-
Die vorliegende Erfindung betrifft ein Verfahren zur Datensicherung in einem Fahrzeug. Weiterhin betrifft die Erfindung ein Steuergerät, das ein solches Verfahren ausführt, ein Computerprogramm zur Ausführung des Verfahrens und ein Kraftfahrzeug, das eingerichtet ist, ein solches Verfahren auszuführen oder mehrere solche Steuergeräte aufweist.
-
Im Automobilbereich besteht erheblicher Bedarf, im Fahrzeug vorliegende Daten effektiv vor Verlust, Manipulationen oder einem unberechtigten Zugriff zu schützen. So weisen gegenwärtige Fahrzeuge eine Vielzahl an Steuergeräten auf, in denen verschiedene als schützenswert erachtete Daten abgelegt werden, um diese beispielsweise für die forensische Unfallrekonstruktion oder als Sicherheitsmaßnahme im Fall eines Manipulationsversuchs zur Verfügung zu stellen.
-
Für die Speicherung der Daten sind unterschiedliche Ansätze bekannt. Im einfachsten Fall werden die Daten jeweils nur lokal in einem nichtflüchtigen Speicher des jeweiligen Steuergeräts abgelegt. Dieses ist leicht zu implementieren, aber auch leicht zu manipulieren. Um Tachomanipulationen für die Anzeige von einem zu geringen Kilometerstand bei Gebrauchtwagen zu verhindern oder zumindest deutlich zu erschweren, wird der sogenannte Wegstreckenschutz eingesetzt. Hierbei werden Daten, die zur Berechnung der zurückgelegten Wegstrecke gebraucht werden, an mehrere Steuergeräte im Fahrzeug verschickt und dort in einem kryptographisch sicheren Speicherbereich redundant abgespeichert. Wenn der Kilometerstand dann beispielsweise nur in einem der Steuergeräte überschrieben wird, kann durch Vergleich der abgelegten Kilometerstände eine Manipulation erkannt werden. Dieser Wegstreckenschutz ist jedoch technisch sehr aufwändig und eignet sich daher nicht als allgemeine Herangehensweise für eine sichere verteilte Datenablage im Fahrzeug.
-
Ferner werden bei einem im Fahrzeug vorgesehenen Ereignisdatenspeicher (englisch „Event Data Recorder“, abgekürzt EDR), der in einigen Ländern mittlerweile gesetzlich vorgeschrieben ist, für eine Unfallrekonstruktion relevante, und daher schützenswerte, technische Daten von verschiedenen Steuergeräten im Fahrzeug aufwändig gesammelt und zentral in einem gegen Stromausfall gesicherten Speicher abgelegt. Ein solcher EDR wird üblicherweise als zusätzliche Funktion in einem Steuergerät realisiert und muss daher vom Fahrzeughersteller oder dessen Zulieferer während der Entwicklung in das vorgesehene Steuergerät hardware- und softwaremäßig integriert werden. Auch dieses Verfahren ist aber anfällig gegenüber technischen Defekten und Manipulationen. So ist der vorgenannte EDR häufig in das Airbag-Steuergerät integriert, so dass die Ablage der Daten nur in einem einzigen Steuergerät erfolgt und für einen Unfall relevante Daten durch Austausch des Airbag-Steuergerätes entfernt werden können.
-
Aus anderen Bereichen der Informationstechnologie ist es ferner bekannt, zum verteilten Ablegen von Daten verteilte Datenbanken und die sogenannte Blockchain-Technologie zu verwenden. Ansätze, diese Verfahren in Steuergeräte zu integrieren, sind jedoch aufwändig und haben einen hohen Bedarf an Hardware-Ressourcen. Ferner betten sich diese nicht nahtlos in die automobilspezifischen Standards und Systemarchitekturen ein und würden daher deutliche Änderungen an Steuergeräte-Basissoftware und an den darauf aufsetzenden Funktionen mit sich bringen. Auch wäre eine nachträgliche Integration in schon existierende Steuergeräte kaum möglich.
-
Aufgrund der Nachteile dieser bekannten Verfahren wird zumeist auf eine verteilte Ablage der Daten verzichtet oder eine komplexe Einzel-Lösung ähnlich des Wegstreckenschutzes entwickelt.
