DE102021209689A1

DE102021209689A1 - Verfahren zum Überwachen einer Komponente einer Wirkkette

Info

Publication number: DE102021209689A1
Application number: DE102021209689.1A
Authority: DE
Inventors: Hans-Leo Ross; Lucas Heil
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2021-09-03
Filing date: 2021-09-03
Publication date: 2023-03-09
Also published as: US20230072587A1; CN115758369A

Abstract

Die Erfindung betrifft ein System zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs, umfassend:
eine Computerplattform, umfassend:
einen Prozessor,
einen oder mehrere Speicherblöcke,
einen Eingang, welcher eingerichtet ist, von durch die Komponente ausgegebene Ausgangsdaten zu empfangen,
computerausführbare Anweisungen, die durch den Prozessor ausführbar sind,
um eine oder mehrere Enklaven unter Verwendung des einen oder der mehreren Speicherblöcken zu implementieren,
wobei die eine oder mehreren Enklaven eine Zertifikats-Enklave umfassen,
welche eingerichtet ist, ein Zertifikat für die Komponente der Wirkkette zu erzeugen,
einen Ausgang, welcher eingerichtet ist, das Zertifikat an die Komponente auszugeben,
wobei die Zertifikats-Enklave eingerichtet ist, die nach dem Ausgeben des Zertifikats empfangenen Ausgangsdaten basierend auf dem Zertifikat zu prüfen,
um ein Prüfergebnis auszugeben, und
eine Triggereinrichtung, welche eingerichtet ist, eine Sicherheitsaktion basierend auf dem Prüfergebnis zu triggern.
Die Erfindung ein Verfahren, ein Computerprogramm und ein maschinenlesbares Speichermedium.

Description

Die Erfindung betrifft ein System zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs, ein Verfahren zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs, ein Computerprogramm und ein maschinenlesbares Speichermedium.
Stand der Technik
Die Veröffentlichung DE 11 2017 001 853 T5 der internationalen Anmeldung mit der Veröffentlichungsnummer WO 2017/210145 offenbart ein Verfahren zum Bereitstellen von Bestätigungsschlüsseln in sicheren Enklaven.
Offenbarung der Erfindung
Die der Erfindung zugrundeliegende Aufgabe ist darin zu sehen, ein Konzept zum effizienten Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs bereitzustellen.
Diese Aufgabe wird mittels des jeweiligen Gegenstands der unabhängigen Ansprüche gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand von jeweils abhängigen Unteransprüchen.
Nach einem ersten Aspekt wird ein System zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs bereitgestellt, umfassend:

eine Computerplattform, umfassend:
- einen Prozessor,
- einen oder mehrere Speicherblöcke,
- einen Eingang, welcher eingerichtet ist, von durch die Komponente ausgegebene Ausgangsdaten zu empfangen,
- computerausführbare Anweisungen, die durch den Prozessor ausführbar sind, um eine oder mehrere Enklaven unter Verwendung des einen oder der mehreren Speicherblöcken zu implementieren,
- wobei die eine oder mehreren Enklaven eine Zertifikats-Enklave umfassen, welche eingerichtet ist, ein Zertifikat für die Komponente der Wirkkette zu erzeugen,
- einen Ausgang, welcher eingerichtet ist, das Zertifikat an die Komponente auszugeben,
- wobei die Zertifikats-Enklave eingerichtet ist, die nach dem Ausgeben des Zertifikats empfangenen Ausgangsdaten basierend auf dem Zertifikat zu prüfen, um ein Prüfergebnis auszugeben, und
- eine Triggereinrichtung, welche eingerichtet ist, eine Sicherheitsaktion basierend auf dem Prüfergebnis zu triggern.

Nach einem zweiten Aspekt wird ein Verfahren zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs unter Verwendung des Systems nach dem ersten Aspekt bereitgestellt, umfassend die folgenden Schritte:

Erzeugen eines Zertifikats für die Komponente der Wirkkette mittels der Zertifikats-Enklave,
Ausgeben des Zertifikats an die Komponente mittels des Ausgangs,
Empfangen von durch die Komponente ausgegebene Ausgangsdaten mittels des Eingangs,
Prüfen der nach dem Ausgeben des Zertifikats empfangenen Ausgangsdaten basierend auf dem Zertifikat mittels der Zertifikats-Enklave, um ein Prüfergebnis auszugeben,
Triggern einer Sicherheitsaktion mittels der Triggereinrichtung basierend auf dem Prüfergebnis.

