-
Die Erfindung betrifft ein Steuersystem für ein Kraftfahrzeug mit einem Fahrzeugnetzwerk, welches eine Sicherheitseinheit zum Erhöhen der Sicherheit in dem Fahrzeugnetzwerk umfasst.
-
Bei gewöhnlichen Kraftfahrzeugen ist es in zunehmendem Maße bekannt, eine Vielzahl von elektronischen Steuergeräten für bestimmte Bauteile und Funktionen innerhalb des Kraftfahrzeuges vorzusehen. Derartige Steuergeräte sind dabei zumeist als programmierbare Steuergeräte ausgebildet und in immer höherem Maße mit ihrer Umwelt vernetzt. Bei den Steuergeräten kann es sich zum Beispiel um eine Motorsteuerung, die Steuerung von Türen und Fenstern, die Steuerung einer Kindersicherung, die Messung oder Überwachung einer Vielzahl von für die Sicherheit relevanten Funktionen oder Funktionen zur Verhinderung, Erschwerung oder Erkennung von Einbrüchen und Diebstählen handeln. Dabei sind jeweils verschiedene Steuergeräte zu einem Fahrzeugnetzwerk zusammengefasst, die über ein oder mehrere BUS-Systeme miteinander kommunizieren, das heißt miteinander und/oder mit einer Zentrale über einen Daten-BUS bestimmte Codes für Steuerbefehle oder Messwerte übertragen.
-
Um einen unerwünschten Zugriff zu einem Steuergerät zu erschweren, beispielsweise zur Diebstahlsicherung, ist es bekannt, derartige Codes zusätzlich zu verschlüsseln oder zu verkrypten. Die Verkryptung der Codes erfolgt dabei zumeist jeweils in einem Steuergerät durch eine zusätzliche Software und muss von einem unberechtigten Benutzer herausgefunden und aufgehoben werden. Die Verkryptung durch eine Software hat den Nachteil, dass die Auswertung sowie beispielsweise ein Startvorgang, welcher die Auswertung eines Codes und die Aufhebung einer Verkryptung benötigt, relativ viel Zeit in Anspruch nimmt. Außerdem ist es für einen Unberechtigten bei einer derartigen Verkryptung weiterhin möglich, mit machbarem Aufwand an Material und Zeit das Verkryptungsprogramm beziehungsweise einen geheimen Schlüssel zu erkennen und damit die Verkryptung zu umgehen, zu manipulieren oder in einem eigenen Steuergerät nachzubilden.
-
Weiter können programmierbare Steuergeräte jederzeit kunden- und anwendungsspezifisch angepasst werden, indem die hierfür benötigten Daten und gegebenenfalls auch komplette Programmabläufe geändert werden. Diese nachträgliche Änderung erlaubt insbesondere auch eine spätere Verbesserung oder Aktualisierung des dem Steuergerät zugrunde liegenden Steuerungsprogramms. Insbesondere ist es auf diese Weise möglich, über Veränderungen der Steuerungssoftware beispielsweise auch den Funktions- und/oder den Leistungsumfang des Steuergeräts und damit des gesamten Kraftfahrzeuges nachträglich zu modifizieren. Ein Nachteil einer derartigen späteren Änderungsmöglichkeit liegt darin, dass Unberechtigte diese Möglichkeit missbrauchen können und beispielsweise unerlaubt den Funktions- und/oder Leistungsumfang des Steuergeräts nachträglich modifizieren und damit das gesamte Kraftfahrzeug tunen können. Dies hat für die Hersteller und Zulieferer zum einen den Nachteil, dass sie durch Tuning induzierte Schäden in der Garantiezeit und den damit verbundenen Kosten geschädigt werden können. Zusätzlich können nachträglich Produktdifferenzierungsmerkmale durch Unberechtigte soweit verändert werden, dass Markenpositionierungen und Markenpolitik des jeweiligen Herstellers nachhaltig gestört werden.
-
Aus der Druckschrift
EP 1959606 B1 ist ein Steuersystem für ein Kraftfahrzeug bekannt, welches eine Sicherheitseinheit umfasst. Die Sicherheitseinheit weist dabei ein Koordinationsmodul auf, welches im Falle einer Kompromittierung eines oder mehrerer Module der Sicherheitseinheit das oder die kompromittierten Module gegen ein oder mehrere der übrigen Module abkapselt, sowie ein Kryptographiemodul, mit welchem von einem anderen Modul empfangene Daten verschlüsselbar und/oder signierbar sowie von einem anderen Modul empfangene Daten entschlüsselbar und/oder Signaturen überprüfbar sind.
-
Aufgabe der vorliegenden Erfindung ist es, ein Steuersystem bzw. eine Steueranordnung für ein Kraftfahrzeug anzugeben, welches bei einwandfreier Funktion ein hohes Maß an Sicherheit, insbesondere einen hohen Manipulationsschutz gewährleistet.
