本发明涉及网联车信息安全及入侵检测技术领域，尤其涉及一种在线式汽车can网络异常检测系统。
背景技术：
随着汽车四化(电动化、智能化、网联化、共享化)的发展，作为载运工具的汽车已不再是一个孤立的系统，它慢慢发展成一个复杂的移动网络终端。汽车内部各控制单元的通信绝大多数通过can总线，随着智能网联汽车的深入研究，汽车自身控制单元以及与外界通讯端口、外连设备的数量不断增加，汽车通信网络复杂度越来越高。随着汽车数量日益增多，信息共享化程度越来越高，但是汽车信息安全问题日益凸显。
目前，can总线信息安全检测技术主要有以下几种：身份认证、数据加密、入侵检测。前两种主要是采用加密技术以及认证方法对can网络数据进行保护，并与外界进行隔离，避免不符合协议的信息进入。而入侵监测通过选取相应算法，根据数据特征，对实时数据进行检测。相关技术如下：
申请公布号cn106143364a公开了一种电动汽车分布式控制器信息安全方法。该方法在各控制单元内部增加一个嵌入式mcu和can收发器，嵌入式mcu内置加解密算法，保证有效can信息不被窃取并且防止恶意指令的攻击，起到隔离保护的作用。
申请公布号cn108040082a公开了一种连接设备和数据传输方法。该发明提供了一种连接设备将车载终端和汽车can网络进行物理隔离，避免了车联网终端直接读取can总线消息带来的信息安全问题，同时对can总线数据进行隔离保护。连接设备包括离线下载模块、汽车can总线读取模块、可编程逻辑模块和开放can协议模块。
申请公布号cn105279421a公开了一种基于车联网接入obdⅱ的信息安全检测方法，该方法步骤：建立obdⅱ指令白名单；can报文过滤解析(从外向内)；根据白名单及发送频率判断是否为恶意指令；做出相应的报警以及处理。该过滤装置有指令判断模块、指令控制模块、指令白名单、通信模块、mcu和电源。
申请公布号cn106878130a公开了一种电动汽车can网络异常检测方法。该方法步骤为：采用接收发送报文id的方式判断是否有外设备发送虚拟报文；断开数据终端电源判断是否是数据终端受到入侵。该发明设计了一套检测装置，在每条can网络分布有检测模块。
申请公布号cn110149345a公开了一种基于报文序列预测的车载网络入侵检测方法。该方法的步骤：通过t-box车载终端采集汽车can总线数据获得标准数据集；根据三种攻击途径构成的运行场景分析车辆是否存在安全威胁；根据正常报文数据集和异常报文特征库进行学习构成评估检测器；将输入的报文通过评估检测器进行检测评估。
申请公布号cn110149258a公开了一种基于孤立森林的汽车can总线网络数据异常检测方法。该方法首先基于训练集的字样本来建立孤立树和孤立森林；然后根据孤立森林计算待测数据的异常分数，判断是否异常。
申请公布号cn109067773a公开了一种基于神经网络的车载can网络入侵检测方法及系统。他以各种can网络数据包的发送频率最为bp神经网络的输入，使用主成分分析法pca对数据进行降为，检测各种can数据包的发送频率；以发动机转速、进气量等具有相关性数据的正确性作为bp神经网络的输入，实时检测他们的正确性，只要有一个异常，便判定为异常。
结合汽车行驶以及车载网络具体情况，上述技术存在若干缺点：加密技术会增加can帧的信息组成，会对can通信协议改动，不利于实际的实施；数据的加解密过程以及身份认证过程，会增加ecu计算负担，会影响通信的实时性，同样也会造成某个消息占用can网络时间过长；入侵检测系统，模型训练所需计算量较大，车载ecu的计算能力不足以支撑。模型训练需要大量的样本支持，单机训练需要大量的时间，训练效率低下。单机训练模型库时，一旦训练完成装车后则定型，无法进行升级和扩展。
技术实现要素：
根据现有技术存在的问题，本实用新型公开了一种在线式汽车can网络异常检测系统，包括：包括：云端服务器和车载终端；
所述云端服务器和所述车载终端相连接；
所述车载终端包括can协议分析模块、中央处理器模块、远程数据交互模块、检测模型存储模块、报警模块和电源模块；
所述中央处理器模块与所述can协议分析模块、所述报警模块、所述检测模型存储模块的一端相连接；
所述检测模型存储模块的另一端与所述远程数据交互模块相连接；
所述电源模块与所述can协议分析模块、中央处理器模块、检测模型存储模块和报警模块相连接。
进一步地，所述can协议分析模块采用的芯片型号是tja1050，所述tja1050的rs引脚与二极管d7的阳极、二极管d8的阳极及电容c3的一端和电容c4的一端相连接，所述tja1050的canh引脚与电容c3的另一端和电容c4的另一端相连接，所述tja1050的canl引脚的与二极管d7的阴极、二极管d8的阴极相连接。
