DE102011077409A1

DE102011077409A1 - Verbindungsknoten für ein Kommunikationsnetz

Info

Publication number: DE102011077409A1
Application number: DE102011077409A
Authority: DE
Inventors: Jürgen Likkei
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2011-06-10
Filing date: 2011-06-10
Publication date: 2012-12-13
Also published as: CN103583019A; CN103583019B; EP2719127A2; KR101879014B1; US10044564B2; WO2012167995A2; US20140185463A1; WO2012167995A3; JP2014520441A; KR20140031303A

Abstract

Es wird ein Verbindungsknoten (10) für ein Kommunikationsnetz (18) beschrieben, insbesondere zur Verbindung eines Netzelements (14) des Kommunikationsnetzes (18) mit dem Kommunikationsnetz (18), wobei der Verbindungsknoten (10) eine erste Schnittstelle (12) zum Anschluss des Netzelements (14) an den Verbindungsknoten (10) und eine zweite Schnittstelle (16) zum Anschluss des Verbindungsknotens (10) an das Kommunikationsnetz (18) aufweist, wobei der Verbindungsknoten (10) dazu ausgebildet ist, einen Datenaustausch zwischen dem Kommunikationsnetz (18) und dem Netzelement (14) über die erste und zweite Schnittstelle (12, 16) zu ermöglichen, und wobei der Verbindungsknoten (10) dazu ausgebildet ist zwischen dem Kommunikationsnetz (18) und dem Netzelement (14) ausgetauschte Daten (25) zu lesen und/oder zu verändern und/oder zu sperren.

Description

Stand der Technik
Die Erfindung betrifft einen Verbindungsknoten nach dem Oberbegriff des Anspruchs 1, sowie eine Steuereinheit, ein Kommunikationsnetz und ein Verfahren nach den nebengeordneten Patentansprüchen.
Von modernen Kraftfahrzeugen sind Bussysteme bekannt, welche eine Vielzahl von elektrischen Einheiten miteinander verbinden. Um die Verfügbarkeit dieser Bussysteme zu verbessern, sind verschiedene Systeme von Buswächtern und/oder von software-basierten Lösungen bekannt.
Offenbarung der Erfindung
Das der Erfindung zugrunde liegende Problem wird durch einen Verbindungsknoten nach Anspruch 1 sowie durch eine Steuereinheit, ein Kommunikationsnetz und ein Verfahren nach den nebengeordneten Ansprüchen gelöst. Vorteilhafte Weiterbildungen sind in den Unteransprüchen angegeben.
Die Erfindung betrifft einen Verbindungsknoten für ein Kommunikationsnetz, wobei der Verbindungsknoten ein Netzelement des Kommunikationsnetzes mit dem Kommunikationsnetz verbindet. Insbesondere kann es sich hierbei um ein Bussystem eines Kraftfahrzeugs handeln. Der erfindungsgemäße Verbindungsknoten weist eine erste Schnittstelle zum Anschluss des Netzelements an den Verbindungsknoten und eine zweite Schnittstelle zum Anschluss des Verbindungsknotens an das Kommunikationsnetz auf. Der Verbindungsknoten ist dazu ausgebildet, einen Datenaustausch zwischen dem Kommunikationsnetz und dem Netzelement über die erste und zweite Schnittstelle zu ermöglichen. Dazu weist der Verbindungsknoten Einrichtungen auf, um zwischen dem Kommunikationsnetz und dem Netzelement ausgetauschte Daten zu lesen und/oder zu verändern und/oder zu sperren. Dieser Datenaustausch kann bidirektional oder unidirektional erfolgen. Bei einem als fehlerfrei bewerteten Bussystem bzw. Netzelement reicht der erfindungsgemäße Verbindungsknoten die über ihn ausgetauschten Daten im Allgemeinen völlig unverändert ("transparent") weiter. Somit ist es auch nicht erforderlich, den erfindungsgemäßen Verbindungsknoten beispielsweise mittels einer elektronischen Kennung oder Identität in das zu schützende Kommunikationsnetz zu integrieren. Der Verbindungsknoten kann seine Funktionen vielmehr "unsichtbar" für die Netzelemente durchführen, und schützt das Kommunikationsnetz insbesondere vor Gefährdungen, welche innerhalb des Kommunikationsnetzes entstehen. Die Verbindungsknoten wirken sozusagen als in dem Kommunikationsnetz verteilte "Mini-Firewalls".
Zur Durchführung der erfindungsgemäßen Funktion kann der Verbindungsknoten unter anderem auch ein Zeitverhalten des jeweils zugehörigen Netzelements überwachen, beispielsweise kann eine Anzahl von Nachrichten je Zeiteinheit ermittelt und mit einer Vorgabe verglichen werden. Ergänzend ist es möglich, eine Wartezeit des Netzelements zu ermitteln und/oder zu erzwingen, das heißt, eine Zeitspanne zwischen einer Initialisierung des Kommunikationsnetzes und einem Absenden einer ersten Nachricht durch das Netzelement.
Der Verbindungsknoten kann zu beliebigen Teilen als elektronische Schaltung oder mittels eines Computerprogramms ausgeführt sein. Beispielsweise kann der Verbindungsknoten zumindest teilweise als so genanntes "ASIC" (anwendungsspezifische integrierte Schaltung) oder als "FPGA" (frei programmierbare integrierte Schaltung) ausgeführt sein.
Weiterhin kann der Verbindungsknoten so ausgebildet sein, dass er das zugehörige Netzelement selbsttätig authentifiziert, beispielsweise mit einem so genannten "PUF-Verfahren" ("physical unclonable function"). Darüber hinaus kann der erfindungsgemäße Verbindungsknoten die Energieversorgungsleitung des Kommunikationsnetzes überwachen und Störungen gegebenenfalls an die Steuereinheit melden.
Das Kommunikationsnetz bzw. das Bussystem kann nahezu beliebig ausgeführt sein, beispielsweise als serieller oder als paralleler Bus, oder als optisches Netzwerk. Die durch das Kommunikationsnetz hergestellten Verbindungen können ebenfalls in vielgestaltiger Weise ausgeführt sein. Beispielsweise kann das Kommunikationsnetz eine einfache lineare bzw. Linienstruktur aufweisen, wobei längs der Linie zwei oder mehrere Verbindungsknoten, welche sozusagen die Teilnehmer des Kommunikationsnetzes darstellen, angeschlossen sind. Ebenso kann das Kommunikationsnetz verzweigt oder sternförmig angeordnet sein, oder es kann zumindest teilweise eine Ringstruktur umfassen.
Der erfindungsgemäße Verbindungsknoten kann ergänzend zu und unabhängig von sonstigen Überwachungseinrichtungen des Kommunikationsnetzes betrieben werden und weist den Vorteil auf, dass er ein Kommunikationsnetz, insbesondere ein Bussystem eines Kraftfahrzeugs, besonders gut schützen kann. Dadurch ist es möglich, die Verfügbarkeit des Kommunikationsnetzes zu erhöhen. Beispielsweise kann das Kommunikationsnetz gegen böswillige Manipulationen oder eine fehlerhafte Dauerbelegung eines oder mehrerer Netzelemente geschützt werden, oder es kann ein Verschicken von nicht-autorisierten Nachrichten durch modifizierte bzw. sabotierte Netzelemente verhindert werden. Darüber hinaus kann das Kommunikationsnetz auch gegen ein sonstiges Fehlverhalten eines Netzelements überwacht und gegebenenfalls geschützt werden. Die durch die Erfindung bewirkte dezentrale Schutzfunktion kann "echtzeitfähig" ausgeführt werden, und beispielsweise ohne eine wesentliche zusätzliche Verzögerung den zu überwachenden Datenaustausch verändern oder sperren. Weiterhin kann die Erfindung auch auf Teilnetze eines Kommunikationsnetzes angewendet werden, wobei sich entsprechende Vorteile ergeben.
Der erfindungsgemäße Verbindungsknoten ist jeweils dezentral zwischen dem Kommunikationsnetz und dem jeweils daran angeschlossenen Netzelement angeordnet, und kann somit den Datenaustausch unabhängig von dem angeschlossen Netzelement überwachen. Weiterhin kann der Verbindungsknoten unabhängig von anderen Verbindungsknoten des Kommunikationsnetzes betrieben werden, und kann sowohl abhängig als auch unabhängig von der übergeordneten Steuereinheit betrieben werden. Somit kann der Verbindungsknoten fest konfiguriert sein oder im laufenden Betrieb von der Steuereinheit flexibel umkonfiguriert werden. Auch ein verschlüsselter Datenaustausch mit der Steuereinheit ist möglich. Der Anwendungsbereich der Erfindung ist somit in vergleichsweise weiten Grenzen "skalierbar". Weiterhin wird mittels des Verbindungsknotens eine dynamische Konfiguration des Kommunikationsnetzes während des laufenden Betriebs ermöglicht, indem zwischen verschiedenen Betriebsmoden des Kommunikationsnetzes gewechselt werden kann. Zudem ermöglicht es die Erfindung, das Kommunikationsnetz bei Bedarf in einem als "degraded mode" bezeichneten Betriebsmodus zu betreiben oder einen exklusiven Kommunikationskanal für ein Teilnetz des Kommunikationsnetzes zu realisieren. Weiterhin kann die Erfindung besonders kostengünstig ausgeführt werden, u.a. weil bestehende Netzelemente nicht modifiziert werden müssen.
Insbesondere ist vorgesehen, dass der Verbindungsknoten eine dritte Schnittstelle zum Anschluss an die den Verbindungsknoten steuernde Steuereinheit aufweist. Erfindungsgemäß wird unter einer "Steuerung" verstanden, dass ein Datenaustausch zwischen der Steuereinheit und dem Verbindungsknoten derart erfolgt, dass beide Elemente miteinander kommunizieren können, und/oder dass der Verbindungsknoten von der Steuereinheit zu Betriebsbeginn initialisiert bzw. im laufenden Betrieb konfiguriert werden kann. Während dieser Initialisierung bzw. Konfiguration kann der Verbindungsknoten das zugehörige Netzelement bei Bedarf vorübergehend von dem Kommunikationsnetz trennen. Werden von dem Verbindungsknoten Störungen des zugehörigen Netzelements und/oder des Kommunikationsnetzes erkannt, so kann der Verbindungsknoten über die dritte Schnittstelle eine entsprechende Nachricht an die Steuereinheit senden, welche unter anderem einen Fehlerkode oder eine Geräte-Identität umfassen kann. Vorzugsweise ist die dritte Schnittstelle logisch und/oder physisch von dem Kommunikationsnetz bzw. von den über das Kommunikationsnetz übertragenen Daten getrennt.
Mittels der dritten Schnittstelle kann der Verbindungsknoten über einen getrennten Kanal unabhängig von einem Zustand des Kommunikationsnetzes gesteuert werden bzw. kommunizieren. Somit wirkt der erfindungsgemäße Verbindungsknoten unabhängig von dem zu überwachenden Objekt. Dies ist gerade in einem Fehlerfall sehr von Vorteil. Alternativ oder ergänzend kann der Verbindungsknoten jedoch auch über das Kommunikationsnetz selbst gesteuert werden. Dazu kann der getrennte Kanal – beispielsweise mittels "frequency-division multiple access", FDMA, oder einer vergleichbaren Technik – die physischen Leitungen des Kommunikationsnetzes nutzen. Dadurch wird eine zusätzliche Sicherheitsfunktion geschaffen und letztlich die Verfügbarkeit des Kommunikationsnetzes nochmals erhöht.
Besonders vorteilhaft ist es, dass der erfindungsgemäße Verbindungsknoten von dem Kommunikationsnetz und von dem Netzelement baulich und/oder elektrisch unabhängig ausgeführt ist. Dadurch können eventuelle Störungen des Netzelements nicht die Funktion des Verbindungsknotens beeinträchtigen.
Weiterhin kann der erfindungsgemäße Verbindungsknoten dazu ausgebildet sein, Daten einer OSI-2-Schicht, und/oder einer OSI-3-Schicht und/oder einer OSI-7-Schicht zu lesen und/oder zu verändern und/oder zu sperren. Die Abkürzung "OSI" steht für "open systems interconnection" und betrifft ein Schichtenmodell der Internationalen Organisation für Normung (ISO), das als Grundlage für verschiedene Kommunikationsprotokolle entwickelt wurde. Der Verbindungsknoten kann somit vergleichsweise "tief" in die über ihn ausgetauschten Daten eingreifen und somit eine entsprechend gründliche Überwachung des Kommunikationsnetzes durchführen.
Insbesondere ist vorgesehen, dass der erfindungsgemäße Verbindungsknoten dazu ausgebildet ist, wenigstens eine der folgenden Funktionen durchzuführen:

