一种应用于汽车ECU安全升级管理系统及方法技术方案

本发明专利技术提供了一种应用于汽车ECU安全升级管理系统及方法，包括安全管理模块、入侵检测模块、中央网关，防护ECU、漏洞ECU，入侵检测模块对车内网络实时监测，当发现车内网络升级受到攻击时，能够及时将攻击信息反馈给安全管理模块，安全管理模块会下发控制指令给防护ECU，防护ECU将抵抗策略发送给可能受到攻击或者已经被攻击的ECU进行抵抗攻击，对升级过程中的升级文件引入较小的弥补包，通过引入弥补包替代不同历史版本的补丁包，能够大幅度降低升级所需数据包的大小，同时也节省ECU升级补丁包的传输时间。

A safety upgrade management system and method applied to automobile ECU

The invention provides a security upgrade management system and method applied to automobile ECU, including security management module, intrusion detection module, central gateway, protection ECU, vulnerability ECU, and intrusion detection module for real-time monitoring of the vehicle network. When it is found that the vehicle network upgrade is attacked, the attack information can be fed back to the security management module in time, and the security management module will issue control The instruction is given to the protection ECU. The protection ECU sends the resistance strategy to the ECU that may be or has been attacked to resist the attack. It introduces a smaller make-up package to the upgrade file during the upgrade process. By introducing a make-up package to replace the patches of different historical versions, it can greatly reduce the size of the data package required for the upgrade and save the transmission time of the ECU's upgrade patches.