-
Gemäß einer Ausführungsform der Erfindung wird diese Aufgabe gelöst durch eine Steueranordnung bzw. ein Steuersystem für ein Kraftfahrzeug, welches mindestens zwei über zumindest ein Fahrzeugnetzwerk miteinander verbundene Steuergeräte, welche miteinander über das Fahrzeugnetzwerk Daten austauschen, sowie eine an das Fahrzeugnetzwerk angebundene Sicherheitseinheit umfasst. Die Sicherheitseinheit weist dabei ein erstes Mittel zum Detektieren von Einstellungsprofilen für die mindestens zwei Steuergeräte, einen Vergleicher zum Erfassen einer Änderung der Einstellungen von zumindest einem Steuergerät und zum Vergleich der Einstellungsprofile mit den geänderten Einstellungen des zumindest einem Steuergeräts, sowie einen Speicher zum Hinterlegen von durch den Vergleicher gewonnenen Daten, falls die Einstellungsprofile von den geänderten Einstellungen abweichen insbesondere signifikant von den geänderten Einstellungen abweichen, auf.
-
Ein derartiges Steuersystem hat den Vorteil, dass dieses bei einwandfreier Funktion ein hohes Maß an Sicherheit, insbesondere einen hohen Manipulationsschutz gewährleistet. Signifikant bedeutet hierbei, dass die Änderungen erheblich von den Grundeinstellungen der Steuergeräte beziehungsweise von gewöhnlich vorgenommenen Änderungen abweichen, insbesondere über berechtigte Änderungen hinausgehen. Da Daten über Änderungen, beispielsweise über Änderungen, welche den Funktions- und/oder den Leistungsumfang der Steuergeräte nachträglich modifizieren und damit das gesamte Kraftfahrzeug tunen, wiederauslesbar hinterlegt und somit reproduzierbar sind, kann der Gefahr, dass ein Hersteller für durch die vorgenommenen Änderungen induzierte Schäden, beispielsweise durch Tuning induzierte Schäden, in der Garantiezeit haftbar und durch die damit verbundenen Kosten geschädigt werden kann, vorgebeugt werden. Weiter bezieht sich der Manipulationsschutz hierbei auf das gesamte Fahrzeugnetzwerk und somit auf sämtliche, an das Fahrzeugnetzwerk angebundene Steuergeräte. Die Sicherheitseinheit kann hierbei in eines der Steuergeräte integriert sein, oder separat von diesen als eigenständiges Element ausgebildet sein.
-
Bei den Einstellungsprofilen kann es sich dabei um ein Fahrzeugprofil und benutzerspezifische Einstellungen handeln. Somit wird gewährleistet, dass Änderungen in Steuergeräten, welche für gewöhnlich von einem Hersteller direkt eingestellt werden, beispielsweise eine Motorsteuerung oder Überwachung einer Vielzahl von für die Sicherheit relevanten Funktionen, sowie Änderungen in Steuergeräten, welche von einem Benutzer des Kraftfahrzeuges entsprechend seinen Wünschen und Gepflogenheiten eingestellt werden können, beispielsweise einer Sitzverstellung, und somit Änderungen in sämtlichen in einem gewöhnlichen Kraftfahrzeug integrierten Steuergeräten miterfasst werden können.
-
Gemäß einer Ausführungsform umfasst die Sicherheitseinheit weiter ein Koordinationsmodul zum Veranlassen einer sicherheitsgerichteten Aktion, falls die Einstellungsprofile von den geänderten Einstellungen abweichen, insbesondere signifikant von den geänderten Einstellungen abweichen. Somit kann unmittelbar auf unberechtigte Änderungen von zumindest einem Steuergerät reagiert, insbesondere die Funktionalität des Kraftfahrzeuges eingeschränkt werden. Als sicherheitsgerichtete Reaktionen sind dabei prinzipiell alle Verfahren geeignet, um unmittelbar und eindeutig anzuzeigen, dass die Einstellungsprofile signifikant von den geänderten Einstellungen abweichen, insbesondere falls unberechtigte Änderungen vorgenommen wurden.
-
So kann die sicherheitsgerichtete Reaktion ein Abschalten der Steuergeräte, deren geänderte Einstellungen von den Einstellungsprofilen abweichen, insbesondere signifikant von den Einstellungsprofilen abweichen, aufweisen. So kann insbesondere durch Abschaltung der betroffenen Steuergeräte die Funktionalität des Kraftfahrzeuges ganz oder teilweise eingeschränkt werden und folglich unmittelbar und eindeutig auf unberechtigte Änderungen reagiert werden. Ferner kann die sicherheitsgerichtete Reaktion aber auch ein teilweises Abschalten des betroffenen Steuergeräts oder eine Überführung des betroffenen Steuergeräts in einen gesicherten Zustand sein.
