-
TECHNISCHES GEBIET
-
Die vorliegende Erfindung bezieht sich auf das Bereitstellen einer Diagnoseinformation von einer elektronischen Steuereinheit eines Fahrzeugs für einen entfernten Computer unter Verwendung eines Diagnosewerkzeugs.
-
HINTERGRUND
-
Die Internationale Normungsorganisation (ISO) ist eine anerkannte Behörde für Industriestandards. Der ISO-14229 spezifiziert die Datenverbindungsanforderungen der Diagnosedienste, die es einer Diagnosetesteinrichtung oder einem Diagnosetestgerät ermöglichen, die Diagnosefunktionen in der elektronischen Steuereinheit (ECU) eines Fahrzeugs; z. B. den ECUs, die der elektronischen Kraftstoffeinspritzung, den Automatikgetriebeanordnungen, den Antiblockier-Bremssystemen etc. zugehörig sind, zu steuern. Wenn das Diagnosetestgerät mit einer oder mehreren ECUs über eine Schnittstelle verbunden ist, steuert das Testgerät die Übermittlung über die Datenverbindung – z. B. ob die Übermittlung zu stoppen, zu unterbrechen oder wiederaufzunehmen ist.
-
ZUSAMMENFASSUNG
-
Gemäß einer Ausführungsform der Erfindung wird ein Verfahren zum sicheren Bereitstellen von Diagnosedaten zwischen einem Fahrzeug und einem entfernten Server unter Verwendung eines Fahrzeugdiagnosewerkzeugs (VDT) bereitgestellt. Das Verfahren umfasst die Schritte: Empfangen, an dem entfernten, von sowohl einer Aufforderungsfrage als auch verschlüsselten Daten, die durch das VDT von einer elektronischen Steuereinheit (ECU) des Fahrzeugs erlangt werden, von dem VDT; Verwenden der Aufforderungsfrage, um zu ermitteln, wie die verschlüsselten Daten entschlüsselt werden sollen; und Entschlüsseln der verschlüsselten Daten an dem entfernten Server.
-
Gemäß einer Ausführungsform der Erfindung wird ein Verfahren zum sicheren Bereitstellen von Diagnosedaten zwischen einem Fahrzeug und einem entfernten Server unter Verwendung eines Fahrzeugdiagnosewerkzeugs (VDT) bereitgestellt. Das Verfahren umfasst die Schritte: Empfangen, an einer elektronischen Steuereinheit (ECU) des Fahrzeugs, einer Anforderung hinsichtlich einer Aufforderungsfrage, die einem Bereitstellen zuvor aufgezeichneter Daten zugeordnet ist, von dem VDT; Ableiten der Aufforderungsfrage an der ECU; Bereitstellen, von der ECU für das VDT, der Aufforderungsfrage zur Speicherung an dem VDT, bis das VDT die Aufforderungsfrage dem entfernten Server zu einem ersten späteren Zeitpunkt bereitstellen kann; Empfangen, von dem VDT, einer Anforderung hinsichtlich der zuvor aufgezeichneten Daten, die in dem Speicher der ECU gespeichert sind; Verschlüsseln der aufgezeichneten Daten; und Bereitstellen, von der ECU für das VDT, der verschlüsselten Daten zur Speicherung an dem VDT, bis das VDT die verschlüsselten Daten dem entfernten Server zu einem zweiten späteren Zeitpunkt bereitstellen kann, wenn der entfernte Server die Aufforderungsfrage verwenden kann, um eine Information zum Entschlüsseln der verschlüsselten Daten abzuleiten.
-
KURZBESCHREIBUNG DER ZEICHNUNGEN
-
Im Folgenden werden eine oder mehrere Ausführungsformen der Erfindung in Verbindung mit den beigefügten Zeichnungen beschrieben, wobei gleiche Bezugszeichen gleiche Elemente bezeichnen, und wobei:
-
1 ein Blockdiagramm ist, das eine Ausführungsform eines Kommunikationssystems zeigt, das das hierin offenbarte Verfahren verwenden kann;
-
2 eine Ausführungsform eines Abschnitts des in 1 gezeigten Fahrzeugkommunikationssystems ist;
-
3 eine Ausführungsform eines Speichers einer elektronischen Steuereinheit (ECU) ist;
-
4 ein schematisches Diagramm ist, das ein Diagnosewerkzeug isoliert von einem Diagnoseserver zeigt und zeigt, wie ein böswilliger Angreifer in das Fahrzeugkommunikationssystem von 1 eindringen könnte; und
-
5 ein Flussdiagramm ist, das ein Verfahren zum sicheren Bereitstellen einer Diagnoseinformation zwischen einem Fahrzeug und einem entfernten Server unter Verwendung eines Fahrzeugdiagnosewerkzeugs darstellt.
