文／王建 陳曉光 朱研 任翔

隨著相應(yīng)技術(shù)逐步趨于成熟，新四化在當(dāng)今汽車(chē)市場(chǎng)上蓬勃發(fā)展。業(yè)界對(duì)車(chē)聯(lián)網(wǎng)通信系統(tǒng)的相關(guān)技術(shù)標(biāo)準(zhǔn)仍存有爭(zhēng)論，例如車(chē)載以太網(wǎng)標(biāo)準(zhǔn)是否將取代CAN總線(xiàn)；無(wú)線(xiàn)技術(shù)采用LTE-V、5G，抑或是專(zhuān)用短程通信技術(shù)（DSRC）等。并且，在汽車(chē)新四化帶給大家便利的同時(shí)，也面臨著新的安全挑戰(zhàn)，諸如新能源汽車(chē)安全、V2X信息安全、出行服務(wù)云平臺(tái)安全等，引起行業(yè)內(nèi)的密切關(guān)注。本文將對(duì)車(chē)載以太網(wǎng)技術(shù)的發(fā)展趨勢(shì)、主要技術(shù)以及網(wǎng)絡(luò)安全、信息安全防護(hù)等方面進(jìn)行簡(jiǎn)要的分析和探討。

如今，智能網(wǎng)聯(lián)汽車(chē)新功能不斷涌現(xiàn)，且日益復(fù)雜化，加之車(chē)聯(lián)網(wǎng)互 聯(lián)、V2X（Vehicle to X)和高寬帶的要求，需要更加開(kāi)放、高速、安全且兼容性更高的車(chē)載網(wǎng)絡(luò)，車(chē)載以太網(wǎng)由此應(yīng)運(yùn)而生。車(chē)載以太網(wǎng)不僅支持不同應(yīng)用的多種協(xié)議，適應(yīng)未來(lái)發(fā)展的需要，還具備無(wú)線(xiàn)的功能。

隨著智能網(wǎng)聯(lián)汽車(chē)中的眾多應(yīng)用對(duì)高寬帶需求的不斷增長(zhǎng)，促使車(chē)載網(wǎng)絡(luò)開(kāi)始運(yùn)用以太網(wǎng)技術(shù)，同時(shí)也為智能網(wǎng)聯(lián)汽車(chē)帶來(lái)更大的網(wǎng)絡(luò)安全和信息安全的挑戰(zhàn)。

車(chē)載安全網(wǎng)關(guān)、防火墻、DPI（深度包解析）等技術(shù)的綜合應(yīng)用，將為車(chē)載以太網(wǎng)搭建安全的保護(hù)層，可以監(jiān)測(cè)網(wǎng)絡(luò)中的惡意行為，檢測(cè)攻擊并阻斷其對(duì)車(chē)輛造成危害的動(dòng)作，從而提供行車(chē)的安全水平。

智能網(wǎng)聯(lián)汽車(chē)具有眾多控制單元，越是高級(jí)的智能網(wǎng)聯(lián)汽車(chē)，其控制單元的數(shù)量越多，控制系統(tǒng)也越復(fù)雜。每個(gè)控制單元就是一臺(tái)獨(dú)立的電腦，在接受信息的同時(shí)，對(duì)信息進(jìn)行處理、分析，然后下達(dá)指令。智能網(wǎng)聯(lián)汽車(chē)具備的功能，如高級(jí)信息娛樂(lè)系統(tǒng)、360度視頻監(jiān)控系統(tǒng)、智能通訊系統(tǒng)、自動(dòng)泊車(chē)系統(tǒng)、車(chē)道偏離檢測(cè)系統(tǒng)、盲點(diǎn)檢測(cè)等，對(duì)數(shù)據(jù)總線(xiàn)的運(yùn)算處理能力都提出了嚴(yán)峻的挑戰(zhàn)。

