DE102014207810A1

DE102014207810A1 - Verfahren und Vorrichtung zum Betreiben eines Kraftfahrzeugs

Info

Publication number: DE102014207810A1
Application number: DE102014207810.5A
Authority: DE
Inventors: Stefan Kurtz; Alfons Brunner
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2014-04-25
Filing date: 2014-04-25
Publication date: 2015-10-29
Also published as: US10081318B2; US20150307042A1

Abstract

Ein Verfahren zum Betreiben eines Kraftfahrzeugs umfasst das Empfangen von Messsignalen, die Informationen über einen zeitlichen Strom- und/oder Spannungsverlauf einer elektronischen Steuereinheit des Kraftfahrzeugs umfassen. Des Weiteren umfasst das Verfahren ein Bereitstellen von Fahrzeuginformationen, die Informationen über einen Sollzustand der elektronischen Steuereinheit umfassen. Außerdem umfasst das Verfahren ein Ermitteln einer Abweichung der empfangenen Messsignale von den bereitgestellten Fahrzeuginformationen. Wenn die ermittelte Abweichung größer ist als ein vorgegebener Toleranzwert, wird im Rahmen des Verfahrens ein manipulierter Zustand der elektronischen Steuereinheit ermittelt.

Description

Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zum Betreiben eines Kraftfahrzeugs, das beziehungsweise die dazu geeignet ist, die Sicherheit des Kraftfahrzeugs zu erhöhen.
Ein Problem bestehender Kriminalität ist unbefugtes Entwenden von Kraftfahrzeugen. Um einen solchen Diebstahl zu verhindern oder zumindest zu erschweren, sind Diebstahlvorrichtungen bekannt, die auch seitens der Autoversicherungen für Kraftfahrzeuge zumindest empfohlen oder sogar vorgeschrieben werden. Ist beispielsweise eine elektronische Wegfahrsperre in dem Kraftfahrzeug eingerichtet, verhindert diese ein Starten des Motors ohne den entsprechenden elektronischen Schlüssel. Eine weitere Möglichkeit, ein unbefugtes Starten des Kraftfahrzeugs zu verhindern, ist die Implementierung von Wegfahrcodes in einer entsprechenden Steuereinheit des Kraftfahrzeugs. Diese Wegfahrcodes sind bestenfalls nur befugten Personen bekannt, sodass es unbefugten Dritten nicht möglich ist, das Kraftfahrzeug in einen Fahrbetrieb zu versetzen. Darüber hinaus sind diverse Diebstahlvorrichtungen bekannt, die beispielsweise durch akustische oder visuelle Alarmsignale ein mutwilliges Öffnen des Kraftfahrzeugs anzeigen.
Da Kraftfahrzeuge heutzutage zunehmend mit Kommunikationsschnittstellen ausgestattet werden, bieten sich weitere Angriffspunkte für ein unbefugtes Eindringen oder eine unbefugte Benutzung durch Dritte. Beispiele für entsprechend geeignete Kommunikationstechnologien sind WLAN, Ethernet, NFC, Car-to-X und Bluetooth, die heutzutage in das Fahrzeugsystem eines Kraftfahrzeugs implementiert werden. In diesem Zusammenhang ist WLAN eine Abkürzung für den englischen Ausdruck Wireless Local Area Network und bezeichnet ein lokales Funknetz, insbesondere gemäß einem Standard der IEEE 802.11-Familie. Ethernet bezeichnet ein lokales kabelgebundenes Netzwerk, das weitestgehend nach der IEEE 802.3-Norm Datenaustausch zwischen Geräten ermöglicht, die an dem lokalen Netzwerk angeschlossen sind. Das Akronym NFC ist eine Abkürzung für den englischen Ausdruck Near Field Communication und ist ein internationaler Übertragungsstandard zum kontaktlosen Datenaustausch per Funktechnik über kurze Distanzen und erfolgt zumeist nach einem der Standards ISO 14443 und ISO 15693. Der Ausdruck Car-to-X ist eine umfassende Bezeichnung für Kommunikationswege zwischen einem Kraftfahrzeug und einer Informationsquelle, die mit dem Platzhalter X abgekürzt ist. Beispiele sind in diesem Zusammenhang Car-to-Car und Car-to-Infrastructure Kommunikationen, die den Datenaustausch zwischen Kraftfahrzeugen untereinander und zwischen einem Kraftfahrzeug und der Verkehrsinfrastruktur beschreiben. Dabei können verschiedene Kommunikationstechnologien verwendet werden wie z.B. eine Technologie der IEEE 802.11-Familie. Bluetooth ist eine weitere Technologie, die einen Datentransfer zwischen Geräten über kurze Distanzen per Funktechnik ermöglicht. In diesem Zusammenhang erfolgt die Datenübertragung gemäß dem Industriestandard IEEE 802.15.1. Weiterhin kann ein Fahrzeug über eine Mobilfunkschnittstelle beispielsweise nach einem der Standards GSM, GSM2, GSM3 oder GSM4 (LTE) drahtlos mit fahrzeugexternen Einrichtungen kommunizieren. Eine Kommunikationsverbindung kann auch unter Nutzung mehrerer der genannten Technologien und/oder über das Internet erfolgen.
Die genannten Kommunikationsarten ermöglichen unter anderem einen Eingriff in das Fahrzeugsystem, ohne sich zwangsläufig physikalischen Zugang zum Kraftfahrzeug verschaffen zu müssen. Über Internetverbindungen ist sogar ein standortunabhängiger Eingriff von unbefugten Dritten möglich. Aufgrund dieser Angriffsgefahren ist eine weitere Sicherung des Kraftfahrzeuges notwendig, um einen Eingriff durch unbefugte Dritte zu verhindern oder zumindest zu erschweren.
