DE102012224234A1

DE102012224234A1 - Verfahren zur Kontrolle von Daten-Frames mit redundantem Identifikator auf einem Datenbus sowie Datenbus-Schnittstellenmodul

Info

Publication number: DE102012224234A1
Application number: DE201210224234
Authority: DE
Inventors: Hans Gregor Molter; Jochen Hechler
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Automotive Technologies GmbH
Priority date: 2012-12-21
Filing date: 2012-12-21
Publication date: 2014-06-26

Abstract

Verfahren zur Kontrolle von Daten-Frames mit redundantem Identifikator (3, 3‘) auf zumindest einem Datenbus, insbesondere einem CAN-Bus, wobei zumindest ein erster Busteilnehmer mindestens einen Daten-Frame (1, A) mittels des Datenbusses an zumindest einen zweiten, den Daten-Frame (1, A) auf dem Datenbus empfangenden und/oder lesenden Busteilnehmer überträgt, welches sich weiterhin dadurch auszeichnet, dass der zweite Busteilnehmer den über den Datenbus empfangenen und/oder gelesenen Identifikator (3) mit mindestens einem dem zweiten Busteilnehmer zugewiesenen Identifikator (3‘) vergleicht und vor Abschluss der Übertragung des Daten-Frames (1, A) eine weitere Übertragung des Daten-Frames (1, A) auf dem Datenbus unterbindet und/oder einen Abbruch der Übertragung des Daten-Frames (1, A) durch den ersten Busteilnehmer veranlasst, wenn durch den zweiten Busteilnehmer eine Übereinstimmung des Identifikators (3) des Daten-Frames (1, A) mit dem Identifikator (3‘) des zweiten Busteilnehmers festgestellt wird. Die Erfindung beschreibt weiterhin ein Datenbus-Schnittstellenmodul.