-
DETAILLIERTE BESCHREIBUNG DER DARGESTELLTEN AUSFÜHRUNGSFORM(EN)
-
Das/Die nachstehend beschriebene(n) Verfahren betrifft/betreffen die Fahrzeugsicherheit bezüglich eines Fahrzeugdiagnosesystems. Spezieller betrifft das Verfahren/betreffen die Verfahren das Schützen oder das Sichern vertraulicher Informationen, die durch die elektronischen Steuereinheiten (ECUs von electronic control units) in dem Fahrzeug gespeichert und bereitgestellt werden. Diese Information kann hinsichtlich eines böswilligen Angriffs gefährdet sein, wenn die ECU durch eine autorisierte Quelle (z. B. ein Fahrzeugdiagnosewerkzeug) entsperrt wurde und wenn die ECU die Information einem derartigen Diagnosewerkzeug bereitstellt. Die ECUs sind typischerweise miteinander verbunden und kommunizieren über ein Fahrzeugnetz (z. B. einen Bus, der ein Controller Area Network-Protokoll (CAN-Protokoll) verwendet) miteinander. Außerdem können die ECUs ein Fahrzeugdiagnoseprotokoll befolgen und/oder diesem entsprechen. In jüngerer Zeit haben böswillige Angreifer herausgefunden, wie die durch die ECU(s) mitgeführte oder übermittelte vertrauliche Information abgehorcht oder auf diese zugegriffen werden kann. Wie es nachstehend erklärt wird, können die böswilligen Angreifer unter Verwendung dieser vertraulichen Information ohne Autorisierung auf das Fahrzeug zugreifen, das Fahrzeug ohne Autorisierung starten, die Fahrzeugbewegung ohne Autorisierung steuern oder ohne Autorisierung auf die private Information eines rechtmäßigen Benutzers zugreifen, um nur einige Beispiele zu nennen.
-
Das nachstehend beschriebene Verfahren betrifft/Die nachstehend beschriebenen Verfahren betreffen spezieller das Verbessern der Sicherheit während der Übertragung der vertraulichen Information an das Diagnosewerkzeug. Beispielsweise kann ein Diagnosewerkzeug für Folgendes verwendet werden: Verbinden (drahtgebunden oder drahtlos) mit einem Fahrzeugbus; Versuchen, eine Autorisierung hinsichtlich einer oder einen Zugriff auf eine ECU zu erhalten; Empfangen einer Aufforderung von der ECU; korrektes Antworten auf die Aufforderung und Empfangen eines Zugriffs; Abfragen der ECU hinsichtlich einer vertraulichen oder geheimen Information; und wenn das Werkzeug autorisiert ist, Empfangen der angeforderten vertraulichen oder geheimen Information. Wenn diese Information von der ECU an das Diagnosewerkzeug übertragen wird, ist sie für gewöhnlich hinsichtlich eines Horchers ungesichert. Somit kann zu diesem Zeitpunkt ein böswilliger Angreifer die Information erlangen und missbräuchlich verwenden. Das hierin erläuterte Verfahren verbessert/Die hierin erläuterten Verfahren verbessern die Sicherheit dieser Typen von Diagnosesitzungen durch Sichern oder Schützen der übertragenen vertraulichen Information (z. B. über Verschlüsselung). Ferner wird, anstatt der Durchführung der Entschlüsselung durch das Diagnosewerkzeug, die verschlüsselte Information für eine spätere Übermittlung an einen entfernten Server zur Entschlüsselung und Analyse an dem Werkzeug gespeichert. Auf diese Weise müssen keine Entschlüsselungsschlüssel an dem Diagnosewerkzeug gespeichert werden – und in dem Fall, dass das Werkzeug gestohlen oder beeinträchtigt wird, bleibt die vertrauliche Information durch die Verschlüsselung geschützt und besitzt der Angreifer keinen Entschlüsselungsschlüssel, um die Information zu entschlüsseln. Ferner ermöglicht das hierin beschriebene Verfahren/ermöglichen die hierin beschriebenen Verfahren eine sichere Speicherung von Diagnoseauslesungen an entfernten Orten, wenn eine Internet- oder drahtlose Verbindung Unterbrechungen aufweisen oder nicht vorhanden sind.
-
1 zeigt ein Fahrzeug 10 mit einem Kommunikationssystem 12 darin. Das Kommunikationssystem 12 kann eine drahtgebundene Übermittlung über einen oder mehrere Fahrzeugbusse 14, eine drahtlose Nahbereichskommunikation (SRWC von short range wireless communication) unter Verwendung eines SRWC-Chipsatzes 16 (siehe 2) oder eine Weitbereichs-Zellularkommunikation unter Verwendung eines zellularen Chipsatzes 18 (siehe 2) ermöglichen, um nur einige Möglichkeiten zu nennen. Der Bus/Die Busse 14 und das SRWC-Gerät können gemeinsam realisiert sein, um ein lokales Fahrzeugnetz (VLAN von vehicle local area network) zu ermöglichen.
