DE10148323A1

DE10148323A1 - Verfahren zum Funktionstest von Steuergeräten und Programmen

Info

Publication number: DE10148323A1
Application number: DE2001148323
Authority: DE
Inventors: Andreas Schwarzhaupt; Gernot Spiegelberg
Original assignee: DaimlerChrysler AG
Current assignee: Mercedes Benz Group AG
Priority date: 2001-09-29
Filing date: 2001-09-29
Publication date: 2003-04-10

Abstract

Die Erfindung betrifft ein Verfahren zum Funktionstest von Steuergeräten und/oder Programmen, wobei die Steuergeräte und/oder Programme Daten mittels eines Datenbussystems austauschen und Prüfdaten existieren, die den am Funktionstest teilnehmenden Steuergeräten und/oder Programmen bekannt sind. Die Erfindung bildet bekannte Verfahren derart weiter, dass Steuergeräte und/oder Programme sowohl sich selbst als auch weitere Steuergeräte und/oder Programme auf korrekte Funktion überprüfen können. Danach verschlüsselt ein erstes Steuergerät oder Programm die Prüfdaten, sendet diese an ein zweites Steuergerät oder Programm, das zweite Steuergerät oder Programm entschlüsselt diese Daten und sendet diese Daten an das erste Steuergerät oder Programm zurück. Das erste Steuergerät oder Programm vergleicht diese empfangenen Daten mit den Prüfdaten.