-
Ein Verfahren zum Speichern von Daten in einem Kraftfahrzeug wird in der
DE102014221977A1 offenbart, bei dem ein zentraler oder verteilter Datenspeicher im Fahrzeugnetzwerk für die am Fahrzeugnetzwerk angeschlossenen Steuergeräte wie ein lokaler Speicher verfügbar gemacht wird. Hierfür verbindet sich eine auf einem Steuergerät ausgeführte Anwendungssoftware über das Fahrzeugnetzwerk mit dem Datenspeicher und bindet den Datenspeicher logisch an das Steuergerät an und kann über das Fahrzeugnetzwerk auf den angebundenen Datenspeicher zugreifen.
-
Die
US20200274892A1 beschreibt ein Verfahren, bei dem in einem Fahrzeugnetzwerk von einer ersten Steuervorrichtung ein Zertifikat an mehrere zweite Steuervorrichtungen übermittelt wird, wenn diese das erste Mal aktiviert werden. Es werden dann verschlüsselte inhärente Informationen von den zweiten Steuervorrichtungen empfangen, die mit einem dem Zertifikat zugeordneten öffentlichen Schlüssel verschlüsselt wurden, und mit einem dem Zertifikat zugeordneten privaten Schlüssels entschlüsselt und abgespeichert. Daraufhin kann dann im Fall einer verdächtigen Steuervorrichtung von der ersten Steuervorrichtung eine inhärente Informationsanforderung mit dem der ersten Steuervorrichtung zugeordneten Zertifikat an diese verdächtige Steuervorrichtung übermittelt werden. Eine daraufhin von der verdächtigen Steuervorrichtung empfangene, mit dem öffentlichen Schlüssel verschlüsselte inhärente Information wird dann mit dem privaten Schlüssel entschlüsselt und mit der vorher gespeicherten inhärenten Information verglichen. Wenn hierbei eine Abweichung erkannt wird, wird die verdächtige Steuervorrichtung als eine anormale Steuervorrichtung eingestuft.
-
In der
US20050045713A1 wird ein System zum Verhindern einer Manipulation aufgezeichneter akkumulierter Fahrstreckendaten bereitgestellt, bei dem mehrere Speichereinheiten vorgesehen sind, in denen akkumulierte Fahrstreckendaten und die Fahrzeugseriennummer abgespeichert werden. Wenn eine Abweichung der in einer Manipulationsschutzsteuereinheit gespeicherten Fahrzeugseriennummerndaten mit den in weiteren Speichereinheiten gespeicherten Fahrzeugseriennummerndaten erkannt wird, werden eine Fehlermeldung ausgegeben und abweichende akkumulierte Fahrstreckendaten in einer der weiteren Speichereinheiten durch die akkumulierten Fahrstreckendaten in der Manipulationsschutzsteuereinheit überschrieben.
-
Es ist eine Aufgabe der Erfindung, ein verbessertes Verfahren zur Datensicherung in einem Fahrzeug und ein entsprechendes Steuergerät zur Verfügung zu stellen.
-
Diese Aufgabe wird durch die unabhängigen Ansprüche gelöst. Bevorzugte Ausgestaltungen der Erfindung sind Gegenstand der abhängigen Ansprüche.
-
Das erfindungsgemäße Verfahren zur Datensicherung in einem Fahrzeug umfasst die folgenden Schritte:
- - Generieren eines Datums durch eine auf einem ersten Steuergerät des Fahrzeugs implementierte Funktion;
- - Festlegen einer Absicherung des generierten Datums anhand in dem ersten Steuergerät hinterlegter Konfigurationsdaten;
- - Kryptographisches Signieren und/oder Verschlüsseln des Datums, wenn das generierte Datum geschützt werden soll;
- - Abspeichern des kryptographisch signierten und/oder verschlüsselten Datums in einem Speicher des ersten Steuergeräts; und
- - Senden des kryptographisch signierten und/oder verschlüsselten Datums oder eines davon abgeleiteten Wertes an mindestens ein zweites Steuergerät.
