所述缓冲区写入索引所对应的存储区域已被读取的情况下，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息；
在所述缓冲区写入索引所对应的存储区域未被读取的情况下，等待所述日志记录守护进程读取所述环形缓冲区，直至所述缓冲区读取索引指向所述缓冲区写入索引所对应存储区域的下一个存储区域时，通过所述PERF EVENT接口将所述特定事件信息写入所述环形缓冲区中所述缓冲区写入索引所对应的存储区域，以替换所述缓冲区写入索引所对应的存储区域内原有特定事件信息。
5.根据权利要求3所述的方法，其特征在于，在所述日志记录守护进程为syslogd守护进程的情况下，将读取的特定事件信息写入存储器中包括：
通过所述syslogd守护进程将读取的特定事件信息以标准日志文件格式写入所述存储器中。
6.根据权利要求1所述的方法，其特征在于，所述方法还包括：
在连续接收到的多个待测报文中源MAC地址与所述预设安全规则中预设MAC地址相同的情况下，将所述预设动态学习安全规则删除。
7.根据权利要求6所述的方法，其特征在于，在将所述预设动态学习安全规则删除之后，所述方法还包括：
在所述车载网络设备发送的所述待测报文中所述源MAC地址与所述预设安全规则中某个所述预设MAC地址相同的情况下，允许所述待测报文通过；
在所述车载网络设备发送的所述待测报文中所述源MAC地址与所述预设安全规则中所有所述预设MAC地址均不相同的情况下，将所述待测报文丢弃。
8.根据权利要求1所述的方法，其特征在于，在将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中之后，所述方法还包括：
将更新后的所述预设安全规则同步至所述车载网络中的其他防火墙；
或者，将新增的预设MAC地址同步至所述车载网络中的其他防火墙。
9.根据权利要求1-8中任一项所述的方法，其特征在于，所述待测报文为地址解析协议ARP报文或者IP报文。
10.一种车载数据处理装置，其特征在于，所述装置应用于车载网络中任一防火墙，所述装置包括：
匹配单元，用于在车载网络设备发送的待测报文中源媒体访问控制MAC地址与预设安全规则中所有预设MAC地址均不相同的情况下，将所述待测报文中源互联网协议IP地址与预设动态学习安全规则中预设IP地址进行匹配；
增加单元，用于在所述源IP地址与预设IP地址相同的情况下，将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中；
通过单元，用于在将所述待测报文中源MAC地址作为预设MAC地址增加到所述预设安全规则中之后，允许所述待测报文通过；
丢弃单元，用于在源IP地址与所有预设IP地址均不相同的情况下，将所述待测报文丢弃。
CN202210322263.9A 2022-03-30 2022-03-30 车载数据处理方法及装置 Active CN114826680B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210322263.9A CN114826680B (zh) 2022-03-30 2022-03-30 车载数据处理方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210322263.9A CN114826680B (zh) 2022-03-30 2022-03-30 车载数据处理方法及装置

Publications (2)

Publication Number Publication Date
CN114826680A true CN114826680A (zh) 2022-07-29
CN114826680B CN114826680B (zh) 2023-07-07

Family

ID=82531944

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210322263.9A Active CN114826680B (zh) 2022-03-30 2022-03-30 车载数据处理方法及装置

Country Status (1)

Country Link
CN (1) CN114826680B (zh)

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007104509A (ja) * 2005-10-06 2007-04-19 Nippon F Secure Kk エリアによるパケットフィルタリング方法及びファイヤウォール装置並びにファイヤウォールシステム
CN101488951A (zh) * 2008-12-31 2009-07-22 成都市华为赛门铁克科技有限公司 一种地址解析协议攻击防范方法、设备和通信网络
US7913294B1 (en) * 2003-06-24 2011-03-22 Nvidia Corporation Network protocol processing for filtering packets
CN103944886A (zh) * 2014-03-24 2014-07-23 迈普通信技术股份有限公司 一种端口安全的实现方法及系统
CN108063839A (zh) * 2017-12-29 2018-05-22 深圳市九洲电器有限公司 一种访问网络的方法及访问网络的装置
CN108965337A (zh) * 2018-09-17 2018-12-07 新华三信息安全技术有限公司 规则匹配方法、装置、防火墙设备及机器可读存储介质
CN109347783A (zh) * 2018-08-01 2019-02-15 株洲凯创技术有限公司 数据过滤方法、装置、系统及列车车载防火墙设备
CN114125078A (zh) * 2021-09-02 2022-03-01 杭州迪普信息技术有限公司 一种mac地址学习的方法及装置

