EP4543704A1

EP4543704A1 - Verfahren zum durchführen einer dekomissionierung eines elektrischen energiespeichers eines kraftfahrzeugs, computerprogrammprodukt sowie system

Info

Publication number: EP4543704A1
Application number: EP23758595.5A
Authority: EP
Inventors: Friedrich Emanuel Hust; Heiko Witzenhausen; Han Zhao
Original assignee: Mercedes Benz Group AG
Current assignee: Mercedes Benz Group AG
Priority date: 2022-09-22
Filing date: 2023-08-17
Publication date: 2025-04-30
Also published as: DE102022003502A1; WO2024061548A1

Abstract

Die Erfindung betrifft ein Verfahren zum Durchführen einer Dekomissionierung (16) eines elektrischen Energiespeichers eines Kraftfahrzeugs mittels eines Systems (14), mit den Schritten: Anfragen zum Ändern eines Steuerprogramms auf einer elektronischen Recheneinrichtung (10) des elektrischen Energiespeichers bei einer weiteren elektronischen Recheneinrichtung (12) des Systems (14) (S5), Bestätigen der Anfrage durch die weitere elektronische Recheneinrichtung (12) und Speichern der Anfrage in einer Speichereinrichtung der weiteren elektronischen Recheneinrichtung (12) (S7), Löschen von Sicherheitszertifikaten auf der elektronischen Recheneinrichtung (10) nach Eingang der Bestätigung (S8) und Freigeben des Steuerprogramms für eine Änderung und Dekomissionierung (16) des elektrischen Energiespeichers (10) (S9). Ferner betrifft die Erfindung ein Computerprogrammprodukt sowie ein System (14).

Description

Verfahren zum Durchführen einer Dekomissionierung eines elektrischen Energiespeichers eines Kraftfahrzeugs, Computerprogrammprodukt sowie System

Die Erfindung betrifft ein Verfahren zum Durchführen einer Dekomissionierung eines elektrischen Energiespeichers eines Kraftfahrzeugs mittels eines Systems gemäß dem geltenden Patentanspruch 1. Ferner betrifft die Erfindung ein Computerprogrammprodukt sowie ein System.

Aus dem Stand der Technik ist bereits bekannt, dass beispielsweise elektrische Energiespeicher eines Kraftfahrzeugs, insbesondere eines zumindest teilweise elektrisch betriebenen Kraftfahrzeugs, nach ihrer Verwendung im Kraftfahrzeug weiter genutzt werden können. Hierzu ist oftmals ein neues Softwareprogramm, insbesondere ein neues Steuerprogramm, auf einem sogenannten Batteriemanagementsystem (BMS) des elektrischen Energiespeichers aufzuspielen, um diese für sogenannte Second-Life- Verwendungen außerhalb des Kraftfahrzeugs weiter zu verwenden.

Diese Anforderung ist jedoch derzeit diametral zu den Anforderungen der Sicherheit, die ein Aufspielen von Fremdsoftware unterbinden soll beziehungsweise diese als Bedrohung ansieht. Insbesondere die Frage des sogenannten Verantwortungsübergangs ist hierbei nicht geklärt und im Stand der Technik so auch nicht bekannt.

Die JP 5500252 offenbart ein Verfahren zur Wiederverwendung einer Batterie, ein Batterieverwaltungssystem, ein Batterieverwaltungsgerät und ein Informationskommunikationsendgerät, wobei beim Zurückholen von in Fahrzeugen montierten Batterien Verfahren zur Handhabung der zurückgeholten Batterien zu geringen Kosten bestimmt werden. Es werden Messdaten von jedem einer Vielzahl von Stapeln, die ein Batteriepaket bilden, an eine Datenstation übertragen. Die Datenstation speichert die empfangenen Messdaten in einer Speichereinheit für Verlaufsinformationen als Verlaufsinformation. Wenn die Verlaufsinformationen eines Batteriepakets, das in das Fahrzeug eingebaut ist, nicht in der Speichereinheit für Verlaufsinformationen der Datenstation gespeichert sind, wird dieses Batteriepaket einer Recycling-Verarbeitung unterzogen. Wenn Verlaufsinformationen in der Speichereinheit für Verlaufsinformationen der Datenstation gespeichert sind, wird ein Verfahren zur Wiederverwendung des Batteriesatzes auf der Grundlage der Verlaufsinformationen bestimmt.

Aufgabe der vorliegenden Erfindung ist es, ein Verfahren, ein Computerprogrammprodukt sowie ein System zu schaffen, mittels welchen vereinfacht eine Dekomissionierung eines elektrischen Energiespeichers eines Kraftfahrzeugs realisiert werden kann.

Diese Aufgabe wird durch ein Verfahren, ein Computerprogrammprodukt sowie durch ein System gemäß den unabhängigen Patentansprüchen gelöst. Vorteilhafte Ausgestaltungsformen sind in den Unteransprüchen angegeben.

Ein Aspekt der Erfindung betrifft ein Verfahren zum Durchführen einer Dekomissionierung eines elektrischen Energiespeichers eines Kraftfahrzeugs mittels eines Systems. Es erfolgt das Anfragen zum Ändern eines Steuerprogramms auf einer elektronischen Recheneinrichtung des elektrischen Energiespeichers bei einer weiteren elektronischen Recheneinrichtung des Systems. Die Anfrage wird durch die weitere elektronische Recheneinrichtung bestätigt, und es erfolgt das Speichern der Anfrage in einer Speichereinrichtung der weiteren elektronischen Recheneinrichtung. Nach Eingang der Bestätigung erfolgt das Löschen von Sicherheitszertifikaten auf der elektronischen Recheneinrichtung. Es erfolgt dann die Freigabe des Steuerprogramms für eine Änderung und eine Dekomissionierung des elektrischen Energiespeichers.

