DE102021112331A1

DE102021112331A1 - Verfahren zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs, computerlesbares Medium, System, und Fahrzeug

Info

Publication number: DE102021112331A1
Application number: DE102021112331.3A
Authority: DE
Inventors: Michael Weiner; Peter Winklhofer; Robert Meinlschmidt; Theresa Reiner; Markus Anton
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2021-05-11
Filing date: 2021-05-11
Publication date: 2022-11-17
Also published as: WO2022238024A1; US20240113912A1; CN116982291A

Abstract

Die Erfindung betrifft ein Verfahren zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs, das Verfahren umfassend: Senden einer ersten Nachricht über das Bussystem durch eine Sendeeinheit eines ersten Steuergeräts des Fahrzeugs; Empfangen der ersten Nachricht über das Bussystem durch eine Empfangseinheit oder eine Sende-/Empfangseinheit des zweiten Steuergeräts des Fahrzeugs; Bestimmen eines Nachrichtentyps der empfangenen, ersten Nachricht durch das zweite Steuergerät; Ermitteln einer Referenznachricht durch das zweite Steuergerät des Fahrzeugs, wobei die Referenznachricht einen Nachrichtentyp aufweist, der dem bestimmten Nachrichtentyp der ersten Nachricht entspricht; Ermitteln einer Abweichung der ersten Nachricht von der Referenznachricht; und falls die erste Nachricht von der Referenznachricht abweicht: Erkennen des ersten Steuergeräts als das manipulierte Steuergerät durch das zweite Steuergerät; und Bereitstellen einer Alarmnachricht von dem weiteren Steuergerät an einen fahrzeugexternen Server.

