DE112012003795T5

DE112012003795T5 - Fahrzeugnetwerksystem und Fahrzeug-Informationsverarbeitungsverfahren

Info

Publication number: DE112012003795T5
Application number: DE112012003795.2T
Authority: DE
Inventors: c/o TOYOTA JIDOSHA K.K. Mabuchi Mitsuhiro
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2011-09-12
Filing date: 2012-09-11
Publication date: 2014-06-26
Anticipated expiration: 2032-09-12
Also published as: US20140343787A1; US9126601B2; CN103796894A; DE112012003795B4; JP5641244B2; WO2013045988A1; JP2013060047A

Abstract

Ein Fahrzeugnetzwerksystem ist derart konfiguriert, dass eine Mehrzahl von elektronischen Steuereinheiten (11 bis 18), die eine Modifizierung von internen Daten erlauben, mit einem Netzwerk (19) so verbunden ist, dass sie miteinander kommunizieren können. Das System ermittelt, ob die internen Daten der ersten elektronischen Steuereinheit (11) modifiziert worden sind, und zwar auf der Basis eines Vergleichs zwischen kombinierten Daten (UV) und eines Prüfwerts (CV). Die kombinierten Daten (UV) werden durch Sammeln und Kombinieren von Teilen von unterteilten Daten (A bis E) generiert, die von ursprünglichen Daten abgetrennt sind, die auf der Basis der internen Daten der ersten elektronischen Steuereinheit (11) generiert sind und auf die Mehrzahl von elektronischen Steuereinheiten (12 und 14 bis 17) aufgeteilt und in diesen gehalten sind. Der Prüfwert (CV) wird auf der Basis von internen Daten generiert, die in der ersten elektronischen Steuereinheit (11) zu jedem Zeitpunkt gehalten sind.

