-
Die vorliegende Erfindung betrifft ein Verfahren zur Überwachung einer Recheneinheit mit einer Prozessoreinheit und einer Sicherheits-Prozessoreinheit.
-
Stand der Technik
-
Moderne Recheneinheiten wie Steuergeräte, beispielsweise von Kraftfahrzeugen, umfassen zumeist eine Prozessoreinheit. In Recheneinheiten werden permanent Prozesse durch die Prozessoreinheit ausgeführt. Eine derartige Prozessoreinheit kann dabei einen zweckmäßigen Prozessor bzw. Prozessorkern (Core) oder einen Multicore-Prozessor umfassen. Multicore-Prozessoren umfassen dabei mehrere (wenigstens zwei) Prozessorkerne. Ein Prozessorkern umfasst dabei eine arithmetisch-logische Einheit (ALU), welche das eigentliche elektronische Rechenwerk zur Ausführung von Tasks, Programmen, Rechenbefehlen, etc. darstellt, und weiterhin einen lokalen Speicher. Ein derartiger lokaler Speicher ist insbesondere als ein Registersatz aus einem oder mehreren Registern ausgebildet.
-
Moderne Prozessoreinheiten können in einem sogenannten Hypervisor-Modus betrieben werden. Dabei werden in der Prozessoreinheit sogenannte virtuelle Systeme bzw. virtuelle Maschinen eingerichtet. In diesen einzelnen virtuellen Systemen bzw. Maschinen können jeweils voneinander getrennte Betriebssysteme oder Anwendungen als Prozesse ausgeführt werden. Auf diese Weise können in einer realen, physischen Prozessoreinheit beispielsweise eine Vielzahl von virtuellen Prozessoreinheiten simuliert werden. Somit kann die Rechenleistung bzw. die Effizienz einer Prozessoreinheit auf kostengünstige Weise erhöht werden, ohne die Prozessoreinheit um zusätzliche physische, reale Ressourcen zu erweitern. Stattdessen können die vorhandenen physischen Ressourcen der Prozessoreinheit auf die virtuellen Maschinen bzw. Systeme aufgeteilt und von diesen gemeinsam genutzt werden.
-
Es kann sich als zweckmäßig erweisen, derartige Prozessoreinheiten mit einem Hypervisor-Modus in Recheneinheiten zu integrieren, beispielsweise in Steuergeräte für Kraftfahrzeuge, wie etwa ein Motorsteuergerät. Dabei muss allerdings gewährleistet werden, dass für den Kraftfahrzeugbereich geltende Sicherheitsanforderungen und Sicherheitsnormen eingehalten werden und dass Angriffe und Manipulation des Steuergeräts verhindert werden. Insbesondere soll ein "Know-How-Schutz" gewährleistet und "Chiptuning" unterbunden werden.
-
Im Zuge der Prozesse, die von einer Prozessoreinheit ausgeführt werden, werden insbesondere bestimmte Daten verarbeitet, beispielsweise spezielle Ansteuerungsbefehle, technische Daten, Steuer- oder Kennwerte. Diese Befehle bzw. Werte wurden von dem Hersteller oft in jahrelangen Entwicklungsprozessen mit hohem Forschungsaufwand durch lang andauernde und aufwendige Testreihen ermittelt und optimiert. Es ist somit im Sinne des Herstellers, dass diese Daten nicht von einer dritten Partei, einem Angreifer, ausgelesen werden können, um einen "Know-How-Schutz" zu garantieren.
-
Im Zuge eines "Chiptunings" versucht ein Angreifer die von der Prozessoreinheit ausgeführten Prozesse zu manipulieren und dabei Steuerparameter des Steuergeräts zu verändern, um Leistungssteigerungen herbeizuführen. Dies kann zu Bauteilschäden und Umweltverschmutzung führen, sogar zu Personenschäden, da die gesamte Fahrzeugauslegung (Antrieb, Bremsanlage) beeinträchtigt werden kann.
-
Es ist daher wünschenswert, eine Möglichkeit bereitzustellen, um eine Prozessoreinheit einer Recheneinheit, insbesondere eines Steuergeräts für ein Kraftfahrzeug, vor Angriffen zu schützen und ein Manipulieren der von der Prozessoreinheit ausgeführten Prozesse zu verhindern.
