CN111200799B - 一种车联网的异常行为检测方法、装置和*** - Google Patents

一种车联网的异常行为检测方法、装置和*** Download PDF

Info

Publication number
CN111200799B
CN111200799B CN201811386066.3A CN201811386066A CN111200799B CN 111200799 B CN111200799 B CN 111200799B CN 201811386066 A CN201811386066 A CN 201811386066A CN 111200799 B CN111200799 B CN 111200799B
Authority
CN
China
Prior art keywords
internet
vehicles
vehicle
message
abnormal behavior
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201811386066.3A
Other languages
English (en)
Other versions
CN111200799A (zh
Inventor
朱***
李飞
何承东
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Cloud Computing Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN201811386066.3A priority Critical patent/CN111200799B/zh
Priority to PCT/CN2019/104319 priority patent/WO2020103524A1/zh
Priority to EP19887172.5A priority patent/EP3869841A4/en
Publication of CN111200799A publication Critical patent/CN111200799A/zh
Priority to US17/319,663 priority patent/US20210281986A1/en
Application granted granted Critical
Publication of CN111200799B publication Critical patent/CN111200799B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/02—Services making use of location information
    • H04W4/025—Services making use of location information using location based information parameters
    • H04W4/027—Services making use of location information using location based information parameters using movement velocity, acceleration information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/12—Messaging; Mailboxes; Announcements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/44—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for communication between vehicles and infrastructures, e.g. vehicle-to-cloud [V2C] or vehicle-to-home [V2H]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/46—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for vehicle-to-vehicle communication [V2V]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Traffic Control Systems (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本申请实施例公开了一种车联网的异常行为检测方法、装置和***，用于对车联网发送终端和车联网接收终端的异常行为进行检测，保证车辆通信***的安全。本申请实施例提供一种车联网的异常行为检测方法，所述方法应用于车辆通信***，所述车辆通信***包括：车联网发送终端、车联网接收终端、车联网服务器，其中，所述方法包括：所述车联网接收终端接收所述车联网发送终端发送的第一车联网消息；所述车联网接收终端使用第一异常行为检测策略确定所述第一车联网消息为异常消息；所述车联网接收终端向所述车联网服务器发送举报消息，所述举报消息包括：所述第一车联网消息。

