车载以太网检测防御方法及装置与流程

1.本公开涉及汽车技术领域，具体而言，涉及一种车载以太网检测防御方法及装置。


背景技术：

2.随着车载网络技术的发展，车辆已经从一个与外界无任何网络连接的独立个体转变成互联网的一部分，正因如此，才能完成软件在线升级、智能驾驶、辅助驾驶等功能，并提供车载娱乐等服务。虽然加入网络可以使车辆方便提供更多更灵活的服务，但同时也给非法入侵提供了可能，所以有必要在车载网络中引入主机入侵检测防御系统。
3.传统的主机入侵解决方案为cs架构，即客户端和服务器端的组成架构。执行入侵检测防御客户端可以进行系统监测，当发现本系统被入侵时，生成入侵检测防御报告，发送给入侵检测防御服务端。车辆中部署有不同功能的ecu(electronic control unit，电子控制单元)，虽然这些ecu的计算能力，存储空间等有强有弱，不过都是独立的计算机系统，存在被入侵的可能。为了提高ecu的安全性，目前的方案是在每个ecu上都部署入侵检测防御客户端，在远端中心部署入侵检测防御服务端，并且每个ecu均与远端中心建立独立的通信连接，远端中心还会将整个车辆所需的所有入侵检测防御文件分别发送给每个ecu，以实现系统监测。如图1所示，假设车辆1和车辆2均包括3个ecu，那么每辆车就需要建立3个通信连接。
4.然而，上述入侵检测防御方法存在如下问题：
5.(1)随着车辆功能的丰富，车内ecu的数量和种类也在增加，目前已经达到一个车内部署近200个ecu的规模。因此，远端中心需要维护的连接数大大增加，非常消耗远端中心的运算能力。
6.(2)车内所有ecu均与车外实体存在通信，会增加车辆被入侵的风险。
7.(3)车内多个ecu的地位平等，对远端中心来说均是独立的入侵检测防御客户端，在远端中心上难以将属于同一辆车的多个ecu关联起来呈现整车效果。
8.(4)实际应用中，每个ecu可能只需要部分入侵检测防御文件，且每个ecu所需的入侵检测防御文件可能不同。因此，将所有入侵检测防御文件分别发送给各个ecu还会造成资源浪费。


技术实现要素：

9.本公开提供了一种车载以太网检测防御方法及装置，能够解决相关技术中远端中心需要维护的连接数多、车辆被入侵风险大、难以将属于同一辆车的多个ecu关联起来呈现整车效果以及存在资源浪费的问题。
10.具体的技术方案如下：
11.第一方面，本公开实施例提供了一种车载以太网检测防御方法，所述方法应用于远程信息处理器tbox，在所述tbox通过公网与远端中心建立通信连接，所述tbox通过车载以太网与电子控制单元ecu建立通信连接之后，所述tbox启动传输控制协议tcp端口侦听服
务，所述方法包括：
12.接收所述ecu发送的第一注册请求，其中，所述第一注册请求包括所述ecu的ecu标识、所述ecu申请加入的至少一个入侵检测防御子组的第一组名；
13.在确定所述第一组名已创建且根据所述ecu标识确定所述ecu未注册所述第一组名对应的所述入侵检测防御子组的情况下，将所述第一组名对应的入侵检测防御文件同步给所述ecu，其中，所述第一组名对应的入侵检测防御文件是所述tbox从所述远端中心获取的。
14.在一种实施方式中，在将所述第一组名对应的入侵检测防御文件同步给所述ecu之前，所述方法还包括：
15.向所述远端中心发送第二注册请求，其中，所述第二注册请求包括所述tbox所属车辆的整车标识、所述tbox申请加入的至少一个入侵检测防御组的第二组名，所述入侵检测防御组包括至少一个所述入侵检测防御子组；
16.在所述远端中心确定所述第二组名已创建且根据所述整车标识确定所述车辆未注册所述第二组名对应的所述入侵检测防御组的情况下，接收所述远端中心发送的所述第二组名对应的入侵检测防御文件。
17.在一种实施方式中，所述方法还包括：
18.在所述远端中心确定所述至少一个入侵检测防御组对应的入侵检测防御文件发生变化的情况下，接收所述远端中心发送的更新后的所述至少一个入侵检测防御组对应的入侵检测防御文件；
19.其中，当所述远端中心确定上次计算的所述至少一个入侵检测防御组对应的所有入侵检测防御文件的哈希值与本次计算的所述至少一个入侵检测防御组对应的所有入侵检测防御文件的哈希值不同时，所述远端中心确定所述至少一个入侵检测防御组对应的入侵检测防御文件发生变化。
20.在一种实施方式中，在接收所述远端中心发送的所述第二组名对应的入侵检测防御文件之后，所述方法还包括：
21.定时计算所述ecu申请加入的所述至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值；
22.当上次计算的所述至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值与本次计算的所述至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值不同时，向所述ecu发送更新后的所述至少一个入侵检测防御子组对应的入侵检测防御文件。
23.在一种实施方式中，所述方法还包括：
24.接收所述ecu发送的入侵检测防御报告，其中，所述入侵检测防御报告包括预设标识、所述ecu的ecu标识和入侵检测防御数据，所述预设标识所对应的字段为整车标识字段且所述预设标识的内容为0或空；
25.在将所述预设标识更改为所述整车标识之后，将更改后的所述入侵检测防御报告发送给所述远端中心，以使所述远端中心确定与所述入侵检测防御数据匹配的防御规则；
26.接收所述远端中心根据所述防御规则下发的防御指令信息，其中，所述防御指令信息包括所述整车标识、所述ecu标识和防御指令；
27.在确定所述整车标识为自身车辆的所述整车标识的情况下，将所述防御指令发送给所述ecu标识对应的所述ecu，以使所述ecu执行所述防御指令。
28.在一种实施方式中，在向所述远端中心发送第二注册请求之前，所述方法还包括：
29.基于安全套接字协议对所述远端中心进行身份认证，并在身份认证成功时，生成第一对称密钥，以使所述tbox与所述远端中心之间使用所述第一对称密钥对通信信息进行加解密。
