DE102018206172A1

DE102018206172A1 - Verfahren zur Zugriffskontrolle für eine Vorrichtung, Vorrichtung zur Verwendung bei dem Verfahren sowie Fahrzeug

Info

Publication number: DE102018206172A1
Application number: DE102018206172.6A
Authority: DE
Inventors: Peter LOHMANN; Patrick Kotlarski
Original assignee: Volkswagen AG
Current assignee: Volkswagen AG
Priority date: 2018-04-20
Filing date: 2018-04-20
Publication date: 2019-05-02

Abstract

Der Vorschlag betrifft ein Verfahren zur Zugriffskontrolle für eine Vorrichtung. Zugriffskontrollsysteme sind beispielsweise von Fahrzeugen bekannt. Die Vorrichtung ist dabei mit wenigstens zwei Kommunikationsmodulen (172 - 175) ausgestattet, die zur drahtlosen Kommunikation mit einem Authentifizierungselement (40) ausgelegt sind. Es kann sich um einen Funkschlüssel handeln. Dabei wird eine Zugangsberechtigungsinformation von dem Authentifizierungselement (40) zur Vorrichtung übertragen, die in der Vorrichtung auf Gültigkeit überprüft wird. Nach Verifikation der Zugangsberechtigungsinformation wird der Zugriff auf die Vorrichtung gewährt. Dabei erfolgt gemäß des Vorschlages eine Abstandsmessung wenigstens zwischen zwei der Kommunikationsmodule (172, 173) und es wird der Zugriff auf die Vorrichtung unterbunden, wenn bei der Abstandsmessung festgestellt wird, dass der Abstand zwischen den Kommunikationsmodulen (172, 173) außerhalb eines Sollbereiches liegt oder die Abstandsmessung gar nicht durchführbar ist.

Description

Die Erfindung betrifft ein Verfahren zur Zugriffskontrolle für eine Vorrichtung. Der Vorschlag betrifft weiterhin eine Vorrichtung zur Verwendung bei dem Verfahren sowie ein Fahrzeug.
Moderne Fahrzeuge werden mit immer mehr elektrischen und elektronischen Komponenten ausgestattet, die den Komfort und die Sicherheit erhöhen. Beispiele sind moderne Fahrerassistenzsysteme, wie:

• Automatische Distanzregelung ACC
• Spurhalteassistent
• Spurwechselassistent
• Notbremsassistent
• Stauassistent
• Lichtassistent.