Description

一种车联网的异常行为检测方法、装置和***
技术领域
本申请涉及车联网技术领域，尤其涉及一种车联网的异常行为检测方法、装置和***。
背景技术
当前，车联网(vehicle to everything，V2X)技术已经成为汽车新技术发展的热点，是汽车工业当下的重要发展方向，也是该行业价值链上相关厂商重点投入的主要方向之一，V2X技术是汽车实现自动驾驶的关键辅助技术手段之一，国内外标准组织均积极参与车联网技术的建设。
大力发展车联网，有利于促进汽车产业创新发展，构建汽车和交通服务新模式新业态，促进自动驾驶技术创新和应用，提高交通效率、节省资源、减少污染、降低事故发生率。
在V2X通信***中可以包括：多个V2X终端和V2X服务器，一个V2X终端通过广播方式发送V2X消息，由其他的V2X终端接收该V2X消息，随后可能上传至V2X服务器进行后续的处理。作为接收方的V2X终端(如车辆、路边站等)根据接收到的V2X消息综合判断并决策接下来的行为方式。例如对于自动驾驶车辆来说，周边交通参与方发送而来的准确可信的V2X消息，是其自动驾驶行为判断的重要参考依据之一，因此需要对其消息的真实有效性提供安全保障。
但是，当前V2V通信***中，黑客可能发送恶意的V2X消息，从而可能干扰其他合法车辆的自动驾驶行为，该恶意的V2X消息会消耗合法车辆的计算资源，进而影响其后续的判断和操作，恶意的V2X消息还可能会导致交通混乱，危及驾乘人员生命安全。
而现有技术中无法对于恶意的V2X消息进行检测和判断，并依据相关检测结果执行后续的操作。
发明内容
本申请实施例提供了一种车联网的异常行为检测方法、装置和***，用于对车联网发送终端和车联网接收终端的异常行为进行检测，保证车辆通信***的安全。
为解决上述技术问题，本申请实施例提供以下技术方案：
第一方面，本申请实施例提供一种车联网的异常行为检测方法，所述方法应用于车辆通信***，所述车辆通信***包括：车联网发送终端、车联网接收终端、车联网服务器，其中，所述方法包括：所述车联网接收终端接收所述车联网发送终端发送的第一车联网消息；所述车联网接收终端使用第一异常行为检测策略确定所述第一车联网消息为异常消息；所述车联网接收终端向所述车联网服务器发送举报消息，所述举报消息包括：所述第一车联网消息。
在本申请实施例中，车联网接收终端首先接收车联网发送终端发送的第一车联网消息，然后使用第一异常行为检测策略确定第一车联网消息为异常消息，车联网接收终端向车联网服务器发送举报消息，举报消息包括：第一车联网消息。车联网服务器接收到该举报消息之后，可以根据第二异常行为检测策略和举报消息确定车联网接收终端是否有异常行为，还可以根据第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为。本申请实施例中车联网接收终端在检测出异常消息时会上报给车联网服务器，从而车联网服务器可以使用不同的异常行为检测策略分别确定车联网接收终端、车联网发送终端是否有异常行为，因此车联网服务器可以对车联网发送终端和车联网接收终端的异常行为进行检测，保证车辆通信***的安全。
在第一方面的一种可能实现方式中，所述车联网接收终端使用第一异常行为检测策略确定所述第一车联网消息为异常消息，包括：所述车联网接收终端使用所述第一异常行为检测策略对所述第一车联网消息进行检测，得到异常行为特征；所述车联网接收终端根据所述异常行为特征确定所述第一车联网消息为异常消息。在本申请实施例中第一异常行为检测策略包括：异常行为特征的提取方式，使用异常行为特征的提取方式对第一车联网消息进行异常行为特征的提取，例如可以提取车联网发送终端的证书、速度、位置、上报的事件内容等方面的异常行为特征，根据异常行为特征确定第一车联网消息为异常消息。对于第一异常行为检测策略中的异常行为特征提取方式，可以结合具体实现场景来确定。若没有提取到异常行为特征则确定第一车联网消息为正常消息，若从第一车联网消息中提取到了异常行为特征则确定该第一车联网消息为异常消息。
在第一方面的一种可能实现方式中，所述异常行为特征包括如下特征中的至少一种:权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征。其中，权限异常行为特征是指需要验证终端权限存在异常的特征，位置异常行为特征是指车联网发送终端的车辆位置存在异常的特征，速度异常行为特征指的是车联网发送终端的行车速度存在异常的特征，事件异常行为特征是指车联网发送终端发送的事件内容存在异常的特征。在实际应用中，权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征可以按照异常行为检测策略中设置具体的特征提取方式。
在第一方面的一种可能实现方式中，所述权限异常行为特征，包括：所述车联网发送终端的证书中的应用标识AID不包含与所述第一车联网消息的类型对应的发送权限；和/或，所述车联网发送终端的证书中的专有业务权限SSP不包含所述第一车联网消息中的终端类型。在本申请实施例中，车联网发送终端的证书中携带有应用标识，若该应用标识不包含第一车联网消息的类型对应的发送权限，则确定存在异常行为特征。车联网发送终端的证书中携带有专有业务权限，若该专有业务权限不包括第一车联网消息中携带的终端类型，则确定存在异常行为特征。举例说明如下，发送第一车联网消息的终端权限不符合车联网发送终端的证书所规定的权限，即第一车联网消息中携带有发送方证书，发送方证书可以规定这个发送方能发哪些类型的消息，如果超出规定范围可以确定存在异常行为特征。
在第一方面的一种可能实现方式中，所述位置异常行为特征，包括：所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置之间的位置差值大于地理位置欺骗阈值；和/或，当所述第一车联网消息是所述车联网发送终端首次发送的消息时，所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置小于首次消息位置阈值。其中，车联网发送终端、车联网接收终端都可以发送周期性上报消息，该周期性上报消息可以是CAM。周期性上报消息包括车联网通信终端的位置，因此可以判断车联网发送终端的当前位置与车联网接收终端的当前位置之间的位置差值是否大于地理位置欺骗阈值。举例说明如下，位置异常行为特征包括对地理位置欺骗的判断，对比发送方CAM消息中的位置字段中的位置和接收方的位置之间的位置差值，若该位置差值大于地理位置欺骗阈值，则判定根据第一车联网消息确定存在位置异常行为特征。另外位置异常行为特征中还可以包括首次消息位置合法性校验特征。车联网发送终端首次发送的消息指的是车联网发送终端第一次和车联网接收终端之间进行通信，对于第一次收到某辆车发来的消息，若该车辆的位置距离接收方车辆的距离小于设定阈值，则判定从第一车联网消息中提取到了位置异常行为特征。
在第一方面的一种可能实现方式中，所述速度异常行为特征，包括：所述第一车联网消息包括的事件内容对应的车辆速度与所述车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值；和/或，处于同一位置区域的多个车联网发送终端上报的车辆速度与所述第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值；和/或，所述车联网发送终端的第一历史位置与所述车联网发送终端上报的当前车辆位置之间的位置差值除以时间差得到的速度值大于第三速度阈值，所述时间差为所述第一历史位置对应的时间戳和所述车联网发送终端的当前车辆位置对应的时间戳之间的差值。
在本申请实施例中，第一车联网消息包括的事件内容对应的车辆速度与车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值，则根据该第一车联网消息确定存在速度异常行为特征，第一速度阈值可以根据具体场景来设置。例如车联网发送终端可以发送周期性上报消息，该周期性上报消息可以是CAM，车联网发送终端可以发送触发类上报消息，该触发类上报消息可以是DENM，结合周期性上报消息和触发类上报消息可以判断是否符合速度异常行为特征。处于同一位置区域的多个车联网发送终端上报的车辆速度与第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值，则根据第一车联网消息确定存在速度异常行为特征，第二速度阈值可以根据具体场景来设置。车联网发送终端先上报了历史位置点和对应的时间戳，然后又上报了当前位置和对应的时间戳，因此车联网接收终端可以接收到车联网发送终端上报的多个位置和对应的时间戳，基于接收到的这些周期性上报消息和预设的第三速度阈值可以判断是否符合速度异常行为特征，第三速度阈值可以根据具体场景来设置。
在第一方面的一种可能实现方式中，所述事件异常行为特征，包括：所述第一车联网消息包括的事件内容，与所述车联网接收终端从同一位置区域接收到的多个车联网消息分别包括的事件内容都不相同；和/或，所述车联网接收终端的车辆传感器采集信息与所述第一车联网消息包括的事件内容不匹配。在本申请实施例中，车联网发送终端可以发送触发类上报消息，该触发类上报消息可以是DENM，例如第一车联网消息可以是车联网发送终端发送的触发类上报消息，此时车联网接收终端可以接收到车联网发送终端上报的触发类上报消息，根据触发类上报消息判断是否为孤立事件欺骗。另外，还可以结合车联网接收终端的车辆传感器采集信息来判断是否为参数安全异常，事件异常行为特征可以包括：车联网接收终端的车辆传感器采集信息与第一车联网消息包括的事件内容不匹配。举例说明如下，车联网接收终端的车辆传感器结合地图软件显示接收方车辆行驶在一条直路上，且前后可接受V2X消息的范围内均为直路，但是如果收到了附近发送方车辆发来的弯道消息，可以认为发送方车辆发送的第一车联网消息具有异常行为特征。
在第一方面的一种可能实现方式中，所述车联网接收终端根据所述异常行为特征确定所述第一车联网消息为异常消息之后，所述方法还包括：所述车联网接收终端获取所述车联网发送终端在第一时间段中所述异常行为特征的发生次数；所述车联网接收终端获取所述异常行为特征在第二时间段内的总发生次数，所述第二时间段大于所述第一时间段；当所述第一时间段中所述异常行为特征的发生次数大于第一异常行为阈值，和/或所述异常行为特征在所述第二时间段内的总发生次数大于第二异常行为阈值时，所述车联网接收终端确定所述车联网发送终端有异常行为。本申请实施例中还可以对异常行为特征进行统计分析，以确定车联网发送终端是否有恶意行为，例如提取车联网发送终端在第一时间段中异常行为特征的发生次数，以及提取异常行为特征在第二时间段内的总发生次数，第一时间段是可以预设的一个单位时间，第二时间段可以是车联网发送终端的证书有效期或者半个证书有效期。异常行为检测算法中包括有第一异常行为阈值和第二异常行为阈值，只要满如下两个条件中的至少一个条件就可以确定车联网发送终端有异常行为，两个条件为：第一时间段中异常行为特征的发生次数大于第一异常行为阈值，异常行为特征在第二时间段内的总发生次数大于第二异常行为阈值。
在第一方面的一种可能实现方式中，所述车联网接收终端确定所述车联网发送终端有异常行为之后，所述方法还包括：所述车联网接收终端将所述车联网发送终端加入黑名单，所述黑名单用于对所述车联网接收终端接收到的车联网消息进行拦截。其中，如果车联网发送终端有异常行为，车联网接收终端可以将该车联网发送终端的证书加入到本地黑名单，实现对于该车联网发送终端的后续消息的丢弃操作，因为该车联网发送终端还可能继续发送消息，此时通过黑名单的拦截可以实现对车联网发送终端的后续消息的及时处理，避免车联网发送终端的异常行为对车联网接收终端的干扰。
在第一方面的一种可能实现方式中，所述车联网接收终端接收所述车联网发送终端发送的第一车联网消息之前，所述方法还包括：所述车联网接收终端获取所述车联网服务器发送的第一异常行为检测策略。在本申请实施例中，车联网接收终端可以向车联网服务器发送策略获取请求，例如该策略获取请求携带车联网接收终端的车辆ID，以请求下发异常行为检测策略，车联网服务器在接收到该策略获取请求之后，车联网服务器根据该车联网接收终端的标识获取与车联网接收终端对应的第一异常行为检测策略。另外，车联网服务器还可以主动的向车联网接收终端推送策略数据，例如在车联网服务器和车联网接收终端之间的通信连接建立之后，车联网服务器就可以推送第一异常行为检测策略，车联网接收终端接收车联网服务器发送的第一异常行为检测策略。
在第一方面的一种可能实现方式中，所述车联网接收终端向所述车联网服务器发送举报消息之后，所述方法还包括：所述车联网接收终端接收所述车联网服务器发送的举报消息响应；所述车联网接收终端根据所述举报消息响应确定所述车联网发送终端是否有异常行为。其中，车联网服务器在联网发送终端是否有异常行为之后，车联网服务器还可以生成举报消息响应，该举报消息响应可以包括车联网服务器对车联网发送终端的仲裁结果，然后向车联网接收终端发送该举报消息响应，车联网接收终端接收车联网服务器发送的举报消息响应，车联网接收终端根据举报消息响应确定车联网发送终端是否有异常行为。例如车联网接收终端可以根据车联网服务器对车联网发送终端的仲裁结果，决策对于第一车联网消息的后续消息处理方式。
在第一方面的一种可能实现方式中，所述车联网接收终端根据所述举报消息响应确定所述车联网发送终端是否有异常行为之后，所述方法还包括：当所述车联网发送终端有异常行为时，所述车联网接收终端将所述车联网发送终端加入黑名单，所述黑名单用于对所述车联网接收终端接收到的车联网消息进行拦截。其中，如果车联网发送终端有异常行为，车联网接收终端可以将该车联网发送终端的证书加入到本地黑名单，实现对于该车联网发送终端的后续消息的丢弃操作，因为该车联网发送终端还可能继续发送消息，此时通过黑名单的拦截可以实现对车联网发送终端的后续消息的及时处理，避免车联网发送终端的异常行为对车联网接收终端的干扰。
第二方面，本申请实施例还提供一种车联网的异常行为检测方法，所述方法应用于车辆通信***，所述车辆通信***包括：车联网发送终端、车联网接收终端、车联网服务器，其中，所述方法包括：所述车联网服务器接收所述车联网接收终端发送的举报消息，所述举报消息包括：所述车联网发送终端发送的第一车联网消息；所述车联网服务器根据第二异常行为检测策略和所述举报消息确定所述车联网接收终端是否有异常行为；所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为。
在本申请实施例中，车联网接收终端首先接收车联网发送终端发送的第一车联网消息，然后使用第一异常行为检测策略确定第一车联网消息为异常消息，车联网接收终端向车联网服务器发送举报消息，举报消息包括：第一车联网消息。车联网服务器接收到该举报消息之后，可以根据第二异常行为检测策略和举报消息确定车联网接收终端是否有异常行为，还可以根据第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为。本申请实施例中车联网接收终端在检测出异常消息时会上报给车联网服务器，从而车联网服务器可以使用不同的异常行为检测策略分别确定车联网接收终端、车联网发送终端是否有异常行为，因此车联网服务器可以对车联网发送终端和车联网接收终端的异常行为进行检测，保证车辆通信***的安全。
在第二方面的一种可能实现方式中，所述车辆通信***还包括：多个证书管理服务器，所述举报消息包括所述车联网接收终端的证书；所述车联网服务器根据第二异常行为检测策略和所述举报消息确定所述车联网接收终端是否有异常行为，包括：所述车联网服务器从第一证书管理服务器获取所述车联网接收终端的多个证书，所述第一证书管理服务器用于向所述车联网接收终端颁发多个证书；所述车联网服务器根据所述车联网接收终端的多个证书确定所述车联网接收终端的举报总次数；所述车联网服务器根据所述举报总次数确定所述车联网接收终端是否有异常行为。在本申请实施例中，车联网接收终端发送的举报消息中可以包括该车联网接收终端的证书，车联网服务器根据该车联网接收终端的证书确定出第一证书管理服务器，第一证书管理服务器为多个证书管理服务器中的其中一个服务器。然后车联网服务器向第一证书管理服务器发送第一证书查询请求，第一证书查询请求包括：车联网接收终端的证书，第一证书管理服务器根据第一证书查询请求携带的一个证书确定出车联网接收终端的多个证书，然后向车联网服务器发送车联网接收终端的多个证书。车联网服务器收到车联网接收终端的多个证书之后，车联网服务器根据车联网接收终端的多个证书确定车联网接收终端的举报总次数，例如统计车联网接收终端在一段时间内发起的举报总次数，根据预设的举报次数阈值确定该举报总次数是否超过该阈值，若车联网接收终端的举报总次数超过了该阈值，确定车联网接收终端有异常行为，若没有超过该阈值确定车联网接收终端没有异常行为。
在第二方面的一种可能实现方式中，所述车辆通信***中包括多个车联网接收终端，且所述车辆通信***还包括：多个证书管理服务器；所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为，包括：所述车联网服务器从第二证书管理服务器获取所述车联网发送终端的多个证书，所述第二证书管理服务器用于向所述车联网发送终端颁发多个证书；所述车联网服务器根据所述车联网发送终端的多个证书和所述第一车联网消息确定多个车联网接收终端的第一举报总次数，所述第一举报总次数为所述多个车联网接收终端针对所述车联网发送终端，或者针对所述第一车联网消息的举报总次数；所述车联网服务器根据所述多个车联网接收终端的第一举报总次数，确定所述车联网发送终端是否有异常行为。
在本申请实施例中，车联网发送终端发送的第一车联网消息中可以包括该车联网发送终端的证书，车联网服务器根据该车联网发送终端的证书确定出第二证书管理服务器。然后车联网服务器向第二证书管理服务器发送第一证书查询请求，第二证书查询请求包括：车联网发送终端的证书，第二证书管理服务器根据第二证书查询请求携带的一个证书确定出车联网发送终端的多个证书，然后向车联网服务器发送车联网发送终端的多个证书。车联网服务器根据车联网发送终端的多个证书和第一车联网消息确定多个车联网接收终端的第一举报总次数，根据预设的举报次数阈值确定该第一举报总次数是否超过该阈值，若第一举报总次数超过了该阈值，确定车联网发送终端有异常行为，若没有超过该阈值确定车联网发送终端没有异常行为。
在第二方面的一种可能实现方式中，所述车辆通信***中包括多个车联网接收终端；所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为，包括：所述车联网服务器接收多个车联网接收终端分别发送的举报消息；所述车联网服务器根据所述第三异常行为检测策略对所述多个举报消息中分别携带的车联网消息进行检测，得到多个异常行为特征；所述车联网服务器对所述多个异常行为特征进行统计分析，得到所述车联网发送终端是否有异常行为。其中，车联网服务器除了通过被举报次数来确定车联网发送终端是否有异常行为之外，车联网服务器还可以使用全局特征检测方法来确定车联网发送终端是否有异常行为，例如，车联网服务器收到来自多个车联网接收终端的举报消息，车联网服务器根据第三异常行为检测策略对多个举报消息中分别携带的车联网消息进行异常行为特征提取，得到多个异常行为特征，车联网服务器根据第三异常行为检测策略中的异常行为检测算法检测多个异常行为特征，得到车联网发送终端是否有异常行为。
在第二方面的一种可能实现方式中，所述异常行为特征包括如下特征中的至少一种:权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征。其中，权限异常行为特征是指需要验证终端权限存在异常的特征，位置异常行为特征是指车联网发送终端的车辆位置存在异常的特征，速度异常行为特征指的是车联网发送终端的行车速度存在异常的特征，事件异常行为特征是指车联网发送终端发送的事件内容存在异常的特征。在实际应用中，权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征可以按照异常行为检测策略中设置具体的特征提取方式。
在第二方面的一种可能实现方式中，所述权限异常行为特征，包括：所述车联网发送终端的证书中的应用标识AID不包含与所述第一车联网消息的类型对应的发送权限；和/或，所述车联网发送终端的证书中的专有业务权限SSP不包含所述第一车联网消息中的终端类型。在本申请实施例中，车联网发送终端的证书中携带有应用标识，若该应用标识不包含第一车联网消息的类型对应的发送权限，则确定存在异常行为特征。车联网发送终端的证书中携带有专有业务权限，若该专有业务权限不包括第一车联网消息中携带的终端类型，则确定存在异常行为特征。举例说明如下，发送第一车联网消息的终端权限不符合车联网发送终端的证书所规定的权限，即第一车联网消息中携带有发送方证书，发送方证书可以规定这个发送方能发哪些类型的消息，如果超出规定范围可以确定存在异常行为特征。
在第二方面的一种可能实现方式中，所述位置异常行为特征，包括：所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置之间的位置差值大于地理位置欺骗阈值；和/或，当所述第一车联网消息是所述车联网发送终端首次发送的消息时，所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置小于首次消息位置阈值。其中，车联网发送终端、车联网接收终端都可以发送周期性上报消息，该周期性上报消息可以是CAM。周期性上报消息包括车联网通信终端的位置，因此可以判断车联网发送终端的当前位置与车联网接收终端的当前位置之间的位置差值是否大于地理位置欺骗阈值。举例说明如下，位置异常行为特征包括对地理位置欺骗的判断，对比发送方CAM消息中的位置字段中的位置和接收方的位置之间的位置差值，若该位置差值大于地理位置欺骗阈值，则判定根据第一车联网消息确定存在位置异常行为特征。另外位置异常行为特征中还可以包括首次消息位置合法性校验特征。车联网发送终端首次发送的消息指的是车联网发送终端第一次和车联网接收终端之间进行通信，对于第一次收到某辆车发来的消息，若该车辆的位置距离接收方车辆的距离小于设定阈值，则判定从第一车联网消息中提取到了位置异常行为特征。
在第二方面的一种可能实现方式中，所述速度异常行为特征，包括：所述第一车联网消息包括的事件内容对应的车辆速度与所述车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值；和/或，处于同一位置区域的多个车联网发送终端上报的车辆速度与所述第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值；和/或，所述车联网发送终端的第一历史位置与所述车联网发送终端上报的当前车辆位置之间的位置差值除以时间差得到的速度值大于第三速度阈值，所述时间差为所述第一历史位置对应的时间戳和所述车联网发送终端的当前车辆位置对应的时间戳之间的差值。
在本申请实施例中，第一车联网消息包括的事件内容对应的车辆速度与车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值，则根据该第一车联网消息确定存在速度异常行为特征，第一速度阈值可以根据具体场景来设置。例如车联网发送终端可以发送周期性上报消息，该周期性上报消息可以是CAM，车联网发送终端可以发送触发类上报消息，该触发类上报消息可以是DENM，结合周期性上报消息和触发类上报消息可以判断是否符合速度异常行为特征。处于同一位置区域的多个车联网发送终端上报的车辆速度与第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值，则根据第一车联网消息确定存在速度异常行为特征，第二速度阈值可以根据具体场景来设置。车联网发送终端先上报了历史位置点和对应的时间戳，然后又上报了当前位置和对应的时间戳，因此车联网接收终端可以接收到车联网发送终端上报的多个位置和对应的时间戳，基于接收到的这些周期性上报消息和预设的第三速度阈值可以判断是否符合速度异常行为特征，第三速度阈值可以根据具体场景来设置。
在第二方面的一种可能实现方式中，所述事件异常行为特征，包括：所述第一车联网消息包括的事件内容，与所述车联网接收终端从同一位置区域接收到的多个车联网消息分别包括的事件内容都不相同；和/或，所述车联网接收终端的车辆传感器采集信息与所述第一车联网消息包括的事件内容不匹配。在本申请实施例中，车联网发送终端可以发送触发类上报消息，该触发类上报消息可以是DENM，例如第一车联网消息可以是车联网发送终端发送的触发类上报消息，此时车联网接收终端可以接收到车联网发送终端上报的触发类上报消息，根据触发类上报消息判断是否为孤立事件欺骗。另外，还可以结合车联网接收终端的车辆传感器采集信息来判断是否为参数安全异常，事件异常行为特征可以包括：车联网接收终端的车辆传感器采集信息与第一车联网消息包括的事件内容不匹配。举例说明如下，车联网接收终端的车辆传感器结合地图软件显示接收方车辆行驶在一条直路上，且前后可接受V2X消息的范围内均为直路，但是如果收到了附近发送方车辆发来的弯道消息，可以认为发送方车辆发送的第一车联网消息具有异常行为特征。
在第二方面的一种可能实现方式中，所述车联网服务器对所述多个异常行为特征进行统计分析，得到所述车联网发送终端是否有异常行为，包括：所述车联网服务器获取所述车联网发送终端在第一时间段中所述多个异常行为特征的发生次数；所述车联网服务器获取所述多个异常行为特征在第二时间段内的总发生次数，所述第二时间段大于所述第一时间段；当所述第一时间段中所述多个异常行为特征的发生次数大于第一异常行为阈值，和/或所述多个异常行为特征在所述第二时间段内的总发生次数大于第二异常行为阈值时，所述车联网服务器确定所述车联网发送终端有异常行为。在本申请实施例中，异常行为检测算法中可以包括对异常行为特征的提取方式，例如提取车联网发送终端在第一时间段中多个异常行为特征的发生次数，以及提取多个异常行为特征在第二时间段内的总发生次数，第一时间段是可以预设的一个单位时间，第二时间段可以是车联网发送终端的证书有效期或者半个证书有效期。异常行为检测算法中包括有第一异常行为阈值和第二异常行为阈值，只要满如下两个条件中的至少一个条件就可以确定车联网发送终端有异常行为，两个条件为：第一时间段中多个异常行为特征的发生次数大于第一异常行为阈值，多个异常行为特征在第二时间段内的总发生次数大于第二异常行为阈值。