Nach einem dritten Aspekt wird ein Computerprogramm bereitgestellt, welches Befehle umfasst, die bei Ausführung des Computerprogramms durch das System nach dem ersten Aspekt dieses veranlassen, ein Verfahren gemäß dem zweiten Aspekt auszuführen.
Nach einem vierten Aspekt wird ein maschinenlesbares Speichermedium bereitgestellt, auf dem das Computerprogramm nach dem dritten Aspekt gespeichert ist.
Die Erfindung basiert auf der Erkenntnis und schließt diese mit ein, dass die obige Aufgabe dadurch gelöst werden kann, dass eine oder mehrere Enklaven implementiert werden, welche jeweils verschiedene Funktionen für ein Überwachen der Komponente der Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs übernehmen. Eine der Enklaven weist eine Zertifikatserzeugungs-Funktion auf. D.h. also, dass diese Enklave eingerichtet ist, ein Zertifikat für die Komponente der Wirkkette zu erzeugen.
Schritte, welche innerhalb einer Enklave, also mittels einer Enklave, durchgeführt werden, sind besonders vertrauenswürdig. Dies bedeutet, dass den entsprechenden Ergebnissen getraut werden kann. Die entsprechenden Ergebnisse weisen also einen hohen Grad an Vertrauenswürdigkeit auf. Dies ist insbesondere darin begründet, dass eine Enklave ein Bereich innerhalb eines Adressraums (Speicherblock oder Speicherblöcke) eines Prozesses ist, wobei der Bereich speziell durch eine CPU, also durch den Prozessor geschützt wird, wobei für den Bereich alle direkten Zugriffe, auch von privilegierten Prozessen, durch die CPU kontrolliert und/oder verhindert werden. Dieser spezielle Schutz des Bereichs umfasst z. B. eine transparente Speicherverschlüsselung, insbesondere mit Integritätsschutz. Neben den klassischen Aufgaben der Enklave kann diese gemäß dem hier beschriebenen Konzept insbesondere auch die Korrektheit einer Funktion, eines Prozesses und/oder einer sequenziellen Abfolge und/oder zeitlichen Abfolge in nachprüfbar sicherstellen. Kann dies zum Beispiel durch die Enklave nicht mehr festgestellt werden, dann triggert die Enklave zum Beispiel nicht mehr den Watchdog, was ein Triggern der Sicherheitsaktion durch den Watchdog zur Folge hat.
Dies bedeutet, das Zertifikat, welches durch die Zertifikats-Enklave erzeugt wird, in der Regel nicht durch schädliche Software manipuliert werden kann. Dadurch kann z. B. basierend auf dem Zertifikat eine Funktion, welche die Komponente ausführen und/oder bereitstellen soll, effizient kryptographisch abgesichert werden kann. So kann z. B. in den Ausgangsdaten festgestellt werden, ob diese manipuliert wurden, so dass, wenn dies der Fall ist, z. B. eine Sicherheitsaktion getriggert werden kann.
Somit sind also z. B. Manipulationen an der Komponente und/oder an den Ausgansdaten effizient detektierbar, so dass letztlich die Komponente der Wirkkette für die zumindest teilautomatisierte Fahrfunktion effizient überwacht werden kann.
Zum Beispiel ist das Zertifikat ein Fragment eines Schlüssels, welcher durch eine applikationsspezifische Information durch die Komponente aus zum Beispiel mindestens zwei Quellen ergänzt wird, um den Schlüssel, auch Summenschlüssel genannt, zu ergänzen. Diesen Summenschlüssel prüft die Zertifikats-Enklave.
In einer Ausführungsform ist die Wirkkette in einer Infrastruktur implementiert. Dadurch wird z. B. der technische Vorteil bewirkt, dass die Wirkkette effizient implementiert werden kann.
In einer Ausführungsform ist vorgesehen, dass die Wirkkette im Kraftfahrzeug implementiert ist. Dadurch wird z. B. der technische Vorteil bewirkt, dass die Wirkkette effizient implementiert werden kann.
In einer Ausführungsform ist die Wirkkette teilweise in einer Infrastruktur implementiert und ist teilweise im Kraftfahrzeug implementiert. Dadurch wird z. B. der technische Vorteil bewirkt, dass die Wirkkette effizient implementiert werden kann.
In einer Ausführungsform ist eine Komponente im Sinne der Beschreibung eine kraftfahrzeugeigene Komponente oder ist eine infrastruktureigene Komponente. Das heißt also, dass eine Komponente Teil des Kraftfahrzeugs sein kann oder Teil der Infrastruktur. D. h. also insbesondere, dass die Komponente von dem Kraftfahrzeug umfasst sein kann oder von der Infrastruktur.
Da eine Enklave im Sinne der Beschreibung insbesondere sichere Aktionen durchführen kann, kann die Enklave auch als eine sichere Enklave bezeichnet werden. Z. B. wird eine Enklave basierend auf der Programmierungsreferenz Intel® Software-Guard Extension (SGX) oder ARM® Trust Zone implementiert.
Gemäß einer Ausführungsform ist vorgesehen, dass die eine oder die mehreren Enklaven eine Recheneinheits-Enklave umfassen, welche eingerichtet ist, eine Recheneinheit zu implementieren.
Dadurch wird z. B. der technische Vorteil bewirkt, dass die implementierte Recheneinheit eine funktional sichere Recheneinheit ist.
In einer Ausführungsform ist vorgesehen, dass die Recheneinheit eingerichtet ist, eine Lockstep-Funktion bereitzustellen.
Dadurch wird z. B. der technische Vorteil bewirkt, dass eine Lockstep-Funktion effizient bereitgestellt werden kann.
Der Begriff „Lockstep“ beschreibt im Sinne der Beschreibung ein Verfahren zur Fehlertoleranz und/oder Fehlererkennung in der Hardware der Computerplattform. Der Begriff „Lockstep“ ist dem Fachmann auf dem Gebiet der Computertechnik als solcher bekannt, so dass von weiteren Erläuterungen diesbezüglich abgesehen wird.
