DE102022130306A1

DE102022130306A1 - Method for processing messages, method for operating at least one device of a motor vehicle, device for processing messages and motor vehicle

Info

Publication number: DE102022130306A1
Application number: DE102022130306.3A
Authority: DE
Inventors: Joerg Wleklik; Tobias Weiss; Marcus Lindemann; Artur Kulgawczuk
Original assignee: Cariad SE
Current assignee: Cariad SE
Priority date: 2022-11-16
Filing date: 2022-11-16
Publication date: 2024-05-16

Abstract

Bei einem Verfahren zum Verarbeiten von Nachrichten, insbesondere in einem Kraftfahrzeug, werden empfangene Nachrichten in zumindest zwei verschiedene Gruppen eingeteilt. Erfindungsgemäß erfolgt eine Sicherheitsüberprüfung bei einkommenden Nachrichten, die unterschiedlichen Gruppen zugehörig sind, gemäß unterschiedlicher Prüfungsverfahren.In a method for processing messages, in particular in a motor vehicle, received messages are divided into at least two different groups. According to the invention, a security check is carried out on incoming messages that belong to different groups according to different checking methods.

Description

Die Erfindung betrifft ein Verfahren zum Verarbeiten von Nachrichten, insbesondere in einem Kraftfahrzeug. Sie betrifft auch ein Verfahren zum Betreiben zumindest einer Einrichtung eines Kraftfahrzeugs. Sie betrifft zudem eine Vorrichtung zum Verarbeiten von Nachrichten und ein Kraftfahrzeug mit einer solchen Vorrichtung.The invention relates to a method for processing messages, in particular in a motor vehicle. It also relates to a method for operating at least one device of a motor vehicle. It also relates to a device for processing messages and a motor vehicle with such a device.

Die Erfindung knüpft an Techniken an, die im Rahmen der Fahrzeug-zu-X-Kommunikation entwickelt worden sind, ist aber gleichermaßen auch anwendbar auf innerhalb des Kraftfahrzeugs erfolgenden Austausch von Nachrichten, zum Beispiel von einem Steuergerät zu einem anderen Steuergerät oder von einem Sensor zu einem Steuergerät, und dergleichen. Sie ist auch anwendbar, wenn die empfangenen Nachrichten sowohl extern als auch intern erzeugt werdenThe invention is based on techniques that have been developed in the context of vehicle-to-X communication, but is equally applicable to the exchange of messages within the motor vehicle, for example from one control unit to another control unit or from a sensor to a control unit, and the like. It is also applicable if the received messages are generated both externally and internally.

Gerade bei der Nachrichtenübermittlung zu einem Kraftfahrzeug, etwa von einem anderen Kraftfahrzeug oder einer Infrastruktureinrichtung, muss gewährleistet sein, dass das Kraftfahrzeug sehr schnell einen in der Nachricht enthaltenen Befehl umsetzt. Je nach Nachrichtenaufkommen kann es hierbei zu sogenannten Flaschenhälsen („bottle necks“) kommen, d.h. es können sehr viele Nachrichten auftreten, die nicht alle zugleich verarbeitet werden können. In diesem Zusammenhang soll gleichwohl gewährleistet sein, dass das Kraftfahrzeug nicht einen Befehl umsetzt, der von einer nicht berechtigten Einheit abgegeben und an das Kraftfahrzeug gesandt worden ist. Aus diesem Grunde ist eine Sicherheitsüberprüfung (gemäß einem Sicherheitsprotokoll) vorgesehen. Diese Sicherheitsüberprüfung sorgt nun allerdings gerade für eine verlängerte Wartezeit.Particularly when transmitting messages to a motor vehicle, for example from another motor vehicle or an infrastructure facility, it must be ensured that the motor vehicle implements a command contained in the message very quickly. Depending on the volume of messages, bottlenecks can occur, i.e. a large number of messages can occur that cannot all be processed at the same time. In this context, it must also be ensured that the motor vehicle does not implement a command that was issued by an unauthorized unit and sent to the motor vehicle. For this reason, a security check (in accordance with a security protocol) is provided. However, this security check now results in an extended waiting time.

Mit dieser Fragestellung befasst sich die DE 10 2016 217 100 A1 . Gemäß dem darin beschriebenen Verfahren zum Verarbeiten von Fahrzeug-zu-X-Nachrichten werden Datenpakete nach Relevanz geordnet und verifiziert (also der Sicherheitsüberprüfung unterzogen). Gemäß der Relevanz der Datenpakete wird die Überprüfungsreihenfolge der Nachrichten festgelegt. Das eigentliche Prüfungsverfahren bei der Sicherheitsüberprüfung ist hierbei allerdings einheitlich.This question is addressed by the EN 10 2016 217 100 A1 According to the procedure described therein for processing vehicle-to-X messages, data packets are sorted by relevance and verified (i.e. subjected to security checks). The order in which the messages are checked is determined according to the relevance of the data packets. However, the actual checking procedure for the security check is uniform.

Die DE 10 2012 210 059 A1 beschreibt ebenfalls ein Verfahren zur Verifikation von Datenpaketen mittels eines Steuergeräts. Dieses Verfahren geht von einem Ansatz aus, Datenpakete je nach Relevanz einer Authentifizierung zuzuführen oder gar gänzlich zu verwerfen. Die Sicherheitsrelevanz der Datenpakete ist gemäß dieser Druckschrift nicht nur von einem Abstand des Senders des Datenpakets zum eigenen Fahrzeug, sondern auch von der Art oder Lage des Sendegeräts abhängig. So können beispielsweise Nachrichten von Infrastruktureinrichtungen eine höhere Relevanz erhalten. Die einmal geordneten Datenpakete werden einem einheitlichen Sicherheitsüberprüfungsverfahren zugeordnet, das als Nebenprodukt - nach längerer Zeit - zur Folge haben kann, dass einzelne Datenpakete verworfen werden.The EN 10 2012 210 059 A1 also describes a method for verifying data packets using a control unit. This method is based on an approach to authenticate data packets depending on their relevance or even to discard them completely. According to this document, the security relevance of the data packets depends not only on the distance between the sender of the data packet and the vehicle itself, but also on the type or location of the transmitter. For example, messages from infrastructure facilities can be given greater relevance. Once the data packets have been sorted, they are assigned to a uniform security check procedure, which as a byproduct - after a longer period of time - can result in individual data packets being discarded.

