车内异构网络安全通信控制方法、计算机设备及存储介质

1.本发明属于通信网络安全技术领域，尤其涉及一种车内异构网络安全通信控制方法、计算机设备及存储介质。


背景技术：

2.目前，随着智能网联汽车的迅速发展，以新能源汽车为代表的新一代智能网联汽车的数量急剧增加，汽车内部异构网络的安全防护问题也成为不可忽视的一大问题。智能网联汽车由于网络节点类型多元、身份标识缺失、认证场景多样、计算带宽等资源严重受限等问题，汽车内部网络的安全通信受到巨大威胁，严重影响汽车的行驶安全，给人民的生命财产安全带来潜在威胁。
3.为了解决汽车内部网络的安全问题，国内外研究者已提出了多种方案。例如结合机器学习技术设计汽车内部网络入侵检测机制。入侵检测机制需要大量的实际数据作为检测模型训练的输入，且训练时间成本高、计算消耗大、模型本身存储成本较大；同时，利用模型进行入侵检测不能保证瞬时性和100％的准确性，因此在遭遇恶意攻击后存在一定的时间延迟，并存在漏检、错检的情况。考虑到智能驾驶汽车内部网络异构性、接口开放性、ecu种类多样性等特点，入侵检测机制不能针对多类型网络节点进行统一的身份管理，缺乏全方位多层次的实体身份认证协议和网络节点密钥协商机制。因此，设计一种车内网络安全通信防护方案是车联网(汽车内部网络)面临的一个关键问题。
4.通过上述分析，现有技术存在的问题及缺陷为：现有技术没有充分考虑智能驾驶汽车内部网络异构性、接口开放性、ecu种类多样性等特点，不能针对多类型网络节点进行统一的身份管理，缺乏全方位多层次的实体身份认证协议和网络节点密钥协商机制。