In einer Ausführungsform ist vorgesehen, dass die eine oder die mehreren Enklaven eine Zeittrigger-Enklave umfassen, welche eingerichtet ist, eine Zeittrigger-Funktion bereitzustellen.
Dadurch wird z. B. der technische Vorteil bewirkt, dass eine Zeittrigger-Funktion effizient bereitgestellt werden kann. Eine solche Zeittrigger-Funktion stellt also einen sicheren Zeittrigger bereit.
In einer Ausführungsform ist vorgesehen, dass die eine oder die mehreren Enklaven eine Watchdog-Enklave umfassen, welche eingerichtet ist, eine Watchdog-Funktion bereitzustellen.
Dadurch wird z. B. der technische Vorteil bewirkt, dass eine Watchdog-Funktion effizient bereitgestellt werden kann.
Ein Watchdog im Sinne der Beschreibung bezeichnet eine Funktion zur Ausfallerkennung und/oder zur Erkennung und/oder zur Detektion einer Fehlfunktion.
In einer Ausführungsform ist vorgesehen, dass die eine oder die mehreren Enklaven eine Authentfikationsverwaltungs-Enklave umfassen, welche eingerichtet ist, eine Authentfikationsverwaltungs-Funktion bereitzustellen.
Dadurch wird z. B. der technische Vorteil bewirkt, dass eine Authentfikationsverwaltungs-Funktion effizient bereitgestellt werden kann.
In einer Ausführungsform ist vorgesehen, dass die Authentfikationsverwaltungs-Enklave eingerichtet ist, eine Schlüsselverwaltungsfunktion bereitzustellen.
Dadurch wird z. B. der technische Vorteil bewirkt, dass eine Schlüsselverwaltungsfunktion effizient bereitgestellt werden kann.
In einer Ausführungsform ist vorgesehen, dass die Schlüsselverwaltungsfunktion eingerichtet ist, eine PUF zur Schlüsselverwaltung zu verwenden.
Dadurch wird z. B. der technische Vorteil bewirkt, dass die Schlüssel effizient verwaltet werden können.
Die Abkürzung „PUF“ steht für „Physical Unclonable Function“ oder „Physically Unclonable Function“, welche Strukturen in der Hardware der Computerplattform bezeichnen, die dazu verwendet werden, eine eindeutige Identifikation des Halbleiters zu ermöglichen und/oder Schlüssel für kryptografische Verfahren zu sichern. Verwenden der PUF umfasst z. B. ein Herstellen eines kryptografischen Schlüssels, beispielsweise eines AES-Schlüssels, und/oder eine oder mehrere Authentifizierungen im Challenge-Response-Verfahren und/oder Erzeugen eines oder mehrere Authentifizierungszertifikate für die Komponente und/oder für die eine oder die mehreren Enklaven.
In einer Ausführungsform ist vorgesehen, dass die eine oder die mehreren Enklaven eine Testgenerator-Enklave umfassen, welche eingerichtet ist, eine Testgeneratorfunktion zum Testen der Komponente, insbesondere zum Testen der Komponente zur Laufzeit, bereitzustellen.
Dadurch wird z. B. der technische Vorteil bewirkt, dass die Komponente effizient getestet werden kann, insbesondere effizient zur Laufzeit getestet werden kann.
In einer Ausführungsform ist vorgesehen, dass die eine oder die mehreren Enklaven eine Speicher-Enklave umfassen, welche eingerichtet ist, eine Speicherfunktion zum Speichern von kryptographischen Daten bereitzustellen.
Dadurch wird z. B. der technische Vorteil bewirkt, dass kryptografische Daten effizient gespeichert werden können.
In einer Ausführungsform ist vorgesehen, dass die Computerplattform als ein ASIC gebildet ist.
Dadurch wird z. B. der technische Vorteil bewirkt, dass die Computerplattform effizient implementiert werden kann. Die Abkürzung „ASIC“ steht für „Application-Specific-Integrated-Circuit“ und kann ins Deutsche mit „anwendungsspezifische integrierte Schaltung“ übersetzt werden.
Gemäß einer Ausführungsform ist vorgesehen, dass der Eingang eingerichtet ist, Konfigurationsdaten zum Konfigurieren der Computerplattform zu empfangen, wobei der Prozessor eingerichtet ist, die Computerplattform basierend auf den Konfigurationsdaten zu konfigurieren, insbesondere zur Laufzeit zu konfigurieren.
Dadurch wird z. B. der technische Vorteil bewirkt, dass die Computerplattform effizient konfiguriert, insbesondere effizient zur Laufzeit konfiguriert werden kann.
In einer Ausführungsform ist vorgesehen, dass der Prozessor eingerichtet ist, die Computerplattform nur dann basierend auf den Konfigurationsdaten zu konfigurieren, wenn diese mit einer gültigen Signatur signiert sind.
Dadurch wird z. B. der technische Vorteil bewirkt, dass ein Missbrauch dieser Konfigurationsmöglichkeit effizient verhindert werden kann, insbesondere effizient zur Laufzeit verhindert werden kann. Das bedeutet, dass der Prozessor nur Konfigurationsdaten akzeptiert, welche mit einer gültigen Signatur signiert sind. Das bedeutet, dass der Prozessor eingerichtet ist, eine Signatur der Konfigurationsdaten auf ihre Gültigkeit zu prüfen. Z. B. ist ein öffentlicher Schlüssel, welcher zu dem gültigen privaten Schlüssel passt, mittels welchem die Konfigurationsdaten signiert wurden, in einem oder mehreren Speicherblöcken gespeichert.
D.h. also, dass der öffentliche Schlüssel in der Computerplattform gespeichert sein kann.
In einer Ausführungsform ist vorgesehen, dass das Prüfen umfasst, ob die Ausgangsdaten das erste Zertifikat und/oder ein Komponenten-Zertifikat umfassen, welches unter Verwendung des ersten Zertifikats erzeugt wurde, sodass das erste Prüfergebnis angibt, was für ein Zertifikat die Ausgangsdaten enthalten.
