-
Stand der Technik
-
Die vorliegende Erfindung betrifft ein Verfahren zum Detektieren von GNSS-Spoofing bzw. zur Erkennung von gefälschten GNSS-Signalen, die von einem GNSS-Empfänger eines Lokalisierungssystems empfangen werden. Die Erfindung kann insbesondere bei GNSS- gestützten Lokalisierungssystemen für das autonome oder teilautonome Fahren zur Anwendung kommen.
-
Stand der Technik
-
Ein globales Navigationssatellitensystem (Abk.: GNSS) ist ein System zur Positionsbestimmung und Navigation auf der Erde und in der Luft durch den Empfang von Navigationssatellitensignalen. Mittels eines Lokalisierungssystems mit einem GNSS-Empfänger lässt sich ein mit dem Lokalisierungssystem versehenes Objekt positionieren und navigieren.
-
Allerdings können heutzutage die Navigationssatellitensignale durch eine kostengünstige Hardware und eine beispielsweise open-source Software ohne großen Aufwand gefälscht werden, sodass das Objekt durch die gefälschten Navigationssatellitensignale manipuliert werden kann. Dies wird als GNSS-Spoofing bezeichnet und ist besonders für das autonome Fahren ein Bedrohungsszenario.
-
Denn das autonome Fahren stellt hierbei neben der Positionsgenauigkeit besonders hohe Anforderungen an die Sicherheit und Integrität (bzw. Korrektheit der Ortungsinformationen, z. B. Korrektheit der Genauigkeitsangabe) Insbesondere im Kontext der sicherheitskritischen automatisierten Fahrfunktionen ist die Sicherheit der GNSS-basierten Ortung relevant, um die Ortung vor der Manipulation durch gefälschte Navigationssatellitensignale zu schützen. Eine Detektion von GNSS-Spoofing wird daher insbesondere für das autonome Fahren als notwendig angesehen.
-
Grundsätzlich sind bereits verschiedene Ansätze zur Erkennung von GNSS-Spoofing bekannt. Es besteht allerdings ständiger Bedarf für verbesserte Ansätze, die die Genauigkeit der Erkennung von Spoofing verbessern.
-
Offenbarung der Erfindung
-
Ausgehend soll hier ein Verfahren zur Erkennung gefälschter GNSS-Signale aufweisend die folgenden Schritte beschrieben werden:
- a) Ermitteln einer Mehrzahl von GNSS-Lokalisierungen basierend auf GNSS-Signalen mit einer Mehrzahl von GNSS-Empfängern, die in mindestens zwei voneinander getrennten Einheiten angeordnet sind;
- b) Für jeden GNSS-Empfänger Ermitteln von mindestens einem weiteren lokalisierungsrelevanten Parameter; und
- c) Übertragen von in Schritt a) ermittelten GNSS-Lokalisierungen und von in Schritt b) ermittelten lokalisierungsrelevanten Parametern an mindestens einen Server, der eine Bewertung der GNSS-Lokalisierungen unter Verwendung der weiteren lokalisierungsrelevanten Parameter durchführt und basierend hierauf Validitäts-Informationen für GNSS-Lokalisierungen generiert, die einen Rückschluss auf gefälschte GNSS-Signale zulassen.
-
Die Erfindung betrifft ein Verfahren zur Erkennung von gefälschten GNSS-Signalen. Gefälschte GNSS-Signale werden auch als „gespoofte“ GNSS-Signale bezeichnet. Als „Spoofing“ werden Angriffe bezeichnet, bei denen GNSS-Signale gefälscht werden sollen. Die Erfindung betrifft also einen sogenannten „crowdbasierten“ Ansatz zur Erkennung von gefälschten GNSS-Signalen, denn es werden GNSS-Lokalisierungen von verschiedenen GNSS-Empfängern in verschiedenen Einheiten (einer „Crowd“ von GNSS-Empfängern bzw. Einheiten) verwendet und auf dem Server miteinander kombiniert, um gefälschte GNSS-Signale zu erkennen. Crowdbasierte Ansätze zum Sammeln und Auswerten von Informationen sind grundsätzlich bekannt. Neu ist allerdings die hier beschriebene Anwendung eines crowdbasierten Ansatzes zur Erkennung von Spoofing.
