DE102023004446A1

DE102023004446A1 - Reaktion auf Cyberattacken auf ein elektrisches Fahrzeug

Info

Publication number: DE102023004446A1
Application number: DE102023004446.6A
Authority: DE
Inventors: Marc Scheerle; Monith Biswojyothi; Preet Bhagat
Original assignee: Mercedes Benz Group AG
Current assignee: Mercedes Benz Group AG
Priority date: 2023-11-04
Filing date: 2023-11-04
Publication date: 2024-02-29

Abstract

Die Erfindung betrifft ein Verfahren zum Erhöhen der Cybersicherheit bei elektrischen Ladevorgängen von batterieelektrischen Fahrzeugen (1) an öffentlich zugänglichen Ladestationen (3), aufweisend die Schritte: Prüfen auf Vorliegen einer Cyberattacke bei einem Ladevorgang eines batterieelektrischen Fahrzeugs (1) durch Prüfen, ob Software einer Steuereinheit (5) des batterieelektrischen Fahrzeugs (1) kompromittiert ist; und im Falle einer detektierten Cyberattacke: Ausgeben einer Warnung an Fahrzeuge (1) einer Fahrzeugflotte mit einer Information über die für die Cyberattacke benutzte Ladestation (3) oder die Ladesäule der Ladestation (3).

Description

Die Erfindung betrifft ein Verfahren zum Erhöhen der Cybersicherheit bei elektrischen Ladevorgängen von batterieelektrischen Fahrzeugen insbesondere an öffentlich zugänglichen Ladestationen.
Elektrische Fahrzeuge mit Batterien, die für den Betrieb im regulären Straßenverkehr vorgesehen sind, werden typischerweise an dafür ausgebildeten Ladestationen aufgeladen. Eine solche Ladestation weist ein Ladegerät auf, welches über die bloße Bereitstellung elektrischer Spannung hinausgehende Funktionen aufweist, und zu diesem Zweck mit einer Steuereinheit im elektrischen Fahrzeug kommuniziert. Dies wiederum bedeutet, dass ein Datentransfer zwischen zwei Kommunikationspartnern erfolgt, auf welchen beiden digital Algorithmen, d. h. in Software implementierte Algorithmen, ausgeführt werden.
Mit der Einführung der digitalen Kommunikation zwischen Ladestation und Batteriemanagement des elektrischen Fahrzeugs entsteht jedoch auch ein neuer potentieller Angriffsvektor für Cyberattacken. Während des Ladevorgangs des elektrischen Fahrzeugs ist zumindest datentechnisch eine Verbindung zwischen der Ladestation und dem elektrischen Fahrzeug hergestellt. Die Software der Steuereinheit des elektrischen Fahrzeugs weist demnach eine extern zugängliche Schnittstelle auf, die von der Ladestation aus prinzipiell ansprechbar und damit angreifbar ist. Besonders können sich Einfallstore für Angreifer ergeben, wenn Sicherheitslücken im Design, insbesondere der Software, auftreten, die vom Entwickler zur Zeit der Entwicklung nicht vorhersehbar waren, ein Angreifer jedoch über Kenntnis über solche Sicherheitslücken verfügt.
Im Stand der Technik ist es bekannt, eine Cybersicherheitsbedrohungsstufe an Ladestationen zu ermitteln und entsprechend zu reagieren:
Die EP 3 657 627 A1 betrifft hierzu eine Vorrichtung, umfassend Schaltkreise, die dazu ausgeführt sind, eine Cybersicherheitsbedrohungsstufe für eine Ladestation zu bestimmen, an der sich ein Ladegerät für ein Elektrofahrzeug befindet; und in Abhängigkeit von der ermittelten Cybersicherheitsbedrohungsstufe eine Reaktions-Handlung durchführen, um die Ladestation vor einer Cybersicherheitsbedrohung zu schützen.
Aufgabe der Erfindung ist es, nicht nur ein Laden des elektrischen Fahrzeugs, verbunden mit einer Ladestation, vor Cyberangriffen zu schützen, sondern auch eine Flotte von später potenziell betroffenen Fahrzeugen zu schützen.
Die Erfindung ergibt sich aus den Merkmalen der unabhängigen Ansprüche. Vorteilhafte Weiterbildungen und Ausgestaltungen sind Gegenstand der abhängigen Ansprüche.
Ein erster Aspekt der Erfindung betrifft ein Verfahren zum Erhöhen der Cybersicherheit bei elektrischen Ladevorgängen von batterieelektrischen Fahrzeugen an insbesondere öffentlich zugänglichen Ladestationen, aufweisend die Schritte:

