DE102021112332A1

DE102021112332A1 - Verfahren zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs, computerlesbares Medium, System, und Fahrzeug

Info

Publication number: DE102021112332A1
Application number: DE102021112332.1A
Authority: DE
Inventors: Peter Winklhofer; Robert Meinlschmidt; Theresa Reiner; Markus Anton; Michael Weiner
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2021-05-11
Filing date: 2021-05-11
Publication date: 2022-11-17
Also published as: WO2022238025A1; CN117044164A; US20240195814A1

Abstract

Die Erfindung betrifft ein Verfahren zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs, das Verfahren umfassend: Empfangen einer ersten Nachricht eines ersten Steuergeräts des Fahrzeugs über ein erstes Bussystem durch das zweite Steuergerät des Fahrzeugs; Ermitteln eines Bussystems zugehörig zu der empfangenen, ersten Nachricht durch das zweite Steuergerät; und Falls das ermittelte Bussystem von dem ersten Bussystem abweicht: Bestimmen der empfangenen, ersten Nachricht als eine unzulässige Nachricht des ersten Bussystems durch das zweite Steuergerät; Erkennen des ersten Steuergeräts als das manipulierte Steuergerät durch das zweite Steuergerät falls die empfangene, erste Nachricht als eine unzulässige Nachricht bestimmt wurde; und Bereitstellen einer Alarmnachricht an einen fahrzeugexternen Server durch das zweite Steuergerät.

