技术领域
[0001] 本
发明涉及车载设备安全技术领域，具体的说，涉及了一种OBD接口数据安全防护系统及数据安全防护方法。
背景技术
[0002] 随着车载设备在
汽车行业的广泛应用，车辆故障的实时监测和维修成为众多用户关注的热点。OBD设备通过OBD接口与车内网关连接的各ECU
电子控制单元进行通信，实时监测车辆内不同总线上各ECU电子控制单元的工作状况并进行故障诊断，获取车辆的各种工况数据和故障信息，以供车主及时对车辆进行维修和保养。
[0003] 目前市场上存在的许多OBD接口的后装产品，在给用户带来方便直观的同时，也存在一定的安全
风险，例如：一方面黑客可破解车内总线协议通过OBD接口窃取车辆数据，由于数据基本都是明文或者采用简单方式进行加密，很容易导致数据泄露，另一方面攻击者利用OBD接口与外部进行信息交互时存在的安全漏洞，通过OBD接口篡改数据向车内网关发送恶意控制指令，导致车内网关连接的ECU电子控制单元的数据错乱，影响车辆系统的安全性和可靠性。
[0004] 为了解决以上存在的问题，人们一直在寻求一种理想的技术解决方案。
发明内容
[0005] 本发明的目的是针对
现有技术的不足，从而提供了一种OBD接口数据安全防护系统及数据安全防护方法，具有设计科学和安全可靠的优点。
[0006] 为了实现上述目的，本发明所采用的技术方案是：一种OBD接口数据安全防护系统，包括车载诊断系统、OBD设备和车载信息服务平台；
[0007] 所述车载诊断系统，包括车内网关、ECU单元、OBD防护模
块、网络通信模块和车载OBD接口，所述OBD防护模块包括主控模块MCU和安全模块I，所述ECU单元连接所述车内网关，所述主控模块MCU分别连接所述车内网关、所述安全模块I、所述网络通信模块和所述车载OBD接口；
[0008] 所述OBD设备，包括OBD接口、处理模块和安全模块II，所述安全模块II通过所述处理模块、所述OBD接口、所述车载OBD接口、所述主控模块MCU与所述安全模块I通信连接，用于实现所述OBD设备与所述OBD防护模块之间的第一密钥协商和双向身份认证，所述第一密钥用于对所述OBD防护模块与所述OBD设备交互的身份认证信息、控制或诊断指令、控制或诊断结果进行加解密；
[0009] 所述车载信息服务平台，包括密码设备，所述密码设备通过所述网络通信模块、所述主控模块MCU与所述安全模块I通信连接，用于实现所述车载信息服务平台与所述OBD防护模块之间的第二密钥协商，以及实现所述车载信息服务平台对所述OBD防护模块和所述OBD设备的双重身份认证，所述第二密钥用于对所述OBD防护模块与所述车载信息服务平台交互的OBD防护模块的身份认证信息、OBD设备的身份认证信息、控制或诊断指令进行加解密；
[0010] 所述OBD设备通过所述OBD接口向所述车载诊断系统发送控制或诊断指令，所述车载诊断终端根据所述主控模块MCU内预存的策略文件控制所述OBD设备和所述ECU单元的信息交互；
[0011] 所述车载诊断系统通过所述OBD防护模块、所述网络通信模块将所述OBD设备的身份信息、控制或诊断指令上传至所述车载信息服务平台。
[0012] 基于上述，所述车载信息服务平台还包括策略管理模块，所述策略管理模块用于根据OBD设备的身份信息生成策略文件，所述策略文件包括所述OBD设备支持的诊断服务和所述ECU单元的控制信息，不同的OBD设备对应不同的策略文件。
[0013] 基于上述，所述主控模块MCU内预存的策略文件包括默认策略文件和历史策略文件，所述默认策略文件为预先从所述策略管理模块下载的策略文件；所述历史策略文件包括所述主控模块MCU使用过的策略文件。