-
In bisher bekannten Ansätzen wurde versucht gefälschte GNSS-Signale bzw. GNSS-Spoofing jeweils lokal zu erkennen (das heißt in dem jeweiligen GNSS-Empfänger selbst). Dies erscheint zunächst auch naheliegend, weil es sich um ein Phänomen handelt, bei dem man davon ausgeht, dass es sehr lokal, insbesondere als gezieltes Angriffsszenario auf einen bzw. auf wenige GNSS-Empfänger, angewendet wird. Tatsächlich liegt dem beschriebenen Verfahren die Erkenntnis zu Grunde, dass in den meisten Fällen doch eine Mehrzahl von GNSS-Empfängern von einem Spoofing-Angriff betroffen sind. Dabei wirkt sich einerseits aus, dass ein Spoofing-Angriff zu unterschiedlichen Beeinflussungen der Position führen kann, je nachdem welcher GNSS-Empfänger betroffen ist und insbesondere auch, je nachdem in welchem Abstand/Anordnung der jeweilige GNSS-Empfänger zum Spoofer angeordnet ist, unterschiedliche Auswirkungen auftreten können. Dabei wirkt sich andererseits auch aus, dass eine Mehrzahl von GNSS-Empfängern bzw. die Einheiten, in denen die GNSS-Empfänger angeordnet sind, ggf. auch andere (für einzelne Einheiten voneinander abweichende) positionsrelevante Parameter zur Verfügung haben, die verarbeitet werden. Darüber hinaus wirkt sich auch aus, dass typische Einheiten mit GNSS-Empfänger (wie bspw. autonom fahrende Fahrzeuge) neben dem Empfang von GNSS-Signalen auch noch eine Vielzahl von weiteren Informationen empfangen und auch versenden.
-
Vor diesem Hintergrund ist der dem hier beschriebenen Verfahren zu Grunde liegende Gedanke, die mit den GNSS-Empfängern erzeugten GNSS-Lokalisierungen als Informationen an den (zentralen) Server zu versenden und dann zusammen mit anderen lokalisierungsrelevanten Parametern zu verarbeiten, um dann hierauf basierend Validitäts-Informationen zu erzeugen, die die Validität der GNSS-Lokalisierungen beschreiben.
-
Mit dem Begriff „GNSS-Lokalisierungen“ sind hier insbesondere Positionen gemeint, die mit dem GNSS-Empfänger basierend auf den GNSS-Signalen erzeugt wurden. Auch umfasst sind allerdings auch Positionsvorläuferdaten, wie bspw. Pseudo-Ranges, die den Abstand zwischen einem GNSS-Satelliten und dem GNSS-Empfänger beschreiben oder ähnliche Parameter, auf denen die eigentlichen Positionsdaten dann ermittelt werden können.
-
Eine Validitäts-Information kann beispielsweise eine Wahrscheinlichkeit angeben, mit welcher eine bestimmte GNSS-Lokalisierung korrekt ist. Die Validitäts-Information kann auch eine Wahrscheinlichkeit beschreiben, mit welcher für die Bestimmung einer bestimmten GNSS-Lokalisierung nur nicht gefälschte (echte) GNSS-Signale von GNSS-Satelliten verwendet wurden. Grundsätzlich kann die Validitäts-Information jede beliebige Information beinhalten, die die Einschätzung der Validität ermöglicht.
-
Grundsätzlich ist das Verfahren für die Erzeugung von verschiedenen Arten von Validitäts-Informationen geeignet. Es können individuelle Validitäts-Informationen erzeugt werden, die es ermöglichen, die Validität einer einzelnen GNSS-Lokalisierung oder von GNSS-Lokalisierungen eines einzelnen GNSS-Empfängers zu beurteilen.
-
Es können auch allgemeine Validitäts-Informationen erzeugt werden, die für eine Gruppe bzw. ggf. auch für eine Teilgruppe der GNSS-Empfänger gelten, die dem beschriebenen Verfahren Daten (GNSS-Lokalisierungen und lokalisierungsrelevante Parameter) zur Verfügung gestellt haben. Solche Validitäts-Informationen können ggf. auch in Abhängigkeit von verschiedenen weiteren Paramatern eine unterschiedliche Validität von GNSS-Lokalisierungen vorgeben. Beispielsweise können Validitäts-Informationen aussagen, dass in einer bestimmten räumlichen Region die Validität von GNSS-Lokalisierungen niedrig ist bzw. das eine hohe Wahrscheinlichkeit für ein Spoofing besteht.
-
Auf dem Server können eine Vielzahl von Ansätzen verwendet werden, um aus den GNSS-Lokalisierungen und den weiteren positionsrelevanten Parametern Validitäts-Informationen zu generieren. Beispielsweise ist es möglich, GNSS-Lokalisierungen, die von verschiedenen GNSS-Empfängern bzw. Einheiten kommen, anhand der weiteren lokalisierungsrelevanten Parameter miteinander zu vergleichen, um Unstimmigkeiten in den GNSS-Lokalisierungen zu erkennen, die auf gefälschte GNSS-Signale hindeuten. Viele weitere Ansätze werden im Folgenden noch beschrieben.
