DE102021112329A1

DE102021112329A1 - Verfahren zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät eines Fahrzeugs, computerlesbares Medium, System, und Fahrzeug

Info

Publication number: DE102021112329A1
Application number: DE102021112329.1A
Authority: DE
Inventors: Michael Weiner; Peter Winklhofer; Robert Meinlschmidt; Theresa Reiner; Markus Anton
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2021-05-11
Filing date: 2021-05-11
Publication date: 2022-11-17
Also published as: WO2022238023A1; CN116982290A; US20240195824A1

Abstract

Die Erfindung betrifft ein Verfahren zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät des Fahrzeugs, das Verfahren umfassend: Empfangen einer ersten Nachricht von einem ersten Steuergerät durch das Steuergerät; Empfangen einer zweiten Nachricht von einem zweiten Steuergerät durch das Steuergerät; Bestimmen eines Systemzustands des Fahrzeugs in Abhängigkeit der zweiten Nachricht von dem zweiten Steuergerät durch das Steuergerät; Plausibilisieren eines Inhalts der ersten Nachricht unter Verwendung des bestimmten Systemzustand des Fahrzeugs durch das Steuergerät zum Erkennen der Manipulation der ersten Nachricht; und ein Bereitstellen einer Alarmnachricht von dem ersten Steuergerät an einen fahrzeugexternen Server, falls der Inhalt der ersten Nachricht nicht plausibel ist.

