DE102018220936A1

DE102018220936A1 - Verfahren zur Überprüfung eines Sensorwertes eines MEMS-Sensors

Info

Publication number: DE102018220936A1
Application number: DE102018220936.7A
Authority: DE
Inventors: Oliver Willers; Christopher Huth
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2018-12-04
Filing date: 2018-12-04
Publication date: 2020-06-04
Also published as: US20200172392A1; CN111272207A; US11396449B2

Abstract

Vorgestellt wird ein Verfahren zur Überprüfung eines Sensorwertes eines MEMS-Sensors. Dabei wird ein Ausgangssignal des MEMS-Sensors erfasst und abhängig von dem Ausgangssignal der Sensorwert ermittelt. Weiterhin werden Frequenzanteile des Ausgangssignals untersucht und abhängig von der Untersuchung der Frequenzanteile wird festgestellt, ob der ermittelte Sensorwert zuverlässig oder unzuverlässig ist. Falls der Sensorwert als nicht zuverlässig festgestellt wird, wird der Sensorwert verworfen oder geringer gewichtet oder eine Warnung über die Unzuverlässigkeit des Sensorwerts wird ausgegeben oder eine Information über die Unzuverlässigkeit des Sensorwerts wird gespeichert.

Description

Technisches Gebiet
Die vorliegende Erfindung betrifft Verfahren zur Überprüfung eines Sensorwertes eines MEMS-Sensors sowie ein hierzu eingerichtetes Computerprogramm.
Stand der Technik
Mikrosysteme (engl.: microelectromechanical systems, MEMS) haben in den vergangenen Jahren stark an Bedeutung zugenommen. MEMS-Sensoren wie z.B. MEMS-basierte Inertialsensoren werden in zahllosen elektronischen Geräten und Systemen eingesetzt.
Mikromechanische Beschleunigungssensoren sind beispielsweise in der DE 400 0903 C1 und der DE 10 2012 218906 A1 offenbart. Mikromechanische Drehratensensoren gehen beispielsweise aus der DE 402 2495 A1 und der DE 10 2017 205 984 A1 hervor.
In der Veröffentlichung „Yunmok Son, Hocheol Shin, Dongkwan Kim, Young-Seok Park, Juhwan Noh, Kibum Choi, Jungwoo Choi, Yongdae Kim, et al.; Rocking drones with intentional sound noise on gyroscopic sensors. In USENIX Security Symposium, p. 881-896, 2015“ wurde ein erfolgreicher Angriff auf ein MEMS-Gyroskop mittels Schallwellen gezeigt, der insbesondere zu einem Denial of Service führt, also den Sensor außer Gefecht setzt.
Noch darüber hinaus geht ein Angriff mittels Schallwellen auf den MEMS-Beschleunigungssensor eines Smartphones, der in „Timothy Trippel, Ofir Weisse, Wenyuan Xu, Peter Honeyman, and Kevin Fu.; Walnut: Waging doubt on the integrity of mems accelerometers with acoustic injection attacks. In Security and Privacy (EuroS&P), 2017 IEEE European Symposium on, pages 3-18. IEEE, 2017“ vorgestellt wurde. Hier konnten mit dem Angriff gezielt Sensor-Ausgangsignale manipuliert werden.
Solche Angriffe auf MEMS-Sensoren können je nach Einsatz der Sensoren eine ernstzunehmende Bedrohung darstellen. MEMS-Inertialsensoren können beispielsweise sicherheitsrelevante Daten in Fahrzeugen oder Flugzeugen zur Verfügung stellen, beispielweise für Fahrerassistenzsysteme wie ABS oder ESP, für Sicherheitssysteme wie Airbags sowie für Funktionen im Kontext des automatisierten Fahrens.
Zum Schutz gegen solche Angriffe könnte eine Feedback-Kapazität mit einer Sensorelektrode verbunden werden, um die Resonanzfrequenz und den Resonanzeffekt des Sensors zu beeinflussen, wie in der US 5,640,133 A und in der Veröffentlichung „Chihwan Jeong, Seonho Seok, Byeungleul Lee, Hyeonched Kim, and Kukjin Chun; A study on resonant frequency and q factor tunings for mems vibratory gyroscopes. Journal of micromechanics and microengineering, 14(11):1530, 2004“ vorgeschlagen.
Die Veröffentlichung „Grant Roth. Simulation of the effects of acoustic noise on mems gyroscopes; PhD thesis, 2009“ schlägt als einfache und günstige Verteidigung vor, ein Gyroskop mit Schaum zu umgeben.
Aus der Veröffentlichung „Pregassen Soobramaney; Mitigation of the Effects of High Levels of High-Frequency Noise on MEMS Gyroscopes; PhD thesis, 2013“ ist eine zusätzliche Struktur bekannt, welche auf Resonanzfrequenzen antwortet und eine Beeinflussung eines Gyroskopausgangs durch Resonanzen vermindert.
Offenbarung der Erfindung