當(dāng)前車(chē)內(nèi)網(wǎng)絡(luò)，主要是由CAN、LIN、FlexRay、MOST等構(gòu)成，同時(shí)，國(guó)際組織如IEEE、AVNU、AUTOSAR等也都在積極推動(dòng)車(chē)載以太網(wǎng)的發(fā)展。傳統(tǒng)的車(chē)載網(wǎng)絡(luò)所支持的通信協(xié)議單一，而車(chē)載以太網(wǎng)同時(shí)支持AVB、TCP/IP、DOIP、SONIP等多種協(xié)議，增加的精確時(shí)鐘同步、帶寬預(yù)留協(xié)議，提升音視頻傳輸實(shí)時(shí)性；SOME/IP規(guī)定車(chē)載攝像頭的視頻通信要求，通過(guò)API的方式實(shí)現(xiàn)輔助駕駛攝像頭的控制；作為AVB協(xié)議的擴(kuò)展，車(chē)載時(shí)間敏感網(wǎng)絡(luò)，還支持高效的控制類(lèi)信息數(shù)據(jù)傳輸；而G比特的傳輸速率，還支持對(duì)POE功能和高效節(jié)能功能。

智能網(wǎng)聯(lián)汽車(chē)新四化的應(yīng)用程度越來(lái)越高，智能網(wǎng)聯(lián)汽車(chē)可以視為“四個(gè)轱轆的移動(dòng)電腦”，其網(wǎng)絡(luò)安全、信息安全、數(shù)據(jù)安全，以及互聯(lián)互通時(shí)管道安全的關(guān)注將與日俱增。車(chē)載以太網(wǎng)作為車(chē)內(nèi)的骨干網(wǎng)，將成為未來(lái)無(wú)人駕駛必要的網(wǎng)絡(luò)基礎(chǔ)，保護(hù)好車(chē)載以太網(wǎng)的網(wǎng)絡(luò)安全、信息安全，就是為未來(lái)的智能網(wǎng)聯(lián)汽車(chē)保駕護(hù)航。

隨著汽車(chē)新四化的發(fā)展，以及黑客滲透率的持續(xù)提升，新四化下的智能網(wǎng)聯(lián)汽車(chē)安全領(lǐng)域，將形成至少千億級(jí)的直接市場(chǎng)，還將間接影響數(shù)以萬(wàn)億級(jí)的車(chē)聯(lián)網(wǎng)、自動(dòng)駕駛、新能源車(chē)等智能網(wǎng)聯(lián)汽車(chē)的市場(chǎng)走向，新四化下智能網(wǎng)聯(lián)汽車(chē)的安全問(wèn)題，將遠(yuǎn)遠(yuǎn)超越傳統(tǒng)概念的網(wǎng)絡(luò)安全、信息安全、數(shù)據(jù)安全領(lǐng)域的范疇。

以太網(wǎng)網(wǎng)絡(luò)安全防護(hù)：網(wǎng)絡(luò)層

從TBOX使用以太網(wǎng)通信協(xié)議連接到VGM-車(chē)內(nèi)ECU，以太網(wǎng)通信，使用CRC校驗(yàn)。防止攻擊者通過(guò)攔截控制指令，篡改并發(fā)送惡意的動(dòng)作指令。

對(duì)外訪問(wèn)時(shí)，車(chē)載安全網(wǎng)關(guān)具有過(guò)濾網(wǎng)絡(luò)惡意指令的能力，支持默認(rèn)的安全訪問(wèn)策略，支持OTA遠(yuǎn)程升級(jí)訪問(wèn)控制策略，還支持在遭受外部惡意網(wǎng)絡(luò)攻擊如流量攻擊，降低危害、災(zāi)難的能力，如采取主動(dòng)降速行為，或關(guān)閉與外部連接的動(dòng)作，保護(hù)車(chē)內(nèi)網(wǎng)絡(luò)的安全。

以太網(wǎng)網(wǎng)絡(luò)安全，應(yīng)能支持防止ARP攻擊的能力，采取綁定源通信APN的MAC IP、目標(biāo)智能網(wǎng)聯(lián)汽車(chē)IP的MAC地址，包含帶寬QOS限制功能、人工可調(diào)整帶寬、遠(yuǎn)程車(chē)聯(lián)網(wǎng)平臺(tái)帶寬限速等功能，還有主動(dòng)防御黑客攻擊的安全策略。

