DE102012216689A1

DE102012216689A1 - Verfahren zur Überwachung eines Ethernet-basierten Kommunikationsnetzwerks in einem Kraftfahrzeug

Info

Publication number: DE102012216689A1
Application number: DE102012216689.0A
Authority: DE
Inventors: Helge Zinner; Jürgen Röder
Original assignee: Continental Automotive GmbH
Current assignee: Continental Automotive Technologies GmbH
Priority date: 2012-09-18
Filing date: 2012-09-18
Publication date: 2014-05-28
Anticipated expiration: 2032-09-19
Also published as: EP2898628A1; CN104641596A; US20150236940A1; WO2014044655A1; DE102012216689B4

Abstract

Es werden ein Verfahren zur Überwachung eines Ethernet-basierten Kommunikationsnetzwerks (3) in einem Kraftfahrzeug durch Überwachung der Kommunikationsverbindung zwischen zwei über das Kommunikationsnetzwerk (3) verbundene Netzwerkknoten (1, 2) sowie ein entsprechend eingerichteter Netzwerkknoten beschrieben. Dabei ist vorgesehen, dass die Laufzeit der Signale zwischen Netzwerkknoten (1, 2) des Kommunikationsnetzwerks (3) bidirektional und zyklisch gemessen wird und Änderungen in der Signallaufzeit bewertet werden.

Description

Die Erfindung betrifft ein Verfahren zur Überwachung eines Ethernet-basierten Kommunikationsnetzwerkes in einem Kraftfahrzeug sowie einen zur Durchführung des Verfahrens eingerichteten Netzwerkknoten, beispielsweise in Form eines Steuergeräts. Das Verfahren dient insbesondere zur Überwachung auf Fehler in dem Kommunikationsnetzwerk und/oder auf Änderungen der Netzwerktopologie. Dazu ist eine Überwachung der Kommunikationsverbindung zwischen zwei insbesondere als elektronische Steuergeräte ausgebildeten und über das Kommunikationsnetz verbundenen Netzwerkknoten vorgesehen.
Die Ethernet-basierte Kommunikation erfolgt nach dem sogenannten OSI-Schichtenmodell, in dem jeder Schicht bestimmte Aufgaben zugewiesen werden, die durch die Instanzen (Geräte und Software) der jeweiligen Schicht für das Funktionieren der Kommunikationen geleistet werden müssen. Dabei stellt jede Instanz einer Schicht entsprechend dem normierten Netzwerkprotokoll Dienste zur Verfügung, die eine darüber liegende Instanz nutzen kann, ohne sich darum kümmern zu müssen, auf welche Weise und mit welchen technischen Mitteln die darunterliegende Instanz die ihr obliegenden Aufgaben löst. Zwischen den verschiedenen Schichten sind als entsprechende Schnittstellen definiert.
Die untersten beiden Schichten, nämlich die Bitübertragungsschicht (Physical Layer) und die Sicherungsschicht (Data Link Layer) gemäß dem OSI-Schichtenmodell, dienen der physischen Datenübertragung, wobei die unterste Schicht (Bitübertragungsschicht) die Hilfsmittel zur Aktivierung bzw. Deaktivierung der physischen Verbindung zur Verfügung stellt und die zweitunterste Schicht (Sicherungsschicht) den Zugriff auf das Übertragungsmedium steuert, insbesondere mittels einer Medienzugriffssteuerung (MAC – Media Access Control). Diese Sicherungsschicht erkennt auch, welche Teilnehmergeräte als Netzwerkknoten mit ihrer eineindeutigen MAC-Adresse an der Kommunikation teilnehmen. Daher eignet sich diese Schicht grundsätzlich auch für eine Überwachung des Netzwerks im Hinblick auf an der Kommunikation teilnehmende Netzwerkknoten.
Die darüber liegenden Schichten des OSI-Schichtenmodells bereiten die bei der physischen Datenübertragung übertragenen Daten stufenweise zur Verteilung an verschiedene Anwendungen vor. Hierauf muss im Rahmen der Erfindung nicht weiter eingegangen werden.
Da eine Überwachung der Teilnehmer an dem Kommunikationsnetzwerk grundsätzlich erst in Kenntnis deren Adressierung, d. h. deren MAC-Adressen oder anderen eindeutigen Identifikationsmerkmalen, in dem Netzwerk möglich ist, besteht potentiell ein Angriffspotential bei einem Ethernet-basierten Kommunikationssystem darin, dass die Verbindung zwischen zwei Steuergeräten bzw. Netzwerkknoten in der untersten Schicht des OSI-Schichtmodells (Bitübertragungsschicht, Physical Layer) aufgetrennt werden kann, ohne dass das dazwischengeschaltete Gerät an der eigentlichen Netzwerkkommunikation teilnimmt und eine eigene MAC-Adresse aufweist. Ein solches Gerät ist daher bereits in der Sicherungsschicht (Data Link Layer) nicht erkennbar.