-
Das erfindungsgemäße Verfahren weist eine Vielzahl von Vorteilen auf. So kann eine sichere, authentische Ablage von Daten, bei denen ein Interesse für Manipulation angenommen werden muss, mit geringem Abstimmungs- und Umsetzungs-Aufwand umgesetzt werden. Die genauen Ausgestaltungen des kryptographischen Verfahrens und des Verteilungs-Verfahrens sind dabei generisch und für die aufrufende Funktion nahezu transparent. Daher ist eine hohe Variabilität der tatsächlich verwendeten Verfahren möglich, ohne dass zusätzlicher Aufwand bei der Konzeption und Entwicklung der aufsetzenden Funktionen entstehen. Diese Variabilität besteht auch noch in späten Phasen des Produktlebenszyklusses. So können durch Nachladen neuer Konfigurationsdaten, beispielsweise per Online-Update, zusätzliche zu schützende Daten definiert werden oder bereits geschützte Daten auf andere Verfahren umgestellt werden, ohne dass Änderungen an der Software der Steuergeräte notwendig werden. Damit ist eine Anpassung auch nach Inverkehrbringen eines Fahrzeugmodells zu beliebigen Zeitpunkten ohne weiteres möglich.
-
Durch die kryptographischen Operationen sind die signierten Daten authentisch: Sind die Daten zusätzlich verschlüsselt, so müssen diese Daten dann nach der Verschlüsselung weder auf dem ersten Steuergerät noch auf einem zweiten Steuergerät in einem sicheren Speicherbereich abgelegt werden. Indem der hierfür verwendete kryptographische Schlüssel vorab herstellerseitig generiert wurde, ist hierbei sichergestellt, dass dieser selbst im Fall einer Beschädigung oder eines Verlustes der betroffenen Steuergeräte noch für die Prüfung der Authentizität oder zur Entschlüsselung der Daten zur Verfügung steht.
-
Insbesondere kann das kryptographisch signierte und/oder verschlüsselte Datum oder der davon abgeleitete Wert über ein elektronisches Netzwerk des Fahrzeugs an ein zweites Steuergerät des Fahrzeugs übertragen werden.
-
Gemäß einer Ausführungsform der Erfindung umfasst das Verfahren in zweitem Steuergerät zusätzlich die folgenden Schritte:
- - Empfangen des kryptographisch signierten und/oder verschlüsselten Datums oder des davon abgeleiteten Wertes durch das zweite Steuergerät; und
- - Abspeichern des empfangenen Datums oder des davon abgeleiteten Wertes in einem Speicher des zweiten Steuergeräts.
-
Hierbei kann anhand der Konfigurationsdaten die Entscheidung getroffen werden, welche Daten geschützt werden sollen.
-
Weiterhin können die Konfigurationsdaten Handlungsanweisungen umfassen, welche Daten mittels welcher kryptographischer Verfahren geschützt werden sollen.
-
Ferner können die Konfigurationsdaten Handlungsanweisungen umfassen, an welche weiteren Steuergeräte die zu schützenden Daten geschickt werden sollen.
-
Gemäß einer weiteren bevorzugten Ausführungsform der Erfindung wird das kryptographische Signieren und/oder Verschlüsseln und die verteilte Speicherung eines Datums aktiviert, wenn ein vordefiniertes Ereignis erfasst wird.
-
Vorteilhafterweise wird hierbei das kryptographische Signieren und/oder Verschlüsseln und die verteilte Speicherung eines Datums aktiviert, wenn eine Warnmeldung über eine mögliche Fehlfunktion der Fahrzeugelektronik oder einen erkannten Angriff auf eine Komponente der Fahrzeugelektronik erfasst wird.
-
Ein erfindungsgemäßes Steuergerät zur Verwendung in einem Fahrzeug umfasst:
- - ein Funktions-Modul zum Generieren eines Datums;
- - ein Datenverteiler-Modul zum Festlegen einer Absicherung des generierten Datums anhand in dem Datenverteiler-Modul hinterlegter Konfigurationsdaten;
- - ein Kryptographie-Modul zum Signieren und/oder Verschlüsseln eines weitergeleiteten Datums;
- - ein Speicher-Modul zum Abspeichern eines kryptographisch signierten und/oder verschlüsselten Datums; und
- - ein Kommunikations-Modul zum Senden eines kryptographisch signierten und/oder verschlüsselten Datums oder eines davon abgeleiteten Wertes an mindestens ein weiteres Steuergerät.