以太網(wǎng)網(wǎng)絡(luò)通信APN安全：應(yīng)用層

網(wǎng)中的TBOX持雙APN的通道，應(yīng)支持對(duì)不同的APN的網(wǎng)絡(luò)管理，且支持網(wǎng)絡(luò)分離通信，如一個(gè)APN用于連接車(chē)聯(lián)網(wǎng)平臺(tái)的網(wǎng)絡(luò)通信，對(duì)數(shù)據(jù)進(jìn)行加密，對(duì)通信敏感信息進(jìn)行安全保障。另一個(gè)APN則供用戶(hù)娛樂(lè)，用于瀏覽網(wǎng)絡(luò)信息等，防止APN不同的通道共用，避免以太網(wǎng)通信遭受網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)。以太網(wǎng)支持使用VLAN功能，管理車(chē)內(nèi)網(wǎng)不同的APN通道，保障通信安全。

此外，保證車(chē)載以太網(wǎng)的信息安全、網(wǎng)絡(luò)安全，還應(yīng)該重點(diǎn)考慮以下幾點(diǎn)：

(1)安全的接口，使用一個(gè)安全的元素作為一個(gè)防篡改的信任錨。

(2)物理和電氣隔離的網(wǎng)絡(luò)，使用防火墻的中央網(wǎng)關(guān)。

(3)安全的網(wǎng)絡(luò)，具有安全的總線(xiàn)監(jiān)視和加密功能，用于消息認(rèn)證的發(fā)送器或微控制器，使用可信任的軟件在其中運(yùn)行保護(hù)環(huán)境。

網(wǎng)絡(luò)被劃分為多個(gè)子域，子域仍然容易受到攻擊，比如消息操縱等。保護(hù)子域的手段有添加消息身份驗(yàn)證方案，即每個(gè)消息都以a擴(kuò)展加密代碼來(lái)保證一個(gè)真實(shí)的發(fā)送者，它也被正確接收且無(wú)改變。

(4)加密。在內(nèi)部的不同的ECUs之間進(jìn)行交換，可以通過(guò)加密消息來(lái)避免數(shù)據(jù)泄露和身份竊取。

(5)入侵檢測(cè)。模式識(shí)別和規(guī)則檢查以檢測(cè)異常網(wǎng)絡(luò)流量，并在攻擊數(shù)據(jù)包到達(dá)之前阻止惡意的數(shù)據(jù)包，含消息速率的限制機(jī)制，以防拒絕服務(wù)的網(wǎng)絡(luò)攻擊。

(6)ECU級(jí)驗(yàn)證。網(wǎng)絡(luò)中的ECUs的真實(shí)性可以得到驗(yàn)證(例如，發(fā)動(dòng)機(jī)啟動(dòng)和定期啟動(dòng))。

考慮到智能網(wǎng)聯(lián)汽車(chē)車(chē)端的安全，增加硬件模塊作為網(wǎng)信安全分防護(hù)，勢(shì)在必行。

車(chē)載安全網(wǎng)關(guān)（含IDPS）

車(chē)載安全網(wǎng)關(guān)不僅作為車(chē)內(nèi)各子域間進(jìn)行信息交換的通道，同時(shí)承擔(dān)與車(chē)外進(jìn)行信息交換的角色，實(shí)現(xiàn)智能網(wǎng)聯(lián)汽車(chē)與車(chē)聯(lián)網(wǎng)服務(wù)平臺(tái)之間的通信。由于車(chē)載安全網(wǎng)關(guān)有如此特殊的角色位置，因此其涉及到的安全問(wèn)題，成為其基礎(chǔ)功能之外最為重要的延伸方向。