[0014] 本发明还提供一种基于所述OBD接口数据安全防护系统的数据安全防护方法，包括OBD设备接入阶段、OBD设备退出阶段或OBD防护模块空闲阶段；
[0015] OBD设备接入阶段
[0016] 所述OBD防护模块与所述OBD设备进行第一密钥协商；
[0017] 所述OBD防护模块与所述OBD设备进行双向身份认证；
[0018] 所述OBD设备通过所述OBD防护模块与所述ECU单元进行信息交互；
[0019] OBD设备退出阶段或OBD防护模块空闲阶段
[0020] 所述OBD防护模块与所述车载信息服务平台进行第二密钥协商；
[0021] 所述车载信息服务平台对所述OBD防护模块和所述OBD设备进行双重身份认证；
[0022] 所述OBD防护模块将所述OBD设备的身份信息、控制或诊断指令上传至所述车载信息服务平台。
[0023] 基于上述，所述OBD设备接入阶段中所述OBD防护模块与所述OBD设备进行第一密钥协商的步骤包括：
[0024] 步骤1.1，所述OBD防护模块将所述安全模块I生成的所述OBD防护模块的证书文件发送至所述OBD设备，所述OBD设备验证所述OBD防护模块的证书文件的合法性后，将所述安全模块II生成的所述OBD设备的证书文件发送至所述OBD防护模块，所述OBD防护模块验证所述OBD设备的证书文件的合法性后，实现所述OBD防护模块的证书文件和所述OBD设备的证书文件的交换和验证；
[0025] 步骤1.2，所述OBD防护模块通过所述安全模块I生成第一密钥协商
请求信息发送至所述主控模块MCU，经所述主控模块MCU处理后将所述第一密钥协商请求信息通过所述车载OBD接口发送至所述OBD设备；
[0026] 步骤1.3，所述OBD设备通过所述OBD接口接收所述第一密钥协商请求信息并发送至所述处理模块，经所述处理模块处理后将所述第一密钥协商请求信息发送至所述安全模块II；
[0027] 步骤1.4，所述安全模块II验证所述第一密钥协商请求信息的正确性，若正确，则根据预置的密钥交换协议计算获得第一密钥，并生成第一密钥协商回复信息返回至所述OBD防护模块；若错误，则表示所述OBD防护模块到所述OBD设备的第一密钥协商过程失败，直接退出当前工作流程；
[0028] 步骤1.5，所述OBD防护模块通过所述车载OBD接口将所述第一密钥协商回复信息发送至所述主控模块MCU，经所述主控模块MCU处理后将所述第一密钥协商回复信息发送至所述安全模块I；
[0029] 步骤1.6，所述安全模块I验证所述第一密钥协商回复信息的正确性，若正确，则根据预置的密钥交换协议计算获得所述第一密钥；若错误，则表示所述OBD设备到所述OBD防护模块的第一密钥协商过程失败，直接退出当前工作流程。
[0030] 基于上述，所述OBD设备接入阶段中所述OBD防护模块与所述OBD设备进行双向身份认证的步骤包括：
[0031] 步骤2.1，所述OBD防护模块通过所述安全模块I生成第一身份认证信息，并使用所述第一密钥加密后发送至所述主控模块MCU，经所述主控模块MCU处理后将所述第一身份认证信息的密文通过所述车载OBD接口发送至所述OBD设备；
[0032] 步骤2.2，所述OBD设备通过所述OBD接口接收所述第一身份认证信息的密文发送至所述处理模块，经所述处理模块处理后发送至所述安全模块II；
[0033] 步骤2.3，所述安全模块II使用所述第一密钥解密所述第一身份认证信息的密文获得所述第一身份认证信息的明文，判断所述第一身份认证信息的明文与预先存储的所述OBD防护模块的身份信息是否一致，若一致,则表示所述OBD防护模块的身份合法，若不一致,则表示所述OBD防护模块的身份非法，直接退出当前工作流程；