Nachfolgend wird die Verarbeitung von Nachrichten besprochen, die ihrerseits als Datenpakete vorliegen.The following discusses the processing of messages that are in the form of data packets.

Es ist Aufgabe der Erfindung, einen Weg aufzuzeigen, wie beim Verarbeiten von Nachrichten ein darin enthaltener Befehl mit geeigneter Schnelligkeit umgesetzt werden kann.It is the object of the invention to show a way how, when processing messages, a command contained therein can be implemented with suitable speed.

Die Aufgabe wird durch ein Verfahren zum Verarbeiten von Nachrichten gemäß Patentanspruch 1, ein Verfahren zum Betreiben zumindest einer Einrichtung eines Kraftfahrzeugs mit den Merkmalen gemäß Patentanspruch 6, einer Vorrichtung zum Verarbeiten von Nachrichten mit den Merkmalen gemäß Patentanspruch 9 und durch ein Kraftfahrzeug gemäß Patentanspruch 10, mit einer solchen Vorrichtung, gelöst.The object is achieved by a method for processing messages according to patent claim 1, a method for operating at least one device of a motor vehicle with the features according to patent claim 6, a device for processing messages with the features according to patent claim 9 and by a motor vehicle according to patent claim 10, with such a device.

Bei dem erfindungsgemäßen Verfahren zum Verarbeiten von Nachrichten, insbesondere in einem Kraftfahrzeug, ist vorgesehen, dass empfangene Nachrichten in zumindest zwei verschiedene Gruppen eingeteilt werden. Eine Sicherheitsüberprüfung erfolgt bei einkommenden Nachrichten, die unterschiedlichen Gruppen zugehörig sind, gemäß unterschiedlicher Prüfungsverfahren. Mit anderen Worten wird Nachrichten, die einer ersten Gruppe zugehörig sind, ein erstes Prüfungsverfahren zugeordnet, und Nachrichten, die einer zweiten Gruppe zugehörig sind, wird ein zweites Prüfungsverfahren zugeordnet, gegebenenfalls gibt es auch noch dritte, vierte, fünfte Gruppen, denen jeweilige dritte, vierte, fünfte Prüfungsverfahren zugeordnet sind, die zueinander und zu den ersten und zweiten Prüfungsverfahren unterschiedlich sind.In the method according to the invention for processing messages, in particular in a motor vehicle, it is provided that received messages are divided into at least two different groups. A security check is carried out on incoming messages that belong to different groups according to different checking methods. In other words, messages that belong to a first group are assigned a first checking method, and messages that belong to a second group are assigned a second checking method. If necessary, there are also third, fourth, fifth groups, to which respective third, fourth, fifth checking methods are assigned, which are different from one another and from the first and second checking methods.

Die Erfindung beruht auf der Erkenntnis, dass bei den Verfahren gemäß dem Stand der Technik in einem einheitlichen Prüfungsverfahren Nachrichten (Datenpakete) gewissermaßen „mitgeschleppt“ werden, die zwar aufgrund ihrer geringen Sicherheitsrelevanz in dem Verfahren erst zu einem späten Zeitpunkt der Sicherheitsüberprüfung unterzogen werden, oder gegebenenfalls sogar überhaupt nicht, aber gleichwohl in einem Verarbeitungsstapel und dergleichen vorgehalten werden.The invention is based on the finding that in the methods according to the prior art, messages (data packets) are, so to speak, "dragged along" in a uniform checking procedure, which, due to their low security relevance, are only subjected to the security check at a late point in the process, or possibly not even at all, but are nevertheless kept in a processing stack and the like.

Gemäß einer bevorzugten Ausführungsform der Erfindung erfüllen Nachrichten einer ersten Gruppe ein erstes vorbestimmtes Kriterium, das sie als wenig sicherheitsrelevant und/oder häufig vorkommend klassifiziert. Das dieser ersten Gruppe zugehörige erste Prüfungsverfahren beinhaltet, dass nur ein vorbestimmter Teil der Nachrichten der Gruppe für sich einer eigenen Sicherheitsüberprüfung unterzogen wird (und dazu etwa einem Verarbeitungsstapel für die Überprüfung zugeführt werden), wobei dieser Teil der Nachrichten nur dann verarbeitet wird, wenn ein Ergebnis der Sicherheitsüberprüfung positiv ist, und dass alle anderen Nachrichten der ersten Gruppe unmittelbar verarbeitet werden (ohne einem Verarbeitungsstapel für die Überprüfung zugeführt zu werden). Dieser Aspekt unterscheidet sich von einem bloßen zufälligen Ausscheiden von wenig sicherheitsrelevanten Nachrichten darin, dass der der eigenen Sicherheitsüberprüfung unterzogene Teil der Nachrichten ein vorbestimmter Teil derselben ist. So kann beispielsweise vorgesehen sein, dass jede N-te Nachricht ihrer eigenen Sicherheitsüberprüfung unterzogen wird, wobei N eine sehr große Zahl ist, die vorzugsweise größer als 50 und weiter vorzugsweise größer als 100 und besonders vorzugsweise größer als 400 ist, un die beispielsweise einen Wert von zwischen 950 und 1100 hat. Diese Ausführungsform unterscheidet sich auch vom Stand der Technik darin, dass alle anderen, nicht zum vorbestimmten Teil der Nachrichten gehörenden Nachrichten der ersten Gruppe unmittelbar verarbeitet werden, was für eine besondere Beschleunigung sorgt. Diese Ausführungsform macht sich die Erkenntnis zunutze, dass manche Nachrichten selbst im Falle, dass sie der Sicherheitsüberprüfung nicht standhalten, letztlich keinen großen Schaden beim Betrieb des Kraftfahrzeugs bewirken können. So können etwa Nachrichten der ersten Gruppe angeben, wie ein im Kraftfahrzeug angeordneter Lautsprecher, eine Klimatisierungsanlage und dergleichen anzusteuern ist. Der vorbestimmte Teil kann sich ändern, etwa durch ein Lernen des Systems: Treten bei den Stichproben doch häufiger Fehlermeldungen auf, kann das System zum Beispiel selbsttätig die Zahl N verringernAccording to a preferred embodiment of the invention, messages of a first group meet a first predetermined criterion that classified as having little security relevance and/or occurring frequently. The first checking method associated with this first group includes that only a predetermined part of the messages in the group are subjected to their own security check (and are fed to a processing stack for checking, for example), whereby this part of the messages is only processed if the result of the security check is positive, and that all other messages in the first group are processed immediately (without being fed to a processing stack for checking). This aspect differs from a mere random elimination of messages with little security relevance in that the part of the messages subjected to their own security check is a predetermined part of the same. For example, it can be provided that every Nth message is subjected to its own security check, whereby N is a very large number, which is preferably greater than 50 and more preferably greater than 100 and particularly preferably greater than 400, and which has, for example, a value of between 950 and 1100. This embodiment also differs from the prior art in that all other messages in the first group that do not belong to the predetermined part of the messages are processed immediately, which makes for a particularly rapid process. This embodiment makes use of the knowledge that some messages, even if they do not pass the safety check, ultimately cannot cause great damage to the operation of the motor vehicle. For example, messages in the first group can specify how a loudspeaker, an air conditioning system and the like arranged in the motor vehicle are to be controlled. The predetermined part can change, for example through learning of the system: if error messages occur more frequently in the samples, the system can, for example, automatically reduce the number N.