Description

Die Erfindung betrifft ein Verfahren zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs. Die Erfindung betrifft ferner ein computerlesbares Medium zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs, ein System zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs, sowie ein Fahrzeug umfassend das System zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts des Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs.
Steuergeräte von Fahrzeugen sind über Bussysteme miteinander kommunikativ verbunden. Wenn ein Steuergerät unberechtigt eine Nachricht auf einem Bussystem sendet, kann eine Funktion eines die Nachricht empfangendes Steuergerät unberechtigt beeinflusst werden. Das unberechtigte Senden von Nachrichten durch ein Steuergerät auf einem Bussystem eines Fahrzeugs wird aktuell nicht überprüft.
Es ist daher eine Aufgabe der Erfindung, ein unberechtigtes Senden einer Nachricht auf einem Bussystem effizient zu erkennen. Insbesondere ist eine Aufgabe der Erfindung, eine unzulässige Nachricht eines manipulierten Steuergeräts durch ein weiteres Steuergerät des Bussystems des Fahrzeugs effizient zu erkennen.
Gelöst wird diese Aufgabe durch die Merkmale der unabhängigen Ansprüche. Vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung ergeben sich aus den abhängigen Ansprüchen.
Gemäß einem ersten Aspekt zeichnet sich die Erfindung aus durch ein Verfahren zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs. Das Verfahren kann ein computerimplementiertes Verfahren oder ein steuergeräteimplementiertes Verfahren sein. Die unzulässige Nachricht kann eine Nachricht eines unberechtigten Senders eines Bussystems sein. Das manipulierte Steuergerät kann ein Steuergerät sein, das nach einer Auslieferung des Fahrzeugs zusätzlich zu einem bestehenden Steuergerät mit dem Bussystem bzw. den Bussystemen des Fahrzeugs verbunden wurde. Das Fahrzeug kann ein Kraftfahrzeug sein.
Das Verfahren umfasst ein Empfangen einer ersten Nachricht eines ersten Steuergeräts des Fahrzeugs über ein erstes Bussystem durch das zweite Steuergerät des Fahrzeugs. Das erste Steuergerät und/oder das zweite Steuergerät können mit mehreren Bussystemen des Fahrzeugs verbunden sein. Vorzugsweise können das erste Steuergerät und/oder das zweite Steuergeräte über mehrere Bussysteme des Fahrzeugs Nachrichten senden und/oder empfangen. Ein Bussystem kann ein CAN-Bus sein. Das Verfahren umfasst weiter ein Ermitteln eines Bussystems zugehörig zu der empfangenen, ersten Nachricht durch das zweite Steuergerät. Falls das ermittelte Bussystem von dem ersten Bussystem abweicht, bestimmt das Verfahren die empfangene, erste Nachricht als eine unzulässige Nachricht des ersten Bussystems durch das zweite Steuergerät. Falls das ermittelte Bussystem von dem ersten Bussystem abweicht und falls die empfangene, erste Nachricht als eine unzulässige Nachricht bestimmt wurde, erkennt das Verfahren das erste Steuergerät als das manipulierte Steuergerät durch das zweite Steuergerät, und stellt eine Alarmnachricht an einen fahrzeugexternen Server durch das zweite Steuergerät bereit.
Vorteilhafterweise kann das zweite Steuergerät überprüfen, ob die empfangene, erste Nachricht über ein für die Nachricht zulässiges Bussystem gesendet wurde. Somit kann effizient eine unzulässige Nachricht erkannt und der Absender der unzulässigen Nachricht als manipuliertes Steuergerät festgestellt werden. Dies ermöglicht ein schnelles Erkennen einer Manipulation von Steuergeräten über mehrere Bussysteme hinweg.
Gemäß einer vorteilhaften Ausgestaltung der Erfindung kann das zweite Steuergerät die einzige, vertrauenswürdige Quelle der Nachricht sein. Hiermit kann effizient ein unzulässiges Senden einer Nachricht durch ein manipuliertes Steuergerät effizient erkannt werden.
