DE102022102224A1

DE102022102224A1 - Übertragung von authentifizierungsschlüsseln

Info

Publication number: DE102022102224A1
Application number: DE102022102224.2A
Authority: DE
Inventors: Venkata Kishore Kajuluri; Xin Ye; Bradley Warren Smith
Original assignee: Ford Global Technologies LLC
Current assignee: Ford Global Technologies LLC
Priority date: 2021-02-09
Filing date: 2022-01-31
Publication date: 2022-08-11
Also published as: US20220255729A1; US11743033B2; CN114915408A

Abstract

Ein System für ein Fahrzeug beinhaltet einen Computer, ein erstes elektronisches Steuermodul und ein drahtgebundenes Fahrzeugkommunikationsnetzwerk, das den Computer und das erste elektronische Steuermodul koppelt. Der Computer ist dazu programmiert, Authentifizierungsschlüssel über das drahtgebundene Fahrzeugkommunikationsnetzwerk an das erste elektronische Steuermodul und eine Vielzahl von zweiten elektronischen Steuermodulen zu übertragen, eine Tabelle der Authentifizierungsschlüssel unter Verwendung eines ersten Schlüssels zu verschlüsseln, die verschlüsselte Tabelle zu speichern, die verschlüsselte Tabelle über das drahtgebundene Fahrzeugkommunikationsnetzwerk an das erste elektronische Steuermodul zu übertragen und die verschlüsselte Tabelle und den ersten Schlüssel an einen entfernten Server zu übertragen, der von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk beabstandet ist.

Description

GEBIET DER TECHNIK
Die Offenbarung betrifft im Allgemeinen kryptographische Algorithmen.
ALLGEMEINER STAND DER TECHNIK
Algorithmen mit symmetrischem Schlüssel sind kryptographische Algorithmen, die einen selben kryptographischen Schlüssel verwenden, um unverschlüsselte Daten zu verschlüsseln und verschlüsselte Daten zu entschlüsseln. Algorithmen mit symmetrischem Schlüssel können Stromchiffren oder Blockchiffren verwenden. Stromchiffren verschlüsseln Zeichen einer Nachricht nacheinander. Blockchiffren verschlüsseln einen Block von Bits, während der Klartext aufgefüllt wird. Ein Beispiel für Blockverschlüsselung ist der Advanced-Encryption-Standard-Algorithmus, der vom National Institute of Standards and Technology veröffentlicht wird.
KURZDARSTELLUNG
Ein System beinhaltet einen Computer, ein erstes elektronisches Steuermodul und ein drahtgebundenes Fahrzeugkommunikationsnetzwerk, das den Computer und das erste elektronische Steuermodul koppelt. Der Computer ist dazu programmiert, Authentifizierungsschlüssel über das drahtgebundene Fahrzeugkommunikationsnetzwerk an das erste elektronische Steuermodul und eine Vielzahl von zweiten elektronischen Steuermodulen zu übertragen, eine Tabelle der Authentifizierungsschlüssel unter Verwendung eines ersten Schlüssels zu verschlüsseln, die verschlüsselte Tabelle zu speichern, die verschlüsselte Tabelle über das drahtgebundene Fahrzeugkommunikationsnetzwerk an das erste elektronische Steuermodul zu übertragen und die verschlüsselte Tabelle und den ersten Schlüssel an einen entfernten Server zu übertragen, der von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk beabstandet ist.
Dem ersten elektronischen Steuermodul kann der erste Schlüssel fehlen.
Der Computer kann ferner dazu programmiert sein, eine zweite verschlüsselte Tabelle von dem ersten elektronischen Steuermodul anzufordern, wobei die zweite verschlüsselte Tabelle unter Verwendung eines zweiten Schlüssels verschlüsselt sein kann und dem Computer der zweite Schlüssel fehlen kann. Der Computer kann ferner dazu programmiert sein, die zweite verschlüsselte Tabelle an den entfernten Server zu übertragen; eine dritte verschlüsselte Tabelle von dem entfernten Server zu empfangen, wobei die dritte verschlüsselte Tabelle die zweite verschlüsselte Tabelle ist, die unter Verwendung des zweiten Schlüssels entschlüsselt und unter Verwendung des ersten Schlüssels verschlüsselt wurde; und die dritte verschlüsselte Tabelle unter Verwendung des ersten Schlüssels zu entschlüsseln. Der Computer kann ferner dazu programmiert sein, neue Authentifizierungsschlüssel unter Verwendung von alten Authentifizierungsschlüsseln aus der entschlüsselten dritten verschlüsselten Tabelle an das erste elektronische Steuermodul und die zweiten elektronischen Steuermodule zu übertragen.
Der Computer kann den ersten Schlüssel speichern.
Ein Computer beinhaltet einen Prozessor und einen Speicher, der Anweisungen speichert, die durch den Prozessor dazu ausführbar sind, Authentifizierungsschlüssel über ein drahtgebundenes Fahrzeugkommunikationsnetzwerk an ein erstes elektronisches Steuermodul und eine Vielzahl von zweiten elektronischen Steuermodulen an Bord eines Fahrzeugs zu übertragen, eine Tabelle der Authentifizierungsschlüssel unter Verwendung eines ersten Schlüssels zu verschlüsseln, die verschlüsselte Tabelle zu speichern, die verschlüsselte Tabelle an das erste elektronische Steuermodul zu übertragen und die verschlüsselte Tabelle und den ersten Schlüssel an einen entfernten Server zu übertragen, der von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk beabstandet ist.
Die Anweisungen können keine Anweisungen zum Übertragen des ersten Schlüssels an das erste elektronische Steuermodul beinhalten. Die Anweisungen können ferner Anweisungen dazu beinhalten, eine zweite verschlüsselte Tabelle von dem ersten elektronischen Steuermodul anzufordern, und die zweite verschlüsselte Tabelle kann unter Verwendung eines zweiten Schlüssels verschlüsselt sein. Die Anweisungen können ferner Anweisungen dazu beinhalten, die zweite verschlüsselte Tabelle an den entfernten Server zu übertragen; eine dritte verschlüsselte Tabelle von dem entfernten Server zu empfangen, wobei die dritte verschlüsselte Tabelle die zweite verschlüsselte Tabelle ist, die unter Verwendung des zweiten Schlüssels entschlüsselt und unter Verwendung des ersten Schlüssels verschlüsselt wurde; und die dritte verschlüsselte Tabelle unter Verwendung des ersten Schlüssels zu entschlüsseln. Die Anweisungen können Anweisungen dazu beinhalten, neue Authentifizierungsschlüssel unter Verwendung von alten Authentifizierungsschlüsseln aus der entschlüsselten dritten verschlüsselten Tabelle an das erste elektronische Steuermodul und die zweiten elektronischen Steuermodule zu übertragen.
Der Speicher kann den ersten Schlüssel speichern.
Dem Speicher kann der zweite Schlüssel fehlen.