Description

Die Erfindung betrifft ein Verfahren zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät eines Fahrzeugs. Die Erfindung betrifft weiter ein computerlesbares Medium zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät eines Fahrzeugs, ein System zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät eines Fahrzeugs, sowie ein Fahrzeug umfassend das System zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät des Fahrzeugs.
Steuergeräte von Fahrzeugen sind über Bussysteme miteinander verbunden. Durch eine Manipulation eines Steuergeräts kann das Steuergerät unberechtigt Nachrichten an andere Steuergeräte über ein Bussystem verschicken. Dadurch kann eine Funktion des empfangenden Steuergeräts unberechtigt beeinflusst werden.
Es ist daher eine Aufgabe der Erfindung, eine Manipulation einer Nachricht eines Steuergeräts effizient zu erkennen. Insbesondere ist eine Aufgabe der Erfindung, eine Manipulation eines Inhalts einer Nachricht durch ein Steuergerät als Empfänger der Nachricht effizient zu erkennen.
Gelöst wird diese Aufgabe durch die Merkmale der unabhängigen Ansprüche. Vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung ergeben sich aus den abhängigen Ansprüchen.
Gemäß einem ersten Aspekt zeichnet sich die Erfindung aus durch ein Verfahren zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät eines Fahrzeugs. Das Verfahren kann ein computerimplementiertes Verfahren und/oder ein steuergeräteimplementiertes Verfahren sein. Das Bussystem kann ein CAN-Bus sein. Das Steuergerät ist vorzugsweise ein Empfänger der Nachricht sein. Das Verfahren kann auf dem Steuergerät, das der Empfänger der Nachricht ist, ausgeführt werden. Das Fahrzeug kann ein Kraftfahrzeug sein.
Das Verfahren umfasst ein Empfangen einer ersten Nachricht von einem ersten Steuergerät durch das Steuergerät. Das erste Steuergerät ist vorzugsweise ein Sender der ersten Nachricht. Weiter umfasst das Verfahren ein Empfangen einer zweiten Nachricht von einem zweiten Steuergerät durch das Steuergerät. Das zweite Steuergerät ist vorzugsweise ein Sender der zweiten Nachricht. Weiterhin umfasst das Verfahren ein Bestimmen eines Systemzustands des Fahrzeugs in Abhängigkeit der zweiten Nachricht von dem zweiten Steuergerät durch das Steuergerät und ein Plausibilisieren eines Inhalts der ersten Nachricht unter Verwendung des bestimmten Systemzustands des Fahrzeugs durch das Steuergerät zum Erkennen der Manipulation der ersten Nachricht. Das Plausibilisieren des Inhalts der Nachricht ist vorzugsweise ein funktionales Plausibilisieren in Abhängigkeit des Systemzustands des Fahrzeugs. Das Verfahren stellt eine Alarmnachricht von dem ersten Steuergerät an einen fahrzeugexternen Server bereit, falls der Inhalt der ersten Nachricht nicht plausibel ist.
Vorteilhafterweise kann durch das Plausibilisieren eines Inhalts einer empfangenen Nachricht unter Verwendung eines Systemzustands eines Fahrzeugs eine Manipulation des Inhalts der Nachricht effizient erkannt werden. Der Systemzustand des Fahrzeugs ist dabei eine vertrauenswürdige Information, die durch eine Vielzahl von technischen Parametern des Fahrzeug festgelegt ist.
Gemäß einer vorteilhaften Ausgestaltung der Erfindung kann das das Verfahren ein Anfragen eines Parameters eines Sensors durch das Steuergerät umfassen, wobei der Sensor vorzugsweise in dem Steuergerät integriert oder der Sensor direkt mit dem Steuergerät verbunden ist. Weiter kann das Verfahren ein Empfangen des Parameters des Sensors durch das Steuergerät des Fahrzeugs, und ein Plausibilisieren des Inhalts der ersten Nachricht basierend auf dem bestimmten Systemzustand des Fahrzeugs und dem empfangenen Parameter des Sensors des Steuergeräts zum Erkennen der Manipulation der ersten Nachricht umfassen. Hiermit kann der Inhalt der ersten Nachricht effizient mittels Sensordaten plausibilisiert werden.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann das Verfahren ein Empfangen einer dritten Nachricht von einem dritten Steuergerät durch das Steuergerät, ein Bestimmen eines Referenzwerts in Abhängigkeit der dritten Nachricht des dritten Steuergeräts durch das Steuergerät, und ein Plausibilisieren des Inhalts der ersten Nachricht basierend auf dem bestimmten Systemzustand des Fahrzeugs und dem bestimmten Referenzwert durch das Steuergerät zum Erkennen der Manipulation der ersten Nachricht umfassen. Hiermit kann der Inhalt der ersten Nachricht effizient mittels eines Referenzwert plausibilisiert werden.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann das Verfahren ein Plausibilisieren des Inhalts der ersten Nachricht basierend auf dem bestimmten Systemzustand des Fahrzeugs, dem empfangenen Parameter des Sensors, und dem bestimmten Referenzwert durch das Steuergerät zum Erkennen der Manipulation der ersten Nachricht umfassen. Hiermit kann der Inhalt der ersten Nachricht durch das die erste Nachricht empfangende Steuergerät effizient plausibilisiert werden.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann das Verfahren ein Plausibilisieren des bestimmten Systemzustands des Fahrzeugs basierend auf dem Inhalt der ersten Nachricht durch das Steuergerät zum Erkennen der Manipulation der zweiten Nachricht des Bussystems, und ein Bereitstellen einer Alarmnachricht von dem Steuergerät an einen fahrzeugexternen Server, falls der bestimmte Systemzustand nicht plausibel ist. Hiermit kann effizient der Systemzustand durch das Steuergerät plausibilisiert werden.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein computerlesbares Medium zum Erkennen einer Manipulation eines Bussystems durch ein Steuergerät eines Fahrzeugs, wobei das computerlesbare Medium Instruktionen umfasst, die, wenn ausgeführt auf dem Steuergerät, das oben beschriebene Verfahren ausführen.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein System zum Erkennen einer Manipulation eines Bussystems durch ein Steuergerät eines Fahrzeugs, wobei das System dazu ausgebildet ist, das oben beschriebene Verfahren auszuführen.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein Fahrzeug umfassend das oben beschriebene System zum Erkennen einer Manipulation eines Bussystems durch ein Steuergerät des Fahrzeugs.
Weitere Merkmale der Erfindung ergeben sich aus den Ansprüchen, den Figuren und der Figurenbeschreibung. Alle vorstehend in der Beschreibung genannten Merkmale und Merkmalskombinationen sowie die nachfolgend in der Figurenbeschreibung genannten und/oder in den Figuren allein gezeigten Merkmale und Merkmalskombinationen sind nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder aber in Alleinstellung verwendbar.
Im Folgenden wird anhand der beigefügten Zeichnungen ein bevorzugtes Ausführungsbeispiel der Erfindung beschrieben. Daraus ergeben sich weitere Details, bevorzugte Ausgestaltungen und Weiterbildungen der Erfindung. Im Einzelnen zeigen schematisch

1 ein beispielhaftes Verfahren zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät eines Fahrzeugs, und
2 ein beispielhaftes System zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät eines Fahrzeugs.