Gemäß einer Ausführungsform, die alternativ oder zusätzlich zur vorbeschriebenen Ausführungsform vorgesehen sein kann, erfüllen Nachrichten einer zweiten Gruppe ein zweites vorbestimmtes Kriterium, welches sie als einem zweiten Prüfungsverfahren zugänglich kennzeichnet, wobei das der zweiten Gruppe zugehörige zweite Prüfungsverfahren beinhaltet, dass unmittelbar eine Verarbeitung der Nachricht eingeleitet wird und zugleich eine Sicherheitsüberprüfung der Nachricht erfolgt, wobei ein Abschluss der Verarbeitung dieser Nachricht nur erfolgt, wenn ein Ergebnis der Sicherheitsüberprüfung positiv ist. Die Nachrichten der zweiten Gruppe können solche Nachrichten sein, die möglichst schnell umzusetzen sind, gleichwohl aber zwingend einer Sicherheitsüberprüfung bedürfen. Beispielhaft sei hier die Ansteuerung eines Airbags im Kraftfahrzeug genannt: Der Airbag darf nicht unmittelbar ausgelöst werden, ohne dass geprüft wird, ob nicht eine Störung oder Sabotage vorliegt. Die Einleitung der Verarbeitung der Nachricht (Vorbereiten des Zündens eines Sprengsatzes zur Auslösung des Airbags etc.) hilft dabei, bei positivem Ausfall der Sicherheitsüberprüfung den Abschluss der Verarbeitung (tatsächliches Zünden des Sprengsatzes) zu bewirken.According to an embodiment that can be provided alternatively or in addition to the embodiment described above, messages in a second group meet a second predetermined criterion that identifies them as being accessible to a second test procedure, whereby the second test procedure associated with the second group includes that processing of the message is initiated immediately and at the same time a security check of the message is carried out, whereby processing of this message is only completed if the result of the security check is positive. The messages in the second group can be messages that can be implemented as quickly as possible, but nevertheless require a security check. An example of this is the control of an airbag in a motor vehicle: the airbag must not be triggered immediately without checking whether there is a malfunction or sabotage. Initiating processing of the message (preparing to detonate an explosive device to trigger the airbag, etc.) helps to bring about completion of processing (actual detonation of the explosive device) if the security check is positive.

Gemäß einer bevorzugten Ausführungsform, die alternativ oder zusätzlich zu den beiden vorbeschriebenen Ausführungsformen vorgesehen sein kann, erfüllen Nachrichten einer dritten Gruppe ein drittes vorbestimmtes Kriterium, wobei ein der dritten Gruppe zugehöriges drittes Prüfungsverfahren beinhaltet, dass der Zugriff zu einer Hardwareeinheit zum Zwecke der Sicherheitsüberprüfung auf einem kürzeren Weg (Datenpfad) erfolgt, als bei einem vorbestimmten anderen Prüfungsverfahren (etwa als bei dem zweiten Prüfungsverfahren, und/oder auch als bei dem ersten Prüfungsverfahren). Nur bei einem positiven Ergebnis der Sicherheitsüberprüfung erfolgt dann ein Beginn der Verarbeitung der Nachricht.According to a preferred embodiment, which can be provided alternatively or in addition to the two previously described embodiments, messages of a third group meet a third predetermined criterion, wherein a third checking method belonging to the third group includes that access to a hardware unit for the purpose of security checking takes place via a shorter path (data path) than in a predetermined other checking method (for example than in the second checking method and/or also than in the first checking method). The processing of the message then only begins if the result of the security check is positive.