Ein Verfahren beinhaltet Übertragen von Authentifizierungsschlüsseln von einem Computer über ein drahtgebundenes Fahrzeugkommunikationsnetzwerk an ein erstes elektronisches Steuermodul und eine Vielzahl von zweiten elektronischen Steuermodulen an Bord eines Fahrzeugs, Verschlüsseln einer Tabelle der Authentifizierungsschlüssel durch den Computer unter Verwendung eines ersten Schlüssels, Speichern der verschlüsselten Tabelle durch den Computer, Übertragen der verschlüsselten Tabelle von dem Computer an das erste elektronische Steuermodul und Übertragen der verschlüsselten Tabelle und des ersten Schlüssels von dem Computer an einen entfernten Server, der von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk beabstandet ist.
Dem ersten elektronischen Steuermodul kann der erste Schlüssel fehlen.
Das Verfahren kann ferner Anfordern der verschlüsselten Tabelle von dem ersten elektronischen Steuermodul durch einen Ersatzcomputer, der den Computer ersetzt, beinhalten, und dem Ersatzcomputer kann der erste Schlüssel fehlen. Das Verfahren kann ferner Übertragen der verschlüsselten Tabelle von dem Ersatzcomputer an den entfernten Server beinhalten; dann Empfangen einer neu verschlüsselten Tabelle von dem entfernten Server durch den Ersatzcomputer, wobei die neu verschlüsselte Tabelle die durch einen zweiten Schlüssel verschlüsselte Tabelle ist; und Entschlüsseln der neu verschlüsselten Tabelle durch den Ersatzcomputer unter Verwendung des zweiten Schlüssels. Das Verfahren kann ferner Übertragen von neuen Authentifizierungsschlüsseln von dem Ersatzcomputer an das erste elektronische Steuermodul und die zweiten elektronischen Steuermodule unter Verwendung der Authentifizierungsschlüssel aus der entschlüsselten neu verschlüsselten Tabelle beinhalten.
Der Ersatzcomputer kann den zweiten Schlüssel speichern, bevor er die neu verschlüsselte Tabelle empfängt.
Das Verfahren kann ferner Empfangen der verschlüsselten Tabelle von dem Ersatzcomputer durch den entfernten Server, Entschlüsseln der verschlüsselten Tabelle durch den entfernten Server, Identifizieren des zweiten Schlüssels auf Grundlage einer Identität des elektronischen Ersatzsteuermoduls durch den entfernten Server, Verschlüsseln der entschlüsselten Tabelle unter Verwendung des zweiten Schlüssels, um durch den entfernten Server eine neu verschlüsselte Tabelle zu erzeugen, und Übertragen der neu verschlüsselten Tabelle von dem entfernten Server an den Ersatzcomputer beinhalten.
Figurenliste

1 ist ein Blockdiagramm eines beispielhaften Fahrzeugs.
2 ist ein Prozessablaufdiagramm eines beispielhaften Prozesses zum Verteilen von Authentifizierungsschlüsseln von einem Computer an elektronische Steuermodule des Fahrzeugs.
3 ist ein Prozessablaufdiagramm eines beispielhaften Prozesses zum Aktualisieren der Authentifizierungsschlüssel nach dem Ersetzen des Computers in dem Fahrzeug.
4 ist ein Prozessablaufdiagramm eines entfernten Servers, der das Ersetzen des Computers in dem Fahrzeug unterstützt.

DETAILLIERTE BESCHREIBUNG
Unter Bezugnahme auf die Figuren beinhaltet ein Fahrzeug 100 einen Computer 102 und eine Vielzahl von elektronischen Steuermodulen 104, 106. Die Kommunikation zwischen dem Computer 102 und den elektronischen Steuermodulen 104, 106 und unter den elektronischen Steuermodulen 104, 106 wird verschlüsselt, z. B. unter Verwendung eines Algorithmus mit symmetrischem Schlüssel. In einer Kommunikation, in der ein Sender und ein Empfänger von dem Computer 102 und/oder den elektronischen Steuermodulen 104, 106 vorhanden sind, haben der Sender und der Empfänger beide den gleichen Authentifizierungsschlüssel gespeichert, den der Sender dazu verwendet, die Kommunikation zu verschlüsseln, und den der Empfänger dazu verwendet, die Kommunikation zu entschlüsseln, was verhindern kann, dass der Inhalt der Kommunikation bekannt ist, wenn die Kommunikation abgefangen wird.
Wenn jedoch eine dritte Partei den Authentifizierungsschlüssel entdeckt, dann wäre die dritte Partei dazu in der Lage, die Inhalte einer abgefangenen Kommunikation zu verstehen. Somit muss das Verteilen der Authentifizierungsschlüssel auf sichere Weise erfolgen. Eine anfängliche Verteilung von Authentifizierungsschlüsseln kann zu dem Zeitpunkt durchgeführt werden, zu dem das Fahrzeug 100 hergestellt wird. Anschliel end können Situationen auftreten, die eine Verteilung neuer Authentifizierungsschlüssel rechtfertigen, z. B. wird eines der elektronischen Steuermodule 104, 106 ersetzt, was bedeutet, dass das neue elektronische Steuermodul nicht den gleichen Authentifizierungsschlüssel wie der Computer 102 aufweist und keine verschlüsselten Kommunikationen mit dem Computer 102 (und/oder den anderen elektronischen Steuermodulen 104, 106) austauschen kann; oder wird der Computer 102 ersetzt, was bedeutet, dass der Computer 102 nicht die gleichen Authentifizierungsschlüssel wie die elektronischen Steuermodule 104, 106 aufweist.
Ein System 108 des Fahrzeugs 100 beinhaltet den Computer 102, das erste elektronische Steuermodul 104 und ein drahtgebundenes Fahrzeugkommunikationsnetzwerk 110, das den Computer 102 und das erste elektronische Steuermodul 104 koppelt. Der Computer 102 ist dazu programmiert, Authentifizierungsschlüssel über das drahtgebundene Fahrzeugkommunikationsnetzwerk 110 an das erste elektronische Steuermodul 104 und eine Vielzahl von zweiten elektronischen Steuermodulen 106 zu übertragen, eine Tabelle der Authentifizierungsschlüssel unter Verwendung eines ersten Schlüssels zu verschlüsseln, die verschlüsselte Tabelle zu speichern, die verschlüsselte Tabelle an das erste elektronische Steuermodul 104 über das drahtgebundene Fahrzeugkommunikationsnetzwerk 110 zu übertragen und die verschlüsselte Tabelle und den ersten Schlüssel an einen entfernten Server 112 zu übertragen, der von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk 110 beabstandet ist.
