CN118157951A - 一种安全车载通信的控制方法及设备 - Google Patents

Abstract

一种安全车载通信的控制方法及设备，该方法包括有运行时间确定步骤(102)：确定执行SecOC功能的运行时间；阈值比较确定步骤(104)：比较并确定所述运行时间是否大于或等于阈值时间；SecOC超控功能启用步骤(106)：如果阈值比较确定步骤的结果为是，启用SecOC超控功能且不构建新鲜度值和信息认证码；SecOC超控功能禁用步骤(108)：如果阈值比较确定步骤的结果为否，禁用SecOC超控功能。而且，该方法还可包括有安全事件记录步骤(110)：当SecOC超控功能被首次启用或首次被禁用或从被启用改变为被禁用或被禁用改变为被启用时，记录安全事件并且使用安全ECU的入侵检测系统管理器向车辆的入侵检测系统报告器报告该安全事件。

Description

一种安全车载通信的控制方法及设备

【技术领域】

本发明涉及安全车载通信技术领域，尤其涉及一种安全车载通信运行时间超过阈值时间时启用/关闭安全车载通信功能的控制方法及设备。

【背景技术】

在传统的汽车电子结构中，车内的电子控制单元(ECU)数量和复杂性受到限制，通信带宽也受到限制。因此，人们普遍认为车内各个ECU之间的通信是可靠的。只要ECU节点接收到相应的消息，就会对其进行处理。然而，随着汽车行业和互联网的持续发展，汽车变得越来越智能化和互联化，这种默认的车内通信变得越来越不安全。如果在车辆的物理总线上添加一个新的节点，该节点发送虚假信号或篡改其他ECU发送的消息，例如加速、刹车和转弯信号，而与之相关的动力控制ECU却盲目接受这些消息，那么车辆可能会失去控制。因此，迫切需要开发一种安全高效的算法，用于认证消息的真实性，确认消息发送方的合法性以及数据是否遭到篡改。在这种背景下，安全车载通信(SecOC)机制应运而生。

SecOC是在AUTOSAR软件包中添加的信息安全组件，主要增加了认证运算、密钥管理、新鲜值管理和分发等一系列的功能和新要求。该模块的主要作用是为总线上传输的数据提供身份认证，它可以有效地检测出数据回放、欺骗以及篡改等攻击。

SecOC机制要求在协议数据单元(PDU)的发送方和接收方的ECU都要实现SecOC模块。具有SecOC功能的ECU(以下简称安全ECU)中的SecOC模块可兼具发送方SecOC模块和接收方SecOC模块的功能。

发送方SecOC模块通过向待发送的协议原始PDU添加认证信息来创建安全PDU，认证信息包括新鲜度值(FV)和信息认证码(MAC)。FV由新鲜度值管理模块(FVM)获得。将PDU的数据标识符、原始PDU以及完整新鲜度值拼接起来，传递给认证算法产生信息认证码(MAC)。

接收方SecOC模块收到安全PDU会通过认证算法对其进行认证，如果认证成功，那么将原始PDU上传到上层应用的软件模块，如果认证失败，则直接丢弃。

根据SecOC的要求，在认证通信中需要调用一些认证算法来用于MAC认证。这些认证算法的执行会占用系统资源，并使得协议数据单元PDU的周期时间不稳定。当SecOC模块在处理安全PDU时占用的系统资源过多时，在最严重的情况下，ECU可能发生崩溃，为驾驶车辆的安全性带来不利的影响。对此，现有技术中的某些安全车载通信的控制方法采用确定SecOC认证的运行时间；以及在所述运行时间超过预定阈值时，关闭所述SecOC认证的部分或全部过程，从而减少SecOC模块在处理安全PDU时占用的系统资源，但是，这样的方法会导致与安全PDU相关的功能降级且没有记录相关的安全事件并向上位机报告。