Diese Ausführungsform kürzt den Datenpfad (Weg) für die Sicherheitsüberprüfung ab. Beispielhaft kann hier genannt werden, dass regelmäßig eine Application Programming Interface, API (Anwendungsprogrammierschnittstelle) vorgesehen ist, die eingehende Nachrichten vor der Überprüfung in einen Stapel einschreibt („queue“), wobei durch das dadurch erfolgte Scheduling ein Zeitverlust erfolgt. Die API greift ihrerseits auf eine Hardwareextension („crypto engine“) zu. Es handelt sich bei letzterer insbesondere um einen Prozessor mit Speicher. Der kürzere Weg bei der Sicherheitsüberprüfung nun beinhaltet, dass eine geeignete Einheit dafür sorgt, dass die Nachricht den Stapel („queue“) überspringt und unmittelbar in die Hardware eingetragen wird. Dadurch erfolgt die Sicherheitsüberprüfung besonders schnell.This embodiment shortens the data path (route) for the security check. One example is that an application programming interface (API) is usually provided that writes incoming messages into a stack (“queue”) before checking, whereby the scheduling that occurs as a result results in a loss of time. The API in turn accesses a hardware extension (“crypto engine”). The latter is in particular a processor with memory. The shorter route for the security check now involves a suitable unit ensuring that the message skips the stack (“queue”) and is entered directly into the hardware. This makes the security check particularly fast.

Das dritte vorbestimmte Kriterium kann beinhalten, dass die Nachrichten als hochgradig sicherheitsrelevant klassifiziert werden. Beispielhaft sei hier genannt, dass ein Eingriff in die Autonomie des Fahrzeugführers erfolgt, indem das Kraftfahrzeug eine Steuerung der Lenkung und der Geschwindigkeit bzw. Bremsen selbsttätig übernimmt. In diesem Fall muss die Sicherheitsüberprüfung schnell durchlaufen werden.The third predetermined criterion can include that the messages are classified as highly safety-relevant. An example of this would be that the driver's autonomy is interfered with by the vehicle automatically taking over control of the steering and speed or braking. In this case, the safety check must be carried out quickly.

Das dritte vorbestimmte Kriterium kann alternativ oder zusätzlich beinhalten, dass das zweite Kriterium nicht erfüllt ist. Das zweite Kriterium kennzeichnet die Nachrichten der zweiten Gruppe als dem zweiten Prüfungsverfahren zugänglich. Mit anderen Worten wären dann die Nachrichten der dritten Gruppe nicht während einer parallelen Sicherheitsüberprüfung partiell verarbeitbar.The third predetermined criterion may alternatively or additionally include that the second criterion is not fulfilled. The second criterion identifies the messages of the second group as being accessible to the second verification procedure. In other words, the messages of the third group cannot be partially processed during a parallel security check.

Denkbar ist, dass es eine vierte Gruppe gibt, die ein viertes vorbestimmtes Kriterium erfüllt, wobei ein der vierten Gruppe zugehöriges viertes Prüfungsverfahren beinhaltet, dass sowohl unmittelbar eine Verarbeitung der Nachricht eingeleitet wird und zugleich eine Sicherheitsüberprüfung der Nachricht erfolgt, als auch diese Sicherheitsüberprüfung auf einem kürzeren Weg erfolgt als bei vorbestimmten anderen Prüfungsverfahren (nämlich dem ersten und dem zweiten Prüfungsverfahren). Ein Abschluss der Verarbeitung erfolgt auch hier nur, wenn ein Ergebnis der Sicherheitsüberprüfung positiv ist. Naturgemäß kann dieses vierte vorbestimmte Kriterium beinhalten, dass die Nachricht einer höchsten Stufe von Sicherheitsrelevanz zugeordnet ist. Bei gleichzeitigem Vorsehen der dritten Gruppe von Nachrichten sollten das dritte und das vierte vorbestimmte Kriterium einander ergänzen.It is conceivable that there is a fourth group that meets a fourth predetermined criterion, with a fourth checking procedure belonging to the fourth group including that processing of the message is initiated immediately and a security check of the message is carried out at the same time, and that this security check is carried out in a shorter way than with other predetermined checking procedures (namely the first and second checking procedures). Here too, processing is only completed if the result of the security check is positive. Naturally, this fourth predetermined criterion can include that the message is assigned to the highest level of security relevance. If the third group of messages is provided at the same time, the third and fourth predetermined criteria should complement each other.

Das erfindungsgemäße Verfahren zumindest einer Einrichtung eines Kraftfahrzeugs umfassend die Schritte: Empfangen von Nachrichten; und Verarbeiten der Nachrichten gemäß dem erfindungsgemäßen Verfahren zum Verarbeiten von Nachrichten. Beispielsweise kann eine Steuereinheit die Nachrichten empfangen und diese intern verarbeiten. Die Steuereinheit kann als Ergebnis der Verarbeitung einen Steuerbefehl abgeben. Alternativ ist es möglich, dass das Empfangen der Nachrichten durch eine zentrale Steuereinheit erfolgt, wobei dort auch eine Sicherheitsüberprüfung vorgenommen wird gemäß einem vorbestimmten Prüfungsverfahren (je nach Gruppe, der die Nachricht zugehörig ist). Die zentrale Steuereinheit kann dann dafür sorgen, dass eine untergeordnete Steuereinheit Steuerbefehle an die zu betreibende Einrichtung eines Kraftfahrzeugs abgibt, etwa an die Infotainmenteinrichtung, eine Klimatisierungsanlage, Fahrerassistenzsysteme, und dergleichen.The method according to the invention for at least one device of a motor vehicle comprises the steps of: receiving messages; and processing the messages according to the method according to the invention for processing messages. For example, a control unit can receive the messages and process them internally. The control unit can issue a control command as a result of the processing. Alternatively, it is possible for the messages to be received by a central control unit, where a security check is also carried out according to a predetermined test procedure (depending on the group to which the message belongs). The central control unit can then ensure that a subordinate control unit issues control commands to the device of a motor vehicle to be operated, for example to the infotainment device, an air conditioning system, driver assistance systems, and the like.

Gemäß einer bevorzugten Ausführungsform hierzu wird zumindest ein erster Teil der Nachricht von einem anderen Kraftfahrzeug und/oder von Infrastruktureinrichtungen empfangen.According to a preferred embodiment, at least a first part of the message is received by another motor vehicle and/or by infrastructure facilities.

