EP2727039A1 - Fahrzeugeinheit und verfahren zum betreiben der fahrzeugeinheit - Google Patents

Fahrzeugeinheit und verfahren zum betreiben der fahrzeugeinheit

Info

Publication number
EP2727039A1
EP2727039A1 EP12729145.8A EP12729145A EP2727039A1 EP 2727039 A1 EP2727039 A1 EP 2727039A1 EP 12729145 A EP12729145 A EP 12729145A EP 2727039 A1 EP2727039 A1 EP 2727039A1
Authority
EP
European Patent Office
Prior art keywords
unit
operating system
main operating
vehicle
partition
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
EP12729145.8A
Other languages
English (en)
French (fr)
Inventor
Bernd Becker
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Continental Automotive GmbH
Original Assignee
Continental Automotive GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Continental Automotive GmbH filed Critical Continental Automotive GmbH
Publication of EP2727039A1 publication Critical patent/EP2727039A1/de
Ceased legal-status Critical Current

Links

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R99/00—Subject matter not provided for in other groups of this subclass
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F12/00—Accessing, addressing or allocating within memory systems or architectures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/74—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information operating in dual or compartmented mode, i.e. at least one secure mode

Definitions

  • Vehicle unit and method for operating the vehicle unit are Vehicle unit and method for operating the vehicle unit
  • the invention relates to a vehicle unit for controlling vehicle functions, such as a central driving ⁇ imaging control unit, a multimedia-vehicle unit or the ⁇ same, and a method for operating this vehicle unit.
  • vehicle unit includes, as usual, to a micropro cessor ⁇ with an attached memory, is implemented on the microprocessor, a main operating system, which is also referred to as Main Operating System OS.
  • main operating system forms the interface of the hardware of the vehicle control unit to application programs (applications) implemented in the main system and / or optionally additionally implemented on the microprocessor, and user interactions via a user interface (user interface).
  • Such electronic vehicle units are increasingly used in vehicles, in which application programs are installed on the vehicle units, the components connected by Hardwarekompo-technikeinga ⁇ ben or to the vehicle unit, or both can be controlled.
  • Such open systems lead with some probability cause the Hauptbe ⁇ operating system and / or application programs on the vehicle ⁇ unit no longer function under certain conditions, for example due to errors in describing the connected in-vehicle unit memory.
  • Such problems can arise with too many rollback memory accesses to previous memory entries or programs' addition or deletion actions.
  • a Neuinstallati ⁇ on the main operating system and, where appropriate, the application programs is necessary.
  • the object of the present invention is to reduce the number of cases in which the repair Construction and sending the vehicle unit described above must be performed on a re ⁇ paraturservice.
  • the microprocessor is constructed in a microkernel architecture with separate partitions for a main operating system unit, a crypto unit and a supervision unit, wherein in the main operating system unit Hauptbe ⁇ operating system and, optionally, application programs incorporated ⁇ directed are, in the CRYPTO unit software certificates are ge ⁇ stores and a verification program is adapted to validation of certificates and software packages, and wherein in the supervision unit a monitoring program for monitoring the functions of the other partitions the microkernel architecture is provided.
  • the separate partitions with the programs set up on them operate independently of each other, the supervisory unit monitoring program monitoring the functions of the other partitions and preferably initiating a repair operation upon detection of an error, for example rewriting the failed partition in the microkernel architecture.
  • Flash serves to repair the system by returning it to the system's most recent stable state.
  • the microkernel architecture With separate partitions, it is therefore possible in the invention to use the Super Vision unit even if the main ⁇ operating system unit is faulty, so that by the Supervision unit repair of the entire system suc ⁇ gen, which had to be done conventionally by connecting a corresponding repair system at a repair service.
  • the monitoring program of the supervision unit can be realized, for example, as a kind of watchdog function, in particular for the main operating system unit.
  • the entire microkernel architecture is preferably implemented on exactly one microprocessor, on which all units of the various partitions are set up and on which all the functions assigned to the various units run by implementation of suitable programs.
  • the partition can be set up with the Haupt horrssys ⁇ tem unit to by an end user, examples example by a download and install new applications and / or firmware programs, be changeable.
  • Firmware programs can also include new Versio ⁇ nen of the main operating system in particular. It is possible according to both updates in ⁇ stalling and the partition completely re-writing ⁇ ben (Flashing), the main operating system is reinstalled in the vehicle unit. This represents a possible ⁇ ability to put the vehicle unit in a functional error again in a functional condition.
  • further partitions of the microkernel architecture in the microprocessor can be set up to be unchangeable by the end user. This may preferably concern all further partitions of the microkernel architecture, but in particular the crypto unit and the Supervision unit or the respective Partitio ⁇ nen with the crypto unit and the supervision unit.
  • the crypto unit can be set up to decrypt and / or check packages of software to be installed in the vehicle unit in the check program.
  • US 2009/0217136 Al already describes a memory device with a flash memory module and a controller contained in the memory device, which has its own microprocessor with an error correction module which is used in the storage or reading of data from the flash memory module performs a packetwise correction.
  • this 2009/0217136 proposes US AI an intrinsically ⁇ permanent microprocessor before, which is firmly associated with the memory unit, the memory unit may even be connected to a host computer system.
  • a realization of this function in the context of a microkernel architecture offers the advantage that a single microprocessor can be used, since the crypto unit according to the invention is also one of the microkernel architectures externally unchangeable partition is designed, which is here ⁇ secured against unwanted or deliberate manipulation and works particularly reliable in the context of the decryption and review of the main operating system and / or application software. In the context of this proposed architecture, it is not necessary to provide a separate processor and controller for this purpose.
  • the invention particularly important supervision unit is set up to initiate a recovery process for the partitions with the main operating system with the monitoring ⁇ program in case of failure in the main operating system.
  • the vehicle operating unit can thereby be operated particularly safely and reliably.
  • the basic version of a functioning main operating system with the essential application programs for example in the form of an image (image) can be stored in the flash memory connected to the vehicle ⁇ unit, which as a backup image of the partition of the main operating system by the supervision unit to ⁇ is written back.
  • the vehicle unit may be an interface for an ex- Have ternes storage medium, which is also controlled by the super vision unit.
  • This interface can be, for example, a USB interface, an interface for plugging in a Secure Digital Card (SD card), another data card or the like.
  • SD card Secure Digital Card
  • the super-vision unit or the implemented therein monitoring program on an emergency operating system which is adapted to drive necessary user interface such as a display, an input unit, and the like, as well as interfaces for an external storage medium and to execute the Reset factory ⁇ averaging method.
  • the micro-kernel architecture can (Kernel separation) may be formed with a separate partition for a policy unit as a so-called separation kernel, wherein the policy unit is as ⁇ to set up the communication between the individual partitions of the microkernel architecture be monitored and, if necessary, controlled.
  • the policy unit is as ⁇ to set up the communication between the individual partitions of the microkernel architecture be monitored and, if necessary, controlled.
  • the vehicle unit or the respective units of the various partitions of the microkernel architecture According to the invention set thereof for carrying out the following be written ⁇ method for operating the vehicle unit, or parts thereof.
  • the method is suitable Operator Op ⁇ ben a vehicle unit comprising a microprocessor on WEL ehern the prescribed microkernel architecture is fitted with the separate partitions for a main operating system unit, egg ⁇ ne crypto unit, and a Supvervisions unit.
  • the main operating system unit according to the invention, the main operating system and optionally application programs are set up. These can be changed by the user.
  • software certificates are stored and set up a verification program for checking certificates and complete software packages.
  • the invention provides in the microkernel architecture, and by the monitoring program of a supervision unit drive the main operating system and optionally EXISTING ⁇ dene application software during startup and / or the loading of the Main operating system or the vehicle ⁇ unit monitors and in case of deviations from a predetermined behavior, a recovery process for the main operating system is initiated.
  • the vehicle unit can be restarted in a failure and restored to an operational state, without a removal of the vehicle unit and rewriting the memory connected to the microprocessor for re-implementation of the main operating system software and the application programs are necessary.
  • a particularly advantageous embodiment of the method according to the invention is to detect deviations during startup and / or operation of the main operating ⁇ system a typical start time for a user interface (Human Machine Interface - HMI), which claimed by the Hauptbe ⁇ operating system computing time of the microprocessor and / or the storage claimed by the main operating system. For example, by comparing with predetermined limits for a normal operation monitored.
  • Such data can be easily monitored by the monitoring program in a kind of watchdog function, for example, by simulating a response of the user interface and till ⁇ queries and the operation of the microprocessor and the memory ⁇ place are monitored. This is possible under an inde ⁇ -ended process in the Super Vision unit easily without any errors in the partition of
  • Main operating system unit affect this function.
  • the recovery process is started may preferably be in the context of this recovery process, the Partiti ⁇ on the main operating system unit completely bringsschal ⁇ tet and discharged from the microkernel architecture.