-
Der eine oder die mehreren Busse 14 können einen Kommunikationsbus/Kommunikationsbusse, einen Infotainmentbus/Infotainmentbusse, einen Unterhaltungsbus/Unterhaltungsbusse etc. umfassen. Der eine oder die mehreren Busse 14 können auch als Diagnosebusse betrachtet werden, wenn sie geeignet ausgestaltet sind, um eine in den ECUs gespeicherte Diagnoseinformation mitzuführen – ungeachtet dessen, ob der Bus/die Busse auch andere Kommunikations-, Infotainment- oder Unterhaltungsdaten mitführt/mitführen. Der in 1 gezeigte Bus ist direkt und indirekt mit mehreren Einrichtungen verbunden. Beispielsweise ist eine Anzahl von ECUs (20) direkt mit dem Bus 14 gekoppelt, von denen wiederum jede mit einem Fahrzeugsystemmodul oder einem Fahrzeugmodul oder einer Fahrzeugeinrichtung 22 gekoppelt ist (sodass die ECUs eine Brückenverbindung zwischen dem Bus 14 und den Einrichtungen 22 herstellen). Der Bus/Die Busse 14 und die ECUs 20 kommunizieren zusammen über ein oder mehrere Fahrzeugnetze (geeignete Netzverbindungen umfassen z. B. ein Controller Area Network (CAN), einen Media Oriented System Transfer (MOST), ein Local Interconnection Network (LIN), ein Local Area Network (LAN) und andere geeignete Verbindungen, wie beispielsweise Ethernet oder andere, die den bekannten ISO-, SAE- und IEEE-Standards und -Spezifikationen entsprechen, um nur einige zu nennen).
-
Jede ECU kann eine(n) oder mehrere Verarbeitungseinrichtungen oder Prozessoren 30 und Speicher oder Speichereinrichtungen 32 umfassen (siehe z. B. 2). Jeder Prozessor 30 kann irgendein Typ von Einrichtung sein, die elektronische Anweisungen verarbeiten kann, einschließlich Mikroprozessoren, Mikrocontrollern, Host-Prozessoren, Controllern, Fahrzeugkommunikationsprozessoren und anwendungsspezifischen integrierten Schaltkreisen (ASICs von application specific integrated circuits). Er kann ein dedizierter Prozessor sein, der nur für die jeweilige ECU (und/oder ihr jeweiliges Fahrzeugmodul 22) verwendet wird, oder er kann mit anderen Fahrzeugsystemen gemeinsam genutzt werden. Der Prozessor 30 führt verschiedene Typen von digital gespeicherten Anweisungen aus, wie beispielsweise Software- oder Firmwareprogramme, die in dem Speicher 32 gespeichert sind und dem Fahrzeugmodul 22 ermöglichen, verschiedene Dienste bereitzustellen. Beispielsweise kann der Prozessor 30 Programme ausführen oder Daten verarbeiten, um zumindest einen Teil des hierin erläuterten Verfahrens durchzuführen.
-
Der Speicher 32 kann ein beliebiges geeignetes von einem Computer verwendbares oder lesbares Medium umfassen, das eine(n) oder mehrere Speichereinrichtungen oder -artikel umfasst. Beispielhafte von einem Computer verwendbare Speichereinrichtungen umfassen einen RAM (Direktzugriffsspeicher), einen ROM (Nur-Lese-Speicher), einen EPROM (löschbaren programmierbaren ROM), einen EEPROM (elektrisch löschbaren programmierbaren ROM) und magnetische oder optische Platten oder Bänder eines herkömmlichen Computersystems.
-
Gemäß einer Ausführungsform kann der Speicher 32 in identifizierbare Segmente kategorisiert oder aufgeteilt sein – wobei jedes Segment eine Zelle oder Adresse 34 aufweist oder dieser zugeordnet ist (siehe 3). 3 zeigt zumindest einen Abschnitt des Speichers 32, der mehrere Adressen 34 aufweist. Lediglich zu Erläuterungszwecken zeigt 3 Zeilen (die alphabetisch angegeben sind, z. B. A–AA) und Spalten (die numerisch angegeben sind, z. B. 1–19). Diese Mengen der Zeilen und Spalten sind lediglich ein Beispiel; es sind andere Mengen vorhanden. Ferner sind auch andere Mittel zum Adressieren des Speichers 32 vorhanden. Wie im Folgenden ausführlicher erklärt wird, kann der Speicher 32 sowohl vertrauliche als auch nicht vertrauliche Daten mitführen oder speichern; in 3 können z. B. die schattierten Adressen (z. B. H1, I1, J1, ..., S1) vertrauliche Daten mitführen, während die nicht schattierten Adressen (z. B. alle der Spalten 2, 3, 4 und 5) weniger oder nicht vertrauliche Daten mitführen können.