Dadurch wird z. B. der technische Vorteil bewirkt, dass die Ausgangsdaten effizient geprüft werden können.
Gemäß einer Ausführungsform ist vorgesehen, dass das Prüfen umfasst, ob die Ausgangsdaten innerhalb eines vorbestimmten Zeitintervalls nach Ausgeben des Zertifikats empfangen wurden, sodass das Prüfergebnis angibt, ob die Ausgangsdaten innerhalb eines vorbestimmten Zeitintervalls nach Ausgeben des Zertifikats empfangen wurden.
Dadurch wird z. B. der technische Vorteil bewirkt, dass das Prüfen effizient durchgeführt werden kann.
Z. B. ist vorgesehen, dass, wenn das Prüfergebnis angibt, dass die Ausgangsdaten das Zertifikat und/oder ein Komponenten-Zertifikat umfassen, welches unter Verwendung des Zertifikats erzeugt wurde, die Sicherheitsaktion nicht getriggert wird, also keine Sicherheitsaktion getriggert wird. Anderenfalls ist z. B. vorgesehen, dass die Sicherheitsaktion getriggert wird.
Z. B. ist vorgesehen, dass keine Sicherheitsaktion getriggert wird, wenn das Prüfergebnis angibt, dass die Ausgangsdaten innerhalb des vorbestimmten Zeitintervalls nach Ausgeben des Zertifikats empfangen wurden. Anderenfalls ist z. B. vorgesehen, dass eine Sicherheitsaktion getriggert wird.
Gemäß einer Ausführungsform ist vorgesehen, dass die Sicherheitsaktion ein Element ausgewählt aus der folgenden Gruppe von Sicherheitsaktionen ist: Verwerfen der Ausgangsdaten, Verwerfen eines Ausgangsdatenflusses der Komponente, Verwerfen eines die Ausgangsdaten umfassenden Datenpakets, Verwerfen der Komponente als Quelle von Informationen.
Dadurch wird z. B. der technische Vorteil bewirkt, dass besonders geeignete Sicherheitsaktionen vorgesehen sein können.
Wenn für die Sicherheitsaktion der Singular verwendet ist, soll stets der Plural und umgekehrt mitgelesen werden. Das bedeutet insbesondere, dass z. B. mehrere Sicherheitsaktionen getriggert werden können.
Gemäß einer Ausführungsform ist vorgesehen, dass die Komponente ein Element ausgewählt aus der folgenden Gruppe von Komponenten ist: Sensor, RSU, ICU, VCU, Aktor, Umfeldsensor, Hauptsteuergerät, Aktorsteuergerät, Prozessor, Kommunikationsschnittstelle, Aktorsensor, Speichermedium, Übertragungsmedium, Datenverarbeiter.
Dadurch wird z. B. der technische Vorteil bewirkt, dass besonders wichtige Komponenten der Wirkkette überwacht werden können.
Die Abkürzung „ICU“ steht für die englischen Begriffe „Instruction Cache Unit“. „Instruction Cache Unit“ kann ins Deutsche mit „Befehlscache-Einheit“ übersetzt werden. Ein Befehlscache ist z. B. ein spezieller Cache-Speicher zum Zwischenspeichern von Befehlen.
Die Abkürzung „VCU“ steht für die englischen Begriffe „Vehicle Control Unit“. „Vehicle Control Unit“ kann ins Deutsche mit „Kraftfahrzeug-Steuergerät“ übersetzt werden.
Die Abkürzung „RSU“ steht für „Road Side Unit“. Der Begriff „Road Side Unit“ kann ins Deutsche mit „straßenseitige Einheit“ oder mit „straßenseitige Infrastruktureinheit“ übersetzt werden. Anstelle des „RSU“ können auch folgende Begriffe synonym verwendet werden: straßenseitige Einheit, straßenseitige Infrastruktureinheit, Kommunikationsmodul, straßenseitiges Kommunikationsmodul, straßenseitige Funkeinheit, straßenseitige Sendestation.
Nach einer Ausführungsform ist vorgesehen, dass das Verfahren nach dem ersten Aspekt ein computerimplementiertes Verfahren ist.
Eine zumindest teilautomatisierte Fahrfunktion kann das Kraftfahrzeug zumindest teilautomatisiert führen.
Die Formulierung „zumindest teilautomatisiertes Führen“ umfasst einen oder mehrere der folgenden Fälle: assistiertes Führen, teilautomatisiertes Führen, hochautomatisiertes Führen, vollautomatisiertes Führen. Die Formulierung „zumindest teilautomatisiert“ umfasst also einen oder mehrere der folgenden Formulierungen: assistiert, teilautomatisiert, hochautomatisiert, vollautomatisiert.
Assistiertes Führen bedeutet, dass ein Fahrer des Kraftfahrzeugs dauerhaft entweder die Quer- oder die Längsführung des Kraftfahrzeugs ausführt. Die jeweils andere Fahraufgabe (also ein Steuern der Längs- oder der Querführung des Kraftfahrzeugs) wird automatisch durchgeführt. Das heißt also, dass bei einem assistierten Führen des Kraftfahrzeugs entweder die Quer- oder die Längsführung automatisch gesteuert wird.
Teilautomatisiertes Führen bedeutet, dass in einer spezifischen Situation (zum Beispiel: Fahren auf einer Autobahn, Fahren innerhalb eines Parkplatzes, Überholen eines Objekts, Fahren innerhalb einer Fahrspur, die durch Fahrspurmarkierungen festgelegt ist) und/oder für einen gewissen Zeitraum eine Längs- und eine Querführung des Kraftfahrzeugs automatisch gesteuert werden. Ein Fahrer des Kraftfahrzeugs muss selbst nicht manuell die Längs -und Querführung des Kraftfahrzeugs steuern. Der Fahrer muss aber das automatische Steuern der Längs- und Querführung dauerhaft überwachen, um bei Bedarf manuell eingreifen zu können. Der Fahrer muss jederzeit zur vollständigen Übernahme der Kraftfahrzeugführung bereit sein.