-
Offenbarung der Erfindung
-
Erfindungsgemäß wird ein Verfahren zur Überwachung einer Recheneinheit mit den Merkmalen des Patentanspruchs 1 vorgeschlagen. Vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche sowie der nachfolgenden Beschreibung.
-
Die Recheneinheit umfasst dabei eine monolithisch integrierte Prozessoranordnung aufweisend eine Prozessoreinheit und eine Sicherheits-Prozessoreinheit. Die Prozessoreinheit und die Sicherheits-Prozessoreinheit sind als zwei separate, voneinander unabhängige Prozessoreinheiten ausgebildet, jedoch auf demselben Die bzw. (Silizium-)Substrat monolithisch integriert. Die Kommunikation zwischen Prozessoreinheit und Sicherheits-Prozessoreinheit ist somit besonders vor externen Zugriffen geschützt. Sowohl die Prozessoreinheit, als auch die Sicherheits-Prozessoreinheit umfassen jeweils insbesondere einen oder mehrere Prozessorkerne.
-
Weiterhin umfassen die Prozessoreinheit und die Sicherheits-Prozessoreinheit jeweils insbesondere einen lokalen Speicher, beispielsweise einen Flash-, ROM- und/oder RAM-Speicher, weiter insbesondere jeweils Schutzmechanismen gegen Spannungsänderungen, Taktänderungen und Temperaturänderungen.
-
Im Zuge des regulären Betriebs der Recheneinheit führt die Prozessoreinheit unterschiedliche Prozesse aus. Die Sicherheits-Prozessoreinheit überwacht diese von der Prozessoreinheit ausgeführten Prozesse und somit das Recheneinheit.
-
Vorteile der Erfindung
-
Die Überwachung der Recheneinheit bzw. die Überwachung der von der Prozessoreinheit ausgeführten Prozesse wird somit nicht mittels einer Software bzw. Anwendung durchgeführt, welche von der Prozessoreinheit selbst ausgeführt wird. Die Überwachung wird erfindungsgemäß durch eine eigene Hardware-Komponente durchgeführt, welche unabhängig von der zu überwachenden Prozessoreinheit ist. Die Sicherheits-Prozessoreinheit ist somit als ein Hardware Sicherheitsmodul (sog. Hardware Security Module, HSM) ausgebildet.
-
Dadurch, dass die Sicherheits-Prozessoreinheit eigene physische Ressourcen (Prozessorkern(e), lokalen Speicher, usw.) und insbesondere eigene Schutzmechanismen unabhängig von der Prozessoreinheit umfasst, ist die Sicherheits-Prozessoreinheit selbst gegen Manipulation und Angriffe geschützt.
-
Die somit eigens abgesicherte Sicherheits-Prozessoreinheit überwacht, ob die unterschiedlichen von der Prozessoreinheit ausgeführten Prozesse nach bestimmten Prozess-Kriterien ausgeführt werden. Diese Prozess-Kriterien beschreiben insbesondere einen regulären, fehlerfreien Betrieb der Recheneinheit. Wird einer der von der Prozessoreinheit ausgeführten Prozesse nicht nach diesen Prozess-Kriterien ausgeführt, deutet dies daraufhin, dass die Recheneinheit angegriffen bzw. manipuliert wurde. Insbesondere deutet dies daraufhin, dass ein Angreifer diesen Prozess manipuliert hat und beispielsweise Steuerparameter der Recheneinheit verändert hat. Somit erkennt die Sicherheits-Prozessoreinheit frühzeitig einen Angriff bzw. eine Manipulation der Recheneinheit und ergreift eine entsprechende Sicherheitsmaßnahme, um die Recheneinheit zu schützen.
-
Gemäß einer bevorzugten Ausführung der Erfindung wird die Prozessoreinheit in einem Hypervisor-Modus betrieben. Weiter bevorzugt werden in diesem Hypervisor-Modus in der Prozessoreinheit unterschiedliche virtuelle Systeme bzw. virtuelle Maschinen als Prozesse eingerichtet. Die virtuellen Systeme bzw. Maschinen werden dabei insbesondere von einem sogenannten Hypervisor eingerichtet. Dieser Hypervisor ist insbesondere ebenfalls ein von der Prozessoreinheit ausgeführter Prozess. Der Hypervisor kann insbesondere auch eine Hardware-Erweiterung sein, welche in einem privilegierten Betriebsmodus beitrieben wird und ein Umschalten zwischen den virtuelle Systeme bzw. virtuelle Maschinen durchführt. In diesen unterschiedlichen virtuellen Systemen bzw. Maschinen werden von der Prozessoreinheit wiederum jeweils weitere unterschiedliche Prozesse ausgeführt. Einerseits können dabei in den unterschiedlichen virtuellen Systemen bzw. Maschinen jeweils unterschiedliche Betriebssysteme als Prozesse ausgeführt werden und/oder unterschiedliche Anwendungen. Eine derartige Anwendung ist beispielsweise eine ausführbare Software, beispielsweise eine Steuerungssoftware.