Auch die Kommunikationstechnik hält immer mehr Einzug in Fahrzeuge, darunter WiFi, Bluetooth für den Nahbereichsfunk und LTE für die Mobilfunk-Kommunikation. Diese Kommunikationssysteme eröffnen vielfältige neue Anwendungen für das Fahrzeug, bergen aber auch das Risiko, dass durch sie Angreifern (Hackern) ein Zugang zu Systemen des Fahrzeuges ermöglicht wird. Bei diesen Angriffspfaden ist Voraussetzung, dass das Infotainmentsystem in Betrieb ist, also dass zumindest die „Zündung“ (Klemme 50) des Fahrzeuges eingeschaltet ist.
Es gibt aber auch ein System im Fahrzeug, das auch bei ausgeschalteter Zündung angreifbar ist. Es handelt sich um das schlüssellose Öffnungssystem, das entweder als Remote-Keyless-Entry-Lösung (RKE) realisiert ist, bei dem der Fahrzeugbesitzer am Schlüssel einen Funkbefehl auslöst, oder - immer häufiger - als Passive-Entry-Passive-Start-System (PEPS), bei dem es genügt, den Schlüssel in der Tasche mitzuführen.
Dies verlangt nach weiteren Sicherheitsvorkehrungen. Auch die Angreifer setzen auf moderne Technik, um sich Zugang zu verschaffen. So wurden PEPS-Systeme schon dadurch ausgehebelt, dass man zwischen dem Fahrzeug und dem vom Fahrzeug entfernten Schlüssel eine Funkbrücke bestehend aus zwei Transceivern einrichtete, die dem Fahrzeug vorspiegelte, der Schlüssel befände sich in unmittelbarer Nähe.
Bei solch einem Angriffsszenarium, bei dem sich ein Unberechtigter den Zugang zum Fahrzeug erschleichen möchte, wird die zugehörige Funkstrecke des Berechtigungssystems bzw. die Funkstrecke zwischen Schlüssel und Fahrzeug künstlich verlängert. Dies geschieht so, dass eine Relaisstation mit Antenne nah (typsicherweise weniger als 2 Meter) am Fahrzeug positioniert wird und die andere Relaisstation mit Antenne nah an dem autorisierten Berechtigungsmittel (typischerweise weniger als 2 Meter), also dem Schlüssel des Fahrers. Hierbei handelt es sich um sogenannte Relaisangriffe, die in der Fachwelt unter der Bezeichnung Relay Station Attack (RSA) bekannt sind.
Aus der WO 2016/202592 A1 ist ein Zugangs- und Fahrberechtigungssystem mit erhöhter Sicherheit gegen Relaisangriffe durch Verifikation der Ortbestimmung bekannt. Dabei wird die Zugriffsberechtigung bzw. Öffnung des Fahrzeugs und auch die Fahrberechtigung nicht nur anhand der Position des Schlüssels relativ zum Fahrzeug bzw. zur Vorrichtung und zur Ortung des Schlüssels überprüft, sondern es wird zusätzlich als Plausibilitätskontrolle überprüft, ob die Bewegungs- und Beschleunigungsdaten des Schlüssels mit den Ortsdaten des Schlüssels, die durch die fahrzeugseitige Vorrichtung zur Ortung des Schlüssels ermittelt wurden, korrelieren. Es wird also überprüft, ob die Bewegungsdaten, die durch mehrere zeitlich versetzte Ortungsmessungen oder Time-of-Flight Messungen bestimmt werden, mit den Werten aus der Inertialsensor-Messung korrelierbar sind.
Bis vor Kurzem wurde für RKE- / PEPS-Systeme ein Mix von Drahtlos-Kommunikationstechnologien genutzt: Im LF-Bereich (z. B. 125 kHz) wurde ein Beacon-Signal zum Aufwecken der Komponenten eingesetzt. Für die verschlüsselte Kommunikation wurde der UHF-Bereich (z. B. 433 MHz) benutzt. Schließlich wurde der LF-Bereich (z. B. 21 kHz) eingesetzt für ein magnetisches Kompasssystem im Fahrzeuginnern zur Prüfung, ob sich der Schlüssel drinnen oder draußen befindet. Da sich diese Systeme als angreifbar erwiesen haben, geht der Trend inzwischen zu einer Lösung mit nur einem Funkstandard auf UWB-Basis (Ultra Wide Band) im Frequenzbereich 3,1 GHz bis 10,6 GHz, in dem verschiedene Bänder dafür vorgesehen sind.
UWB ist eine generelle Bezeichnung für sehr kurze, gepulste Signale niedriger Energie, die eine große Bandbreite von mehr als 500 MHz nutzen. Die reziproke Beziehung zwischen Zeit und Bandbreite ist der Hauptgrund für die Wahl dieses Verfahrens, denn durch die Investition in Bandbreite kann die Signaldauer entsprechend kurz ausfallen. Das wiederum ist aus mehreren Gründen wünschenswert. Zum einen kommt es bei Pulsdauern im Nanosekundenbereich nicht zur Überlagerung des Originalsignals mit Reflexionen, was die Eindeutigkeit des Signals gewährleistet. Zum anderen lässt sich wegen der zeitlichen Schärfe der Pulse deren Laufzeit und damit die Senderentfernung präzise bestimmen, sodass die aufwendige Magnetfeldmessung zur Positionsbestimmung des Schlüssels entfallen kann. Die Tatsache, dass der UWB-Funk außerdem mit sehr geringen Sendeleistungen und Signal-Rausch-Abständen operiert, verlängert die Batterielaufzeit, vermeidet die Störung anderer Funkteilnehmer und begrenzt die Reichweite, was ein Abfangen des Signals durch Hacker erschwert. Auch die Weiterleitung des UWB-Signals über Relaisstationen über größere Entfernungen stößt auf Schwierigkeiten. Weil aber die RSA Attacke bereits bei der zuvor eingesetzten Technik zur Zugangskontrolle eingesetzt wurde, steht es zu befürchten, dass ähnliche Attacken auch bei dem neueren System auf Basis von UWB-Signalen versucht werden.
Es besteht deshalb der Bedarf für zusätzliche Gegenmaßnahmen, um solchen Angriffen zu entgehen. Dies wurde im Rahmen der Erfindung erkannt.
Die Erfindung setzt sich zur Aufgabe, die Zugangskontrolle für RKE- / PEPS-Systeme weiter zu verbessern. Hier wird insbesondere der Fokus darauf gelegt, eine Attacke, die darauf beruht, dass eine UWB-Transceiver-Einheit in die Nähe des Schlüssels gebracht wird, zu unterbinden. Typischerweise werden an allen Ecken des Fahrzeuges UWB-Transceiver-Einheiten installiert, die innerhalb des Motorraums und Kofferraums angebracht sind und deshalb von außen nicht zugänglich sind. Für professionelle Fahrzeugdiebe stellt dies oft kein Hindernis dar. Sie werden sich mit Gewalt oder professionellen Werkzeugen Zugang verschaffen und könnten in der Lage sein, eine UWB-Transceiver-Box auszubauen und das Anschlusskabel zu verlängern. Die ausgebaute Box könnte in die Nähe des Fahrzeugführers gebracht werden, um so die Wegfahrsperre zu entriegeln, wodurch das Fahrzeug dann entwendet werden kann.
Diese Aufgabe wird durch ein Verfahren zur Durchführung von Abstandsmessungen zwischen den Kommunikations-Boxen des Fahrzeuges gemäß Anspruch 1, ein Vorrichtung zur Verwendung bei dem Verfahren gemäß Anspruch 10 und ein Fahrzeug gemäß Anspruch 14 gelöst.