Hochautomatisiertes Führen bedeutet, dass für einen gewissen Zeitraum in einer spezifischen Situation (zum Beispiel: Fahren auf einer Autobahn, Fahren innerhalb eines Parkplatzes, Überholen eines Objekts, Fahren innerhalb einer Fahrspur, die durch Fahrspurmarkierungen festgelegt ist) eine Längs- und eine Querführung des Kraftfahrzeugs automatisch gesteuert werden. Ein Fahrer des Kraftfahrzeugs muss selbst nicht manuell die Längs -und Querführung des Kraftfahrzeugs steuern. Der Fahrer muss das automatische Steuern der Längs- und Querführung nicht dauerhaft überwachen, um bei Bedarf manuell eingreifen zu können. Bei Bedarf wird automatisch eine Übernahmeaufforderung an den Fahrer zur Übernahme des Steuerns der Längs- und Querführung ausgegeben, insbesondere mit einer ausreichenden Zeitreserve ausgegeben. Der Fahrer muss also potenziell in der Lage sein, das Steuern der Längs- und Querführung zu übernehmen. Grenzen des automatischen Steuerns der Quer- und Längsführung werden automatisch erkannt. Bei einem hochautomatisierten Führen ist es nicht möglich, in jeder Ausgangssituation automatisch einen risikominimalen Zustand herbeizuführen.
Vollautomatisiertes Führen bedeutet, dass in einer spezifischen Situation (zum Beispiel: Fahren auf einer Autobahn, Fahren innerhalb eines Parkplatzes, Überholen eines Objekts, Fahren innerhalb einer Fahrspur, die durch Fahrspurmarkierungen festgelegt ist) eine Längs- und eine Querführung des Kraftfahrzeugs automatisch gesteuert werden. Ein Fahrer des Kraftfahrzeugs muss selbst nicht manuell die Längs -und Querführung des Kraftfahrzeugs steuern. Der Fahrer muss das automatische Steuern der Längs- und Querführung nicht überwachen, um bei Bedarf manuell eingreifen zu können. Vor einem Beenden des automatischen Steuerns der Quer- und Längsführung erfolgt automatisch eine Aufforderung an den Fahrer zur Übernahme der Fahraufgabe (Steuern der Quer- und Längsführung des Kraftfahrzeugs), insbesondere mit einer ausreichenden Zeitreserve. Sofern der Fahrer nicht die Fahraufgabe übernimmt, wird automatisch in einen risikominimalen Zustand zurückgeführt. Grenzen des automatischen Steuerns der Quer- und Längsführung werden automatisch erkannt. In allen Situationen ist es möglich, automatisch in einen risikominimalen Systemzustand zurückzuführen.
Systemmerkmale ergeben sich insbesondere aus entsprechenden Verfahrensmerkmalen und umgekehrt. D. h. also insbesondere, dass sich technische Funktionalitäten des Systems nach dem ersten Aspekt analog aus entsprechenden technischen Funktionalitäten des Verfahrens nach dem zweiten Aspekt und umgekehrt ergeben.
Eine zumindest teilautomatisierte Fahrfunktion ist gemäß einer Ausführungsform ein Element ausgewählt aus der folgenden Gruppe von zumindest teilautomatisierte Fahrfunktionen: Stauassistenzfunktion, Parkassistenzfunktion, Spurhalteassistenzfunktion, Überholassistenzfunktion, Längsführungsfunktion, Querführungsfunktion, Längs- und Querführungsfunktion.
Dadurch wird z. B. der technische Vorteil bewirkt, dass besonders geeignete zumindest teilautomatisierte Fahrfunktionen gewählt werden können.
Ein Umfeldsensor im Sinne der Beschreibung ist gemäß einer Ausführungsform einer der folgenden Umfeldsensoren: Radarsensor, LiDAR-Sensor, Ultraschallsensor, Videosensor, Magnetfeldsensor, kapazitativer Sensor, Temperatursensor, Feuchtigkeitssensor, Luftfeuchtigkeitssensor, Audiosensor und Infrarotsensor.
Die Komponente der Wirkkette empfängt nach einer Ausführungsform das Zertifikat und bindet dieses zum Beispiel in ihre nominale Funktion, also insbesondere die Grundfunktion, ein, so dass die entsprechenden Ausgangsdaten der Komponente z. B. das entsprechende empfangene Zertifikat und/oder ein Komponenten-Zertifikat umfassen, welches unter Verwendung des empfangenen Zertifikats erzeugt wurde. Korrekte Zertifikate können zum Beispiel durch die Komponenten nur generiert werden, wenn das Zertifikat der Enklave aufgenommen wurde und durch eine bekannte Referenz mit Zeitstempel etc. von der (externen) Komponente erzeugt wird. Die Enklave prüft zum Beispiel die Korrektheit des eigenen Zertifikats und die Rechtzeitigkeit.
Nach einer Ausführungsform ist vorgesehen, dass eine Applikation, welche durch die Komponente ausgeführt wird, das erste und/oder das zweite Zertifikat der entsprechenden Enklave erhält, wobei zum Beispiel das oder die Zertifikate an redundanten Stellen in der Applikation mit zum Beispiel applikationsspezifischen Informationen und/oder einem Zeitstempel ergänzt werden. Diese Daten werden als Ausgangsdaten zum Beispiel in einem definierten Zeitfenster der oder den Enklaven zur Prüfung zur Verfügung gestellt.
Ausgangsdaten umfassen gemäß einer Ausführungsform Umfelddaten, welche ein Umfeld des Kraftfahrzeugs repräsentieren. Ausgangsdaten umfassen gemäß einer Ausführungsform eine Objektliste, welche Objekte im Umfeld des Kraftfahrzeugs angibt.
Die Komponenten der Wirkkette generieren gemäß einer Ausführungsform auf Basis der Vorgabe der Enklaven, applikationsspezifische Informationen, die im richtigen Zeitfenster an die Enklave zurückgemeldet werden müssen.
Die in der Beschreibung beschriebenen Ausführungsformen und Ausführungsbeispiele können jeweils in beliebiger Form untereinander kombiniert werden, auch wenn dies nicht explizit beschrieben ist.
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigen:

