-
Die vorliegende Erfindung betrifft ein Verfahren und ein System zum Aktualisieren einer Software einer Vorrichtung, die offline betrieben wird.
-
Stand der Technik
-
Sicherheitskritische Vorrichtungen, zu denen beispielsweise auch Betankungsstationen zum Betanken von Fahrzeugen mit Kraftstoffen gehören, können Steuer- bzw. Regelsysteme aufweisen, die mittels einer Software betrieben werden. Zur Aktualisierung oder Verbesserung von Funktionen sind gelegentliche Aktualisierungen der Software erforderlich. Aufgrund der Sicherheitskritikalität sind diese Vorrichtungen üblicherweise nicht mit einem Netzwerk verbunden, das etwa eine internetbasierte automatische Aktualisierung ermöglichen würde. Offline betriebene Vorrichtungen können nur manuell über ein geeignetes Medium, etwa einen Datenträger wie eine DVD, eine Festplatte oder einen USB-Stick, mit neuer Software versehen werden. Hierzu muss zuvor das Medium mit der entsprechenden Software bespielt werden und dieses Medium mit dem zu aktualisierenden System verbunden werden. Typischerweise wird dann der Update-Vorgang manuell ausgelöst und überwacht.
-
Offenbarung der Erfindung
-
Die automatische Aktualisierung ist mit gängigen Verfahren nicht möglich. Die Aufgabe der Erfindung liegt folglich darin, ein Verfahren und/oder ein System zu schaffen, das eine automatische Aktualisierung von Vorrichtungen ermöglicht, die offline betrieben werden.
-
Die Aufgabe wird gelöst durch ein Verfahren mit den Merkmalen des Anspruchs 1. Vorteilhafte Ausführungsformen und Weiterbildungen sind den Unteransprüchen und der nachfolgenden Beschreibung entnehmbar.
-
Es wird ein Verfahren zum Aktualisieren einer Software einer Vorrichtung, die offline betrieben wird, vorgeschlagen, das Verfahren aufweisend die Schritte des Bereitstellens mindestens eines Übertragungsmediums an einer Software-Bereitstellungseinheit, das von der betreffenden Vorrichtung beabstandet ist, des Übertragens von die Software repräsentierenden Daten von der Software-Bereitstellungseinheit an das mindestens eine Übertragungsmedium, des Bewegens des mindestens einen Übertragungsmediums zu der betreffenden Vorrichtung, des Übertragens der Daten von dem mindestens einen Übertragungsmedium an die betreffende Vorrichtung über eine IT-sichere Verbindung, des Aktualisierens der Software der Vorrichtung mithilfe der übertragenen Daten, des Übertragens eines Aktualisierungsstatus von der betreffenden Vorrichtung an das mindestens eine Übertragungsmedium, und des Bewegens des mindestens einen Übertragungsmediums zu der Software-Bereitstellungseinheit und Übertragen des Aktualisierungsstatus von dem mindestens einen Übertragungsmedium an die Software-Bereitstellungseinheit.
-
Die betreffende Vorrichtung kann, wie vorangehend angegeben, eine sicherheitskritische Vorrichtung sein, welche offline betrieben wird. Dies bedeutet, dass sie keine Netzwerkverbindung aufweist, die eine automatisierte Aktualisierung ermöglichen würde. Sie kann eine Steuer- oder Regeleinheit aufweisen, die eine Recheneinheit aufweist, auf der eine Software zum Realisieren der gewünschten Funktionen ausgeführt wird.
-
Ein Kern der Erfindung liegt darin, dass ein von der Vorrichtung separat vorgesehenes Übertragungsmedium verwendet wird, um die Software automatisch zu aktualisieren. Hierzu kann das Übertragungsmedium Daten von einer Software-Bereitstellungseinheit empfangen und an die Vorrichtung heranführen. Dabei könnte das Übertragungsmedium in einer Einrichtung angeordnet sein, die mit der Vorrichtung koppelbar ist, um einen bestimmten Prozess durchzuführen. Wie weiter nachfolgend dargestellt, kann die Vorrichtung eine Betankungs- oder Ladestation sein, die zum Betanken oder Laden eines Fahrzeugs vorgesehen ist, welches das Übertragungsmedium aufweist.