- Prüfen auf Vorliegen einer Cyberattacke bei einem Ladevorgang eines batterieelektrischen Fahrzeugs durch Prüfen, ob Software einer Steuereinheit des batterieelektrischen Fahrzeugs nach dem Ladevorgang kompromittiert ist;
- im Falle einer detektierten Cyberattacke: Ausgeben einer Warnung an Fahrzeuge einer Fahrzeugflotte mit einer Information über die für die Cyberattacke benutzte Ladestation oder die Ladesäule der Ladestation.

Im Falle einer detektierten Cyberattacke wird bevorzugt auch eine Information an den Betreiber der Ladestation darüber übermittelt.
Während das Fahrzeug mit einer Ladesäule der Ladestation verbunden ist, wird nicht nur elektrische Leistung von der Ladestation an das Fahrzeug übertragen, das Fahrzeug und die Ladestation kommunizieren auch miteinander datentechnisch. Damit besteht ein Zugang zur Software, insbesondere Firmware einer ECU (Abkürzung für „electronic control unit“) von außerhalb, nämlich über die Ladesäule.
Dieser Software-Zugang kann potentiell von einem Angreifer missbraucht werden, um Schadsoftware auf die ECU des Fahrzeugs zu überspielen. Dabei muss der Angreifer nicht notwendigerweise manuell vorgehen, sondern auch entsprechende Skripte und andere Programme erzeugen, die selbstständig bei einer Verbindung zwischen der Ladestation und dem Fahrzeug schädlichen Code ausführen, um die Firmware der ECU zu überschreiben, um beispielsweise eine Backdoor in dieser zu installieren oder eine Schnittstelle für externe Kontrolle oder Spionage vorzusehen.
Die Detektion einer Cyberattacke kann auf mehrere im Stand der Technik bekannte Weisen durchgeführt werden. Beispielsweise kann eine Prüfsumme des Binärcodes für die ECU berechnet werden, und mit einer externen Vorgabe auf Abweichungen verglichen werden. Beim geringsten Unterschied zwischen dem tatsächlichen Binärcode und dem nominalen, vorgesehenen Binärcode werden gänzlich andere Prüfsummen erhalten, beispielsweise wie bei der Verwendung von Hash- Algorithmen wie MD5, SHA-1, SHA-256 oder SHA-512.
Nach der Feststellung einer solchen Cyberattacke auf ein Fahrzeug wird erfindungsgemäß vorgesehen, andere Fahrzeuge vor der für die Cyberattacke verwendeten Ladesäule oder der ganzen Ladestation mit mehreren Ladesäulen zu warnen. Damit werden weitere Infektionen von Fahrzeug-ECUs vermieden.
Gemäß einer vorteilhaften Ausführungsform wird die Software derjenigen Steuereinheit des Fahrzeugs geprüft, ob sie kompromittiert ist, welche mit der Ladestation oder der Ladesäule der Ladestation datentechnisch beim Ladevorgang kommuniziert.
In einem Fahrzeug können mehrere ECUs verbaut sein, die ihre individuellen Aufgaben erfüllen sollen. Eine dieser ECUs kann für das Batteriemanagement und/oder für die Kommunikation mit einer Ladesäule zuständig sein. Damit ist genau diese ECU besonders anfällig für Schadsoftware, da sie unmittelbar durch eine entsprechende Schnittstelle mit der Ladesäule verbunden wird. Wird daher die Integrität dieser ECU als erstes geprüft, besteht eine hohe Wahrscheinlichkeit, eine Cyberattacke auf das Fahrzeug detektieren zu können.
