基于SOME/IP協(xié)議的汽車通信數(shù)據(jù)異常檢測方法研究

摘 要：SOME/IP協(xié)議作為一種重要的汽車通信中間件協(xié)議，為車輛之間和車輛與基礎(chǔ)設(shè)施之間的數(shù)據(jù)交換提供了高效的解決方案。本文基于SOME/IP協(xié)議研究一種新的汽車通信數(shù)據(jù)異常檢測方法，針對復(fù)制攻擊、斷連攻擊和發(fā)布訂閱攻擊等進行深入研究，引入SOME/IP協(xié)議進行數(shù)據(jù)交互和導(dǎo)向，利用廣播一致性檢測、請求響應(yīng)配對檢測、網(wǎng)絡(luò)流量分析識別攻擊的異常通信數(shù)據(jù)，并引入加密與簽名技術(shù)，從而有效識別和防御潛在的安全威脅，提高車載網(wǎng)絡(luò)通信的安全性和可靠性。

關(guān)鍵詞：SOME/IP協(xié)議 汽車通信 通信數(shù)據(jù) 異常檢測

0 引言

汽車工業(yè)的快速發(fā)展使得現(xiàn)代汽車中電子控制單元（Electronic Control Units，ECUs）數(shù)量急劇增加，車輛內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)日益復(fù)雜。SOME/IP（Scalable service-Oriented MiddlewarE over IP）協(xié)議能夠很好地滿足不同ECU之間高效、可靠的通信需求，作為一種面向服務(wù)的中間件協(xié)議，廣泛應(yīng)用于車載網(wǎng)絡(luò)中，通過提供動態(tài)服務(wù)發(fā)現(xiàn)、數(shù)據(jù)序列化和靈活的傳輸機制，極大地提升了汽車內(nèi)部各系統(tǒng)間的數(shù)據(jù)交互效率。然而，隨著通信網(wǎng)絡(luò)的復(fù)雜性和數(shù)據(jù)流量的增加，通信數(shù)據(jù)中仍然會出現(xiàn)異常情況，如數(shù)據(jù)包丟失、延遲、篡改等，對汽車的安全性和可靠性構(gòu)成了嚴峻挑戰(zhàn)。在汽車通信系統(tǒng)中，一旦出現(xiàn)異常數(shù)據(jù)，就會導(dǎo)致功能失效、系統(tǒng)崩潰甚至安全事故[1]。因此，本文提出基于SOME/IP協(xié)議的汽車通信數(shù)據(jù)異常檢測方法，從而保障汽車通信系統(tǒng)正常運行和車輛安全。

1 基于SOME/IP協(xié)議的汽車通信數(shù)據(jù)交互

通過SOME/IP協(xié)議對不同ECU進行高效信息交換，實現(xiàn)復(fù)雜的車輛功能協(xié)同。SOME/IP協(xié)議通過消息傳遞實現(xiàn)ECU之間的服務(wù)請求與響應(yīng)，每條消息包含一個頭部（Header），頭部結(jié)構(gòu)的組成字段如下表1所示：

當汽車處于通信狀態(tài)，ECU通過服務(wù)發(fā)現(xiàn)機制動態(tài)獲取網(wǎng)絡(luò)中可用的服務(wù)，提供服務(wù)的ECU向服務(wù)發(fā)現(xiàn)模塊注冊其可用服務(wù)，包含Service ID、Method ID、Interface Version等信息。請求服務(wù)的ECU通過廣播或特定請求消息向服務(wù)發(fā)現(xiàn)模塊詢問可用服務(wù)。當服務(wù)發(fā)現(xiàn)模塊接收到請求后，返回包含匹配服務(wù)的詳細信息。請求方ECU構(gòu)建包含Service ID、Method ID、Client ID等信息的請求消息，并將其發(fā)送至服務(wù)提供方ECU。消息頭部的Message Type字段標識為Request，服務(wù)提供方ECU接收到請求消息后，處理請求并生成響應(yīng)消息，響應(yīng)消息包含處理結(jié)果或數(shù)據(jù)，Message Type字段標識為Response，響應(yīng)消息發(fā)送回請求方ECU[2]。