30.在一种实施方式中，在接收ecu发送的第一注册请求之前，所述方法还包括：
31.接收所述ecu生成的第二对称密钥，以使所述tbox与所述ecu之间使用所述第二对称密钥对通信信息进行加解密，其中，所述第二对称密钥是在所述ecu基于安全套接字协议对所述tbox身份认证成功后生成的。
32.在一种实施方式中，所述方法还包括：
33.在自身的入侵检测防御客户端启动过程中，读取自身的设备标识；
34.在确定所述自身的设备标识与所述tbox标识相同的情况下，启动所述tbox的特定功能。
35.在一种实施方式中，多个所述ecu被划分为至少一个等级，每个等级包括至少一个所述ecu，且高等级的ecu用于管理低等级ecu的入侵检测防御文件，所述ecu的等级根据车载组网信息和/或业务种类进行划分。
36.第二方面，本公开实施例提供了一种车载以太网检测防御装置，所述装置应用于远程信息处理器tbox，所述装置包括：
37.侦听单元，用于在所述tbox通过公网与远端中心建立通信连接，所述tbox通过车载以太网与电子控制单元ecu建立通信连接之后，启动传输控制协议tcp端口侦听服务；
38.接收单元，用于接收所述ecu发送的第一注册请求，其中，所述第一注册请求包括所述ecu的ecu标识、所述ecu申请加入的至少一个入侵检测防御子组的第一组名；
39.同步单元，用于在确定所述第一组名已创建且根据所述ecu标识确定所述ecu未注册所述第一组名对应的所述入侵检测防御子组的情况下，将所述第一组名对应的入侵检测防御文件同步给所述ecu，其中，所述第一组名对应的入侵检测防御文件是tbox从所述远端中心获取的。
40.在一种实施方式中，所述装置还包括：
41.第一发送单元，用于在将所述第一组名对应的入侵检测防御文件同步给所述ecu之前，向所述远端中心发送第二注册请求，其中，所述第二注册请求包括所述tbox所属车辆的整车标识、所述tbox申请加入的至少一个入侵检测防御组的第二组名，所述入侵检测防御组包括至少一个所述入侵检测防御子组；
42.接收单元，还用于在所述远端中心确定所述第二组名已创建且根据所述整车标识确定所述车辆未注册所述第二组名对应的所述入侵检测防御组的情况下，接收所述远端中心发送的所述第二组名对应的入侵检测防御文件。
43.在一种实施方式中，所述接收单元，还用于在所述远端中心确定所述至少一个入侵检测防御组对应的入侵检测防御文件发生变化的情况下，接收所述远端中心发送的更新后的所述至少一个入侵检测防御组对应的入侵检测防御文件；
44.其中，当所述远端中心确定上次计算的所述至少一个入侵检测防御组对应的所有
入侵检测防御文件的哈希值与本次计算的所述至少一个入侵检测防御组对应的所有入侵检测防御文件的哈希值不同时，所述远端中心确定所述至少一个入侵检测防御组对应的入侵检测防御文件发生变化。
45.在一种实施方式中，所述装置还包括：
46.计算单元，用于在接收所述远端中心发送的所述第二组名对应的入侵检测防御文件之后，定时计算所述ecu申请加入的所述至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值；
47.第一发送单元，用于当上次计算的所述至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值与本次计算的所述至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值不同时，向所述ecu发送更新后的所述至少一个入侵检测防御子组对应的入侵检测防御文件。
48.在一种实施方式中，所述接收单元，还用于接收所述ecu发送的入侵检测防御报告，其中，所述入侵检测防御报告包括预设标识、所述ecu的ecu标识和入侵检测防御数据，所述预设标识所对应的字段为整车标识字段且所述预设标识的内容为0或空；
49.所述装置还包括：
50.第二发送单元，用于在将所述预设标识更改为所述整车标识之后，将更改后的所述入侵检测防御报告发送给所述远端中心，以使所述远端中心确定与所述入侵检测防御数据匹配的防御规则；
51.接收单元，还用于接收所述远端中心根据所述防御规则下发的防御指令信息，其中，所述防御指令信息包括所述整车标识、所述ecu标识和防御指令；
52.第二发送单元，还用于在确定所述整车标识为自身车辆的所述整车标识的情况下，将所述防御指令发送给所述ecu标识对应的所述ecu，以使所述ecu执行所述防御指令。
53.在一种实施方式中，所述装置还包括：
54.认证单元，用于在向所述远端中心发送第二注册请求之前，基于安全套接字协议对所述远端中心进行身份认证；
55.生成单元，用于在身份认证成功时，生成第一对称密钥，以使所述tbox与所述远端中心之间使用所述第一对称密钥对通信信息进行加解密。
56.在一种实施方式中，所述接收单元，还用于在接收所述ecu发送的第一注册请求之前，接收所述ecu生成的第二对称密钥，以使所述tbox与所述ecu之间使用所述第二对称密钥对通信信息进行加解密，其中，所述第二对称密钥是在所述ecu基于安全套接字协议对所述tbox身份认证成功后生成的。
57.在一种实施方式中，所述装置还包括：
58.读取单元，用于在自身的入侵检测防御客户端启动过程中，读取自身的设备标识；
59.启动单元，用于在确定所述自身的设备标识与所述tbox标识相同的情况下，启动所述tbox的特定功能。
60.在一种实施方式中，多个所述ecu被划分为至少一个等级，每个等级包括至少一个所述ecu，且高等级的ecu用于管理低等级ecu的入侵检测防御文件。
61.第三方面，本公开实施例提供了一种车载以太网检测防御系统，所述系统包括至少一个电子控制单元ecu、远程信息处理器tbox和远端中心，所述tbox用于执行第一方面任
一实施方式所述的方法。
62.第四方面，本公开的另一个实施例提供了一种存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器实现如第一方面任一实施方式所述的方法。