-
Die Software-Bereitstellungseinheit ist von der Vorrichtung beabstandet. Sie ist von der Vorrichtung separat und steht nicht in einem funktionalen Zusammenhang mit ihr. Die Vorrichtung ist nicht auf die Funktion der Software-Bereitstellungseinheit angewiesen, um ihre vorgesehene Aufgabe zu erfüllen. Die zu aktualisierende Software kann eine Steuerungssoftware, Zertifikate oder Parameter umfassen, die zur Ausführung der Funktion der Vorrichtung erforderlich sind.
-
Bei dem Verfahren ist vorgesehen, dass sich das Übertragungsmedium zu einem ersten Zeitpunkt der mindestens einen Software-Bereitstellungseinheit annähert bzw. diese kontaktiert, um die Daten, welche die Software repräsentieren, zu empfangen. Die Daten werden folglich auf das Übertragungsmedium übertragen und dort zumindest temporär gespeichert. Danach nähert sich das Übertragungsmedium der betreffenden Vorrichtung an und kann zu einem zweiten Zeitpunkt über eine IT-sichere Verbindung, welche zu einem anderen Zweck aufgebaut sein kann, die Daten an die betreffende Vorrichtung übertragen. In diesem Moment ist keine Netzwerkverbindung zwischen der betreffenden Vorrichtung und der Software-Bereitstellungseinheit notwendig. Das Übertragungsmedium kann Teil einer übergeordneten Einrichtung sein, beispielsweise eines Fahrzeugs. Die betreffende Vorrichtung kann mit dieser eine Punkt-zu-Punkt-Verbindung aufweisen, die als IT-sichere Verbindung ausgeführt ist. Der zweite Zeitpunkt kann sich um Sekunden, Minuten, Stunden oder einen längeren Zeitraum von dem ersten Zeitpunkt unterscheiden. Die durch das Übertragungsmedium zurückgelegte Strecke kann dabei von wenigen Metern bis zu einer üblichen Kurz-, Mittel- oder Langstrecken-Entfernung eines Fahrzeugs betragen.
-
Nachdem die Daten zu der betreffenden Vorrichtung übertragen wurden, kann diese anschließend eine Aktualisierung durchführen. Aufgrund der fehlenden Netzwerkverbindung ist jedoch außerhalb der Vorrichtung nicht bekannt, welche Software sich nun tatsächlich auf der betreffenden Vorrichtung befindet. Hierfür ist vorgesehen, dass der Aktualisierungsstatus von der Vorrichtung an das Übertragungsmedium übertragen wird.
-
Der Aktualisierungsstatus könnte in mehreren Varianten realisiert sein. Neben der einfachen Information, dass eine Aktualisierung durchgeführt wurde kann gegebenenfalls eine Information vorgesehen sein, welche Softwareversion auf der betreffenden Vorrichtung installiert wurde. Alternativ dazu kann der Aktualisierungsstatus etwa ein Protokoll umfassen, das während eines Aktualisierungsvorgangs erstellt wurde. Dieses Protokoll kann beispielsweise mit einem Zeitpunkt des Übertragen der Daten an die Vorrichtung beginnen und mit dem Abschluss der Aktualisierung enden. Es ist vorstellbar, dass das Protokoll zeilenweise Informationen zu verschiedenen Vorgängen oder Prozessen umfasst, die während des Aktualisierungsvorgangs ablaufen. Diese können das erfolgreiche Übertragen der Daten, das Überprüfen der Konsistenz der Daten, das Entpacken von Paketen, das Initiieren eines Installationsvorgangs, Installationsvorgänge einzelner Programme oder Programmmodule, das Laden von Datensätzen und dergleichen. Nachdem der Aktualisierungsstatus an das Übertragungsmedium gesandt ist, kann dieser von dem Übertragungsmedium an die Software-Bereitstellungseinheit übertragen werden. Diese kann folglich Kenntnis über den tatsächlichen Status der Vorrichtung erhalten, ohne dass eine Netzwerkverbindung vorgesehen ist.
-
Die Software-Bereitstellungseinheit könnte die Daten über ein Broadcast-Verfahren aussenden. In Umgebungen, in denen mit mehreren Übertragungsmedien gerechnet werden kann, könnte es sinnvoll sein, die Daten per Broadcast an alle Übertragungsmedien auszusenden, die die Software-Bereitstellungseinheit kontaktieren. Diese könnte etwa ein Logistik-Zentrum sein, welches regelmäßig von mehreren Fahrzeugen mit darin angeordneten Übertragungsmedien angefahren wird. Alle Fahrzeuge könnten die Daten erhalten. Auf ihrer Fahrt zu der Vorrichtung, beispielsweise eine Betankungs- oder Ladestation, können die Daten an die Vorrichtung übertragen werden.
