金星辰，方 沂，徐 征

（天津職業(yè)技術(shù)師范大學(xué)汽車(chē)與交通學(xué)院，天津 300222）

目前，智能化、網(wǎng)聯(lián)化、電動(dòng)化是汽車(chē)發(fā)展的大趨勢(shì)，各大汽車(chē)企業(yè)與互聯(lián)網(wǎng)公司積極開(kāi)展合作，共同開(kāi)啟云端新時(shí)代。與此同時(shí)，針對(duì)智能網(wǎng)聯(lián)汽車(chē)的攻擊事件卻頻繁發(fā)生，使得汽車(chē)網(wǎng)絡(luò)信息安全問(wèn)題日益凸顯[1-2]。針對(duì)汽車(chē)網(wǎng)絡(luò)信息安全問(wèn)題，梅賽德斯-奔馳汽車(chē)公司于2017 年便與360 集團(tuán)建立了合作關(guān)系，360 集團(tuán)智能網(wǎng)聯(lián)汽車(chē)安全實(shí)驗(yàn)室Sky-Go 團(tuán)隊(duì)發(fā)現(xiàn)了梅賽德斯-奔馳智能網(wǎng)聯(lián)汽車(chē)存在的19 個(gè)安全漏洞并加以修復(fù)。在2018 年比亞迪全球開(kāi)發(fā)者大會(huì)上，比亞迪與360 集團(tuán)正式簽訂戰(zhàn)略合作協(xié)議，共同探討解決智能汽車(chē)的信息安全與網(wǎng)絡(luò)安全問(wèn)題。Ju 等[3]研究了以太網(wǎng)在汽車(chē)車(chē)載網(wǎng)絡(luò)的應(yīng)用以及對(duì)未來(lái)汽車(chē)電子電氣（E/E）體系結(jié)構(gòu)的預(yù)期。Wampler 等[4]針對(duì)CAN 總線(xiàn)提出了相應(yīng)的通用安全解決方案。Lee 等[5]通過(guò)對(duì)汽車(chē)進(jìn)行攻擊實(shí)驗(yàn)，驗(yàn)證了汽車(chē)的網(wǎng)絡(luò)脆弱性以及建立安全解決方案的緊迫性。Chen 等[6]參照傳統(tǒng)信息系統(tǒng)的分類(lèi)安全防護(hù)評(píng)估標(biāo)準(zhǔn)，建立了車(chē)輛信息系統(tǒng)分類(lèi)安全防護(hù)評(píng)估系統(tǒng)。Haas 等[7]研究利用人工神經(jīng)網(wǎng)絡(luò)建立聯(lián)網(wǎng)汽車(chē)入侵檢測(cè)模型，實(shí)現(xiàn)對(duì)攻擊數(shù)據(jù)的過(guò)濾。上述研究均是針對(duì)汽車(chē)網(wǎng)絡(luò)信息安全展開(kāi)的，但是針對(duì)智能網(wǎng)聯(lián)汽車(chē)系統(tǒng)的網(wǎng)絡(luò)信息安全防護(hù)方案尚未提出。本文從汽車(chē)車(chē)載網(wǎng)絡(luò)信息安全的角度出發(fā)，提出一種汽車(chē)車(chē)載網(wǎng)絡(luò)通信安全架構(gòu)方案，該方案通過(guò)構(gòu)建多域分層入侵檢測(cè)模型，實(shí)現(xiàn)預(yù)防—檢測(cè)—預(yù)警的完整安全防護(hù)體系。

1 域集中式電子電氣架構(gòu)