63.由上述内容可知，本公开实施例提供的车载以太网检测防御方法及装置，能够在tbox分别通过公网与远端中心建立通信连接，通过车载以太网与ecu建立通信连接之后，启动tcp端口侦听服务，从而由tbox作为数据转发中心，接收ecu发送的第一注册请求，其中，第一注册请求包括ecu的ecu标识、ecu申请加入的至少一个入侵检测防御子组的第一组名，在确定第一组名已创建且根据ecu标识确定ecu未注册第一组名对应的入侵检测防御子组的情况下，将从远端中心获取的第一组名对应的入侵检测防御文件同步给ecu。由此可知，本公开实施例中每辆车只需与远端中心建立一个连接，即tbox与远端中心的连接，而无需车辆中每个ecu均与远端中心建立连接，从而大大降低了远端中心需要维护的连接数，减少了远端中心的负载和运算力的消耗，并且降低了车辆被外界入侵的风险。并且由于tbox作为数据转发中心与远端中心进行通信，远端中心是以整车形式存储每辆车涉及的所有入侵检测防御文件，所以可以在远端中心上将属于同一辆车的多个ecu关联起来呈现整车效果。此外，tbox还可以将从远端中心获取的入侵检测防御文件按照子组的形式分别发送给申请注册该子组的ecu，而无需盲目地将所有入侵检测防御文件均发送给每个ecu，进而可以避免资源浪费。
64.当然，实施本公开的任一产品或方法并不一定需要同时达到以上所述的所有优点。
附图说明
65.为了更清楚地说明本公开实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单介绍。显而易见地，下面描述中的附图仅仅是本公开的一些实施例。对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
66.图1为相关技术中提供的一种车载以太网检测防御系统架构图；
67.图2为本公开实施例提供的一种车载以太网检测防御系统架构图；
68.图3为本公开实施例提供的一种车载以太网检测防御方法的流程示意图；
69.图4为本公开实施例提供的另一种车载以太网检测防御方法的流程示意图；
70.图5为本公开实施例提供的一种车载以太网检测防御注册信息的示例图；
71.图6为本公开实施例提供的另一种车载以太网检测防御注册信息的示例图；
72.图7为本公开实施例提供的一种远端中心向tbox同步信息的方法流程图；
73.图8为本公开实施例提供的一种tbox向ecu同步信息的方法流程图；
74.图9为本公开实施例提供的又一种车载以太网检测防御方法的流程示意图；
75.图10为本公开实施例提供的一种车载以太网检测防御装置的组成框图。
具体实施方式
76.下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整的描述。显然，所描述的实施例仅仅是本公开的一部分实施例，而不是全部的实施例。基
于本公开中的实施例，本领域普通技术人员在没有付出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。
77.需要说明的是，本公开实施例及附图中的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。例如包含的一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其他步骤或单元。
78.图2为本公开实施例提供的一种车载以太网检测防御系统架构图，该系统包括至少一个ecu(electronic control unit，电子控制单元)11、tbox(telematicsbox，远程信息处理器)12和远端中心13，每个ecu11中部署有第一入侵检测防御客户端，tbox12中部署第二入侵检测防御客户端，远端中心13部署有入侵检测防御服务端。
79.需要说明的是，从广义上讲，tbox也属于ecu，本技术为了区分普通ecu和tbox，将除了tbox以外的ecu称为ecu，tbox称为tbox。远端中心可以为服务器，也可以为云端。ecu可以通过tbox间接与远端中心通信，tbox可以直接与远端中心通信。
80.下面为车载以太网检测防御系统的准备工作阶段：
81.第一准备阶段：配置准备
82.为了让整个车载以太网检测防御系统正常工作，在ecu、tbox、远端中心这三类计算机主体上首先部署或者配置表1所述的信息：
83.表1
84.[0085][0086]
上表中的信息较多，增加说明如下：
[0087]
(1)ecu的名称，以及tbox的名称在生产车辆的时候就已规划好。同一种型号的车辆，其内部ecu个数和分布是固定的，各个ecu的名称也可以固定。名称以字符串的形式表示，同一辆车内各个ecu的名称不可重复，但是多辆车之间ecu名称可以重复；
[0088]
(2)整车标识为车辆识别代码，也即俗称的车架号，全球范围内每辆车唯一，也是出厂就携带的信息；
[0089]
(3)在此入侵检测防御解决方案中，ecu和tbox之间，以及tbox和远端中心之间的ssl(secure sockets layer安全套接字协议)身份验证可以为单向身份验证，即ecu验证tbox的身份，tbox验证远端中心的身份，所以三个计算机实体上的证书部署如上表。ecu和tbox之间，以及tbox和远端中心之间的ssl身份验证还可以为双向身份验证，只是证书部署稍有不同。
[0090]
第二准备阶段：远端中心上的多级组部署
[0091]
此项准备工作是为后文中描述的组文件同步功能服务的，此处仅仅明确：应该在ecu以及tbox上的入侵检测防御功能启动之前就在远端中心部署整个车载以太网检测防御系统正常工作需要的文件和文件夹。具体如何部署请见后文中关于组文件同步功能的描述。
[0092]
第三准备阶段：车内多ecu角色选择
[0093]
在车内所有ecu和tbox上运行入侵检测防御客户端，各个设备需要明确知道自己是普通ecu身份还是tbox的身份，以便做不同的事情，比如普通ecu上无需启动tcp端口侦听服务，而tbox上需要启动tcp端口侦听服务。在入侵检测防御客户端启动阶段，依次读取自身的设备标识和本车的tbox标识。比较这两个标识，如果相等则启动tbox的特定功能，反
