汽车的分布式网络系统、隔离装置、报文传输方法和汽车与流程

本发明涉及汽车制造技术应用领域，具体而言，涉及一种汽车的分布式网络系统、隔离装置、报文传输方法和汽车。

背景技术：

在现有汽车中存在着大量的电子控制单元，每个电子控制单元之间都是通过总线来进行数据的传递与交互，以及控制指令的下发，所以整个车载总线的网络架构中存在一种分布式网络的架构。

该分布式网络的架构的特点是各个控制器通过数条总线组成网络，各网络之间通过数个控制器进行转发通信，这种方式没有统一的网络管理设备进行调度，并且最终各条网络直接连接至车辆的诊断接口上，详见图1，图1是现有技术中分布式网络的架构的示意图。但是这种方式安全性低，通过车载诊断接口就可以访问车内所有的网络及控制器，通过此诊断接口恶意发送干扰报文或伪造控制器专用报文，就可以达到干扰或瘫痪车内通信，或者使相关的车内功能非正常启用/关闭等严重后果。

基于全球的汽车市场，带有分布式网络架构的车辆数量巨大。但随着对车辆网络安全性要求越来越高，迫切需要针对性提升这种网络架构的安全性。但按照目前的解决方案，只有重新对网络架构进行设计，将分布式变为集中网络管理式架构有才能实现。但这样的话会牵涉到大量的设计变更及工程变更，成本非常高昂。

针对上述由于现有技术中将分布式变为集中网络管理式架构，导致的设计复杂成本高的问题，目前尚未提出有效的解决方案。

技术实现要素：

本发明实施例提供了一种汽车的分布式网络系统、隔离装置、报文传输方法和汽车，以至少解决由于现有技术中将分布式变为集中网络管理式架构，导致的设计复杂成本高的技术问题。

根据本发明实施例的一个方面，提供了一种隔离装置，包括：主控模块，路由报文控制模块和总线通道控制模块；其中，主控模块，用于对路由控制模块进行使能控制，并根据外接电源及通信输入条件激活或禁止路由控制模块的路由控制功能；路由报文控制模块，一端与主控模块连接，另一端与总线通道控制模块连接，用于对总线通道中报文转发的路径进行调整，并验证每个总线通道中的报文是否满足预设安全条件；总线通道控制模块，一端与路由报文控制模块连接，用于传输满足预设安全条件的报文。

可选的，隔离装置还包括：电源和通信唤醒线；其中，电源，与主控模块连接，用于向主控模块供电；通信唤醒线，与主控模块连接，用于唤醒主控模块进入通信模式。

可选的，总线通道控制模块对应的总线通道个数为偶数个，且总线通道控制模块的个数与总线通道相同。

可选的，隔离装置位于汽车的分布式网络系统中，其中，汽车的分布式网络系统包括：车载诊断接口网络和车内网络，隔离装置位于车载诊断接口网络和车内网络之间，用于隔离不满足预设安全条件的报文。

根据本发明实施例的另一个方面，提供了一种汽车的分布式网络系统，包括：车载诊断接口网络、车内网络和隔离装置，其中，隔离装置位于车载诊断接口网络和车内网络之间，用于隔离不满足预设安全条件的报文。

其中，隔离装置包括上述一个方面提供的一种隔离装置。

可选的，隔离装置包括：主控模块，路由报文控制模块和总线通道控制模块；其中，主控模块，用于对路由控制模块进行使能控制，并根据外接电源及通信输入条件激活或禁止路由控制模块的路由控制功能；路由报文控制模块，一端与主控模块连接，另一端与总线通道控制模块连接，用于对总线通道中报文转发的路径进行调整，并验证每个总线通道中的报文是否满足预设安全条件；总线通道控制模块，一端与路由报文控制模块连接，用于传输满足预设安全条件的报文。