如今，智能網(wǎng)聯(lián)汽車(chē)的功能越來(lái)越豐富，相應(yīng)搭載的電子控制單元（electronic control unit，ECU）的數(shù)量也隨之增多，繼而與云端、第三方APP 等信息交互的遠(yuǎn)程通信也在增多，這也使得利用云端、第三方軟件實(shí)施攻擊的可能性增大。如果采用傳統(tǒng)汽車(chē)分布式電子電氣架構(gòu)，數(shù)量過(guò)多的ECU 不僅會(huì)產(chǎn)生復(fù)雜的線(xiàn)束設(shè)計(jì)和邏輯控制問(wèn)題，同樣也給汽車(chē)網(wǎng)絡(luò)信息安全增添隱患。這些問(wèn)題的出現(xiàn)，都說(shuō)明了現(xiàn)代汽車(chē)分布式電子電氣架構(gòu)需要進(jìn)行改革[8]。美國(guó)汽車(chē)工程師學(xué)會(huì)推出了J3061TM《信息物理融合系統(tǒng)網(wǎng)絡(luò)安全指南》，旨在通過(guò)統(tǒng)一全球標(biāo)準(zhǔn)，推動(dòng)汽車(chē)電氣系統(tǒng)與其他互聯(lián)系統(tǒng)之間安全流程的建立。本文參照《車(chē)輛傳統(tǒng)系統(tǒng)功能安全標(biāo)準(zhǔn)ISO26262》定義的流程，制定車(chē)輛信息安全架構(gòu)圖如圖1 所示。

圖1 車(chē)輛信息安全架構(gòu)圖

車(chē)輛信息安全架構(gòu)主要由信息安全管理、核心信息安全工程活動(dòng)以及支持過(guò)程3 大部分構(gòu)成。信息安全管理包括綜合管理和生命周期各階段的信息安全管理。核心信息安全工程活動(dòng)包括了概念階段，整車(chē)系統(tǒng)、軟硬件層面的開(kāi)發(fā)階段及生產(chǎn)運(yùn)營(yíng)階段等。在概念階段制定整個(gè)安全項(xiàng)目計(jì)劃，包括識(shí)別網(wǎng)絡(luò)安全邊界、系統(tǒng)外部依賴(lài)關(guān)系、系統(tǒng)潛在威脅分析以及評(píng)估。在開(kāi)發(fā)階段，對(duì)整車(chē)系統(tǒng)的脆弱性和威脅性進(jìn)行風(fēng)險(xiǎn)分析，制定信息安全需求與策略，在開(kāi)發(fā)階段完成后進(jìn)行滲透測(cè)試，完成最終的安全審計(jì)。生產(chǎn)運(yùn)營(yíng)階段主要對(duì)產(chǎn)品進(jìn)行現(xiàn)場(chǎng)監(jiān)控、事件響應(yīng)以及之后的時(shí)間跟蹤管理。支持過(guò)程階段主要對(duì)以上階段進(jìn)行輔助支持，包括相應(yīng)的配置管理、文檔管理和供應(yīng)鏈管理等。

車(chē)輛信息安全開(kāi)發(fā)框架如圖2 所示。系統(tǒng)開(kāi)發(fā)設(shè)計(jì)階段是車(chē)輛信息安全實(shí)現(xiàn)的基礎(chǔ)，而車(chē)輛信息安全系統(tǒng)設(shè)計(jì)又依附于汽車(chē)電子電氣架構(gòu)（electronics/electrical，E/E）系統(tǒng)設(shè)計(jì)。因此，應(yīng)對(duì)汽車(chē)網(wǎng)絡(luò)信息安全漏洞進(jìn)行排查，包括與外部環(huán)境（如云服務(wù)器、其他車(chē)輛和基礎(chǔ)設(shè)施）的連接、與車(chē)載網(wǎng)絡(luò)的連接、與ECU級(jí)別的連接和單個(gè)組件的連接等，構(gòu)建安全級(jí)別更高的E/E 系統(tǒng)，從系統(tǒng)層面提高安全性。在測(cè)試階段，對(duì)車(chē)輛信息安全功能檢查測(cè)試，進(jìn)行安全評(píng)估，驗(yàn)證車(chē)輛信息安全架構(gòu)的安全性。在整體車(chē)輛信息安全開(kāi)發(fā)過(guò)程中，應(yīng)當(dāng)將硬件設(shè)計(jì)和軟件設(shè)計(jì)協(xié)調(diào)開(kāi)發(fā)，同時(shí)考慮到軟硬件的安全可靠性，共同實(shí)現(xiàn)網(wǎng)絡(luò)安全[9]。