[0034] 步骤2.4，所述OBD设备通过所述安全模块II生成第二身份认证信息，并使用所述第一密钥加密后发送至所述处理模块，所述处理模块处理后将所述第二身份认证信息的密文通过所述OBD接口发送至所述OBD防护模块；
[0035] 步骤2.5，所述OBD防护模块通过所述车载OBD接口接收所述第二身份认证信息的密文后发送至所述主控模块MCU，由所述主控模块MCU处理后发送至所述安全模块I；
[0036] 步骤2.6，所述安全模块I使用所述第一密钥解密所述第二身份认证信息的密文获得所述第二身份认证信息的明文，判断所述第二身份认证信息的明文与预先存储的所述OBD设备的身份信息是否一致，若一致,则表示所述OBD设备的身份合法；若不一致,则表示所述OBD设备的身份非法，直接退出当前工作流程。
[0037] 基于上述，所述OBD设备接入阶段中所述OBD设备通过所述OBD防护模块与所述ECU单元进行信息交互的步骤包括：
[0038] 步骤3.1，所述OBD设备的处理模块通过所述安全模块II使用所述第一密钥加密控制或诊断指令，通过所述OBD接口、所述车载OBD接口将所述控制或诊断指令的密文发送至所述OBD防护模块；
[0039] 步骤3.2，所述OBD防护模块的主控模块MCU将接收的所述控制或诊断指令的密文进行处理后发送至所述安全模块I，所述安全模块I使用所述第一密钥解密所述控制或诊断指令的密文获得所述控制或诊断指令的明文，并将所述OBD设备的设备信息、控制或诊断指令存储在所述主控模块MCU中；
[0040] 步骤3.3，所述OBD防护模块根据存储的OBD设备的策略文件获取所述控制或诊断指令对所述ECU单元的
访问权限，并根据所述控制或诊断指令对所述ECU单元的访问权限将所述控制或诊断指令的明文通过所述车内网关发送至所述ECU单元，所述ECU单元执行所述控制或诊断指令后将控制或诊断结果发送至所述车内网关；
[0041] 步骤3.4，所述车内网关将获取的所述控制或诊断结果发送至所述OBD防护模块的主控模块MCU，所述主控模块MCU处理后再将所述控制或诊断结果发送至所述安全模块I，由所述安全模块I使用所述第一密钥加密后通过所述车载OBD接口、所述OBD接口发送至所述OBD设备；
[0042] 步骤3.5，所述OBD设备的处理模块将接收的所述控制或诊断结果的密文进行处理后发送至所述安全模块II，所述安全模块II使用所述第一密钥解密所述控制或诊断结果的密文获得所述控制或诊断结果的明文。
[0043] 基于上述，所述OBD设备退出阶段或所述OBD防护模块空闲阶段中所述OBD防护模块与所述车载信息服务平台进行第二密钥协商的步骤包括：
[0044] 步骤4.1，所述OBD防护模块将所述安全模块I生成的所述OBD防护模块的证书文件发送至所述车载信息服务平台，所述车载信息服务平台验证所述OBD防护模块的证书文件的合法性后，将所述密码设备生成的所述车载信息服务平台的证书文件发送至所述OBD防护模块，所述OBD防护模块验证所述车载信息服务平台的证书文件的合法性后，实现所述OBD防护模块的证书文件和所述车载信息服务平台的证书文件的交换和验证；
[0045] 步骤4.2，所述OBD防护模块通过所述安全模块I生成第二密钥协商请求信息发送至所述主控模块MCU，由所述主控模块MCU处理后将第二密钥协商请求信息通过所述网络通信模块发送至所述车载信息服务平台；
[0046] 步骤4.3，所述车载信息服务平台接收所述第二密钥协商请求信息后发送至所述密码设备，所述密码设备验证所述第二密钥协商请求信息的正确性，若正确,则根据预置的密钥交换协议计算获得第二密钥，并生成第二密钥协商回复信息返回至所述OBD防护模块，若错误,则表示所述OBD防护模块到所述车载信息服务平台的第二密钥协商过程失败，直接退出当前工作流程；