車(chē)載安全網(wǎng)關(guān)軟件實(shí)現(xiàn)完全依照國(guó)際上普遍認(rèn)可的智能網(wǎng)聯(lián)汽車(chē)開(kāi)放系統(tǒng)架構(gòu)AUTOSAR（AUTomotive Open Source ARchitecture）進(jìn)行模塊化構(gòu)建。圍繞AUTOSAR軟件架構(gòu)中“基礎(chǔ)軟件”（BSW）層中的通信模塊進(jìn)行邏輯擴(kuò)展，配置使用其他一些管理及接口抽象模塊，整合實(shí)現(xiàn)網(wǎng)關(guān)的數(shù)據(jù)包協(xié)議轉(zhuǎn)換、調(diào)度路由等核心功能，三者進(jìn)行交互，完成車(chē)輛基礎(chǔ)通訊體系的立體監(jiān)控。

車(chē)載安全網(wǎng)關(guān)，以硬件形式提供，在車(chē)輛出廠前進(jìn)行集成，同時(shí)可選的提供ECU輔助探針安全開(kāi)發(fā)包的接入及云端管控平臺(tái)搭建。其基礎(chǔ)功能是協(xié)議轉(zhuǎn)換和數(shù)據(jù)路由，數(shù)據(jù)調(diào)度及協(xié)議分析，對(duì)于報(bào)文數(shù)據(jù)在網(wǎng)關(guān)處的需要進(jìn)行解包、打包、排隊(duì)、調(diào)度、轉(zhuǎn)發(fā)等過(guò)程。這些基礎(chǔ)功能很大程度上依賴(lài)AUTOSAR軟件規(guī)范進(jìn)行模塊化生成。

AUTOSAR通信棧由通信驅(qū)動(dòng)層、通信抽象層和通信服務(wù)層三個(gè)部分促成，其中通信服務(wù)層這一層的交互等同用數(shù)據(jù)單元主要是I-PDU（交互層數(shù)據(jù)單元）。通信棧整體結(jié)構(gòu)中的通信服務(wù)層是通信棧的最高層，是實(shí)現(xiàn)互聯(lián)的關(guān)鍵。

由于車(chē)載安全網(wǎng)關(guān)本身的屬性限制，它要負(fù)責(zé)處理多種不同子網(wǎng)協(xié)議數(shù)據(jù)的轉(zhuǎn)換及轉(zhuǎn)發(fā)，因此車(chē)載安全網(wǎng)關(guān)中的DPI檢測(cè)技術(shù)采用基于應(yīng)用層協(xié)議的方式來(lái)實(shí)現(xiàn)深度檢測(cè)。檢測(cè)引擎自身包括三個(gè)部件：協(xié)議解析器、算法引擎和檢測(cè)結(jié)果處理。

協(xié)議確認(rèn)是對(duì)協(xié)議進(jìn)行初期的識(shí)別、協(xié)議切分是在流的基礎(chǔ)上細(xì)分出“檢測(cè)流”或者“事物”的概念、協(xié)議域切分是對(duì)最小粒度上細(xì)分報(bào)文。將檢測(cè)流分成Header和Body部分，Header還要細(xì)分成各個(gè)Field，包含F(xiàn)ield Value和Field Data部分。協(xié)議域切分判別該頭域是否需要檢測(cè)，判定命中的特征是否與之所定義的吻合，并識(shí)別提取審計(jì)日志記錄的關(guān)鍵位置所在，解碼是協(xié)議解析器對(duì)協(xié)議域進(jìn)行解碼，獲取進(jìn)行分析的對(duì)象。

定義矩陣匹配：報(bào)文解析器對(duì)控制通道報(bào)文的解析，通過(guò)與預(yù)置的多種協(xié)議“定義矩陣”匹配來(lái)識(shí)別出當(dāng)前對(duì)象的合法性。