Die abhängigen Ansprüche beinhalten vorteilhafte Weiterbildungen und Verbesserungen der Erfindung entsprechend der nachfolgenden Beschreibung dieser Maßnahmen.
Die erfindungsgemäße Lösung betrifft ein Verfahren zur Zugriffskontrolle für eine Vorrichtung, wobei die Vorrichtung mit wenigstens zwei Kommunikationsmodulen ausgestattet ist, die zur drahtlosen Kommunikation mit einem Authentifizierungselement ausgelegt sind. Es wird von dem Authentifizierungselement eine Zugangsberechtigungsinformation zur Vorrichtung übertragen. In der Vorrichtung wird die Zugangsberechtigungsinformation überprüft, wobei nach Verifikation der Zugangsberechtigungsinformation der Zugriff auf die Vorrichtung gewährt wird. Das Verfahren kennzeichnet sich dadurch aus, dass eine Abstandsmessung wenigstens zwischen zwei Kommunikationsmodulen durchgeführt wird und dass der Zugriff auf die Vorrichtung unterbunden wird, wenn bei der Abstandsmessung festgestellt wird, dass der Abstand zwischen den Kommunikationsmodulen außerhalb eines Sollbereiches liegt oder die Abstandsmessung gar nicht durchführbar ist. Durch dieses Verfahren wird die Erschleichung des Zugangs zur Vorrichtung mit Hilfe einer Attacke, bei der eine Kommunikations-Box elektrisch verlängert wird, zuverlässig unterbunden.
Es ist vorteilhaft, wenn die Kommunikationsmodule für die UWB-Kommunikation entsprechend Ultra Wide Band-Kommunikation ausgelegt sind. Dies hat bereits diverse Vorteile hinsichtlich Störungen von anderen Funkausstrahlungen, Batterielaufzeit und Reichweitenverkürzung, um Hackerangriffe zu erschweren. Ein weiterer Vorteil besteht noch darin, dass die verwendeten UWB-Transceiver auch gut für die Abstandsmessungen eingesetzt werden können. Solch eine Abstandsmessung mit UWB-Signalen, die im für die UWB Kommunikation zulässigen Frequenzbereich zwischen 3,1 bis 10,6 GHz ablaufen, beruht auf einer Laufzeitmessung. Diese Messung ist auch unter dem Begriff Time of Flight-Messung TOF bekannt. Weil die Messung in dem Bereich mit Dezimeterwellen stattfindet, ist die Messung unter Sichtbedingungen, auch Line of Sight LOS-Bedingung genannt, bis auf 10 cm genau.
Dabei ist es weiterhin vorteilhaft, wenn das Authentifizierungselement ebenfalls für die UWB-Kommunikation ausgelegt wird. Entsprechend sollte zwischen wenigstens einem der Kommunikationsmodule und dem Authentifizierungselement ebenfalls eine Abstandsmessung durchgeführt werden und der Zugriff auf die Vorrichtung unterbunden werden, wenn bei der Abstandsmessung festgestellt wird, dass der Abstand zwischen dem Kommunikationsmodul und dem Authentifizierungselement außerhalb eines Sollbereiches liegt oder die Abstandsmessung gar nicht durchführbar ist.
In vorteilhafter Weise werden bei dem Verfahren die Abstandsmessungen in der Vorrichtung ausgewertet. Dadurch wird das Authentifizierungselement von solchen Aufgaben entlastet und kann entsprechend einfacher gestaltet werden.
Eine vorteilhafte Maßnahme besteht darin, dass die Startzeitpunkte für die Abstandsmessungen zwischen dem Authentifizierungselement und wenigstens einem der Kommunikationsmodule einerseits und zwischen wenigstens zwei der Kommunikationsmodule andererseits durch die Vorrichtung vorgegeben werden, sodass die Einzelabstandsmessungen nacheinander durchgeführt werden, um eine gegenseitige Störung der Einzelabstandsmessungen zu vermeiden.
Dabei ist es vorteilhaft, wenn von einem Zugriffsberechtigungs-Kontrollmodul vorgegeben wird, von welchem Kommunikationsmodul das UWB-Signal für die Abstandsmessung ausgestrahlt werden soll.
Dabei ist es von Vorteil, dass das Zugriffsberechtigungs-Kontrollmodul dasjenige Kommunikationsmodul mit der Ausstrahlung des UWB-Signals für die Abstandsmessung beauftragt, von dem es die Zugangsberechtigungsinformation erhalten hat. So kommt es nicht zu einer Ausstrahlung von störenden UWB-Signalen.
Weiterhin ist es vorteilhaft, wenn das UWB-Signal für die Abstandsmessung sowohl eine Adressinformation beinhaltet, an welche Komponente das UWB-Signal gerichtet ist, als auch einen Zeitstempel für den Sendezeitpunkt des UWB-Signals. So wird verhindert, dass ein Kommunikationsmodul oder das Authentifizierungselement auf die UWB-Signale antwortet, das bei der Messung gar nicht betroffen ist.
Weiterhin ist es von Vorteil, wenn in der Rückantwort ein Zeitstempel für den Empfangszeitpunkt des UWB-Signals eingetragen wird und ein Zeitstempel für den Sendezeitpunkt der Rückantwort. Dann muss es im Kommunikationsmodul, das die Messung gestartet hat, nicht bekannt sein, wie lange die Verarbeitung in dem Kommunikationsmodul, zu dem der Abstand gemessen wird, dauert.
Für eine Vorrichtung zur Verwendung bei dem Verfahren ist es vorteilhaft, dass sie wenigstens zwei Kommunikationsmodule aufweist, die zur drahtlosen Kommunikation mit einem Authentifizierungselement ausgelegt sind. Weiterhin ist ein Zugriffsberechtigungs-Kontrollmodul vorgesehen, das ausgelegt ist, nach Verifikation der Zugriffsberechtigungsinformation den Zugriff auf die Vorrichtung zu gewähren. Diese Vorrichtung zeichnet sich weiter dadurch aus, dass ein Kommunikationsmodul vorgesehen ist, das nach Empfang einer Zugriffsberechtigungsinformation eine Abstandsmessung zu wenigstens einem weiteren Kommunikationsmodul durchführt und dass das Zugriffsberechtigungs-Kontrollmodul den Zugriff auf die Vorrichtung dann unterbindet, obwohl die Zugriffsberechtigungsinformation empfangen wurde, wenn bei der Auswertung der Abstandsmessung festgestellt wird, dass der Abstand zwischen den Kommunikationsmodulen außerhalb eines Sollbereiches liegt oder die Abstandsmessung gar nicht durchführbar ist. Auf diese Weise wird eine Plausibilierung des Verbauortes der Kommunikationsmodule erreicht und es können Manipulationen hinsichtlich des Ausbaus eines Moduls und dessen elektrischer Verlängerung aufgedeckt werden. Das Zugangsberechtigungssystem ist dadurch sicherer im Hinblick auf diese Attacken.
Weitere Vorteile für die Vorrichtung ergeben sich aus den entsprechenden Maßnahmen, wie bei dem erfindungsgemäßen Verfahren erläutert.
Der Vorschlag betrifft ebenfalls ein Fahrzeug, in dem eine erfindungsgemäße Vorrichtung verbaut ist.
Ein Ausführungsbeispiel der Erfindung ist in den Zeichnungen dargestellt und wird nachfolgend anhand der Figuren näher erläutert.
Es zeigen:

1 das Prinzip der Kommunikation zwischen einem Authentifizierungselement und einem Fahrzeug;
2 eine Darstellung, zwischen welchen Komponenten die UWB-Abstandsmessungen durchgeführt werden;
3 ein Blockdiagramm für die Fahrzeugelektronik eines Kraftfahrzeuges;
4 ein Flussdiagramm für ein Computerprogramm, das in einem Zugriffsberechtigungs-Kontrollmodul entsprechend des Vorschlages abgearbeitet wird,
5 das Format eines UWB-Signals zur Abstandsmessung;
6 das Format einer Rückantwort bei der UWB-Abstandsmessung zwischen zwei Kommunikationsmodulen, und;
7 eine Darstellung der UWB-Abstandsmessungen für den Fall, dass eine Attacke auf Basis der Verlängerung eines Kommunikationsmoduls stattfindet.

Die vorliegende Beschreibung veranschaulicht die Prinzipien der erfindungsgemäßen Offenbarung. Es versteht sich somit, dass Fachleute in der Lage sein werden, verschiedene Anordnungen zu konzipieren, die zwar hier nicht explizit beschrieben werden, die aber Prinzipien der erfindungsgemäßen Offenbarung verkörpern und in ihrem Umfang ebenfalls geschützt sein sollen.
1 zeigt ein Fahrzeug 10, das mit Kommunikationsmodulen, sogenannten UWB-Transceiver-Boxen, ausgestattet ist. In 1 ist lediglich die Antenne der UWB-Transceiver-Box TRX1 angedeutet. Zur besseren Erkennbarkeit ist es in 1 angedeutet, dass die Antenne aus der Karosserie herausragt. Das ist aus Sicherheitsgründen bei einer praktischen Implementierung nicht möglich. Dort wäre die Antenne hinter durchlässigem Material, wie „Kühlergrill“, Stoßfänger oder Ähnlichem angebracht. Diese UWB-Transceiver-Boxen sind Teil eines Zugriffskontrollsystems nach Art der eingangs erwähnten RKE-/PEPS-Systeme. Um sich Zugang zum Fahrzeug zu verschaffen, besitzt der Fahrer ein Authentifizierungselement 40, das in Form eines Drahtlos-Schlüssels aufgebaut sein kann. In diesem bevorzugten Ausführungsbeispiel ist der Drahtlos-Schlüssel ebenfalls mit UWB-Transceiver ausgestattet.
Der Begriff Fahrzeug versteht sich als Sammelbegriff, sei es für Kraftfahrzeuge mit Brennkraftmaschine oder Elektromotor, sei es für Fahrräder mit und ohne Elektromotor oder andere, mit Muskelkraft betriebene Fahrzeuge, sei es für Fahrzeuge mit einem, zwei, vier oder mehr Rädern, sei es für Motorräder, Personenkraftwagen, Lastkraftwagen, Busse, Landwirtschaftsfahrzeuge oder Baumaschinen. Die Aufzählung ist nicht abschließend und umfasst auch weitere Fahrzeugkategorien wie Schienen-, Luft- und Wasserfahrzeuge.
Zur besseren Erreichbarkeit der UWB-Signale von dem Authentifizierungselement 40 ist das Fahrzeug 10 mit 4 UWB-Transceiver-Boxen ausgestattet, die vorzugsweise an den Ecken der Karosserie angebracht sind. Jede UWB-Transceiver-Box ist mit einer entsprechenden Antenne ausgestattet. Gemäß der Erfindung wird die neuere Abstandsmessung mit UWB Transceivern (TRX) eingesetzt. Allein der Einsatz der UWB Abstandsmessung ist schon vorteilhaft, was die Störanfälligkeit anbelangt. Die UWB-Signale sind sehr breitbandig und werden mit geringer spektraler Leistung, d.h. mit einer geringen Peak-to-Average Power Ratio PAPR abgestrahlt. Sie stören deshalb kaum die andere, schmalbandigere Fahrzeug-zu-Fahrzeug-Kommunikation.
Die Abstandsmessung zwischen UWB-Transceiver-Box und Authentifizierungselement 40 funktioniert so, dass ein UWB-Signal mit kurzer Dauer von einer UWB-Transceiver-Box ausgesendet wird. In die zu übertragende Nachricht wird ein Zeitstempel eingetragen, der den Sendezeitpunkt nach der in dem die Nachricht sendenden Fahrzeug 10 laufenden Uhr angibt. Das Authentifizierungselement 40 empfängt die UWB-Nachricht und sendet gleich eine Bestätigungsnachricht zurück, in die es den empfangenen Zeitstempel kopiert. Das Fahrzeug 10 empfängt die Bestätigungsnachricht und wertet sie aus. Bei Empfang wird im Fahrzeug 10 ein neuer Zeitstempel registriert. Die Laufzeit der UWB-Signale über die Luftschnittstelle kann mit den beiden Zeitstempeln berechnet werden, wenn die Zeit zur Verarbeitung der UWB-Nachricht in dem Authentifizierungselement 40 bis zur Zurücksendung der Bestätigungsnachricht bekannt ist. Daraus ergibt sich dann auch der Abstand zwischen Authentifizierungselement und einer UWB-Transceiver-Box über die bekannte Formel S = c * t_prop, mit c gleich der Lichtgeschwindigkeit in Luft und t_prop. gleich der gemessenen Laufzeit. Dabei besteht keine große Unsicherheit, was die Verarbeitungszeit der Transceiver-Boxen angeht. Diese Transceiver-Boxen haben keine anderen Aufgaben zu erledigen. Deshalb ist die Verarbeitungszeit relativ konstant. Wenn innerhalb einer Nanosekunde von der Box, die den Test gestartet hat, keine Rückantwort eingegangen ist, wird der Test als gescheitert gewertet.