【技术实现步骤摘要】
一种应用于汽车ECU安全升级管理系统及方法
本专利技术涉及汽车ECU领域，尤其涉及一种应用于汽车ECU的安全升级管理系统及其方法。
技术介绍
随着汽车的普及，越来越多的汽车进入千家万户，但由此也带来关于汽车的安全问题。近来了，许多汽车厂家以及研究结构都在推广智能汽车，使汽车趋于智能化、人性化。在汽车行业中，无人驾驶汽车和先进驾驶员辅助系统(ADAS)、ABS(防抱死制动系统)等发展已经变得今后技术的发展方向。当这些功能安装在车辆中时，汽车中的电子控制单元(ECU)的数量正在增加，控制车辆系统需要100多个ECU(电子控制单元)，这增加了软件尺寸和逻辑复杂性。此外，安装在车辆中的软件变得越来越大和越来越复杂。由于bug的存在，如果不及时修复，会发生较大的危险性。由软件引起的召回次数正在增加，一旦检测到错误就快速修复错误是非常重要的，修复和新特性的加入导致应用程序的更新升级变得非常频繁结果。目前，车辆ECU通过车辆网络连接，车辆网络用于更新ECU软件。将来，随着联网车辆越来越普及，车辆将增加新功能以提供各种服务，例如智能手机应用程序下载。但是，通过将车辆连接到互联网，它可能成为网络攻击的目标。实际上，可以通过利用无线接口利用其漏洞来远程操作车辆，并且已经存在这种情况已经发展成大规模召回。由于增加了新功能，纠正缺陷和应对安全风险，ECU软件更新的频率和重要性将会增加。传统的ECU软件bug修复由用户将车辆带到经销商处执行，其中工程师使用专用诊断设备通过有线连接执行修复。然而，传统方法有两个缺点。首先，在传统方法中，用户必须将汽车带到经销商处以安装新软件，并且如果软件更新的频率在将来增加，则这可能是用户的负担。其次，可以一次更新的车辆数量是有限的，因为软件更新需要专用设备和停放车辆的地方。在更新发布或在生产线上更新后，此类限制立即成为障碍。结果，执行更新所需的时间显着增加。已经开发了用于更新车载软件的空中(OTA)方法。如果可以使用无线通信(移动网络，Wi-Fi等)，则可以通过OTA进行更新。因此，可以减少由软件更新引起的负担，因为用户可以在不去经销商的情况下进行更新。另外，通过使用无线通信，可以同时更新多个车辆时间。因此，可以在不受设备数量或停放车辆数量限制的情况下执行更新。在ECU软件更新期间，如果传输速度过慢以及数据包过大，都会造成ECU软件升级所用的时间增加。此时，用户是不能进行使用车辆的。用户使用车辆是危险的。因此，在车辆停放时执行ECU软件更新。用户在软件更新期间无法使用汽车，因此有必要缩短软件更新时间。现有技术中，即使新包与旧包只有略微的差别，每次版本的升级仍下载完整的新安装包进行替换安装，这种全量更新的方式不仅浪费了较多的客户端网络流量，同时也增加了升级过程所耗费的时间。用户在这段ECU修复的时间内是无法使用车辆的，这必然给用户带来用车的不便，因此压缩ECU修复的时间是目前需要迫切解决的技术问题。同时也有必要告知车辆ECU软件的修复时间，让用户根据自己的时间安排选择合适的时间段进行升级，而压缩升级时间带来的挑战来源于尽可能的降低升级包的尺寸。另一方面，尽可能的避免系统受到黑客的攻击，当发现车内网络受到黑客攻击时，能够尽早发现，采取解决措施，从而解决将攻击受到的损害降到最低。
技术实现思路
基于现有技术中存在的缺陷，为了实现上述目的，本专利技术提供一种应用于汽车ECU升级文件的方法，能够解决目前升级数据包较大且升级过程中容易遭受黑客攻击的技术问题，具体为：一种应用于汽车ECU安全升级管理方法，至少包括：车内的中央网关接收到来自服务器的升级文件，升级文件经中央网关通传输到需要升级的ECU进行升级；入侵检测模块对车内网络进行实时监控，当发现升级文件中含有攻击代码的数据包时或汽车网络受到攻击时，入侵检测模块将检测到攻击信息反馈给安全管理模块；安全管理模块接收到来自入侵检测模块反馈的攻击信息时，安全管理模块给防护模块下发控制指令防止目标ECU被入侵；所述防护模块被配置为与安全模块相对应，能够根据安全模块下发的控制指令采取相应的抵抗攻击策略并发送给目标ECU；所述ECU包括抵抗模块，抵抗模块被配置为具有与抵抗攻击策略相匹配的功能，当目标ECU受到攻击时，ECU内的抵抗模块能够根据防护模块出发的抵抗攻击策略调用匹配应用程序进行抵抗入侵；所述抵抗攻击策略包括目标ECU安全重置策略、目标节点网关的安全重置策略、丢弃含有攻击代码的数据包策略；所述攻击代码的数据包至少包括符合CAN报文格式的数据。一种应用于汽车ECU安全升级管理方法，进一步地，所述目标ECU安全重置策略包括以下步骤：目标ECU接收到安全重置策略时，目标ECU自动重启后进入安全模式，所述安全模式至少包括：被配置为允许基本驾驶操作以保证车辆的安全，仅允许处理经过安全验证的CAN消息，或被配置为需要对接收的数据进行完整性检查及数据加密。一种应用于汽车ECU安全升级管理方法，进一步地，所述防护模块包括防护ECU，所述丢弃含有攻击代码的数据包策略包括：安全管理模块将含有攻击代码的数据发送到安装在特定域中的防护ECU中，防护ECU将含有CAN消息标识符的攻击数据包的信息广播到同一域中的所有ECU中，ECU通过抵抗模块调用应用程序丢弃包含相应CAN消息标识符的数据包；当攻击结束时，防护ECU再次广播包含正常的相应CAN消息标识符的数据包。一种应用于汽车ECU安全升级管理方法，进一步地，当车内网络采用车载以太网进行传输并且设置节点网关与多种域进行连接，发生攻击时，安全管理模块向受到攻击的目标节点网关发送控制指令以指示目标节点网关采取抵抗攻击策略进行抵抗；所述抵抗攻击策略包括目标节点网关的安全重置策略，节点网关的安全重置策略包括节点网关自动重启后进入安全模式，所述节点网关的安全模式至少包括：被配置为允许基本驾驶操作以保证车辆的安全，仅允许处理经过安全验证的CAN消息，或被配置为需要对接受数据进行完整性检查以及数据加密。一种应用于汽车ECU安全升级管理方法，进一步地，所述CAN报文格式至少包括CAN消息地址、远程请求位；远程请求位用于区分远程帧和数据帧的字段，数据帧用于在CAN总线上进行数据传输，对于数据帧必须是显性，远程请求位用0表示；远程帧用于发送请求并且不含有载荷数据信息，对于远程请求帧必须是隐性1，远程请求位用1表示。一种应用于汽车ECU安全升级管理方法，进一步地，所述丢弃含有攻击代码的数据包括以下步骤：安全管理模块下发丢弃数据包的指令给防护ECU，防护ECU将符合CAN报文格式并且含有CAN消息地址的攻击代码的数据包中的远程请求位从显性0更改为隐性1，然后再将该更改后的数据包以广播的形式发送给所有的ECU；ECU仅在接收到CAN消息地址是与其关联的CAN消息地址时才进行相应，无关联时则直接将该数据包进行丢弃；所述显性与隐性的变换是通过CAN总线上的电压控制CAN_H高电压，CAN_L低电压本文档来自技高网...