Insbesondere ist somit ein Verfahren beschrieben, mit dem die diametralen Anforderungen aus beispielsweise EU-Regularien und der Sicherheit vereinbar sind. Fremdsoftware kann auf die elektronische Recheneinrichtung des elektrischen Energiespeichers, welche auch Batteriemanagementsystem bezeichnet werden kann, eingespielt werden, mit Übergang der zumindest Teilverantwortung für Sicherheit an den Nutzer, welcher auch als Economic Operator bezeichnet werden kann. Die Dekomissionierung des elektrischen Energiespeichers, wobei der elektrische Energiespeicher hierbei insbesondere auch als Hochvolt-Batterie ausgebildet sein kann, und die Unterbindung des Betriebs in entsprechenden weiteren Fahrzeugen kann ebenfalls durchgeführt werden, indem die entsprechenden Sicherheitskontrollinstanzen abgeschaltet werden, die das Einspielen von Fremdsoftware unterbinden. Es erfolgt dann wiederum ebenfalls das Markieren dieses elektrischen Energiespeichers als dekomissioniert, wodurch ein weiterer Verbau dieses elektrischen Energiespeichers bei beispielsweise einem entsprechenden OEM verhindert werden kann.

Insbesondere beschreibt somit das erfindungsgemäße Verfahren, dass der elektrische Energiespeicher oder auch nur Teile des elektrischen Energiespeichers dekomissioniert werden und damit für den Einsatz in beispielsweise in einem OEM-Produkt gesperrt werden. Diese Sperrung kommt einher mit der Erlaubnis, bestimmte Anteile des Steuerprogramms, welches insbesondere als Software ausgebildet ist, zu überschreiben, zu ändern oder eine eigene Software einzuspielen. Dabei kann es sein, dass beispielsweise Laufzeit-/Lebensdaten, die die Batterie beziehungsweise Zellen betreffen, erhalten bleiben sollen.

In den modernen elektronischen Recheneinrichtungen, welche auch als Steuergeräte bezeichnet werden, gibt es eine Trennung von Code, insbesondere ausführbarer Maschinencode, und Daten, beispielsweise laufzeitveränderliche Parameter beziehungsweise Zähler. Diese können in Mikrocontrollern in unterschiedlichen Segmenten gespeichert werden. Häufig werden dabei Security-relevante Daten in sogenannten Hardware-Security-Modulen (HSM) gespeichert, da dieser Bereich gegen Zugriff geschützt werden soll. Sollte kein HSM vom Mikrocontroller bereitgestellt werden, können diese Daten auch im nicht geschützten Speicher abgelegt werden. Im Folgenden werden die Beispiele anhand eines Mikrocontrollers mit HSM diskutiert. Diese sind jedoch auch auf einen Mikrocontroller ohne HSM übertragbar. Beim Code wird normalerweise zwischen dem Flash-Boot-Loader (FBL) und der Application Software (ASW) unterschieden. Der FBL stellt dabei die initiale Einsprungstelle des Programmlaufs dar, und über diese können viele Security Controls, beispielsweise die Absicherung gegen Manipulation, gestartet werden. Insbesondere bietet der FBL auch die Möglichkeit, neue Software einzuspielen. Aus diesem Grund ist der FBL speziell geschützt und erlaubt nur vorher autorisierte beziehungsweise signierte Software, welche durch eine vertrauensvolle Stelle erzeugt wurde, einzuspielen. Dies stellt den Hauptschutzmechanismus gegen das Einspielen von Fremdsoftware dar.

Durch den FBL kann sowohl der FBL an sich verändert werden als auch die ASW. Die ASW stellt dabei den üblichen Programmablauf dar, welcher die Software beschriebene Funktionalität der Komponente darstellt.

Auch können durch einen Flashvorgang die sogenannten Daten (Data) verändert werden. In den Daten werden Zustände oder auch Parameter gespeichert, und es kann sein, dass diese bei einer Dekomissionierung zumindest teilweise erhalten bleiben sollen, damit diese vom Economic Operator (EO)/Nutzer weiter genutzt werden können. Die genauen Daten, welche erhalten bleiben müssen, sind durch die Regularien definiert.

Im HSM werden Security Controls und sensitive Daten unterstützt und/oder gespeichert. Diese können zum Beispiel Schlüssel für ein Secure-Boot-Verfahren sein oder auch Zähler, die Security-Verstöße detektieren. Zusätzlich dazu werden häufig im HSM Zertifikate gespeichert, durch die ein Steuergerät eindeutig authentifiziert ist. Diese Zertifikate sind ein besonders wichtiger Anteil des Sicherheitskonzepts und sollten diese kompromittiert oder in einer unautorisierten Weise genutzt werden, kann dies in einem ganzen Spektrum an Schäden für den Kunden als auch für das Unternehmen resultieren. Daher ist es wichtig, dass keine Fremdsoftware auf diese Zertifikate Zugriff bekommt oder diese nutzen kann.