-
Es sei auch angemerkt, dass der Prozessor 30 und der Speicher 32 unter Verwendung von Hardware oder Software konfiguriert sein können und dass das/die hierin beschriebene(n) Verfahren als ein oder mehrere Computerprogramme ausgeführt werden kann/können, welche durch den Prozessor 30 und/oder das Fahrzeugmodul 22 ausführbar sind, und dass die verschiedenen sich auf das Verfahren beziehenden Daten in einem beliebigen geeigneten Speicher gespeichert sein können. Das Computerprogramm kann in einer Vielzahl von Formen sowohl aktiv als auch inaktiv vorhanden sein. Beispielsweise kann das Computerprogramm als Softwareprogramm(e), das/die aus Programmanweisungen in Quellcode, Objektcode, ausführbarem Code oder anderen Formaten besteht/bestehen; Firmwareprogramm(e); oder Hardwarebeschreibungssprache-Dateien (HDL-Dateien von hardware description language files) vorliegen. Jedes der obigen kann an einem von einem Computer verwendbaren oder lesbaren Medium umfasst sein, das eine(n) oder mehrere Speichereinrichtungen oder -artikel umfasst. Somit sei angemerkt, dass die Verfahren zumindest teilweise durch (eine) beliebige elektronische Einrichtung(en) durchgeführt werden können, welche die oben beschriebenen Funktionen ausführen kann/können.
-
Die Fahrzeugmodule 22 können ausgestaltet sein, um verschiedene Fahrzeugdienste auszuführen. Beispielsweise kann ein Modul ein Maschinensteuermodul sein; ein anderes kann ein Antriebsstrangsteuermodul sein. Oder es kann beispielsweise eines der Fahrzeugmodule 22 eine Telematikeinheit sein (wie es in 2 gezeigt ist), die den zuvor erwähnten SRWC- und zellularen Chipsatz 16, 18 sowie ihren eigenen Prozessor 40, ihren eigenen Speicher 42 und ihre eigene Mehrzweck-(oder Multiband-)Antenne 44 – unter anderem – aufweist. Die Telematikeinheit kann beispielsweise unter Verwendung des SRWC-Chipsatzes 16 einen drahtlosen Netzbetrieb (über das VLAN) gemäß einem beliebigen geeigneten, bekannten Protokoll ausführen. Nicht einschränkende Beispiele für SRWC-Protokolle umfassen einen Wi-Fi-Standard (z. B. IEEE 802.11), einen Wi-Fi Direct-Standard, einen Bluetooth-Standard, einen WiMAX-Standard, einen ZigBeeTM-Standard, einen Standard einer drahtlosen Infrarotübertragung, einen beliebigen anderen geeigneten Standard oder verschiedene Kombinationen hiervon.
-
Natürlich kann der drahtlose Netzbetrieb durch die Telematikeinheit auch gemäß einem beliebigen geeigneten zellularen Standard ausgeführt werden. Die Telematikeinheit kann beispielsweise über den GSM-, den CDMA- oder den LTE-Standard kommunizieren, um nur einige zu nennen. Die zellulare Übermittlung sollte als umfassend betrachtet werden, um Sprachanrufe, Daten-(oder Paket-)Anrufe oder eine beliebige Kombination hiervon zu umfassen.
-
Die in 2 gezeigte ECU 20 ist zwischen dem Bus 14 und der Telematikeinheit (einem der Module 22) gekoppelt und kann gemäß einem beliebigen geeigneten Standard ausgestaltet sein – z. B. eine herkömmlich ausgestaltete ECU; oder sie kann eine dedizierte, spezifisch oder speziell ausgestaltete ECU sein. Somit ist die in 2 gezeigte ECU 20 für eine beliebige oder alle der in 1 gezeigten ECUs veranschaulichend. Es sei angemerkt, dass die ECU 20 vertrauliche Daten, die einer Übermittlung über den Bus 14 zugeordnet sind, oder vertrauliche Daten, die dem jeweiligen Modul 22 (z. B. der Telematikeinheit) zugeordnet sind, oder beides speichern kann. Beispielsweise und wie es nachstehend ausführlicher erklärt wird, kann die ECU 20 einen oder mehrere Verschlüsselungsschlüssel für eine sichere Buskommunikation oder für eine Übermittlung zwischen der ECU 20 und dem jeweiligen Modul 22 speichern und verwenden. Ferner werden Fachleute erkennen, dass ein Eindringen in die ECU 20 einem Angreifer eine geeignete Gelegenheit ermöglichen kann, vertrauliche Daten, die in dem Modul 22 gespeichert sind, zu erlangen, dem Angreifer ermöglichen kann, einen physikalischen Zugriff auf das Fahrzeug zu erlangen und sogar den rechtmäßigen Benutzer des Fahrzeugs 10 verletzen kann. Beispielsweise kann ein Eindringen in die in 2 gezeigte ECU 20 einem böswilligen Angreifer die Gelegenheit ermöglichen, die Telematikeinheit zu verwenden, um das Fahrzeug aus der Ferne zu starten oder die Fahrzeugtüren zu entriegeln etc.