Alternativ oder zusätzlich wird (zumindest) ein zweiter Teil der Nachrichten von einer ersten Kraftfahrzeugeinheit zu einer zweiten Kraftfahrzeugeinheit gesandt, wobei die zweite Kraftfahrzeugeinheit diese Nachrichten empfängt.Alternatively or additionally, (at least) a second part of the messages is sent from a first motor vehicle unit to a second motor vehicle unit, the second motor vehicle unit receiving these messages.

Das Verfahren ist also sowohl für extern an das Kraftfahrzeug gesandte Nachrichten als auch für intern im Kraftfahrzeug entstehende bzw. erzeugte Nachrichten und ferner für Mischsysteme mit Beidem einsetzbar.The method can therefore be used both for messages sent externally to the motor vehicle and for messages created or generated internally in the motor vehicle, as well as for mixed systems with both.

Die erfindungsgemäße Vorrichtung zum Verarbeiten von Nachrichten umfasst eine erste Einheit zum Vornehmen einer Sicherheitsüberprüfung der Nachrichten und eine zweite Einheit zum Einteilen der einkommenden Nachrichten in zumindest zwei unterschiedliche Gruppen und zum Senden einer entsprechenden Information über die Einteilung an die erste Einheit, wobei die erste Einheit ausgelegt ist, das Ergebnis der Einteilung zu empfangen und für die unterschiedlichen Gruppen jeweils unterschiedliche Prüfungsverfahren zu durchlaufen.The device according to the invention for processing messages comprises a first unit for carrying out a security check of the messages and a second unit for dividing the incoming messages into at least two different groups and for sending corresponding information about the division to the first unit, wherein the first unit is designed to receive the result of the division and to run through different checking procedures for the different groups.

Die erfindungsgemäße Vorrichtung hat die Vorteile des erfindungsgemäßen Verfahrens; sie eignet sich insbesondere zum Bereitstellen einer schnellen Verarbeitungsgeschwindigkeit, dies insbesondere für höher relevante Nachrichten.The device according to the invention has the advantages of the method according to the invention; it is particularly suitable for providing a fast processing speed, especially for highly relevant messages.

Das erfindungsgemäße Kraftfahrzeug umfasst eine Vorrichtung zum Empfangen von Nachrichten sowie die vorgenannte erfindungsgemäße Vorrichtung.The motor vehicle according to the invention comprises a device for receiving messages and the aforementioned device according to the invention.

Für Anwendungsfälle oder Anwendungssituationen, die sich bei dem Verfahren ergeben können und die hier nicht explizit beschrieben sind, kann vorgesehen sein, dass gemäß dem Verfahren eine Fehlermeldung und/oder eine Aufforderung zur Eingabe einer Nutzerrückmeldung ausgegeben und/oder eine Standardeinstellung und/oder ein vorbestimmter Initialzustand eingestellt wird.For use cases or application situations that may arise during the method and which are not explicitly described here, it may be provided that, in accordance with the method, an error message and/or a request to enter user feedback is issued and/or a default setting and/or a predetermined initial state is set.

Zu der Erfindung gehört auch die Steuervorrichtung für das Kraftfahrzeug. Die Steuervorrichtung kann eine Datenverarbeitungsvorrichtung oder eine Prozessoreinrichtung aufweisen, die dazu eingerichtet ist, eine Ausführungsform des erfindungsgemäßen Verfahrens durchzuführen. Die Prozessoreinrichtung kann hierzu zumindest einen Mikroprozessor und/oder zumindest einen Mikrocontroller und/oder zumindest einen FPGA (Field Programmable Gate Array) und/oder zumindest einen DSP (Digital Signal Processor) aufweisen. Des Weiteren kann die Prozessoreinrichtung Programmcode aufweisen, der dazu eingerichtet ist, bei Ausführen durch die Prozessoreinrichtung die Ausführungsform des erfindungsgemäßen Verfahrens durchzuführen. Der Programmcode kann in einem Datenspeicher der Prozessoreinrichtung gespeichert sein. Die Prozessorschaltung der Prozessoreinrichtung kann z.B. zumindest eine Schaltungsplatine und/oder zumindest ein SoC (System on Chip) aufweisen.The invention also includes the control device for the motor vehicle. The control device can have a data processing device or a processor device that is set up to carry out an embodiment of the method according to the invention. For this purpose, the processor device can have at least one microprocessor and/or at least one microcontroller and/or at least one FPGA (Field Programmable Gate Array) and/or at least one DSP (Digital Signal Processor). Furthermore, the processor device can have program code that is set up to carry out the embodiment of the method according to the invention when executed by the processor device. The program code can be stored in a data memory of the processor device. The processor circuit of the processor device can, for example, have at least one circuit board and/or at least one SoC (System on Chip).

Zu der Erfindung gehören auch Weiterbildungen der erfindungsgemäßen Vorrichtung beziehungsweise des erfindungsgemäßen Kraftfahrzeugs, die Merkmale aufweisen, wie sie bereits im Zusammenhang mit den Weiterbildungen des erfindungsgemäßen Verfahrens beschrieben worden sind. Aus diesem Grund sind die entsprechenden Weiterbildungen der/des erfindungsgemäßen Vorrichtung/ Kraftfahrzeugs hier nicht noch einmal beschrieben.The invention also includes further developments of the device according to the invention or of the motor vehicle according to the invention, which have features as already described in connection with the further developments of the method according to the invention For this reason, the corresponding developments of the device/motor vehicle according to the invention are not described again here.

Das erfindungsgemäße Kraftfahrzeug ist bevorzugt als Kraftwagen, insbesondere als Personenkraftwagen oder Lastkraftwagen, oder als Personenbus oder Motorrad ausgestaltet.The motor vehicle according to the invention is preferably designed as a motor vehicle, in particular as a passenger car or truck, or as a passenger bus or motorcycle.