【技术保护点】
1.一种应用于汽车ECU安全升级管理方法，其特征在于，至少包括：/n车内的中央网关接收到来自服务器的升级文件，升级文件经中央网关通传输到需要升级的ECU进行升级；/n入侵检测模块对车内网络进行实时监控，当发现升级文件中含有攻击代码的数据包时或汽车网络受到攻击时，入侵检测模块将检测到攻击信息反馈给安全管理模块；/n安全管理模块接收到来自入侵检测模块反馈的攻击信息时，安全管理模块给防护模块下发控制指令防止目标ECU被入侵；/n所述防护模块被配置为与安全模块相对应，能够根据安全模块下发的控制指令采取相应的抵抗攻击策略并发送给目标ECU；/n所述ECU包括抵抗模块，抵抗模块被配置为具有与抵抗攻击策略相匹配的功能，当目标ECU受到攻击时，ECU内的抵抗模块能够根据防护模块出发的抵抗攻击策略调用匹配应用程序进行抵抗入侵；/n所述抵抗攻击策略包括目标ECU安全重置策略、目标节点网关的安全重置策略、丢弃含有攻击代码的数据包策略；/n所述攻击代码的数据包至少包括符合CAN报文格式的数据。/n

【技术特征摘要】
1.一种应用于汽车ECU安全升级管理方法，其特征在于，至少包括：
车内的中央网关接收到来自服务器的升级文件，升级文件经中央网关通传输到需要升级的ECU进行升级；
入侵检测模块对车内网络进行实时监控，当发现升级文件中含有攻击代码的数据包时或汽车网络受到攻击时，入侵检测模块将检测到攻击信息反馈给安全管理模块；
安全管理模块接收到来自入侵检测模块反馈的攻击信息时，安全管理模块给防护模块下发控制指令防止目标ECU被入侵；
所述防护模块被配置为与安全模块相对应，能够根据安全模块下发的控制指令采取相应的抵抗攻击策略并发送给目标ECU；
所述ECU包括抵抗模块，抵抗模块被配置为具有与抵抗攻击策略相匹配的功能，当目标ECU受到攻击时，ECU内的抵抗模块能够根据防护模块出发的抵抗攻击策略调用匹配应用程序进行抵抗入侵；
所述抵抗攻击策略包括目标ECU安全重置策略、目标节点网关的安全重置策略、丢弃含有攻击代码的数据包策略；
所述攻击代码的数据包至少包括符合CAN报文格式的数据。


2.如权利要求1所述的一种应用于汽车ECU安全升级管理方法，其特征在于，所述目标ECU安全重置策略包括以下步骤：
目标ECU接收到安全重置策略时，目标ECU自动重启后进入安全模式，所述安全模式至少包括：
被配置为允许基本驾驶操作以保证车辆的安全，仅允许处理经过安全验证的CAN消息，或被配置为需要对接收的数据进行完整性检查及数据加密。