– lesen und auswerten von die ausgetauschten Daten begleitenden Zusatzinformationen, insbesondere einer CAN-Identität oder einer Ethernet- und/oder IP-Adresse und/oder einer MAC(media access control)-Adresse;
– ermitteln, bewerten und/oder verändern einer den Austausch der Daten beschreibenden Kommunikationsstruktur, insbesondere einer Richtung des Datenflusses in Bezug auf das Netzelement;
– ermitteln eines Zustands und/oder eines Verhaltens des Netzelements in Bezug auf die mit dem Kommunikationsnetz ausgetauschten Daten;
– vergleichen der ausgetauschten Daten und/oder des Zustands und/oder des Verhaltens des Netzelements mit vorgegebenen Daten bzw. einem vorgegebenen Zustand bzw. einem vorgegebenen Verhalten;
– bewerten der ausgetauschten Daten und/oder des Zustands und/oder des Verhaltens des Netzelements;
– verändern und/oder sperren von Daten, insbesondere von Daten, welche von einer Vorgabe abweichen;
– ergänzen von Daten, welche von dem Netzelement gesendet werden und eine bestimmte CAN-Identität oder Ethernet- und/oder IP-Adresse aufweisen, mit einer Signatur, insbesondere nach einem HMAC-Verfahren (keyed-hash message authentication code);
– prüfen einer bzw. der Signatur von über das Kommunikationsnetz empfangenen Daten; und/oder
– weiterleiten der empfangenen Daten an das Netzelement, nachdem die Signatur als korrekt erkannt wurde.