-
Alternativ könnte das Aussenden von der Software-Bereitstellungseinheit auch selektiver erfolgen. Beim obigen Beispiel bleibend könnten spezielle Fahrzeuge gemäß Router oder Ziel ausgewählt werden, um an diese die Daten zu übertragen. Es kann hierzu eine Auswahl von Fahrzeugen erfolgen, die zu Vorrichtungen reisen, welche ein Update benötigen. Dies könnte anhand von vorherigen Aktualisierungsvorgängen identifizierbar sein.
-
Ist gemäß vorherigen Aktualisierungsvorgängen allerdings bekannt, dass alle in Frage kommenden Vorrichtungen bereits über aktuelle Daten verfügen, kann von einer erneuten Übertragung von Daten an Übertragungsmedien abgesehen werden.
-
Die Daten könnten verschlüsselt sein und in der betreffenden Vorrichtung entschlüsselt werden, bevor die Software der Vorrichtung aktualisiert wird. Dies kann eine Manipulation von Daten verhindern und einen ausreichenden Schutz für die sicherheitskritische Vorrichtung bieten. Es ist denkbar, dass bei der Aktualisierung der Vorrichtung geprüft wird, ob die Daten intakt sind, beispielsweise mittels eines Prüfsummenvergleichs. Die entschlüsselten Daten liegen erst nach vollständiger Übertragung der Daten von dem Übertragungsmedium an die Vorrichtung vor. Es ist nicht notwendig, entschlüsselte Daten von der Vorrichtung an das Übertragungsmedium zu übertragen. Das Übertragungsmedium kann damit auch weitgehend anonym bleiben und lediglich als Transfermedium fungieren. Gleichermaßen könnte auch der Aktualisierungsstatus verschlüsselt sein, um einen zuverlässigen Transfer zu der Software-Bereitstellungseinheit zu ermöglichen.
-
Ein Update-Server könnte die Daten an mehrere Software-Bereitstellungseinheiten liefern und das Übertragungsmedium erhält von einer der mehreren Software-Bereitstellungseinheiten die Daten. Die einzelnen Software-Bereitstellungseinheiten können räumlich nah sein, beispielsweise auf einem einzigen Grundstück oder Firmengelände. Alternativ dazu könnten die Software-Bereitstellungseinheiten auch räumlich weit voneinander beabstandet sein. Der Update-Server könnte von sämtlichen Software-Bereitstellungseinheiten die Aktualisierungsstatus erhalten. Aus einem Vergleich mit vorhandener, einsetzbarer Software könnte ermittelt werden, ob eine Vorrichtung eine aktuellere Softwareversion benötigt, als darauf bereits installiert ist. Der Update-Server könnte eine zentrale Verwaltung der Software erlauben und mit mehreren Software-Bereitstellungseinheiten kommunizieren. Durch die zentrale Verwaltung ist es unerheblich, welche Software-Bereitstellungseinheit mit dem Übertragungsmedium kommuniziert, um Software oder Aktualisierungsstatus zu übertragen. Es sind großräumige Abdeckungen mit Software-Bereitstellungseinheiten denkbar, die insbesondere drahtlos mit Übertragungsmedien kommunizieren können, wobei lediglich der Update-Server verwaltet werden müsste.
-
Der Aktualisierungsstatus könnte folglich auch an eine andere der Software-Bereitstellungseinheiten übertragen werden. Dadurch wird dennoch der Update-Server mit dem Aktualisierungsstatus der betreffenden Vorrichtung versorgt.
-
Die Vorrichtung könnte eine Betankungs- oder Ladestation für Fahrzeuge sein und das mindestens eine Übertragungsmedium könnte in einem zu betankenden Fahrzeug angeordnet sein. Es sind Anordnungen von mehreren Betankungs- oder Ladestationen denkbar, die jeweils eine Software ausführen. Fahrzeuge, die sich von einer Tankstelleneinfahrt zu einer Betankungs- oder Ladestation bewegen, können beispielsweise an einem bestimmten Abschnitt mit einer Software-Bereitstellungseinheit kommunizieren. Denkbar ist auch, dass eine Software-Bereitstellungseinheit eine andere Betankungs oder Ladestation ist, welche eine geringere Sicherheitskritikalität aufweist und über eine Internetverbindung verfügt. Logistikzentren oder Abstellplätze mit entsprechender Infrastruktur könnten ebenso über solche Software-Bereitstellungseinheiten verfügen. Bei einem Betankungs- oder Ladevorgang eines Fahrzeugs, während des Abstellens oder während eines anderen Vorgangs können folglich die Daten an das Fahrzeug übertragen werden und das Fahrzeug sendet beim Anfahren einer nicht an das Internet angebundenen Betankungsstation die vorliegenden Daten an die Betankungsstation.