Im Detail zeigt 1 ein beispielhaftes Verfahren 100 zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät eines Fahrzeugs. Das Steuergerät als Empfänger einer Nachricht kann erkennen, ob die Nachricht vom sendenden Steuergerät oder einem auf dem Bussystem zwischengeschalteten Steuergerät manipuliert wurde.
Das Verfahren 100 kann eine erste Nachricht von einem ersten Steuergerät durch das Steuergerät empfangen 102. Beispielsweise kann die erste Nachricht ein aktuelle Fahrzeuggeschwindigkeit beinhalten. Weiter kann das Verfahren 100 eine zweite Nachricht von einem zweiten Steuergerät durch das Steuergerät empfangen 104. Beispielsweise kann die zweite Nachricht einen Einschaltzustand eines Antriebs des Fahrzeugs, eine Ausgangsdrehzahl eines Getriebes des Fahrzeugs, eine Getriebeübersetzung, und/oder eine Motordrehzahl umfassen.
Das Verfahren 100 kann einen Systemzustand des Fahrzeugs in Abhängigkeit der zweiten Nachricht von dem zweiten Steuergerät durch das Steuergerät bestimmen 106. Beispielsweise kann das Verfahren unter Verwendung des Einschaltzustands des Antriebs des Fahrzeugs, der Ausgangsdrehzahl des Getriebes des Fahrzeugs, der Getriebeübersetzung, und/oder der Motordrehzahl bestimmen, ob das Fahrzeug in dem Systemzustand Fahren, Wohnen, oder Parken ist.
Zusätzlich oder alternativ kann das Verfahren einen Parameter eines in das Steuergerät integrierten Sensors oder eines mit dem Steuergerät direkt verbundenen Sensors abfragen. Ist der Sensor ein GPS-Sensor kann das Steuergerät beispielsweise eine GPS-Geschwindigkeit von dem Sensor abfragen.
Zusätzlich oder alternativ kann das Verfahren einen Referenzwert mittels einer dritten Nachricht von einem dritten Steuergerät empfangen. Der Referenzwert kann eine Fahrzeuggeschwindigkeit des dritten Steuergeräts umfassen.
Das Verfahren 100 kann einen Inhalt der ersten Nachricht unter Verwendung des bestimmten Systemzustands durch das Steuergerät plausibilisieren 108, um die Manipulation der ersten Nachricht zu erkennen. Ist der bestimmte Systemzustand beispielweise Parken und der Inhalt der ersten Nachricht eine Fahrzeuggeschwindigkeit > 0 km/h, kann das Steuergerät eine Manipulation des Inhalts der ersten Nachricht erkennen. Im Systemzustand Parken ist eine Geschwindigkeit > 0 km/h unzulässig.
Schließlich kann das Verfahren 100 eine Alarmnachricht von dem Steuergerät an einen fahrzeugexternen Server bereitstellen 110, falls der Inhalt der ersten Nachricht nicht plausibel ist.
Vorteilhafterweise kann das Verfahren eine funktionale Plausibilisierung des Inhalts einer empfangenen Nachricht vornehmen. Ausgehend von einem Systemzustand, der als vertrauenswürdig angenommen wird, kann das Verfahren prüfen, ob der Inhalt der empfangenen Nachricht in dem bestimmten Systemzustand möglich ist. Ist der Inhalt der empfangenen Nachricht mit dem Systemzustand unzulässig, kann das Steuergerät eine Manipulation erkennen. Um die Zuverlässigkeit und/oder die Sicherheit der Manipulationserkennung weiter zu erhöhen, kann das Verfahren 100 einen Referenzwert und/oder eine Sensorwert zur Plausibilisierung des Inhalts der empfangenen Nachricht verwenden.
Im Detail zeigt 2 ein beispielhaftes System 200 zum Erkennen einer Manipulation einer Nachricht eines Bussystems 202 durch ein Steuergerät 204 eines Fahrzeugs. Das Steuergerät 204 kann eine erste Nachricht 206 von einem ersten Steuergerät 208 empfangen und eine zweite Nachricht 210 von einem zweiten Steuergerät 212 empfangen. Weiter kann das Steuergerät 204 einen Systemzustand 214 des Fahrzeugs in Abhängigkeit der zweiten Nachricht 210 von dem zweiten Steuergerät 212 bestimmen. Das Steuergerät 204 kann eine Plausibilitätsprüfungskomponente 216 umfassen, die einen Inhalte der ersten Nachricht 206 unter Verwendung des bestimmten Systemzustands des Fahrzeugs plausibilisiert, um die Manipulation der ersten Nachricht zu erkennen. Zusätzlich oder alternativ kann die Plausibilitätsprüfungskomponente 216 einen Parameter eines Sensors 218 für das Plausibilisieren des Inhalts der ersten Nachricht 206 verwenden. Falls der Inhalt der ersten Nachricht 206 nicht plausibel ist kann das Steuergerät 204 eine Alarmnachricht 220 an einen fahrzeugexternen Server (nicht in 2 gezeigt) übermitteln.
Bezugszeichenliste

