-
Stand der Technik
-
Es ist bekannt, dass elektronische Steuergeräte in Fahrzeugen mit dem Zweck manipuliert werden, die Leistung des Fahrzeugs zu erhöhen oder den Funktionsumfang des Fahrzeugs auszuweiten. Diese Art der Manipulation ist bei Kraftfahrzeugen als Chiptuning bekannt. Die Manipulation kann über einen direkten Eingriff in die Software des Steuergeräts oder über eine vor- oder nachgeschaltete Baugruppe durch sogenannte Vorschaltboxen erfolgen.
-
Die Erkennung der Manipulation von Eingangs- oder Ausgangswerten des Steuergeräts ist innerhalb des Steuergeräts nur sehr schwer und in Extremfällen möglich.
-
Offenbarung der Erfindung
-
Die Erfindung betrifft ein Verfahren zur Überwachung eines Steuergeräts eines ersten Fahrzeugs bei dem zumindest ein Wert insbesondere zumindest eines Eingangssignals und/oder zumindest eines Ausgangssignals des Steuergeräts des Fahrzeugs von einer Vergleichereinheit mit einer Referenz verglichen wird. Es wird vorgeschlagen, dass die Referenz von einer Auswerteinheit über die entsprechenden Werte der Eingangssignale und/oder der Ausgangssignale mehrerer Fahrzeuge bestimmt wird, und dass ein Fehlersignal in Abhängigkeit des Vergleichs des Werts des Eingangssignals und/oder des Ausgangssignals des Steuergeräts mit der Referenz ausgegeben wird. Durch diese Maßnahme kann vorteilhaft auf einfache Weise eine Manipulation des Steuergeräts festgestellt werden.
-
Unter einem Fahrzeug soll in diesem Zusammenhang insbesondere ein mobiles Verkehrsmittel, mit dem Personen transportiert werden können, oder eine Arbeitsmaschine verstanden werden. Beispielhaft ist das Fahrzeug als ein Kraftfahrzeug oder als ein Elektrofahrrad ausgeführt. Bei dem Kraftfahrzeug kann es sich dabei um ein Personenkraftfahrzeug mit vier Rädern oder um ein einspuriges Kraftfahrzeug handeln. Ebenfalls ist denkbar, dass die Arbeitsmaschine als eine Baumaschine, wie beispielsweise ein Bagger, oder als eine Landmaschine, wie beispielsweise ein Traktor, ausgebildet ist.
-
Das Steuergerät ist als ein elektronisches Modul ausgebildet, wobei über das Steuergerät zumindest eine Komponente des Fahrzeugs, insbesondere eine Antriebskomponente, geregelt oder gesteuert werden kann. Unter einer Antriebskomponente soll insbesondere eine Komponente des Fahrzeugs verstanden werden, die einen Einfluss auf die Fahreigenschaften des Fahrzeugs, wie zum Beispiel die Beschleunigung oder die Höchstgeschwindigkeit, hat.
-
Das Steuergerät kann beispielhaft als ein Motorsteuergerät eines Kraftfahrzeugs ausgebildet sein. Eingangssignale für Motorsteuergeräte werden vorteilhaft über zumindest einen Sensor detektiert. Bei den Eingangssignalen kann es sich beispielweise um einen Raildruck, einen Ladedruck oder eine Temperatur handeln. Bei den Ausgangssignalen handelt es sich typischerweise um Ansteuerdauern von Aktoren wie beispielsweise der Kraftstoffeinspritzung.
-
Die Vergleichereinheit ist als ein elektronisches Modul vorgesehen, welches zumindest eine Recheneinheit umfasst. Vorteilhaft umfasst die Vergleichereinheit zusätzlich eine Speichereinheit, um Daten zu speichern. In der Speichereinheit können insbesondere die Werte der Eingangssignale und/oder Ausgangssignale sowie die von der Auswerteinheit ermittelte Referenz gespeichert und ausgelesen werden.
-
Die Auswerteinheit ist als ein elektronisches Modul mit einer Recheneinheit vorgesehen. Die Auswerteinheit ist vorteilhaft dazu eingerichtet, Daten von mehreren Fahrzeugen zu empfangen und basierend auf diesen Daten eine Referenz zu ermitteln. Die Referenz stellt insbesondere einen Wert oder Wertebereich dar, bei dem mit hoher Wahrscheinlichkeit davon ausgegangen werden kann, dass bei diesem Wert oder innerhalb dieses Wertebereichs die Steuergeräte im originären Zustand oder zumindest manipulationsfrei vorliegen. Die Bildung der Referenz kann beispielhaft über die Bildung eines Mittelwerts der Eingangssignale und/oder der Ausgangssignale der Steuergeräte mehrerer Fahrzeuge erfolgen. Ein Wertebereich kann z.B. durch alle Werte innerhalb einer bestimmten Abweichung von einem Mittelwert oder Median, z.B. innerhalb einer Standardabweichung, gegeben sein. Vorteilhaft wird die Referenz auf Basis mehrere Werte von Eingangssignalen und/oder Ausgangssignalen sowie insbesondere deren zeitliche Ableitung ermittelt.
