CN105556984A - 用于认证电池组的测量数据的方法和设备 - Google Patents

Abstract

一种根据本发明的用于认证电池组的测量数据的方法具有以下步骤，所述电池组包括至少一个具有所分配的模块控制装置（6）的电池组模块并且包括中央控制装置（2）：a）通过所述模块控制装置（6）检测（S2）电池组单元的测量数据；b）通过所述模块控制装置（6）确定（S3）至少一个附加的信息载体，所述至少一个附加的信息载体被设置用于认证所述测量数据；c）从所述模块控制装置（6）传送（S4）所述测量数据和所述附加的信息载体到所述中央控制装置（2）上；d）通过所述中央控制装置根据所述附加的信息载体验证（S6）所述测量数据。在此规定：所述附加的信息载体根据所述测量数据和由所述模块控制装置（6）定义的秘钥值来确定。此外，说明一种被设置用于执行所述方法的数据结构、计算机程序和电池组管理系统以及一种电池组和机动车，所述机动车的驱动系统与这样的电池组连接。

Description

用于认证电池组的测量数据的方法和设备

技术领域

本发明涉及一种用于认证电池组的测量数据的方法，所述电池组包括至少一个具有所分配的模块控制装置的电池组模块并且包括中央控制装置，其中电池组单元的测量数据通过至少一个模块控制装置来检测。

此外说明一种具有这样的测量数据的数据结构、尤其被设置用于执行所述方法的计算机程序和电池组管理系统。此外，说明一种电池组和具有这样的电池组的机动车。

背景技术

当今，电子控制装置越来越多地应用在汽车领域中，对此的例子有发动机控制装置和用于ABS或者气囊的控制装置。对于电驱动的车辆，当今的研究重点是具有所属的电池组管理系统——也即控制装置——的高效电池组包的研发，所述电池组管理系统配备有用于监视电池组功能性的软件。电池组管理系统还保证所使用的电池组电池和电池组包的安全的和可靠的功能。电池组管理系统监视并且控制电流、电压、温度、绝缘电阻和其他用于单个电池的和/或整个电池组包的参量。借助这些参量能够实现管理功能，所述管理功能提高电池组系统的寿命、可靠性和安全性。

由DE102009030091A1已知一种用于充电站与电动车之间的通信的方法，所述方法包括完整性和可信性检查，其中发送数据包，所述数据包借助哈希码、尤其借助单向函数和装置秘钥签名，使得可以在接收方侧确定是否一定已经发生了数据包的改变。

由DE102011089352A1已知一种电池组管理系统，其中进行配置参数的检查，其中所述配置参数不仅包括电池组的有用数据而且包括通过工厂测试确定的参数。在此规定，固件检查寄存器中的值实际上具有这样的值：所述值借助工厂编程的错误识别数据——例如校验和或者哈希函数产生相同的校验和。如果配置参数中的一些被认为是不正确的，则可以采取措施，诸如锁止电池组运行、存储关于存储器的失效的报告、系统重置。

发明内容

根据本发明的用于认证电池组的测量数据的方法包括以下步骤：

a）通过模块控制装置检测电池组单元的测量数据；

b）通过所述模块控制装置确定至少一个附加的信息载体，所述至少一个附加的信息载体被设置用于认证所述测量数据；

c）从所述模块控制装置传送所述测量数据和所述至少一个附加的信息载体到中央控制装置上；

d）通过所述中央控制装置根据所述至少一个附加的信息载体验证所述测量数据，

其中所述附加的信息载体根据所述测量数据和由所述模块控制装置定义的秘钥值来确定。

测量数据——其通常通过模块控制装置检测和监视——例如包括温度、绝缘电阻、充电状态、所输送的电流或者所提供的电压。同样，测量数据可以包括由其导出的参量，例如时间上累积的或者积分的参量、相互相乘或者其他方面累计的参量。此外，例如充电状态的最小状态和最大状态之间的差值、相对电池组功率或者充电与放电循环的执行次数可以包括在所导出的测量数据中。根据这样的测量数据实现电池组管理功能，诸如电池组系统的预计寿命的确定或者电池组的健康状态（SOH）的确定。