在第二方面的一种可能实现方式中，所述车辆通信***还包括：多个证书管理服务器和证书吊销服务器，所述方法还包括：所述车联网服务器向第三证书管理服务器发送第一证书吊销请求，所述第一证书吊销请求包括：异常车联网终端的证书，所述第三证书管理服务器用于向所述证书吊销服务器请求吊销所述异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；所述车联网服务器接收所述第三证书管理服务器发送的所述异常车联网终端的证书被吊销的响应。其中，车联网服务器先确定为异常车联网终端发送证书的第三证书管理服务器，然后请求该第三证书管理服务器对异常车联网终端的证书进行吊销，第三证书管理服务器向证书吊销服务器请求吊销异常车联网终端的证书，证书吊销服务器具有吊销功能，证书吊销服务器完成吊销之后通知第三证书管理服务器，第三证书管理服务器发送第一证书吊销响应，车联网服务器根据证书吊销响应确定异常车联网终端的证书被吊销，解决了对异常车联网终端的证书吊销问题，避免该异常车联网终端对其它车联网通信终端造成的干扰。
在第二方面的一种可能实现方式中，所述车辆通信***还包括：多个证书管理服务器和证书吊销服务器，所述方法还包括：所述车联网服务器向第三证书管理服务器发送第二证书吊销请求，所述第二证书吊销请求包括：异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；所述车联网服务器接收所述第三证书管理服务器将所述异常车联网终端的至少一个证书加入黑名单后发送的响应，并向所述证书吊销服务器发送第三证书吊销请求；所述车联网服务器接收所述证书吊销服务器发送的所述异常车联网终端的证书被吊销的响应。其中，车联网服务器可以和第三证书管理服务器、证书吊销服务器分别进行通信，在此实施例中第三证书管理服务器将异常车联网终端的至少一个证书加入黑名单，第三证书管理服务器在加入黑名单之后发送响应，车联网服务器向证书吊销服务器发送第三证书吊销请求，证书吊销服务器对异常车联网终端的证书进行吊销，车联网服务器根据接收到的证书吊销响应确定异常车联网终端的证书被吊销，解决了对异常车联网终端的证书吊销问题，避免该异常车联网终端对其它车联网通信终端造成的干扰。
在第二方面的一种可能实现方式中，所述车辆通信***还包括：证书吊销服务器，所述方法还包括：所述车联网服务器向所述证书吊销服务器发送第四证书吊销请求，所述第四证书吊销请求包括：异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；所述车联网服务器接收所述证书吊销服务器发送的所述异常车联网终端的证书被吊销的响应。其中，车联网服务器可以和证书吊销服务器建立有通信连接，车联网服务器向证书吊销服务器发送第四证书吊销请求，请求证书吊销服务器对异常车联网终端的证书进行吊销，证书吊销服务器具有吊销功能，证书吊销服务器完成吊销之后发送证书吊销响应，车联网服务器根据证书吊销响应确定异常车联网终端的证书被吊销，解决了对异常车联网终端的证书吊销问题，避免该异常车联网终端对其它车联网通信终端造成的干扰。
在第二方面的一种可能实现方式中，所述多个证书管理服务器，包括：多个长期证书管理服务器和多个短期证书管理服务器；所述车联网服务器根据异常车联网终端的证书确定为所述异常车联网终端发送证书的第三证书管理服务器，包括：所述车联网服务器对所述异常车联网终端的异常行为进行分级，得到异常等级；当所述异常等级为第一异常等级时，所述车联网服务器从所述多个长期证书管理服务器、所述多个短期证书管理服务器中分别确定出所述第三证书管理服务器；或者，当所述异常等级为第二异常等级时，所述车联网服务器从所述多个短期证书管理服务器中确定出所述第三证书管理服务器。其中，车联网服务器可以根据本地策略对于异常行为进行分级，例如根据碰撞等级和危害等级将异常行为分为至少两个等级：第一异常等级和第二异常等级，第一异常等级要高于第二异常等级，对于异常行为分级的策略取决于应用场景。当异常车联网终端的异常行为对应第一异常等级时，需要对异常车联网终端的长期证书和短期证书都进行吊销，当异常车联网终端的异常行为对应第二异常等级时，只需要吊销短期证书，从而可实现对车联网通信终端的异常行为分级处理。
在第二方面的一种可能实现方式中，所述车联网服务器确定出所述第三证书管理服务器之后，所述方法还包括：所述车联网服务器根据所述异常车联网终端的异常行为生成吊销原因信息；所述车联网服务器向所述第三证书管理服务器发送所述吊销原因信息和所述异常等级。
在第二方面的一种可能实现方式中，所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为之后，所述方法还包括：所述车联网服务器生成举报消息响应，所述举报消息响应用于指示所述车联网发送终端是否有异常行为；所述车联网服务器向所述车联网接收终端发送所述举报消息响应。
在第二方面的一种可能实现方式中，所述车联网服务器接收所述车联网接收终端发送的举报消息之前，所述方法还包括：所述车联网服务器向所述车联网接收终端发送所述第一异常行为检测策略。其中，车联网服务器根据车联网发送终端的异常行为生成吊销原因信息，该吊销原因信息中包括有车联网发送终端的证书被吊销的原因，车联网服务器向第三证书管理服务器发送吊销原因信息和异常等级，从而第三证书管理服务器可以获取到车联网发送终端的吊销原因和异常等级，实现对车联网发送终端的证书管理。
在第二方面的一种可能实现方式中，所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为，包括：当所述车联网接收终端没有异常行为时，所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为。
第三方面，本申请实施例提供一种车辆通信***，所述车辆通信***包括：车联网接收终端、车联网发送终端、车联网服务器，其中，所述车联网发送终端，用于向所述车联网接收终端发送第一车联网消息；所述车联网接收终端，用于执行前述第一方面中任一项所述的方法；所述车联网服务器，用于执行前述第二方面中任一项所述的方法。
第四方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述第一方面所述的方法。
第五方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述第二方面所述的方法。
第六方面，本申请实施例提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第一方面所述的方法。
第七方面，本申请实施例提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第二方面所述的方法。
第八方面，本申请实施例提供一种车联网接收装置，所述车联网接收装置包括：处理器、存储器；所述存储器用于存储指令；所述处理器用于执行所述存储器中的所述指令，使得所述车联网接收装置执行如前述第一方面中任一项所述的方法。
第九方面，本申请实施例提供一种车联网处理装置，所述车联网处理装置包括：处理器、存储器；所述存储器用于存储指令；所述处理器用于执行所述存储器中的所述指令，使得所述车联网处理装置执行如前述第二方面中任一项所述的方法。
第十方面，本申请提供了一种芯片***，该芯片***包括处理器，用于支持车联网接收装置，或者车联网处理装置实现上述方面中所涉及的功能，例如，发送或处理上述方法中所涉及的数据和/或信息。在一种可能的设计中，所述芯片***还包括存储器，所述存储器，用于保存车联网接收装置，或者车联网处理装置必要的程序指令和数据。该芯片***，可以由芯片构成，也可以包括芯片和其他分立器件。
附图说明
图1为本申请实施例提供的一种车辆通信***的架构示意图；
图2为本申请实施例提供的另一种车辆通信***的架构示意图；
图3为本申请实施例提供的另一种车辆通信***的架构示意图；
图4为本申请实施例中车辆通信***使用群组通信的示意图；
图5为本申请实施例提供的车联网发送终端、车联网接收终端、车联网服务器之间的交互流程示意图；
图6本申请实施例提供了车联网的异常行为检测方法中发送方车辆、接收方车辆、V2X服务器、证书管理服务器之间的交互流程示意图；
图7为本申请实施例提供的异常行为检测策略的配置与更新流程示意图；
图8为本申请实施例提供的本地异常行为检测流程示意图；
图9为本申请实施例提供的全局异常行为检测流程示意图；
图10为本申请实施例提供的分级吊销流程示意图；
图11为本申请实施例提供的一种车联网通信装置的组成结构示意图；
图12为本申请实施例提供的一种车联网处理装置的结构示意图；
图13为本申请实施例提供的另一种车联网通信装置的组成结构示意图；
图14为本申请实施例提供的另一种车联网处理装置的组成结构示意图。
具体实施方式
本申请实施例提供了一种车联网的异常行为检测方法、装置和***，用于对车联网发送终端和车联网接收终端的异常行为进行检测，保证车辆通信***的安全。
本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的术语在适当情况下可以互换，这仅仅是描述本申请的实施例中对相同属性的对象在描述时所采用的区分方式。此外，术语“包括”和“具有”并他们的任何变形，意图在于覆盖不排他的包含，以便包含一系列单元的过程、方法、***、产品或设备不必限于那些单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它单元。
首先对本申请实施例提供的车联网领域中车联网通信终端之间的通信流程做出说明，在车辆通信***中两个车联网通信终端之间通过车联网消息进行通信，例如一个车联网通信终端可以向另一个车联网通信终端发送车联网消息，发送消息的终端可以称为车联网发送终端，接收消息的终端可以称为车联网接收终端。本申请实施例中，车联网通信终端之间的发送消息的方式可以包括广播、单播或者组播等方式，后续实施例中以V2V广播的方式为例进行说明。
在本申请实施例中，车联网通信终端具体可以是车载通信单元(on-board unit，OBD)，也可以是路侧通信单元(road side unit，RSU)，当车联网发送终端为OBD时，该车联网接收终端可以是RSU；或者，当车联网发送终端为RSU时，该车联网接收终端可以是OBU；或者，当车联网发送终端为OBD1时，该车联网接收终端可以是OBD2；或者，当车联网发送终端为RSU1时，该车联网接收终端可以是RSU2。车联网通信终端也可以是智能交通***站(intelligent transport system-station，ITS-S)。当车联网发送终端和车联网接收终端之间进行通信时，车联网发送终端和车联网接收终端中任意一方都可能存在异常行为，当车联网接收终端根据异常行为检测策略从车联网发送终端发送的车联网消息(例如第一车联网消息)中确定出异常行为特征时，车联网接收终端确定该第一车联网消息为异常消息，此时车联网接收终端向车联网服务器发送举报消息。
本申请实施例中车联网服务器可以生成异常行为检测策略，该异常行为检测策略用于根据从车联网通信终端中采集到的车辆数据检测该车联网通信终端是否存在异常行为。其中，异常行为是指一个车联网通信终端发送异常消息以干扰其它车联网通信终端正常参与交通的行为，该异常行为也可以称为恶意行为。针对异常行为可以根据预设的异常行为检测算法来确定车联网通信终端属于异常行为，该异常行为检测算法可以是根据车联网通信终端发送车联网消息的事件内容、车联网通信终端的证书确定出的检测算法。举例说明，根据异常行为检测策略对车联网发送终端发送的车联网消息进行检测时，设定对于某一类型异常消息的发送次数阈值可以为5，若攻击者发送了该类型的车联网消息，则确定该车联网消息为异常消息，若攻击者发送的该类型车联网消息次数为5，则确定该攻击者具有异常行为，若车联网通信终端发送的该类型车联网消息次数为0，则确定该车联网消息为正常消息。后续实施例中对车联网服务器生成的异常行为检测策略进行详细说明。
接下来对本申请实施例提供的车辆通信***的架构进行说明，图1所示，车辆通信***100包括：车联网发送终端101、车联网接收终端102、车联网服务器103。其中，车联网发送终端101发送第一车联网消息，车联网接收终端102接收该第一车联网消息，车联网接收终端102检测该第一车联网消息为异常消息时，车联网接收终端102发送举报消息给车联网服务器103，从而车联网服务器103可以检测车联网接收终端102是否具有异常行为，也可以检测车联网发送终端101是否具有异常行为。例如车联网服务器103可以先检测车联网接收终端102是否具有异常行为，当车联网接收终端102不是恶意举报时再进一步的检测车联网发送终端101是否具有异常行为。进一步的，车联网服务器103还可以发送举报消息响应，举报消息响应包括对车联网发送终端101的检测结果。车联网接收终端102可以接收该检测结果，然后根据该检测结果确定车联网发送终端101是否具有异常行为，当车联网发送终端101具有异常行为时车联网接收终端102丢弃接收到的第一车联网消息，当车联网发送终端101没有异常行为时车联网接收终端102可以与车联网发送终端101进行通信。
需要说明的是，在本申请的一些实施例中，车联网通信***中的车联网接收终端可以为一个或者多个，从而每个车联网接收终端在接收到车联网消息之后都可以根据异常行为检测策略来检测接收到的车联网消息是否为异常消息。
在本申请的一些实施例中，如图2所示，车辆通信***100还可以包括：证书管理服务器104，其中，证书管理服务器104用于向车联网通信终端颁发证书，以及对颁发的证书进行管理。例如在车辆通信***中证书管理服务器可以有多个，证书管理服务器用于向车联网发送终端、车联网接收终端颁发证书，以及对颁发的证书进行管理。该证书可以是长期证书，也可以是短期证书。在具体实现场景中，证书管理服务器可以是长期证书管理服务器，也可以是短期证书管理服务器。其中，长期证书管理服务器也可以称为长期证书颁发服务器，短期证书管理服务器也可以称为短期证书颁发服务器。另外车联网通信***中的证书管理服务器可以为一个或者多个，若证书管理服务器为多个，则车联网服务器可以为车联网接收终端确定出为该车联网接收终端颁发证书的证书管理服务器，车联网服务器可以为车联网发送终端确定出为该车联网发送终端颁发证书的证书管理服务器，在图2中车联网通信***中的证书管理服务器为一个示例说明。
在本申请的一些实施例中，如图3所示，相对于图2所示，车辆通信***100还可以包括：证书吊销服务器105，该证书吊销服务器可以吊销为车联网通信终端颁发的证书。例如该证书吊销服务器可以是吊销证书列表(certificate revocation list，CRL)服务器。
本申请实施例提供的车联网的异常行为检测方法应用于车辆通信***，车辆通信***包括：车联网发送终端、车联网接收终端、车联网服务器。接下来对本申请实施例中车辆通信***的通信过程进行举例说明，如图4所示，为本申请实施例中车辆通信***使用群组通信的示意图。车联网(vehicle to everything，V2X)服务器通过分组核心网(evolvedpacket core，EPC)和基站(eNodeB)或者路侧单元(Road Side Unit，RSU)进行通信，基站或者路侧单元通过车车通信(Vehicle to Vehicle，V2V)或者Uu接口和车联网通信终端进行通信。其中，V2V可以包括：近邻通信第五接口(prose communication 5，PC5)和专用短程通信(Dedicated Short Range Communications，DSRC)。发送消息的终端可以称为车联网发送终端，接收消息的终端可以称为车联网接收终端，终端之间可以通过V2V方式进行通信，例如通过PC5方式。PC5是终端间的参考点，物理层也称为Sidelink，用于完成控制面和用户面的信令和数据传输、邻近服务发现、直接通信和对终端的入网中继功能。Uu接口指的是用户设备(User Equipment，UE)与通用陆面无线接入网络(UMTS Terrestrial Radio AccessNetwork，UTRAN)之间的接口，是通用移动通信***(Universal MobileTelecommunications System，UMTS)的空中接口。DSRC基于802.11p技术，是一种路侧单元与移动无线单元之间、移动单元与移动单元之间、便携单元与移动单元之间进行短距离数据传送的无线技术。其中，便携单元如手机等手持设备，移动单元如车载设备等。
请参阅图5所示，首先对本申请实施例中车联网发送终端、车联网接收终端、车联网服务器之间的交互流程进行示意说明，本申请实施例提供的车联网的异常行为检测方法，主要包括如下流程：
501、车联网接收终端接收车联网发送终端发送的第一车联网消息。
在本申请实施例中，车联网接收终端可以和车联网发送终端进行通信，例如车联网发送终端发送第一车联网消息，则车联网接收终端可以接收该第一车联网消息，例如可以有一个或多个的车联网接收终端接收该第一车联网消息。第一车联网消息具体可以是周期性上报消息，例如周期性上报消息包括:协作感知消息(cooperative awarenessmessage，CAM)，或者该第一车联网消息也可以是触发类上报消息，触发类上报消息包括:分散环境通知信息(decentralized environmental notification message，DENM)。
502、车联网接收终端使用第一异常行为检测策略确定第一车联网消息为异常消息。
在本申请实施例中，车联网接收终端可以预先存储第一异常行为检测策略，该第一异常行为检测策略用于检测车联网消息是否为异常消息。第一异常行为检测策略中还可以包括异常行为检测算法，该异常行为检测算法用于根据从车联网通信终端中采集到的车辆数据检测该车联网通信终端是否存在异常行为。
在本申请实施例中，车联网接收终端接收到第一车联网消息之后，车联网接收终端会首先使用第一异常行为检测策略检测第一车联网消息是否为异常消息，在确定该第一车联网消息为异常消息的情况下执行后续步骤503。
在本申请的一些实施例中，步骤501车联网接收终端接收车联网发送终端发送的第一车联网消息之前，本申请实施例提供的车联网的异常行为检测方法还包括：
车联网接收终端获取车联网服务器发送的第一异常行为检测策略。
其中，车联网接收终端可以向车联网服务器发送策略获取请求，例如该策略获取请求携带车联网接收终端的车辆ID，以请求下发异常行为检测策略，车联网服务器在接收到该策略获取请求之后，车联网服务器根据该车联网接收终端的标识获取与车联网接收终端对应的第一异常行为检测策略，例如第一异常行为检测策略可以是安全策略列表，在该安全策略列表中包括有判断车联网消息为异常消息的策略。车联网服务器发送该第一异常行为检测策略，车联网接收终端接收车联网服务器发送的第一异常行为检测策略。车联网接收终端还可以进一步的存储第一异常行为检测策略。当车联网接收终端接收到第一车联网消息时，获取存储的第一异常行为检测策略，使用第一异常行为检测策略检测接收到的第一车联网消息是否为异常消息。
第一异常行为检测策略包括：异常行为特征的提取方式和异常行为检测算法。举例说明如下，异常行为检测算法是策略的具体执行方式。例如，假设CAM消息的广播范围为500米(m)，异常行为特征可以是车辆的CAM消息中地理位置异常，异常行为检测算法可以是检测车辆的CAM消息中地理位置是否超过500米，若车联网消息中携带的车辆位置超过500m，就可以认为该CAM消息是异常消息。
在本申请的另一些实施例中，车联网服务器还可以主动的向车联网接收终端推送策略数据，例如在车联网服务器和车联网接收终端之间的通信连接建立之后，车联网服务器就可以推送第一异常行为检测策略，车联网接收终端接收车联网服务器发送的第一异常行为检测策略。另外，车联网接收终端还可以进一步的存储第一异常行为检测策略，当车联网接收终端接收到第一车联网消息时，获取存储的第一异常行为检测策略，使用第一异常行为检测策略检测接收到的第一车联网消息是否为异常消息。
在本申请的一些实施例中，步骤502车联网接收终端使用第一异常行为检测策略确定第一车联网消息为异常消息，包括：
车联网接收终端使用第一异常行为检测策略对第一车联网消息进行检测，得到异常行为特征；
车联网接收终端根据异常行为特征确定第一车联网消息为异常消息。
其中，第一异常行为检测策略包括：异常行为特征的提取方式，使用异常行为特征的提取方式对第一车联网消息进行异常行为特征的提取，例如可以提取车联网发送终端的证书、速度、位置、上报的事件内容等方面的异常行为特征，根据异常行为特征确定第一车联网消息为异常消息。对于第一异常行为检测策略中的异常行为特征提取方式，可以结合具体实现场景来确定，详见后续实施例的举例说明。若没有提取到异常行为特征则确定第一车联网消息为正常消息，若从第一车联网消息中提取到了异常行为特征则确定该第一车联网消息为异常消息。接下来针对异常行为特征进行详细说明。
在本申请的一些实施例中，异常行为特征包括如下特征中的至少一种:权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征。
其中，权限异常行为特征是指需要验证终端权限存在异常的特征，位置异常行为特征是指车联网发送终端的车辆位置存在异常的特征，速度异常行为特征指的是车联网发送终端的行车速度存在异常的特征，事件异常行为特征是指车联网发送终端发送的事件内容存在异常的特征。在实际应用中，权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征可以按照异常行为检测策略中设置具体的特征提取方式。
在本申请的一些实施例中，权限异常行为特征，包括：所述车联网发送终端的证书中的应用标识(Application ID，AID)不包含与所述第一车联网消息的类型对应的发送权限；和/或，所述车联网发送终端的证书中的专有业务权限(service specificpermissions，SSP)不包含所述第一车联网消息中的终端类型。
其中，在本申请实施例中，车联网发送终端的证书中携带有应用标识，若该应用标识不包含第一车联网消息的类型对应的发送权限，则确定存在异常行为特征。车联网发送终端的证书中携带有专有业务权限，若该专有业务权限不包括第一车联网消息中携带的终端类型，则确定存在异常行为特征。举例说明如下，发送第一车联网消息的终端权限不符合车联网发送终端的证书所规定的权限，即第一车联网消息中携带有发送方证书，发送方证书可以规定这个发送方能发哪些类型的消息，如果超出规定范围可以确定存在异常行为特征。
在本申请的一些实施例中，位置异常行为特征，包括：
第一车联网消息包括的车辆位置与车联网接收终端的车辆位置之间的位置差值大于地理位置欺骗阈值；和/或，
当第一车联网消息是车联网发送终端首次发送的消息时，第一车联网消息包括的车辆位置与车联网接收终端的车辆位置小于首次消息位置阈值。
其中，车联网发送终端、车联网接收终端都可以发送周期性上报消息，该周期性上报消息可以是CAM。周期性上报消息包括车联网通信终端的位置，因此可以判断车联网发送终端的当前位置与车联网接收终端的当前位置之间的位置差值是否大于地理位置欺骗阈值。举例说明如下，位置异常行为特征包括对地理位置欺骗的判断，对比发送方CAM消息中的相关位置(referencePosition)字段中的位置和接收方的位置之间的位置差值，若该位置差值大于地理位置欺骗阈值(T_MaxDis)，则判定根据第一车联网消息确定存在位置异常行为特征。
位置异常行为特征中还可以包括首次消息位置合法性校验特征。其中，车联网发送终端首次发送的消息指的是车联网发送终端第一次和车联网接收终端之间进行通信，对于第一次收到某辆车发来的消息，若该车辆的位置距离接收方车辆的距离小于设定阈值T_FirMesDis，则判定从第一车联网消息中提取到了位置异常行为特征。举例说明如下，发送方车辆不可能突然出现在接收方车辆的周围，发送方车辆的行驶过程一定是一个由远及近的过程，如果突然出现在接收方车辆所在区域的一个极小范围内，可以认为该发送方车辆可能伪造了位置，因为两个车辆不可能在物理上重叠享受同一个点。
在本申请的一些实施例中，速度异常行为特征，包括：
第一车联网消息包括的事件内容对应的车辆速度与车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值；和/或，
处于同一位置区域的多个车联网发送终端上报的车辆速度与第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值；和/或，
车联网发送终端的第一历史位置与车联网发送终端上报的当前车辆位置之间的位置差值除以时间差得到的速度值大于第三速度阈值，时间差为第一历史位置对应的时间戳和车联网发送终端的当前车辆位置对应的时间戳之间的差值。
其中，第一车联网消息包括的事件内容对应的车辆速度与车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值，则根据该第一车联网消息确定存在速度异常行为特征，第一速度阈值可以根据具体场景来设置。例如车联网发送终端可以发送周期性上报消息，该周期性上报消息可以是CAM，车联网发送终端可以发送触发类上报消息，该触发类上报消息可以是DENM，结合周期性上报消息和触发类上报消息可以判断是否符合速度异常行为特征。举例说明如下，周期性上报消息包括有出现交通拥堵的事件，但是触发类上报消息包括有车联网发送终端的当前车速，若车速超过第一速度阈值，则与交通拥堵的事件相矛盾，因此根据第一车联网消息确定存在速度异常行为特征。