-
Vorteilhafterweise ist das Datenverteiler-Modul eingerichtet, anhand der in dem Datenverteiler-Modul hinterlegten Konfigurationsdaten zu entscheiden, ob ein generiertes Datum geschützt werden soll.
-
Ebenso ist es vorteilhaft, wenn das Datenverteiler-Modul eingerichtet ist, anhand der in dem Datenverteiler-Modul hinterlegten Konfigurationsdaten zu entscheiden, welche generierte Daten mittels welcher kryptographischer Verfahren geschützt werden.
-
Weiterhin ist das Datenverteiler-Modul vorteilhafterweise eingerichtet, anhand der in dem Datenverteiler-Modul hinterlegten Konfigurationsdaten zu entscheiden, an welche weiteren Steuergeräte die kryptographisch geschützten Daten geschickt werden.
-
Ferner ist bei einer bevorzugten Ausführungsform der Erfindung das Kommunikationsmodul auch zum Empfangen eines kryptographisch signierten und/oder verschlüsselten Datums oder eines davon abgeleiteten Wertes von einem weiteren Steuergerät eingerichtet.
-
Ein erfindungsgemäßes Computerprogramm umfasst Instruktionen, die ein oder mehrere Steuergeräte des Fahrzeugs zur Ausführung der Schritte des erfindungsgemäßen Verfahrens veranlassen.
-
Schließlich umfasst die Erfindung auch ein Kraftfahrzeug, das eingerichtet ist, ein erfindungsgemäßes Verfahren auszuführen oder mindestens ein erfindungsgemäßes Steuergerät aufweist.
-
Weitere Merkmale der vorliegenden Erfindung werden aus der nachfolgenden Beschreibung und den Ansprüchen in Verbindung mit den Figuren ersichtlich.
- 1 zeigt schematisch ein Ausführungsbeispiel für das erfindungsgemäße Verfahren zur Datensicherung in einem Fahrzeug;
- 2 zeigt schematisch zwei Steuergeräte mit einer erfindungsgemäßen Datenablage, bei der zusätzlich zu einem regulären Speichervorgang in einem lokalen Speicher eine verteilte Datenablage erfolgt;
- 3 zeigt schematisch eine Vielzahl von Steuergeräten, wobei entsprechend einer in einem ersten Steuergerät vorliegenden Konfiguration eine verteilte Datenablage in einem Teil der weiteren Steuergeräte erfolgt; und
- 4 zeigt schematisch ein Blockschaltbild eines erfindungsgemäßen Steuergerätes.
-
Zum besseren Verständnis der Prinzipien der vorliegenden Erfindung werden nachfolgend Ausführungsformen der Erfindung anhand der Figuren detaillierter erläutert. Es versteht sich, dass sich die Erfindung nicht auf diese Ausführungsformen beschränkt und dass die beschriebenen Merkmale auch kombiniert oder modifiziert werden können, ohne den Schutzbereich der Erfindung, wie er in den Ansprüchen definiert ist, zu verlassen.
-
1 zeigt schematisch ein Ausführungsbeispiel für das erfindungsgemäße Verfahren zur Datensicherung in einem Fahrzeug, wie beispielsweise einem Personenkraftwagen. Das Verfahren ermöglicht insbesondere eine manipulationssichere Ablage von Daten zur Fahrzeugnutzung.
-
In einem Verfahrensschritt 1 wird durch eine auf einem ersten Steuergerät des Fahrzeugs implementierte Funktion ein Datum oder mehrere Daten generiert. So können beispielsweise basierend auf Signalen von Fahrzeugkomponenten, wie insbesondere Sensoren des Fahrzeugs, Daten zur Fahrzeugnutzung erzeugt werden. Unter den Daten zur Fahrzeugnutzung werden hierbei beliebige, das Fahrzeug betreffende Parameter verstanden, die zu einem bestimmten Zeitpunkt ermittelt werden. So können beispielsweise Kilometerstände, Informationen zu Nutzungszeiträumen wie die Zeitpunkte des Fahrzeugstarts und des Abstellens des Fahrzeugs oder die Dauer der jeweiligen Fahrzeugnutzung („Betriebsstunden“), GPS-Koordinaten der Abstellorte des Fahrzeugs oder Informationen zu Unfällen oder Wartungen erfasst werden. Ebenso können Daten, bei denen gemäß gesetzlicher Vorgaben eine Aufzeichnungspflicht besteht oder eine Information darüber, ob sich das Fahrzeug in einem manuellen, halbautonomen oder autonomen Fahrmodus befindet bzw. wann von einem dieser Fahrmodi in einen anderen Fahrmodus gewechselt wird, generiert werden.