  • the emergency operating system of the Su ⁇ pervisions unit then takes over the control of the user interface and / or an interface for the external storage medium to indicate the failure of the vehicle unit and a new implement the main operating system unit in the ent ⁇ speaking partition the micro-kernel To be able to carry out architecture.
  • the recovery process of the invention can be automated and / or Runaway ⁇ leading user-controlled. A particularly fast, automatic re ⁇ production of the defective partition can then be achieved if in the inventive method a writeback in the vehicle unit, for example, on the
  • Microprocessor connected memory stored backup images of the partition of the main operating system is done. After writing back such a backup image, the vehicle unit can be restarted, with the restart running the newly installed main operating system.
  • a serial number, a version identification ⁇ number or the like to be output to the user, to the user to select the appropriate main operating system, that is ei ⁇ ner appropriate firmware to allow a manufacturer's site in the Internet.
  • a serial number, a version identification ⁇ number or the like to be output to the user, to the user to select the appropriate main operating system, that is ei ⁇ ner appropriate firmware to allow a manufacturer's site in the Internet.
  • information can also be a suitable Internet link, particularly in the form of an html file that is output on the external Spei ⁇ chermedium that can be called ⁇ when connected to another computer system with an Internet connection directly up and download the appropriate main operating system.
  • the html file optionally with yes ⁇ vaScript shares, checks the size of the storage medium and stores an image file and / or an update file of the main operating system to be installed in a suitable directory.
  • an error reduction is achieved because a faulty installation of a wrong operating ⁇ system is avoided from the outset, without the installed in the vehicle unit crypto unit would have to grasp ⁇ accordingly.
  • a certifi cate ⁇ can be used here.
  • a check is carried out by the crypto unit.
  • serial number, hardware version, integrity, certificate or the like can be checked and, if necessary, a decryption can be carried out.
  • the presence checks an external storage medium to the image file and / or the update file and their in ⁇ stallation starts at presence immediately. Otherwise, the presence of the external memory is not checked. This also ensures that an update with the same software version does not occur several times, which can sometimes lead to an unstable system. After a successful reinstallation of the main operating system, also called flashing, then in the normal and usual way faster start mode is switched again.
  • main operating system also called flashing
  • the present invention also relates to a computer program product with program code means for setting up in a computer unit, which computer program product is characterized in that by the program code means when executing the computer program a microkernel architecture according to one of claims 1 to 6 and / or a method according to one of claims 7 to 12 is set up in the microprocessor of the vehicle unit.
  • FIG. 1 shows schematically the structure of a device according to the invention.
  • FIG. 2 shows a schematic sequence for operating a vehicle unit according to the present invention.
  • Fig. 1 the system partitioning of a memory connected to the microprocessor is shown on the the memory accesses the sequence of various programs in the partitions.
  • This partition is formed as a Separati ⁇ onskernel, which is a special variant of a microkernel architecture.
  • the various partitions 1, 2, 3, 4 implemented for the main operating system unit, the super-vision unit, the policy unit and the crypto unit in the same Mik ⁇ roratior with an attached memory, the different partitions run independently on the microprocessor and can also be executed in parallel.
  • the main operating system of the vehicle unit is installed, which can be changed by the end user, for example by downloading and installing new application programs or new Kleinbe ⁇ operating system software versions.
  • the partition 4 with the crypto unit is responsible for storing and validating certificates and checking the certificates of application software or complete software packages. All software certificates are installed inside Par ⁇ titionen 4 with the crypto unit without the other partitions 1, 2, 3 access to the partition 4 ben ha-. As a result, the security is increased according to the invention, because the crypto unit can not be changed by the user.
  • Partition 2 with the supervision unit for example, monitors the others with watchdog-like mechanisms
  • Partitions 1, 3, 4, and in particular the partition 1 with the main operating system unit which is responsible for the proper functioning of the vehicle unit.
  • This unit is so inventively responsible for detecting a non-function-onsstoryen main operating system and the introduction of a car ⁇ matic or user-interactive recovery process.
  • the partition 3 with the policy unit is a standard unit of a separation kernel and monitors rackingswei ⁇ se controls the communication between the different partitions 1, 2, 4. For example, checks whether a partition A send a message M to a partition B may.
  • the policy unit controls the access rights to physical volumes or flash partitions, and changes the budgets for processor power allocation to individual processes or storage space.
  • An essential concept of the present invention is now outsource responsible for the monitoring and restore the entire vehicle unit program code from the par ⁇ tition 1 with the main operating system unit in the partition 2 with the Supervision unit, said Par ⁇ tition 2 by the microkernel architecture is protected from interference or access from partition 1 while still running on the same microprocessor.
  • This function allows the monitoring function of a this usually provided external Mikrokon- is troller in the partition 2 of the Supervision Unit übertra ⁇ gen cooperating within the framework of their duties with the policy unit and the crypto unit.
  • the supervision unit, the crypto unit and the policy unit can replace the three different partitions 2 3 and 4 are also combined in a common partition, which according to the invention, however, differs from the partition 1 of the main operating system unit.
  • the partition 1 of the main operating system unit differs from the partition 1 of the main operating system unit.
  • a monitoring program runs in the super vision unit of the partition 2 in order to detect faults in the main operating system.
  • the Supervision Unit monitors the start of the main operation ⁇ system with regard to some detail functions. These detailed functions include important service functions and states of the main operating system.
  • HMI man-machine interface
  • angesteu ⁇ ert from the main operating system.
  • the function of the human-machine interface is checked by the supervision unit, for example by means of a fictitious input. If the man-machine interface after starting the vehicle unit after is not operational for a given time, this can be considered a failure of the main operating system.
  • the partition 1 of the main operating system can be regarded as faulty if an extraordinary loading ⁇ the processing power of the processor or an exceptional storage space requirement is determined. Excessive network traffic between the individual partitions of the separation kernel can also be seen as a characteristic of a faulty main operating system.
  • Main OS unit is completely powered off and unloaded from the microkernel architecture.
  • the a supervision unit then takes over under an emergency operating system, the remaining functions of the vehicle unit to which in particular also the response of the spot man-machine interface ⁇ belongs.
  • the supervision unit issues an error message to the end user via a screen of the human-machine interface.
  • An Internet link in particular an https link, with some details such as the serial number or a version identification number is output on the same screen on which the error message is displayed, so that the end user receives an up-to-date software package for the main operating system and / or the he requires application soft ⁇ ware can be downloaded from the Internet from a service side of the manufacturer of the vehicle unit.
  • the software download can be done by a conventional PC and on an external storage means, such as a USB memory stick done.
  • the supervision unit activates in the Emergency operating system the needed driver for external
  • the emergency operating system detects such an external storage means to egg ner interface, for example, when restarting the vehicle unit, the file system is searched for ei ⁇ nem software update package. Once such Pa ⁇ ket is detected, the hash value of the packet calculation ⁇ net, a signature is read and read the Locks ⁇ doubted software version and hardware compatibility of the package of the storage device and the partition 4 with the Crypto unit sent.
  • the crypto unit ⁇ checks the contents of the software package and gives the moni ⁇ toring unit feedback whether the software package for the present hardware is permitted. Furthermore, the Cryptoworks to-package can decrypt the software packets and provide for in ⁇ stallation.
  • the supervision unit performs a complete check on the blocks of the flash partitions used for the main operating system. Then it starts a reinstallation of the flash partition with the main operating system (flashing). After a successful installation in the partition 1, the main operating system unit, the vehicle starts generating unit at the next start with the new Radiosys ⁇ tem. In addition to error handling, they can also import targeted updates in this way, which can be triggered, for example, by a user input in the main operating system.
  • the super ⁇ visions unit chert a Launching an online link storage offered on a Schlos ⁇ Senen to the Vehicle Unit memory device in which already necessary information to Identifika ⁇ tion of the appropriate and required software are included. In this way, error entries are avoided.
  • a user-controllable method for operating the vehicle unit can be carried out, which allows the unit to be restored in the event of a software error without it having to be removed and sent to a special service point.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Mechanical Engineering (AREA)
  • Stored Programmes (AREA)
  • Debugging And Monitoring (AREA)

Abstract

Es werden eine Fahrzeugeinheit und ein Verfahren zur Steuerung von Fahrzeugfunktionen mit einem Mikroprozessor und angeschlossenem Speicher beschrieben, auf welchen ein Hauptbetriebssystem implementiert ist, welches die Schnittstelle der Hardware zu Anwendungsprogrammen und Benutzerinteraktionen bildet. Es ist vorgesehen, dass der Mikroprozessor in einer Mikrokernel-Architektur mit separaten Partitionen für eine Hauptbetriebssystem-Einheit (1), eine Crypto-Einheit (4) und eine Supervisions-Einheit (2) aufgebaut ist, wobei in der Hauptbetriebssystem-Einheit (1) das Hauptbetriebssystem eingerichtet ist, wobei in der Crypto-Einheit (4) Software-Zertifikate gespeichert sind und ein Überprüfungsprogramm zur Überprüfung von Zertifikaten und Softwarepakten eingerichtet ist und wobei in der Supervisions-Einheit (2) ein Überwachungsprogramm zur Überwachung der Funktion der anderen Partitionen der Mikrokernel-Architektur vorgesehen ist.

