DE102007039809A1

DE102007039809A1 - Verfahren und Bordnetz zur Aktualisierung der Software in mindestens einem Steuergerät eines Kraftfahrzeugs mit einem USB-Speicherstick

Info

Publication number: DE102007039809A1
Application number: DE102007039809A
Authority: DE
Inventors: Sebastian Dr. Zimmermann; Burkhard Kuhls; Harry Knechtel; Andreas Mann
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2007-08-23
Filing date: 2007-08-23
Publication date: 2009-02-26

Abstract

Die Erfindung betrifft ein Verfahren zur Aktualisierung der Software in mindestens einem Steuergerät eines Kraftfahrzeugs unter Verwendung eines Datenspeichers, insbesondere ein Halbleiterspeicher, vorzugsweise ein USB-Speicher, der datentechnisch mit dem Kraftfahrzeug verbunden wird. Anstelle der Verwendung eines teuren Fahrzeugdiagnosesystems zur Aktualisierung der Software wird erfindungsgemäß vorgeschlagen, dass eine fahrzeugexterne Stelle, insbesondere der Fahrzeughersteller, unter Verwendung eines privaten Schlüssels eines Public-Key-Schlüsselpaars einen Datensatz signiert. Der signierte Datensatz wird in den Datenspeicher übertragen und dort gespeichert. Nach der Herstellung der datentechnischen Verbindung des Datenspeichers mit dem Fahrzeug wird der signierte Datensatz in einen sicheren Speicher eines im Fahrzeug vorgesehenen Empfängers übertragen. In dem sicheren Speicher wird der signierte Datensatz mit Hilfe des dort gespeicherten öffentlichen Schlüssels des Schlüsselpaars auf seine Authentizität hin überprüft. Ebenfalls in dem Datenspeicher gespeicherte Nutzdaten werden in das Fahrzeug übertragen. Die übertragenen Nutzdaten werden unter Verwendung des als authentisch geltenden signierten Datensatzes ebenfalls auf ihre Authentizität hin überprüft. Gelten auch die Nutzdaten als authentisch, werden die Nutzdaten zur Software-Aktualisierung verwendet.

Description

Die Erfindung betrifft ein Verfahren zur Aktualisierung der Software in mindestens einem Steuergerät eines Kraftfahrzeugs unter Verwendung eines Datenspeichers gemäß dem Oberbegriff des Anspruchs 1.
Bei einem bekannten Verfahren zur Aktualisierung der Steuergeräte-Software in einem Kraftfahrzeug muss dieses in die Werkstatt gebracht und dort mit einem Diagnose-Tester datentechnisch verbunden werden. Dies ist aufwändig und die Bereitstellung eines Diagnose-Testers für die Zeitdauer der Aktualisierung der Software der Steuergeräte ist teuer.
Aufgabe der vorliegenden Erfindung ist es, das bekannte Verfahren zu verbessern.
Diese Aufgabe wird insbesondere durch die Gesamtheit der Merkmale des Anspruchs 1 gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand der abhängigen Patentansprüche.
Bei dem erfindungsgemäßen Verfahren zur Aktualisierung der Software in mindestens einem Steuergerät eines Kraftfahrzeugs unter Verwendung eines Datenspeichers, der datentechnisch mit dem Kraftfahrzeug verbunden wird, ist vorgesehen, dass eine fahrzeugexterne Stelle, insbesondere der Fahrzeughersteller, unter Verwendung eines privaten Schlüssel eines Public-Key-Schlüsselpaars einen Datensatz signiert. Der signierte Datensatz wird in den Datenspeicher übertragen und dort gespeichert. Nach der Herstellung der datentechnischen Verbindung des Datenspeichers mit dem Fahrzeug wird der signierte Datensatz in einen sicheren Speicher eines im Fahrzeug vorgesehenen Empfängers übertragen. In dem sicheren Speicher wird der signierte Datensatz mit Hilfe des dort gespeicherten öffentlichen Schlüssels des Schlüsselpaars auf seine Authentizität hin überprüft. Ebenfalls in dem Datenspeicher gespeicherte Nutzdaten werden in das Fahrzeug übertragen und die übertragenen Nutzdaten werden unter Verwendung des als authentisch geltenden signierten Datensatzes ebenfalls auf ihre Authentizität hin überprüft. Gelten auch die Nutzdaten als authentisch, werden die Nutzdaten zur Software-Aktualisierung verwendet.
Bei dem Datenspeicher handelt es sich bevorzugt um einen Halbleiterspeicher, vorzugsweise um einen USB-Speicher, oder um einen optischen Datenspeicher, wie eine CD-ROM oder DVD.
Der private Schlüssel ist bei dem erfindungsgemäßen Verfahren bei einer fahrzeugexternen Stelle, insbesondere beim Fahrzeughersteller, gespeichert. Hier kann er ohne großen Aufwand sicher aufbewahrt werden. Der bei dem erfindungsgemäßen Verfahren verwendbare Datenspeicher ist preisgünstig verfügbar; aktive Komponenten zur Ver- oder Entschlüsselung oder ein sicherer Speicherbereich in dem Datenspeicher sind nicht erforderlich. Die erfindungsgemäße Kopplung zwischen Authentisierung und Nutzdaten macht das erfindungsgemäße Verfahren sehr sicher.
Bei einer bevorzugten Ausführungsform der Erfindung ist vorgesehen, dass die Nutzdaten ebenfalls signiert sind. Dies steigert die Sicherheit gegen das Einschleusen von verfälschter Software in ein Steuergerät eines Kraftfahrzeugs zusätzlich.
Bei einer Ausführungsform der Erfindung ist vorgesehen, dass die Nutzdaten eine erste Referenz auf den signierten Datensatz aufweisen. Durch diese Referenzierung wird das Einschleusen von verfälschter bzw. manipulierender Software verhindert.
Bei einer Ausgestaltung der Erfindung ist vorgesehen, dass der signierte Datensatz eine zweite Referenz auf die Nutzdaten aufweist. Durch diese zusätzliche Referenzierung wird die Sicherheit gegen das Einspielen von verfälschter Software in die Steuergeräte eines Fahrzeugs zusätzlich erhöht.
Bei einer bevorzugten Ausführungsform der Erfindung ist vorgesehen, dass der sichere Speicher im Empfänger ein Bereich des Empfängers ist, in dem Software-Code nicht ausgeführt werden kann. Hierdurch wird verhindert, dass eine Verfälschung oder eine manipulierende (aktive) Einflussnahme auf den signierten Datensatz oder auf die Überprüfung von dessen Authentizität mit Hilfe des öffentlichen Schlüssels vorgenommen werden kann.
Bei einer Ausführungsform der Erfindung ist vorgesehen, dass die Nutzdaten erst dann in den Empfänger übertragen werden können, wenn der signierte Datensatz auf der Basis des im Empfänger gespeicherten öffentlichen Schlüssels als authentisch verifiziert worden ist. Hierdurch werden Manipulationen zusätzlich erschwert.
Bei einer Ausgestaltung der Erfindung ist vorgesehen, dass der öffentliche Schlüssel im Empfänger gegen Verfälschung oder Austausch gesichert gespeichert ist. Auch hierdurch werden Manipulationen erschwert.
Bei einer Ausführungsform der Erfindung ist vorgesehen, dass der Empfänger ein Steuergerät des Fahrzeugs ist, das einen Krypto-Schaltkreis zur Durchführung einer oder mehrerer der vorgenannten Authentisierungsprüfungen aufweist. Hierdurch wird eine zusätzliche Verbesserung der Manipulationssicherheit erreicht.
Schließlich ermöglicht die Erfindung ein vorteilhaftes Bordnetz, indem dieses das erfindungsgemäße Verfahren verwendet.

