CN117728968A - 两个控制器局域网（can）之间的基于以太网的安全通信 - Google Patents

Abstract

本公开的第一方面涉及一种用于将来自第一控制器局域网(CAN)中的控制器局域网帧传输到第二控制器局域网中的计算机实现的方法，其包括：接收来自第一控制器局域网中的至少一个第一CAN帧；将至少一个第一CAN帧转换成以太网帧，其中，至少在以太网帧的有效负载字段的第一部分中的数据至少对至少一个第一CAN帧的有效负载字段的数据进行编码；将以太网帧发送给第二控制器局域网的第一计算单元。本公开的第二方面涉及一种用于在第二控制器局域网中接收来自第一控制器局域网(CAN)中的控制器局域网帧的计算机实现的方法，其包括：接收以太网帧，其是由第一控制器局域网的第一计算单元所发送的；将以太网帧转换成第二控制器局域网的至少一个第二CAN帧。

Description

两个控制器局域网(CAN)之间的基于以太网的安全通信

技术领域

本发明涉及一种用于将来自第一控制器局域网(CAN)中的控制器局域网帧传输到第二控制器局域网中的计算机实现的方法和一种用于在第二控制器局域网中接收来自第一控制器局域网(CAN)中的控制器局域网帧的计算机实现的方法。

背景技术

以太网是公知的一类计算机网络技术，用于在有线数据网络中、尤其是在数据局域网络(英文：local area network，LAN)中的通信。该类以太网指定了在OSI模型(英文：open systems interconnection model(开放系统互连模型)，即OSI模型(OSI model))中在通常不同层上的传输介质以及传输形式/协议。在OSI模型中，利用以太网，不仅规定了物理层(OSI第1层)而且规定了数据链路层(OSI第2层)。以太网可以通过IEEE 802.3标准来定义。

技术系统(例如车辆或该车辆的一部分)的计算单元、尤其是控制设备在其中经由CAN总线连接并且能够按照CAN协议来彼此进行通信的控制器局域网(Controller AreaNetwork，CAN)是一种根据多主机原则的公知的并且标准化的串行总线系统，在该多主机原则中，在CAN中的所有控制设备都享有同等权利。例如，CAN(现在有不同的版本)和/或受CAN启发的进一步发展可以在所有类型的机电技术系统中(例如在汽车工业中、在自动化技术中、在电梯系统中、在医疗技术中、在航空航天技术中、在轨道车辆制造中、在船舶制造中……)投入使用。

CAN和/或受CAN启发的进一步发展(缩写为CAN等)已被开发并且正在被开发，使得经由CAN总线的数据传输尽可能独立于外部随机干扰(例如就EMV而言)。例如，可以通过两条双绞线(CAN_HIGH、CAN_LOW)来实现CAN总线，并且因此可以实现对称的信号传输。由此，CAN等尤其也在其中高数据安全性很重要的安全相关领域(例如在车辆中)被证明可靠。

这种技术系统通常要满足其它安全要求。

在安全相关领域(例如在车辆中)，这些安全要求包括所谓的安全(safety)要求，即例如按照当前通用标准IEC 61508和/或特别是对于车辆来说按照通用标准ISO 26262的功能安全要求。这些安全(safety)要求可以旨在识别所要传输的数据的随机性更改。因此，这些安全(safety)要求旨在所要传输的数据的完整性。不同于以太网，对于CAN等来说，创建了满足功能安全要求的方法。为此，例如可以在CAN帧中与在CAN等内所要传输的数据一起实现块校验字符串，例如循环冗余校验，英文：cyclic redundancy check(CRC)。此外，不同于以太网，即使没有协议扩展，经由CAN等的通信也有实时能力。

尤其是在安全相关领域(例如在车辆中)，这些安全要求也可以包括所谓的安保(security)要求。这些安保(security)要求可以旨在识别对所要传输的数据的有针对性的操纵。例如，这些安保(security)要求可以旨在确保所要传输的数据的真实性和完整性。如果所要传输的数据的实际发送方与所指示的发送方一致，则所要传输的数据是真实的。如果所要传输的数据从实际发送方出发没有(有针对性地)被更改过，则所要传输的数据是完整的。可以通过消息认证码算法经由消息认证码(英文：message authentication code，MAC)来提供真实性和完整性的证明。公知的消息认证码算法例如是基于密码的MAC(CMAC)和基于哈希的MAC(HMAC)。安保(security)要求还可以旨在确保所要传输的数据的机密性。为此，例如可以使用公知的加密算法。

发明内容

本公开的第一总体方面涉及一种用于将来自第一控制器局域网(CAN)中的控制器局域网帧(至少一个控制器局域网帧(Controller Area Network Frame))传输到第二控制器局域网中的计算机实现的方法。该方法可以包括：在第一控制器局域网的第一计算单元中，接收来自第一控制器局域网中的至少一个第一CAN帧。该方法还包括：将该至少一个第一CAN帧转换成以太网帧，其中，至少在该以太网帧的有效负载字段的第一部分中的数据至少对该至少一个第一CAN帧的有效负载字段的数据进行编码。该方法包括：经由以太网(即例如经由以太网或者经由以太网网络)并且基于密码网络协议，将该以太网帧发送给第二控制器局域网的第一计算单元。

本公开的第二总体方面涉及一种用于在第二控制器局域网中接收来自第一控制器局域网(CAN)中的控制器局域网帧(至少一个控制器局域网帧)的计算机实现的方法。该方法包括：在第二控制器局域网的第一计算单元中并且经由以太网并且基于密码网络协议，接收以太网帧，该以太网帧是由第一控制器局域网的第一计算单元所发送的，其中，至少在该以太网帧的有效负载字段的第一部分中的数据至少对来自第一控制器局域网中的至少一个第一CAN帧的有效负载字段的数据进行编码。该方法还包括：将该以太网帧转换成第二控制器局域网的至少一个第二CAN帧，其中，在该至少一个第二CAN帧的有效负载字段中的数据基于在该至少一个第一CAN帧的有效负载字段中的数据。