[0047] 步骤4.4，所述OBD防护模块通过所述网络通信模块将所述第二密钥协商回复信息发送至所述主控模块MCU，由所述主控模块MCU处理后将所述第二密钥协商回复信息发送至所述安全模块I；
[0048] 步骤4.5，所述安全模块I验证所述第二密钥协商回复信息的正确性，若正确,则根据预置的密钥交换协议计算获得所述第二密钥，若错误,则表示所述车载信息服务平台到所述OBD防护模块的第二密钥协商过程失败，直接退出当前工作流程。
[0049] 基于上述，所述OBD设备退出阶段或所述OBD防护模块空闲阶段中所述车载信息服务平台对所述OBD防护模块和所述OBD设备进行双重身份认证的步骤包括：
[0050] 步骤5.1，所述OBD防护模块通过所述安全模块I将所述第一身份认证信息和所述第二身份认证信息，使用所述第二密钥加密后发送至所述主控模块MCU，由所述主控模块MCU处理后将所述第一身份认证信息的密文和所述第二身份认证信息的密文通过所述网络通信模块发送至所述车载信息服务平台；
[0051] 步骤5.2，所述车载信息服务平台接收所述第一身份认证信息的密文和所述第二身份认证信息的密文后发送至所述密码设备，由所述密码设备使用所述第二密钥解密获得所述第一身份认证信息明文和所述第二身份认证信息的明文；
[0052] 步骤5.3，所述密码设备判断所述第一身份认证信息与预先存储的所述OBD防护模块的身份信息是否一致，若一致，则表示所述OBD防护模块的身份合法，若不一致，则表示所述OBD防护模块的身份非法，直接退出当前工作流程；所述密码设备继续判断所述第二身份认证信息的明文与预先存储的所述OBD设备的身份信息是否一致，若一致，则表示所述OBD设备的身份合法，若不一致，则表示所述OBD设备的身份非法，直接退出当前工作流程。
[0053] 基于上述，所述OBD设备退出阶段或所述OBD防护模块空闲阶段中所述OBD防护模块将所述OBD设备的身份信息、控制或诊断指令上传至所述车载信息服务平台的步骤包括：所述OBD防护模块通过所述安全模块I将所述OBD设备的身份信息、控制或诊断指令使用所述第二密钥加密后，通过所述网络通信模块发送至所述车载信息服务平台，所述车载信息服务平台通过所述密码设备将所述OBD设备的身份信息、控制或诊断指令的密文使用所述第二密钥解密，获得所述OBD设备的身份信息、控制或诊断指令的明文。
[0054] 本发明相对现有技术具有突出的实质性特点和显著的进步，具体的说，[0055] （1）通过对OBD防护模块与OBD设备之间分别进行密钥协商和身份认证，建立通信双方的安全通道，同时有效防止非法的OBD设备接入车载诊断系统；
[0056] （2）通过对OBD防护模块与车载信息服务平台之间进行密钥协商和车载信息服务平台对OBD防护模块和OBD设备的身份信息进行认证，建立通信双方的安全通道，同时有效防止非法的OBD防护模块和非法的OBD设备接入车载信息服务平台；
[0057] （3）通过使用第一密钥对OBD防护模块与OBD设备之间的控制或诊断指令、控制或诊断结果进行加密处理，使攻击者无法获取控制或诊断指令的明文以及控制或诊断结果的明文；
[0058] （4）通过使用第二密钥对OBD防护模块上传的OBD设备信息、控制或诊断指令进行加密处理后上传至车载信息服务平台，使攻击者不仅无法获得信息明文，还用于出现问题时通过车载信息服务平台可及时追溯；
[0059] （5）OBD防护模块通过OBD设备的身份信息获取对应的策略文件并判断OBD设备发送的控制或诊断指令的权限，进一步保障了通信信息的安全。
附图说明
[0060] 图1是本发明的结构示意图。
具体实施方式
[0061] 下面通过具体实施方式，对本发明的技术方案做进一步的详细描述。
[0062] 如图1所示，一种OBD接口数据安全防护系统，包括车载诊断系统、OBD设备和车载信息服务平台；