-
Bei dem Fehlersignal kann es sich beispielsweise um eine Information auf einem Bildschirm handeln, die dem Fahrer des Fahrzeugs angezeigt wird. Alternativ kann es sich bei dem Fehlersignal auch um ein Steuersignal handeln, dass eine weitere Nutzung des Fahrzeugs verhindert. Es ist ebenfalls denkbar, dass das Fehlersignal in einer Speichereinheit des Fahrzeugs, insbesondere in der Speichereinheit der Vergleichereinheit hinterlegt wird. Das Fehlersignal wird insbesondere von der Vergleichereinheit gesendet.
-
Zudem wird vorgeschlagen, dass das Fehlersignal ausgegeben wird, falls der Wert des Eingangssignals und/oder des Ausgangssignals des Steuergeräts um mehr als einen Schwellenwert von der Referenz abweicht. Über einen Schwellenwertvergleich kann auf besonders einfache Weise eine Manipulation des Steuergeräts erkannt werden.
-
Des Weiteren wird vorgeschlagen, dass die Auswerteeinheit die Vergleichereinheit umfasst. Insbesondere werden die Funktionen der Vergleichereinheit von der Auswerteinheit übernommen. Vorteilhaft können durch diese Ausbildung die Anzahl an elektronischen Komponenten verringert werden. Insbesondere sind die Auswerteinheit und die Vergleichereinheit einstückig, das heißt als dieselbe Baugruppe, ausgebildet.
-
Weiterhin wird in einer bevorzugten Variante vorgeschlagen, dass die Auswerteinheit außerhalb des ersten Fahrzeugs liegt. Durch die Anordnung der Auswerteinheit außerhalb des ersten Fahrzeugs kann vorteilhaft sichergestellt werden, dass die Auswerteinheit nicht gleichzeitig mit dem Steuergerät des ersten Fahrzeugs durch einen Eingriff in das erste Fahrzeug manipuliert wird. Die Auswerteinheit ist bevorzugt als ein Server ausgebildet.
-
Zudem wird vorgeschlagen, dass die Vergleichereinheit innerhalb des ersten Fahrzeugs liegt. Durch die Anordnung der Vergleichereinheit innerhalb des Fahrzeugs kann der Vergleich der Werte der Eingangssignale und der Ausgangssignale mit der Referenz vorteilhaft unabhängig von einer Datenverbindung des Fahrzeugs mit der Auswerteinheit stattfinden. Die Referenz kann beispielhaft bei einem Werkstattbesuch in der Speichereinheit der Vergleichereinheit hinterlegt werden.
-
Des Weiteren wird vorgeschlagen, dass der zumindest eine Wert des Eingangssignal und/oder des Ausgangssignals des Steuergeräts insbesondere über eine drahtlose Datenverbindung an die Auswerteinheit und/oder die Vergleichereinheit gesendet wird. Vorteilhaft können über die drahtlose Verbindung Daten des ersten Fahrzeugs sowie der mehreren Fahrzeugen mit der Auswerteinheit ausgetauscht werden. Dadurch kann die Auswerteinheit unabhängig von dem Ort der Fahrzeuge Daten empfangen und die Referenz falls nötig aktualisieren, insbesondere regelmäßig aktualisieren.
-
Weiterhin wird vorgeschlagen, dass die Datenverbindung zwischen dem Steuergerät und der Auswerteinheit und/oder der Vergleichereinheit verschlüsselt ist. Durch die Verschlüsselung kann vorteilhaft sichergestellt werden, dass bei der Kommunikation der Fahrzeuge mit der Auswerteinheit keine Daten manipuliert werden.
-
Zudem wird vorgeschlagen, dass es sich bei den mehreren Fahrzeugen um Fahrzeuge des gleichen Herstellers oder um Fahrzeuge eines gleichen Modells oder um Modelle in der gleichen Variante oder um Modelle mit der gleichen Ausstattung oder um Modelle mit der gleichen Konfiguration oder um Modelle mit gleicher Antriebseinheit handelt. Unter der Konfiguration eines Fahrzeugs soll in diesem Zusammenhang insbesondere eine von dem Benutzer des Fahrzeugs wählbare Konfiguration, wie beispielsweise ein Sportmodus oder ein Ecomodus verstanden werden.