所述方法尤其可以应用在锂离子电池组中和在镍/金属氢化物电池组中。优选地，所述方法应用在一个或者多个基本上以相同方式运行的电池组的多个模块上和尤其所有模块上。

通过在从属权利要求中列举的措施能够实现在独立权利要求中说明的方法的有利的扩展方案和改进。

在本发明的范围内，由模块控制装置定义的秘钥值也称作种子或者种子秘钥。特别优选地，根据参量的确定的测量值——例如根据温度、充电状态、所输送的电流或者所提供的电压或者根据导出的或者其他方面累计的、如先前所述那样可以构造的参量确定由所述模块控制装置定义的秘钥值。使用哪个具体的测量值应保持隐秘，以便尽可能使加密的绕开对于第三方而言变得困难。

确定的测量值优选是属于以下测量数据的测量值，所述测量数据借助至少一个附加的信息载体或者事先由模块控制装置传输到中央控制装置上并且由中央控制装置验证或者已验证。确定的测量值尤其可以属于模块控制装置的最后传送和验证的测量数据或者属于模块控制装置的当前传送的并且待验证的测量数据。

由模块控制装置定义的第一秘钥值也称作初始值。以下确定的测量值可以用作初始值：所述测量值属于模块控制装置的当前传送的并且待验证的测量数据，例如所测量的第一电池电压。

特别优选地，附加的信息载体借助单向函数f（x,y）由模块控制装置所定义的秘钥值和测量数据来确定。单向函数f（x,y）→z优选借助这样的特性来定义，即其函数值z可以简单地计算并且函数的反转是十分耗费的并且实践中是不可能的。这样的单向函数的示例存在于密码学，例如哈希函数、尤其SHA-1、SHA-2或者SHA-3或者作为质数的乘法。

哈希函数适合于证实数据的完整性。也即，实践中不可能的是，通过有意的修改产生测量数据，所述测量数据具有与给定的测量数据相同的哈希值。因此，在不知道附加的信息载体的计算规则的情况下，潜在的攻击者不能够产生测量数据与适当的签名的合理组合并且不能将其存储在控制装置中。

校验和也可以借助循环冗余校验来构成。在循环冗余校验（CRC，cyclicredundancycheck）中，测量数据的比特序列除以确定的生成多项式、所谓的CRC多项式模数2，其中留下余数。该余数是CRC值，其被添加至测量数据。

在单向函数f（x,y）→z中，值y是由模块控制装置定义的秘钥值。通过值y保证，相同的单向函数在不同的控制装置中提供不同的结果。每一个模块控制装置具有自身的秘钥值并且因此即使在相同的测量数据的情况下也使用不同于其他单向函数的单向函数。测量数据是输入值x。值x和值y产生秘钥，也即对密码算法进行参数化的信息。例如，所有测量数据可以借助异或函数组合成一个值，该值然后与值y一起进入附加的信息载体的计算中。计算规则的推断通过模块控制装置各自的秘钥的使用而变得十分困难。

在测量数据的检测之后，测量数据或者单独地或者捆绑地配备有附加的信息载体，所述附加的信息载体在该上下文中也可以称作认证信息或者称作所谓的签名。签名，例如32比特值与测量数据一起存储在数据结构中。

由模块控制装置优选在时间上随机地改变由所述模块控制装置定义的秘钥值。以下时刻可以称作在时间上随机：所述时刻由模块控制装置根据真实的随机数计算或者伪随机地计算，例如根据噪音的分析或者在使用随机数生成器的情况下。伪随机性尤其也可以被设计成，使得平均在定义的测量循环次数之后——例如每一百个之后、在每一千个之后或者在每一万个之后发生变换。对此替代地，伪随机性可以被设置成，使得平均在确定的时间段之后或者在确定的利用持续时间——例如在使用电池组的每天一次之后发生变换。

各个模块控制装置的测量数据和被设置用于认证测量数据的附加的信息载体被传送给中央控制装置。此外，中央控制装置认识所有目前为止由模块控制装置定义的秘钥值。中央控制装置通过利用自身计算的、借助已知的秘钥值和测量数据确定的附加的信息载体校准所传送的附加的信息载体来验证测量数据。