2 基于SOME/IP協(xié)議的汽車通信數(shù)據(jù)導(dǎo)向

在完成數(shù)據(jù)交互后，利用SOME/IP協(xié)議的服務(wù)導(dǎo)向架構(gòu)分析汽車通信數(shù)據(jù)導(dǎo)向，通過提供松耦合的服務(wù)來增強系統(tǒng)的靈活性和可擴展性。SOME/IP協(xié)議的服務(wù)獨立性使得系統(tǒng)能夠靈活地添加或修改服務(wù)，而無需重構(gòu)整個系統(tǒng)，因此車載網(wǎng)絡(luò)能夠快速適應(yīng)新功能的需求，提升系統(tǒng)的響應(yīng)速度和適應(yīng)性。獨立的服務(wù)架構(gòu)簡化了維護工作，每個服務(wù)可以單獨更新和優(yōu)化，而不會影響其他服務(wù)的正常運行，在降低維護復(fù)雜性的基礎(chǔ)上，提高系統(tǒng)的可靠性和可用性[3]。

SOME/IP支持同步和異步通信模式，在同步模式下，服務(wù)請求方發(fā)送請求并等待響應(yīng)；在異步模式下，服務(wù)請求方發(fā)送請求后可以繼續(xù)執(zhí)行其他任務(wù)，服務(wù)提供方在處理完成后再發(fā)送響應(yīng)。服務(wù)導(dǎo)向架構(gòu)促成不同系統(tǒng)和應(yīng)用之間的集成，允許它們無縫協(xié)作。車載娛樂系統(tǒng)、導(dǎo)航系統(tǒng)和駕駛輔助系統(tǒng)可以通過SOME/IP協(xié)議進行數(shù)據(jù)交換和功能協(xié)同，從而提供更豐富的用戶體驗。汽車通信系統(tǒng)通過增加新的服務(wù)來擴展功能，無需修改現(xiàn)有的服務(wù)。

3 基于SOME/IP協(xié)議的汽車通信數(shù)據(jù)異常檢測

利用SOME/IP協(xié)議對汽車通信數(shù)據(jù)異常進行監(jiān)督學(xué)習(xí)，通過汽車通信數(shù)據(jù)樣本信息找出數(shù)據(jù)輸入與輸出的聯(lián)系，確定閾值[4]。分析異常特征，進行汽車通信數(shù)據(jù)異常閾值檢測，針對不同時間序列的汽車通信數(shù)據(jù)，利用測量探針對目標通信網(wǎng)絡(luò)異常數(shù)據(jù)進行采集，在不同的時間序列下，將汽車通信網(wǎng)絡(luò)數(shù)據(jù)與電網(wǎng)異常數(shù)據(jù)進行聚合，其聚合公式如下：

式中，表示通信網(wǎng)絡(luò)數(shù)據(jù)對應(yīng)的特征序列；表示聚合后的異常數(shù)據(jù)特征序列；表示聚合時間；聚合完成后，需要對和進行歸一化處理，在保留原始大數(shù)據(jù)的條件下對歸一化處理后的通信數(shù)據(jù)進行預(yù)處理，以便進行原始數(shù)據(jù)的多重分形性與周期性分析，數(shù)據(jù)預(yù)處理不會改變原始異常數(shù)據(jù)，處理完成后，SOME/IP協(xié)議的數(shù)據(jù)服務(wù)器異常閾值可由自相關(guān)函數(shù)得到，獲取公式為：

式中，表示通信數(shù)據(jù)服務(wù)器異常閾值；表示FARIMA模型對應(yīng)的時間序列；表示FARIMA模型進行的階數(shù)差分。

閾值計算完成后，接下來進行閾值檢測。數(shù)據(jù)服務(wù)器異常閾值檢測公式為：

式中，表示閾值檢測時通信數(shù)據(jù)的異常輸出值；表示平穩(wěn)序列；表示參數(shù)擬合后的非平穩(wěn)序列。閾值檢測完成后，在不同的置信度下，SOME/IP協(xié)議的數(shù)據(jù)服務(wù)器異?？杀桓玫剡M行識別。