[0063] 所述车载诊断系统，包括车内网关、ECU单元、OBD防护模块、网络通信模块和车载OBD接口，所述OBD防护模块包括主控模块MCU和安全模块I，所述ECU单元连接所述车内网关，所述主控模块MCU分别连接所述车内网关、所述安全模块I、所述网络通信模块和所述车载OBD接口；
[0064] 所述OBD设备，包括OBD接口、处理模块和安全模块II，所述安全模块II通过所述处理模块、所述OBD接口、所述车载OBD接口、所述主控模块MCU与所述安全模块I通信连接，用于实现所述OBD设备与所述OBD防护模块之间的第一密钥协商和双向身份认证；
[0065] 所述车载信息服务平台，包括密码设备，所述密码设备通过所述网络通信模块、所述主控模块MCU与所述安全模块I通信连接，用于实现所述车载信息服务平台与所述OBD防护模块之间的第二密钥协商，以及实现所述车载信息服务平台对所述OBD防护模块和所述OBD设备的双重身份认证；
[0066] 所述OBD设备通过所述OBD接口向所述车载诊断系统发送控制或诊断指令，所述车载诊断终端根据所述主控模块MCU内预存的策略文件控制所述OBD设备和所述ECU单元的信息交互；
[0067] 所述车载诊断系统通过所述OBD防护模块、所述网络通信模块将所述OBD设备的身份信息、控制或诊断指令上传至所述车载信息服务平台。
[0068] 在具体的实例中，所述ECU单元包括：车载信息与通讯控制系统ECU、
动力传动系统ECU、底盘控制系统ECU、
车身控制系统ECU和后备控制系统ECU；所述控制或诊断指令为用于控制车辆的控制指令或诊断车辆的诊断指令，用于控制车辆的控制指令包括：控制车窗升降的指令、控制车灯
开关的指令、控制车
门电控门
锁开关的指令、控制车辆
刹车的指令、控制车辆转向的指令和控制车辆
变速器档位的指令等；用于诊断车辆的诊断指令包括：动力传动系统诊断指令、底盘控制系统诊断指令、车身控制系统诊断指令、车载信息与通讯控制系统诊断指令和后备控制系统诊断指令等。
[0069] 具体地，所述安全模块I和所述安全模块II均为安全芯片；所述安全模块I、所述安全模块II和所述密码设备进行密钥协商任务时采用的密码
算法包括SM2算法；所述安全芯片可提供的密码服务包括：用于存储数字身份证书和签名私钥，并提供数字签名、签名验证和数据加解密服务；所述安全芯片支持的
硬件接口包括：SPI、SD和USB。
[0070] 具体的，所述车载信息服务平台还包括策略管理模块，所述策略管理模块用于根据OBD设备的身份信息生成策略文件，所述策略文件包括所述OBD设备支持的诊断服务和所述ECU单元的控制信息，不同的OBD设备对应不同的策略文件。
[0071] 在具体的
实施例中，所述车载信息服务平台还通过所述策略管理模块根据对于不同的用户，比如维修人员、车企人员、车辆用户等人员也生成不同的所述策略文件，实现不同的授权访问机制。
[0072] 所述OBD防护模块通过获取所述OBD设备的身份信息，实现对所述OBD设备的身份验证，并通过所述OBD设备的身份信息从所述车载信息服务平台的策略管理模块获取对应的策略文件。
[0073] 具体的，所述主控模块MCU内预存的策略文件包括默认策略文件和历史策略文件，所述默认策略文件为预先从所述策略管理模块下载的策略文件；所述历史策略文件包括所述主控模块MCU使用过的策略文件。在判断控制或诊断指令权限时，先匹配历史策略文件内容，若不匹配，则通过所述策略管理模块下载所述策略文件；若下载所述策略文件失败，则通过所述默认策略文件进行匹配；当所述OBD防护模块中没有存储有所述策略文件或者所述策略文件不匹配时，且OBD防护模块无操作超过设定时长，则通过所述策略管理模块进行所述策略文件的下载、更新。