Gemäß einer vorteilhaften Ausgestaltungsform wird eine Identifikation des elektrischen Energiespeichers mit dem geänderten Steuerprogramm in der Speichereinrichtung gespeichert. Insbesondere werden somit dekomissionierte elektrische Energiespeicher in der Speichereinrichtung hinterlegt, wodurch verhindert werden kann, dass zukünftig diese elektrischen Energiespeicher wiederum bei einem entsprechenden OEM beziehungsweise Betreiber der weiteren elektronischen Recheneinrichtung verbaut werden. Insbesondere kann dies dadurch erreicht werden, dass beispielsweise die elektrischen Energiespeicher, welche geändert wurden, auf eine sogenannte Blacklist gesetzt werden. Alternativ kann vorgesehen sein, dass die elektrischen Energiespeicher mit dem geänderten Steuerprogramm aus einer sogenannten Whitelist gestrichen werden. Somit kann verhindert werden, dass der dekomissionierte elektronische Energiespeicher weiterhin bei dem OEM verwendet werden kann.

Ferner hat es sich als vorteilhaft erwiesen, wenn als Änderung des aktuellen Steuerprogramms ein neues Steuerprogramm installiert wird. Beispielsweise kann somit das aktuelle Steuerprogramm des OEM komplett gelöscht werden und ein neues Steuerprogramm des Economic Operators aufgespielt werden. Alternativ kann vorgesehen sein, dass als Änderung des Steuerprogramms nur Teile des aktuellen Steuerprogramms gelöscht und neu installiert werden. Somit können beispielsweise entsprechende Daten des elektrischen Energiespeichers weiterhin abgespeichert werden und lediglich sicherheitsrelevante Codes gelöscht werden. Eine weitere vorteilhafte Ausgestaltungsform sieht vor, dass die Anfrage zum Ändern des Steuerprogramms mittels eines Flashprogramms an der elektronischen Recheneinrichtung mittels der elektronischen Recheneinrichtung initiiert wird. Insbesondere kann somit, um die Dekomissionierung einzuleiten, eine speziell dafür vorgesehene Software, die sogenannte Dekomissionierungs-Software, genutzt werden. Dazu wird eine Software auf die elektronische Recheneinrichtung eingespielt, die die nötigen Veränderungen an den Segmenten durchführt. Vorteilhafterweise wird die Software in einem flüchtigen Teil des Mikrocontrollers eingespielt, zum Beispiel RAM. Der Code führt bei der Ausführung zur oben beschriebenen Dekomissionierung und gibt bestimmte Speicher-Segmente zum Überschreiben frei. Insbesondere können diese der FBL, das HSM und die ASW sein. Security-Controls, die zum sicheren Betreiben der elektronischen Recheneinrichtung nötig sind, können entweder abgeschwächt, gelöscht oder überschrieben werden. Dies hat den Vorteil, dass eine Dekomissionierung auch im Nachhinein noch in das Steuergerät gebracht werden kann. Sprich, die Funktionalität kann auch für alte elektronische Recheneinrichtungen, die sich jetzt bereits im Feld befinden, eingesetzt werden. Sobald die Dekomissionierung durchgeführt wurde, geht die Verantwortung für den elektronischen Energiespeicher auf den einspielenden beziehungsweise auf den in der geplanten Regulierung erwähnten sogenannten Economic Operator über.

Eine weitere vorteilhafte Ausgestaltungsform sieht vor, dass die Anfrage zum Ändern des Steuerprogramms mittels eines externen Nutzers bei der weiteren elektronischen Recheneinrichtung initiiert wird, wobei bei der Anfrage vor der Bestätigung mittels der weiteren elektronischen Recheneinrichtung ein potentiell neues Steuerprogramm überprüft und im Anschluss signiert wird. Insbesondere kann dabei noch vorgesehen sein, dass das potentiell neue Steuerprogramm auf Schwachstellen und/oder auf Compliance- Verstöße, insbesondere mittels eines Penetrationstests, überprüft wird. Insbesondere kann somit eine größere Kontrolle über die Art der Software beziehungsweise auch über den Software-Erstellerkreis bereitgestellt werden, sodass nur ein entsprechend signierter Flash-Vorgang für die Fremdsoftware erfolgen kann. Dazu wird insbesondere ein zusätzlicher Weg für die Signierung der Software bereitgestellt. Dieser Signierungsprozess erfolgt wiederum außerhalb der elektronischen Recheneinrichtung. Für eigene Software kann eine Signierung mit einem eigens dafür vorgesehenen Schlüssel genutzt werden. Für Fremdsoftware wird ein zweiter Schlüssel genutzt, welcher sich im Besitz von beispielsweise dem OEM befindet und nicht herausgegeben wird. Ein Economic Operator stellt eine Fremdsoftware an einen Signierservice des OEM bereit. Hauptaufgabe dieses Services ist, eine Signatur zu erstellen, welche dann später im Flash-Vorgang, insbesondere auf der elektronischen Recheneinrichtung, überprüft werden kann. Optional kann eine Analyse der Fremdsoftware durchgeführt werden. Dies kann zum Beispiel als ein automatisierter Test auf Schwachstellen und Compliance- Verstöße sein. Auch kann in diesem Schritt ein sogenannter Penetrationstest durchgeführt werden, welcher insbesondere Sicherheitslücken aufdecken kann. Falls Flashpakete verschlüsselt eingespielt werden sollen, kann auch eine Verschlüsselung durchgeführt werden. Sollte die Überprüfung in Ordnung sein oder keine Überprüfung durchgeführt werden, so kann eine Signatur an den Economic Operator geschickt werden, damit dieser ein entsprechendes Flashpaket erstellen kann. Alternativ kann bei einem verschlüsselten Flashpaket eben diese bereitgestellt werden. Sollte die Überprüfung nicht in Ordnung sein, so wird keine Signatur bereitgestellt, und damit ist kein Flashen möglich. Bei diesem Verfahren ist es dabei sinnvoll, dass nur die ASW überschreibbar ist, um dort Security Controls abzuschwächen oder zu löschen. Es ist insbesondere sinnvoll, den FBL persistent zu lassen, um weiterhin nur Software, die durch den entsprechenden Signierservice zertifiziert wurde, auf das Steuergerät schreiben zu können. Daher sollten alle Security Controls für den FBL und das HSM aktiv bleiben. Dieses Verfahren hat den Vorteil, dass entschieden werden kann, welcher Nutzer Software für die Batterie schreiben kann und dass ein Mindestmaß an Anforderungen an die Software erfüllt werden muss. Daher ist es möglich, gezielte Vorgaben an die Umsetzung machen zu können und diese auch zu überprüfen. Die Fremdsoftware kann nach der Erstellung eines konformen Flashpakets über einen entsprechenden Flashvorgang eingespielt werden. Dazu wird als Erstes die Dekomissionierung durchgeführt und im Nachgang die Fremdsoftware eingespielt. Sobald der Flashprozess der Fremdsoftware eingespielt wird, geht die Verantwortung für den sicheren Betrieb der Batterie in den Verantwortungsbereich des Nutzers oder des Economic Operators über.

Eine weitere Ausgestaltungsform sieht vor, dass die Anfrage zum Ändern des Steuerprogramms mittels eines externen Nutzers bei der weiteren elektronischen Recheneinrichtung initiiert wird, wobei nur ein bereits vorher bei der weiteren elektronischen Recheneinrichtung registrierter und vertrauenswürdiger Nutzer eine Freigabe erhält. Insbesondere kann somit ein Diagnosedienst für die Dekomissionierung bereitgestellt werden. Dazu wird ein zusätzlicher Diagnosedienst benötigt, der mit Sonderzertifikaten abgesichert wird. Sonderzertifikate sind bereits ein Standardwerkzeug, um besonders kritische Dienste abzusichern. Deswegen wird bei diesen Diensten auch zusätzlich eine Dokumentation bei Benutzung durchgeführt. Jeder Nutzer von diesen Sonderzertifikaten muss sich speziell für diesen Dienst registrieren und wird namentlich erfasst. Eine Ausstellung eines Sonderzertifikats wird dabei beispielsweise an eine Fahrzeugidentifikationsnummer gebunden und zeitlich begrenzt. Dadurch wird eine hohe Kontrolle über die Nutzung und den Personenkreis bei der Dekomissionierung erreicht. Der Diagnosedienst deaktiviert Sicherheits-Kontrollen, insbesondere die Signaturprüfung der Flashware. Damit ist es dann möglich, über einen Standardflashvorgang Fremdsoftware einzuspielen. Mit der Durchführung des Diagnosedienstes geht die Verantwortung an den Nutzer beziehungsweise den durchführenden Dienst über. Die Vorteile des Diagnosedienstes für die Dekomissionierung liegen in der Einfachheit für den Anwender und für die Entwicklung. Es kann auf standardisierte Verfahren, insbesondere auf die Sonderzertifikate, zurückgegriffen werden, und damit ist eine Umsetzung vergleichsweise einfach.

Bei dem vorgestellten Verfahren handelt es sich insbesondere um ein computerimplementiertes Verfahren. Daher betrifft ein weiterer Aspekt der Erfindung ein Computerprogrammprodukt mit Programmcodemitteln, welche eine elektronische Recheneinrichtung dazu veranlassen, wenn die Programmcodemittel von der elektronischen Recheneinrichtung abgearbeitet werden, ein Verfahren nach dem vorhergehenden Aspekt durchzuführen. Das Computerprogrammprodukt kann auch als Computerprogramm bezeichnet werden. Ferner betrifft die Erfindung daher auch ein computerlesbares Speichermedium mit dem Computerprogrammprodukt.

Ein nochmals weiterer Aspekt der Erfindung betrifft ein System zum Durchführen einer Dekomissionierung eines elektrischen Energiespeichers eines Kraftfahrzeugs, mit zumindest einer weiteren elektronischen Recheneinrichtung, wobei das System zum Durchführen eines Verfahrens nach dem vorhergehenden Aspekt ausgebildet ist. Insbesondere wird das Verfahren mittels des Systems durchgeführt.

Die elektronische Recheneinrichtung beziehungsweise die weitere elektronische Recheneinrichtung weist insbesondere elektronische Bauteile, wie beispielsweise Prozessoren, Schaltkreise, insbesondere integrierte Schaltkreise, und weitere elektronische Bauteile auf, um entsprechende Verfahrensschritte durchführen zu können.

Vorteilhafte Ausgestaltungsformen des Verfahrens sind als vorteilhafte Ausgestaltungsformen des Computerprogrammprodukts sowie des Systems anzusehen. Das System weist dazu gegenständliche Merkmale auf, welche eine Durchführung des Verfahrens oder eine vorteilhafte Ausgestaltungsform davon ermöglichen. Weitere Vorteile, Merkmale und Einzelheiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung bevorzugter Ausführungsbeispiele sowie anhand der Zeichnungen. Die vorstehend in der Beschreibung genannten Merkmale und Merkmalskombinationen sowie die nachfolgend in der Figurenbeschreibung genannten und/oder in den Figuren alleine gezeigten Merkmale und Merkmalskombinationen sind nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar, ohne den Rahmen der Erfindung zu verlassen.