Description

HINTERGRUND DER ERFINDUNG
1. Gebiet der Erfindung
Die Erfindung bezieht sich auf ein Fahrzeugnetzwerksystem und auf ein Fahrzeug-Informationsverarbeitungsverfahren, das das Netzwerksystem verwendet.
2. Beschreibung von verwandter Technik
In einem Fahrzeugnetzwerksystem ist eine Mehrzahl von elektronischen Steuereinheiten (ECUs, ”electronic control units”) jeweils mit einem Netzwerk verbunden. Teile von Informationen in den jeweiligen elektronischen Steuereinheiten sind dann zwischen den elektronischen Steuereinheiten austauschbar.
Für jede der elektronischen Steuereinheiten, die mit dem vorstehend erwähnten Fahrzeugnetzwerksystem netzwerkmäßig verbunden sind, werden häufig Arbeiten für eine Wartung und Aktualisierung eines Programms der elektronischen Steuereinheit über eine Wartungseinrichtung wie etwa einen Tester ausgeführt, die bzw. der mit dem Fahrzeugnetzwerk extern verbunden ist. Dies heißt, dass das Programm der elektronischen Steuereinheit durch Überschreiben, d. h. durch Umprogrammierung, durch die Wartungseinrichtung, die mit dem Fahrzeugnetzwerk verbunden ist, aktualisiert wird.
Die Programminhalte von jeder mit dem Netzwerk verbundenen elektronischen Steuereinheit kann auf der anderen Seite auch über das Netzwerk geändert werden. Dies heißt, dass ein Programm wie etwa eine elektronische Steuereinheit verfälscht bzw. illegal geändert werden kann, indem beispielsweise eine Umprogrammierung ungeeignet bzw. inkorrekt durch eine Wartungseinrichtung durchgeführt wird, die mit dem Netzwerk illegal verbunden ist, oder durch nicht autorisierten Zugriff zu dem Netzwerk durch gewisse Mittel verfälscht werden kann. Es ist dabei ein System vorgeschlagen worden, das erfasst, ob ein Programm einer elektronischen Steuereinheit, die mit einem Fahrzeugnetzwerk verbunden ist, verfälscht bzw. manipuliert worden ist, und es ist ein Beispiel des Systems in der japanischen Patentanmeldungsveröffentlichung Nr. 2005-242871 ( JP 2005-242871 A ) beschrieben.
In dem System, das in der JP 2005-242871 A beschrieben ist, sind eine Mehrzahl von elektronischen Steuereinheiten ECUs und ein Gateway mit einem Fahrzeugnetzwerk so verbunden, dass sie miteinander in Kommunikationsverbindung treten können. Jede elektronische Steuereinheit überträgt einen Hash-Wert von Daten, die in ihr selbst enthalten sind, zu dem Gateway, wenn ein Zündschalter (IG) ausgeschaltet wird. Auf den Empfang des Hash-Werts hin speichert das Gateway den übertragenen Hash-Wert von jeder elektronischen Steuereinheit als Vergleichsdaten in einem EEPROM. Auf der anderen Seite überträgt jede elektronische Steuereinheit dann, wenn jede elektronische Steuereinheit zu arbeiten beginnt, wenn der Zündschalter IG eingeschaltet wird, den Hash-Wert von Daten, die in ihr selbst enthalten sind, zu dem Gateway. Indem derart vorgegangen wird, vergleicht das Gateway den gesendeten Hash-Wert mit den entsprechenden Vergleichsdaten, die in dem EEPROM für jede elektronische Steuereinheit gespeichert sind. Wenn eine fehlerhafte Übereinstimmung zwischen dem gesendeten Hash-Wert und den entsprechenden Vergleichsdaten auftritt, bestimmt das Gateway dann, dass die Daten von der betreffenden elektronischen Steuereinheit verfälscht bzw. manipuliert worden sind.
Es ist somit eine Beständigkeit gegenüber einer Verfälschung bzw. Manipulation (Manipulationswiderstandfähigkeit) mit einer Einrichtung erwünscht, die ermittelt, ob die Daten verfälscht worden sind, wie vorstehend beschrieben, und eine jeweilige elektronische Steuereinheit selbst. Es ist daher untersucht worden, dass beispielsweise in solchen Vorrichtungen ein manipulationsbeständiger bzw. fälschungsgesicherter Speicher eingesetzt wird. Falls jedoch ein solcher Speicher verwendet wird, ist es für das Fahrzeugnetzwerksystem kompliziert, Daten einschließlich einer Umprogrammierung zu handhaben, und dgl., und es ist unvermeidlich, dass sich die Kosten des Fahrzeugnetzwerksystems aufgrund der Benutzung eines solchen teuren Speichers erhöhen.
KURZFASSUNG DER ERFINDUNG
Die Erfindung stellt ein Fahrzeugnetzwerksystem, das imstande ist, zu bestimmen bzw. ermitteln, ob interne Daten in einer elektronischen Steuereinheit, die mit einem Fahrzeugnetzwerk verbunden ist, modifiziert worden sind, und ein Fahrzeug-Informationsverarbeitungsverfahren bereit, das das Netzwerksystem benutzt.
Ein erster Aspekt der Erfindung stellt ein Fahrzeugnetzwerksystem bereit. Das Fahrzeugnetzwerksystem weist auf: eine Mehrzahl von elektronischen Steuereinheiten, die mit einem Fahrzeugnetzwerk derart verbunden sind, dass sie miteinander kommunizieren können, und die es erlauben, dass interne Daten modifizierbar sind, wobei eine vorbestimmte elektronische Steuereinheit, die eine aus der Mehrzahl von elektronischen Steuereinheiten ist, erste Daten auf der Basis der internen Daten, die in der vorbestimmten elektronischen Steuereinheit gespeichert sind, generiert, wobei die Mehrzahl von elektronischen Steuereinheiten eine verteilende Einheit bzw. Verteilungseinheit enthält, die Teile von gesplitteten Daten, die von den ersten Daten gesplittet bzw. abgetrennt sind, zu der Mehrzahl von elektronischen Steuereinheiten verteilt, und eine bestimmende Einheit bzw. Bestimmungseinheit enthält, die bestimmt bzw. ermittelt, ob die internen Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten bzw. gespeichert sind, modifiziert worden sind, und zwar auf der Basis eines Vergleichs, der von mindestens einer aus der Mehrzahl von elektronischen Steuereinheiten durchgeführt wird, zwischen zweiten Daten, die durch Kombinieren von gesammelten Teilen von gesplitteten Daten, die in der Mehrzahl von elektronischen Steuereinheiten gehalten sind, erzeugt sind bzw. werden, und dritten Daten, die auf der Basis von internen Daten generiert werden bzw. sind, die durch die vorbestimmte elektronische Steuereinheit gehalten sind, und zwar jedes Mal.
Ein zweiter Aspekt der Erfindung stellt ein Fahrzeug-Informationsverarbeitungsverfahren bereit, das in einem Fahrzeugnetzwerksystem eingesetzt wird, indem eine Mehrzahl von elektronischen Steuereinheiten so verbunden sind, dass sie miteinander kommunizieren können. Das Fahrzeug-Informationsverarbeitungsverfahren enthält: das Erzeugen von ersten Daten vorab auf der Basis von internen Daten, die in einer vorbestimmten elektronischen Steuereinheit gehalten bzw. gespeichert sind; das Splitten bzw. Unterteilen der erzeugten ersten Daten in eine Mehrzahl von Teilen von gesplitteten Daten; das Verteilen der Mehrzahl von Teilen von gesplitteten Daten unter der Mehrzahl von elektronischen Steuereinheiten; das Generieren von zweiten Daten durch Wiedergewinnen und Kombinieren der Teile von gesplitteten Daten; das Generieren von dritten Daten auf der Basis von internen Daten, die in der vorbestimmten elektronischen Steuereinheit zu jedem Zeitpunkt gehalten bzw. gespeichert sind; und das Bestimmen bzw. Ermitteln, ob die internen Daten, die in der vorbestimmten elektronischen Steuereinheit gespeichert sind, modifiziert worden sind, und zwar aufgrund eines Vergleiches zwischen den zweiten Daten und den dritten Daten.
Gemäß dem ersten und dem zweiten Aspekt wird auf der Basis eines Vergleichs zwischen den zweiten Daten und den dritten Daten bestimmt bzw. ermittelt, ob die internen Daten der vorbestimmten elektronischen Steuereinheit modifiziert worden sind. Da die zweiten Daten anhand der Mehrzahl von Teilen von gesplitteten Daten, die unter der Mehrzahl von elektronischen Steuereinheiten aufgeteilt und gesplittet sind, erzeugt werden, ist es weniger wahrscheinlich, dass diese Mehrzahl von Teilen von gesplitteten Daten individuell modifiziert worden sind. Es ist somit schwierig, die Mehrzahl von Teilen von gesplitteten Daten zu modifizieren, sodass eine hohe Sicherheit der zwei Daten, die anhand der Mehrzahl von Teilen von gesplitteten Daten erzeugt werden, aufrechterhalten wird. Zusätzlich ist es bei dieser Konfiguration selbst in einem System, das elektronische Steuereinheiten äquivalent zu denjenigen bei der verwandten Technik verwendet, mit einer höheren Sicherheit als derjenigen bei der verwandten Technik zu bestimmen bzw. ermitteln, ob die internen Daten modifiziert worden sind. Auf diese Weise ist es durch einen Vergleich der zweiten Daten, die verbesserte Sicherheit haben, mit den dritten Daten möglich, zu bestimmen bzw. zu ermitteln, ob die internen Daten der elektronischen Steuereinheit, die mit dem Fahrzeugnetzwerk verbunden ist, modifiziert worden sind.
Zudem ist es selbst dann, wenn die internen Daten der vorbestimmten elektronischen Steuereinheit aktualisiert oder umprogrammiert sind bzw. werden, möglich, zu ermitteln, ob die internen Daten modifiziert worden sind. Dies heißt, dass die Teile von gesplitteten Daten, die von den ersten Daten gesplittet bzw. abgetrennt worden sind, die auf der Basis der aktualisierten internen Daten generiert sind, die Mehrzahl von elektronischen Steuereinheiten aufgeteilt bzw. verteilt und in diesen gespeichert werden. Aufgrund dieser Vorgehensweise ist es möglich, die zweiten Daten mit den dritten Daten zu vergleichen.
Bei der vorstehend angegebenen Konfiguration kann die vorbestimmte elektronische Steuereinheit einen Vergleich zwischen den zweiten Daten und den dritten Daten ausführen.
Bei dem vorstehend angegebenen Verfahren kann der Vergleich zwischen den zweiten Daten und den dritten Daten durch die vorbestimmte elektronische Steuereinheit durchgeführt werden.
Bei der vorstehend angegebenen Konfiguration oder Methode ermittelt die vorbestimmte elektronische Steuereinheit, die für die Ermittlung, ob die internen Daten modifiziert worden sind, gedacht ist, für sich selbst, ob die internen Daten modifiziert worden sind. Dies bedeutet, dass die elektronische Steuereinheit, die für die Änderungs- bzw. Modifikationsermittlung ausgelegt ist, und die elektronische Steuereinheit, die die Modifikationsbestimmung bzw. -ermittlung ausführt, die gleiche vorbestimmte elektronische Steuereinheit sind, sodass es möglich ist, einen Prozess oder Ähnliches in der vorbestimmten elektronischen Steuereinheit als Reaktion darauf, ob die internen Daten modifiziert worden sind, rasch auszuführen.
Bei der vorstehend beschriebenen Konfiguration kann die vorbestimmte elektronische Steuereinheit die zweiten Daten und die dritten Daten halten bzw. speichern.
Bei dem vorstehend angegebenen Verfahren können die zweiten Daten und die dritten Daten durch die vorbestimmte elektronische Steuereinheit gehalten bzw. gespeichert werden bzw. sein.
Bei der vorstehend angegebenen Konfiguration oder Methode ist es dann, wenn bestimmt bzw. ermittelt wird, ob die vorbestimmte elektronische Steuereinheit modifiziert worden ist, möglich, die zweiten Daten und die dritten Daten von der intendierten vorbestimmten elektronischen Steuereinheit zu gewinnen, sodass es einfach ist, diese zweiten Daten und dritten Daten zu erhalten.
Bei der vorstehend angegebenen Konfiguration kann die vorbestimmte elektronische Steuereinheit die ersten Daten und die dritten Daten generieren.
Bei dem vorstehend angegebenen Verfahren können die ersten Daten und die dritten Daten durch die vorbestimmte elektronische Steuereinheit generiert werden.
Bei der vorstehend angegebenen Konfiguration oder Methode bzw. Verfahren werden die ersten Daten und die dritten Daten durch die vorbestimmte elektronische Steuereinheit generiert, die die internen Daten hat, auf deren Basis die ersten Daten und die dritten Daten generiert werden, sodass es einfach ist, jene ersten Daten und dritten Daten zu generieren. Zusätzlich wird die Erzeugung der ersten Daten und der dritten Daten auf der Basis der internen Daten durch die vorbestimmte elektronische Steuereinheit, die die internen Daten enthält, geeignet ausgeführt. Aufgrund dieser Vorgehensweise wird in geeigneter Weise bestimmt bzw. ermittelt, ob die internen Daten modifiziert worden sind.
Bei der vorstehend angegebenen Konfiguration kann die vorbestimmte elektronische Steuereinheit die Teile von gesplitteten bzw. aufgeteilten Daten, die von den ersten Daten abgesplittet bzw. abgeteilt worden sind, auf die Mehrzahl von elektronischen Steuereinheiten verteilen.
Bei der vorstehend angegebenen Methode können die Teile von gesplitteten Daten, die von den ersten Daten gesplittet bzw. abgeteilt worden sind, durch die vorbestimmte elektronische Steuereinheit ... elektronischen ... verteilt werden.
Bei der vorstehend angegebenen Konfiguration oder Methode bzw. Verfahren werden die Mehrzahl von Teilen von gesplitteten Daten durch die vorbestimmte elektronische Steuereinheit gesplittet bzw. unterteilt und verteilt, sodass die vorbestimmte elektronische Steuereinheit für sich selbst imstande ist, die Mehrzahl von Teilen von gesplitteten Daten wiederzugewinnen, was erforderlich ist, um zu bestimmen bzw. ermitteln, ob die internen Daten modifiziert worden sind. Zudem ist die vorbestimmte elektronische Steuereinheit beispielsweise dazu imstande, verteilte bzw. gesplittete Daten als Reaktion auf eine Modifikation von internen Daten je nach Bedarf zu verteilen, sodass sich die Flexibilität der Verteilung von gesplitteten Daten bzw. abgeteilten Daten verbessert. Indem in dieser Weise vorgegangen wird, wird in geeigneter Weise bestimmt bzw. ermittelt, ob die internen Daten modifiziert worden sind.
Bei der vorstehend angegebenen Konfiguration können die unterteilten Daten bzw. verteilten bzw. gesplitteten Daten auch zu der vorbestimmten elektronischen Steuereinheit verteilt werden.
Bei dem vorstehend angegebenen Verfahren können die gesplitteten bzw. unterteilten Daten auch zu der vorbestimmten elektronischen Steuereinheit verteilt bzw. auf diese aufgeteilt werden.
Bei der vorstehend angegebenen Konfiguration oder Methode ist die vorbestimmte elektronische Steuereinheit imstande, nicht nur ihre eigenen gesplitteten Daten zu halten, sondern beispielsweise auch die gesplitteten Daten von einer der anderen elektronischen Steuereinheiten ebenfalls zu halten bzw. zu speichern. Indem in dieser Weise vorgegangen wird, ist es möglich, das Fahrzeugnetzwerksystem in breitem Umfang aufgrund der bzw. mit der Bestimmung kompatibel zu gestalten, dahingehend, ob die internen Daten modifiziert worden sind.
Wenn die internen Daten der vorbestimmten elektronischen Steuereinheit modifiziert sind bzw. werden, können die unterteilten bzw. gesplitteten Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten bzw. gespeichert sind, bei der vorstehend angegebenen Konfiguration zu einer der anderen elektronischen Steuereinheiten bewegt bzw. verschoben werden.
Das vorstehend beschriebene Verfahren kann weiterhin dann, wenn die internen Daten der vorbestimmten elektronischen Steuereinheit modifiziert sind bzw. werden, das Bewegen bzw. Verschieben der gesplitteten bzw. unterteilten Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten sind, zu einer der anderen elektronischen Steuereinheiten umfassen.
Bei der vorstehend angegebenen Konfiguration oder Methode werden die unterteilten Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten sind, als Reaktion auf eine Modifikation oder Umprogrammierung der internen Daten zu einer anderen der elektronischen Steuereinheiten bewegt bzw. verschoben, sodass die unterteilten Daten selbst bei einer Umprogrammierung der vorbestimmten elektronischen Steuereinheit beibehalten werden. Dies bedeutet, dass die unterteilten Daten in dem Fahrzeugnetzwerksystem selbst nach einer Umprogrammierung verwendbar sind. Die unterteilten Daten, die zu bewegen bzw. verschieben sind, können die unterteilten Daten sein, die von einer der anderen elektronischen Steuereinheiten verteilt worden sind. Indem in dieser Weise vorgegangen wird, verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
Bei der vorstehend angegebenen Konfiguration kann die eine der anderen elektronischen Steuereinheiten die unterteilten Daten, die zu der einen der anderen elektronischen Steuereinheiten bewegt bzw. verschoben worden waren, nach dem Abschluss der Modifikation der internen Daten zu der vorbestimmten elektronischen Steuereinheit bewegt bzw. verschoben werden.
Die vorstehend angegebene Methode kann weiterhin umfassen, dass nachdem die internen Daten modifiziert worden sind, die unterteilten Daten, die zu der einen der anderen elektronischen Steuereinheiten verschoben worden sind, zu der vorbestimmten elektronischen Steuereinheit bewegt bzw. verschoben werden.
Bei der vorstehend angegebenen Konfiguration oder Methode werden die gesplitteten bzw. unterteilten Daten zu der vorbestimmten elektronischen Steuereinheit zurückgeführt, sodass die unterteilten Daten nach der Umprogrammierung verwendbar sind. Dies verbessert die Geeignetheit bzw. Brauchbarkeit bei der Bestimmung bzw. Ermittlung dahingehend, ob die internen Daten modifiziert worden sind. Die unterteilten Daten, die in einen ursprünglichen Zustand zu diesem Zeitpunkt zurückgeführt sind, sind unterteilte bzw. gesplittete Daten, die von einer der anderen elektronischen Steuereinheiten verteilt worden sind, sodass selbst dann, wenn die vorbestimmte elektronische Steuereinheit umprogrammiert wird, es möglich ist, zu ermitteln, ob die internen Daten der einen der anderen elektronischen Steuereinheiten modifiziert worden sind. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration bzw. Gestaltung des Fahrzeugnetzwerksystems.
Ein dritter Aspekt der Erfindung stellt ein Fahrzeugnetzwerksystem bereit. Ein Fahrzeugnetzwerksystem enthält: eine Mehrzahl von elektronischen Steuereinheiten, die mit einem Fahrzeugnetzwerk so verbunden sind, dass sie miteinander kommunizieren können, und dass es möglich ist, interne Daten zu modifizieren, wobei die Mehrzahl von elektronischen Steuereinheiten erste Daten auf der Grundlage von internen Daten generieren, die in einer ersten elektronischen Steuereinheit, die eine aus der Mehrzahl von elektronischen Steuereinheiten ist, gehalten bzw. gespeichert sind, wobei die Mehrzahl von elektronischen Steuereinheiten zweite Daten, generiert, die durch Zusammenstellen bzw. Sammeln und Kombinieren von Teilen von unterteilten Daten, die von den ersten Daten gesplittet bzw. abgeteilt worden sind und in der Mehrzahl von elektronischen Steuereinheiten, auf die sie verteilt worden sind, gehalten sind, erzeugt sind, und wobei die Mehrzahl von elektronischen Steuereinheiten bestimmt bzw. ermittelt, ob die internen Daten, die in der ersten elektronischen Steuereinheit gehalten sind, modifiziert worden sind, und zwar durch einen Vergleich zwischen den ersten Daten und den zweiten Daten, wobei der Vergleich durch mindestens eine aus der Mehrzahl von elektronischen Steuereinheiten durchgeführt wird.
Ein vierter Aspekt der Erfindung schafft ein Fahrzeugnetzwerksystem. Ein Fahrzeugnetzwerksystem enthält: eine Mehrzahl von elektronischen Steuereinheiten, die mit einem Fahrzeugnetzwerk bzw. Fahrzeugnetz derart verbunden sind, dass sie miteinander in Kommunikationsverbindung treten bzw. kommunizieren können, und das bzw. die es erlauben, dass interne Daten modifizierbar sind, wobei eine erste elektronische Steuereinheit, die eine aus der Mehrzahl von elektronischen Steuereinheiten ist, aufweist: eine Generierungseinheit, die erste Daten auf der Basis der internen Daten erzeugt, die in einer vorbestimmten elektronischen Steuereinheit gehalten bzw. gespeichert sind; eine Unterteilungseinheit bzw. Aufteilungseinheit, die die generierten ersten Daten für die Erzeugung einer Mehrzahl von Teilen von gesplitteten bzw. unterteilten Daten splittet bzw. unterteilt; eine Verteilungseinheit, die die Teile von gesplitteten Daten auf die Mehrzahl von elektronischen Steuereinheiten aufteilt bzw. verteilt und die die Mehrzahl von elektronischen Steuereinheiten dazu veranlasst, die Teile von gesplitteten Daten zu halten bzw. zu speichern; eine Kombiniereinheit, die die Teile von gesplitteten Daten, die auf die Mehrzahl von elektronischen Steuereinheiten aufgeteilt und in diesen gehalten sind, sammelt und kombiniert, um zweite Daten zu generieren; und eine Bestimmungseinheit, die bestimmt bzw. ermittelt, ob die internen Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten sind, modifiziert worden sind, und zwar auf der Basis eines Vergleichs zwischen den zweiten Daten und dritten Daten, die auf der Grundlage von internen Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten sind, generiert sind, und zwar zu jedem Zeitpunkt.