-
4 (und auch 1) zeigt ein Diagnoseportal 50, das mit dem Bus 14 gekoppelt ist. Das Portal 50 kann eine beliebige Einrichtung zum Anschließen oder Koppeln einer externen Einrichtung 60 wie beispielsweise eines Fahrzeugdiagnosewerkzeugs (VDT von vehicle diagnostic tool) oder einer Datenaufzeichnungseinrichtung oder einer anderen geeigneten Diagnosemaschine sein. Ferner können die externen Einrichtungen 60, wie es nachstehend ausführlicher erklärt wird, auch elektronische Einrichtungen umfassen, die durch einen Angreifer verwendet werden, um echte Diagnosewerkzeuge zu imitieren; z. B. ein Pseudodiagnosewerkzeug oder einen entfernten Computer. Die echten VDTs 60 können, wie es Fachleute erkennen werden, einem Fahrzeugtechniker ermöglichen, eine Verbindung mit dem Fahrzeug 10 herzustellen, einen Diagnosestatus anzufordern und die Status mehrerer Fahrzeugmodule 22 zu lesen. Die Diagnoseanforderung kann ein Lesen einer oder mehrerer Speicheradressen 34 umfassen (z. B. gemäß ISO-14299). Wenn bei einem bestimmten Modul eine technische Frage oder ein technisches Problem vorhanden ist, enthält der durch die zugeordnete ECU 20 bereitgestellte Status 'Fehler'-Code-Daten oder einen Diagnosefehlercode (DTC von diagnostic trouble code). Und wenn keine Probleme vorhanden sind, enthält der Status 'Normal'-Code-Daten. Die externe Einrichtung 60 kann unter Verwendung von Hardware und Techniken, die Fachleuten vertraut sind, drahtgebunden oder drahtlos mit dem Portal 50 gekoppelt werden.
-
4 zeigt ferner, das das VDT 60 einen oder mehrere Prozessoren 62 in wirksamer Verbindung mit dem Speicher 64 umfassen kann; der Speicher 64 und der Prozessor/die Prozessoren 62 können ähnlich wie in Bezug auf den Speicher 32 und den Prozessor 30 beschrieben arbeiten und werden nicht erneut beschrieben. Bei zumindest einer Ausführungsform können der Speicher 64 und/oder der Prozessor/die Prozessoren 62 mit einem drahtlosen Modul 66 in dem VDT in Verbindung stehen. Das Modul 66 kann einen zellularen Chipsatz, einen SRWC-Chipsatz und/oder einen Satellitenchipsatz, die eine zellulare Kommunikation ermöglichen (z. B. 3G, 4G etc.), eine beliebige geeignete drahtlose Nahbereichskommunikation (z. B. Wi-Fi, Wi-Fi Direct, Bluetooth etc.) und/oder eine GPS- oder andere Satellitenkommunikation enthalten. Das VDT kann auch einen oder mehrere Ports 67 (z. B. einen Ethernet-Port, einen Faseroptik-Port, einen Firewire-Port, einen USB-Port etc.) für eine drahtgebundene Verbindung mit einem Weitverkehrsnetz (WAN von wide area network) oder eine Vermittlungseinrichtung 68, die zu einer zellularen Kommunikation, SRWC oder einer Satellitenkommunikation fähig ist, aufweisen.
-
Bei einer Ausführungsform kann die Vermittlungseinrichtung 68 eine speziell ausgestaltete Einrichtung sein, um mit dem VDT zu kommunizieren und dann drahtgebunden oder drahtlos Diagnosedaten oder -dienste an einen entfernten Computer oder Server 80 zu übertragen. Wie es in 4 gezeigt ist, können einige Ausführungsformen des VDT 60 mit dem Server 80 (z. B. zellular, über SRWC, Satellit etc.) kommunizieren; und einige Ausführungsformen können die Vermittlungseinrichtung 68 verwenden oder erfordern. Bei einigen Realisierungen ist die Einrichtung 68 notwendig, um jegliche Diagnosedaten an den Server 80 zu übertragen.
-
Wie es in 4 gezeigt ist, kann der Server 80 unter Verwendung des Bodennetzes 72 oder auf eine Vielzahl von Arten mit dem VDT 60 in Verbindung stehen. Der entfernte Server kann eine beliebige Recheneinrichtung mit einer Datenbank oder einem Speicher 84 sein. Ferner kann der Server 80 einen oder mehrere Prozessoren 82 umfassen. Der Speicher 84 und der Prozessor/die Prozessoren 82 können ähnlich wie in Bezug auf den Speicher 32 und den Prozessor 30 beschrieben arbeiten und werden hier nicht erneut beschrieben. Ferner kann der Begriff ”entfernt” relativ sein; z. B. bedeutet er von dem VDT 60 entfernt; d. h., bedeutet er nicht in dem VDT 60 (oder der Vermittlungseinrichtung 68) enthalten oder Teil dieses (dieser). Daher umfassen geeignete Beispiele einen Server an einem anderen Ort oder an dem selben Ort wie das VDT 60, nur nicht als physikalischer Teil des VDT 60. Bei einer Realisierung befindet sich der entfernte Server 80 an einem Fahrzeug-Call Center oder ist er diesem zugeordnet – d. h. eine Einrichtung, die eine Anzahl von Fahrzeug-Backend-Diensten und -Funktionen bereitstellt und Schalter, Server, Datenbanken, menschliche Berater etc. umfasst, die alle in der Technik bekannt sind.