-
Gemäß einer weiteren Ausführungsform umfasst die Sicherheitseinheit weiter ein externes Kommunikationsmodul zum Übermitteln der Daten des Vergleichers an eine externe Einheit. Somit können einem Hersteller oder einem Zulieferer direkt nach Vornahme der signifikanten Änderungen diese mitgeteilt werden. Auch ist es insbesondere bei Veränderungen beispielsweise der Steuerungssoftware für Kraftfahrzeuge gegebenenfalls erforderlich, vor Ausführung der Änderungen eine Autorisierung beziehungsweise Freigabe durch eine dritte Stelle, beispielsweise einer Kfz-Zulassungsstelle, einzuholen. Zu diesem Zweck wird über das externe Kommunikationsmodul eine Verbindung zu einer externen Einheit der externen autorisierenden Stelle initiiert, welche die vorgenommenen Änderungen freigeben und genehmigen kann.
-
Das Fahrzeugnetzwerk kann dabei als BUS-System ausgebildet sein. Somit wird ein Kommunikationsverbund geschaffen, welcher sich aus mehreren Steuergeräten einzelner elektrischer beziehungsweise elektronischer Komponenten des Kraftfahrzeuges zusammensetzt, die durch das Fahrzeugnetzwerk als Kommunikationsnetz, einen BUS, miteinander verbunden sind. So ist es üblich, jeweils verschiedene Steuergeräte zu einem Fahrzeugnetzwerk zusammenzufassen, die über ein BUS-System miteinander kommunizieren. Verschiedene Fahrzeugnetzwerke können dann wiederum über Gateways miteinander verbunden werden, so dass auch Daten von den einzelnen Fahrzeugnetzwerken ausgetauscht werden können. Beispiele für derartige Fahrzeugnetzwerke sind CAN-, LIN- oder MOST-BUS-Systeme.
-
Weiter kann die Sicherheitseinheit ein internes Kommunikationsmodul zum Austausch von Daten zwischen der Sicherheitseinheit und den mindestens zwei Steuergeräten sowie ein mit dem internen Kommunikationsmodul gekoppeltes Kryptographiemodul zum Erzeugen, Speichern, Verwalten und/oder Verarbeiten von kryptographischen Schlüsseln für durch das interne Kommunikationsmodul empfangene Daten umfassen. Dabei wird von der Erkenntnis ausgegangen, dass die Sicherheit innerhalb eines Kommunikationsverbundes, welcher eine Vielzahl von elektrischen beziehungsweise elektronischen Einrichtungen mit entsprechenden Steuergeräten aufweist, erheblich erhöht wird, wenn ein Kryptographiemodul verwendet wird, welches kryptographisches Schlüsselmaterial auf sichere Art und Weise erzeugt und speichert. Dabei werden zur Authentisierung von vorgenommenen Änderungen kryptographische Verfahren eingesetzt, so dass die Sicherheit von den jeweiligen eingesetzten Schlüsseln abhängig ist. Beispiele für solche kryptographische Verfahren sind symmetrische kryptographische Verfahren wie beispielsweise AES, DES, 3-DES oder IDEA sowie asymmetrische kryptographische Verfahren wie beispielsweise das ECC Verfahren, welches die Operationen auf elliptischen Kurven über endlichen Körpern verwendet, oder das RSA Verfahren, bei welchem der Verschlüsselungsalgorithmus auf der Arithmetik großer Ganzzahlen beruht und die Schlüssel auf der Grundlage von zwei großen Primzahlen erzeugt werden. Ferner ist es aber auch denkbar, die Authentisierung durch bestimmte Angaben, beispielsweise durch Eingabe einer PIN, oder durch eine dynamische variable Authentisierung im Rahmen eines "Challenge Response" Verfahrens festzustellen.
-
Weiter kann das externe Kommunikationsmodul ausgebildet sein, zwischen dem Steuersystem und der externen Einheit Daten auszutauschen, sowie mit dem Kryptographiemodul gekoppelt sein zum Erzeugen, Speichern, Verwalten und/oder Verarbeiten von kryptographischen Schlüsseln für durch das externe Kommunikationsmodul empfangene Daten. Somit können auch externe Schreib- und/oder Lesezugriffe, bei welchen Daten von einer externen Einheit, beispielsweise über Datenleitungen oder über drahtlose Verbindungen an das Steuersystem übermittelt werden, bezüglich ihrer Berechtigung überprüft werden. So erfolgt die Umprogrammierung der Steuergeräte für gewöhnlich dadurch, dass eine externe Einheit an eine Datenleitung des Steuergeräts angeschlossen wird und über die Datenleitung dann die erforderlichen Daten in einen programmierbaren Speicher des Steuergeräts geschrieben werden.