进一步地，所述中央处理器模块采用的芯片型号是stm32f103cbt6，所述stm32f103cbt6的nrst引脚通过电容c18与地相连接，所述stm32f103cbt6的pb10引脚、pb11引脚分别电阻r1、r22相连接，所述stm32f103cbt6的vss_1引脚、vss_2引脚和vss_3引脚与地相连接。
进一步地，所述远程数据交互模块采用zm9000模组。
进一步地，所述检测模型存储模块采用的芯片型号是w25n512，所述w25n512芯片v_bckp引脚与电容c9的一端、电容c11的一端、电容c13的一端相连接；所述电容c9的另一端、电容c11的另一端和电容c13的另一端均与地相连接。
进一步地，所述报警模块采用的芯片是esp32-u4wdh，所述esp32-u4wdh的1y引脚通过电阻r4一端相连接，所述esp32-u4wdh的2y引脚通过电阻r3一端相连接。
进一步地，所述电源模块采用的芯片型号是tps5430，所述tps5430的vin引脚与电容c6的一端、二极管d1的引脚和电阻r27的一端相连接，所述tps5430的boot引脚与电容c5的一端和二极管d3的阳极相连接。
由于采用了上述技术方案，本实用新型提供的一种在线式汽车can网络异常检测系统，车载终端将can总线报文上传至云端服务器，云端服务器对can网络异常检测模型进行训练，并将训练好的can网络异常检测模型在车载终端里进行更新，此方式具有以下优点：1)安全攻击识别类型多、准确率高；云端服务器具有强大的计算能力，并可以获得多个终端的大数据样本，可实dos、篡改、丢弃、重放、泛洪、窃取等安全攻击模型样本库的准确建立，整个系统具有安全攻击识别类型多、准确率高的优点；
2)对不同车型和地区的适用性强、样本库训练时间短、节省车载终端的计算资源can网络异常检测模型的训练需要大量的样本和强大的计算资源支持，云端服务器可同时接收多个地区、不同型号车辆的车载终端的大数据样本，并根据地区和车型特点进行针对性的安全攻击样本库的训练，整个系统具有对不同车型和地区的适用性强、模型训练时间短、节省车载终端的计算资源的优点。
3)可实时升级且具有较好的扩展性；单机训练模型库时，一旦训练完成装车后则定型，无法进行升级和扩展。而该系统通过联合车载终端与云端服务器，可结合全网络的安全攻击变化特点和趋势，有针对性的实时更新车载终端的检测模型，整个系统具有较好的扩展性和维护性；基于上述理由，本实用新型在网联车信息安全及入侵检测技术领域中有着较广阔的应用前景和价值。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本实用新型提供的在线式汽车can网络异常检测系统示意图；
图2为本实用新型提供的车载终端与汽车can总线连接示意图；
图3为本实用新型提供的在线式汽车can总线车载终端电路原理图；
图4为本实用新型的can协议分析模块电路图；
图5为本实用新型的中央处理器模块的电路图；
图6为本实用新型的远程数据交互模块的电路图；
图7为本实用新型的检测模型存储模块电路图；
图8为本实用新型的报警模块的电路图；
图9为本实用新型的电源模块的电路图；
图10为本实用新型提供的在线式汽车can总线异常检测处理流程示意图。
图中：1、can协议分析模块，2、中央处理器模块，3、远程数据交互模块，4、检测模型存储模块，5、报警模块；6、电源模块；7、云端服务器，10、车载终端。
具体实施方式
为了使本技术领域的人员更好地理解本实用新型方案，下面将结合本实用新型实施例中的附图，对本实用新型实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本实用新型一部分的实施例，而不是全部的实施例。基于本实用新型中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本实用新型保护的范围。
需要说明的是，本实用新型的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本实用新型的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
图1为该系统的整体框架，该系统云端服务器7和车载终端10；
所述云端服务器7根据地区特点、用户特点、车辆产品特点以及全网安全攻击变化特点，对can网络异常检测模型进行训练；
所述车载终端10将训练好的can网络异常检测模型传送给许多不同的车载终端10进行汽车的can网络异常检测，同时所述车载终端10将汽车实时运行数据传送给所述云端服务器7对can网络异常检测模型进行更新。