-
Vorteilhaft kann durch eine derartige Wahl der mehreren Fahrzeuge sichergestellt werden, dass die Referenz basierend auf den Werten der Eingangssignale und/oder Ausgangssignale der mehreren Fahrzeuge statistische derart signifikant ist, dass bei einer Abweichung von der Referenz, insbesondere um einen Schwellenwert, davon auszugehen ist, dass eine Manipulation des Steuergerät oder ein Defekt einer Fahrzeugkomponente vorliegt.
-
Des Weiteren wird vorgeschlagen, dass ein zeitlicher Verlauf des zumindest einen Werts des Eingangssignals und/oder des Ausgangssignals des Steuergeräts mit der Referenz verglichen werden. Durch diese Maßnahme kann die Genauigkeit der Detektion einer Manipulation des Steuergeräts oder eines Defekts einer Fahrzeugkomponente erhöht werden.
-
Weiterhin wird vorgeschlagen, dass der zumindest eine Wert des Eingangssignals und/oder des Ausgangssignals des Steuergeräts aus der zeitlichen Ableitung des Eingangssignals und/oder des Ausgangssignals zumindest erster Ordnung gebildet wird. Vorteilhaft wird hierdurch die Genauigkeit der Detektion einer Manipulation des Steuergeräts oder eines Defekts einer Fahrzeugkomponente weiter erhöht.
-
Zudem wird vorgeschlagen, dass die Werte des Eingangssignals und/oder des Ausgangssignals, insbesondere als n-Tupel, in einem Phasenraumdiagramm aufgetragen sind, was wiederum die Genauigkeit der Detektion einer Manipulation des Steuergeräts oder eines Defekts einer Fahrzeugkomponente weiter erhöht.
-
Figurenliste
-
Die Erfindung wird im Folgenden anhand von bevorzugten Ausführungsbeispielen näher erläutert. Die Zeichnungen zeigen:
- 1 eine schematische Darstellung einer möglichen Ausführungsform des vorgestellten Verfahrens;
- 2 eine schematische Darstellung einer weiteren möglichen Ausführungsform des vorgestellten Verfahrens;
- 3 eine schematische Darstellung eines originären Steuergeräts und eines manipulierten Steuergeräts.
-
In 1 ist eine schematische Darstellung einer ersten Ausführungsform des vorgestellten Verfahrens gezeigt. In dieser Ausführungsform findet eine Überwachung des Steuergeräts eines Fahrzeugs allein durch eine Auswerteinheit statt, die außerhalb des ersten Fahrzeugs angeordnet ist. Zudem umfasst in dieser Ausführungsform die Auswerteinheit die Vergleichereinheit.
-
In einem ersten Schritt 10 werden von mehreren Fahrzeuge Werte von Eingangssignalen und Ausgangssignalen der jeweiligen Steuergeräte ermittelt. Beispielhaft werden Werte der Eingangssignale bezogen auf einen Ladedruck und einen Raildruck und ein Wert des Ausgangssignals bezogen auf eine Ansteuerdauer einer Kraftstoffeinspritzung ermittelt. Bei den Werten handelt es sich insbesondere um Sensordaten oder Werte, die basierend auf Sensordaten ermittelt werden. Die Werte des Eingangssignals und/oder des Ausgangssignals werden dabei während des Betriebs der Fahrzeuge ermittelt. Die Ermittlung der Werte findet zu verschiedenen Zeitpunkten, insbesondere kontinuierlich, statt.
-
Sind die Werte ermittelt, werden in einem Schritt 12 die Werte an die Auswerteinheit gesendet. Hierfür weisen die Fahrzeuge vorteilhaft eine Kommunikationseinheit auf, die über eine drahtlose und verschlüsselte Verbindung mit der Auswerteinheit kommunizieren kann. Die Auswerteinheit ist beispielhaft als ein Server ausgebildet.
-
Auf Basis der empfangenen Werte wird darauf in einem Schritt 14 von der Auswerteinheit eine Referenz ermittelt. Die Referenz wird in dieser Ausführungsform dadurch ermittelt, dass eine zeitliche Ableitung erster Ordnung der Werte der Eingangssignale und Ausgangssignale der Steuergeräte ermittelt werden und das entstehende 6-Tupel aus den Werten und Ihrer zeitlichen Ableitung in einem Phasenraumdiagram aufgetragen werden. Mit fortschreitender Zeit werden mehr und mehr Datenpunkte in dem Phasenraum eingetragen, so dass eine Punktwolke mit einem charakteristischen Muster entsteht.
-
In einem Vergleichsschritt 16 wird die Referenz mit den Werten der Eingangssignale und Ausgangssignals eines einzelnen Autos aus den mehreren Fahrzeugen von der Vergleichereinheit verglichen. Ist die Abweichung des einzelnen Fahrzeugs größer als ein Schwellenwert, so kann eine Manipulation zumindest einer der Werte der Eingangssignale oder des Ausgangssignals vorliegen und es wird in einem Schritt 18 ein Fehlersignal an das Fahrzeug gesendet.