檢測(cè)引擎首先確定待檢測(cè)的協(xié)議類(lèi)型，然后根據(jù)協(xié)議的幀格式進(jìn)一步抽取出其有效載荷部分，作為分析對(duì)象。針對(duì)分析對(duì)象，結(jié)合車(chē)型提供的基礎(chǔ)通訊協(xié)議內(nèi)容，劃分報(bào)文屬性（各種支持協(xié)議單獨(dú)劃分，形成“定義矩陣”），匹配判斷出細(xì)分域中內(nèi)容的有效性。協(xié)議分析完成后，通過(guò)算法引擎匹配、查找發(fā)現(xiàn)相關(guān)的檢測(cè)結(jié)果，下發(fā)到后續(xù)的動(dòng)作模塊進(jìn)行處理。

同時(shí)，還需將CAN總線(xiàn)數(shù)據(jù)進(jìn)行過(guò)濾，CAN-BUS的數(shù)據(jù)幀中CAN-ID占據(jù)11位，數(shù)據(jù)段占據(jù)64位，再輔之增加黑/白名單過(guò)濾。

對(duì)于帶有數(shù)據(jù)段的CAN數(shù)據(jù)包，黑/白名單中允許設(shè)置性能閾值，進(jìn)行二次過(guò)濾，根據(jù)不同網(wǎng)聯(lián)車(chē)的車(chē)型，通過(guò)設(shè)置閾值的形式，建立不同的基礎(chǔ)性能基線(xiàn)，對(duì)超出或者低于標(biāo)準(zhǔn)基線(xiàn)規(guī)范范圍的操作行為進(jìn)行攔截和報(bào)警。提供一套完整的協(xié)議轉(zhuǎn)換工具，錄入車(chē)輛CAN數(shù)據(jù)協(xié)議，輸出具有標(biāo)準(zhǔn)格式的黑/白名單文件進(jìn)行存儲(chǔ)，對(duì)廣播在CAN總線(xiàn)上的非法數(shù)據(jù)進(jìn)行過(guò)濾。

輔助安全組件模塊化構(gòu)建

輔助安全組件包含ECU輔助探針和遠(yuǎn)程云端（SOC）。

ECU輔助探針。提供ECU固件功能開(kāi)發(fā)包，該開(kāi)發(fā)包輔助完成應(yīng)用該邏輯的ECU節(jié)點(diǎn)的故障狀態(tài)上傳，同時(shí)針對(duì)對(duì)外傳輸?shù)膱?bào)文進(jìn)行身份標(biāo)示及加密處理。

深度包檢測(cè)（DPI）技術(shù)是一種基于應(yīng)用層的流量檢測(cè)和控制技術(shù)，當(dāng)協(xié)議數(shù)據(jù)包通過(guò)車(chē)載安全網(wǎng)關(guān)時(shí)，網(wǎng)關(guān)的基于DPI技術(shù)的帶寬管理模塊會(huì)深入讀取數(shù)據(jù)包有效載荷的內(nèi)容，來(lái)對(duì)OSI協(xié)議中的應(yīng)用層信息進(jìn)行重組，得到整個(gè)應(yīng)用程序的內(nèi)容，繼而按照預(yù)設(shè)的防御規(guī)則對(duì)該內(nèi)容進(jìn)行過(guò)濾。

表1 輔助安全組件模塊化構(gòu)建方式

SecOC從屬于AUTOSAR軟件規(guī)范中的Safety and Security部分，旨在為PDU（Protocol Data Unit）的關(guān)鍵數(shù)據(jù)提供有效可行的認(rèn)證機(jī)制。此認(rèn)證機(jī)制可以和當(dāng)前的AUTOSAR通信系統(tǒng)進(jìn)行無(wú)縫集成，作為一個(gè)附屬功能存在。

Authentic I-PDU是具備抵御未經(jīng)授權(quán)的操作和重放攻擊功能的 AUTOSAR I-PDU，Secured I-PDU是 由Authentic I-PDU、Authenticator（如MAC）、Freshness構(gòu)成，其中的Authenticator是由密鑰（Key），Secured I-PDU的數(shù)據(jù)標(biāo)識(shí)符（Data Id）、真實(shí)有效載荷（Authentic Payload）以及Freshness值，是經(jīng)過(guò)算法生成唯一的認(rèn)證數(shù)據(jù)字符串。Freshnes值是指用于確保Secured I-PDU（Interaction Layer Protocol Data Units）新鮮度的單調(diào)計(jì)數(shù)器，可以通過(guò)單個(gè)消息計(jì)數(shù)器或是時(shí)間戳來(lái)實(shí)現(xiàn)，即Freshness值可以是計(jì)數(shù)器值（Counter），也可以是時(shí)間戳（Timestamp）。