技术实现要素：

5.针对现有技术存在的问题，本发明提供了一种车内异构网络安全通信控制方法、计算机设备及存储介质。
6.本发明是这样实现的，一种车内异构网络安全通信控制方法，所述车内异构网络安全通信控制方法包括：
7.步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；
8.步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
9.进一步，所述步骤一中，节点身份注册包括车内网络网关、车内网络ecu节点的身份注册。
10.进一步，所述步骤一中，节点身份注册具体过程为：
11.整车can网关，记为v-g，维护所有can网关列表；单条can网关，记为g_i，维护自身ecu列表；单个ecu，记为ecui，维护自身订阅的ecu列表用以对接受方的报文过滤；
12.ecu标识用ecu-id表示，作为车内每个ecu对唯一标识符；编码长度8位，前3位表示
所在域，后5位表示ecu序号；
13.采用十六进制表示，0x41—0b01000001表示0b010域第一个ecu；
14.can网关作为特殊ecu，标识为第0个ecu，0x40；设立敏感阈值ecu-id_s，ecu-id《ecu-id_s的记为敏感ecu。
15.进一步，所述编码长度8位，前3位表示所在域为单一can或多can组成的关键群组。
16.进一步，所述步骤二中，节点身份认证包括车内网络网关、车内网络ecu节点的身份认证或群组认证。
17.进一步，所述步骤二中，节点身份认证按照需要进行选择，当因场景受限，省略身份认证，并将每一条车内网络总线视为一个群组。
18.进一步，所述步骤二中，节点身份认证具体过程为：
19.v-g、gi、ecui内置一个加密初始对称长期密钥ski，一个群组认证初始对称长期密钥gk；
20.每次通电后，v-g生成本次群组认证密钥current group key(cgk)，用gk加密后将e(gk,cgk)通发送给gi；
21.gi解密cgk计算mac(cgk,g
id
)并发送到v-g，v-g验证mac通过后，发送ack，gi加入群组，完成身份认证；
22.gi将e(gk,cgk)广播给ecui，ecui收到后，用gk解密获取cgk，计算mac(cgk,ecu-id)，发送到gi，gi验证mac通过后，发送ack，ecui加入群组，完成身份认证。
23.本发明的另一目的在于提供一种计算机设备，其特征在于，所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行如下步骤：
24.步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；
25.步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
26.本发明的另一目的在于提供一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行如下步骤：
27.步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；
28.步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
29.本发明的另一目的在于提供一种信息数据处理终端，其特征在于，所述信息数据处理终端用于执行所述车内异构网络安全通信控制方法。
30.结合上述的技术方案和解决的技术问题，请从以下几方面分析本发明所要保护的技术方案所具备的优点及积极效果为：
31.第一、针对上述现有技术存在的技术问题以及解决该问题的难度，紧密结合本发明的所要保护的技术方案以及研发过程中结果和数据等，详细、深刻地分析本发明技术方案如何解决的技术问题，解决问题之后带来的一些具备创造性的技术效果。具体描述如下：
32.本发明针对汽车内部网络节点类型多样化、身份标识缺失的特点，结合车内网络总线数据传输帧格式，提出适用于汽车内部网络的多类型网络节点统一身份注册方法和身份认证协议，支持ecu节点的可信认证与节点间消息的安全传输。本发明由于是针对can总
线的特点进行设计，以can总线为例展开说明，不改变原始can协议和报文帧结构，对现有汽车类型适配性好；可扩展性强，本发明可以扩展至其他类型车内网络总线场景。
33.第二，把技术方案看做一个整体或者从产品的角度，本发明所要保护的技术方案具备的技术效果和优点，具体描述如下：
34.本发明结合智能汽车车载软件和网络架构的复杂异构化、网络节点类型多元、身份标识缺失、认证场景多样、计算带宽等资源严重受限等特点，提出了车内网络节点身份注册方法和车内网络节点身份认证方法，实现了汽车内部网络实体间的相互认证，解决了资源受限场景下车内网络的节点认证问题，确保外部访问实体和内部网络节点的合法性。
35.第三，作为本发明的权利要求的创造性辅助证据，还体现在以下几个重要方面：
36.(1)本发明的技术方案转化后的预期收益和商业价值为：
37.本发明提供了一种车内异构网络安全通信控制方法、计算机设备及存储介质。所述车内异构网络安全通信控制方法包括参与车内网络节点身份注册和车内网络节点身份认证，该方法以目前应用最广泛的汽车总线can bus为例展开说明，可适用于行业内包括所有以can bus作为车内总线的汽车品牌，并可以此为原型，稍作修改适用于其他总线类型的汽车，适用范围十分广泛。汽车厂商使用本方法后，可实现对车内网络节点的身份管理和身份认证，避免绝大多数汽车内部网络攻击行为，极大提升汽车行驶安全，保障用户人身财产安全。
38.(2)本发明的技术方案解决了人们一直渴望解决、但始终未能获得成功的技术难题：
39.本发明解决了由于其汽车内部网络带宽资源有限、网络节点计算能力严重受限、网络节点多元化导致的汽车内部网络缺乏节点身份管理、身份认证机制的问题，从而避免针对汽车内部网络的伪造攻击、假冒攻击、中间人攻击等众多攻击类型。
附图说明
40.图1是本发明实施例提供的车内异构网络安全通信控制方法流程图。
41.图2是本发明实施例提供的网络节点身份注册过程示意图。
42.图3是本发明实施例提供的网络节点身份认证过程示意图。
具体实施方式
43.为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
44.一、解释说明实施例。为了使本领域技术人员充分了解本发明如何具体实现，该部分是对权利要求技术方案进行展开说明的解释说明实施例。
45.如图1所示，本发明实施例提供的车内异构网络安全通信控制方法包括：
46.s101：参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册。
