DE19960959C2

DE19960959C2 - Vorrichtung zum manipulationssicheren Datenaustausch in einem Kraftfahrzeug

Info

Publication number: DE19960959C2
Application number: DE1999160959
Authority: DE
Inventors: Torsten Mohr
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1999-12-17
Filing date: 1999-12-17
Publication date: 2002-11-07
Anticipated expiration: 2019-12-18
Also published as: DE19960959A1

Description

Stand der Technik

Die Erfindung geht aus von einer Vorrichtung zum manipulationssicheren Datenaustausch in einem Kraftfahrzeug nach der Gattung des unabhängigen Anspruchs. Aus der WO 95/11820 A1 ist bereits eine Fahrzeugssicherungsanordnung bekannt. Ein Diebstahlschutzsteuergerät tauscht Daten mit wenigstens einem Funktionssteuergerät, insbesondere einem Motorsteuergerät, aus, um dessen Betriebsbereitschaft zu beeinflussen. Über eine das Diebstahlsteuerschutzgerät und das Funktionssteuergerät verbindende Datenleitung erfolgt der Datenaustausch. An die Datenleitung ist wahlweise ein externes Gerät anschaltbar, das zum Austausch von Daten mit dem Diebstahlschutzsteuergerät und/oder dem Funktionssteuergerät ausgebildet ist. Sendet das externe Gerät eine Reizung auf die Datenleitung, wird diesem die Kontrolle für den weiteren Datenaustausch übertragen.

Ist die Reizung einem Unberechtigten bekannt, so erhält er bei einer entsprechenden Einspeisung Zugriff auf die Masterfunktion des Datenaustausches. Damit sind grundsätzlich Manipulationen durch Unberechtigte möglich.

Aus der nachveröffentlichten DE 199 29 608 A1 ist eine Einrichtung zur Konvertierung von Kommunikationsprotokollen zwischen einem Fahrzeugbus und einem Zugbus in einem Zugkommunikationssystem bekannt. Die Fahrzeugbusse sind jeweils über ein Gateway an den Zugbus angekoppelt. Die Botschaft wird im Identifier mit dem Fahrzeugbus-Identifier versehen. Das Gateway muss bei der Übertragung zunächst überprüfen, ob diese Botschaft auf den Zugbus gesendet werden kann. Hierzu wird anhand des Fahrzeugbus-Identifiers überprüft, ob es sich nicht um eine fahrzeugbusinterne Botschaft handelt. Diese werden nicht auf den Zugbus übertragen

Aus der DE 197 48 979 A1 ist eine Anschlussvorrichtung zum Ankoppeln mindestens zweier Bussysteme bekannt. Ein einfacher Aufbau und eine verwechslungsfreie Ankopplung der Bussysteme werden dadurch erreicht, dass das Gateway mit einer Zuordnungseinrichtung versehen ist, mit der das angeschlossene Bussystem bei beliebigem Anschluss identifizierbar und unabhängig von dem Anschluss mit seiner zugehörigen Funktion verknüpfbar ist (vgl. die Zusammenfassung). Die Identifikation eines Bussystems erfolgt bspw. aufgrund von diesem eigenen Kennungen, die aus einer beginnenden oder laufenden Kommunikation herausgefiltert werden

Aus der EP 945 777 A2 ist eine Computerarchitektur mit passwortüberprüfender Busbrücke bekannt. Ein Benutzerpasswort wird verglichen mit einem abgespeicherten, gesicherten Passwort, um die Benutzung durch Unberechtigte zu verhindern.

Es ist daher Aufgabe der vorliegenden Erfindung, die Manipulationsmöglichkeiten bei einem externen Zugriff auf ein Fahrzeugbussystem weiter zu erschweren. Diese Aufgabe wird durch die Merkmale des unabhängigen Anspruches gelöst.

Die erfindungsgemäße Vorrichtung zum manipulationssicheren Datenaustausch in einem Kraftfahrzeug umfaßt ein Gateway, das den Datenaustausch zwischen einem ersten Bussystem und einem zweiten Bussystem steuert. Sie zeichnet sich dadurch aus, daß das Gateway Überprüfungsmittel aufweist zum Überprüfen der Datenübertragung zwischen den beiden Bussystemen. Außerdem umfaßt das Gateway Durchleitmittel, die die Datenübertragung in Abhängigkeit der von dem Überprüfungsmittel durchgeführten Überprüfung steuern. Das Gateway ist hierbei vorzugsweise an einer von außen zugänglichen Stelle am Kraftfahrzeug angeordnet. Über das Gateway kann das Bussystem des Fahrzeugs mit einem weiteren Bussystem, beispielsweise das eines Anhängers, verbunden werden. Die Überprüfungsmittel stellen sicher, daß nur solche Daten von einem in das andere Bussystem weitergeleitet werden, die auch für das jeweils andere Bussystem von Interesse sind. Die Überprüfung kann beispielsweise anhand von sogenannten Identifier erfolgen. Diese Identifier bezeichnen die gerade im Bussystem übertragenen Daten hinsichtlich ihrer Art. Anhand der im Speicher hinterlegten Identifier entscheiden die Überprüfungsmittel des Gatways, welche Daten tatsächlich in das jeweils andere Bussystem weitergeleitet werden. Damit werden Manipulationen von außen zusätzlich erschwert. Um unberechtigte Daten auf ein Bussystem zu schicken, müßte er jeweils zulässige Identifier der zur übertragenden Daten bekannt sein. Dies dürfte in der Regel nicht der Fall sein. Die Durchleitmittel lassen eine Datenübertragung jeweils in das andere Bussystem nur dann zu, wenn die Überprüfungsmittel auch berechtigte Daten erkannt haben.

In einer zweckmäßigen Weiterbildung ist vorgesehen, daß die Überprüfungsmittel die eingehenden Daten des einen Bussystems auf Plausibilität überprüfen und nur plausible Daten an das jeweils andere Bussystem weiterleiten. Durch das Weiterleiten lediglich plausibler Daten ist die Möglichkeit der gezielten Störung von außen weiter vermindert. Als Plausibilitätskriterium kann beispielsweise herangezogen werden, daß die Anzahl der sogenannten dominanten Zyklen eine vorgebbare Anzahl nicht überschreitet. Bei Vorliegen beispielsweise von 6 dominanten Zyklen erkennt die Plausibilitätsprüfung auf das Vorliegen eines Fehlerfalles. Solche Botschaften (mit mindestens 6 dominanten Zyklen) geben die Durchleitmittel nicht an das jeweils andere Bussystem weiter. Die Fehleranfälligkeit der Bussysteme kann dadurch weiter gesenkt werden.

In einer zweckmäßigen Ausgestaltung ist vorgesehen, daß die beiden Bussysteme mit jeweils identischen Protokollen betrieben werden. Damit reduziert sich der Aufwand für die Datenkonvertierung durch das Gateway.

Weitere zweckmäßige Weiterbildungen ergeben sich aus weiteren abhängigen Ansprüchen und aus der Beschreibung.

Beschreibung des Ausführungsbeispiels

Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung dargestellt und im folgenden näher beschrieben. Es zeigen

Fig. 1 und Fig. 3 ein Blockschaltbild des Ausführungsbeispiels sowie Fig. 2 mögliche Signalverläufe in den Bussystemen.

In einem Kraftfahrzeug 10 sind mehrere erste Steuergeräte 14 angeordnet, die jeweils über ein erstes Bussystem 12 zum Zweck des Datenaustausches miteinander verbunden sind. Eines der ersten Steuergeräte 14 gibt ein Sendesignal 13 auf das erste Bussystem 12. Das erste Bussystem 12 wird über ein Gateway 16 aus dem Kraftfahrzeug 10 geführt und mit einem zweiten Bussystem 24 zum Zweck des Datenaustauschs verbunden. Über das zweite Bussystem 24 wird der Datenaustausch der zweiten Steuergeräte 22 durchgeführt, die in einem Anhänger 20 angeordnet sind. In dem Gateway 16 befindet sich außerdem ein den Datenaustausch zwischen den beiden Bussystemen 12, 24 steuernder Microcontroller 18.

In der Fig. 2 sind drei zeitabhängige Signalverläufe dargestellt. Der erste Teil des von einem der ersten Steuergeräte 14 abgegebenen Sendesignals 13 wird als sogenannter Identifier bezeichnet und weist ein botschaftsspezifisches, eindeutiges Bitmuster auf. An einer Manipulationsstelle, angedeutet in Fig. 1 (a oder b in Fig. 1) durch einen gestrichelten Pfeil, wird ein externes Manipulationssignal 15 eingespeist, das gemäß dem zeitlichen Verlauf in Fig. 2 zumindest 6 dominante Zyklen enthält. Ein resultierendes Signal 17 entsteht aus einer Oder-Verknüpfung des Signals 13 und des externen Manipulationssignals 15.

In Fig. 3 ist das Gateway 16 genauer dargestellt. Dem Gateway 16 sind über Schnittstellen das erste Bussystem 12 und das zweite Bussystem 24 zugeführt. Deren Datenaustausch läuft über ein Durchleitmittel 32, das von einer Berechtigungslogik 34 angesteuert wird. Der Berechtigungslogik 34 sind die Daten des ersten Bussystems 12 und des zweiten Bussystems 24 zugeführt. Außerdem ruft die Berechtigungslogik 34 in einem Speicher 30 hinterlegte Identifier Ident 1 bis 3 ab.

Die in dem Kraftfahrzeug 10 angeordneten ersten Steuergeräte 14 tauschen über das erste Bussystem 12 aus. Hierbei könnte es sich beispielsweise um ein Alarmanlagensteuergerät handeln. Detektiert dieses einen versuchten Einbruch, so sendet das Steuergerät 14 ein Sendesignal 13 auf das erste Bussystem 12. Das Sendesignal setzt sich zusammen aus einem sogenannten Identifier, der in Form eines charakteristischen Bitmusters die Art der gerade übertragenen Information kennzeichnet. Desweiteren überprüfen die weiteren ersten Steuergeräte 14, ob der gesendete Identifier auf eine Botschaft hinweist, die für das jeweilige Steuergerät 14 interessant sein könnte.

Nun soll zugleich mit dem Auftreten des Sendesignals 13 ein externes Manipulationssignal 15 auf das erste Bussystem 12 gegeben werden, wie dies bei dem Stand der Technik möglich sein könnte. Die manipulierende Person hätte direkten Zugriff auf das erste Bussystem 12 an der in Fig. 1 mit a bezeichneten Stelle, ohne das Manipulationssignal 15 über das Gateway 16 auf das erste Bussystem 12 schicken zu müssen. Er sendet als Manipulationssignal 15 beispielsweise wie in Fig. 2 dargestellt sechs dominante Zyklen. Das resultierende Signal 17 entsteht, indem die auf das Bussystem 12 geschickten Signale miteinander logisch- Oder verknüpft werden. Das resultierende Signal 17 umfaßt somit ebenfalls mindestens 6 dominante Zyklen. Die Anzahl der dominanten Zyklen jedoch dient dem ersten Steuergerät 14 als Plausibilitätskriterum. Treten mindestens 6 dominante Zyklen auf, wird auf eine fehlerhafte Botschaft oder auf ein fehlerhaftes Bussystem 12 geschlossen. Gerade auf dem Bussystem 12 befindliche Botschaften werden nicht akzeptiert. Sendet somit das Alarmanlagesteuergerät die Botschaft eines Einbruchsversuchs und erfolgt gleichzeitig, wie geschildert, die Einspeisung des externen Manipulationssignals 15, ignoriert das weitere erste Steuergerät 14 (beispielsweise das Signalhorn) diese Botschaft und aktiviert somit die Sirene nicht.

Erfindungsgemäß ist nun vorgesehen, daß das erste Bussystem 12 über das Gateway 16 aus dem Kraftfahrzeug 10 geführt wird. Die Anordnung des Bussystems 12 im Kraftfahrzeug 10 muß dabei so gewählt werden, daß es nicht unter Umgehung des Gateways 16 zugänglich ist. Eine unberechtigte Person kann nicht ohne weiteres an einer Stelle des ersten Bussystems 12 Zugriff erlangen, die in Fig. 1 mit "a" gekennzeichnet ist. Ohne Probleme erhält jedoch die unberechtigte Person über das Gateway 16 Zugriff an der Fig. 1 mit "b" bezeichneten Stelle. Es wird nun weiterhin angenommen, daß der externe Angreifer das externe Manipulationssignal 15 über das Gateway 16 in das erste Bussystem 12 einspeisen möchte. Die Berechtigungslogik 34 empfängt das eingehende externe Manipulationssignal 15. Das eingehende Signal wird zunächst zwischengespeichert, jedoch noch nicht an das erste Bussystem 12 durchgeleitet. Als erstes überprüft die Berechtigungslogik 34, ob der Identifier der Nachricht mit einem der als zulässig im Speicher 30 hinterlegten Identifier Ident 1 bis 3 übereinstimmt. In dem Ausführungsbeispiel werden nämlich nur drei Botschaftsarten, gekennzeichnet durch die Identifier Ident 1 bis 3 von dem zweiten Bussystem 24 auf das erste Bussystem 12 weitergeleitet. Im vorliegenden Fall wird das externe Manipulationssignal 15 schon auf Grund fehlender Übereinstimmung mit einem der Identifier Ident 1 bis 3 nicht auf das erste Bussystem 12 gegeben werden. Die Berechtigungslogik 34 steuert das Durchleitmittel 32 auf Unterbrechung hin an. Bei dem Durchleitmittel 32 kann es sich um eine softwaretechnische Realisierung handeln. Grundsätzlich denkbar wäre jedoch auch die physikalische Verbindung bzw. Unterbrechung der beiden Bussysteme 12, 24.

In einer Variante wird nun nachfolgend angenommen, daß das externe Manipulationssignal 15 einen der als zulässig erkannten Identifier Ident 1 bis 3 aufweist. Allerdings umfaßt das externe Manipulationssignal 15 noch die 6 dominanten Zyklen. In einem weiteren Schritt überprüft die Berechtigungslogik 34 das externe Manipulationssignal 15 auf Plausibilität. Es werden nur fehlerfreie, plausible Botschaften weitergeleitet. In der Plausibilitätsabfrage überprüft die Berechtigungslogik 34, ob die Anzahl der dominanten Zyklen der eingehenden Botschaft einen vorgebbaren Grenzwert nicht übersteigt. Im vorliegendem Fall wird angenommen, daß fünf aufeinanderfolgende dominante Zyklen als fehlerfrei akzeptiert werden. Nun weist jedoch das externe Manipulationssignal 15 sechs dominante Zyklen auf. Diese Botschaft ist damit nicht fehlerfrei. Die Berechtigungslogik 34 erkennt dies in ihrem Plausibilitätstest und steuert das Durchleitmittel 32 in der Weise an, daß es das externe Manipulationssignal 15 nicht an das erste Bussystem 12 weiterleitet. Damit wirkt sich das fehlerbehaftete externe Manipulationssignal 15 gemäß der erfindungsgemäßen Vorrichtung nicht störend auf das Sendesignal 13 des ersten Steuergeräts 14 aus. Zumindest innerhalb des ersten Bussystems 12 kann der Datenaustausch erfolgreich durchgeführt werden. Zeigt beispielsweise das Alarmanlagensteuergerät 14 einen Einbruch an, sendet es daraufhin die entsprechende Botschaft an das Signalhorn 14 zum Zwecke der Ansteuerung. Diese Datenübertragung wird nicht durch das externe Manipulationssignal 15 beeinträchtigt.

Die beiden Bussysteme 12, 24 werden vorzugsweise mit dem identischen Busprotokoll betrieben. Damit reduziert sich der Aufwand für die Protokollkonvertierung im Gateway 16.

Bei einer alternativen Ausgestaltung ist vorgesehen, die Verbindung der Bussysteme 12, 24 über Steckkontakte vorzunehmen. Hierbei bietet sich eine mechanische Codierung der Stecker an. Hierbei würden beim Einstecken die Kontakte im fahrzeugseitigen Stecker geschlossen, die den internen Zweig des ersten Bussystems mit den Steckkontakten, die nach außen führen, verbinden.

Bei einer weiteren alternativen Ausgestaltung ist vorgesehen, daß die physikalische Trennung der beiden Bussystem 12, 24 erfolgen soll. Die Möglichkeit dieser Trennung kann über ein Steuergerät gesteuert werden, das überprüft, ob eine Kommunikation mit dem ersten Bussystem 12 stattfindet und bei einer Störung (falsche Identifier, mehr als fünf redundanten Zyklen) das erste Bussystem 12 von dem zweiten Bussystem 24 physikalisch trennt. Insbesondere ein extern herbeigeführter Kurzschluß kann damit die Kommunikation innerhalb des ersten Bussystems 12 nicht beeinträchtigen.

Claims

1. Vorrichtung zum manipulationssicheren Datenaustausch für ein Kraftfahrzeug, mit einem Gateway (16), das den Datenaustausch zwischen einem ersten Bussystem (12) und einem zweitem Bussystem (24) steuert, dadurch gekennzeichnet, daß das Gateway (16) Überprüfungsmittel (30, 34) aufweist zum Überprüfen der zur Datenübertragung zwischen den beiden Bussystemen (12, 24) bestimmten Daten, wobei das Gateway (16) Durchleitmittel (32) umfaßt, die die Datenübertragung in Abhängigkeit der von den Überprüfungsmitteln (30, 34) durchgeführten Überprüfung steuern, wobei die Überprüfungsmittel (30, 34) eingehende Daten des einen Bussystems (12, 24) mit in einem Speicher (30) hinterlegten Referenzdaten (Ident 1 . . . 3) vergleichen und die Daten nur bei Übereinstimmung mit den Referenzdaten (Ident 1, . . . 3) an das andere Bussystem (24, 12) weitergeleitet werden und wobei die Überprüfungsmittel (30, 34) die eingehenden Daten des einen Bussystems (12, 24) auf Plausibilität überprüfen und nur plausible Daten an das andere Bussystem (24, 12) weitergeleitet werden.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß das Gateway (16) an einer von außen zugänglichen Stelle des Kraftfahrzeuges (10) angeordnet ist.

3. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die beiden Bussysteme (12, 24) mit identischen Busprotokollen betrieben sind.