Derartige Netzwerkanalysatoren, die in der Bitübertragungsschicht des OSI-Schichtenmodells in ein Kommunikationssystem eingesetzt werden können, werden als Tap (Test Access Point) bezeichnet, der direkt in eine Netzwerkverbindung eingefügt werden kann, beispielsweise durch Einschleifen in die Kabelverbindung. Diese Taps spiegeln den Full-Duplex-Datenverkehr auf dieser Verbindung und geben ihn beispielsweise an eine an den Tap angeschlossene Analyseeinheit oder Datensammelstelle aus, die die Daten auslesen kann. Aufgrund der reinen Datenspiegelung handelt es sich bei den Taps um passive Komponenten des Kommunikationsnetzwerks, die keine MAC oder IP-Adresse aufweisen und eine Rückwärtskommunikation des an den Tap angeschlossenen Sensors in das Kommunikationsnetzwerk nicht zulassen. Derartige Taps sind somit in dem Netzwerk selbst nicht als Kommunikationsteilnehmer erkennbar und auch nicht adressierbar.
Dies stellt gerade bei sicherheitsrelevanten Anwendungen, wie sie im Kraftfahrzeug vorliegen, ein gewisses Gefahrenpotential dar. Wenn beispielsweise durch Fahrerassistenzsysteme ausgewertete Informationen übertragen werden, ist es notwendig festzustellen, ob diese Informationen mitgelesen werden. Ein derartiges Mitlesen kann einen gezielten Angriff auf das Kommunikationssystem des Kraftfahrzeugs vorbereiten, beispielsweise durch Bekanntwerden benutzter Schlüssel oder Netzwerkadressen.
Aufgabe der vorliegenden Erfindung ist es daher, einen Eingriff in das Kommunikationsnetzwerk des Kraftfahrzeugs auch auf der technischen Bitübertragungsschicht zu erkennen, auf der lediglich der physische Datenverkehr abgewickelt wird.
Diese Aufgabe wird erfindungsgemäß durch ein Verfahren mit den Merkmalen des Anspruchs 1 gelöst. Bei dem Verfahren der eingangs genannten Art ist dazu vorgesehen, dass die physische Laufzeit der Signale zwischen vorzugsweise jeweils zwei Netzwerkknoten des Kommunikationsnetzwerks bidirektional und zyklisch gemessen wird und Änderungen in der Signallaufzeit bewertet werden.
Hintergrund dieser erfinderischen Idee ist es, dass die Taps als Datenpaketkopierer zwar in dem Netzwerk nicht als eigene Netzwerkknoten, d. h. Teilnehmer an der Netzwerkkommunikation, in Erscheinung treten und damit in der Sicherungsschicht nicht erkennbar sind, jedoch für das Kopieren der Datenpakete und die Durchleitung des Signals durch den Tap eine bestimmte Signallaufzeit benötigen, die die Signallaufzeit gegenüber einer direkten Kabelverbindung zwischen den zwei Netzwerkknoten verlängert.
Während ein normales Ethernet beispielsweise bei einer Vernetzung von Computern als internes oder sogar externes Netzwerk (Internet) in der Regel nicht statisch ist, so dass sich die Signallaufzeiten zwischen zwei Netzwerkknoten auch im regulären Betrieb ggf. häufiger ändern können, ist ein Fahrzeugnetz statisch aufgebaut, weil Steuergeräte und Netzwerkknoten in der Regel nur im Fehlerfall getauscht werden und dies nur in einer hierfür autorisierten Werkstatt erfolgen kann. In einem statischen Kommunikationsnetzwerk, wie es bspw. in einem Kraftfahrzeug vorliegt, schwanken die Signallaufzeiten dagegen nicht, abgesehen von kleineren, nicht signifikanten Abweichungen beispielsweise aufgrund eines üblichen Jitters oder temperaturbedingten Laufzeitunterschieden. Diese Eigenschaft macht sich die vorliegende Erfindung zunutze, um durch Feststellen von Veränderungen in der Signallaufzeit zwischen zwei Netzwerkknoten zu erkennen, ob in den statischen Aufbau des Netzwerks (Netzwerktopologie) ggf. auf der untersten Schicht (Bitübertragungsschicht) eingegriffen wurde. Beispielsweise anhand von Schwellenwerten oder anderen Kriterien können festgestellte Änderungen in der Signallaufzeit dann bewertet werden, so dass Änderungen in der Signallaufzeit festgestellt und dadurch das Kommunikationsnetzwerk insgesamt überwacht wird. Beispielsweise lässt sich eine Signallaufzeit durch die Parameter der Bitübertragungsschicht (PHY-Parameter) und die Art der Verkabelung (Kupfer, Lichtkabel, etc.) berechnen. Bei einem Gigabit Ethernet System mit einem Cat5e Kabel entsteht zwischen zwei verbundenen Instanzen der Bitübertragungsschicht (PHY) eine Verzögerung von etwa 400 ns.
Die Überwachung erfolgt erfindungsgemäß bidirektional, d. h. in jede Kommunikationsrichtung des Kommunikationsnetzwerks, und zyklisch, d. h. in vorgegebenen bzw. vorgebbaren Zeitabständen, so dass Veränderungen zuverlässig festgestellt werden können. Die zyklischen Messungen ermöglichen auch eine Unterscheidung, ob beispielsweise aufgrund einer Gerätealterung eine schleichende Signallaufzeiterhöhung stattfindet, oder ob ein abrupter Signallaufzeitwechsel bei zuvor über einen längeren Zeitraum im Wesentlichen konstanten Signallaufzeiten auftritt. Der letztgenannte Fall deutet auf ein Auftrennen der Signalverbindung zwischen den beiden Netzwerkknoten hin und kann entsprechend als Überwachungsfall gemeldet werden.