Die Verteilung und der Einsatz von Authentifizierungsschlüsseln, wie hierin offenbart, verbessert die Bereitstellung von Fahrzeugnetzwerksicherheit, insbesondere beim Austausch des Computers 102 oder eines der elektronischen Steuermodule 104, 106. Wenn zum Beispiel ein Ersatzcomputer 102 einen alten Computer 102 ersetzt, kann der Ersatzcomputer 102 die verschlüsselte Tabelle von dem ersten elektronischen Steuermodul 104 erlangen und mit dem entfernten Server 112 kommunizieren, damit der entfernte Server 112 die verschlüsselte Tabelle entschlüsseln und die Tabelle unter Verwendung des ersten Schlüssels, d. h. des Schlüssels, der auf dem Ersatzcomputer 102 verfügbar ist, neu verschlüsseln kann. Der Ersatzcomputer 102 kann dann neue Authentifizierungsschlüssel unter Verwendung der aktuellen Authentifizierungsschlüssel verteilen. Dies wird dem Fall bevorzugt, bei dem der entfernte Server 112 die Hauptschlüssel der elektronischen Steuermodule 104, 106 sendet. Ein Hauptschlüssel ist ein Schlüssel, der dauerhaft verwendet werden kann, um Kommunikationen mit einem elektronischen Steuermodul zu verschlüsseln, selbst wenn der Authentifizierungsschlüssel aktualisiert wird. Wenn die Hauptschlüssel nicht übertragen werden, bleiben die elektronischen Steuermodule 104, 106 sicherer. Darüber hinaus ist die verschlüsselte Schlüsseltabelle an zwei Stellen gespeichert, dem ersten elektronischen Steuermodul 104 und dem entfernten Server 112, wodurch Redundanz bereitgestellt wird, falls eine Kopie der verschlüsselten Schlüsseltabelle beschädigt ist.
Unter Bezugnahme auf die 1 kann es sich bei dem Fahrzeug 100 um eine beliebige geeignete Art von Kraftfahrzeug handeln, z. B. einen Personen- oder Nutzkraftwagen, wie etwa eine Limousine, ein Coupe, einen Truck, einen Geländewagen, ein Crossover-Fahrzeug, einen Van, einen Minivan, ein Taxi, einen Bus usw. Das Fahrzeug 100 kann zum Beispiel autonom sein. Anders ausgedrückt kann das Fahrzeug 100 derartig autonom betrieben werden, dass das Fahrzeug 100 ohne ständige Aufmerksamkeit eines Fahrers gefahren werden kann, d. h., das Fahrzeug 100 kann ohne menschliche Eingabe selbst fahren.
Bei dem Computer 102 handelt es sich um eine mikroprozessorbasierte Rechenvorrichtung, z. B. eine generische Rechenvorrichtung, die einen Prozessor und einen Speicher, eine elektronische Steuerung oder dergleichen, ein feldprogrammierbares Gate-Array (FPGA), eine anwendungsspezifische integrierte Schaltung (application-specific integrated circuit - ASIC) usw. beinhaltet. Der Computer 102 kann somit einen Prozessor, einen Speicher usw. beinhalten. Der Speicher des Computers 102 kann Medien zum Speichern von Anweisungen, die durch den Prozessor ausgeführt werden können, sowie zum elektronischen Speichern von Daten und/oder Datenbanken beinhalten, und/oder der Computer 102 kann Strukturen wie etwa die vorhergehende beinhalten, durch die Programmierung bereitgestellt wird.
Der Computer 102 kann Daten über das drahtgebundene Fahrzeugkommunikationsnetzwerk 110, wie etwa einen Controller-Area-Network-Bus (CAN-Bus), Ethernet, ein Local Interconnect Network (LIN), einen On-Board-Diagnoseanschluss (OBD-II) und/oder über ein beliebiges anderes drahtgebundenes Kommunikationsnetzwerk oder eine Kombination von verschiedenen Arten von drahtgebundenen Netzwerken, übertragen und empfangen. Der Computer 102 kann über das drahtgebundene Fahrzeugkommunikationsnetzwerk 110 kommunikativ an die elektronischen Steuermodule 104, 106, einen Sendeempfänger 114 und andere Komponenten gekoppelt sein.
Die elektronischen Steuermodule 104, 106 sind mikroprozessorbasierte Rechenvorrichtungen, z. B. generische Rechenvorrichtungen, die jeweils einen Prozessor und einen Speicher, elektronische Steuerungen oder dergleichen, feldprogrammierbare Gate-Arrays (FPGA), anwendungsspezifische integrierte Schaltungen (ASIC) usw. beinhalten. Jedes elektronische Steuermodul 104, 106 kann somit einen Prozessor, einen Speicher usw. beinhalten. Der Speicher jedes elektronischen Steuermoduls 104, 106 kann Medien zum Speichern von Anweisungen beinhalten, die durch den Prozessor ausgeführt werden können, sowie zum elektronischen Speichern von Daten und/oder Datenbanken dienen, und/oder jedes elektronische Steuermodul 104, 106 kann Strukturen wie etwa die vorhergehende beinhalten, durch die Programmierung bereitgestellt wird. Die elektronischen Steuermodule 104, 106 können verschiedene Systeme in dem Fahrzeug 100 betreiben, z. B. ein Karosseriesteuermodul, ein Antriebsstrangsteuermodul, ein Rückhaltesteuermodul usw.
Der Sendeempfänger 114 kann dazu ausgelegt sein, Signale drahtlos mittels eines beliebigen geeigneten drahtlosen Kommunikationsprotokolls zu übertragen, wie etwa Mobilfunk, Bluetooth®, Bluetooth® Low Energy (BLE), Ultrabreitband (UWB), WiFi, IEEE 802.11a/b/g/p, Mobilfunk-V2X (CV2X), dedizierte Nahbereichskommunikationen (dedicated short-range communications - DSRC), andere HF-(Hochfrequenz-)Kommunikationen usw. Der Sendeempfänger 114 kann dazu ausgelegt sein, mit einem entfernten Server 112 zu kommunizieren, das heil t einem Server, der von dem Fahrzeug 100 getrennt und beabstandet ist. Der entfernte Server 112 kann sich außerhalb des Fahrzeugs 100 befinden. Der entfernte Server 112 kann zum Beispiel einem anderen Fahrzeug (z. B. V2V-Kommunikation), einer Infrastrukturkomponente (z. B. V2I-Kommunikation oder dergleichen), einem Nothelfer, einer mobilen Vorrichtung, die dem Besitzer des Fahrzeugs 100 zugeordnet ist, usw. zugeordnet sein. Der Sendeempfänger 114 kann eine Vorrichtung sein oder kann einen separaten Sender und Empfänger beinhalten.
Insbesondere kann der entfernte Server 112 ein Server sein, der dem Bedienen von Fahrzeugen 100, wie etwa dem Fahrzeug 100, gewidmet ist. Der entfernte Server 112 ist von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk 110 entfernt, d. h. beabstandet. Der entfernte Server 112 kann verschlüsselte Schlüsseltabellen für eine Vielzahl der Fahrzeuge 100 speichern, wie nachstehend beschrieben.
2 ist ein Prozessablaufdiagramm, das einen beispielhaften Prozess 200 zum Verteilen der Authentifizierungsschlüssel von dem Computer 102 an die elektronischen Steuermodule 104, 106 veranschaulicht. Der Speicher des Computers 102 speichert ausführbare Anweisungen zum Ausführen der Schritte des Prozesses 200 gespeichert und/oder eine Programmierung kann in Strukturen wie vorstehend erwähnt umgesetzt sein. Als allgemeine Übersicht über den Prozess 200 empfängt der Computer 102 eine Anweisung zum Ersetzen der Authentifizierungsschlüssel, erstellt eine Tabelle der Authentifizierungsschlüssel, verschlüsselt die Tabelle unter Verwendung eines ersten Schlüssels, überträgt die verschlüsselte Tabelle an das erste elektronische Steuermodul 104, überträgt die Authentifizierungsschlüssel an die elektronischen Steuermodule 104, 106 und überträgt die verschlüsselte Tabelle und den ersten Schlüssel an den entfernten Server 112.