处于同一位置区域的多个车联网发送终端上报的车辆速度与第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值，则根据第一车联网消息确定存在速度异常行为特征，第二速度阈值可以根据具体场景来设置。例如，处于同一位置区域的多个车联网发送终端，每个车联网发送终端都可以上报自己的车速，若第一车联网消息包括的车速和其他同位置终端上报的车速之间的速度差值大于第二速度阈值，则根据第一车联网消息确定存在速度异常行为特征。
车联网发送终端先上报了历史位置点和对应的时间戳，然后又上报了当前位置和对应的时间戳，因此车联网接收终端可以接收到车联网发送终端上报的多个位置和对应的时间戳，基于接收到的这些周期性上报消息和预设的第三速度阈值可以判断是否符合速度异常行为特征，第三速度阈值可以根据具体场景来设置。其中，车联网发送终端上报了第一历史位置和对应的时间戳，例如第一历史位置为车联网发送终端上报当前车辆位置之前最近一次上报的车辆位置。举例说明如下，周期性上报消息参数检查类别策略包括速度合法性校验方法，对比发送方历史路径(pathHistory)字段的历史路径与发送方当前referencePosition字段中的位置之间的位置差值，若位置差值除以时间差大于最大速度(MaxSpeed)，则根据第一车联网消息确定存在速度异常行为特征。
在本申请的一些实施例中，事件异常行为特征，包括：
第一车联网消息包括的事件内容，与车联网接收终端从同一位置区域接收到的多个车联网消息分别包括的事件内容都不相同；和/或，
车联网接收终端的车辆传感器采集信息与第一车联网消息包括的事件内容不匹配。
其中，车联网发送终端可以发送触发类上报消息，该触发类上报消息可以是DENM，例如第一车联网消息可以是车联网发送终端发送的触发类上报消息，此时车联网接收终端可以接收到车联网发送终端上报的触发类上报消息，根据触发类上报消息判断是否为孤立事件欺骗。举例说明如下，在收到的DENM中事件发生位置(EventPostition)附近，只有某辆车发送DENM(包括发现该事件或取消该事件)，则判定从第一车联网消息中提取到了事件异常行为特征。
另外，还可以结合车联网接收终端的车辆传感器采集信息来判断是否为参数安全异常，事件异常行为特征可以包括：车联网接收终端的车辆传感器采集信息与第一车联网消息包括的事件内容不匹配。举例说明如下，车联网接收终端的车辆传感器(例如全球定位***)结合地图软件显示接收方车辆行驶在一条直路上，且前后可接受V2X消息的范围内均为直路，但是如果收到了附近发送方车辆发来的弯道消息，可以认为发送方车辆发送的第一车联网消息具有异常行为特征。
在本申请的一些实施例中，第一异常行为检测策略包括如下策略中的至少一种：证书信息安全检查类别策略、周期性上报消息参数检查类别策略、触发类上报消息参数检查类别策略、周期性上报消息参数与触发类上报消息综合检查类别策略、结合车联网接收终端的车辆参数检查类别策略。
其中，证书信息安全检查类别策略是指通过车联网通信终端的证书验证参数是否安全的检查策略，周期性上报消息参数检查类别策略是指针对周期性上报消息参数设置的检查策略，触发类上报消息参数检查类别策略是指针对触发类上报消息参数设置的检查策略，周期性上报消息参数与触发类上报消息综合检查类别策略是指针对周期性上报消息参数和触发类上报消息参数设置的检查策略，车辆参数检查类别策略是指结合车联网通信终端的车辆参数设置的检查策略，例如结合车联网通信终端的自身传感器采集的数据和数据源提供的数据设置的检查策略，例如该数据源可以是地图数据源，也可以是车辆出厂数据源。
举例说明如下，证书信息安全检查类别策略具体可以包括：V2X证书信息安全检查类别，如检查消息权限，检查V2X消息携带的AID,SSP是否在Authorization证书的列表中。周期性上报消息参数检查类别策略具体可以包括：CAM参数检查类别，如地理位置欺骗，对比发送方CAM消息中的相关位置(referencePosition)字段和接收方的位置的差值，若差值大于T_MaxDis则判定为地理位置欺骗。触发类上报消息参数检查类别策略可以包括DENM参数检查类别，例如孤立事件欺骗，在收到的DENM消息中事件发生位置(EventPostition)附近，只有某辆车发送DENM消息(包括发现该事件或取消该事件)，则为孤立事件欺骗，如交通事故。周期性上报消息参数与触发类上报消息综合检查类别策略具体可以包括：CAM与DENM参数综合检查类别。例如交通拥挤情况(Traffic condition)，包括车辆增加，车辆缓慢增加，车辆减少等情况。例如车辆M上报某路段交通拥堵增加的DENM消息，检查该拥挤路段的任一车辆发送的CAM消息中速度字段，若速度高于门限值T_TrafficUpSpeed，则认为车辆M上报交通拥堵信息为异常。结合车联网接收终端的车辆参数检查类别策略具体可以包括：结合自身传感器和其它数据源检查类别。例如车辆可结合自身传感器信息或地图信息进行判断，若与自身传感器感知不一致则认为是异常消息。
进一步的，在本申请的一些实施例中，车联网接收终端使用第一异常行为检测策略中的异常行为检测算法对异常行为特征进行检测，确定车联网发送终端有异常行为，包括：
车联网接收终端获取车联网发送终端在第一时间段中异常行为特征的发生次数；
车联网接收终端获取异常行为特征在第二时间段内的总发生次数，第二时间段大于第一时间段；
当第一时间段中异常行为特征的发生次数大于第一异常行为阈值，和/或异常行为特征在第二时间段内的总发生次数大于第二异常行为阈值时，车联网接收终端确定车联网发送终端有异常行为。
其中，车联网接收终端从第一车联网消息中提取到异常行为特征之后，使用异常行为检测算法对异常行为特征进行检测，举例说明，根据第一异常行为检测策略对车联网发送终端发送的第一车联网消息进行判断时，异常行为检测算法可以设置为某一类型异常消息的发送次数阈值可以为5，若攻击者发送的该类型车联网消息次数为5，则确定车联网发送终端具有异常行为。在检测到车联网发送终端有异常行为的情况下，车联网接收终端向车联网服务器发送的举报消息中可以包含车联网发送终端有异常行为，从而车联网服务器可以根据接收到的包含车联网发送终端有异常行为的举报消息确定车联网发送终端有异常行为，此时车联网服务器可以记录该车联网发送终端的异常行为。
本申请实施例中还可以对异常行为特征进行统计分析，以确定车联网发送终端是否有恶意行为，例如提取车联网发送终端在第一时间段中异常行为特征的发生次数，以及提取异常行为特征在第二时间段内的总发生次数，第一时间段是可以预设的一个单位时间，第二时间段可以是车联网发送终端的证书有效期或者半个证书有效期。异常行为检测算法中包括有第一异常行为阈值和第二异常行为阈值，只要满如下两个条件中的至少一个条件就可以确定车联网发送终端有异常行为，两个条件为：第一时间段中异常行为特征的发生次数大于第一异常行为阈值，异常行为特征在第二时间段内的总发生次数大于第二异常行为阈值。
举例说明如下，车联网接收终端可以执行如下的检测算法：
1.安全检查异常行为判定。例如证书过期的判定，若单位时间内，同一车辆使用过期证书次数超过证书过期异常判断阈值(T_CertExpMax)，则判定为异常行为。
2.CAM参数检查异常行为判断。例如地理位置欺骗的判定，若单位时间内，同一车辆发生地理位置欺骗行为次数超过地理位置欺骗异常判断阈值(T_GeoDecMax)，则判定为异常行为。
3.DENM参数检查异常行为判断。例如孤立事件欺骗的判定，若单位时间内，同一车辆发生孤立位置欺骗行为次数超过孤立事件判断阈值(T_SolEveMax)，则判定为异常行为。
4.CAM与DENM参数综合检查异常行为判断。例如某类型XX事件欺骗的判定，若单位时间内，同一车辆发生XX事件欺骗行为次数超过XX时间欺骗异常判断阈值(T_XXEveMax)，则判定为异常行为。
5.结合自身传感器检查异常行为判断。例如与自身传感器不一致的判定，若单位时间内，收到同一车辆发送的消息与自身传感器不一致行为次数超过传感器判断阈值(T_SenIncMax)，则判定为异常行为。
6.单位时间未超阈值，周期异常次数累积。对于每一个特征，统计证书有效期内(或半个有效期内)总的发生次数，若总次数超过总次数阈值(T_PerMax)，则判定为异常行为。
进一步的，在本申请的一些实施例中，车联网接收终端使用第一异常行为检测策略中的异常行为检测算法确定第一车联网消息为恶意消息之后，本申请实施例提供的车联网的异常行为检测方法还包括如下步骤：
车联网接收终端将车联网发送终端加入黑名单，黑名单用于对车联网接收终端接收到的车联网消息进行拦截。
其中，如果车联网发送终端有异常行为，车联网接收终端可以将该车联网发送终端的证书加入到本地黑名单，实现对于该车联网发送终端的后续消息的丢弃操作，因为该车联网发送终端还可能继续发送消息，此时通过黑名单的拦截可以实现对车联网发送终端的后续消息的及时处理，避免车联网发送终端的异常行为对车联网接收终端的干扰。
503、车联网接收终端向车联网服务器发送举报消息，举报消息包括：第一车联网消息。
在本申请实施例中，车联网接收终端确定第一车联网消息为异常消息时，车联网接收终端向车联网服务器发送举报消息，该举报消息包括：第一车联网消息。进一步的，该举报消息还可以包括：车联网接收终端的证书和异常类型。其中，异常类型指的是第一车联网消息为异常消息或者恶意消息。
在本申请的一些实施例中，步骤503车联网接收终端向车联网服务器发送举报消息，包括：
车联网接收终端对第一车联网消息进行缓存；
当缓存的车联网消息满足预设的举报条件时，车联网接收终端向车联网服务器发送举报消息。
其中，车联网接收终端在确定第一车联网消息是异常消息时，车联网接收终端可以首先缓存该第一车联网消息，使用预设的举报条件来判断已缓存的车联网消息是否满足该条件，在满足举报条件时车联网接收终端向车联网服务器发送举报消息，从而减轻了车联网服务器频繁接收举报消息的频率，降低了车联网服务器的处理负荷。
举例说明如下，车联网接收终端从一个车联网发送终端接收到车联网消息之后，确定该车联网消息为异常消息时，车联网接收终端先缓存该车联网消息，基于这种方式，车联网接收终端可以缓存来自一个车联网发送终端的多个车联网消息，或者缓存不同车联网发送终端的多个车联网消息，这些车联网消息可以是针对同一个事件的，也可以是针对不同事件的。因此车联网接收终端可以对这些车联网消息进行分类缓存，例如将多个车联网消息缓存及分类，例如按照同车同事件、同车异事件、异车同事件、异车异事件进行分类缓存，当缓存超过阈值(例如时间阈值、条数阈值)后，统一上报给车联网服务器，由该车联网服务器进行异常行为的识别。其中，同车同事件指的是针对同一个车联网发送终端的同一个事件的多个车联网消息，同车异事件指的是针对同一个车联网发送终端的不同事件的多个车联网消息，异车同事件指的是针对多个车联网发送终端的同一个事件的多个车联网消息。异车异事件指的是不区分车联网发送终端，也不区分事件类型的多个车联网消息。
504、车联网服务器接收车联网接收终端发送的举报消息，举报消息包括：车联网发送终端发送的第一车联网消息。
在本申请实施例中，车联网接收终端向车联网服务器发送举报消息，车联网服务器可以接收车联网接收终端发送的举报消息，解析该举报消息可以得到车联网发送终端发送的第一车联网消息。
在本申请的一些实施例中，步骤504车联网服务器接收车联网接收终端发送的举报消息之前，本申请实施例提供的方法还包括：
车联网服务器向车联网接收终端发送第一异常行为检测策略。
其中，车联网接收终端可以向车联网服务器发送策略获取请求，例如该策略获取请求携带车联网接收终端的车辆ID，以请求下发异常行为检测策略，车联网服务器在接收到该策略获取请求之后，车联网服务器根据该车联网接收终端的标识获取与车联网接收终端对应的第一异常行为检测策略，例如第一异常行为检测策略可以是安全策略列表，在该安全策略列表中包括有判断车联网消息为异常消息或者恶意消息的策略。车联网服务器发送该第一异常行为检测策略，车联网接收终端接收车联网服务器发送的第一异常行为检测策略，并存储第一异常行为检测策略，当车联网接收终端接收到第一车联网消息时，获取存储的第一异常行为检测策略。
在本申请的另一些实施例中，车联网服务器可以主动的向车联网接收终端推送策略数据，例如在车联网服务器和车联网接收终端之间的通信连接建立之后，车联网服务器就可以推送第一异常行为检测策略，车联网接收终端接收车联网服务器发送的第一异常行为检测策略，并存储第一异常行为检测策略，当车联网接收终端接收到第一车联网消息时，获取存储的第一异常行为检测策略。
505、车联网服务器根据第二异常行为检测策略和举报消息确定车联网接收终端是否有异常行为。
在本申请实施例中，车联网服务器可以预先存储第二异常行为检测策略，该第二异常行为检测策略用于检测车联网接收终端是否有异常行为，例如第二异常行为检测策略用于根据车联网接收终端的举报消息检测该车联网接收终端是否存在异常行为。车联网服务器接收到车联网接收终端发送的举报消息之后，车联网服务器需要确认车联网接收终端是否为恶意举报的情况，车联网服务器根据该第二异常行为检测策略和举报消息确定车联网接收终端是否有异常行为，其中，第二异常行为检测策略可以包括异常行为检测算法，通过该异常行为检测算法来确定车联网接收终端是否有异常行为，后续实施例中对该异常行为检测算法进行举例说明。
在本申请的一些实施例中，车辆通信***还包括：多个证书管理服务器，步骤505车联网服务器根据第二异常行为检测策略和举报消息确定车联网接收终端是否有异常行为，包括：
车联网服务器从第一证书管理服务器获取车联网接收终端的多个证书，第一证书管理服务器用于向所述车联网接收终端颁发多个证书；
车联网服务器根据车联网接收终端的多个证书确定车联网接收终端的举报总次数；
车联网服务器根据举报总次数确定车联网接收终端是否有异常行为。
其中，在车辆通信***还包括多个证书管理服务器，证书管理服务器用于为车联网通信终端颁发证书，该证书管理服务器分为如下两种类型：长期证书管理类型和短期证书管理类型，例如证书管理服务器可以是长期证书管理服务器(enrollment authority，EA)，或者证书管理服务器可以是短期证书服务器(authorization authority，AA)。其中，长期证书管理服务器用于为车联网通信终端颁发长期证书，短期证书管理服务器用于为车联网通信终端颁发短期证书，并且可以颁发一个短期证书或者多个短期证书，同一个车联网终端的多个短期证书可以通过关联值(linkage value，LA)关联起来。
在本申请实施例中，车联网接收终端发送的举报消息中可以包括该车联网接收终端的证书，车联网服务器根据该车联网接收终端的证书确定出第一证书管理服务器，第一证书管理服务器为多个证书管理服务器中的其中一个服务器。然后车联网服务器向第一证书管理服务器发送第一证书查询请求，第一证书查询请求包括：车联网接收终端的证书，第一证书管理服务器根据第一证书查询请求携带的一个证书确定出车联网接收终端的多个证书，然后向车联网服务器发送车联网接收终端的多个证书。车联网服务器收到车联网接收终端的多个证书之后，车联网服务器根据车联网接收终端的多个证书确定车联网接收终端的举报总次数，例如统计车联网接收终端在一段时间内发起的举报总次数，根据预设的举报次数阈值确定该举报总次数是否超过该阈值，若车联网接收终端的举报总次数超过了该阈值，确定车联网接收终端有异常行为，若没有超过该阈值确定车联网接收终端没有异常行为。不限定的是，上述实施例中对车联网接收终端发起的举报行为进行判断以确定出该车联网接收终端是否有异常行为，在实际应用中，还可以根据第二异常行为检测策略使用其它的异常行为检测算法来确定车联网接收终端是否有异常行为。
506、车联网服务器根据第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为。
在本申请实施例中，车联网服务器可以预先存储第三异常行为检测策略，该第三异常行为检测策略用于检测车联网发送终端是否有异常行为，例如第三异常行为检测策略用于根据车联网发送终端发送的第一车联网消息检测该车联网发送终端是否存在异常行为。车联网服务器在排除车联网接收终端恶意举报的情况之后，车联网服务器根据该第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为，其中，第三异常行为检测策略可以包括异常行为检测算法，通过该异常行为检测算法来确定车联网发送终端是否有异常行为，例如第三异常行为检测策略可以是针对车联网消息中携带的事件、发送车联网消息的终端，或者针对车联网消息设置相应的检测策略，后续实施例中对该异常行为检测算法进行举例说明。
需要说明的是，图5中以先执行步骤505再执行步骤506为例示意说明，不限的是，步骤505和步骤506之前可以不具有时序关系。在本申请的另一些实施例中，步骤506车联网服务器根据第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为，包括：
当车联网接收终端没有异常行为时，车联网服务器根据第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为。
其中，车联网服务器在排除车联网接收终端恶意举报的情况之后，车联网服务器根据该第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为，通过先执行步骤505再执行步骤506，车联网服务器可以先排除车联网接收终端恶意举报的情况，从而避免车联网接收终端的异常行为对车联网发送终端的干扰。
在本申请的一些实施例中，步骤503车联网接收终端向车联网服务器发送举报消息之后，本申请实施例提供的车联网的异常行为检测方法还包括如下步骤：
车联网接收终端接收车联网服务器发送的举报消息响应；
车联网接收终端根据举报消息响应确定车联网发送终端是否有异常行为。
其中，车联网服务器在联网发送终端是否有异常行为之后，车联网服务器还可以生成举报消息响应，该举报消息响应可以包括车联网服务器对车联网发送终端的仲裁结果，然后向车联网接收终端发送该举报消息响应，车联网接收终端接收车联网服务器发送的举报消息响应，车联网接收终端根据举报消息响应确定车联网发送终端是否有异常行为。例如车联网接收终端可以根据车联网服务器对车联网发送终端的仲裁结果，决策对于第一车联网消息的后续消息处理方式。例如确定车联网发送终端有异常行为时，车联网接收终端将该第一车联网消息丢弃，不做处理。若车联网发送终端没有异常行为时，车联网接收终端可以对该第一车联网消息进行正常处理，例如对第一车联网消息进行反馈。
进一步的，在本申请的一些实施例中，车联网接收终端根据举报消息响应确定车联网发送终端是否有异常行为之后，本申请实施例提供的车联网的异常行为检测方法还包括如下步骤：
当车联网发送终端有异常行为时，车联网接收终端将车联网发送终端加入黑名单，黑名单用于对车联网接收终端接收到的车联网消息进行拦截。
其中，如果车联网发送终端有异常行为，车联网接收终端可以将该车联网发送终端的证书加入到本地黑名单，实现对于该车联网发送终端的后续消息的丢弃操作，因为该车联网发送终端还可能继续发送消息，此时通过黑名单的拦截可以实现对车联网发送终端的后续消息的及时处理，避免车联网发送终端的异常行为对车联网接收终端的干扰。
在本申请的一些实施例中，步骤506车联网服务器根据第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为之后，本申请实施例提供的方法还包括：
车联网服务器生成举报消息响应，举报消息响应用于指示车联网发送终端是否有异常行为；
车联网服务器发送举报消息响应。
其中，车联网服务器在联网发送终端是否有异常行为之后，车联网服务器还可以生成举报消息响应，该举报消息响应可以包括车联网服务器对车联网发送终端的仲裁结果，然后向车联网接收终端发送该举报消息响应，使得车联网接收终端接收车联网服务器发送的举报消息响应，车联网接收终端根据举报消息响应确定车联网发送终端是否有异常行为。
在本申请的一些实施例中，车辆通信***中包括的车联网接收终端为多个，且车辆通信***还包括：多个证书管理服务器，步骤506车联网服务器根据第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为，包括：
车联网服务器从第二证书管理服务器获取车联网发送终端的多个证书，第二证书管理服务器用于向车联网发送终端颁发多个证书；
车联网服务器根据车联网发送终端的多个证书和第一车联网消息确定多个车联网接收终端的第一举报总次数，第一举报总次数为多个车联网接收终端针对车联网发送终端，或者针对第一车联网消息的举报总次数；
车联网服务器根据车联网发送终端被多个车联网接收终端的第一举报总次数，确定车联网发送终端是否有异常行为。
在本申请实施例中，车联网发送终端发送的第一车联网消息中可以包括该车联网发送终端的证书，车联网服务器根据该车联网发送终端的证书确定出第二证书管理服务器。然后车联网服务器向第二证书管理服务器发送第一证书查询请求，第二证书查询请求包括：车联网发送终端的证书，第二证书管理服务器根据第二证书查询请求携带的一个证书确定出车联网发送终端的多个证书，然后向车联网服务器发送车联网发送终端的多个证书。车联网服务器根据车联网发送终端的多个证书和第一车联网消息确定多个车联网接收终端的第一举报总次数，其中，第一举报总次数为多个车联网接收终端针对车联网发送终端，或者针对第一车联网消息的举报总次数，例如有多个车联网接收终端对车联网发送终端的多个车联网消息进行举报，或者有多个车联网接收终端针对同一个车联网消息多次举报，车联网服务器都可以计算出第一举报总次数，根据预设的举报次数阈值确定该第一举报总次数是否超过该阈值，若第一举报总次数超过了该阈值，确定车联网发送终端有异常行为，若没有超过该阈值确定车联网发送终端没有异常行为。不限定的是，上述实施例中对车联网发送终端进行判断以确定出该车联网发送终端是否有异常行为，在实际应用中，还可以根据第三异常行为检测策略使用其它的异常行为检测算法来确定车联网发送终端是否有异常行为。
在本申请的一些实施例中，车辆通信***中包括多个车联网接收终端。
步骤506车联网服务器根据第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为，包括：
车联网服务器分别接收多个车联网接收终端发送的举报消息；
车联网服务器根据第三异常行为检测策略对多个举报消息中分别携带的车联网消息进行检测，得到多个异常行为特征；
车联网服务器对多个异常行为特征进行统计分析，得到车联网发送终端是否有异常行为。
其中，车联网服务器除了通过被举报次数来确定车联网发送终端是否有异常行为之外，车联网服务器还可以使用全局特征检测方法来确定车联网发送终端是否有异常行为，例如，车联网服务器收到来自多个车联网接收终端的举报消息，车联网服务器根据第三异常行为检测策略对多个举报消息中分别携带的车联网消息进行异常行为特征提取，得到多个异常行为特征，车联网服务器根据第三异常行为检测策略中的异常行为检测算法检测多个异常行为特征，得到车联网发送终端是否有异常行为。
在本申请的一些实施例中，异常行为特征包括如下特征中的至少一种:权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征。
其中，权限异常行为特征是指需要验证终端权限存在异常的特征，位置异常行为特征是指车联网发送终端的车辆位置存在异常的特征，速度异常行为特征指的是车联网发送终端的行车速度存在异常的特征，事件异常行为特征是指车联网发送终端发送的事件内容存在异常的特征。在实际应用中，权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征可以按照异常行为检测策略中设置具体的特征提取方式。
在本申请的一些实施例中，权限异常行为特征，包括：所述车联网发送终端的证书中的应用标识AID不包含与所述第一车联网消息的类型对应的发送权限；和/或，所述车联网发送终端的证书中的专有业务权限SSP不包含所述第一车联网消息中的终端类型。
其中，在本申请实施例中，车联网发送终端的证书中携带有应用标识，若该应用标识不包含第一车联网消息的类型对应的发送权限，则确定存在异常行为特征。车联网发送终端的证书中携带有专有业务权限，若该专有业务权限不包括第一车联网消息中携带的终端类型，则确定存在异常行为特征。举例说明如下，发送第一车联网消息的终端权限不符合车联网发送终端的证书所规定的权限，即第一车联网消息中携带有发送方证书，发送方证书可以规定这个发送方能发哪些类型的消息，如果超出规定范围可以确定存在异常行为特征。
在本申请的一些实施例中，位置异常行为特征，包括：
第一车联网消息包括的车辆位置与车联网接收终端的车辆位置之间的位置差值大于地理位置欺骗阈值；和/或，
当第一车联网消息是车联网发送终端首次发送的消息时，第一车联网消息包括的车辆位置与车联网接收终端的车辆位置小于首次消息位置阈值。
其中，车联网发送终端、车联网接收终端都可以发送周期性上报消息，该周期性上报消息可以是CAM。周期性上报消息包括车联网通信终端的位置，因此可以判断车联网发送终端的当前位置与车联网接收终端的当前位置之间的位置差值是否大于地理位置欺骗阈值。举例说明如下，位置异常行为特征包括对地理位置欺骗的判断，对比发送方CAM消息中的相关位置(referencePosition)字段中的位置和接收方的位置之间的位置差值，若该位置差值大于地理位置欺骗阈值(T_MaxDis)，则判定根据第一车联网消息确定存在位置异常行为特征。
位置异常行为特征中还可以包括首次消息位置合法性校验特征。其中，车联网发送终端首次发送的消息指的是车联网发送终端第一次和车联网接收终端之间进行通信，对于第一次收到某辆车发来的消息，若该车辆的位置距离接收方车辆的距离小于设定阈值T_FirMesDis，则判定从第一车联网消息中提取到了位置异常行为特征。举例说明如下，发送方车辆不可能突然出现在接收方车辆的周围，发送方车辆的行驶过程一定是一个由远及近的过程，如果突然出现在接收方车辆所在区域的一个极小范围内，可以认为该发送方车辆可能伪造了位置，因为两个车辆不可能在物理上重叠在同一个位置点。
在本申请的一些实施例中，速度异常行为特征，包括：
第一车联网消息包括的事件内容对应的车辆速度与车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值；和/或，
