-
Die Erfindung betrifft die Übermittlung von Nachrichten an Bord eines Kraftfahrzeugs. Insbesondere betrifft die Erfindung die gesicherte Übermittlung von Nachrichten von einem Sender an mehrere Empfänger.
-
Ein Kraftfahrzeug umfasst einen Sender und mehrere empfangsbereite Steuergeräte, die jeweils dazu eingerichtet sind, Nachrichten des Senders zu verarbeiten. Die Nachrichten können beispielsweise einen Betriebszustand oder eine Fahrsituation des Kraftfahrzeugs betreffen, und die Steuergeräte können eine Fahrfunktion des Kraftfahrzeugs auf Basis der Nachrichten steuern. Dabei können die Nachrichten sowohl zeitkritisch als auch sicherheitsrelevant sein.
-
Zur Absicherung einer Nachricht kann diese verschlüsselt und/oder authentifiziert werden. Dazu sind üblicherweise kryptographische Operationen erforderlich, die eine gewisse Verarbeitungsleistung erfordern. Die Steuergeräte können über begrenzte Verarbeitungsressourcen verfügen, sodass der Einsatz von Kryptographie zu verlangsamter Verarbeitung führen kann. Eine Verschlüsselung kann eine zur Übermittlung der Nachrichten erforderliche Bandbreite erhöhen und eine Dokumentation übermittelter Nachrichten, beispielsweise zur Fehlersuche, erschweren. Eine Authentifizierung der Nachricht ist üblicherweise nur im Punkt-zu-Punkt Betrieb vom Sender an einen einzelnen Empfänger möglich.
-
Eine der Erfindung zu Grunde liegende Aufgabe besteht darin, an Bord eines Kraftfahrzeugs von einem Sender an mehrere Empfänger versandte Nachrichten abzusichern, ohne die Empfänger für die Absicherung stark zu belasten. Die Erfindung löst die Aufgabe mittels der Gegenstände der unabhängigen Ansprüche. Unteransprüche geben bevorzugte Ausführungsformen wieder.
-
Nach einem ersten Aspekt der Erfindung umfasst ein Verfahren zur Übermittlung von Nachrichten von einem Sender an einen ersten und einen zweiten Empfänger an Bord eines Kraftfahrzeugs Schritte des Übermittelns einer ersten Nachricht vom Sender an den ersten Empfänger; des Übermittelns einer zweiten Nachricht vom Sender an den ersten und den zweiten Empfänger, wobei die Nachrichten jeweils Authentisierungsinformationen zur Authentisierung des Senders gegenüber dem ersten Empfänger umfassen; des Überprüfens der Authentisierungsinformationen des Senders durch den ersten Empfänger; des Übermittelns einer Kontrollnachricht in Abhängigkeit eines Ergebnisses der Überprüfung vom ersten Empfänger an den zweiten Empfänger; und des Verarbeitens empfangener Nachrichten durch den zweiten Empfänger in Abhängigkeit der übermittelten Kontrollnachricht.
-
Mithilfe der ersten Nachricht kann der Sender gegenüber dem ersten Empfänger authentifiziert werden. Eine Authentifizierung gegenüber dem zweiten Empfänger kann unterbleiben, sodass wertvolle Ressourcen in der Bereitstellung, der Übermittlung oder der Verarbeitung eingespart werden können. Insbesondere können der Sender und der zweite Empfänger bezüglich Verarbeitungszeit und/oder ein Übertragungsmedium zwischen dem Sender und dem zweiten Empfänger bezüglich Bandbreite geschont werden. Der Sender kann danach eine beliebige Anzahl zweiter Nachrichten versenden, die von einem oder mehreren zweiten Empfängern verarbeitet werden können. Optional kann auch eine Verarbeitung der übermittelten Nachrichten durch den ersten Empfänger erfolgen.
-
Es ist bevorzugt, dass der zweite Empfänger die zweite Nachricht verwirft, falls die Kontrollnachricht auf eine fehlgeschlagene Überprüfung durch den ersten Empfänger hinweist. Insbesondere wenn die zweite Nachricht Daten betrifft, die durch den zweiten Empfänger verarbeitet werden sollen, kann eine Nachricht, deren Authentizität nicht bestätigt werden konnte, schlicht verworfen werden. In einer Serie von Nachrichten kann so eine einzelne Nachricht entfallen. Eine Qualität verarbeiteter Daten kann dadurch erhöht sein. Betrifft die Nachricht beispielsweise einen Messwert, so kann dieser unbeachtet bleiben. Eine Reihe von Messwerten kann dann an der betreffenden Stelle eine Lücke aufweisen.