本公开的第三总体方面涉及一种计算机实现的方法，该方法包括：根据第一总体方面(或其实施方式)的用于将来自第一控制器局域网(CAN)中的控制器局域网帧传输到第二控制器局域网中的计算机实现的方法。该方法还包括：根据第二总体方面(或其实施方式)的用于在第二控制器局域网中接收来自第一控制器局域网(CAN)中的控制器局域网帧的计算机实现的方法。

本公开的第四总体方面涉及一种计算机系统、尤其是控制器局域网的计算单元，该计算机系统被设计为：执行根据第一总体方面(或其实施方式)的方法。替选地或附加地，该计算机系统可以被设计为：执行根据第二总体方面(或其实施方式)的方法。替选地或附加地，该计算机系统可以被设计为：执行根据第三总体方面(或其实施方式)的方法。

本公开的第五总体方面涉及一种计算机程序，该计算机程序被设计为：执行根据第一总体方面(或其实施方式)的方法。替选地或附加地，该计算机程序可以被设计为：执行根据第二总体方面(或其实施方式)的方法。替选地或附加地，该计算机程序可以被设计为：执行根据第三总体方面(或其实施方式)的方法。

本公开的第六总体方面涉及一种计算机可读介质或信号，该计算机可读介质或信号存储和/或包含根据第五总体方面(或其实施方式)的计算机程序。

在本公开中提出的根据第一、第二和/或第三方面(或其相应实施方式)的方法旨在能够实现两个控制器局域网(CAN)之间的基于以太网的安全通信。这些方法尤其旨在将数据安全地从第一控制器局域网经由以太网传输到第二控制器局域网中。在此，上文描述的对在以安全为导向的技术系统中、诸如在车辆中的通信的安全(safety)要求以及可选地安保(security)要求，即使对于以太网本身来说无法提供至少这些安全(safety)要求的证明，也可以被遵守。此外，可以遵守所要传输的数据的真实性和完整性的安保(security)要求。可以、但不是必须遵守所要传输的数据的机密性的安保(security)要求。

此外，在以太网中，可以基于传输时间保证协议、尤其是基于用于确保有实时能力的通信的协议来发送和/或接收数据。由此，可以满足对数据传输的附加的实时要求。该传输时间保证协议、尤其是用于确保有实时能力的通信的协议，例如可以是IEEE 802.1族的时间敏感网络(Time Sensitive Networking，TSN)标准。

该技术系统可以是机电一体化系统，例如在汽车工业中、在自动化技术中、在电梯系统中、在医疗技术中、在航空航天技术中、在轨道车辆制造中、在造船业等等中。该技术系统尤其可以是车辆，该车辆尤其具有对数据通信的安全(safety)和安保(security)要求。

如果该技术系统、尤其是该车辆总归(即出于其它原因)应该具有以太网，则在本公开中提出的方法是特别有利的。事实上，例如已经在许多新型车辆中实现或提供以太网。在这种情况下，通过使用现有的以太网线路，可以减少对额外的CAN线路的需求，由此可以节省重量和成本。由于在本公开中提出的方法，已经在该技术系统中部署的以太网的存在尤其是允许将以安全为导向的控制器局域网划分成两个或更多个以安全为导向的控制器局域网，接着，这些控制器局域网可以分别彼此经由以太网来进行安全通信。

该解决方案基于使用所创建的协议与标准化协议的组合，由此，能够重新使用现有的和已经经过验证的组件。由此，可以进一步节省成本。

在本公开中提出的方法尤其是能够实现安全(safety)相关并且可选地安保(security)相关的CAN帧通过以太网跨越任意节点、信任区或(车辆)域的端到端安全传输。然而，对于用作以太网节点(也作：跃点(Hop))的计算单元/控制设备，在此没有附加的安全(safety)要求。这不仅适用于不同信任区的计算单元/控制设备(控制设备由于安全(Safety)和/或安保(Security)要求而被划分成信任区，这些信任区通过信任边界(英文：trust boundaries)来彼此隔开)，而且适用于在分区E/E架构下的不同空间车辆区域的控制设备。将该技术系统的单个CAN等分割成分别经由以太网/该以太网进行通信的多个CAN等，能够实现信任区分离概念。

相对于例如在单独的较大的CAN等中使用AUTOSAR SecOC而言的另一优点在于：在提高安全级别的同时，带宽使用更加高效。在使用AUTOSAR SecOC的高速CAN的情况下，必须针对被截断的消息认证码(英文：message authentication code，MAC)使用有效负载的一半(例如64位有效负载，32位被截断的消息认证码)，而以太网协议的更大的有效负载能够传输完整的、即未被截断的消息认证码。由于在以太网帧中可用的有效负载更大，尽管消息认证码更长，但是有效负载与MAC的比例得到改善。

这些方法例如可以基于所创建的协议与标准化协议的组合，以建立跨越多个不太值得信任的控制设备的隧道。由此，即使在不增加各个以太网节点(也作：跃点(Hops))的安全(Safety)要求的情况下，也可以经由(车辆)网络的现有的以太网连接来传输安全(Safety)相关的CAN消息。由于各个以太网节点只转发数据包而不是在内容上修改这些数据包，所以从安全(Safety)角度，端节点之间的隧道(德语也是Tunnel)可以被视为黑色通道(black channel)。安全标签(Safety-Tags)(例如CRC)可以通过发送方节点(通过第一CAN的第一计算单元)来创建，并且通过接收方节点(通过第二CAN的第一计算单元)来验证，而在发送方节点与接收方节点之间的以太网节点不必参与该过程。