-
Wie eingangs erwähnt, weist eine in einem Hypervisor-Modus betriebene Prozessoreinheit erhebliche Vorteile auf. Die vorhandenen physischen Ressourcen der Prozessoreinheit können auf die virtuelle Maschinen bzw. Systeme aufgeteilt und von diesen gemeinsam genutzt werden. Durch einen Hypervisor-Modus können unterschiedliche Prozesse in einer einzigen Prozessoreinheit getrennt und unabhängig voneinander ausgeführt werden.
-
Eine in einem Hypervisor-Modus betriebene Prozessoreinheit bietet jedoch auch Angriffspunkte und ist daher anfällig für Angriffe und Manipulationen. Beispielsweise besteht die Gefahr, dass der lokale Speicher der Prozessoreinheit modifiziert wird, beispielsweise über einen Debug-Zugang oder einen externen Boot-Modus. Somit können herkömmliche Überwachungs- und Schutzmethoden umgangen werden, insbesondere wenn diese als Software ausgebildet sind, welche von der Prozessoreinheit selbst ausgeführt wird.
-
Durch die Erfindung bzw. deren Ausgestaltungen kann die Prozessoreinheit, die in dem Hypervisor-Modus betrieben wird, besonders effizient gegen Angriffe und Manipulation geschützt werden. Dadurch, dass die Sicherheits-Prozessoreinheit und die Prozessoreinheit über eigene, voneinander unabhängige physische Ressourcen verfügen, ist die Sicherheits-Prozessoreinheit selbst gegen Manipulation und Angriffe geschützt. Die Sicherheits-Prozessoreinheit bietet sich daher besonders an, die unterschiedlichen Prozesse, die von der Prozessoreinheit in dem Hypervisor-Modus ausgeführt werden, zu überwachen, insbesondere wenn die Sicherheits-Prozessoreinheit und die Prozessoreinheit monolithisch integriert ausgebildet sind. Die Sicherheits-Prozessoreinheit ist somit insbesondere als Hardware Sicherheitsmodul (HSM) der Prozessoreinheit im Hypervisor-Modus ausgebildet.
-
Weiter bevorzugt wird die Recheneinheit in einem Kraftfahrzeug verwendet, beispielsweise als ein Motorsteuergerät. Die Erfindung eignet sich besonders für ein Steuergerät eines Kraftfahrzeugs, dessen Prozessoreinheit in dem Hypervisor-Modus betrieben wird. Wie eingangs erläutert, kann es sich als zweckmäßig erweisen, die Prozessoreinheiten des Steuergeräts in dem Hypervisor-Modus zu betreiben. In den unterschiedlichen virtuellen Systemen bzw. Maschinen in dem Hypervisor-Modus werden als Prozesse insbesondere Ansteuerbefehle für das Kraftfahrzeug bestimmt und Messwerte erfasst und ausgewertet. Durch die Erfindung kann ein derartiges Steuergerät eines Kraftfahrzeugs besonders effizient gesichert werden und somit ein "Know-How-Schutz" gewährleistet und "Chiptuning" unterbunden werden.
-
Vorteilhafterweise überwacht die Sicherheits-Prozessoreinheit, ob die von der Prozessoreinheit ausgeführten Prozesse autorisiert sind, ausgeführt zu werden. Prozesse, die autorisiert sind, ausgeführt zu werden, sind dabei Prozesse, welche von der Prozessoreinheit im Zuge des regulären Betriebs der Recheneinheit ausgeführt werden dürfen bzw. sollen. Die Prozess-Kriterien beschreiben somit insbesondere, welche Prozesse im regulären Betrieb der Recheneinheit ausgeführt werden sollen. Führt die Prozessoreinheit einen nicht-autorisierten Prozess aus, also einen Prozess, der nicht autorisiert ist, ausgeführt zu werden, führt die Sicherheits-Prozessoreinheit die Sicherheitsmaßnahme durch.