2 zeigt die Anordnung der UWB-Transceiver-Boxen 172 -175 im Fahrzeug 10. Sie sind an den Ecken des Fahrzeuges 10 installiert. Es sind deswegen vier Transceiver-Boxen installiert, damit sich der Fahrer des Fahrzeuges 10 von allen Seiten seinem Fahrzeug 10 nähern kann und das Signal des Authentifizierungselementes 40 immer gut von einer der Transceiver-Boxen 172 - 175 empfangen werden kann. In 2 ist dargestellt, dass der Fahrer des Fahrzeuges 10 sich von vorne genähert hat und der Schlüssel den gleichen Abstand X zu den beiden Transceiver-Boxen 172, 173 an der Frontseite hat. Die beiden Transceiver-Boxen 172 und 173 sind im Abstand Y zueinander im Fahrzeug installiert. Bei anderen Fahrzeugen können je nach Fahrzeug entsprechend mehr oder weniger Transceiver-Boxen installiert sein. Dies kann auch erforderlich sein, um noch den Innenraum des Fahrzeuges zu überwachen.
Die Genauigkeit der Abstandsmessung bei solchen UWB Abstandsmesssystemen liegt bei 10 cm in Sichtlinienverhältnissen LOS (Line of Sight Conditions). Das gilt auch, wenn die UWB Transceiver sehr nah beieinander positioniert sind (≤1m Abstand). Bei dem betrachteten Zugangskontrollsystem sind die Transceiver-Boxen mit den UWB-Antennen jeweils an den Ecken des Fahrzeuges 10 montiert. Der Abstand Y zwischen den UWB-Transceiver-Boxen 172 und 173 an der Front des Fahrzeuges 10 beträgt ca. 2 m. Bei dem verbesserten Zugangskontrollsystem wird der Abstand Y zwischen den Transceiver-Boxen 172 und 173 zueinander gemessen. Es wird auch der Abstand X zwischen den Transceiver-Boxen 172 und 173 zum Authentifizierungselement 40 gemessen. Wegen der hohen Genauigkeit der UWB Abstandsmessung kann als Sollbereich für die Messung zwischen den Transceiver-Boxen 172 und 173 ein Bereich von 1,5 m bis 2,5 m festgelegt werden. Für die Messung zwischen Transceiver-Boxen 172, 173 und Authentifizierungselement 40 kann als Sollbereich ein Bereich von 0 bis 100 m festgelegt werden. In einer Nanosekunde legt das Licht im Vakuum eine Strecke von 160 m zurück.
3 zeigt den typischen Aufbau einer Kfz-Elektronik 100 eines modernen Kraftfahrzeuges 10. Mit der Bezugszahl 151 ist ein Motorsteuergerät bezeichnet. Die Bezugszahl 152 entspricht einem ESP-Steuergerät und die Bezugszahl 153 bezeichnet ein Getriebesteuergerät. Weitere Steuergeräte, wie Airbag-Steuergerät usw., können im Kraftfahrzeug vorhanden sein. Die Vernetzung solcher Steuergeräte geschieht typischerweise mit dem CAN-Bussystem (Controller Area Network) 104, welches als ISO Norm standardisiert ist, ISO 11898. Da verschiedene Sensoren im Kraftfahrzeug 10 installiert werden und diese nicht mehr nur an einzelne Steuergeräte angeschlossen werden, werden solche Sensordaten ebenfalls über das Bussystem 104 zu den einzelnen Steuergeräten übertragen. Beispiele von Sensoren im Kraftfahrzeug sind Raddrehzahlsensoren, Lenkwinkelsensoren, Beschleunigungssensoren, Drehratensensoren, Reifendrucksensoren, Abstandssensoren usw. Die verschiedenen Sensoren, mit dem das Fahrzeug ausgestattet ist, sind in der 3 mit der Bezugszahl 161, 162, 163 bezeichnet.
Im Kraftfahrzeug befinden sich dann auch noch weitere elektronische Vorrichtungen. Diese sind mehr im Bereich der Fahrgastzelle angeordnet und werden oft auch von dem Fahrer bedient. Als Beispiel ist in 3 eine Benutzerschnittstellenvorrichtung 171 BCM, entsprechend Body Control Module, gezeigt, mit der der Fahrer klassische Komponenten bedienen kann. Darunter fallen Blinker-Steuerung, Scheibenwischersteuerung, Lichtsteuerung usw. Die Benutzerschnittstellenvorrichtung 171 ist oft zusammen mit dem Sicherungskasten im Innenraum des Fahrzeuges installiert. Üblicherweise enthält diese Benutzerschnittstellenvorrichtung 171 auch ein Zugriffsberechtigungs-Kontrollmodul 1712, das die Signale des Authentifizierungselementes 40 auswertet und das Fahrzeug 10 öffnet und schließt. Auch die Wegfahrsperre wird als Teil dieses Zugangskontrollsystems angesehen. Teil des Zugangskontrollsystems sind auch die UWB-Transceiver-Boxen 172 - 175. Sie sind über den CAN-Bus 108 mit der Benutzerschnittstellenvorrichtung 171 vernetzt.
Das moderne Kraftfahrzeug kann aber noch weitere Komponenten aufweisen wie Videokameras, z.B. als Rückfahrkamera oder als Fahrerüberwachungskamera oder auch als Frontkamera, um das Verkehrsgeschehen zu beobachten. Eine Kamera ist in 3 mit der Bezugszahl 105 bezeichnet. Davon unterschieden wird oft ein Navigationssystem 120, welches ebenfalls im Bereich des Cockpits verbaut wird. Die Route, welche auf einer Karte angezeigt wird, kann auf einem Display im Cockpit dargestellt werden. Die Bezugszahl 110 bezeichnet noch eine On-Board Unit. Diese On-Bord Unit 110 entspricht einem Kommunikationsmodul, über das das Fahrzeug 10 mobile Daten empfangen und senden kann. Es kann sich hier um ein Mobilfunk-Kommunikationsmodul, z. B. nach dem LTE-Standard entsprechend „Long Term Evolution“, handeln oder um ein WLAN-P-Modul, das für die Fahrzeug-zu-Fahrzeug-Kommunikation oder die Fahrzeug zu Infrastruktur-Kommunikation installiert wird. Die genannten Geräte des Fahrgastraumes sind ebenfalls untereinander vernetzt über ein Bussystem, das mit der Bezugszahl 102 bezeichnet ist. Es kann sich z. B. um das Highspeed CAN-Bussystem nach ISO 11898-2 Standard handeln, hier allerdings in der Variante für Datenübertragung mit höherer Datenrate für Komponenten des Infotainment-Systems. Alternativ wird auch Ethernet für die Vernetzung von Komponenten im Fahrzeug eingesetzt.