所述车载终端10包括：can协议分析模块1、中央处理器模块2、远程数据交互模块3、样本库存储模块4、预警模块5和电源模块6；
所述远程数据交互模块3接收所述云端服务器7传送的训练好的can网络异常检测模型并向所述云端服务器7发送样本数据；
所述检测模型存储模块4接收所述远程数据交互模块3传送训练好的can网络异常检测模型并进行保存；
所述can协议分析模块1与车辆的can总线相连并解析can总线报文；
所述中央处理器模块2接收所述can协议分析模块1传送的can总线报文信号和接收所述检测模型存储模块4传送的can网络异常检测模型，并根据can网络异常检测模型检测can网络是否存在异常或遭受的攻击；
所述电源模块6为远程数据交互模块车3、can协议分析模块1、检测模型存储模块4、中央处理器模块2和报警模块5提供电源。
所述报警模块5接收所述中央处理器模块2传送的报警信号，发出警报。
图2为本实用新型提供的车载终端与汽车can总线连接示意图，图2中显示了两种连接方案。该图2中的车载终端可以嵌入到汽车can总线网络中，总线的数据流经过can协议分析模块1，经过数据解析，了解信息，并提取出重要数据，流入中央处理器模块2实时检测；本方案还提供一种连接方式，该can协议分析模块1也可以通过obd接口，与can总线连接，进而获取can总线数据流，来完成异常检测。
车载终端10的电路原理图如图3所示，can总线协议分析模块1由tja1050构成，其中tja1050负责can总线的通讯电平转换与数据收发,具体协议包括：iso14230-4地址模式、iso14230-4快速模式、iso9141-2、iso15765-4标准11bit500k、iso15765-4扩展29bit500k、iso15765-4标准11bit250k、iso15765-4扩展29bit250k。
图4为本实用新型的can协议分析模块电路图；所述can协议分析模块1采用的芯片型号是tja1050，所述芯片tja1050的rs引脚与二极管d7的阳极、二极管d8的阳极及电容c3的一端和电容c4的一端相连接，所述芯片tja1050的canh引脚与电容c3的另一端和电容c4的另一端相连接，所述芯片tja1050的canl引脚的与二极管d7的阴极、二极管d8的阴极相连接。
图5为本实用新型的中央处理器模块的电路图；所述中央处理器模2块由stm32f103cbt6芯片组成，所述stm32f103cbt6的nrst引脚通过电容c18与地相连接，所述stm32f103cbt6的pb10引脚、pb11引脚分别电阻r1、r22相连接，所述stm32f103cbt6的vss_1引脚、vss_2引脚和vss_3引脚与地相连接
图6为本实用新型的远程数据交互模块的电路图，所述远程数据交互模块3采用中兴通讯的zm9000模组，此模组具备nsa/sa双模5g技术，并可以兼容5g/4g/3g/2g和移动/联通/电信通讯技术。zm9000模组与主处理器stm32f103之间采用串口通讯接口连接。
图,7为本实用新型的检测模型存储模块电路图；所述检测模型存储模块4由w25n512芯片构成，其工作原理为flash型闪存芯片，存储容量可扩展至512m。w25n512与主处理器stm32f7之间采用spi通讯接口连接，所述w25n512芯片v_bckp引脚与电容c9的一端、电容c11的一端、电容c13的一端相连接；所述电容c9的另一端、电容c11的另一端和电容c13的另一端均与地相连接。
图8为本实用新型的报警模块的电路图；所述报警模块5采用esp32-u4wdh芯片，所述esp32-u4wdh的1y引脚通过电阻r4一端相连接，所述esp32-u4wdh的2y引脚通过电阻r3一端相连接，此esp32-u4wdh芯片内部集成了蓝牙通讯部分和wifi通讯部分，并支持双天线和双频通讯模式。esp32-u4wdh与主处理器stm32f103cbt6之间采用spi通讯接口连接。
图9为本实用新型的电源模块的电路图，所述电源模块6采用12v转5v的电源模组，其输入端为车载12v供电，输出为5v，为整个车载终端提供电力供应,所述电源模块6采用的芯片型号是tps5430，所述tps5430的vin引脚与所述电容c6的一端、二极管d1的引脚和电阻r27的一端相连接，所述tps5430的boot引脚与电容c5的一端和二极管d3的阳极相连接。
图10为本实用新型提供的在线式汽车can总线异常检测处理流程示意图,中央处理器模块2根据实时的待测can总线数据与can网络异常检测模型，来进行安全检测，检测到异常之后，进而触发报警，汽车实时的动态数据也会传到云端服务器来完善样本库，使样本库更加符合用户的驾车习惯，做到用户个性化样本库建立，防止误检和漏检；更新的can网络异常检测模型也会传给车载终端1，存到检测模型存储模块，以备使用。