-
Grundsätzlich kommen mit dem beschriebenen Verfahren zur Durchführung von Positionsbestimmungen sehr viele Informationen in Form von GNSS-Lokalisierungen und in Form von weiteren lokalisierungsrelevanten Parametern zusammen. Eine große Menge von Informationen ermöglicht die Erkennung von Spoofing auch in Grenzfällen, in denen mit bekannten (lokalen) Ansätzen auf der Ebene des einzelnen GNSS-Empfängers Spoofing nicht erkannt werden könnte.
-
Bevorzugt ist, wenn nachfolgend noch folgende Schritte durchgeführt werden:
- d) Empfangen von mindestens einer Validitäts-Information durch mindestens einen GNSS-Empfänger; und
- e) Bewerten von GNSS-Lokalisierungen basierend auf der mindestens einen Validitäts-Information durch mindestens einen GNSS-Empfänger.
-
Es ist der Ansatz des hier beschriebenen Verfahrens, dass die mit dem beschriebenen Verfahren auf dem zentralen Server aus den verfügbaren GNSS-Lokalisierungen und den weiteren lokalisierungsrelevanten Parametern gewonnene Validitäts-Information den einzelnen GNSS-Empfängern zur Verfügung gestellt wird. Die Validitäts-Information kann dann bei den einzelnen GNSS-Empfängern dazu verwendet werden, zu entscheiden, wie GNSS-Lokalisierungen weiter verarbeitet werden. Bspw. können GNSS-Lokalisierungen in Abhängigkeit der Validitäts-Information berücksichtigt, zusätzlich überprüft oder verworfen werden.
-
Außerdem bevorzugt ist, wenn die mindestens eine der mindestens zwei voneinander getrennten Einheiten mindestens ein Fahrzeug ist.
-
Darüber hinaus bevorzugt ist, wenn die mindestens eine der mindestens zwei voneinander getrennten Einheiten mindestens ein mobiles Endgerät ist.
-
Auch bevorzugt ist, wenn die mindestens eine der mindestens zwei voneinander getrennten Einheiten eine fest installierte GNSS-Empfängerstation ist.
-
Grundsätzlich ist ein großer Vorteil des beschriebenen Verfahrens, dass GNSS-Lokalisierungen und GNSS-Empfänger verschiedener Art miteinander verarbeitet werden können, um Spoofing bzw. gefälschte GNSS-Signale zu erkennen. Insbesondere reagieren verschiedenartige GNSS-Empfänger unterschiedlich auf Spoofing und ermöglichen es insbesondere auch unterschiedliche weitere lokalisierungsrelevante Parameter zu ermitteln und zur Verfügung zu stellen. Dies ermöglicht es Spoofing bzw. gefälschte GNSS-Signale besonders genau zu erkennen. Besonders gut lässt sich dies anhand von fest installierten GNSS-Empfängerstationen erklären. Bei solchen GNSS-Empfängern kann die tatsächliche Position einfach fest hinterlegt sein und als weiterer lokalisierungsrelevanter Parameter an den Server mit übermittelt werden. Wenn hier nun eine Positionsabweichung zwischen der fest hinterlegten Position und einer durch die GNSS-Lokalisierung dargestellten Position auftritt, kann sehr einfach eine hohe Spoofing-Wahrscheinlichkeit erkannt werden, die zu einer Anpassung der Validitäts-Information führt.
-
GNSS-Empfänger in mobilen Endgeräten haben die Besonderheit, dass regelmäßig auch aus einem Mobilfunknetz Positionsinformationen ermittelt werden können, die zu ähnlichen Vergleichen wie bei fest installierten GNSS-Empfängern verwendet werden können.
-
Auch bevorzugt ist, wenn in Schritt b) weitere lokalisierungsrelevante Parameter aus mindestens einer der folgenden-Informationsquellen ermittelt werden:
- - einer Umfeldsensorik eines Fahrzeugs;
- - einem Mobilfunk-Modul;
- - einer Inertialsensorik eines Fahrzeugs und/oder einer sonstigen Einheit,
- - Kartendaten, und
- - Parameter aus einem Steuergerät eines Fahrzeugs.