处于同一位置区域的多个车联网发送终端上报的车辆速度与第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值；和/或，
车联网发送终端的第一历史位置与车联网发送终端上报的当前车辆位置之间的位置差值除以时间差得到的速度值大于第三速度阈值，时间差为第一历史位置对应的时间戳和车联网发送终端的当前车辆位置对应的时间戳之间的差值。
其中，第一车联网消息包括的事件内容对应的车辆速度与车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值，则根据该第一车联网消息确定存在速度异常行为特征，第一速度阈值可以根据具体场景来设置。例如车联网发送终端可以发送周期性上报消息，该周期性上报消息可以是CAM，车联网发送终端可以发送触发类上报消息，该触发类上报消息可以是DENM，结合周期性上报消息和触发类上报消息可以判断是否符合速度异常行为特征。举例说明如下，周期性上报消息包括有出现交通拥堵的事件，但是触发类上报消息包括有车联网发送终端的当前车速，若车速超过第一速度阈值，则与交通拥堵的事件相矛盾，因此根据第一车联网消息确定存在速度异常行为特征。
处于同一位置区域的多个车联网发送终端上报的车辆速度与第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值，则根据第一车联网消息确定存在速度异常行为特征，第二速度阈值可以根据具体场景来设置。例如，处于同一位置区域的多个车联网发送终端，每个车联网发送终端都可以上报自己的车速，若第一车联网消息包括的车速和其他同位置终端上报的车速之间的速度差值大于第二速度阈值，则根据第一车联网消息确定存在速度异常行为特征。
车联网发送终端先上报了历史位置点和对应的时间戳，然后又上报了当前位置和对应的时间戳，因此车联网接收终端可以接收到车联网发送终端上报的多个位置和对应的时间戳，基于接收到的这些周期性上报消息和预设的第三速度阈值可以判断是否符合速度异常行为特征，第三速度阈值可以根据具体场景来设置。其中，车联网发送终端上报了第一历史位置和对应的时间戳，例如第一历史位置为车联网发送终端上报当前车辆位置之前最近一次上报的车辆位置。举例说明如下，周期性上报消息参数检查类别策略包括速度合法性校验方法，对比发送方历史路径(pathHistory)字段的历史路径与发送方当前referencePosition字段中的位置之间的位置差值，若位置差值除以时间差大于最大速度(MaxSpeed)，则根据第一车联网消息确定存在速度异常行为特征。
在本申请的一些实施例中，事件异常行为特征，包括：
第一车联网消息包括的事件内容，与车联网接收终端从同一位置区域接收到的多个车联网消息分别包括的事件内容都不相同；和/或，
车联网接收终端的车辆传感器采集信息与第一车联网消息包括的事件内容不匹配。
其中，车联网发送终端可以发送触发类上报消息，该触发类上报消息可以是DENM，例如第一车联网消息可以是车联网发送终端发送的触发类上报消息，此时车联网接收终端可以接收到车联网发送终端上报的触发类上报消息，根据触发类上报消息判断是否为孤立事件欺骗。举例说明如下，在收到的DENM中事件发生位置(EventPostition)附近，只有某辆车发送DENM(包括发现该事件或取消该事件)，则判定从第一车联网消息中提取到了事件异常行为特征。
另外，还可以结合车联网接收终端的车辆传感器采集信息来判断是否为参数安全异常，事件异常行为特征可以包括：车联网接收终端的车辆传感器采集信息与第一车联网消息包括的事件内容不匹配。举例说明如下，车联网接收终端的车辆传感器(例如全球定位***)结合地图软件显示接收方车辆行驶在一条直路上，且前后可接受V2X消息的范围内均为直路，但是如果收到了附近发送方车辆发来的弯道消息，可以认为发送方车辆发送的第一车联网消息具有异常行为特征。
在本申请的一些实施例中，车联网服务器对多个异常行为特征进行统计分析，得到车联网发送终端是否有异常行为，包括：
车联网服务器获取车联网发送终端在第一时间段中多个异常行为特征的发生次数；
车联网服务器获取多个异常行为特征在第二时间段内的总发生次数，第二时间段大于第一时间段；
当第一时间段中多个异常行为特征的发生次数大于第一异常行为阈值，和/或多个异常行为特征在第二时间段内的总发生次数大于第二异常行为阈值时，车联网服务器确定车联网发送终端有异常行为。
其中，异常行为检测算法中可以包括对异常行为特征的提取方式，例如提取车联网发送终端在第一时间段中多个异常行为特征的发生次数，以及提取多个异常行为特征在第二时间段内的总发生次数，第一时间段是可以预设的一个单位时间，第二时间段可以是车联网发送终端的证书有效期或者半个证书有效期。异常行为检测算法中包括有第一异常行为阈值和第二异常行为阈值，只要满如下两个条件中的至少一个条件就可以确定车联网发送终端有异常行为，两个条件为：第一时间段中多个异常行为特征的发生次数大于第一异常行为阈值，多个异常行为特征在第二时间段内的总发生次数大于第二异常行为阈值。
在本申请的一些实施例中，车辆通信***还包括：多个证书管理服务器和证书吊销服务器，车联网服务器在确定出有异常行为的车联网通信终端之后，车联网服务器还可以请求证书管理服务器来进行证书吊销。本申请实施例提供的方法还包括：
车联网服务器向第三证书管理服务器发送第一证书吊销请求，第一证书吊销请求包括：异常车联网终端的证书，第三证书管理服务器用于向证书吊销服务器请求吊销异常车联网终端的证书，异常车联网终端为有异常行为的车联网发送终端，和/或有异常行为的所述车联网接收终端；
车联网服务器接收第三证书管理服务器发送的异常车联网终端的证书被吊销的响应。
其中，车联网服务器先确定为异常车联网终端发送证书的第三证书管理服务器，然后请求该第三证书管理服务器对异常车联网终端的证书进行吊销，第三证书管理服务器向证书吊销服务器请求吊销异常车联网终端的证书，证书吊销服务器具有吊销功能，证书吊销服务器完成吊销之后通知第三证书管理服务器，第三证书管理服务器发送第一证书吊销响应，车联网服务器根据证书吊销响应确定异常车联网终端的证书被吊销，解决了对异常车联网终端的证书吊销问题，避免该异常车联网终端对其它车联网通信终端造成的干扰。
在本申请的一些实施例中，车辆通信***还包括：多个证书管理服务器和证书吊销服务器，车联网服务器在确定出有异常行为的车联网通信终端之后，车联网服务器还可以请求证书吊销服务器来进行证书吊销。本申请实施例提供的方法还包括：
车联网服务器向第三证书管理服务器发送第二证书吊销请求，所述第二证书吊销请求包括：异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；
车联网服务器接收第三证书管理服务器将异常车联网终端的至少一个证书加入黑名单后发送的响应，并向证书吊销服务器发送第三证书吊销请求；
车联网服务器接收证书吊销服务器发送的异常车联网终端的证书被吊销的响应。
其中，车联网服务器可以和第三证书管理服务器、证书吊销服务器分别进行通信，证书吊销服务器具体可以是吊销证书列表(certificate revocation list，CRL)服务器。在此实施例中第三证书管理服务器将异常车联网终端的至少一个证书加入黑名单，第三证书管理服务器在加入黑名单之后发送响应，车联网服务器向证书吊销服务器发送第三证书吊销请求，证书吊销服务器对异常车联网终端的证书进行吊销，车联网服务器根据接收到的证书吊销响应确定异常车联网终端的证书被吊销，解决了对异常车联网终端的证书吊销问题，避免该异常车联网终端对其它车联网通信终端造成的干扰。
在本申请的一些实施例中，车辆通信***还包括：证书吊销服务器，本申请实施例提供的方法还包括：
车联网服务器向证书吊销服务器发送第四证书吊销请求，第四证书吊销请求包括：异常车联网终端的证书，异常车联网终端为有异常行为的车联网发送终端，和/或有异常行为的车联网接收终端；
车联网服务器接收证书吊销服务器发送的异常车联网终端的证书被吊销的响应。
其中，车联网服务器可以和证书吊销服务器建立有通信连接，车联网服务器向证书吊销服务器发送第四证书吊销请求，请求证书吊销服务器对异常车联网终端的证书进行吊销，证书吊销服务器具有吊销功能，证书吊销服务器完成吊销之后发送证书吊销响应，车联网服务器根据证书吊销响应确定异常车联网终端的证书被吊销，解决了对异常车联网终端的证书吊销问题，避免该异常车联网终端对其它车联网通信终端造成的干扰。
在本申请的一些实施例中，多个证书管理服务器，包括：多个长期证书管理服务器和多个短期证书管理服务器；
车联网服务器根据异常车联网终端的证书确定为异常车联网终端发送证书的第三证书管理服务器，包括：
车联网服务器对异常车联网终端的异常行为进行分级，得到异常等级；
当异常等级为第一异常等级时，车联网服务器从多个长期证书管理服务器、多个短期证书管理服务器中分别确定出第三证书管理服务器；或者，
当异常等级为第二异常等级时，车联网服务器从多个短期证书管理服务器中确定出第三证书管理服务器。
其中，车联网服务器可以根据本地策略对于异常行为进行分级，例如根据碰撞等级和危害等级将异常行为分为至少两个等级：第一异常等级和第二异常等级，第一异常等级要高于第二异常等级，对于异常行为分级的策略取决于应用场景。当异常车联网终端的异常行为对应第一异常等级时，需要对异常车联网终端的长期证书和短期证书都进行吊销，当异常车联网终端的异常行为对应第二异常等级时，只需要吊销短期证书，从而可实现对车联网通信终端的异常行为分级处理。
进一步的，在本申请的一些实施例中，车联网服务器确定出第三证书管理服务器之后，本申请实施例提供的方法还包括：
车联网服务器根据车联网发送终端的异常行为生成吊销原因信息；
车联网服务器向第三证书管理服务器发送吊销原因信息和异常等级。
其中，车联网服务器根据车联网发送终端的异常行为生成吊销原因信息，该吊销原因信息中包括有车联网发送终端的证书被吊销的原因，车联网服务器向第三证书管理服务器发送吊销原因信息和异常等级，从而第三证书管理服务器可以获取到车联网发送终端的吊销原因和异常等级，实现对车联网发送终端的证书管理。
通过前述实施例的举例说明可知，本申请实施例中车联网接收终端使用第一异常行为检测策略确定第一车联网消息为异常消息，然后车联网接收终端向车联网服务器发送举报消息，该举报消息包括：第一车联网消息。车联网服务器接收车联网接收终端发送的举报消息，车联网服务器根据第二异常行为检测策略和举报消息确定车联网接收终端是否有异常行为，车联网服务器根据第三异常行为检测策略和第一车联网消息确定车联网发送终端是否有异常行为。因此车联网服务器可以实现对车联网接收终端、车联网发送终端分别进行异常行为检测，避免异常行为对车联网通信终端的干扰，保障车联网网络及自动驾驶的安全，避免干扰合法的车辆自动驾驶，避免消耗合法车辆的计算资源，避免攻击者导致的交通混乱、危及驾乘人员生命安全。
为便于更好的理解和实施本申请实施例的上述方案，下面举例相应的应用场景来进行具体说明。
如图6所示，本申请实施例提供了车联网的异常行为检测方法中发送方车辆、接收方车辆、V2X服务器、证书管理服务器之间的交互流程示意图。其中，发送方车辆可以是OBU或者BSU，接收方车辆可以是OBU或者BSU，该接收方车辆可以有多个，证书管理服务器可以是AA或者EA。
本申请实施例中，可以在本地和云端对于发出异常V2X消息的发送方(车或路边站)进行检测，本地接收方(车或路边站)根据云端V2X服务器配置的异常行为检测策略，提取接收到消息的异常行为特征，再根据异常行为检测策略确定V2X消息为异常消息；随后，接收方可以将异常消息上报给V2X服务器，V2X服务器会对举报方和被举报方分别进行判断，排除恶意举报，最终给出被举报方的恶意仲裁结果，并返回给举报方供其执行后续操作；同时V2X服务器向证书管理服务器发起证书分级吊销的操作。
本申请实施例提供的异常行为检测策略配置流程可以包括如下步骤：
S01、车端向V2X服务器发送策略获取请求，携带车辆ID，请求下发V2X异常行为检测策略，该异常行为检测策略可以包括异常行为特征提取方式和异常行为检测算法。
S02、V2X服务器返回策略获取响应，该策略获取响应包括：V2X服务器配置的策略P，策略P包括：可用的安全策略列表。
本申请实施例提供的本地异常行为检测流程可以包括如下步骤：
S03、车端收到外部发来的V2X消息，该V2X消息可以是周期类消息或事件触发类消息。
S04、车端对于收到的V2X消息进行检测，判断是否有异常行为特征f；若有，则提取异常行为特征，随后根据其对应的策略P进行本地判断，确定异常类型j，例如异常类型可以包括：畸形报文、异常消息、恶意消息等。其中，畸形报文可能发生于消息无线传输过程中，二进制内容丢失或者受信号干扰产生的***错误。
S05、车端根据异常行为检测结果，向V2X服务器发送举报消息，该消息携带相关V2X消息、举报者证书、异常类型。
本申请实施例提供的全局异常行为检测流程主要包括如下步骤：
S06、V2X服务器根据收到的举报消息，首先对于举报者的举报消息进行判断，是否恶意举报；随后对于被举报方的V2X消息进行综合判断，提取全局异常行为特征f，结合异常类型给出仲裁判断J，并对异常等级进行分级，得到分级lv。
S07、V2X服务器向车端返回举报消息响应，其中包含仲裁判断J，例如V2X服务器采用广播的方式。
S08、车端根据仲裁判断J决定对该证书id的V2X消息的后续消息处理方式。
本申请实施例提供的分级吊销流程主要包括如下步骤：
S09、V2X服务器将判断为恶意的车辆证书信息提交给证书管理服务器，请求其进行吊销，该消息携带待吊销证书id、吊销原因J和吊销分级lv。
S10、证书管理服务器根据本地策略对证书进行吊销操作，根据不同异常等级进行处理，随后将吊销结果返回给V2X服务器。
如图7所示，为本申请实施例提供的异常行为检测策略的配置与更新流程示意图。主要包括如下流程：
实施例1.初始获取。
S11、车(例如OBU)或者路边站RSU，向V2X服务器发送策略获取请求，携带车辆ID，请求下发异常行为检测策略，该策略包括：异常行为特征提取方式和异常行为检测算法。
例如：策略获取请求可以是注册请求消息，此时V2X服务器是车企的IoT平台，又如策略获取请求可以是车与MA服务器的建链请求消息，此时V2X服务器MA服务器。
S12、V2X服务器返回策略获取响应，该策略获取响应包括：V2X服务器配置的策略P，策略P包括：可用的安全策略列表。
该安全策略列表包含多种不同异常行为特征的安全策略规则控制参数，例如下表1所示。
Figure BDA0001872978200000301
实施例2.策略更新。
由于异常行为检测策略不是一个静态的固定值，因此原有的初始配置接口也可以用于后来的策略更新使用，具体更新方法包括2种：
策略更新a：
S20、车辆满足策略更新条件。
S21、车端向V2X服务器发送策略更新请求，该请求携带有车辆ID。
S22、V2X服务器向车端发送策略获取响应。
当车辆满足一定条件时，例如满足一定的周期条件、区域条件、事件条件，可以触发策略更新请求。响应消息中可以仅携带需要更新的策略子集P’，也可以携带全集P。
策略更新b：
S30、车辆满足策略更新条件。
S31、V2X服务器进行策略更新推送，该推送的消息中包括策略P’。
当车企平台根据其他条件判断车机本地策略需要更新时、或MA根据本地策略(周期条件、事件条件)判断需要更新策略时，可以主动推送更新策略P’到车辆。该消息可以为单播或广播消息。
如图8所示，为本申请实施例提供的本地异常行为检测流程示意图。主要包括如下流程：
实施例1：实时上报。
S41、发送方车辆向接收方车辆发送V2X消息。
S42、接收方车辆基于V2X消息提取异常特征f，根据f和P确定异常类型j。
S43、接收方车辆向V2X服务器上报异常行为，该上报消息中包括：V2X消息、举报者证书、异常类型。
其中，车端收到外部发来的V2X消息(周期类或触发类)，车端对于收到的V2X消息进行检测，判断是否有V2X特有的异常行为特征；若有，则提取异常行为特征；随后根据策略P及其规则进行本地判断，确定异常类型，例如：异常消息、恶意消息等。车端根据异常行为检测结果，向V2X服务器发送举报消息，该消息携带相关V2X消息、举报者证书、异常类型。
实施例2：缓存上报。
S51、发送方车辆向接收方车辆发送V2X消息。
S52、接收方车辆检测完成后，对于异常消息分类缓存，直至阈值T。
S53、接收方车辆向V2X服务器上报异常行为，该上报消息中包括：V2X消息、举报者证书、异常类型。
实施例1中将各种异常类型的数据实时上报给云端处理，因此可能给云端和网络带来额外的性能负担，在实施例2中可以将异常类消息缓存及分类(同车同事件、同车异事件、异车同事件、异车异事件)，当缓存超过阈值(时间阈值、条数阈值)后，统一上报给云端的V2X服务器进行仲裁。
接下来本申请实施例中异常行为检测策略进行详细举例说明，在实际应用中可以根据如下具体策略确定类似的策略，如下举例不作为对本申请实施例的限定。
例如，异常行为检测策略可以包括如下策略中的至少一种：安全检查策略、CAM参数检查策略、DENM参数检查策略、CAM与DENM参数综合检查策略、结合自身传感器检查检查策略等。
首先介绍安全检查策略，主要包括如下情况：
0.检查自身证书有效期：根据自身证书中起始时间和结束时间(time_start andend)字段和当前时间检查证书是否在有效期内，若过期则发起与AA匿名证书申请流程，若申请失败，则丢弃消息。
1.检查对方证书黑名单：查询本地黑名单数据库，若对方证书在黑名单则直接丢弃该消息。
2.检查对方证书有效期：根据对方证书中time_start_and_end字段和当前时间检查证书是否在有效期内。
3.检查消息签名：用Authorization证书公钥验证消息签名是否通过。
4.检查消息权限：检查消息(AID,SSP)是否在Authorization证书的列表中。
5.检测重放攻击：比较消息中所带时间戳与自身计算时间戳的差值，若在初始设定范围T_DeltaTime之外则认为是重放攻击。
接下来介绍介绍CAM参数检查策略，主要包括如下情况：
1.地理位置欺骗：对比发送方CAM消息中的referencePosition字段中的位置和接收方的位置的差值，若差值大于T_MaxDis则判定为地理位置欺骗。
2.速度合法性校验方法：对比发送方pathHistory字段的历史路径与发送方当前referencePosition字段中的位置的差值，若位置差除以时间差大于MaxSpeed，则认为是速度欺骗。
3.首次消息位置合法性校验：第一次收到某辆车发来的消息，若该车辆的位置距离接受车辆的距离小于设定阈值T_FirMesDis，则直接丢弃。
接下来介绍DENM参数检查策略，主要包括如下情况：
1.孤立事件欺骗：在收到的DENM消息中事件发生位置(EventPostition)附近，只有某辆车发送下列DENM消息(包括发现该事件或取消该事件)，则为孤立事件欺骗：
1)交通状况(Traffic condition)。
2)事故(Accident)。
3)道路施工(Roadworks)。
4)应急恢复(Rescue and Recovery)。
5)恶劣天气影响路面黏附性(Adverse weather condition–adhesion)。
6)危险地段复杂路面(Hazardous location-Surface condition)。
7)危险地段-障碍物(Hazardous location-Obstacle on the road)。
8)Hazardous location-Animal on the road(兽群，小动物，大动物)。
9)Human presence on the road(小孩，骑自行车的人，骑摩托车的人)。
10)Adverse weather condition–extreme weather condition。
11)Adverse weather condition–visibility。
12)Adverse weather condition–Precipitation。
13)固定位置车辆(Stationary vehicle)。
2.relevanceDistance：影响范围与事件类型匹配，否则为异常上报，如路口拥堵事件的影响范围最多在10km左右，但车辆M上报该事件影响范围为20km，则认为是异常上报。
3.validityDuration：事件的持续时间，超出有效期的事件上报为重放攻击。
接下来介绍CAM与DENM参数综合检查策略，主要包括如下情况：
1.对于以下DENM消息，判断是否收到对应车辆(如道路施工，紧急车辆，急救车辆等)的CAM消息，若未收到则认为该DENM消息为异常消息。
1)Roadworks。
2)Rescue and Recovery。
3)缓慢行驶车辆(Slow vehicle)。
4)紧急车辆驶近(Emergency vehicleApproaching)。
2.Traffic condition(交通拥挤情况，包括增加，缓慢增加，减少等)。
车辆M上报某路段交通拥堵增加的DENM消息，检查该拥挤路段的任一车辆发送的CAM消息中速度字段，若速度高于门限值T_TrafficUpSpeed，则认为车辆M上报交通拥堵信息为异常。
3.Accident(交通事故：多车事故，重大事故，事故中有货车，事故中有公汽，事故中有危险品，事故在对向车道，无担保的事故，需要e-call援助)。
车辆M上报事故，且DENM消息中事故不在对向时：
检查行驶方向与EventPostion一致的任一车辆的CAM消息中速度字段，若速度高于门限值T_AccidentSpeed，则认为车辆M上报事故为异常消息。
车辆M上报事故，且事故在对向车道的DENM消息时：
检查事故车道的车辆CAM消息速度字段，若车辆速度高于T_AccidentSpeed，则认为车辆M上报事故为异常消息。
4.Adverse weathercondition–adhesion(恶劣天气影响路面黏附性：浓霜，燃料，泥，雪，冰，黑冰，油，碎石，盐，短时黑冰)。
车辆M上报某段路面黏附性DENM消息时，检查该路段任一车辆CAM消息中的速度字段，若速度大于门限值T_AdhesionSpeed，则认为车辆M上报消息路面黏附性消息异常。
5.Hazardous location-Surface condition(危险地段：巨石滑落，地震损毁，下水道崩坏，路面下陷，雪堆，风暴损毁，***管道，火山爆发，落冰)。
车辆M上报某段路为危险路段，如下陷等短期无法通过路段，检查该路段任一车辆的CAM消息中行驶方向未发生改变或速度字段未降低，则认为车辆M上报危险路段为异常消息。
6.危险地段(Hazardous location)，货物甩落(Obstacle on the road)，例如车辆部件，大的物件，路上有倒下的树，坏的车。
车辆M上报某段路面有障碍，检查该路段任一车辆的CAM消息中，若有车辆行驶位置字段穿越了该类障碍时，则认为车辆M上报路障消息为异常。
7.危险地段-路上动物(Hazardous location-Animal on the road)。
8.路上行人(Human presence onthe road)。
车辆M上报道路上有兽群或人经过时，检查该路段任一朝向与兽群或人所在位置一致的车辆CAM消息中的速度字段，若速度未变小，则认为车辆M上报兽群或人的消息为异常
9.Wrong way driving(车道错误，方向错误)。
车辆M上报错误行驶消息是，检查该车辆的CAM消息中速度字段，若车辆速度未降低，则认为车辆M上报错误行驶消息为异常。
11.Adverse weathercondition–extremeweather condition(极端天气：强风，冰雹，飓风，雷暴，暴雪，***)。
12.Adverse weathercondition–visibility(可视化降低原因：雾、烟、大雪，大雨，大冰雹，低太阳光，沙尘暴，虫灾)。
13.Adverse weathercondition–Precipitation(大雨，大雪，软冰雹)。
对于11、12、13，车辆M上报该事件，检查附件任一车辆CAM消息中的速度字段，若速度大于门限值T_WeatherSpeed，则判断车辆M上报天气事件为异常消息。
14.Dangerous end ofQueue(隧道，弯道，山坡，队尾等场景的车队)。
车辆M上报队列事件，检查其CAM消息中的速度字段，若速度大于门限值T_QueueSpeed，则认为车辆M上报队列事件为异常消息。
16.Vehicle breakdown(电量问题，燃油问题，引擎问题，变速箱，冷却，刹车，方向盘，轮胎问题)。
17.危险境地(Dangerous situation)，急刹车，预碰撞***启动，电子稳定装置，ABS,ABE，刹车警告，碰撞警告等。
除刹车故障场景以外，车辆M上报车辆故障和紧急刹车事件，检查其CAM消息的速度字段，若单位时间内，车辆匀速或加速行驶，则认为是异常上报消息。
18.Hazardous locationindication–DangerousCurve(危险左转曲线，危险右转曲线，任意方向的危险转弯曲线)。
车辆上报转弯事件时，检查该车辆CAM消息中的速度字段，若大于门限值T_CurveSpeed，则为异常消息。
检查该车辆转弯方向与CAM消息中车辆朝向不一致则为异常消息。
19.Collision risk(纵向碰撞，横向碰撞，交叉碰撞，碰撞中会触及路人)。
车辆上报碰撞事件，检查该车辆CAM消息中对应的速度及横向或纵向加速度字段，若未有降低变化，则为异常上报。
最后介绍结合自身传感器检查策略，主要包括如下情况：
对于以下事件，车辆可结合自身传感器信息或地图信息进行判断，若与自身传感器感知不一致则认为是异常消息：
1.Traffic condition。
2.Accident。
3.Adverse weathercondition–adhesion。
4.Hazardous location-Surface condition。
5.Hazardous location-Obstacle on the road。