-
Die Erfassung der Daten kann beispielsweise zu bestimmten Zeitpunkten bzw. Ereignissen wie beim Start oder der Beendigung einer Fahrzeugfahrt, bei einem Unfall oder einer Fahrzeugwartung erfolgen oder aber auch in regelmäßigen Zeitabständen, ohne dass hierfür ein bestimmtes Ereignis vorliegen muss. Ebenso kann dieses aber auch beispielsweise bei Veränderung des erfassten Parameters um einen vorgegebenen Betrag oder zum Zeitpunkt der Betätigung einer Fahrzeugkomponente erfolgen.
-
Für das generierte Datum wird dann in einem Verfahrensschritt 2 anhand in dem ersten Steuergerät hinterlegter Konfigurationsdaten festgelegt, ob und wenn ja, wie eine Absicherung und Verteilung des Datums erfolgen soll. Die Konfigurationsdaten können hierbei zu einem beliebigen Zeitpunkt in das Steuergerät eingespielt worden sein. So können Konfigurationsdaten bereits bei der Produktion des Fahrzeugs generiert und in das Steuergerät eingeschrieben werden. Diese ursprünglichen Konfigurationsdaten können dann aber zu späteren Zeitpunkten in dem Steuergerät verändert werden, beispielsweise um eine Anpassung auf veränderte Rahmenbedingungen, wie gesetzliche Vorgaben oder einer geänderten Bewertung von Risiken, denen das Fahrzeug und die Daten ausgesetzt sind, vorzunehmen.
-
Die Konfigurationsdaten können in Form einer Liste strukturiert sein, deren Einträge Handlungsanweisungen für die Absicherung von zu speichernden Daten enthalten. Eine Handlungsanweisung kann hierbei insbesondere die folgenden Bestandteile enthalten:
- 1. Das Datum bzw. die Daten oder auch die Art oder Kategorie der Daten, auf welche die in der jeweiligen Handlungsanweisung definierte Handlung anzuwenden ist. Dies kann beispielsweise der logische Bezeichner eines bestimmten Speicherbereichs sein.
- 2. Die Art der Absicherung, d.h. das bei der Datensicherung anzuwendende kryptographisches Verfahren und der dabei zu verwendende kryptographische Schlüssel.
- 3. Das Verteilungs-Schema:
- Dies enthält sowohl die Anzahl >=0 der verteilten Steuergeräte oder Rechnerpartitionen, auf denen eine zusätzliche verteilte Ablage erfolgen soll, als auch Eigenschaften bzw. Parameter zur Art der Verteilung. So kann definiert werden, dass die Verteilung zufällig oder nach Verfügbarkeit des Speichers oder entsprechend der Verbindungsschnelligkeit, die beispielsweise aus der Reihenfolge, in der die Verbindung beim letzten Start aufgebaut wurde, abgeleitet werden kann, erfolgt. Ebenso kann aber die Verteilung auch zustandsabhängig, in Abhängigkeit von dem letzten Speicherort, immer an dem gleichen Speicherort oder wechselnd festgelegt werden. Auch kann vorgesehen werden, dass Daten nur dann verteilt authentisiert gespeichert werden, wenn ein besonderes Ereignis eingetreten ist.
-
Ob eine sichere verteilte Datenablage nicht statisch per Konfiguration, sondern stattdessen oder zusätzlich in Abhängigkeit von einem vordefinierten Ereignis erfolgen soll, wird dann in einem optionalen Verfahrensschritt 3 entschieden. So kann diese im Bedarfsfall durch eine Warnmeldung, beispielsweise einer sogenannten „Watchdog“-Funktion zur zyklischen Überwachung und Ausfallerkennung oder eines sogenannten Intrusion Detection Systems zur Erkennung von externen Angriffen aktiviert werden. Ebenso könnte auch eine Auslösung über eine Analyse eines sogenannten Security Operation Centers erfolgen.