-
Hierbei kann das externe Kommunikationsmodul derart ausgebildet sein, einen Schreib- und/oder Lesezugriff der externen Einheit auf das Steuersystem nur zuzulassen, falls eine Freigabe durch das Kryptographiemodul erfolgt ist. Unter Freigabe wird hierbei verstanden, dass ein Authentisierungsprozess ergeben hat, dass eine Berechtigung vorliegt. Das heißt, jeder Prozess der von außen schreibend und/oder lesend, beispielsweise über die Datenleitungen, auf Daten des Steuersystems zugreifen möchte, muss sich einer Berechtigungskontrolle unterziehen. Nur bei einer erfolgreichen Überprüfung der Berechtigung wird das Schreiben/Lesen der Daten in beziehungsweise aus dem Steuersystem veranlasst, das heißt das Einschreiben und/oder Auslesen von Daten wird zugelassen. Auf diese Art und Weise lässt sich folglich ein sicherer kryptographischer Vertrauensanker, beispielsweise unter alleiniger Kontrolle eines Automobilherstellers im Fahrzeug erzeugen, welcher kryptographische Verfahren und ihre Anwendungen die volle Wirksamkeit verleiht und die kryptographischen Operationen hinreichend schnell ausführen kann, um die Sicherheit basierend auf kryptographischen Funktionen zu gewährleisten. Dabei wird die Sicherheit insbesondere auch in zeitkritischen Zuständen im Fahrzeug gewährleistet. Dabei kann es sich um schnelle Bandprozesse zur kosteneffektiven Produktion von Fahrzeugen, um schnelle Serviceprozesse zur Minimierung der Wartungskosten, um Fahrzeug-zu-Fahrzeug-Kommunikation sowie um Online-Zugänge in das Fahrzeug handeln.
-
Gemäß einer weiteren Ausführungsform sind das Kryptographiemodul, das interne Kommunikationsmodul und das externe Kommunikationsmodul als Hardwaremodule ausgebildet. Somit werden diese nicht softwaremäßig realisiert, sondern hardwaremäßig, also durch Verdrahtung gespeichert. Dies ist vom Layout und der Schaltung so aufgebaut, dass Angriffe verschiedenster Art und mit sehr hohem Aufwand mit sehr hoher Wahrscheinlichkeit ohne Erfolg bleiben. Auch erfolgt die Auswertung wesentlich schneller, so dass mögliche Wartezeiten insbesondere bei Authentisierungsprozessen oder Startvorgängen erheblich verringert werden können.
-
Auch kann in das externe Kommunikationsmodul und/oder das interne Kommunikationsmodul eine Firewall integriert sein. Durch eine derartige Firewall wird ein weiteres Sicherungssystem bereitgestellt, das das Fahrzeugnetzwerk oder einzelne Steuergeräte vor unerwünschten Zugriffen schützt.
-
Weiter kann der Speicher derart ausgebildet sein, Daten mit hoher Sicherheitspriorität zu speichern. Unter höchster Sicherheitspriorität werden hierbei Daten der höchsten Sicherheitsstufe, das heißt sehr vertrauliche Daten und Informationen, verstanden. Somit kann sichergestellt werden, dass vertrauliche Inhalte oder sonstige vertrauliche Daten des Steuersystems nicht von einem Unberechtigten gelesen werden, das heißt unberechtigte Lesezugriffe auf die Informationen verhindert werden und lediglich Berechtigte nach entsprechender Berechtigungsprüfung auf die Informationen zugreifen können. Da der Speicher daneben auch zum Speichern der Daten des Vergleichers genutzt wird, kann dieser durch das zur Verfügung Stellen von systemweiten Funktionen ohne zusätzlichen Kostenaufwand realisiert werden.