-
Über eine IT-sichere Verbindung könnte das Übertragungsmedium in dem Fahrzeug Daten erhalten, die die Software repräsentieren. Ist das Fahrzeug an der Betankungs- oder Ladestation positioniert, kann das Übertragungsmedium die Daten an die Betankungs- oder Ladestation weitergeben. Dies erfolgt, wie vorangehend dargelegt, insbesondere verschlüsselt. Während des Betankens oder Ladens kann dieser Vorgang ausgeführt werden, alternativ auch davor oder anschließend. Es ist nicht notwendig, dass die dann übertragenen Daten zu einer Aktualisierung während des Betankens oder Ladens führen. Die Betankungs- oder Ladestation könnte auch nach dem Betanken oder Laden die Aktualisierung durchführen. Für diesen Zweck könnte die Betankungs- oder Ladestation temporär für Fahrzeuge gesperrt werden. Ist die Aktualisierung abgeschlossen, könnte ein nachfolgendes Fahrzeug den Aktualisierungsstatus empfangen und nach der Betankung oder dem Laden an eine Software-Bereitstellungseinheit weitergeben.
-
Das Verfahren kann ferner das Aufbauen einer IT-sicheren Verbindung zwischen dem Fahrzeug und der Betankungs- oder Ladestation zum Regeln einer beschleunigten Betankung oder einem beschleunigten Laden aufweisen, wobei die Daten von dem Fahrzeug an die Betankungs- oder Ladestation übertragen werden, wenn die Verbindung aufgebaut ist. Die Verbindung könnte durch eine Punkt-zu-Punkt-Verbindung auf Basis gängiger Kommunikationsverfahren durchgeführt werden, die insbesondere verschlüsselt ist und unter Verwendung eines kryptografischen Schlüssels erfolgt, sodass eine Fremdeinwirkung minimiert werden kann. Die gängigen Sicherheitsstandards können erfüllt werden.
-
Analog zu der obigen Ausführung betrifft die Erfindung ein System zum Aktualisieren einer Software einer Vorrichtung, die offline betrieben wird, das System aufweisend mindestens ein Übertragungsmedium, mindestens eine Software-Bereitstellungseinheit, eine erste Verbindungseinheit, die mit dem Übertragungsmedium koppelbar ist, eine zweite Verbindungseinheit, die mit der Vorrichtung koppelbar ist, und eine Steuer- oder Regeleinheit, die in der Vorrichtung angeordnet ist, wobei die Software-Bereitstellungseinheit dazu ausgebildet ist, Daten, welche die Software repräsentieren, an das mindestens eine Übertragungsmedium zu übertragen, wobei die erste Verbindungseinheit und die zweite Verbindungseinheit dazu ausgebildet sind, eine IT-sichere Verbindung herzustellen, wobei das mindestens eine Übertragungsmedium dazu ausgebildet ist, über die IT-sichere Verbindung die Daten an die betreffende Vorrichtung zu übertragen und einen Aktualisierungsstatus an die mindestens eine Software-Bereitstellungseinheit zu übertragen, und wobei die Steuer- oder Regeleinheit dazu ausgebildet ist, die Daten zu empfangen und die Software mithilfe der übertragenen Daten zu aktualisieren und den Aktualisierungsstatus an das mindestens eine Übertragungsmedium zu übertragen.
-
Das System könnte einen Update-Server und mehrere mit dem Update-Server verbundene Software-Bereitstellungseinheiten aufweisen. Wie vorangehend dargelegt können die Software-Bereitstellungseinheiten räumlich unterschiedlich weit voneinander entfernt sein.
-
Das Übertragungsmedium könnte in einem Fahrzeug angeordnet sein und die betreffende Vorrichtung eine Betankungs- oder Ladestation zum Betanken oder Laden des Fahrzeugs.
-
Weitere, die Erfindung verbessernde Maßnahmen werden nachstehend gemeinsam mit der Beschreibung der bevorzugten Ausführungsbeispiele der Erfindung anhand von Figuren näher dargestellt.