100: Verfahren
102: empfangen einer ersten Nachricht
104: empfangen einer zweiten Nachricht
106: bestimmen eines Systemzustands
108: plausibilisieren eines Inhalts der ersten Nachricht
110: bereitstellen einer Alarmnachricht
200: System
202: Bussystem
204: Steuergerät
206: erste Nachricht
208: ersten Steuergerät
210: zweite Nachricht
212: zweites Steuergerät
214: Systemzustand
216: Plausibilitätsprüfungskomponente
218: Sensor
220: Alarmnachricht

Claims

Verfahren zum Erkennen einer Manipulation einer Nachricht eines Bussystems durch ein Steuergerät eines Fahrzeugs, das Verfahren umfassend: Empfangen einer ersten Nachricht von einem ersten Steuergerät durch das Steuergerät; Empfangen einer zweiten Nachricht von einem zweiten Steuergerät durch das Steuergerät; Bestimmen eines Systemzustands des Fahrzeugs in Abhängigkeit der zweiten Nachricht von dem zweiten Steuergerät durch das Steuergerät; Plausibilisieren eines Inhalts der ersten Nachricht unter Verwendung des bestimmten Systemzustands des Fahrzeugs durch das Steuergerät zum Erkennen der Manipulation der ersten Nachricht; und Bereitstellen einer Alarmnachricht von dem Steuergerät an einen fahrzeugexternen Server, falls der Inhalt der ersten Nachricht nicht plausibel ist.
Verfahren nach Anspruch 1, das Verfahren weiterhin umfassend: Anfragen eines Parameters eines Sensors durch das Steuergerät, wobei der Sensor vorzugsweise in dem Steuergerät integriert oder der Sensor direkt mit dem Steuergerät verbunden ist; Empfangen des Parameters des Sensors durch das Steuergerät des Fahrzeugs; und Plausibilisieren des Inhalts der ersten Nachricht basierend auf dem bestimmten Systemzustand des Fahrzeugs und dem empfangenen Parameter des Sensors des Steuergeräts zum Erkennen der Manipulation der ersten Nachricht.
Verfahren nach einem der vorhergehenden Ansprüche, das Verfahren weiterhin umfassend: Empfangen einer dritten Nachricht von einem dritten Steuergerät durch das Steuergerät; Bestimmen eines Referenzwerts in Abhängigkeit der dritten Nachricht des dritten Steuergeräts durch das Steuergerät; und Plausibilisieren des Inhalts der ersten Nachricht basierend auf dem bestimmten Systemzustand des Fahrzeugs und dem bestimmten Referenzwert durch das Steuergerät zum Erkennen der Manipulation der ersten Nachricht.
Verfahren nach einem der vorhergehenden Ansprüche, das Verfahren weiterhin umfassend: Plausibilisieren des Inhalts der ersten Nachricht basierend auf dem bestimmten Systemzustand des Fahrzeugs, dem empfangenen Parameter des Sensors, und dem bestimmten Referenzwert durch das Steuergerät zum Erkennen der Manipulation der ersten Nachricht.
Verfahren nach einem der vorhergehenden Ansprüche, das Verfahren weiterhin umfassend: Plausibilisieren des bestimmten Systemzustands des Fahrzeugs basierend auf dem Inhalt der ersten Nachricht durch das Steuergerät zum Erkennen der Manipulation der zweiten Nachricht des Bussystems; und Bereitstellen einer Alarmnachricht von dem Steuergerät an einen fahrzeugexternen Server, falls der bestimmte Systemzustand nicht plausibel ist.
Computerlesbares Medium zum Erkennen einer Manipulation eines Bussystems durch ein Steuergerät eines Fahrzeugs, wobei das computerlesbare Medium Instruktionen umfasst, die, wenn ausgeführt auf dem Steuergerät, das Verfahren nach einem der Ansprüche 1 bis 5 ausführen.
System zum Erkennen einer Manipulation eines Bussystems durch ein Steuergerät eines Fahrzeugs, wobei das System dazu ausgebildet ist, das Verfahren nach einem der Ansprüche 1 bis 5 auszuführen.
Fahrzeug umfassend ein System zum Erkennen einer Manipulation eines Bussystems durch ein Steuergerät des Fahrzeugs nach Anspruch 7.