In einer bevorzugten Ausgestaltung des vorgeschlagenen Verfahrens kann vorgesehen sein, dass zur Messung der Signallaufzeit der Signale zwischen den Netzwerkknoten ein (nachfolgend auch als sendender Netzwerkknoten bezeichneter) Netzwerkknoten eine Anfrage-Nachricht an den anderen (nachfolgend auch als empfangenden Netzwerkknoten bezeichneten) Netzwerkknoten aussendet, welche die Sendezeit der Anfrage-Nachricht enthält, und der andere (empfangende) Netzwerkknoten die Empfangszeit protokolliert.
Das Einbinden der Sendezeit in die Anfrage-Nachricht kann beispielsweise in Form eines Sendezeitstempels t₁ erfolgen, der von dem die Nachricht sendenden Sendeempfänger des einen (sendenden) Netzwerkknotens unmittelbar vor dem Aussenden erzeugt und noch in die Anfrage-Nachricht eingebunden wird. Hierdurch wird näherungsweise eine Messung der tatsächlichen Signallaufzeit der Signale (Datenpakete) erreicht. Ein bezogen auf die tatsächliche Aussendung möglicherweise stattfindender, systematischer Offset fällt bei der Betrachtung von Veränderungen der Laufzeit weg, da hier jeweils die Differenz zweier Signallaufzeiten betrachtet wird.
Die Protokollierung der Empfangszeit kann vorzugsweise dadurch erfolgen, dass in dem anderen (empfangenden) Netzwerkknoten ein Empfangszeitstempel t₂ erzeugt wird, so dass durch Differenz der Zeitwerte des Empfangszeitstempels t₂ und des Ausgangszeitstempels t₁ die Signallaufzeit ermittelt wird.
Der andere (empfangende) Netzwerkknoten ist somit unmittelbar in der Lage, die Signallaufzeit von dem einen (sendenden) Netzwerkknoten zu dem anderen (empfangenden) Netzwerkknoten zu bestimmen und bei zyklischen Messungen Veränderungen festzustellen und zu bewerten.
Die Rolle von sendendem und empfangendem Netzwerkknoten kann erfindungsgemäß immer wieder wechseln, da die Anfrage-Nachrichten zyklisch und bidirektional ausgesendet werden können, d. h. in jede Kommunikationsrichtung zwischen den beiden Netzwerkknoten. Die Anfrage-Nachrichten können auch in beide Richtungen parallel gesendet werden. Insofern spricht die vorliegende Erfindung bewusst von dem „einen“ Netzwerkknoten und dem „anderen“ Netzwerkknoten in dem Kommunikationsnetzwerk. Diese Bezeichnung bezieht sich auf die eine Messung der Signallaufzeit zu einem bestimmten Zeitpunkt ausgehend von einem bestimmten Netzwerkknoten, ohne dass der eine physische Netzwerkknoten immer dem „einen“ Netzwerkknoten entsprechen muss, der die Anfrage-Nachricht aussendet.
Gemäß einer bevorzugten Weiterentwicklung des vorgeschlagenen Verfahrens zur Messung der Signallaufzeit kann der andere (empfangende) Netzwerkknoten die Empfangszeit der Anfrage-Nachricht, insbesondere also den Empfangszeitstempel t₂, in einer Antwort-Nachricht an den einen (ursprünglich sendenden) Netzwerkknoten aussenden. Dadurch kann die Auswertung sowohl in dem ursprünglich sendenden als auch in dem ursprünglich empfangenden Netzwerkknoten erfolgen.
Um im Rahmen eines Messzyklus auch eine bidirektionale Messung der Signallaufzeiten zu erreichen, kann gemäß einer erfindungsgemäßen Variante des vorgeschlagenen Verfahrens bei der Messung der Signallaufzeit vorgesehen sein, dass der andere (empfangende) Netzwerkknoten die Sendezeit der Antwort-Nachricht an den einen (ursprünglich sendenden) Netzwerkknoten protokolliert, beispielsweise in Form eines Antwortzeitstempels t₃, der analog zu dem Ausgangszeitstempel t₁ erzeugt werden kann, und in einer Nachfolge-Antwort-Nachricht an den einen (ursprünglich sendenden) Netzwerkknoten aussendet.
Der eine (ursprünglich die Anfrage-Nachricht sendende) Netzwerkknoten protokolliert dann (beispielsweise auch in Form eines Antwortempfangszeitstempels t₄) die Empfangszeit der Nachfolge-Antwort-Nachricht, so dass durch Differenz des Empfangs- und des Sendezeitpunkts der Nachfolge-Antwort-Nachricht die Laufzeit auch in der anderen Kommunikationsrichtung der bidirektionalen Kommunikationsverbindung zwischen den Netzwerkknoten ermittelt werden kann.