Description

Die Erfindung betrifft ein Verfahren zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs. Die Erfindung betrifft ferner ein computerlesbares Medium zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs, ein System zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs, sowie ein Fahrzeug umfassend das System zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs.
Steuergeräte von Fahrzeugen sind über Bussysteme miteinander verbunden. Über ein Bussystem können die Steuergeräte Nachrichten zur Steuerung von Funktionen des Fahrzeugs austauschen. Wenn ein Steuergerät unberechtigt Nachrichten auf einem Bussystem sendet, kann eine Funktion eines anderen Steuergeräts unberechtigt beeinflusst werden. Ein Überprüfen einer Legitimität eines Absenders von Busnachrichten findet aktuell nicht statt.
Es ist daher eine Aufgabe der Erfindung, ein manipuliertes Steuergerät auf einem Bussystem eines Fahrzeugs effizient zu erkennen. Insbesondere ist eine Aufgabe der Erfindung, einen manipulierten Sender einer Nachricht auf einem Bussystem durch ein weiteres Steuergerät des Bussystems des Fahrzeugs effizient zu erkennen.
Gelöst wird diese Aufgabe durch die Merkmale der unabhängigen Ansprüche. Vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung ergeben sich aus den abhängigen Ansprüchen.
Gemäß einem ersten Aspekt zeichnet sich die Erfindung aus durch ein Verfahren zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs. Der Verfahren kann ein computerimplementiertes Verfahren und/oder ein steuergeräteimplementiertes Verfahren sein.
Das Bussystem kann ein CAN-Bus sein. Das Fahrzeug kann ein Kraftfahrzeug sein. Das Verfahren umfasst ein Senden einer ersten Nachricht über das Bussystem durch eine Sendeeinheit eines ersten Steuergeräts des Fahrzeugs, ein Empfangen der ersten Nachricht über das Bussystem durch eine Empfangseinheit oder eine Sende-/Empfangseinheit des zweiten Steuergeräts des Fahrzeugs. Das Verfahren umfasst weiter ein Bestimmen eines Nachrichtentyps der empfangenen, ersten Nachricht durch das zweite Steuergerät und ein Ermitteln einer Referenznachricht durch das zweite Steuergerät des Fahrzeugs, wobei die Referenznachricht einen Nachrichtentyp aufweist, der dem bestimmten Nachrichtentyp der ersten Nachricht entspricht. Weiterhin umfasst das Verfahren ein Ermitteln einer Abweichung der ersten Nachricht von der Referenznachricht. Falls die erste Nachricht von der Referenznachricht abweicht, erkennt das Verfahren das erste Steuergerät als das manipulierte Steuergerät durch das zweite Steuergerät, und stellt eine Alarmnachricht von dem zweiten Steuergerät an einen fahrzeugexternen Server bereit.
Vorteilhafterweise kann das Verfahren effizient ein manipuliertes Steuergerät erkennen. Nachrichten des Bussystems werden durch das zweite Steuergerät empfangen und mit einer Referenznachricht des zweiten Steuergeräts verglichen, um festzustellen, ob das erste Steuergerät ein berechtigter Sender der empfangenen Nachricht ist. Ist das erste Steuergerät ein unberechtigter bzw. manipulierter Sender einer Nachricht auf dem Bussystem kann der berechtigte Sender der Nachricht, das zweite Steuergerät, mittels der Referenznachricht den unberechtigten bzw. manipulierten Sender effizient erkennen. Manipulationen von Steuergeräten des Fahrzeugs können somit schnell erkannt und an einen fahrzeugexternen Server gemeldet werden.
Gemäß einer vorteilhaften Ausgestaltung der Erfindung kann die Referenznachricht die letzte, erfolgreich gesendete Nachricht des zweiten Steuergeräts sein, die den Nachrichtentyp der empfangenen ersten Nachricht aufweist. Hiermit kann die Referenznachricht effizient ermittelt werden.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann die Referenznachricht eine Nachricht sein, für die das zweite Steuergerät die einzige, vertrauenswürdige Nachrichtenquelle auf dem Bussystem ist. Hiermit kann das zweite Steuergerät effizient ein manipuliertes Steuergerät erkennen.
Gemäß einer weiteren vorteilhaften Ausgestaltung der Erfindung kann die Referenznachricht vor dem Empfangen der ersten Nachricht von dem zweiten Steuergerät über das Bussystem gesendet und die Referenznachricht nach einem erfolgreichen Senden der Referenznachricht auf dem zweiten Steuergerät gespeichert sein. Hiermit kann das zweite Steuergerät effizient die Referenznachricht ermitteln.
Gemäß einer weiteren, vorteilhaften Ausgestaltung kann das Verfahren weiterhin ein Verwerfen der ersten Nachricht durch das zweite Steuergerät umfassen, falls die erste Nachricht der Referenznachricht entspricht. Hiermit kann das zweite Steuergerät eigene gesendete und über das Bussystem empfangene Nachrichten filtern.
Gemäß einer weiteren, vorteilhaften Ausgestaltung kann das zweite Steuergerät ein Gateway-Steuergerät des Bussystems sein. Hiermit kann das zweite Steuergerät eine Vielzahl von Nachrichten weiterer Steuergeräte des Bussystems effizient überwachen und manipulierte Steuergerät schnell erkennen.
Gemäß einer weiteren, vorteilhaften Ausgestaltung kann das Bussystem ein CAN-Bus sein.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein computerlesbares Medium zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs, wobei das computerlesbare Medium Instruktionen umfasst, die, wenn ausgeführt aus einem Steuergerät eines Fahrzeugs, das oben beschriebene Verfahren ausführen.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein System zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs, wobei das System dazu ausgebildet ist, das oben beschriebene Verfahren auszuführen.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein Fahrzeug umfassend das oben beschriebene System zum Erkennen eines manipulierten Steuergeräts eines Bussystems des Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs.
Weitere Merkmale der Erfindung ergeben sich aus den Ansprüchen, den Figuren und der Figurenbeschreibung. Alle vorstehend in der Beschreibung genannten Merkmale und Merkmalskombinationen sowie die nachfolgend in der Figurenbeschreibung genannten und/oder in den Figuren allein gezeigten Merkmale und Merkmalskombinationen sind nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder aber in Alleinstellung verwendbar.
Im Folgenden wird anhand der beigefügten Zeichnungen ein bevorzugtes Ausführungsbeispiel der Erfindung beschrieben. Daraus ergeben sich weitere Details, bevorzugte Ausgestaltungen und Weiterbildungen der Erfindung, Im Einzelnen zeigen schematisch

1 ein beispielhaftes Verfahren zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs, und
2 ein beispielhaftes System zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs.