圖2 車(chē)輛信息安全開(kāi)發(fā)框架圖

以特斯拉汽車(chē)為例，分析汽車(chē)E/E 架構(gòu)方案。特斯拉汽車(chē)作為汽車(chē)E/E 架構(gòu)變革的帶頭人，Model 3 的電子電氣架構(gòu)分為3 大部分：中央計(jì)算模塊（CCM）、左車(chē)身控制模塊（BCM_LH）和右車(chē)身控制模塊（BCM_RH）。CCM 直接整合了駕駛輔助系統(tǒng)（ADAS）和信息娛樂(lè)系統(tǒng)（IVI）2 大功能域，同時(shí)包括對(duì)外通信和車(chē)內(nèi)系統(tǒng)域通信的功能；BCM_LH 和BCM_RH 分別負(fù)責(zé)車(chē)身與便利系統(tǒng)、底盤(pán)與安全系統(tǒng)和部分動(dòng)力系統(tǒng)的功能。3大模塊均采用高性能處理器，能夠滿(mǎn)足功能域內(nèi)的大量計(jì)算需求，域內(nèi)其余ECU 僅控制汽車(chē)外圍設(shè)備，域內(nèi)各系統(tǒng)通過(guò)局域網(wǎng)進(jìn)行通信，而模塊之間通過(guò)總線(xiàn)進(jìn)行通信，實(shí)現(xiàn)了基本的安全隔離。

汽車(chē)域集中式電子電氣架構(gòu)的出現(xiàn)，為信息安全以及算力不足的問(wèn)題提供了解決方案[10]。汽車(chē)域集中式電子電氣架構(gòu)指的是將汽車(chē)根據(jù)功能劃分為若干個(gè)功能塊，每個(gè)功能塊以域控制器為主導(dǎo)搭建，各個(gè)功能域內(nèi)部通信可根據(jù)不同功能的通信速率需求采用不同種類(lèi)的通信總線(xiàn)，如CAN、LIN、FLEXRAY、MOST等總線(xiàn)，各個(gè)功能域之間的通信通過(guò)傳輸速率更高的以太網(wǎng)實(shí)現(xiàn)信息交換，域集中式電子電氣架構(gòu)圖如圖3 所示。域控制器主要負(fù)責(zé)傳遞域與云、域與域以及域內(nèi)部的通信。域內(nèi)ECU 僅負(fù)責(zé)相應(yīng)執(zhí)行器件的操作指令，采用帶有通信功能的控制器即可。

根據(jù)我國(guó)國(guó)情，智能網(wǎng)聯(lián)汽車(chē)域集中式電子電氣架構(gòu)結(jié)合了智能化、網(wǎng)聯(lián)化、電動(dòng)化3 大部分的應(yīng)用。相較于以前的汽車(chē)分布式電子電氣架構(gòu)，針對(duì)算力不足方面，域控制器作為每個(gè)域的獨(dú)立控制器，其內(nèi)部需匹配一個(gè)核心運(yùn)算力強(qiáng)的處理器，以滿(mǎn)足智能網(wǎng)聯(lián)汽車(chē)對(duì)算力的要求，目前業(yè)內(nèi)有NVIDIA、華為、瑞薩、NXP、TI、Mobileye、賽靈思、地平線(xiàn)等多個(gè)品牌方案。在安全防護(hù)方面，域集中式架構(gòu)將車(chē)輛根據(jù)功能及通信速率要求分為若干個(gè)獨(dú)立功能模塊，若攻擊者想要通過(guò)某一功能對(duì)整車(chē)進(jìn)行攻擊，該功能所在的域控制器可以及時(shí)監(jiān)測(cè)并排除隱患，不會(huì)影響其他功能域，有效減少了攻擊面擴(kuò)大的可能性。

圖3 域集中式電子電氣架構(gòu)圖

2 智能網(wǎng)聯(lián)汽車(chē)面臨的信息安全威脅分析

隨著車(chē)輛連通性功能的極大擴(kuò)展，導(dǎo)航定位、自動(dòng)泊車(chē)、遠(yuǎn)程控制及診斷等功能已逐漸成為汽車(chē)的標(biāo)配。這些功能帶給人們極大便利的同時(shí)，也帶來(lái)了更多安全隱患。