-
Ausführungsbeispiele
-
Es zeigt:
- 1 ein System in einer schematischen Darstellung;
- 2 und 3ein Verfahren in unterschiedlichen Darstellungen.
-
1 zeigt ein System 2 zum Aktualisieren einer Software einer Vorrichtung 4, die offline betrieben wird. Das System 2 weist ein Übertragungsmedium 6 auf, das in ein Fahrzeug 8 integriert ist. Das Übertragungsmedium 6 ist beispielhaft mit einer ersten Verbindungseinheit 10 verbindbar. Mehrere Software-Bereitstellungseinheiten 12 sind vorgesehen, welche mit einem Update-Server 14 verbunden sind. Sie weisen jeweils eine zweite Verbindungseinheit 16 auf, die dazu ausgebildet sind, mit der ersten Verbindungseinheit 10 zu kommunizieren. Beispielhaft überträgt der Update-Server 14 Daten, welche eine Software repräsentieren, an die Software-Bereitstellungseinheiten 12. Diese senden die Daten über die zweite Verbindungseinheit 16 beispielhaft in einem Broadcast-Verfahren aus, sodass mehrere Übertragungsmedien 6 mit Daten versorgt werden. Die erste Verbindungseinheit 10 empfängt die Daten und speichert diese auf dem Übertragungsmedium 6. Die Software-Bereitstellungseinheiten 12 sind beispielhaft in einer Tankstelle angeordnet und das Fahrzeug 8 befindet sich an einem anderen Ort, der auf demselben Gelände liegt oder räumlich weit, d.h. mehr als einen Kilometer, entfernt ist. Beim Annähern oder während eines anderen Vorgangs können die Daten entsprechend auf das Übertragungsmedium 6 übertragen werden.
-
Die Vorrichtung 4 ist als eine Betankungs-Station ausgeführt, die das Fahrzeug 8 beispielsweise mit Wasserstoff betanken kann. Gestrichelt ist das Fahrzeug 8 direkt an der Betankungsstation 4 angedeutet und wird dort über einen Tankrüssel 18 mit Wasserstoff betankt. An dieser Position weist das Fahrzeug 8 keine Verbindung zu den Software-Bereitstellungseinheiten 12 auf und betreibt lediglich eine IT-sichere Verbindung zu der Vorrichtung 4. Hierzu kann ebenso die erste Verbindungseinheit 10 genutzt werden, allerdings sind auch andere Einrichtungen denkbar.
-
Die Daten von dem Übertragungsmedium 6 können an die Vorrichtung übertragen werden, um dort eine aktualisierte Software in einer Steuer- oder Regeleinheit 20 zu installieren. Die Vorrichtung 4 ist ferner dazu ausgebildet, einen Aktualisierungsstatus an das Übertragungsmedium 6 zu übertragen. Dieses kann nach dem Betankungsvorgang eine Übertragung des Aktualisierungsstatus an die Software-Bereitstellungseinheiten 12 vornehmen.
-
2 zeigt eine mögliche Abfolge von Verfahrensschritten, die in 3 anhand eines schematischen Blockschaltbildes illustriert werden. Zunächst wird mindestens ein Übertragungsmedium 6 an einer Software-Bereitstellungseinheit 12 bereitgestellt 22. Daten werden von der Software-Bereitstellungseinheit 12 an das mindestens eine Übertragungsmedium 6 übertragen 24 und das mindestens eine Übertragungsmedium 6 wird zu der betreffenden Vorrichtung 4 bewegt 26. Eine IT-sichere Verbindung wird aufgebaut 42. Die Daten werden anschließend zu der Vorrichtung 4 übertragen 28. Die Software der Vorrichtung 4 wird mithilfe der übertragenen Daten aktualisiert 30. Gegebenenfalls erfolgt vorher eine Entschlüsselung 29 der Daten. Ein Aktualisierungsstatus wird von der betreffenden Vorrichtung 4 an das Übertragungsmedium 6 übertragen 32 und das Übertragungsmedium 6 wird zu der Software-Bereitstellungseinheit 12 bewegt 34. Der Aktualisierungsstatus wird von dem Übertragungsmedium 6 an die Software-Bereitstellungseinheit 12 übertragen 36. Der Update-Server 14 kann die Daten an mehrere Software-Bereitstellungseinheiten 12 liefern 38. Die Software-Bereitstellungseinheiten 12 können einen Aktualisierungsstatus nach ihrem Empfang an den Update-Server 14 senden 40.