-
Die hier beschriebene Liste von weiteren lokalisierungsrelevanten Parametern bezieht sich insbesondere auf Parameter, die in Fahrzeugen als Einheiten gewonnen werden können und die helfen können mit dem beschriebenen Verfahren gefälschte GNSS-Signale zu erkennen.
-
Anhand einer Umfeldsensorik kann bspw. erkannt werden, wenn das Fahrzeug in der Nähe eines anderen Fahrzeugs ist und es kann auch die räumliche Anordnung der Fahrzeuge zueinander festgestellt werden. Die Daten aus der Umfeldsensorik können also ggf. die relative Position der Fahrzeuge (hier mobile Einheiten) zueinander beschreiben. Wenn dann GNSS-Lokalisierungen beider Fahrzeuge vorliegen, kann anhand einer Abweichung eines Dreiecks aus GNSS-Lokalisierungen und relativer Position eine Unstimmigkeit in den GNSS-Lokalisierungen erkannt werden, die zur Erkennung von gefälschten GNSS-Signalen/Spoofing verwendet werden kann.
-
Ein Mobilfunk-Modul ist insbesondere ein GSM-Modul ein LTE-Modul, oder ein 5G-Modul. Wie schon im Zusammenhang mit mobilen Endgeräten beschrieben können solche Module ebenfalls Positions-Informationen bereitstellen.
-
Mit der Inertialsensorik eines Fahrzeuges oder sonstigen Einheiten (wie bspw. einem Raddrehzahlmesser oder einem Geschwindigkeitsmesser) und auch anhand von sonstigen Parametern aus dem Steuergerät eines Fahrzeuges, können ebenfalls Daten gewonnen werden, die auf dem Server als weitere lokalisierungsrelevante Parameter für das beschriebene Verfahren berücksichtigt werden können.
-
Darüber hinaus bevorzug ist, wenn in Schritt c) auf dem mindestens einen zentralen Server eine Bewertung von GNSS-Lokalisierungen unter Verwendung der weiteren lokalisierungsrelevanten Parameter zur Erkennung von gefälschten GNSS-Signalen mit einer Big-Data-Analyse und/oder einer KI-basierten Analyse erfolgt.
-
Eine Big-Data-Analyse und/oder eine KI-basierten Analyse umfasst hier insbesondere die automatisierte Verarbeitung der Daten (GNSS-Lokalisierungen und der weiteren lokalisierungsrelevanten Parameter), wobei die Bewertung der Daten zur Erkennung von gefälschten GNSS-Signalen nicht nach einem feststehenden Regelschema erfolgt, sondern anhand der Analyse der Daten individuell festgelegt wird. Insbesondere existiert auf dem Server auch ein Speicher, in welchem der Algorithmus zur Erkennung von gefälschten GNSS-Signalen/Spoofing Daten speichert, die während der Durchführung der Erkennung gewonnen werden, und die dazu dienen, nachfolgend die Erkennung zu verbessern.
-
Auch bevorzugt ist, wenn in Schritt c) Kartendaten erzeugt werden, die Gebiete und/oder Positionen definieren, in denen Fälschung von GNSS-Signalen vorliegen könnten.
-
Diese Kartendaten können insbesondere Regionen anzeigen, in denen die Validitäts-Informationen eine hohe Wahrscheinlichkeit für gefälschte GNSS-Signale/Spoofing anzeigen.
-
Besonders bevorzugt ist, wenn der in Schritt c) verwendete Server ein Netzwerk einer Vielzahl von Teilservern ist, welche jeweils in den getrennten Einheiten angeordnet sind und die über mobile Datenverbindungen miteinander verbunden sind, um den Server virtuell auszubilden.
-
Hier beschrieben werden soll ein System umfassend voneinander getrennter Einheiten mit GNSS-Empfängern und mindestens einem Server, eingerichtet zur Durchführung des beschriebenen Verfahrens.
-
Der Server muss also nicht unbedingt physisch existieren, sondern er kann von einem Netzwerk einer Vielzahl von einzelnen Recheneinheiten in den einzelnen Einheiten gebildet sein, so dass das Verfahren zwar zentral (für alle GNSS-Empfänger und mobilen Einheiten gemeinsam) jedoch trotzdem verteilt auf allen mobilen Einheiten durchgeführt wird.
-
Hier außerdem beschrieben werden soll ein GNSS-Empfänger, der dazu eingerichtet ist gemäß dem beschriebenen Verfahren generierte Validitäts-Informationen für GNSS-Lokalisierungen zu empfangen und für die Bewertung von GNSS-Lokalisierungen zu verwerten.
