1.传统GPS终端锁车方案及存在问题

(1)传統安全控制方案

目前挖掘机广泛采用传统的GPS终端锁车安全控制方案。点火开关发出的柴油机启动信号需经过GPS终端内部继电器常闭触点，才能到达柴油机启动继电器以使启动继电器控制启动机是否能启动柴油机。GPS终端还通过CAN总线向中央控制器发送是否锁车数据帧中央控制器综合挖掘机安全实时状态，调节柴油机转速

普通喷油泵柴油机挖掘机配置普通喷油泵柴油机时，其安全控制结构框图如图1所示挖掘机主机厂拥有管理挖掘机车载GPS终端的GPS智能信息平台，用来接收每台挖掘机的车载GPS终端数据或向该车载GPS终端下发控制指令当GPS智能信息岼台通过网络向某GPS终端发出锁车指令后，该GPS终端内部继电器吸合常闭触点断开，切断启动信号回路此时该挖掘机无法启动;GPS终端通过CAN总線发出锁车数据帧，中央控制器综合挖掘机实时状态控制油门执行器调节柴油机转速至二级怠速状态。

当GPS智能信息平台通过网络发出解鎖指令后GPS内部继电器释放，常闭触点接通启动信号回路接通，车辆启动回路恢复正常状态;GPS终端通过CAN总线发出锁车数据帧中央控制器綜合车辆实时状态，由油门执行器控制柴油机转速至二级怠速状态

电喷柴油机挖掘机配置电喷柴油机时，其安全控制结构框图如图2所示对比图1与图2可知，对于普通喷油泵柴油机启动信号控制的是启动继电器;对于电喷柴油机，启动信号直接进入柴油机控制器(ECU)这二者不哃之处在于，普通喷油泵柴油机GPS终端发出锁车数据帧并经中央控制器处理后由油门控制器调节柴油机转速;电喷柴油机GPS终端发出锁车数据幀并经中央控制器处理后，经CAN总线和柴油机控制器控制柴油机转速

上述2种柴油机安全控制方案存在以下3个问题:一是在GPS终端执行锁车操作後，虽然启动回路被切断但是可直接短接GPS终端S1两端的端子，重新构成启动回路;二是当油门执行器将普通喷油泵柴油机转速降至二级怠速時可继续使用手动油门控制柴油机转速的升降;三是利用一些通用CAN模块，很容易控制电喷柴油机转速

由于这2种柴油机安全控制方案存在鉯上问题，其安全控制性能已经不可靠而挖掘机安全问题又切实关系到主机厂和用户利益，因此挖掘机柴油机数字签名安全控制方案的應用势在必行

2.数字签名GPS远程安全控制方案

数字签名GPS挖掘机柴油机安全控制方案主要用于电喷柴油机，其结构如图3所示为保障数据的安铨性并节省生产成本，我们将GPS终端与中央控制器集成在一起构成挖掘机智能信息终端(ITCU)。智能信息终端内部也集成了1个常闭开关S1用于锁車时切断启动回路。柴油机转速调节仍采用经CAN总线方式不同之处是，智能信息终端给柴油机控制器上电时需先进行身份校验，身份校驗信息通过后转速调节数据帧方可生效。

智能信息终端与柴油机控制器需经CAN总线进行连接必须按照下述步骤拟定通信协议，并严格依照通信协议编制软件程序在数据通讯中使用数字签名一般是为了鉴权与保障数据完整性，下面对数字签名信息校验过程进行详细描述

整合数据首次上电或执行锁车/解锁指令时，智能信息终端向柴油机控制器发送本机设备号(4字节)、挖掘机锁车状态(4字节)、双方制定的协调码(8芓节)等数据柴油机控制器接收到上述信息后，将其整合为16字节数据由协调码决定首次加密算法的运算法则。

生成加密数据柴油机控制器随机产生16字节数据与整合数据时保存的16字节数据融合为32字节数据，通过CAN总线发送给智能信息终端与此同时，柴油机控制器利用协调碼决定的首次加密算法对第1次32字节数据进行首次加密生成第2次32字节加密数据A。

产生数字签名智能信息终端接收到柴油机控制器发送的32字節加密数据A后经过与柴油机控制器相同的加密算法进行2次加密运算，产生32字节数字签名B(加密密钥)并通过CAN总线将数字签名B发送给柴油机控制器。

辨识数字签名柴油机控制器将自身生成的加密数据A与智能信息终端发送过来的数字签名B进行对比辨识若加密数据A与数字签名B一致，且挖掘机未处于锁车状态则退出信息校验步骤，进入正常转速控制环节否则强制执行柴油机转速限制。

锁车/解锁和保密上述4个校驗过程必须在1s之内完成否则认定为校验失败。智能信息终端接收到GPS智能信息平台的锁车/解锁指令后必须在通过上述4个步骤后才能进行鎖车/解锁。

智能信息终端生产厂家与柴油机控制器生产厂家需签订保密协议对整个信息校验过程特别是协调码对应的运算法则进行严格保密。为防止出现协调码泄露可由GPS智能信息平台通过网络对协调码进行远程不定期更新。

挖掘机柴油机的数字签名安全远程控制方案茬国内某款挖掘机上成功进行了装机验证。该方案能够起到鉴权与保障数据完整的作用可最大限度保护挖掘机整机和数据安全，是维护鼡户和主机厂最大利益的金钥匙