-
Ein derartiger nicht-autorisierter Prozess kann beispielsweise eine schädliche Software eines Angreifers sein. Somit führt die Sicherheits-Prozessoreinheit insbesondere eine erste Sicherung bzw. Überwachung der Recheneinheit durch und überprüft, ob unerwünschte, fremdartige und/oder schädliche Prozesse ausgeführt werden.
-
Bevorzugt überwacht die Sicherheits-Prozessoreinheit, ob die Prozessoreinheit einen bestimmten Prozess nach einem bestimmten Prozess-Kriterium ausführt. Im Zuge des regulären Betriebs der Recheneinheit sollen derartige bestimmte Prozesse nach bestimmten Prozess-Kriterien ausgeführt werden, beispielsweise in einer bestimmten Reihenfolge. Werden derartige bestimmte Prozesse nicht nach diesen bestimmten Prozess-Kriterien ausgeführt, deutet dies daraufhin, dass die Recheneinheit angegriffen bzw. manipuliert wurde.
-
Somit führt die Sicherheits-Prozessoreinheit insbesondere eine zweite Sicherung bzw. Überwachung der Recheneinheit durch und überprüft, ob Prozesse korrekt nach vorgeschrieben Regeln ausgeführt werden.
-
Bevorzugt ist ein derartiges bestimmtes Prozess-Kriterium, dass die Prozessoreinheit den bestimmten Prozess in einem bestimmten Zeit- und/oder Winkelintervall einer rotierenden Referenzwelle (im Kraftfahrzeug insbesondere der Kurbelwelle) ausführt und/oder dass die Prozessoreinheit den bestimmten Prozess in dem bestimmten Zeit- und/oder Winkelintervall eine bestimmte Mindestanzahl an Malen ausführt. Wird der bestimmte Prozess beispielsweise nicht alle 10 ms ausgeführt oder beispielsweise nicht mindestens einmal in einem Zeitintervall von 10 ms, deutet dies auf einen Angriff bzw. eine Manipulation der Recheneinheit hin. Ein Winkelintervall betrifft dabei insbesondere Kurbelwellenwinkel eines Kraftfahrzeugs.
-
Beispielsweise kann ein derartiger bestimmter Prozess das Bestimmen eines Ansteuerungsbefehls oder das Erfassen eines Messwerts sein. Beispielsweise im automotiven Bereich kann ein derartiger bestimmter Prozess das Bestimmen einer Kraftstoffeinspritzmenge oder das Erfassen eines Temperatur- oder Druckmesswerts sein. In einem Kraftfahrzeug müssen derartige Prozesse in einem festen Zeitintervall wiederholt werden oder in einem festen Winkelintervall des Kurbelwellenwinkels. Die Kraftstoffeinspritzmenge muss beispielsweise zu festen Winkelwerten des Kurbelwellenwinkels bestimmt werden, Temperatur- oder Druckmesswerte werden meist in vorgegebenen Zeitintervallen erfasst.
-
Vorzugsweise überwacht die Sicherheits-Prozessoreinheit eine Laufzeit der unterschiedlichen von der Prozessoreinheit ausgeführten Prozesse. Ein Prozess-Kriterium ist dabei insbesondere, dass die Laufzeit der unterschiedlichen Prozesse jeweils eine bestimmte Maximallaufzeit nicht überschreiten und/oder eine bestimmte Minimallaufzeit nicht unterschreiten darf. Über- bzw. unterschreitet die Laufzeit eines Prozesses eine entsprechende Maximal- bzw. Minimallaufzeit, deutet dies auf einen Angriff bzw. eine Manipulation der Recheneinheit hin und die Sicherheits-Prozessoreinheit führt die Sicherheitsmaßnahme durch.