-
Mit der Erfindung wird auch ein Kraftfahrzeug angegeben, das ein oben beschriebenes Steuersystem umfasst. Ein derartiges Kraftfahrzeug hat den Vorteil, dass ein hohes Maß an Sicherheit, insbesondere ein hoher Manipulationsschutz für die Steuergeräte des Kraftfahrzeuges gewährleistet wird, bei gleichzeitig einwandfreier Funktion. Da Daten über Änderungen der Einstellungen von Steuergeräten des Kraftfahrzeuges in einem Speicher wiederauslesbar hinterlegt und somit reproduzierbar sind, falls die Einstellungsprofile signifikant von den geänderten Einstellungen abweichen, das heißt beispielsweise falls unerlaubt der Funktions- und/oder Leistungsumfang der Steuergeräte nachträglich modifiziert und damit das gesamte Kraftfahrzeug getuned wurde, kann der Gefahr einer Inanspruchnahme eines Herstellers aufgrund von durch die Änderungen induzierten Schäden, insbesondere durch Tuning induzierte Schäden in der Garantiezeit, und damit verbundene Kosten vorgebeugt werden. Signifikant bedeutet hierbei, dass die Änderungen erheblich von den Grundeinstellungen der Steuergeräte beziehungsweise von gewöhnlich vorgenommenen Änderungen abweichen, insbesondere über berechtigte Änderungen hinausgehen. Einen besonderen Vorteil bietet die Verwendung eines solchen Steuersystems beispielsweise zur Steuerung eines Kraftfahrzeugmotors. Bei derartigen Steuergeräten ist es auch aus verkehrssicherheitstechnischen Gründen wichtig, ein unerlaubtes Ändern der Einstellungen der Steuerungsgeräte und damit der Motoren zu verhindern. Im Übrigen kann ein unautorisiertes Tunen hier auch zu einer frühzeitigen Beschädigung von Motoren oder Getriebe innerhalb der Garantiezeit führen, was wiederum einen größeren Schaden für den Fahrzeughersteller bedeutet.
-
Dabei kann die Sicherheitseinheit derart in ein Gehäuse eingeschlossen sein, dass bei einem Öffnen des Gehäuses Speicherbereiche des Speichers, welche Daten des Vergleichers und/oder Daten mit hoher Sicherheitspriorität enthalten, sowie des Kommunikationsmoduls, welche einen Schlüssel und/oder einen Verschlüsselungsalgorithmus enthalten, gelöscht und/oder zerstört werden. Dies hat den Vorteil, dass beispielsweise für eine ganze Serie von Steuersystemen dieselben geheimen Schlüssel oder kryptographischen Verfahren eingesetzt werden können, oder auch asymmetrische kryptographische Verfahren eingesetzt werden können, ohne dass die Gefahr besteht, dass eine unbefugte Person ein Steuersystem dieser Serie öffnet und dabei bewusst die Zerstörung der Funktionsfähigkeit in Kauf nimmt, um so die Kenntnis der geheimen Schlüssel beziehungsweise Verfahren zu erlangen, welche dann zum unerlaubten Modifizieren von anderen Steuersystemen derselben Art verwendet werden können.
-
Auch kann die Sicherheitseinheit an einer von außen unzugänglichen Stelle in das Fahrzeug integriert sein. Dass die Sicherheitseinheit an einer von außen unzugänglichen Stelle im Kraftfahrzeug integriert ist, bedeutet hierbei, dass die Sicherheitseinheit nicht direkt von außen offensichtlich ist und beispielsweise mehrere Schrauben geöffnet werden müssen, bevor auf die Sicherheitseinheit zugegriffen werden kann. Hierdurch kann die Gefahr, dass eine nicht berechtigte Person eine derartige Sicherheitseinheit eines Steuersystems dieser Serie öffnet und dabei bewusst die Zerstörung der Funktionsfähigkeit in Kauf nimmt, beispielsweise um so die Kenntnis der in der in der Sicherheitseinheit abgelegten geheimen Schlüssel beziehungsweise Verfahren zu erlangen, weiter minimiert werden.
-
Zusammenfassend ist festzustellen, dass mit der vorliegenden Erfindung ein Steuersystem für ein Kraftfahrzeug angegeben wird, welches bei einwandfreier Funktion ein hohes Maß an Sicherheit, insbesondere einen hohen Manipulationsschutz gewährleistet.
-
Da Daten über signifikante Änderungen der Einstellungen von Steuergeräten in einem Speicher reproduzierbar hinterlegt werden, kann die Gefahr einer Inanspruchnahme des Herstellers aufgrund von durch unberechtigtes Modifizieren des Funktions- und/oder Leistungsumfangs der Steuergeräte induzierten Schäden, beispielsweise aufgrund von durch Tuning induzierten Schäden in der Garantiezeit, und damit verbundenen Kosten vorgebeugt werden.
-
Weiter kann die Sicherheit bei einem Datenaustausch über das Fahrzeugnetzwerk oder bei einem Schreibe/Lesezugriff einer externen Einheit auf das Steuersystem durch Verwendung eines Kryptographiemoduls und somit durch eine Authentisierung auf Basis von kryptographischen Verfahren weiter erhöht werden.
-
Die Erfindung wird nun anhand der beigefügten Figuren näher erläutert.
-
1 zeigt ein schematisches Blockschaltbild eines Steuersystems für ein Kraftfahrzeug gemäß Ausführungsformen der Erfindung;
-
2 zeigt ein schematisches Blockschaltbild einer Sicherheitseinheit eines Steuersystems für ein Kraftfahrzeug gemäß Ausführungsformen der Erfindung.