进一步地，可选的，隔离装置还包括：电源和通信唤醒线；其中，电源，与主控模块连接，用于向主控模块供电；通信唤醒线，与主控模块连接，用于唤醒主控模块进入通信模式。

可选的，总线通道控制模块对应的总线通道个数为偶数个，且总线通道控制模块的个数与总线通道相同。

根据本发明实施例的又一个方面，提供了一种报文传输方法，包括：通过主控模块控制路由报文控制模块对总线通道中待传输报文转发的路径进行调整；通过路由报文控制模块验证每个总线通道中的待传输报文是否满足预设安全条件；在路由报文控制模块验证总线通道中的待传输报文满足预设安全条件的情况下，通过总线通道控制模块传输满足预设安全条件的待传输报文。

可选的，通过路由报文控制模块验证每个总线通道中的待传输报文是否满足预设安全条件包括：如果是则判断待传输报文中的服务标识是否为本通道的售后需要的服务标识；如果待传输报文中的服务标识是本通道的售后需要的服务标识，则判断服务标识是否属于预设安全条件中的风险服务；如果确认为风险服务，则进行源节点安全验证，并通过总线通道控制模块放行验证通过后的服务标识对应的待传输报文；如果源节点安全验证失败，则通过总线通道控制模块禁止待传输报文的访问及禁止转发。

进一步地，可选的，如果确认为风险服务，则进行源节点安全验证包括：将服务标识中的安全识别校验码和对安全识别校验码进行二次加密运算后得到的二次验证code与预存值进行校验。

可选的，该方法还包括：如果待传输报文的报文标识不属于预设安全条件中本通道的诊断报文类的标识，则通过总线通道控制模块禁止访问或禁止转发。

可选的，通过总线通道控制模块传输满足预设安全条件的报文包括：如果服务标识不属于预设安全条件中的风险服务，则通过总线通道控制模块发送待传输报文。

根据本发明实施例的再一个方面，提供了一种汽车，包括：汽车的分布式网络系统，其中，汽车的分布式网络系统包括上述汽车的分布式网络系统。

在本发明实施例中，采用车载诊断接口网络和车内网络之间设置隔离装置的方式，通过隔离装置中的主控模块控制路由报文控制模块对总线通道中待传输报文转发的路径进行调整；通过路由报文控制模块验证每个总线通道中的待传输报文是否满足预设安全条件；在路由报文控制模块验证总线通道中的待传输报文满足预设安全条件的情况下，通过总线通道控制模块传输满足预设安全条件的待传输报文，达到了降低设计复杂度和成本的目的，从而实现了不改变现有网络系统的基础上实现网络系统的安全性的技术效果，进而解决了由于现有技术中将分布式变为集中网络管理式架构，导致的设计复杂成本高的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是现有技术中分布式网络的系统的示意图；

图2是根据本发明实施例一的一种汽车的分布式网络系统的结构示意图；

图3是根据本发明实施例一的另一种汽车的分布式网络系统的结构示意图；

图4是根据本发明实施例一的一种汽车的分布式网络系统中隔离装置的结构示意图；

图5是根据本发明实施例三的一种报文传输方法的流程示意图；

图6是根据本发明实施例三的一种报文传输方法中判断售后诊断需要的服务报文流程的示意图；

图7是根据本发明实施例三的一种报文传输方法中风险报文源节点安全验证顺序的示意图；

图8是根据本发明实施例三的一种报文传输方法中源地址信息验证报文格式的示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例一

根据本发明实施例，提供了一种汽车的分布式网络系统的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图2是根据本发明实施例一的一种汽车的分布式网络系统的结构示意图，如图2所示，该汽车的分布式网络系统包括：

车载诊断接口网络21、车内网络22和隔离装置23，其中，隔离装置23位于车载诊断接口网络21和车内网络22之间，用于隔离不满足预设安全条件的报文。

具体的，本申请提供的汽车的分布式网络系统区别于现有技术，图3是根据本发明实施例一的另一种汽车的分布式网络系统的结构示意图，如图3所示，隔离装置23位于车载诊断接口网络21和车内网络22之间，对只有本通道具有的售后诊断需要的服务报文才能被转入车内网络或放行至车载诊断接口(即，本申请提供的隔离不满足预设安全条件的报文)，同时为了进一步提高安全性，隔离设备会对连接车载诊断接口的设备进行源节点安全验证，确认是原厂指定的诊断仪后才允许放行，否则同样拒绝访问。