Als eine weitere Lösung umfasst die Erfindung auch ein computerlesbares Speichermedium, umfassend Programmcode, der bei der Ausführung durch eine Prozessorschaltung eines Computers oder eines Computerverbunds diese veranlasst, eine Ausführungsform des erfindungsgemäßen Verfahrens auszuführen. Das Speichermedium kann z.B. zumindest teilweise als ein nichtflüchtiger Datenspeicher (z.B. als eine Flash-Speicher und/oder als SSD - solid state drive) und/oder zumindest teilweise als ein flüchtiger Datenspeicher (z.B. als ein RAM - random access memory) bereitgestellt sein. Das Speichermedium kann in der Prozessorschaltung in deren Datenspeicher angeordnet sein. Das Speichermedium kann aber auch beispielsweise als sogenannter Appstore-Server im Internet betrieben sein. Durch den Computer oder Computerverbund kann eine Prozessorschaltung mit zumindest einem Mikroprozessor bereitgestellt sein. Der Programmcode können als Binärcode oder Assembler und/oder als Quellcode einer Programmiersprache (z.B. C) und/oder als Programmskript (z.B. Python) bereitgestellt sein.As a further solution, the invention also includes a computer-readable storage medium, comprising program code which, when executed by a processor circuit of a computer or a computer network, causes it to carry out an embodiment of the method according to the invention. The storage medium can, for example, be provided at least partially as a non-volatile data memory (e.g. as a flash memory and/or as an SSD - solid state drive) and/or at least partially as a volatile data memory (e.g. as a RAM - random access memory). The storage medium can be arranged in the processor circuit in its data memory. The storage medium can also, for example, be operated as a so-called app store server on the Internet. The computer or computer network can provide a processor circuit with at least one microprocessor. The program code can be provided as binary code or assembler and/or as source code of a programming language (e.g. C) and/or as a program script (e.g. Python).

Die Erfindung umfasst auch die Kombinationen der Merkmale der beschriebenen Ausführungsformen. Die Erfindung umfasst also auch Realisierungen, die jeweils eine Kombination der Merkmale mehrerer der beschriebenen Ausführungsformen aufweisen, sofern die Ausführungsformen nicht als sich gegenseitig ausschließend beschrieben wurden.The invention also includes combinations of the features of the described embodiments. The invention therefore also includes implementations that each have a combination of the features of several of the described embodiments, provided that the embodiments have not been described as mutually exclusive.

Im Folgenden sind Ausführungsbeispiele der Erfindung beschrieben. Hierzu zeigt:

1 die Schritte einer Ausführungsform des erfindungsgemäßen Verfahrens zum Verarbeiten von Nachrichten im Ganzen gesehen;
2 das Verfahren gemäß dem Zweig II aus 1 im Detail;
3 das Verfahren gemäß dem Zweig III aus 1 im Detail;
4 das Verfahren gemäß dem Zweig IV aus 1 im Detail.

Exemplary embodiments of the invention are described below.

1 the steps of an embodiment of the method according to the invention for processing messages as a whole;
2 the procedure according to branch II 1 in detail;
3 the procedure according to branch III of 1 in detail;
4 the procedure according to branch IV of 1 in detail.

Bei den im Folgenden erläuterten Ausführungsbeispielen handelt es sich um bevorzugte Ausführungsformen der Erfindung. Bei den Ausführungsbeispielen stellen die beschriebenen Komponenten der Ausführungsformen jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden. Daher soll die Offenbarung auch andere als die dargestellten Kombinationen der Merkmale der Ausführungsformen umfassen. Des Weiteren sind die beschriebenen Ausführungsformen auch durch weitere der bereits beschriebenen Merkmale der Erfindung ergänzbar.The exemplary embodiments explained below are preferred embodiments of the invention. In the exemplary embodiments, the components of the embodiments described each represent individual features of the invention that are to be considered independently of one another and which also develop the invention independently of one another. Therefore, the disclosure should also include combinations of the features of the embodiments other than those shown. Furthermore, the described embodiments can also be supplemented by other features of the invention already described.

In den Figuren bezeichnen gleiche Bezugszeichen jeweils funktionsgleiche Elemente.In the figures, identical reference symbols designate functionally identical elements.

Das erfindungsgemäße Verfahren beginnt mit dem Eintreffen einer Nachricht (eines Datenpakets) an einer entsprechenden Schnittstelle im Schritt S10. Im Schritt S12 werden die Eigenschaften der Nachricht erfasst. Die Eigenschaften können den Absender der Nachricht (als Individuum), die Art des Absenders der Nachricht (als Absenderklasse), ein Zielgerät der Nachricht (etwa Steuergerät für einen Airbag, Steuergerät für ein Infotainmentsystem, Steuergerät für eine Klimatisierungsanlage etc.), eine Anzahl von Steuergeräten (insbesondere bei mehreren angesteuerten Steuergeräten, etwa bei einer Klimatisierungsanlage), die Komplexität der Nachricht als solcher bzw. der von einem oder mehreren Befehlen in der Nachricht geforderten Verarbeitung und vieles andere mehr betreffen.The method according to the invention begins with the arrival of a message (a data packet) at a corresponding interface in step S10. In step S12, the properties of the message are recorded. The properties can relate to the sender of the message (as an individual), the type of sender of the message (as a sender class), a target device of the message (such as a control unit for an airbag, a control unit for an infotainment system, a control unit for an air conditioning system, etc.), a number of control units (particularly when several control units are controlled, such as an air conditioning system), the complexity of the message as such or the processing required by one or more commands in the message, and much more.

In Abhängigkeit von den in Schritt S12 erfassten Eigenschaften wird in den Schritten S14 und S16 geprüft, welcher von vorliegend drei Gruppen die Nachricht zugehörig ist. Die Schritte S14 und S16 sind in der Reihenfolge austauschbar.Depending on the properties recorded in step S12, steps S14 and S16 check which of the three groups the message belongs to. The order of steps S14 and S16 can be exchanged.