Gemäß dem dritten und vierten Aspekt ist es selbst in einem System, das elektronische Steuereinheiten verwendet, die äquivalent bzw. gleichartig zu denjenigen bei der verwandten Technik sind, möglich, mit einer höheren Sicherheit als derjenigen bei der verwandten Technik zu bestimmen bzw. ermitteln, ob die internen Daten modifiziert worden sind.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Merkmale, Vorteile und technische sowie industrielle Bedeutung von als Beispiele dienenden Ausführungsformen der Erfindung werden nachstehend unter Bezugnahme auf die beigefügten Zeichnungen beschrieben, in denen gleichartige Bezugszahlen gleichartige Elemente bezeichnen, und bei denen gilt:
1 zeigt ein Blockschaltbild, das die schematische Konfiguration eines Fahrzeugnetzwerksystems in Übereinstimmung mit einem ersten Ausführungsbeispiel der Erfindung veranschaulicht;
2 zeigt ein Ablaufdiagramm, das die Prozedur bzw. den Ablauf einer Bestimmung bzw. Ermittlung einer Datenmodifikation veranschaulicht, die bzw. der in dem Fahrzeugnetzwerksystem gemäß dem ersten Ausführungsbeispiel ausgeführt wird;
3 zeigt ein Blockschaltbild, das die schematische Konfiguration eines Fahrzeugnetzwerksystems in Übereinstimmung mit einem zweiten Ausführungsbeispiel der Erfindung veranschaulicht;
4 zeigt ein Ablaufdiagramm, das eine Prozedur bzw. einen Ablauf veranschaulicht, die bzw. der so konfiguriert ist, dass er bzw. sie imstande ist, eine Ermittlung einer Modifikation selbst dann beizubehalten, wenn eine Umprogrammierung in dem Fahrzeugnetzwerksystem gemäß dem zweiten Ausführungsbeispiel auftritt;
5 zeigt ein Blockschaltbild, das die schematische Konfiguration eines Fahrzeugnetzwerksystems gemäß einem dritten Ausführungsbeispiel der Erfindung veranschaulicht;
6 ist eine schematische Ansicht, die Teile von gesplitteten bzw. unterteilten Daten in dem dritten Ausführungsbeispiel schematisch veranschaulicht;
7 ist eine schematische Ansicht, die das Sammeln von den Teilen von unterteilten Daten in dem dritten Ausführungsbeispiel schematisch veranschaulicht;
8 ist eine schematische Ansicht, die eine Bestätigung der Notwendigkeit der unterteilten Daten in einem Fahrzeugnetzwerksystem in Übereinstimmung mit einem alternativen Ausführungsbeispiel der Erfindung schematisch veranschaulicht; und
9 ist eine schematische Ansicht, die Teile von gesplitteten bzw. unterteilten Daten in einem Fahrzeugnetzwerksystem gemäß einem alternativen Ausführungsbeispiel der Erfindung schematisch veranschaulicht.
DETAILLIERTE BESCHREIBUNG VON AUSFÜHRUNGSBEISPIELEN
Erstes Ausführungsbeispiel
Ein Fahrzeugnetzwerksystem gemäß einem ersten Ausführungsbeispiel der Erfindung wird unter Bezugnahme auf 1 und 2 beschrieben.
Ein Fahrzeug 10 enthält das Fahrzeugnetzwerksystem. Das Fahrzeugnetzwerksystem bzw. Fahrzeugnetzsystem weist erste bis achte elektronische Steuereinheiten (ECUs, ”electronic control units”) 11 bis 18 und ein Netzwerk bzw. Netz 19 auf. Das Netzwerk 19 verbindet jene ersten bis achten elektronischen Steuereinheiten 11 bis 18 derart, dass die erste bis achte elektronische Steuereinheit 11 bis 18 miteinander kommunizieren können.
Das Netzwerk 19 ist beispielsweise durch ein Fahrzeugnetzwerk bzw. Fahrzeugnetz wie etwa ein Steuerbereichsnetzwerk (CAN, ”controller area network”) gebildet und erlaubt es der ersten bis achten elektronischen Steuereinheit 11 bis 18, die mit dem Netzwerk 19 verbunden sind, eine gegenseitige Informationskommunikation auszuführen. Dies bedeutet, dass jede der ersten bis achten elektronischen Steuereinheiten 11 bis 18 eine Übertragungseinheit bzw. Sendeeinheit und eine Empfangseinheit (diese sind nicht gezeigt) enthält, die imstande sind, Kommunikationssignale auszutauschen, die mit einem Kommunikationsprotokoll des Netzwerks 19 konform sind, um eine Interkommunikation über das Netzwerk 19 zu erlauben. Jede von der ersten bis achten elektronischen Steuereinheit 11 bis 18 ist dabei so ausgelegt, dass sie verschiedenartige Teile von Steuerdaten oder dgl. zu dem Netzwerk 19 über die Sendeeinheit zu senden und weiterhin verschiedenartige Teile von Steuerdaten oder dgl. von dem Netzwerk 19 über die Empfangseinheit zu empfangen.
Jede von der ersten bis achten elektronischen Steuereinheit 11 bis 18 ist eine Steuereinheit, die in unterschiedlichen Steuerungen über das Fahrzeug 10 hinweg verwendet wird, und stellt eine elektronische Steuereinheit dar, die für eine Steuerung beispielsweise über ein Fahrsystem, ein Antriebssystem, ein Fahrzeugkarosseriesystem, ein Informationsgerätesystem oder dgl. gedacht ist. Als ein Beispiel ist die elektronische Steuereinheit, die für die Steuerung über das Antriebssystem bzw. des Antriebssystems ausgelegt ist, eine Motor- bzw. Maschinensteuereinheit, wohingegen die elektronische Steuereinheit, die für die Steuerung über das Fahrsystem bzw. des Fahrsystems gedacht ist, eine elektronische Lenk-Steuereinheit oder eine elektronische Brems-Steuereinheit ist, wohingegen die elektronische Steuereinheit, die für die Steuerung über das Fahrzeugkarosseriesystem bzw. des Fahrzeugkarosseriesystems gedacht ist, eine elektronische Lampen-Steuereinheit oder eine elektronische Fenster-Steuereinheit ist, und die elektronische Steuereinheit, die für eine Steuerung über das Informationsgerätesystem bzw. des Informationsgerätesystems gedacht ist, eine elektronische Fahrzeugnavigations-Steuereinheit ist.
Jede von der ersten bis achten elektronischen Steuereinheit 11 bis 18 ist dazu konfiguriert, einen Mikrocomputer zu enthalten, der eine Verarbeitungseinheit und eine Speichereinrichtung aufweist. Das heißt, dass jede von der ersten bis achten elektronischen Steuereinheit 11 bis 18 eine Verarbeitungseinheit (CPU) einen Festwertspeicher (ROM) und einen flüchtigen Speicher (RAM) enthält. Die Verarbeitungseinheit führt eine arithmetische Verarbeitung eines Steuerprogramms aus. Der Festwertspeicher speichert ein Steuerprogramm, Daten und dgl., die für eine Steuerung erforderlich sind. Der flüchtige Speicher speichert ein Verarbeitungsergebnis der Zentraleinheit CPU zeitweilig. Aufgrund dieser Vorgehensweise führt jede von der ersten bis achten elektronischen Steuereinheit 11 bis 18 eine beabsichtigte Steuerung in der folgenden Weise durch. Das Steuerprogramm und dgl., das in der Speichereinrichtung gehalten bzw. gespeichert ist, wird in die Verarbeitungseinheit geladen und ausgeführt. Zu diesem Zeitpunkt tauschen die ersten bis achten elektronischen Steuereinheiten 11 bis 18 Daten, die für entsprechende Steuerungen erforderlich sind, miteinander bzw. gegenseitig über das Netzwerk 19 aus.
Zusätzlich enthält die erste elektronische Steuereinheit 11, die als eine erste elektronische Steuereinheit bei dem vorliegenden Ausführungsbeispiel dient, weiterhin einen nichtflüchtigen Speicher (EEPROM), als einen Speicher, der ein Steuerprogramm, Daten und Ähnliches speichert, die für die Steuerung erforderlich sind. Das heißt, dass die erste elektronische Steuereinheit 11 eine beabsichtigte Steuerung in der folgenden Weise ausführt. Das Steuerprogramm und Ähnliches, das in dem EEPROM gehalten ist, wird ebenfalls in die Verarbeitungseinheit geladen und wird ausgeführt. Das Steuerprogramm und Ähnliches, das in dem EEPROM gehalten bzw. gespeichert ist, ist umprogrammierbar bzw. neu programmierbar. Damit erlaubt es die erste elektronische Steuereinheit 11, dass das Steuerprogramm und dgl., das in dem EEPROM gehalten ist, auf den letzten bzw. jüngsten Zustand aktualisiert werden kann, indem die Steuerprogramme und dgl. beispielsweise bei einem Händler umprogrammiert wird bzw. werden.
Das Umprogrammieren wird in der folgenden Weise ausgeführt. Wenn eine Wartungseinrichtung (nicht gezeigt) wie etwa ein Tester mit dem Netzwerk 19 verbunden wird, derart, dass sie mit der ersten elektronischen Steuereinheit 11 über das Netzwerk 19 kommunizieren kann, wird ein neues Softwareprogramm in das EEPROM der ersten elektronischen Steuereinheit 11 über die Wartungseinrichtung auf der Grundlage einer vorbestimmten Prozedur geschrieben. Auf der anderen Seite können die Dateninhalte aufgrund der Tatsache, dass die erste elektronische Steuereinheit 11 das Modifizieren der Dateninhalte des EEPROMs erlaubt, einer sogenannten Verfälschung bzw. Manipulation unterzogen werden, das heißt, es wird ein nicht korrekte Umprogrammierung durch eine ungeeignete bzw. nicht korrekte Wartungseinrichtung ausgeführt, oder es wird ein Teil des Programms durch einen nicht autorisierten Zugriff, einen Virus oder Ähnlichem über das Netzwerk 19 mit gewissen Mitteln neu geschrieben bzw. umgeschrieben. Bei dem vorliegenden Ausführungsbeispiel wird dann bestimmt bzw. ermittelt, ob die internen Daten der ersten elektronischen Steuereinheit 11 modifiziert worden sind.
Die erste elektronische Steuereinheit 11 enthält eine Berechnungseinheit 111, eine Kombiniereinheit 112 und eine Verifikationseinheit 113 auf der Grundlage eines Prozesses, der durch das Steuerprogramm ausgeführt wird, und sichert bzw. gewährleistet einen Haltebereich eines Einzel-Zeit-Prüfwerts bzw. einmaligen Prüfwerts CV und eines Haltebereichs von kombinierten Daten UV. Die kombinierten Daten UV entsprechen zweiten Daten. Der einmalige Prüfwert CV entspricht dritten Daten.
Die Berechnungseinheit 111 berechnet einen einmaligen bzw. einmal verwendbaren bzw. jeweiligen (”each-time”) Prüfwert CV (”check value”), der aktuellen internen Daten der ersten elektronischen Steuereinheit 11 entspricht, als einen Hash-Wert auf der Basis des Steuerprogramms und dgl., das in dem EEPROM gespeichert ist. Dies bedeutet, dass die Berechnungseinheit 111 den Hash-Wert der internen Daten als den jeweiligen Prüfwert CV berechnet, anhand dessen auf der Grundlage einer vorbestimmten Hash-Funktion bestimmt bzw. ermittelt wird, ob die internen Daten modifiziert worden sind. Die Hash-Funktion generiert eine Zufallszahl (Hash-Wert, ”message digest”) anhand der internen Daten. Es ist anzumerken, dass es theoretisch extrem schwierig ist, unterschiedliche interne Daten (beispielsweise manipulierte interne Daten) zu erzeugen, die den gleichen Hash-Wert haben, sodass durch einen Hash-Wert, der durch die Hash-Funktion erzeugt wird, garantiert ist, dass der Hash-Wert einzigartig den internen Daten zu dem Zeitpunkt der Erzeugung (aktuelle Zeit bzw. aktueller Zeitpunkt) entspricht.
Die Kombiniereinheit 112 sammelt Teile von unterteilten Daten A bis E, die jeweils in der zweiten elektronischen Steuereinheit 12 und der vierten bis siebten elektronischen Steuereinheit 14 bis 17 gehalten sind, und kombiniert die gesammelten Teile von unterteilten Daten A bis E. Die Teile von unterteilten Daten A bis E werden durch das Splitten bzw. Aufteilen von originalen Daten bzw. ursprünglichen Daten FV in fünf generiert. Die ursprünglichen Daten FV entsprechen internen Daten zu dem Zeitpunkt, zu dem die Teile von unterteilten Daten A bis E erzeugt werden. Die Reihenfolge, in der die ursprünglichen Daten FV unterteilt werden, stimmt mit der alphabetischen Reihenfolge der Teile von gesplitteten bzw. unterteilten Daten A bis E überein. Die ursprünglichen Daten FV entsprechen ersten Daten. Zu diesem Zeitpunkt werden die ursprünglichen Daten FV unter Einsatz der gleichen Hash-Funktion wie diejenige berechnet, mit der die Berechnungseinheit 111 den jeweiligen bzw. einmaligen Prüfwert CV berechnet, d. h. es werden die ursprünglichen Daten FV aus bzw. durch einen Hash-Wert geformt, der durch die Hash-Funktion auf der Basis der internen Daten zu demjenigen Zeitpunkt erhalten wird, zu dem die Teile von gesplitteten Daten A bis E kreiert werden. Aufgrund dieser Vorgehensweise kombiniert die Kombiniereinheit 112 die Teile von gesplitteten Daten A bis E für die Erzeugung von kombinierten Daten UV, die den ursprünglichen Daten FV entsprechen.
Weiterhin enthält die Kombiniereinheit 112 eine Reihenfolgenliste, die speichert, auf welche elektronischen Steuereinheiten die Teile von gesplitteten Daten A bis E jeweils verteilt worden sind. Das heißt, dass die Reihenfolgenliste speichert, dass die unterteilten Daten A auf die bzw. zu der fünften elektronischen Steuereinheit 15 aufgeteilt bzw. zugeführt sind, dass die gesplitteten Daten B zu der sechsten elektronischen Steuereinheit 16 aufgeteilt bzw. zugeführt worden sind, dass die gesplitteten Daten C zu der zweiten elektronischen Steuereinheit 12 verteilt bzw. zugeordnet worden sind, dass die gesplitteten Daten D zu der vierten elektronischen Steuereinheit 14 verteilt bzw. zugeführt worden sind, und dass die gesplitteten Daten E zu der siebten elektronischen Steuereinheit 17 verteilt bzw. zugeführt worden sind. Aufgrund dieser Vorgehensweise sammelt die Kombiniereinheit 112 die Teile von gesplitteten Daten A bis E von den elektronischen Steuereinheiten in alphabetischer Reihenfolge in Übereinstimmung mit der Reihenfolgenliste, und kombiniert die Teile von unterteilten Daten A bis E in Übereinstimmung mit der gesammelten Reihenfolge, um die kombinierten Daten UV zu erzeugen.
Die Verifikationseinheit 113 bestimmt bzw. ermittelt, ob die internen Daten modifiziert worden sind, und zwar auf der Grundlage eines Vergleichs zwischen dem aktuellen bzw. jeweiligen Prüfwert (”each-time check value”, ”present-time check value”) CV, der durch die Berechnungseinheit 111 generiert ist, und der kombinierten Daten UV, die durch die Kombiniereinheit 112 erzeugt sind. Damit bestimmt bzw. ermittelt die Verifikationseinheit 113, dass die internen Daten nicht modifiziert worden sind, wenn der einmalige bzw. jeweilige Prüfwert CV mit den kombinierten Daten UV übereinstimmt; dahingegen bestimmt bzw. ermittelt die Verifikationseinheit 113, dass die internen Daten modifiziert worden sind, wenn der einmalige bzw. jeweilige Prüfwert CV nicht mit den kombinierten Daten UV übereinstimmt.
Die zweite bis achte elektronische Steuereinheit 12 bis 18 weisen jeweils die Funktion der Verwaltung von unterteilten Daten auf der Basis eines Prozesses auf, der von dem entsprechenden Steuerprogramm ausgeführt wird, und benutzen jeweils die Funktion der Verwaltung der unterteilten Daten, um einen Haltebereich (121, 141, 151, 161, 171 oder dgl.) zum Halten von unterteilten Daten in einem nichtflüchtigen Speicher wie etwa einem EEPROM je nach Bedarf sicherzustellen. Bei dem vorliegenden Ausführungsbeispiel speichert somit der Haltebereich 121 der zweiten elektronischen Steuereinheit 12 zum Halten von unterteilten Daten die unterteilten Daten C, wohingegen der Haltebereich 141 der vierten elektronischen Steuereinheit 14 zum Halten von unterteilten Daten die unterteilten Daten D hält, und der Haltebereich 151 der fünften elektronischen Steuereinheit 15 zum Halten von unterteilten Daten die unterteilten Daten A hält. Zudem hält der Haltebereich 161 der sechsten elektronischen Steuereinheit 16 zum Halten von unterteilten Daten die unterteilten Daten B, und es hält der Haltebereich 171 der siebten elektronischen Steuereinheit 17 zum Halten von unterteilten Daten die unterteilten Daten E. Es ist anzumerken, dass diese Teile bzw.
Stücke von unterteilten Daten A bis E jeweils vorab in den Haltebereichen 121, 141, 151, 161 und 171 zum Halten von unterteilten Daten registriert bzw. gespeichert sind. Hierbei speichern die dritte elektronische Steuereinheit 13 und die achte elektronische Steuereinheit 18 keine unterteilten Daten, stattdessen können diese dritte elektronische Steuereinheit 13 und die achte elektronische Steuereinheit 18 gleichfalls unterteilte Daten anstelle von oder zusätzlich zu den anderen elektronischen Steuereinheiten halten bzw. speichern.
Jede von der zweiten bis achten elektronischen Steuereinheit 12 bis 18 weist eine Registrierungsfunktion bzw. Speicherfunktion, eine Übertragungs- bzw. Sendefunktion und eine Löschfunktion als die Funktion des Verwaltens von unterteilten Daten auf. Wenn die zweite bis achte elektronische Steuereinheit 12 bis 18 und dgl. Instruktionen von der ersten elektronischen Steuereinheit 11 bezüglich des Sammelns der Teile von unterteilten Daten empfängt, gewinnen die Sendefunktionen jeweils die Stücke von unterteilten Daten, die mit der ersten elektronischen Steuereinheit 11 verknüpft sind, von den entsprechenden Haltebereichen und übertragen bzw. senden die Teile von unterteilten Daten zu der ersten elektronischen Steuereinheit 11. Wenn die zweite bis achte elektronische Steuereinheit 12 bis 18 Instruktionen von der ersten elektronischen Steuereinheit 11 bezüglich der Registrierung der Stücke von unterteilten Daten empfangen, halten die Registrierungsfunktionen jeweils die Stücke bzw. Teile von unterteilten Daten in den entsprechenden Haltebereichen in Verknüpfung bzw. Zuordnung zu der ersten elektronischen Steuereinheit 11. Wenn die zweite bis achte elektronische Steuereinheit 12 bis 18 Instruktionen von der ersten elektronischen Steuereinheit 11 bezüglich des Löschens der Teile bzw. Stücke von unterteilten Daten empfangen, löschen die Löschfunktionen jeweils die Stücke bzw. Teile von unterteilten Daten, die in Zuordnung zu der ersten elektronischen Steuereinheit 11 gespeichert sind, in bzw. aus den entsprechenden Haltebereichen. Bei dem ersten Ausführungsbeispiel müssen die zweite bis achte elektronische Steuereinheit 12 bis 18 nicht jeweils die Löschfunktion enthalten.
Arbeitsweise
Als Nächstes wird ein Prozess zur Bestimmung bzw. Ermittlung einer Modifikation unter Bezugnahme auf 2 beschrieben. Es ist anzumerken, dass die erste elektronische Steuereinheit 11 dazu ausgelegt ist, zu bestimmen bzw. zu ermitteln, ob die internen Daten modifiziert worden sind, beispielsweise dann, wenn die Zündung des Fahrzeugs 10 eingeschaltet wird.
Wie in 2 gezeigt ist, sammelt die Kombiniereinheit 112 der ersten elektronischen Steuereinheit 11 dann, wenn der Prozess der Bestimmung bzw. Ermittlung einer Modifikation gestartet wird, die Teile von unterteilten Daten A bis E sequenziell von den elektronischen Steuereinheiten, die jeweils die Teile von unterteilten Daten A bis E halten (S10), und kombiniert die gesammelten Prüfwerte für die Erzeugung von kombinierten Daten (S11). Das heißt, dass die erste elektronische Steuereinheit 11 die unterteilten bzw. gesplitteten Daten A von der fünften elektronischen Steuereinheit 15 sammelt, die gesplitteten Daten B von der sechsten elektronischen Steuereinheit 16 sammelt, die unterteilten Daten C von der zweiten elektronischen Steuereinheit 12 sammelt, die unterteilten Daten D von der vierten elektronischen Steuereinheit 14 sammelt, und die unterteilten Daten E von der siebten elektronischen Steuereinheit 17 sammelt und die gesammelten Stücke von unterteilten Daten A bis E in der geeigneten Reihenfolge kombiniert, um kombinierte Daten zu generieren.
Nachfolgend benutzt die erste elektronische Steuereinheit 11 die Verifikationseinheit 113 für die Bestimmung bzw. Ermittlung, ob der Prüfwert CV, der durch die Berechnungseinheit 111 berechnet ist, mit den kombinierten Daten UV übereinstimmt, die durch die Kombiniereinheit 112 erzeugt sind (S12). Wenn bestimmt bzw. ermittelt wird, dass der einmalige bzw. jeweilige Prüfwert CV mit den kombinierten Daten UV übereinstimmt (JA in S12), bestimmt bzw. ermittelt die erste elektronische Steuereinheit 11 dann, dass die internen Daten der ersten elektronischen Steuereinheit 11 nicht modifiziert worden sind (S13). Das bestimmte Ergebnis bzw. Bestimmungsergebnis wird dann in dem Speicher oder dgl. gesetzt bzw. gespeichert, und es wird der Prozess der Bestimmung bzw. Ermittlung einer Modifikation beendet.
Wenn auf der anderen Seite bestimmt bzw. ermittelt wird, dass der jeweilige bzw. einmalige Prüfwert CV nicht mit den kombinierten Daten UV übereinstimmt (NEIN in S12), bestimmt bzw. ermittelt die erste elektronische Steuereinheit 11, dass die internen Daten der ersten elektronischen Steuereinheit 11 modifiziert worden sind (S14). Es wird dann das bestimmte Ergebnis bzw. Ermittlungsergebnis in dem Speicher oder dgl. gesetzt bzw. gespeichert, und es wird der Prozess der Ermittlung einer Modifikation beendet.
Die erste elektronische Steuereinheit 11 erkennt anhand des Bestimmungs- bzw. Ermittlungsergebnisses, ob die internen Daten modifiziert worden sind. Wenn die internen Daten modifiziert worden sind, stellt die erste elektronische Steuereinheit 11 einen Alarm für die anderen elektronischen Steuereinheiten bereit oder ergreift Rettungsmaßnahmen bzw. Hilfsmittel wie etwa die Beendigung bzw. das Anhalten des Prozesses als solchem. Eine notwendige minimale Funktion, die der Ermittlung dahingehend, ob die internen Daten modifiziert worden sind, entspricht, kann in dem Festwertspeicher gehalten bzw. gespeichert sein und ausgeführt werden. Aufgrund dieser Gestaltung ist die erste elektronische Steuereinheit 11 imstande, in geeigneter Weise weitere Rettungsmaßnahmen bzw. Abhilfemaßnahmen für eine Modifikation der internen Daten zu ergreifen.
Wie vorstehend beschrieben, werden bei dem Fahrzeugnetzwerksystem gemäß dem vorliegenden Ausführungsbeispiel vorteilhafte Effekte gemäß der nachstehenden Auflistung erhalten.