Dabei zeigen:

Fig. 1 ein schematisches Ablaufdiagramm gemäß einer Ausführungsform des Verfahrens;

Fig. 2 ein weiteres schematisches Ablaufdiagramm des Verfahrens; und

Fig. 3 ein nochmals weiterer schematischer Ablauf einer Ausführungsform des Verfahrens.

In den Figuren sind gleiche oder funktionsgleiche Elemente mit gleichen Bezugszeichen versehen.

Fig. 1 zeigt ein schematisches Ablaufdiagramm gemäß einer Ausführungsform des Verfahrens. Insbesondere ist in der Fig. 1 eine Teilung der unterschiedlichen Schritte gezeigt. Zum einen sind die Schritte auf einer elektronischen Recheneinrichtung 10 sowie auf einer weiteren elektronischen Recheneinrichtung 12 gezeigt. Das vorgestellte Verfahren wird mittels eines Systems 14 durchgeführt, wobei das System 14 zum Dekomissionieren 16 ausgebildet ist. Ferner ist in der Fig. 1 noch eine Produktion 18 gezeigt.

Die Fig. 1 zeigt insbesondere, dass während der (Steuergerät-) Produktion 18 in einem ersten Schritt S1 eine Anfrage zu einer Zertifikatsignierung von der elektronischen Recheneinrichtung 10, wobei die elektronische Recheneinrichtung 10 insbesondere an einem elektronischen Energiespeicher als beispielsweise Batteriemanagementsystem (BMS) ausgebildet ist, an die weitere elektronische Recheneinrichtung 12 des Systems 14 übertragen wird. In einem zweiten Schritt S2 erfolgt die Speicherung der Anfrage. In einem dritten Schritt S3 wird mittels der weiteren elektronischen Recheneinrichtung 12 das Zertifikat signiert, und in einem vierten Schritt S4 erfolgt die Speicherung des signierten Zertifikats auf der elektronischen Recheneinrichtung 10.

Um nun die Dekomissionierung 16 durchzuführen, wird in einem fünften Schritt S5 eine Anfrage zum Ändern eines Steuerprogramms auf der elektronischen Recheneinrichtung 10 an die weitere elektronische Recheneinrichtung 12 übertragen. Dieser Prozess kann auch als Revokation bezeichnet werden. In einem sechsten Schritt S6 wird das entsprechend in der Produktion gespeicherte Zertifikat als „in revocation“ abgespeichert. In einem siebten Schritt S7 erfolgt die Bestätigung der Anfrage durch die weitere elektronische Recheneinrichtung 12 und das Speichern der Anfrage in einer entsprechenden Speichereinrichtung der weiteren elektronischen Recheneinrichtung 12. In einem achten Schritt S8 erfolgt das Löschen von Sicherheitszertifikaten auf der elektronischen Recheneinrichtung 10 nach Eingang der Bestätigung. Insbesondere werden entsprechende Zertifikate gelöscht. In einem neunten Schritt S9 erfolgt die Bestätigung der Löschung an die weitere elektronische Recheneinrichtung 12, wobei in einem zehnten Schritt S10 wiederum das Zertifikat in der weiteren elektronischen Recheneinrichtung 12 als „revoked“ markiert wird.

Insbesondere zeigt somit die Fig. 1 , dass die entsprechenden Zertifikate einer der wichtigsten Bestandteile des Sicherheitskonzepts bei den elektrischen Energiespeichern darstellen. Diese Zertifikate werden in der Produktion durch eine vertrauenswürdige Stelle, insbesondere der weiteren elektronischen Recheneinrichtung 12, signiert, zum Beispiel per Root-Zertifikat. Durch diese Signierung kann eine sogenannte Chain-of-Trust aufgebaut werden.

In der Produktion 18 stellt die elektronische Recheneinrichtung 10, welche auch als Steuergerät beziehungsweise ECU bezeichnet werden kann, eine sogenannte Certificate Signing Request (CSR) an die weitere elektronische Recheneinrichtung 12. Die weitere elektronische Recheneinrichtung 12, welche auch als Backend bezeichnet werden kann, speichert diese Anfrage und schickt ein per Root-Zertifikat signiertes Zertifikat zurück. Dies kann auch durch eine Zertifikatskette erfolgen, beispielsweise zeichnet das Root- Zertifikat ein Intermediate-Zertifikat und das Intermediate-Zertifikat zeichnet ein Steuergerätzertifikat. Dies kann auch noch mehrere kleinere Zwischenschritte enthalten. Die elektronische Recheneinrichtung 10 kann sich durch dieses Zertifikat dann bei anderen elektronischen Recheneinrichtungen authentifizieren. Alle Zertifikate, die so signiert wurden, können in einer Datenbank aufgenommen werden, und damit kann genau nachverfolgt werden, welche der elektronischen Recheneinrichtungen 10 eine gültige Autorisierung besitzt.

Diese autorisierten elektronischen Recheneinrichtungen 10 können wiederum im Backend dokumentiert werden, und bei Bedarf kann die Autorisierung überprüft werden. Dies macht Sinn, wenn zum Beispiel elektronischen Recheneinrichtungen 10 von einem Altfahrzeug in ein anderes übertragen werden, da bei jedem Verändern der Steuergerätekonfiguration ein neuer Anlernvorgang der Steuergeräte gestartet werden muss. Im Anlernschritt kann dann ein Abgleich erfolgen, ob ein Steuergerät auf einer Sperrliste ist, zum Beispiel weil eine Dekomissionierung durchgeführt wurde.