云端服务器7训练can网络异常检测模型以基于信息熵原理，即当有异常或者入侵，熵值会变化：当有重放攻击时，can总线系统信息熵增加；重放开始时，该消息相对距离得到正值的变化；重放结束时，该消息相对距离得到负值的变化。在can网络异常检测模型构建过程中，根据采集原始数据即can网络异常检测模型训练模型采用的样本数据，预处理后，确定出正常情况下的熵值、检测异常的阈值以及监测采样的周期，完成can网络异常检测模型的建立，该模型数据传输频率异常，比如重放和泛洪攻击；
云端服务器7的can网络异常检测模型方案也可以为基于决策树原理，即模型的构建以数据纯度构造一棵数据纯度上升最快的树，其包括三个阶段：决策树模型属性选择、决策树模型生成和决策树模型剪枝；随机树的生成采用二叉方法或者随机超平面方法。然后根据孤立树构造异常分数进行异常判断，随机森林即不同id棵孤立决策树构成的树群，该模型可以检测报文数据异常，比如can帧篡改，消息非法注入等攻击。
云端服务器7的can网络异常检测模型方案也可以为基神经网络原理，即通过构造神经网络模型用来检测事件异常与否、是否发生故障，或者预测事物发展；该方法可以通过两个方面进行联合检测：将can网络的数据包发送频率作为一个bp神经网络的输入来训练模型，该can网络异常检测模型可以检测拒绝服务攻击、重放和注入攻击；将具有关联性的数据(比如发动机转速、进气量、车速等)作为另一个bp神经网络的输入来训练模型，如果有某一个数据出现异常，与其他的关联性发生差错，则判断为异常，该模型可以检测篡改攻击、中间人攻击。
最后应说明的是：以上各实施例仅用以说明本实用新型的技术方案，而非对其限制；尽管参照前述各实施例对本实用新型进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本实用新型各实施例技术方案的范围。
1.一种在线式汽车can网络异常检测系统，其特征在于：包括：云端服务器(7)和车载终端(10)；
所述云端服务器(7)和所述车载终端(10)相连接；
所述车载终端(10)包括can协议分析模块(1)、中央处理器模块(2)、远程数据交互模块(3)、检测模型存储模块(4)、报警模块(5)和电源模块(6)；
所述中央处理器模块(2)与所述can协议分析模块(1)、所述报警模块(5)、所述检测模型存储模块(4)的一端相连接；
所述检测模型存储模块(4)的另一端与所述远程数据交互模块(3)相连接；
所述电源模块(6)与所述can协议分析模块(1)、中央处理器模块(2)、检测模型存储模块(4)和报警模块(5)相连接。
2.根据权利要求1所述的一种在线式汽车can网络异常检测系统，其特征在于：所述can协议分析模块(1)采用的芯片型号是tja1050，所述tja1050的rs引脚与二极管d7的阳极、二极管d8的阳极及电容c3的一端和电容c4的一端相连接，所述tja1050的canh引脚与电容c3的另一端和电容c4的另一端相连接，所述tja1050的canl引脚的与二极管d7的阴极、二极管d8的阴极相连接。
3.根据权利要求1所述的一种在线式汽车can网络异常检测系统，其特征在于：所述中央处理器模块(2)采用的芯片型号是stm32f103cbt6，所述stm32f103cbt6的nrst引脚通过电容c18与地相连接，所述stm32f103cbt6的pb10引脚、pb11引脚分别电阻r1、r22相连接，所述stm32f103cbt6的vss_1引脚、vss_2引脚和vss_3引脚与地相连接。
4.根据权利要求1所述的一种在线式汽车can网络异常检测系统，其特征在于：所述远程数据交互模块(3)采用zm9000模组。
5.根据权利要求1所述的一种在线式汽车can网络异常检测系统，其特征在于：所述检测模型存储模块(4)采用的芯片型号是w25n512，所述w25n512芯片v_bckp引脚与电容c9的一端、电容c11的一端、电容c13的一端相连接；所述电容c9的另一端、电容c11的另一端和电容c13的另一端均与地相连接。
6.根据权利要求1所述的一种在线式汽车can网络异常检测系统，其特征在于：所述报警模块(5)采用的芯片是esp32-u4wdh，所述esp32-u4wdh的1y引脚通过电阻r4一端相连接，所述esp32-u4wdh的2y引脚通过电阻r3一端相连接。
7.根据权利要求1所述的一种在线式汽车can网络异常检测系统，其特征在于：所述电源模块(6)采用的芯片型号是tps5430，所述tps5430的vin引脚与电容c6的一端、二极管d1的引脚和电阻r27的一端相连接，所述tps5430的boot引脚与电容c5的一端和二极管d3的阳极相连接。
技术总结