在本发明实施例中，采用车载诊断接口网络和车内网络之间设置隔离装置的方式，通过接收待传输报文；判断待传输报文是否满足预设安全条件；依据判断结果传输待传输报文，达到了降低设计复杂度和成本的目的，从而实现了不改变现有网络系统的基础上实现网络系统的安全性的技术效果，进而解决了由于现有技术中将分布式变为集中网络管理式架构，导致的设计复杂成本高的技术问题。

具体的，图4是根据本发明实施例一的一种汽车的分布式网络系统中隔离装置的结构示意图，如图4所示，本申请提供的汽车的分布式网络系统中的隔离装置具体如下：

可选的，隔离装置23包括：主控模块231，路由报文控制模块232和总线通道控制模块233；其中，主控模块231，用于对路由控制模块232进行使能控制，并根据外接电源及通信输入条件激活或禁止路由控制模块232的路由控制功能；路由报文控制模块232，一端与主控模块231连接，另一端与总线通道控制模块233连接，用于对总线通道中报文转发的路径进行调整，并验证每个总线通道中的报文是否满足预设安全条件；总线通道控制模块233，一端与路由报文控制模块232连接，用于传输满足预设安全条件的报文。

进一步地，可选的，隔离装置23还包括：电源234和通信唤醒线235；其中，电源234，与主控模块231连接，用于向主控模块231供电；通信唤醒线235，与主控模块231连接，用于唤醒主控模块进入通信模式。

可选的，总线通道控制模块对应的总线通道个数为偶数个，且总线通道控制模块的个数与总线通道相同。

综上，本申请提供的汽车的分布式网络系统中的隔离装置23包括：主控模块231，路由报文控制模块232和总线通道控制模块233，其中，如图4所示，主控模块231标记为1，路由报文控制模块232标记为2，总线通道控制模块233标记为3至8。

其中，隔离装置23具有2个以上(偶数个)的总线通道(每个总线通道对应一个总线通道控制模块233)，插入需要保护的车内网络与车载诊断接口网络之间，每两个总线通道间一一绑定，例如通道1只能与通道2通信，通道3只能与通道4通信，以此类推。为了方便实际使用，绑定的通道可通过软件配置更改。如可改成通道1与通道3通信，通道2与通道4通信等。该隔离装置23通过通信唤醒线235可支持总线报文唤醒与硬线唤醒，唤醒后控制路由报文控制模块232迅速建立报文的路由转发能力。隔离装置23内对每个总线通道都建立有允许放行的报文名单，只有本通道具有的售后诊断需要的服务报文才能被转入车内网络或放行至车载诊断接口。

同时为了进一步提高安全性，隔离装置23会对连接车载诊断接口网络中的车载诊断接口的设备进行源节点安全验证，确认是原厂指定的诊断仪后才允许放行，否则同样拒绝访问。

需要说明的是，在车厂研发阶段，往往在功能验证，道路测试等阶段需要通过车载诊断接口直接读取车内网络的报文数据，为方便研发阶段工作，此时隔离装置23中配置允许放行的报文名单设计为可配置部分，在研发阶段可通过软件配置成不进行过滤，此时隔离装置23不起作用。当进入量产及后续使用和维护时，启用隔离装置23，此时隔离装置23发挥应有功能。

本申请提供的汽车的分布式网络系统不用改变原有的网络系统，原有模块的软硬件设计，以及绝大部分线束都可保持不变的前提下，大大节省了成本，并将车载诊断接口网络与车内网络进行隔离，避免非授权第三方通过车载诊断接口就可以访问车内所有的网络及控制器，通过恶意发送干扰报文或伪造控制器专用报文使相关的车内功能非正常启用/关闭等严重后果。从而提高分布式网络系统的安全性。

本申请提供的汽车的分布式网络系统能够在不用改变原有的网络系统，原有模块的软硬件设计，以及绝大部分线束的前提下，将车载诊断接口网络与车内网络进行隔离，避免非授权第三方通过车载诊断接口就可以访问车内所有的网络及控制器，通过恶意发送干扰报文或伪造控制器专用报文使相关的车内功能非正常启用/关闭等严重后果。提高分布式网络系统的安全性。本申请提供的隔离装置中总线通道绑定设置以及过滤功能可通过软件进行配置，因此灵活性高，同时也可扩展至车内其他需要隔离的网络中，具有很强的实用性。