Im Schritt S14 wird geprüft, ob die Nachricht eine geringe Sicherheitsrelevanz hat oder zu einer Gruppe von häufig vorkommenden Nachrichten gehört. Ist dies der Fall (T= true), so wird die Nachricht im Zweig II gemäß einem ersten Prüfungsverfahren weiterbehandelt, das anhand von 2 beschrieben wird:

Gemäß 2 wird im Schritt S20 die Nachricht (gegebenenfalls nochmals von der nächsten Einheit) empfangen und im Schritt S22 wird ermittelt, ob die bisher gezählten an dieser Stelle eingetroffenen Nachrichten einen vorbestimmten Wert N erreicht haben. Ziel ist es, nur jede N-te Nachricht einer Überprüfung zuzuführen. Dies lässt sich mittels der Heaviside-Funktion H (x) ausdrücken. H(x) hat den Wert 0 für x<0 und den Wert 1 für x≥0. Vorliegend kann im Schritt S22 geprüft werden, ob die i-te Nachricht die Gleichung erfüllt: H((i/N) -1)=1?. Solange i<N hat diese Funktion den Wert von 0, vom Schritt S22 wird daher im Falle „F“ für „false“ zum Schritt S24 übergegangen und die im Schritt S20 eingetroffene Nachricht unmittelbar verarbeitet. Ist hingegen die N-te Nachricht erreicht, so hat die obige Funktion den Wert 1, so dass bei „T“ für „true“ zum Schritt S26 übergegangen wird, indem eine Sicherheitsüberprüfung der Nachricht erfolgt. Im Schritt S27 wird das Ergebnis der Überprüfung eingeteilt in „OK“ (in Ordnung) oder „INVALID“ (negativer Ausgang der Verifikation). Im Fall, dass die Nachricht in Ordnung ist, wird der Zähler i in Schritt S28 auf i:=0 zurückgesetzt. Anschließend wird die in Schritt S26 überprüfte Nachricht gemäß Schritt S24 verarbeitet. Ist hingegen im Schritt S27 die Nachricht als „INVALID“ klassifiziert, wird in Schritt S29 eine Fehlermeldung ausgegeben („raise communication fault“). Optional (in der 2 nicht veranschaulicht) kann die Anzahl der Fehlermeldungen „INVALID“ absolut und /oder auf die Gesamtzahl der Stichproben bezogen und/ oder auf die Zeit und/ oder Fahrstrecke bezogen ermittelt werden und in Abhängigkeit von dieser Größe beziehungsweise diesen Größen lässt sich die Zahl N verringern oder ggf. auch (wieder) erhöhen.

In step S14, it is checked whether the message has a low security relevance or belongs to a group of frequently occurring messages. If this is the case (T= true), the message is further processed in branch II according to a first checking procedure, which is based on 2 is described:

According to 2 in step S20 the message is received (if necessary again from the next unit) and in step S22 it is determined whether the messages counted so far that have arrived at this point have reached a predetermined value N. The aim is to only check every Nth message. This can be expressed using the Heaviside function H (x). H(x) has the value 0 for x<0 and the value 1 for x≥0. In this case, in step S22 it can be checked whether the i-th message satisfies the equation: H((i/N) -1)=1?. As long as i<N this function has the value 0, so in the case of "F" for "false" the step S22 goes to step S24 and the in step S20 the message received is processed immediately. If, however, the Nth message is reached, the above function has the value 1, so that if "T" is "true", the system goes to step S26, where a security check of the message is carried out. In step S27, the result of the check is classified as "OK" (in order) or "INVALID" (negative outcome of the verification). If the message is in order, the counter i is reset to i:=0 in step S28. The message checked in step S26 is then processed according to step S24. If, however, the message is classified as "INVALID" in step S27, an error message is issued in step S29 ("raise communication fault"). Optionally (in the 2 not illustrated), the number of "INVALID" error messages can be determined absolutely and/or in relation to the total number of samples and/or in relation to the time and/or distance travelled and, depending on this value or these values, the number N can be reduced or, if necessary, increased (again).

Zurück zu 1: Ist das Ergebnis der Überprüfung in Schritt S14 negativ (F = „false“) wird zum Schritt S16 übergegangen. Im Schritt S16 wird geprüft, ob der durch die eingegangene Nachricht angeordnete Vorgang dem zweiten Prüfungsverfahren zugänglich ist, er es insbesondere erlaubt, den Vorgang („transaction“) parallel zu einer Sicherheitsüberprüfung durchzuführen. Ist dies der Fall (T=„true“), wird gemäß dem Zweig III das Verfahren durchgeführt, das in 3 gezeigt ist:

In Schritt S30 wird die Nachricht (gegebenenfalls nochmals) durch eine geeignete Einheit empfangen. Sie wird nun zwei Zweigen parallel zugeführt. Im ersten Zweig S31 erfolgt eine Einleitung der Verarbeitung der Nachricht, in Schritt S32 wird die Umsetzung des in der Nachricht enthaltenen Befehls / der in der Nachricht enthaltenen Befehle vorbereitet.

Back to 1 : If the result of the check in step S14 is negative (F = "false"), the process goes to step S16. In step S16, it is checked whether the process ordered by the received message is accessible to the second verification process, in particular whether it allows the process ("transaction") to be carried out in parallel with a security check. If this is the case (T="true"), the process described in branch III is carried out. 3 shown is:

In step S30, the message is received (if necessary again) by a suitable unit. It is then fed to two branches in parallel. In the first branch S31, processing of the message is initiated, and in step S32, the implementation of the command(s) contained in the message is prepared.

Im parallelen Zweig wird im Schritt S33 die Nachricht einer Sicherheitsüberprüfung unterzogen. Das Ergebnis wird in Schritt S34 ausgegeben. Ist die Sicherheitsüberprüfung positiv ausgefallen („OK“), wird nach Beendigung des Schritts S32 die Nachricht gemäß Schritt S35 verarbeitet, also der oder die darin enthaltenen Befehl(e) umgesetzt. Ist das Ergebnis in Schritt S34 negativ („INVALID“), wird gemäß Schritt S36 die bereits eingeleitete Bearbeitung rückgängig gemacht („transaction rollback“) und in Schritt S37 eine Fehlermeldung ausgegeben („raise communication fault“).In the parallel branch, the message is subjected to a security check in step S33. The result is output in step S34. If the security check is positive (“OK”), the message is processed according to step S35 after step S32 has been completed, i.e. the command(s) contained therein are implemented. If the result in step S34 is negative (“INVALID”), the processing already initiated is reversed according to step S36 (“transaction rollback”) and an error message is output in step S37 (“raise communication fault”).

