基于域集中式架构的汽车车载通讯安保方案

目前，智能化、网联化、电动化是汽车开展的大趋向，各大汽车企业与互联网公司踊跃展开协作，独特开启云端新时代。与此同时，针对智能网联汽车的攻打事情却频繁出现，使得汽车网络消息安保疑问日益凸显。针对汽车网络消息安保疑问，梅赛德斯-飞驰汽车公司于 2017 年便与 360 个人建设了协作相关，360 个人智能网联汽车安保试验室 Sky-Go 团队发现了梅赛德斯-飞驰智能网联汽车存在的 19 个安保破绽并加以修复。在 2018 年比亚迪世界开发者大会上，比亚迪与 360 个人正式签署战略协作协定，独特讨论处明智能汽车的消息安保与网络安保疑问。Ju 等钻研了以太网在汽车车载网络的运行以及对未来汽车电子电气（E/E）体系结构的预期。Wampler 等针对 CAN 总线提出了相应的通用安保处置方案。Lee 等经过对汽车启动攻打试验，验证了汽车的网络软弱性以及建设安保处置方案的紧迫性。Chen 等参照传统消息系统的分类安保防护评价规范，建设了车辆消息系统分类安保防护评价系统。Haas 等钻研应用人工神经网络建设联网汽车入侵检测模型，成功对攻打数据的过滤。 上述钻研均是针对汽车网络消息安保展开的，然而针对智能网联汽车系统的网络消息安保防护方案尚未提出。 本文从汽车车载网络消息安保的角度登程，提出一种汽车车载网络通讯安保架构方案，该方案 经过构建多域分层入侵检测模型，成功预防—检测—预警的完整安保防护体系 。

1 域集中式电子电气架构

如今，智能网联汽车的性能越来越丰盛，相应搭载的电子控制单元（electronic control unit，ECU）的数量也随之增多，继而与云端、第三方 APP 等消息交互的远程通讯也在增多，这也使得应用云端、第三方软件实施攻打的或许性增大。假设驳回传统汽车散布式电子电气架构，数量过多的 ECU 不只会发生复杂的线束设计和逻辑控制疑问，雷同也给汽车网络消息安保削减隐患。这些疑问的出现，都说明了现代汽车散布式电子电气架构须要启动革新。美国汽车工程师学会推出了 J3061TM《消息物理融合系统网络安保指南》，旨在经过一致世界规范，推进汽车电气系统与其他互咨询统之间安保流程的建设。本文参照《车辆传统系统性能安保规范 ISO26262》定义的流程，制订车辆消息安保架构图如图 1 所示。

图 1 车辆消息安保架构图

车辆消息安保架构关键由消息安保治理、中心消息安保工程优惠以及允许环节3大局部形成。消息安保治理包含综合治理和生命周期各阶段的消息安保治理。中心消息安保工程优惠包含了概念阶段，整车系统、软配件层面的开发阶段及消费运营阶段等。在概念阶段制订整个安保名目方案，包含识别网络安保边界、系统外部依赖相关、系统潜在要挟剖析以及评价。在开发阶段，对整车系统的软弱性和要挟性启动风险剖析，制订消息安保需求与战略，在开发阶段成功后启动浸透测试，成功最终的安保审计。消费运营阶段关键对产品启动现场监控、事情照应以及之后的期间跟踪治理。允许环节阶段关键对以上阶段启动辅佐允许，包含相应的性能治理、文档治理和供应链治理等。

车辆消息安保开发框架如图 2 所示。系统开发设计阶段是车辆消息安保成功的基础，而车辆消息安保系统设计又依靠于汽车电子电气架构（electronics/ electrical，E/E）系统设计。因此，应答汽车网络消息安保破绽启动排查，包含与外部环境（如云主机、其他车辆和基础设备）的衔接、与车载网络的衔接、与 ECU 级别的衔接和单个组件的衔接等，构建安保级别更高的 E/E 系统，从系统层面提高安保性。在测试阶段，对车辆消息安保性能审核测试，启动安保评价，验证车辆消息安保架构的安保性。在全体车辆消息安保开发环节中，应当将配件设计和软件设计协调开发，同时思考到软配件的安保牢靠性，独特成功网络安保。