Zu dem Zweck, dass fahrzeugrelevante Sensordaten über das Kommunikationsmodul 110 zu einem anderen Fahrzeug oder zu einem anderen Zentralrechner übertragen werden sollen, ist das Gateway 140 vorgesehen. Dieses ist mit allen drei verschiedenen Bussystemen 102, 104 und 108 verbunden. Das Gateway 140 ist dazu ausgelegt, die Daten, die es über den CAN-Bus 104 empfängt, so umzusetzen, dass sie in das Übertragungsformat des Highspeed-CAN-Busses 102 umgesetzt werden, sodass sie in den dort spezifizierten Paketen verteilt werden können. Für die Weiterleitung dieser Daten nach extern ist das Kommunikationsmodul 110 mit dazu ausgerüstet, diese Datenpakete zu empfangen und wiederum in das Übertragungsformat des entsprechend eingesetzten Kommunikationsstandards umzusetzen. Ebenfalls ist der Bus 108 an das Gateway 140 angeschlossen und es können auch Datenpakete mit den anderen Bussystemen 102 und 104 ausgetauscht werden.
Nachfolgend wird die Funktionsweise des Zugriffskontrollsystem näher erläutert. 4 zeigt ein Ablaufdiagramm für ein Programm 300, das in dem Zugriffsberechtigungs-Kontrollmodul 1712 abgearbeitet wird. Der Start des Programms ist mit Bezugszahl 310 bezeichnet. Das Programm 300 wird nach Beendigung automatisch neu gestartet, sobald von einer der Transceiver-Boxen 172-175 ein UWB-Authentifzierungssignal empfangen wurde. Das entsprechende empfangene Datenpaket wird über den CAN-Bus 108 zu der Benutzerschnittstellenvorrichtung 171 übertragen. Es kann sein, dass mehrere Transceiver-Boxen den Empfang des UWB-Authentifzierungssignals melden. Im Programmschritt 320 wird überprüft, ob das jeweils gemeldete Authentifzierungssignal jeweils einen zulässigen Authentifizierungscode enthält. Wenn das nicht der Fall ist, wird das Programm beendet. Wenn jeweils ein zulässiger Authentifizierungscode empfangen wurde, erfolgt im Schritt 330 eine erste UWB-Abstandsmessung. Dabei wird ein Befehl zum Aussenden des entsprechenden UWB-Abstandsmesssignal an die UWB-Transceiver-Box 172 - 175 übertragen, die den Empfang des Authentifizierungssignals gemeldet hatte. Bei dieser Messung wird der Abstand X zwischen Transceiver-Box und Authentifizierungselement 40 gemessen. Es werden in diesem Schritt die Abstände zu den einzelnen Transceiver-Boxen 172 - 175 nacheinander gemessen. Wie zuvor beschrieben, handelt es sich jeweils um eine Laufzeitmessung. Dazu müssen die Transceiver-Boxen 172- 173 in der Lage sein, die Zeit zu messen und Zeitstempel zu nehmen. Die lokalen Uhren der Transceiver-Boxen 172 -175 werden zu diesem Zweck mit einer hochgenauen Referenzuhr in der Kfz-Elektronik 100 synchronisiert. Das Navigationssystem 120 ist typischerweise mit einer hochgenauen Referenzuhr ausgestattet, weil sie für die Satellitennavigation GNSS, entsprechend Global Navigation Satellite System, benötigt wird. Die zugehörigen Zeitstempel werden über den CAN-Bus 108 zu dem Zugriffsberechtigungs-Kontrollmodul 1712 übertragen. Im Schritt 340 werden die Zeitstempel der UWB-Abstandsmessungen ausgewertet. Wenn festgestellt wird, dass ein gemessener Abstand außerhalb des Sollbereiches liegt, wird das Programm beendet. Haben mehrere Transceiver-Boxen den Empfang des Authentifizierungssignals gemeldet, werden weitere UWB-Abstandmessungen analog durchgeführt.
Sind die Abstände im Sollbereich, erfolgt im Schritt 350 eine Abfrage, ob ein Klemme 30 Reset für eine der Transceiver-Boxen, die den Empfang des UWB-Authentifzierungssignal gemeldet hat, registriert wurde. Sobald eine Transceiver-Box 172 -175 vom CAN-Bus 108 getrennt wird, über den sie auch mit Strom versorgt wird, wird noch eine CAN-Botschaft zur Benutzerschnittellenvorrichtung 171 übertragen. Das Zugriffsberechtigungs-Kontrollmodul 1712 registriert diesen Klemme 30-Reset für die Transceiver-Box in einem Speicherbereich. Das Absetzen der CAN-Botschaft bei Abziehen des Steckers kann durch spezielle Gestaltung der Steckverbindung erzwungen werden (das funktioniert ähnlich wie beim sogenannten „Hot-Plugging“). Wenn kein Klemme 30-Reset für eine der Transceiver-Boxen registriert ist, wird der Zugang zum Fahrzeug 10 im Schritt 380 gewährt und das Programm im Schritt 390 beendet. Wenn doch ein Klemme 30-Reset registriert ist, erfolgt in den nachfolgenden Schritten eine Plausibilisierung des Verbauortes der Transceiver-Boxen 172-175.
Dabei werden zweite UWB-Abstandsmessungen durchgeführt. Dabei wird der Abstand zwischen mindestens zwei benachbarten Transceiver-Boxen 172, 173 des Fahrzeuges 10 gemessen. In einer Ausgestaltung wird durch das Zugriffsberechtigungs-Kontrollmodul 1712 vorgegeben, zwischen welchen Transceiver-Boxen der Abstand gemessen wird. Dies ergibt sich daraus, von welcher Transceiver-Box das empfangene Authentifzierungssignal gemeldet wurde. Im Beispiel wird davon ausgegangen, dass die Transceiver-Box 173 den Empfang gemeldet hat. Dann wird der Abstand zwischen der Transceiver-Box 172 und 173 gemessen. In diesem Fall kann die Messung so stattfinden, dass die Transceiver-Box 173 ein UWB-Signal mit Zeitstempel aussendet, hingegen die Transceiver-Box 172 zusätzlich zum kopierten Zeitstempel auch einen Zeitstempel zum Empfangszeitpunkt des UWB-Abstandsmesssignals in die Rückantwort einträgt. Es folgt in Schritt 370 die Auswertung. Da in diesem Fall die Laufzeitinformation für Hin- und Rückweg getrennt vorhanden ist, kann auch eine Mittelung beider Wegmessungen erfolgen, wodurch die Genauigkeit erhöht wird.