(1) Auf der Basis eines Vergleichs zwischen den kombinierten Daten UV und dem jeweiligen bzw. einmaligen bzw. ständigen Prüfwert CV wird bestimmt bzw. ermittelt, ob die internen Daten der ersten elektronischen Steuereinheit 11 modifiziert worden sind. Die kombinierten Daten UV werden anhand der Mehrzahl von Teilen bzw. Stücken von unterteilten Daten A bis E erzeugt, die jeweils auf die zweite und vierte bis siebte elektronische Steuereinheit 12 und 14 bis 17 verteilt sind, sodass es weniger wahrscheinlich ist, dass diese Mehrzahl von Teilen von unterteilten Daten A bis E individuell modifiziert werden bzw. worden sind. Das bedeutet, dass es schwierig ist, die Mehrzahl von Stücken von unterteilten Daten A bis E zu modifizieren, sodass eine hohe Sicherheit der kombinierten Daten UV, die anhand der Mehrzahl von Stücken von unterteilten Daten A bis E erzeugt sind bzw. werden, aufrechterhalten wird. Zudem ist es bei dieser Konfiguration selbst in einem System, das elektronische Steuereinheiten verwendet, die äquivalent bzw. ähnlich zu denjenigen bei dem verwandten Stand der Technik sind, möglich, zu ermitteln, ob die internen Daten von jeder von diesen elektronischen Steuereinheiten modifiziert worden sind, und zwar mit einer höheren Sicherheit als diejenige bei dem verwandten Stand der Technik. In dieser Weise ist es durch den Vergleich der kombinierten Daten UV, die erhöhte Sicherheit haben, mit dem einmaligen bzw. jeweiligen Prüfwert CV möglich, zu ermitteln, ob die internen Daten von jeder der elektronischen Steuereinheiten, die mit dem Fahrzeugnetzwerk verbunden sind, modifiziert worden sind.