Gemäß einer weiteren, vorteilhaften Ausgestaltung kann das zweite Steuergerät mit mindestens zwei Bussystemen verbunden sein, und/oder kann das erste Bussystem der mindestens zwei Bussysteme ein Bussystem zum Übertragen von Diagnosenachrichten sein, und/oder kann das zweite Bussystem der mindestens zwei Bussysteme ein Bussystem zum Übertragen von Anwendungsnachrichten sein. Hiermit kann ein Bussysteme-übergreifendes Überwachen von unzulässigen Nachrichten durch das zweite Steuergerät effizient ermöglicht werden.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann die erste Nachricht eine Anwendungsnachricht sein, die über das erste Bussystem übertragen wird.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann das Ermitteln eines Bussystems zugehörig zu der empfangenen, ersten Nachricht durch das zweite Steuergerät umfassen: ein Bestimmen eines Nachrichtentyps der empfangenen, ersten Nachricht durch das zweite Steuergerät, ein Ermitteln einer zweiten Nachricht durch das zweite Steuergerät des Fahrzeugs, wobei die zweite Nachricht einen Nachrichtentyp aufweist, der dem bestimmten Nachrichtentyp der ersten Nachricht entspricht, ein Bestimmen eines Bussystems, das mit der ermittelten, zweiten Nachricht verknüpft ist, und ein Ermitteln des Bussystems der ermittelten, zweiten Nachricht als das Bussystems zugehörig zu der empfangenen, ersten Nachricht. Hiermit kann das zulässige Bussystem für eine empfangene Nachricht durch das zweite Steuergerät effizient ermittelt werden.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann die zweite Nachricht die letzte, erfolgreich gesendete Nachricht des zweiten Steuergeräts sein, die den Nachrichtentyp der empfangenen ersten Nachricht aufweist, und/oder kann die zweite Nachricht eine Nachricht sein, für die das zweite Steuergerät die einzige, vertrauenswürdige Nachrichtenquelle auf dem mit der zweiten Nachricht verknüpften Bussystem ist, und/oder kann die zweite Nachricht vor dem empfangen der ersten Nachricht von dem zweiten Steuergerät über ein mit der zweiten Nachricht verknüpftes Bussystem gesendet und die zweite Nachricht durch das zweite Steuergerät nach einem erfolgreichen Senden der zweiten Nachricht über das mit der zweiten Nachricht verknüpften Bussystems gespeichert worden sein. Hiermit kann das zulässige Bussystem für eine empfangene Nachricht durch das zweite Steuergerät effizient ermittelt werden.
Gemäß einer weiteren vorteilhaften Ausgestaltung der Erfindung kann die Alarmnachricht das manipulierte Steuergerät und/oder die unzulässige Nachricht des ersten Bussystems umfassen.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein computerlesbares Medium zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs, wobei das computerlesbare Medium Instruktionen umfasst, die, wenn ausgeführt auf einem Steuergerät des Fahrzeugs, das oben beschriebene Verfahren ausführen.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung durch ein System zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs, wobei das System dazu ausgebildet ist, das oben beschriebene Verfahren auszuführen.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein Fahrzeug umfassend das oben beschriebene System zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts des Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs.
Weitere Merkmale der Erfindung ergeben sich aus den Ansprüchen, den Figuren und der Figurenbeschreibung. Alle vorstehend in der Beschreibung genannten Merkmale und Merkmalskombinationen sowie die nachfolgend in der Figurenbeschreibung genannten und/oder in den Figuren allein gezeigten Merkmale und Merkmalskombinationen sind nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder aber in Alleinstellung verwendbar.
Im Folgenden wird anhand der beigefügten Zeichnungen ein bevorzugtes Ausführungsbeispiel der Erfindung beschrieben. Daraus ergeben sich weitere Details, bevorzugte Ausgestaltungen und Weiterbildungen der Erfindung, Im Einzelnen zeigen schematisch