-
Gemäß einer vorteilhaften Ausführungsform der Erfindung hinterlegt die Sicherheits-Prozessoreinheit für die unterschiedlichen von der Prozessoreinheit ausgeführten Prozesse jeweils, wie oft die Prozessoreinheit die unterschiedlichen Prozesse in einem bestimmten Zeit- und/oder Winkelintervall ausführt. Insbesondere hinterlegt die Sicherheits-Prozessoreinheit diese Informationen in einer Tabelle. Jedem Prozess ist insbesondere eine individuelle Identifikationsnummer (ID-Nummer) zugeordnet. Gemäß diesen ID-Nummern werden die entsprechenden Informationen der einzelnen Prozesse in der Tabelle hinterlegt. Insbesondere wird dabei auch die Laufzeit der unterschiedlichen von der Prozessoreinheit ausgeführten Prozesse hinterlegt. Insbesondere überwacht die Sicherheits-Prozessoreinheit anhand dieser hinterlegten Informationen, ob die unterschiedlichen Prozesse nach bestimmten Prozess-Kriterien ausgeführt werden.
-
Bevorzugt vergleicht die Sicherheits-Prozessoreinheit diese hinterlegten Informationen mit vorgegebenen Informationen. Insbesondere vergleicht die Sicherheits-Prozessoreinheit die angelegte Tabelle mit einer vorgegebenen Tabelle. In diesen vorgegebenen Informationen bzw. in dieser vorgegebenen Tabelle ist hinterlegt, welche Prozesse im Zuge des regulären Betriebs der Recheneinheit in welchen Zeit- und/oder Winkelintervallen wie oft ausgeführt werden sollen. Durch diesen Vergleich überwacht die Sicherheits-Prozessoreinheit somit, ob die unterschiedlichen ausgeführten Prozesse nach den bestimmten Prozess-Kriterien ausgeführt werden. Durch diesen Vergleich wird einerseits überwacht, ob bestimmte Prozesse, wie oben erläutert, nach bestimmten Prozess-Kriterien ausgeführt werden (z.B. mindestens einmal in einem Zeitintervall). Andererseits wird dadurch überwacht, ob ausgeführte Prozesse autorisiert sind, ausgeführt zu werden.
-
Vorzugsweise verhindert die Sicherheits-Prozessoreinheit als Sicherheitsmaßnahme eine weitere Ausführung eines entsprechenden Prozesses, welcher nicht nach den bestimmten Prozess-Kriterien ausgeführt wird. Weiter insbesondere wird dieser entsprechende Prozess gesperrt. Ein erneutes Ausführen dieses entsprechenden Prozesses wird somit verhindert. Weiter bevorzugt führt die Sicherheits-Prozessoreinheit als Sicherheitsmaßnahme einen Reset der Prozessoreinheit durch und/oder erstellt einen Fehlereintrag. Ein derartiger Fehlereintrag kann beispielsweise in einem EEPROM-Speicher erstellt werden. Anhand eines derartigen Fehlereintrags kann beispielsweise eine Wartung der Recheneinheit durchgeführt werden.
-
Eine erfindungsgemäße Recheneinheit, z.B. ein Steuergerät eines Kraftfahrzeugs oder ein Mikrocontroller in einem Kraftfahrzeug, ist, insbesondere programmtechnisch, dazu eingerichtet, ein erfindungsgemäßes Verfahren durchzuführen.
-
Auch die Implementierung des Verfahrens in Form von Software ist vorteilhaft, da dies besonders geringe Kosten verursacht, insbesondere wenn eine ausführende Recheneinheit noch für weitere Aufgaben genutzt wird und daher ohnehin vorhanden ist. Geeignete Datenträger zur Bereitstellung des Computerprogramms sind insbesondere Disketten, Festplatten, Flash-Speicher, EEPROMs, CD-ROMs, DVDs u.a.m. Auch ein Download eines Programms über Computernetze (Internet, Intranet usw.) ist möglich.
-
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.
-
Es versteht sich, dass die vorstehend genannten und die nachfolgend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.
-
Die Erfindung ist anhand von Ausführungsbeispielen in der Zeichnung schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnung ausführlich beschrieben.
-
Kurze Beschreibung der Zeichnungen
-
1 zeigt schematisch eine bevorzugte Ausgestaltung einer Recheneinheit, die dazu eingerichtet ist, eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens durchzuführen.
-
2 zeigt schematisch eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens als ein Blockdiagramm.
-
Ausführungsform(en) der Erfindung
-
In 1 ist eine Recheneinheit stark vereinfacht und schematisch dargestellt und mit 1 bezeichnet. In diesem Beispiel ist die Recheneinheit als ein Motorsteuergerät 1 eines Kraftfahrzeugs ausgebildet, welches dazu eingerichtet ist, eine Motorsteuerung einer Brennkraftmaschine des Kraftfahrzeugs durchzuführen.