Der Prozess 200 beginnt in einem Block 205, in dem der Computer 102 eine Anweisung empfängt, die Authentifizierungsschlüssel zu ersetzen, d. h., neue Authentifizierungsschlüssel zu verteilen, die die bestehenden, d. h. alten, Authentifizierungsschlüssel ersetzen, welche die elektronischen Steuermodule 104, 106 derzeit verwenden (falls vorhanden). Zum Beispiel kann der Computer 102 eine Autorisierungsnachricht empfangen, die eine Berechtigung zum Verteilen der Authentifizierungsschlüssel gewährt. Die Autorisierungsnachricht kann eine Ablaufzeit aufweisen. Die Anweisung kann dem Computer 102 über den Sendeempfänger 114 durch einen Techniker oder den entfernten Server 112 bereitgestellt werden.
Als Nächstes erzeugt der Computer 102 in einem Block 210 die Tabelle von neuen Authentifizierungsschlüsseln. Der Computer 102 kann ein beliebiges geeignetes Verfahren zum Erzeugen der neuen Authentifizierungsschlüssel verwenden, z. B. einen Pseudozufallsschlüsselgenerator, wie bekannt. Der Computer 102 erstellt die Tabelle durch Koppeln der neuen Authentifizierungsschlüssel mit den jeweiligen elektronischen Steuermodulen 104, 106.
Als nächstes verschlüsselt der Computer 102 in einem Block 215 die Tabelle unter Verwendung des ersten Schlüssels, der zu Verschlüsselungszwecken auf dem Computer 102 gespeichert ist. Die Verschlüsselung wandelt die Tabelle von Klartext in Chiffrentext um. Der Computer 102 speichert dann die verschlüsselte Tabelle im Speicher.
Als nächstes überträgt der Computer 102 in einem Block 220 die verschlüsselte Tabelle von dem Computer 102 über das drahtgebundene Fahrzeugkommunikationsnetzwerk 110 an das erste elektronische Steuermodul 104. Der Computer 102 überträgt den ersten Schlüssel nicht an das erste elektronische Steuermodul 104 und dem ersten elektronischen Steuermodul 104 fehlt der erste Schlüssel. Das erste elektronische Steuermodul 104 ist daher nicht dazu in der Lage, die verschlüsselte Tabelle zu entschlüsseln. Dies hilft beim Schutz der Integrität der verschlüsselten Tabelle.
Als nächstes überträgt der Computer 102 in einem Block 225 die neuen Authentifizierungsschlüssel von dem Computer 102 über das drahtgebundene Fahrzeugkommunikationsnetzwerk 110 an das entsprechende erste elektronische Steuermodul 104 und die entsprechenden zweiten elektronischen Steuermodule 106. Wenn ein alter Satz von Authentifizierungsschlüsseln verwendet worden wäre, verschlüsselt der Computer 102 die neuen Authentifizierungsschlüssel unter Verwendung der alten Authentifizierungsschlüssel, um die neuen Authentifizierungsschlüssel an das entsprechende erste elektronische Steuermodul 104 und die entsprechenden zweiten elektronischen Steuermodule 106 zu übertragen. Für eine anfängliche Verteilung von Authentifizierungsschlüsseln an die elektronischen Steuermodule 104, 106 (die typischerweise in einem Montagewerk durchgeführt wird) kann der Computer 102 die neuen Authentifizierungsschlüssel unverschlüsselt senden.
Als Nächstes überträgt der Computer 102 in einem Block 230 die verschlüsselte Tabelle und den ersten Schlüssel über den Sendeempfänger 114 an den entfernten Server 112. Der erste Schlüssel kann verschlüsselt sein, z. B. durch einen öffentlichen Schlüssel des entfernten Servers, was es dem entfernten Server 112 ermöglicht, den ersten Schlüssel mit einem privaten Schlüssel des entfernten Servers zu entschlüsseln, der nur dem entfernten Server 112 bekannt ist. Die verschlüsselte Tabelle kann auch durch den öffentlichen Schlüssel des entfernten Servers verschlüsselt werden. Nach dem Block 230 endet der Prozess 200.
3 ist ein Prozessablaufdiagramm, das einen beispielhaften Prozess 300 zum Aktualisieren der Authentifizierungsschlüssel nach dem Ersetzen des Computers 102 in dem Fahrzeug 100 veranschaulicht. Der Speicher des Computers 102 speichert ausführbare Anweisungen zum Ausführen der Schritte des Prozesses 300 und/oder eine Programmierung kann in Strukturen wie vorstehend erwähnt umgesetzt sein.
Unabhängig davon, ob der Ersatzcomputer 102 verwendet wird oder neu ist, hat der Ersatzcomputer 102 keinen Zugriff auf die Authentifizierungsschlüssel, die von den elektronischen Steuermodulen 104, 106 verwendet werden, wenn er installiert ist. Wenn der Ersatzcomputer 102 verwendet wird, dann hat der Ersatzcomputer 102 zuvor mit einem anderen ersten elektronischen Steuermodul 104 und anderen zweiten elektronischen Steuermodulen 106 in einem anderen Fahrzeug 100 interagiert. Die Authentifizierungsschlüssel, die der Ersatzcomputer 102 verwendet hatte, werden in dem neuen Fahrzeug 100 nicht verwendet, und die auf dem Ersatzcomputer 102 gespeicherte verschlüsselte Tabelle ist somit nicht anwendbar. Wenn der Ersatzcomputer 102 neu ist, dann ist auf dem Ersatzcomputer 102 keine verschlüsselte Tabelle gespeichert.
Als allgemeine Übersicht über den Prozess 300 empfängt der Computer 102 eine Angabe, dass der Computer 102 ein Ersatz ist, fordert eine zweite verschlüsselte Tabelle von dem ersten elektronischen Steuermodul 104 an, überträgt die zweite verschlüsselte Tabelle an den entfernten Server 112, empfängt eine dritte verschlüsselte Tabelle von dem entfernten Server 112, entschlüsselt die dritte verschlüsselte Tabelle und verwendet die alten Authentifizierungsschlüssel aus der entschlüsselten dritten verschlüsselten Tabelle, um den Prozess 200 zum Verteilen der neuen Authentifizierungsschlüssel durchzuführen. Wie nachstehend in Bezug auf einen Prozess 400 beschrieben, wird die zweite verschlüsselte Tabelle durch den entfernten Server 112 unter Verwendung des ersten Schlüssels entschlüsselt und neu verschlüsselt und dann als die dritte verschlüsselte Tabelle an den Ersatzcomputer 102 gesendet. Die zweite und dritte verschlüsselte Tabelle enthalten dieselben Authentifizierungsschlüssel, aber die dritte verschlüsselte Tabelle ist durch den Ersatzcomputer 102 entschlüsselbar, wohingegen die zweite verschlüsselte Tabelle dies nicht ist.