之，则启动ecu的普通功能。
[0094]
第四准备阶段：路由准备
[0095]
车内ecu和tbox之间路由可达，tbox和远端中心路由可达。
[0096]
下面对基于该系统架构的车载以太网检测防御过程进行阐述：
[0097]
图3为本公开实施例提供的一种车载以太网检测防御方法的流程示意图，该方法应用于tbox，在tbox分别通过公网与远端中心建立通信连接，通过车载以太网与ecu建立通信连接之后，启动tcp端口侦听服务，该方法还包括：
[0098]
s210：接收ecu发送的第一注册请求，其中，第一注册请求包括ecu的ecu标识、ecu申请加入的至少一个入侵检测防御子组的第一组名。
[0099]
其中，ecu标识为用于唯一标识本车内ecu的信息，例如可以为ecu名称。入侵检测防御子组可以理解为包括入侵检测防御文件的子文件夹，且该入侵检测防御子组在本车申请的加入的入侵检测防御组内。
[0100]
第一注册请求还可以包括ecu的ip地址，此项为可选项。携带的时候tbox将该ip地址和ecu标识进行关联，不携带该ip地址时，tbox采用收到的ip报文的源ip地址作为此项内容，并和ecu标识进行关联。
[0101]
在ecu向tbox发送第一注册请求之前，需要先建立两者的tcp连接。在上述准备工作中已经为ecu配置了tbox的ip地址以及开放的tcp端口，ecu上的入侵检测防御客户端启动后，主动向配置的tbox的ip地址和tcp端口发起tcp连接请求报文，并成功建立tcp连接。
[0102]
在建立连接后，tbox还可以接收ecu生成的第二对称密钥，以使tbox与ecu之间使用第二对称密钥对通信信息进行加解密，其中，第二对称密钥是在ecu基于安全套接字协议对tbox身份认证成功后生成的。由此使得各ecu和tbox之间建立了安全通道，从而提高了各ecu与tbox之间通信的安全性。
[0103]
s220：在确定第一组名已创建且根据ecu标识确定ecu未注册第一组名对应的入侵检测防御子组的情况下，将第一组名对应的入侵检测防御文件同步给ecu。
[0104]
其中，第一组名对应的入侵检测防御文件是tbox从远端中心获取的。在将第一组名对应的入侵检测防御文件同步给ecu之前，tbox可以先向该ecu发送注册应答报文，使得该ecu先获知注册成功，等待接收入侵检测防御文件即可，从而避免ecu在未收到入侵检测防御文件时就重新发起第一注册请求，造成资源浪费。
[0105]
本公开实施例中，可以在ecu申请加入的所有入侵检测防御子组的第一组名已创建且根据ecu标识确定ecu未注册待申请的所有入侵检测防御子组的情况下，才将申请加入的所有入侵检测防御子组对应的所有入侵检测防御文件同步给ecu，否则向ecu回应注册拒绝报文；也可以分别针对申请加入的单个入侵检测防御子组进行判断，若ecu申请加入的某入侵检测防御子组的第一组名已创建且该ecu未注册，则直接针对该入侵检测防御子组对应的入侵检测防御文件同步给ecu，而对于ecu申请加入的某入侵检测防御子组的第一组名未创建时，向ecu回应注册拒绝报文。在ecu收到注册拒绝报文后，可以启动定时器，定时向tbox发送第一注册请求直至注册成功。
[0106]
此外，tbox中可以创建一个管理列表，包括ecu标识、ip地址、已注册的第一组名等表项。当某ecu第一次发送第一注册请求时，该管理列表中没有该ecu的信息，则可以在该管理列表中增加该ecu的相关信息；当某ecu不是第一次发送第一注册请求时，该管理列表中
会存储该ecu的信息，则可以根据本次发送的第一注册请求(包含ecu标识和至少一个第一组名)、至少一个第一组名的创建情况以及该ecu对至少一个第一组名是否已注册情况，对该管理列表中该ecu的相关信息进行更新。
[0107]
在一种实施方式中，ecu接收到注册应答报文后，可以开启定时器，按照一定的间隔(由配置决定)向tbox发送心跳请求报文。ecu和tbox之间的数据报文的交互也被视为可达性检测的途径之一，也即在ecu上收到来自tbox的数据报文也会认为tbox可达，会以收到tbox数据报文的时间刷新心跳定时器的开始时间。tbox接收到心跳请求报文后，更新保存的此ecu的状态为active，并回复一个心跳应答报文。当ecu和tbox之间长时间没有数据报文交互时，ecu会发送心跳请求报文，以检测tbox的可达性。本公开实施例提供的车载以太网检测防御方法，能够在tbox分别通过公网与远端中心建立通信连接，通过车载以太网与ecu建立通信连接之后，启动tcp端口侦听服务，从而由tbox作为数据转发中心，接收ecu发送的第一注册请求，其中，第一注册请求包括ecu的ecu标识、ecu申请加入的至少一个入侵检测防御子组的第一组名，在确定第一组名已创建且根据ecu标识确定ecu未注册第一组名对应的入侵检测防御子组的情况下，将从远端中心获取的第一组名对应的入侵检测防御文件同步给ecu。由此可知，本公开实施例中每辆车只需与远端中心建立一个连接，即tbox与远端中心的连接，而无需车辆中每个ecu均与远端中心建立连接，从而大大降低了远端中心需要维护的连接数，减少了远端中心的负载和运算力的消耗，并且降低了车辆被外界入侵的风险。并且由于tbox作为数据转发中心与远端中心进行通信，远端中心是以整车形式存储每辆车涉及的所有入侵检测防御文件，所以可以在远端中心上将属于同一辆车的多个ecu关联起来呈现整车效果。此外，tbox还可以将从远端中心获取的入侵检测防御文件按照子组的形式分别发送给申请注册该子组的ecu，而无需盲目地将所有入侵检测防御文件均发送给每个ecu，进而可以避免资源浪费。
[0108]
在一种实施方式中，在将第一组名对应的入侵检测防御文件同步给ecu之前，tbox还需要从远端中心获取这些入侵检测防御文件，具体获取方法如图4所示：
[0109]