Durch eine vorzugsweise statistische Auswertung der vielen gewonnenen Messwerte kann beispielsweise der Mittelwert der Laufzeiten gebildet und die typische Schwankungsbreite ermittelt werden. Sobald ein Wert statistisch signifikant außerhalb dieser Schwankungsbreite liegt, beispielsweise außerhalb eines 3σ-Bereichs einer Gaußverteilung, wird eine Störung in der direkten Kommunikationsverbindung angenommen, die bei einer Verlängerung der Signallaufzeit als Zwischenschalten eines zusätzlichen Kommunikationsteilnehmers gewertet werden kann.
Grundsätzlich sind derartige Nachrichten als Teil von Messungen der Signallaufzeit gemäß den Standards IEEE 1588, IE-EE 802.1AS (als Teil von Ethernet AVB) oder des auch für die Automobilindustrie relevanten TTEthernet zur Synchronisation der Uhren eines aus verteilten Netzwerkknoten bzw. Steuergeräten aufgebauten Kommunikationsnetzwerks bekannt. Die gemäß dieser Technik bekannten Protokolle können auch erfindungsgemäß genutzt werden, wobei grundsätzlich auch proprietäre Lösungen, d. h. eigenständige Netzwerkprotokolle zur Messung der Signallaufzeiten zwischen dem Netzwerkknoten in Kraftfahrzeugen, geschaffen werden können.
Gemäß einer besonders bevorzugten Variante des erfindungsgemäß vorgeschlagenen Verfahrens kann vorgesehen sein, dass die Signallaufzeit zwischen allen Netzwerkknoten des Kommunikationsnetzwerks gemessen wird, vorzugsweise jeweils als Signallaufzeit zwischen zwei ausgewählten Netzwerkknoten. Hieraus kann beispielsweise eine Signallaufzeitkarte des Kommunikationsnetzwerks erstellt werden. Daraus können einfach signifikante Änderungen der Signallaufzeit zwischen den einzelnen Netzwerknoten abgelesen werden, beispielsweise wenn diese Signallaufzeitkarte jeweils die mittlere Signallaufzeit zwischen zwei Netzwerkknoten und deren typische Schwankungsbreite enthält. So ist es auch einfach möglich festzustellen, ob eine Signallaufzeitänderung nur eine spezielle Kommunikationsverbindung zwischen zwei Steuergeräten betrifft oder das gesamte Netzwerk. In letzterem Fall ist eher ein globaler Fehler der Netzwerkstruktur und/oder Netzwerksteuerung anzunehmen, wohingegen eine plötzliche Erhöhung eine Signallaufzeit ausschließlich zwischen zwei bestimmten Netzwerkknoten auf das Zwischenschalten eines Mitlesegerätes (Netzwerkanalysator, Tap) hindeutet.
Zu nicht signifikanten Veränderungen der Signallaufzeit gehören normale, statistisch auftretende Laufzeitveränderungen oder Laufzeitveränderungen aufgrund von Temperaturschwankungen, die jedoch in der Regel klein sind. Auch kann eine geringe Überlast am Netzwerkknoten auftreten, der die Signalannahme bzw. die dabei ausgeführten Rechenoperationen etwas verzögert. Derartige Laufzeitveränderungen können durch Festlegen Schwellenwerte unberücksichtigt bleiben, wenn die Laufzeitveränderungen die festgelegten Schwellwerte nicht überschreiben.
Aufgrund der zyklischen Messung ist es auch möglich, Schwellenwerte dynamisch aus den sich zyklisch wiederholenden Signallaufzeitmessungen abzuleiten, und so beispielsweise einer Alterung der Elektronikkomponenten in dem Fahrzeug Rechnung zu tragen, ohne dass es zu Fehlbewertungen bei der Überwachung des Kommunikationsnetzwerks kommt.
Eine besonders bevorzugten Ausführung des vorgeschlagenen Verfahrens sieht vor, dass das zeitliche Verhalten der Signallaufzeit zwischen zwei Netzwerkknoten analysiert und ein über einem Schwellenwert von beispielsweise zusätzlich 200 ns oder einem anderen vorgegebenen Schwellenwert liegender Anstieg der Signallaufzeit, insbesondere ausschließlich zwischen den zwei beteiligten Netzwerkknoten, als Indiz für das Zwischenschalten eines Netzwerkanalysators beispielsweise in Form eines Tap, gewertet wird.
Zur Bewertung der Veränderung in der Signallaufzeit kann erfindungsgemäß vorgesehen sein, dass beispielsweise über einem Schwellwert liegende Veränderungen in der Signallaufzeit protokolliert werden, die beteiligten Netzwerkknoten insbesondere in Form beispielsweise sogar sicherheitsrelevanter Steuergeräte deaktiviert werden, die geänderten Signallaufzeiten der Anwendung eines Netzwerkknotens insbesondere eines Steuergeräts mitgeteilt werden und/oder das Zwischenschalten eines Diagnosegeräts erkannt wird. Bei Erkennen eines Diagnosegerätes aufgrund der durchgeführten Signallaufzeit-Überwachung des Kommunikationsnetzwerks kann erfindungsgemäß auch ein spezieller Betriebsmodus von Netzwerkknoten respektive Steuergeräten aktiviert werden.