6.Hazardous location-Animal on the road。
7.Human presence onthe road。
9.Adverse weathercondition–extremeweather condition。
10.复杂天气条件-能见度低(Adverse weathercondition–visibility)。
11.复杂天气条件-雨雪量大(Adverse weathercondition–Precipitation)。
12.Hazardous locationindication–DangerousCurve。
结合地图，若确定出转弯路段，而发送方车辆上报的是直行路段，则存在异常。
13.Signal violation(停车，交通灯，转向违规)。
应结合具体的eventPosition判断当地是否有相应的上报类型，如停车标识、交通信号灯等，否则可以判断为异常上报。如车辆M上报车辆N在某位置闯红灯，而该位置并未有交通灯设置，则认为车辆M异常上报。
如图9所示，为本申请实施例提供的全局异常行为检测流程示意图，包括有多个接收方车辆，例如车B、车C、BSU1和BSU2，V2X服务器可以是MA服务器，证书管理服务器可以是AA服务器，主要包括如下流程。
S61、多个接收方车辆分别向V2X服务器发送举报消息，举报消息包括：V2X消息，异常类型，车B的证书，车B签名。
在举报车辆的异常行为检测流程中，包括如下步骤：
S6a1.根据V2X消息携带的举报者证书AA ID查找对应的AA，获取证书关联关系，统计举报车辆的举报次数。
S6a2.需要同车b验证车a一样，验证拒绝服务(denial of service，dos)攻击与重放攻击。
对于同一举报车辆若单位时间内收到其举报其他车辆次数超过T_RepMax，则认为是恶意行为。
在被举报车辆异常行为检测流程中，包括如下步骤：
S6b1.根据V2X消息的AA ID查找对应的AA，获取被举报车辆的关联关系，统计举报车辆的举报次数。
S6b2包括如下两种：
1.基于事件。
对于同一被举报车辆的同一事件，统计来自不同举报车辆的举报总次数，若举报次数超过T_RelRepMin，则认为是恶意行为。
2.基于终端。
对于同一被举报车辆的不同事件，统计来自不同举报车辆的举报总次数，若次数超过T_MalRepMax，则认为是恶意行为。
S63.通知判断结果。
在上述举例中，车端根据异常行为检测结果，向V2X服务器发送举报消息，该消息携带相关V2X消息、举报者证书、异常类型。V2X服务器(MA)根据收到的举报消息进行全局判断。例如首先对于举报者的举报消息进行判断，是否恶意举报。首先根据举报者证书中的证书管理服务器ID查找到对应的证书管理服务器，获取举报者的多个证书间关联关系，以统计举报总次数；若举报者举报总次数超过T_RepMax，则认为是恶意举报。随后对于被举报方的V2X消息，综合判断，给出仲裁判断。又如，V2X服务器根据被举报消息的证书向AA发起请求，获取被举报方的证书关联关系，以统计举报总次数。对于来自多个举报方的举报情况进行汇总，然后对被举报方的处理进行分类处理，例如分类为：对于同一车辆的同一事件的多次举报，或对于同一车辆的不同事件的多次举报，或者同一事件被举报了多次。若超过策略对应的阈值，则认为是恶意行为。
最后V2X服务器向车端返回举报消息响应，其中包含仲裁结果，例如采用单播或广播的方式发送，车端根据仲裁结果决策对于该V2X消息的后续消息处理方式，例如丢弃V2X消息，正常处理等。
如图10所示，为本申请实施例提供的分级吊销流程示意图，主要包括如下流程：
S8.V2X服务器发送全局异常行为特征提取f、仲裁判断J、分级lv。
实施例1：I级恶意吊销流程1。
S9a.V2X服务器向AA发送证书吊销请求，该请求包括：证书id、原因J、分级I。
S9b.V2X服务器向EA证书吊销请求，该请求包括：证书id、原因J、分级I。
S10a.AA向V2X服务器发送证书吊销响应。
S11a.EA向V2X服务器发送证书吊销响应。
其中，V2X服务器进行全局异常行为检测后，可以根据本地策略(如碰撞等级、危害等级)对于异常行为进行分级，例如分为I、II两级，其中I为较严重的恶意行为。V2X服务器分别向AA、EA发送证书吊销请求，携带待吊销证书ID、吊销原因J和恶意等级lv＝1；AA\EA分别向CRL服务器发起吊销操作，完成后向V2X服务器返回吊销响应。可选的，EA向CRL服务器发起吊销操作首先发给AA，再由AA转发给CRL服务器。可选的，AA、EA不向CRL服务器发起吊销请求；仅在自己内部将ID对应车辆加入黑名单，并向V2X服务器返回吊销结果；随后由V2X服务器向CRL服务器发起吊销操作。
实施例2：I级恶意吊销流程2。
S9c.V2X服务器向AA发送证书吊销请求，该请求包括：证书id、原因J、分级I。
S9d.AA向EA发送证书吊销请求，该请求包括：证书id、原因J、分级I。
S10b.AA向V2X服务器发送证书吊销响应。
S11b.EA向AA发送证书吊销响应。
实施例2与实施例1的不同之处在于，V2X服务器向AA发送I级证书吊销请求，携带待吊销证书ID、吊销原因J和恶意等级lv＝1，AA随后将该请求转发给EA。AA\EA处理完成后，由AA统一回响应。
实施例3：II级恶意吊销流程。
S12.V2X服务器向AA发送证书吊销请求，该请求包括:证书id、原因J、分级II。
S13.AA向V2X服务器发送证书吊销响应。
实施例3与实施例1、实施例2的不同之处在于，AA不向EA发送或转发，AA可以对证书进行吊销。
通过前述的举例说明可知，本申请实施例中给出异常行为检测的流程以及接口传递的参数，云端的V2X服务器向车端配置异常行为检测策略P，车端根据P对于接收到的V2X消息进行异常行为检测，确定该V2X消息的异常行为特征f和异常类型j。云端的V2X服务器根据多个举报方上报的异常类型j以及被举报方的V2X消息进行综合决策，给出仲裁结论J。云端的V2X服务器还可以对异常行为车辆进行分级，并针对不同级别进行响应的证书吊销流程。车端接受云端单播或者广播的仲裁结果J，并据此进行后续消息处理。本申请实施例提供了车联网的异常行为检测的方法，保障V2X网络及自动驾驶的安全，避免干扰合法的车辆自动驾驶。避免消耗合法车辆的计算资源。避免攻击者导致的交通混乱、危及驾乘人员生命安全。
需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。
为便于更好的实施本申请实施例的上述方案，下面还提供用于实施上述方案的相关装置。
请参阅图11所示，为本申请实施例提供的一种车联网通信装置的组成结构示意图。车联网通信装置可以是车联网通信终端的硬件组成结构，或者是车联网通信终端中部署的软件装置，车联网通信装置包括：接收模块1101、发送模块1102、处理模块1103。其中，
处理模块1103，用于通过接收模块1101接收所述车联网发送终端发送的第一车联网消息；
处理模块1103，用于使用第一异常行为检测策略确定所述第一车联网消息为异常消息；
处理模块1103，用于通过发送模块1102向所述车联网服务器发送举报消息，所述举报消息包括：所述第一车联网消息。
在本申请的一些实施例中，处理模块1103，用于使用所述第一异常行为检测策略对所述第一车联网消息进行检测，得到异常行为特征；根据所述异常行为特征确定所述第一车联网消息为异常消息。
在本申请的一些实施例中，所述异常行为特征包括如下特征中的至少一种:权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征。
在本申请的一些实施例中，权限异常行为特征，包括：所述车联网发送终端的证书中的应用标识AID不包含与所述第一车联网消息的类型对应的发送权限；和/或，所述车联网发送终端的证书中的专有业务权限SSP不包含所述第一车联网消息中的终端类型。
在本申请的一些实施例中，所述位置异常行为特征，包括：
所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置之间的位置差值大于地理位置欺骗阈值；和/或，
当所述第一车联网消息是所述车联网发送终端首次发送的消息时，所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置小于首次消息位置阈值。
在本申请的一些实施例中，所述速度异常行为特征，包括：
所述第一车联网消息包括的事件内容对应的车辆速度与所述车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值；和/或，
处于同一位置区域的多个车联网发送终端上报的车辆速度与所述第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值；和/或，
所述车联网发送终端的第一历史位置与所述车联网发送终端上报的当前车辆位置之间的位置差值除以时间差得到的速度值大于第三速度阈值，所述时间差为所述第一历史位置对应的时间戳和所述车联网发送终端的当前车辆位置对应的时间戳之间的差值。
在本申请的一些实施例中，所述事件异常行为特征，包括：
所述第一车联网消息包括的事件内容，与所述车联网接收终端从同一位置区域接收到的多个车联网消息分别包括的事件内容都不相同；和/或，
所述车联网接收终端的车辆传感器采集信息与所述第一车联网消息包括的事件内容不匹配。
在本申请的一些实施例中，处理模块1103还用于根据所述异常行为特征确定所述第一车联网消息为异常消息之后，获取所述车联网发送终端在第一时间段中所述异常行为特征的发生次数；获取所述异常行为特征在第二时间段内的总发生次数，所述第二时间段大于所述第一时间段；当所述第一时间段中所述异常行为特征的发生次数大于第一异常行为阈值，和/或所述异常行为特征在所述第二时间段内的总发生次数大于第二异常行为阈值时，确定所述车联网发送终端有异常行为。
在本申请的一些实施例中，处理模块1103还用于确定所述车联网发送终端有异常行为之后，将所述车联网发送终端加入黑名单，所述黑名单用于对所述车联网接收终端接收到的车联网消息进行拦截。
在本申请的一些实施例中，处理模块1103还用于通过接收模块1101接收所述车联网发送终端发送的第一车联网消息之前，获取所述车联网服务器发送的第一异常行为检测策略。
在本申请的一些实施例中，处理模块1103还用于通过发送模块1103向所述车联网服务器发送举报消息之后，通过接收模块1101接收所述车联网服务器发送的举报消息响应；根据所述举报消息响应确定所述车联网发送终端是否有异常行为。
在本申请的一些实施例中，处理模块1103还用于根据所述举报消息响应确定所述车联网发送终端是否有异常行为之后，当所述车联网发送终端有异常行为时，将所述车联网发送终端加入黑名单，所述黑名单用于对所述车联网接收终端接收到的车联网消息进行拦截。
在本申请的一些实施例中，处理模块1103还用于执行前述车联网通信终端执行的车联网的证书处理方法。
请参阅图12所示，为本申请实施例提供的一种车联网处理装置的组成结构示意图。车联网处理装置可以是车联网服务器的硬件组成结构，或者是车联网服务器中部署的软件装置。车联网处理装置包括：接收模块1201、发送模块1202、处理模块1203。其中，
处理模块1203，用于通过接收模块1201接收所述车联网接收终端发送的举报消息，所述举报消息包括：所述车联网发送终端发送的第一车联网消息；
处理模块1203，用于根据第二异常行为检测策略和所述举报消息确定所述车联网接收终端是否有异常行为；
处理模块1203，用于根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为。
在本申请的一些实施例中，所述车辆通信***还包括：多个证书管理服务器，所述举报消息包括所述车联网接收终端的证书；
处理模块1203，用于从第一证书管理服务器获取所述车联网接收终端的多个证书，所述第一证书管理服务器用于向所述车联网接收终端颁发多个证书；根据所述车联网接收终端的多个证书确定所述车联网接收终端的举报总次数；根据所述举报总次数确定所述车联网接收终端是否有异常行为。
在本申请的一些实施例中，所述车辆通信***中包括多个车联网接收终端，且所述车辆通信***还包括：多个证书管理服务器；
处理模块1203，用于从第二证书管理服务器获取所述车联网发送终端的多个证书，所述第二证书管理服务器用于向所述车联网发送终端颁发多个证书；根据所述车联网发送终端的多个证书和所述第一车联网消息确定多个车联网接收终端的第一举报总次数，所述第一举报总次数为所述多个车联网接收终端针对所述车联网发送终端，或者针对所述第一车联网消息的举报总次数；根据所述多个车联网接收终端的第一举报总次数，确定所述车联网发送终端是否有异常行为。
在本申请的一些实施例中，所述车辆通信***中包括多个车联网接收终端；
处理模块1203，用于通过接收模块1201接收多个车联网接收终端分别发送的举报消息；根据所述第三异常行为检测策略对所述多个举报消息中分别携带的车联网消息进行检测，得到多个异常行为特征；对所述多个异常行为特征进行统计分析，得到所述车联网发送终端是否有异常行为。
在本申请的一些实施例中，所述异常行为特征包括如下特征中的至少一种:权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征。
在本申请的一些实施例中，所述权限异常行为特征，包括：
所述车联网发送终端的证书中的应用标识AID不包含与所述第一车联网消息的类型对应的发送权限；和/或，所述车联网发送终端的证书中的专有业务权限SSP不包含所述第一车联网消息中的终端类型。
在本申请的一些实施例中，所述位置异常行为特征，包括：
所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置之间的位置差值大于地理位置欺骗阈值；和/或，
当所述第一车联网消息是所述车联网发送终端首次发送的消息时，所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置小于首次消息位置阈值。
在本申请的一些实施例中，所述速度异常行为特征，包括：
所述第一车联网消息包括的事件内容对应的车辆速度与所述车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值；和/或，
处于同一位置区域的多个车联网发送终端上报的车辆速度与所述第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值；和/或，
所述车联网发送终端的第一历史位置与所述车联网发送终端上报的当前车辆位置之间的位置差值除以时间差得到的速度值大于第三速度阈值，所述时间差为所述第一历史位置对应的时间戳和所述车联网发送终端的当前车辆位置对应的时间戳之间的差值。
在本申请的一些实施例中，所述事件异常行为特征，包括：
所述第一车联网消息包括的事件内容，与所述车联网接收终端从同一位置区域接收到的多个车联网消息分别包括的事件内容都不相同；和/或，
所述车联网接收终端的车辆传感器采集信息与所述第一车联网消息包括的事件内容不匹配。
在本申请的一些实施例中，处理模块1203用于获取所述车联网发送终端在第一时间段中所述多个异常行为特征的发生次数；获取所述多个异常行为特征在第二时间段内的总发生次数，所述第二时间段大于所述第一时间段；当所述第一时间段中所述多个异常行为特征的发生次数大于第一异常行为阈值，和/或所述多个异常行为特征在所述第二时间段内的总发生次数大于第二异常行为阈值时，确定所述车联网发送终端有异常行为。
在本申请的一些实施例中，所述车辆通信***还包括：多个证书管理服务器和证书吊销服务器，处理模块1203还用于通过发送模块1202向第三证书管理服务器发送第一证书吊销请求，所述第一证书吊销请求包括：异常车联网终端的证书，所述第三证书管理服务器用于向所述证书吊销服务器请求吊销所述异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；通过接收模块1201接收所述第三证书管理服务器发送的所述异常车联网终端的证书被吊销的响应。
在本申请的一些实施例中，所述车辆通信***还包括：多个证书管理服务器和证书吊销服务器，处理模块1203还用于通过发送模块1202向第三证书管理服务器发送第二证书吊销请求，所述第二证书吊销请求包括：异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；通过接收模块1201接收所述第三证书管理服务器将所述异常车联网终端的至少一个证书加入黑名单后发送的响应，并向所述证书吊销服务器发送第三证书吊销请求；通过接收模块1201接收所述证书吊销服务器发送的所述异常车联网终端的证书被吊销的响应。
在本申请的一些实施例中，所述车辆通信***还包括：证书吊销服务器，处理模块1203还用于通过发送模块1202向所述证书吊销服务器发送第四证书吊销请求，所述第四证书吊销请求包括：异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；通过接收模块1201接收所述证书吊销服务器发送的所述异常车联网终端的证书被吊销的响应。
在本申请的一些实施例中，所述多个证书管理服务器，包括：多个长期证书管理服务器和多个短期证书管理服务器；
处理模块1203，用于对所述异常车联网终端的异常行为进行分级，得到异常等级；当所述异常等级为第一异常等级时，从所述多个长期证书管理服务器、所述多个短期证书管理服务器中分别确定出所述第三证书管理服务器；或者，当所述异常等级为第二异常等级时，从所述多个短期证书管理服务器中确定出所述第三证书管理服务器。
在本申请的一些实施例中，处理模块1203还用于确定出所述第三证书管理服务器之后，根据所述异常车联网终端的异常行为生成吊销原因信息；通过发送模块1202向所述第三证书管理服务器发送所述吊销原因信息和所述异常等级。
在本申请的一些实施例中，处理模块1203还用于根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为之后，生成举报消息响应，所述举报消息响应用于指示所述车联网发送终端是否有异常行为；通过发送模块1202向所述车联网接收终端发送所述举报消息响应。
在本申请的一些实施例中，处理模块1203还用于通过接收模块1201接收所述车联网接收终端发送的举报消息之前，通过发送模块1202向所述车联网接收终端发送所述第一异常行为检测策略。
在本申请的一些实施例中，处理模块1203还用于当所述车联网接收终端没有异常行为时，根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为。
在本申请的一些实施例中，处理模块1203还用于执行前述车联网服务器执行的车联网的异常行为检测方法。
需要说明的是，上述装置各模块/单元之间的信息交互、执行过程等内容，由于与本申请方法实施例基于同一构思，其带来的技术效果与本申请方法实施例相同，具体内容可参见本申请前述所示的方法实施例中的叙述，此处不再赘述。
本申请实施例还提供一种计算机存储介质，其中，该计算机存储介质存储有程序，该程序执行包括上述方法实施例中记载的部分或全部步骤。
接下来介绍本申请实施例提供的另一种车联网通信装置，请参阅图13所示，车联网通信装置1300包括：
接收器1301、发射器1302、处理器1303和存储器1304(其中车联网通信装置1300中的处理器1303的数量可以一个或多个，图13中以一个处理器为例)。在本申请的一些实施例中，接收器1301、发射器1302、处理器1303和存储器1304可通过总线或其它方式连接，其中，图13中以通过总线连接为例。
存储器1304可以包括只读存储器和随机存取存储器，并向处理器1303提供指令和数据。存储器1304的一部分还可以包括非易失性随机存取存储器(non-volatile randomaccess memory，NVRAM)。存储器1304存储有操作***和操作指令、可执行模块或者数据结构，或者它们的子集，或者它们的扩展集，其中，操作指令可包括各种操作指令，用于实现各种操作。操作***可包括各种***程序，用于实现各种基础业务以及处理基于硬件的任务。
处理器1303控制车联网通信装置的操作，处理器1303还可以称为中央处理单元(central processing unit，CPU)。具体的应用中，车联网通信装置的各个组件通过总线***耦合在一起，其中总线***除包括数据总线之外，还可以包括电源总线、控制总线和状态信号总线等。但是为了清楚说明起见，在图中将各种总线都称为总线***。
上述本申请实施例揭示的方法可以应用于处理器1303中，或者由处理器1303实现。处理器1303可以是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器1303中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器1303可以是通用处理器、数字信号处理器(digital signal processing，DSP)、专用集成电路(application specific integrated circuit，ASIC)、现场可编程门阵列(field-programmable gate array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器1304，处理器1303读取存储器1304中的信息，结合其硬件完成上述方法的步骤。
接收器1301可用于接收输入的数字或字符信息，以及产生与车联网通信装置的相关设置以及功能控制有关的信号输入，发射器1302可包括显示屏等显示设备，发射器1302可用于通过外接接口输出数字或字符信息。
本申请实施例中，处理器1303，用于执行还用于前述车联网接收终端执行的车联网的异常行为检测方法。
接下来介绍本申请实施例提供的另一种车联网处理装置，请参阅图14所示，车联网处理装置1400包括：
接收器1401、发射器1402、处理器1403和存储器1404(其中车联网处理装置1400中的处理器1403的数量可以一个或多个，图14中以一个处理器为例)。在本申请的一些实施例中，接收器1401、发射器1402、处理器1403和存储器1404可通过总线或其它方式连接，其中，图14中以通过总线连接为例。
存储器1404可以包括只读存储器和随机存取存储器，并向处理器1403提供指令和数据。存储器1404的一部分还可以包括NVRAM。存储器1404存储有操作***和操作指令、可执行模块或者数据结构，或者它们的子集，或者它们的扩展集，其中，操作指令可包括各种操作指令，用于实现各种操作。操作***可包括各种***程序，用于实现各种基础业务以及处理基于硬件的任务。
处理器1403控制车联网处理装置的操作，处理器1403还可以称为CPU。具体的应用中，车联网处理装置的各个组件通过总线***耦合在一起，其中总线***除包括数据总线之外，还可以包括电源总线、控制总线和状态信号总线等。但是为了清楚说明起见，在图中将各种总线都称为总线***。
上述本申请实施例揭示的方法可以应用于处理器1403中，或者由处理器1403实现。处理器1403可以是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器1403中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器1403可以是通用处理器、DSP、ASIC、FPGA或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器1404，处理器1403读取存储器1404中的信息，结合其硬件完成上述方法的步骤。
本申请实施例中，处理器1403，还用于执行前述车联网服务器执行的车联网的异常行为检测方法。
在另一种可能的设计中，当前述的装置为芯片时，芯片包括：处理单元和通信单元，所述处理单元例如可以是处理器，所述通信单元例如可以是输入/输出接口、管脚或电路等。该处理单元可执行存储单元存储的计算机执行指令，以使该装置内的芯片执行上述第一方面任意一项的无线通信方法。可选地，所述存储单元为所述芯片内的存储单元，如寄存器、缓存等，所述存储单元还可以是所述装置内的位于所述芯片外部的存储单元，如只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)等。
其中，上述任一处提到的处理器，可以是一个通用中央处理器，微处理器，ASIC，或一个或多个用于控制上述第一方面方法的程序执行的集成电路。
另外需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本申请提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。
通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件的方式来实现，当然也可以通过专用硬件包括专用集成电路、专用CPU、专用存储器、专用元器件等来实现。一般情况下，凡由计算机程序完成的功能都可以很容易地用相应的硬件来实现，而且，用来实现同一功能的具体硬件结构也可以是多种多样的，例如模拟电路、数字电路或专用电路等。但是，对本申请而言更多情况下软件程序实现是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘、U盘、移动硬盘、ROM、RAM、磁碟或者光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述的方法。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。
所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存储的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘(Solid State Disk，SSD))等。