Es ist eine Aufgabe, ein Verfahren und eine Vorrichtung zu schaffen, das beziehungsweise die geeignet ist, die Sicherheit des Kraftfahrzeugs zu erhöhen, um so beispielsweise ein Eindringen und eine Benutzung durch unbefugte Personen zu erschweren.
Gemäß einem ersten Aspekt der Erfindung umfasst ein Verfahren zum Betreiben eines Kraftfahrzeugs mehrere Schritte. Dabei ist ein Empfangen von Messsignalen vorgesehen, die Informationen über einen zeitlichen Strom und/oder Spannungsverlauf einer elektronischen Steuereinheit des Kraftfahrzeugs umfassen. Des Weiteren umfasst das Verfahren ein Bereitstellen von Fahrzeuginformationen, die Informationen über einen Sollzustand umfassen, der repräsentativ ist für einen charakteristischen Strom und/oder Spannungsverlauf der elektronischen Steuereinheit. Im weiteren Verlauf wird im Rahmen des Verfahrens eine Abweichung der empfangenen Messsignale von den bereitgestellten Fahrzeuginformationen ermittelt. Wenn im Rahmen dieses Verfahrens die ermittelte Abweichung größer als ein vorgegebener Toleranzwert ist, wird ein manipulierter Zustand der elektronischen Steuereinheit ermittelt.
Auf diese Weise bzw. mit den erfindungsgemäßen Schritten kann zum Beispiel ein unbefugtes Eindringen in das Fahrzeugsystem oder eine unbefugte Benutzung des Kraftfahrzeugs ermittelt werden. Die elektronische Steuereinheit bildet in diesem Zusammenhang zumindest eine Komponente des Fahrzeugsystems und ist beispielsweise dazu eingerichtet, Türen oder Fenster des Kraftfahrzeugs zu öffnen. Alternativ oder zusätzlich ist die elektronische Steuereinheit dazu ausgebildet, einen Motor des Kraftfahrzeugs zu starten oder weitere Elektronik in dem Kraftfahrzeug zu steuern. Sie ist möglicherweise eine Komponente des Fahrzeugsystems oder steuert als eine Art elektronische Zentrale sämtliche elektronischen Vorgänge innerhalb des Kraftfahrzeugs.
In diesem Zusammenhang wird die Erkenntnis genutzt, dass eine elektronische Komponente in einem autorisierten Betrieb ein charakteristisches zeitliches Strom- und/oder Spannungsverhalten aufweist. Dieses charakteristische zeitliche Strom- und/oder Spannungsverhalten der elektronischen Komponente fungiert als eine Art Fingerabdruck, anhand dessen die elektronische Komponente identifiziert und ein Normalbetrieb dieser elektronischen Komponente ermittelt werden kann.
Im Rahmen des Verfahrens wird dementsprechend ein zeitlicher Strom und/oder Spannungsverlauf der elektronischen Steuereinheit des Kraftfahrzeugs überwacht, indem der gemessene Strom und/oder Spannungsverlauf der elektronischen Steuereinheit mit einem hinterlegten charakteristischen Strom und/oder Spannungsverlauf für diese elektronische Steuereinheit verglichen wird.
Die bereitgestellten Fahrzeuginformationen, die zumindest den Sollzustand der elektronischen Steuereinheit umfassen, sind beispielsweise in einem Datenspeicher hinterlegt, der zum Beispiel der elektronischen Steuereinheit zugeordnet und innerhalb des Kraftfahrzeugs angeordnet ist oder der extern zu dem Kraftfahrzeug zum Beispiel in einem Back-End angeordnet ist und gegebenenfalls durch den Fahrzeughersteller bereitgestellt wird.
Das Fahrzeugsystem inklusive seiner elektronischen Steuereinheiten stellt ein bekanntes elektronisches System dar, das zum Zeitpunkt der Fertigstellung des Kraftfahrzeugs festgeschrieben wird, sodass die charakteristischen Strom- und/oder Spannungsverläufe der in dem Kraftfahrzeug verbauten elektronischen Steuereinheiten bekannt sind.
Bei einer Manipulation einer elektronischen Steuereinheit, egal ob physikalisch oder unter Verwendung der vorhandenen Kommunikationsschnittstellen, führt dies zu einer Änderung des zeitlichen Strom- und/oder Spannungsverlaufs, insbesondere bei einem Startvorgang der Steuereinheit, was durch einen Vergleich mit dem bekannten charakteristischen Strom- und/oder Spannungsverlauf ermittelbar ist. Der zeitliche Strom- und/oder Spannungsverlauf der elektronischen Steuereinheit dient somit als eine Art Sicherheitsidentifikationsparameter, der es ermöglicht, eine eventuell bereits vorhandene Diebstahlsicherung von Kraftfahrzeugen weiter zu verbessern.
In diesem Zusammenhang ist es erforderlich, einen Toleranzwert für den gemessenen Strom- und/oder Spannungsverlauf vorzugeben, damit ein manipulierter Zustand der elektronischen Steuereinheit zuverlässig ermittelt wird.