s310：tbox向远端中心发送第二注册请求，其中，第二注册请求包括tbox所属车辆的整车标识、tbox申请加入的至少一个入侵检测防御组的第二组名，入侵检测防御组包括至少一个所述入侵检测防御子组。
[0110]
第二注册请求还可以包括tbox的ip地址，此项为可选项。携带的时候远端中心将该ip地址和tbox标识进行关联，不携带该ip地址时，远端中心采用收到的ip报文的源ip地址作为此项内容，并和tbox标识进行关联。
[0111]
在tbox向远端中心发送第二注册请求之前，需要先建立两者的tcp连接。上述准备阶段已经为tbox配置了远端中心的ip地址以及开放的tcp端口，tbox上的入侵检测防御客户端启动后，主动向远端中心的ip地址和tcp端口发起tcp连接请求报文，并成功建立tcp连接。
[0112]
在建立连接后，tbox还可以基于安全套接字协议对远端中心进行身份认证，并在身份认证成功时，生成第一对称密钥，以使tbox与远端中心之间使用第一对称密钥对通信信息进行加解密。由此使得tbox和远端中心之间建立了安全通道，从而提高了tbox和远端中心之间通信的安全性。
[0113]
s320：在远端中心确定第二组名已创建且根据整车标识确定车辆未注册第二组名
对应的入侵检测防御组的情况下，tbox接收远端中心发送的第二组名对应的入侵检测防御文件。
[0114]
在一种实施方式中，可以在tbox申请加入的所有入侵检测防御组的第二组名已创建且根据整车标识确定tbox未注册待申请的所有入侵检测防御组的情况下，才将申请加入的所有入侵检测防御组对应的所有入侵检测防御文件同步给tbox，否则向tbox回应注册拒绝报文；也可以分别针对申请加入的单个入侵检测防御组进行判断，若tbox申请加入的某入侵检测防御组的第二组名已创建且该tbox未注册，则直接针对该入侵检测防御组对应的入侵检测防御文件同步给tbox，而对于tbox申请加入的某入侵检测防御组的第二组名未创建时，向tbox回应注册拒绝报文。在tbox收到注册拒绝报文后，可以启动定时器，定时向远端中心发送第二注册请求直至注册成功。
[0115]
与tbox相类似的，远端中心也可以创建一个管理列表，包括整车标识、已注册的第二组名、ip地址等表项。当某tbox第一次发送第二注册请求时，该管理列表中没有该tbox所属车辆的相关信息，则可以在该管理列表中增加该tbox所属车辆的相关信息；当某tbox不是第一次发送第二注册请求时，该管理列表中有该tbox所属车辆的相关信息，则可以根据第二注册请求、至少一个第二组名的创建情况以及该整车标识对应车辆对至少一个第二组名是否已注册情况，对该管理列表中该整车标识的相关信息进行更新。
[0116]
在接收远端中心发送的第二组名对应的入侵检测防御文件之前，远端中心可以先向该tbox发送注册应答报文，使得该tbox先获知注册成功，等待接收入侵检测防御文件即可，从而避免tbox在未收到入侵检测防御文件时就重新发起第二注册请求，造成资源浪费。需要补充的是，tbox等待接收入侵检测防御文件并非指tbox执行等待任务，而是指tbox无需再重新发起第二注册请求，可以直接执行其他任务，当接收到远端中心发送的预设格式的报文时，便可获知该报文是入侵检测防御文件。
[0117]
在tbox接收到注册应答报文后，可以开启定时器，按照一定的间隔(由配置决定)向远端中心发送心跳请求报文。tbox和远端中心之间的数据报文的交互也被视为可达性检测的途径之一，也即在tbox上收到来自远端中心的数据报文也会认为远端中心可达，会以收到远端中心数据报文的时间刷新心跳定时器的开始时间。远端中心收到心跳请求报文后，更新保存的tbox的状态为active，并回复一个心跳应答报文。当tbox和远端中心之间长时间没有数据报文交互时，tbox会发送心跳请求报文，以检测远端中心的可达性。
[0118]
在一种实施方式中，一个入侵检测防御组可以为一个文件夹，该入侵检测防御组中的每个入侵检测防御子组可以为子文件夹，入侵检测防御文件包括主机防入侵可执行文件、病毒特征库文件、主机入侵检测防御配置文件等。
[0119]
ecu和tbox加入的组在注册阶段决定。图5展示了一个注册过程的例子：车辆1和车辆2。车辆1上有3个ecu和1个tbox运行着入侵检测防御客户端；车辆2上有2个ecu和1个tbox运行着入侵检测防御客户端。车辆1上的3个ecu的ecu标识分别是aa00-1、aa00-2和aa00-3，tbox标识为ta00-1，整车标识为lfwsrxrjol1e00001。车辆2上的2个ecu的ecu标识为re00-1和re00-2，tbox标识为te00-1，整车标识为lfwsrxrjol1e00002。
[0120]
车辆1内3个ecu向tbox注册时携带的组信息，车辆2的2个ecu向tbox注册时携带的组信息，以及两个车辆的tbox向远端中心注册时携带的组信息如4图所示，不再赘述。
[0121]
如图5所示的注册信息，要求在远端中心上部署的组信息如下：
[0122]
至少存在3个入侵检测防御组：common，ta00-1，te00-1；
[0123]
在组ta00-1中至少包括4个入侵检测防御子组：common1，aa00-1，aa00-2，aa00-3；
[0124]
在组te00-1中至少包括3个入侵检测防御子组：common2，re00-1，re00-2；
[0125]
组common中的入侵检测防御文件适用于车辆1车型以及车辆2车型的tbox；组ta00-1内的入侵检测防御文件适用于车辆1车型的tbox；组te00-1内的入侵检测防御文件适用于车辆2车型的tbox；ta00-1内的入侵检测防御子组common1内的入侵检测防御文件适用于车辆1车型内的ecu1、ecu2和ecu3；ta00-1内的入侵检测防御子组aa00-1内的入侵检测防御文件适用于车辆1车型内的ecu1。其他以此类推。
[0126]
此示例对应的远端中心上组文件夹目录如图6所示，其中目录中的文件根据实际应用情况放置即可，图中的文件仅为示例。
[0127]