Claims (33)

1.一种车联网的异常行为检测方法，其特征在于，所述方法应用于车辆通信***，所述车辆通信***包括：车联网发送终端、车联网接收终端、车联网服务器，其中，所述方法包括：
所述车联网接收终端接收所述车联网发送终端发送的第一车联网消息；
所述车联网接收终端使用第一异常行为检测策略确定所述第一车联网消息为异常消息；
所述车联网接收终端向所述车联网服务器发送举报消息，所述举报消息包括：所述第一车联网消息；
所述车联网接收终端接收所述车联网服务器发送的举报消息响应；
所述车联网接收终端根据所述举报消息响应确定所述车联网发送终端是否有异常行为。
2.根据权利要求1所述的方法，其特征在于，所述车联网接收终端使用第一异常行为检测策略确定所述第一车联网消息为异常消息，包括：
所述车联网接收终端使用所述第一异常行为检测策略对所述第一车联网消息进行检测，得到异常行为特征；
所述车联网接收终端根据所述异常行为特征确定所述第一车联网消息为异常消息。
3.根据权利要求2所述的方法，其特征在于，所述异常行为特征包括如下特征中的至少一种:权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征。
4.根据权利要求3所述的方法，其特征在于，所述权限异常行为特征，包括：
所述车联网发送终端的证书中的应用标识AID不包含与所述第一车联网消息的类型对应的发送权限；和/或，
所述车联网发送终端的证书中的专有业务权限SSP不包含所述第一车联网消息中的终端类型。
5.根据权利要求3或4所述的方法，其特征在于，所述位置异常行为特征，包括：
所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置之间的位置差值大于地理位置欺骗阈值；和/或，
当所述第一车联网消息是所述车联网发送终端首次发送的消息时，所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置小于首次消息位置阈值。
6.根据权利要求3或4中任一项所述的方法，其特征在于，所述速度异常行为特征，包括：
所述第一车联网消息包括的事件内容对应的车辆速度与所述车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值；和/或，
处于同一位置区域的多个车联网发送终端上报的车辆速度与所述第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值；和/或，
所述车联网发送终端的第一历史位置与所述车联网发送终端上报的当前车辆位置之间的位置差值除以时间差得到的速度值大于第三速度阈值，所述时间差为所述第一历史位置对应的时间戳和所述车联网发送终端的当前车辆位置对应的时间戳之间的差值。
7.根据权利要求3或4中任一项所述的方法，其特征在于，所述事件异常行为特征，包括：
所述第一车联网消息包括的事件内容，与所述车联网接收终端从同一位置区域接收到的多个车联网消息分别包括的事件内容都不相同；和/或，
所述车联网接收终端的车辆传感器采集信息与所述第一车联网消息包括的事件内容不匹配。
8.根据权利要求2至4中任一项所述的方法，其特征在于，所述车联网接收终端根据所述异常行为特征确定所述第一车联网消息为异常消息之后，所述方法还包括：
所述车联网接收终端获取所述车联网发送终端在第一时间段中所述异常行为特征的发生次数；
所述车联网接收终端获取所述异常行为特征在第二时间段内的总发生次数，所述第二时间段大于所述第一时间段；
当所述第一时间段中所述异常行为特征的发生次数大于第一异常行为阈值，和/或所述异常行为特征在所述第二时间段内的总发生次数大于第二异常行为阈值时，所述车联网接收终端确定所述车联网发送终端有异常行为。
9.根据权利要求8所述的方法，其特征在于，所述车联网接收终端确定所述车联网发送终端有异常行为之后，所述方法还包括：
所述车联网接收终端将所述车联网发送终端加入黑名单，所述黑名单用于对所述车联网接收终端接收到的车联网消息进行拦截。
10.根据权利要求1至4中任一项所述的方法，其特征在于，所述车联网接收终端接收所述车联网发送终端发送的第一车联网消息之前，所述方法还包括：
所述车联网接收终端获取所述车联网服务器发送的第一异常行为检测策略。
11.根据权利要求1所述的方法，其特征在于，所述车联网接收终端根据所述举报消息响应确定所述车联网发送终端是否有异常行为之后，所述方法还包括：
当所述车联网发送终端有异常行为时，所述车联网接收终端将所述车联网发送终端加入黑名单，所述黑名单用于对所述车联网接收终端接收到的车联网消息进行拦截。
12.一种车联网的异常行为检测方法，其特征在于，所述方法应用于车辆通信***，所述车辆通信***包括：车联网发送终端、车联网接收终端、车联网服务器，其中，所述方法包括：
所述车联网服务器接收所述车联网接收终端发送的举报消息，所述举报消息包括：所述车联网发送终端发送的第一车联网消息；
所述车联网服务器根据第二异常行为检测策略和所述举报消息确定所述车联网接收终端是否有异常行为；
所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为。
13.根据权利要求12所述的方法，其特征在于，所述车辆通信***还包括：多个证书管理服务器，所述举报消息包括所述车联网接收终端的证书；
所述车联网服务器根据第二异常行为检测策略和所述举报消息确定所述车联网接收终端是否有异常行为，包括：
所述车联网服务器从第一证书管理服务器获取所述车联网接收终端的多个证书，所述第一证书管理服务器用于向所述车联网接收终端颁发多个证书；
所述车联网服务器根据所述车联网接收终端的多个证书确定所述车联网接收终端的举报总次数；
所述车联网服务器根据所述举报总次数确定所述车联网接收终端是否有异常行为。
14.根据权利要求12至13中任一项所述的方法，其特征在于，所述车辆通信***中包括多个车联网接收终端，且所述车辆通信***还包括：多个证书管理服务器；
所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为，包括：
所述车联网服务器从第二证书管理服务器获取所述车联网发送终端的多个证书，所述第二证书管理服务器用于向所述车联网发送终端颁发多个证书；
所述车联网服务器根据所述车联网发送终端的多个证书和所述第一车联网消息确定多个车联网接收终端的第一举报总次数，所述第一举报总次数为所述多个车联网接收终端针对所述车联网发送终端，或者针对所述第一车联网消息的举报总次数；
所述车联网服务器根据所述多个车联网接收终端的第一举报总次数，确定所述车联网发送终端是否有异常行为。
15.根据权利要求12至13中任一项所述的方法，其特征在于，所述车辆通信***中包括多个车联网接收终端；
所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为，包括：
所述车联网服务器接收多个车联网接收终端分别发送的举报消息；
所述车联网服务器根据所述第三异常行为检测策略对所述多个举报消息中分别携带的车联网消息进行检测，得到多个异常行为特征；
所述车联网服务器对所述多个异常行为特征进行统计分析，得到所述车联网发送终端是否有异常行为。
16.根据权利要求15所述的方法，其特征在于，所述异常行为特征包括如下特征中的至少一种:权限异常行为特征、位置异常行为特征、速度异常行为特征、事件异常行为特征。
17.根据权利要求16所述的方法，其特征在于，所述权限异常行为特征，包括：
所述车联网发送终端的证书中的应用标识AID不包含与所述第一车联网消息的类型对应的发送权限；和/或，
所述车联网发送终端的证书中的专有业务权限SSP不包含所述第一车联网消息中的终端类型。
18.根据权利要求16所述的方法，其特征在于，所述位置异常行为特征，包括：
所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置之间的位置差值大于地理位置欺骗阈值；和/或，
当所述第一车联网消息是所述车联网发送终端首次发送的消息时，所述第一车联网消息包括的车辆位置与所述车联网接收终端的车辆位置小于首次消息位置阈值。
19.根据权利要求16所述的方法，其特征在于，所述速度异常行为特征，包括：
所述第一车联网消息包括的事件内容对应的车辆速度与所述车联网发送终端上报的车辆速度之间的速度差值大于第一速度阈值；和/或，
处于同一位置区域的多个车联网发送终端上报的车辆速度与所述第一车联网消息包括的车辆速度之间的速度差值大于第二速度阈值；和/或，
所述车联网发送终端的第一历史位置与所述车联网发送终端上报的当前车辆位置之间的位置差值除以时间差得到的速度值大于第三速度阈值，所述时间差为所述第一历史位置对应的时间戳和所述车联网发送终端的当前车辆位置对应的时间戳之间的差值。
20.根据权利要求16所述的方法，其特征在于，所述事件异常行为特征，包括：
所述第一车联网消息包括的事件内容，与所述车联网接收终端从同一位置区域接收到的多个车联网消息分别包括的事件内容都不相同；和/或，
所述车联网接收终端的车辆传感器采集信息与所述第一车联网消息包括的事件内容不匹配。
21.根据权利要求15所述的方法，其特征在于，所述车联网服务器对所述多个异常行为特征进行统计分析，得到所述车联网发送终端是否有异常行为，包括：
所述车联网服务器获取所述车联网发送终端在第一时间段中所述多个异常行为特征的发生次数；
所述车联网服务器获取所述多个异常行为特征在第二时间段内的总发生次数，所述第二时间段大于所述第一时间段；
当所述第一时间段中所述多个异常行为特征的发生次数大于第一异常行为阈值，和/或所述多个异常行为特征在所述第二时间段内的总发生次数大于第二异常行为阈值时，所述车联网服务器确定所述车联网发送终端有异常行为。
22.根据权利要求12或13所述的方法，其特征在于，所述车辆通信***还包括：多个证书管理服务器和证书吊销服务器，所述方法还包括：
所述车联网服务器向第三证书管理服务器发送第一证书吊销请求，所述第一证书吊销请求包括：异常车联网终端的证书，所述第三证书管理服务器用于向所述证书吊销服务器请求吊销所述异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；
所述车联网服务器接收所述第三证书管理服务器发送的所述异常车联网终端的证书被吊销的响应。
23.根据权利要求12或13所述的方法，其特征在于，所述车辆通信***还包括：多个证书管理服务器和证书吊销服务器，所述方法还包括：
所述车联网服务器向第三证书管理服务器发送第二证书吊销请求，所述第二证书吊销请求包括：异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；
所述车联网服务器接收所述第三证书管理服务器将所述异常车联网终端的至少一个证书加入黑名单后发送的响应，并向所述证书吊销服务器发送第三证书吊销请求；
所述车联网服务器接收所述证书吊销服务器发送的所述异常车联网终端的证书被吊销的响应。
24.根据权利要求12或13中任一项所述的方法，其特征在于，所述车辆通信***还包括：证书吊销服务器，所述方法还包括：
所述车联网服务器向所述证书吊销服务器发送第四证书吊销请求，所述第四证书吊销请求包括：异常车联网终端的证书，所述异常车联网终端为有异常行为的所述车联网发送终端，和/或有异常行为的所述车联网接收终端；
所述车联网服务器接收所述证书吊销服务器发送的所述异常车联网终端的证书被吊销的响应。
25.根据权利要求22所述的方法，其特征在于，所述多个证书管理服务器，包括：多个长期证书管理服务器和多个短期证书管理服务器；
所述车联网服务器根据异常车联网终端的证书确定为所述异常车联网终端发送证书的第三证书管理服务器，包括：
所述车联网服务器对所述异常车联网终端的异常行为进行分级，得到异常等级；
当所述异常等级为第一异常等级时，所述车联网服务器从所述多个长期证书管理服务器、所述多个短期证书管理服务器中分别确定出所述第三证书管理服务器；或者，
当所述异常等级为第二异常等级时，所述车联网服务器从所述多个短期证书管理服务器中确定出所述第三证书管理服务器。
26.根据权利要求25所述的方法，其特征在于，所述车联网服务器确定出所述第三证书管理服务器之后，所述方法还包括：
所述车联网服务器根据所述异常车联网终端的异常行为生成吊销原因信息；
所述车联网服务器向所述第三证书管理服务器发送所述吊销原因信息和所述异常等级。
27.根据权利要求12或13所述的方法，其特征在于，所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为之后，所述方法还包括：
所述车联网服务器生成举报消息响应，所述举报消息响应用于指示所述车联网发送终端是否有异常行为；
所述车联网服务器向所述车联网接收终端发送所述举报消息响应。
28.根据权利要求12或13所述的方法，其特征在于，所述车联网服务器接收所述车联网接收终端发送的举报消息之前，所述方法还包括：
所述车联网服务器向所述车联网接收终端发送第一异常行为检测策略。
29.根据权利要求12或13所述的方法，其特征在于，所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为，包括：
当所述车联网接收终端没有异常行为时，所述车联网服务器根据第三异常行为检测策略和所述第一车联网消息确定所述车联网发送终端是否有异常行为。
30.一种车辆通信***，其特征在于，所述车辆通信***包括：车联网接收终端、车联网发送终端、车联网服务器，其中，
所述车联网发送终端，用于向所述车联网接收终端发送第一车联网消息；
所述车联网接收终端，用于执行前述权利要求1至权利要求11中任一项所述的方法；
所述车联网服务器，用于执行前述权利要求12至权利要求29中任一项所述的方法。
31.一种车联网接收装置，其特征在于，所述车联网接收装置包括：处理器，存储器；所述处理器、所述存储器之间进行相互的通信；
所述存储器用于存储指令；
所述处理器用于执行所述存储器中的所述指令，执行如权利要求1至11中任一项所述的方法。
32.一种车联网处理装置，其特征在于，所述车联网处理装置包括：处理器，存储器；所述处理器、所述存储器之间进行相互的通信；
所述存储器用于存储指令；
所述处理器用于执行所述存储器中的所述指令，执行如权利要求12至29中任一项所述的方法。
33.一种计算机可读存储介质，包括指令，当其在计算机上运行时，使得计算机执行如权利要求1至11，或者权利要求12至29中任一项任意一项所述的方法。
CN201811386066.3A 2018-11-20 2018-11-20 一种车联网的异常行为检测方法、装置和*** Active CN111200799B (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201811386066.3A CN111200799B (zh) 2018-11-20 2018-11-20 一种车联网的异常行为检测方法、装置和***
PCT/CN2019/104319 WO2020103524A1 (zh) 2018-11-20 2019-09-04 一种车联网的异常行为检测方法、装置和***
EP19887172.5A EP3869841A4 (en) 2018-11-20 2019-09-04 METHOD OF DETECTION OF ABNORMAL BEHAVIOR IN A NETWORK OF VEHICLES AT ALL, DEVICES, AND SYSTEMS
US17/319,663 US20210281986A1 (en) 2018-11-20 2021-05-13 Vehicle-to-Everything Abnormal Behavior Detection Method, Apparatus, and System