Dieser Toleranzwert ist unter anderem durch eventuell auftretende Schwankungen des Messsignals oder durch die stets vorhandenen Messtoleranzen der Messgeräte begründet. Weicht der gemessene zeitliche Strom- und/oder Spannungsverlauf der elektronischen Steuereinheit von dem charakteristischen Strom- und/oder Spannungsverlauf inklusive des vorgegebenen Toleranzwertes ab, wird so ein manipulierter Zustand der elektronischen Steuereinheit zuverlässig ermittelt. Abhängig von dem Messsystem inklusive der Messsignalaufnahme durch die Messgeräte und anschließender Auswertung sind zum Beispiel einzuhaltende Toleranzwerte von 0,1 % oder 5 % praktikabel. In diesem Zusammenhang wird darauf hingewiesen, dass die einzuhaltenden Toleranzwerte in der Regel abhängig von der zur Verfügung stehenden Messtechnik und der zu vermessenden Komponente des Fahrzeugsystems des Kraftfahrzeugs sind, sodass zum Beispiel bei einer elektronischen Steuereinheit mit einem niedrigen Strombedarf ein gegebenenfalls größerer Toleranzwert bei einer Strom- und/oder Spannungsmessung vorteilhaft ist als bei einer elektronischen Steuereinheit mit einem höheren Strombedarf.
Im weiteren Verlauf ist es dann möglich, zum Beispiel durch Bereitstellen von Steuersignalen einem Diebstahl des Kraftfahrzeugs vorzubeugen. Diese Steuersignale werden demzufolge generiert, wenn ein manipulierter Zustand ermittelt wurde, und sind als zusätzliche Steuersignale zu denen verstehen, die während eines Betriebs des Kraftfahrzeugs zum Steuern des Fahrzeugsystems benötigt werden. Ausgestaltungen in Bezug auf das Bereitstellen von Steuersignalen werden nachfolgend beschrieben.
Gemäß einer Ausgestaltung des ersten Aspekts umfassen die empfangenen Messsignale Informationen über einen Realenergieverbrauch der elektronischen Steuereinheit. Darüber hinaus umfassen die bereitgestellten Fahrzeuginformationen Informationen über einen Sollenergieverbrauch der elektronischen Steuereinheit.
In der Regel sind die elektronischen Steuereinheiten in einem Kraftfahrzeug mit einer Verwaltungseinheit oder elektronischen Zentrale des Kraftfahrzeugs verbunden, die als eine Art übergeordnete Entscheidungsinstanz die Elektronik des Kraftfahrzeuges steuert. Beispielsweise umfasst dies auch ein Steuern einer Stromquelle oder eines Stromverteilers innerhalb des Kraftfahrzeugs, wodurch die elektronischen Steuereinheiten mit Strom versorgt werden. Wird eine durch die elektronische Steuereinheit verwaltete Funktion benötigt, so wird die elektronische Steuereinheit aktiviert. Auf diese Weise ist es möglich, den Realenergieverbrauch der elektronischen Steuereinheit zu protokollieren und mit dem bekannten Sollenergieverbrauch abzugleichen. Bei einer Abweichung des Realenergieverbrauchs zu dem Sollenergieverbrauch inklusive etwaiger Toleranzen wird so ein manipulierter Zustand der elektronischen Steuereinheit diagnostiziert.
Gemäß einer weiteren Ausgestaltung des ersten Aspekts umfasst das Verfahren ein Ausgeben eines Informationssignals, wenn ein manipulierter Zustand der elektronischen Steuereinheit ermittelt wurde.
Diese Ausgestaltung ist ein Beispiel der zuvor beschriebenen zusätzlichen Steuersignale, die so beispielsweise ein unbefugtes Eindringen in das Fahrzeugsystem des Kraftfahrzeugs durch ein akustisches und/oder optisches Signal signalisieren. Solche Signale werden zum Beispiel durch ein Aktivieren einer Hupe des Kraftfahrzeugs und/oder einer Lichtanlage realisiert. Darüber hinaus ist es auch möglich, durch Senden einer Information an den Hersteller und/oder den Halter des Kraftfahrzeugs auf den manipulierten Zustand der elektronischen Steuereinheit hinzuweisen. Dies wird dann zum Beispiel in Form eines Notrufs mit der Botschaft „möglicher Diebstahl“ gemeldet.
Gemäß einer weiteren Ausgestaltung umfasst das Verfahren ein Verhindern eines Startens einer Antriebseinheit des Kraftfahrzeugs, wenn ein manipulierter Zustand der elektronischen Steuereinheit ermittelt wurde.
Auf diese Weise wird beispielsweise durch bereitgestellte Steuersignale ein unbefugter Startvorgang des Motors des Kraftfahrzeugs verhindert, um so einem Entwenden des Kraftfahrzeugs entgegenzuwirken. Zum Beispiel wird ein Relais innerhalb des Fahrzeugsystems des Kraftfahrzeugs geöffnet, sodass vorläufig keine Verbindung zwischen dem Motor und einer Energieversorgung des Kraftfahrzeugs besteht.
Gemäß einer weiteren Ausgestaltung des ersten Aspekts umfasst das Verfahren ein Ausgeben eines Deaktivierungssignals zum Deaktivieren zumindest eines Wegfahrcodes für das Kraftfahrzeug, wenn ein manipulierter Zustand der elektronischen Steuereinheit ermittelt wurde.
Diese Ausgestaltung verhindert zum Beispiel einen Startvorgang des Motors des Kraftfahrzeugs, welcher durch Eingabe von Wegfahrcodes initiiert wird. Für den Fall, dass ein das ein manipulierter Zustand ermittelt wurde, wird auf diese Weise ein Diebstahl des Kraftfahrzeugs unterbunden.