Im Folgenden wird das „Steuergerät sperren“ und das „Steuergerätezertifikat sperren“ synonym genutzt, obwohl diese technisch nicht übereinstimmen. Eine elektronische Recheneinrichtung 10 wird immer eindeutig über das Steuergerätezertifikat identifiziert beziehungsweise authentifiziert, und daher bilden diese eine virtuelle Einheit.

Sollte sich nun eine elektronische Recheneinrichtung 10 auf der Sperrliste, beispielsweise Blackliste, befinden, dann kann diese elektronische Recheneinrichtung 10 nicht mehr in einem (von OEM-produzierten) Kraftfahrzeug angelernt werden und damit genutzt werden. Daher wird eine nicht angelernte elektronische Recheneinrichtung nicht im Fahrzeugverbund funktionieren. Alternativ ist es möglich, nur elektronischen Recheneinrichtungen 10, die für das Anlernen freigegeben sind, eine sogenannte Whitelist zu erlauben.

Bei der Dekomissionierung 16 wird eine sogenannte Certificate Revokation (CR) durchgeführt. Damit zieht die elektronische Recheneinrichtung 10 das eigene Zertifikat zurück. Die Anfrage einer CR wird durch eine signierte Nachricht mit dem noch gültigen Zertifikat unterschrieben. Damit ist die Authentizität einer solchen Anfrage gewährleistet. Noch sicherer wird die Anfrage, wenn zusätzlich von der weiteren elektronischen Recheneinrichtung 12 eine Challenge, zum Beispiel eine sogenannte Nonce, übersendet wird, welche dann ebenfalls signiert wird. Damit wird unterbunden, dass eine etwaige alte Anfrage, die nicht komplett durchgeführt wurde, ein weiteres Mal genutzt werden kann, was insbesondere einen sogenannten Replay-Schutz darstellt. Im Backend wird nach der Überprüfung der CR das Zertifikat als zurückgezogen markiert, sodass es dann in der Zukunft nicht mehr genutzt werden kann. Daher kann entweder das Steuergerät auf die Blacklist gesetzt werden oder von der Whitelist entfernt werden. Eine Bestätigung des Zurückziehens wird vom Backend an das Steuergerät geschickt, im Idealfall per signierter Nachricht. Das Steuergerät löscht und überschreibt darüber hinaus das Zertifikat.

Zusätzlich können bei der Dekomissionierung die Security Controls gelockert oder deaktiviert werden. Dies könnte zum Beispiel das Deaktivieren von Secure- oder Authenticated-Boots, das Deaktivieren von Security-Zählern, wie zum Beispiel das Zählen von Security-Verstößen sowie das Akzeptieren von nicht authentischer/autorisierter/authentifizierter Kommunikation und Software sein.

Je nach Dekomissionierungsart kann es sinnvoll sein, trotz Dekomissionierung 16 einen bestimmten Schutz auf der elektronischen Recheneinrichtung 10 zurückzulassen. Daher bilden sich zwei Szenarien aus. Ein erstes Szenario ist die komplette Freigabe des Steuergeräts beziehungsweise der elektronischen Recheneinrichtung 10 und damit die Möglichkeit des Schreibens in jedes Segment. Das zweite Szenario ist der weitere Schutz des beispielsweise FBL 30 (Fig. 3) und damit eine Kontrolle darüber, welche Software auf die elektronische Recheneinrichtung 10 aufgebracht werden kann.

Um die Anforderungen aus den EU-Regularien zu erfüllen, dürfen bestimmte Speicherbereiche bei der Dekomissionierung 16 nicht verändert werden. Diese sind im sogenannten Data-Segment enthalten. Diese können alle für die Batterie wichtigen Parameter zum ordnungsgemäßen Betrieb sein, die Betriebsfenster und Safety-Grenzen sowie Safety- relevante Zähler.

Insbesondere bieten sich dabei drei Dekomissionierungsverfahren an. Zum einen kann die Dekomissionierung 16 eingeleitet werden, wobei dafür eine spezielle Dekomissionierungs-Software genutzt wird. Insbesondere wird somit die Anfrage zum Ändern des Steuerprogramms mittels eines Flashprogramms an der elektronischen Recheneinrichtung 10 mittels der elektronischen Recheneinrichtung 10 initiiert. Dazu wird wiederum eine Software auf die elektronische Recheneinrichtung 10 eingespielt, die die nötigen Veränderungen an den Segmenten durchführt. Vorteilhafterweise wird die Software in einem flüchtigen Teil des Controllers eingespielt, zum Beispiel in einen RAM. Der Code führt bei der Ausführung zur oben beschriebenen Dekomissionierung 16 und gibt bestimmte Speicher-Segmente zum Überschreiben frei. Insbesondere können diese der FBL 30, das HSM und die ASW sein. Security Controls, die zum sicheren Betreiben der elektronischen Recheneinrichtung 10 nötig sind, können entweder abgeschwächt, gelöscht oder überschrieben werden. Dies hat insbesondere den Vorteil, dass dies auch im Nachhinein noch mit der elektronischen Recheneinrichtung 10 durchgeführt werden kann. Sprich, die Funktionalität kann auch für alte elektronische Recheneinrichtungen 10, die sich jetzt bereits im Feld befinden, eingesetzt werden. Sobald die Dekomissionierung 16 durchgeführt wurde, geht die Verantwortung für das Produkt auf den Nutzer beziehungsweise auf den in der geplanten Regulierung erwähnten sogenannten Economic Operator (EO)/Nutzer 20 (Fig. 2) über.

Fig. 2 zeigt eine weitere schematische Ausführungsform des Verfahrens. Fig. 2 zeigt insbesondere, dass die Anfrage zum Ändern des Steuerprogramms mittels des externen Nutzers 20 bei der weiteren elektronischen Recheneinrichtung 12 initiiert wird, wobei bei der Anfrage vor der Bestätigung 24 ein potentiell neues Steuerprogramm 22 geprüft und im Anschluss signiert wird. Das Überprüfen ist im vorliegenden Ausführungsbeispiel durch eine Überprüfung 26 gezeigt. Hierzu kann weiter vorgesehen sein, dass ein Signierservice 28 bereitgestellt wird. Insbesondere, um eine größere Kontrolle über die Art der Software beziehungsweise über den Software-Erstellerkreis zu haben, wird die Dekomissionierung 16 mittels eines Flashvorgangs mit Signatur für das potentielle Steuerprogramm 22 durchgeführt. Das potentielle Steuerprogramm 22 wird im Folgenden auch als Fremdsoftware bezeichnet. Dazu ist ein zusätzlicher Weg für die Signierung der Software vorgesehen. Dieser Prozess erfolgt außerhalb der elektronischen Recheneinrichtung 10.

Für beispielsweise eine eigene Software, beispielsweise von einem OEM (Original Equipment Manufacturer), kann eine Signierung mit einem eigens dafür vorgesehenen Schlüssel genutzt werden. Für die Fremdsoftware wird ein zweiter Schlüssel genutzt, welcher sich im Besitz von beispielsweise dem OEM befindet und nicht herausgegeben wird. Der Nutzer 20 stellt sein potentielles Steuerprogramm 22 an einen Signierservice 28 bereit. Hauptaufgabe dieses Services ist es, eine Signatur zu erstellen, welche später den Flashvorgang auf der elektronischen Recheneinrichtung 10 überprüft. Optional kann eine Analyse der Fremdsoftware durchgeführt werden. Dies kann zum Beispiel ein automatisierter Test auf Schwachstellen oder Compliance-Verstöße sein. Auch kann in diesem Schritt ein sogenannter Penetrationstest durchgeführt werden, welcher insbesondere Sicherheitslücken aufdeckt. Falls Flashpakete verschlüsselt eingespielt werden sollen, kann auch eine Verschlüsselung durchgeführt werden. Sollte die Überprüfung in Ordnung sein oder keine Überprüfung durchgeführt werden, so kann eine Signatur an den Nutzer 20 geschickt werden, damit dieser ein konformes Flashpaket erstellen kann. Alternativ kann bei einem verschlüsselten Flashpaket eben dieses bereitgestellt werden. Sollte die Überprüfung nicht in Ordnung sein, so wird keine Signatur bereitgestellt, und damit ist kein Flashen möglich.

Bei diesem Verfahren ist es dabei sinnvoll, nur die ASW überschreibbar zu machen und nur dort Security Controls abzuschwächen oder zu löschen. Es ist insbesondere sinnvoll, den FBL 30 persistent zu lassen, um weiterhin nur Software, die durch den Signierservice 28 zertifiziert wurde, auf das Steuergerät schreiben zu können. Daher sollten alle Security Controls für den FBL 30 und das HSM aktiv bleiben.

Dieses Verfahren hat den Vorteil, dass entschieden werden kann, welcher Nutzer 20 Software für die Batterie schreiben kann und dass auch ein Mindestmaß an Anforderungen an die Software erfüllt werden muss. Daher ist es möglich, gezielte Vorgaben an die Umsetzung machen zu können und diese auch zu überprüfen. Die Fremdsoftware kann nach der Erstellung eines konformen Flashpakets den Flashvorgang eingespielt werden.

Fig. 3 zeigt ein weiteres schematisches Ablaufdiagramm gemäß einer Ausführungsform des Verfahrens. Insbesondere ist eine FBL 30 gezeigt. Es ist ferner ein erster Verantwortungsbereich 32 gezeigt, welcher beim OEM liegt. Ferner ist ein zweiter Verantwortungsbereich 34 gezeigt, welcher beim Nutzer 20 liegt. Ferner ist gezeigt, dass die FBL 30 über ein Flashpaket mit einer Signatur des OEM aufgespielt werden kann. Dies ist insbesondere im Block 36 dargestellt, wobei die Verantwortung weiterhin dann beim OEM liegt. Gemäß dem Verfahren nach Fig. 2 kann in einem Block 38 auch ein Flashpaket mit Fremdsoftwaresignatur bereitgestellt werden. Es erfolgt dann wiederum die Dekomissionierung 16 und im Anschluss daran der Flashprozess von der Fremdsoftware ohne Überschreibung des FBLs, was durch den Block 40 dargestellt ist. Der Block 40 wiederum liegt bereits im Verantwortungsbereich des Nutzers 20.

