Vorrichtung und Verfahren zur Filterung von sicherheitsrelevanten Eingriffen, sowie ein Gateway-Steuergerät

Stand der Technik

Vorrichtung und Verfahren zur Filterung von sicherheitsrelevanten Eingriffen, sowie ein Gateway-Steuergerät nach dem Oberbegriff der unabhängigen Ansprüche 1, 7 und 8.

Ein Verfahren zum Durchführen von sicherheitskritischen Vorgängen in einem Steuergerät und ein solches Steuergerät sind aus der DE 101 48 325 AI bekannt. Ein Hardware-Sicherheitsmodul in dem Steuergerät erhält über einen ersten Anschluss eine Eingabe, wobei auf Grundlage der Eingabe die Durchführung eines Vorgangs freigegeben wird.

Offenbarung der Erfindung

Vorteile der Erfindung

Die erfindungsgemäße Vorrichtung, das Verfahren, sowie das Gateway-Steuergerät zur Filterung von sicherheitsrelevanten Eingriffen mit den Merkmalen gemäß der unabhängigen Ansprüche hat den Vorteil, dass durch den Empfang des Parameters durch die dritte Kommunikationseinheit ein Kommunikationsweg für den sicherheitsrelevanten Parameter geschaffen wird, der von den Kommunikationswegen der herkömmlichen Daten verschieden ist. Durch diesen weiteren Kommunikationsweg, kann beispielsweise eine Remote- Freigabe für Software durch den Fahrzeughersteller erfolgen, während die neue Software nur durch eine kabelgebundene Verbindung auf das Fahrzeug geladen werden kann.

Außerdem besteht die Möglichkeit die unterschiedlichen Kommunikationseinheiten mit unterschiedlicher Sicherheitssoftware auszustatten. Durch die Filterung des Datentransfers abhängig vom Parameter durch die Steuereinheit bevor sie auf das Bussystem gelangen, wird die Fehleranfälligkeit des Fahrzeuges durch ungewollte Daten, die durch Dritte auf das Fahrzeug gesendet werden, reduziert.

Durch die Vernetzung von Fahrzeugen wird es in Zukunft möglich sein, dass Zugriffe auf Fahrerassistenzsysteme oder deren Schnittstellen und Zugriffe auf Diagnosefunktionen auch bei Fahrzeugen, die sich bereits beim Nutzer befinden, also im Feld sind, möglich sind.

Ein Zugriff durch eine externe Recheneinheit, wie z.B. ein remote-Zugriff einer durch einen Entwickler selbst programmierten App oder das remote-Nachrüsten von Firmware-Updates kann durch die Erfindung unter sicherheitsbezogenen Aspekten leichter durchgeführt werden. Hierbei kann auch bei Fahrzeugen, die bereits im Feld sind, durch den Fahrzeughersteller über die dritte Kommunikationseinheit im Nachhinein ein erweiterter Zugriff ermöglicht werden, ohne dass dies dem Fahrer des Fahrzeuges bewusst wird.

Ein remote-Zugriff, der theoretisch den Zugriff auf alle Steuergeräte ermöglichen würde, kann zu einer ungewollten Ansteuerung von Steuergeräten und Aktua- toren führen, welche eventuell für das Fahrzeug sicherheitsrelevant sind. Durch die Möglichkeit einer Filterung des Datentransfers über einen durch die dritte Kommunikationseinheit empfangenen Parameter, kann bereits in der erfindungsgemäßen Vorrichtung und im erfindungsgemäßen Verfahren oder im erfindungsgemäßen Gateway-Steuergerät sichergestellt werden, dass nur Zugriffe erlaubt werden, die zu keiner ungewollten Ansteuerung von Steuergeräten oder Aktua- toren im Fahrzeug führen.

In den abhängigen Ansprüchen sind vorteilhafte Ausgestaltungen und Weiterbildungen der erfindungsgemäßen Vorrichtung und des erfindungsgemäßen Verfahrens angegeben.

Der Datentransfer kann auf vorteilhafte Weise abhängig vom empfangenen Parameter vollständig unterbrochen werden oder Daten teilweise gefiltert werden. Diese Form der Filterung ermöglicht eine maximale Flexibilität für unterschiedliche Zugriffe auf das Bussystem, und die Steuergeräte des Fahrzeugs.

Vorteilhaft ist eine für einen kabellosen Datenaustausch, insbesondere über W- LAN, drahtlose Mobilfunktechnologie oder Bluetooth, ausgebildete zweite Kom- munikationseinheit, da diese Form des Datenaustausches in Zukunft immer öfters genutzt wird und somit beispielsweise Fahrzeuge auch bei einem Software- Update nicht unbedingt in die Werkstatt gebracht werden müssen.

Es ist von Vorteil, wenn die dritte Kommunikationseinheit für einen kabellosen Datenaustausch, insbesondere über W-LAN, drahtlose Mobilfunktechnologie o- der Bluetooth, ausgebildet ist, da diese Form des Datenaustausches in Zukunft immer öfters genutzt wird. Der Fahrzeughersteller kann auch wenn sich das Fahrzeug schon im Feld befindet im Nachhinein bestimmte Zugriffe auf das Bussystem des Fahrzeuges erlauben.

Alternativ ist es von Vorteil, wenn die dritte Kommunikationseinheit für einen kabelgebundenen Datenaustausch mit einem Eingabegerät, welches innerhalb des Fahrzeuges angeordnet ist, ausgebildet ist, da die Eingabe des Parameters nur über das im Fahrzeug vorhandene Eingabegerät erfolgen kann. Dies erhöht die Sicherheit, da ein Zugriff auf die dritte Kommunikationseinheit durch unerwünschte externe Angreifer nicht über die kabellose Verbindung möglich ist.

Es ist von großem Vorteil, wenn die Vorrichtung ein eigenständiges Bauteil ist, welches an die OBD-Buchse des Fahrzeuges anschließbar ist, da auf diese Weise jedes Fahrzeug, mit der Vorrichtung zur Filterung des Datentransfers nachgerüstet werden können.

Ausführungsbeispiele Bevorzugte Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und in der nachfolgenden Beschreibung näher erläutert.

Es zeigen:

Figur 1 eine schematische Darstellung einer erfindungsgemäßen Vorrichtung, Figur 2 eine schematische Darstellung einer erfindungsgemäßen Vorrichtung gemäß einem ersten Ausführungsbeispiel,

Figur 3 eine schematische Darstellung einer erfindungsgemäßen Vorrichtung ge- mäß einem zweiten Ausführungsbeispiel und

Figur 4 ein Ablaufdiagram eines erfindungsgemäßen Verfahrens. Ausführungsformen der Erfindung

Die Figur 1 zeigt eine Vorrichtung 1 zur Filterung von sicherheitsrelevanten Eingriffen mit einer Steuereinheit 5, einer ersten Kommunikationseinheit 10, einer zweiten Kommunikationseinheit 20 und einer dritten Kommunikationseinheit 30. Die erste Kommunikationseinheit 10 kann Daten mit mindestens einem Bussys- tem 12 eines Fahrzeuges 2 austauschen. Die zweite Kommunikationseinheit 20 kann Daten mit einer externen Recheneinheit 22 austauschen. Die dritte Kommunikationseinheit 30 ist von der ersten Kommunikationseinheit 10 und der zweiten Kommunikationseinheit 20 verschieden. Das Bussystem 12 befindet sich innerhalb des Fahrzeuges 2 und ist mit mehreren Steuergeräten 14, 15, 18, 19 verbunden. Die Steuergeräte 14, 15, 18, 19 können Daten vom Bussystem 12 empfangen und Daten an das Bussystem 12 senden. Die Steuergeräte 14, 15, 18, 19 können Fahrerassistenzsysteme ansteuern, wobei sie über Fahrzeugsensoren die Umgebung wahrnehmen und Ak- tuatoren ansteuern, z.B. den Kurvenassistenten, den Einparkassistenten oder das Adaptive Cruise System. Über Diagnoseprotokolle oder Diagnosefunktionen, welche über das Bussystem 12 an die Steuergeräte 14, 15, 18, 19 gesendet werden, kann eine Diagnose einzelner oder mehrerer Fahrzeugkomponenten durchgeführt werden.

Mit Hilfe der Daten, die auf das Bussystem 12 gesendet werden, können die Steuergeräte 14, 15, 18, 19 untereinander oder mit Geräten, die an das Bussystem 12 angeschlossen sind, kommunizieren. Die Daten weisen vereinfacht folgende Merkmale auf: Adressen, Kommandos und Werte. Durch die Adresse wird ein bestimmtes oder mehrere Steuergeräte 14, 15, 18, 19 des Bussystems 12 angesprochen. Die Adresse kann beispielsweise nur ein bestimmtes Steuergerät 14, mehrere Steuergeräte 14, 15, oder alle Steuergeräte 14, 15, 18, 19 eines spezifischen Bussystems 12 ansprechen. Die Kommandos beinhalten Befehle, die an das Steuergerät 14, 15, 18, 19 gesendet werden, z.B. das Überschreiben von Funktionen, oder das Auslesen von Daten oder Diagnosewerten. Die Kommandos sind meist mit Werten gekoppelt und geben z.B. einen neuen Wert für den Lenkwinkel oder (Abstands-)Werte für den Einparkassistenten an. Es können auch durch Diagnose- oder Lesekommandos Werte aus einem Steuergerät 14, 15, 18, 19 ausgelesen werden und über das Bussystem

12 an ein Diagnosegerät gesendet werden.

Die Steuereinheit 5 filtert den Datentransfer zwischen der ersten Kommunikationseinheit 10 und der zweiten Kommunikationseinheit 20 abhängig von einem durch eine dritte Kommunikationseinheit 30 empfangenen Parameter.

Der durch die dritte Kommunikationseinheit 30 empfangene Parameter dient der Steuereinheit 5 zur Verifizierung, ob ein Zugriff auf das Bussystem 12 erlaubt ist bzw. ob sich der Anwender als berechtigte Person authentifizieren kann.

Der Datentransfer wird abhängig vom empfangenen Parameter vollständig unterbrochen oder die Daten werden teilweise gefiltert. Erfolgt eine teilweise Filterung, kann abhängig vom eingegebenen Parameter eine Filterung der Adressen, von Kommandos und/oder von Werten erfolgen. Hierbei ist auch eine Kombination der Adressen, von Kommandos und/oder von Werten möglich.

Beispielsweise kann ein besonders hoch autorisierter Benutzer einen speziellen Parameter A eingeben, der eine Freischaltung aller Daten erlaubt, während ein anderer Benutzer einen anderen Parameter B eingibt, der nur einen Lesezugriff auf wenige Steuergeräte ermöglicht.

Figur 2 zeigt eine Vorrichtung 1 zur Filterung des Datentransfers gemäß einem zweiten Ausführungsbeispiels, welche in ein Fahrzeuges 2 integriert ist. Das Fahrzeug 2 weist Räder 3 auf. Die Vorrichtung 1 ist über die erste Kommunikati- onseinheit 10 mit dem Bussystem 12 verbunden. Das Bussystem 12 weist mehrere Steuergeräte 14, 15, 18, 19 auf. Die erste Kommunikationseinheit 10 kann mit dem mindestens einen Bussystem 12 Daten austauschen.

Die Vorrichtung 1 weist eine zweite Kommunikationseinheit 20 auf, welche mit einer externen Recheneinheit 22 Daten austauschen kann. Die zweite Kommunikationseinheit 20 kann über eine kabelgebundene Verbindung mit der Recheneinheit 22 verbunden sein. Dies kann beispielsweise ein Diagnosegerät 23 in einer Werkstatt sein, welches an eine OBD-Schnittstelle 21 des Fahrzeuges 2 angeschlossen wird.

Die zweite Kommunikationseinheit 20 kann aber auch für einen kabellosen Datenaustausch ausgebildet sein. In diesem Fall erfolgt der Datenaustausch beispielsweise über W-LAN, drahtlose Mobilfunktechnologie oder Bluetooth mit der externen Recheneinheit 22, welche beispielsweise ein Handy 24 oder ein Tablet-

PC 24 sein kann.

Die Vorrichtung 1 weist eine dritte Kommunikationseinheit 30 auf, welche von ersten Kommunikationseinheit 10 und der zweiten Kommunikationseinheit 20 verschieden ist.

Die dritte Kommunikationseinheit 30 ist für einen kabellosen Datenaustausch, insbesondere über W-LAN, drahtlose Mobilfunktechnologie oder Bluetooth, ausgebildet. Eine Sendeeinheit 35, welche auch zum kabellosen Datenaustausch ausgebildet ist, kann auf diese Weise einen Parameter an die dritte Kommunikationseinheit 30 senden. Hierbei können beliebige Verschlüsselungsmethoden zum Einsatz kommen, auf die jedoch im Rahmen dieser Erfindung nicht eingegangen wird. In einer alternativen Ausführungsform kann die dritte Kommunikationseinheit 30 für einen kabelgebundenen Datenaustausch mit einem Eingabegerät 33 ausgebildet sein. Das Eingabegerät 33 ist dabei innerhalb des Fahrzeuges 2 angeordnet, so dass ein Fahrer über das Eingabegerät 33 einen Parameter eingeben kann, um einen Datentransfer zu filtern. Die Steuereinheit 5 filtert den Datentransfer zwischen der ersten Kommunikationseinheit 10 und der zweiten Kommunikationseinheit 20 abhängig von einem Parameter, der durch die dritte Kommunikationseinheit 30 empfangen wird.

Durch den Parameter, kann die Steuereinheit 5, wie bereits beschrieben, den Datentransfer so filtern, dass der Datentransfer vollständig unterbrochen oder die Daten teilweise gefiltert werden.

In dem in Figur 2 gezeigten Ausführungsbeispiel ist die Vorrichtung 1 in das Gateway-Steuergerät 40 integriert, so dass eine Filterung des Datentransfers bereits im Gateway-Steuergerät 40 erfolgen kann.

Figur 3 zeigt ein weiteres Ausführungsbeispiel der Erfindung. Hier ist die Vorrichtung 1 nicht in das Gateway-Steuergerät 40 integriert, sondern als eigenständiges Bauteil ausgebildet. Die Vorrichtung 1 lässt sich an eine Schnittstelle 21, beispielsweise die OBD-Buchse, des Fahrzeuges 2 anschließen, so dass ein Nachrüsten von Fahrzeugen 2 mit der Vorrichtung 1 möglich ist. Die in der Figur 3 gezeigte Vorrichtung 1 weist ansonsten die gleichen Merkmale wie in den vorangegangenen Ausführungsbeispielen auf. Eine Kommunikation der Kommunikationseinheit 10 mit dem Bussystem 12 erfolgt über die Schnittstelle 21 und ein Gateway-Steuergerät 40, welches im Datenaustausch mit dem Bussystem 12 steht.

Figur 4 zeigt ein Ablaufdiagramm eines Verfahrens zur Filterung eines Datentransfers. Im Verfahrensschritt 100 werden Daten durch die zweite Kommunikati- onseinheit 20 von einer externen Recheneinheit 22 empfangen.

Im Verfahrensschritt 200 wird ein Parameter durch die dritte Kommunikationseinheit 30, die von der ersten Kommunikationseinheit 10 und von der zweiten Kommunikationseinheit 20 verschieden ist, empfangen.

Im Verfahrensschritt 300 filtert die Steuereinheit 5 den Datentransfer zwischen der zweiten Kommunikationseinheit 20 und der ersten Kommunikationseinheit 10 abhängig von dem Parameter. Hierbei wird der Datentransfer abhängig vom empfangenen Parameter vollständig unterbrochen oder es können Daten teil- weise gefiltert werden. Im optionalen Verfahrensschritt 400 werden die gefilterten Daten von der ersten Empfangseinheit 10 auf das Bussystem 12 des Fahrzeuges gesendet.

Wenn im Rahmen der Erfindung von einem Datentransfer zwischen der ersten Kommunikationseinheit 10 und der zweiten Kommunikationseinheit 20 gesprochen wird, so handelt es sich hierbei sowohl um Daten, die von der zweiten Kommunikationseinheit 20 zur ersten Kommunikationseinheit 10 transportiert werden, sowie um Daten, die von der ersten Kommunikationseinheit 10 zur zweiten Kommunikationseinheit 20 transportiert werden