-
Das Steuergerät weist eine monolithisch integrierte Prozessoranordnung 10 aufweisend eine Prozessoreinheit 100 und eine Sicherheits-Prozessoreinheit 200 auf. Die Prozessoreinheit 100 und die Sicherheits-Prozessoreinheit 200 sind somit zwei unabhängige individuelle Prozessoreinheiten, die auf einem gemeinsamen Die 101, also auf einem gemeinsamen (Silizium-)Substrat, monolithisch integriert sind.
-
Die Prozessoreinheit 100 weist dabei einen Prozessorkern 110 und einen lokalen Speicher 120, beispielsweise einen RAM oder Flash-Speicher, auf. Analog weist auch die Sicherheits-Prozessoreinheit 200 einen Prozessorkern 210 und einen lokalen Speicher 220, beispielsweise einen RAM oder Flash-Speicher, auf.
-
Die Prozessoreinheit 100 wird in einem Hypervisor-Modus betrieben. Dabei sind in diesem Beispiel drei virtuelle Systeme 310, 320, 330 als Prozesse in der Prozessoreinheit 100 eingerichtet. Die virtuelle Systeme 310, 320, 330 stellen drei unabhängige Systeme dar, welche von der Prozessoreinheit 100 simuliert werden.
-
Die physischen Ressourcen, wie der Flash-Speicher 120, der Prozessoreinheit 100 sind dabei zweckmäßig auf die drei virtuellen Systeme 310, 320, 330 aufgeteilt. Die drei virtuellen Systeme 310, 320, 330 sind in 1 daher als drei Teile des Prozessorkerns 110 der Prozessoreinheit 100 dargestellt. Die Aufteilung des Flash-Speichers 120 ist in 1 dadurch angedeutet, dass ein erster Speicherbereich 121 des Flash-Speichers 120 dem ersten virtuellen System 310 zugeteilt ist, ein zweiter Speicherbereich 122 dem zweiten virtuellen System 320 und ein dritter Speicherbereich 123 dem dritten virtuellen System 330.
-
In dem ersten und zweiten virtuellen System 310 bzw. 320 wird jeweils ein Betriebssystem 311 bzw. 321 als Prozess von der Prozessoreinheit 100 ausgeführt. Weiterhin führen diese Betriebssysteme 311 bzw. 321 jeweils Anwendungen 312 und 313 bzw. 322 und 323 als weitere Prozesse der Prozessoreinheit 100 aus.
-
In dem dritten virtuellen System 330 wird kein Betriebssystem ausgeführt. Die Prozessoreinheit 100 führt in dem dritten virtuellen System 330 direkt Anwendungen 331, 332, 333 als Prozesse aus.
-
Derartige Prozesse 312, 313, 322, 323, 331, 332, 333, die von der ersten Prozessoreinheit 100 ausgeführt werden, sind beispielsweise das Erfassen von Abgaswerten der Brennkraftmaschine (beispielsweise mittels einer Lambda-Sonde), das Erfassen einer Kühlwassertemperatur der Brennkraftmaschine (beispielsweise mittels eines Temperaturfühlers) oder das Bestimmen einer Kraftstoffeinspritzmenge und einer Zusammensetzung eines Kraftstoff-Luft-Gemischs für die Brennkraftmaschine.
-
Das Steuergerät 1 ist weiterhin dazu eingerichtet ist, eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens durchzuführen. Dabei überwacht die Sicherheits-Prozessoreinheit 200 die von der Prozessoreinheit 100 ausgeführten Prozesse 312, 313, 322, 323, 331, 332, 333.
-
Eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens ist in 2 schematisch als ein Blockdiagramm 400 dargestellt und wird im Folgenden unter Bezug auf die 1 und 2 beispielhaft erläutert.
-
Im folgenden speziellen Beispiel wird der Fall betrachtet, dass die Sicherheits-Prozessoreinheit 200 die drei Prozesse 322 und 331 überwacht. Im Zuge des Prozesses 322 wird beispielsweise die Kühlwassertemperatur erfasst. Im Zuge des Prozesses 331 wird beispielsweise die Kraftstoffeinspritzmenge bestimmt.