因此，亟需提出一种能够解决上述现有技术中存在的问题的安全车载通信的控制方法及设备。

【发明内容】

本发明的目的在于提供一种安全车载通信(SecOC)的控制方法及设备，使得在执行SecOC功能的运行时间超过阈值时间时，安全ECU使用SecOC超控功能来减少所述运行时间而不是直接关闭SecOC功能，从而不会导致与安全PDU相关的功能降级，而且当安全ECU启用SecOC超控功能时，安全ECU的入侵检测系统管理器(IdsM)将向车辆的入侵检测系统报告器(IdsR)报告该安全事件。

根据本发明的第一方面，提供了一种安全车载通信的控制方法，包括有以下步骤：

运行时间确定步骤：通过安全ECU确定执行SecOC功能的运行时间；

阈值比较确定步骤：通过所述安全ECU比较并确定所述运行时间是否大于或等于阈值时间；

SecOC超控功能启用步骤：如果所述阈值比较确定步骤的结果为是，通过所述安全ECU启用SecOC超控功能且不构建新鲜度值(FV)和信息认证码(MAC)；以及

SecOC超控功能禁用步骤：如果所述阈值比较确定步骤的结果为否，通过所述安全ECU禁用所述SecOC超控功能。

作为上述方案的补充或替换，所述安全车载通信的控制方法还包括在所述SecOC超控功能启用步骤或所述SecOC超控功能禁用步骤之后的安全事件记录步骤：当所述SecOC超控功能被首次启用或首次被禁用或从被启用改变为被禁用或被禁用改变为被启用时，通过所述安全ECU记录安全事件(SEv)并且使用所述安全ECU的入侵检测系统管理器(IdsM)向车辆的入侵检测系统报告器(IdsR)报告该安全事件。

作为上述方案的补充或替换，所述安全车载通信的控制方法还包括在所述SecOC超控功能启用步骤之后的原始PDU传输步骤：当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为接收方SecOC模块时，所述接收方SecOC模块不再构建接收的安全PDU的新鲜度值和消息认证码而将原始PDU直接上传到上层应用的软件模块，从而节省了SecOC模块认证安全PDU的时间。

作为上述方案的补充或替换，所述安全车载通信的控制方法还包括在所述SecOC超控功能启用步骤之后的安全PDU构建步骤：当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为发送方SecOC模块时，所述发送方SecOC模块使用自定义默认值作为原始PDU的新鲜度值FV1和信息认证码MAC1来构建安全PDU，即不再构建要发送的安全PDU的新鲜度值和消息认证码，从而节省SecOC模块构建安全PDU的时间。

作为上述方案的补充或替换，所述安全车载通信的控制方法还包括在所述SecOC超控功能禁用步骤之后的安全PDU发送及认证步骤：当所述SecOC超控功能被禁用时，发送方SecOC模块将具有新鲜度值FV2和信息认证码MAC2的安全PDU发送到到接收方SecOC模块以进行认证，以及所述接收方SecOC模块构建新鲜度值FV3和消息认证码MAC3，并将构建的所述新鲜度值FV3和所述消息认证码MAC3与接收到的所述安全PDU的新鲜度值FV2和所述消息认证码MAC2分别进行比较以对所述安全PDU进行认证。

作为上述方案的补充或替换，所述阈值时间确定步骤包括有：进程时间确定步骤：通过所述安全ECU确定所述安全ECU的进程时间；最大运行时间测量步骤：通过所述安全ECU测量所述安全ECU关闭SecOC功能后完成除所述SecOC功能外的其它全部功能的最大运行时间；以及阈值时间计算步骤：通过所述安全ECU，基于所述阈值时间与所述最大运行时间之和等于所述进程时间：A＝(B+C)，计算所述阈值时间C：C＝A-B，其中，A表示所述进程时间，B表示完成除SecOC功能外的其它全部功能的所述最大运行时间，C表示所述阈值时间。

根据本发明的第二方面，提供了一种安全车载通信的控制设备，所述设备包括：

运行时间确定单元，用于通过安全ECU确定执行SecOC功能的运行时间。

阈值比较确定单元，用于通过所述安全ECU比较并确定所述运行时间是否大于或等于阈值时间；

SecOC超控功能启用单元，用于如果所述阈值比较确定单元输出的结果为是，通过所述安全ECU启用SecOC超控功能且不构建新鲜度值(FV)和信息认证码(MAC)；以及