-
4 zeigt ferner einige Beispiele bezüglich dessen, wie ein böswilliger Angreifer 70 (der durch eine vernetzte Einrichtung dargestellt ist) das Kommunikationssystem 12 in dem Fahrzeug 10 verwenden könnte, um einen nicht autorisierten Zugriff auf das System 12 zu erlangen oder in dieses einzudringen. Der Angreifer 70 kann beispielsweise die externe Einrichtung 60 oder eine ähnliche Einrichtung verwenden, die (z. B. über eine drahtgebundene oder drahtlose Übermittlung) direkt mit dem Bus 14 gekoppelt ist. Oder der Angreifer kann eine externe Einrichtung 60 vortäuschen – d. h. vorgeben, ein echtes Diagnosewerkzeug zu sein. Oder der Angreifer 70 kann ein Bodennetz 72 und/oder ein drahtloses Netz 74 verwenden, um in den Bus 14 (z. B. über die Telematikeinheit oder ein anderes geeignetes Modul 22) einzudringen. In jedem Fall kann der Angreifer mit den ECUs 20 kommunizieren, um vertrauliche Informationen zu sammeln, sobald der Zugriff auf den Bus 14 durch den böswilligen Angreifer 70 erreicht wurde.
-
Nun auf 5 Bezug nehmend ist ein Flussdiagramm gezeigt, das ein Verfahren 500 zum sicheren Bereitstellen einer Diagnoseinformation zwischen dem Fahrzeug 10 (z. B. der ECU 20 des Fahrzeugs) und dem entfernten Server 80 unter Verwendung des VDT 60 darstellt. Das Flussdiagramm zeigt eine Anzahl von Schritten oder Transaktionen zwischen einer der ECUs 20, dem VDT 60 und dem entfernten Server 80.
-
Das Verfahren beginnt in Schritt 502 durch Empfangen oder Aufzeichnen von sowohl vertraulichen (oder geheimen) als auch nicht vertraulichen Diagnosedaten. Die Daten können von einem zugeordneten Fahrzeugmodul 22 empfangen werden und können in verschiedenen Adressen 34 des Speichers 32 gespeichert werden (z. B. den schattierten vertraulichen Adressen, wie beispielsweise H1, I1, J1, ..., S1).
-
Nachdem die Daten aufgezeichnet wurden (Schritt 502), kann das VDT 60 eine Verbindung mit dem Bus 14 herstellen und versuchen, Diagnosedaten (z. B. von den Speicheradressen 34) abzurufen. Diese Verbindung kann drahtgebunden oder drahtlos erfolgen. Und in den Schritten 504–512 kann das VDT 60 eine Aufforderung oder Aufforderungsfrage von der ECU 20 erlangen; danach kann das VDT 60 in den Schritten 514–520 die aufgezeichneten Daten erlangen. Ferner können die Schritte 504–520 alle während einer Periode P einer Fahrzeugdiskonnektivität durchgeführt werden; z. B. an einem entfernten Ort oder während eines Zeitpunkts, an oder zu dem eine Internet- oder drahtlose Verbindung Unterbrechungen aufweist oder nicht vorhanden ist. Während Periode P kann das VDT 60 somit möglicherweise nicht dazu in der Lage sein, eine Verbindung mit dem Server 80 über den/die Satelliten 76, das drahtlose Netz 74, lokale Computer (z. B. über das Bodennetz 72) oder die Vermittlungseinrichtung 68 oder ein beliebiges anderes geeignetes Mittel oder eine beliebige andere geeignete Einrichtung herzustellen.
-
Periode P ist ferner in 4 dargestellt. Die Figur zeigt, dass es Fälle 90 geben kann, bei denen keine Verbindung zwischen dem VDT 60 (und/oder der Vermittlungseinrichtung 68) und dem Server 80 möglich ist. Beispielsweise umfassen solche Fälle: keine Internet- oder lokale drahtgebundene Verbindung 90 1, keine LAN-Verbindung 90 2 oder zellulare Verbindung 90 3 der Vermittlungseinrichtung 68, keine zellulare Verbindung 90 4 des VDT, keine Satellitenverbindung 90 5 des VDT, um nur einige Beispiele zu nennen.
-
In Schritt 504 fordert das VDT 60 während Periode P die Aufforderung über die Verbindung zwischen dem VDT 60 und der ECU 20 an.