-
Im Zuge des regulären Betriebs des Steuergeräts 1 wird die Kühlwassertemperatur in festen Zeitabständen von 10 ms erfasst. Die Kraftstoffeinspritzmenge wird zu fest vorgegebenen Winkelwerten des Kurbelwellenwinkels der Brennkraftmaschine bestimmt, beispielsweise bei einem Kurbelwellenwinkel von 90°KW.
-
Ein Prozess-Kriterium für den Prozess 322 ist somit, dass die Prozessoreinheit 100 den Prozess 322 in einem Zeitintervall von 10 ms mindestens einmal ausführt. Ein Prozess-Kriterium für den Prozess 331 ist somit, dass die Prozessoreinheit 100 den Prozess 331 in einem Winkelintervall von 720°KW genau bei einem Kurbelwellenwinkel von 90°KW ausführt. Diese beiden Informationen sind in einer entsprechenden vorgegebenen Soll-Tabelle hinterlegt.
-
In Schritt 401 überwacht die Sicherheits-Prozessoreinheit 200, wie oft die Prozessoreinheit 100 den Prozess 322 ausführt und bei welchen Kurbelwellenwinkeln die Prozessoreinheit 100 den Prozess 331 ausführt. In Schritt 402 hinterlegt die Sicherheits-Prozessoreinheit 200 diese in Schritt 401 ermittelten Informationen in eine Ist-Tabelle.
-
In Schritt 403 vergleicht die Sicherheits-Prozessoreinheit 200 die Ist-Tabelle mit der Soll-Tabelle. Somit überwacht die Sicherheits-Prozessoreinheit 200, ob die Prozesse 322 und 331 von der Prozessoreinheit 100 nach den bestimmten Prozess-Kriterien ausgeführt werden.
-
Ergibt sich aus dem Vergleich, dass der Prozess 322 gemäß dem entsprechenden Prozess-Kriterium zumindest einmal in dem Zeitintervall von 10 ms ausgeführt wurde und dass der Prozess 331 gemäß dem entsprechenden Prozess-Kriterium bei dem Kurbelwellenwinkel von 90°KW ausgeführt wurde, so deutet dies darauf hin, dass das Steuergerät 1 nicht manipuliert wurde. Die Sicherheits-Prozessoreinheit 200 beginnt daraufhin wieder mit Schritt 401, angedeutet durch Bezugszeichen 403a.
-
Ergibt sich aus dem Vergleich jedoch, dass entweder der Prozess 322 nicht zumindest einmal in dem Zeitintervall von 10 ms ausgeführt wurde und/oder dass der Prozess 331 bei einem anderen Kurbelwellenwinkel als 90°KW ausgeführt wurde, so deutet dies darauf hin, dass das Steuergerät 1 manipuliert wurde. In Schritt 404 erstellt die Sicherheits-Prozessoreinheit 200 einen Fehlereintrag und führt einen Reset der Prozessoreinheit 100 durch. Daraufhin beginnt die Sicherheits-Prozessoreinheit 200 wieder mit Schritt 401, angedeutet durch Bezugszeichen 404a.
-
Führt die Prozessoreinheit 100 zusätzlich zu den Prozessen 322 und 331 beispielsweise den Prozess 333 aus, hinterlegt die Sicherheits-Prozessoreinheit 200 diese Information in Schritt 402 ebenfalls in der Ist-Tabelle. Ergibt sich aus dem Vergleich in Schritt 403, dass der Prozess 333 nicht ausgeführt werden soll, so ist der der Prozess 333 ein nicht-autorisierter Prozess. Dies kann beispielsweise darauf hindeuten, dass das Steuergerät 1 manipuliert wurde.
-
In Schritt 404 verhindert die Sicherheits-Prozessoreinheit 200 eine weitere Ausführung des Prozesses 333, erstellt einen Fehlereintrag und führt einen Reset der Prozessoreinheit 100 durch.
-
Es sei angemerkt, dass das Steuergerät 1 auch mehrere Prozessoreinheiten 100 umfassen kann, welche analog zu der Prozessoreinheiten 100 ausgebildet sind. Sämtliche derartiger Prozessoreinheiten 100 werden jeweils auf analoge Weise durch die Sicherheits-Prozessoreinheit 200 überwacht. Die Sicherheits-Prozessoreinheit 200 überwacht somit sämtliche Prozesse, die von den einzelnen Prozessoreinheiten 100 ausgeführt werden.