SecOC超控功能禁用单元，用于如果所述阈值比较确定单元输出的结果为否，通过所述安全ECU禁用所述SecOC超控功能。

作为上述方案的补充或替换，所述安全车载通信的控制设备还包括安全事件记录单元，用于当所述SecOC超控功能被首次启用或首次被禁用或从被启用改变为被禁用或被禁用改变为被启用时，通过所述安全ECU记录安全事件(SEv)并且使用所述安全ECU的入侵检测系统管理器(IdsM)向车辆的入侵检测系统报告器(IdsR)报告该安全事件。

作为上述方案的补充或替换，所述安全车载通信的控制设备还包括原始PDU传输单元，用于当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为接收方SecOC模块时，通过所述接收方SecOC模块将所述原始PDU直接上传到上层应用的软件模块；安全PDU构建单元，用于当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为发送方SecOC模块时，通过所述发送方SecOC模块使用自定义默认值作为原始PDU的新鲜度值FV1和信息认证码MAC1来构建安全PDU；以及安全PDU发送及认证单元，用于当所述SecOC超控功能被禁用时，通过所述发送方SecOC模块将具有新鲜度值FV2和信息认证码MAC2的安全PDU发送到接收方SecOC模块以进行认证，以及通过所述接收方SecOC模块构建新鲜度值FV3和消息认证码MAC3，并将构建的所述新鲜度值FV3和所述消息认证码MAC3与接收到的所述安全PDU的新鲜度值FV2和所述消息认证码MAC2分别进行比较以对所述安全PDU进行认证。

作为上述方案的补充或替换，所述阈值比较确定单元包括有：阈值时间确定单元，用于通过所述安全ECU确定所述阈值时间；以及比较单元，用于通过所述安全ECU比较并确定所述运行时间是否大于或等于所述阈值时间。

作为上述方案的补充或替换，所述阈值时间确定单元包括有：进程时间确定单元，用于确定所述安全ECU的进程时间；最大运行时间测量单元，用于测量所述安全ECU关闭SecOC功能后完成除所述SecOC功能外的其它全部功能的最大运行时间；以及阈值时间计算单元，用于基于所述阈值时间与所述最大运行时间之和等于所述进程时间：A＝(B+C)，计算所述阈值时间C：C＝A-B，其中，A表示所述进程时间，B表示完成除SecOC功能外的其它全部功能的所述最大运行时间，C表示所述阈值时间。

根据本发明的第三个方面，提供了一种计算机存储介质，所述介质包括指令，所述指令在被执行时实现如前所述的安全车载通信的控制方法。

根据本发明的第四方面，提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现如前所述的安全车载通信的控制方法。

根据本发明的第五方面，提供了一种电子控制单元，所述电子控制单元包括如前所述的安全车载通信的控制设备。

根据本发明的第六方面，提供了一种车辆，所述车辆包括如前所述的电子控制单元。

本发明的安全车载通信的控制方法及设备实现了以下有益技术效果：

1、在正常运行状况下，安全目标(完整性、防重放和认证保护)被满足以避免攻击。

2、当执行SecOC功能的运行时间大于或等于阈值时间时，安全ECU启用SecOC超控功能以节省系统资源，并且不降级与安全PDU信号相关的功能。

3、当ECU启用SecOC超控功能时，安全ECU的入侵检测系统管理器(IdsM)可以向车辆的入侵检测系统报告器(IdsR)报告该安全事件。

4、当ECU启用SecOC超控功能时，发送方SecOC模块使用自定义默认值作为原始PDU的新鲜度值和信息认证码来构建安全PDU，从而节省了安全PDU的构建时间；且接收方SecOC模块不再构建接收的安全PDU的新鲜度值和消息认证码，直接把原始PDU上传到上层软件的功能模块，从而节省了对安全PDU的认证时间。