-
In Schritt 506 kann die ECU 20 die Aufforderung in Ansprechen auf die Anforderung in Schritt 504 ermitteln oder ableiten. Die angeforderte Aufforderung kann ein beliebiges geeignetes Format aufweisen. Beispielsweise kann die Aufforderung Komponenten oder Teile umfassen, wie beispielsweise: einen Verschlüsselungsschlüssel, ein Passwort oder eine Passphrase, eine Funktion oder einen Algorithmus, ein Salt, einen eindeutigen Identifikator (der dem Fahrzeug 10 oder der Fahrzeughardware zugeordnet ist, wie beispielsweise eine Seriennummer, eine MAC-Adresse, eine Fahrzeugidentifikationsnummer (VIN von vehicle identification number), eine Softwareversion oder -aktualisierungsnummer etc.), eine Hash, eine zufällig erzeugte Zahl (z. B. eine Seed) etc. oder eine beliebige Kombination hiervon. Bei zumindest einer Ausführungsform umfasst die Aufforderung eine Kombination von Teilen, wobei zumindest einer der Teile ein Seed-Wert ist. Und bei zumindest einer Ausführungsform umfasst die Aufforderung eine Kombination von Teilen, wobei zumindest einer der Teile ein eindeutiger Identifikator ist.
-
In Schritt 510 kann die ECU 20 die Aufforderung dem VDT über die Verbindung bereitstellen.
-
In Schritt 512 kann das VDT die Aufforderung in dem VDT-Speicher 64 speichern. Diese Aufforderung kann, wie es nachstehend erklärt wird, für eine spätere Übermittlung an den Server 80 gespeichert werden.
-
In Schritt 514 kann das VDT 60 aufgezeichnete Daten von der ECU 20 anfordern. Bei zumindest einer Realisierung kann die Anforderung vertrauliche oder geheime Daten umfassen, die in den Speicheradressen 34 (z. B. den schattierten Regionen) gespeichert sind.
-
Nach Schritt 514 kann die ECU die angeforderten Daten von ihrem Speicher 32 abrufen und die Daten mit einem Schlüssel verschlüsseln, der in der ECU gespeichert ist oder für diese zugänglich ist (Schritt 516). Die Verschlüsselung kann unter Verwendung einer beliebigen geeigneten Technik oder eines beliebigen geeigneten Verschlüsselungsalgorithmus durchgeführt werden.
-
Und nach Schritt 516 kann die ECU die angeforderten aufgezeichneten Daten dem VDT 60 unter Verwendung der Verbindung zwischen dem VDT und der ECU bereitstellen – d. h. die nun verschlüsselten Daten (Schritt 518).
-
Beim Empfang der verschlüsselten Daten in Schritt 518 kann das VDT 60 die verschlüsselten Daten in seinem Speicher 64 für eine spätere Übermittlung an den Server 80 (in Schritt 52) speichern; d. h. eine spätere Übermittlung, wenn das VDT 60 ein beliebiges geeignetes Kommunikationsmittel besitzt, um die gespeicherte Aufforderung und die gespeicherten verschlüsselten (aufgezeichneten) Daten bereitzustellen. Dies kann eine Änderung des Orts des VDT oder lediglich ein Verstreichen von Zeit (oder beides) erfordern, sodass eine Verbindung zwischen dem VDT und dem Server hergestellt werden kann.
-
Die Speicherung der verschlüsselten (und möglicherweise vertraulichen) Daten an dem VDT 60 kann für Regionen oder Länder mit einer unzureichenden oder unterbrochenen Weitbereichskommunikation (z. B. nicht vorhandene bodenbasierte oder drahtlose Verbindungen) geeignet sein. Ferner sind die Daten durch Speichern der Daten an dem VDT 60, auch wenn das VDT verloren geht, gestohlen wird oder in dieses eingedrungen wird, verschlüsselt und unzugänglich. Ferner sei angemerkt, dass das Mittel zum Entschlüsseln der gespeicherten Daten das VDT 60 nicht begleitet; z. B. speichert das VDT keinen Schlüssel, der erforderlich ist, um die gespeicherten Daten zu entschlüsseln, und speichert es auch kein Mittel zum decodieren der Aufforderung. Daher stehen diese Sicherheitswerkzeuge der böswilligen Seite, die versucht, in das VDT einzudringen, nicht zur Verfügung.
-
Nach den Schritten 504–520 (Periode P) kann sich das VDT 60 an einem Ort oder in einem Umstand befinden, an oder unter dem eine Konnektivität mit dem Server 80 möglich ist. Während dieser Konnektivität kann das VDT 60 die Aufforderung oder Aufforderungsanfrage (Schritt 522) und die verschlüsselten Daten (Schritt 524) dem Server 80 bereitstellen. Somit können die Aufforderung und die verschlüsselten Daten nun durch eine beliebige Anzahl von Mitteln (z. B. zellular, Internet, Satellit etc.) übermittelt werden.