Gemäß einer weiteren vorteilhaften Ausführungsform ist die Information über die Ladestation oder Ladesäule der Ladestation, die für die Cyberattacke verwendet wird, eine Markierung der Ladestation oder der Ladesäule der Ladestation auf einer jeweiligen digitalen Karte auf einer jeweiligen Anzeigeeinheit weiterer Fahrzeuge der Fahrzeugflotte.
Gemäß einer weiteren vorteilhaften Ausführungsform erfolgt das Prüfen der Software der Steuereinheit, ob diese kompromittiert ist, durch ein kryptographisches Verfahren.
Gemäß einer weiteren vorteilhaften Ausführungsform erfolgt das Prüfen der Software der Steuereinheit, ob diese kompromittiert ist, durch Vergleich eines aktuell berechneten Hash-Werts der Software der Steuereinheit im aktuellen Zustand mit einem vorgegebenen Hash-Wert.
Der Hash-Wert ist ein Wert, welcher aus Eingangsdaten beliebiger Länge, wie dem Binärcode der Firmware der ECU des Fahrzeugs, eine Zeichenfolge festgelegter Länge erzeugt. Nach dem Avalanche Effekt reicht dabei die kleinste Änderung in den Eingangsdaten aus, um eine vollkommen veränderte Zeichenfolge als Hash zu erhalten. Verglichen wird der berechnete Hash der aktuellen Firmware der ECU mit einem Referenz-Hash, der vorteilhaft von außerhalb von einem zentralen Server bereitgestellt wird, um die jeweils aktuelle Softwareversion im Referenz-Hash zu berücksichtigen.
Gemäß einer weiteren vorteilhaften Ausführungsform wird der vorgegebene Hash-Wert jeweils aktuell von einer zentralen Datenquelle bereitgestellt.
Gemäß einer weiteren vorteilhaften Ausführungsform wird im Falle einer detektierten Cyberattacke ein aktuell gültiges Software-Zertifikat der für die Cyberattacke benutzten Ladestation oder der Ladesäule der Ladestation zurückgezogen.
Gemäß einer weiteren vorteilhaften Ausführungsform wird in der Software der Steuereinheit des batterieelektrischen Fahrzeugs ein Prüfmechanismus angewendet, der eine datentechnische Verbindung mit der Ladestation oder der Ladesäule der Ladestation nur bei gültigem Software-Zertifikat zulässt.
Gemäß einer weiteren vorteilhaften Ausführungsform erfolgt das Prüfen der Software der Steuereinheit, ob diese kompromittiert ist, nach jedem einzelnen Ladevorgang an einer Ladestation oder Ladesäule der Ladestation durch das batterieelektrische Fahrzeug.
Gemäß einer weiteren vorteilhaften Ausführungsform wird an der der Cyberattacke zugeordneten Ladestation oder Ladesäule der Ladestation eine Information ausgegeben, dass die Ladestation oder Ladesäule der Ladestation potentiell Schadsoftware verteilt.
Gemäß einer weiteren vorteilhaften Ausführungsform wird im Falle einer detektierten Cyberattacke die Ladestation oder die einzelne Ladesäule der Ladestation, die bei dem Cyberangriff verwendet wird, deaktiviert.
Weitere Vorteile, Merkmale und Einzelheiten ergeben sich aus der nachfolgenden Beschreibung, in der - gegebenenfalls unter Bezug auf die Zeichnung - zumindest ein Ausführungsbeispiel im Einzelnen beschrieben ist. Gleiche, ähnliche und/oder funktionsgleiche Teile sind mit gleichen Bezugszeichen versehen.
Es zeigen:

1: Eine Situation einer Erkennung eines Cyberangriffs mit einer Reaktion gemäß einem Ausführungsbeispiel der Erfindung.
2: Eine Anzeigeeinheit eines Navigationssystems eines gewarnten weiteren Fahrzeugs gemäß einem Ausführungsbeispiel der Erfindung.

1 zeigt eine Situation, in der ein Fahrzeug 1 von einer Ladestation 3 elektrische Energie bezieht. Beim so durchgeführten Aufladen einer Batterie des Fahrzeugs 1 steht die Ladestation 3 mit dem Fahrzeug 1 auch in datentechnischer Verbindung zu einer Steuereinheit 5 des Fahrzeugs 1. Dabei sind grundlegende Sicherheitsmechanismen implementiert, beispielsweise ein digitales Zertifikat einer Certificate Authority (abgekürzt „CA“), um die Authentizität einer für das Fahrzeug 1 zugelassenen Ladesäule der Ladestation 3 sicherzustellen. Nach jedem Ladevorgang der Batterie des Fahrzeugs 1 wird eine Integrität der Firmware einer mit einer jeweiligen Ladestation 3 zu verbindenden Steuereinheit 5, ausgebildet als ECU des Fahrzeugs 1, dadurch geprüft, dass ein Hash-Wert der aktuellen Firmware der ECU des Fahrzeugs 1 berechnet wird, und mit einem zur Softwareversion der Firmware zugehörigen Hash-Wert, der von einem Server zur Verfügung gestellt wird, verglichen. Bei Abweichungen der Hash-Werte liegt bei korrektem Hash-Wert des Servers ein Problem mit der Firmware der ECU vor. Dieses Problem kann durch einen Cyberangriff verursacht sein, welcher über die Ladesäule der Ladestation 3 als Schnittstelle ausgeführt wurde. Wird daher davon ausgegangen, dass die Ladesäule oder die vollständige Ladestation 3 kompromittiert ist und schadhafte Software auf Fahrzeuge 1 überträgt, so wird dies an eine Zentrale gemeldet, welche wiederum durch Erfassung der entsprechenden Ladesäule bzw. vollständigen Ladestation 3 als möglicherweise Schadsoftware verbreitend Informationen an eine Vielzahl von Fahrzeugen 1 einer ganzen Flotte ausgibt, sodass es für diese weiteren Fahrzeuge 1 möglich ist, die betroffene Ladesäule bzw. die betroffene Ladestation 3 zu umgehen und nicht zu benutzen. Beispielsweise wird zudem ein digitales Zertifikat der Ladestation 3 widerrufen, um eine Datenübertragung zwischen der Ladesäule der Ladestation 3 und einem Fahrzeug 1 von vornherein zu verhindern. Außerdem können in Anzeigeeinheiten 7 von Fahrzeugen 1 einer Flotte auf einer digitalen Karte von der Zentrale als schadhaft markierte Ladesäulen oder Ladestationen 3 angezeigt werden, vergleiche 2.
2 zeigt eine solche mögliche Anzeigeeinheit 7 in einem beliebigen Fahrzeug 1 einer Fahrzeugflotte, deren Fahrzeuge 1 vor der schadhaften Ladesäule bzw. der Ladestation 3 gewarnt werden. Hierauf ist eine digitale Karte mit perspektivischer Ansicht gezeigt, welche eine alternative Ladestation 3 zur Anfahrt durch das jeweilige Fahrzeug 1 vorschlägt, um dessen Batterie mit elektrischer Leistung zu versorgen.
Obwohl die Erfindung im Detail durch bevorzugte Ausführungsbeispiele näher illustriert und erläutert wurde, ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen. Es ist daher klar, dass eine Vielzahl von Variationsmöglichkeiten existiert. Es ist ebenfalls klar, dass beispielhaft genannte Ausführungsformen wirklich nur Beispiele darstellen, die nicht in irgendeiner Weise als Begrenzung etwa des Schutzbereichs, der Anwendungsmöglichkeiten oder der Konfiguration der Erfindung aufzufassen sind. Vielmehr versetzen die vorhergehende Beschreibung und die Figurenbeschreibung den Fachmann in die Lage, die beispielhaften Ausführungsformen konkret umzusetzen, wobei der Fachmann in Kenntnis des offenbarten Erfindungsgedankens vielfältige Änderungen, beispielsweise hinsichtlich der Funktion oder der Anordnung einzelner, in einer beispielhaften Ausführungsform genannter Elemente, vornehmen kann, ohne den Schutzbereich zu verlassen, der durch die Ansprüche und deren rechtliche Entsprechungen, wie etwa weitergehende Erläuterungen in der Beschreibung, definiert wird.
Bezugszeichenliste