【附图说明】

图1为根据本发明的第一实施例的安全车载通信的控制方法的流程图；

图2为根据本发明的第二实施例的安全车载通信的控制方法的流程图；

图3为根据本发明的第三实施例的安全车载通信的控制方法的流程图；

图4为图1-3中所示的控制方法中的阈值比较确定步骤的流程图；

图5为图4中所示的阈值比较确定步骤中的阈值时间确定步骤的流程图；

图6为根据本发明的第四实施例的安全车载通信的控制设备的结构方框图；

图7为根据本发明的第五实施例的安全车载通信的控制设备的结构方框图；

图8为根据本发明的第六实施例的安全车载通信的控制设备的结构方框图；

图9为图6-8中所示的控制设备中的阈值比较确定单元的结构方框图。

图10为图9中所示的阈值比较确定单元中的阈值时间确定单元的结构方框图。

【具体实施方式】

为了使本技术领域的人员更好地理解本申请实施例的技术方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。

在本发明中，除非特别指出，量词“一个”、“一”并未排除多个元素的场景。

本申请的说明书实施例和权利要求书及上述附图中的术语“第一”、“第二”、和“第三”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖非排它的包含，例如，包含了一系列步骤或单元。方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

在此还应当指出，在本发明的范围内，“相同”、“相等”、“等于”等措辞并不意味着二者数值绝对相等，而是允许一定的合理误差，也就是说，所述措辞也涵盖了“基本上相同”、“基本上相等”、“基本上等于”。以此类推，在本发明中，表示方向的术语“垂直于”、“平行于”等等同样涵盖了“基本上垂直于”、“基本上平行于”的含义。

另外，本发明的各方法的步骤的编号并未限定所述方法步骤的执行顺序。除非特别指出，各方法步骤可以以不同顺序执行。

SecOC超控功能是SecOC规范中已有的功能，是指安全ECU收到安全PDU后，跳过SecOC认证而直接认为认证成功，从而可节省SecOC认证时间。本发明有效地利用了SecOC超控功能而提出了一种新的安全车载通信的控制方法及设备。

图1示出了根据本发明的第一实施例的安全车载通信的控制方法100的流程图。安全车载通信的控制方法100包括有以下步骤：

运行时间确定步骤102：通过安全ECU确定执行SecOC功能的运行时间，其中，所述运行时间主要包括所述安全ECU中的SecOC模块作为发送方SecOC模块构建安全PDU的新鲜度值(FV)和消息认证码(MAC)的时间和所述安全ECU中的SecOC模块作为接收方SecOC模块构建安全PDU的新鲜度值(FV)和消息认证码(MAC)的时间；

阈值比较确定步骤104：通过所述安全ECU比较并确定所述运行时间是否大于或等于阈值时间，其中，所述阈值时间由使用的微控制器MCU的类型和数量及其要执行的软件功能决定；

SecOC超控功能启用步骤106：如果所述阈值比较确定步骤104的结果为是，通过所述安全ECU启用SecOC超控功能且不构建新鲜度值(FV)和信息认证码(MAC)；以及

SecOC超控功能禁用步骤108：如果所述阈值比较确定步骤104的结果为否，通过所述安全ECU禁用所述SecOC超控功能，所述安全ECU中的SecOC模块按照正常流程认证或构建安全PDU的新鲜度值(FV)和消息认证码(MAC)。

如图4所示，所述阈值比较确定步骤104包括有：

阈值时间确定步骤1042：通过所述安全ECU确定所述阈值时间；以及

比较步骤1044：通过所述安全ECU比较并确定所述运行时间是否大于或等于所述阈值时间

如图5所示，所述阈值时间确定步骤1042包括：

进程时间确定步骤1042A：确定安全ECU的进程时间A；

最大运行时间测量步骤1042B：通过所述安全ECU测量所述安全ECU关闭SecOC功能后完成除所述SecOC功能之外的其它全部功能的最大运行时间B(即在最恶劣工况下，安全ECU完成除所述SecOC功能之外的其它全部功能的运行时间)；以及

阈值时间计算步骤1042C：通过所述安全ECU，基于所述阈值时间与所述最大运行时间之和等于所述进程时间：A＝(B+C)，计算所述阈值时间C：C＝A-B，其中，A表示所述进程时间，B表示完成除SecOC功能外的其它全部功能的所述最大运行时间，C表示所述阈值时间。