实施例二

根据本发明实施例的另一个方面，提供了一种隔离装置，包括：主控模块，路由报文控制模块和总线通道控制模块；其中，主控模块，用于对路由控制模块进行使能控制，并根据外接电源及通信输入条件激活或禁止路由控制模块的路由控制功能；路由报文控制模块，一端与主控模块连接，另一端与总线通道控制模块连接，用于对总线通道中报文转发的路径进行调整，并验证每个总线通道中的报文是否满足预设安全条件；总线通道控制模块的一端与路由报文控制模块连接，总线通道控制模块，用于传输满足预设安全条件的报文。

本申请提供的隔离装置对应实施例一中的隔离装置23，本申请提供的隔离装置中的主控模块对应实施例一中的主控模块231，路由报文控制模块对应实施例一中的路由报文控制模块232，总线通道控制模块对应实施例一中的总线通道控制模块233。本申请提供的隔离装置结构如图4所示。

可选的，隔离装置还包括：电源和通信唤醒线接口；其中，电源，与主控模块连接，用于向主控模块供电；通信唤醒线，与主控模块连接，用于唤醒主控模块进入通信模式。

可选的，总线通道控制模块对应的总线通道个数为偶数个，且总线通道控制模块的个数与总线通道对应。

可选的，隔离装置位于汽车的分布式网络系统中，其中，汽车的分布式网络系统包括：车载诊断接口网络和车内网络，隔离装置位于车载诊断接口网络和车内网络之间，用于隔离不满足预设安全条件的报文。

实施例三

根据本发明实施例的又一个方面，提供了一种报文传输方法，应用于实施例一和实施例二中的隔离装置，图5是根据本发明实施例三的一种报文传输方法的流程示意图，如图5所示，包括：

步骤S502，通过主控模块控制路由报文控制模块对总线通道中待传输报文转发的路径进行调整；

步骤S504，通过路由报文控制模块验证每个总线通道中的待传输报文是否满足预设安全条件；

步骤S506，在路由报文控制模块验证总线通道中的待传输报文满足预设安全条件的情况下，通过总线通道控制模块传输满足预设安全条件的待传输报文。

具体的，本申请提供的报文传输方法可以应用于实施例一对应的汽车的分布式网络系统中的隔离装置，以及应用于实施例二对应的隔离装置，其中，隔离装置在接收到车内网络或车载诊断网络发送的待传输报文后，判断待传输报文是否满足预设安全条件，并依据判断结果向车内网络或车载诊断网络传输待传输报文。

在本发明实施例中，采用车载诊断接口网络和车内网络之间设置隔离装置的方式，通过隔离装置中的主控模块控制路由报文控制模块对总线通道中待传输报文转发的路径进行调整；通过路由报文控制模块验证每个总线通道中的待传输报文是否满足预设安全条件；在路由报文控制模块验证总线通道中的待传输报文满足预设安全条件的情况下，通过总线通道控制模块传输满足预设安全条件的待传输报文，达到了降低设计复杂度和成本的目的，从而实现了不改变现有网络系统的基础上实现网络系统的安全性的技术效果，进而解决了由于现有技术中将分布式变为集中网络管理式架构，导致的设计复杂成本高的技术问题。