需要说明的是，图5和图6是采用字符串的形式表示第一组名、第二组名、ecu标识、tbox标识、整车标识、入侵检测防御文件的文件名(如hids-cartype1-ecu1-function-1)等信息，并非特指某英文缩写或英文单词。当然，在实际应用中，也可以采用中文表示这些名称或标识，本公开实施例对名称和标识的具体呈现形式不做限定。
[0128]
本公开实施例提供的车载以太网检测防御方法，能够由tbox以组的形式向远端中心注册tbox所属车辆所需的入侵检测防御文件，从而只需获取该车辆所需的入侵检测防御文件即可，而无需获取其他无关的入侵检测防御文件，从而进一步避免资源浪费。
[0129]
在一种实施方式中，当管理员想为某一辆车增加、修改或者删除某项入侵检测防御功能的时候，管理员无需跑到实车跟前操作，只需在远端中心上，在该车辆对应的组下增加、修改或者删除此项入侵检测防御功能相关的入侵检测防御文件即可。当管理员对远端中心中存储的入侵检测防御文件进行更新后，远端中心需要将相关信息同步给车辆。具体实现方式可以为：在远端中心确定至少一个入侵检测防御组对应的入侵检测防御文件发生变化的情况下，tbox接收远端中心发送的更新后的至少一个入侵检测防御组对应的入侵检测防御文件；其中，当远端中心确定上次计算的至少一个入侵检测防御组对应的所有入侵检测防御文件的哈希值与本次计算的至少一个入侵检测防御组对应的所有入侵检测防御文件的哈希值不同时，远端中心确定至少一个入侵检测防御组对应的入侵检测防御文件发生变化。其中，相邻两次计算哈希值的时间间隔，即定时器的周期，可以根据实际需求设定。哈希值是根据文件的内容的数据通过逻辑运算得到的数值，不同的文件(即使是相同的文件名)得到的哈希值是不同的，所以本公开实施例通过比较相邻两次计算的哈希值可以快速获知至少一个入侵检测防御组对应的入侵检测防御文件，而无需逐字逐句的对每个入侵检测防御文件中的内容进行比较，从而提高了tbox更新入侵检测防御文件的效率。
[0130]
在一种实施方式中，在接收远端中心发送的第二组名对应的入侵检测防御文件之后，tbox可以定时计算ecu申请加入的至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值；当上次计算的至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值与本次计算的至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值不同时，向ecu发送更新后的至少一个入侵检测防御子组对应的入侵检测防御文件。
[0131]
tbox从远端中心获取的更新后的入侵检测防御文件可能不止一个ecu所需的入侵检测防御文件，也可能包含了部分未更新的入侵检测防御文件，本公开实施例通过单独针对每个ecu申请加入的至少一个入侵检测防御子组对应的所有入侵检测防御文件进行哈希
值比较，可以有针对性地对每个ecu判断是否需要更新入侵检测防御文件，从而只需对需要更新的ecu发送更新后的入侵检测防御文件，而无需盲目地将远端中心发送的所有入侵检测防御文件进行更新，进而提高了ecu更新入侵检测防御文件的效率。
[0132]
在一种实施方式中，如图7所示，远端中心向tbox同步入侵检测防御文件过程中涉及的交互信息可以包括：
[0133]
s410：远端中心准备阶段-将多级组部署完毕；
[0134]
s420：tbox向远端中心发送第二注册请求；
[0135]
s430：远端中心向tbox发送注册应答报文；
[0136]
s440：远端中心启动组文件同步工作；
[0137]
s450：远端中心向tbox发送入侵检测防御组的入侵检测防御文件；
[0138]
s460：远端中心检测组内文件是否发生变化；
[0139]
s470：远端中心检测到组内文件发生变化时，向tbox发送更新后的入侵检测防御组的入侵检测防御文件。
[0140]
在一种实施方式中，如图8所示，tbox向ecu同步入侵检测防御文件过程中涉及的交互信息可以包括：
[0141]
s510：tbox从远端中心获取入侵检测防御组内的入侵检测防御文件；
[0142]
s520：ecu向tbox发送第一注册请求；
[0143]
s530：tbox向ecu发送注册应答报文；
[0144]
s540：tbox启动子组文件同步工作；
[0145]
s550：tbox向ecu发送入侵检测防御子组的入侵检测防御文件；
[0146]
s560：ecu检测子组内文件是否发生变化；
[0147]
s570：ecu检测到子组内文件发生变化时，向ecu发送更新后的入侵检测防御子组的入侵检测防御文件。
[0148]
在一种实施方式中，在各ecu获得所需的入侵检测防御文件后，入侵检测防御客户端基于入侵检测防御文件进行入侵检测，生成入侵检测防御报告，并通过tbox将入侵检测防御报告上传给远端中心，以使远端中心根据入侵检测防御报告对ecu进行远程保护。具体过程可以如图9所示：
[0149]
s610：tbox接收ecu发送的入侵检测防御报告。
[0150]
其中，入侵检测防御报告包括预设标识、ecu的ecu标识和入侵检测防御数据，预设标识所对应的字段为整车标识字段且预设标识的内容为0或空。
[0151]
入侵检测防御报告中还包括报文传输过程中所需的ip头部信息和tcp头部信息。预设标识、ecu的ecu标识和入侵检测防御数据可以称为入侵检测防御报告中的消息体。
[0152]
如果车辆1上的ecu1发现了进程audit长达5秒的时间内占用系统cpu达到80％，则产生如文本一所述的json格式的消息体。vin值为空，携带的ecu名称为aa00-1。消息体可以是其他非json格式。
[0153]
文本一
[0154][0155]
s620：tbox将预设标识更改为整车标识。
[0156]
s630：将更改后的入侵检测防御报告发送给远端中心。
[0157]
s640：远端中心确定与入侵检测防御数据匹配的防御规则，并生成根据防御规则对应的防御指令信息。
[0158]