-
1 zeigt ein schematisches Blockschaltbild eines Steuersystems 1 für ein Kraftfahrzeug gemäß Ausführungsformen der Erfindung.
-
Wie 1 zeigt, weist das Steuersystem 1 eine Vielzahl elektrischer beziehungsweise elektronischer Komponenten 2 auf. Die einzelnen elektrischen beziehungsweise elektronischen Komponenten 2 wiederum weisen jeweils ein Steuergerät 3 auf, wobei die einzelnen Steuergeräte 3 untereinander zum Austausch von Daten über ein Fahrzeugnetzwerk 4 verbunden sind. Weiter zeigt 1 eine an das Fahrzeugnetzwerk 4 angebundene Sicherheitseinheit 5. Wie zu erkennen ist, weist die Sicherheitseinheit 5 ein erstes Mittel 6, welches ausgebildet ist, Einstellungsprofile für die Steuergeräte 3 zu detektieren, einen Vergleicher 7, welcher ausgebildet ist, eine Änderung der Einstellungen von zumindest einem Steuergerät 3 zu erfassen und die Einstellungsprofile mit den geänderten Einstellungen des zumindest einem Steuergeräts 3 zu vergleichen, sowie einen Speicher 8 zum Hinterlegen von durch den Vergleicher 7 gewonnenen Daten, falls die Einstellungsprofile signifikant von den geänderten Einstellungen abweichen, auf. Signifikant bedeutet hierbei, dass die Änderungen erheblich von den Grundeinstellungen der Steuergeräte beziehungsweise von gewöhnlich vorgenommenen Änderungen abweichen, insbesondere über berechtigte Änderungen hinausgehen. In den Ausführungsformen der 1 ist die Sicherheitseinheit 5 als separates Bauteil gezeigt. Ferner kann die Sicherheitseinheit 5 aber auch in ein Steuergerät 3 integriert werden.
-
Dies ermöglicht es, dass signifikante Änderungen der Einstellungen der Steuergeräte 3, beispielsweise Änderungen, welche den Funktions- und/oder Leistungsumfang der Steuergeräte 3 nachträglich modifizieren und damit das gesamte Kraftfahrzeug tunen, reproduzierbar hinterlegt sind, so dass der Gefahr für einen Hersteller aufgrund von durch die Änderungen induzierten Schäden, beispielsweise durch Tuning induzierte Schäden in der Garantiezeit, in Anspruch genommen und durch damit verbundene Kosten geschädigt zu werden, vorgebeugt werden kann.
-
Das in 1 gezeigte erste Mittel 6 ist dabei derart ausgebildet, als Einstellungsprofile ein Fahrzeugprofil und benutzerspezifische Einstellungen zu detektieren, so dass Änderungen der Einstellungen von Steuergeräten 3, welche direkt durch einen Hersteller eingestellt werden, beispielsweise eine Motorsteuerung oder von für die Sicherheit relevanten Funktionen, sowie Steuergeräte 3, welche ein Benutzer entsprechend seinen Wünschen und Gepflogenheiten einstellen kann, beispielsweise eine Sitzverstellung, mit erfasst werden.
-
In den dargestellten Ausführungsformen ist das Fahrzeugnetzwerk 4 als BUS-System 9 ausgebildet. Bei solchen Fahrzeug-Busen kann es sich beispielsweise um einen oder mehrere CAN-Buse handeln. Weitere Beispiele für derartige Fahrzeugnetzwerke 4 sind LIN- oder MOST-BUS-Systeme.
-
Der Speicher 8 der Sicherheitseinheit 5 gemäß 1 ist weiter derart ausgebildet, Daten mit hoher Sicherheitspriorität zu speichern. Unter höchster Sicherheitspriorität werden hierbei Daten der höchsten Sicherheitsstufe, das heißt sehr vertrauliche Daten und Informationen, verstanden. Somit kann sichergestellt werden, dass vertrauliche Informationen oder sonstige vertrauliche Daten des Steuersystems 1 nicht von einem unberechtigten Dritten gelesen werden.
-
Auch zeigt 1 die Sicherheitseinheit 5 in einem gekapselten Gehäuse, welches durch die mit Bezugszeichen 10 versehene strichlierte Linie symbolisiert wird. Das Gehäuse ist dabei so verschlossen, dass jede Öffnung zu einer irreversiblen Zerstörung der Funktionsfähigkeit des Steuersystems 1 führt.
-
Bevorzugt ist die Sicherheitseinheit 5 weiter an einer von außen unzugänglichen Stelle in das Kraftfahrzeug integriert.
-
2 zeigt ein schematisches Blockschaltbild einer Sicherheitseinheit 5 eines Steuersystems 1 für ein Kraftfahrzeug gemäß Ausführungsformen der Erfindung. Komponenten oder Bauteile mit gleicher Konstruktion oder Funktion wie in 1 tragen dieselben Bezugszeichen und werden nicht extra erörtert.