在本公开中，CAN被理解为CAN等(参见现有技术)。

附图说明

图1a示意性图解说明了一种用于将来自第一控制器局域网(CAN)中的控制器局域网帧传输到第二控制器局域网中的计算机实现的方法。

图1b示意性图解说明了用于将来自第一控制器局域网(CAN)中的控制器局域网帧传输到第二控制器局域网中的计算机实现的方法的实施方式。

图2a示意性图解说明了一种用于在第二控制器局域网中接收来自第一控制器局域网(CAN)中的控制器局域网帧的计算机实现的方法。

图2b-c示意性图解说明了用于在第二控制器局域网中接收来自第一控制器局域网(CAN)中的控制器局域网帧的计算机实现的方法的实施方式。

图3示意性图解说明了一种用于将来自第一控制器局域网(CAN)中的控制器局域网帧传输到第二控制器局域网中并且用于在第二控制器局域网中接收来自第一控制器局域网(CAN)中的控制器局域网帧的计算机实现的方法。

图4a-b分别示意性图解说明了一种计算机系统(尤其是控制器局域网的计算单元)的示例性实施方式，该计算机系统被设计为执行所描述的方法中的至少一种方法。

图5a示意性图解说明了示例性的第一CAN帧。

图5b示意性图解说明了示例性的以太网帧。

图5c示意性图解说明了示例性的第二CAN帧。

具体实施方式

在本公开中提出的方法100、200、300(或其相应实施方式)旨在能够实现两个控制器局域网(CAN)之间的基于以太网的安全通信。这些方法尤其旨在将数据安全地从第一控制器局域网经由以太网传输到第二控制器局域网中。

在下文，术语“CAN”可以是指CAN和/或受CAN启发的进一步发展(缩写为CAN等)的各种版本。控制器局域网可以缩写为CAN。此外，控制器局域网帧可以缩写为CAN帧。

经由该通信，可以对技术系统进行控制、调节和/或监视，该技术系统包括第一CAN、以太网和第二CAN中的至少一个。该技术系统例如可以是车辆。

首先，公开了一种例如在图1a中示意性图解说明的用于将来自第一控制器局域网(CAN)10中的控制器局域网帧(即至少一个控制器局域网帧)传输到第二控制器局域网20中的计算机实现的方法100。

该方法100可以包括：在第一控制器局域网10的第一计算单元11中，接收120来自第一控制器局域网10中的至少一个第一CAN帧13。只要第一控制器局域网10的第一计算单元11可以自己产生该至少一个第一CAN帧13并且因此不再必须接收120该至少一个第一CAN帧，就可以不需要步骤120。在这种情况下，第一计算单元11本身充当源发送方。

该方法100(还)包括：将该至少一个第一CAN帧13转换130成以太网帧33，其中，至少在该以太网帧33的有效负载字段34的第一部分34a中的数据35a至少对该至少一个第一CAN帧13的有效负载字段14的数据15进行编码。该编码可以(或者必须)使得从数据15到数据35a没有信息丢失。CAN帧和/或以太网帧例如可以(分别)具有多个位字段(即每个位字段对应一位)，这些位字段中的一个或多个位字段被提供作为有效负载字段。该以太网帧33的有效负载字段34的(第一、第二、第三)部分34a、34b、34c可以分别包括一个或多个位字段。有效负载字段可以被设计为记录所要传输的数据。例如在图5a和图5b中示意性图解说明了该至少一个第一CAN帧13和该以太网帧33，其中，未示出非有效负载字段。

该方法100还包括：经由以太网30并且基于密码网络协议，将该以太网帧33发送160给第二控制器局域网20的第一计算单元21。

该方法100可以包括：在多个控制器局域网中，选择该第二控制器局域网20。

第一控制器局域网10的第一计算单元11可以是控制设备。该第一CAN 10的第一计算单元11例如可以是区域控制设备或者域网关，其中，该第一CAN 10的第一计算单元11可以被分配给在信任区分离概念中的第一信任区或者被分配给第一域。

第二控制器局域网20的第一计算单元21可以是控制设备。该第二CAN 20的第一计算单元21例如同样可以是区域控制设备或者域网关，其中，该第二CAN 20的第一计算单元21可以被分配给在信任区分离概念中的第二信任区或者被分配给第二域。

在图1b中示意性示出了该方法100的另一示例性的并且在下文描述的实施方式。

可以基于传输时间保证协议来发送160该以太网帧33。该传输时间保证协议尤其可以是用于确保有实时能力的通信的协议。该传输时间保证协议、尤其是用于确保有实时能力的通信的协议，例如可以基于IEEE 802.1族的时间敏感网络(TSN)标准或者可以是这种标准。由此，可以经由以太网来(准)实时地传输数据。(准)实时可以通过针对该技术系统的至少一项实时要求来定义。

诸如在图1b中所示并且例如就AUTOSAR端到端报头(end-to-end Header)而言，该方法100可以包括：按照预定的第一块校验字符串算法，至少基于来自该至少一个第一CAN帧13的有效负载字段14中的数据15，计算140第一块校验字符串35b、尤其是第一循环冗余校验信息。该预定的第一块校验字符串算法尤其可以是预定的第一校验和算法，并且该第一块校验字符串35b例如可以是第一校验和。

该第一块校验字符串35b例如可以是循环冗余校验(序列)，英文：cyclicredundancy check(CRC)。

然后，该方法100可以包括：将第一块校验字符串35b写141到以太网帧33的有效负载字段34的第二部分34b中。例如在图5b中示意性示出了以太网帧33的有效负载字段34的第二部分34b。