Gemäß einer weiteren Ausgestaltung des ersten Aspekts umfasst das Verfahren ein Ausgeben eines Deaktivierungssignals zum Deaktivieren einer Energieversorgung des Kraftfahrzeugs, wenn ein manipulierter Zustand der elektronischen Steuereinheit ermittelt wurde.
In diesem Zusammenhang wird die Energieversorgung des Kraftfahrzeugs deaktiviert, um so beispielsweise ein ungewolltes Öffnen von Türen und/oder Fensterscheiben zu verhindern. Dies ist zum Beispiel durch ein Relais innerhalb des Fahrzeugsystems realisierbar, das, analog wie zuvor beschrieben, durch das Deaktivierungssignal geöffnet wird und so eine Verbindung zwischen der elektronischen Steuereinheit und der Energieversorgung innerhalb des Kraftfahrzeugs unterbindet.
Gemäß einer weiteren Ausgestaltung des ersten Aspekts umfasst das Verfahren ein Ausgeben eines Deaktivierungssignals zum Deaktivieren von Strompfaden innerhalb des Kraftfahrzeugs, wenn ein manipulierter Zustand der elektronischen Steuereinheit ermittelt wurde.
Auf diese Weise ist es möglich, gezielt die manipulierte elektronische Steuereinheit zu isolieren und/oder zu deaktivieren, sodass weitere elektronische Steuereinheiten aktiv bleiben. Darüber hinaus ist es mittels des Deaktivierungssignals auch möglich, einzelne elektrische Zuleitungen durch einen gewollten Kurzschluss zu deaktivieren, sodass ein Betrieb der elektronischen Steuereinheit beispielsweise erst nach Wartung wieder möglich ist und so ein Diebstahl oder ein unbefugtes Eindringen verhindert wird.
Gemäß einer weiteren Ausgestaltung des ersten Aspekts umfasst das Verfahren ein Ausgeben eines Abschaltsignals zum selektiven Abschalten der elektronischen Steuereinheit des Kraftfahrzeugs, sofern ein manipulierter Zustand der elektronischen Steuereinheit ermittelt wurde.
Darüber hinaus wird darauf hingewiesen, dass die einzelnen Ausgestaltungen auch beliebig kombinierbar sind.
Gemäß einem zweiten Aspekt der Erfindung ist eine Vorrichtung zum Betreiben eines Kraftfahrzeugs dazu ausgebildet, zumindest eines der zuvor beschriebenen Verfahren durchzuführen.
Gemäß einer Ausgestaltung des zweiten Aspekts umfasst die Vorrichtung zum Betreiben eines Kraftfahrzeugs mindestens einen Strom- und/oder Spannungssensor, der signaltechnisch mit einer elektronischen Steuereinheit des Kraftfahrzeugs gekoppelt ist und dessen Messsignal repräsentativ ist für einen zeitlichen Strom- und/oder Spannungsverlauf der elektronischen Steuereinheit. Des Weiteren umfasst die Vorrichtung einen Datenspeicher, in dem Fahrzeuginformationen hinterlegt sind, die Informationen über einen charakteristischen Strom- und/oder Spannungsverlauf der elektronischen Steuereinheit umfassen. Außerdem umfasst die Vorrichtung eine Verwaltungseinheit, die signaltechnisch mit dem mindestens einen Strom- und/oder Spannungssensor und dem Datenspeicher gekoppelt ist und die dazu ausgebildet ist, Messsignale des mindestens einen Strom- und/oder Spannungssensors und die in dem Datenspeicher hinterlegten Fahrzeuginformationen zu empfangen. In Abhängigkeit einer Abweichung der Messsignale von den Fahrzeuginformationen wird durch die Verwaltungseinheit ein manipulierter Zustand des Fahrzeugsystems oder der elektronischen Steuereinheit des Kraftfahrzeugs ermittelt.
Ausführungsbeispiele der Erfindung sind im Folgenden anhand der schematischen Zeichnungen näher erläutert. Dabei zeigen:
1 ein Ausführungsbeispiel von Stromverläufen einer elektronischen Steuereinheit,
2 ein Ausführungsbeispiel eines Kraftfahrzeuges mit elektronischen Steuereinheiten,
3 ein Ausführungsbeispiel einer Energieversorgung innerhalb eines Kraftfahrzeugs,
4 ein weiteres einer Energieversorgung innerhalb eines Kraftfahrzeugs,
5 ein Ausführungsbeispiel eines Stromverteilers.
In 1 sind beispielhafte Stromverläufe V_soll, V_tole und V_mani einer elektronischen Steuereinheit ES eines Kraftfahrzeugs KF dargestellt. Abgebildet sind die jeweiligen Ströme I in Abhängigkeit der Zeit t. Ein Sollstromverlauf V_soll ist dargestellt mit einer durchgezogenen Linie und zeigt eine rechteckige Struktur mit periodischen Rechtecksignalen. Beispielsweise stellt dies einen periodischen Betrieb der elektronischen Steuereinheit ES dar, die zeitweise aktiv und zeitweise in einem Ruhezustand ist. Der Sollstromverlauf V_soll ist repräsentativ für einen charakteristischen Stromverlauf der elektronischen Steuereinheit ES und gibt unter anderem Auskunft über die Funktion und einen Zustand der elektronischen Steuereinheit ES des Kraftfahrzeugs KF. Er fungiert als eine Art Fingerabdruck, anhand dessen es möglich ist, die elektronische Steuereinheit ES zu identifizieren und ihren Betrieb zu überwachen.