图 2 车辆消息安保开发框架图

以特斯拉汽车为例，剖析汽车 E/E 架构方案。特斯拉汽车作为汽车 E/E 架构革新的带头人，Model 3 的电子电气架构分为 3 大局部：中央计算模块（CCM）、左车身控制模块（BCM_LH） 和右车身控制模块（BCM_RH）。CCM间接整合了驾驶辅佐系统（ADAS） 和消息文娱系统（IVI）2 大性能域，同时包含对外通讯和车内系统域通讯的性能；BCM_LH 和 BCM_RH 区分担任车身与便利系统、底盘与安保系统和局部动力系统的性能。3大模块均驳回高性能处置器，能够满足性能域内的少量计算需求，域内其他 ECU 仅控制汽车中心设备，域内各系统经过局域网启动通讯， 而模块之间经过总线启动通讯，成功了基本的安保隔离。

汽车域集中式电子电气架构的出现，为消息安保以及算力无余的疑问提供了处置方案。汽车域集中式电子电气架构指的是将汽车依据性能划分为若干特性能块，每特性能块以域控制器为主导搭建，各特性能域外部通讯可依据不同性能的通讯速率需求驳回不同种类的通讯总线，如 CAN、LIN、FLEXRAY、MOST 等总线，各特性能域之间的通讯经过传输速率更高的以太网成功消息替换，域集中式电子电气架构图如图 3 所示。域控制器关键担任传递域与云、域与域以及域外部的通讯。域内 ECU 仅担任相应口头器件的操作指令，驳回带有通讯性能的控制器即可。

图 3 域集中式电子电气架构图

依据我国国情，智能网联汽车域集中式电子电气架构联合了智能化、网联化、电动化3大局部的运行。

相较于以前的汽车散布式电子电气架构，针对算力无余方面，域控制器作为每个域的独立控制器，其外部需婚配一个中心运算力强的处置器，以满足智能网联汽车对算力的要求，目前业内有 NVIDIA、华为、瑞萨、NXP、TI、Mobileye、赛灵思、地平线等多个品牌方案。在安保防护方面，域集中式架构将车辆依据性能及通讯速率要求分为若干个独罪恶能模块，若攻打者想要经过某一性能对整车启动攻打，该性能所在的域控制器可以及时监测并扫除隐患，不会影响其他性能域，有效缩小了攻打面扩展的或许性。

2 智能网联汽车面临的消息安保要挟剖析

随着车辆连通性性能的极大扩展，导航定位、智能泊车、远程控制及诊断等性能已逐渐成为汽车的标配。这些性能带给人们极大便利的同时，也带来了更多安保隐患。

依据遭受攻打的模式不同，智能网联汽车安保隐患由远及近可划分为以下 4 个方面：

云平台存储着汽车关键消息，能够给汽车提供路况消息、定位导航、报警、远程控制等，假设云平台受到黑客攻打，少量关键数据外泄，结果不堪想象。

智能网联汽车经过无线通讯的模式成功与云平台、移动端 APP、其他车辆、交通状况等数据的消息交互，而无线通讯模式或许存在着身份认证、数据消息加密、协定等安保疑问，因此汽车也有相应的安保隐患。

随着车辆外部接口的增多，车辆外部通讯环节中电子控制单元固件的安保隐患、数据传输环节中的安保隐患也随之增多。

目前市场上有很多第三方 APP，APP 种类冗杂，其安保防护也是消弭隐患的关键一环。假设黑客入侵 APP，甚至可以直靠远程操控汽车。除此之外，电动汽车的充电枪与充电桩之间通讯接口也存在安保隐患，一旦受到攻打，电动汽车的动力系统受到破坏，或许会带来生命风险。