其中，防御指令信息包括整车标识、ecu标识和防御指令。
[0159]
在更改为具体的整车标识后，由文本一变为文本二。
[0160]
文本二
[0161][0162]
可以针对不同类型的入侵威胁或者系统异常配置不同的防御指令。当远端中心接收到tbox发送的入侵检测防御报告后，可以对入侵检测防御报告中的入侵检测防御数据进行分析，并与多种防御规则进行匹配，以得到匹配成功的防御规则对应的防御指令。
[0163]
示例性的，远端中心从车辆1的ecu1上报的入侵检测防御数据中发现地址为ip-a的用户在1分钟向ecu1发送了超过1000个ping报文，干扰了ecu1的正常工作，则下发防御指令给车辆1的ecu1，让其直接丢弃原ip为ip-a的所有报文。
[0164]
s650：tbox接收远端中心根据防御规则下发的防御指令信息。
[0165]
s660：在确定整车标识为自身车辆的整车标识的情况下，tbox将防御指令发送给ecu标识对应的ecu。
[0166]
s670：ecu执行防御指令。
[0167]
此外，tbox上也运行着入侵检测防御客户端，若该入侵检测防御客户端检测到入侵威胁或者发现了系统异常，tbox将入侵检测防御数据发送给远端中心。具体实现方法如下：
[0168]
tbox的入侵检测防御客户端检测到入侵威胁或者发现了系统异常后，tbox将生成包括整车标识、tbox标识以及入侵检测防御数据的入侵检测防御报告，并将该入侵检测防御报告上报给远端中心，tbox接收远端中心根据防御规则下发的防御指令信息，其中，防御指令信息包括整车标识、tbox标识和防御指令，当tbox确定防御指令信息包含tbox标识时，可以直接执行防御指令。
[0169]
本公开实施例提供的车载以太网检测防御方法，不仅能够通过tbox转发每个ecu的入侵检测防御报告，还可以基于远端中心对入侵检测防御报告进行自动分析，并通过tbox向对应的ecu下发防御指令，以使ecu通过执行防御指令实现自我防御。
[0170]
在一种实施方式中，一个车辆中的多个ecu可以被划分为至少一个等级，每个等级包括至少一个ecu，且高等级的ecu用于管理低等级ecu的入侵检测防御文件，ecu的等级根据车载组网信息和/或业务种类进行划分。
[0171]
车载组网信息中包含了各个ecu之间的连通关系和上下游关系，本公开实施例可以根据各个ecu的连通关系和上下游关系对ecu进行分级。例如，在连通的多个ecu中，可以设置位于上游的ecu的等级高于位于下游的ecu，对于同游的多个ecu，可以从中随机选择或者选择性能最高的ecu，并设置其等级高于同游的其他ecu。当同游的多个ecu数量较多时，还可以根据业务种类将同游的多个ecu划分成多个并列等级的小组，再从多个小组中选择等级较高的ecu。
[0172]
当车载组网信息表示各ecu互通且没有上下游时，还可以单独根据业务种类进行分级，例如先根据不同业务种类分别将多个ecu划分为不同小组，以使不同小组处理不同业务，再从同一个小组的多个ecu中随机选择或者选择性能最高的ecu，并设置其等级高于同一个小组的其他ecu。
[0173]
在具体实施过程中，可以由tbox执行对ecu等级的划分操作，也可以由远端中心执行对ecu等级的划分操作。
[0174]
低等级逐级向高等级ecu发送第一注册请求，最高等级的ecu将第一注册请求发送给tbox，由tbox发送给远端中心。tbox接收到至少一个入侵检测防御子组对应的入侵检测防御文件后，逐级向低等级ecu发送入侵检测防御文件，直至发送至入侵检测防御文件对应的ecu。当包括多个ecu等级时，入侵检测防御子组中还可以包括入侵检测防御二级子组、三级子组等。
[0175]
示例性的，一个车辆中包括5个ecu和1个tbox，ecu1和ecu2为第一等级的ecu，ecu3
和ecu4是ecu1管理的第二等级的ecu，ecu5是ecu2管理的第二等级的ecu。其中，第一等级高于第二等级。那么该车辆内部与远端中心之间存在3条通信连接，包括ecu3《——》ecu1《——》tbox《——》远端中心，ecu4《——》ecu1《——》tbox《——》远端中心，ecu5《——》ecu2《——》tbox《——》远端中心。
[0176]
本公开实施例提供的车载以太网检测防御方法，通过将ecu划分为至少一个等级，且高等级的ecu用于管理低等级ecu的入侵检测防御文件，可以降低tbox的管理负担，降低tbox运算力的消耗。
[0177]
基于上述方法实施例，本公开的另一实施例提供了一种车载以太网检测防御装置，如图10所示，所述装置应用于远程信息处理器tbox，所述装置包括：
[0178]
侦听单元70，用于在所述tbox通过公网与远端中心建立通信连接，所述tbox通过车载以太网与电子控制单元ecu建立通信连接之后，启动传输控制协议tcp端口侦听服务；
[0179]
接收单元71，用于接收ecu发送的第一注册请求，其中，所述第一注册请求包括所述ecu的ecu标识、所述ecu申请加入的至少一个入侵检测防御子组的第一组名；
[0180]
同步单元72，用于在确定所述第一组名已创建且根据所述ecu标识确定所述ecu未注册所述第一组名对应的所述入侵检测防御子组的情况下，将所述第一组名对应的入侵检测防御文件同步给所述ecu，其中，所述第一组名对应的入侵检测防御文件是tbox从所述远端中心获取的。
[0181]
在一种实施方式中，所述装置还包括：
[0182]
第一发送单元，用于在将所述第一组名对应的入侵检测防御文件同步给所述ecu之前，向所述远端中心发送第二注册请求，其中，所述第二注册请求包括所述tbox所属车辆的整车标识、所述tbox申请加入的至少一个入侵检测防御组的第二组名，所述入侵检测防御组包括至少一个所述入侵检测防御子组；
[0183]
接收单元71，还用于在所述远端中心确定所述第二组名已创建且根据所述整车标识确定所述车辆未注册所述第二组名对应的所述入侵检测防御组的情况下，接收所述远端中心发送的所述第二组名对应的入侵检测防御文件。
[0184]