根據(jù)遭受攻擊的方式不同，智能網(wǎng)聯(lián)汽車(chē)安全隱患由遠(yuǎn)及近可劃分為以下4 個(gè)方面[11]：

（1）云端層安全隱患。云平臺(tái)存儲(chǔ)著汽車(chē)關(guān)鍵信息，能夠給汽車(chē)提供路況信息、定位導(dǎo)航、報(bào)警、遠(yuǎn)程控制等，如果云平臺(tái)遭到黑客攻擊，大量重要數(shù)據(jù)外泄，后果不堪設(shè)想。

（2）網(wǎng)絡(luò)傳輸層安全隱患。智能網(wǎng)聯(lián)汽車(chē)通過(guò)無(wú)線(xiàn)通信的方式實(shí)現(xiàn)與云平臺(tái)、移動(dòng)端APP、其他車(chē)輛、交通狀況等數(shù)據(jù)的信息交互，而無(wú)線(xiàn)通信方式可能存在著身份認(rèn)證、數(shù)據(jù)信息加密、協(xié)議等安全問(wèn)題，因此汽車(chē)也有相應(yīng)的安全隱患。

（3）車(chē)載通信層安全隱患。隨著車(chē)輛外部接口的增多，車(chē)輛內(nèi)部通信過(guò)程中電子控制單元固件的安全隱患、數(shù)據(jù)傳輸過(guò)程中的安全隱患也隨之增多。

（4）外部接口安全隱患。目前市場(chǎng)上有很多第三方APP，APP 種類(lèi)繁雜，其安全防護(hù)也是消除隱患的重要一環(huán)。如果黑客入侵APP，甚至可以直接遠(yuǎn)程操控汽車(chē)。除此之外，電動(dòng)汽車(chē)的充電槍與充電樁之間通信接口也存在安全隱患，一旦遭到攻擊，電動(dòng)汽車(chē)的能源系統(tǒng)遭到破壞，可能會(huì)帶來(lái)生命危險(xiǎn)[11]。

3 汽車(chē)車(chē)載信息安全隱患分析

（1）車(chē)載智能終端（車(chē)載T-BOX）攻擊

車(chē)載T-BOX 主要用于車(chē)與車(chē)聯(lián)網(wǎng)服務(wù)平臺(tái)的通信，具有車(chē)輛遠(yuǎn)程控制、遠(yuǎn)程查詢(xún)、報(bào)警等功能。正常情況下，車(chē)載T-BOX 通過(guò)讀取車(chē)載內(nèi)部CAN 通信數(shù)據(jù)信息，并通過(guò)無(wú)線(xiàn)通信方式將信息傳遞至云平臺(tái)或APP。車(chē)載T-BOX 的安全隱患主要有3 個(gè)方面：一是固件逆向，攻擊者通過(guò)逆向解析車(chē)載T-BOX 固件，獲取密鑰，解密通信協(xié)議；二是通過(guò)車(chē)載T-BOX 的預(yù)留調(diào)試接口讀取內(nèi)部數(shù)據(jù)并進(jìn)行分析，解密通信協(xié)議；三是通過(guò)仿冒云平臺(tái)的控制指令，將指令發(fā)送到汽車(chē)內(nèi)部，實(shí)現(xiàn)對(duì)汽車(chē)的遠(yuǎn)程控制。

（2）車(chē)載信息娛樂(lè)系統(tǒng)（IVI）攻擊

車(chē)載信息娛樂(lè)系統(tǒng)用于導(dǎo)航、路況播報(bào)、車(chē)輛信息、通訊、輔助駕駛、CD/收音機(jī)等的應(yīng)用。由于車(chē)載信息娛樂(lè)系統(tǒng)的功能豐富，攻擊者既可以通過(guò)USB、藍(lán)牙、Wi-Fi 等通信方式進(jìn)行攻擊，也可以通過(guò)軟件升級(jí)獲得訪(fǎng)問(wèn)權(quán)限對(duì)系統(tǒng)進(jìn)行攻擊[12]。