Der Prozess 300 beginnt in einem Block 305, in dem der Computer 102 eine Angabe empfängt, dass er ein Ersatzcomputer 102 ist. Zum Beispiel kann der Ersatzcomputer 102 eine Nachricht von einem Techniker, der den Austausch durchführt, über den Sendeempfänger 114 empfangen. Als ein anderes Beispiel kann der Ersatzcomputer 102 Nachrichten an die elektronischen Steuermodule 104, 106 übertragen und keine Bestätigungen empfangen oder Benachrichtigungen empfangen, dass die Nachrichten nicht entschlüsselbar waren.
Als Nächstes fordert der Ersatzcomputer 102 in einem Block 310 die zweite verschlüsselte Tabelle von dem ersten elektronischen Steuermodul 104 an. Die zweite verschlüsselte Tabelle wurde durch den Computer 102 vor dem Austausch an das erste elektronische Steuermodul 104 übertragen, wie vorstehend in Bezug auf den Block 220 beschrieben. Aus der Perspektive des Ersatzcomputers 102, der den Prozess 200 in einem anderen Fahrzeug 100 durchgeführt hat, wird die zweite verschlüsselte Tabelle als „zweite“ bezeichnet, da der Ersatzcomputer 102 die (erste) verschlüsselte Tabelle der in dem anderen Fahrzeug 100 verwendeten Authentifizierungsschlüssel speichert. Aus der Perspektive des ersten elektronischen Steuermoduls 104 und des übrigen Fahrzeugs 100 neben dem Ersatzcomputer 102 ist die zweite verschlüsselte Tabelle einfach die in dem Prozess 200 beschriebene verschlüsselte Tabelle. Die zweite verschlüsselte Tabelle wurde unter Verwendung eines zweiten Schlüssels verschlüsselt, bevor sie auf dem ersten elektronischen Steuermodul 104 gespeichert wurde, wie vorstehend in Bezug auf einen Block 215 beschrieben. Aus der Perspektive des Computers 102 vor dem Austausch ist der zweite Schlüssel der erste Schlüssel, wie vorstehend in Bezug auf den Prozess 200 beschrieben. Der zweite Schlüssel ist auf dem Computer 102 vor dem Austausch gespeichert, der aus dem Fahrzeug 100 entfernt wurde, dem Speicher des Ersatzcomputers 102 fehlt jedoch der zweite Schlüssel.
Als Nächstes überträgt der Ersatzcomputer 102 in einem Block 315 die zweite verschlüsselte Tabelle über den Sendeempfänger 114 an den entfernten Server 112. Wie nachstehend in Bezug auf den Prozess 400 beschrieben hat der entfernte Server 112 Zugriff auf den zweiten Schlüssel zum Entschlüsseln der zweiten Tabelle.
Als Nächstes empfängt der Ersatzcomputer 102 in einem Block 320 die dritte verschlüsselte Tabelle über den Sendeempfänger 114 von dem entfernten Server 112. Wie nachstehend in Bezug auf einen Prozess 400 beschrieben, erstellte der entfernte Server 112 die dritte verschlüsselte Tabelle durch Entschlüsseln der zweiten verschlüsselten Tabelle unter Verwendung des zweiten Schlüssels und Verschlüsseln der entschlüsselten zweiten verschlüsselten Tabelle unter Verwendung des ersten Schlüssels.
Als nächstes entschlüsselt der Ersatzcomputer 102 in einem Block 325 die dritte verschlüsselte Tabelle unter Verwendung des ersten Schlüssels. Der Ersatzcomputer 102 speichert den ersten Schlüssel im Speicher und die erste verschlüsselte Tabelle wurde unter Verwendung des ersten Schlüssels verschlüsselt.
Als Nächstes überträgt der Ersatzcomputer 102 neue Authentifizierungsschlüssel an die elektronischen Steuermodule 104, 106 unter Verwendung der alten Authentifizierungsschlüssel aus der entschlüsselten dritten verschlüsselten Tabelle, wobei dem vorstehend beschriebenen Prozess 200 gefolgt wird. Das Durchführen der Blöcke 305-325 dient als die Anweisung, die Authentifizierungsschlüssel für die Zwecke des Blocks 205 zu ersetzen. Die alten Authentifizierungsschlüssel aus der entschlüsselten dritten verschlüsselten Tabelle werden von dem Ersatzcomputer 102 in dem Block 225 verwendet, wenn die neuen Authentifizierungsschlüssel verteilt werden. Nachdem der Ersatzcomputer 102 den Prozess 200 durchgeführt hat, endet der Prozess 300.
4 ist ein Prozessablaufdiagramm, das einen beispielhaften Prozess 400 zum Unterstützen des Austauschens des Computers 102 in dem Fahrzeug 100 durch den entfernten Server 112 veranschaulicht. Der Speicher des entfernten Servers 112 speichert ausführbare Anweisungen zum Ausführen der Schritte des Prozesses 400 und/oder eine Programmierung kann in Strukturen wie vorstehend erwähnt umgesetzt sein. Als allgemeine Übersicht über den Prozess 400 empfängt der entfernte Server 112 eine verschlüsselte Tabelle (die zweite verschlüsselte Tabelle aus der Perspektive des Ersatzcomputers 102) von dem Ersatzcomputer 102, entschlüsselt die verschlüsselte Tabelle und identifiziert den auf dem Ersatzcomputer gespeicherten Schlüssel 102 (der erste Schlüssel aus der Perspektive des Ersatzcomputers 102 und der zweite Schlüssel aus der Perspektive des übrigen Fahrzeugs 100), verschlüsselt die entschlüsselte Tabelle unter Verwendung des Schlüssels und überträgt die neu verschlüsselte Tabelle (die dritte verschlüsselte Tabelle aus die Perspektive des Ersatzcomputers 102) an den Ersatzcomputer 102.
Der Prozess 400 beginnt in einem Block 405, in dem der entfernte Server 112 die verschlüsselte Tabelle von dem Ersatzcomputer 102 zusammen mit Identifizierungsinformationen für den Ersatzcomputer 102 empfängt. Die identifizierenden Informationen können z. B. eine Seriennummer des Ersatzcomputers 102 oder der Schlüssel des Ersatzcomputers 102 sein. Die identifizierenden Informationen können unter Verwendung eines öffentlichen Schlüssels des entfernten Servers 112 verschlüsselt werden, wobei in diesem Fall der entfernte Server 112 die identifizierenden Informationen unter Verwendung des privaten Schlüssels des entfernten Servers entschlüsselt.
Als nächstes entschlüsselt der entfernte Server 112 in einem Block 410 die verschlüsselte Tabelle unter Verwendung des Schlüssels des Ersatzcomputers 102. Identifizierungsinformationen für den Computer 102 vor dem Austausch können an den entfernten Server 112 übertragen werden, z. B. durch einen Techniker, der den Austausch durchführt.