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7913294B1 (en) * 2003-06-24 2011-03-22 Nvidia Corporation Network protocol processing for filtering packets
JP2007104509A (ja) * 2005-10-06 2007-04-19 Nippon F Secure Kk エリアによるパケットフィルタリング方法及びファイヤウォール装置並びにファイヤウォールシステム
CN101488951A (zh) * 2008-12-31 2009-07-22 成都市华为赛门铁克科技有限公司 一种地址解析协议攻击防范方法、设备和通信网络
CN103944886A (zh) * 2014-03-24 2014-07-23 迈普通信技术股份有限公司 一种端口安全的实现方法及系统
CN108063839A (zh) * 2017-12-29 2018-05-22 深圳市九洲电器有限公司 一种访问网络的方法及访问网络的装置
CN109347783A (zh) * 2018-08-01 2019-02-15 株洲凯创技术有限公司 数据过滤方法、装置、系统及列车车载防火墙设备
CN108965337A (zh) * 2018-09-17 2018-12-07 新华三信息安全技术有限公司 规则匹配方法、装置、防火墙设备及机器可读存储介质
CN114125078A (zh) * 2021-09-02 2022-03-01 杭州迪普信息技术有限公司 一种mac地址学习的方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
SUKHVEER KAUR; KARAMJEET KAUR; VIPIN GUPTA: "Implementing openflow based distributed firewall", 《2016 INTERNATIONAL CONFERENCE ON INFORMATION TECHNOLOGY (INCITE) - THE NEXT GENERATION IT SUMMIT ON THE THEME - INTERNET OF THINGS: CONNECT YOUR WORLDS》 *
孙龑: "无线数据卡防火墙管理系统的设计与实现", 《中国优秀硕士学位论文全文数据库》 *

Also Published As

Publication number Publication date
CN114826680B (zh) 2023-07-07

Similar Documents

Publication Publication Date Title
EP2661011B1 (en) Method and network device for detecting ip address conflict
US5915119A (en) Proxy terminal for network controlling of power managed user terminals in suspend mode
RU2005120695A (ru) Облегченный протокол ввода/вывода
WO2009033402A1 (fr) Procédé et dispositif pour éviter l'usurpation et l'attaque d'une adresse arp
CN101997768A (zh) 一种上送地址解析协议报文的方法和装置
CN113507461B (zh) 基于大数据的网络监控系统及网络监控方法
US20070220256A1 (en) Electronic mechanical device
CN103414641B (zh) 邻居表项释放方法、装置和网络设备
US20150188880A1 (en) Communication information detecting device and communication information detecting method
US8792117B2 (en) Information processing device, information processing system, information processing method and computer readable medium storing program
CN101494562B (zh) 一种网络设备上终端表项的维护方法和一种网络设备
CN114826680B (zh) 车载数据处理方法及装置
CN106878485B (zh) 一种报文处理方法及装置
CN111131548B (zh) 信息处理方法、装置和计算机可读存储介质
JP2004120213A (ja) 通信端末装置及びそのプログラム
CN107786496B (zh) 针对局域网arp表项欺骗攻击的预警方法及装置
CN112448963A (zh) 分析自动攻击工业资产的方法、装置、设备及存储介质
JP2003163681A (ja) パケット転送装置、パケット転送方法およびプログラム
CN103095858A (zh) 地址解析协议arp报文处理的方法、网络设备及系统
CN112350945B (zh) Mac地址学习方法、网关设备及存储介质
JP2002237849A (ja) 中継転送サービス提供装置、中継転送サービス利用装置及び中継転送サービスシステム
JP5413940B2 (ja) シンクライアントネットワーク、シンクライアント、不正接続防止装置、これらの動作方法、及び記録媒体
US20080062983A1 (en) Protocol duplexer and protocol duplexing method
CN112787954A (zh) 一种加密挖矿流量识别方法、系统、装置及存储介质
Singh et al. ARP poisoning detection and prevention mechanism using voting and ICMP packets

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant