DE10213658B4

DE10213658B4 - Verfahren zur Datenübertragung zwischen Komponenten der Bordelektronik mobiler Systeme und solche Komponenten

Info

Publication number: DE10213658B4
Application number: DE10213658A
Authority: DE
Inventors: Werner Fischer; Joachim Kunz
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2002-03-27
Filing date: 2002-03-27
Publication date: 2005-10-13
Anticipated expiration: 2022-03-28
Also published as: FR2845221A1; US8166303B2; US20030194088A1; FR2845221B1; DE10213658A1

Abstract

Verfahren zur Datenübertragung zwischen Komponenten (1, 2) der Bordelektronik mobiler Systeme, wobei die zu übertragenden Daten von der sendenden Komponente (1) in Echtzeit verschlüsselt werden und von der empfangenden Komponente in Echtzeit entschlüsselt werden, wobei die zu übertragenden Daten eine Signatur oder Kennung der zugehörigen Bordelektronikkomponente erhalten und die übertragenen Daten anhand eines Verschlüsselungsalgorithmus und/oder der Signatur oder Kennung auf Echtheit überprüft werden, wobei bei negativer Überprüfung der Echtheit der übertragenen Daten geeignete Ersatzdaten anstelle der übertragenen Daten verwendet werden.

Description

Die Erfindung betrifft ein Verfahren zur Datenübertragung zwischen Komponenten der Bordelektronik mobiler Systeme sowie derartige Bordelektronikkomponenten, wie Sensor, Steuergerät oder Aktuator, mit einer Einrichtung zur Übertragung und/oder zum Empfangen von Daten.

Die elektronische Steuerung und Regelung hat in vielen Bereichen der Bordelektronik von mobilen Systemen; z. B. Kraftfahrzeugen oder Flugzeugen, Einzug gehalten. Dabei findet zwischen den Komponenten der Bordelektronik sowohl digitaler Datenaustausch (z. B. Bus-Systeme) als auch analoge Signalübertragung statt. Während die Manipulationsmöglichkeiten an den beteiligten Steuergeräten durch geeignete Schutzmaßnahmen sehr begrenzt sind, können die Signal- bzw. Datenübertragungswege prinzipiell nur sehr schwierig geschützt werden, so dass die übertragenen Informationen vergleichsweise einfach manipuliert werden können.

Dazu zeigt die DE 199 55 545 A1 ein Steuersystem für ein Kraftfahrzeug, wobei in einem Kraftfahrzeug mehrere Steuergeräte miteinander oder mit einer Zentraleinheit über einen bidirektionalen Datenbus kommunizieren und Steuerbefehle abgeben oder Mess- oder Sensorsignale empfangen. Zur Erhöhung der Sicherheit gegen unberechtigten Zugriff, zum Beispiel für eine Diebstahlsicherung oder Wegfahrsperre, ist es bekannt, die Kodes zusätzlich zu vercrypten oder zu verschlüsseln. Dabei ist der Vercryptungskode als Software jeweils in dem Steuergerät enthalten.

Diese Lösung hat die Nachteile, dass die Berechnung der Vercryptungsalgorithmen in den Steuergeräten über Software relativ lange Zeit in Anspruch nimmt und die Sicherung durch die Vercryptung von einem unberechtigten Benutzer wie einen Dieb mit vertretbarem Material- und Zeitaufand noch umgangen werden kann. Aufgabe ist es, diese Nachteile zu vermeiden.

Jeweils einem Steuergerät oder mehreren Steuergeräten ist ein Cryptocontroller zugeordnet, in dem das Programm für die Vercryptung und/oder ein geheimer Schlüssel manipulationssicher und nicht einsehbar gespeichert ist. Der Cryptocontroller kann räumlich von dem Mikroprozessor getrennt oder auch in diesen eingebaut sein.

Die DE 198 10 159 A1 zeigt ein Verfahren zur Einbringung eines Diensteschlüssels in ein Endgerät und eine Vorrichtung zur Durchführung des Verfahrens. Dabei wird eine effiziente und sichere Schlüsselverwaltung ermöglicht durch eine erfindungsgemäße Dienstzentrale und ein erfindungsgemäßes Verfahren zur Einbringung eines Diensteschlüssels in ein Endgerät, durch welchen Diensteschlüssel von einer Dienstezentrale über einen Kommunikationskanal mit einem Diensteschlüssel verschlüsselt ausgesandte Dienstedaten durch das Endgerät entschlüsselbar sind, wobei die Dienstezentrale auf eine, eine Endgeräts-Identitätsnummern-Übermittlung enthaltende Diensteschlüsselübermittlungsanfrage des Endgeräts bei der Dienstzentrale hin und Weiterübermittlung der Endgeräts-Identitätsnummer an eine Schlüsselzentrale bei dieser einen Kodierschlüssel anfragt und erhält, wobei letzterer Kodierschlüssel einem dem Endgerät herstellerseitig eingegebenen Dekodierschlüssel derart zugeordnet ist, dass mit dem Kodierschlüssel verschlüsselte Diensteschlüssel mit dem Dekodierschlüssel entschlüsselbar sind, wobei die Dienstzentrale mit dem von der Schlüsselzentrale erhaltenen Kodierschlüssel einen Diensteschlüssel verschlüsselt und dem Endgerät übermittelt, in welchem Endgerät der Diensteschlüssel mit dem Dekodierschlüssel entschlüsselbar ist.

Die DE 196 10 161 C2 offenbart eine Datenübertragungsvorrichtung in einem Fahrzeug, bestehend aus einem Impulsgeber und einem Kontrollgerät, wobei der Impulsgeber ein Sensorelement enthält, um ein zur Fahrzeuggeschwindigkeit proportional moduliertes elektrisches Signal zu generieren, wobei im Impulsgeber eine Schaltungsanordnung zur Signalaufbereitung das vom Sensorelement generierte Signal in eine Folge von Rechteckimpulsen formt, der Impulsgeber einen Speicher zur Registrierung der Rechteckimpulse sowie eine Kodierschaltung zur Verschlüsselung des Speicherinhalts aufweist, und der Impulsgeber und Kontrollgerät sowohl durch eine Signalleitung als auch durch eine Datenleitung miteinander verbunden sind, wobei die Signalleitung das Signal des Sensorelementes unverschlüsselt überträgt und die Datenleitung den im Speicher des Impulsgebers durch die registrierte Rechteckimpulsfolge gebildeten Speicherinhalt von dort an das Kontrollgerät verschlüsselt überträgt, dass das Kontrollgerät über einen Speicher zur Registrierung des über die Signalleitung fortlaufend übertragenen Signals verfügt, dass das Kontrollgerät eine Logikeinheit zur Entschlüsselung des über die Datenleitung empfangenen verschlüsselten Signals aufweist, und dass das Kontrollgerät in Verbindung mit einer Logikeinheit mit einem Vergleicher ausgestattet ist, um das entschlüsselte Signal mit dem über die Signalleitung übertragenen und im Kontrollgerät gespeicherten Signal zur Überprüfung seiner Unverfälschtheit mit Bezug auf einen definierten Zeitraum zu vergleichen.

Die DE 100 08 973 A1 betrifft ein Verfahren zur Sicherstellung der Datenintegrität einer Software für ein Steuergerät eines Kraftfahrzeugs, in dem in einem Speicher eine das Steuergerät in seiner Wirkungsweise beeinflussende Software speicherbar ist. Sie ist gekennzeichnet durch die Schritte: Bereitstellen eines Steuergeräte-Schlüsselpaares mit einem ersten und einem zweiten Schlüssel, Bereitstellen einer bestimmten Anzahl n von Zertifikats-Schlüsselpaaren mit jeweils einem ersten und einem zweiten Schlüssel, Hinterlegen des ersten Schlüssels des Steuergeräte-Schlüsselpaares im oder für das Steuergerät in dem Kraftfahrzeug, Erstellen von der bestimmten Anzahl n entsprechenden Zertifikaten, wobei jedes Zertifikat eine Zertifikatsinformation umfasst, in der Zertifikatsinformation des letzten Zertifikates zumindest ein Schlüssel zur Überprüfung der Software und – falls mehrere Zertifikate verwendet werden – in den anderern Zertifikatsinformationen zumindest ein Schlüssel zur Überprüfung des nachfolgenden Zertifikates abgelegt sind, Signieren der Zertifikatsinformation des ersten Zertifikates mit dem zweiten Schlüssel des Steuergeräte-Schlüsselpaares und – falls mehr als 1 Zertifikat vorhanden sind – Signieren der übrigen Zertifikate mit dem jeweils zweiten Schlüssel eines Zertifikat-Schlüsselpaares, von dem der jeweils erste Schlüssel in der Zertifikatsinformation des vorhergehenden Zertifikates abgelegt ist, Sigrnieren einer neu einzuspielenden Software mit dem zweiten Schlüssel.

Es besteht das Bedürfnis, nicht nur Geräte selbst vor einem unberechtigten Zugriff von außen abzusichern, sondern auch die Datenübertragung zu und von diesen Geräten gegen Manipulationsversuche von außen zu schützen. Dies gilt sowohl im Kfz-Bereich (z. B. Schutz vor Motor-Tuning), aber noch in höherem Maße für Luftfahrzeuge. Im Kraftfahrzeugbereich ist insbesondere der Übertragungsweg von den Sensoren zum Steuergerät und vom Steuergerät zu den Aktuatoren abzusichern, wobei hier die zu übertragenden Daten in analoger oder auch in digitaler Form vorliegen können, und wobei neben einer unidirektionalen Datenübertragung, insbesondere bei Regelsystemen, auch bidirektionale Datenübertragung Anwendung findet.

Vorteile der Erfindung

Die Verschlüsselung der zwischen den Komponenten der Bordelektronik zu übertragenden Daten in Echtzeit gemäß vorliegender Erfindung realisiert einen hohen Sicherheitsstandard gegen Manipulationsversuche. Ein Vorteil des Einsatzes von Verschlüsselungstechniken ist, dass unterschiedliche Verschlüsselungsverfahren abhängig von der Sicherheitsrelevanz der zu übertragenden Daten gewählt werden können. Weiterhin können Verschlüsselungsalgorithmen hinsichtlich der erforderlichen Geschwindigkeit der Datenverarbeitung ausgewählt werden, so dass das Ver- und Entschlüsseln von Daten noch zu einer akzeptablen Datenübertragungs- und Datenverarbeitungsgeschwindigkeit führt. Die Echtzeitverschlüsselung ermöglicht einen unterbrechungsfreien Betrieb ohne Zwischenspeicherung der zu übertragenden oder der übertragenen Daten.

Der Informationsaustausch im elektronischen System des Fahrzeugs wird mittels des erfindungsgemäßen Verfahrens geschützt. So ist beispielsweise sichergestellt, dass der von einem Sensor erfasste physikalische Wert auch korrekt im Steuergerät, welches dieses Signal auswertet, zur Verfügung steht, und dass der zur Regelung vom Steuergerät an einen Aktuator ausgegebene Wert von diesem korrekt empfangen wird.

Da die Verschlüsselung und die nachfolgende Entschlüsselung aufeinander abgestimmt sein müssen, ist sichergestellt, dass Komponenten des elektrischen Systems nur von autorisierter Stelle ausgetauscht oder neu integriert werden können. Hierdurch wiederum wird die Verwendung von minderwertigen Komponenten (Plagiaten) deutlich erschwert.

Die zu übertragenden Daten werden vorteilhaft mittels eines Schlüssels von der sendenden Komponente codiert und mittels eines weiteren Schlüssels von der empfangenden Komponente decodiert. Bei diesem Verschlüsselungsverfahren können beide Schlüssel identisch sein (symmetrisches Verfahren) oder unterschiedlich sein (asymmetrische Verschlüsselung). Bei der asymmetrischen Verschlüsselung werden die zu übertragenden Daten mit dem sog. öffentlichen Schlüssel des Empfängers verschlüsselt und anschließend vom Empfänger mit dessen privatem oder geheimen Schlüssel wieder entschlüsselt. Da Sender und Empfänger somit nicht über denselben Schlüssel verfügen, ist diese Form der Verschlüsselung aufgrund ihrer hohen Sicherheit insbesondere bei der Übertragung von sicherheitsrelevanten Daten zu empfehlen.

Eine erfindungsgemäße Bordelektronikkomponente eines mobilen System, wie ein Sensor, ein Steuergerät oder ein Aktuator, weist neben einer Einrichtung zur Datenübertragung eine weitere Einrichtung zur Verschlüsselung und/oder Entschlüsselung von zu übertragenden bzw. empfangenen Daten in Echtzeit auf. Diese Einrichtung erfüllt die Anforderungen an einen verzögerungsfreien laufenden Betrieb der datenaustauschenden Komponenten.

Hierbei ist es vorteilhaft, wenn die Verschlüsselung und/oder die Entschlüsselung der Daten mittels eines Computerprogramms mit Programmcode-Mitteln erfolgt, wenn das Computerprogramm auf einem Computer oder einer entsprechenden Rechnereinheit, insbesondere auf der genannten Verschlüsselungs- und/oder Entschlüsselungseinrichtung der Bordelektronikkomponente, ausgeführt wird. Das Computerprogramm kann auf einem entsprechenden Speicherbaustein der Bordelektronikkomponente fest eingespeichert sein oder aber über mobile Datenträger (wie Disketten), externe Datenträger (wie Festplatten) oder auch von anderen Datenträgern über das Internet auf die entsprechende Bordelektronikkomponente gespielt werden. Geeignete Datenträger sind weiterhin EEPROMs oder Flash-Memories.

Zeichnungen
Die Erfindung soll im folgenden anhand eines Ausführungsbeispiels und der beigefügten Zeichnung erläutert werden.
Die einzige Figur zeigt schematisch zwei Bordelektronikkomponenten, jeweils mit Einrichtungen zur Datenübertragung sowie mit Einrichtungen zur erfindungsgemäßen Verschlüsselung und/oder Entschlüsselung von Daten.
Beschreibung einer bevorzugten Ausführungsform
Die Zeichnung zeigt zwei beispielhaft ausgewählte Komponenten der Bordelektronik eines Kraftfahrzeugs, nämlich einen Sensor 1 und ein Steuergerät 2. Die Eingangsleitung zum Sensor 1 ist mit 5 bezeichnet. Die Eingangsleitungen 7 führen zum Steuergerät, die Ausgangsleitungen 8 führen vom Steuergerät weg zu weiteren Komponenten der Bordelektronik, wie Aktuatoren. Die Datenübertragung zwischen Sensor 1 und Steuergerät 2 erfolgt in der Regel über eine Schnittstelle 6 (analog, PWM, Bus...). Der Sensor 1 weist eine Einrichtung 3 zur Verschlüsselung, das Steuergerät 2 eine Einrichtung 4 zur Entschlüsselung auf.
Der Sensor 1 ermittelt Werte, wie Druck, Temperatur, Drehzahl, Ladedruck etc., die im allgemeinen physikalische Größen darstellen oder hieraus abgeleitet sind. Die Darstellung dieser Sensorwerte erfolgt nun nicht mehr wie bisher in Form eines analogen elektrischen Signals (z. B. einem Spannungspegel) oder einer einfachen (offenen) digitalen Botschaft (beispielsweise Bus-Message, beispielsweise für CAN), sondern erfindungsgemäß durch eine verschlüsselte Botschaft. Hierzu nimmt die Einrichtung 3 des Sensors 1 eine Verschlüsselung der Sensordaten vor, bevor diese über die Schnittstelle 6 zum Steuergerät 2 geschickt werden. Dabei können Verfahren der Verschlüsselung zur Anwendung kommen, wie sie im Bereich der elektronischen Datenverarbeitung bei vernetzten Rechnerstrukturen (z. B. Internet) verwendet werden (z. B. RSA-Verfahren, asymmetrische Verschlüsselungsverfahren).
Die verschlüsselte Botschaft wird über die Schnittstelle 6 dem Steuergerät 2 zur Verfügung gestellt, welches in einem ersten Schritt die Entschlüsselung der Botschaft vornimmt. Hierzu ist die Einrichtung 4 zur Entschlüsselung vorgesehen. Bei diesem Vorgang erkennt das Steuergerät 2, ob die Botschaft unverfälscht und vom autorisierten Sender übertragen wurde. Zu diesem Zweck kann zusätzlich zur eigentlichen Verschlüsselung der Botschaft diese auch signiert werden. Bei positiver Prüfung der Botschaft durch die Einrichtung 4 zur Entschlüsselung im Steuergerät 2, werden die entschlüsselten Daten entsprechend weiterverarbeitet. Beispielsweise wird anhand dieser Daten ein Aktuator vom Steuergerät 2 über eine Ausgangsleitung 8 angesteuert. Fällt hingegen die Überprüfung der übertragenen Daten in der Einrichtung 4 zur Entschlüsselung negativ aus, kann das Steuergerät 2 geeignet reagierten, indem beispielsweise ein sicherer Ersatzwert gewählt wird, der einen sicheren Betrieb aufrechterhält, und indem beispielsweise der Fahrer des Fahrzeugs entsprechend informiert wird.
Erfindungsgemäß ist es insbesondere auch vorgesehen, dass das dargestellte Steuergerät 2 weitere Einrichtungen zur Verschlüsselung und/oder Entschlüsselung von über die Eingangsleitungen 7 empfangenen Daten bzw. von über die Ausgangsleitungen 8 zu übertragenden Daten aufweist. So kann beispielsweise das Steuergerät 2 zur Motorsteuerung ein verschlüsseltes Steuersignal über eine der Ausgangsleitungen 8 an einen (nicht dargestellten) Aktuator (wie eine Drosselklappe) übertragen, wobei dann dem Aktuator eine entsprechende Einrichtung zur Entschlüsselung der empfangenen Daten vorgeschaltet ist.

Claims

Verfahren zur Datenübertragung zwischen Komponenten (1, 2) der Bordelektronik mobiler Systeme, wobei die zu übertragenden Daten von der sendenden Komponente (1) in Echtzeit verschlüsselt werden und von der empfangenden Komponente in Echtzeit entschlüsselt werden, wobei die zu übertragenden Daten eine Signatur oder Kennung der zugehörigen Bordelektronikkomponente erhalten und die übertragenen Daten anhand eines Verschlüsselungsalgorithmus und/oder der Signatur oder Kennung auf Echtheit überprüft werden, wobei bei negativer Überprüfung der Echtheit der übertragenen Daten geeignete Ersatzdaten anstelle der übertragenen Daten verwendet werden.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die zu übertragenden Daten mittels eines Schlüssels von der sendenden Komponente (1) codiert und mittels eines Schlüssels von der empfangenen Komponente (2) decodiert werden.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass bei negativer Überprüfung der Echtheit zusätzlich zur Verwendung von Ersatzdaten entsprechende Informationen angezeigt werden.
Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass bei der Übertragung von sicherheitsrelevanten Daten asymmetrische Schlüssel gewählt werden.
Bordelektronikkomponente eines mobilen Systems, insbesondere Sensor (1), Steuergerät (2) oder Aktuator, mit einer Einrichtung zum Übertragen und/oder Empfangen von Daten sowie einer weiteren Einrichtung (3, 4) zur Verschlüsselung und/oder Entschlüsselung von zu übertragenden und/oder empfangenen Daten in Echtzeit, wobei die Einrichtung (3) zur Verschlüsselung von zu übertragenden Daten eine Kennung der zugehörigen Bordelektronikkomponente zusammen mit den zu übertragenden Daten übermittelt und die Einrichtung (4) zur Entschlüsselung von übertragenen Daten zur Überprüfung der Echtheit der übertragenen Daten ausgerüstet ist, wobei bei negativer Überprüfung durch die Einrichtung (4) zur Entschlüsselung die Komponente (1, 2) derart eingerichtet ist, dass geeignete Ersatzdaten anstelle der übertragenen Daten verwendet werden.
Bordelektronikkomponente nach Anspruch 5, wobei bei negativer Überprüfung durch die Einrichtung (4) zur Entschlüsselung die Komponente (1, 2) derart eingerichtet ist, dass zusätzlich zur Verwendung von Ersatzdaten entsprechende Informationen angezeigt werden.
Computerprogramm mit Programmcodemitteln, um ein Verfahren nach einem der Ansprüche 1 bis 4 auszuführen, wenn das Computerprogramm auf einem Computer oder einer Rechnereinheit, insbesondere auf einer Einrichtung (3, 4) zur Verschlüsselung und/oder Entschlüsselung von Daten in einer Bordelektronikkomponente gemäß Anspruch 5 ausgeführt wird.
Computerprogrammprodukt mit Programmcodemitteln, um ein Verfahren nach einem der Ansprüche 1 bis 4 auszuführen, wenn das Computerprogramm auf einem Computer oder einer Rechnereinheit, insbesondere auf einer Einrichtung (3, 4) zur Verschlüsselung und/oder Entschlüsselung von Daten in einer Bordelektronikkomponente gemäß Anspruch 5 ausgeführt wird.
Verwendung einer Bordelektronikkomponente nach Anspruch 5 in einem Kraftfahrzeug.
Verwendung einer Bordelektronikkomponente nach Anspruch 5 in einem Flugzeug.