Als Nächstes identifiziert der entfernte Server 112 in einem Block 415 den Schlüssel des Ersatzcomputers 102 auf Grundlage der in dem Block 405 bereitgestellten Identifizierungsinformationen. Auf dem entfernten Server 112 können die gespeicherten Schlüssel gepaart mit den identifizierenden Informationen einer Vielzahl der Computer 102 gespeichert sein.
Als Nächstes verschlüsselt der entfernte Server 112 in einem Block 420 die entschlüsselte Tabelle unter Verwendung des Schlüssels des Ersatzcomputers 102, d. h. des ersten Schlüssels aus der Perspektive des Ersatzcomputers 102 und des zweiten Schlüssels aus der Perspektive des Rests des Fahrzeugs 100.
Als Nächstes überträgt der entfernte Server 112 in einem Block 425 die neu verschlüsselte Tabelle an den Ersatzcomputer 102. Der Ersatzcomputer 102 ist nun dazu in der Lage, die neu verschlüsselte Tabelle (die dritte verschlüsselte Tabelle aus der Perspektive des Ersatzcomputers 102) zu entschlüsseln. Nach dem Block 425 endet der Prozess 400.
Im Allgemeinen können die beschriebenen Rechensysteme und/oder -vorrichtungen ein beliebiges aus einer Reihe von Computerbetriebssystemen einsetzen, einschliel lich unter anderem Versionen und/oder Varianten der Anwendung Ford Sync®, der Middleware AppLink/Smart Device Link, des Betriebssystems Microsoft Automotive®, des Betriebssystems Microsoft Windows®, des Betriebssystems Unix (z. B. des Betriebssystems Solaris®, vertrieben durch die Oracle Corporation in Redwood Shores, Kalifornien), des Betriebssystems AIX UNIX, vertrieben durch International Business Machines in Armonk, New York, des Betriebssystems Linux, der Betriebssysteme Mac OSX und iOS, vertrieben durch die Apple Inc. in Cupertino, Kalifornien, des BlackBerry OS, vertrieben durch die Blackberry, Ltd. in Waterloo, Kanada, und des Betriebssystems Android, entwickelt durch die Google, Inc. und die Open Handset Alliance, oder der QNX® CAR Platform for Infotainment, angeboten durch QNX Software Systems. Beispiele für Rechenvorrichtungen beinhalten unter anderem einen im Fahrzeug integrierten Computer, einen Arbeitsplatzcomputer, einen Server, einen Desktop-, einen Notebook-, einen Laptop- oder einen Handcomputer oder ein anderes Rechensystem und/oder eine andere Rechenvorrichtung.
Rechenvorrichtungen beinhalten im Allgemeinen computerausführbare Anweisungen, wobei die Anweisungen durch eine oder mehrere Rechenvorrichtungen ausgeführt werden können, wie etwa durch die vorstehend aufgeführten. Computerausführbare Anweisungen können von Computerprogrammen zusammengestellt oder ausgewertet werden, die unter Verwendung einer Vielfalt von Programmiersprachen und/oder -technologien erstellt wurden, einschliel lich unter anderem und entweder für sich oder in Kombination Java™, C, C++, Matlab, Simulink, Stateflow, Visual Basic, Java Script, Python, Perl, HTML usw. Einige dieser Anwendungen können auf einer virtuellen Maschine zusammengestellt und ausgeführt werden, wie etwa der Java Virtual Machine, der Dalvik Virtual Machine oder dergleichen. Im Allgemeinen empfängt ein Prozessor (z. B. ein Mikroprozessor) Anweisungen, z. B. von einem Speicher, einem computerlesbaren Medium usw., und führt diese Anweisungen aus, wodurch er einen oder mehrere Prozesse durchführt, einschliel lich eines oder mehrerer der in dieser Schrift beschriebenen Prozesse. Derartige Anweisungen und andere Daten können unter Verwendung einer Vielfalt von computerlesbaren Medien gespeichert und übertragen werden. Eine Datei in einer Rechenvorrichtung ist im Allgemeinen eine Sammlung von Daten, die auf einem computerlesbaren Medium, wie etwa einem Speichermedium, einem Direktzugriffsspeicher usw., gespeichert ist.
Ein computerlesbares Medium (auch als prozessorlesbares Medium bezeichnet) beinhaltet ein beliebiges nichttransitorisches (z. B. physisches) Medium, das am Bereitstellen von Daten (z. B. Anweisungen) beteiligt ist, die durch einen Computer (z. B. durch einen Prozessor eines Computers) gelesen werden können. Ein derartiges Medium kann viele Formen annehmen, die unter anderem nichtflüchtige Medien und flüchtige Medien beinhalten. Nichtflüchtige Medien können zum Beispiel Bild- und Magnetplatten und anderen dauerhafter Speicher beinhalten. Flüchtige Medien können zum Beispiel einen dynamischen Direktzugriffsspeicher (dynamic random access memory - DRAM) beinhalten, der üblicherweise einen Hauptspeicher darstellt. Derartige Anweisungen können durch ein oder mehrere Übertragungsmedien übertragen werden, einschliel lich Koaxialkabel, Kupferdraht und Glasfaser, einschliel lich der Drähte, die einen an einen Prozessor einer ECU gekoppelten Systembus umfassen. Gängige Formen computerlesbarer Medien beinhalten zum Beispiel Folgendes: eine Diskette, eine Folienspeicherplatte, eine Festplatte, ein Magnetband, ein beliebiges anderes magnetisches Medium, eine CD-ROM, eine DVD, ein beliebiges anderes optisches Medium, Lochkarten, Lochstreifen, ein beliebiges anderes physisches Medium mit Lochmustern, einen RAM, einen PROM, einen EPROM, einen FLASH-EEPROM, einen beliebigen anderen Speicherchip oder eine beliebige andere Speicherkassette oder ein beliebiges anderes Medium, das von einem Computer ausgelesen werden kann.
Datenbanken, Datendepots oder andere Datenspeicher, die in dieser Schrift beschrieben sind, können verschiedene Arten von Mechanismen zum Speichern von, Zugreifen auf und Abrufen von verschiedenen Arten von Daten beinhalten, einschliel lich einer hierarchischen Datenbank, eines Datensatzes in einem Dateisystem, einer Anwendungsdatenbank in einem proprietären Format, eines relationalen Datenbankverwaltungssystems (relational database management system - RDBMS), einer nicht relationalen Datenbank (NoSQL), einer Graphdatenbank (graph database - GDB) usw. Jeder derartige Datenspeicher ist im Allgemeinen innerhalb einer Rechenvorrichtung beinhaltet, die ein Computerbetriebssystem, wie etwa eines der vorstehend erwähnten, verwendet, und es wird auf eine oder mehrere von einer Vielfalt von Weisen über ein Netzwerk darauf zugegriffen. Auf ein Dateisystem kann von einem Computerbetriebssystem zugegriffen werden und es kann Dateien beinhalten, die in verschiedenen Formaten gespeichert sind. Ein RDBMS setzt im Allgemeinen die Structured Query Language (SQL) zusätzlich zu einer Sprache zum Erzeugen, Speichern, Editieren und Ausführen gespeicherter Prozeduren ein, wie etwa die vorstehend erwähnte PL/SQL-Sprache.