Somit kann die Fremdsoftware nach der Erstellung eines konformen Flashpakets über einen konformen Flashvorgang eingespielt werden. Dazu wird als erstes die Dekomissionierung 16 durchgeführt und im Nachgang die Fremdsoftware eingespielt. Sobald der Flashprozess der Fremdsoftware eingespielt wird, geht die Verantwortung für den sicheren Betrieb des elektrischen Energiespeichers in den Verantwortungsbereich des Nutzers 20 über. Damit ist eine klare technische Trennstelle für den Übergang der Verantwortung gegeben. Eine weitere Möglichkeit, um die Anfrage zu initiieren, ist insbesondere dadurch gegeben, dass zum Ändern des Steuerprogramms mittels des externen Nutzers 20 nur ein bereits vorher bei der weiteren elektronischen Recheneinrichtung 12 registrierter und vertrauenswürdiger Nutzer 20 die Freigabe erhält. Insbesondere kann somit ein Diagnosedienst für die Dekomissionierung 16 bereitgestellt werden. Dazu wird ein zusätzlicher Diagnosedienst benötigt, der mit Sonderzertifikaten abgesichert wird. Sonderzertifikate sind jetzt schon ein Standardwerkzeug, um besonders kritische Dienste abzusichern. Des Weiteren wird bei diesen Diensten auch zusätzlich eine Dokumentation bei Benutzung durchgeführt. Jeder Nutzer 20 von diesen Sonderzertifikaten muss sich speziell für diesen Dienst registrieren und wird namentlich erfasst. Eine Ausstellung eines Sonderzertifikats ist dabei an eine Fahrzeugidentifikationsnummer gebunden und zeitlich begrenzt. Dadurch wird eine hohe Kontrolle über die Nutzung und den Personenkreis bei der Dekomissionierung 16 erreicht. Der Diagnosedienst deaktiviert Security Controls insbesondere bei der Signaturprüfung der Flashware. Damit ist es dann möglich, über einen Standardflashvorgang Fremdsoftware einzuspielen. Mit der Durchführung des Diagnosediensts geht die Verantwortung an den Nutzer 20 beziehungsweise den Durchführer des Dienstes über. Nach Durchführung der Dekomissionierung 16 wird eine Segmentierung erreicht. Die Vorteile des Diagnosediensts für Dekomissionierung 16 liegen in der Einfachheit für den Anwender und für die Entwicklung. Es kann auf standardisierte Verfahren, insbesondere auf die Sonderzertifikate, zurückgegriffen werden, und damit ist eine Umsetzung vergleichsweise einfach.

Bezugszeichenliste

10 elektronische Recheneinrichtung

12 weitere elektronische Recheneinrichtung

14 System

16 Dekomissionierung

18 Produktion

20 Nutzer

22 potentielles Steuerprogramm

24 Signierung

26 Überprüfung

28 Signierservice

30 FBL

32 erster Verantwortungsbereich

34 zweiter Verantwortungsbereich

36 Block

38 Block

40 Block

S1 bis S10 Schritte des Verfahrens

Claims

Patentansprüche Verfahren zum Durchführen einer Dekomissionierung (16) eines elektrischen Energiespeichers eines Kraftfahrzeugs mittels eines Systems (14), mit den Schritten:

- Anfragen zum Ändern eines Steuerprogramms auf einer elektronischen Recheneinrichtung (10) des elektrischen Energiespeichers bei einer weiteren elektronischen Recheneinrichtung (12) des Systems (14); (S5)

- Bestätigen der Anfrage durch die weitere elektronische Recheneinrichtung (12) und Speichern der Anfrage in einer Speichereinrichtung der weiteren elektronischen Recheneinrichtung (12); (S7)

- Löschen von Sicherheitszertifikaten auf der elektronischen Recheneinrichtung (10) nach Eingang der Bestätigung; (S8) und

- Freigeben des Steuerprogramms für eine Änderung und Dekomissionierung (16) des elektrischen Energiespeichers (10). (S9). Verfahren nach Anspruch 1 , dadurch gekennzeichnet, dass eine Identifikation des elektrischen Energiespeichers (10) mit dem geänderten Steuerprogramm (22) in der Speichereinrichtung gespeichert wird. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass als Änderung des aktuellen Steuerprogramms ein neues Steuerprogramm (22) installiert wird. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass als Änderung des Steuerprogramms nur Teile des aktuellen Steuerprogramms gelöscht und neu installiert werden. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Anfrage zum Ändern des Steuerprogramms mittels eines Flashprogramms an der elektronischen Recheneinrichtung (10) mittels der elektronischen Recheneinrichtung (10) initiiert wird. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Anfrage zum Ändern des Steuerprogramms mittels eines externen Nutzers (20) bei der weiteren elektronischen Recheneinrichtung (12) initiiert wird, wobei bei der Anfrage vor der Bestätigung mittels der weiteren elektronischen Recheneinrichtung (12) ein potentiell neues Steuerprogramm (22) überprüft und im Anschluss signiert wird. Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass das potentiell neue Steuerprogramm (22) auf Schwachstellen und/oder auf Complianceverstöße, insbesondere mittels eines Penetrationstest, überprüft wird. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Anfrage zum Ändern des Steuerprogramms mittels eines externen Nutzers (20) bei der weiteren elektronischen Recheneinrichtung (12) initiiert wird, wobei nur ein bereits vorher bei der weiteren elektronischen Recheneinrichtung (12) registrierter und vertrauenswürdiger Nutzer (20) eine Freigabe erhält. Computerprogrammprodukt mit Programmcodemitteln, welche eine elektronische Recheneinrichtung (10, 12) dazu veranlassen, wenn die Programmcodemittel von der elektronischen Recheneinrichtung (10 ,12) abgearbeitet werden, ein Verfahren nach einem der Ansprüche 1 bis 8 durchzuführen. System (14) zum Durchführen einer Dekomissionierung (16) eines elektrischen Energiespeichers eines Kraftfahrzeugs, mit zumindest einerweiteren elektronischen Recheneinrichtung (12), wobei das System (14) zum Durchführen eines Verfahrens nach einem der Ansprüche 1 bis 8 ausgebildet ist.