-
Die erste Nachricht kann als Unicast übermittelt werden. Dabei kann insbesondere eine Punkt-zu-Punkt-Verbindung zwischen dem Sender und dem ersten Empfänger aufgebaut werden. Dies kann auf der Basis eines bekannten Protokolls wie dem Internetprotokoll (IP) erfolgen. Bevorzugt wird die Authentifizierung jedoch über IPsec abgewickelt, insbesondere mittels des darin beschriebenen Schlüsselaustauschprotokolls IKE, weiter bevorzugt mit der Version 2 (IKEv2).
-
Die zweite Nachricht kann als Multicast übermittelt werden, wozu das Internetprotokoll (IP) verwendet werden kann. Die zu übermittelnde Nachricht kann dabei mit mehreren Empfängern versehen werden, sodass sie nur ein einziges Mal übermittelt werden muss. Auch diese Übermittlung kann auf der Basis eines bekannten Protokolls wie dem Internetprotokoll erfolgen.
-
Optional wird die Kontrollnachricht weniger häufig übermittelt als zweite Nachrichten beim ersten Empfänger eintreffen. Beispielsweise kann periodisch eine positive Kontrollnachricht übermittelt werden, solange stetig Nachrichten empfangen werden, die authentifiziert werden können. Die Kontrollnachricht kann beispielsweise zeitgesteuert oder jeweils nach Empfang einer vorbestimmten Anzahl authentifizierter zweiter Nachrichten übermittelt werden. Die Kontrollnachricht kann auch nach der Art einer Stichprobe mit einer zufallsbasierten Häufigkeit übermittelt werden. Der Zufall kann sich dabei auf eine Zeit oder eine Anzahl übertragener zweiter Nachrichten beziehen. Dadurch können Verarbeitungszeit und/oder Bandbreite zwischen dem ersten und dem zweiten Empfänger eingespart werden.
-
Optional wird nur ein Teil der zweiten Nachrichten überprüft. Auf die oben beschriebene Weise können beispielsweise systematisch oder zufällig bestimmte zweite Nachrichten überprüft und für jede Überprüfung eine entsprechende Kontrollnachricht übermittelt werden.
-
Bevorzugt werden die erste und/oder die zweite Nachricht mittels IPSec übermittelt. Dabei kann auf eine Verschlüsselung der Nachricht verzichtet werden. Authentifizierungsinformationen des Senders können trotzdem beigefügt werden. Ein hierfür vorgesehenes Datenfeld wird auch Authentication Header genannt.
-
Die Kontrollnachricht kann mittels SOME/IP übermittelt werden. Dabei handelt es sich um ein Kommunikationsprotokoll, welches insbesondere im Automobilbereich verwendet wird. Die Abkürzung steht für Scalable Service-Oriented Middleware over IP. Ein Vertrauensverhältnis zwischen dem ersten und dem zweiten Empfänger kann unter Nutzung von Protokolleigenschaften von SOME/IP sichergestellt sein.
-
Nach einem zweiten Aspekt der Erfindung umfasst ein Sender an Bord eines Kraftfahrzeugs eine Sendevorrichtung, die dazu eingerichtet ist, eine erste Nachricht an einen ersten Empfänger zu übermitteln und eine zweite Nachricht an einen ersten und einen zweiten Empfänger zu übermitteln, wobei die Nachrichten jeweils Authentisierungsinformationen zur Authentisierung des Senders gegenüber dem ersten Empfänger umfassen.
-
Der Sender kann einen Sensor umfassen, wobei die zweite Nachricht auf der Basis eines Messwerts des Sensors bestimmt ist. Der Sensor kann insbesondere zur Abtastung eines Umfelds des Kraftfahrzeugs eingerichtet sein. Beispielsweise kann der Sensor einen Radar- oder LiDAR-Sensor umfassen. Der Sensor kann insbesondere im Bereich einer Außenhaut des Kraftfahrzeugs angebracht sein. An dieser Stelle können der Sensor beziehungsweise der Sender exponiert sein, sodass ein Angreifer mittels einer drahtgebundenen oder drahtlosen Übertragungsmethode Nachrichten an einen der Empfänger absetzen kann. Durch eine hierin geschilderte Technik kann verhindert werden, dass eine solche Nachricht ausgewertet und einer Steuerung des Kraftfahrzeugs zu Grunde gelegt wird.