因为每一个模块控制装置可以改变秘钥值，所以所述验证通过中央控制装置优选分两级地进行，其中在第一级中相对于已知的秘钥值进行验证并且在所述第一级中的验证不成功的情况下在第二级中相对于新的秘钥值进行验证。因为新的秘钥值属于模块控制装置的所传送的并且经验证的测量数据或者属于模块控制装置的当前传送的并且待验证的测量数据，所以中央控制装置直接对其进行访问。

根据一种优选的实施方式，在验证不成功的情况下所述中央控制装置产生错误报告并且例如在CAN总线上提供所述错误报告。对此替代地或者对此附加地可以规定，中央控制装置至少部分地锁止或者减少所述电池组，例如开始所谓的跛行回家（Limp-Home）。

根据一种优选的实施方式，所述方法包括以下另外的步骤：

e）将测量数据存储到中央控制装置的非易失性存储器中。

这样的非易失性存储器例如是所谓的EEPROM（electricallyerasableprogrammableread-onlymemory，电可擦除可编程只读存储器），也即非易失性的电子存储组件，其存储的信息可以被电清除。测量数据到非易失性存储器中的存储可以不仅包括经确证的测量数据而且包括不成功地确证的数据，其中前者尤其可以出于为电池组管理功能提供测量数据的目的而进行。这样提供的测量数据例如可以被考虑用于确定电池组的平均的或者累计的利用，例如在损失情况的范围内用于确定原因。而所存储的不成功地确证的数据可以占用对系统的成功攻击。

优选地，所述确证在所定义的测量循环次数之后进行，例如在每一个、每十个、每一百个、在每一千个之后或者在每一万个之后。替代地，确证可以在确定的时间段之后或者在确定的利用持续时间之后进行，例如在每一天，如果在这一天利用了电池组。

根据本发明还提出一种数据结构，其具有电池组单元的测量数据并且具有至少一个附加的信息载体，所述至少一个附加的信息载体被设置用于测量数据的有效性检查。数据结构在执行所述方法之一的时候被创建。数据结构例如由计算机设备出于维护与服务目的或者为了认证测量数据而被读取。

根据本发明还提出一种计算机程序，当在可编程的计算机设备上实施计算机程序时，根据所述计算机程序执行在此描述的方法之一。计算机程序例如可以涉及用于实现用于为电池组管理系统提供测量数据的设备的模块和/或涉及用于实现车辆的电池组管理系统的模块。计算机程序可以存储在机器可读的存储介质上，例如存储在永久性存储介质或可重复写的存储介质上或分配给计算机设备、例如存储在可携带的存储器，如CD-ROM、DVD或USB棒或者存储卡上。对此附加地或替代地，计算机设备上的、诸如服务器或者云服务器上的计算机程序可以被提供用于例如通过数据网络——如互联网或通信连接——诸如电话线路或无线连接进行下载。

此外，根据本发明提供一种电池组管理系统（BMS），所述电池组管理系统具有：用于检测电池组单元的测量数据的单元；用于确定附加的信息载体的单元，所述附加的信息载体被设置用于认证所述测量数据并且根据所述测量数据和由模块控制装置定义的秘钥值来确定；用于从模块控制装置传送所述测量数据和所述附加的信息载体到中央控制装置的单元和用于根据所述附加的信息载体验证所述测量数据的单元。优选地，电池组管理系统具有非易失性存储器以及用于存储所传送的和经验证的测量数据到非易失性存储器中的单元。

根据本发明还提供一种电池组、尤其锂离子电池组或者镍/金属氢化物电池组，所述电池组包括电池组管理系统并且与机动车的驱动系统可连接，其中电池组管理系统如先前所述那样地构造和/或被设置用于实施根据本发明的方法。

术语“电池组”和“电池组单元”在本说明书中匹配于普通语言惯用法地用于蓄电池或者蓄电池单元。电池组优选地包括一个或者多个电池组单元，所述电池组单元可以包括电池组电池、电池组模块、模块支路（Modulstrang）或者电池组包。电池组电池在此优选在空间上汇总并且通过电路技术相互连接，例如串联地或者并联地连接成模块。多个模块可以构成所谓的电池组直接转换器（BDC，BatteryDirectConverter），并且多个电池组直接转换器可以构成一个电池组直接逆变器（BDI，BatteryDirectInverter）。