Vorgeschlagen wird ein Verfahren zur Überprüfung eines Sensorwertes eines MEMS-Sensors. Dabei kann der MEMS-Sensor insbesondere ein Inertialsensor sein, beispielsweise ein Beschleunigungssensor, ein Drehratensensor oder ein Gyroskop. Das Verfahren kann aber auch bei einem Drucksensor, einem Feuchtigkeitssensor, einem Temperatursensor, einem Magnetfeldsensor oder einem Gassensor eingesetzt werden.
Ein Ausgangssignal des MEMS-Sensors wird erfasst und abhängig von dem Ausgangssignal wird der Sensorwert ermittelt. Zur Überprüfung wird nun vorgeschlagen, dass Frequenzanteile des Ausgangssignals untersucht werden und abhängig von der Untersuchung der Frequenzanteile festgestellt wird, ob der ermittelte Sensorwert zuverlässig oder unzuverlässig ist. Falls der Sensorwert als nicht zuverlässig festgestellt wird, wird der Sensorwert verworfen oder geringer gewichtet, eine Warnung über die Unzuverlässigkeit des Sensorwerts ausgegeben oder eine Information über die Unzuverlässigkeit abgespeichert.
Auf dieses Weise kann die Integrität des Sensors bzw. seiner Ausgangssignale auf einfache Weise überprüft werden, ohne dass die Sensorstruktur modifiziert werden muss und in der Regel ohne Hardwareanpassung des Sensors oder der zugeordneten Auswertungsschaltungen. Insgesamt wird hiermit ein verbessertes, weil zuverlässigeres Sensorsystem bereitgestellt. Dabei kann die Erkennung unzuverlässiger Sensorwerte verschiedene Reaktionen nach sich ziehen. Am sichersten kann ein Verwerfen des Sensorwertes sein. Bei Sensorfusionen z.B. in redundanten Systemen kann auch ein Geringergewichten des potentiell unzuverlässigen Sensorsignals die technisch sinnvollere Lösung sein. Z.B. im Bereich weniger sicherheitsrelevanter Funktionen kann auch eine ausgegebene Warnung oder eine Abspeicherung insbesondere für Diagnosezwecke ausreichen.
In einer vorteilhaften Ausgestaltung werden die Frequenzenteile auf Eigenresonanzen von Sensorstrukturen des MEMS-Sensors untersucht. Wie oben beschrieben sind Eigenresonanzen im Fokus vieler bisher bekannter Angriffe. Mit dieser Untersuchung können effizient solche Angriffe identifiziert werden.
Vorteilhafterweise können die Frequenzanteile zumindest eines Ausschnitts aus einem Frequenzspektrum des Ausgangssignals untersucht werden. Statt nur einzelne Frequenzen zu untersuchen, können somit eine Vielzahl von Frequenzen eines ganzen Frequenzabschnitts betrachtet werden, was in der Regel präzisere Aussagen über die Wahrscheinlichkeit eines Angriffs ermöglicht.
Für eine besonders einfach zu implementierende, aber zuverlässige Entscheidung, ob ein Sensorwert unzuverlässig ist, kommt insbesondere das Feststellen von Schwellwertüberschreitungen in Frage. Beispielsweise können überschrittene Schwellwerte für die Amplituden bei bestimmten Frequenzen oder in bestimmten Frequenzbereichen auf einen akustischen Angriff bzw. eine akustische Störung hindeuten. Dazu können einzelnen Amplituden oder auch Amplitudenmittelwerte betrachtet werden.
In einer weiteren vorteilhaften Ausgestaltung können auch bestimmte Muster im Frequenzspektrum zur Erkennung akustischer Angriffe oder Störungen herangezogen werden.
Die Auswertung des Ausgangssignals wird vorzugsweise mithilfe von Hardwareschaltungen, welche beispielsweise ein analoges Ausgangssignal digital aufbereiten, und einem Computerprogramm zur Analyse des Ausgangssignals zum Beispiel durch Schwellwertvergleiche oder Mustererkennung. Dabei kann das Computerprogramm in einem Speicher einer Auswerteschaltung oder eines dem Sensor zugeordneten oder diesen aufweisenden Systems abgelegt sein und von einer Recheneinheit der Auswerteschaltung oder des Systems abgearbeitet werden. Dieses System kann vorteilhafterweise ein Fahrzeug, Flugzeug, Roboter oder ein mobiles Endgerät sein. Dieses kann abhängig von dem ermittelten Sensorwert angesteuert werden, falls der Sensorwert als zuverlässig erkannt wird. Falls nicht, kann eine geeignete Reaktion erfolgen, insbesondere ein Verwerfen oder Geringergewichten des Sensorwerts und / oder das Ausgeben einer entsprechenden Warnung und / oder das Speichern einer Information über die Unzuverlässigkeit.
Figurenliste
Nachfolgend ist die Erfindung unter Bezugnahme auf die beiliegenden Zeichnungen und anhand von Ausführungsbeispielen näher beschrieben. Dabei zeigen:

1 schematisch einen beispielhaften MEMS-Sensor,
2 schematisch ein Blockdiagram zur Auswertung eines MEMS-Sensors und
3 schematisch ein beispielhaftes Frequenzspektrum eines Ausgangssignals eines MEMS-Sensors.

Beschreibung der Ausführungsbeispiele
1 zeigt einen MEMS-Sensor 1. Der MEMS-Sensor 1 weist einen Trägerwafer 11 auf, dessen Abgrenzung zu den weiteren Schichten 14 durch die Trennlinie 12 verdeutlicht wird. Der MEMS-Sensor 1 weist weitere Schichten 14 auf, welche mit dem Trägerwafer 11 eine Kavität oder Kaverne 15 einschließen. Die Schichten 14 können über ein Bondingverfahren mit den Schichten 11 verbunden sein. Die Schichten 14 werden auch als sogenannte Sensor-Kappe bezeichnet. In der Kavität oder Kaverne 15 wird vorzugsweise ein Vakuum erzeugt. In der Kaverne 15 und auf dem Trägerwafer 11 befindet sich die eigentliche, funktionale SensorStruktur 13 des MEMS-Sensors 1.
MEMS-Sensoren wie zum Beispiel MEMS-Beschleunigungssensoren, MEMS-Drehratensensoren oder MEMS-Gyroskope weisen aufgrund ihrer komplexen mechanischen Struktur oft eine große Anzahl an Resonanzmoden auf.
Angriffe auf MEMS-Sensoren wie die bereits beschriebenen nutzen aus, dass bestimmte Resonanzen von außen angeregt werden können, insbesondere durch Schallwellen. Damit können bewegliche Sensorstrukturen auf für den Betrieb unerwünschte Weise angeregt werden. Das kann zu unerwünschten Auslenkungen der Strukturen führen, welche wiederum verfälschte Ausgangssignalen und somit falsch ermittelte Sensorwerte verursachen. Beispielsweise kann eine verstärkte oder verminderte Auslenkung von Strukturen kapazitiv erfasst werden und somit zum Beispiel in einem Beschleunigungssensor eine fehlerhafte Beschleunigung oder in einem Drehratensensor eine fehlerhafte Drehrate erkannt werden.
Typischerweise werden MEMS-Beschleunigungssensoren derart eingerichtet, dass die Resonanzmoden der Sensorstrukturen im normalen Betrieb in allen möglichen Betriebszuständen bzw. unter allen möglichen Betriebsbedingungen nicht angeregt werden. In MEMS-Gyroskopen schwingen die Sensorstrukturen in einer Betriebsfrequenz mit konstanter Amplitude.
Es wird nun vorgeschlagen, zur Überprüfung von Sensorwerten und insbesondere zur Erkennung von Störungen durch externe Schallquellen wie externe Angriffe mit Schallwellen Frequenzanteile des Ausgangssignals zu untersuchen.
In 2 ist schematisch ein MEMS-Sensor 21 in Verbindung mit einer Auswerteschaltung 22 gezeigt. Dabei kann die Auswerteschaltung 22 als ASIC oder Mikrocontroller realisiert sein. Die Auswerteschaltung 22 umfasst eine analoge Schnittstelle 221, über welche die Auswerteeinheit mit dem Sensor 21 kommunizieren kann und insbesondere ein Ausgangssignal des Sensors 21 empfangen kann. Das analoge Ausgangssignal wird im Folgenden Schaltungsteil 222 einer digitalen Signalaufbereitung unterworfen. Im Schaltungsteil 223 wird abhängig hiervon ein Sensorwert bestimmt, welcher über eine digitale Schnittstelle 224 weitergegeben werden kann.
Zusätzlich, beispielsweise parallel, zur Bestimmung des Sensorwerte in Schaltungsteil 223 erfolgt in Schaltungsteil 225 eine Untersuchung von Frequenzanteilen des digital aufbereiteten Ausgangssignals. Abhängig von der Untersuchung kann festgestellt werden, ob die ermittelten Sensorwerte zuverlässig oder unzuverlässig sind. Diese Information wird ebenfalls an die digitale Schnittstelle 224 weitergegeben werden.