（3）診斷接口OBD-Ⅱ攻擊

汽車(chē)診斷接口OBD-Ⅱ是汽車(chē)ECU 與外部進(jìn)行交互的接口，其主要功能是讀取車(chē)輛的數(shù)據(jù)信息和故障碼，用以車(chē)輛維修[13]。OBD-Ⅱ接口一旦遭到攻擊，不僅可以通過(guò)該接口破解汽車(chē)內(nèi)部通信協(xié)議，而且還可以通過(guò)植入惡意硬件發(fā)送控制指令實(shí)現(xiàn)對(duì)車(chē)輛的控制。

（4）傳感器攻擊

智能網(wǎng)聯(lián)汽車(chē)擁有大量的傳感器設(shè)備，用于車(chē)與車(chē)、車(chē)與人、車(chē)與路、車(chē)與云的通信。如果傳感器遭受惡意信息注入、竊聽(tīng)等攻擊，高自動(dòng)化車(chē)輛可能會(huì)無(wú)法正確判斷周?chē)h(huán)境行為，造成嚴(yán)重后果。

（5）車(chē)內(nèi)網(wǎng)絡(luò)傳輸攻擊

汽車(chē)內(nèi)部網(wǎng)絡(luò)通信大多采用CAN 總線(xiàn)傳輸，CAN總線(xiàn)具有成本低、通信速率適中、抗電磁干擾能力強(qiáng)等特點(diǎn)，因此被廣泛應(yīng)用于汽車(chē)電控系統(tǒng)。但CAN 總線(xiàn)采用非破壞性總線(xiàn)仲裁方式，具有校驗(yàn)簡(jiǎn)單、一發(fā)多讀等特點(diǎn)，安全防護(hù)措施薄弱，攻擊者若通過(guò)CAN 總線(xiàn)進(jìn)行報(bào)文重放、拒絕服務(wù)、篡改等方式進(jìn)行攻擊，將導(dǎo)致駕駛員控制指令失效、汽車(chē)無(wú)法正常行駛的后果[14]。

4 汽車(chē)車(chē)載通信安全解決方案

在智能網(wǎng)聯(lián)汽車(chē)信息安全防護(hù)方面，根據(jù)攻擊發(fā)生的不同過(guò)程，分別建立主動(dòng)防護(hù)、入侵監(jiān)測(cè)、應(yīng)急處理的系統(tǒng)安全防護(hù)措施，保障汽車(chē)的信息安全[15]。在攻擊發(fā)生前，做好主動(dòng)防護(hù)，對(duì)汽車(chē)的通信數(shù)據(jù)進(jìn)行篩查過(guò)濾，對(duì)常見(jiàn)的攻擊方法有效防范。攻擊發(fā)生后，持續(xù)監(jiān)測(cè)汽車(chē)通信狀態(tài)的變化，及時(shí)對(duì)攻擊點(diǎn)采取應(yīng)急措施并及時(shí)更新，防止危險(xiǎn)的發(fā)生。

根據(jù)目前對(duì)汽車(chē)信息安全技術(shù)適用性模型的分析，結(jié)合全新的汽車(chē)域集中式電子電氣架構(gòu)，構(gòu)建車(chē)載多域分層入侵檢測(cè)模型，針對(duì)云端層、域控制器層、ECU 層、車(chē)內(nèi)網(wǎng)絡(luò)傳輸層進(jìn)行分層入侵檢測(cè)，采取對(duì)應(yīng)的主動(dòng)防護(hù)措施，以達(dá)到精準(zhǔn)防護(hù)的效果。多域分層入侵檢測(cè)示意如圖4 所示。

圖4 多域分層入侵檢測(cè)示意圖

（1）域控制器層

新架構(gòu)方案中，域控制器既是整個(gè)域的計(jì)算集成平臺(tái)，也是域與域、域與云端之間進(jìn)行信息交流的網(wǎng)關(guān)。域控制器作為汽車(chē)內(nèi)外網(wǎng)絡(luò)信息交互的安全邊界，是汽車(chē)車(chē)載網(wǎng)絡(luò)安全防護(hù)的重點(diǎn)。因此，在安全邊界建立安全防火墻，對(duì)數(shù)據(jù)信息進(jìn)行安全檢測(cè)、訪(fǎng)問(wèn)限制、日志記錄等安全性檢測(cè)[16]，以實(shí)現(xiàn)安全防護(hù)。