Die elektronische Steuereinheit ES bildet in diesem Zusammenhang zumindest eine Komponente eines Fahrzeugsystems des Kraftfahrzeugs KF und ist beispielsweise dazu eingerichtet, Türen oder Fenster des Kraftfahrzeugs zu öffnen. Alternativ oder zusätzlich ist die elektronische Steuereinheit ES dazu ausgebildet, einen Motor des Kraftfahrzeugs KF zu starten oder eine Energieversorgung EV in dem Kraftfahrzeug KF zu steuern. Sie ist möglicherweise eine Komponente des Fahrzeugsystems oder steuert als eine Art elektronische Zentrale, wie beispielsweise ein Bordcomputer, sämtliche elektronischen Vorgänge innerhalb des Kraftfahrzeugs KF.
Der Sollstromverlauf V_soll der elektronischen Steuereinheit ES ist zum Zeitpunkt der Fertigstellung des Fahrzeugsystems des Kraftfahrzeugs KF bekannt und wird beispielsweise zusammen mit weiteren Fahrzeuginformationen in einem Datenspeicher DS hinterlegt. Der Datenspeicher DS ist zum Beispiel der elektronischen Steuereinheit ES zugeordnet und innerhalb des Kraftfahrzeugs KF angeordnet oder er ist extern zu dem Kraftfahrzeug KF beispielsweise in einem Back-End angeordnet und wird gegebenenfalls durch den Fahrzeughersteller bereitgestellt.
Analog zu dem Sollstromverlauf V_soll ist ein Toleranzverlauf V_tole mit zwei gestrichelten Linien dargestellt, die den Sollstromverlauf V_soll umgeben. Der Toleranzverlauf V_tole entspricht dem Sollstromverlauf V_soll mit dem Unterschied, dass der Toleranzverlauf V_tole in Bezug auf die y-Achse und die x-Achse sowohl in positive als auch in negative Richtung um einen oder mehrere vorgegebene Toleranzwerte versetzt ist. Auf diese Weise wird ein Toleranzband für den Stromverlauf vorgegeben, das für den weiteren Verlauf beim Ermitteln eines manipulierten Zustands der elektronischen Steuereinheit ES relevant ist. Beispielsweise sind Abweichungen des gemessenen zeitlichen Stromverlaufs von dem charakteristischen Sollstromverlauf V_soll von 0,1 % oder 5 % praktikable Toleranzwerte für das Ermitteln eines manipulierten Zustandes der elektronischen Steuereinheit ES. Darüber hinaus sind die einzuhaltenden Toleranzwerte in der Regel abhängig von der zur Verfügung stehenden Messtechnik und der zu vermessenden Komponente des Fahrzeugsystems des Kraftfahrzeugs KF, sodass zum Beispiel bei einer elektronischen Steuereinheit ES mit einem niedrigen Strombedarf ein gegebenenfalls größerer Toleranzwert bei einer Strom- und/oder Spannungsmessung vorteilhaft ist als bei einer elektronischen Steuereinheit ES mit einem höheren Strombedarf.
Ein manipulierter Stromverlauf V_mani ist mit einer gepunkteten Linie dargestellt und entspricht in diesem Zusammenhang einem gemessenen zeitlichen Stromverlauf der elektronischen Steuereinheit ES, die durch einen unbefugten Eingriff manipuliert ist. Dieser zeitliche Stromverlauf wird zum Beispiel durch einen Stromsensor SSS an der elektronischen Steuereinheit ES gemessen und wird im weiteren Verlauf mit dem Sollstromverlauf V_soll abgeglichen.
In diesem Zusammenhang wird überprüft, ob der gemessene zeitliche Stromverlauf der elektronischen Steuereinheit ES mit dem Sollstromverlauf V_soll inklusive des vorgegebenen Toleranzwertes übereinstimmt oder von diesem abweicht. Es wird also ermittelt, ob der gemessene zeitliche Stromverlauf innerhalb des durch den Toleranzstromverlauf V_tole vorgegebenen Toleranzband verläuft oder ob es Positionen gibt, die diesen Bereich überschreiten. Auf diese Weise ist es möglich, einen manipulierten Zustand der elektronischen Steuereinheit ES zuverlässig zu ermitteln.
Der vorgegebene Toleranzwert und der damit verbundene Toleranzstromverlauf V_tole sind unter anderem durch eventuell auftretende Schwankungen des Messsignals MS des Stromsensors SSS oder durch stets vorhandene Messtoleranzen der Messgeräte begründet.
Wie in 1 dargestellt ist, weicht der gemessene zeitliche Stromverlauf der elektronischen Steuereinheit ES an mehreren Positionen von dem Toleranzstromverlauf V_tole ab, sodass ein manipulierter Stromverlauf V_mani und damit ein manipulierter Zustand der elektronischen Steuereinheit ES und ermittelt wird. Das Ermitteln des manipulierten Zustands der elektronischen Steuereinheit ES wird zum Beispiel durch eine Verwaltungseinheit VE durchgeführt, die signaltechnisch mit dem Stromsensor SSS und dem Datenspeicher DS gekoppelt ist. Sie ist möglicherweise als eine Art übergeordnete Entscheidungsinstanz innerhalb des Kraftfahrzeugs KF angeordnet oder ist alternativ in einem externen Speicher, wie zum Beispiel einem Back-End, realisiert.