Description

Die vorliegende Erfindung betrifft ein Verfahren zur Kontrolle von Daten-Frames mit redundantem Identifikator auf einem Datenbus gemäß Oberbegriff von Anspruch 1 sowie ein Datenbus-Schnittstellenmodul gemäß Oberbegriff von Anspruch 5.
Datenbus-Systeme finden in vielfältigen technischen Bereichen Anwendung. Beispiele hierfür sind die Automobil- und Flugzeugtechnik, wobei insbesondere die Kommunikation von elektronischen Kontrolleinheiten (ECU) unter Verwendung von Bussystemen realisiert wird. Erfolgt in einem Bussystem das Versenden von Daten-Frames eines Busteilnehmers an alle weiteren Busteilnehmer, wird von einem sogenannten Broadcast-Verfahren gesprochen. Operiert der Datenbus dabei ohne definierte Zeitfenster, in welchen ein bestimmter Busteilnehmer einen Daten-Frame senden kann, erfolgen die Sendevorgänge der Busteilnehmer zu beliebigen Zeitpunkten, aber insbesondere wenn der Datenbus nicht durch einen bereits stattfindenden Übertragungsvorgang belegt ist.
Zur Unterscheidung des Inhalts der Daten, beispielsweise ob ein Temperatur- oder Druckwert vorliegt, weist jeder Daten-Frame einen Identifikator auf, wobei jeder Busteilnehmer Daten-Frames mit mehreren unterschiedlichen Identifikatoren auf den Datenbus versenden kann. Den Busteilnehmern sind zur Vermeidung von Überschneidungen disjunkte Mengen dieser Identifikatoren zugewiesen. Jedem Daten-Frame könnte zwar aus logischen Gesichtspunkten ein Busteilnehmer zugeordnet werden, aber insbesondere ein CAN-Netzwerk erzwingt diese logische Zuordnung nicht. Ein Busteilnehmer, welcher ein Daten-Frame empfängt, erhält daher keine Information darüber, welcher Busteilnehmer der tatsächlich Sendende ist. Somit könnte beispielsweise ein beliebiger Busteilnehmer eines Kraftfahrzeugs unter Verwendung eines entsprechenden Identifikators einen Daten-Frame zum Öffnen der Türen an ein Tür-Steuergerät übermitteln. Der Busteilnehmer, welchem der Identifikator tatsächlich zugeordnet ist, sollte jedoch zu ebendiesem Zeitpunkt keinen Daten-Frame mit identischem Identifikator übermitteln. Weiterhin darf keine Nachricht mit höherer Priorität am Datenbus vorliegen.
Solchermaßen redundante Identifikatoren können unter anderem durch gezielte Eingriffe bzw. Manipulationen oder Fehler erzeugt werden. Unter Umständen könnten dadurch potentiell gefährliche Situationen für Personen entstehen oder private Informationen offengelegt werden, wenn Sicherheitsmechanismen umgangen bzw. unberechtigte Zugriffe auf Kraftfahrzeugfunktionen erzielt werden. Eingriffe können besonders durch den Fahrzeughalter selbst, durch Servicepersonal oder Dritte, welche Zugang zum Fahrzeug haben, vorgenommen werden, wobei ein entsprechender Daten-Frame von einem manipulierten Busteilnehmer oder einem externen Modul gesendet würde. Aufgrund zunehmender Kommunikationsanbindung von Fahrzeugen beispielsweise an Internet, weitere Fahrzeuge oder Infrastruktur werden Eingriffe auch ohne direkten physischen Zugang zum Fahrzeug selbst möglich und wahrscheinlicher.
In der WO 2011/049738 A1 wird ein Verfahren zur sicheren Kommunikation zwischen sowie Verifikation von Busteilnehmern eines CAN-Bussystems beschrieben, wobei die Kommunikation der Busteilnehmer untereinander unter Verwendung eines Sicherheitsschlüssels erfolgt. Die Verifikation der Busteilnehmer ist über einen Vergleich einer CAN-Busteilnehmer-Identifikation mit einer CAN-System-Identifikation realisiert. Sind diese kompatibel, erfolgt eine Aktivierung des CAN-Busteilnehmers.
Die Aufgabe der Erfindung besteht nun darin, eine Möglichkeit bereitzustellen, wodurch Daten-Frames mit redundantem Identifikator auf einem Datenbus vermieden werden können.
Diese Aufgabe wird gelöst durch ein Verfahren gemäß Anspruch 1 sowie ein Datenbus-Schnittstellenmodul gemäß Anspruch 5.