3 汽车车载消息安保隐患剖析

（1）车载智能终端（车载 T-BOX）攻打

车载 T-BOX 关键用于车与车联网服务平台的通讯，具备车辆远程控制、远程查问、报警等性能。反常状况下，车载 T-BOX 经过读取车载外部 CAN 通讯数据消息，并经过无线通讯模式将消息传递至云平台或 APP。车载 T-BOX 的安保隐患关键有 3 个方面：一是固件逆向，攻打者经过逆向解析车载 T-BOX 固件，失掉密钥，解密通讯协定；二是经过车载 T-BOX 的预留调试接口读取外部数据并启动剖析，解密通讯协定；三是经过仿冒云平台的控制指令，将指令发送到汽车外部，成功对汽车的远程控制。

（2）车载消息文娱系统（IVI）攻打

车载消息文娱系统用于导航、路况播报、车辆消息、通讯、辅佐驾驶、CD/收音机等的运行。由于车载信 息文娱系统的性能丰盛，攻打者既可以经过 USB、蓝牙、Wi-Fi 等通讯模式启动攻打，也可以经过软件更新取得访问权限对系统启动攻打。

汽车诊断接口 OBD-Ⅱ是汽车 ECU 与外部启动交互的接口，其关键性能是读取车辆的数据消息和缺点码，用以车辆培修。OBD-Ⅱ接口一旦受到攻打，不只可以经过该接口破解汽车外部通讯协定，而且还可 以经过植入恶意配件发送控制指令成功对车辆的控制。

智能网联汽车领有少量的传感器设备，用于车与车、车与人、车与路、车与云的通讯。假设传感器遭受恶意消息注入、窃听等攻打，高智能化车辆或许会无法正确判别周围环境行为，形成重大结果。

汽车外部网络通讯大多驳回 CAN 总线传输，CAN总线具备老本低、通讯速率适中、抗电磁搅扰才干强等特点，因此被宽泛运行于汽车电控系统。但 CAN 总线驳回非破坏性总线仲裁模式，具备校验便捷、一发多读等特点，安保防护措施单薄，攻打者若经过 CAN 总线启动报文重放、拒绝服务、窜改等模式启动攻打， 将造成驾驶员控制指令失效、汽车无法反常行驶的结果。

4 汽车车载通讯安保处置方案

在智能网联汽车消息安保防护方面，依据攻打出现的不同环节，区分建设被动防护、入侵监测、应急处置的系统安保防护措施，保证汽车的消息安保。在攻打出现前，做好被动防护，对汽车的通讯数据启动筛查过滤，对经常出现的攻打方法有效防范。攻打出现后，继续监测汽车通讯形态的变动，及时对攻打点采取应急措施并及时更新，防止风险的出现。

依据目前对汽车消息安保技术实用性模型的剖析，联合全新的汽车域集中式电子电气架构，构建车载多域分层入侵检测模型，针对云端层、域控制器层、ECU 层、车内网络传输层启动分层入侵检测，采取对应的被动防护措施，以到达精准防护的成果。多域分层入侵检测表示如图 4 所示。

图 4 多域分层入侵检测示用意

新架构方案中，域控制器既是整个域的计算集成平台，也是域与域、域与云端之间启动消息交流的网关。域控制器作为汽车内外网络消息交互的安保边界，是汽车车载网络安保防护的重点。因此，在安保边 界建设安保防火墙，对数据消息启动安保检测、访问限度、日志记载等安保性检测，以成功安保防护。