图2示出了根据本发明的第二实施例的安全车载通信的控制方法200的流程图。安全车载通信的控制方法200与安全车载通信的控制方法100不同之处在于：安全车载通信的控制方法200还包括在所述SecOC超控功能启用步骤106或所述SecOC超控功能禁用步骤108之后的安全事件记录步骤110：当所述SecOC超控功能被首次启用或首次被禁用或从被启用改变为被禁用或从被禁用改变为被启用时，通过所述安全ECU记录安全事件(SEv)并且使用所述安全ECU的入侵检测系统管理器(IdsM)向所述车辆的入侵检测系统报告器(IdsR)报告该安全事件。

图3示出了根据本发明的第三实施例的安全车载通信的控制方法300的流程图。安全车载通信的控制方法300与安全车载通信的控制方法200不同之处在于：安全车载通信的控制方法300还包括：

在所述SecOC超控功能启用步骤106之后的原始PDU传输步骤112：当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为接收方SecOC模块时，所述接收方SecOC模块将原始PDU被直接上传到上层应用的软件模块，即不再构建接收的安全PDU的新鲜度值和消息认证码，从而节省了SecOC模块认证安全PDU的时间；

在所述SecOC超控功能启用步骤106之后的安全PDU构建步骤114：当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为发送方SecOC模块时，所述发送方SecOC模块使用自定义默认值作为原始PDU的新鲜度值FV1和信息认证码MAC1来构建安全PDU，即不再构建发送的安全PDU的新鲜度值和消息认证码，从而节省了SecOC模块构建安全PDU时间；以及

在所述SecOC超控功能禁用步骤108之后的安全PDU发送及认证步骤116：当所述SecOC超控功能被禁用时，发送方SecOC模块将具有新鲜度值FV2和信息认证码MAC2的安全PDU发送到接收方SecOC模块以进行认证，以及所述接收方SecOC模块构建新鲜度值FV3和消息认证码MAC3，并将构建的所述新鲜度值FV3和所述消息认证码MAC3与接收到的所述安全PDU的新鲜度值FV2和所述消息认证码MAC2分别进行比较以对所述安全PDU进行认证。

图6示出了根据本发明的第四实施例的安全车载通信的控制设备400的结构方框图。安全车载通信的控制设备400用于实施第一实施例的安全车载通信的控制方法100，且包括：

运行时间确定单元402，用于通过安全ECU确定执行SecOC功能的运行时间，其中，所述运行时间主要包括所述安全ECU中的SecOC模块作为发送方SecOC模块构建安全PDU的新鲜度值(FV)和消息认证码(MAC)的时间和所述安全ECU中的SecOC模块作为接收方SecOC模块构建安全PDU的新鲜度值(FV)和消息认证码(MAC)的时间；

阈值比较确定单元404，用于通过所述安全ECU比较并确定所述运行时间是否大于或等于阈值时间，其中，所述阈值时间由使用的微控制器MCU的类型和数量及其要执行的软件功能决定；

SecOC超控功能启用单元406，用于如果所述阈值比较确定单元404输出的结果为是，通过所述安全ECU启用SecOC超控功能且不构建新鲜度值(FV)和消息认证码(MAC)；以及

SecOC超控功能禁用单元408，用于如果所述阈值比较确定单元404输出的结果为否，通过所述安全ECU禁用所述SecOC超控功能，所述安全ECU中的SecOC模块按照正常流程认证或构建安全PDU的新鲜度值(FV)和消息认证码(MAC)。

如图9所示，所述阈值比较确定单元404包括有：

阈值时间确定单元4042，用于确定所述阈值时间；以及

比较单元4044，用于比较并确定所述运行时间是否大于或等于所述阈值时间

如图10所示，所述阈值时间确定单元4042包括：

进程时间确定单元4042A，用于确定所述安全ECU的进程时间A；

最大运行时间测量单元4042B，用于测量所述安全ECU关闭SecOC功能后完成除SecOC功能外的其它全部功能的最大运行时间C(即在最恶劣工况下，安全ECU完成除SecOC功能外的其它全部功能的运行时间)；以及