Die Erfindung beschreibt ein Verfahren zur Kontrolle von Daten-Frames mit redundantem Identifikator auf zumindest einem Datenbus, insbesondere einem CAN-Bus, wobei zumindest ein erster Busteilnehmer mindestens einen Daten-Frame mittels des Datenbusses an zumindest einen zweiten, den Daten-Frame auf dem Datenbus empfangenden und/oder lesenden Busteilnehmer überträgt, welches sich weiterhin dadurch auszeichnet, dass der zweite Busteilnehmer den über den Datenbus empfangenen und/oder gelesenen Identifikator mit mindestens einem dem zweiten Busteilnehmer zugewiesenen Identifikator vergleicht und vor Abschluss der Übertragung des Daten-Frames eine weitere Übertragung des Daten-Frames auf dem Datenbus unterbindet und/oder einen Abbruch der Übertragung des Daten-Frames durch den ersten Busteilnehmer veranlasst, wenn durch den zweiten Busteilnehmer eine Übereinstimmung des Identifikators des Daten-Frames mit dem Identifikator des zweiten Busteilnehmers festgestellt wird. In vorteilhafter Weise wird somit ein aktiver Schutz gegen Daten-Frames mit redundanten Identifikatoren erzielt. Hierdurch ist es insbesondere möglich, potentiell gefährliche Situationen für Personen zu verhindern und/oder einen Zugriff auf möglicherweise private Informationen zu unterbinden.
Gemäß einer besonders bevorzugten Ausführungsform sendet der zweite Busteilnehmer zur Unterbindung der weiteren Übertragung des Daten-Frames und/oder zum Abbruch der Übertragung des Daten-Frames durch den ersten Busteilnehmer einen Fehler-Frame auf den Datenbus.
Bevorzugt wird ein Fehlerzähler des zweiten Busteilnehmers in Folge des Sendens des Fehler-Frames nicht erhöht, wenn durch den zweiten Busteilnehmer ein redundanter und/oder dem zweiten Busteilnehmer zugewiesener Identifikator erkannt wurde.
Nach einer Abtrennung des zweiten Busteilnehmers vom Datenbus wird der Identifikator des abgetrennten zweiten Busteilnehmers bevorzugt einer zentralen Einheit, insbesondere einem Gateway, zugeordnet und/oder durch die zentrale Einheit überwacht.
Die Erfindung beschreibt weiterhin ein Datenbus-Schnittstellenmodul, insbesondere CAN-Tranceiver, welches/welcher sich dadurch auszeichnet, dass dieses/dieser das erfindungsgemäße Verfahren ausführt.
Weitere bevorzugte Ausführungsformen ergeben sich aus der nachfolgenden Beschreibung eines Ausführungsbeispiels an Hand von Figuren.
Es zeigen:
1 eine Prinzipdarstellung eines CAN-Bus-Signals gemäß dem Stand der Technik und
2 eine Prinzipdarstellung des erfindungsgemäßen Verfahrens zur Kontrolle von Nachrichten mit redundantem Identifikator auf einem CAN-Bus
In 1 ist ein an sich bekanntes Daten-Frame 1 eines CAN-Bus-Signals dargestellt, wobei nachfolgend lediglich die für die vorliegende Erfindung wesentlichen Felder von CAN-Frame 1 genannt werden. Im Anschluss an Feld 2, welches den Beginn des Frames anzeigt, folgt Identifikator 3 des Daten-Frames sowie weitere Kontrollfelder 4. Die eigentlichen, zu übertragenden Informationen befinden sich in Datenfeld 5. Im Anschluss an Datenfeld 5 folgt das Prüfsummenfeld 6 sowie das Bestätigungsfeld 7. Mittels Bestätigungsfeld 7 quittieren die nicht sendenden Busteilnehmer, also die Empfänger, den Empfang von Daten-Frames. Feld 8 bildet den Abschluss von Daten-Frame 1.
Beginnen zwei verschiedene Busteilnehmer Daten-Frames zu versenden, wird lediglich der Daten-Frame mit höherer Priorität übermittelt. Die Priorisierung der Übermittlung erfolgt in an sich bekannter Weise mittels Arbitrierung. Ein erster Busteilnehmer sendet beispielsweise einen Daten-Frame mit dem Identifikator „01011010010“ und der zweite Busteilnehmer einen Daten-Frame mit dem Identifikator „01011110010“. Beide Busteilnehmer beginnen im Wesentlichen zeitgleich mit der Übermittlung. Während der Übermittlung der einzelnen Bits erfolgt durch die Busteilnehmer parallel ein Lesevorgang auf dem CAN-Bus, wobei eine Abfrage durchgeführt wird, die feststellt, ob das jeweils gesendete Bit dem Wert des soeben gesendeten Bits auf dem CAN-Bus entspricht. Nachdem beide Busteilnehmer den Teil „01011“ ihres jeweiligen Identifikators übermittelt haben, sendet der erste Busteilnehmer eine dominante „0“ und der zweite Busteilnehmer eine rezessive „1“. Der zweite Busteilnehmer liest eine „0“ auf dem Bus und stellt das Senden des Daten-Frames ein, während der erste Busteilnehmer das Senden des Daten-Frames fortsetzt. Nach erfolgreicher Übermittlung und nicht durch weitere Daten-Frames belegten Datenbus erfolgt ein weiterer Übermittlungsversuch durch den zweiten Busteilnehmer.