[0074] 具体的，当所述策略文件的内容需要更新时，所述策略管理模块通知所述OBD防护模块需要更新下发的所述策略文件的内容，所述OBD防护模块在无操作时进行所述策略文件的内容更新，更新成功后通知所述策略管理模块已完成所述策略文件的内容更新。
[0075] 本发明还提供一种基于所述OBD接口数据安全防护系统的数据安全防护方法，包括OBD设备接入阶段、OBD设备退出阶段或OBD防护模块空闲阶段；
[0076] OBD设备接入阶段
[0077] 所述OBD防护模块与所述OBD设备进行第一密钥协商；
[0078] 所述OBD防护模块与所述OBD设备进行双向身份认证；
[0079] 所述OBD设备通过所述OBD防护模块与所述ECU单元进行信息交互；
[0080] OBD设备退出阶段或OBD防护模块空闲阶段
[0081] 所述OBD防护模块与所述车载信息服务平台进行第二密钥协商；
[0082] 所述车载信息服务平台对所述OBD防护模块和所述OBD设备进行双重身份认证；
[0083] 所述OBD防护模块将所述OBD设备的身份信息、控制或诊断指令上传至所述车载信息服务平台。
[0084] 具体的，所述OBD设备接入阶段中所述OBD防护模块与所述OBD设备进行第一密钥协商的步骤包括：
[0085] 步骤1.1，所述OBD防护模块将所述安全模块I生成的所述OBD防护模块的证书文件发送至所述OBD设备，所述OBD设备验证所述OBD防护模块的证书文件的合法性后，将所述安全模块II生成的所述OBD设备的证书文件发送至所述OBD防护模块，所述OBD防护模块验证所述OBD设备的证书文件的合法性后，实现所述OBD防护模块的证书文件和所述OBD设备的证书文件的交换和验证；
[0086] 步骤1.2，所述OBD防护模块通过所述安全模块I生成第一密钥协商请求信息发送至所述主控模块MCU，经所述主控模块MCU处理后将所述第一密钥协商请求信息通过所述车载OBD接口发送至所述OBD设备；
[0087] 步骤1.3，所述OBD设备通过所述OBD接口接收所述第一密钥协商请求信息并发送至所述处理模块，经所述处理模块处理后将所述第一密钥协商请求信息发送至所述安全模块II；
[0088] 步骤1.4，所述安全模块II验证所述第一密钥协商请求信息的正确性，若正确，则根据预置的密钥交换协议计算获得第一密钥，并生成第一密钥协商回复信息返回至所述OBD防护模块；若错误，则表示所述OBD防护模块到所述OBD设备的第一密钥协商过程失败，直接退出当前工作流程；
[0089] 步骤1.5，所述OBD防护模块通过所述车载OBD接口将所述第一密钥协商回复信息发送至所述主控模块MCU，经所述主控模块MCU处理后将所述第一密钥协商回复信息发送至所述安全模块I；
[0090] 步骤1.6，所述安全模块I验证所述第一密钥协商回复信息的正确性，若正确，则根据预置的密钥交换协议计算获得所述第一密钥；若错误，则表示所述OBD设备到所述OBD防护模块的第一密钥协商过程失败，直接退出当前工作流程。
[0091] 在具体的实施例中，若所述OBD防护模块检测到所述OBD设备在通信过程中断开连接时，则直接退出当前工作流程，不进行控制或诊断工作。
[0092] 具体的，所述OBD设备接入阶段中所述OBD防护模块与所述OBD设备进行双向身份认证的步骤包括：
[0093] 步骤2.1，所述OBD防护模块通过所述安全模块I生成第一身份认证信息，并使用所述第一密钥加密后发送至所述主控模块MCU，经所述主控模块MCU处理后将所述第一身份认证信息的密文通过所述车载OBD接口发送至所述OBD设备；