1: batterieelektrisches Fahrzeug
3: Ladestation
5: Steuereinheit des Fahrzeugs
7: Anzeigeeinheit

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

EP 3657627 A1 [0005]

Claims

Verfahren zum Erhöhen der Cybersicherheit bei elektrischen Ladevorgängen von batterieelektrischen Fahrzeugen (1) insbesondere an öffentlich zugänglichen Ladestationen (3), aufweisend die Schritte: - Prüfen auf Vorliegen einer Cyberattacke bei einem Ladevorgang eines batterieelektrischen Fahrzeugs (1) durch Prüfen, ob Software einer Steuereinheit (5) des batterieelektrischen Fahrzeugs (1) kompromittiert ist; - im Falle einer detektierten Cyberattacke: Ausgeben einer Warnung an Fahrzeuge (1) einer Fahrzeugflotte mit einer Information über die für die Cyberattacke benutzte Ladestation (3) oder die Ladesäule der Ladestation (3).
Verfahren nach Anspruch 1, wobei die Software derjenigen Steuereinheit (5) des Fahrzeugs (1) geprüft wird, ob sie kompromittiert ist, welche mit der Ladestation (3) oder der Ladesäule der Ladestation (3) datentechnisch beim Ladevorgang kommuniziert.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Information über die Ladestation (3) oder Ladesäule der Ladestation (3), die für die Cyberattacke verwendet wird, eine Markierung der Ladestation (3) oder der Ladesäule der Ladestation (3) auf einer jeweiligen digitalen Karte auf einer jeweiligen Anzeigeeinheit (7) weiterer Fahrzeuge (1) der Fahrzeugflotte ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Prüfen der Software der Steuereinheit (5), ob diese kompromittiert ist, durch ein kryptographisches Verfahren erfolgt.
Verfahren nach Anspruch 4, wobei das Prüfen der Software der Steuereinheit (5), ob diese kompromittiert ist, durch Vergleich eines aktuell berechneten Hash-Werts der Software der Steuereinheit (5) im aktuellen Zustand mit einem vorgegebenen Hash-Wert erfolgt, wobei der vorgegebene Hash-Wert jeweils aktuell von einer zentralen Datenquelle bereitgestellt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei im Falle einer detektierten Cyberattacke ein aktuell gültiges Software-Zertifikat der für die Cyberattacke benutzten Ladestation (3) oder der Ladesäule der Ladestation (3) zurückgezogen wird.
Verfahren nach Anspruch 6, wobei in der Software der Steuereinheit (5) des batterieelektrischen Fahrzeugs (1) ein Prüfmechanismus angewendet wird, der eine datentechnische Verbindung mit der Ladestation (3) oder der Ladesäule der Ladestation (3) nur bei gültigem Software-Zertifikat zulässt.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Prüfen der Software der Steuereinheit (5), ob diese kompromittiert ist, nach jedem einzelnen Ladevorgang an einer Ladestation (3) oder Ladesäule der Ladestation (3) durch das batterieelektrische Fahrzeug (1) erfolgt.
Verfahren nach einem der vorhergehenden Ansprüche, wobei an der der Cyberattacke zugeordneten Ladestation (3) oder Ladesäule der Ladestation (3) eine Information ausgegeben wird, dass die Ladestation (3) oder Ladesäule der Ladestation (3) potentiell Schadsoftware verteilt.
Verfahren nach einem der vorhergehenden Ansprüche, wobei im Falle einer detektierten Cyberattacke die Ladestation (3) oder die einzelne Ladesäule der Ladestation (3), die bei dem Cyberangriff verwendet wird, deaktiviert wird.