Der Sensor 21 und die Auswerteschaltung 22 können dabei vorzugsweise in ein technisches System eingebettet sein, welches die Sensorwerte des Sensors 21 weiterverarbeitet und abhängig davon Ausgabewerte anzeigt oder abhängig davon angesteuert wird oder andere Einheiten ansteuert. Hierbei wird dann vorzugsweise die Feststellung der Zuverlässigkeit oder Unzuverlässigkeit von Sensorwerten berücksichtigt.
Insbesondere können der Sensor 21 und die Auswerteschaltung 22 in ein mobiles Endgerät wie ein Smartphone, in ein Fahrzeug, in ein Flugzeug oder in einen Roboter eingebettet sein. Der MEMS-Sensor kann insbesondere ein Inertialsensor sein, beispielsweise ein Beschleunigungssensor, ein Drehratensensor oder ein Gyroskop. Insbesondere in autonomen oder teilautonomen Systemen kann das vorgeschlagene Verfahren vorteilhaft zum Einsatz kommen.
Die Untersuchung von Frequenzanteilen kann dabei insbesondere die Untersuchung von Amplituden bestimmter Frequenzen umfassen. So können Amplituden von Frequenzen eines bestimmten Ausschnitts aus dem Frequenzspektrum untersucht werden oder bestimmte Frequenzen z.B. Frequenzen von Eigenresonanzen. Eine externe Anregung bestimmter Moden, welche einen störenden Einfluss auf das Ausgangssignal hat, führt in der Regel zu einer signifikanten Veränderung im Frequenzspektrum des Ausgangssignals und kann über diese Veränderung detektiert werden. Beispielsweise können charakteristische Werte für das Spektrum berechnet werden oder das Spektrum auf charakteristische Muster ähnlich zu digitalen Fingerabdrücken untersucht werden. Auch können bestimmte Schwellwerte definiert werden, welche bei bestimmten Frequenzen oder in bestimmten Frequenzbereichen nicht überschritten werden sollten.
In 3 ist ein beispielhafter Ausschnitt aus einem Frequenzspektrum eines Ausgangssignals eines MEMS-Sensors gezeigt, wobei die Y-Achse einer Amplitude A und die X-Achse eine Frequenz F des Ausgangssignals zugeordnet ist. Für den gezeigten Frequenzbereich ist ein Schwellwert 32 für die Amplitude definiert und eingezeichnet. Dieser ist so gewählt, dass eine Überschreitung im betrachteten Frequenzbereich einen störenden Einfluss von externen Schallquellen nahelegt und damit ein dem Ausgangssignal zugeordneter Sensorwert sicherheitshalber als unzuverlässig festgestellt werden sollte. Dies ist mit dem Peak 31 in 3 der Fall, da dieser den Schwellwert 32 überschreitet. Ein solcher Schwellwert kann von einem dem Sensor zugeordneten System entweder ganz verworfen werden, oder zumindest bei der Kommunikation an das zugeordnete System mit einer Warnung versehen sein.
Die beschriebenen Verfahren, insbesondere die Untersuchung der Frequenzanteile des Ausgangssignals, können in Hardware, in Software oder teilweise in Hardware und teilweise in Software realisiert sein. Hierzu können neben oder statt der in 2 gezeigten Schaltungsteile in einem Speicher abgelegte Computerprogrammteile durch eine Recheneinheit abgearbeitet werden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 4000903 C1 [0003]
DE 102012218906 A1 [0003]
DE 4022495 A1 [0003]
DE 102017205984 A1 [0003]
US 5640133 A [0007]