-
Nach einem dritten Aspekt der Erfindung umfasst ein erster Empfänger an Bord eines Kraftfahrzeugs eine Empfangsvorrichtung zum Empfangen von Nachrichten von einem Sender; eine Auswerteeinrichtung, die dazu eingerichtet ist, Authentisierungsinformationen, die von einer vom Sender empfangenen Nachricht umfasst sind, zu überprüfen und in Abhängigkeit eines Ergebnisses der Überprüfung eine Kontrollnachricht bereitzustellen; und eine Sendeeinrichtung zur Übermittlung der Kontrollnachricht an einen zweiten Empfänger, an den die empfangene Nachricht ebenfalls adressiert ist.
-
Nach einem vierten Aspekt umfasst ein Empfänger an Bord eines Kraftfahrzeugs eine erste Empfangsvorrichtung zum Empfangen von Nachrichten, die von einem Sender an diesen und einen weiteren Empfänger versandt wurden; eine zweite Empfangsvorrichtung zum Empfangen einer Kontrollnachricht von einem weiteren Empfänger; und eine Auswerteeinrichtung, die dazu eingerichtet ist, die empfangene Nachricht in Abhängigkeit der Kontrollnachricht zu verarbeiten.
-
Nach noch einem weiteren Aspekt der Erfindung umfasst ein System an Bord eines Kraftfahrzeugs einen hierin beschriebenen Sender, einen hierin beschriebenen ersten Empfänger und wenigstens einen hierin beschriebenen zweiten Empfänger.
-
Nach noch einem weiteren Aspekt der Erfindung umfasst ein Kraftfahrzeug ein hierin beschriebenes System.
-
Eine Auswerteeinrichtung eines hierin beschriebenen Senders oder eines der hierin beschriebenen Empfänger kann dazu eingerichtet sein, ein hierin beschriebenes Verfahren ganz oder teilweise auszuführen. Dazu kann die Auswerteeinrichtung einen programmierbaren Mikrocomputer oder Mikrocontroller umfassen, wobei das Verfahren in Form eines Computerprogrammprodukts mit Programmcodemitteln vorliegt. Das Computerprogrammprodukt kann auch auf einem computerlesbaren Datenträger abgespeichert sein. Merkmale oder Vorteile des Verfahrens können auf den Sender, den ersten Empfänger oder den zweiten Empfänger oder auf das System übertragen werden und umgekehrt.
-
Die Erfindung wird nun mit Bezug auf die beigefügten Zeichnungen genauer beschrieben, in denen:
- 1 ein System, und
- 2 ein Ablaufdiagramm eines Verfahrens
illustriert.
-
1 zeigt ein System 100, das beispielhaft an Bord eines Kraftfahrzeugs 105 angebracht ist. Das System 100 umfasst einen Sender 110, einen ersten Empfänger 115 sowie mindestens einen zweiten Empfänger 120, die kommunikativ miteinander verbunden sind, beispielsweise mittels eines ersten Datenbusses 125. Optional kann getrennt davon noch ein zweiter Datenbus 130 vorgesehen sein, der die beiden Empfänger 115, 120, nicht aber den Sender 110 kommunikativ miteinander verbindet. Beide Datenbusse 125, 130 sind bevorzugt dazu eingerichtet, Daten mittels des Interprotokolls zu übermitteln.
-
Der Sender 110 umfasst eine Sendevorrichtung 135 zur Übermittlung einer Nachricht über den ersten Datenbus 125, sowie bevorzugt einen Sensor 140. Der Sender 110 ist bevorzugt dazu eingerichtet, Nachrichten zu versenden, die auf der Basis von Messwerten des Sensors 140 bestimmt sind. Der Sensor 140 ist bevorzugt dazu eingerichtet, ein Umfeld des Kraftfahrzeugs 105 abzutasten. Beispielsweise kann der Sensor 140 einen berührungslosen Sensor wie einen Radar- oder LiDAR-Sensor umfassen. Die Nachrichten können Rohdaten des Sensors 140 umfassen. Die Sensorwerte des Sensors 140 können eine große Bandbreite erfordern, sodass der erste Datenbus 125 zu einem hohen Grad ausgelastet sein kann, selbst wenn ein schneller Datenbus wie Gigabit-Ethernet verwendet wird.