Zusätzlich ist es selbst dann, wenn die internen Daten der ersten elektronischen Steuereinheit 11 aktualisiert werden, d. h. umprogrammiert oder neu programmiert werden, möglich, zu bestimmen bzw. ermitteln, ob die aktualisierten (updated) internen Daten modifiziert worden sind. Dies bedeutet, dass die Stücke von unterteilten Daten, die von den ursprünglichen Daten FV abgetrennt sind, die auf der Basis der aktualisierten internen Daten generiert sind, auf die Mehrzahl von elektronischen Steuereinheiten aufgeteilt und in diesen gehalten werden. Aufgrund dieser Vorgehensweise ist es möglich, die kombinierten Daten UV mit dem jeweiligen bzw. einmaligen (”each-time”) Prüfwert CV zu vergleichen.

(2) Die erste elektronische Steuereinheit 11, die für die Ermittlung ausgelegt bzw. gedacht ist, ob die internen Daten modifiziert worden sind, bestimmt bzw. ermittelt selbst, ob die internen Daten modifiziert worden sind. Dies bedeutet, dass die elektronische Steuereinheit, die für die Ermittlung einer Modifikation gedacht ist, und die elektronische Steuereinheit, die eine Bestimmung einer Modifikation trifft, die gleiche erste elektronische Steuereinheit 11 sind, sodass es möglich ist, einen Prozess oder Ähnliches rasch in der ersten elektronischen Steuereinheit 11 als Reaktion darauf auszuführen, ob die internen Daten modifiziert worden sind.
(3) Wenn bestimmt bzw. ermittelt wird, ob die internen Daten der ersten elektronischen Steuereinheit 11 modifiziert worden sind, ist es möglich, die kombinierten Daten UV und den jeweiligen bzw. einmaligen Prüfwert CV anhand der angedachten bzw. hierfür ausgelegten ersten elektronischen Steuereinheit 11 zu gewinnen, sodass es einfach ist, diese kombinierten Daten UV und den jeweiligen einmaligen Prüfwert CV zu gewinnen.