[0094] 步骤2.2，所述OBD设备通过所述OBD接口接收所述第一身份认证信息的密文发送至所述处理模块，经所述处理模块处理后发送至所述安全模块II；
[0095] 步骤2.3，所述安全模块II使用所述第一密钥解密所述第一身份认证信息的密文获得所述第一身份认证信息的明文，判断所述第一身份认证信息的明文与预先存储的所述OBD防护模块的身份信息是否一致，若一致,则表示所述OBD防护模块的身份合法，若不一致,则表示所述OBD防护模块的身份非法，直接退出当前工作流程；
[0096] 步骤2.4，所述OBD设备通过所述安全模块II生成第二身份认证信息，并使用所述第一密钥加密后发送至所述处理模块，所述处理模块处理后将所述第二身份认证信息的密文通过所述OBD接口发送至所述OBD防护模块；
[0097] 步骤2.5，所述OBD防护模块通过所述车载OBD接口接收所述第二身份认证信息的密文后发送至所述主控模块MCU，由所述主控模块MCU处理后发送至所述安全模块I；
[0098] 步骤2.6，所述安全模块I使用所述第一密钥解密所述第二身份认证信息的密文获得所述第二身份认证信息的明文，判断所述第二身份认证信息的明文与预先存储的所述OBD设备的身份信息是否一致，若一致,则表示所述OBD设备的身份合法；若不一致,则表示所述OBD设备的身份非法，直接退出当前工作流程。
[0099] 本发明OBD设备接入阶段中，所述OBD防护模块与所述OBD设备先进行第一密钥协商，再使用第一密钥协商获得的第一会话秘钥加密身份认证信息进行双向身份认证，更能确保所述OBD防护模块或所述OBD设备身份的合法性。
[0100] 具体的，所述OBD设备接入阶段中所述OBD设备通过所述OBD防护模块与所述ECU单元进行信息交互的步骤包括：
[0101] 步骤3.1，所述OBD设备的处理模块通过所述安全模块II使用所述第一密钥加密控制或诊断指令，通过所述OBD接口、所述车载OBD接口将所述控制或诊断指令的密文发送至所述OBD防护模块；
[0102] 步骤3.2，所述OBD防护模块的主控模块MCU将接收的所述控制或诊断指令的密文进行处理后发送至所述安全模块I，所述安全模块I使用所述第一密钥解密所述控制或诊断指令的密文获得所述控制或诊断指令的明文，并将所述OBD设备的设备信息、控制或诊断指令存储在所述主控模块MCU中；
[0103] 步骤3.3，所述OBD防护模块根据存储的OBD设备的策略文件获取所述控制或诊断指令对所述ECU单元的访问权限，并根据所述控制或诊断指令对所述ECU单元的访问权限将所述控制或诊断指令的明文通过所述车内网关发送至所述ECU单元，所述ECU单元执行所述控制或诊断指令后将控制或诊断结果发送至所述车内网关；
[0104] 步骤3.4，所述车内网关将获取的所述控制或诊断结果发送至所述OBD防护模块的主控模块MCU，所述主控模块MCU处理后再将所述控制或诊断结果发送至所述安全模块I，由所述安全模块I使用所述第一密钥加密后通过所述车载OBD接口、所述OBD接口发送至所述OBD设备；
[0105] 步骤3.5，所述OBD设备的处理模块将接收的所述控制或诊断结果的密文进行处理后发送至所述安全模块II，所述安全模块II使用所述第一密钥解密所述控制或诊断结果的密文获得所述控制或诊断结果的明文。
[0106] 具体的，所述OBD设备退出阶段或所述OBD防护模块空闲阶段中所述OBD防护模块与所述车载信息服务平台进行第二密钥协商的步骤包括：
[0107] 步骤4.1，所述OBD防护模块将所述安全模块I生成的所述OBD防护模块的证书文件发送至所述车载信息服务平台，所述车载信息服务平台验证所述OBD防护模块的证书文件的合法性后，将所述密码设备生成的所述车载信息服务平台的证书文件发送至所述OBD防护模块，所述OBD防护模块验证所述车载信息服务平台的证书文件的合法性后，实现所述OBD防护模块的证书文件和所述车载信息服务平台的证书文件的交换和验证；