阈值时间计算单元4042C，用于基于所述阈值时间与所述最大运行时间之和等于所述进程时间：A＝(B+C)，计算所述SecOC阈值时间C：C＝A-B，其中，A表示所述进程时间，B表示完成除SecOC功能外的其它全部功能的所述最大运行时间，C表示所述阈值时间。

图7示出了根据本发明的第五实施例的安全车载通信的控制设备500的结构方框图。安全车载通信的控制设备500用于实施第二实施例的安全车载通信的控制方法200，其与安全车载通信的控制设备400的不同之处在于：安全车载通信的控制设备500还包括有安全事件记录单元410，用于当所述SecOC超控功能被首次启用或首次被禁用或从被启用改变为被禁用或从被禁用改变为被启用时，记录安全事件(SEv)并且使用安全ECU的入侵检测系统管理器(IdsM)向所述车辆的入侵检测系统报告器(IdsR)报告该安全事件。

图8示出了根据本发明的第六实施例的安全车载通信的控制设备600的结构方框图。安全车载通信的控制设备600用于实施第三实施例的安全车载通信的控制方法300，与安全车载通信的控制设备500的不同之处在于：安全车载通信的控制设备600还包括有：

原始PDU传输单元412，用于当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为接收方SecOC模块时，通过所述接收方SecOC模块将原始PDU被直接上传到上层应用的软件模块，即不再构建接收的安全PDU的新鲜度值和消息认证码，从而节省了SecOC模块认证安全PDU的时间；

安全PDU构建单元414，用于当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为发送方SecOC模块时，通过所述发送方SecOC模块使用自定义默认值作为原始PDU的新鲜度值和信息认证码来构建安全PDU，即不再构建发送的安全PDU的新鲜度值和消息认证码，从而节省了SecOC模块构建安全PDU时间；以及

安全PDU发送及认证单元416，用于当所述SecOC超控功能被禁用时，通过发送方SecOC模块将具有新鲜度值FV2和信息认证码MAC2的安全PDU发送到接收方SecOC模块以进行认证，以及通过接收方SecOC模块构建新鲜度值FV3和消息认证码MAC3，并将构建的所述新鲜度值FV3和所述消息认证码MAC3与接收到的所述安全PDU的新鲜度值FV2和所述消息认证码MAC2分别进行比较以对所述安全PDU进行认证。

在一个或多个实施例中，安全车载通信的控制设备400或500或600可集成在车辆的各种类型的电子控制单元ECU(包括但不限于，雷达传感器/Dasy/视频等)内。

根据本发明的安全车载通信的控制方法及设备实现了以下有益技术效果：

1、在正常运行状况下，安全目标(完整性、防重放和认证保护)被满足以避免攻击。

2、当执行SecOC功能的运行时间大于或等于阈值时间时，安全ECU启用SecOC超控功能以节省系统资源，并且不降级与安全PDU信号相关的功能。

3、当ECU启用SecOC超控功能时，安全ECU的入侵检测系统管理器(IdsM)可以向车辆的入侵检测系统报告器(IdsR)报告该安全事件。

4、当ECU启用SecOC超控功能时，发送方SecOC模块使用自定义默认值作为原始PDU的新鲜度值和信息认证码来构建安全PDU，从而节省了安全PDU的构建时间；且接收方SecOC模块不再构建接收的安全PDU的新鲜度值和消息认证码，直接把原始PDU上传到上层软件的功能模块，从而节省了对安全PDU的认证时间。

本发明还提供了一种计算机存储介质，所述介质包括指令，所述指令在被执行时实施上述本发明的安全车载通信的控制方法100或控制方法200或控制方法300。

本发明还提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实施上述本发明的安全车载通信的控制方法100或控制方法200或控制方法300。