In einer erweiterten Ausgestaltung wird auch der Abstand zwischen der Transceiver-Box 172 und den Boxen 174 und 175 gemessen. Es wird zumindest versucht, die weiteren Messungen nacheinander durchzuführen. Wenn eine der Boxen wegen ungünstiger Ausbreitungsbedingungen nicht erreichbar ist, ist das kein Problem. Der Test wird bestanden, wenn zumindest eine der Transceiver-Boxen 173-175 antwortet und die Messung im Sollbereich liegt. Dabei können für die verschiedenen Boxen entsprechend ihres Verbauortes verschiedene Sollbereiche vorgegeben sein, die dann auch getrennt überprüft werden. Wenn mehrere Boxen den Empfang gemeldet hatten, werden weitere Abstandsmessungen in dem Schritt 360 analog durchgeführt.
Wird im Schritt 370 festgestellt, dass der Abstand zwischen der jeweiligen Box, die den Empfang gemeldet hat, und mindestens einer anderen Transceiver-Box im Sollbereich ist, wird im nachfolgenden Schritt 380 der Zugang zum Fahrzeug 10 freigeschaltet. Andernfalls wird das Programm im Schritt 390 beendet.
Das UWB-Signal für die erste Abstandsmessung hat dabei das in 5 gezeigte Format. Es besteht aus zwei Feldern. Das Feld 31 beinhaltet einen Kopfteil UWBH, mit dem die Zieladresse transportiert wird. Bei der ersten Abstandmessung wird hier die Zieladresse für das Authentifizierungselement 40 eingetragen. Im zweiten Feld 32 wird der Zeitstempel TS für den Sendezeitpunkt eingetragen. Die Rückantwort hat das gleiche Format. Es wird als Zieladresse die Adresse des Kommunikationsmoduls 172 eingetragen. Der Zeitstempel TS wurde von der eingehenden Nachricht kopiert.
Das UWB-Signal für die zweite Abstandsmessung hat ebenfalls das in 5 gezeigte Format. Bei der zweiten Abstandmessung wird hier die Zieladresse für das Kommunikationsmodul 172 eingetragen. Im zweiten Feld 32 wird der Zeitstempel TS für den Sendezeitpunkt eingetragen. Die Rückantwort hat das in 6 gezeigte Format. Im Feld 31 ist als Kopfteil UWBH die Zieladresse des Kommunikationsmoduls 173 eingetragen. In den Feldern 32, 33 und 34 folgen die Zeitstempel TS für den Sendezeitpunkt der Messung, RXTS für den Empfangszeitpunkt des UWB-Signals der zweiten Messung und ACKTS für den Sendezeitpunkt der Rückantwort.
Die prinzipielle Funktionsweise dieser Zugriffskontrolle ist in 7 illustriert. Dort ist die Situation gezeigt, dass ein Angreifer versucht, sich unberechtigt Zugang zum Fahrzeug zu verschaffen. Dazu hat er die Transceiver-Box 173 des Fahrzeuges 10 ausgebaut und mit einem Kabel verlängert. Damit versucht er, bei diesem Angriff die Transceiver-Box 173 unbemerkt in die Nähe des Fahrers, der den Funk-Schlüssel in der Tasche trägt, zu bringen. Kommt er nah genug, wird bei einem PEPS-Zugangssystem ein UWB-Signal mit einem gültigen Authentifizierungscode empfangen. Selbst die erste UWB-Abstandmessung wird im zulässigen Sollbereich liegen, wie in 5 zu erkennen. Erst bei der zweiten UWB-Abstandsmessung wird der Angriff entlarvt, weil der Abstand zwischen den Transceiver-Boxen 172 und 173 sich als außerhalb des Sollbereichs erweist. Dadurch wird der Angriff doch noch abgewehrt.
Es sollte verstanden werden, dass das vorgeschlagene Verfahren und die zugehörigen Vorrichtungen in verschiedenen Formen von Hardware, Software, Firmware, Spezialprozessoren oder einer Kombination davon implementiert werden können. Spezialprozessoren können anwendungsspezifische integrierte Schaltungen (ASICs), Reduced Instruction Set Computer (RISC) und / oder Field Programmable Gate Arrays (FPGAs) umfassen. Vorzugsweise wird das vorgeschlagene Verfahren und die Vorrichtung als eine Kombination von Hardware und Software implementiert. Die Software wird vorzugsweise als ein Anwendungsprogramm auf einer Programmspeichervorrichtung installiert. Typischerweise handelt es sich um eine Maschine auf Basis einer Computerplattform, die Hardware aufweist, wie beispielsweise eine oder mehrere Zentraleinheiten (CPU), einen Direktzugriffsspeicher (RAM) und eine oder mehrere Eingabe/Ausgabe (I/O) Schnittstelle(n). Auf der Computerplattform wird typischerweise außerdem ein Betriebssystem installiert. Die verschiedenen Prozesse und Funktionen, die hier beschrieben wurden, können Teil des Anwendungsprogramms sein oder ein Teil, der über das Betriebssystem ausgeführt wird.
Die Offenbarung ist nicht auf die hier beschriebenen Ausführungsbeispiele beschränkt. Es gibt Raum für verschiedene Anpassungen und Modifikationen, die der Fachmann aufgrund seines Fachwissens als auch zu der Offenbarung zugehörend in Betracht ziehen würde. Zwar wurde die Erfindung am Beispiel eines Zugriffberechtigungskontrollsystems für ein Fahrzeug beschrieben, ein solches Zugriffsberechtigungssystem kann auch für verschiedene andere Vorrichtungen eingesetzt werden. Beispiele sind Maschinensteuerungen, Türöffnungssysteme, Computersysteme usw.
Bezugszeichenliste