1 ein System zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs,
2 ein Ablaufdiagramm eines Verfahrens zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs,
3 ein maschinenlesbares Speichermedium und
4 mehrere Enklaven.

1 zeigt ein System 101 zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs.
Der Übersicht halber ist die Komponente der Wirkkette nicht gezeigt.
Das System 101 umfasst eine Computerplattform 103. Die Computerplattform 103 umfasst eine Prozessor 105 und einen ersten Speicherblock 107, einen zweiten Speicherblock 109, einen dritten Speicherblock 111 und einen vierten Speicherblock 113.
Weiter umfasst die Computerplattform 103 einen Eingang 115, welcher eingerichtet ist, von durch die Komponente ausgegebene Ausgangsdaten zu empfangen. Weiter umfasst die Computerplattform 103 computerausführbare Anweisungen 116, die durch den Prozessor 105 ausführbar sind, um eine erste Enklave 117 unter Verwendung des ersten Speicherblocks 107 und des zweiten Speicherblocks 109, eine zweite Enklave 119 unter Verwendung des dritten Speicherblocks 111 und eine dritte Enklave 121 unter Verwendung des vierten Speicherblocks 113 zu implementieren.
Die computerausführbaren Anweisungen 116 sind in einem Speicher 122 der Computerplattform 103 gespeichert.
Die erste Enklave 117 ist eine Zertifikats-Enklave, welche eingerichtet ist, ein Zertifikat für die Komponente der Wirkkette zur erzeugen.
Die Computerplattform 103 umfasst einen Ausgang 123, welcher eingerichtet ist, das Zertifikat an die Komponente auszugeben. Mittels des Eingangs 115 werden nach dem Ausgeben des Zertifikats Ausgangsdaten von der Komponente empfangen. Die Zertifikatskomponente 117 ist eingerichtet, die nach dem Ausgeben des ersten Zertifikats empfangenen Ausgangsdaten basierend auf dem Zertifikat zu prüfen, um ein Prüfergebnis auszugeben.
Die Computerplattform 103 umfasst eine Triggereinrichtung 125, welche eingerichtet ist, eine Sicherheitsaktion oder mehrere Sicherheitsaktion basierend auf dem Prüfergebnis zu triggern.
2 zeigt ein Ablaufdiagramm eines Verfahrens zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs unter Verwendung eines Systems nach dem ersten Aspekt. Das Verfahren umfasst die folgenden Schritte:

Erzeugen 201 eines Zertifikats für die Komponente der Wirkkette mittels der Zertifikats-Enklave,
Ausgeben 203 des Zertifikats an die Komponente mittels des Ausgangs, Empfangen 205 von durch die Komponente ausgegebene Ausgangsdaten mittels des Eingangs,
Prüfen 207 der nach dem Ausgeben des Zertifikats empfangenen Ausgangsdaten basierend auf dem Zertifikat mittels der Zertifikats-Enklave, um ein Prüfergebnis auszugeben,
Triggern 209 einer Sicherheitsaktion mittels der Triggereinrichtung basierend auf dem Prüfergebnis.

3 zeigt ein maschinenlesbares Speichermedium 301, auf dem ein Computerprogramm 303 gespeichert ist. Das Computerprogramm 303 umfasst Befehle, die bei Ausführung des Computerprogramms 303 durch ein System nach dem ersten Aspekt dieses veranlassen, ein Verfahren gemäß dem zweiten Aspekt auszuführen.
4 zeigt eine erste Enklave 401, eine zweite Enklave 403, eine dritte Enklave 405, eine vierte Enklave 407 und eine fünfte Enklave 409. Die erste Enklave 401 stellt eine Testgeneratorfunktion 411 zum Testen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs bereit. Die erste Enklave 401 ist somit eine Testgenerator-Enklave.
Die zweite Enklave 403 implementiert eine erste Recheneinheit 413. Die zweite Enklave ist somit eine Recheneinheits-Enklave.
Die dritte Enklave 405 implementiert eine zweite Recheneinheit 415. Die dritte Enklave 405 ist somit eine Recheneinheits-Enklave.
Die vierte Enklave 407 stellt eine Lockstep-Funktion 417 bereit. Die Lockstep-Funktion 417 ist in einer Recheneinheit 418 implementiert, welche in der vierten Enklave 407 implementiert ist.
Die fünfte Enklave 409 stellt eine Authentfikationsverwaltungs-Funktion 419 bereit. Die fünfte Enklave 409 ist somit eine Authentfikationsverwaltungs-Enklave.
Weiter ist ein Heartbeat-Modul 421 vorgesehen, welche eine Heartbeat-Funktion bereitstellt. Die fünf Enklaven 401, 403, 405, 407, 409 und das Heartbeat-Funktion 421 sind miteinander verbunden und sind z. B. gemäß einer Ausführungsform in einer Computerplattform eines Systems nach dem ersten Aspekt implementiert.
Das Heartbeat-Modul 421 kann gemäß einer Ausführungsform von einer oder mehreren der fünf Enklaven 401, 403, 405, 407 und 409 überwacht werden.
Z. B. sind die fünf Enklaven 401, 403, 405, 407 und 409 und das Heartbeat-Modul 421 als ein ASIC-Modul implementiert.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 112017001853 T5 [0002]
WO 2017210145 [0002]