可选的，步骤S504中通过路由报文控制模块验证每个总线通道中的待传输报文是否满足预设安全条件包括：

Step1,如果是则判断待传输报文中的服务标识是否为本通道的售后需要的服务标识；

Step2,如果待传输报文中的服务标识是本通道的售后需要的服务标识，则判断服务标识是否属于预设安全条件中的风险服务；

Step3,如果确认为风险服务，则进行源节点安全验证，并通过总线通道控制模块放行验证通过后的服务标识对应的待传输报文；

Step4,如果源节点安全验证失败，则通过总线通道控制模块禁止待传输报文的访问及禁止转发。

具体的，如图6所示，图6是根据本发明实施例三的一种报文传输方法中判断售后诊断需要的服务报文流程的示意图。

步骤S1，判断待传输报文的报文标识是否属于预设安全条件中本通道的诊断报文类的标识；

步骤S2，如果不是则禁止访问或禁止转发；

步骤S3，如果是则判断待传输报文中的服务标识是否为本通道的售后需要的服务标识；

步骤S4，如果不是禁止访问或禁止转发；

步骤S5，如果是则判断服务标识是否属于预设安全条件中的风险服务；

步骤S6，如果不是则允许放行；

步骤S7，如果确认为风险服务，则进行源节点安全验证，并放行验证通过后的服务标识对应的待传输报文；

步骤S8，如果源节点安全验证失败，则禁止待传输报文的访问及禁止转发。

其中，在本申请判断待传输报文是否满足预设安全条件，并依据判断结果传输待传输报文包括：

先判定判断报文标识ID是否属于本通道的诊断报文类的标识ID，如果不是则禁止访问或转发。判断报文中的服务ID是否为本通道的售后需要的服务，如果不是也禁止访问或转发。再判定此服务是否为风险服务，如果不是则允许放行。如果确认为风险服务，则进行源节点安全验证。验证通过后才允许放行，否则同样禁止访问及转发。

进一步地，可选的，上述步骤Step3中如果确认为风险服务，则进行源节点安全验证包括：

将服务标识中的安全识别校验码security verification code和对安全识别校验码security verification code进行二次加密运算后得到的二次验证code与预存值进行校验。

具体的，本申请在每条风险报文后需要增加源地址信息验证报文，验证报文内包含有诊断仪根据本车辆信息从售后服务器取得的security verification code，以及对security verification code进行二次加密运算后得到的二次验证code。本申请提供的报文传输方法对应的隔离装置需要对security verification code以及二次验证code与内部的正确值进行比对，全部正确后才能通过验证。其中，风险报文源节点安全验证顺序如图7所示，图7是根据本发明实施例三的一种报文传输方法中风险报文源节点安全验证顺序的示意图，这里源地址信息验证报文格式如图8所示，图8是根据本发明实施例三的一种报文传输方法中源地址信息验证报文格式的示意图。

其中，源地址信息验证报文格式中的本车辆的security verification code根据车辆信息由诊断设备从售后服务器获取，其中，该security verification code共三个字节，即图8中斜线格子中所示的位置；源地址信息验证报文格式中的二次验证code，即通过对security verification code进行特殊运算后得出，在图8中网格中所示的位置；源地址信息验证报文格式中的序列号位于图8中空白格，其中，序列号范围为1-255，其中，1-255标识当前序列号为第几帧。

可选的，本申请提供的报文传输方法还包括：

在上述Step1之后，Step2之前，如果待传输报文的报文标识不属于预设安全条件中本通道的诊断报文类的标识，则通过总线通道控制模块禁止访问或禁止转发。

可选的，步骤S506中通过总线通道控制模块传输满足预设安全条件的报文包括：

在上述Step2之后，Step3之前，如果服务标识不属于预设安全条件中的风险服务，则通过总线通道控制模块发送待传输报文。

需要说明的是，本申请上述风险报文源节点安全验证顺序以及源地址信息验证报文格式仅以上述为例进行说明，以实现本申请提供的报文传输方法为准，具体不做限定。

本申请提供的报文传输方法所应用在的汽车的分布式网络系统能够在不用改变原有的网络系统，原有模块的软硬件设计，以及绝大部分线束的前提下，将车载诊断接口网络与车内网络进行隔离，避免非授权第三方通过车载诊断接口就可以访问车内所有的网络及控制器，通过恶意发送干扰报文或伪造控制器专用报文使相关的车内功能非正常启用/关闭等严重后果。提高分布式网络系统的安全性。本申请提供的报文传输方法所应用在的隔离装置中总线通道绑定设置以及过滤功能可通过软件进行配置，因此灵活性高，同时也可扩展至车内其他需要隔离的网络中，具有很强的实用性。

实施例四

根据本发明实施例的再一个方面，提供了一种汽车，包括：汽车的分布式网络系统，其中，汽车的分布式网络系统包括上述汽车的分布式网络系统。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。