Description

Beschreibung
Fahrzeugeinheit und Verfahren zum Betreiben der Fahrzeugeinheit
Die Erfindung betrifft eine Fahrzeugeinheit zur Steuerung von Fahrzeugfunktionen, beispielsweise eine zentrale Fahr¬ zeugsteuereinheit, eine Multimedia-Fahrzeugeinheit oder der¬ gleichen, sowie ein Verfahren zum Betreiben dieser Fahrzeug- einheit. Die Fahrzeugeinheit weist wie üblich einen Mikropro¬ zessor mit einem angeschlossenen Speicher auf, wobei auf dem Mikroprozessor ein Hauptbetriebssystem, welches nachfolgend auch als Main Operating System OS bezeichnet wird, implementiert ist. Das Hauptbetriebssystem bildet erfindungsgemäß die Schnittstelle der Hardware der Fahrzeugsteuereinheit zu in dem Hauptsystem implementierten und/oder gegebenenfalls auch auf den Mikroprozessor zusätzlich implementierten Anwendungsprogrammen (Applikationen) und Benutzerinteraktionen über eine Benutzerschnittstelle (User Interface) .
Derartige elektronische Fahrzeugeinheiten kommen zunehmend in Fahrzeugen zum Einsatz, wobei auf den Fahrzeugeinheiten Anwendungsprogramme installiert sind, die durch Benutzereinga¬ ben oder an die Fahrzeugeinheit angeschlossene Hardwarekompo- nenten oder beides gesteuert werden. Solche offenen Systeme führen mit einiger Wahrscheinlichkeit dazu, dass das Hauptbe¬ triebssystem und/oder Anwendungsprogramme auf der Fahrzeug¬ einheit unter bestimmten Bedingungen nicht mehr funktionieren, beispielsweise aufgrund von Fehlern beim Beschreiben des in der Fahrzeugeinheit angeschlossenen Speichers. Derartige Probleme können bei zu vielen Rollback-Speicherzugriffen auf frühere Speichereinträge oder Hinzufüge- oder Löschaktionen von Programmen entstehen. Häufig ist dann eine Neuinstallati¬ on des Hauptbetriebssystems sowie gegebenenfalls der Anwen- dungsprogramme notwendig. Diese Neuinstallation ist für Erst¬ ausrüster, Zwischenhändler und Endkunden sehr aufwendig, weil die Fahrzeugeinheit aus dem Fahrzeug ausgebaut und an einen Reparaturservice versandt werden muss, der dann in einem auch als "Flashing" bezeichneten Prozess den Speicher neu beschreiben muss, um das Hauptbetriebssystem und gegebenenfalls die Anwendungsprogramme auf dem Mikroprozessor neu zu imple- mentieren.
Weil dies sehr arbeits- und kostenintensiv ist, liegt die Aufgabe der vorliegenden Erfindung darin, die Anzahl der Fälle zu reduzieren, in denen die zuvor beschriebene Reparatur durch Ausbau und Übersendung der Fahrzeugeinheit an einen Re¬ paraturservice ausgeführt werden müssen.
Diese Aufgabe wird durch eine Fahrzeugeinheit mit den Merkma¬ len des Anspruchs 1 und ein Verfahren zu deren Betreiben ge- maß den Merkmalen des Anspruchs 7 gelöst. Bei einer Fahrzeug¬ einheit der eingangs beschriebenen Art ist dazu vorgesehen, dass der Mikroprozessor in einer Mikrokernel-Architektur mit separaten Partitionen für eine Hauptbetriebssystem-Einheit, eine Crypto-Einheit und eine Supervisions-Einheit aufgebaut ist, wobei in der Hauptbetriebssystem-Einheit das Hauptbe¬ triebssystem sowie gegebenenfalls Anwendungsprogramme einge¬ richtet sind, in der Crypto-Einheit Software-Zertifikate ge¬ speichert sind und ein Überprüfungsprogramm zur Überprüfung von Zertifikaten und Softwarepaketen eingerichtet ist, und wobei in der Supervisions-Einheit ein Überwachungsprogramm zur Überwachung der Funktionen der anderen Partitionen der Mikrokernel-Architektur vorgesehen ist.
Erfindungsgemäß arbeiten die separaten Partitionen mit den darauf eingerichteten Programmen unabhängig voneinander, wobei das Überwachungsprogramm der Supervisions-Einheit die Funktionen der anderen Partitionen überwacht und vorzugsweise bei Feststellen eines Fehlers einen Reparaturvorgang einleitet, beispielsweise durch Neubeschreiben der fehlerhaften Partition in der Mikrokernel-Architektur. Ein derartiger
Flash-Vorgang dient dem Reparieren des Systems durch Zurückbringen auf den letztbekannten stabilen Zustands des Systems. Durch das Vorsehen der Mikrokernel-Architektur mit den separaten Partitionen ist es daher erfindungsgemäß möglich, die Supervisions-Einheit auch dann zu verwenden, wenn die Haupt¬ betriebssystem-Einheit fehlerhaft ist, so dass durch die Su- pervisions-Einheit eine Reparatur des gesamten Systems erfol¬ gen kann, die herkömmlich durch Anschließen eines entsprechenden Reparatursystems bei einem Reparaturservice erfolgen musste. Das Überwachungsprogramm der Supervisions-Einheit kann dabei beispielsweise als eine Art Watchdog-Funktion ins- besondere für die Hauptbetriebssystem-Einheit realisiert sein. Erfindungsgemäß ist die gesamte Mikrokernel-Architektur vorzugsweise auf genau einem Mikroprozessor implementiert, auf dem also alle Einheiten der verschiedenen Partitionen eingerichtet sind und auf dem alle den verschiedenen Einhei- ten zugewiesenen Funktionen durch Implementierung geeigneter Programme ablaufen.
Erfindungsgemäß kann die Partition mit der Hauptbetriebssys¬ tem-Einheit dazu eingerichtet sein, von einem Endnutzer, bei- spielsweise durch einen Download und Installation neuer Anwendungsprogramme und/oder Firmwareprogramme, veränderbar sein. Firmwareprogramme können insbesondere auch neue Versio¬ nen des Hauptbetriebssystems umfassen. Dabei ist es erfindungsgemäß möglich, sowohl Updates zu in¬ stallieren als auch die Partition vollständig neu zu schrei¬ ben (Flashing) , wobei das Hauptbetriebssystem in der Fahrzeugeinheit neu installiert wird. Dies stellt eine Möglich¬ keit dar, die Fahrzeugeinheit bei einem Softwarefehler wieder in einen funktionsfähigen Zustand zu versetzen.
Gemäß einer besonders vorteilhaften Weiterbildung der vorliegenden Erfindung können weitere Partitionen der Mikrokernel- Architektur in dem Mikroprozessor dazu eingerichtet sein, durch den Endnutzer nicht änderbar zu sein. Dies kann vorzugsweise alle weiteren Partitionen der Mikrokernel-Architektur betreffen, insbesondere aber die Crypto-Einheit und die Supervisions-Einheit beziehungsweise die jeweiligen Partitio¬ nen mit der Crypto-Einheit und der Supervisions-Einheit.
Hierdurch lässt sich insgesamt eine hohe Systemsicherheit bei gleichzeitiger Einflussnahme durch den Benutzer auf die
Hauptbetriebssystem-Einheit erreichen, da die für eine mögli¬ che Wiederherstellung des Hauptbetriebssystems verantwortli¬ chen Partitionen und Einheiten der Mikrokernel-Architektur nicht durch Benutzereingriffe verändert werden können und da¬ her eine Wiederherstellung der Fahrzeugeinheit auf einen vor- gegebenen, definierten Stand ermöglichen.
In Weiterentwicklung des erfindungsgemäßen Gedankens kann die Crypto-Einheit dazu eingerichtet sein, in der Fahrzeugeinheit zu installierende Software mit in dem Überprüfungsprogramm paketweise zu entschlüsseln und/oder zu überprüfen. Hierdurch wird das Problem gelöst, dass der in den Fahrzeugeinheiten an den Mikroprozessor angeschlossene Speicher, insbesondere ein Flash-Speicher, nur eine vergleichsweise geringe Speicherplatzkapazität aufweist, die häufig für das Zwischenspeichern vollständiger Applikationen nicht ausreichend ist. Dies gilt beispielsweise auch für ein vollständiges Image (Abbild) der Partition mit dem Hauptbetriebssystem.
In diesem Zusammenhang ist aus der US 2009/0217136 AI bereits ein Speichergerät mit einem Flash-Speichermodul und einem in dem Speichergerät enthaltenen Controller beschrieben, welcher einen eigenen Mikroprozessor mit einem Fehlerkorrekturmodul aufweist, das bei dem Speichern oder Lesen von Daten aus dem Flash-Speichermodul eine paketweise Korrektur durchführt. Hierfür schlägt die US 2009/0217136 AI jedoch einen eigen¬ ständigen Mikroprozessor vor, der der Speichereinheit fest zugeordnet ist, wobei die Speichereinheit selbst an ein Host- Computersystem angeschlossen werden kann. Eine Realisierung dieser Funktion im Rahmen einer Mikrokernel-Architektur bie- tet dagegen den Vorteil, dass ein einziger Mikroprozessor verwendet werden kann, weil auch die erfindungsgemäße Crypto- Einheit im Rahmen der Mikrokernel-Architektur als eine von außen nicht veränderbare Partition ausgestaltet ist, die da¬ her gegen ungewollte oder bewusste Manipulationen gesichert ist und im Rahmen der Entschlüsselung und Überprüfung der Hauptbetriebssystem- und/oder Anwendungssoftware besonders zuverlässig arbeitet. Im Rahmen dieser vorgeschlagenen Architektur ist es nicht notwendig, hierfür einen separaten Prozessor und Controller vorzusehen.
Vorteilhafterweise ist die erfindungsgemäß besonders wichtige Supervisions-Einheit dazu eingerichtet, mit dem Überwachungs¬ programm im Falle eines Fehlers in dem Hauptbetriebssystem ein Wiederherstellungsverfahren für die Partitionen mit dem Hauptbetriebssystem einzuleiten. Indem dies automatisch bei dem Feststellen eines Fehlers in dem Hauptbetriebssystem der Fahrzeugeinheit erfolgt, kann die Fahrzeugbetriebseinheit hierdurch besonders sicher und zuverlässig betrieben werden.
Gemäß einer einfachen Variante kann in dem an die Fahrzeug¬ einheit angeschlossenen Flash-Speicher die Grundversion eines funktionierenden Hauptbetriebssystems mit den wesentlichen Anwendungsprogrammen beispielsweise in Form eines Abbildes (Image) abgelegt sein, welches als Backup-Image der Partition des Hauptbetriebssystems durch die Supervisionseinheit zu¬ rückgeschrieben wird.
Alternativ oder ergänzend kann im Rahmen des Wiederherstel¬ lungsverfahrens ein vorzugsweise Benutzer-interaktiver Download einer aktuellen Hauptbetriebssystem-Version stattfinden, welche anschließend in der Partition der Hauptbetriebssystem- Einheit durch die Supervisions-Einheit installiert wird. Da¬ bei kann vor oder während der Installation durch die Crypto- Einheit die Integrität der installierten Software überprüft werden . Um eine einfache Übertragung einer aktuellen Hauptbetriebs¬ systemversion oder aktueller Anwendungsprogramme zu ermögli¬ chen, kann die Fahrzeugeinheit eine Schnittstelle für ein ex- ternes Speichermedium aufweisen, welche auch durch die Super- visions-Einheit ansteuerbar ist. Diese Schnittstelle kann beispielsweise eine USB-Schnittstelle, eine Schnittstelle zum Einstecken einer Secure-Digital-Card (SD-Karte) , einer ande- ren Datenkarte oder dergleichen sein. Dabei muss die Schnitt¬ stelle nicht unmittelbar an der Fahrzeugeinheit vorgesehen sein, sondern kann erfindungsgemäß auch in eine in dem Fahrzeug ohnehin vorhandene Benutzerschnittstelle integriert sein .
Vorzugsweise weist die Supervisions-Einheit beziehungsweise das darin implementierte Überwachungsprogramm ein Not- Betriebssystem auf, welches dazu eingerichtet ist, benötigte Benutzerschnittstellen wie beispielsweise ein Display, eine Eingabeeinheit und dergleichen, sowie Schnittstellen für ein externes Speichermedium anzusteuern und das Wiederherstel¬ lungsverfahren auszuführen.
Gemäß einer besonders bevorzugten Ausführungsform kann die Mikrokernel-Architektur als sogenannter Separationskernel (Separation Kernel) mit einer separaten Partition für eine Policy-Einheit ausgebildet sein, wobei die Policy-Einheit da¬ zu eingerichtet ist, die Kommunikation zwischen den einzelnen Partitionen der Mikrokernel-Architektur zu überwachen und ge- gebenenfalls zu steuern. So hindert zum Beispiel die Policy- Einheit das Hauptbetriebssystem an einem Zugriff auf die anderen Partitionen und kontrolliert Kommunikationsabläufe zwi¬ schen den einzelnen Partitionen. Hierdurch wird eine besonders hohe Betriebssicherheit und Manipulationssicherheit der Fahrzeugeinheit erreicht, weil durch die ebenfalls durch den Benutzer nicht veränderbare Policy-Einheit unvorhergesehene Aktionen innerhalb des an den Mikroprozessor angeschlossenen Speichers oder innerhalb des Mikroprozessors selbst nicht er¬ folgen können.
Die Fahrzeugeinheit beziehungsweise die jeweiligen Einheiten der verschiedenen Partitionen der Mikrokernel-Architektur sind erfindungsgemäß zur Durchführung des nachfolgend be¬ schriebenen Verfahrens zum Betreiben der Fahrzeugeinheit oder Teilen davon eingerichtet. Dieses Verfahren dient dem Betrei¬ ben einer Fahrzeugeinheit mit einem Mikroprozessor, auf wel- ehern die vorbeschriebene Mikrokernel-Architektur mit den separaten Partitionen für eine Hauptbetriebssystem-Einheit, ei¬ ne Crypto-Einheit und eine Supvervisions-Einheit aufgesetzt ist. In der Hauptbetriebssystem-Einheit sind erfindungsgemäß das Hauptbetriebssystem sowie gegebenenfalls Anwendungspro- gramme eingerichtet. Diese können durch den Nutzer verändert werden. In der Crypto-Einheit sind erfindungsgemäß Software- Zertifikate gespeichert und ein Überprüfungsprogramm zur Überprüfung von Zertifikaten und vollständiger Softwarepakete eingerichtet. In der Supervisions-Einheit ist erfindungsgemäß ein Überwachungsprogramm zur Überwachung der Funktionen der anderen Partitionen in der Mikrokernel-Architektur vorgesehen, wobei durch das Überwachungsprogramm der Supervisions- Einheit das Hauptbetriebssystem sowie gegebenenfalls vorhan¬ dene Anwendungssoftware während des Starts und/oder des Be- triebs des Hauptbetriebssystems beziehungsweise der Fahrzeug¬ einheit überwacht und bei Abweichungen von einem vorgegebenen Verhalten ein Wiederherstellungsverfahren für das Hauptbetriebssystem eingeleitet wird. Dadurch lässt sich die Fahrzeugeinheit in vielen Fällen bei einem Ausfall neu starten und in einen betriebsfähigen Zustand zurückversetzen, ohne dass ein Ausbau der Fahrzeugeinheit und ein Neubeschreiben des an den Mikroprozessor angeschlossenen Speichers zur Neuimplementierung der Hauptbetriebssystem-Software sowie der Anwendungsprogramme notwendig werden.
In einer besonders vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens wird zur Feststellung von Abweichungen während des Starts und/oder Betriebs des Hauptbetriebs¬ systems eine typische Startzeit für eine Benutzerschnittstel- le (Human Machine Interface - HMI), die durch das Hauptbe¬ triebssystem beanspruchte Rechenzeit des Mikroprozessors und/oder der durch das Hauptbetriebssystem beanspruchte Spei- cherplatzbedarf beispielsweise durch Vergleich mit vorgegebenen Grenzwerten für einen Normalbetrieb überwacht. Derartige Daten lassen sich durch das Überwachungsprogramm in einer Art Watchdog-Funktion einfach überwachen, indem beispielsweise ein Ansprechen der Benutzerschnittstelle simuliert und abge¬ fragt sowie der Betrieb des Mikroprozessors und des Speicher¬ platzes überwacht werden. Dies ist im Rahmen eines eigenstän¬ digen Prozesses in der Supervisions-Einheit ohne Weiteres möglich, ohne dass mögliche Fehler in der Partition der
Hauptbetriebssystem-Einheit diese Funktion beeinträchtigen.
Sofern bei dem Feststellen eines nicht ordnungsgemäßen Betriebs der Partition mit der Hauptbetriebssystem-Einheit das Wiederherstellungsverfahren gestartet wird, kann im Rahmen dieses Wiederherstellungsverfahrens vorzugsweise die Partiti¬ on mit der Hauptbetriebssystem-Einheit vollständig abgeschal¬ tet und aus der Mikrokernel-Architektur entladen werden. Erfindungsgemäß übernimmt dann das Not-Betriebssystem der Su¬ pervisions-Einheit die Ansteuerung der Benutzerschnittstelle und/oder einer Schnittstelle für das externe Speichermedium, um den Ausfall der Fahrzeugeinheit anzuzeigen und ein neues Implementieren der Hauptbetriebssystem-Einheit in der ent¬ sprechenden Partition der Mikrokernel-Architektur vornehmen zu können. Das erfindungsgemäße Wiederherstellungsverfahren kann dann automatisiert und/oder benutzergesteuert durchge¬ führt werden. Eine besonders schnelle, automatische Wieder¬ herstellung der defekten Partition lässt sich dann erreichen, wenn bei dem erfindungsgemäßen Verfahren ein Rückschreiben eines in der Fahrzeugeinheit, beispielsweise dem an dem
Mikroprozessor angeschlossenen Speicher, gespeichertes Backup-Images der Partition des Hauptbetriebssystems erfolgt. Nach dem Rückschreiben eines solchen Backup-Images kann die Fahrzeugeinheit neu gestartet werden, wobei bei dem Neustart das neuinstallierte Hauptbetriebssystem ausgeführt wird.
Alternativ kann bei dem Wiederherstellungsverfahren das Ausführen eines Benutzer-interaktiven Downloads einer aktuellen Hauptbetriebssystem-Version erfolgen, wobei die aktuelle Hauptbetriebssystem-Version insbesondere über ein externes Speichermedium eingelesen und in der Partition für das Hauptbetriebssystem installiert wird. Erfindungsgemäß kann dem Be- nutzer dazu eine Seriennummer, eine Versionsidentifikations¬ nummer oder dergleichen ausgegeben werden, um dem Benutzer die Auswahl des passenden Hauptbetriebssystems, das heißt ei¬ ner geeigneten Firmware, von einer Herstellerseite in dem Internet zu ermöglichen. In Abwandlung dieser zusätzlich gege- benen Informationen kann auch ein geeigneter Internet-Link, insbesondere in Form einer html-Datei, auf dem externen Spei¬ chermedium ausgegeben werden, der nach Anschluss an ein anderes Computersystem mit Internet-Anschluss unmittelbar aufge¬ rufen werden kann und zum Download des geeigneten Hauptbe- triebssystems führt. Die html-Datei, gegebenenfalls mit Ja¬ vaScript-Anteilen, überprüft die Größe des Speichermediums und speichert eine Image-Datei und/oder eine Update-Datei des zu installierenden Hauptbetriebssystems in ein geeignetes Verzeichnis. Hierdurch wird eine Fehlerreduktion erreicht, weil eine fehlerhafte Installation eines falschen Betriebs¬ systems von vornherein vermieden wird, ohne dass die in der Fahrzeugeinheit installierte Crypto-Einheit entsprechend ein¬ greifen müsste. Gegebenenfalls kann hierbei auch ein Zertifi¬ kat eingesetzt werden.
Trotzdem ist es besonders vorteilhaft, wenn vor oder während der Installation des Hauptbetriebssystems und/oder einer für das Hauptbetriebssystem geeigneten Anwendung in Form eines Anwendungsprogramms eine Überprüfung durch die Crypto-Einheit erfolgt. Dabei können Seriennummer, Hardwareversion, Integrität, Zertifikat oder dergleichen überprüft und gegebenenfalls auch eine Entschlüsselung vorgenommen werden.
Erfindungsgemäß kann nach dem Schreiben eines Internet-Links, beispielsweise in Form der html-Datei, in einen automatischen Start-Up-Modus geschaltet werden, der beim Starten bezie¬ hungsweise Hochfahren der Fahrzeugeinheit das Vorhandensein eines externen Speichermediums mit der Image-Datei und/oder der Update-Datei überprüft und bei Vorhandensein deren In¬ stallation sofort startet. Andernfalls wird das Vorhandensein des externen Speichers nicht geprüft. Hierdurch wird auch si- chergestellt , dass nicht mehrmals ein Update mit derselben Softwareversion erfolgt, was unter Umständen zu einem instabilen System führen kann. Nach einer erfolgreichen Neuinstallation des Hauptbetriebssystems, auch Flashen genannt, wird dann wieder in den normalen und üblicher Weise auch schnelle- ren Startmodus geschaltet.
Schließlich betrifft die vorliegende Erfindung auch ein Computerprogrammprodukt mit Programmcodemitteln zur Einrichtung in einer Recheneinheit, welches Computerprogrammprodukt da- durch gekennzeichnet ist, dass durch die Programmcodemittel bei Ausführen des Computerprogramms eine Mikrokernel-Archi- tektur gemäß einem der Ansprüche 1 bis 6 und/oder ein Verfahren gemäß einem der Ansprüche 7 bis 12 in dem Mikroprozessor der Fahrzeugeinheit eingerichtet wird.
Weitere Vorteile, Merkmale und Anwendungsmöglichkeiten der vorliegenden Erfindung ergeben sich auch aus der nachfolgenden Beschreibung eines Ausführungsbeispiels und der Zeich¬ nung. Dabei bilden alle beschriebenen und/oder bildlich dar- gestellten Merkmale für sich oder in beliebiger Kombination den Gegenstand der vorliegenden Erfindung, auch unabhängig von ihrer Zusammenfassung in den Ansprüchen oder deren Rück- bezügen. Es zeigen: Fig. 1: schematisch den Aufbau einer erfindungsgemäßen
Mikrokernel-Architektur und
Fig. 2: einen schematischen Ablauf zum Betrieb einer Fahrzeug-Einheit gemäß der vorliegenden Erfindung.
In Fig. 1 ist dazu die Systempartitionierung eines an den Mikroprozessor angeschlossenen Speichers dargestellt, auf den der Speicher zum Ablauf der verschiedenen Programme in den Partitionen zugreift. Diese Partition ist als ein Separati¬ onskernel ausgebildet, der eine spezielle Variante einer Mikrokernel-Architektur darstellt. Bei der Mikrokernel- Architektur sind die verschiedenen Partitionen 1, 2, 3, 4 für die Hauptbetriebssystem-Einheit, die Supervisions-Einheit , die Policy-Einheit und die Crypto-Einheit auf demselben Mik¬ roprozessor mit angeschlossenem Speicher implementiert, wobei die verschiedenen Partitionen unabhängig voneinander auf dem Mikroprozessor ablaufen und auch parallel ausgeführt werden können .
In der Partition 1 der Hauptbetriebssystem-Einheit ist das Hauptbetriebssystem der Fahrzeugeinheit installiert, welches durch den Endnutzer beispielsweise durch den Download und Installation neuer Anwendungsprogramme oder neuer Hauptbe¬ triebssystem-Softwareversionen verändert werden kann.
Die Partition 4 mit der Crypto-Einheit ist für das Speichern und Validieren von Zertifikaten und das Überprüfen der Zertifikate von Anwendungssoftware oder kompletten Softwarepaketen zuständig. Alle Softwarezertifikate sind im Inneren der Par¬ titionen 4 mit der Crypto-Einheit installiert, ohne dass die anderen Partitionen 1, 2, 3 Zugriff auf die Partition 4 ha- ben. Hierdurch wird erfindungsgemäß die Sicherheit erhöht, weil die Crypto-Einheit durch den Benutzer nicht verändert werden kann.
Die Partition 2 mit der Supervisions-Einheit überwacht bei- spielsweise mit Wachtdog-ähnlichen Mechanismen die anderen
Partitionen 1, 3, 4, und insbesondere die Partition 1 mit der Hauptbetriebssystem-Einheit, welche für die ordnungsgemäße Funktion der Fahrzeugeinheit zuständig ist. Diese Einheit ist erfindungsgemäß also für das Detektieren eines nicht funkti- onsfähigen Hauptbetriebssystems und das Einleiten eines auto¬ matischen oder Benutzer-interaktiven Wiederherstellungsprozesses zuständig. Die Partition 3 mit der Policy-Einheit ist eine Standard- Einheit eines Separationskernels und überwacht beziehungswei¬ se steuert die Kommunikation zwischen den verschiedenen Partitionen 1, 2, 4. So wird beispielsweise überprüft, ob eine Partition A eine Mitteilung M an eine Partition B senden darf. Ferner steuert die Policy-Einheit die Zugriffsrechte auf physikalische Speicherbereiche oder Flash-Partitionen und ändert die Budgets für die Zuweisung an Prozessorleistung zu einzelnen Prozessen oder von Speicherplatz.
Ein wesentliches Konzept der vorliegenden Erfindung liegt nun darin, den für die Überwachung und Wiederherstellung der gesamten Fahrzeugeinheit zuständigen Programmcode aus der Par¬ tition 1 mit der Hauptbetriebssystem-Einheit in die Partition 2 mit der Supervisions-Einheit auszulagern, wobei diese Par¬ tition 2 durch die Mikrokernel-Architektur vor einer Beeinflussung oder einem Zugriff aus der Partition 1 geschützt ist, während sie dennoch auf demselben Mikroprozessor abläuft .
Mit dieser Funktion wird auch die Überwachungsfunktion von einem hierfür üblicherweise vorgesehenen externen Mikrokon- troller in die Partition 2 der Supervisions-Einheit übertra¬ gen, die im Rahmen ihrer Aufgaben mit der Policy-Einheit und der Crypto-Einheit zusammenwirkt.
Alle diese Einheiten in den Partitionen 2, 3 und 4 können nicht durch Softwareupdates oder Benutzereingriffe verändert werden, so dass diese ab dem Moment der Herstellung der Fahr- zeugeinheit unveränderlich feststehen. Hierdurch lässt sich eine Wiederherstellung der Partitionen 1 mit dem Hauptbetriebssystem in vorhersehbarer Weise kontrollieren. Das Zusammenwirken der Supervisions-Einheit, der Crypto-Einheit und der Policy-Einheit im Rahmen des Separationskernels in der Mikrokernel-Architektur stellen damit sicher, dass nur die Flash-Partitionen überschrieben werden, die der Hauptbetriebssystem-Einheit in der Partition 1 zugerechnet werden, die durch herunterladbare Anwendungsprogramme oder neue Firm¬ wareversionen verändert werden können. Gleichzeitig verhindert die Policy-Einheit in der Partition 3 einen Zugriff der Hauptbetriebssystem-Einheit auf die anderen Partitionen 2, 3 und 4. Erfindungsgemäß können die Supervisions-Einheit , die Crypto-Einheit und die Policy-Einheit anstelle der drei ver¬ schiedenen Partitionen 2, 3 und 4 auch in einer gemeinsamen Partition zusammengefasst werden, die erfindungsgemäß jedoch von der Partition 1 der Hauptbetriebssystem-Einheit verschie- den ist. Hierdurch lässt sich gegebenenfalls Speicher sparen und die Laufzeitperformance durch einen optimaleren Schedu- ling-Aufwand des Mikrokernes verbessern.
Innerhalb dieser Mikrokernel-Architektur, wie sie in Fig. 1 dargestellt ist, lässt sich der nachfolgend beschriebene Ab¬ lauf zum Feststellen von Fehlern in der Hauptbetriebssystem- Einheit und zum Wiederherstellen der Hauptbetriebssystem- Einheit zuverlässig implementieren. Das erfindungsgemäße Verfahren wird nachfolgend anhand des schematischen Verfahrensablaufs gemäß Fig. 2 beschrieben.
Während des Startens der Fahrzeugeinheit läuft in der Super¬ visions-Einheit der Partition 2 ein Überwachungsprogramm ab, um Fehler des Hauptbetriebssystems festzustellen. Dazu über¬ wacht die Supervisions-Einheit das Starten des Hauptbetriebs¬ systems im Hinblick auf einige Detailfunktionen. Diese Detailfunktionen beinhalten wichtige Servicefunktionen und Zustände des Hauptbetriebssystems.
Diese wichtigen Zustände und Funktionen betreffen zum einen eine Basis-Benutzerinteraktion über eine Mensch-Maschine- Schnittstelle HMI, die über das Hauptbetriebssystem angesteu¬ ert wird. Dazu wird die Funktion der Mensch-Maschine-Schnitt- stelle durch die Supervisions-Einheit beispielsweise mittels einer fingierten Eingabe überprüft. Sofern die Mensch- Maschine-Schnittstelle beim Starten der Fahrzeugeinheit nach einer vorgegebenen Zeit nicht einsatzbereit ist, kann dies als Fehler des Hauptbetriebssystems gewertet werden.
Zusätzlich kann die Partition 1 des Hauptbetriebssystems als fehlerhaft angesehen werden, wenn eine außergewöhnliche Be¬ lastung der Rechenleistung des Prozessors oder ein außergewöhnlicher Speicherplatzbedarf festgestellt wird. Auch ein übermäßiger Netzwerkverkehr zwischen den einzelnen Partitionen des Separationskernels kann als Merkmal für ein fehler- haftes Hauptbetriebssystems gewertet werden.
Im Falle eines festgestellten Fehlers des Hauptbetriebssys¬ tems wird eine Wiederherstellung eingeleitet. Im Rahmen die¬ ser Wiederherstellung startet die Überwachungseinheit einen Wiederherstellungsmodus, in welchem die Partition 1 mit der
Hauptbetriebssystem-Einheit vollständig ausgeschaltet und aus der Mikrokernel-Architektur entladen wird. Die Supervisions- Einheit übernimmt dann im Rahmen eines Not-Betriebssystems die verbliebenen Funktionen der Fahrzeugeinheit, zu der ins- besondere auch das Ansprechen der Mensch-Maschine-Schnitt¬ stelle gehört.
So gibt die Supervisions-Einheit über einen Bildschirm der Mensch-Maschine-Schnittstelle eine Fehlermeldung an den End- nutzer aus. Auf demselben Bildschirm, auf dem die Fehlermitteilung angezeigt wird, wird ein Internetlink, insbesondere ein https-Link, mit einigen Einzelheiten wie der Seriennummer oder einer Versionsidentifikationsnummer ausgegeben, so dass der Endbenutzer ein aktuelles Software-Paket für das Hauptbe- triebssystem und/oder die von ihm benötigte Anwendungssoft¬ ware aus dem Internet von einer Serviceseite des Herstellers der Fahrzeugeinheit herunterladen kann.
Der Softwaredownload kann von einem herkömmlichen PC erfolgen und auf einem externen Speichermittel, beispielsweise einem USB-Speicherstick, erfolgen. Um diesen Softwaredownload einlesen zu können, aktiviert die Supervisions-Einheit in dem Not-Betriebssystem die benötigten Treiber für externe
Schnittstellen zur Anbindung externer Speichermittel. Wenn das Not-Betriebssystem beispielsweise bei einem Neustart der Fahrzeugeinheit ein derartiges externes Speichermittel an ei- ner Schnittstelle feststellt, wird deren Dateisystem nach ei¬ nem Software-Update-Paket durchsucht. Sobald ein solches Pa¬ ket festgestellt wird, wird der Hash-Wert des Paketes berech¬ net, eine entsprechende Signatur gelesen und die verschlüs¬ selte Software-Version und die Hardware-Kompatibilität des Pakets von dem Speichergerät ausgelesen und an die Partition 4 mit der Crypto-Einheit übersandt. Die Crypto-Einheit über¬ prüft die Inhalte des Software-Pakets und gibt der Überwa¬ chungs-Einheit eine Rückmeldung, ob das Software-Paket für die vorliegende Hardware zulässig ist. Ferner kann das Cryp- to-Paket die Software paketweise entschlüsseln und zur In¬ stallation bereitstellen.
Wenn das Software-Paket für die Hardware gültig ist, führt die Supervisions-Einheit eine vollständige Überprüfung der Blöcke der Flash-Partitionen durch, die für das Hauptbetriebssystem verwendet werden. Danach startet es eine Neuinstallation der Flash-Partition mit dem Hauptbetriebssystem (Flashing) . Nach einer erfolgreichen Installation in der Partition 1 der Hauptbetriebssystem-Einheit startet die Fahr- zeugeinheit bei dem nächsten Start mit dem neuen Betriebssys¬ tem. Neben einer Fehlerbehandlung lassen sie auf diese Weise auch gezielte Updates einspielen, die beispielsweise durch eine Benutzereingabe in dem Hauptbetriebssystem ausgelöst werden können.
Statt nur die Link-Adresse für den Download der Software an¬ zugeben, ist es erfindungsgemäß auch möglich, dass die Super¬ visions-Einheit auf einem an die Fahrzeugeinheit angeschlos¬ senen Speichergerät einen im Internet aufrufbaren Link spei- chert, in dem bereits die notwendigen Angaben zur Identifika¬ tion der passenden und benötigten Software enthalten sind. Auf diese Weise werden Fehlereingaben vermieden. Damit kann durch die erfindungsgemäße Mikrokernel-Architektur ein durch den Benutzer steuerbares Verfahren zum Betreiben der Fahrzeugeinheit ausgeführt werden, das im Falle eines Software-Fehlers ein Wiederherstellen der Einheit erlaubt, ohne dass diese ausgebaut und an eine spezielle Servicestelle gesendet werden muss.

Claims

Patentansprüche
1. Fahrzeugeinheit zur Steuerung von Fahrzeugfunktionen mit einem Mikroprozessor und angeschlossenem Speicher, auf welchen ein Hauptbetriebssystem implementiert ist, welches die Schnittstelle der Hardware zu Anwendungspro¬ grammen und Benutzerinteraktionen bildet, d a d u r c h g e k e n n z e i c h n e t , dass der Mikroprozessor in einer Mikrokernel-Architektur mit separaten Partitionen für eine Hauptbetriebssystem-Einheit (1), eine Crypto- Einheit (4) und eine Supervisions-Einheit (2) aufgebaut ist, wobei in der Hauptbetriebssystem-Einheit (1) das Hauptbetriebssystem eingerichtet ist, wobei in der Cryp- to-Einheit (4) Software-Zertifikate gespeichert sind und ein Überprüfungsprogramm zur Überprüfung von Zertifikaten und Softwarepakten eingerichtet ist und wobei in der Supervisions-Einheit (2) ein Überwachungsprogramm zur Überwachung der Funktion der anderen Partitionen der Mikrokernel-Architektur vorgesehen ist.
2. Fahrzeugeinheit nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t , dass die Partition mit der Hauptbetriebssystem-Einheit (1) dazu eingerichtet ist, durch einen Endnutzer veränderbar zu sein.
3. Fahrzeugeinheit nach Anspruch 1 oder 2, d a d u r c h g e k e n n z e i c h n e t , dass andere Partitionen als die Partition mit der Hauptbetriebssystem-Einheit (1) der Mikrokernel-Architektur in dem Mikroprozessor dazu eingerichtet sind, durch den Endnutzer nicht änderbar zu sein .
4. Fahrzeugeinheit nach einem der vorhergehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t , dass die Crypto-Einheit (4) dazu eingerichtet ist, in der Fahr¬ zeugeinheit zu installierende Software mit dem Überprü- fungsprogramm paketweise zu entschlüsseln und/oder zu überprüfen .
Fahrzeugeinheit nach einem der vorhergehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t , dass die Su- pervisions-Einheit (2) dazu eingerichtet ist, mit dem Überwachungsprogramm im Falle eines Fehlers in dem
Hauptbetriebssystem ein Wiederherstellungsverfahren für die Partition mit dem Hauptbetriebssystem einzuleiten.
Fahrzeugeinheit nach einem der vorhergehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t , dass die Mikrokernel-Architektur als Separationskernel mit einer separaten Partition für eine Policy-Einheit (3) ausge¬ bildet ist, wobei die Policy-Einheit (3) dazu eingerich¬ tet ist, die Kommunikation zwischen den einzelnen Partitionen der Mikrokernel-Architektur zu überwachen.
Verfahren zum Betreiben der Fahrzeugeinheit mit einem Mikroprozessor, insbesondere nach einem der vorhergehenden Ansprüche, auf welchem eine Mikrokernel-Architektur mit separaten Partitionen für eine Hauptbetriebssystem- Einheit (1), eine Crypto-Einheit (4) und eine Supervisi- ons-Einheit (2) aufgesetzt ist, wobei in der Hauptbe¬ triebssystem-Einheit (1) das Hauptbetriebssystem einge¬ richtet ist, wobei in der Crypto-Einheit (4) Software- Zertifikate gespeichert sind und ein Überprüfungspro¬ gramm zur Überprüfung von Zertifikaten und vollständige! Softwarepakte eingerichtet ist und wobei in der Supervi- sions-Einheit (2) ein Überwachungsprogramm zur Überwachung der Funktion der anderen Partitionen der Mikrokernel-Architektur vorgesehen ist, d a d u r c h g e k e n n z e i c h n e t , dass durch das Überwachungspro¬ gramm der Supervisions-Einheit (2) das Hauptbetriebssys¬ tem während des Starts und/oder Betriebs überwacht und bei Abweichungen von einem vorgegebenen Verhalten ein Wiederherstellungsverfahren für das Hauptbetriebssystem einleitet .
Verfahren nach Anspruch 7, d a d u r c h g e k e n n z e i c h n e t , dass zur Feststellung von Abweichungen während des Starts und/oder Betriebs des Hauptbetriebs¬ systems eine typische Startzeit für eine Benutzer¬ schnittstelle, die durch das Hauptbetriebssystem beanspruchte Rechenzeit des Mikroprozessors und/oder der durch das Hauptbetriebssystem beanspruchte Speicherplatzbedarf überwacht wird.
Verfahren nach Anspruch 7 oder 8, d a d u r c h g e k e n n z e i c h n e t , dass bei dem Wiederherstel¬ lungsverfahren die Partition mit der Hauptbetriebssystem-Einheit abgeschaltet und aus der Mikrokernel- Architektur entladen wird.
Verfahren nach einem der Ansprüche 7 bis 9, d a d u r c h g e k e n n z e i c h n e t , dass bei dem Wie¬ derherstellungsverfahren ein Rückschreiben eines in der Fahrzeugeinheit gespeicherten Backup-Images der Partiti on des Hauptbetriebssystems erfolgt.
Verfahren nach einem der Ansprüche 7 bis 9, d a d u r c h g e k e n n z e i c h n e t , dass bei dem Wie¬ derherstellungsverfahren das Ausführen eines Benutzerinteraktiven Downloads einer aktuellen Hauptbetriebssys tem-Version erfolgt, wobei die aktuelle Hauptbetriebs¬ system-Version insbesondere über ein externes Speichermedium eingelesen und in der Partition für das Hauptbetriebssystem installiert wird.
Verfahren nach einem der Ansprüche 7 bis 10, d a d u r c h g e k e n n z e i c h n e t , dass vor oder während der Installation des Hauptbetriebssystems eine Überprüfung durch die Crypto-Einheit (4) erfolgt. Computerprogrammprodukt mit Programmcodemitteln zur Ein¬ richtung in einer Recheneinheit, d a d u r c h g e k e n n z e i c h n e t , dass durch die Programmcodemit¬ tel bei Ausführen des Computerprogramms eine Mikroker- nel-Architektur gemäß einem der Ansprüche 1 bis 6 und/oder ein Verfahren gemäß einem der Ansprüche 7 bis 12 in dem Mikroprozessor der Fahrzeugeinheit eingerichtet wird.
EP12729145.8A 2011-06-30 2012-06-25 Fahrzeugeinheit und verfahren zum betreiben der fahrzeugeinheit Ceased EP2727039A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102011106078A DE102011106078A1 (de) 2011-06-30 2011-06-30 Fahrzeugeinheit und Verfahren zum Betreiben der Fahrzeugeinheit
PCT/EP2012/062203 WO2013000854A1 (de) 2011-06-30 2012-06-25 Fahrzeugeinheit und verfahren zum betreiben der fahrzeugeinheit

Publications (1)

Publication Number Publication Date
EP2727039A1 true EP2727039A1 (de) 2014-05-07

Family

ID=46331337

Family Applications (1)

Application Number Title Priority Date Filing Date
EP12729145.8A Ceased EP2727039A1 (de) 2011-06-30 2012-06-25 Fahrzeugeinheit und verfahren zum betreiben der fahrzeugeinheit