根据本发明还提供一种机动车，其具有这样的电池组，其中所述电池组与所述机动车的驱动系统连接。优选地，所述方法应用在电驱动的车辆中，其中多个电池组电池互连用于提供所需的驱动电压。

本发明的优点

借助根据本发明的方法可以防止测量数据的操纵和/或电池组模块的未经许可的更换。此外，电池组包的在规范之外的未经允许的利用可以通过测量数据的操纵来揭露。如果测量数据不具有正确的附加的信息载体，则这是对测量数据的操纵或者有缺陷的存储器的提示。

在没有准确了解计算规则和模块控制装置的明确的秘钥值的情况下可以不计算潜在的攻击者的可信签名。通过模块控制装置各自的秘钥的使用也使签名计算的借助足够多的已知测量数据签名组合的所谓逆向工程变得十分困难。对于不可能的情况——即攻击者已经解密一个模块的有用信息的保护，攻击者最多可以伪造该模块的有用信息，所有其他模块仍然保持被保护。此外特别有利的是，在所有模块控制装置上的单向函数可以相同地实现，因为这些模块控制装置明确唯一地改变用于每一个模块控制装置的单向函数。

出于安全原因并且为了处理保修期要求，特别有利地也识别模块控制装置的更换。电池组管理系统在识别未经允许的更换的情况下锁止整个电池组包的使用或者将其置于紧急运行（Notlauf）中。

中央电池组控制装置和局部模块控制装置可以任意地配置并且对伪造进行反应，例如通过在故障存储器中的标注或者电池组的锁止。此外，为控制装置提供用于识别存储器缺陷的可能性，并且控制装置可以相应地进行反应并且不再继续使用有缺陷的存储器单元。

也特别有利的是，可以非常快速并且以低的耗费地执行认证，因为仅仅唯一的签名被传递和要检查。所述方法的特征也在于低的附加的数据传输，因为唯一的签名也可以分配给多个测量值。此外，电池组管理系统的高速运行过程，即所谓的系统启动未被延迟，因为可以在循环的测量数据通信的范围中实施签名的校准。

附图说明

在附图中示出并且在随后的描述中详细阐述本发明的实施例。

其中：

图1示出一种电池组管理系统，

图2示出用于在模块控制装置与中央控制装置之间的通信中的操纵尝试的一个示例；

图3示出用于根据本发明的系统和方法的一个示例，以及

图4示出用于根据本发明的方法步骤的一个示例。

具体实施方式

图1中的电池组管理系统1包括中央控制装置2和多个电池组模块4，所述中央控制装置也可以称作BCU（BatteryControlUnit：电池组控制单元），所述多个电池组模块分别具有自身的模块控制装置6，所述模块控制装置也称作CMC（CellModuleController：电池模块控制器）。每个电池组模块4分配有具有通常多个电池组电池的电池组单元8，其中所述多个电池组电池串联连接并且部分附加地并联连接，以便借助电池组系统取得所要求的功率与能量数据。各个电池组电池例如是具有在2.8V至4.2V的电压范围的锂离子电池组。中央控制装置2和模块控制装置6之间的通信通过通信通道5、例如通过CAN总线和合适的接口10、12实现。

图2示出图1中的电池组管理系统1的其他示意图。电池组管理系统1包括中央控制装置2和电池组模块4，所述电池组模块分别具有模块控制装置6。每个电池组模块4分配有具有多个电池组电池的电池组单元8。中央控制装置2和模块控制装置6之间的通信通过通信通道5、例如通过CAN总线和合适的接口10、12实现。传感器14通过其他接口16连接到通信通道5上。在图2中示出在模块控制装置12和中央控制装置2的通信中通过攻击者23的操纵尝试。攻击者23实现对通信通道5的访问并且伪造传输数据。为此，攻击者23中断中央控制装置2和模块控制装置6之间的通信并且以自身创建的消息应答中央控制装置2的业务问询。这些消息模仿与模块控制装置6的有效通信。攻击者23例如可以伪造测量值，以便增大电池组的功率。