Damit wird eine Vielzahl vorteilhafter Eigenschaften oder Funktionen des Verbindungsknotens beschrieben, mit denen er das Kommunikationsnetz besonders gut schützen und die Verfügbarkeit entsprechend erhöhen kann.
Eine Ausgestaltung der Erfindung sieht vor, dass der Verbindungsknoten dazu ausgebildet ist, Steuerbefehle von der Steuereinheit alternativ oder ergänzend zu der dritten Schnittstelle über das Kommunikationsnetz zu empfangen. Auf diese Weise kann die Steuerung des mindestens einen Verbindungsknotens in dem Kommunikationsnetz redundant und somit besonders sicher durchgeführt werden.
Entsprechend einer weiteren vorteilhaften Ausgestaltung ist der Verbindungsknoten dazu ausgebildet, gelesene Daten oder daraus abgeleitete Informationen zu protokollieren. Somit können die über den Verbindungsknoten ausgetauschten Daten gelesen, verknüpft, mit Vorgaben ("Filtermustern") verglichen und bewertet werden. Die derart ermittelten Ergebnisse können lokal in dem Verbindungsknoten gespeichert werden, und/oder an übergeordnete Elemente des Kommunikationsnetzes, insbesondere an die Steuereinheit, übermittelt werden. Dort können die Ergebnisse ergänzend verknüpft, mit Vorgaben verglichen, ausgewertet und/oder gespeichert werden. Weiterhin kann aufgrund der Ergebnisse ein Protokoll ("Logging") oder eine Fehlermeldung von dem Verbindungsknoten an die Steuereinheit bzw. von der Steuereinheit an eine Steuer- und/oder Regeleinrichtung des Kraftfahrzeugs übermittelt werden. Sogar eine akustische oder optische Information an den Fahrer des Kraftfahrzeugs ist möglich. Fahrzeugsicherheitskritische Busnachrichten können signiert werden, wodurch die Daten-Authentizität erhöht und eine sichere Protokollierung (Logging) durch einen dedizierten Busteilnehmer oder die Steuereinheit ermöglicht wird.
Besonders vorteilhaft ist es, den Verbindungsknoten in einem Kabelbaum des Kommunikationsnetzes oder in einem Steckverbinder des Kabelbaums des Kommunikationsnetzes anzuordnen. Beispielsweise kann der Verbindungsknoten in einem Stecker bzw. in einer Buchse des Kabelbaums oder als Steckdosenadapter dazwischen angeordnet sein. Dadurch wird Bauraum gespart und die Anordnung des Verbindungsknotens vereinfacht. Wie bereits erwähnt, reicht bei einem als fehlerfrei bewerteten Bussystem bzw. Netzelement der erfindungsgemäße Verbindungsknoten die über ihn ausgetauschten Daten im Allgemeinen völlig unverändert ("transparent") weiter.
In einer weiteren Ausgestaltung der Erfindung kann der Verbindungsknoten alternativ mit dem Netzelement baulich vereint sein. Dabei ist der Verbindungsknoten jedoch funktional und in Bezug auf die elektrische Spannungsversorgung unabhängig von dem Netzelement ausgeführt. Insbesondere ist auch die dritte Schnittstelle zum Anschluss an die Steuereinheit unabhängig von dem Netzelement ausgeführt. Wegen der dadurch erreichten räumlichen Nähe kann die erste Schnittstelle zum Anschluss des Netzelements an den Verbindungsknoten beiderseits ohne eine aufwändige elektrische Schaltung ("physical layer") ausgeführt sein. Dadurch können erhebliche Kosten gespart werden. Dabei ist es nicht zwingend erforderlich, die dritte Schnittstelle als einen getrennten Anschluss an dem Verbindungsknoten auszubilden, wenn der Verbindungsknoten physisch über das Kommunikationsnetz mit der Steuereinheit kommuniziert.
Weiterhin betrifft die Erfindung eine Steuereinheit für ein Kommunikationsnetz, welche dazu ausgebildet ist, mit mindestens einem Verbindungsknoten zu kommunizieren und/oder den mindestens einen Verbindungsknoten zu steuern. Die Steuereinheit stellt eine übergeordnete Einheit dar, mittels derer die Funktionen der in dem Kommunikationsnetz verteilt angeordneten Verbindungsknoten aufeinander abstimmt werden. Dadurch kann die Struktur des Kommunikationsnetzes insgesamt überwacht und gegebenenfalls koordiniert verändert werden, um auch in einem Fehlerfall einen bestmöglichen Betrieb des Kommunikationsnetzes zu erreichen. Dies kann beispielsweise durch eine Umkonfiguration oder Neu-Initialisierung der Verbindungsknoten und/oder der Netzelemente erfolgen. Weiterhin kann die Steuereinheit mit sonstigen Steuergeräten kommunizieren oder bei Bedarf selbsttätig Meldungen an die Instrumententafel oder dergleichen abgeben.
Ergänzend ist vorgesehen, dass die Steuereinheit die Kommunikation mit dem mindestens einen Verbindungsknoten und/oder die Steuerung zumindest teilweise verschlüsselt und/oder mittels einer Signierung durchführt. Dadurch wird die Funktion der erfindungsgemäßen Verbindungsknoten zusätzlich abgesichert und beispielsweise auch vor böswilligen Manipulationen geschützt.
Eine weitere Ausgestaltung der Erfindung sieht vor, dass die Steuereinheit dazu ausgebildet ist, den mindestens einen Verbindungsknoten über einen von dem Kommunikationsnetz getrennten Kanal und/oder über das Kommunikationsnetz zu steuern, bzw. über diese Verbindungen mit dem mindestens einen Verbindungsknoten zu kommunizieren. Durch den getrennten Kanal, welcher an die besagte dritte Schnittstelle der jeweiligen Verbindungsknoten angeschlossen ist, wird eine bevorzugte und besonders einfache und sichere Kommunikation zwischen der Steuereinheit und den Verbindungsknoten ermöglicht. Insbesondere wird der Datenaustausch über das Kommunikationsnetz nicht verändert und eventuelle Unterbrechungen oder Kurzschlüsse des Kommunikationsnetzes können die Kommunikation zwischen der Steuereinheit und den Verbindungsknoten nicht beeinträchtigen. Der getrennte Kanal kann linienförmig, sternförmig oder ringförmig ausgebildet sein. Der Kanal kann gegebenenfalls auch baulich in den Kabelbaum des Kommunikationsnetzes integriert sein und/oder dieselben physischen Leitungen nutzen und dabei mittels eines FDMA-Verfahrens entkoppelt sein.
Weiterhin betrifft die Erfindung ein Kommunikationsnetz, insbesondere ein Bussystem eines Kraftfahrzeugs, welches mindestens zwei Netzelemente miteinander verbindet, wobei mindestens ein Netzelement über einen erfindungsgemäßen Verbindungsknoten an das Kommunikationsnetz angeschlossen ist. Beispielsweise kann das Kommunikationsnetz ein CAN-Bus-System eines Kraftfahrzeugs sein. Die Erfindung kann die Verfügbarkeit des Kommunikationsnetzes erhöhen und somit die Fahrsicherheit des Kraftfahrzeugs verbessern.
Das erfindungsgemäße Kommunikationsnetz kann derart ausgerüstet sein, dass der mindestens eine Verbindungsknoten ergänzend zu einer in einem Netzelement angeordneten Überwachung in dem Kommunikationsnetz angeordnet ist. Aufgrund der oben beschriebenen Eigenschaften des mindestens einen Verbindungsknotens und der Steuereinheit werden sonstige Buswächter, beispielsweise ein "Bus-Guardian" eines "Flex-Ray" Systems nicht beeinträchtigt. Somit kann die Verfügbarkeit des Kommunikationsnetzes insgesamt weiter erhöht werden. Dabei wird zusätzlich Schutz gegen eine absichtliche maliziöse Manipulation des Netzelements erreicht.
Das erfindungsgemäße Kommunikationsnetz ist bevorzugt dazu ausgebildet, asynchrone und/oder undeterministische Protokolle zu bearbeiten, insbesondere so genannte CSMA-Protokolle in einem CAN-Bussystem oder in einem Ethernet/IP-System. "CSMA" steht für englisch "Carrier Sense Multiple Access" und bezeichnet ein dezentrales Verfahren zum Erlangen von Zugriffsrechten in der Telekommunikation und ähnlichen Netzen. "CAN" bedeutet englisch "Controller Area Network" und bezeichnet ein in der Automobilelektronik und der Automatisierungstechnik verwendetes Bussystem.
Weiterhin betrifft die Erfindung ein Verfahren zum Betreiben eines Kommunikationsnetzes, in welchem unter Verwendung einer Steuereinheit und eines unabhängigen Kanals und mindestens eines Verbindungsknotens Daten zwischen dem Kommunikationsnetz und mindestens einem Netzelement gelesen und/oder verändert und/oder gesperrt werden.
Insbesondere ist für das erfindungsgemäße Verfahren vorgesehen, dass bei einer Störung und/oder einer Überlastung des Kommunikationsnetzes eine Kommunikationsstruktur des Kommunikationsnetzes verändert wird, indem die Steuereinheit den mindestens einen Verbindungsknoten steuert. Dadurch kann die Struktur des Kommunikationsnetzes – beispielsweise als dynamische Reaktion auf Überlastungen oder andere Störungen im Netz – koordiniert verändert werden. Insbesondere können weniger wichtige Busnachrichten verworfen und/oder weniger wichtige sendende Netzelemente vom Kommunikationsnetz getrennt werden. Gegebenenfalls kann – beispielsweise unter Verwendung des getrennten Kanals – auch ein exklusiver Kommunikationskanal für ein Teilnetz geschaffen werden.
Für die Erfindung wichtige Merkmale finden sich ferner in den nachfolgenden Zeichnungen, wobei die Merkmale sowohl in Alleinstellung als auch in unterschiedlichen Kombinationen für die Erfindung wichtig sein können, ohne dass hierauf nochmals explizit hingewiesen wird.