In einigen Beispielen können Systemelemente als computerlesbare Anweisungen (z. B. Software) auf einer oder mehreren Rechenvorrichtungen (z. B. Servern, Personal Computern usw.) umgesetzt sein, die auf diesen zugeordneten computerlesbaren Medien (z. B. Platten, Speichern usw.) gespeichert sind. Ein Computerprogrammprodukt kann derartige auf computerlesbaren Medien gespeicherte Anweisungen zum Ausführen der in dieser Schrift beschriebenen Funktionen umfassen.
In den Zeichnungen geben gleiche Bezugszeichen die gleichen Elemente an. Ferner könnten einige oder alle dieser Elemente verändert werden. Hinsichtlich der hier beschriebenen Medien, Prozesse, Systeme, Verfahren, Heuristiken usw. versteht es sich, dass die Schritte derartiger Prozesse usw. zwar als gemäl einer bestimmten Reihenfolge erfolgend beschrieben worden sind, derartige Prozesse jedoch so umgesetzt werden könnten, dass die beschriebenen Schritte in einer Reihenfolge durchgeführt werden, die von der hier beschriebenen Reihenfolge abweicht. Es versteht sich ferner, dass bestimmte Schritte gleichzeitig durchgeführt, andere Schritte hinzugefügt oder bestimmte in dieser Schrift beschriebene Schritte weggelassen werden könnten.
Allen in den Patentansprüchen verwendeten Ausdrücken soll deren allgemeine und gewöhnliche Bedeutung zukommen, wie sie vom Fachmann verstanden wird, sofern in dieser Schrift nicht ausdrücklich etwas anderes angegeben ist. Insbesondere ist die Verwendung der Singularartikel wie etwa „ein“, „eine“, „der“, „die“, „das“ usw., dahingehend auszulegen, dass ein oder mehrere der angegebenen Elemente genannt werden, sofern ein Anspruch nicht eine ausdrückliche gegenteilige Einschränkung enthält. Die Verwendung von „als Reaktion auf“ und „wenn bestimmt wurde“ gibt eine kausale Beziehung an, nicht nur eine rein temporale Beziehung. Die Adjektive „erster“, „zweiter“ und „dritter“ werden in dieser Schrift als Identifikatoren verwendet und sind nicht dazu gedacht, eine Bedeutung, Reihenfolge oder Menge anzuzeigen.
Die Offenbarung ist auf veranschaulichende Weise beschrieben worden und es versteht sich, dass die Terminologie, die verwendet worden ist, beschreibenden und nicht einschränkenden Charakters sein soll. In Anbetracht der vorstehenden Lehren sind viele Modifikationen und Variationen der vorliegenden Offenbarung möglich und kann die Offenbarung anders als konkret beschrieben umgesetzt werden.
Gemäl der vorliegenden Erfindung ist ein System bereitgestellt, das Folgendes aufweist: einen Computer; ein erstes elektronisches Steuermodul; und ein drahtgebundenes Fahrzeugkommunikationsnetzwerk, das den Computer und das erste elektronische Steuermodul koppelt; wobei der Computer zu Folgendem programmiert ist: Übertragen von Authentifizierungsschlüsseln an das erste elektronische Steuermodul und eine Vielzahl von zweiten elektronischen Steuermodulen über das drahtgebundene Fahrzeugkommunikationsnetzwerk; Verschlüsseln einer Tabelle der Authentifizierungsschlüssel unter Verwendung eines ersten Schlüssels; Speichern der verschlüsselten Tabelle; Übertragen der verschlüsselten Tabelle an das erste elektronische Steuermodul über das drahtgebundene Fahrzeugkommunikationsnetzwerk; und Übertragen der verschlüsselten Tabelle und des ersten Schlüssels an einen entfernten Server, der von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk beabstandet ist.
Gemäl einer Ausführungsform fehlt dem ersten elektronischen Steuermodul der erste Schlüssel.
Gemäl einer Ausführungsform ist der Computer ferner dazu programmiert, eine zweite verschlüsselte Tabelle von dem ersten elektronischen Steuermodul anzufordern, ist die zweite verschlüsselte Tabelle unter Verwendung eines zweiten Schlüssels verschlüsselt und fehlt dem Computer der zweite Schlüssel.
Gemäl einer Ausführungsform ist der Computer ferner dazu programmiert, die zweite verschlüsselte Tabelle an den entfernten Server zu übertragen; eine dritte verschlüsselte Tabelle von dem entfernten Server zu empfangen, wobei die dritte verschlüsselte Tabelle die zweite verschlüsselte Tabelle ist, die unter Verwendung des zweiten Schlüssels entschlüsselt und unter Verwendung des ersten Schlüssels verschlüsselt wurde; und die dritte verschlüsselte Tabelle unter Verwendung des ersten Schlüssels zu entschlüsseln.
Gemäl einer Ausführungsform ist der Computer ferner dazu programmiert, neue Authentifizierungsschlüssel unter Verwendung von alten Authentifizierungsschlüsseln aus der entschlüsselten dritten verschlüsselten Tabelle an das erste elektronische Steuermodul und die zweiten elektronischen Steuermodule zu übertragen.
Gemäl einer Ausführungsform speichert der Computer den ersten Schlüssel.
Gemäl der vorliegenden Erfindung ist ein Computer bereitgestellt, der einen Prozessor und einen Speicher aufweist, der Anweisungen speichert, die durch den Prozessor zu Folgendem ausführbar sind: Übertragen von Authentifizierungsschlüsseln über ein drahtgebundenes Fahrzeugkommunikationsnetzwerk an ein erstes elektronisches Steuermodul und eine Vielzahl von zweiten elektronischen Steuermodulen an Bord eines Fahrzeugs; Verschlüsseln einer Tabelle der Authentifizierungsschlüssel unter Verwendung eines ersten Schlüssels; Speichern der verschlüsselten Tabelle; Übertragen der verschlüsselten Tabelle an das erste elektronische Steuermodul; und Übertragen der verschlüsselten Tabelle und des ersten Schlüssels an einen entfernten Server, der von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk beabstandet ist.
Gemäl einer Ausführungsform beinhalten die Anweisungen keine Anweisungen zum Übertragen des ersten Schlüssels an das erste elektronische Steuermodul.
Gemäl einer Ausführungsform beinhalten die Anweisungen Anweisungen dazu, eine zweite verschlüsselte Tabelle von dem ersten elektronischen Steuermodul anzufordern, und ist die zweite verschlüsselte Tabelle unter Verwendung eines zweiten Schlüssels verschlüsselt.
Gemäl einer Ausführungsform beinhalten die Anweisungen Anweisungen dazu, die zweite verschlüsselte Tabelle an den entfernten Server zu übertragen; eine dritte verschlüsselte Tabelle von dem entfernten Server zu empfangen, wobei die dritte verschlüsselte Tabelle die zweite verschlüsselte Tabelle ist, die unter Verwendung des zweiten Schlüssels entschlüsselt und unter Verwendung des ersten Schlüssels verschlüsselt wurde; und die dritte verschlüsselte Tabelle unter Verwendung des ersten Schlüssels zu entschlüsseln.