Description

Die Erfindung betrifft ein Verfahren zum Funktionstest von Steuergeräten und/oder Programmen in einem vernetzten System. In sicherheitsrelevanten elektronischen Systemen ist es notwendig, dass sich Steuergeräte oder Softwaremodule gegenseitig auf korrekte Funktion überprüfen. Gängige Methoden sind hierbei das Übermitteln von Zählern (diese werden in jeder abgeschickten Nachricht inkrementiert) oder Checksummen in zyklisch gesendeten Nachrichten von einem Steuergerät zum anderen.
Es ist auf diese Weise jedoch nur möglich, das korrekte Aussenden und Übertragen der Botschaft zu prüfen, nicht jedoch einen korrekten Inhalt und somit die korrekte Funktion des aussendenden Steuergerätes. Diese Vorgehensweise ist weiterhin zur eindeutigen Überprüfung eines anderen Steuergerätes und gleichzeitiger Überprüfung des prüfenden Steuergerätes nicht ausreichend.
Es ist nun die Aufgabe der vorliegenden Erfindung bekannte Verfahren derart weiterzubilden, dass Steuergeräte und/oder Programme sowohl sich selbst als auch weitere Steuergeräte und/oder Programme auf korrekte Funktion überprüfen können.
Diese Aufgabe wird erfindungsgemäß durch die Merkmale des Anspruchs 1 gelöst. Danach verschlüsselt ein erstes Steuergerät oder Programm die Prüfdaten und sendet diese an ein zweites Steuergerät oder Programm. Das zweite Steuergerät oder Programm entschlüsselt diese Daten und sendet diese an das erste Steuergerät oder Programm zurück. Das erste Steuergerät oder Programm vergleicht diese empfangenen Daten mit den Prüfdaten und kann damit feststellen ob ein Fehler vorliegt. Mittels der eingangs erwähnten Mittel (Check-Summe, Kontrollfeld) kann das erste Steuergerät feststellen, ob ein Fehler in der Datenübertragung vorliegt. Ist dies nicht der Fall, kann der Fehler nur im ersten Steuergerät (Fehler im Verschlüsseln der Prüfdaten-Eigentest) oder im zweiten Steuergerät (Fehler im Entschlüsseln der vom ersten Steuergerät gesendeten Daten-Fremdtest) liegen.
Die Anwendung des Verfahrens erfolgt vorzugsweise im Fahrzeug. Hierbei erfolgt die Kommunikation zwischen Steuergeräten und/oder Programmen mittels eines Datenbussystems, dessen Protokollfunktionalität bereits eine Überprüfung der Netzwerkfunktionalität enthält. Die Programme können jedes Softwareprogramm und/oder modul sein, dass auf einem oder mehreren Steuergeräten installiert ist. Das Datenbussystem kann auch ein virtuelles Datenbussystem sein, dass zur Vernetzung von Softwaremodulen dient.
Zur Verschlüsselung kann ein beliebiges bekanntes Verfahren genommen werden. Vorzugsweise bietet sich ein symmetrisches Verschlüsselungsverfahren an, da es mit geringer Rechenkapazität und Aufwand angewendet werden. Für Details sei auf den Artikel "Der Kryptographie-Report" in der Zeitschrift Elektronik Bd. 22/2000, Seite 78-86 verwiesen.
Die Prüfdaten müssen allen am Funktionstest teilnehmenden Steuergeräten und/oder Programmen jederzeit zur Verfügung stehen. Vorzugsweise werden diese Prüfdaten bei den Test-Teilnehmern abgelegt, um den Netzwerkverkehr zu minimieren. Beispielsweise kann die eindeutige Fahrzeugkennung, im Allgemeinen die Fahrgestellnummer, als Prüfdaten auf den Teilnehmern abgelegt sein. Die Prüfdaten können aber auch von einem oder mehreren Teilnehmern zur Verfügung gestellt werden, wobei deren korrekte Funktionalität laufend sichergestellt werden muss.
Diese Aufgabe wird erfindungsgemäß auch durch die Merkmale des Anspruchs 2 gelöst. Danach verschlüsselt ein erstes Steuergerät oder Programm die Prüfdaten, entschlüsselt diese wieder und vergleicht das Ergebnis mit den Prüfdaten, um seine korrekte Funktionalität festzustellen. Beim Auftreten eines Fehlers kann das erste Steuergerät nach Ausführung des Eigentests feststellen, ob der Fehler im ersten Steuergerät oder in einem weiteren Steuergerät vorliegt.
Es ist also nun möglich, dass ein Steuergerät sowohl ein weiteres Steuergerät wie auch sich selbst auf korrekte Funktion prüft.
Es gibt nun verschiedene Möglichkeiten, die, Lehre der vorliegenden Erfindung in vorteilhafter Weise auszugestalten und weiterzubilden. Dazu ist einerseits auf die untergeordneten Ansprüche und andererseits auf die nachfolgende Erläuterung einer Ausführungsform zu verweisen. Es sollen auch die vorteilhaften Ausgestaltungen einbezogen sein, die sich aus einer beliebigen Kombination der Unteransprüche ergeben. In der Zeichnung ist eine Ausführungsform des erfindungsgemäßen Verfahrens und eine entsprechende Vorrichtung dargestellt. Es zeigt in schematischer Darstellung.
Fig. 1 eine Vorrichtung zur Durchführung des erfindungsgemäßen Verfahrens.
Die erfindungsgemäße Vorrichtung ist in Fig. 1 abgebildet. Das vernetzte System besteht aus mehreren Steuergeräten 1, 2, 3, die miteinander über ein Datenbussystem 4 verbunden sind. Innerhalb der Steuergeräte laufen Softwaremodule ab. Sowohl die Steuergeräte als auch die Softwaremodule kommunizieren über das Datenbussystem mit den anderen Steuergeräten und Softwaremodulen.
In dem Ausführungsbeispiel ist das Datenbussystem 4 ein CAN- Bus, wobei aber das Verfahren mit jedem anderen Bussystem wie MOST, FlexRay anwendbar ist. In dem CAN-Protokoll ist festgelegt, dass eine Botschaft prinzipiell folgendermaßen aufgebaut ist: "Start der Botschaft" bezeichnet den Anfang der Botschaft, "Botschaftskennzeichnung" enthält den Identifier zur Unterscheidung der Botschaften, das "Kontrollfeld" enthält den Code für die Anzahl der Datenbytes im "Datenfeld", das "Datenfeld" enthält die zu übertragenden Daten, das "CRC-Feld" enthält ein Rahmensicherungswort zur Erkennung von Übertragungsstörungen, "Empfangsbestätigung" enthält ein Bestätigungssignal aller Empfänger, die die Botschaft fehlerfrei empfangen haben und "Ende der Botschaft" markiert das Ende der Botschaft.
Als Prüfdaten wird in diesem System die Fahrgestellnummer des Fahrzeugs verwendet, da diese aus Sicherheitsgründen auf den teilnehmenden Steuergeräten (1, 2, 3) bereits abgelegt ist. Die Verschlüsselung selbst erfolgt nach bekannten Verfahren. Diese können aus dem eingangs zitierten Stand der Technik entnommen werden.
Der Funktionstest wird von einem Steuergerät, beispielsweise Steuergerät 1, initiiert. Dazu werden von dem Steuergerät 1 die Prüfdaten verschlüsselt und an das Steuergerät 2 gesendet. Diese Botschaft wird nach dem Standard CAN-Protokoll unter anderem mit einem Kontrollfeld und einem CRC-Feld versehen.
Das Empfänger-Steuergerät 2 entschlüsselt den Inhalt der empfangenen Botschaft und sendet diese Daten unverschlüsselt an das ursprünglich sendende Steuergerät 1 zurück. Das Steuergerät 1 vergleicht den Inhalt dieser Botschaft mit den Prüfdaten.
Stimmen diese Daten überein, so ist davon auszugehen, dass sowohl Steuergerät 1 als auch Steuergerät 2 und die Kommunikationslinie korrekt funktionieren. Stimmen diese Daten nicht überein, muss an einer dieser drei Stellen ein Fehler vorliegen.
Beide Steuergeräte 1, 2 können einen Fehler in der Datenübertragung mittels der Standard-CAN-Protokoll-Funktionalität überprüfen. Hierzu wird von den Steuergeräten 1, 2 beim Senden bzw. Empfang der Botschaft eine Prüfung anhand des Kontroll- und CRC-Feldes vorgenommen. Anhand dieser Prüfung können die Steuergeräte 1, 2 feststellen ob ein Fehler in der Kommunikationslinie zwischen Steuergerät 1 und Steuergerät 2 vorliegt.
Das Steuergerät 1 überprüft seine korrekte Funktionalität indem es eine Referenzcodierung durchführt, das heißt die Prüfdaten verschlüsselt, wieder entschlüsselt und danach mit den Ausgangs-Prüfdaten vergleicht. Stimmen die Daten überein funktioniert Steuergerät 1 korrekt und der Fehler muss am Steuergerät 2 liegen. Damit hat das Steuergerät 1 seine eigene Funktionalität sowie die Funktionalität des Steuergeräts 2 überprüft.
Das Steuergerät 2 kann seine korrekte Funktionalität ebenfalls über eine Referenzcodierung überprüfen. Zudem kann das Steuergerät 2 die vom Steuergerät 1 gesendeten Daten entschlüsseln und mit den Prüfdaten vergleichen und so die Funktionalität von Steuergerät 1 überprüfen. Damit hat auch das Steuergerät 2 seine eigene Funktionalität und die Funktionalität eines weiteren Steuergeräts, hier Steuergerät 1, geprüft.
Das Verfahren läuft beim Funktionstest zwischen Softwaremodulen bzw. zwischen Softwaremodulen und Steuergeräten identisch ab.