在發(fā)送端，SecOC模塊通過(guò)對(duì)Authentic I-PDU添加認(rèn)證信息來(lái)創(chuàng)建Secured I-PDU，認(rèn)證信息包括Authenticator（如MAC、Message Authentication Code）和Freshness值。

遠(yuǎn)程云端（SOC）。接受來(lái)自網(wǎng)關(guān)的基礎(chǔ)數(shù)據(jù)項(xiàng)，輔助運(yùn)維統(tǒng)計(jì)展示、攻擊行為態(tài)勢(shì)跟蹤展示、安全參數(shù)配置應(yīng)用、網(wǎng)關(guān)防御規(guī)則生成及下發(fā)、同時(shí)負(fù)責(zé)歷史日志的存儲(chǔ)管理。

遠(yuǎn)程云端是整個(gè)安全體系的大腦，能夠?qū)K端的安全數(shù)據(jù)及駕駛行為數(shù)據(jù)進(jìn)行存儲(chǔ)及運(yùn)算，因此平臺(tái)需要配套高效的日志管理邏輯。在終端，不同的IDPS進(jìn)行安全檢測(cè)，檢測(cè)后的日志數(shù)據(jù)統(tǒng)一發(fā)送到聚合器（aggregator IDPS）進(jìn)行某種格式的整合。整合后的數(shù)據(jù)不是主動(dòng)傳輸給云端（SOC），而是在建立通道后，SOC通過(guò)輪詢(xún)的方式獲取數(shù)據(jù)。

針對(duì)上述的管理邏輯，還可以根據(jù)業(yè)務(wù)需求，進(jìn)行相應(yīng)的簡(jiǎn)化，以得到更高的執(zhí)行效率。三方面的防御功能將檢測(cè)結(jié)果匯總到聚合器，聚合器按照協(xié)議格式整合后進(jìn)行本地緩存，然后生成“清單”，同時(shí)將真實(shí)的日志數(shù)據(jù)進(jìn)行分塊，定期發(fā)送到SOC。

結(jié)束語(yǔ)

智能網(wǎng)聯(lián)汽車(chē)元件的多元化，也意味著網(wǎng)絡(luò)模式的多元化，更易引起信息安全問(wèn)題，因此智能網(wǎng)聯(lián)汽車(chē)信息安全的防護(hù)機(jī)制建立刻不容緩。其中，針對(duì)智能網(wǎng)聯(lián)汽車(chē)以太網(wǎng)的安全防護(hù)，需要具備對(duì)外訪問(wèn)的過(guò)濾網(wǎng)絡(luò)惡意指令的能力，支持人工制定各種出入策略，支持默認(rèn)的安全訪問(wèn)策略。在遭受外部惡意網(wǎng)絡(luò)攻擊時(shí)采取主動(dòng)降速行為，或關(guān)閉與外部連接的動(dòng)作，保護(hù)車(chē)內(nèi)網(wǎng)絡(luò)的安全、行車(chē)安全和人身安全。

在智能網(wǎng)聯(lián)汽車(chē)安全管理平臺(tái)上，監(jiān)控網(wǎng)絡(luò)通信流量，通過(guò)DPI技術(shù)檢測(cè)出異常的網(wǎng)絡(luò)通信流量，進(jìn)行日志統(tǒng)計(jì)、分析、審計(jì)供后續(xù)提升安全防范能力，建立防止黑客攻擊的安全策略，同時(shí)加強(qiáng)智能網(wǎng)聯(lián)汽車(chē)自身眾多ECU的安全防護(hù)。