BESCHREIBUNG: Die Erfindung betrifft ein Steuergerät für ein Kraftfahrzeug, aufweisend we nigstens eine Leiterplatte mit wenigstens einem Mikroprozessor zur Bereit stellung von Funktionen des Steuergeräts, wobei wenigstens eine Sicher heitsfunktion der Funktionen einer gegenüber wenigstens einer anderen Funktion der Funktionen erhöhten Sicherheitsanforderung, insbesondere ASIL-Stufe, unterliegt. Daneben betrifft die Erfindung ein Kraftfahrzeug mit einem solchen Steuergerät.

Mit der Elektronisierung verschiedenster Funktionen in Kraftfahrzeugen nimmt die Zahl an Steuergeräten zu. Steuergeräte in Kraftfahrzeugen umfas- sen typischerweise eine Leiterplatte, auf der die verschiedenen, für die Aus führung der Funktionen benötigten elektronischen Komponenten, insbeson dere umfassend wenigstens einen Mikroprozessor, angeordnet sind. Moder ne, neue Funktionalitäten, insbesondere solche, die mit der vollständig au tomatischen Führung von Kraftfahrzeugen in Zusammenhang stehen, müs- sen besonders abgesichert sein. An solche Sicherheitsfunktionen werden mithin Sicherheitsanforderungen gestellt, beispielsweise nach einem be stimmten Standard.

Hierzu wurde, was Kraftfahrzeuge angeht, die die ISO 26262 („Road Vehic- les - Functional Safety“) eingeführt. Diese Norm gilt für sicherheitsrelevante elektronische Systeme in Kraftfahrzeugen, insbesondere also auch Steuer geräte und definiert unter anderem auch bestimmte Sicherheitsstufen, die sogenannten ASIL-Stufen (Automotive Safety Integrity Level). Diese speziel- len Sicherheitsanforderungen beziehen sich zum einen auf die Hardware, zum anderen auch auf die Software.

Sobald eine einzige, in einem Steuergerät durchführende Funktion, die im Folgenden als Sicherheitsfunktion bezeichnet wird, eine Sicherheitsanforde rung, insbesondere ein ASIL-Level aufweist, ist das gesamte Steuergerät, unabhängig, ob die weiteren Funktionen des Steuergeräts eine niedrigere oder gar keine Sicherheitsanforderung aufweisen, auf die Sicherheitsanfor derung der Sicherheitsfunktion auszulegen. Mit anderen Worten wird das Design der Hardware und der Software des Steuergeräts derzeit durch die höchstmögliche Sicherheitsanforderung unter den durch das Steuergerät durchzuführenden verschiedenen Funktionen bestimmt.

Dies ist insbesondere dann als problematisch zu bewerten, wenn die Sicher- heitsfunktion, die mithin die hohe Sicherheitsanforderung hat, nicht zwangs läufig in jedem Kraftfahrzeug, in dem das Steuergerät eingesetzt wird, ge nutzt wird. Beispielsweise sind bereits Steuergeräte für Kraftfahrzeuge ent wickelt worden, die eine bestimmte Sicherheitsfunktion nur in bestimmten Ausbaustufen benötigen, beispielsweise in Fällen, in denen nur 5% der her- gestellten Steuergeräte in ihrer Laufzeit die Sicherheitsfunktion überhaupt benötigen. Durch die Entwicklung gemäß der Sicherheitsanforderung der Sicherheitsfunktion wird das Grundprojekt erheblich belastet, welches jedoch möglichst günstig sein sollte. Aus der hohen Sicherheitsanforderung resultie ren spezielle Hardwarekomponenten und strikte Vorgaben für die Software.

Wichtige Funktionen in Kraftfahrzeugen, denen Sicherheitsanforderungen zugeordnet werden, die mithin Sicherheitsfunktionen bilden, sind solche, die Positionsdaten liefern. Insbesondere sind hierbei die GNSS-Funktionen (GNSS - globales Navigationssatellitensystem), beispielsweise GPS- Funktionen, zu nennen. Bei der Verödung von solchen GNSS-Funktionen in Steuergeräten wurde vorgeschlagen, die Sicherheitsanforderung erfüllende GNSS-Empfänger (GNSS-Receiver) auf der Leiterplatte zu verbauen, wobei jedoch die die Positionsdaten ermittelnde Software im Mikroprozessor (auch Mikrokontroller, pC) abläuft, welcher die entsprechende Sicherheitsanforde- rung, beispielsweise ASIL-Stufe, erfüllen muss. Auch die Software muss ent sprechend entwickelt werden.