Country Status (5)

Country Link
US (1) US9205809B2 (de)
EP (1) EP2727039A1 (de)
CN (1) CN103688268B (de)
DE (1) DE102011106078A1 (de)
WO (1) WO2013000854A1 (de)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103836182A (zh) * 2014-03-28 2014-06-04 大陆汽车投资（上海）有限公司 配备液力变矩器的带式cvt的控制系统和方法
FR3025035B1 (fr) * 2014-08-22 2016-09-09 Jtekt Europe Sas Calculateur pour vehicule, tel qu’un calculateur de direction assistee, pourvu d’un enregistreur d’evenements integre
RU2017112074A (ru) 2014-11-04 2018-12-05 Кэпэситор Сайенсиз Инкорпорейтед Устройства для хранения энергии и способы их получения
DE102014224892A1 (de) * 2014-12-04 2016-06-09 Bayerische Motoren Werke Aktiengesellschaft Bereitstellen einer ersten Ablaufsteuerung anstelle einer zweiten Ablaufsteuerung im Fehlerfall
US9694765B2 (en) * 2015-04-20 2017-07-04 Hitachi, Ltd. Control system for an automotive vehicle
DE102015214054A1 (de) * 2015-07-24 2017-01-26 Siemens Aktiengesellschaft Verfahren zum Betreiben einer Automatisierungskomponente
JP2018120422A (ja) * 2017-01-25 2018-08-02 ルネサスエレクトロニクス株式会社 車載通信システム、ドメインマスタ、及びファームウェア更新方法
US10798128B2 (en) * 2017-07-24 2020-10-06 Blackberry Limited Distributed authentication for service gating
US11029985B2 (en) 2018-01-19 2021-06-08 Ge Aviation Systems Llc Processor virtualization in unmanned vehicles
US10942509B2 (en) 2018-01-19 2021-03-09 Ge Aviation Systems Llc Heterogeneous processing in unmanned vehicles
CN108279603A (zh) * 2018-01-30 2018-07-13 风度（常州）汽车研发院有限公司 一种行车控制系统、方法及存储介质
DE102018213902A1 (de) * 2018-08-17 2020-02-20 Continental Automotive Gmbh Gegen Angriffe gesicherte Netzwerkschnittstelle
EP3742295A1 (de) * 2019-05-23 2020-11-25 NXP USA, Inc. Automatische firmware-rückkehr
CN111273883A (zh) * 2020-01-20 2020-06-12 北京远特科技股份有限公司 多操作系统的同屏显示方法、装置和终端设备
CN114625426B (zh) * 2020-12-09 2023-09-29 博泰车联网科技(上海)股份有限公司 一种硬隔离实现系统
DE102022003789A1 (de) 2022-10-14 2024-04-25 Mercedes-Benz Group AG Verfahren zum Ändern des Speicherinhalts eines Hauptspeichers eines Mikrocontrollers ohne separate Speicherverwaltungseinheit, Anwendung dessen, Mikrocontroller und Fahrzeug

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102007040094A1 (de) * 2007-08-24 2009-02-26 Continental Automotive Gmbh Verfahren und System zur reversiblen Durchführung von Konfigurationsänderungen

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7840763B2 (en) * 2004-03-12 2010-11-23 Sca Technica, Inc. Methods and systems for achieving high assurance computing using low assurance operating systems and processes
CN100394392C (zh) * 2005-12-09 2008-06-11 英业达股份有限公司 计算机程序还原模式自动启动控制方法及系统
US7877357B1 (en) * 2007-10-12 2011-01-25 Netapp, Inc. Providing a simulated dynamic image of a file system
DE102007062114A1 (de) 2007-12-21 2009-07-23 Opensynergy Gmbh Kraftfahrzeug-Steuervorrichtung
TWI381387B (zh) 2008-02-21 2013-01-01 Phison Electronics Corp 儲存裝置、控制器及其資料存取方法
CN101251813A (zh) * 2008-03-31 2008-08-27 宇龙计算机通信科技(深圳)有限公司 手机系统恢复装置及其方法
CN102105936B (zh) * 2008-08-05 2015-02-04 三菱电机株式会社 车载系统
CN102426797B (zh) * 2011-11-16 2013-08-14 东南大学 客运车辆车载信息交互系统

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102007040094A1 (de) * 2007-08-24 2009-02-26 Continental Automotive Gmbh Verfahren und System zur reversiblen Durchführung von Konfigurationsänderungen

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
NILSSON D K ET AL: "A Framework for Self-Verification of Firmware Updates over the Air in Vehicle ECUs", 2008 IEEE GLOBECOM WORKSHOPS; 30 NOV.-4 DEC. 2008; NEW ORLEANS, LA, USA, IEEE, PISCATAWAY, NJ, USA, 30 November 2008 (2008-11-30), pages 1 - 5, XP031405600, ISBN: 978-1-4244-3061-1 *
See also references of WO2013000854A1 *

Also Published As

Publication number Publication date
CN103688268A (zh) 2014-03-26
US20140142781A1 (en) 2014-05-22
WO2013000854A1 (de) 2013-01-03
US9205809B2 (en) 2015-12-08
CN103688268B (zh) 2017-10-10
DE102011106078A1 (de) 2013-01-03

Similar Documents

Publication Publication Date Title
WO2013000854A1 (de) Fahrzeugeinheit und verfahren zum betreiben der fahrzeugeinheit
EP1903436B1 (de) Computersystem und Verfahren zum Aktualisieren von Programmcode
DE10213165B3 (de) Verfahren und Vorrichtung zum Übernehmen von Daten
DE102011075776A1 (de) Verfahren und System zum Aktualisieren eines gemeinsam genutzten Speichers
DE102011005209B4 (de) Programmanweisungsgesteuerte Instruktionsflusskontrolle
DE102012109617A1 (de) Verfahren zum Ersetzen eines öffentlichen Schlüssels eines Bootloaders
DE102015112040A1 (de) Verfahren und System zur Firmware-Aktualisierung einer Steuereinrichtung zur Prozesssteuerung
DE102012109614A1 (de) Fehlerbehebung bei Stapel-Korruption in eingebetteten Softwaresystemen
EP2527976B1 (de) Simultanes softwareupdate
WO2005004160A2 (de) Verfahren zur durchführung eines software-updates eines elektronischen steuergerätes durch eine flash-programmierung über eine serielle schnittstelle und ein entsprechender zustandsautomat
DE102017209468A1 (de) Verfahren zum Zurücksetzen einer Software eines Fahrzeugsteuergeräts eines Fahrzeugs in einen ursprünglichen Zustand
EP2394232B1 (de) Vorrichtung und verfahren zum verhindern von unautorisierter verwendung und/oder manipulation von software
WO2004114131A1 (de) Verfahren zum nachladen einer software in den bootsektor eines programmierbaren lesespeicher
EP3752911B1 (de) Verfahren zum installieren eines programmcodepakets in ein gerät sowie gerät und kraftfahrzeug
EP3074862B1 (de) Verfahren für einen sicheren hochfahrablauf eines elektronischen systems
EP2596429B1 (de) Verfahren zum ausführen eines dienstprogramms, computersystem und computerprogrammprodukt
DE102009047974B4 (de) Verfahren zur Programmierung eines Steuergeräts
DE202015102285U1 (de) Computersystem und Speichervorrichtung zum Bereitstellen wenigstens eines Datenträgers
DE102012217312B4 (de) Verfahren und System zur Aktualisierung von Code in Verarbeitungssystemen
WO2009103728A1 (de) Verfahren und vorrichtung zum speichern von informationsdaten
DE102021212994B3 (de) Verfahren zur Erkennung von auf eine Manipulation hindeutenden Anomalien während eines sicheren Startvorgangs einer softwaregesteuerten Vorrichtung
DE102020207861A1 (de) Verfahren zur Durchführung einer abgesicherten Startsequenz eines Steuergeräts
DE102022201901A1 (de) Mitigation einer manipulation von software eines fahrzeugs
WO2021123024A1 (de) Vorrichtung mit einer schnittstelle und verfahren zum betreiben einer vorrichtung mit einer schnittstelle
EP4275138A1 (de) Verfahren zur überprüfung digitaler signaturen, fahrzeug-recheneinheit und fahrzeug

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20140130

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAX Request for extension of the european patent (deleted)
17Q First examination report despatched

Effective date: 20180515

RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: CONTINENTAL AUTOMOTIVE GMBH

REG Reference to a national code

Ref country code: DE

Ref legal event code: R003

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION HAS BEEN REFUSED

18R Application refused

Effective date: 20201002