步骤140、141可以与(来自方法200中的)仍待描述的步骤230、231一起有助于：提高所要传输的数据针对随机性更改的安全性(即所谓的安全(safety))。

替选地或附加地，后者诸如在图1b中所示，该方法100可以包括：按照预定的第一消息认证码算法，至少基于来自该至少一个第一CAN帧13的有效负载字段14中的数据15以及基于预定的第一秘密密钥11a，计算150第一消息认证码35c。该预定的第一消息认证码算法例如可以是基于密码的MAC(CMAC)或者基于哈希的MAC(HMAC)。

然后，该方法100可以包括：将该消息认证码35c写151到以太网帧33的有效负载字段34的第三部分34c中。同样，在图5b中示意性示出了以太网帧33的有效负载字段34的第三部分34c。

步骤150、151可以与(来自方法200中的)仍待描述的步骤240、241一起有助于：提高所要传输的数据针对有针对性的操纵的安全性(即所谓的安保(security))。

诸如在图1b中示出的具有步骤140、141、15、151的方法100的实施方式可以有助于：提高所要传输的数据的不仅针对随机性操纵而且针对有针对性的操纵的安全性，并且因此不仅提高安全(safety)而且提高安保(security)。

不同于图1b中所示的情况，步骤140和150的顺序(如果两个步骤都包括在方法100中的话)是不重要的。步骤140可以在步骤150之前、与该步骤(实际上)同时或者在该步骤之后发生。

同样，步骤141和151的顺序(如果两个步骤都包括在方法100中的话)是不重要的。步骤141可以在步骤151之前、与该步骤(实际上)同时或者在该步骤之后发生。

步骤140、141和/或150、151可以/应该在步骤160之前发生。

步骤140和/或150可以在步骤120(如果存在的话)之后发生。此外，步骤140和/或150以及步骤130的顺序可以是不重要的。

因此，在图5b中示意性图解说明，以太网帧33的有效负载字段34可以——除了来自第一CAN帧13的有效负载字段14中的数据15(接着例如35a)之外——对块校验字符串35b、尤其是循环冗余校验信息进行编码。

替选地或附加地，该以太网帧33的有效负载字段34可以——除了来自第一CAN帧13的有效负载字段14中的数据15(接着例如35a)之外——对消息认证码35c进行编码。

由于以太网帧的有效负载(通常)大于CAN帧的有效负载，所以在以太网帧中的消息认证码35c不必被截断。相反，对于例如使用AUTOSAR SecOC的高速CAN，由于有效负载有限，到目前为止只能在CAN帧中传送被截断的消息认证码。通过传送未被截断的消息认证码35c，可以提高至少在以太网中的安全性。

诸如可选地在图1b中所示，该方法100可以包括：经由第一控制器局域网10，将该至少一个第一CAN帧13从第一控制器局域网10的第二计算单元12发送110给第一控制器局域网10的第一计算单元11。例如可以基于AUTOSAR SecOC来保护在第一CAN 10中的发送110。由此，可以提高针对所要传输的数据在第一CAN 10中的CAN总线上的有针对性的更改的安全性。

此外，步骤110能够与(来自方法200中的)仍待描述的步骤250一起将数据从第一CAN 10传送到第二CAN 20中。

该第一CAN 10的第二计算单元12例如可以是车辆中的(独立真空式、机电式)制动力放大器或者行驶动力学控制实体。替选地或附加地，该第一CAN 10的第二计算单元12例如可以是智能传感器。

还公开了一种例如在图2a中示意性图解说明的用于在第二控制器局域网20中接收来自第一控制器局域网(CAN)10中的控制器局域网帧(即至少一个控制器局域网帧)的计算机实现的方法200。

该方法200包括：在第二控制器局域网20的第一计算单元21中并且经由以太网30并且基于密码网络协议，接收210以太网帧33，该以太网帧是由第一控制器局域网10的第一计算单元11所发送160的(即通过方法100)，其中，至少在该以太网帧33的有效负载字段34的第一部分34a中的数据35a至少对来自第一控制器局域网10中的至少一个第一CAN帧13的有效负载字段14的数据15进行编码。

该方法200还包括：将该以太网帧33转换220成第二控制器局域网20的至少一个第二CAN帧23，其中，在该至少一个第二CAN帧23的有效负载字段24中的数据25基于在该至少一个第一CAN帧13的有效负载字段14中的数据15。在该至少一个第二CAN帧23的有效负载字段24中的数据25可以对在该至少一个第一CAN帧13的有效负载字段14中的数据15进行编码。该编码可以(或者必须)使得从数据15(或者以太网帧33的数据35a)到数据25没有信息丢失。例如在图5c中示意性图解说明了该至少一个第二CAN帧23，其中，未示出非有效负载字段。

例如，在该至少一个第二CAN帧23的有效负载字段24中的数据25可以与在该至少一个第一CAN帧13的有效负载字段14中的数据15一致。就这方面来说，转换220例如可以与转换130相反。

第一控制器局域网10的第一计算单元11可以是控制设备。该第一CAN 10的第一计算单元11例如可以是区域控制设备或者域网关，其中，该第一CAN 10的第一计算单元11可以被分配给在信任区分离概念中的第一信任区或者被分配给第一域。

第二控制器局域网20的第一计算单元21可以是控制设备。该第二CAN 20的第一计算单元21例如同样可以是区域控制设备或者域网关，其中，该第二CAN 20的第一计算单元21可以被分配给在信任区分离概念中的第二信任区或者被分配给第二域。