3.1 汽車通信數(shù)據(jù)復(fù)制攻擊檢測

汽車通信數(shù)據(jù)復(fù)制攻擊模式與重放攻擊模式類似，需要在存有中間人的環(huán)境下實現(xiàn)攻擊。復(fù)制攻擊通過在通信網(wǎng)絡(luò)中偽造通信服務(wù)廣播信息，欺騙客戶端，使其誤將攻擊者視為合法的服務(wù)提供者，從而使攻擊者與客戶端和服務(wù)端處在同一交換機網(wǎng)絡(luò)下，能夠接收到彼此的數(shù)據(jù)[5]。汽車通信數(shù)據(jù)復(fù)制攻擊如下圖1所示：

為了應(yīng)對汽車通信數(shù)據(jù)復(fù)制攻擊，利用SOME/IP協(xié)議對服務(wù)廣播一致性進行檢測是一種有效的方法，通過監(jiān)控網(wǎng)絡(luò)中服務(wù)廣播的頻率和內(nèi)容，發(fā)現(xiàn)異常的服務(wù)廣播行為，如果突然增加的廣播頻率或者相同服務(wù)ID來自不同IP地址和端點信息，表明可能存在復(fù)制攻擊。利用請求響應(yīng)檢測汽車通信網(wǎng)絡(luò)兩端的配對情況，在SOME/IP協(xié)議中記錄每個客戶端的請求消息及其目的地址，并驗證服務(wù)端返回的響應(yīng)消息是否與請求消息匹配，從而發(fā)現(xiàn)身份信息篡改的情況。使用機器學(xué)習(xí)算法訓(xùn)練正常通信模式的流量模型，檢測偏離正常模式的異常流量，分析請求與響應(yīng)的時間間隔和順序，發(fā)現(xiàn)異常的時序特征，進一步確認中間人攻擊的存在。如果發(fā)現(xiàn)存在復(fù)制攻擊，引入加密與簽名技術(shù)，通過對敏感數(shù)據(jù)進行加密和使用數(shù)字簽名對每條消息進行簽名，確保通信數(shù)據(jù)的完整性和真實性，從而防止攻擊者篡改或偽造數(shù)據(jù)。

3.2 汽車通信數(shù)據(jù)斷連攻擊檢測

汽車通信數(shù)據(jù)斷連攻擊也是一種復(fù)雜的攻擊模式，需要在中間人環(huán)境下實現(xiàn)攻擊，它在復(fù)制攻擊的基礎(chǔ)上進一步優(yōu)化，以確保攻擊者能夠成功截斷客戶端與服務(wù)端的連接，建立一個偽造的連接環(huán)境。斷連攻擊與復(fù)制攻擊的后半部分相似，即通過偽造的服務(wù)報文使客戶端與攻擊者建立連接，完成消息傳遞的中間人角色。不同之處在于，斷連攻擊在服務(wù)端廣播提供服務(wù)報文時，攻擊者立即向客戶端發(fā)送一條偽造成服務(wù)端身份的單播停止提供服務(wù)報文（StopOffer），同時再廣播自己偽造的服務(wù)報文，這樣客戶端就不會與真實的服務(wù)端建立連接，無論客戶端是已經(jīng)連接還是剛選擇了服務(wù)端的服務(wù)。通過偽造StopOffer報文，攻擊者能夠更穩(wěn)定地與客戶端建立連接，從而截斷客戶端與服務(wù)端之間的通信鏈路。

針對斷連攻擊的異常檢測，在SOME/IP官方文檔中，通過監(jiān)控網(wǎng)絡(luò)中的服務(wù)廣播和停止服務(wù)報文，及時識別異常行為。當檢測到同一網(wǎng)絡(luò)中存在不合理的停止服務(wù)單播報文時，發(fā)出警報。分析用戶行為分析，通過學(xué)習(xí)正常的通信模式，識別異常的連接斷開和服務(wù)重新廣播行為。在SOME/IP的服務(wù)架構(gòu)中引入網(wǎng)絡(luò)流量分析工具，識別不尋常的單播流量模式和頻率變化，從而檢測到潛在的斷連攻擊。實施強認證和加密措施，確保每個通信節(jié)點的身份驗證和數(shù)據(jù)完整性，以防止攻擊者偽造服務(wù)端身份。