[0108] 步骤4.2，所述OBD防护模块通过所述安全模块I生成第二密钥协商请求信息发送至所述主控模块MCU，由所述主控模块MCU处理后将第二密钥协商请求信息通过所述网络通信模块发送至所述车载信息服务平台；
[0109] 步骤4.3，所述车载信息服务平台接收所述第二密钥协商请求信息后发送至所述密码设备，所述密码设备验证所述第二密钥协商请求信息的正确性，若正确,则根据预置的密钥交换协议计算获得第二密钥，并生成第二密钥协商回复信息返回至所述OBD防护模块，若错误,则表示所述OBD防护模块到所述车载信息服务平台的第二密钥协商过程失败，直接退出当前工作流程；
[0110] 步骤4.4，所述OBD防护模块通过所述网络通信模块将所述第二密钥协商回复信息发送至所述主控模块MCU，由所述主控模块MCU处理后将所述第二密钥协商回复信息发送至所述安全模块I；
[0111] 步骤4.5，所述安全模块I验证所述第二密钥协商回复信息的正确性，若正确,则根据预置的密钥交换协议计算获得所述第二密钥，若错误,则表示所述车载信息服务平台到所述OBD防护模块的第二密钥协商过程失败，直接退出当前工作流程。
[0112] 具体的，所述OBD设备退出阶段或所述OBD防护模块空闲阶段中所述车载信息服务平台对所述OBD防护模块和所述OBD设备进行双重身份认证的步骤包括：
[0113] 步骤5.1，所述OBD防护模块通过所述安全模块I将所述第一身份认证信息和所述第二身份认证信息，使用所述第二密钥加密后发送至所述主控模块MCU，由所述主控模块MCU处理后将所述第一身份认证信息的密文和所述第二身份认证信息的密文通过所述网络通信模块发送至所述车载信息服务平台；
[0114] 步骤5.2，所述车载信息服务平台接收所述第一身份认证信息的密文和所述第二身份认证信息的密文后发送至所述密码设备，由所述密码设备使用所述第二密钥解密获得所述第一身份认证信息明文和所述第二身份认证信息的明文；
[0115] 步骤5.3，所述密码设备判断所述第一身份认证信息与预先存储的所述OBD防护模块的身份信息是否一致，若一致，则表示所述OBD防护模块的身份合法，若不一致，则表示所述OBD防护模块的身份非法，直接退出当前工作流程；所述密码设备继续判断所述第二身份认证信息的明文与预先存储的所述OBD设备的身份信息是否一致，若一致，则表示所述OBD设备的身份合法，若不一致，则表示所述OBD设备的身份非法，直接退出当前工作流程。
[0116] 本发明OBD设备退出阶段或OBD防护模块空闲阶段中，所述车载信息服务平台与所述OBD防护模块先进行第二密钥协商，再使用第二密钥协商获得的第二会话秘钥加密身份认证信息，进一步确保了所述OBD防护模块或所述OBD设备身份的合法性。
[0117] 具体的，所述OBD设备退出阶段或所述OBD防护模块空闲阶段中所述OBD防护模块将所述OBD设备的身份信息、控制或诊断指令上传至所述车载信息服务平台的步骤包括：所述OBD防护模块通过所述安全模块I将所述OBD设备的身份信息、控制或诊断指令使用所述第二密钥加密后，通过所述网络通信模块发送至所述车载信息服务平台，所述车载信息服务平台通过所述密码设备将所述OBD设备的身份信息、控制或诊断指令的密文使用所述第二密钥解密，获得所述OBD设备的身份信息、控制或诊断指令的明文。
[0118] 最后应当说明的是:以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行
修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。