在图2b-c中示意性示出了该方法200的其它示例性的并且在下文描述的实施方式。

可以基于传输时间保证协议来接收210该以太网帧33。该传输时间保证协议尤其可以是用于确保有实时能力的通信的协议。该传输时间保证协议、尤其是用于确保有实时能力的通信的协议，例如可以基于IEEE 802.1族的时间敏感网络(TSN)标准或者可以是这种标准。由此，可以经由以太网来(准)实时地传输数据。(准)实时可以通过针对该技术系统的至少一项实时要求来定义。

该方法200可以包括：从以太网帧33的有效负载字段34的第二部分34b中读取第一块校验字符串35b。

诸如在图2b-c中所示并且例如就AUTOSAR端到端报头而言，该方法200可以包括：按照预定的第二块校验字符串算法，至少基于来自该至少一个第二CAN帧23的有效负载字段24中的数据25，计算230第二块校验字符串、尤其是第二循环冗余校验信息。该预定的第二块校验字符串算法尤其可以是预定的第二校验和算法，并且该第二块校验字符串例如可以是第二校验和。

该预定的第二块校验字符串算法可以基于该预定的第一块校验字符串算法。例如，该预定的第二块校验字符串算法可以是该预定的第一块校验字符串算法。

然后，该方法200可以包括：第一检查231第一块校验字符串35b是否与第二块校验字符串兼容，尤其是第一块校验字符串35b是否与第二块校验字符串一致。在第一检查231时，可以得到第一检查结果。是否进行该发送250可以基于该第一检查结果。诸如在图2c中示意性所示，例如，在该第一检查231成功(即第一检查结果为肯定)的必要条件下进行该发送250。

步骤230、231可以与(来自方法100中的)步骤140、141一起有助于：提高所要传输的数据针对随机性更改的安全性(即所谓的安全(safety))。

替选地或附加地，该方法200可以包括：从以太网帧33的有效负载字段34的第三部分34c中读取第一消息认证码35c。

诸如在图2b-c中所示，该方法200可以包括：按照预定的第二消息认证码算法，至少基于来自该至少一个第二CAN帧23的有效负载字段24中的数据25以及基于预定的第二秘密密钥21a，计算240第二消息认证码。该预定的第一消息认证码算法例如可以是基于密码的MAC(CMAC)或者基于哈希的MAC(HMAC)。

该预定的第二消息认证码算法可以基于该预定的第一消息认证码算法。例如，该预定的第二消息认证码算法可以是该预定的第一消息认证码算法。

然后，该方法200可以包括：第二检查241第一消息认证码35c是否与第二消息认证码兼容，尤其是第一消息认证码35c是否与第二消息认证码一致。在第二检查241时，可以得到第二检查结果。是否进行该发送250(还)可以基于该第二检查结果。诸如在图2c中示意性所示，例如，在该第二检查241成功(即第二检查结果为肯定)的另一必要条件下进行该发送250。

步骤240、241可以与(来自方法100中的)步骤150、151一起有助于：提高所要传输的数据针对有针对性的操纵的安全性(即所谓的安保(security))。

诸如在图2b-c中示出的具有步骤230、231、240、241的方法200的实施方式可以有助于：提高所要传输的数据的不仅针对随机性操纵而且针对有针对性的操纵的安全性，并且因此不仅提高安全(safety)而且提高安保(security)。

在图2c中示出的示例性实施方式包括所有步骤230、231、240、241，其中，如果第一检查231和第二检查241都成功(即第一检查结果为肯定并且第二检查结果为肯定)，则发送250该至少一个第二CAN帧23。

不同于图2b-c中所示的情况，步骤230和240的顺序(如果两个步骤都包括在方法200中的话)是不重要的。步骤230可以在步骤240之前、与该步骤(实际上)同时或者在该步骤之后发生。

同样，步骤231和241的顺序(如果两个步骤都包括在方法200中的话)是不重要的。步骤231可以在步骤241之前、与该步骤(实际上)同时或者在该步骤之后发生。

步骤230、231和/或240、241可以/应该在步骤250之前发生。

步骤230和/或240可以在步骤210之后和/或在步骤220之后发生。此外，步骤230和/或240以及步骤220的顺序可以是不重要的。

预定的第二秘密密钥21a可以对应于预定的第一秘密密钥11a。例如，预定的第一秘密密钥11a和预定的第二秘密密钥21a可以形成非对称密钥对。在另一示例中，预定的第二秘密密钥21a可以与预定的第一秘密密钥11a一致。因此，在这种情况下，存在对称密钥，该对称密钥由第一CAN 10的第一计算单元11和第二CAN 20的第一计算单元21所共享。

该方法200可以包括：经由第二控制器局域网20，将该至少一个第二CAN帧23发送250给第二控制器局域网20的第二计算单元22。例如可以基于AUTOSAR SecOC来保护在第二CAN 20中的发送250。由此，可以提高针对所要传输的数据在第二CAN 20中的CAN总线上的有针对性的更改的安全性。

该方法200可以包括：经由第二控制器局域网20，在第二控制器局域网20的第二计算单元22中接收260该至少一个第二CAN帧23。例如可以基于AUTOSAR SecOC来保护在第二CAN 20中的接收260。由此，同样可以提高针对所要传输的数据在第二CAN 20中的CAN总线上的有针对性的更改的安全性。

步骤250以及可选地步骤260能够与(来自方法100中的)步骤110一起将数据从第一CAN 10传送到第二CAN 20中和/或在该第二CAN中接收数据。

该第二CAN 20的第二计算单元22例如可以是车辆中的(独立真空式、机电式)制动力放大器或者行驶动力学控制实体。替选地或附加地，该第二CAN 20的第二计算单元22例如可以是智能传感器。