在一种实施方式中，所述接收单元71，还用于在所述远端中心确定所述至少一个入侵检测防御组对应的入侵检测防御文件发生变化的情况下，接收所述远端中心发送的更新后的所述至少一个入侵检测防御组对应的入侵检测防御文件；
[0185]
其中，当所述远端中心确定上次计算的所述至少一个入侵检测防御组对应的所有入侵检测防御文件的哈希值与本次计算的所述至少一个入侵检测防御组对应的所有入侵检测防御文件的哈希值不同时，所述远端中心确定所述至少一个入侵检测防御组对应的入侵检测防御文件发生变化。
[0186]
在一种实施方式中，所述装置还包括：
[0187]
计算单元，用于在接收所述远端中心发送的所述第二组名对应的入侵检测防御文件之后，定时计算所述ecu申请加入的所述至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值；
[0188]
第一发送单元，用于当上次计算的所述至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值与本次计算的所述至少一个入侵检测防御子组对应的所有入侵检测防御文件的哈希值不同时，向所述ecu发送更新后的所述至少一个入侵检测防御子组
对应的入侵检测防御文件。
[0189]
在一种实施方式中，所述接收单元71，还用于接收所述ecu发送的入侵检测防御报告，其中，所述入侵检测防御报告包括预设标识、所述ecu的ecu标识和入侵检测防御数据，所述预设标识所对应的字段为整车标识字段且所述预设标识的内容为0或空；
[0190]
所述装置还包括：
[0191]
第二发送单元，用于在将所述预设标识更改为所述整车标识之后，将更改后的所述入侵检测防御报告发送给所述远端中心，以使所述远端中心确定与所述入侵检测防御数据匹配的防御规则；
[0192]
接收单元71，还用于接收所述远端中心根据所述防御规则下发的防御指令信息，其中，所述防御指令信息包括所述整车标识、所述ecu标识和防御指令；
[0193]
第二发送单元，还用于在确定所述整车标识为自身车辆的所述整车标识的情况下，将所述防御指令发送给所述ecu标识对应的所述ecu，以使所述ecu执行所述防御指令。
[0194]
在一种实施方式中，所述装置还包括：
[0195]
认证单元，用于在向所述远端中心发送第二注册请求之前，基于安全套接字协议对所述远端中心进行身份认证；
[0196]
生成单元，用于在身份认证成功时，生成第一对称密钥，以使所述tbox与所述远端中心之间使用所述第一对称密钥对通信信息进行加解密。
[0197]
在一种实施方式中，所述接收单元71，还用于在接收所述ecu发送的第一注册请求之前，接收所述ecu生成的第二对称密钥，以使所述tbox与所述ecu之间使用所述第二对称密钥对通信信息进行加解密，其中，所述第二对称密钥是在所述ecu基于安全套接字协议对所述tbox身份认证成功后生成的。
[0198]
在一种实施方式中，所述装置还包括：
[0199]
读取单元，用于在自身的入侵检测防御客户端启动过程中，读取自身的设备标识；
[0200]
启动单元，用于在确定所述自身的设备标识与所述tbox标识相同的情况下，启动所述tbox的特定功能。
[0201]
在一种实施方式中，多个所述ecu被划分为至少一个等级，每个等级包括至少一个所述ecu，且高等级的ecu用于管理低等级ecu的入侵检测防御文件。
[0202]
本公开实施例提供的车载以太网检测防御装置，能够在tbox分别通过公网与远端中心建立通信连接，通过车载以太网与ecu建立通信连接之后，启动tcp端口侦听服务，从而由tbox作为数据转发中心，接收ecu发送的第一注册请求，其中，第一注册请求包括ecu的ecu标识、ecu申请加入的至少一个入侵检测防御子组的第一组名，在确定第一组名已创建且根据ecu标识确定ecu未注册第一组名对应的入侵检测防御子组的情况下，将从远端中心获取的第一组名对应的入侵检测防御文件同步给ecu。由此可知，本公开实施例中每辆车只需与远端中心建立一个连接，即tbox与远端中心的连接，而无需车辆中每个ecu均与远端中心建立连接，从而大大降低了远端中心需要维护的连接数，减少了远端中心的负载和运算力的消耗，并且降低了车辆被外界入侵的风险。并且由于tbox作为数据转发中心与远端中心进行通信，远端中心是以整车形式存储每辆车涉及的所有入侵检测防御文件，所以可以在远端中心上将属于同一辆车的多个ecu关联起来呈现整车效果。此外，tbox还可以将从远端中心获取的入侵检测防御文件按照子组的形式分别发送给申请注册该子组的ecu，而无
需盲目地将所有入侵检测防御文件均发送给每个ecu，进而可以避免资源浪费。
[0203]
基于上述方法实施例，本公开的另一实施例提供了一种车载以太网检测防御系统，所述系统包括至少一个电子控制单元ecu、远程信息处理器tbox和远端中心，所述tbox，用于执行上述任一方法实施例所述的方法。
[0204]
基于上述方法实施例，本公开的另一实施例提供了一种存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器实现上述任一方法实施例所述的方法。
[0205]
上述系统、装置实施例与方法实施例相对应，与该方法实施例具有同样的技术效果，具体说明参见方法实施例。装置实施例是基于方法实施例得到的，具体的说明可以参见方法实施例部分，此处不再赘述。本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本公开所必须的。
[0206]
本领域普通技术人员可以理解：实施例中的装置中的模块可以按照实施例描述分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。
[0207]
最后应说明的是：以上实施例仅用以说明本公开的技术方案，而非对其限制；尽管参照前述实施例对本公开进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本公开实施例技术方案的精神和范围。