Claims

Verfahren zur Aktualisierung der Software in mindestens einem Steuergerät eines Kraftfahrzeugs unter Verwendung eines Datenspeichers, insbesondere ein Halbleiterspeicher, vorzugsweise ein USB-Speicher, der datentechnisch mit dem Kraftfahrzeug verbunden wird, dadurch gekennzeichnet, dass – eine fahrzeugexterne Stelle, insbesondere der Fahrzeughersteller, unter Verwendung eines privaten Schlüssel eines Public-Key-Schlüsselpaars einen Datensatz signiert, – der signierte Datensatz wird in den Datenspeicher übertragen und dort gespeichert, – nach der Herstellung der datentechnischen Verbindung des Datenspeichers mit dem Fahrzeug wird der signierte Datensatz in einen sicheren Speicher eines im Fahrzeug vorgesehenen Empfängers übertragen, – in dem sicheren Speicher wird der signierte Datensatz mit Hilfe des dort gespeicherten öffentlichen Schlüssels des Schlüsselpaars auf seine Authentizität hin überprüft, – ebenfalls in dem Datenspeicher gespeicherte Nutzdaten werden in das Fahrzeug übertragen, – die übertragenen Nutzdaten werden unter Verwendung des als authentisch geltenden signierten Datensatzes ebenfalls auf ihre Authentizität hin überprüft, – gelten auch die Nutzdaten als authentisch, werden die Nutzdaten zur Software-Aktualisierung verwendet.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Nutzdaten ebenfalls signiert sind.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Nutzdaten eine erste Referenz auf den signierten Datensatz aufweisen.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass der signierte Datensatz eine zweite Referenz auf die Nutzdaten aufweist.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass der sichere Speicher im Empfänger ein Bereich des Empfängers ist, in dem Software-Code nicht ausgeführt werden kann.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass die Nutzdaten erst dann in den Empfänger übertragen werden können, wenn der signierte Datensatz auf der Basis des im Empfänger gespeicherten öffentlichen Schlüssels als authentisch verifiziert worden ist.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass der öffentliche Schlüssel im Empfänger gegen Verfälschung oder Austausch gesichert gespeichert ist.
Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass der Empfänger ein Steuergerät des Fahrzeugs ist, das einen Krypto-Schaltkreis zur Durchführung einer oder mehrerer der vorgenannten Authentisierungsprüfungen aufweist.
Bordnetz eines Kraftfahrzeugs, dadurch gekennzeichnet, dass das Bordnetz ein Verfahren nach einem der vorstehenden Ansprüche ausführt.