Bei dauerhaft geänderten Signallaufzeiten, die nicht auf einen zu meldenden Überwachungsfall hindeuten, ist es beispielsweise auch möglich, die QoS(Quality of Service)-Anforderungen der beteiligten Steuergeräte anzupassen, um Fehlermeldungen in dem System zu vermeiden und die Steuergeräte über die zu erwartenden Signallaufzeiten zu informieren, so dass diese ggf. bei zeitkritischen Sicherheitsanwendungen entsprechend berücksichtigt werden können. Ferner können Gateway-Verzögerungen zwischen verschiedenen Bussystemen, beispielsweise zwischen Ethernet und einem Fahrzeugbus (CAN oder dgl.) vorberechnet werden. Außerdem ist eine Ferndiagnose der Verbindungen über die Netzwerkknoten so möglich, um eine Überlastung bestimmter Verbindungen beispielsweise in einer Lastkarte des Kommunikationsnetzwerks anzuzeigen.
Erfindungsgemäß kann es auch sinnvoll sein, weitere in dem Fahrzeug verbaute Sensoren für die Bewertung von Signallaufzeitveränderungen heranzuziehen, die auftretenden Laufzeitverzögerungen ggf. erklären können. Ein sinnvolles Beispiel hierfür ist die Antenne, die beispielsweise über Ethernet in das Fahrzeugbussystem eingebunden ist und für die Fahrzeug-zu-Umgebung-Kommunikation genutzt wird. Wenn diese Antenne im Sommer sehr heiß ist und das Fahrzeug in eine Waschanlage einfährt, in der die Antenne sehr schnell abgekühlt wird, kann dies zu Performanceschwankungen der elektronischen Komponenten der Antenne und/oder des Zeitsynchronisationsprotokolls führen. Dies kann beispielsweise über einen Temperatursensor in der Antenne erkannt werden, so dass Signallaufzeitveränderungen in Folge einer starken Temperaturänderung der Antenne entsprechend bewertet werden können.
Die Art der insgesamt erfindungsgemäß vorgeschlagenen Überwachung hilft auch, zusätzliche komplexe und/oder rechenintensive Sicherheitsprotokolle einzusparen. Hierdurch wird das Kommunikationsnetzwerk insgesamt entlastet.
Ferner bezieht sich die Erfindung auf Netzwerksknoten, insbesondere Steuergeräte, eines Kraftfahrzeugs, die über ein Ethernet-basiertes Kommunikationsnetzwerk mit mindestens einem anderen Netzwerkknoten oder Steuergerät verbindbar oder verbunden sind und eine Recheneinheit aufweisen, die erfindungsgemäß zur Durchführung des vorbeschriebenen Verfahrens oder Teilen hiervon eingerichtet ist.
Weitere Vorteile, Merkmale oder Anwendungsmöglichkeiten der Erfindung ergeben sich auch aus der nachfolgenden Beschreibung eines Ausführungsbeispiels und der Zeichnung. Dabei bilden alle beschriebenen und/oder bildlich dargestellte Merkmale für sich oder in beliebiger Kombination den Gegenstand der vorliegenden Erfindung, auch unabhängig von ihrer Zusammenfassung in den Ansprüchen oder deren Rückbezügen. Es zeigen:
1 schematisch den Ablauf einer Kommunikation zwischen zwei Netzwerkknoten eines Ethernet-basierten Kommunikationsnetzwerks nach dem OSI-Schichtenmodell;
2 schematisch den Kommunikationsablauf zwischen den zwei Netzwerkknoten gemäß 1 bei Zwischenschaltung eines Netzwerkanalysators in der Bitübertragungsschicht (Schicht I) und
3 die Messung der Signallaufzeit zwischen zwei Netzwerkknoten zur Durchführung einer Ausführungsform des erfindungsgemäßen Verfahrens.
In 1 ist schematisch die bekannte, aber auch gemäß der vorliegenden Erfindung angewendete Ethernet-basierte Kommunikation zwischen zwei beispielsweise als Steuergeräte ausgebildeten Netzwerkknoten 1, 2 eines kabelgebundenen Kommunikationsnetzwerks 3 dargestellt, die in einem Netzwerkprotokoll nach dem OSI-Schichtenmodell mit insgesamt 7 Schichten I bis VII arbeitet. Die von den einzelnen Schichten zu übernehmenden Aufgaben sind in nicht gesondert dargestellten Recheneinheiten der Netzwerkknoten 1, 2 implementiert und in 1 schematisch dargestellt.

Nach dem an sich bekannten OSI-Schichtmodell werden die Schichten wie folgt bezeichnet:

Schicht I:	Bitübertragungssicht (Pyhsical Layer),
Schicht II:	Sicherungsschicht (Data Link Layer),
Schicht III:	Vermittlungsschicht (Network Layer),
Schicht IV:	Transportschicht (Transport Layer)
Schicht V:	Sitzungsschicht (Session Layer),
Schicht VI:	Darstellungsschicht (Presentation Layer),
Schicht VII:	Anwendungsschicht (Application Layer).