10: Fahrzeug
40: Authentifizierungselement
100: Blockdiagramm Fahrzeug-Elektronik
102: Ethernet-Bus
105: Kamera
104: CAN-Bus
108: CAN-Bus
110: On-Board Unit
120: Navigationssystem
140: Gateway
151: Motor-Steuergerät
152: ESP-Steuergerät
153: Getriebe-Steuergerät
161: Sensor 1
162: Sensor 2
163: Sensor 3
171: Benutzerschnittstellenvorrichtung
172: 1. UWB Transceiver-Box
173: 2. UWB Transceiver-Box
174: 3. UWB Transceiver-Box
175: 4. UWB Transceiver-Box
1712: Zugriffsberechtigungs-Kontrollmodul
300: Computerprogramm
320- 390: verschiedene Programmschritte

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

WO 2016/202592 A1 [0007]

Zitierte Nicht-Patentliteratur

ISO 11898 [0035]
ISO 11898-2 [0037]

Claims

Verfahren zur Zugriffskontrolle für eine Vorrichtung, wobei die Vorrichtung mit wenigstens zwei Kommunikationsmodulen (172 - 175) ausgestattet ist, die zur drahtlosen Kommunikation mit einem Authentifizierungselement (40) ausgelegt sind, bei der eine Zugangsberechtigungsinformation von dem Authentifizierungselement (40) zur Vorrichtung übertragen wird, die in der Vorrichtung überprüft wird, wobei nach Verifikation der Zugangsberechtigungsinformation der Zugriff auf die Vorrichtung gewährt wird, dadurch gekennzeichnet, dass eine Abstandsmessung wenigstens zwischen zwei der Kommunikationsmodule (172, 173) durchgeführt wird und dass der Zugriff auf die Vorrichtung unterbunden wird, wenn bei der Abstandsmessung festgestellt wird, dass der Abstand zwischen den Kommunikationsmodulen (172, 173) außerhalb eines Sollbereiches liegt oder die Abstandsmessung gar nicht durchführbar ist.
Verfahren nach Anspruch 1, wobei die Kommunikationsmodule (172-175) für die UWB-Kommunikation, entsprechend Ultra Wide Band-Kommunikation, ausgelegt sind und für die Abstandsmessung eine Laufzeitmessung mit UWB-Signalen, entsprechend Ultra Wide Band Signalen, eingesetzt wird.
Verfahren nach Anspruch 1 oder 2, wobei das Authentifizierungselement (40) ebenfalls für die UWB-Kommunikation ausgelegt wird, und zwischen wenigstens einem der Kommunikationsmodule (172-175) und dem Authentifizierungselement (40) ebenfalls eine Abstandsmessung durchgeführt wird und wobei der Zugriff auf die Vorrichtung unterbunden wird, wenn bei der Abstandsmessung festgestellt wird, dass der Abstand zwischen dem Kommunikationsmodul (173) und dem Authentifizierungselement (40) außerhalb eines Sollbereiches liegt oder die Abstandsmessung gar nicht durchführbar ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Abstandsmessungen in der Vorrichtung ausgewertet werden.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Startzeitpunkte für die Abstandsmessungen zwischen dem Authentifizierungselement (40) und wenigstens einem der Kommunikationsmodule (173) einerseits und zwischen den Kommunikationsmodulen (172-175) andererseits durch die Vorrichtung vorgegeben werden, sodass die Einzelabstandsmessungen nacheinander durchgeführt werden, um eine gegenseitige Störung der Einzelabstandsmessungen zu vermeiden.
Verfahren nach einem der vorhergehenden Ansprüche, wobei von einem Zugriffsberechtigungs-Kontrollmodul (1712) vorgegeben wird, von welchem Kommunikationsmodul (172 - 175) das UWB-Signal für die Abstandsmessung ausgestrahlt werden soll.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Zugriffsberechtigungs-Kontrollmodul (1712) dasjenige Kommunikationsmodul (172 - 173) mit der Ausstrahlung des UWB-Signals für die Abstandsmessung beauftragt, von der sie die Zugangsberechtigungsinformation erhalten hat.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das UWB-Signal für die Abstandsmessung sowohl eine Adressinformation (UWBH) beinhaltet, an welche Komponente das UWB-Signal gerichtet ist, als auch einen Zeitstempel (TS) für den Sendezeitpunkt des UWB-Signals.
Verfahren nach einem der Ansprüche 2 bis 8, wobei in der Rückantwort bei der Abstandsmessung ein Zeitstempel (RXTS) für den Empfangszeitpunkt des UWB-Signals eingetragen wird und ein Zeitstempel (ACKTS) für den Sendezeitpunkt der Rückantwort.
Vorrichtung zur Verwendung bei dem Verfahren nach einem der vorhergehenden Ansprüche, aufweisend wenigstens zwei Kommunikationsmodule (172-175), die zur drahtlosen Kommunikation mit einem Authentifizierungselement (40) ausgelegt sind, und weiter aufweisend ein Zugriffsberechtigungs-Kontrollmodul (171), das ausgelegt ist, nach Verifikation der Zugriffsberechtigungsinformation den Zugriff auf die Vorrichtung zu gewähren, dadurch gekennzeichnet, dass ein Kommunikationsmodul (173), das eine Zugriffsberechtigungsinformation empfängt, eine Abstandsmessung zu wenigstens einem weiteren Kommunikationsmodul (172) durchführt und dass das Zugriffsberechtigungs-Kontrollmodul (171) den Zugriff auf die Vorrichtung unterbindet, wenn bei der Auswertung der Abstandsmessung festgestellt wird, dass der Abstand zwischen den Kommunikationsmodulen (172, 173) außerhalb eines Sollbereiches liegt oder die Abstandsmessung gar nicht durchführbar ist.
Vorrichtung nach Anspruch 10, wobei das Zugriffsberechtigungs-Kontrollmodul (171) dasjenige Kommunikationsmodul (172 - 173) mit der Ausstrahlung des UWB-Signals für die Abstandsmessung beauftragt, von dem es die Zugangsberechtigungsinformation erhalten hat.
Vorrichtung nach Anspruch 10 oder 11, wobei das Zugriffsberechtigungs-Kontrollmodul (171) die Startzeitpunkte für die Abstandsmessungen zwischen dem Authentifizierungselement (40) und wenigstens einem der Kommunikationsmodule (173) einerseits und zwischen den Kommunikationsmodulen (172-175) andererseits vorgibt, sodass die Einzelabstandsmessungen nacheinander durchgeführt werden, um eine gegenseitige Störung der Einzelabstandsmessungen zu vermeiden.
Vorrichtung nach einem der Ansprüche 10 bis 12, wobei die Vorrichtung für die Durchführung der Verfahrensschritte nach einem der Ansprüche 6 bis 9 eingerichtet ist.
Fahrzeug, dadurch gekennzeichnet, dass in dem Fahrzeug (10) eine Vorrichtung nach einem der Ansprüche 10 bis 13 verbaut ist.