汽車(chē)的通信報(bào)文由ID、數(shù)據(jù)信息、校驗(yàn)位等部分組成。ID 確定報(bào)文的傳輸優(yōu)先級(jí)和目的地址，數(shù)據(jù)信息確定操作指令，校驗(yàn)位確保傳輸?shù)臄?shù)據(jù)信息完整。安全防火墻的主要作用是實(shí)現(xiàn)訪(fǎng)問(wèn)控制功能，汽車(chē)安全防火墻框架圖如圖5 所示。

圖5 安全防火墻框架圖

防火墻訪(fǎng)問(wèn)控制功能的實(shí)現(xiàn)主要基于建立汽車(chē)通信報(bào)文的白名單數(shù)據(jù)庫(kù)，一旦檢測(cè)到報(bào)文請(qǐng)求，將報(bào)文ID 與白名單數(shù)據(jù)庫(kù)進(jìn)行比對(duì)，匹配成功則通過(guò)，失敗則丟棄。

防火墻的異常檢測(cè)技術(shù)有多種，常見(jiàn)的檢測(cè)技術(shù)包括入侵異常檢測(cè)方法，基于神經(jīng)網(wǎng)絡(luò)、聚類(lèi)、遺傳算法，基于信息熵、關(guān)聯(lián)規(guī)則等[17-19]。入侵異常檢測(cè)方法主要通過(guò)對(duì)大量正常行駛的汽車(chē)的通信數(shù)據(jù)進(jìn)行分析，構(gòu)建汽車(chē)通信網(wǎng)絡(luò)安全模型，并用該模型監(jiān)視用戶(hù)及系統(tǒng)的行為，分析是否存在異常的非法數(shù)據(jù)活動(dòng)，并向用戶(hù)報(bào)警記錄。汽車(chē)報(bào)文分為周期報(bào)文和事件觸發(fā)報(bào)文，入侵異常檢測(cè)技術(shù)可以根據(jù)不同情況建立模型。周期報(bào)文是通過(guò)設(shè)定報(bào)文周期閾值構(gòu)建入侵檢測(cè)模型，將報(bào)文周期與閾值對(duì)比進(jìn)行判定；事件觸發(fā)報(bào)文沒(méi)有固定的發(fā)送周期，但多數(shù)報(bào)文的操作指令相互關(guān)聯(lián)，如汽車(chē)的車(chē)速信號(hào)與剎車(chē)信號(hào)存在負(fù)相關(guān)關(guān)系，油門(mén)踏板信號(hào)與車(chē)信號(hào)存在正相關(guān)關(guān)系。因此，通過(guò)大量的數(shù)據(jù)分析構(gòu)建通信報(bào)文正/負(fù)相關(guān)入侵檢測(cè)模型，一旦報(bào)文關(guān)聯(lián)出現(xiàn)較大的偏差，則判定為入侵行為并報(bào)警[20]。由于汽車(chē)車(chē)載芯片的計(jì)算能力不足以同時(shí)實(shí)現(xiàn)安全性與實(shí)時(shí)性的最大化，因此現(xiàn)采用的入侵檢測(cè)的方法需要在保證實(shí)時(shí)性的基礎(chǔ)上，對(duì)入侵進(jìn)行有效檢測(cè)，目前針對(duì)汽車(chē)車(chē)載報(bào)文流量監(jiān)測(cè)是最為有效的辦法。安全防火墻中訪(fǎng)問(wèn)控制、通信標(biāo)準(zhǔn)檢測(cè)、異常分析的入侵檢測(cè)流程如6 所示。

圖6 入侵檢測(cè)流程

（2）車(chē)內(nèi)網(wǎng)絡(luò)層

每個(gè)域內(nèi)網(wǎng)絡(luò)傳輸安全是安全防護(hù)機(jī)制的第二道防線(xiàn)。根據(jù)功能域所需要的通信要求的不同，采用的車(chē)載傳輸網(wǎng)絡(luò)也有所不同。目前，除了信息娛樂(lè)系統(tǒng)以外，大都采用CAN 總線(xiàn)通信。CAN 總線(xiàn)的廣播特性、非破壞性總線(xiàn)仲裁方式等導(dǎo)致安全防護(hù)薄弱，因此需要制定通信安全協(xié)議。