Nachfolgend werden beispielhafte Ausführungsformen der Erfindung unter Bezugnahme auf die Zeichnung erläutert. In der Zeichnung zeigen:
1 eine Blockschaltung eines Verbindungsknotens;
2 eine Ausführungsform eines erfindungsgemäßen Kommunikationsnetzes; und
3 ein Flussdiagramm zur Durchführung eines Verfahrens zum Betreiben des Kommunikationsnetzes.
Es werden für funktionsäquivalente Elemente und Größen in allen Figuren auch bei unterschiedlichen Ausführungsformen die gleichen Bezugszeichen verwendet.
1 zeigt einen erfindungsgemäßen Verbindungsknoten 10 in einer Blockdarstellung. Der Verbindungsknoten 10 weist eine erste Schnittstelle 12 zum Anschluss an ein Netzelement 14 (siehe 2) auf, und weist eine zweite Schnittstelle 16 zum Anschluss des Verbindungsknotens 10 an ein Kommunikationsnetz 18 (siehe 2) auf. Weiterhin weist der Verbindungsknoten 10 eine dritte Schnittstelle 20 zum Anschluss an eine den Verbindungsknoten 10 steuernde Steuereinheit 22 (siehe 2) auf. Der Verbindungsknoten 10 ist bei einer bevorzugten Ausführungsform im Wesentlichen symmetrisch zu der ersten und der zweiten Schnittstelle 12 und 16 ausgeführt.
Der Verbindungsknoten 10 umfasst einen bidirektionalen Datenpfad 24 zwischen der ersten Schnittstelle 12 und der zweiten Schnittstelle 16, wobei der Datenpfad 24 mittels zweier Schalter 26 und 28 auftrennbar ist. Über den Datenpfad 24 werden Daten 25 zwischen der ersten Schnittstelle 12 und der zweiten Schnittstelle 16 ausgetauscht. Vorliegend sind die erste und die zweite Schnittstelle 12 und 16 elektrisch ausgeführt, eine optische Ausführung ist jedoch ebenso möglich. Eine Schaltung 30 umfasst weitere Einrichtungen des Verbindungsknotens 10, unter anderem einen Speicher 32. Mittels Datenleitungen 34, 36 und 38 ist die Schaltung 30 an geeigneten Stellen mit dem Datenpfad 24 verbunden. Eine bidirektionale Steuerleitung 40 verbindet die Schaltung 30 mit der dritten Schnittstelle 20.
Der Verbindungsknoten 10 ist vorzugsweise dicht an dem ihm zugehörigen Netzelement 14 angeordnet, jedoch von dem Netzelement 14 unabhängig ausgeführt. Somit ist der Verbindungsknoten 10 von dem Netzelement 14 baulich getrennt und weist ebenso eine von dem Netzelement 14 unabhängige Spannungsversorgung auf. Letzteres gilt auch bei einer Anordnung des Verbindungsknotens 10 als bauliche Einheit mit dem Netzelement 14.
In einer ersten Ausführungsform ist der Verbindungsknoten 10 nicht an die Steuereinheit 22 angeschlossen und arbeitet somit selbsttätig. Dazu wurden in dem Speicher 32 bei der Herstellung des Verbindungsknotens 10 und/oder bei einer Inbetriebnahme des Kommunikationsnetzes 18 Daten zur Konfiguration des Verbindungsknotens 10 abgespeichert. Mit diesen Daten ist die Arbeitsweise des Verbindungsknotens 10 vorgegeben.
In einer weiteren Ausführungsform ist der Verbindungsknoten 10 mit der Steuereinheit 22 verbunden und kann durch die Steuereinheit 22 gesteuert werden, das heißt, der Verbindungsknoten 10 kann mit der Steuereinheit 22 kommunizieren bzw. durch die Steuereinheit 22 initialisiert und/oder konfiguriert werden. Dies erfolgt beispielsweise mittels eines bidirektionalen Datenverkehrs zwischen dem Verbindungsknoten 10 und der Steuereinheit 22. Vorzugsweise erfolgt diese Verbindung über die dritte Schnittstelle 20 und über einen von dem Kommunikationsnetz 18 getrennten, also unabhängigen Kanal 42 (siehe 2).
Ergänzend oder alternativ ist der Verbindungsknoten 10 nicht mittels der dritten Schnittstelle 20 mit der Steuereinheit 22 verbunden, sondern über das Kommunikationsnetz 18. Dadurch ist der getrennte Kanal 42 zwischen dem Verbindungsknoten 10 und der Steuereinheit 22 nicht erforderlich.
Im normalen Betrieb des Verbindungsknotens 10 sind die Schalter 26 und 28 geschlossen, das heißt, der Datenpfad 24 ist zwischen der ersten Schnittstelle 12 und der zwischen Schnittstelle 16 geschaltet. Die Datenübertragung zwischen der ersten Schnittstelle 12 und der zwischen Schnittstelle 16 erfolgt somit unverändert ("transparent"). Gegebenenfalls umfasst der Verbindungsknoten 10 einen oder mehrere Verstärker, Pegelumsetzer, Mittel zur Impulsformung, Schieberegister oder dergleichen, um die über die Schnittstellen 12 und 16 ausgetauschten bidirektionalen Signale möglichst korrekt durchzureichen. Diese Elemente sind in der 1 jedoch nicht mit dargestellt.
Die Schaltung 30 kann die an den Schnittstellen 12 und 16 ausgetauschten Daten 25 mittels Datenleitungen 34 und 36 lesen und fortlaufend mit in dem Speicher 32 gespeicherten Vorgaben vergleichen und bewerten. Insbesondere können die Daten 25 begleitende Zusatzinformationen, wie etwa eine CAN-Identität oder einen Ethernet-(z.B. MAC) und/oder IP-Adresse, gelesen, verglichen und bewertet werden. Daraus kann ein Zustand und/oder ein Verhalten des angeschlossenen Netzelements 14 ermittelt werden. In Abhängigkeit des Vergleichs bzw. der Bewertung können die Daten 25 mittels der Datenleitung 38 verändert werden, also geschrieben oder gelöscht werden. Das Verändern der Daten 25 kann einzelne Bits, Bytes oder auch ganze Datenpakete betreffen.
Weiterhin können Daten 25, welche von dem Netzelement 14 gesendet werden und eine bestimmte vorgegebene CAN-Identität bzw. Ethernet-IP-Adresse aufweisen, mit einer Signatur, beispielsweise nach einem so genannten HMAC-Verfahren ("keyed-hash message authentication code") ergänzt werden. Entsprechend können empfangene Daten 25 in Bezug auf ihre Signatur geprüft werden. Sofern die jeweilige Signatur als korrekt erkannt wurde, können die Daten 25 an das zugehörige Netzelement 14 weitergeleitet werden. Ist die Signatur dagegen nicht korrekt, so kann der Verbindungsknoten 10 diese Daten 25 verändern oder zumindest teilweise sperren.
Insbesondere ist die Schaltung 30 bzw. der Verbindungsknoten 10 dazu ausgebildet, Daten 25 einer OSI-2-Schicht, ("open systems interconnection"), und/oder einer OSI-3-Schicht und/oder einer OSI-7-Schicht zu lesen und/oder zu verändern und/oder bedarfsweise zu sperren. Dabei werden Daten 25, welche von einer jeweiligen Vorgabe unzulässig abweichen, "herausgefiltert", beispielsweise also gesperrt oder durch Nullen ersetzt. Es ist jedoch erfindungsgemäß ebenso möglich, die über den Verbindungsknoten 10 ausgetauschten Daten 25 gegebenenfalls zu verändern, so dass diese der jeweiligen Vorgabe entsprechen und somit die Netzelemente 14 möglichst korrekte Daten 25 empfangen bzw. senden können. Dies erfolgt vorzugsweise unter Kenntnis der dem Kommunikationsnetz 18 zugrunde liegenden Kommunikationsstruktur, welche fest in dem Verbindungsknoten 10 und/oder der Steuereinheit 22 gespeichert oder auch während des Betriebs geändert werden kann. Optional können die über die dritte Schnittstelle 20 übertragenen Informationen auch verschlüsselt sein. Die Schaltung 30 weist dazu entsprechende Einrichtungen zum Verschlüsseln bzw. Entschlüsseln auf.
Der Verbindungsknoten 10 bzw. die Schaltung 30 sind vorliegend als ASIC (anwendungsspezifische integrierte Schaltung) ausgeführt. Entsprechend sind auch die beiden Schalter 26 und 28 integriert und beispielsweise als Transistor, als digitales Gatter, als Multiplexer oder dergleichen ausgeführt. Alternativ ist es möglich, den Verbindungsknoten 10 zumindest teilweise als FPGA (frei programmierbare integrierte Schaltung) oder mittels einer anderen geeigneten Technik auszuführen. Es sei angemerkt, dass in der 1 der Datenpfad 24 und die Schalter 26 und 28 nur schematisch dargestellt sind, und dass wegen des bidirektionalen Datenaustausches gegebenenfalls eine abweichende Schaltungsstruktur sinnvoll sein kann.
2 zeigt ein Beispiel für das Kommunikationsnetz 18, welches vorliegend ein Bussystem eines (nicht dargestellten) Kraftfahrzeugs ist. Das Kommunikationsnetz 18 der 2 ist in Gestalt von zwei Teilnetzen 18a und 18b jeweils im linken bzw. rechten Bereich der Zeichnung ausgeführt. Die Teilnetze 18a und 18b sind jeweils mittels eines Kabelbaums 29a und 29b ausgeführt.
An das Kommunikationsnetz 18 sind insgesamt sieben Netzelemente 14 über insgesamt acht Verbindungsknoten 10 angeschlossen. Die Verbindungsknoten 10 weisen dazu eine erste Schnittstelle 12 und eine zweite Schnittstelle 16 auf, wie dies in der 1 bereits gezeigt wurde. Ein in der Zeichnung der 2 oberstes Netzelement 14 ist über zwei voneinander unabhängige Verbindungsknoten 10 an jeweils eines der beiden Teilnetze 18a und 18b angeschlossen. Drei der übrigen sechs Netzelemente 14 sind jeweils über einen Verbindungsknoten 10 an das Teilnetz 18a und drei Netzelemente 14 sind jeweils über einen Verbindungsknoten 10 an das Teilnetz 18b angeschlossen.