在第一CAN 10的第二计算单元12和第二CAN 20的第二计算单元22分别是制动力放大器或者行驶动力学控制实体的情况下，例如第一CAN 10可以布置在车辆的前部区域(尤其是靠近前轮)并且第二CAN 20可以布置在车辆的后部区域(尤其是靠近后轮)。在车辆中的第一CAN10与第二CAN 20之间的空间分离可以通过以太网来跨接。

还公开了一种计算机实现的方法300，例如在图3中示意性所示，该计算机实现的方法包括用于将来自第一控制器局域网(CAN)10中的控制器局域网帧传输到第二控制器局域网20中的计算机实现的方法100。

该方法300还包括：用于在第二控制器局域网20中接收来自第一控制器局域网(CAN)10中的控制器局域网帧的计算机实现的方法200。

在该方法300中，方法100的以太网是方法200的以太网。此外，方法100和200中的密码网络协议也可以彼此一致。此外，方法100和200中的传输时间保证协议也可以(或者必须)彼此一致。

在方法100、200、300中的密码网络协议可以被设计为：保证至少在以太网帧33的有效负载字段34中的数据35a、35b、35c的真实性。替选地或附加地，该密码网络协议可以被设计为：保证至少在以太网帧33的有效负载字段34中的数据35a、35b、35c的完整性。替选地或附加地，该密码网络协议可以被设计为：保证至少在以太网帧33的有效负载字段34中的数据35a、35b、35c的机密性。例如，该密码网络协议可以被设计为：保证至少在以太网帧33的有效负载字段34中的数据35a、35b、35c的真实性和完整性。在另一示例中，该密码网络协议可以被设计为：保证至少在以太网帧33的有效负载字段34中的数据35a、35b、35c的真实性和完整性和机密性。

因此，该密码网络协议能够实现在第一CAN 10与第二CAN 20之间的网络隧道。在概率意义上的保护就可以足够。

该密码网络协议例如可以是MACSec。替选地，该密码网络协议例如可以是IPSec。替选地，该密码网络协议例如可以是TLS。

在方法100、200、300中，诸如在图4b中示意性图解说明的那样，以太网帧33可以由第一控制器局域网10的第一计算单元11经由至少一个以太网节点31、32发送160给第二控制器局域网20的第一计算单元21。以太网节点31、32可以是以太网30的计算单元。以太网节点31、32可以称为跃点(Hop)。

以太网帧33可以由第一CAN 10的第一计算单元11经由多个以太网节点31、32发送160给第二CAN 20的第一计算单元21。

在方法100、200、300中，第一控制器局域网10的第一计算单元11和第二控制器局域网20的第一计算单元21可以处在具有所要满足的被提高的安全要求的区域内。相反，该至少一个以太网节点31、32可以处在具有所要满足的较低的安全要求的区域内。就这方面来说，网络隧道(德语也是Tunnel)可以称为黑色通道。

该被提高的安全要求可以包括至少一项功能安全要求。该较低的安全要求可以不包括该至少一项功能安全要求，也就是说，该较低的安全要求不必包括该至少一项功能安全要求。

该至少一项功能安全要求可以旨在防止所要传输的数据15、25的随机性更改。

例如可以按照IEC 61508标准来定义功能安全。对于车辆来说，尤其可以按照ISO26262标准来定义功能安全。

因此，通过该被提高的安全要求，可以确保在安全(safety)环境中的完整性。

尽管对以太网的安全要求本身较低，但是由于方法100、200、300，尤其可以为以太网提供安全(safety)证明。

替选地或附加地，该被提高的安全要求可以包括至少一项操纵安全要求。那么，该较低的安全要求可以不包括该至少一项操纵安全要求，也就是说，该较低的安全要求不必包括该至少一项操纵安全要求。

该至少一项操纵安全要求可以旨在防止所要传输的数据15、25的有针对性的更改。

因此，通过该被提高的安全要求，可以确保在安保(security)环境中的真实性和完整性。

在方法100、200、300中，该至少一个以太网节点31、32可以包括与该密码网络协议兼容的交换机。例如，该至少一个以太网节点31、32可以包括有MACSec能力的交换机。替选地或附加地，该至少一个以太网节点31、32可以包括物理接口(英文：phys)。

例如，由此可以经由MACSec以线速(Line Rate)和/或在受影响的跃点(Hops)处没有额外时延的情况下对隧道进行密码保护。

这些方法100、200、300，尤其是发送160以太网帧33和/或接收210以太网帧33，可以在建立于以太网上的协议栈中的不同层上实现，例如在OSI第4、3或2层上。例如，应给OSI第4层分配TCP和UDP协议，给OSI第3层分配IP(v4或v6)协议并且给第2层分配以太网本身。

在这些方法100、200、300中，该至少一个第二CAN帧23可以被用于：从第一控制器局域网10对技术系统、尤其是车辆进行控制、调节和/或监视。

该技术系统、尤其是该车辆，可以包括第一控制器局域网10。替选地或附加地，该技术系统、尤其是该车辆，可以包括以太网30。替选地或附加地，该技术系统、尤其是该车辆，可以包括第二控制器局域网20。例如，该技术系统、尤其是该车辆，可以包括第一控制器局域网10、以太网30和第二控制器局域网20。

第一CAN帧13可以对于该技术系统、尤其是该车辆的功能性来说是相关的。第一CAN帧13尤其可以是安全(safety)相关的。替选地或附加地，第一CAN帧13可以是安保(security)相关的。例如，第一CAN帧13可以是安全(safety)和安保(security)相关的。

此外，第二CAN帧23可以对于该技术系统、尤其是该车辆的功能性来说是相关的。第二CAN帧23尤其可以是安全(safety)相关的。替选地或附加地，第二CAN帧23可以是安保(security)相关的。例如，第二CAN帧23可以是安全(safety)和安保(security)相关的。