1 ein beispielhaftes Verfahren zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät, und
2 ein beispielhaftes System zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät.

Im Detail zeigt 1 ein beispielhaftes Verfahren 100 zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs. Nachrichten auf Bussystemen eines Fahrzeugs können von einem berechtigten Steuergerät, dem zweiten Steuergerät, nur auf einem vorgegebenen Bussystem gesendet werden. Auf einem anderen Bussystem des Fahrzeugs ist die Nachricht unzulässig. Indem das berechtigtes Steuergerät einer Nachricht, das zweite Steuergerät, alle Nachrichten auf allen weiteren Bussystemen, mit dem das berechtigte Steuergerät verbunden ist, überwacht, kann das berechtigte Steuergerät einen unzulässige Nachricht eines manipulierten Steuergeräts auf einem anderen Bussystem des Fahrzeugs erkennen und eine Alarmnachricht senden.
Das Verfahren 100 kann eine erste Nachricht eines ersten Steuergeräts des Fahrzeugs über ein erstes Bussystem durch das zweite Steuergerät des Fahrzeugs empfangen 102. Beispielsweise kann in dem zweiten Steuergerät als der berechtige Sender der ersten Nachricht eine Busüberwachungskomponente integriert sein, die erste Nachricht des ersten Steuergeräts empfangen kann. Vorzugsweise kann das zweite Steuergerät, insbesondere die Busüberwachungskomponente des zweiten Steuergeräts, alle Nachrichten, die über die Bussysteme ausgetauscht werden, mit denen das zweite Steuergerät verbunden ist, empfangen. Vorzugsweise kann das zweite Steuergerät, insbesondere die Busüberwachungskomponente des zweiten Steuergeräts alle Nachrichten, die über die Bussysteme ausgetauscht werden, mit denen das zweite Steuergerät verbunden ist, und für die das zweite Steuergerät der berechtigte Sender ist, empfangen. Für die erste Nachricht kann das zweite Steuergerät der berechtigte Sender sein. Somit kann das zweite Steuergerät die erste Nachricht empfangen.
Das Verfahren 100 kann ein Bussystem zugehörig zu der empfangenen, ersten Nachricht durch das zweite Steuergerät ermitteln 104. Falls das ermittelte Bussystem von dem ersten Bussystem abweicht, kann das Verfahren 100 die empfangene, erste Nachricht als eine unzulässige Nachricht des ersten Bussystems durch das zweite Steuergerät bestimmen 106. Weiter kann das Verfahren durch das zweite Steuergerät erkennen 108, dass das erste Steuergerät ein manipuliertes Steuergerät ist, falls die empfangene, erste Nachricht als eine unzulässige Nachricht bestimmt wurde. Schließlich kann das Verfahren 100 eine Alarmnachricht an einen fahrzeugexternen Server durch das zweite Steuergerät bereitstellen 110. Durch das Bereitstellen der Alarmnachricht an den fahrzeugexternen Server kann beispielsweise ein Fahrzeughersteller über eine Manipulation des Fahrzeugs informiert werden.
Ist die erste Nachricht beispielsweise einen Anwendungsnachricht und wird diese Nachricht über ein Diagnosebussystem empfangen, kann das zweite Steuergerät als der berechtigte Sender der ersten Nachricht erkennen, dass die Anwendungsnachricht unzulässig auf dem Diagnosebussystem übermittelt wurde. Eine Manipulation des ersten Steuergeräts als Sender der unzulässigen Nachricht liegt somit vor.
Im Detail zeigt 2 ein beispielhaftes System 200 zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts 202 eines Fahrzeugs durch ein zweites Steuergerät 204. Das manipulierte Steuergerät 202, auch ersten Steuergerät genannt, und das zweite Steuergerät sind mit zwei Bussystemen 206 und 208 verbunden. Das zweite Steuergerät 204 als berechtigter Sender einer Nachricht 210 mit einem ersten Nachrichtentyp hat diese Nachricht über das Bussystem 208 an ein drittes Steuergerät 212 übermittelt. Die erfolgreiche Übermittlung der Nachricht 210 sowie das dazugehörige Bussystem kann das zweite Steuergerät 204 in einem Speicher 214 speichern.
Das zweite Steuergerät 204 kann eine erste Nachricht 216 über eine Busüberwachungskomponente 218 von dem manipulierten Steuergerät 202 empfangen. Die erste Nachricht 216 kann einen Nachrichtentyp aufweisen, für den das zweite Steuergerät der berechtigte Sender ist. Die Busüberwachungskomponente 218 des zweiten Steuergeräts 204 kann ein Bussystem zugehörig zu der empfangenen, ersten Nachricht ermitteln. Beispielsweise kann die Busüberwachungskomponente 218 im Speicher 214 das Bussystem zugehörig zu der empfangenen, ersten Nachricht abfragen und mit dem Bussystem, über die erste Nachricht empfangen wurde, vergleichen. Falls das ermittelte Bussystem 208 von dem Bussystem 206 der empfangenen, ersten Nachricht abweicht kann die Busüberwachungskomponente 218 des zweiten Steuergeräts 204 die empfangene, erste Nachricht als eine unzulässige Nachricht des Bussystems 206 bestimmen und das erste Steuergerät als das manipulierte Steuergerät 202 erkennen. Mittels einer Alarmnachricht 220 kann das zweite Steuergerät an einen fahrzeugexternen Server die unzulässige Nachricht und/oder das manipulierte Steuergerät 202 bereitstellen.
Vorteilhafterweise kann ein unzulässiges Senden von Nachrichten aus Bussystemen durch den berechtigten Sender der jeweiligen Nachricht effizient erkannt werden. Manipulationen von Steuergeräten können somit schneller erkannt und/oder gemeldet werden.
Bezugszeichenliste

100: Verfahren
102: empfangen einer ersten Nachricht
104: ermitteln eines Bussystems
106: bestimmen der empfangenen, ersten Nachricht als eine unzulässige Nachricht
108: erkennen des ersten Steuergeräts als das manipulierte Steuergerät
110: bereitstellen einer Alarmnachricht
200: System
202: erstes Steuergerät bzw. manipuliertes Steuergerät
204: zweites Steuergerät
206: Bussystem
208: Bussystem
210: Nachricht
212: drittes Steuergerät
214: Speicher
216: erste Nachricht
218: Busüberwachungskomponente
220: Alarmnachricht