攻击者23尤其可能比实际的电池组的充电状态更高地说明电池组的充电状态。由此，中央控制装置2允许从电池组的更大的能量提取并且释放更多功率到车辆上。这可能导致电池组的损坏和深度放电并且引起安全紧急的状态，所述安全紧急的状态由于伪造的通信而不能够由中央控制装置2识别。这是一种巨大的安全风险，因为电池组可能在其规范之外运行并且由此存在电池组损坏的可能性。

图3示出根据本发明的电池组管理系统1，其实施根据本发明的方法。电池组管理系统1包括中央控制装置2和多个模块控制装置6。这些模块控制装置6被耦合到传感器14上，所述传感器检测测量数据，如温度、充电状态、电流或者电压并且通过其接口16在步骤S2中提供给模块控制装置6。模块控制装置6分别包括用于检测测量数据的单元20，所述单元从传感器14接收测量数据。在每个模块控制装置6中，用于检测测量数据的单元20被耦合到用于确定附加的信息载体的单元24上，所述附加的信息载体被设置用于认证测量数据。用于确定附加的信息载体的单元24从用于检测测量数据的单元20接收测量数据并且由非易失性存储器22或者根据测量数据确定秘钥值。根据这些输入参数，单元24借助单向函数计算签名并且在步骤S3中将签名提供给通信单元26。通信单元26在另一步骤S4中传送测量数据和附加的信息载体到中央控制装置2上。

中央控制装置2包括用于从模块控制装置6接收测量数据和附加的信息载体的通信单元32。用于接收测量数据和附加的信息载体的通信单元32给用于根据附加的信息载体验证测量数据的单元30提供所接收的测量数据和附加的信息载体。用于验证测量数据的单元30包括用于确定秘钥值的单元34。秘钥值可以从中央控制装置2的非易失性存储器36确定，所述秘钥值存储在所述非易失性存储器中。如果测量数据不能够通过存储在非易失性存储器36中的秘钥值确证或者在系统启动的情况下，单元34根据确定的测量值确定秘钥值。用于验证测量数据的单元30还包括用于根据测量数据和秘钥值计算签名的单元38和用于将所传送的签名与所计算的签名进行比较的单元40。

在另一步骤S6中进一步处理信息。对于测量数据由用于验证测量数据的单元30来认证的情况，测量数据被进一步处理，例如被存储或者被提供给通信总线。对于签名不一致的情况，可能存在以下场景：

a）模块控制装置6被更换了；

b）模块控制装置的或者中央控制装置的非易失性存储器是有缺陷的；

c）在数据传输中的错误和/或

d）测量数据是被伪造的。

优选地，中央控制装置2然后实施其他测试，以便划界错误源，例如以便确定是否涉及可分配给一个单独的模块控制装置6的错误或者是否涉及每一个模块控制装置6。在后一种情况下，应从通信通道的错误出发。在提示经伪造的测量数据的错误的情况下，中央控制装置2锁止电池组包的运行，因为不是所有模块控制装置6是在原始状态中。可以规定，中央控制装置2允许电池组包的受限制的运行，以便例如保持车辆一直能够行驶，直至车辆可以被带至工厂进行研究，这也称作所谓的跛行回家。

图4示出在四个不同时刻t1、t2、t3、t4根据本发明的方法的其他步骤。模块控制装置6在第一时刻t1在步骤S8中由第一测量数据46的量中的确定的测量值确定第一秘钥值44，例如由所确定的第一电池电压的原始值。在步骤S7中以秘钥值44对测量数据46进行签名。签名作为附加的信息载体48与测量数据46一起存在于共同的数据结构50中。在步骤S4中，模块控制装置6传送测量数据46和附加的信息载体48到中央控制装置2上。中央控制装置2由测量数据46确定秘钥值44并且认证测量数据46为有效的。中央控制装置2在步骤S9中优选经加密地将秘钥值44存储在非易失性存储器中。

第二测量的测量数据46在第二时刻t2由模块控制装置6在步骤S7中同样以第一秘钥值44签名。测量数据46在步骤S4中被传送到中央控制装置2并且由该中央控制装置根据所存储的秘钥值44认证为有效的。