Die Schichten III bis VII dienen der Aufbereitung der physisch übertragenen Daten und ihrer Zuordnung zu speziellen Anwendungen, die auf die übertragenen Daten über die Anwendungsschicht (Schicht VII) zugreifen. Diese Schichten sind organisatorischer Art und haben mit der physischen Übertragung der Daten bzw. Datenpakete nichts zu tun. Da diese Schichten von der vorliegenden Erfindung nicht betroffen sind, wird auf eine Beschreibung des Inhalts dieser Schichten verzichtet. Diese ist dem Fachmann bekannt.
Die eigentliche Datenübertragung findet in den Schichten I und II statt. Die Schicht I (PHY – Physical Layer; Bitübertragungsschicht) beinhaltet direkt die Hilfsmittel zur Aktivierung bzw. Deaktivierung der physischen Verbindung. Hierzu zählen insbesondere Geräte und Netzkomponenten wie Verstärker, Stecker, Buchsen für das Netzwerkkabel, Repeater, Hup, Transceiver und dergleichen. Diese Schicht I dient also dem physikalischen Ansprechen des Übertragungskanals durch geeignete elektrische, optische, elektromagnetische oder Schallsignale, im Falle der leitungsgebundenen Ethernet-Kommunikationsnetzwerke üblicherweise um elektrische bzw. elektromagnetische Signale.
Die für die physische Kommunikation notwendigen Netzwerkschnittstellen sind jedem Netzwerkknoten zugeordnet und bilden die Schicht I gemäß dem OSI-Schichtenmodell. Die als Sicherungs- oder auch Verbindungsschicht bezeichnete Schicht II des OSI-Schichtmodells dient der Organisation und Steuerung einer weitestgehend fehlerfreien Übertragung und der Regelung des Zugriffs auf das Übertragungsmedium. Hierbei wird auch eine Datenflusskontrolle zwischen Sender und Empfänger realisiert. Logisch wird die Sicherungsschicht häufig in eine Medienzugriffssteuerung MAC (Medium Access Control) und eine logische Verbindungssteuerung LLC (Logical Link Control) unterteilt. Die Medienzugriffssteuerung MAC regelt, wie sich mehrere Rechner das gemeinsam genutzte physikalische Übertragungsmedium teilen. Hierzu verwendet sie u. a. die sogenannten MAC-Adressen der Kommunikationsteilnehmer, die als eindeutige Identifikation jedem Netzwerkknoten als Teilnehmer an dem Kommunikationsnetzwerk 3 zugeordnet sind. Die Medienzugriffssteuerung MAC wird von der logischen Verbindungssteuerung LLC verwaltet, indem diese eingehende Daten in jede Übertragungsrichtung verteilt und den Zugriff auf die übergeordneten Schichten der Netzwerksteuerung koordiniert. Durch die Aufgaben der Medienzugriffssteuerung MAC und der logischen Verbindungssteuerung LLC wird die sogenannte Sicherungsschicht (Schicht II) gebildet, in der die verschiedenen Netzwerkteilnehmer identifizierbar sind, um die Netzwerkkommunikation geregelt zu organisieren.
Diese logische Verwaltung ist in 1 zwischen dem Netzwerkknoten 1 und 2 in der die physische Verbindung repräsentierenden Linie des Kommunikationsnetzwerks 3 schematisch eingebunden.
Die einzige Kontrolle der Netzwerkknoten 1, 2 als Teilnehmer an dem Kommunikationsnetzwerk ergibt sich also in der Sicherungssicht (Schicht II), beispielsweise durch die eindeutigen MAC-Adressen zur Identifikation der einzelnen Netzwerkteilnehmer, die für die Medienzugriffssteuerung notwendig ist. In der Bitübertragungsschicht (Schicht I) hat ein Netzwerkknoten 1, 2 keine Kenntnis von den anderen Netzwerkknoten 2, 1 in dem Kommunikationsnetzwerk 3, sondern steuert nur die physische Kommunikation an seiner Schnittstelle zu dem Kommunikationsnetzwerk 3.
Die logische Organisation des Netzwerkes findet also, wie auch in 2 dargestellt, in der Schicht II (hier kurz als MAC bezeichnet) des OSI-Schichtenmodells zwischen den Netzwerkknoten 1 und 2 statt. Diese logische Verwaltung ist in 2 durch die gestrichelte Linie zwischen den beiden MAC-Schichten der Netzwerkknoten 1 und 2 dargestellt.
Aus der schematischen Darstellung der physikalischen Verbindung des Kommunikationsnetzwerks 3 entsprechend den durchgezogen dargestellten Pfeilen ist zu erkennen, dass die physische Verbindung durchaus aufgetrennt werden kann, ohne dass die Zugriffssteuerung (MAC gemäß der Sicherungsschicht bzw. Schicht II) dies wahrnehmen muss und kann. Hierzu ist an jeweils zwei physischen Schnittstellen PHY ein Netzwerkanalysator 4 zwischengeschaltet, der auch als sogenannter Tap (Test Access Point) bekannt ist.
Ein derartiger Tap 4 wird einfach in die bestehende Leitungsverbindung eingeschleift, kopiert beim Durchleiten des Datenstroms bitweise die Dateninformationen bzw. Datenpakte, ohne deren Inhalt zu analysieren und gibt die kopierten Dateninformationen über eine weitere Schnittstelle aus. Der physikalische Datenstrom wird einfach unverändert weitergeleitet. Somit tritt der Netzwerkanalysator 4 in dem Kommunikationsnetzwerk 3 nicht in Erscheinung. Insbesondere erhält die Sicherungsschicht (Schicht II des OSI-Schichtmodells) der Netzwerkknoten 1 und 2 keine Kenntnis von der Existenz dieses Netzwerkanalysators 4.