Zweites Ausführungsbeispiel
Ein Fahrzeugnetzwerksystem gemäß einem zweiten Ausführungsbeispiel der Erfindung wird unter Bezugnahme auf 3 und 4 beschrieben.
Das vorliegende Ausführungsbeispiel unterscheidet sich von dem ersten Ausführungsbeispiel dahingehend, dass eine Umprogrammierungseinrichtung bzw. Neuprogrammierungseinrichtung 20 vorgesehen ist und dass eine erste elektronische Steuereinheit 21 anstelle der ersten elektronischen Steuereinheit 11 vorgesehen ist, wobei die übrige Konfiguration die gleiche ist. Der vorstehend angesprochene Unterschied wird daher bei dem vorliegenden Ausführungsbeispiel im Einzelnen beschrieben, und es bezeichnen zum Zwecke der Gefälligkeit bzw. Einfachheit der Beschreibung gleichartige Bezugszeichen ähnliche bzw. gleichartige Komponenten wie diejenigen bei dem ersten Ausführungsbeispiel, und es entfällt deren detaillierte Beschreibung.
Bei dem vorliegenden Ausführungsbeispiel ist anstelle der ersten elektronischen Steuereinheit 11 gemäß dem ersten Ausführungsbeispiel die elfte elektronische Steuereinheit 21 als eine vorbestimmte elektronische Steuereinheit vorgesehen. Die elfte elektronische Steuereinheit 21 enthält ebenso wie die erste elektronische Steuereinheit 11 eine Sendeeinheit und eine Empfangseinheit (diese sind nicht gezeigt), die imstande sind, Kommunikationssignale, die konform mit einem Kommunikationsprotokoll des Netzwerks 19 sind, auszutauschen bzw. konform hiermit auszutauschen. Zusätzlich enthält die elfte elektronische Steuereinheit 21 eine Berechnungseinheit 211 ähnlich wie die Berechnungseinheit 111 der ersten elektronischen Steuereinheit 11, eine Kombiniereinheit 212 ähnlich zu der Kombiniereinheit 112 der ersten elektronischen Steuereinheit 11, und eine Verifikationseinheit 213 ähnlich wie die Verifikationseinheit 113 der ersten elektronischen Steuereinheit 11, und gewährleistet bzw. stellt einen Haltebereich eines jeweiligen bzw. einmaligen Prüfwerts CV sowie einen Haltebereich für kombinierte Daten UV bereit.
Weiterhin enthält die elfte elektronische Steuereinheit 21 eine Verteilungseinheit 214, eine Reprogrammierungs- bzw. Umprogrammierungs-Handhabungseinheit 215 und eine Verwaltungseinheit 216. Die Verteilungseinheit 214 splittet bzw. unterteilt ursprüngliche Daten FV in fünf, um Teile von gesplitteten bzw. unterteilten Daten A bis E zu generieren, und verteilt die erzeugten Teile von gesplitteten Daten A bis E auf andere elektronische Steuereinheiten in einer vorbestimmten Reihenfolge (Verteilungsfunktion). Die ursprünglichen Daten FV sind aus bzw. durch einen Hash-Wert von internen Daten der elften elektronischen Steuereinheit 21 gebildet. Der Hash-Wert wird in der gleichen Weise wie der jederzeitige bzw. einmalige bzw. jeweilige Prüfwert CV berechnet, durch die Berechnungseinheit 211 berechnet. Es ist anzumerken, dass die vorbestimmte Reihenfolge bzw. Ordnung bei dem vorliegenden Ausführungsbeispiel eine Reihenfolge ist, die in einer Ordnungsliste bzw. Reihenfolgeliste vorab festgelegt ist, und es legt die Ordnungsliste Verteilungsziele dahingehend fest, dass die fünfte elektronische Steuereinheit 15 die erste ist, die sechste elektronische Steuereinheit 16 die zweite ist, die zweite elektronische Steuereinheit 12 die dritte ist, die vierte elektronische Steuereinheit 14 die vierte ist und die siebte elektronische Steuereinheit 17 die fünfte ist.
Die Umprogrammierungs-Handhabungseinheit 215 führt vorbestimmte Prozesse bzw. Verarbeitungen bevor und nachdem ein Steuerprogramm, das in dem EEPROM der elften elektronischen Steuereinheit 21 gehalten ist, durch die Reprogrammierungseinrichtung 20 über das Netzwerk 19 reprogrammiert bzw. umprogrammiert wird, aus. Die vorbestimmten Prozesse sind beispielsweise ein Prozess zur Bewegung bzw. Verschiebung von Daten, die mit einem Prozess zur Ermittlung einer Modifikation verknüpft sind, zu einer anderen der weiteren elektronischen Steuereinheiten, ein Prozess zur Verschiebung von Daten, die zu einer der anderen elektronischen Steuereinheiten verschoben sind, zu der ursprünglichen elektronischen Steuereinheit, und dgl.
Vor der Ausführung der Umprogrammierung verschiebt die Umprogrammierungs-Handhabungseinheit 215 Daten, die bei dem Prozess zur Bestimmung einer Modifikation verwendet werden, wie etwa die Reihenfolgenliste und unterteilte Daten, die von ihr selbst oder einer anderen der weiteren elektronischen Steuereinheiten verteilt sind, zu einer der weiteren elektronischen Steuereinheiten wie etwa der vierten elektronischen Steuereinheit 14, die nicht einer Umprogrammierung unterzogen ist, als gesicherte Daten 143. Zusätzlich sammelt die Umprogrammierungs-Handhabungseinheit 215 nach der Umprogrammierung die verschobenen Daten von der einen der weiteren elektronischen Steuereinheiten. Als Beispiel werden die verschobenen gesicherten bzw. geretteten Daten 143 von der vierten elektronischen Steuereinheit 14 gesammelt. Die Umprogrammierungs-Handhabungseinheit 215 führt dann die Daten, die in den gesammelten gesicherten Daten 143 enthalten sind, in einen Zustand vor der Umprogrammierung zurück, das heißt in einen sogenannten ursprünglichen bzw. originalen Zustand. Als ein Beispiel hält die Umprogrammierungs-Handhabungseinheit 215 dann, wenn die gesammelten gesicherten Daten 143 unterteilte Daten enthalten, die auf der Basis der internen Daten von einer der anderen elektronischen Steuereinheiten erzeugt sind, die aufgeteilten bzw. gesplitteten Daten in einem Modus, bzw. in einer Form, in dem bzw. der die unterteilten Daten als Reaktion auf eine Anforderung von der einen der weiteren elektronischen Steuereinheiten übertragbar sind. Zusätzlich hält die Umprogrammierungs-Handhabungseinheit 215 dann, wenn die gesammelten Daten einen Selbstprüfwert bzw. Eigenprüfwert CV und eine Reihenfolgenliste enthalten, diese in einer Art und Weise bzw. einem Modus, in dem bzw. der der Eigenprüfung CV und die Reihenfolgenliste für sich selbst benutzbar sind. Wenn die Reprogrammierung bzw. Umprogrammierung abgeschlossen worden ist, befiehlt, um die verteilten alten Teile bzw. Stücke von unterteilten Daten A bis E, die auf der Basis der ursprünglichen Daten FV vor der Umprogrammierung generiert worden waren, zu löschen, die Umprogrammierungs-Handhabungseinheit 215 die elektronischen Steuereinheiten, die diese alten Teile von unterteilten Daten A bis E halten, zur Löschung der Teile von unterteilten Daten A bis E. Zu diesem Zeitpunkt können die elektronischen Steuereinheiten, die zur Löschung zu instruieren sind, auf der Basis der Reihenfolgenliste spezifiziert werden. Dies verhindert eine Aufsummierung bzw. Ansammlung von alten Teilen von gesplitteten Daten, die aufgrund der Umprogrammierung unnotwendig bzw. überflüssig geworden sind, in den jeweiligen als Verteilungsziel dienenden elektronischen Steuereinheiten.
Die Verwaltungseinheit 216 ist dazu ausgelegt, verteilte Stücke von unterteilten Daten zu handhaben bzw. zu verwalten. Die Verwaltungseinheit 216 weist eine Funktion ähnlich wie die Funktion der Verwaltung der Stücke von unterteilten Daten der zweiten elektronischen Steuereinheit 12 und dgl. bei dem ersten Ausführungsbeispiel auf, und umfasst eine Registrierungsfunktion, eine Übertragungs- bzw. Sendefunktion und eine Löschfunktion. Dies bedeutet, dass als Reaktion auf eine Sendeanforderung bzw. Übertragungsanforderung von unterteilten Daten von der elektronischen Wirt-Steuereinheit oder einer der anderen elektronischen Steuereinheiten dann, wenn unterteilte Daten entsprechend der anfordernden elektronischen Steuereinheit vorhanden sind, die Übertragungsfunktion bzw. Sendefunktion die unterteilten Daten sendet, die der anfordernden elektronischen Steuereinheit entsprechen. Als Reaktion auf eine Anforderung zur Registrierung von unterteilten Daten von der elektronischen Wirt-Steuereinheit (”host ECU”) oder einer anderen der anderen elektronischen Steuereinheiten registriert die Registrierungsfunktion die unterteilten Daten, die von der anfordernden elektronischen Steuereinheit empfangen wurden, in dem Haltebereich in Verknüpfung mit bzw. Zuordnung zu der anfordernden elektronischen Steuereinheit. Als Reaktion auf eine Anforderung zur Löschung von unterteilten Daten aus der elektronischen Wirt- bzw. Host-Steuereinheit oder einer der anderen elektronischen Steuereinheiten löscht die Löschfunktion die unterteilten Daten, die mit der anfordernden elektronischen Steuereinheit verknüpft sind, in bzw. aus dem Haltebereich. Dies bedeutet, dass die elfte elektronische Steuereinheit 21 imstande ist, nicht nur unterteilte bzw. gesplittete Daten, die von der elektronischen Wirt-Steuereinheit verteilt bzw. zugeführt worden sind, sondern auch unterteilte Daten beizubehalten und zu verwalten, die von einer der anderen elektronischen Steuereinheiten verteilt bzw. zugeführt worden sind. Es ist anzumerken, dass die unterteilten Daten und die Reihenfolgenliste in der elften elektronischen Steuereinheit 21 auch in dem EEPROM gespeichert werden können; jedoch sind die unterteilten Daten und die Reihenfolgenliste nicht in den internen Daten der elften elektronischen Steuereinheit 21 enthalten, die für die Bestimmung einer Modifikation gedacht bzw. ausgelegt ist. Dies bedeutet, dass die Berechnungseinheit 211 ursprüngliche Daten FV oder einen jederzeitigen bzw. einmaligen Prüfwert CV berechnet, derart, dass die ursprünglichen Daten FV oder der jederzeitige bzw. einmalige Prüfwert CV die unterteilten Daten oder die Reihenfolgenliste nicht enthalten.
Die Umprogrammierungseinrichtung 20 ist mit der elften elektronischen Steuereinheit 21 verbunden, derart, dass sie über das Netzwerk 19 kommunikationsfähig ist. Eine Verbindung mit dem Netzwerk kann eine verdrahtete Verbindung sein oder kann drahtlos sein. Die Umprogrammierungseinrichtung 20 wird für die Aktualisierung des Steuerprogramms und dgl., das in dem EEPROM der elften elektronischen Steuereinheit 21, die hiermit verbunden ist, durch Überschreiben, d. h. durch eine sogenannte Reprogrammierung oder Umschreibung verwendet. Die elfte elektronische Steuereinheit 21 ist derart konfiguriert, dass das Steuerprogramm und Daten in den letzten bzw. jüngsten Zustand durch eine autorisierte Umprogrammierung aktualisiert werden, die durch die Umprogrammierungseinrichtung 20 bei einem Autohändler oder dgl. durchgeführt wird. Genauer gesagt, wenn die Umprogrammierungseinrichtung 20 mit dem Netzwerk 19 verbunden ist und mit der elften elektronischen Steuereinheit 21 über das Netzwerk 19 in kommunikationsfähiger Weise verbunden ist, wird ein neues Steuerprogramm, das in der Umprogrammierungseinrichtung 20 enthalten bzw. gehalten ist, in das EEPROM der elften elektronischen Steuereinheit 21 auf der Basis einer vorbestimmten Prozedur geschrieben.
Andererseits ermöglicht es die umprogrammierbare elfte elektronische Steuereinheit 21, dass die Dateninhalte modifiziert werden können, sodass die Dateninhalte durch eine ungeeignete bzw. unkorrekt ausgeführte Umprogrammierung oder durch einen nicht autorisierten Zugriff oder eine Manipulation über das Netzwerk 19 mittels mancher Einrichtungen umgeschrieben werden können, d. h. eine sogenannte Verfälschung bzw. Manipulation ausgeführt werden kann. Bei dem vorliegenden Ausführungsbeispiel wird daher bestimmt bzw. ermittelt, ob die internen Daten der elften elektronischen Steuereinheit 21 modifiziert worden sind.
Arbeitsweise
Als Nächstes werden Mittel bzw. Abhilfemaßnahmen für eine Umprogrammierung unter Bezugnahme auf 4 beschrieben. In der elften elektronischen Steuereinheit 21 werden Abhilfemaßnahmen für eine bzw. gegen eine Umprogrammierung für eine Periode bzw. Zeitdauer vor und nach einer Umprogrammierung ausgeführt.
Wenn die Umprogrammierungseinrichtung 20 mit dem Netzwerk 19 verbunden ist und eine Umprogrammierung für die elfte elektronische Steuereinheit 21 vorbereitet ist bzw. wird, beginnt die elfte elektronische Steuereinheit 21 damit, Maßnahmen bzw. Rettungsmaßnahmen für eine Umprogrammierung zu ergreifen. Als Erstes verwendet die elfte elektronische Steuereinheit 21 vor einer Umprogrammierung die Umprogrammierungs-Handhabungseinrichtung 215 für die Ausführung einer Datenrettung, durch die gesicherte Daten 143, einschließlich von Daten, die für den Prozess der Ermittlung einer Modifikation verwendet werden, zu der vierten elektronischen Steuereinheit 14 bewegt bzw. verschoben werden (S20). Wenn eine Datenrettung abgeschlossen worden ist, wird bzw. ist die elfte elektronische Steuereinheit 21 umprogrammiert (S21).
Wenn die Umprogrammierung abgeschlossen worden ist, sammelt die elfte elektronische Steuereinheit 21 die geretteten bzw. gesicherten Daten 143, die zu der vierten elektronischen Steuereinheit 14 verschoben worden sind, durch die Umprogrammierungs-Handhabungseinheit 215 (S22). Die Umprogrammierungs-Handhabungseinheit 215 instruiert dann die zweite und vierte bis siebte elektronische Steuereinheit 12 und 14 bis 17 dahingehend, die alten Stücke von unterteilten Daten A bis E, die vor der Umprogrammierung auf der Basis der Reihenfolgenliste verteilt worden sind, die in den gesammelten geretteten Daten 143 enthalten ist, aus der zweiten und vierten bis siebten elektronischen Steuereinheit 12 und 14 bis 17 zu löschen (S23). Zusätzlich veranlasst die Umprogrammierungs-Handhabungseinheit 215 die Berechnungseinheit 211 dazu, neue ursprüngliche Daten FV auf der Basis der umprogrammierten internen Daten der elften elektronischen Steuereinheit 21 zu berechnen, unterteilt die ursprünglichen Daten FV für die Erzeugung von fünf neuen Teilen von gesplitteten Daten A bis E, und verteilt diese neuen Stücke bzw. Teile von unterteilten Daten A bis E auf der Grundlage der Reihenfolgenliste (S24).
Indem Rettungsmaßnahmen bzw. Abhilfemaßnahmen für eine Umprogrammierung ergriffen werden, unabhängig davon, ob dies vor oder nach einer Umprogrammierung stattfindet, ist die elfte elektronische Steuereinheit 21 in dieser Weise imstande, zu bestimmen bzw. erkennen, ob die internen Daten in dem Fahrzeugnetzwerksystem modifiziert worden sind.
Wie vorstehend beschrieben, werden bei dem Fahrzeugnetzwerksystem gemäß dem vorliegenden Ausführungsbeispiel zusätzlich zu den vorteilhaften Effekten (1) bis (3), die bei dem ersten Ausführungsbeispiel beschrieben sind, vorteilhafte Effekte erhalten, die nachstehend aufgelistet sind.