Im weiteren Verlauf ist es dann möglich, durch die Verwaltungseinheit VE Steuersignale bereitzustellen, um so zum Beispiel einen Diebstahl des Kraftfahrzeugs KF zu verhindern. Diese Steuersignale werden demzufolge durch die Verwaltungseinheit VE generiert, wenn ein manipulierter Zustand der elektronischen Steuereinheit ES ermittelt wurde, und sind als zusätzliche Steuersignale zu denen verstehen, die während eines Betriebs des Kraftfahrzeugs KF zum Steuern des Fahrzeugsystems benötigt werden.
Diese zusätzlichen Steuersignale umfassen beispielsweise Informationssignale und Deaktivierungssignale, um auf den ermittelten manipulierten Zustand hinzuweisen und Funktionen der elektronischen Steuereinheit ES und des Fahrzeugsystems zu deaktivieren. Auf diese Weise wird zum Beispiel durch ein akustisches und/oder optisches Signal ein unbefugter Eingriff signalisiert. Solche Signale werden zum Beispiel durch Aktivieren einer Hupe des Kraftfahrzeugs und/oder einer Lichtanlage realisiert. Außerdem ist es möglich, durch Senden einer Information an den Hersteller und/oder den Halter des Kraftfahrzeugs KF auf den manipulierten Zustand der elektronischen Steuereinheit ES hinzuweisen. Dies wird dann zum Beispiel in Form eines Notrufs mit der Botschaft „möglicher Diebstahl“ gemeldet.
Darüber hinaus wird zum Beispiel ein Startvorgang des Motors des Kraftfahrzeugs KF verhindert, welcher durch Eingabe von Wegfahrcodes WFC initiiert wird. Beispielsweise werden gültige Wegfahrcodes WFC, die im Regelfall einen Betrieb des Kraftfahrzeugs KF ermöglichen, nach Ermitteln eines manipulierten Zustandes deaktiviert und somit ungültig. Auf diese Weise wird zum Beispiel ein Diebstahl des Kraftfahrzeugs KF unterbunden, da es aufgrund der deaktivierten Wegfahrcodes WFC nicht mehr möglich ist, den Motor des Kraftfahrzeugs KF freizuschalten.
Weitere Möglichkeiten bieten ein selektives Abschalten oder Deaktivieren der elektronischen Steuereinheit ES oder einzelner Funktionen des Fahrzeugsystems durch die zusätzlichen Steuersignale, die durch die Verwaltungseinheit VE bereitgestellt werden, nachdem ein manipulierter Stromverlauf V_mani gemessen und ein manipulierter Zustand ermittelt wurde. Auf diese Weise werden zum Beispiel die Energieversorgung EV des Kraftfahrzeugs KF und/oder einzelne Strompfade innerhalb des Fahrzeugsystems des Kraftfahrzeugs KF deaktiviert. Ein solches Deaktivieren bestimmter Komponenten wird zum Beispiel durch Öffnen eines Relais innerhalb des Fahrzeugsystems des Kraftfahrzeugs KF realisiert.
In 2 ist das Kraftfahrzeug KF dargestellt, das die Verwaltungseinheit VE, eine Energieversorgung EV und mehrere elektronische Steuereinheiten ES umfasst. Eine elektronische Steuereinheit ES umfasst ebenso wie die Verwaltungseinheit VE einen Datenspeicher DS, in denen beispielsweise Wegfahrcodes WFC und weitere Fahrzeuginformationen hinterlegt sind. Alternativ oder zusätzlich ist ein Datenspeicher DS innerhalb des Kraftfahrzeug KF angeordnet, der durch eine gestrichelte Linie in 2 mit der Verwaltungseinheit VE gekoppelt ist. Darüber hinaus ist ein optionaler Datenspeicher DS dargestellt, der extern zu dem Kraftfahrzeug KF zum Beispiel in einer Datenwolke (englisch: Cloud) oder einem Back-End angeordnet ist.
Außerdem weist das Kraftfahrzeug KF eine Kommunikationsschnittelle KS auf, die dazu ausgebildet ist, Informationssignale IS anzuzeigen oder auszugeben. Die Kommunikationsschnittstelle kann beispielsweise eine oder mehrere der eingangs genannten Kommunikationstechnologien wie WLAN etc. aufweisen. Sie kann mit entsprechenden Infrastrukturkomponenten außerhalb des Fahrzeugs kommunizieren. Beispielsweise kann sie in einem Elektrofahrzeug auch über ein Ladekabel mit einer externen Ladesäule kommunizieren und ggf. über diese mit dem Internet verbunden werden.
Die Informationssignale IS sind zum Beispiel als Audio- oder Videosignale realisiert oder auch als eine Art Notruf, der beispielsweise mit der Botschaft „möglicher Diebstahl“ an den Fahrzeughersteller oder den Halter des Kraftfahrzeugs KF gesendet wird.
Die Energieversorgung EV, die elektronischen Steuereinheiten ES sowie die Datenspeicher DS und die Kommunikationsschnittstelle KS sind signaltechnisch mit der Verwaltungseinheit VE gekoppelt. Zwischen den elektronischen Steuereinheiten ES und der Verwaltungseinheit VE sind Strom- und/oder Spannungssensoren SSS angeordnet, die die zeitlichen Strom- und/oder Spannungsverläufe der jeweiligen elektronischen Steuereinheiten ES messen. Die Messsignale MS der Strom- und/oder Spannungssensoren SSS werden von der Verwaltungseinheit VE empfangen und mit den in den Datenspeichern DS hinterlegten charakteristischen Strom- und/oder Spannungsverläufen der jeweiligen elektronischen Steuereinheit ES verglichen. Wird ein manipulierter Zustand ermittelt, so werden durch die Verwaltungseinheit VE verschiedene Steuersignale wie zum Beispiel Informationssignale IS, Abschaltsignale AS oder Deaktivierungssignale DAS_1 bis DAS_3 bereitgestellt. Das Empfangen von Messsignalen MS der Strom- und/oder Spannungssensoren SSS und das Senden von Steuersignalen ist durch Pfeile angedeutet. Die Position der Pfeile der jeweiligen Messsignale MS und Steuersignale gibt dabei keine Auskunft über eine eventuelle zeitliche Abfolge.