Gegenüber einer direkten Leitungsverbindung zwischen den Netzwerkknoten 1 und 2 führt das Durchschleifen des Datenstroms durch den Netzwerkanalysator 4 aber zu einer verlängerten Signallaufzeit der Signale (Datenpakete), die zwischen den Netzwerkknoten 1 und 2 übertragen werden.
In dem statischen Kommunikationsnetzwerk 3 eines Kraftfahrzeuges, in dem sich die Netzwerktopologie nicht ändert, wenn das Netzwerk nicht durch Eingriff in einer autorisierten Werkstatt geändert wird, ist es also möglich, Änderungen in der Signallaufzeit festzustellen und hierdurch das Einschleifen eines Netzwerkanalysators 4 festzustellen, der ggf. die zwischen dem Netzwerkknoten 1 und 2 übertragenen Daten mitlesen könnte.
Eine in diesem Zusammenhang besonders bevorzugte Möglichkeit zur Messung der Signallaufzeiten zwischen den Netzwerkknoten 1 und 2 ist in 3 schematisch dargestellt.
Ausgehend von den Netzwerkknoten 1 und 2 sind jeweils parallel verlaufende, nach unten gerichtete Zeitstrahle dargestellt sind, zwischen denen eine Kommunikation zur Messung der Signallaufzeiten zwischen den Netzwerkknoten 1 und 2 in ihrem zeitlichen Verlauf durch Pfeile repräsentiert ist.
Der eine Netzwerkknoten 1, der nachfolgend auch als sendender Netzwerkknoten 1 bezeichnet wird, sendet zur Messung der Signallaufzeit eine Anfrage-Nachricht 5 aus, die ihre eigene Sendezeit als Sendezeitstempel t₁ enthält. Dieser Sendezeitstempel t₁ wird von dem Sender bzw. Sendeempfänger des Netzwerkknotens 1 unmittelbar vor dem physischen Aussenden der Daten in das Signal (Datenpaket) eingefügt, so dass dieser Sendezeitstempel t₁ in guter Näherung die tatsächliche Sendezeit definiert. Der andere Netzwerkknotens 2, nachfolgend auch als empfangender Netzwerkknoten 2 bezeichnet, protokolliert die Empfangszeit als Empfangszeitstempel t₂ und überträgt diesen Empfangszeitstempel t₂ in einer Antwort-Nachricht 6 an den einen (ursprüngliche sendenden) Netzwerkknoten 1. Gleichzeitig protokolliert der andere, ursprünglich empfangende Netzwerkknoten 2 die Sendezeit der Antwort-Nachricht 6 als Antwortzeitstempel t₃ und überträgt diesen Antwortzeitstempel t₃ in einer Nachfolge-Antwort-Nachricht 7 an den einen, ursprünglich sendenden Netzwerkknoten 1.
Dieser eine Netzwerkknoten 1 protokolliert ferner die Empfangszeit der Antwort-Nachricht 6 als Antwortempfangszeitstempel t₄, so dass sowohl die Signallaufzeit von dem Netzwerkknoten 1 zu dem Netzwerkknoten 2 als auch die Signallaufzeit von dem Netzwerkknoten 2 zu dem Netzwerkknoten 1 durch geeignete Differenzbildung festgestellt werden kann.
Diese Messungen finden zyklisch, d. h. in vorgegebenen Zeitabständen von beispielsweise 100ms bis hin zu mehreren Sekunden oder Minuten statt. Ein erfindungsgemäß bevorzugter Zeitabstand liegt in der Größenordnung von etwa einer Sekunde, weil eine Nachricht in dieser Frequenz, d. h. mit diesem Zeitabstand, des Ethernet-Netzwerk nicht stark belastet.
Ferner ist es sinnvoll, derartige Signallaufzeitmessungen zwischen allen miteinander in Kommunikationsverbindung stehenden Netzwerkknoten 1, 2 des Kommunikationsnetzwerkes 3 durchzuführen, vorzugweise jeweils als direkte Signallaufzeit zwischen zwei Netzwerkknoten 1, 2.
Hierdurch und/oder durch eine Vorprogrammierung in der Produktion bei der ersten Inbetriebnahme des Fahrzeugs sind jeweils die typischen Signallaufzeiten zwischen allen Netzwerkknoten 1, 2 bekannt, so dass bei einer Verlängerung der Signallaufzeit von bspw. 400 ns um 200 ns auf 600 ns auf das Zwischenschalten eines Netzwerksanalysators 4 oder eines ähnlichen Gerätes geschlossen werden kann.