Die im rechten oberen Bereich der Zeichnung dargestellte Steuereinheit 22 ist mittels des Kanals 42 mit den acht Verbindungsknoten 10 verbunden. Dazu ist der Kanal 42 an die jeweiligen dritten Schnittstellen 20 der Verbindungsknoten 10 angeschlossen. Der Kanal 42 ist von dem Kommunikationsnetz 18 bzw. von den Teilnetzen 18a und 18b getrennt ausgeführt. Insbesondere weist der Kanal 42 keine unmittelbare elektrische Verbindung zu dem Kommunikationsnetz 18 auf.
Der getrennte Kanal 42 kann beispielsweise eine von dem Kommunikationsnetz 18 unabhängige elektrische oder optische Verbindung sein, welche separat ausgeführt ist oder baulich in dem Kabelbaum 29a bzw. 29b des Kommunikationsnetzes 18 angeordnet ist. Dabei kann der getrennte Kanal 42 zumindest teilweise eine linienförmige, eine verzweigte, eine sternförmige und/oder eine ringförmige Struktur aufweisen.
Die in der 2 gezeigten Netzelemente 14 sind beispielsweise Steuergeräte zum Steuern einer Brennkraftmaschine, einer Abgasanlage und/oder eines Automatikgetriebes des Kraftfahrzeugs. Ebenso können die Netzelemente 14 auch sonstige kleinere an das CAN-Bussystem angeschlossene Einheiten sein. Die Steuereinheit 22 ist vorzugsweise eine baulich unabhängige Einrichtung des Kraftfahrzeugs, wie es in der Zeichnung dargestellt ist. Alternativ kann die Steuereinheit 22 in eines der Netzelemente 14 bzw. der Steuergeräte des Kraftfahrzeugs baulich und/oder elektrisch integriert sein. Ebenso können die Verbindungsknoten 10 vorteilhaft in dem Kabelbaum 29a bzw. 29b des Kommunikationsnetzes 18 oder in einem Steckverbindergehäuse des Kabelbaums 29a bzw. 29b fest angeordnet sein. Dies ist besonders einfach möglich, wenn die Verbindungsknoten 10 wie oben beschrieben mittels eines ASICs ausgeführt sind.
Die Steuereinheit 22 und gegebenenfalls die Verbindungsknoten 10 weisen Speicher 32 auf, in denen unter anderem die Kommunikationsstruktur des Kommunikationsnetzes 18 gespeichert ist. Dabei kann eine bestimmte Kommunikationsstruktur fest vorgegeben sein oder alternativ von der Steuereinheit 22 während des Betriebs geändert werden. Das in der 2 dargestellte Kommunikationsnetz 18 ist wie oben beschrieben elektrisch als CAN-Bussystem ausgeführt, erfindungsgemäß ist jedoch ebenso eine optische Ausführungsform des Kommunikationsnetzes 18 möglich.
Die Verbindungsknoten 10 sind auch dazu ausgebildet, die über den Datenpfad 24 ausgetauschten Daten 25 oder daraus abgeleitete Informationen zu protokollieren. Die ausgetauschten Daten 25 können gelesen, miteinander verknüpft, mit Vorgaben verglichen und/oder bewertet werden. Die derart ermittelten Ergebnisse können über den Kanal 42 an die Steuereinheit 22 übermittelt werden. Dort können die Ergebnisse ergänzend verknüpft, mit Vorgaben verglichen, ausgewertet und/oder gespeichert werden. Weiterhin kann aufgrund der Ergebnisse ein Protokoll bzw. eine Fehlermeldung an eines oder mehrere Steuergeräte des Kraftfahrzeugs übermittelt werden. Sogar eine akustische oder optische Information an den Fahrer des Kraftfahrzeugs ist möglich.
Die Steuereinheit 22 kann mit den Verbindungsknoten 10 des Kommunikationsnetzes 18 in nahezu beliebiger Weise kommunizieren und/oder die Verbindungsknoten 10 nach dem Einschalten einer Versorgungsspannung initialisieren. Auch während des Betriebs kann die Steuereinheit 22 die Verbindungsknoten 10 konfigurieren, beispielsweise um die Kommunikationsstruktur des Kommunikationsnetzes 18 zu optimieren oder an eventuelle Störungen anzupassen.
Die Verwendung der erfindungsgemäßen Verbindungsknoten 10 in dem Kommunikationsnetz 18 ermöglicht es, das dargestellte Bussystem des Kraftfahrzeugs besonders gut zu schützen und somit die Verfügbarkeit des Kommunikationsnetzes 18 zu erhöhen. Die beiden Teilnetze 18a und 18b der 2 können sogar unabhängig voneinander geschützt werden. Anders als in der Zeichnung dargestellt, kann das Kommunikationsnetz 18 auch eine abweichende Anzahl von Verbindungsknoten 10 aufweisen. Ebenso ist es möglich, dass nicht alle der verwendeten Verbindungsknoten 10 über den Kanal 42 angeschlossen sind, beispielsweise wenn die Verbindungsknoten 10 für eine jeweilige Aufgabe fest konfiguriert sind, und eine Übertragung von Protokollen zu der Steuereinheit 22 nicht erforderlich ist. Auch ist es denkbar, nicht allen Netzelementen 14 einen Verbindungsknoten 10 zuzuordnen.
Weiterhin ist es erfindungsgemäß möglich, die Initialisierung und/oder die Konfiguration der Verbindungsknoten 10 und/oder die Übertragung der Protokolle statt über den getrennten Kanal 42 alternativ über das Kommunikationsnetz 18 durchzuführen. Damit kann auch bei eventuellen Störungen des Kanals 42 ein ordnungsgemäßer Betrieb der Verbindungsknoten 10 ermöglicht werden. Ebenso ist es denkbar, durch einen generellen Verzicht auf den Kanal 42 die Erfindung besonders kostengünstig auszuführen. Somit kann die Erfindung entsprechend den jeweiligen Anforderungen in Bezug auf die Kosten einerseits und die Funktion andererseits passend "skaliert" werden.
In einer nicht gezeigten alternativen Ausführungsform ist der Verbindungsknoten 10 baulich mit dem Netzelement 14 vereint. Dabei ist der Verbindungsknoten 10 jedoch funktional und in Bezug auf die elektrische Spannungsversorgung unabhängig von dem Netzelement 14 ausgeführt. Insbesondere ist auch die dritte Schnittstelle 20 zum Anschluss an die Steuereinheit 22 unabhängig von dem Netzelement 14 ausgeführt. Dadurch ist eine vergleichsweise aufwändige elektrische Schaltung (engl. "physical layer") an der ersten Schnittstelle 12 zwischen dem Netzelement 14 und dem Verbindungsknoten 10 beiderseits entbehrlich. Dadurch können erhebliche Kosten gespart werden. Gegebenenfalls kann der Verbindungsknoten 10 sogar in die elektrische Schaltung ("physical layer") des Netzelements 14, welche zum Anschluss an das Kommunikationsnetz 18 verwendet wird, integriert sein. Vorzugsweise kann der Verbindungsknoten 10 funktional zwischen der elektrischen Schaltung, welche zum Anschluss an das Kommunikationsnetz 18 verwendet wird, und dem restlichen Netzelement 14 angeordnet sein. Dies ist ebenfalls in der 2 nicht dargestellt. Außerdem ist es nicht zwingend erforderlich, die dritte Schnittstelle 20 als einen getrennten Anschluss an dem Verbindungsknoten 10 auszubilden, wenn der Verbindungsknoten 10 physisch über das Kommunikationsnetz 18 mit der Steuereinheit 22 kommuniziert.
3 zeigt ein einfaches Flussdiagramm zur Durchführung eines Verfahrens 50 zum Betreiben des Kommunikationsnetzes 18. In einem Start-Block 52, welcher im oberen Bereich der Zeichnung dargestellt ist, beginnt der in der 3 gezeigte Ablauf, welcher im Wesentlichen das Verhalten eines Verbindungsknotens 10 charakterisiert.
In einem folgenden Block 54 werden die über den Datenpfad 24 ausgetauschten Daten 25 gelesen und begleitende Zusatzinformationen, wie beispielsweise eine CAN-Identität, bewertet. Dabei wird auch eine den Austausch der Daten 25 beschreibende Kommunikationsstruktur ermittelt und bewertet, insbesondere eine Richtung des Datenflusses in Bezug auf das jeweils zugehörige Netzelement 14. Weiterhin wird ein Zustand bzw. ein Verhalten des Netzelements 14 in Bezug auf die mit dem Kommunikationsnetz 18 ausgetauschten Daten 25 ermittelt.
Weiterhin werden in dem Block 54 die ausgetauschten Daten 25 bzw. der Zustand des Netzelements 14 mit vorgegebenen Daten 25 bzw. einem vorgegebenen Zustand des Netzelements 14 verglichen und bewertet. Wenn der Vergleich keine als fehlerhaft bewertete Daten 25 bzw. einen fehlerhaften Zustand des Netzelements 14 ergibt, so verzweigt die Abarbeitung des Flussdiagramms fortlaufend zum Eingang des Blocks 54 zurück. Zugleich werden die Daten 25 zwischen der ersten Schnittstelle 12 und der zweiten Schnittstelle 16 unverändert durchgereicht.
Sofern die ausgetauschten Daten 25 und/oder der Zustand des Netzelements 14 zumindest teilweise als fehlerhaft bewertet werden, so verzweigt das Verfahren 50 zu einem folgenden Block 56. Im Block 56 können die Daten 25 teilweise verändert oder sogar gesperrt werden. Ein die fehlerhaften Daten 25 bzw. den Zustand des Netzelements 14 beschreibendes Protokoll wird an die Steuereinheit 22 übermittelt. Dadurch kann die Verfügbarkeit des Kommunikationsnetzes 18 vorteilhaft erhöhen.
In einem folgenden Block 58 können eventuelle Informationen von der Steuereinheit 22 zur Initialisierung und/oder Konfiguration des Verbindungsknotens 10 empfangen werden. Danach verzweigt das Verfahren 50 zurück an den Eingang des Blocks 54. Die Bearbeitung im Block 58 kann gegebenenfalls auch direkt nach dem Beginn (Start-Block 52) ausgeführt werden, beispielsweise bei einer ersten Initialisierung des Verbindungsknotens 10 und/oder während des laufenden Betriebs des Kommunikationsnetzes 18.
Gemäß einer weiteren bevorzugten Ausführungsform kann der Verbindungsknoten 10 mindestens eine der folgenden Funktionen erfüllen, bzw. weist der Verbindungsknoten 10 mindestens eine der folgenden Eigenschaften auf:

– Der Verbindungsknoten 10 kann kostengünstig als konfigurierbares ASIC gefertigt werden und vorzugsweise in den Kabelbaum, beispielsweise in einen Kabelbaumstecker oder alternativ in einem Gehäuse des Netzelements 14 eingebaut werden;
– der Verbindungsknoten 10 kann das Kommunikationsverhalten des jeweils angeschlossenen Netzelementes 14 überwachen;
– der Verbindungsknoten 10 arbeitet für die Netzelemente 14 transparent, das heißt, die Netzelemente 14 brauchen keine Kenntnis über die Verbindungsknoten 10 zu haben;
– der Verbindungsknoten 10 kann ein vorgegebenes Kommunikationsverhalten durch das Herausfiltern der von der Vorgabe abweichenden Datenpakete erzwingen. Als Filterungskriterien für das Sende-Verhalten eines Netzelements 14 werden folgende Kriterien genutzt: – Die Senderichtung stellt einen für das Netzelement 14 spezifischen Ausschnitt aus der Kommunikationsmatrix dar, die als Entwicklungsartefakt vorliegt, wie beispielsweise eine CAN-Kommunikationsmatrix oder eine AUTOSAR-Kommunikationsmatrix; – die Senderichtung wird erkannt durch eine CAN-Identität (CAN-ID) für CAN-Netze bzw. eine Ethernet-Adresse und/oder einer Internet Protocol-, IP, Adresse für Ethernetnetze bzw. Internetnetze; – das Zeitverhalten des Netzelements 14, beispielsweise eine maximale Anzahl von Nachrichten pro Zeiteinheit; und/oder – weitere Kriterien, beispielsweise eine Wartezeit, bevor die erste Nachricht nach der Netzinitiierung vom Netzelement 14 gesendet werden darf.
– Initialisieren von Verbindungsknoten 10, wobei diese (optional) in der Netz-Startphase konfiguriert werden können. Dies ermöglicht eine Behebung von Netzwerkproblemen durch einen Neustart des Kommunikationsnetzes 18 als Alternative zu einer dynamischen Rekonfiguration. Dabei können die Verbindungsknoten 10 einen exklusiven Netz-Modus für die Konfiguration herstellen, indem sie die jeweiligen Netzelemente 14 für diese Phase vom Kommunikationsnetz 18 trennen;
– Erzwingen einer geänderten Kommunikationsstruktur im Kommunikationsnetz 18 (beispielsweise in einem Kraftfahrzeug) als dynamische Reaktion auf Überlastungen oder andere Störungen in dem Kommunikationsnetz 18. Ändern der oben beschriebenen Filterungskriterien;
– Ermöglichen zusätzlicher (optionaler) verteilter Netzwerkdienste, wie beispielsweise: – Signieren von sicherheitskritischen Busnachrichten. Die zu sendenden Busnachrichten mit einer bestimmten CAN-ID bzw. MAC/IP-Adresse, die als sicherheitskritisch klassifiziert sind, werden erkannt. Für diese Busnachrichten werden Signaturen (z. B. nach keyed-hash message authentication code, HMAC-Verfahren) erstellt und mit versendet; – Verifizieren der sicherheitskritischen Busnachrichten. Die empfangenen Busnachrichten mit bestimmter CAN-ID bzw. MAC/IP-Adresse, die als sicherheitskritisch klassifiziert sind, werden erkannt. Diese Busnachrichten werden erst dann an das Netzelement 14 weitergegeben, wenn deren Signaturen (z. B. HMAC) verifiziert worden sind; – Melden eines auffälligen Verhaltens an die Steuereinheit 22. Im Falle einer starken Abweichung von dem vorgegebenen Kommunikationsverhalten wird eine Nachricht an die Steuereinheit 22 mit Steuer-Informationen, wie beispielsweise eine Geräte-Identifizierung, ID, ein Fehlerkode oder dergleichen, über den separaten Kanal 42 gesendet; – komplexere Verbindungsknoten 10 realisieren die Authentifizierung des Netzelements 14 beispielsweise mit einem geeigneten "PUF" (physical unclonable function) Verfahren; und/oder – die Verbindungsknoten 10 kontrollieren außerdem die Energieversorgungs-Leitung.