模块控制装置在第三时刻t3自主地将用于第三测量的秘钥值44变换成新的秘钥值44。该变换不主动地被传递到中央控制装置2上。中央控制装置2尝试以所存储的秘钥值44认证测量数据46，这失败了。

中央控制装置2在第四时刻t4从验证的第一级变换到验证的第二级并且由测量数据46确定新的秘钥值44并且根据新的秘钥值44将测量数据46认证为有效的。接着，在步骤S9中存储新的秘钥值44。

如果攻击者模仿控制装置2、6的通信，但不计算正确的秘钥值44，则中央控制装置2不能够执行测量数据46的有效认证。在所示示例中，在伪造的数据的情况下第二认证也失败。这是伪造的测量数据的明确表示。秘钥值44的表面上随机的并且从外面不可识别的变换使得签名功能的逆向工程显著变得困难。

本发明不限于在此描述的实施例和在此突出的方面。更确切地说，在通过权利要求给出的范围内能够实现多种变型，所述多种变型处于本领域技术人员的能力范围内。

Claims (10)

1.用于认证电池组的测量数据（46）的方法，所述电池组包括至少一个具有所分配的模块控制装置（6）的电池组模块（4）并且包括中央控制装置（2），所述方法具有以下步骤：

a）通过所述模块控制装置（6）检测（S2）电池组单元（8）的测量数据（46）；

b）通过所述模块控制装置（6）确定（S3）至少一个附加的信息载体（48），所述至少一个附加的信息载体被设置用于认证所述测量数据（46）；

c）从所述模块控制装置（6）传送（S4）所述测量数据（46）和所述附加的信息载体（48）到所述中央控制装置（2）上；

d）通过所述中央控制装置根据所述附加的信息载体验证（S6）所述测量数据（46），

其中所述附加的信息载体（48）根据所述测量数据（46）和由所述模块控制装置（6）定义的秘钥值（44）来确定。

2.根据权利要求1所述的方法，其特征在于，根据确定的测量值确定由所述模块控制装置（6）定义的秘钥值（44）。

3.根据以上权利要求中任一项所述的方法，其特征在于，由所述模块控制装置（6）在时间上随机地改变由所述模块控制装置（6）定义的秘钥值（44）。

4.根据以上权利要求中任一项所述的方法，其特征在于，所述验证（S6）通过所述中央控制装置（2）分两级地进行，其中在第一级中相对于已知的秘钥值（44）进行验证并且在所述第一级中的验证不成功的情况下在第二级中相对于新的秘钥值（44）进行验证。

5.根据权利要求4所述的方法，其特征在于，在第二级中的验证不成功的情况下所述中央控制装置（2）部分地或者完全地锁止所述电池组和/或产生错误报告。

6.一种数据结构（50），其具有电池组单元的测量数据（46）并且具有至少一个附加的信息载体（48），所述至少一个附加的信息载体被设置用于当由计算机设备读取所述数据结构（50）时进行所述测量数据（46）的有效性检查，其中所述数据结构（50）在根据权利要求1至5中任一项所述的方法的执行中被创建。

7.一种计算机程序，其用于当在可编程的计算机设备上实施计算机程序时执行根据权利要求1至5中任一项所述的方法。

8.电池组的电池组管理系统（1），所述电池组包括至少一个具有所分配的模块控制装置（6）的电池组模块（4）并且包括中央控制装置（2），所述电池组管理系统具有：

用于检测电池组单元（8）的测量数据（46）的单元（20）；

用于确定附加的信息载体（48）的单元（24），所述附加的信息载体被设置用于认证所述测量数据（46）并且根据所述测量数据（46）和由所述模块控制装置（6）定义的秘钥值（44）来确定；

用于从所述模块控制装置（6）传送所述测量数据（46）和所述附加的信息载体（48）到所述中央控制装置（2）上的单元（26,32）；

用于根据所述附加的信息载体验证所述测量数据（46）的单元（30）。

9.一种电池组，其包括多个电池组单元（8）和根据权利要求8所述的电池组管理系统（1），并且所述电池组与机动车的驱动系统可连接。

10.一种机动车，其具有根据权利要求9所述的电池组，其中所述电池组与所述机动车的驱动系统连接。