Wird durch einen empfangenden Busteilnehmer eine fehlerhafte Übermittlung eines Daten-Frames erkannt, sendet dieser in an sich bekannter Weise einen Fehler-Frame. Ein Fehler-Frame besteht initial aus fünf einzelnen, dominanten 0 Bits und überschreibt daher jegliche Kommunikation auf dem CAN-Bus. Nach vier gleichen Bits auf dem CAN-Bus wird häufig ein sogenannter inverser Bitstopfen eingefügt, womit jeder empfangende Busteilnehmer das Fehler-Frame erkennt und den bis zu diesem Zeitpunkt empfangenen Daten-Frame verwirft. Der sendende Busteilnehmer bricht in Folge der Erkennung des Fehler-Frames die Übermittlung ab.
Gemäß 2 erfolgt beispielsgemäß durch einen ersten, manipulierten Busteilnehmer die Übermittlung von Daten-Frame A mit dem Identifikator 3 „01011010010“, welcher tatsächlich bzw. auch einem zweiten Busteilnehmer zugeordnet ist. Der zweite Busteilnehmer liest den über den Datenbus übertragenen Daten-Frame A, was in 2 durch Bereich B veranschaulicht ist, und vergleicht Identifikator 3 mit dem/den ihm zugeordneten Identifikator(en). Nach der vollständigen Übertragung von Identifikator 3 durch den ersten Busteilnehmer, erkennt der zweite Busteilnehmer die Übermittlung des ihm zugeordneten Identifikators 3‘ durch einen anderen Busteilnehmer. Eine Information, welcher Busteilnehmer Identifikator 3 verwendet, ist aufgrund des Broadcast-Verfahrens in dieser Form nicht möglich. Der zweite Busteilnehmer sendet in Folge des redundanten Identifikators 3 des Daten-Frame A Fehler-Frame C, woraufhin die weiteren empfangenden Busteilnehmer Daten-Frame A verwerfen und der erste Busteilnehmer die Übertragung abbricht.
Weiterhin führt jeder Busteilnehmer in an sich bekannter Weise einen Zähler für fehlgeschlagene Übertragungen (TEC) mit sich, der immer dann inkrementiert wird, wenn ein Fehler-Frame während des Sendens eines Daten-Frames vom sendenden Busteilnehmer empfangen wird. Hat der TEC einen vorher definierten Schwellwert einer maximalen Anzahl an Sendeversuchen überschritten, trennt sich der Busteilnehmer selbstständig vom Bus ab, wodurch weitere Sendeversuche unterbunden werden. Weiterhin existiert ein Fehlerzähler (REC), welcher durch Senden eines Fehler-Frames inkrementiert wird. Nach Überschreitung eines Schwellwertes der maximalen Anzahl an gesendeten Fehler-Frames erfolgt eine Abtrennung des Fehler-Frame sendenden Busteilnehmers vom Datenbus.
Der erste Busteilnehmer erkennt die fehlerhafte Übermittlung von Daten-Frame A und inkrementiert den TEC. Gemäß CAN-Protokoll wiederholt der erste Busteilnehmer die Sendeversuche von Daten-Frame A, wobei der Empfang und/oder das Senden auch dieser wiederholten Versuche durch den ersten Busteilnehmer durch Aussendung weiterer Fehler-Frames C unterbrochen und der TEC des ersten Busteilnehmers inkrementiert wird. Nach Überschreitung der maximalen Anzahl an Sendeversuchen trennt sich der erste Busteilnehmer vom Datenbus ab und das weitere Senden von Daten-Frames wird unterbunden.
Der Fehlerzähler des zweiten Busteilnehmers wird durch das Senden von Fehler-Frame C in Folge der Erkennung eines ihm zugeordneten, jedoch von einem weiteren Busteilnehmer gesendeten redundanten Identifikators 3 nicht inkrementiert. Andernfalls könnte durch eine Vielzahl von Busteilnehmern, welche den zum zweiten Busteilnehmer redundanten Identifikator 3 nutzen, der REC des zweiten Busteilnehmers durch fortwährendes Senden soweit inkrementieren werden, dass sich der zweite Busteilnehmer selbsttätig vom Datenbus abtrennt.
Um zu vermeiden, dass Daten-Frames mit Identifikator 3‘ des zweiten Busteilnehmers nach einer manipulativen Abtrennung des zweiten Busteilnehmers genutzt werden können, kann zusätzlich oder optional eine Überwachung durch eine zentrale Einheit, wie zum Beispiel einem Gateway, vorgenommen werden. Die Abtrennung des zweiten Busteilnehmers kann durch die zentrale Einheit beispielsweise mittels einer individuellen, hinterlegten Authentifizierungssignatur festgestellt werden, wobei jeder Busteilnehmer sich mit dieser Signatur bei der zentralen Einheit bzw. am Datenbus registriert. Sendet ein Busteilnehmer einen Daten-Frame A mit keiner, einer ungültigen oder einer vom zweiten Busteilnehmer abweichenden Authentifizierungssignatur in Verbindung mit Identifikator 3, welcher tatsächlich dem zweiten Busteilnehmer zugeordnetet ist, kann die Unterdrückung dieser Daten-Frames durch die zentrale Einheit gemäß dem beschriebenen Verfahren erfolgen.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