还公开了一种计算机系统400，该计算机系统被设计为：执行用于将来自第一控制器局域网(CAN)10中的控制器局域网帧传输到第二控制器局域网20中的计算机实现的方法100。

该计算机系统400可以是第一控制器局域网10的第一计算单元11或者包括该第一计算单元。该计算机系统400可以包括处理器和/或工作存储器。该计算机系统400可以包括非易失性存储器，在该非易失性存储器中例如存储预定的第一秘密密钥11a。

替选地或附加地，公开了一种计算机系统400，该计算机系统被设计为：执行用于在第二控制器局域网20中接收来自第一控制器局域网(CAN)10中的控制器局域网帧的计算机实现的方法200。

该计算机系统400可以是第二控制器局域网20的第一计算单元21或者包括该第一计算单元。该计算机系统400可以包括处理器和/或工作存储器。该计算机系统400可以包括非易失性存储器，在该非易失性存储器中例如存储预定的第二秘密密钥21a。

替选地或附加地，公开了一种计算机系统400，该计算机系统被设计为执行方法300。

该计算机系统400可以包括第一控制器局域网10的第一计算单元11和第二控制器局域网20的第一计算单元21。该计算机系统400可以包括两个处理器和/或两个工作存储器。该计算机系统400可以包括两个非易失性存储器，其中，例如预定的第一秘密密钥11a存储在其中一个非易失性存储器中，并且预定的第二秘密密钥21a存储在另一个非易失性存储器中。

图4a-b示出了一个或多个计算机系统的示例性实施方式。不同于图4a，图5b示出了具有至少一个以太网节点31、32的以太网30。

还公开了一种计算机程序，该计算机程序被设计为执行方法100。替选地或附加地，公开了一种计算机程序，该计算机程序被设计为执行方法200。替选地或附加地，公开了一种计算机程序，该计算机程序被设计为执行方法300。

这些计算机程序中的每个计算机程序例如都可以以可解释形式或者以编译形式存在。该计算机程序可以(也可以部分地)例如作为位或字节序列被加载到计算机系统400的RAM中，以供执行。

还公开了一种计算机可读介质或信号，该计算机可读介质或信号存储和/或包含该计算机程序。该介质例如可包括RAM,ROM,EPROM,HDD,SDD,...之一，在其上/在其中存储该信号。在其上存储有具有方法100的计算机程序的介质可以是其中一个非易失性存储器。在其上存储有具有方法200的计算机程序的另一介质可以是另一个非易失性存储器。

Claims (25)

1.一种用于将来自第一控制器局域网(CAN)(10)中的控制器局域网帧传输到第二控制器局域网(20)中的计算机实现的方法(100)，所述方法包括：

-在所述第一控制器局域网(10)的第一计算单元(11)中，接收(120)来自所述第一控制器局域网(10)中的至少一个第一CAN帧(13)；

-将所述至少一个第一CAN帧(13)转换(130)成以太网帧(33)，其中，至少在所述以太网帧(33)的有效负载字段(34)的第一部分(34a)中的数据(35a)至少对所述至少一个第一CAN帧(13)的有效负载字段(14)的数据(15)进行编码；

-经由以太网(30)并且基于密码网络协议，将所述以太网帧(33)发送(160)给所述第二控制器局域网(20)的第一计算单元(21)。

2.根据权利要求1所述的方法(100)，其中，基于传输时间保证协议、可选地基于IEEE802.1族的时间敏感网络(TSN)标准，发送(160)所述以太网帧(33)。

3.根据权利要求1或2所述的方法(100)，所述方法包括：

-按照预定的第一块校验字符串算法，至少基于来自所述至少一个第一CAN帧(13)的有效负载字段(14)中的数据(15)，计算(140)第一块校验字符串(35b)、尤其是第一循环冗余校验信息；

-将所述第一块校验字符串(35b)写(141)到所述以太网帧(33)的有效负载字段(34)的第二部分(34b)中。

4.根据上述权利要求中任一项所述的方法(100)，所述方法包括：

-按照预定的第一消息认证码算法，至少基于来自所述至少一个第一CAN帧(13)的有效负载字段(14)中的数据(15)以及基于预定的第一秘密密钥(11a)，计算(150)第一消息认证码(35c)；

-将所述消息认证码(35c)写(151)到所述以太网帧(33)的有效负载字段(34)的第三部分(34c)中。

5.根据上述权利要求中任一项所述的方法(100)，所述方法包括：

-经由所述第一控制器局域网(10)，并且可选地，基于AUTOSAR SecOC，将所述至少一个第一CAN帧(13)从所述第一控制器局域网(10)的第二计算单元(12)发送(110)给所述第一控制器局域网(10)的第一计算单元(11)。

6.一种用于在第二控制器局域网(20)中接收来自第一控制器局域网(CAN)(10)中的控制器局域网帧的计算机实现的方法(200)，所述方法包括：

-在所述第二控制器局域网(20)的第一计算单元(21)中并且经由以太网(30)并且基于密码网络协议，接收(210)以太网帧(33)，所述以太网帧是由所述第一控制器局域网(10)的第一计算单元(11)所发送(160)的，其中，至少在所述以太网帧(33)的有效负载字段(34)的第一部分(34a)中的数据(35a)至少对来自所述第一控制器局域网(10)中的至少一个第一CAN帧(13)的有效负载字段(14)的数据(15)进行编码；

-将所述以太网帧(33)转换(220)成所述第二控制器局域网(20)的至少一个第二CAN帧(23)，其中，在所述至少一个第二CAN帧(23)的有效负载字段(24)中的数据(25)基于在所述至少一个第一CAN帧(13)的有效负载字段(14)中的数据(15)。