-
In Schritt 526 kann der entfernte Server 80 die verschlüsselten, aufgezeichneten Daten (empfangen in Schritt 524) unter Verwendung der Aufforderung (empfangen in Schritt 522) entschlüsseln. Gemäß einer Ausführungsform kann die Aufforderung verwendet werden, um einen Entschlüsselungsschlüssel abzuleiten oder zu identifizieren, der verwendet werden kann, um die verschlüsselten Daten zu entschlüsseln. Der Entschlüsselungsschlüssel kann an dem Server 80 (z. B. an Speicher 84) gespeichert sein. Wenn die Aufforderung beispielsweise einen Identifikator umfasst, kann der Identifikator dem Entschlüsselungsschlüssel zugeordnet sein. Bei zumindest einer Ausführungsform sind der Schlüssel, der zum Verschlüsseln der Daten an der ECU 20 verwendet wird, und der Schlüssel, der zum Entschlüsseln der Daten an dem Server 80 verwendet wird, symmetrisch. Beispielsweise kann dem Fahrzeug und/oder der ECU 20 der Schlüssel zum Zeitpunkt der Herstellung oder durch einen anderen geeignet autorisierten Servicetechniker bereitgestellt werden.
-
Und in Schritt 528 kann der entfernte Server 80 die nun entschlüsselten Daten analysieren, um das Leistungsvermögen des Fahrzeugs 10 zu verbessern. Ferner können diese Daten in einigen Fällen verwendet werden, um das Leistungsvermögen mehrerer Fahrzeuge zu verbessern und/oder die Benutzererfahrungen zu verbessern. Beispielsweise kann das Verfahren 500 für mehrere Fahrzeuge durchgeführt werden und können die Daten hinsichtlich Tendenzen und/oder ähnlicher Diagnosefehlercodes (DTCs) etc. analysiert werden. Die gesamten Daten können verwendet werden, um Probleme bei einer bestimmten Marke und/oder einem bestimmten Modell schneller und effizienter zu identifizieren.
-
Somit wurde ein/wurden Verfahren zum sicheren Bereitstellen einer Diagnoseinformation zwischen einem Fahrzeug und einem entfernten Server unter Verwendung eines Diagnosewerkzeugs offenbart. In dem/den Verfahren erlangt das Diagnosewerkzeug eine vertrauliche oder geheime Information von einer oder mehreren elektronischen Steuereinheiten (ECUs) eines Fahrzeugs. Das Verfahren verhindert, dass ein Eindringen in das Diagnosewerkzeug die vertrauliche Information liefert, da die Information verschlüsselt wird und das Mittel zum Entschlüsseln der Information nicht an dem Werkzeug vorhanden ist (z. B. ist kein Entschlüsselungsschlüssel daran gespeichert). Ferner ist der Entschlüsselungsschlüssel dem entfernten Server bekannt. Das Verfahren ermöglicht dem Server, eine vertrauliche Information von dem Fahrzeug unter Verwendung des Diagnosewerkzeugs in Abwesenheit einer Internet- oder drahtlosen Verbindung zu dem Zeitpunkt, zu dem das Werkzeug mit dem Fahrzeug verbunden ist, zu erlangen – was in weniger entwickelten Teilen des Landes und der Welt besonders vorteilhaft sein kann.
-
Es ist zu verstehen, dass das Vorstehende eine Beschreibung einer oder mehrerer Ausführungsformen der Erfindung ist. Die Erfindung ist nicht auf die bestimmte(n) hierin offenbarte(n) Ausführungsform(en) beschränkt, sondern ist lediglich durch die nachstehenden Ansprüche definiert. Ferner beziehen sich die in der vorangehenden Beschreibung enthaltenen Aussagen auf spezielle Ausführungsformen und sollen diese nicht als Einschränkungen des Schutzumfangs der Erfindung oder der Definition von in den Ansprüchen verwendeten Begriffen betrachtet werden, es sei denn, ein Begriff oder eine Phrase ist oben ausdrücklich definiert. Verschiedene andere Ausführungsformen und verschiedene Änderungen und Abwandlungen der offenbarten Ausführungsform(en) werden für Fachleute ersichtlich werden. Alle solchen anderen Ausführungsformen, Änderungen und Abwandlungen sollen innerhalb des Schutzumfangs der beigefügten Ansprüche umfasst sein.
-
Wie in dieser Beschreibung und in den Ansprüchen verwendet, sollen die Begriffe ”z. B.”, ”zum Beispiel”, ”beispielsweise”, ”wie beispielsweise” und ”wie” und die Verben ”umfassen”, ”aufweisen”, ”einschließen” und ihre anderen Verbformen, wenn sie in Verbindung mit einer Auflistung einer oder mehrerer Komponenten oder eines oder mehrerer anderer Elemente verwendet werden, jeweils als ein offenes Ende aufweisend betrachtet werden, was bedeutet, dass die Auflistung nicht als andere, zusätzliche Komponenten oder Elemente ausschließend betrachtet werden soll. Andere Begriffe sollen als ihre breiteste vernünftige Bedeutung umfassend betrachtet werden, wenn sie nicht in einem Kontext verwendet werden, der eine andere Interpretation erfordert.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-
- ISO-14229 [0002]
- IEEE 802.11 [0019]
- ISO-14299 [0022]