WO 2011/049738 A1 [0005]

Claims

Verfahren zur Kontrolle von Daten-Frames mit redundantem Identifikator (3, 3‘) auf zumindest einem Datenbus, insbesondere einem CAN-Bus, wobei zumindest ein erster Busteilnehmer mindestens einen Daten-Frame (1, A) mittels des Datenbusses an zumindest einen zweiten, den Daten-Frame (1, A) auf dem Datenbus empfangenden und/oder lesenden Busteilnehmer überträgt, dadurch gekennzeichnet, dass der zweite Busteilnehmer den über den Datenbus empfangenen und/oder gelesenen Identifikator (3) mit mindestens einem dem zweiten Busteilnehmer zugewiesenen Identifikator (3‘) vergleicht und vor Abschluss der Übertragung des Daten-Frames (1, A) eine weitere Übertragung des Daten-Frames (1, A) auf dem Datenbus unterbindet und/oder einen Abbruch der Übertragung des Daten-Frames (1, A) durch den ersten Busteilnehmer veranlasst, wenn durch den zweiten Busteilnehmer eine Übereinstimmung des Identifikators (3) des Daten-Frames (1, A) mit dem Identifikator (3‘) des zweiten Busteilnehmers festgestellt wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der zweite Busteilnehmer zur Unterbindung der weiteren Übertragung des Daten-Frames (1, A) und/oder zum Abbruch der Übertragung des Daten-Frames (1, A) durch den ersten Busteilnehmer einen Fehler-Frame (C) auf den Datenbus sendet.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass ein Fehlerzähler des zweiten Busteilnehmers in Folge des Sendens des Fehler-Frames (C) nicht erhöht wird, wenn durch den zweiten Busteilnehmer ein redundanter und/oder dem zweiten Busteilnehmer zugewiesener Identifikator (3) erkannt wurde.
Verfahren nach mindestens einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass nach einer Abtrennung des zweiten Busteilnehmers vom Datenbus der Identifikator (3) des abgetrennten zweiten Busteilnehmers einer zentralen Einheit, insbesondere einem Gateway, zugeordnet wird und/oder durch die zentrale Einheit überwacht wird.
Datenbus-Schnittstellenmodul, insbesondere CAN-Tranceiver, dadurch gekennzeichnet, dass dieses/dieser ein Verfahren nach mindestens einem der Ansprüche 1 bis 4 ausführt.