本发明还提供了一种电子控制单元，所述电子控制单元包括上述本发明的安全车载通信的控制设备400或控制设备500或控制设备600。

本发明还提供了一种车辆，所述车辆包括上述本发明的电子控制单元。

另外，本领域技术人员容易理解，本发明的上述一个或多个实施例提供电子控制单元ECU的控制方法可通过计算机程序来实现。例如，该计算机程序包含在一种计算机程序产品中，该计算机程序被处理器执行时实施本发明的一个或多个实施例的电子控制单元ECU的控制方法。又例如，当存有该计算机程序的计算机存储介质(例如U盘)与计算机相连时，执行该计算机程序即可实施本发明的一个或多个实施例的电子控制单元ECU的控制方法。

可以理解的是，以上具体实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。例如，本发明的技术方案所搭载的产品并不局限于电子控制单元ECU，本领域技术人员可以理解，本发明的技术方案可在车载网络中具有SecOC功能的所有ECU(例如ADAS ECU)、电子稳定控制器ESP、电机控制器EMC等中实现。因此，任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (14)

1.一种安全车载通信的控制方法(100，200，300)，其特征在于，所述控制方法(100，200，300)包括有：

运行时间确定步骤(102)：通过安全电子控制单元ECU确定执行SecOC功能的运行时间；

阈值比较确定步骤(104)：通过所述安全ECU比较并确定所述运行时间是否大于或等于阈值时间；

SecOC超控功能启用步骤(106)：如果所述阈值比较确定步骤(104)的结果为是，通过所述安全ECU启用SecOC超控功能且不构建新鲜度值FV和信息认证码MAC；以及

SecOC超控功能禁用步骤(108)：如果所述阈值比较确定步骤(104)的结果为否，通过所述安全ECU禁用所述SecOC超控功能。

2.根据权利要求1所述的控制方法，其特征在于，所述控制方法(200，300)还包括有在所述SecOC超控功能启用步骤(106)之后或所述SecOC超控功能禁用步骤(108)之后的安全事件记录步骤(110)：当所述SecOC超控功能被首次启用或首次被禁用或从被启用改变为被禁用或从被禁用改变为被启用时，通过所述安全ECU记录安全事件并且使用所述安全ECU的入侵检测系统管理器向车辆的入侵检测系统报告器报告所述安全事件。

3.根据权利要求1或2所述的控制方法，其特征在于，所述控制方法(300)还包括有：

在所述SecOC超控功能启用(106)步骤之后的原始协议数据单元PDU传输步骤(112)：当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为接收方SecOC模块时，所述接收方SecOC模块将原始PDU直接上传到上层应用的软件模块；

在所述SecOC超控功能启用步骤(106)之后的安全PDU构建步骤(114)：当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为发送方SecOC模块时，所述发送方SecOC模块使用自定义默认值作为原始PDU的新鲜度值FV1和信息认证码MAC1来构建安全PDU；以及

在所述SecOC超控功能禁用步骤(108)之后的安全PDU发送及认证步骤(116)：当所述SecOC超控功能被禁用时，发送方SecOC模块将具有新鲜度值FV2和信息认证码MAC2的安全PDU发送到接收方SecOC模块以进行认证，以及所述接收方SecOC模块构建新鲜度值FV3和消息认证码MAC3，并将构建的所述新鲜度值FV3和所述消息认证码MAC3与接收到的所述安全PDU的新鲜度值FV2和所述消息认证码MAC2分别进行比较以对所述安全PDU进行认证。

4.根据权利要求1-3中任一项所述的控制方法，其特征在于，所述阈值比较确定步骤(104)包括有：

阈值时间确定步骤(1042)：通过所述安全ECU确定所述阈值时间；以及

比较步骤(1044)：通过所述安全ECU比较并确定所述运行时间是否大于或等于所述阈值时间。

5.根据权利要求4所述的控制方法，其特征在于，所述阈值时间确定步骤(1042)包括有：

进程时间确定步骤(1042A)：通过所述安全ECU确定所述安全ECU的进程时间A；

最大运行时间测量步骤(1042B)：通过所述安全ECU测量所述安全ECU关闭SecOC功能后完成除所述SecOC功能外的其它全部功能的最大运行时间B；以及

阈值时间计算步骤(1042C)：通过所述安全ECU，基于所述阈值时间与所述最大运行时间之和等于所述进程时间：A＝(B+C)，计算所述阈值时间C：C＝A-B，其中，A表示所述进程时间，B表示完成除SecOC功能外的其它全部功能的所述最大运行时间，C表示所述阈值时间。