Besonders sinnvoll ist es, eine Signallaufzeitkarte des Kommunikationsnetzwerks 3 anzulegen, in der die typischen Signallaufzeiten mit ihrer typischen Schwankungsbreite festgelegt sind. So ist es durch Auswertung der Änderungen ggf. möglich festzustellen, ob ein Netzwerkanalysator 4 eingeschleift wurde, eine andersartige Störung des Netzwerks vorliegt oder ein Diagnosegerät zwischengeschaltet wurde. In letzterem Fall können gewisse Steuergeräte beispielsweise in einen Diagnosemodus geschaltet werden. Das Zwischenschalten von Diagnosegeräten kann beispielsweise dadurch erkannt werden, dass die Signallaufzeiten zwischen zwei bestimmten Netzwerkknoten 1, 2 um einen definierten Betrag verlängert wird.
Sowohl die Netzwerkknoten 1, 2 als auch die definierte Verlängerung sind der Überwachung des Kommunikationsnetzwerks vorzugsweise bekannt.
Grundsätzlich kann die Unterscheidung zwischen einem "guten" Gerät, das beispielsweise als Diagnosegerät eingesetzt wird, und einem "bösen" Gerät, das unberechtigter Weise die Kommunikationsdaten abhört, aufgrund mehrerer Prinzipien getroffen werden.
Beispielsweise kann beteiligten Netzwerkknoten eine neue veränderte Signallaufzeit beispielsweise in einer Werkstatt mitgeteilt werden, so dass gezielt und berechtigt vorgenommene Änderungen an dem Kommunikationsnetzwerk nicht zu Fehlalarmen führen. Weiterhin kann durch Aufrufen eines Diagnosemodus, wie er bei Steuergeräten typisch ist, die Funktion der Überwachung der Kommunikationsverbindung vorzugsweise zeitweilig deaktiviert oder der Schwellenwert verändert werden. Soll das Zwischenschalten jedoch dynamisch erfolgen, so könnte dies durch eine spezielle Kodierung kenntlich gemacht werden, beispielsweise indem das Diagnosegerät in zeitlich kurzem Wechsel in das Netzwerk eingehängt, ausgehängt, einhängt, aushängt, ... (bzw. an/aus/an/aus/an ... geschaltet) wird und dabei gewisse Zeiten zwischen den Umschaltzeiten eingehalten werden, ähnlich zu einem Morsecode. Durch eine spezielle Zertifizierung in den Protokollen auf höheren Schichten des OSI-Schichtenmodells kann das Diagnosegerät dann als solches verifiziert werden. So werden typischerweise Kommunikationspartner auf höheren Schichten authentifiziert. Dies wird dann berücksichtigt und überprüft, wenn die Schwellenwerte überschritten werden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

Standards IEEE 1588 [0022]
IE-EE 802.1AS [0022]

Claims

Verfahren zur Überwachung eines Ethernet-basierten Kommunikationsnetzwerks (3) in einem Kraftfahrzeug durch Überwachung der Kommunikationsverbindung zwischen zwei über das Kommunikationsnetzwerk (3) verbundene Netzwerkknoten (1, 2), dadurch gekennzeichnet, dass die Laufzeit der Signale zwischen Netzwerkknoten (1, 2) des Kommunikationsnetzwerks (3) bidirektional und zyklisch gemessen wird und Änderungen in der Signallaufzeit bewertet werden.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass zur Messung der Laufzeit der Signale ein Netzwerkknoten (1) eine Anfrage-Nachricht (5) an den anderen Netzwerkknoten (2) aussendet, welche Anfrage-Nachricht (5) die Sendezeit (t₁) enthält, und der andere Netzwerkknoten (2) die Empfangszeit (t₂) protokolliert.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass der andere Netzwerkknoten (2) die Empfangszeit (t₂) der Anfrage-Nachricht (5) in einer Antwort-Nachricht (6) an den einen Netzwerkknoten (2) aussendet.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass der andere Netzwerkknoten (2) die Sendezeit (t₃) der Antwort-Nachricht (6) protokolliert und in einer Nachfolge-Antwort-Nachricht (7) an den einen Netzwerkknoten (1) aussendet, wobei der eine Netzwerkknoten (1) die Empfangszeit (t₄) der Antwort-Nachricht (7) protokolliert.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Signallaufzeit zwischen allen Netzwerkknoten (1, 2) des Kommunikationsnetzwerks (3) gemessen wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das zeitliche Verhalten der Signallaufzeit zwischen zwei Netzwerkknoten (1, 2) analyisert und ein über einem Schwellwert liegender Anstieg der Signallaufzeit als Indiz für das Zwischenschalten eines Netzwerkanalysators (4) gewertet wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass Veränderungen in der Signallaufzeit protokolliert werden, die beteiligten Netzwerkknoten (1, 2) deaktiviert werden, die geänderten Signallaufzeiten der Anwendung eines Netzwerkknotens (1, 2) mitgeteilt werden und/oder das Zwischenschalten eines Diagnosegeräts erkannt und ein spezieller Betriebsmodus von Netzwerkknoten (1, 2) aktiviert wird.
Netzwerkknoten eines Kraftfahrzeugs, der über ein Ethernet-basiertes Kommunikationsnetzwerk (3) mit mindestens einem anderen Netzwerkknoten (1, 2) verbindbar ist und eine Recheneinheit aufweist, dadurch gekennzeichnet, dass die Recheneinheit des Netzwerkknotens (1, 2) zur Durchführung des Verfahrens nach einem der Ansprüche 1 bis 7 eingerichtet ist.