47.s102：参与车内网络数据传输的节点完成车内网络节点身份认证。
48.本发明实施例提供的s101中，节点身份注册包括车内网络网关、车内网络ecu等节
点的身份注册。
49.本发明实施例提供的s101中，节点身份注册具体过程为：
50.整车can网关，记为v-g，维护所有can网关列表；单条can网关，记为gi，维护自身ecu列表；单个ecu，记为ecui，维护自身订阅的ecu列表用以对接受方的报文过滤；
51.ecu标识用ecu-id表示，作为车内每个ecu对唯一标识符；编码长度8位，前3位表示所在域(可以为单一can，或多can组成的关键群组)，后5位表示ecu序号。
52.采用十六进制表示，如0x41—0b01000001表示0b010域第一个ecu。
53.can网关作为特殊ecu，标识为第0个ecu，0x40；设立敏感阈值ecu-id_s，ecu-id《ecu-id_s的记为敏感ecu。
54.本发明实施例提供的s102中，节点身份认证包括车内网络网关、车内网络ecu等节点的身份认证或群组认证。
55.本发明实施例提供的s102中，节点身份认证按照需要进行选择，当因场景受限，省略身份认证，并将每一条车内网络总线视为一个群组，以满足对安全等级要求不高的场景和车内网络计算带宽资源稀缺的场景。
56.本发明实施例提供的s102中，节点身份认证具体过程为：
57.v-g、gi、ecui内置一个加密初始对称长期密钥ski，一个群组认证初始对称长期密钥gk。
58.每次通电后，v-g生成本次群组认证密钥current group key(cgk)，用gk加密后将e(gk,cgk)通发送给gi；
59.gi解密cgk计算mac(cgk,g
id
)并发送到v-g，v-g验证mac通过后，发送ack，gi加入群组，完成身份认证；
60.gi将e(gk,cgk)广播给ecui，ecui收到后，用gk解密获取cgk，计算mac(cgk,ecu-id)，发送到gi，gi验证mac通过后，发送ack，ecui加入群组，完成身份认证。
61.二、应用实施例。为了证明本发明的技术方案的创造性和技术价值，该部分是对权利要求技术方案进行具体产品上或相关技术上的应用实施例。
62.本发明实施例提供的一种车内网络网关设备，所述车内网络网关设备包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行如下步骤：步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
63.本发明实施例提供的一种车内网络节点设备，所述车内网络节点设备包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行如下步骤：步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
64.本发明实施例提供的一种车内网络ecu设备，所述车内网络ecu设备包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行如下步骤：步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；步骤二，参与车内网络数据传输的节点完成车内
网络节点身份认证。
65.本发明实施例提供的一种计算机设备，所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行如下步骤：步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
66.本发明实施例提供的一种车内网络网关可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行如下步骤：步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
67.本发明实施例提供的一种车内网络ecu可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行如下步骤：步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
68.本发明实施例提供的一种车内网络节点可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行如下步骤：步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
69.本发明实施例提供的一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行如下步骤：步骤一，参与车内网络数据传输的节点在车内网关的协助下完成车内异构网络安全通信控制的节点身份注册；步骤二，参与车内网络数据传输的节点完成车内网络节点身份认证。
70.本发明实施例提供的一种信息数据处理终端，所述信息数据处理终端用于执行所述车内异构网络安全通信控制方法。
71.三、实施例相关效果的证据。本发明实施例在研发或者使用过程中取得了一些积极效果，和现有技术相比的确具备很大的优势，下面内容结合试验过程的数据、图表等进行描述。
72.本发明实施例借助车内网络网关进行节点身份注册，十分适合目前车内网络中网关计算、存储能力强，其他节点计算、存储能力弱的特点，并可以在身份注册环节确定敏感ecu，进行后续处理。本发明实施例通过节点身份认证，保障了车内网络节点的真实性、合法性，确保只有经过认证的节点才能参与车内网络通信，未经注册的非法节点无法参与车内网络通信，无法获取车内网络通信消息，从而大大减少针对车内网络无身份管理、无身份认证而造成的外部恶意攻击。
73.应当注意，本发明的实施方式可以通过硬件、软件或者软件和硬件的结合来实现。硬件部分可以利用专用逻辑来实现；软件部分可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域的普通技术人员可以理解上述的设备和方法可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、cd或dvd-rom的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本发明的设备及其模块可以由诸如超大规模
集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用由各种类型的处理器执行的软件实现，也可以由上述硬件电路和软件的结合例如固件来实现。
74.以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，都应涵盖在本发明的保护范围之内。