Dabei überwacht und steuert die erfindungsgemäße Steuereinheit 22 die Funktionen der Netzelemente 14. Dabei kann die Steuereinheit 22 mindestens eine der folgenden Funktionen erfüllen, bzw. weist die Steuereinheit 22 mindestens eine der folgenden Eigenschaften auf:

– Initialisieren der Verbindungsknoten 10. Abhängig von der Ausführung der Verbindungsknoten 10 können diese bei jedem Start ("Hochfahren") des Kommunikationsnetzes 18 konfiguriert werden;
– Vorgabe von Filtermustern für zulässige bzw. verbotene, eingehende und/oder ausgehende Kommunikation für die jeweiligen Verbindungsknoten 10;
– Nach dem Erkennen eines Fehlers in dem Netzelement 14 erstellt die Steuereinheit 22 eine neue Kommunikationsstruktur-Konfiguration, die beim Netzwerk-Neustart auf die vorhandenen Verbindungsknoten 10 verteilt wird. Die Steuereinheit 22 kann über die Instrumententafel des Kraftfahrzeugs den Fahrer über das erkannte Problem benachrichtigen und einen Neustart anfragen;
– Erzeugung eines oder mehrerer kryptographischer Schlüssel(s) für die Absicherung der Kommunikation;
– Vorgabe weiterer Steuerungsinformationen, beispielsweise in Bezug auf das zulässige Zeitverhalten der Netzelemente 14;
– Erkennen kritischer Situationen in dem Kommunikationsnetz 18 und Erstellen geeigneter Reaktionen, wie beispielsweise eine Rekonfiguration nach einem vorgegebenen Verfahren.
– Koordinierung und Steuerung der Verbindungsknoten 10 zur Laufzeit des Systems, beispielsweise mittels einer Rekonfiguration.
– Sicherere Protokollierung (Logging) der kritischen Ereignisse in Kombination mit der oben beschriebenen Signierung der Nachrichten.