-
Wenn dieses der Fall ist, erfolgt in einem weiteren optionalen Verfahrensschritt 4 eine Erfassung von Ereignissen, wobei bei Erfassung des vordefinierten Ereignisses das Verfahren dann in Verfahrensschritt 5 fortgesetzt wird. Ebenso kann das Verfahren aber auch ohne die optionalen Verfahrensschritt 3 und 4 ablaufen, so dass in diesem Fall das Verfahren nach Festlegung der Absicherung und Verteilung anhand der Konfigurationsdaten in Verfahrensschritt 2 unmittelbar in Verfahrensschritt 5 fortgesetzt wird.
-
In Verfahrensschritt 5 wird ein zu schützendes Datum dann kryptographisch signiert und/oder verschlüsselt. Hierfür kann auf dem Fachmann bekannte kryptographische Verfahren zurückgegriffen werden. Der für die kryptographischen Operationen notwendige Schlüssel wurde hierbei vorab, beispielsweise herstellerseitig bei der Produktion, in das Steuergerät über einen gesicherten Transportkanal eingespielt, wobei der Schlüssel in einem sicheren Speicherbereich abgelegt wurde. Durch die basierend auf dem Schlüssel durchgeführten kryptographischen Operationen sind die damit signierten Daten authentisch: Zusätzlich können die Daten auch verschlüsselt werden, beispielsweise im Falle von datenschutzrelevanten Daten.
-
Im Anschluss an die kryptographischen Operationen wird das kryptographisch signierte und/oder verschlüsselte Datum dann in einem Verfahrensschritt 6 in einem Speicher des ersten Steuergeräts abgelegt.
-
Zusätzlich wird das kryptographisch signierte und/oder verschlüsselte Datum oder ein davon abgeleiteter Wert in einem Verfahrensschritt 7 über ein elektronisches Netzwerk des Fahrzeugs an ein oder mehrere Steuergeräte gesendet, und durch diese in Verfahrensschritt 8 empfangen und schließlich in einem Verfahrensschritt 9 in diesen Steuergeräten abgespeichert.
-
Hierbei kann sich die aufsetzende Funktion die korrekte Ablage bzw. Authentizität der lokalen sicherheitskritischen Daten bestätigen lassen. So können beispielsweise nach einem Neustart manipulationsgefährdete Konfigurationsparameter überprüft werden.
-
Ferner ist es auch möglich, anstatt des Datums bzw. der Daten nur einen bzw. mehrere davon abgeleitete Werte, wie beispielsweise die erzeugten Signatur-Hashwerte, in den weiteren Steuergeräten verteilt abzulegen. Damit kann weiterhin nachgewiesen werden, dass die Daten zumindest abgelegt wurden und nicht manipuliert wurden, auch wenn die Daten selbst nicht wiederhergestellt werden können. Ebenso kann auch zu vorhandenen Daten deren Authentizität validiert werden.
-
2 zeigt schematisch anhand zweier Steuergeräte SG_a und SG_b die verteilte und authentische Datenablage gemäß der Erfindung. Die beiden Steuergeräte weisen hierbei jeweils ein internes Datenverteilermodul DVM_a bzw. DVM_b sowie ein lokales Speichermodul S_a bzw. S_b auf.
-
Ein Datenverteiler-Modul ist in jedem der an der verteilten Datenablage beteiligten Steuergeräte vorhanden. Hierbei ist das Datenverteiler-Modul jeweils so in die Basissoftware der beteiligten Steuergeräte integriert, dass die Zugriffe auf den internen Datenspeicher des jeweiligen Steuergeräts, d.h. das Lesen und Schreiben von Daten, durch dieses Modul geleitet werden.
-
Das Datenverteiler-Modul erhält eine Anbindung an ein oder mehrere Kryptographie-Module des jeweiligen Steuergeräts, um Daten absichern und die Absicherung überprüfen zu können. Des Weiteren erhält das Datenverteiler-Modul die Möglichkeit, mittels eines Kommunikations-Moduls Daten über das fahrzeuginterne Netzwerk zu senden und zu empfangen. Aus Gründen der Übersichtlichkeit sind die Kryptographie- und Kommunikations-Module in 2 nicht dargestellt.