-
Die Empfänger 115, 120 können jeweils Steuergeräte umfassen, von denen wenigstens eines Sensordaten des Senders 110 verarbeitet, um das Kraftfahrzeug 105 in Längs- und/oder Querrichtung zu steuern. Eines oder mehrere der Empfänger 115, 120 können Teil einer teilautonomen oder autonomen Steuerung des Kraftfahrzeugs 105 sein.
-
Der erste Empfänger 115 umfasst eine Empfangsvorrichtung 145, eine Auswerteeinrichtung 150 und eine Sendevorrichtung 155. Die Empfangsvorrichtung 145 ist dazu eingerichtet, eine Nachricht vom Sender 110 zu empfangen und ist bevorzugt mit dem ersten Datenbus 125 verbunden.
-
Der zweite Empfänger 120 umfasst eine erste Empfangsvorrichtung 160, eine Auswerteeinrichtung 165 und eine zweite Empfangsvorrichtung 170. Die erste Empfangsvorrichtung 160 ist zum Empfangen von Nachrichten vom Sender 110 eingerichtet und bevorzugt mit dem ersten Datenbus 125 verbunden. Die zweite Empfangsvorrichtung 170 ist zum Empfangen von Nachrichten vom ersten Empfänger eingerichtet. Die zweite Empfangsvorrichtung 170 und die Sendevorrichtung 155 des ersten Empfängers 115 können mit dem ersten Datenbus 125 oder dem zweiten Datenbus 130 verbunden sein.
-
Es wird vorgeschlagen, dass der Sender 110 sich mittels einer ersten Nachricht an den ersten Empfänger 115 authentifiziert und anschließend zweite Nachrichten an den ersten Empfänger 115 und den zweiten Empfänger 120 versendet, die jeweils Authentifizierungsinformationen umfassen und auf Messwerten des Sensors 140 basieren. Der erste Empfänger 115 ist dazu eingerichtet, die Authentisierungsinformationen des Senders 110 zu überprüfen und in Abhängigkeit eines Prüfungsergebnisses eine Nachricht an den zweiten Empfänger 120 zu übermitteln. Kann der erste Empfänger 115 eine Nachricht des Senders 110 nicht authentisieren, so kann der eine entsprechende Kontrollnachricht an den zweiten Empfänger 120 übermitteln, der daraufhin die in der nicht-authentisierten Nachricht umfassten Informationen verwerfen kann.
-
2 zeigt ein Ablaufdiagramm eines exemplarischen Verfahrens 200, das insbesondere mittels eines Systems 100, bevorzugt an Bord eines Kraftfahrzeugs 105, ausgeführt werden kann. In der dargestellten Ausführungsform sind Schritte, die dem Sender 110 zugeordnet sind, in einem linken Bereich, solche, die dem ersten Empfänger 115 zugeordnet sind, in einem mittleren Bereich, und Schritte, die dem zweiten Empfänger 120 zugeordnet sind, in einem rechten Bereich dargestellt.
-
In einem ersten Schritt 205 können beispielsweise mittels des Sensors 140 Informationen seitens des Senders 110 generiert werden. Dazu kann insbesondere ein Umfeld des Kraftfahrzeugs 105 mittels des Sensors 140 berührungslos abgetastet werden. In einem Schritt 210 können Authentisierungsinformationen des Senders 110 den bereitgestellten Informationen beigefügt werden. Die Schritte 205 und 210 können nach Art einer Endlosschleife durchlaufen.