WO 2018/169590 A1 betrifft das Erreichen einer verbesserten ASIL- Klassifizierung durch kooperative Positionsbestimmung. Dabei wird vorge schlagen, neben einer GNSS-Lokalisierung des Kraftfahrzeugs auch eine Lokalisierung aufgrund von Kommunikationsdaten anderer Fahrzeuge vor zunehmen. Es werden Aufenthaltsregionen bestimmt, wobei eine Zuverläs sigkeitsstufe der Positionsgenauigkeit erhöht wird, wenn die Aufenthaltsregi- onen überlappen.

WO 2017/080556 A1 betrifft ein Verfahren und eine Vorrichtung zum Bewer ten einer Position eines Fahrzeugs, insbesondere nach einer ASIL- Sicherheitsstufe. Dort soll eine erste Absolut-Position mittels eines herkömm- liehen GNSS-Empfängers bestimmt werden, welche mit einer zweiten Abso lut-Position verglichen werden soll, die jedoch in einer abgesicherten Sicher heitseinheit oder einem abgesicherten ASIL-fähigen Chip ermittelt wird und daher stets plausibel ist. EP 3 454 088 A1 betrifft Systeme und Verfahren zur Bereitstellung eines ASIL-Kennzeichners für eine GNSS-Position. Dort wird vorgeschlagen, Hardware-Plattform-Diagnostiken durchzuführen und einen RAIM- Algorithmus auszuführen, um eine Schutzstufe zu bestimmen. Aus den Er gebnissen soll ein ASIL-„gut“-Kennzeichner oder ein ASIL-„schlecht“- Kennzeichner ermittelt werden.

Der Erfindung liegt die Aufgabe zugrunde, ein zur Durchführung einer Si cherheitsfunktion mit einer Sicherheitsanforderung geeignetes Steuergerät bereitzustellen, welches einfacher und kostengünstiger zu entwickeln und zu konstruieren ist.

Zur Lösung dieser Aufgabe ist bei einem Steuergerät der eingangs genann ten Art erfindungsgemäß vorgesehen, dass auf der Leiterplatte ein Sicher heitsbereich vorgesehen ist, in dem alle für die Durchführung der Sicher- heitsfunktion vorgesehenen Komponenten, umfassend wenigstens einen ersten Mikroprozessor, die Sicherheitsanforderung erfüllend realisiert sind, wobei jegliche, wenigstens teilweise die Leiterplatte nutzende Kommunikati on des ersten Mikroprozessors in und aus dem Sicherheitsbereich Ende-zu- Ende-verschlüsselt erfolgt, und wobei auf der Leiterplatte wenigstens ein zweiter, insbesondere die Sicherheitsanforderung nicht erfüllender Mikropro zessor zur Bereitstellung der wenigstens einen anderen Funktion außerhalb des Sicherheitsbereichs angeordnet ist. Bei der Sicherheitsanforderung handelt es sich dabei insbesondere um eine ASIL-Stufe gemäß ISO 26262, insbesondere ISO 26262:2018. Erfindungs gemäß wird also vorgeschlagen, für die die Sicherheitsanforderung aufwei sende Sicherheitsfunktion eine Art eigene „Insel“ auf der Leiterplatte zu schaffen, welche in sich die entsprechende Sicherheitsanforderung, insbe- sondere den ASIL-Level, gewährleistet und entsprechend entwickelt wird. Dabei sind alle Daten, die von der„Insel“, also dem Sicherheitsbereich, ein gelesen oder ausgegeben werden, bereits E2E-abgesichert, also durch En- de-zu-Ende-Verschlüsselung abgesichert. Hierzu kann insbesondere vorge sehen sein, dass jede aus dem Sicherheitsbereich herausführende Kommu- nikationsstrecke vorzugsweise ein E2E-Ent- und Verschlüsselungsmittel aufweist, insbesondere an ihrer im Sicherheitsbereich liegenden Schnittstelle und/oder in dem ersten Mikroprozessor. Insbesondere kann mithin eine der artige Schnittstelle Teil des ersten Mikroprozessors sein. Die Bereitstellung eines Sicherheitsbereichs für die Komponenten der Sicherheitsfunktion er- möglicht es, dass der Rest des Steuergeräts nicht gemäß der Sicherheitsan forderung der Sicherheitsfunktion entwickelt werden muss, so dass Kosten im Grundprojekt gespart werden können und nur für eine etwaige Mehraus stattung investiert werden müssen, die entsprechend einer Funktion, hier der Sicherheitsfunktion, zugeordnet werden kann. Insbesondere ist es für Her- steiler also möglich, dass Benutzer des Kraftfahrzeugs für die Mehrausstat tung zahlen.