-
Die an das Fahrzeugnetzwerk 4 angeschlossene Sicherheitseinheit 5 der 2 weist ein Koordinationsmodul 11, ein externes Kommunikationsmodul 12, ein internes Kommunikationsmodul 13 sowie ein Kryptographiemodul 14 auf.
-
Das Koordinationsmodul 11 der Sicherheitseinheit 5 gemäß 2 ist dabei derart ausgebildet, eine sicherheitsgerichtete Aktion zu veranlassen, falls die Einstellungsprofile signifikant von den geänderten Einstellungen abweichen. Als sicherheitsgerichtete Reaktionen sind dabei prinzipiell alle Verfahren geeignet, um die signifikante Abweichung eindeutig anzuzeigen.
-
Gemäß den Ausführungsformen der 2 handelt es sich bei der sicherheitsgerichteten Reaktion um ein Abschalten der Steuergeräte 3, deren geänderte Einstellungen signifikant von den Einstellungsprofilen abweichen. Ferner kann die sicherheitsgerichtete Reaktion aber auch ein teilweises Abschalten der Steuergeräte 3, deren geänderte Einstellungen signifikant von den Einstellungsprofilen abweichen, oder ein Überführen dieser Steuergeräte 3 in einen gesicherten Zustand umfassen.
-
Das externe Kommunikationsmodul 12 gemäß den Ausführungsformen der 2 ist weiter derart ausgebildet, die Daten des Vergleichers 7 an eine externe Einheit 15 zu übermitteln. Somit können einem Hersteller und einem Zulieferer unberechtigte Änderungen der Einstellungen von Steuergeräten 3 direkt angezeigt werden. Auch kann hierdurch vor Ausführung der Änderungen eine Autorisierung beziehungsweise Freigabe durch eine dritte Stelle, beispielsweise eine Kfz-Zulassungsstelle, eingeholt werden. Der Datentransfer zwischen dem externen Kommunikationsmodul 12 und der externen Einheit 15 wird hierbei durch den mit Bezugszeichen 16 versehenen Pfeil symbolisiert. Dieser ist hierbei drahtlos ausgebildet. Ferner kann der Austausch von Daten zwischen dem externen Kommunikationsmodul 12 und der externen Einheit 15 aber auch über Datenleitungen des Bus-Systems 9 erfolgen.
-
Wesentlicher funktioneller Bestandteil der Sicherheitseinheit 5 gemäß 2 ist weiter das Kryptographiemodul 14, mit welchem kryptographische Schlüssel erzeugt, gespeichert, verwaltet und/oder verarbeitet werden können. Das Kryptographiemodul 14 stellt eine sichere Umgebung für das Erzeugen und Verwalten von kryptographischem Schlüsselmaterial zur Verfügung. Somit werden sichere Speicherbereiche zur Verfügung gestellt, welche gegen ein unautorisiertes Lesen und/oder Schreiben von beliebigen Daten, insbesondere aber kryptographischen Schlüsseln, geschützt sind. Diese Speicherbereiche sind ferner hinsichtlich des Zugriffes und der Verwaltung der dort abgelegten Daten konfigurierbar. So lässt sich Einstellen, ob diese Daten wieder exportierbar sind oder nur innerhalb der Sicherheitseinheit 5 verwendet werden sollen. Bei den durch das Kryptographiemodul 14 initiierten kryptographischen Verfahren kann es sich um symmetrische kryptographische Verfahren wie beispielsweise AES, DES, 3-DES oder IDEA sowie asymmetrische kryptographische Verfahren wie beispielsweise das ECC Verfahren, welches die Operationen auf elliptischen Kurven über endlichen Körpern verwendet, oder das RSA Verfahren, bei welchem der Verschlüsselungsalgorithmus auf der Arithmetik großer Ganzzahlen beruht und die Schlüssel auf der Grundlage von zwei großen Primzahlen erzeugt werden, handeln. Wie in 2 gezeigt, umfasst das dargestellte Kryptographiemodul 14 dabei weiter einen Zufallszahlengenerator 17 sowie mehrere Counter 18. Das Kryptographiemodul 14 ist somit in der Lage, mittels interner Befehle der Sicherheitseinheit 5 Zufallszahlen in konfigurierbarer Länge und/oder symmetrische Schlüssel in konfigurierbarer Länge und/oder asymmetrische Schlüssel in konfigurierbarer Länge zu erzeugen. Weiter weist das Kryptographiemodul 14 eine generische Schnittstelle auf und sind konfigurierbare Algorithmen implementiert, was bedeutet, dass das Kryptographiemodul 14 über die Bedatung bezüglich der Algorithmen konfiguriert werden kann, wobei die generische Schnittstelle nach außen gleich bleibt. Auf diese Weise können beliebige Daten verschlüsselt beziehungsweise symmetrisch oder asymmetrisch elektronisch signiert werden oder auch ein Fingerprint der Daten berechnet werden. Ferner besitzt das Kryptographiemodul 14 eine Schnittstelle 19, über welche es an eine PKI (Public Key Infrastructure) angebunden werden kann. Folglich lässt sich ein asymmetrisches Schlüsselpaar sicher erzeugen und abspeichern und eine Zertifizierungsanfrage für die PKI exportieren.