6.一种安全车载通信的控制设备(400，500，600)，其特征在于，所述控制设备(400，500，600)包括：

运行时间确定单元(402)，用于通过安全ECU确定执行SecOC功能的运行时间。

阈值比较确定步骤单元(404)，用于通过所述安全ECU比较并确定所述运行时间是否大于或等于阈值时间；

SecOC超控功能启用单元(406)，用于如果所述阈值比较确定单元(404)输出的结果为是，通过所述安全ECU启用SecOC超控功能且不构建新鲜度值FV和信息认证码MAC；以及

SecOC超控功能禁用单元(408)，用于如果所述阈值比较确定单元(404)输出的结果为否，通过所述安全ECU禁用所述SecOC超控功能。

7.根据权利要求6所述的控制设备，其特征在于，所述控制设备(500，600)还包括有：

安全事件记录单元(410)，用于当所述SecOC超控功能被首次启用或首次被禁用或从被启用改变为被禁用或从被禁用改变为被启用时，通过所述安全ECU记录安全事件并且使用所述安全ECU的入侵检测系统管理器向车辆的入侵检测系统报告器报告所述安全事件。

8.根据权利要求7所述的控制设备，其特征在于，所述控制设备(600)还包括有

原始PDU传输单元(412)，用于当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为接收方SecOC模块时，通过所述接收方SecOC模块将原始PDU直接上传到上层应用的软件模块；

安全PDU构建单元(414)，用于当所述SecOC超控功能被启用且所述安全ECU中的SecOC模块作为发送方SecOC模块时，通过所述发送方SecOC模块使用自定义默认值作为原始PDU的新鲜度值FV1和信息认证码MAC1来构建安全PDU；以及

安全PDU发送及认证单元(416)，用于当所述SecOC超控功能被禁用时，通过所述发送方SecOC模块将具有新鲜度值FV2和信息认证码MAC2的安全PDU发送到接收方SecOC模块以进行认证，以及通过所述接收方SecOC模块构建新鲜度值FV3和消息认证码MAC3，并将构建的所述新鲜度值FV3和所述消息认证码MAC3与接收到的所述安全PDU的新鲜度值FV2和所述消息认证码MAC2分别进行比较以对所述安全PDU进行认证。

9.根据权利要求6-8中任一项所述的控制设备，其特征在于，所述阈值比较确定单元(404)包括有：

阈值时间确定单元(4042)，用于通过所述安全ECU确定所述阈值时间；以及

比较单元(4044)，用于通过所述安全ECU比较并确定所述运行时间是否大于或等于所述阈值时间。

10.根据权利要求9所述的控制设备，其特征在于，所述阈值时间确定单元(4042)包括有：

进程时间确定单元(4042A)，用于确定所述安全ECU的进程时间A；

最大运行时间测量单元(4042B)，用于测量所述安全ECU关闭SecOC功能后完成除所述SecOC功能外的其它全部功能的最大运行时间B；以及

阈值时间计算单元(4042C)，用于基于所述阈值时间与所述最大运行时间之和等于所述进程时间：A＝(B+C)，计算所述阈值时间C：C＝A-B，其中，A表示所述进程时间，B表示完成除SecOC功能外的其它全部功能的所述最大运行时间，C表示所述阈值时间。

11.一种计算机存储介质，所述介质包括指令，所述指令在运行时执行根据权利要求1-5中任一项所述的安全车载通信的控制方法。

12.一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现根据权利要求1-5中任一项所述的安全车载通信的控制方法。

13.一种电子控制单元，所述电子控制单元包括根据权利要求6-10中任一项所述的安全车载通信的控制设备。

14.一种车辆，所述车辆包括根据权利要求13所述的电子控制单元。