Claims

System (101) zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs, umfassend: eine Computerplattform (103), umfassend: einen Prozessor (105), einen oder mehrere Speicherblöcke (107, 109, 111, 113), einen Eingang (115), welcher eingerichtet ist, von durch die Komponente ausgegebene Ausgangsdaten zu empfangen, computerausführbare Anweisungen (116), die durch den Prozessor (105) ausführbar sind, um eine oder mehrere Enklaven (117, 119, 121) unter Verwendung des einen oder der mehreren Speicherblöcken (107, 109, 111, 113) zu implementieren, wobei die eine oder mehreren Enklaven (117, 119, 121) eine Zertifikats-Enklave (117) umfassen, welche eingerichtet ist, ein Zertifikat für die Komponente der Wirkkette zu erzeugen, einen Ausgang (123), welcher eingerichtet ist, das Zertifikat an die Komponente auszugeben, wobei die Zertifikats-Enklave eingerichtet ist, die nach dem Ausgeben des Zertifikats empfangenen Ausgangsdaten basierend auf dem Zertifikat zu prüfen, um ein Prüfergebnis auszugeben, und eine Triggereinrichtung (125), welche eingerichtet ist, eine Sicherheitsaktion basierend auf dem Prüfergebnis zu triggern.
System (101) nach Anspruch 1, wobei die eine oder die mehreren Enklaven eine Recheneinheits-Enklave (403, 405) umfassen, welche eingerichtet ist, eine Recheneinheit zu implementieren.
System (101) nach Anspruch 2, wobei die Recheneinheit eingerichtet ist, eine Lockstep-Funktion (417) bereitzustellen.
System (101) nach einem der vorherigen Ansprüche, wobei die eine oder die mehreren Enklaven eine Zeittrigger-Enklave umfassen, welche eingerichtet ist, eine Zeittrigger-Funktion bereitzustellen.
System (101) nach einem der vorherigen Ansprüche, wobei die eine oder die mehreren Enklaven eine Watchdog-Enklave umfassen, welche eingerichtet ist, eine Watchdog-Funktion bereitzustellen.
System (101) nach einem der vorherigen Ansprüche, wobei die eine oder die mehreren Enklaven eine Authentfikationsverwaltungs-Enklave (409) umfassen, welche eingerichtet ist, eine Authentfikationsverwaltungs-Funktion bereitzustellen.
System (101) nach Anspruch 6, wobei die Authentfikationsverwaltungs-Enklave eingerichtet ist, eine Schlüsselverwaltungsfunktion bereitzustellen.
System (101) nach Anspruch 7, wobei die Schlüsselverwaltungsfunktion eingerichtet ist, eine PUF zur Schlüsselverwaltung zu verwenden.
System (101) nach einem der vorherigen Ansprüche, wobei die eine oder die mehreren Enklaven eine Testgenerator-Enklave (401) umfassen, welche eingerichtet ist, eine Testgeneratorfunktion zum Testen der Komponente, insbesondere zum Testen der Komponente zur Laufzeit, bereitzustellen.
System (101) nach einem der vorherigen Ansprüche, wobei die eine oder die mehreren Enklaven eine Speicher-Enklave umfassen, welche eingerichtet ist, eine Speicherfunktion zum Speichern von kryptographischen Daten bereitzustellen.
System (101) nach einem der vorherigen Ansprüche, wobei die Computerplattform (103) als ein ASIC gebildet ist.
System (101) nach einem der vorherigen Ansprüche, wobei der Eingang eingerichtet ist, Konfigurationsdaten zum Konfigurieren der Computerplattform (103) zu empfangen, wobei der Prozessor (105) eingerichtet ist, die Computerplattform (103) basierend auf den Konfigurationsdaten zu konfigurieren, insbesondere zur Laufzeit zu konfigurieren.
System (101) nach Anspruch 12, wobei der Prozessor (105) eingerichtet ist, die Computerplattform (103) nur dann basierend auf den Konfigurationsdaten zu konfigurieren, wenn diese mit einer gültigen Signatur signiert sind.
Verfahren zum Überwachen einer Komponente einer Wirkkette für eine zumindest teilautomatisierte Fahrfunktion eines Kraftfahrzeugs unter Verwendung des Systems (101) nach einem der vorherigen Ansprüche, umfassend die folgenden Schritte: Erzeugen (201) eines Zertifikats für die Komponente der Wirkkette mittels der Zertifikats-Enklave, Ausgeben (203) des Zertifikats an die Komponente mittels des Ausgangs, Empfangen (205) von durch die Komponente ausgegebene Ausgangsdaten mittels des Eingangs, Prüfen (207) der nach dem Ausgeben des Zertifikats empfangenen Ausgangsdaten basierend auf dem Zertifikat mittels der Zertifikats-Enklave, um ein Prüfergebnis auszugeben, Triggern (209) einer Sicherheitsaktion mittels der Triggereinrichtung basierend auf dem Prüfergebnis.
Computerprogramm (303), umfassend Befehle, die bei Ausführung des Computerprogramms (303) durch das System nach einem der Ansprüche 1 bis 13 dieses veranlassen, ein Verfahren gemäß Anspruch 14 auszuführen.
Maschinenlesbares Speichermedium (301), auf dem das Computerprogramm (303) nach Anspruch 15 gespeichert ist.