Claims

1. Verfahren zum Funktionstest von Steuergeräten (1, 2, 3) und/oder Programmen, wobei
die Steuergeräte (1, 2, 3) und/oder Programme Daten mittels eines Datenbussystems (4) austauschen und
Prüfdaten existieren, die den am Funktionstest teilnehmenden Steuergeräten (1, 2, 3) und/oder Programmen bekannt sind, dadurch gekennzeichnet, dass
ein erstes Steuergerät (1) oder Programm die Prüfdaten ver- schlüsselt an ein zweites Steuergerät (2) oder Programm sendet,
das zweite Steuergerät (2) oder Programm diese Daten entschlüsselt und an das erste Steuergerät (1) oder Programm zurücksendet und
das erste Steuergerät (1) oder Programm diese empfangenen Daten mit den Prüfdaten vergleicht.

2. Verfahren zum Funktionstest von Steuergeräten (1, 2, 3) und/oder Programmen, wobei
die Steuergeräte (1, 2, 3) und/oder Programme Daten mittels eines Datenbussystems (4) austauschen und
Prüfdaten existieren, die den am Funktionstest teilnehmenden Steuergeräten (1, 2, 3) und/oder Programmen bekannt sind, dadurch gekennzeichnet, dass ein erstes Steuergerät (1) oder Programm die Prüfdaten verschlüsselt, wieder entschlüsselt und mit den Prüfdaten vergleicht, um seine korrekte Funktionalität festzustellen.

3. Verfahren zum Funktionstest von Steuergeräten (1, 2, 3) und/oder Programmen, wobei
die Steuergeräte (1, 2, 3) und/oder Programme Daten mittels eines Datenbussystems (4) austauschen und
Prüfdaten existieren, die den am Funktionstest teilnehmenden Steuergeräten (1, 2, 3) und/oder Programmen bekannt sind, dadurch gekennzeichnet, dass
ein erstes Steuergerät (1) oder Programm die Prüfdaten verschlüsselt an ein zweites Steuergerät (2) oder Programm sendet,
das zweite Steuergerät (2) oder Programm diese Daten entschlüsselt und mit den Prüfdaten vergleicht, um festzustellen, ob das zweite Steuergerät (2) oder Programm korrekt funktioniert.

4. Verfahren zum Funktionstest von Steuergeräten (1, 2, 3) und/oder Programmen, wobei
die Steuergeräte (1, 2, 3) und/oder Programme Daten mittels eines Datenbussystems (4) austauschen und
Prüfdaten existieren, die den am Funktionstest teilnehmenden Steuergeräten (1, 2, 3) und/oder Programmen bekannt sind, dadurch gekennzeichnet, dass
ein erstes Steuergerät (1) oder Programm die Prüfdaten verschlüsselt an ein zweites Steuergerät (2) oder Programm sendet,
das zweite Steuergerät (2) oder Programm die Prüfdaten verschlüsselt und mit den von dem ersten Steuergerät (1) oder Programm gesendeten verschlüsselten Daten vergleicht, um festzustellen ob das zweite Steuergerät (2) oder Programm korrekt funktioniert.