通信安全協(xié)議的設(shè)計(jì)主要由ECU 節(jié)點(diǎn)的校驗(yàn)和傳輸數(shù)據(jù)信息的加密2 部分組成[21-22]。在汽車(chē)行駛前，域控制器隨機(jī)分配每個(gè)ECU 的身份，ECU 要向域控制器發(fā)送認(rèn)證請(qǐng)求，進(jìn)行身份認(rèn)證，從而保證節(jié)點(diǎn)的合法性，完成ECU 節(jié)點(diǎn)的校驗(yàn)。汽車(chē)行駛過(guò)程中，車(chē)載網(wǎng)絡(luò)的通信信息需要加密，以防攻擊者竊聽(tīng)、偽裝。結(jié)合汽車(chē)對(duì)實(shí)時(shí)性要求高的特點(diǎn)，數(shù)據(jù)加密采用AES 對(duì)稱(chēng)加密算法。ECU 身份認(rèn)證流程如圖7 所示，CAN 通信加密報(bào)文格式如圖8 所示。

圖7 ECU 身份認(rèn)證流程

圖8 CAN 通信加密報(bào)文格式

對(duì)稱(chēng)加密計(jì)算量小、速度快，適用于汽車(chē)大數(shù)據(jù)通信。對(duì)稱(chēng)加密算法中，加密方和解密方事先都必須知道加密的密鑰，發(fā)送和接收雙方都使用該密鑰對(duì)數(shù)據(jù)進(jìn)行加密和解密?；趯?duì)汽車(chē)數(shù)據(jù)的安全性和實(shí)時(shí)性的要求，可以根據(jù)已校驗(yàn)成功的ECU ID 以及數(shù)據(jù)發(fā)送ECU 和接收ECU，建立獨(dú)立的加密表作為密鑰對(duì)數(shù)據(jù)進(jìn)行加密，并根據(jù)對(duì)汽車(chē)實(shí)時(shí)性的驗(yàn)證，相應(yīng)調(diào)整加密表的加密難易度，最大化地保證數(shù)據(jù)的安全。

（3）ECU 層

ECU 層面的安全防護(hù)主要是固件防護(hù)，實(shí)現(xiàn)防止固件刷寫(xiě)、外界訪(fǎng)問(wèn)、惡意更改等功能。考慮到成本問(wèn)題，根據(jù)不同功能的ECU 需分配不同等級(jí)的安全防護(hù)措施。硬件安全模塊是一種用于保護(hù)和管理強(qiáng)認(rèn)證系統(tǒng)所使用的密鑰，并同時(shí)提供相關(guān)密碼學(xué)操作的計(jì)算機(jī)硬件設(shè)備。車(chē)身域ECU 采用輕量級(jí)硬件安全模塊，動(dòng)力域ECU、信息娛樂(lè)域ECU、輔助駕駛域均采用中量級(jí)硬件安全模塊，而車(chē)身域控制器、動(dòng)力域控制器、信息娛樂(lè)域控制器和輔助駕駛域控制器均采用重量級(jí)硬件安全模塊。

5 結(jié)語(yǔ)

本文從智能網(wǎng)聯(lián)汽車(chē)的發(fā)展出發(fā)，聚焦了智能網(wǎng)聯(lián)汽車(chē)的信息安全隱患問(wèn)題，對(duì)汽車(chē)車(chē)載網(wǎng)絡(luò)信息安全的防護(hù)進(jìn)行了分析，建立汽車(chē)域集中式電子電氣架構(gòu)，提出了從防護(hù)到入侵檢測(cè)、從數(shù)據(jù)加密到硬件加密的完整信息安全防護(hù)模型的初步可行性方案架構(gòu)，未來(lái)仍需通過(guò)實(shí)例對(duì)方案進(jìn)行更進(jìn)一步的論證。