-
Alle auf Steuergerät SG_a zu speichernden Daten werden durch das Datenverteilermodul DVM_a geleitet. Die Entscheidung, welche dieser Daten mittels welcher kryptographischer Verfahren geschützt werden und an welche weiteren Steuergeräte sie geschickt werden, wird vom Datenverteilermodul anhand einer Konfiguration K getroffen, die Handlungsanweisungen bzw. -regelungen für das Datenverteilermodul enthält. Auf diese Weise kann der Absicherungs-Bedarf „von außen“ bestimmt werden, ohne die Software des Steuergeräts verändern zu müssen, sodass hierfür kein zusätzlicher Programmier- oder Software-Integrations-Aufwand nötig ist. Ferner kann die Konfiguration nachträglich leicht geändert werden, beispielsweise im Rahmen eines über die Mobilfunkverbindung des Fahrzeugs ausgeführten Remote-Updates.
-
Wenn nun eine interne Funktion F auf dem ersten Steuergerät SG_a ein als schützenswert identifiziertes Datum in den internen Speicher S_a des Steuergeräts SG_a schreibt, wird dieses Datum vom auf dem Steuergerät SG_a verorteten Datenverteiler-Modul DVM_a entsprechend der Konfiguration K kryptographisch signiert bzw. verschlüsselt und über das Fahrzeug-Netzwerk an ein auf dem zweiten Steuergerät SG_b verortetes Datenverteiler-Modul DVM_b gesendet. Das Datenverteiler-Modul DVM_b legt dann das Datum im lokalen Speicher S_b des zweiten Steuergeräts SG_b ab.
-
Das im lokalen Speicher S_b des zweiten Steuergeräts SG_b zusätzlich abgelegte Datum kann dann nach Bedarf wieder ausgelesen werden. So kann das Auslesen durch die ursprüngliche Funktion F auf dem ersten Steuergerät SG_a oder durch eine zyklisch ausgeführte Konsistenz-Prüfung seitens des auf dem Steuergerät SG_a verorteten Datenverteiler-Moduls DVM_a ausgelöst, werden. Ebenso kann das Datum aber auch für forensische Zwecke wieder ausgelesen werden.
-
Durch die kryptographische Absicherung mittels eines kryptographischen Schlüssels, der nur in Steuergerät SG_a und in den Schlüssel-Verwaltungs-Systemen des Herstellers abgelegt ist, kann hierbei zweifelsfrei belegt werden, dass das Datum von Steuergerät SG_a stammt und nicht manipuliert wurde.
-
Es kann auch vorgesehen werden, dass die aufsetzende Funktion die geschützte und verteilte Ablage durch Aufruf an das Datenverteiler-Modul gezielt anfordert. Die Funktion kann dabei die gewünschte Art der Absicherung und Ablage zusammen mit den Daten übergeben. Aber auch in diesem Fall bleiben jedoch die Details der jeweiligen Verfahren und die Umsetzung weiterhin von der Funktion abstrahiert.
-
Die erfindungsgemäße verteilte, authentische Verbunddatenablage wird anhand 3 weiter verdeutlicht. Wie bereits in 2 wird auch in dem hier dargestellten Beispiel durch eine interne Funktion F auf dem ersten Steuergerät SG_a ein Datum zunächst unverschlüsselt an das interne Datenverteiler-Modul DVM_a übertragen.
-
Das Datenverteiler-Modul DVM_a übertragt das signierte bzw. verschlüsselte Datum dann einerseits an den internen lokalen Speicher S_a. Zusätzlich zu diesem regulären Speichervorgang in dem lokalen Speicher erfolgt entsprechend den im Datenverteiler-Modul DVM_a vorliegenden Konfigurationsdaten eine verteilte Datenablage in einem Teil der weiteren, mit dem ersten Steuergerät SG_a über das Fahrzeugnetzwerk verbundenen Steuergeräte SG_b. Im dargestellten Beispiel wird das signierte bzw. verschlüsselte Datum exemplarisch entsprechend der Konfigurationsdaten an drei der sechs weiteren Steuergeräte SG_b übertragen und dort abgelegt.
-
Durch die so erfolgte Verbunddatenablage kann das Risiko einer Manipulation einzelner Steuergeräte minimiert werden. So müssten beispielsweise bei einer Manipulationsabsicht alle an der Verbunddatenablage beteiligten Steuergeräte ausgetauscht werden. Dieses wäre dann sehr aufwendig und in aller Regel nicht wirtschaftlich, insbesondere wenn der Verbund Steuergeräte umfasst, die nur schwer bzw. aufwendig auszutauschen sind.