Gemäl einer Ausführungsform beinhalten die Anweisungen Anweisungen dazu, neue Authentifizierungsschlüssel unter Verwendung von alten Authentifizierungsschlüsseln aus der entschlüsselten dritten verschlüsselten Tabelle an das erste elektronische Steuermodul und die zweiten elektronischen Steuermodule zu übertragen.
Gemäß einer Ausführungsform speichert der Speicher den ersten Schlüssel.
Gemäß einer Ausführungsform fehlt dem Computer der zweite Schlüssel.
Gemäß der vorliegenden Erfindung beinhaltet ein Verfahren Folgendes: Übertragen von Authentifizierungsschlüsseln über ein drahtgebundenes Fahrzeugkommunikationsnetzwerk von einem Computer an ein erstes elektronisches Steuermodul und eine Vielzahl von zweiten elektronischen Steuermodulen an Bord eines Fahrzeugs; Verschlüsseln einer Tabelle der Authentifizierungsschlüssel durch den Computer unter Verwendung eines ersten Schlüssels; Speichern der verschlüsselten Tabelle durch den Computer; Übertragen der verschlüsselten Tabelle von dem Computer an das erste elektronische Steuermodul; und Übertragen der verschlüsselten Tabelle und des ersten Schlüssels von dem Computer an einen entfernten Server, der von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk beabstandet ist.
In einem Aspekt der Erfindung fehlt dem ersten elektronischen Steuermodul der erste Schlüssel.
In einem Aspekt der Erfindung beinhaltet das Verfahren Anfordern der verschlüsselten Tabelle von dem ersten elektronischen Steuermodul durch einen Ersatzcomputer, der den Computer ersetzt, wobei dem Ersatzcomputer der erste Schlüssel fehlt.
In einem Aspekt der Erfindung beinhaltet das Verfahren Folgendes: Übertragen der verschlüsselten Tabelle von dem Ersatzcomputer an den entfernten Server; dann Empfangen einer neu verschlüsselten Tabelle von dem entfernten Server durch den Ersatzcomputer, wobei die neu verschlüsselte Tabelle die durch einen zweiten Schlüssel verschlüsselte Tabelle ist; und Entschlüsseln der neu verschlüsselten Tabelle durch den Ersatzcomputer unter Verwendung des zweiten Schlüssels.
In einem Aspekt der Erfindung beinhaltet das Verfahren Übertragen von neuen Authentifizierungsschlüsseln von dem Ersatzcomputer an das erste elektronische Steuermodul und die zweiten elektronischen Steuermodule unter Verwendung der Authentifizierungsschlüssel aus der entschlüsselten neu verschlüsselten Tabelle.
In einem Aspekt der Erfindung speichert der Ersatzcomputer den zweiten Schlüssel, bevor er die neu verschlüsselte Tabelle empfängt.
In einem Aspekt der Erfindung beinhaltet das Verfahren Folgendes: Empfangen der verschlüsselten Tabelle von dem Ersatzcomputer durch den entfernten Server; Entschlüsseln der verschlüsselten Tabelle durch den entfernten Server; Identifizieren des zweiten Schlüssels auf Grundlage einer Identität des elektronischen Ersatzsteuermoduls durch den entfernten Server; Verschlüsseln der entschlüsselten Tabelle unter Verwendung des zweiten Schlüssels, um durch den entfernten Server eine neu verschlüsselte Tabelle zu erzeugen; und Übertragen der neu verschlüsselten Tabelle von dem entfernten Server an den Ersatzcomputer.

Claims

Verfahren, das Folgendes umfasst: Übertragen von Authentifizierungsschlüsseln über ein drahtgebundenes Fahrzeugkommunikationsnetzwerk von einem Computer an ein erstes elektronisches Steuermodul und eine Vielzahl von zweiten elektronischen Steuermodulen an Bord eines Fahrzeugs; Verschlüsseln einer Tabelle der Authentifizierungsschlüssel durch den Computer unter Verwendung eines ersten Schlüssels; Speichern der verschlüsselten Tabelle durch den Computer; Übertragen der verschlüsselten Tabelle von dem Computer an das erste elektronische Steuermodul; und Übertragen der verschlüsselten Tabelle und des ersten Schlüssels von dem Computer an einen entfernten Server, der von dem drahtgebundenen Fahrzeugkommunikationsnetzwerk beabstandet ist.
Verfahren nach Anspruch 1, wobei dem ersten elektronischen Steuermodul der erste Schlüssel fehlt.
Verfahren nach Anspruch 1, das ferner Anfordern der verschlüsselten Tabelle von dem ersten elektronischen Steuermodul durch einen Ersatzcomputer umfasst, der den Computer ersetzt, wobei dem Ersatzcomputer der erste Schlüssel fehlt.
Verfahren nach Anspruch 3, das ferner Folgendes umfasst: Übertragen der verschlüsselten Tabelle von dem Ersatzcomputer an den entfernten Server; dann Empfangen einer neu verschlüsselten Tabelle von dem entfernten Server durch den Ersatzcomputer, wobei die neu verschlüsselte Tabelle die durch einen zweiten Schlüssel verschlüsselte Tabelle ist; und Entschlüsseln der neu verschlüsselten Tabelle durch den Ersatzcomputer unter Verwendung des zweiten Schlüssels.
Verfahren nach Anspruch 4, das ferner Übertragen von neuen Authentifizierungsschlüsseln von dem Ersatzcomputer an das erste elektronische Steuermodul und die zweiten elektronischen Steuermodule unter Verwendung der Authentifizierungsschlüssel aus der entschlüsselten neu verschlüsselten Tabelle umfasst.
Verfahren nach Anspruch 4, wobei der Ersatzcomputer den zweiten Schlüssel speichert, bevor er die neu verschlüsselte Tabelle empfängt.
Verfahren nach Anspruch 4, das ferner Folgendes umfasst: Empfangen der verschlüsselten Tabelle von dem Ersatzcomputer durch den entfernten Server; Entschlüsseln der verschlüsselten Tabelle durch den entfernten Server; Identifizieren des zweiten Schlüssels auf Grundlage einer Identität des elektronischen Ersatzsteuermoduls durch den entfernten Server; Verschlüsseln der entschlüsselten Tabelle unter Verwendung des zweiten Schlüssels, um die neu verschlüsselte Tabelle durch den entfernten Server zu erzeugen; und Übertragen der neu verschlüsselten Tabelle von dem entfernten Server an den Ersatzcomputer.
Computer, der einen Prozessor und einen Speicher umfasst, der durch den Prozessor ausführbare Anweisungen speichert, um das Verfahren nach einem der Ansprüche 1-6 durchzuführen.
System, das Folgendes umfasst: den Computer nach Anspruch 8; das erste elektronische Steuermodul; und das drahtgebundene Fahrzeugkommunikationsnetzwerk, das den Computer und das erste elektronische Steuermodul koppelt.