(4) Die ursprünglichen Daten FV und allzeitige bzw. jeweilige Prüfwerte CV werden in der elften elektronischen Steuereinheit 21 generiert, die interne Daten aufweist, die eine Quelle bilden, anhand derer die ursprünglichen Daten FV und der jeweilige Prüfwert CV generiert werden, sodass es einfach ist, diese ursprünglichen Daten FV und den jeweiligen Prüfwert CV zu generieren. Zudem wird die Erzeugung der ursprünglichen Daten FV und des jeweiligen Prüfwerts CV auf der Basis von internen Daten zuverlässig und geeignet in der elften elektronischen Steuereinheit 21 ausgeführt, die die internen Daten aufweist. Aufgrund dieser Vorgehensweise wird in geeigneter Weise bestimmt bzw. ermittelt, ob die internen Daten modifiziert worden sind.
(5) Da die elfte elektronische Steuereinheit 21 die Mehrzahl von Stücken von unterteilten Daten A bis E unterteilt und verteilt, ist die elfte elektronische Steuereinheit 21 imstande, die Mehrzahl von Stücken bzw. Teilen von unterteilten Daten A bis E zu sammeln, die für eine Ermittlung einer Modifikation durch diese selbst erforderlich sind. Zudem ist die elfte elektronische Steuereinheit 21 dazu imstande, die Teile von unterteilten Daten A bis E als eine Reaktion auf eine Modifikation von internen Daten je nach Bedarf zu verteilen, sodass die Flexibilität der Verteilung der Stücke von unterteilten Daten A bis E verbessert ist. Aufgrund dieser Gestaltung wird in geeigneter Weise bestimmt bzw. ermittelt, ob die internen Daten modifiziert worden sind.
(6) Die elfte elektronische Steuereinheit 21 kann nicht nur ihre eigenen unterteilten Daten halten, sondern kann beispielsweise auch unterteilte Daten von einer der weiteren elektronischen Steuereinheiten halten bzw. speichern. Wenn in dieser Weise vorgegangen wird, ist es möglich, in breitem Umfang zu bestimmen bzw. ermitteln, ob die internen Daten modifiziert worden sind, und zwar für jede aus der Mehrzahl von elektronischen Steuereinheiten, die das Fahrzeugnetzwerksystem bilden.
(7) Wenn unterteilte Daten in der elften elektronischen Steuereinheit 21 vor einer Modifikation von internen Daten, d. h. vor einer sogenannten Umprogrammierung, gehalten sind bzw. werden, werden die unterteilten Daten zu einer der anderen elektronischen Steuereinheiten verschoben, sodass die unterteilten Daten beibehalten werden, selbst während einer Umprogrammierung der elften elektronischen Steuereinheit 21. Dies bedeutet, dass die unterteilten Daten in dem Fahrzeugnetzwerksystem selbst nach einer Umprogrammierung verwendbar sind. Als Beispiel ist dann, wenn gerettete bzw. gesicherte unterteilte Daten unterteilte Daten sind, die von einer der anderen elektronischen Steuereinheiten verteilt bzw. zugeführt worden sind, die eine von den anderen elektronischen Steuereinheiten imstande, zu ermitteln, ob die internen Daten modifiziert worden sind, und zwar auf der Basis der gesicherten unterteilten Daten, selbst wenn die vorbestimmte elektronische Steuereinheit umprogrammiert ist bzw. wird. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
(8) Da unterteilte Daten, die zu einer der anderen elektronischen Steuereinheiten bewegt bzw. verschoben sind, zu einer ursprünglichen elektronischen Steuereinheit bewegt bzw. verschoben werden, können die unterteilten Daten für eine Bestimmung einer Modifikation in gleichartiger Weise sowohl vor als auch nach einer Umprogrammierung verwendet werden. Dies verbessert eine Gefälligkeit bzw. Zweckmäßigkeit bei einer Ermittlung dahingehend, ob die internen Daten modifiziert worden sind. Wenn unterteilte Daten, die zu einer ursprünglichen elektronischen Steuereinheit verschoben sind, unterteilte Daten sind, die von einer der anderen elektronischen Steuereinheiten zu diesem Zeitpunkt verteilt bzw. zugeführt worden sind, ist die eine der weiteren elektronischen Steuereinheiten imstande, eine Bestimmung einer Modifikation selbst dann zu treffen bzw. durchzuführen, wenn die elfte elektronische Steuereinheit 21 umprogrammiert ist bzw. wird. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerks.