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811386066.3A CN111200799B (zh) 2018-11-20 2018-11-20 一种车联网的异常行为检测方法、装置和***

Publications (2)

Publication Number Publication Date
CN111200799A CN111200799A (zh) 2020-05-26
CN111200799B true CN111200799B (zh) 2021-06-15

Family

ID=70747424

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811386066.3A Active CN111200799B (zh) 2018-11-20 2018-11-20 一种车联网的异常行为检测方法、装置和***

Country Status (4)

Country Link
US (1) US20210281986A1 (zh)
EP (1) EP3869841A4 (zh)
CN (1) CN111200799B (zh)
WO (1) WO2020103524A1 (zh)

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11233650B2 (en) * 2019-03-25 2022-01-25 Micron Technology, Inc. Verifying identity of a vehicle entering a trust zone
JP7382791B2 (ja) * 2019-10-30 2023-11-17 株式会社日立製作所 異常判定装置、車両支援システム
US11695574B2 (en) * 2020-04-29 2023-07-04 Blackberry Limited Method and system for establishing trust for a cybersecurity posture of a V2X entity
WO2021237745A1 (zh) * 2020-05-29 2021-12-02 华为技术有限公司 一种辨识车辆列队中异常车辆参数的方法和终端设备
CN111696352A (zh) * 2020-06-09 2020-09-22 北京百度网讯科技有限公司 交通信息的处理方法、装置、电子设备及存储介质
CN113973280B (zh) * 2020-07-22 2023-09-01 广州汽车集团股份有限公司 一种车载消息传输方法、装置和***
CN112055060B (zh) * 2020-08-20 2022-02-11 郑州信大捷安信息技术股份有限公司 一种v2x终端异常行为识别和告警方法、***
CN112104610B (zh) * 2020-08-20 2022-02-11 郑州信大捷安信息技术股份有限公司 V2x终端异常行为识别和联合告警方法及***
US11706625B2 (en) * 2020-09-03 2023-07-18 Cisco Technology, Inc. Malicious black hole node detection and circumvention
CN112365721B (zh) * 2020-09-14 2021-10-12 江苏大学 一种车辆异常行为识别、预警方法
CN114363220A (zh) * 2020-09-30 2022-04-15 华为技术有限公司 设备异常监测方法及设备
CN112498269B (zh) * 2020-11-11 2022-08-16 广州小鹏汽车科技有限公司 车载终端的异常识别方法、装置、服务器和存储介质
WO2022159173A1 (en) * 2021-01-19 2022-07-28 Qualcomm Incorporated Vehicle-to-everything (v2x) misbehavior detection using a local dynamic map data model
US12003966B2 (en) 2021-01-19 2024-06-04 Qualcomm Incorporated Local misbehavior prevention system for cooperative intelligent transportation systems
US12008895B2 (en) 2021-01-19 2024-06-11 Qualcomm Incorporated Vehicle-to-everything (V2X) misbehavior detection using a local dynamic map data model
TW202231090A (zh) * 2021-01-19 2022-08-01 美商高通公司 用於合作式智慧運輸系統的本端不當行為預防系統
CN113115262A (zh) * 2021-03-03 2021-07-13 海信集团控股股份有限公司 一种公交数据的传输方法及装置
US11405786B1 (en) * 2021-03-25 2022-08-02 Qualcomm Incorporated Detecting misbehavior conditions in vehicle-to-everything (V2X) messages
US20230100298A1 (en) * 2021-09-24 2023-03-30 Qualcomm Incorporated Detection of radio frequency signal transfer anomalies
KR20240074752A (ko) * 2021-10-06 2024-05-28 엘지전자 주식회사 메시지 처리를 위한 장치 간 통신을 수행하는 방법 및 장치
CN114040406B (zh) * 2021-10-27 2024-04-26 海信集团控股股份有限公司 一种车载设备的异常信息检测方法及装置
CN114529875A (zh) * 2022-04-24 2022-05-24 浙江这里飞科技有限公司 一种违停车辆的检测方法、装置、电子设备及存储介质
WO2023244013A1 (ko) * 2022-06-14 2023-12-21 엘지전자 주식회사 주변 정보 통합을 통한 오동작 검출 방법 및 장치
WO2024014160A1 (ja) * 2022-07-15 2024-01-18 住友電気工業株式会社 情報処理装置、車載装置、不正通信判別方法、およびコンピュータプログラム
CN117528451A (zh) * 2022-07-26 2024-02-06 通用汽车环球科技运作有限责任公司 基于雷达和摄像头融合的无线通信不当行为检测
CN115550880B (zh) * 2022-12-06 2023-03-10 中汽智联技术有限公司 V2x设备的证书的异常处理方法、设备和存储介质
CN116896761B (zh) * 2023-09-11 2023-11-28 中汽智联技术有限公司 V2x通信异常处理方法、装置、设备及介质

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9917773B2 (en) * 2008-08-04 2018-03-13 General Electric Company Data communication system and method
US20110238259A1 (en) * 2010-03-25 2011-09-29 Gm Global Technology Operations, Inc. V2X-Connected Cooperative Diagnostic & Prognostic Applications in Vehicular AD HOC Networks
US9253753B2 (en) * 2012-04-24 2016-02-02 Zetta Research And Development Llc-Forc Series Vehicle-to-vehicle safety transceiver using time slots
US9638537B2 (en) * 2012-06-21 2017-05-02 Cellepathy Inc. Interface selection in navigation guidance systems
CN103234550A (zh) * 2013-04-18 2013-08-07 武汉市阳光道客信息技术有限公司 车联网终端及***
EP3358800B1 (en) * 2014-01-06 2021-10-20 Argus Cyber Security Ltd Bus watchman
KR101592788B1 (ko) * 2014-11-19 2016-02-18 현대자동차주식회사 이상 차량 처리 방법 및 이를 수행하는 v2x 통신 시스템
US9674735B2 (en) * 2015-09-22 2017-06-06 Veniam, Inc. Systems and methods for managing connectivity in a network of moving things
US10389604B2 (en) * 2015-09-22 2019-08-20 Veniam, Inc. Systems and methods for the context-aware calculation of the quality of a service provided by a transportation fleet in a network of moving things
CN105976609A (zh) * 2015-11-06 2016-09-28 乐卡汽车智能科技（北京）有限公司 一种车辆数据处理***及方法
WO2018000084A1 (en) * 2016-06-27 2018-01-04 Zhuang Weihua System and method of rebroadcasting messages for reliable vehicular communications
KR101896783B1 (ko) * 2016-10-17 2018-10-18 현대자동차주식회사 V2x 데이터 신뢰도 검증을 위한 v2x 통신 장치, 그를 포함한 v2x 통신 시스템 및 그 방법
WO2018105321A1 (ja) * 2016-12-06 2018-06-14 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 情報処理装置及び情報処理方法
US11146408B2 (en) * 2017-05-18 2021-10-12 Blackberry Limited Detecting misbehavior of intelligent transport stations
CN107071736B (zh) * 2017-05-22 2017-11-24 福州环亚众志计算机有限公司 共享单车数据采集平台
CN107567005B (zh) * 2017-06-12 2021-01-01 华东师范大学 基于人工免疫***的车联网车辆异常行为检测方法及***
CN107454117A (zh) * 2017-09-30 2017-12-08 中国联合网络通信集团有限公司 一种车联网的入侵检测方法及***
US11082846B2 (en) * 2018-03-20 2021-08-03 Qualcomm Incorporated Method and system for onboard equipment misbehavior detection report routing
US11303458B2 (en) * 2018-04-09 2022-04-12 Blackberry Limited Method and system for reduced V2X receiver processing load using network based application layer message processing
US10868677B2 (en) * 2018-06-06 2020-12-15 Blackberry Limited Method and system for reduced V2X receiver processing load using certificates

Also Published As

Publication number Publication date
EP3869841A4 (en) 2021-12-22
WO2020103524A1 (zh) 2020-05-28
US20210281986A1 (en) 2021-09-09
EP3869841A1 (en) 2021-08-25
CN111200799A (zh) 2020-05-26

Similar Documents

Publication Publication Date Title
CN111200799B (zh) 一种车联网的异常行为检测方法、装置和***
US10516681B2 (en) Vehicle correlation system for cyber attacks detection and method thereof
US11418519B2 (en) Systems and methods for detection of malicious activity in vehicle data communication networks
US10586405B2 (en) Method, computer-readable storage device and apparatus for exchanging vehicle information
US10932135B2 (en) Context system for providing cyber security for connected vehicles
Lo et al. A reputation system for traffic safety event on vehicular ad hoc networks
Kolandaisamy et al. A multivariant stream analysis approach to detect and mitigate DDoS attacks in vehicular ad hoc networks
CN107409117B (zh) 用于机器类通信的灵活安全评级和决策机构
Khan et al. Autonomous vehicles: A study of implementation and security.
CN102857573B (zh) 用于车载通信的安全鉴别方法和***
US11810407B2 (en) Selecting V2X communications interface
Huq et al. Cyberattacks against intelligent transportation systems
CN111447591A (zh) 一种基于区块链的车联网数据交换方法
Bhargava et al. A Systematic Approach for Attack Analysis and Mitigation in V2V Networks.
CN114297222A (zh) 车辆不正当行为管理方法、设备、存储介质及装置
Lone et al. A systematic study on the challenges, characteristics and security issues in vehicular networks
Caballero-Gil et al. Ubiquitous collision avoidance system for red light running
CN115731714B (zh) 道路环境感知方法及装置
US20230206751A1 (en) Method and system for assessing the correctness of information transmitted by a vehicle
Jamshidi et al. Providing security in Vehicular ad hoc networks(VANETs) through historical data collection
Chen et al. Improving Alert Accuracy for Smart Vehicles
Franke Security in Intelligent Transportation Telematics
Jaiswal Security Issues and Their Counter Measures in VANET
JP2024505423A (ja) 協調型高度道路交通システムのためのローカル誤動作防止システム
CN118102258A (zh) 通信方法、装置、可读存储介质和车载数据处理设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20220215

Address after: 550025 Huawei cloud data center, jiaoxinggong Road, Qianzhong Avenue, Gui'an New District, Guiyang City, Guizhou Province

Patentee after: Huawei Cloud Computing Technology Co.,Ltd.

Address before: 518129 Bantian HUAWEI headquarters office building, Longgang District, Guangdong, Shenzhen

Patentee before: HUAWEI TECHNOLOGIES Co.,Ltd.

TR01 Transfer of patent right