-
In einem Schritt 215 kann eine Nachricht auf der Basis der zuvor bereitgestellten Informationen erzeugt werden. Die Nachricht kann in einem Schritt 220 vom Sender 110 an den ersten Empfänger 115 sowie optional den zweiten Empfänger 120 übermittelt werden. Eine erstmalige Authentisierung kann mittels einer ersten Nachricht erfolgen, die bevorzugt mittels einer Punkt-zu-Punkt-Verbindung vom Sender 110 ausschließlich an den ersten Empfänger 115 übermittelt wird. Genauer kann eine Authentifikation des Senders 115 gegenüber dem ersten Empfänger 115 erfolgen, die auch mehrere Nachrichten umfassen kann, die zwischen dem Sender 110 und dem ersten Empfänger 115 ausgetauscht werden. Das Authentifizieren kann nach einem vorbestimmten Protokoll erfolgen, insbesondere dem Protokoll IKEv2, das Teil der der Protokollsammlung IPsec ist. Bevorzugt werden bei dieser Kommunikation noch keine Nutzdaten durch den Sender 110 übermittelt, sondern es wird wenigstens ein kryptographischer Schlüssel übermittelt. Eine oder mehrere darauffolgend übermittelte zweite Nachrichten können per Multicast vom Sender 110 an den ersten Empfänger 115 und den zweiten Empfänger 120 übermittelt werden. Das Authentifizieren des Senders 110 gegenüber dem ersten Empfänger 115 kann im weiteren Verlauf des Verfahrens 200 in vorbestimmten Abständen erneut erfolgen.
-
In einem Schritt 225 überprüft der erste Empfänger 115 die der Nachricht beigefügten Authentisierungsinformationen. Das Überprüfen kann Teil des oben erwähnten Authentifikationsprotokolls sein. Auf der Basis eines Prüfungsergebnisses kann in einem Schritt 230 eine Kontrollnachricht bereitgestellt werden. Diese kann in einem Schritt 235 vom ersten Empfänger 115 an den zweiten Empfänger 120 übermittelt werden.
-
Sowohl das Überprüfen der Authentisierungsinformationen im Schritt 225 als auch das Übermitteln der Kontrollnachricht im Schritt 235 können für jede beziehungsweise jede zweite Nachricht des Senders 110 durchgeführt werden. Die Überprüfungen oder Übermittlungen können jedoch auch weniger häufig erfolgen. In einer Ausführungsform wird ein negatives Prüfungsergebnis sofort übermittelt, während positive Überprüfungsergebnisse nur sporadisch übermittelt werden. Eine umgekehrte Ausführungsform ist ebenfalls denkbar. Die sporadisch übermittelten Informationen können beispielsweise zeit-, ereignis- oder zufallsbasiert ausgewählt werden.
-
In einem Schritt 245 hat der zweite Empfänger 120 die Nachricht des Senders 110 und die Kontrollnachricht des ersten Empfängers 115 empfangen. In Abhängigkeit der empfangenen Kontrollnachricht kann er dann die vom Sender 110 empfangene Nachricht verarbeiten oder verwerfen. Treffen nur sporadisch Kontrollnachrichten ein, so kann eine Kontrollnachricht beispielsweise alle seit der letzten Kontrollnachricht am zweiten Empfänger 120 empfangenen Nachrichten des Senders 110 betreffen. Der Schritt 245 kann ebenfalls nach Art einer Endlosschleife zyklisch durchlaufen werden.
-
Bezugszeichenliste
-
- 100
- System
- 105
- Kraftfahrzeug
- 110
- Sender
- 115
- erster Empfänger
- 120
- zweiter Empfänger
- 125
- erster Datenbus
- 130
- zweiter Datenbus
- 135
- Sendevorrichtung
- 140
- Sensor
- 145
- Empfangsvorrichtung des ersten Empfängers
- 150
- Auswerteeinrichtung des ersten Empfängers
- 155
- Sendevorrichtung des ersten Empfängers
- 160
- erste Empfangsvorrichtung des zweiten Empfängers
- 165
- Auswerteeinrichtung des zweiten Empfängers
- 170
- zweite Empfangsvorrichtung des zweiten Empfängers
- 200
- Verfahren
- 205
- Abtasten Umfeld
- 210
- Authentisierungsinformationen beifügen
- 215
- Bereitstellen Nachricht
- 220
- Übermitteln erste Nachricht
- 225
- Authentisierungsinformationen überprüfen
- 230
- Kontrollnachricht bereitstellen
- 235
- Übermitteln Kontrollnachricht
- 240
- Übermitteln zweite Nachricht
- 245
- Nachricht verarbeiten oder verwerfen