Zitierte Nicht-Patentliteratur

Yunmok Son, Hocheol Shin, Dongkwan Kim, Young-Seok Park, Juhwan Noh, Kibum Choi, Jungwoo Choi, Yongdae Kim, et al.; Rocking drones with intentional sound noise on gyroscopic sensors. In USENIX Security Symposium, p. 881-896, 2015 [0004]
Timothy Trippel, Ofir Weisse, Wenyuan Xu, Peter Honeyman, and Kevin Fu. [0005]

Claims

Verfahren zur Überprüfung eines Sensorwertes eines MEMS-Sensors (21), wobei ein Ausgangssignal des MEMS-Sensors (21) erfasst wird und abhängig von dem Ausgangssignal der Sensorwert ermittelt wird, dadurch gekennzeichnet, dass - Frequenzanteile des Ausgangssignals untersucht werden, - abhängig von der Untersuchung der Frequenzanteile festgestellt wird, ob der ermittelte Sensorwert zuverlässig oder unzuverlässig ist, und - falls der Sensorwert als nicht zuverlässig festgestellt wird, der Sensorwert verworfen oder geringer gewichtet wird, eine Warnung über die Unzuverlässigkeit des Sensorwerts ausgegeben wird oder eine Information über die Unzuverlässigkeit des Sensorwerts gespeichert wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Frequenzanteile auf Eigenresonanzen von Sensorstrukturen des MEMS-Sensors (21) untersucht werden.
Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Frequenzanteile zumindest eines Ausschnitts aus einem Frequenzspektrum des Ausgangssignals untersucht werden.
Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass mindestens eine Amplitude (A) der Frequenzanteile mit mindestens einem Schwellwert (32) verglichen wird.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass eine durchschnittliche Amplitude eines Ausschnitts aus einem Frequenzspektrums des Ausgangssignals mit dem mindestens einem Schwellwert verglichen wird oder dass eine Amplitude einer bestimmten Frequenz, insbesondere entsprechend einer Eigenresonanz von Sensorstrukturen des MEMS-Sensors (21), mit dem Schwellwert verglichen wird oder dass Amplituden (A) eines bestimmten Frequenzbereichs mit dem mindestens einen Schwellwert (32) verglichen werden.
Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Frequenzanteile auf ein bestimmtes Muster untersucht werden oder mit einem gespeicherten Muster verglichen werden.
Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass der ermittelte Sensorwert als unzuverlässig erkannt wird, wenn abhängig von der Untersuchung ein Einfluss von externen Schallquellen auf den MEMS-Sensor (21), insbesondere ein Angriff auf den MEMS-Sensor (21) mit Schallwellen, erkannt wird.
Verfahren nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass der MEMS-Sensor (21) ein Inertialsensor, insbesondere ein Beschleunigungssensor, ein Drehratensensor oder ein Gyroskop ist.
Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass der MEMS-Sensor (21) ein Drucksensor, ein Feuchtigkeitssensor, ein Temperatursensor, ein Magnetfeldsensor oder ein Gassensor ist.
Computerprogramm, welches eingerichtet ist ein Verfahren nach einem der Ansprüche 1 bis 9 durchzuführen.
Maschinenlesbares Speichermedium mit einem Computerprogramm nach Anspruch 10.
Vorrichtung mit einer Recheneinheit und einem Speichermedium nach Anspruch 11.
Fahrzeug, Flugzeug, Roboter oder mobiles Endgerät mit einem MEMS-Sensor (21), einer Auswerteschaltung (22) und einer Vorrichtung nach Anspruch 12.
Verfahren zur Steuerung eines Fahrzeugs, Flugzeugs, Roboters oder mobilen Endgeräts nach Anspruch 13, dadurch gekennzeichnet, dass das Fahrzeug, das Flugzeug, der Roboter oder das mobile Endgerät abhängig von dem ermittelten Sensorwert angesteuert wird, falls der Sensorwert als zuverlässig erkannt wird.
Verfahren nach Anspruch 14, dadurch gekennzeichnet, dass der ermittelte Sensorwert für die Ansteuerung verworfen wird, falls der Sensorwert als unzuverlässig erkannt wird.