-
Insgesamt fügt sich die erfindungsgemäße Verbunddatenablage nahtlos in eine Automotivetypische Software-Architektur ein und bedingt, wenn überhaupt, nur sehr geringe Änderungen an anderen Software-Modulen.
-
Das erfindungsgemäße Verfahren wird vorzugsweise als Computerprogramm auf einem Steuergerät ausgeführt. Dazu wird das Computerprogramm bei der Herstellung des Steuergeräts in einen Speicher des jeweiligen Steuergeräts übertragen und abgespeichert. Das Computerprogramm umfasst Instruktionen, die das Steuergerät bei Ausführung durch einen Prozessor des Steuergeräts veranlassen, die Schritte gemäß dem erfindungsgemäßen Verfahren auszuführen. Der Prozessor kann eine oder mehrere Prozessoreinheiten umfassen, beispielsweise Mikroprozessoren, digitale Signalprozessoren oder Kombinationen daraus.
-
Der Speicher kann sowohl volatile als auch nichtvolatile Speicherbereiche aufweisen und beispielsweise als Halbleiterspeicher ausgestaltet sein. Ferner kann der Speicher aus einem Speicherbaustein, ggfs. mit mehreren voneinander getrennten Partitionen für Daten unterschiedlicher Kategorien, oder mehreren voneinander getrennten Speicherbausteinen für Daten unterschiedlicher Kategorien bestehen. Die Speicherbausteine können beispielsweise als Random-Access Memory (RAM), Dynamic Random Access Memory (DRAM), EPROM oder Flash-Speicher ausgestaltet sein, wobei ggfs. durch eine ständige Stromversorgung sichergestellt wird, dass der Datenbestand nicht verloren wird.
-
4 zeigt schematisch ein Blockschaltbild eines erfindungsgemäßen Steuergerätes. Das Steuergerät kann hierbei zur Steuerung beliebiger Funktionalitäten eines Fahrzeugs vorgesehen sein und hierfür unterschiedlichste Funktionen und Softwareanwendungen aufweisen. Beispielsweise kann es sich um ein Airbag-Steuergerät, welches Daten im Fall eines Unfalls des Fahrzeugs, wie beispielsweise das Auslösen eines Airbags oder die sogenannte Crashschwere, oder ein Motor-Steuergerät, welches Daten bezüglich der Betriebsstunden des Fahrzeugs bereitstellt, handeln.
-
Das Steuergerät SG weist verschiedene Module für die Ausführung des erfindungsgemäßen Verfahrens auf, die als Software oder Hardware implementiert sein können. Ein Funktions-Modul FM generiert hierbei Daten, beispielsweise basierend auf Signalen von einem oder mehreren Sensoren des Fahrzeugs. Weiterhin ist ein Datenverteiler-Modul DVM vorgesehen, das, wie oben beschrieben, die verteilte Ablage und Absicherung und Daten anhand dort hinterlegter Konfigurationsdaten regelt. In einem Kryptographie-Modul KRM werden die Daten signiert und/oder verschlüsselt, bevor diese in einem Speichermodul SM die Daten lokal gespeichert und mittels eines Kommunikations-Moduls KOM über ein elektronisches Netzwerk des Fahrzeugs an ein oder mehrere, hier nicht dargestellte Steuergeräte gesendet werden. Das Netzwerk ist insbesondere als Bussystem B ausgebildet, beispielsweise als ein CAN-, MOST-, FlexRay- oder Automotive Ethernet -Bus.
-
Bezugszeichenliste
-
- 1 - 9
- Verfahrensschritte
- SG_a, SG_b, SG
- Steuergerät
- DVM_a, DVM_b, DVM
- Datenverteiler-Modul
- S_a, S_b
- Speicher
- F
- Funktion
- K
- Konfigurationsdaten
- FM
- Funktions-Modul
- KRM
- Kryptographie-Modul
- SM
- Speicher-Modul
- KOM
- Kommunikations-Modul
- B
- elektronisches Netzwerk
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102014221977 A1 [0007]
- US 20200274892 A1 [0008]
- US 20050045713 A1 [0009]