3.如权利要求1所述的一种应用于汽车ECU安全升级管理方法，其特征在于，所述防护模块包括防护ECU，所述丢弃含有攻击代码的数据包策略包括：
安全管理模块将含有攻击代码的数据发送到安装在特定域中的防护ECU中，防护ECU将含有CAN消息标识符的攻击数据包的信息广播到同一域中的所有ECU中，ECU通过抵抗模块调用应用程序丢弃包含相应CAN消息标识符的数据包；
当攻击结束时，防护ECU再次广播包含正常的相应CAN消息标识符的数据包。


4.如权利要求1所述的一种应用于汽车ECU安全升级管理方法，其特征在于，当车内网络采用车载以太网进行传输并且设置节点网关与多种域进行连接，发生攻击时，安全管理模块向受到攻击的目标节点网关发送控制指令以指示目标节点网关采取抵抗攻击策略进行抵抗；
所述抵抗攻击策略包括目标节点网关的安全重置策略，节点网关的安全重置策略包括节点网关自动重启后进入安全模式，所述节点网关的安全模式至少包括：被配置为允许基本驾驶操作以保证车辆的安全，仅允许处理经过安全验证的CAN消息，或被配置为需要对接受数据进行完整性检查以及数据加密。


5.如权利要求1所述的一种应用于汽车ECU安全升级管理方法，其特征在于，所述CAN报文格式至少包括CAN消息标识符、远程请求位；
远程请求位用于区分远程帧和数据帧的字段，数据帧用于在CAN总线上进行数据传输，对于数据帧必须是显性，远程请求位用0表示；
远程帧用于发送请求并且不含有载荷数据信息，对于远程请求帧必须是隐性1，远程请求位用1表示。


6.如权利要求5所述的一种应用于汽车ECU安全升级管理方法，其特征在于，所述丢弃含有攻击代码的数据包括以下步骤：
安全管理模块下发丢弃数据包的指令给防护ECU，防护ECU将符合CAN报文格式并且含有CAN消息标识符的攻击代码的数据包中的远程请求位从显性0更改为隐性1，然后再将该更改后的数据包以广播的形式发送给所有的ECU；
ECU仅在接收到CAN消息标识符是与其关联的CAN消息标识符时才进行相应，无关联时则直接将该数据包进行丢弃；
所述显性与隐性的变换是通过CAN总线上的电压控制CAN_H高电压，CAN_L低电压进行更改远程请求位的值而实现。


7.如权利要求1所述的一种应用于汽车ECU安全升级管理方法，其特征在于，入侵检测模块检测车内网络时，还包括对漏洞ECU的检测，漏洞ECU使含有攻击代码的数据包易于被入侵检测模块检测到。


8.如权利要求1所述的一种应用于汽车ECU安全升级管理方法，其特征在于，所述升级文件至少包括补丁包，补丁包是通过将基准补丁包与待升级ECU匹配的弥补包进行合成；
所述基准补丁包与弥补包的形成方法包括：
步骤1：将新文件分别与旧文件通过差异分析，分别找出新文件与旧文件的差异，获取新文件与旧文件的差异数据包并将差异数据包进行提取打包后组成补丁包；重复步骤1，直至获得新文件分别与所有的不同历史版本的旧文件对应的补丁包；
步骤2：在多个补丁包选择其中一个作为基准补丁包；
步骤3：将所选的基准补丁包与补丁包进行差异对比，找出基准补丁包与补丁包的差异，获取基准补丁包与补丁包的差异数据包并将差异数据包提取打包压缩后形成弥补包；重复步骤3，直至获得基准补丁包分别与所有的不同历史版本的旧文件对应的弥补包。
<...

【专利技术属性】
技术研发人员：肖文平，何敖东，王学栋，陈斌，张航，
申请(专利权)人：上海赫千电子科技有限公司，
类型：发明
国别省市：上海;31