Dabei ist es besonders zweckmäßig, wenn die Sicherheitsfunktion eine Posi tionsdaten für das Kraftfahrzeug bereitstellende GNSS-Funktion, insbeson- dere eine GPS-Funktion, ist. Dann entsteht als Teil des Steuergerätes auf der Leiterplatte in Form des Sicherheitsbereichs letztlich eine GNSS-Insel, insbesondere eine ASIL-GNSS-Insel, welche letztlich in Form einer Bestück option vorgesehen sein kann, so dass beispielsweise das Steuergerät zu- nächst grundsätzlich für die weiteren Funktionen entwickelt werden kann, wobei dann, wenn eine GNSS-Funktion erwünscht ist, die entsprechenden Komponenten optional bestückt werden können, welche gezielt für die GNSS-Funktion und gemäß der Sicherheitsanforderungen entwickelt wur den.

Mit anderen Worten wird eine Bestückoption für die GNSS-Insel auf der Lei terplatte des Steuergeräts geschaffen, wobei sich innerhalb dieser Insel, also des Sicherheitsbereichs, die entsprechenden für die GNSS-Funktion not wendigen Komponenten befinden. Dabei kann konkret vorgesehen sein, dass die Komponenten des Sicherheitsbereichs neben dem ersten Mikropro zessor eine GNSS-Antenne und/oder einen GNSS-Receiver und/oder we nigstens ein Hochfrequenzbauteil, insbesondere ein Filter und/oder einen Bandpass, und/oder eine inertiale Messeinheit (IMU) umfassen. Innerhalb des Sicherheitsbereichs befinden sich also insbesondere die Hochfrequenz- komponenten (HF-Filter, Bandpässe, etc.), der/die GNSS-Receiver, die IMU und der erste Mikroprozessor, der im Fall einer ASIL-Stufe dann auch als ASIL-pC bezeichnet werden kann. Die Komponenten des Sicherheitsbe reichs wurden entsprechend gemäß der Sicherheitsanforderung entwickelt, insbesondere nach ISO 26262, und werden auch entsprechend abgenom- men. Der Rest des Steuergeräts wird weiterhin nach üblichen Qualitätsma nagement-Anforderungen (QM) entwickelt.

Der erste Mikroprozessor stellt seine Positionsdaten bereits E2E abgesi chert, insbesondere an einer seiner Schnittstellen, bereit, beispielsweise ei ner Ethernet-Schnittstelle. Somit müssen keine weiteren Maßnahmen auf dem Steuergerät beziehungsweise insgesamt im Kraftfahrzeug getroffen werden. Auch allgemein kann vorgesehen sein, dass der erste Mikroprozessor als insbesondere über Ethernet aus dem Sicherheitsbereich kommunizierende Komponente eine Schnittstelle zur Bereitstellung E2E-verschlüsselter Kom munikationsdaten aufweist. Weist der erste Mikroprozessor auch weitere Schnittstellen auf, sind zweckmäßigerweise auch diese zur E2E- verschlüsselten Kommunikation ausgebildet.

Vorteilhafterweise können der erste und der zweite Mikroprozessor mit ei nem außerhalb des Sicherheitsbereichs liegenden Switch verbunden sein und/oder es kann eine für die gesamte Leiterplatte inklusive des Sicherheits bereichs gemeinsame Stromversorgungseinheit auf der Leiterplatte vorgese hen sein. Mithin können als Elektronikkomponenten ein Switch und/oder eine Stromversorgungseinheit zweckmäßig sowohl für den Sicherheitsbereich als auch für den restlichen Bereich außerhalb der„Insel“ genutzt werden, insbe- sondere wenn an derartige Komponenten durch die Sicherheitsanforderung keine besonderen Ansprüche gestellt werden.

Neben dem Steuergerät betrifft die Erfindung auch ein Kraftfahrzeug, aufwei send wenigstens ein Steuergerät gemäß der vorliegenden Erfindung. Sämtli- che Ausführungen zum erfindungsgemäßen Steuergerät lassen sich analog auf das erfindungsgemäße Kraftfahrzeug übertragen, mit welchem mithin ebenso die bereits genannten Vorteile erhalten werden können.

Insbesondere sieht eine vorteilhafte Weiterbildung des erfindungsgemäßen Kraftfahrzeugs vor, dass es wenigstens eine Kommunikationsdaten für den Sicherheitsbereich bereitstellende Recheneinrichtung aufweist, die zum E2E- verschlüsseltem Übersenden der Kommunikationsdaten an das Steuergerät ausgebildet ist. In besonders vorteilhafter Weiterbildung der vorliegenden Erfindung, wenn die Sicherheitsfunktion eine Positionsdaten liefernde GNSS- Funktion ist, betreffen die Kommunikationsdaten einen Korrekturservice, um die Positionsgenauigkeit zu erhöhen, beispielsweise ein dGPS und/oder In formationen zu Atmosphärenschwankungen. Diese können von dem ent sprechenden Backend, also der Recheneinrichtung, bis in den Sicherheitsbe reich, konkret also bis zum ersten Mikroprozessor, E2E-abgesichert, über- tragen werden, so dass zweckmäßig eine entsprechende Ausgestaltung ge geben ist, falls die Recheneinrichtung innerhalb des Kraftfahrzeugs vorgese hen ist.

Stammen die Kommunikationsdaten, beispielsweise betreffend Atmosphä renschwankungen, von einem Backend-Server außerhalb des Kraftfahr zeugs, kann vorgesehen sein, dass sie bereits dort entsprechend E2E- verschlüsselt werden. Möglich ist es aber auch, dass die Recheneinrichtung eine Kommunikationseinrichtung des Kraftfahrzeugs ist, die die gegebenen falls noch anderweitig verschlüsselten oder unverschlüsselten Kommunikati onsdaten von einem Backend-Server entgegennimmt. Dann muss selbstver ständlich auch die Kommunikationseinrichtung beziehungsweise zumindest die diese Kommunikationsdaten behandelnde Komponente gemäß der Si cherheitsanforderung ausgestaltet sein. Dies gilt entsprechend auch für sonstige Recheneinrichtungen innerhalb des Kraftfahrzeugs, welche Kom munikationsdaten in den Sicherheitsbereich für die Sicherheitsfunktion liefern kann.

Weitere Vorteile und Einzelheiten der vorliegenden Erfindung ergeben sich aus den im Folgenden beschriebenen Ausführungsbeispielen sowie anhand der Zeichnung. Dabei zeigen:

Fig. 1 eine Prinzipskizze eines erfindungsgemäßen Steuergeräts, und

Fig. 2 eine Prinzipskizze eines erfindungsgemäßen Kraftfahrzeugs.

Fig. 1 zeigt ein erfindungsgemäßes Steuergerät 1 , welches eine beispiels weise innerhalb eines Gehäuses 2 angeordnete Leiterplatte umfasst. Nach dem das Steuergerät 1 eine Sicherheitsfunktion, hier eine GNSS-Funktion, an die eine Sicherheitsanforderung, hier eine ASIL-Stufe, gestellt ist, ausfüh ren soll, umfasst das Steuergerät 1 einen Sicherheitsbereich 4, der vorlie gend auch als ASIL-GNSS-Insel bezeichnet werden kann. Innerhalb dieses Sicherheitsbereichs 4, der bei der Herstellung nur optional bestückt wird, be finden sich alle für die Durchführung der GNSS-Funktion benötigten Kompo- nenten. Diese umfassen vorliegend Hochfrequenzbauteile 5, die an eine GNSS-Antenne 6 gekoppelt sind, wenigstens einen GNSS-Receiver 7, einen ersten Mikroprozessor 8 sowie eine inertiale Messeinheit 9 (IMU). Sämtliche dieser Komponenten 5, 7, 8, 9 sind sowohl was Hardware als auch gegebe- nenfalls Software betrifft gemäß der Sicherheitsanforderung entwickelt.

Zur Durchführung der weiteren Funktionen des Steuergeräts 1 , die die Si cherheitsanforderung für die GNSS-Funktion nicht erfüllen müssen (bezie hungsweise niedrigere Sicherheitsanforderungen erfüllen müssen), ist ein zweiter Mikroprozessor 10 auf der Leiterplatte 3 vorgesehen. Dieser ist ent sprechend nicht nach der höheren Sicherheitsanforderung der GNSS- Funktion entwickelt worden. Sowohl der erste Mikroprozessor 9 als auch der zweite Mikroprozessor 10 sind über einen Switch 11 mit einer physikalischen Schnittstelle 12 des Steuergeräts 1 verbunden, beispielsweise einer CAN- Bus-Schnittstelle oder dergleichen. Sowohl die Komponenten des Sicher heitsbereichs 4 als auch die übrigen Komponenten auf der Leiterplatte 3 werden durch eine gemeinsame Stromversorgung 13 gespeist.

Sämtliche über eine Schnittstelle 14 des ersten Mikroprozessors 8 ausge- hende und eingehende Kommunikation ist E2E-verschlüsselt (Ende-zu- Ende-verschlüsselt). Dies kann insbesondere durch Nutzung eines E2E-Ent- und Verschlüsselungsmittel 15 geschehen, welches auch einen Teil der Schnittstelle 14 bilden kann. Fig. 2 zeigt eine Prinzipskizze eines erfindungsgemäßen Kraftfahrzeugs 16. Das Kraftfahrzeug 16 weist wenigstens ein Steuergerät 1 auf, das wie bezüg lich Fig. 1 erläutert ausgebildet ist. Vorliegend kommuniziert das Steuergerät 1 auch mit einer Kommunikationseinrichtung 17 des Kraftfahrzeugs 16, wel che in Kommunikationsverbindung mit wenigstens einer kraftfahrzeugexter- nen Recheneinrichtung 18 steht, vorliegend einer Backend-Einrichtung, die Kommunikationsdaten zur genaueren Ausführung der GNSS-Funktion lie fern, beispielsweise Kommunikationsdaten zu aktuellen Atmosphären schwankungen und/oder zu einer dGPS-Funktion, welche bereits in der Re cheneinrichtung 18 geeignet E2E-verschlüsselt werden, so dass sie von der Kommunikationseinrichtung 17 unmittelbar an das Steuergerät 1 und mittels des Switches 11 an den ersten Mikroprozessor 8 geliefert werden können.

Denkbar ist es auch, eine Recheneinrichtung 19, die solche Kommunikati- onsdaten für eine Sicherheitsfunktion, insbesondere die GNSS-Funktion , liefert, innerhalb des Kraftfahrzeugs 16 vorzusehen, wobei dann entspre chend auch dort die Sicherheitsanforderung erfüllt sein muss und die E2E- Verschlüsselung der Kommunikationsdaten umgesetzt werden muss. Wer den die Kommunikationsdaten von der Recheneinrichtung 18 beispielsweise unverschlüsselt geliefert, kann auch unter Beachtung der Sicherheitsanforde rung in der Kommunikationseinrichtung 17 als weitere Recheneinrichtung eine Verschlüsselung erfolgen, so dass die E2E-Absicherung bis zum ersten Mikroprozessor 8 gegeben ist.