Im Falle, dass ein manipulierter Zustand ermittelt wurde, wird beispielsweise durch die Verwaltungseinheit VE ein Deaktivierungssignal DAS_2 bereitgestellt und infolgedessen ein Relais zu der Energieversorgung EV des Kraftfahrzeuges KF geöffnet. In dem Ausführungsbeispiel in 2 ist dies durch einen geöffneten elektrischen Schalter zwischen der Verwaltungseinheit VE und der Energieversorgung EV angedeutet, sodass eine Stromversorgung des Fahrzeugsystems des Kraftfahrzeuges KF deaktiviert ist.
In 3 ist ein Ausführungsbeispiel einer Energieversorgung EV innerhalb des Kraftfahrzeugs KF dargestellt. Die Energieversorgung EV umfasst dabei eine Stromquelle SQ, die mit mehreren Stromverteilern SV gekoppelt ist. Die Stromverteiler SV umfassen dabei mehrere Strompfade SP, an denen verschiedene elektrische Steuereinheiten ES gekoppelt sind. In diesem Ausführungsbeispiel sind exemplarisch drei Stromverteiler SV und zwei elektronische Steuereinheiten ES dargestellt, darüber hinaus sind aber weitere Stromverteiler SV und weitere elektronische Steuereinheiten ES des Kraftfahrzeugs KF möglich, was durch gepunktete Linien, die aus den Stromverteilern SV führen, angedeutet ist. In einer Detailansicht in 3 ist ein beispielhafter Stromverteiler SV vergrößert dargestellt. An verschiedenen Strompfaden SP sind Strom- und/oder Spanungssensoren SSS dargestellt, die zum Beispiel in Bezug auf die Sicherheit des Kraftfahrzeugs KF an wichtigen Punkten innerhalb der Stromverteiler SV den zeitlichen Strom- und/oder Spannungsverlauf einer oder mehrere elektronischer Steuereinheiten ES messen. Die Auswertung der Messsignale MS der Strom- und/oder Spannungssensoren SSS und das Ermitteln eines manipulierten Zustandes erfolgt dann zum Beispiel direkt innerhalb der jeweiligen Stromverteiler SV.
In 4 ist ein weiteres Ausführungsbeispiel einer Energieversorgung EV innerhalb des Kraftfahrzeugs KF dargestellt. Im Unterschied zu dem Ausführungsbeispiel in 3 sind die Strom- und/oder Spannungssensoren SSS außerhalb der drei dargestellten Stromverteiler SV angeordnet. Darüber hinaus ist die Verwaltungseinheit VE dargestellt, die signaltechnisch mit den Strom- und/oder Spannungssensoren SSS gekoppelt ist. Dies ist durch die gepunkteten Linien angedeutet, die auf die Verwaltungseinheit VE zulaufen. In diesem Beispiel erfolgt die Auswertung der Messsignale MS der jeweiligen Strom- und Spannungssensoren SSS und das Ermitteln eines manipulierten Zustandes zentral in der Verwaltungseinheit VE, indem die zeitlichen Strom- und/oder Spannungsverläufe mit charakteristischen Strom- und/oder Spannungsverläufen verglichen werden. Darüber hinaus sind in diesem Ausführungsbeispiel fünf beispielhafte elektronische Steuereinheiten ES des Kraftfahrzeugs KF dargestellt.
In 5 ist ein Ausführungsbeispiel eines Stromverteilers SV dargestellt, in dem mehrere Strompfade SP und Strom- und/oder Spannungssensoren SSS angeordnet sind. Außerdem sind drei elektronische Steuereinheiten ES und mehrere Relais RE in Form von elektrisch geöffneten Schaltern dargestellt. Durch die gepunkteten Linien sind Kurzschlüsse verschiedener Strompfade SP angedeutet, die kontrolliert ausgeführt wurden, nachdem ein manipulierter Zustand ermittelt wurde. So wurde zum Beispiel durch Betätigen eines Relais RE ein elektrischer Stromkreis in Verbindung zu der elektronischen Steuereinheit ES kurzgeschlossen, um so ein unbefugtes Benutzen der elektronischen Steuereinheit ES und einen unbefugten Eingriff in das Fahrzeugsystem des Kraftfahrzeugs KF zu verhindern.
Darüber hinaus wird aufgrund des kontrollierten Kurzschlusses verhindert, die elektronische Steuereinheit ES zum Beispiel mittels einer weiteren Stromquelle, beispielsweise von außerhalb des Kraftfahrzeugs KF, mit Energie zu versorgen. Begründet durch den kontrollierten Kurzschluss ist der Anschluss einer externen Stromquelle in diesem Zusammenhang nicht zielführend, da diese bei einem Anschluss an den kurzgeschlossenen Stromkreis gleichermaßen kurzgeschlossen wird.