汽车的通讯报文由 ID、数据消息、校验位等局部组成。ID 确定报文的传输优先级和目的地址，数据消息确定操作指令，校验位确保传输的数据消息完整。

安保防火墙的关键作用是成功访问控制性能，汽车安保防火墙框架图如图 5 所示。

防火墙访问控制性能的成功关键基于建设汽车通讯报文的白名复数据库，一旦检测到报文恳求，将报文 ID 与白名复数据库启动比对，婚配成功则经过，失败则摈弃。

防火墙的意外检测技术有多种，经常出现的检测技术包含入侵意外检测方法，基于神经网络、聚类、遗传算法，基于消息熵、关联规定等。入侵意外检测方法关键经过对少量反常行驶的汽车的通讯数据启动剖析，构建汽车通讯网络安保模型，并用该模型监督用户及系统的行为，剖析能否存在意外的合法数据优惠，并向用户报警记载。汽车报文分为周期报文和事情触发报文，入侵意外检测技术可以依据不同状况建设模型。周期报文是经过设定报文周期阈值构建入侵检测模型，将报文周期与阈值对比启动判定；事情触发报文没有固定的发送周期，但少数报文的操作指令相互关联，如汽车的车速信号与刹车信号存在负相关相关，油门踏板信号与车信号存在正相关相关。因此， 经过少量的数据剖析构建通讯报文正/负相关入侵检测模型，一旦报文关联出现较大的偏向，则判定为入侵行为并报警。由于汽车车载芯片的计算才干无余以同时成功安保性与实时性的最大化，因此现驳回的入侵检测的方法须要在保证明时性的基础上，对入侵启动有效检测，目前针对汽车车载报文流量监测是最为有效的方法。安保防火墙中访问控制、通讯规范检测、意外剖析的入侵检测流程如 6 所示。

每个域内网络传输安保是安保防护机制的第二道防线。依据性能域所须要的通讯要求的不同，驳回的车载传输网络也有所不同。目前，除了消息文娱系统以外，大都驳回 CAN 总线通讯。CAN 总线的广播特性、非破坏性总线仲裁模式等造成安保防护单薄，因此须要制订通讯安保协定。

通讯安保协定的设计关键由 ECU 节点的校验和传输数据消息的加密 2 局部组成。在汽车行驶前，域控制器随机调配每个 ECU 的身份，ECU 要向域控制器发送认证恳求，启动身份认证，从而保证节点的合法性，成功 ECU 节点的校验。汽车行驶环节中，车载网络的通讯消息须要加密，以防攻打者窃听、伪装。联合汽车对实时性要求高的特点，数据加密驳回 AES 对称加密算法。ECU 身份认证流程如图 7 所示，CAN 通讯加密报文格局如图 8 所示。

对称加密计算量小、速度快，实用于汽车大数据通讯。对称加密算法中，加密方和解密方事前都必定知道加密的密钥，发送和接纳双方都经常使用该密钥对数据进 行加密和解密。基于对汽车数据的安保性和实时性的 要求，可以依据已校验成功的 ECU ID 以及数据发送 ECU 和接纳 ECU，建设独立的加密表作为密钥对数据启动加密，并依据对汽车实时性的验证，相应调整加密表的加密难易度，最大化地保证数据的安保。

ECU 层面的安保防护关键是固件防护，成功防止固件刷写、外界访问、恶意更改等性能。思考到老本疑问，依据不同性能的 ECU 需调配不等同级的安保防护措施。配件安保模块是一种用于包全和治理强认证系统所经常使用的密钥，并同时提供相关明码学操作的计算机配件设备。车身域 ECU 驳回轻量级配件安保模块，动力域 ECU、消息文娱域 ECU、辅佐驾驶域均驳回中量级配件安保模块，而车身域控制器、动力域控制器、消息文娱域控制器和辅佐驾驶域控制器均驳回重量级配件安保模块。

5 结语

本文从智能网联汽车的开展登程，聚焦了智能网联汽车的消息安保隐患疑问，对汽车车载网络消息安保的防护启动了剖析，建设汽车域集中式电子电气架构，提出了从防护到入侵检测、从数据加密到配件加密的完整消息安保防护模型的初步可行性方案架构，未来仍需经过实例对方案启动更进一步的论证。