-
Das interne Kommunikationsmodul 13 der 2 ist dabei derart ausgebildet, einen Austausch von Daten zwischen der Sicherheitseinheit 5 und den Steuergeräten 3 zu gewährleisten. Somit können für innerhalb des Fahrzeugnetzwerkes 4, zwischen den Steuergeräten 3 ausgetauschten Daten, das heißt bestimmte Codes für Steuerbefehle oder Messwerte, elektronische Signaturen inklusive der gegebenenfalls zugehörigen Zertifikatskette erzeugt und überprüft werden.
-
Das externe Kommunikationsmodul 12 gemäß 2 ist weiter derart ausgebildet, zwischen dem Steuersystem 1 und der externen Einheit 15 Daten auszutauschen.
-
Insbesondere ist das externe Kommunikationsmodul 12 derart ausgebildet, einen Schreib/Lesezugriff der externen Einheit 15 auf das Steuersystem 1 nur zuzulassen, falls eine Freigabe durch das Kryptographiemodul 14 erfolgt ist. Somit wird ein "Torwächter" bereitgestellt, welcher alle von extern hereinkommenden Daten überprüft und somit jeden Schreib- und/oder Lesezugriff auf seine Authentizität hin kontrolliert. Da das Kryptographiemodul 14 somit in der Lage ist, Speicherbereiche innerhalb des Steuersystems 1, welche außerhalb der Sicherheitseinheit 5 liegen, gegen unberechtigte externe Lese- und/oder Schreibzugriffe zu schützen, lässt sich folglich ein sicherer kryptographischer Vertrauensanker erzeugen.
-
Das Kryptographiemodul 14, das interne Kommunikationsmodul 13 und das externe Kommunikationsmodul 12 sind dabei weiter als Hardwaremodule ausgebildet. Dies ist wesentlich sicherer als eine Verkryptung durch Software. Zudem erfolgt die Auswertung wesentlich schneller, so dass mögliche Wartezeiten bei der Auswertung der Daten beträchtlich verringert werden können. Ein derartiges Kryptographiemodul kann beispielsweise als ASIC oder als FPGA realisiert werden.
-
Weiter zeigt 2 eine in das externe Kommunikationsmodul 12 sowie eine in das interne Kommunikationsmodul 13 integrierte Firewall 20. Diese bildet ein weiteres Sicherungssystem, das das Fahrzeugnetzwerk 4 sowie die einzelnen Steuergeräte 3 vor unerwünschten Zugriffen schützt.
-
Obwohl zumindest eine beispielhafte Ausführungsform in der vorhergehenden Beschreibung gezeigt wurde, können verschiedene Änderungen und Modifikationen vorgenommen werden. Die genannten Ausführungsformen sind lediglich Beispiele und nicht dazu vorgesehen, den Gültigkeitsbereich, die Anwendbarkeit oder die Konfiguration in irgendeiner Weise zu beschränken. Vielmehr stellt die vorhergehende Beschreibung dem Fachmann einen Plan zur Umsetzung zumindest einer beispielhaften Ausführungsform zur Verfügung, wobei zahlreiche Änderungen in der Funktion und der Anordnung von in einer beispielhaften Ausführungsform beschriebenen Elementen gemacht werden können, ohne den Schutzbereich der angefügten Ansprüche und ihrer rechtlichen Äquivalente zu verlassen.
-
Bezugszeichenliste
-
- 1
- Steuersystem
- 2
- Elektrische bzw. elektronische Komponenten
- 3
- Steuergeräte
- 4
- Fahrzeugnetzwerk
- 5
- Sicherheitseinheit
- 6
- erstes Mittel
- 7
- Vergleicher
- 8
- Speicher
- 9
- BUS-System
- 10
- Gehäuse
- 11
- Koordinationsmodul
- 12
- Externes Kommunikationsmodul
- 13
- Internes Kommunikationsmodul
- 14
- Kryptographiemodul
- 15
- Externe Einheit
- 16
- Datentransfer
- 17
- Zufallszahlengenerator
- 18
- Counter
- 19
- PKI Schnittstelle
- 20
- Firewall
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