Dabei verläuft die Kommunikation zwischen den Netzelementen 14 und den Verbindungsknoten 10 bzw. den Verbindungsknoten 10 und dem übrigen Kommunikationsnetz 18 nach jeweils demselben Protokoll (CAN, Ethernet/IP). Der Verbindungsknoten 10 fungiert nicht als Kommunikationsteilnehmer. Die Steuerung der Verbindungsknoten 10 erfolgt über den separaten Kanal 42. Eine Initiierungsphase des Kommunikationsnetzes 18 kann für Konfiguration der Verbindungsknoten 10 genutzt werden. Dabei trennen die Verbindungsknoten 10 die Netzelemente 14 so lange vom Kommunikationsnetz 18 ab, bis ein Synchronisationssignal der Steuereinheit 22 empfangen wurde. Somit wird ein exklusives Medium für die Konfiguration der Verbindungsknoten 10 hergestellt.
Des Weiteren können andersartige physikalische Kommunikationsverfahren auf derselben physischen Leitung benutzt werden. Der Kanal 42 stellt eine separate physische Leitung dar.

Claims

Verbindungsknoten (10) für ein Kommunikationsnetz (18), insbesondere zur Verbindung eines Netzelements (14) des Kommunikationsnetzes (18) mit dem Kommunikationsnetz (18), dadurch gekennzeichnet, dass der Verbindungsknoten (10) eine erste Schnittstelle (12) zum Anschluss des Netzelements (14) an den Verbindungsknoten (10) und eine zweite Schnittstelle (16) zum Anschluss des Verbindungsknotens (10) an das Kommunikationsnetz (18) aufweist, dass der Verbindungsknoten (10) dazu ausgebildet ist, einen Datenaustausch zwischen dem Kommunikationsnetz (18) und dem Netzelement (14) über die erste und zweite Schnittstelle (12, 16) zu ermöglichen, und dass der Verbindungsknoten (10) dazu ausgebildet ist zwischen dem Kommunikationsnetz (18) und dem Netzelement (14) ausgetauschte Daten (25) zu lesen und/oder zu verändern und/oder zu sperren.
Verbindungsknoten (10) nach Anspruch 1, dadurch gekennzeichnet, dass er eine dritte Schnittstelle (20) zum Anschluss an eine den Verbindungsknoten (10) steuernde Steuereinheit (22) aufweist.
Verbindungsknoten (10) nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Verbindungsknoten (10) von dem Kommunikationsnetz (18) und von dem Netzelement (14) baulich und/oder elektrisch unabhängig ausgeführt ist.
Verbindungsknoten (10) nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass er dazu ausgebildet ist, Daten (25) einer OSI-2-Schicht, open systems interconnection, und/oder einer OSI-3-Schicht und/oder einer OSI-7-Schicht zu lesen und/oder zu verändern und/oder zu sperren.
Verbindungsknoten (10) nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass er dazu ausgebildet ist, wenigstens eine der folgenden Funktionen durchzuführen: – lesen und auswerten von die ausgetauschten Daten (25) begleitenden Zusatzinformationen, insbesondere einer CAN-Identität und/oder einer Ethernet-Adresse und/oder einer internet protocol-, IP, Adresse; – ermitteln, bewerten und/oder verändern einer den Austausch der Daten (25) beschreibenden Kommunikationsstruktur, insbesondere einer Richtung des Datenflusses in Bezug auf das Netzelement (14); – ermitteln eines Zustands und/oder eines Verhaltens des Netzelements (14) in Bezug auf die mit dem Kommunikationsnetz (18) ausgetauschten Daten (25); – vergleichen der ausgetauschten Daten (25) und/oder des Zustands und/oder des Verhaltens des Netzelements (14) mit vorgegebenen Daten (25) bzw. einem vorgegebenen Zustand bzw. einem vorgegebenen Verhalten; – bewerten der ausgetauschten Daten (25) und/oder des Zustands und/oder des Verhaltens des Netzelements (14); – verändern und/oder sperren von Daten (25), insbesondere von Daten (25), welche von einer Vorgabe abweichen; – ergänzen von Daten (25), welche von dem Netzelement (14) gesendet werden und eine bestimmte CAN-Identität oder Ethernet- bzw. IP-Adresse aufweisen, mit einer Signatur, insbesondere nach einem HMAC, keyed-hash message authentication code, -Verfahren; – prüfen der Signatur von über das Kommunikationsnetz (18) empfangenen Daten (25); und/oder – weiterleiten der empfangenen Daten (25) an das Netzelement (14), nachdem die Signatur als korrekt erkannt wurde.
Verbindungsknoten (10) nach einem der Ansprüche 2 bis 5, dadurch gekennzeichnet, dass er dazu ausgebildet ist, Steuerbefehle von der Steuereinheit (22) alternativ oder ergänzend zu der dritten Schnittstelle (20) über das Kommunikationsnetz (18) zu empfangen.
Verbindungsknoten (10) nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass er dazu ausgebildet ist, gelesene Daten (25) oder daraus abgeleitete Informationen zu protokollieren.
Verbindungsknoten (10) nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass er in einem Kabelbaum (29a, 29b) des Kommunikationsnetzes (18) oder in einem Steckverbinder des Kabelbaums (29a, 29b) des Kommunikationsnetzes (18) angeordnet ist.
Steuereinheit (22) für ein Kommunikationsnetz (18), dadurch gekennzeichnet, dass sie dazu ausgebildet ist, mit mindestens einem Verbindungsknoten (10) nach einem der vorstehenden Ansprüche zu kommunizieren und/oder den mindestens einen Verbindungsknoten (10) zu steuern.
Steuereinheit (22) nach Anspruch 9, dadurch gekennzeichnet, dass sie dazu ausgebildet ist, die Kommunikation mit dem mindestens einen Verbindungsknoten (10) und/oder die Steuerung zumindest teilweise verschlüsselt und/oder mittels einer Signierung durchzuführen.
Steuereinheit (22) nach Anspruch 9 oder 10, dadurch gekennzeichnet, dass sie dazu ausgebildet ist, den mindestens einen Verbindungsknoten (10) über einen von dem Kommunikationsnetz (18) getrennten Kanal (42) und/oder über das Kommunikationsnetz (18) zu steuern, bzw. über diese Verbindungen mit dem mindestens einen Verbindungsknoten (10) zu kommunizieren.
Kommunikationsnetz (18), insbesondere ein Bussystem eines Kraftfahrzeugs, welches mindestens zwei Netzelemente (14) miteinander verbindet, dadurch gekennzeichnet, dass mindestens ein Netzelement (14) über einen Verbindungsknoten (10) nach einem der Ansprüche 1 bis 8 an das Kommunikationsnetz (18) angeschlossen ist.
Kommunikationsnetz (18) nach Anspruch 12, dadurch gekennzeichnet, dass der mindestens eine Verbindungsknoten (10) ergänzend zu einer in einem Netzelement (14) angeordneten Überwachung in dem Kommunikationsnetz (18) angeordnet ist.
Kommunikationsnetz (18) nach Anspruch 12 oder 13, dadurch gekennzeichnet, dass es zur Übertragung von Daten unter Verwendung von asynchronen und/oder undeterministischen Protokollen ausgebildet ist, insbesondere CSMA-Protokolle in einem CAN-Bussystem oder in einem Ethernet und/oder IP-System.
Verfahren (50) zum Betreiben eines Kommunikationsnetzes (18) nach einem der Ansprüche 12 bis 14, dadurch gekennzeichnet, dass unter Verwendung einer Steuereinheit (22) und eines unabhängigen Kanals (42) und mindestens eines Verbindungsknotens (10) Daten (25) zwischen dem Kommunikationsnetz (18) und mindestens einem Netzelement (14) gelesen und/oder verändert und/oder gesperrt werden.
Verfahren (50) nach Anspruch 15, dadurch gekennzeichnet, dass bei einer Störung und/oder einer Überlastung des Kommunikationsnetzes (18) eine Kommunikationsstruktur des Kommunikationsnetzes (18) verändert wird, indem die Steuereinheit (22) den mindestens einen Verbindungsknoten (10) steuert.