Claims

Verfahren zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs, das Verfahren umfassend: Empfangen einer ersten Nachricht eines ersten Steuergeräts des Fahrzeugs über ein erstes Bussystem durch das zweite Steuergerät des Fahrzeugs; Ermitteln eines Bussystems zugehörig zu der empfangenen, ersten Nachricht durch das zweite Steuergerät; und Falls das ermittelte Bussystem von dem ersten Bussystem abweicht: Bestimmen der empfangenen, ersten Nachricht als eine unzulässige Nachricht des ersten Bussystems durch das zweite Steuergerät; Erkennen des ersten Steuergeräts als das manipulierte Steuergerät durch das zweite Steuergerät falls die empfangene, erste Nachricht als eine unzulässige Nachricht bestimmt wurde; und Bereitstellen einer Alarmnachricht an einen fahrzeugexternen Server durch das zweite Steuergerät.
Verfahren nach Anspruch 1, wobei das zweite Steuergerät die einzige, vertrauenswürdige Quelle der Nachricht ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das zweite Steuergerät mit mindestens zwei Bussystemen verbunden ist; und/oder wobei das erste Bussystem der mindestens zwei Bussysteme ein Bussystem zum Übertragen von Diagnosenachrichten ist; und/oder wobei das zweite Bussystem der mindestens zwei Bussysteme ein Bussystem zum Übertragen von Anwendungsnachrichten ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die erste Nachricht eine Anwendungsnachricht ist, die über das erste Bussystem übertragen wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Ermitteln eines Bussystems zugehörig zu der empfangenen, ersten Nachricht durch das zweite Steuergerät umfasst: Bestimmen eines Nachrichtentyps der empfangenen, ersten Nachricht durch das zweite Steuergerät; Ermitteln einer zweiten Nachricht durch das zweite Steuergerät des Fahrzeugs, wobei die zweite Nachricht einen Nachrichtentyp aufweist, der dem bestimmten Nachrichtentyp der ersten Nachricht entspricht; Bestimmen eines Bussystems, das mit der ermittelten, zweiten Nachricht verknüpft ist; und Ermitteln des Bussystems der ermittelten, zweiten Nachricht als das Bussystems zugehörig zu der empfangenen, ersten Nachricht.
Verfahren nach Anspruch 5, das Verfahren weiterhin umfassend: wobei die zweite Nachricht die letzte, erfolgreich gesendete Nachricht des zweiten Steuergeräts ist, die den Nachrichtentyp der empfangenen ersten Nachricht aufweist; und/oder wobei die zweite Nachricht eine Nachricht ist, für die das zweite Steuergerät die einzige, vertrauenswürdige Nachrichtenquelle auf dem mit der zweiten Nachricht verknüpften Bussystem ist; und/oder wobei die zweite Nachricht vor dem empfangen der ersten Nachricht von dem zweiten Steuergerät über ein mit der zweiten Nachricht verknüpftes Bussystem gesendet und die zweite Nachricht durch das zweite Steuergerät nach einem erfolgreichen Senden der zweiten Nachricht über das mit der zweiten Nachricht verknüpften Bussystems gespeichert wurde.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Alarmnachricht das manipulierte Steuergerät und/oder die unzulässige Nachricht des ersten Bussystems umfasst.
Computerlesbares Medium zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs, wobei das computerlesbare Medium Instruktionen umfasst, die, wenn ausgeführt auf einem Steuergerät des Fahrzeugs, das Verfahren nach einem der Ansprüche 1 bis 7 ausführen.
System zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts eines Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs, wobei das System dazu ausgebildet ist, das Verfahren nach einem der Ansprüche 1 bis 7 auszuführen.
Fahrzeug umfassend das System zum Erkennen einer unzulässigen Nachricht eines manipulierten Steuergeräts des Fahrzeugs durch ein zweites Steuergerät des Fahrzeugs nach Anspruch 9.