-
Besonders bevorzugt ist, wenn der beschriebene GNSS-Empfänger eingerichtet ist zur Ermittlung mindestens einer GNSS-Lokalisierung und mindestens eines weiteren lokalisierungsrelevanten Parameters sowie zur Übertragung der GNSS-Lokalisierungen und der weiteren lokalisierungsrelevanten Parameter an einen Server, der eine Bewertung der GNSS-Lokalisierungen unter Verwendung der weiteren lokalisierungsrelevanten Parameter durchführt und basierend hierauf Validitäts-Informationen für GNSS-Lokalisierungen generiert, die einen Rückschluss auf gefälschte GNSS-Signale zulassen.
-
Der GNSS-Empfänger ist bevorzugt dafür eingerichtet die Verfahrensschritte a) und b) zum Erzeugen der Daten (GNSS-Lokalisierungen und weitere lokalisierungsrelevante Parameter) zur Durchführung der Bestimmung der Validitäts-Information durchzuführen. Der GNSS-Empfänger ist bevorzugt auch zur Nutzung der Validitäts-Information gemäß den Schritten d) und e) eingerichtet.
-
Das Verfahren, der beschriebene GNSS-Empfänger und das beschriebene System sowie das technische Umfeld der Erfindung werden nachfolgend anhand der Figuren näher erläutert. Die Figuren zeigen bevorzugte Ausführungsbeispiele, auf welche die Erfindung nicht beschränkt ist. Es zeigt:
- 1 ein beschriebenes System für das beschriebene Verfahren.
-
In 1 zu erkennen ist zunächst das GNSS-Satelliten 10 echte GNSS-Signale 2 aussenden, die von GNSS-Empfängern 3 in einer Vielzahl von einzelnen Einheiten 4 aufgefangen und analysiert werden, um GNSS-Lokalisierungen 5 zu bestimmen. Die GNSS-Empfänger 3 in den einzelnen Einheiten 4 empfangen hier jedoch auch gefälschte GNSS-Signale 1 von einem Spoofer 11, der vorgibt echte GNSS-Signale auszusenden, um die GNSS-Lokalisierungen 5 zu verfälschen, die mit den GNSS-Empfängern 3 ermittelt werden.
-
Um solche gefälschten GNSS-Signale 1 zu erkennen, sammeln die einzelnen GNSS-Empfänger 3 bzw. die Einheiten 4 jeweils auch noch weitere lokalisierungsrelevante Parameter 6, die unterschiedlichster Art sein können, die jedoch Informationen beinhalten, die die Prüfung der GNSS-Signale 1,2, bzw. der mit Hilfe der GNSS-Signale 1,2 bestimmten GNSS-Lokalisierungen 5 ermöglichen. Die weiteren lokalisierungsrelevanten Parameter 6 und die GNSS-Lokalisierungen 5 werden von den GNSS-Empfängern bzw. den Einheiten 4 an einen Server 8 übermittelt, welcher dann basierend auf GNSS-Lokalisierungen 5 von verschiedenen GNSS-Empfängern 3 in unterschiedlichen/voneinander getrennten Einheiten 4 und den lokalisierungsrelevanten Parametern 6 eine Analyse vornimmt und als Ergebnis dieser Analyse eine Validitäts-Information 7 ermittelt, die angibt, ob bei den GNSS-Signalen 1,2, die für die Bestimmung der GNSS-Lokalisierungen 5 erkannt wurden, auch gefälschte GNSS-Signale 1 enthalten waren oder nicht. Diese Validitäts-Information 7 wird dann bevorzugt den (einzelnen) GNSS-Empfängern 3 bzw. den Einheiten 4 zur Verfügung gestellt. Die GNSS-Empfänger 3 bzw. die Einheiten 4 können diese Information dann berücksichtigen, um zu entscheiden, ob GNSS-Lokalisierungen 5 in den Einheiten 4 weiter verwendet werden. Bei einer Validitäts-Information 7, die eine gewisse Wahrscheinlichkeit für die Verwertung gefälschter GNSS-Signale 2 anzeigt, kann bspw. die Verwendung der GNSS-Lokalisierung 5 für Anwendungen des autonomen Fahrens unterbunden werden.
-
In der 1 ist jeweils angedeutet in welchen Komponenten die jeweiligen Verfahrensschritte des Verfahrens durchgeführt werden. Es ist dargestellt, dass die Verfahrensschritte a), b) sowie d) und e) jeweils im GNSS-Empfänger 3 durchgeführt werden, während der Verfahrensschritt c) auf dem Server 8 durchgeführt wird.