3.3 汽車通信數(shù)據(jù)發(fā)布訂閱攻擊檢測

利用發(fā)布-訂閱機制同樣是中間人攻擊模式，通過操縱事件組訂閱過程，截斷客戶端與服務(wù)端的直接通信，從而在中間人位置獲取和轉(zhuǎn)發(fā)事件信息。這種攻擊利用了前述的服務(wù)提供攻擊策略，通過偽造服務(wù)事件組的訂閱和退訂報文，最終在中間人環(huán)境下實現(xiàn)對事件信息的控制和轉(zhuǎn)發(fā)。

根據(jù)圖2可知，發(fā)布訂閱攻擊模式服務(wù)端按照慣例廣播其提供的服務(wù)，客戶端和攻擊者均訂閱了服務(wù)端的事件組，并收到了服務(wù)端的確認幀，這表明服務(wù)端已記錄了客戶端和攻擊者的端點信息。隨后，攻擊者利用前述的復(fù)制攻擊或斷連攻擊，使客戶端相信其擁有所需的服務(wù)事件組，進而訂閱攻擊者的事件組。攻擊者在收到客戶端的訂閱報文后，立即回復(fù)確認幀，同時偽造一條包含客戶端端點信息的退訂事件組報文，發(fā)送給服務(wù)端。服務(wù)端在接收到這條退訂報文后，將不再向客戶端發(fā)送事件信息。

由于正常情況下，客戶端一旦訂閱服務(wù)事件組，通常不會頻繁發(fā)送退訂報文，因此可以利用SOME/IP協(xié)議設(shè)置異常閾值，檢測頻繁的退訂行為。一旦檢測到頻繁或不合理的退訂報文，立即發(fā)出警報。利用SOME/IP的行為分析方法學(xué)習(xí)正常的訂閱和退訂模式，識別異常的訂閱和退訂行為。對于每個客戶端的訂閱和退訂行為進行記錄和分析，識別異常的訂閱確認和退訂確認幀。實施強認證和加密措施，確保每個訂閱和退訂請求的真實性。數(shù)字簽名和公鑰基礎(chǔ)設(shè)施（PKI）有效防止攻擊者偽造訂閱和退訂報文。此外，網(wǎng)絡(luò)流量分析工具可以幫助識別不尋常的訂閱和退訂流量模式，檢測潛在的中間人攻擊。

4 結(jié)語

在現(xiàn)代智能汽車網(wǎng)絡(luò)中，SOME/IP協(xié)議作為一種高效的服務(wù)導(dǎo)向中間件協(xié)議，極大地提升了車載通信的靈活性和效率。本文分別分析了復(fù)制攻擊、斷連攻擊和發(fā)布訂閱攻擊的攻擊模式，針對這些攻擊利用SOME/IP協(xié)議提出有效異常檢測方法，檢測服務(wù)廣播一致性，檢測請求響應(yīng)配對，分析網(wǎng)絡(luò)流量，并引入加密與簽名技術(shù)等多種手段，提高車載網(wǎng)絡(luò)通信的安全性，防御潛在的安全威脅。未來應(yīng)繼續(xù)致力于優(yōu)化現(xiàn)有的檢測算法，提高實時檢測的性能和準確性，并探索更多創(chuàng)新的防御機制。

參考文獻：

[1]高越.基于SOMEIP協(xié)議的SOA設(shè)計[J].汽車實用技術(shù)，2023，48（17）：71-75.

[2]黎嘉晨，蘭建平，周海鷹.面向集中域控的汽車電子電氣架構(gòu)技術(shù)研究[J].湖北汽車工業(yè)學(xué)院學(xué)報，2022，36（4）：23-28.

[3]曹麗平，徐維，劉敏.車載以太網(wǎng)SOME/IP協(xié)議及一致性測試系統(tǒng)研究[J].汽車電器，2023（6）：55-58.

[4]吳珍珍.基于SOME/IP的車載網(wǎng)絡(luò)通信矩陣的設(shè)計[J].機電技術(shù)，2023（1）：84-88.

[5]張毅峰，歐陽頌華，魏鵬，等.SOME/IP車載以太網(wǎng)服務(wù)協(xié)議的關(guān)鍵技術(shù)與性能分析[J].現(xiàn)代電子技術(shù)，2023，46（5）：15-19.