Bezugszeichenliste

AS: Abschaltsignal
DAS_1: Deaktivierungssignal Wegfahrcodes
DAS_2: Deaktivierungssignal Energieversorgung
DAS_3: Deaktivierungssignal Strompfade
DS: Datenspeicher
ES: elektronische Steuereinheit
EV: Energieversorgung
I: Strom
IS: Informationssignal
KF: Kraftfahrzeug
KS: Kommunikationsschnittstelle
MS: Messsignale
RE: Relais
SP: Strompfad
SQ: Stromquelle
SSS: Strom- und/oder Spannungssensor
SV: Stromverteiler
t: Zeit
VE: Verwaltungseinheit
V_mani: manipulierter Stromverlauf
V_soll: Sollstromverlauf
V_tole: Toleranzstromverlauf
WFC: Wegfahrcodes

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

IEEE 802.11-Familie [0003]
IEEE 802.3-Norm [0003]
ISO 14443 [0003]
ISO 15693 [0003]
IEEE 802.11-Familie [0003]
IEEE 802.15.1 [0003]

Claims

Verfahren zum Betreiben eines Kraftfahrzeugs (KF), umfassend die Schritte – Empfangen von Messsignalen (MS), die Informationen über einen zeitlichen Strom- und/oder Spannungsverlauf einer elektronischen Steuereinheit (ES) des Kraftfahrzeugs (KF) umfassen, – Bereitstellen von Fahrzeuginformationen, die Informationen über einen Sollzustand umfassen, der repräsentativ ist für einen charakteristischen Strom- und/oder Spannungsverlauf der elektronischen Steuereinheit (ES), – Ermitteln einer Abweichung der empfangenen Messsignale (MS) von den bereitgestellten Fahrzeuginformationen, – Ermitteln eines manipulierten Zustandes der elektronischen Steuereinheit (ES), wenn die ermittelte Abweichung größer als ein vorgegebener Toleranzwert ist.
Verfahren nach Anspruch 1, – bei dem die empfangenen Messsignale (MS) Informationen über einen Realenergieverbrauch der elektronischen Steuereinheit (ES) umfassen, und – bei dem die bereitgestellten Fahrzeuginformationen Informationen über einen Sollenergieverbrauch der elektronischen Steuereinheit (ES) umfassen.
Verfahren nach einem der Ansprüche 1 oder 2, umfassend – Ausgeben eines Informationssignals (IS), wenn ein manipulierter Zustand der elektronischen Steuereinheit (ES) ermittelt wurde.
Verfahren nach einem der Ansprüche 1 bis 3, – Verhindern eines Startens einer Antriebseinheit des Kraftfahrzeugs (KF), wenn ein manipulierter Zustand der elektronischen Steuereinheit (ES) ermittelt wurde.
Verfahren nach Anspruch 4, – Ausgeben eines Deaktivierungssignals (DAS_1) zum Deaktivieren von zumindest eines Wegfahrcodes (WFC) für das Kraftfahrzeug (KF), wenn ein manipulierter Zustand der elektronischen Steuereinheit (ES) ermittelt wurde.
Verfahren nach einem der Ansprüche 1 bis 5, – Ausgeben eines Deaktivierungssignals (DAS_2) zum Deaktivieren einer Energieversorgung (EV) des Kraftfahrzeugs (KF), wenn ein manipulierter Zustand der elektronischen Steuereinheit (ES) ermittelt wurde.
Verfahren nach einem der Ansprüche 1 bis 6, – Ausgeben eines Deaktivierungssignals (DAS_3) zum Deaktivieren von Strompfaden innerhalb des Kraftfahrzeugs (KF), wenn ein manipulierter Zustand der elektronischen Steuereinheit (ES) ermittelt wurde.
Verfahren nach einem der Ansprüche 1 bis 7, – Ausgeben eines Abschaltsignals (AS) zum selektiven Abschalten der elektronischen Steuereinheit(ES) des Kraftfahrzeugs (KF), wenn ein manipulierter Zustand der elektronischen Steuereinheit (ES) ermittelt wurde.
Vorrichtung zum Betreiben eines Kraftfahrzeugs (KF), – die dazu ausgebildet ist, ein Verfahren nach den Ansprüchen 1 bis 8 durchzuführen.
Vorrichtung zum Betreiben eines Kraftfahrzeugs (KF) nach Anspruch 9, die – mindestens einen Strom- und/oder Spannungssensor (SSS) umfasst, der signaltechnisch mit einer elektronischen Steuereinheit (ES) des Kraftfahrzeugs (KF) gekoppelt ist und dessen Messsignal (MS) repräsentativ ist für einen zeitlichen Strom- und/oder Spannungsverlauf der elektronischen Steuereinheit (ES), – einen Datenspeicher (DS) umfasst, in dem Fahrzeuginformationen hinterlegt sind, die Informationen über einen charakteristischen Strom- und/oder Spannungsverlauf der elektronischen Steuereinheit (ES) umfassen, und – eine Verwaltungseinheit (VE) umfasst, die signaltechnisch mit dem mindestens einen Strom- und/oder Spannungssensor (SSS) und dem Datenspeicher (DS) gekoppelt ist, und die dazu ausgebildet ist, die Messsignale (MS) des mindestens einen Strom- und/oder Spannungssensors (SSS) und die in dem Datenspeicher (DS) hinterlegten Fahrzeuginformationen zu empfangen, um in Abhängigkeit einer Abweichung der Messsignale (MS) von den Fahrzeuginformationen einen manipulierten Zustand zu ermitteln.