7.根据权利要求6所述的方法(200)，其中，在所述至少一个第二CAN帧(23)的有效负载字段(24)中的数据(25)与在所述至少一个第一CAN帧(13)的有效负载字段(14)中的数据(15)一致。

8.根据权利要求6或7所述的方法(200)，其中，基于传输时间保证协议、可选地基于IEEE 802.1族的时间敏感网络(TSN)标准，接收(210)所述以太网帧(33)。

9.根据权利要求6至8中任一项所述的方法(200)，所述方法包括：

-从所述以太网帧(33)的有效负载字段(34)的第二部分(34b)中读取第一块校验字符串(35b)；

-按照预定的第二块校验字符串算法，至少基于来自所述至少一个第二CAN帧(23)的有效负载字段(24)中的数据(25)，计算(230)第二块校验字符串、尤其是第二循环冗余校验信息；

-第一检查(231)所述第一块校验字符串(35b)是否与所述第二块校验字符串兼容，尤其是所述第一块校验字符串(35b)是否与所述第二块校验字符串一致。

10.根据权利要求6至9中任一项所述的方法(200)，所述方法包括：

-从所述以太网帧(33)的有效负载字段(34)的第三部分(34c)中读取第一消息认证码(35c)；

-按照预定的第二消息认证码算法，至少基于来自所述至少一个第二CAN帧(23)的有效负载字段(24)中的数据(25)以及基于预定的第二秘密密钥(21a)，计算(240)第二消息认证码；

-第二检查(241)所述第一消息认证码(35c)是否与所述第二消息认证码兼容，尤其是所述第一消息认证码(35c)是否与所述第二消息认证码一致。

11.根据权利要求10所述的方法(100、200)，其中，所述预定的第二秘密密钥(21a)对应于来自权利要求4中的预定的第一秘密密钥(11a)；

尤其是，其中，所述预定的第二秘密密钥(21a)与来自权利要求4中的预定的第一秘密密钥(11a)一致。

12.根据权利要求6至11中任一项所述的方法(200)，所述方法包括：

-经由所述第二控制器局域网(20)，并且可选地，基于AUTOSAR SecOC，将所述至少一个第二CAN帧(23)发送(250)给所述第二控制器局域网(20)的第二计算单元(22)。

13.根据权利要求12所述的方法(200)，所述方法包括：

-经由所述第二控制器局域网(20)，并且可选地，基于AUTOSAR SecOC，在所述第二控制器局域网(20)的第二计算单元(22)中接收(260)所述至少一个第二CAN帧(23)。

14.一种计算机实现的方法(300)，所述方法包括：

-根据权利要求1至5所述的用于将来自第一控制器局域网(CAN)(10)中的控制器局域网帧传输到第二控制器局域网(20)中的计算机实现的方法(100)；

-根据权利要求6至13中任一项所述的用于在第二控制器局域网(20)中接收来自第一控制器局域网(CAN)(10)中的控制器局域网帧的计算机实现的方法(200)。

15.根据上述权利要求中任一项所述的方法(100、200、300)，

其中，所述密码网络协议被设计为：保证至少在所述以太网帧(33)的有效负载字段(34)中的数据(35a、35b、35c)的真实性、完整性和/或机密性。

16.根据上述权利要求中任一项所述的方法(100、200、300)，其中，所述密码网络协议是MACSec、IPSec或者TLS。

17.根据上述权利要求中任一项所述的方法(100、200、300)，其中，所述以太网帧(33)由所述第一控制器局域网(10)的第一计算单元(11)经由至少一个以太网节点(31、32)发送(160)给所述第二控制器局域网(20)的第一计算单元(21)。

18.根据权利要求17所述的方法(100、200、300)，其中，所述第一控制器局域网(10)的第一计算单元(11)和所述第二控制器局域网(20)的第一计算单元(21)处在具有所要满足的被提高的安全要求的区域内，而且所述至少一个以太网节点(31、32)处在具有所要满足的较低的安全要求的区域内。

19.根据权利要求18所述的方法(100、200、300)，其中，所述被提高的安全要求包括至少一项功能安全要求，并且所述较低的安全要求不包括所述至少一项功能安全要求；

可选地，其中，所述至少一项功能安全要求旨在防止所要传输的数据(15、25)的随机性更改；

可选地，其中，所述功能安全按照IEC 61508标准和/或按照ISO 26262标准来定义。

20.根据权利要求18或19所述的方法(100、200、300)，其中，所述被提高的安全要求包括至少一项操纵安全要求，而且所述较低的安全要求不包括所述至少一项操纵安全要求；

可选地，其中，所述至少一项操纵安全要求旨在防止所要传输的数据(15、25)的有针对性的更改。

21.根据权利要求17至20中任一项所述的方法(100、200、300)，其中，所述至少一个以太网节点(31、32)包括：与所述密码网络协议兼容的交换机，可选地，有MACSec能力的交换机；和/或物理接口。

22.根据上述权利要求中任一项所述的方法(100、200、300)，其中，所述至少一个第二CAN帧(23)被用于：从所述第一控制器局域网(10)对技术系统、尤其是车辆进行控制、调节和/或监视。

23.一种计算机系统(400)、尤其是控制器局域网(10、20)的计算单元(11、21)，所述计算机系统被设计为执行根据上述权利要求中任一项所述的方法(100、200、300)。

24.一种计算机程序，所述计算机程序被设计为执行根据权利要求1至22中任一项所述的方法(100、200、300)。

25.一种计算机可读介质或信号，所述计算机可读介质或信号存储和/或包含根据权利要求24所述的计算机程序。