Erfüllt die in Schritt S10 empfangene Nachricht das zweite vorbestimmte Kriterium gemäß Schritt S16 nicht, so wird zum Zweig IV übergegangen, es werden also die Schritte gemäß 4 umgesetzt:

In Schritt S40 wird die Nachricht (gegebenenfalls nochmals) durch eine geeignete Einheit empfangen. Von dieser Nachricht ist bekannt, dass sie nicht von geringer Sicherheitsrelevanz ist und auch nicht häufig vorkommt (wegen „F“ in Schritt S14), und dass ferner das zweite vorbestimmte Kriterium nicht erfüllt ist, dass also die Verarbeitung nicht parallel erfolgen kann („F“ nach Schritt S16). Entsprechend erfolgt eine Sicherheitsüberprüfung der in Schritt S40 empfangenen Nachricht unmittelbar in Schritt S42, dies aber unter Zugriff gemäß S44 auf Hardware, auf welche nicht in dieser unmittelbaren Weise im Zweig II (dort: anders bei S26, siehe 2) oder im Zweig III (3: anders bei S33) zugegriffen wird. Es wird also der Datenpfad verkürzt. Diese Hardware lässt sich auch als kryptografische Beschleunigungshardware bezeichnen („cryptographic accelerator hardware“).

If the message received in step S10 does not meet the second predetermined criterion according to step S16, the system goes to branch IV, i.e. the steps according to 4 implemented:

In step S40, the message is received (if necessary again) by a suitable unit. It is known from this message that it is not of little security relevance and does not occur frequently (due to "F" in step S14), and that the second predetermined criterion is not met, i.e. that the processing cannot take place in parallel ("F" after step S16). Accordingly, a security check of the message received in step S40 is carried out directly in step S42, but this is done by accessing hardware according to S44, which is not directly accessible in branch II (there: different at S26, see 2 ) or in branch III ( 3 : different for S33). The data path is therefore shortened. This hardware can also be referred to as cryptographic accelerator hardware.

Wegen dieses Zugriffs liegt das Ergebnis der Sicherheitsüberprüfung in Schritt S46 sehr schnell vor. Ist das Ergebnis positiv („OK“), so wird die Nachricht in Schritt S47 unmittelbar verarbeitet, insgesamt also sehr schnell nach Eintreffen gemäß Schritt S40. Ist das Ergebnis der Sicherheitsüberprüfung negativ („INVALID“), so wird gemäß Schritt S48 eine Fehlermeldung ausgegeben („raise communication fault“).Because of this access, the result of the security check in step S46 is available very quickly. If the result is positive ("OK"), the message is processed immediately in step S47, i.e. very quickly after arrival in step S40. If the result of the security check is negative ("INVALID"), an error message is issued in step S48 ("raise communication fault").

Insgesamt zeigen die Beispiele, wie verbesserte Sicherheitsprotokolle zum Beseitigen von Wartezeit-Flaschenhälsen bereitgestellt werden können.Overall, the examples demonstrate how improved security protocols can be deployed to eliminate latency bottlenecks.

ZITATE ENTHALTEN IN DER BESCHREIBUNGQUOTES INCLUDED IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of documents listed by the applicant was generated automatically and is included solely to provide the reader with better information. The list is not part of the German patent or utility model application. The DPMA accepts no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

DE 102016217100 A1 [0004]
DE 102012210059 A1 [0005]

Claims

Method for processing messages, in particular in a motor vehicle, in which received messages are divided into at least two different groups, characterized in that a security check for incoming messages belonging to different groups is carried out according to different checking procedures.

Procedure according to Claim 1 , characterized in that messages of a first group satisfy a first predetermined criterion which classifies them as having little security relevance and/or as occurring frequently, and in that the first checking procedure associated with the first group includes that only a predetermined part of the messages of the group is subjected to its own security check and that this part of the messages is only processed if a result of the security check is positive, and that all other messages of the first group are processed immediately.

Procedure according to Claim 1 or 2 , characterized in that messages of a second group satisfy a second predetermined criterion which identifies them as being accessible to a second checking procedure, wherein the second checking procedure associated with the second group includes that processing of the message is initiated immediately and at the same time a security check of the message is carried out, wherein processing is only completed if the result of the security check is positive.

Method according to one of the preceding claims, characterized in that messages of a third group satisfy a third predetermined criterion, wherein a third checking method belonging to the third group includes that access to a hardware unit for the purpose of security checking takes place via a shorter path than in predetermined other checking methods, and wherein processing of the message only begins if the result of the security check is positive.

Procedure according to Claim 4 , characterized in that the third predetermined criterion includes that the messages are classified as highly security-relevant and/or that the second criterion is not met.

Method for operating at least one device of a motor vehicle, comprising the steps of: receiving messages; and processing the messages according to the method according to one of the preceding claims.

Procedure according to Claim 6 , wherein at least a first part of the messages is received from another motor vehicle and/or from infrastructure facilities.

Procedure according to Claim 6 or 7 , wherein at least a second part of the messages is sent from a first motor vehicle unit to a second motor vehicle unit and wherein the second motor vehicle unit receives these messages.

Device for processing messages, with a first unit for carrying out a security check of the messages and a second unit for dividing the incoming messages into at least two different groups and for sending corresponding information about the result of the division to the first unit, wherein the first unit is designed to receive the result of the division and to run through different checking procedures for the different groups.

Motor vehicle with a device for receiving messages and a device according to Claim 9 .