-
In 2 ist eine schematische Darstellung einer zweiten Ausführungsform des vorgestellten Verfahrens gezeigt. In dieser Ausführungsform findet eine Überwachung des Steuergeräts eines ersten Fahrzeugs durch eine Auswerteinheit, die außerhalb des ersten Fahrzeugs angeordnet ist, und durch eine Vergleichereinheit, die innerhalb des Fahrzeugs angeordnet ist, statt. In einem ersten Schritt 20 wird analog zu Schritt 10 der ersten Ausführungsform von mehreren Fahrzeugen Werte von Eingangssignalen und Ausgangssignalen der jeweiligen Steuergeräte ermittelt. Das erste Fahrzeug in dieser zweiten Ausführungsform kann dabei eines der mehreren Fahrzeuge sein, dies ist allerdings nicht zwingend. Ebenfalls analog zu Schritt 12 und 14 der ersten Ausführungsform werden in einem Schritt 22 und 24 die ermittelten Werte an eine Auswerteinheit gesendet und von dieser eine Referenz wie zuvor beschrieben gebildet. Zusätzlich werden in einem Schritt 26 die Werte der Eingangssignale und Ausgangssignale des ersten Fahrzeugs auch zu der Vergleichereinheit gesendet. Diese Kommunikation findet ebenfalls bevorzugt drahtlos und insbesondere verschlüsselt statt. Die Vergleichereinheit umfasst eine Recheneinheit, eine Kommunikationseinheit sowie eine Speichereinheit.
-
Die Werte der Eingangssignale und Ausgangssignale des Steuergeräts werden in einem Schritt 28 von der Kommunikationseinheit der Vergleichereinheit empfangen und lokal in der Vergleichereinheit gespeichert. Über die Kommunikationseinheit der Vergleichereinheit können in einem Schritt 30 auch Daten zwischen der Vergleichereinheit und der Auswerteinheit ausgetauscht werden. Insbesondere empfängt und speichert die Vergleichereinheit die ermittelte Referenz der Auswerteinheit.
-
In einem Schritt 32 wird durch die Vergleichereinheit die Referenz mit den Werten der Eingangssignale und Ausgangssignals Fahrzeugs lokal verglichen. Wird eine Abweichung zumindest eines Werts der Eingangssignale oder des Ausgangssignals ermittelt, so wird in einem Schritt 34 ein Fehlersignal ausgegeben.
-
In 3 ist beispielhaft ein erstes Steuergerät 36 und ein zweites Steuergerät 38 gezeigt, wobei das erste Steuergerät 36 in einer originären Konfiguration 40 vorliegt und das zweite Steuergerät 38 in einer manipulierten Konfiguration 32 vorliegt.
-
Das erste Steuergerät 36 in der originären Konfiguration 36 weist Sensoren 44, 46 auf, die dazu ausgebildet sind, einen Raildruck und einen Ladedruck zu erfassen, und einen Injektor 48, über den die Kraftstoffeinspritzung geregelt werden kann. Das erste Steuergerät 36 erfasst die Eingangssignale der Sensoren 44, 46 sowie das Ausgangssignal zur Ansteuerung des Injektors 48. Die Werte der Eingangssignale und des Ausgangssignals können wie zuvor beschrieben über einen Schritt 12 an eine Auswerteinheit 50 gesendet werden. Da es sich bei dem Steuergerät 36 um ein Steuergerät in der originären Konfiguration 40 handelt, ist davon auszugehen, dass eine Mehrheit der Fahrzeuge der mehreren Fahrzeuge dieser originären Konfiguration 40 entsprechen und somit dazu beitragen, eine möglichst genaue Referenz zu ermitteln.
-
Das zweite Steuergerät 38 in der manipulierten Konfiguration 40 weist die gleichen Sensoren 44, 46 und den Injektor 48 auf, die das erste Steuergerät 36 in der originären Konfiguration 36 aufweist. Zusätzlich weist das zweite Steuergerät 38 eine Vorschaltbox 52 auf, die elektronisch zwischen den Sensoren 44, 46 und dem Steuergerät 38 angeordnet ist. Das Signal der Sensoren 44, 46 wird über die Vorschaltbox 50 in das zweite Steuergerät 38 geleitet, wodurch das von dem zweiten Steuergerät 38 erfasste Eingangssignal der Sensoren 44, 46 durch die Vorschaltbox 50 verändert werden kann. Falls die Vorschaltbox 50 zumindest eines der Eingangssignale der Sensoren 44, 46 verändert, so kann diese Veränderung durch das in dieser Anmeldung beschriebene Verfahren mittels eines Vergleichs der von der Auswerteinheit 50 ermittelten Referenz mit dem tatsächlichen Werten identifiziert werden und es wird ein Fehlersignal 18 an das betreffende Fahrzeug gesendet.