Im Detail zeigt 1 ein beispielhaftes Verfahren 100 zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs. In dem Bussystem des Fahrzeugs gibt es vorzugsweise nur ein einziges Steuergerät, im Folgenden als das zweite Steuergerät bezeichnet, das ein berechtigter Sender einer Nachricht, im Folgenden auch als Referenznachricht genannt, auf dem Bussystem sein kann.
Das Verfahren 100 kann eine erste Nachricht über das Bussystem durch eine Sendeeinheit eines ersten Steuergeräts des Fahrzeugs senden 102. Das erste Steuergerät kann ein manipuliertes Steuergerät sein. Die erste Nachricht kann beispielsweise ein Signal zur Anpassung einer Geschwindigkeitsbegrenzung des Fahrzeugs auf einen nicht von einem Hersteller des Fahrzeugs autorisierten Wert umfassen.
Das Verfahren 100 kann die erste Nachricht über das Bussystem durch eine Empfangseinheit oder eine Sende-/Empfangseinheit des zweiten Steuergeräts des Fahrzeugs empfangen 104. Weiter kann das Verfahren 100 einen Nachrichtentyps der empfangenen, ersten Nachricht durch das zweite Steuergerät ermitteln 106. Der Nachrichtentyp kann beispielsweise Anpassen der Geschwindigkeitsbegrenzung des Fahrzeugs sein.
Das Verfahren 100 kann eine Referenznachricht durch das zweite Steuergerät des Fahrzeugs ermitteln 108, wobei die Referenznachricht einen Nachrichtentyp aufweist, der dem bestimmten Nachrichtentyp der ersten Nachricht entspricht. Die Referenznachricht kann eine letzte, erfolgreich gesendete Nachricht des zweiten Steuergeräts sein, die den Nachrichtentyp der empfangenen ersten Nachricht aufweist. Zusätzlich oder alternativ kann die Referenznachricht eine Nachricht sein, für die das zweite Steuergerät die einzige, vertrauenswürdige Nachrichtenquelle auf dem Bussystem ist. Zusätzlich oder alternativ kann die Referenznachricht vor dem Empfangen der ersten Nachricht von dem zweiten Steuergerät über das Bussystem gesendet und die Referenznachricht nach einem erfolgreichen Senden der Referenznachricht auf dem zweiten Steuergerät gespeichert sein. Ist beispielsweise der Nachrichtentyp Anpassen der Geschwindigkeitsbegrenzung des Fahrzeugs, kann das zweite Steuergerät die dazugehörige Referenznachricht anhand des Nachrichtentyps ermitteln. Beispielsweise kann das zweite Steuergerät bei einer erstmaligen Konfiguration des zweiten Steuergeräts eine Nachricht mit dem Nachrichtentyp Anpassen der Geschwindigkeitsbegrenzung des Fahrzeugs senden, um die Geschwindigkeitsbegrenzung des Fahrzeugs an einem vom dem Hersteller des Fahrzeugs vorgegebenen Wert zu setzen. Nach dem erfolgreichen Senden der Nachricht mit dem Nachrichtentyp Anpassen der Geschwindigkeitsbegrenzung des Fahrzeugs kann das zweite Steuergerät diese Nachricht speichern. Die gespeicherte Nachricht dient schließlich als Referenznachricht, um ein manipuliertes Steuergerät zu erkennen, das versucht eine unberechtigte Nachricht mit dem Nachrichtentyp Anpassen der Geschwindigkeitsbegrenzung des Fahrzeugs auf dem Bussystem zu senden.
Das Verfahren 100 kann eine Abweichung der ersten Nachricht von der Referenznachricht ermitteln 110. Beispielsweise kann das Verfahren den Wert der Geschwindigkeitsbegrenzung der ersten Nachricht mit dem Wert der Geschwindigkeitsbegrenzung der Referenznachricht vergleichen, um eine Abweichung zu ermitteln. Falls die erste Nachricht von der Referenznachricht abweicht kann das Verfahren 100 das erste Steuergerät als das manipulierte Steuergerät durch das zweite Steuergerät erkennen 112, und eine Alarmnachricht von dem zweiten Steuergerät an einen fahrzeugexternen Server bereitstellen 114.
Im Detail zeigt 2 ein beispielhaftes System 200 zum Erkennen eines manipulierten Steuergeräts 202 eines Bussystems 204 eines Fahrzeugs durch ein zweites Steuergerät 206. Ein erstes bzw. ein manipulierte Steuergerät 202 kann eine erste Nachricht 208 eines ersten Nachrichtentyps über das Bussystem 204 durch eine Sendeeinheit des ersten Steuergeräts 202 des Fahrzeugs senden. Das zweite Steuergerät 206 kann die erste Nachricht 208 mit dem ersten Nachrichtentyp über das Bussystem 204 durch eine Empfangseinheit oder eine Sende-/Empfangseinheit des zweiten Steuergeräts 206 des Fahrzeugs empfangen. Vorzugsweise kann die Empfangseinheit 210 oder die Sende-/Empfangseinheit des zweiten Steuergeräts eine Komponente 210 zum Erkennen eines manipulierten Steuergeräts umfassen. Das zweite Steuergerät 206, insbesondere die Komponente 210 des zweiten Steuergeräts 206, kann einen Nachrichtentyp der empfangenen, ersten Nachricht 208 bestimmen. Das zweite Steuergerät 206, insbesondere die Komponente 210 des zweiten Steuergeräts 206, kann eine Referenznachricht ermitteln, wobei die Referenznachricht einen Nachrichtentyp aufweist, der dem bestimmten Nachrichtentyp der ersten Nachricht entspricht. Beispielsweise kann die Komponente 210 die Referenznachricht von einem Speicher 212 abfragen, der die letzte erfolgreiche gesendete Nachricht 214 mit dem gleichen Nachrichtentyp gespeichert hat. Das zweite Steuergerät 206, insbesondere die Komponente 210 des zweiten Steuergeräts 206, kann eine Abweichung der ersten Nachricht von der Referenznachricht ermitteln, und, falls die erste Nachricht von der Referenznachricht abweicht, das erste Steuergerät als das manipulierte Steuergerät erkennen, und eine Alarmnachricht 216 an einen fahrzeugexternen Server bereitstellen.
Vorteilhafterweise kann das zweite Steuergerät als berechtigter Sender einer Nachricht das Bussystem nach unberechtigten Nachrichten manipulierter Steuergeräte überwachen. Für eine Nachricht, für die es nur einen berechtigten Sender auf dem Bussystem gibt, kann der Sender, beispielsweise das zweite Steuergerät, durch Erkennen einer unberechtigten Nachricht eines manipulierten Steuergeräts einen Alarm auslösen, wenn der berechtigte Sender diese nicht selbst gesendet hat. Somit kann ein manipuliertes Steuergerät effizient erkannt und gemeldet werden.
Bezugszeichenliste

100: Verfahren
102: senden einer ersten Nachricht durch ein erstes Steuergerät
104: empfangen einer ersten Nachricht durch ein zweites Steuergerät
106: bestimmen eines Nachrichtentyps
108: ermitteln einer Referenznachricht
110: ermitteln einer Abweichung der Referenznachricht von der ersten Nachricht
112: erkennen des ersten Steuergeräts als das manipulierte Steuergerät
114: bereitstellen einer Alarmnachricht
200: System
202: erstes Steuergerät / manipuliertes Steuergerät
204: Bussystem
206: zweites Steuergerät
208: erste Nachricht
210: Komponente zum Erkennen eines manipulierten Steuergeräts
212: Speicher
214: Referenznachricht
216: Alarmnachricht

Claims

Verfahren zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs, das Verfahren umfassend: Senden einer ersten Nachricht über das Bussystem durch eine Sendeeinheit eines ersten Steuergeräts des Fahrzeugs; Empfangen der ersten Nachricht über das Bussystem durch eine Empfangseinheit oder eine Sende-/Empfangseinheit des zweiten Steuergeräts des Fahrzeugs; Bestimmen eines Nachrichtentyps der empfangenen, ersten Nachricht durch das zweite Steuergerät; Ermitteln einer Referenznachricht durch das zweite Steuergerät des Fahrzeugs, wobei die Referenznachricht einen Nachrichtentyp aufweist, der dem bestimmten Nachrichtentyp der ersten Nachricht entspricht; Ermitteln einer Abweichung der ersten Nachricht von der Referenznachricht; und Falls die erste Nachricht von der Referenznachricht abweicht: Erkennen des ersten Steuergeräts als das manipulierte Steuergerät durch das zweite Steuergerät; und Bereitstellen einer Alarmnachricht von dem zweiten Steuergerät an einen fahrzeugexternen Server.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Referenznachricht die letzte, erfolgreich gesendete Nachricht des zweiten Steuergeräts ist, die den Nachrichtentyp der empfangenen ersten Nachricht aufweist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Referenznachricht eine Nachricht ist, für die das zweite Steuergerät die einzige, vertrauenswürdige Nachrichtenquelle auf dem Bussystem ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Referenznachricht vor dem Empfangen der ersten Nachricht von dem zweiten Steuergerät über das Bussystem gesendet und die Referenznachricht nach einem erfolgreichen Senden der Referenznachricht auf dem zweiten Steuergerät gespeichert ist.
Verfahren nach einem der vorhergehenden Ansprüche, das Verfahren weiterhin umfassend: Falls die erste Nachricht der Referenznachricht entspricht: Verwerfen der ersten Nachricht durch das zweite Steuergerät.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das zweite Steuergerät ein Gateway-Steuergerät des Bussystems ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Bussystem ein CAN-Bus ist.
Computerlesbares Medium zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs, wobei das computerlesbare Medium Instruktionen umfasst, die, wenn ausgeführt aus einem Steuergerät eines Fahrzeugs, das Verfahren nach einem der Ansprüche 1 bis 7 ausführen.
System zum Erkennen eines manipulierten Steuergeräts eines Bussystems eines Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs, wobei das System dazu ausgebildet ist, das Verfahren nach einem Ansprüche 1 bis 7 auszuführen.
Fahrzeug umfassend das System zum Erkennen eines manipulierten Steuergeräts eines Bussystems des Fahrzeugs durch ein zweites Steuergerät des Bussystems des Fahrzeugs nach Anspruch 9.