Drittes Ausführungsbeispiel
Ein Fahrzeugnetzwerksystem gemäß einem dritten Ausführungsbeispiel der Erfindung wird unter Bezugnahme auf 5 bis 7 beschrieben.
Das vorliegende Ausführungsbeispiel unterscheidet sich von dem ersten Ausführungsbeispiel dahingehend, dass eine Verteilungseinheit 314 vorgesehen ist, wohingegen die übrige Konfiguration die gleiche ist. Im Folgenden wird der Unterschied spezifisch beschrieben, wobei zum Zwecke der Vereinfachung der Beschreibung gleichartige Bezugszeichen gleichartige Komponenten wie diejenigen bei dem ersten Ausführungsbeispiel bezeichnen, und deren Beschreibung weggelassen wird.
Die Verteilungseinheit 314 weist eine ähnliche bzw. gleichartige Funktion wie diejenige der Verteilungseinheit 214 der elften elektronischen Steuereinheit 21 gemäß dem zweiten Ausführungsbeispiel auf, und verteilt ursprüngliche Daten FV, die den internen Daten der ersten elektronischen Steuereinheit 11 entsprechen und durch die Berechnungseinheit 111 berechnet worden sind, in drei, um Teile bzw. Stücke von unterteilten Daten 1 bis 3 zu generieren. Wie in 6 gezeigt ist, werden die Teile von unterteilten Daten 1 bis 3 dadurch generiert, dass die ursprünglichen Daten FV in drei mit einer festgelegten Länge unterteilt werden. Die ursprünglichen Daten FV werden durch einen Hash-Wert gebildet, der auf der Basis der internen Daten der ersten elektronischen Steuereinheit 11 berechnet ist. Es ist anzumerken, dass dann, wenn die drei Stücke von unterteilten Daten 1 bis 3 auf andere elektronische Steuereinheiten verteilt werden, eine Identifikation ID, die anzeigt, dass die Stücke von unterteilten Daten der ersten elektronischen Steuereinheit 11 entsprechen, zu jedem der drei Stücke von unterteilten Daten 1 bis 3 zugeordnet werden. Die Identifikation ID ist beispielsweise eine Identifikationsnummer der ersten elektronischen Steuereinheit 11 in dem Netzwerk.
Zusätzlich verteilt die Verteilungseinheit 314 die erzeugten Teile bzw. Stücke von unterteilten Daten 1 bis 3 auf andere elektronische Einheiten mit einem ”round-robin” Verteilungsschema bzw. einer Ringverteilung. Dies bedeutet, dass die Teile bzw. Stücke von unterteilten Daten 1 bis 3 sequenziell auf die zweite bis achte elektronische Steuereinheit 12 bis 18 in der angegebenen Reihenfolge verteilt bzw. zugeordnet werden. Die Reihenfolge der zweiten bis achten elektronischen Steuereinheit 12 bis 18 wird beispielsweise auf der Basis der Größe einer Identifikationsnummer in dem Netzwerk bestimmt, die jeder elektronischen Steuereinheit zugeordnet ist, und es werden die zweite bis achte elektronische Steuereinheit 12 bis 18 in der gleichen Reihenfolge wie die Reihenfolge von zweitens bis achtens identifiziert. Zudem ist die erste elektronische Wirt-Steuereinheit (host-ECU) 11 bei dem vorliegenden Ausführungsbeispiel von den Verteilungszielen ausgenommen, jedoch kann die erste elektronische Wirt-Steuereinheit 11 auch in den Verteilungszielen enthalten sein. Weiterhin ist die Verteilungseinheit 314 dazu ausgelegt, die Stücke von unterteilten Daten 1 bis 3 zwei-bei-zwei bzw. jeweils in Zweiergruppen zu verteilen. Die Verteilungseinheit 314 verteilt damit die Stücke von unterteilten Daten 1 bis 3 zu den elektronischen Steuereinheiten zweifach in der angegebenen Ordnung. Genauer gesagt, werden die unterteilten Daten 1 bis der ersten Verteilung zu der zweiten elektronischen Steuereinheit 12 verteilt, die unterteilten Daten 2 zu der dritten elektronischen Steuereinheit 13 verteilt, und die unterteilten Daten 3 zu der vierten elektronischen Steuereinheit 14 verteilt. Nachfolgend werden bei der zweiten Verteilung die unterteilten Daten 1 zu der fünften elektronischen Steuereinheit 15 verteilt bzw. geleitet, die unterteilten Daten 2 zu der sechsten elektronischen Steuereinheit 16 verteilt, und die unterteilten Daten 3 zu der siebten elektronischen Steuereinheit 17 verteilt. Wenn die Stücke von unterteilten Daten 1 bis 3 zweifach verteilt werden bzw. worden sind, ist die Verteilung der unterteilten Daten abgeschlossen.
Dies bedeutet, dass die Verteilungseinheit 314 einen Haltebereich 122 der zweiten elektronischen Steuereinheit 12 dazu veranlasst, die unterteilten Daten 1 mit Identifikation ID zu halten, einen Haltebereich 132 der dritten elektronischen Steuereinheit 13 dazu veranlasst, die unterteilten Daten 2 mit einer Identifikation ID zu halten, und einen Haltebereich 142 der vierten elektronischen Steuereinheit 14 dazu veranlasst, die unterteilten Daten 3 mit einer Identifikation ID zu halten. Zusätzlich veranlasst die Verteilungseinheit 314 einen Haltebereich 152 der fünften elektronischen Steuereinheit 15 dazu, die unterteilten Daten 1 mit Identifikation ID zu halten, veranlasst einen Haltebereich 162 der sechsten elektronischen Steuereinheit 16 dazu, die unterteilten Daten 2 mit Identifikation ID zu halten, und veranlasst einen Haltebereich 172 der siebten elektronischen Steuereinheit 17 dazu, die unterteilten Daten 3 mit Identifikation ID zu halten.
Die Stücke von unterteilten Daten 1 bis 3 werden in dieser Weise jeweils in zwei elektronischen Steuereinheiten gehalten bzw. gespeichert. Aufgrund dieser Vorgehensweise ist in dem Fahrzeugnetzwerksystem eine Redundanz bei dem Halten bzw. Speichern von jedem der Stücke von unterteilten Daten 1 bis 3 vorgesehen.
Arbeitsweise
Als Nächstes wird die Redundanz unter Bezugnahme auf 7 beschrieben. Wenn, wie in 7 gezeigt ist, eine gewisse Unzweckmäßigkeit oder Ungeeignetheit oder dgl. in der zweiten elektronischen Steuereinheit 12 auftritt und die erste elektronische Steuereinheit 11 dann nicht imstande ist, mit der zweiten elektronischen Steuereinheit 12 zu kommunizieren, ist die Kombiniereinheit 112 der ersten elektronischen Steuereinheit 11 nicht imstande, die unterteilten Daten 1 zu sammeln, die in der zweiten elektronischen Steuereinheit 12 gehalten sind. Wenn die unterteilten Daten 1 nicht gesammelt werden können, ist die erste elektronische Steuereinheit 11 in dieser Weise nicht imstande, zu ermitteln, ob die internen Daten der ersten elektronischen Steuereinheit 11 modifiziert worden sind. In einem solchen Fall sammelt die erste elektronische Steuereinheit 11 dann die anderen unterteilten Daten 1 von der fünften elektronischen Steuereinheit 15, sammelt die anderen unterteilten Daten 2 von der sechsten elektronischen Steuereinheit 16, und sammelt die anderen unterteilten Daten 3 von der siebten elektronischen Steuereinheit 17. Aufgrund dieser Vorgehensweise ist die erste elektronische Steuereinheit 11 selbst dann, wenn die zweite elektronische Steuereinheit 12, die die unterteilten Daten 1 hält, außer Kommunikationsfähigkeit tritt, imstande, zu ermitteln, ob die internen Daten modifiziert worden sind. Es ist anzumerken, dass die Tatsache, dass die Stücke von unterteilten Daten 1 bis 3 ebenfalls zu der fünften bis siebten elektronischen Steuereinheit 15 bis 17 verteilt sind, dadurch bekannt bzw. erkennbar ist, dass die Reihenfolgenliste konsultiert wird.
Wie vorstehend beschrieben, werden bei dem Fahrzeugnetzwerksystem gemäß dem vorliegenden Ausführungsbeispiel zusätzlich zu den vorteilhaften Effekten (1) bis (3), die in dem ersten Ausführungsbeispiel beschrieben sind, vorteilhafte Effekte erhalten, die nachfolgend aufgelistet sind.

(9) Da die Teile bzw. Stücke von unterteilten Daten 1 bis 3 der ersten elektronischen Steuereinheit 11 jeweils zwei-für-zwei bzw. zweifach in dem Fahrzeugnetzwerksystem verteilt werden, ist es selbst dann, wenn eine von der zweiten bis siebten elektronischen Steuereinheit 12 bis 17 nicht mehr mit der ersten elektronischen Steuereinheit 11 kommunizieren kann, möglich, die Stücke von unterteilten Daten zu sammeln bzw. zusammenzutragen, sodass es möglich ist, zu bestimmen bzw. ermitteln, ob die internen Daten modifiziert worden sind. Die Zuverlässigkeit des Netzwerksystems ist folglich verbessert.

Alternative Ausführungsbeispiele
Es ist anzumerken, dass die vorstehend beschriebenen Ausführungsbeispiele zu den nachfolgend angegebenen Ausführungsbeispielen modifiziert werden können.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist das Netzwerk
durch ein Controller-Bereichsnetzwerk (CAN, ”controller area network”) gebildet. Allerdings ist die Konfiguration nicht hierauf beschränkt. Solange bzw. sofern das Netzwerk eine Interkommunikation (Netzwerkkommunikation) zwischen elektronischen Steuereinheiten und dgl., die mit dem Netzwerk verbunden sind, erlaubt, kann das Netzwerk auch durch einen anderen Typ eines Netzwerks wie etwa Ethernet (Marke), Flex Ray (Marke) und IEEE1394 (FireWire (Marke)) gebildet sein. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
Bei dem vorstehend angegebenen zweiten Ausführungsbeispiel ist die Beschreibung im Hinblick auf einen Fall gegeben, bei dem die elfte elektronische Steuereinheit 21 die Stücke von unterteilten Daten 1 bis 3, die von der zweiten bis siebten elektronischen Steuereinheit 12 bis 17 gehalten werden, die weitere elektronische Steuereinheiten sind, löscht. Allerdings ist die Konfiguration nicht hierauf beschränkt. Es ist auch möglich, dass andere elektronische Steuereinheiten, die unterteilte Daten halten bzw. speichern, jeweils die Notwendigkeit der gehaltenen unterteilten Daten bestimmen bzw. ermitteln, und dann, wenn ermittelt wird, dass sie nicht notwendig sind, die gehaltenen unterteilten Daten gelöscht werden bzw. löschen. Als Beispiel kann, wie in 8 gezeigt ist, die fünfte elektronische Steuereinheit 15 eine Notwendigkeitsüberprüfungsfunktion als die Funktion des Verwaltens von unterteilten Daten aufweisen. Dies bedeutet, dass die Notwendigkeitsüberprüfungsfunktion die erste elektronische Steuereinheit 11 entsprechend den unterteilten Daten 1 hinsichtlich der Notwendigkeit der unterteilten Daten 1 befragt und die unterteilten Daten 1 in Abhängigkeit von einer Antwort auf die Anfrage beibehält oder löscht. Dies bedeutet, dass die fünfte elektronische Steuereinheit 15 die erste elektronische Steuereinheit 11 hinsichtlich der Notwendigkeit der unterteilten Daten 1 befragt und, wenn von der ersten elektronischen Steuereinheit 11 eine bestätigende Antwort erhalten wird, die unterteilten Daten 1 kontinuierlich beibehält. Wenn die fünfte elektronische Steuereinheit 15 andererseits eine negative Antwort auf die Anfrage von der ersten elektronischen Steuereinheit 11 oder keine Antwort von der ersten elektronischen Steuereinheit 11 erhält, und zwar für eine vorbestimmte Anzahl von Zeiten bzw. für eine vorbestimmte Häufigkeit, die fünfte elektronische Steuereinheit 15 die unterteilten Daten 1 löscht. Dies verhindert eine Ansammlung von nicht benötigten unterteilten Daten in der fünften elektronischen Steuereinheit 15. Es ist anzumerken, dass die vorstehend angesprochene Notwendigkeitsüberprüfungsfunktion für eine beliebige bzw. jede elektronische Steuereinheit oder dgl. vorgesehen sein kann, sofern bzw. solange wie die elektronische Steuereinheit oder dgl. geteilte bzw. gesplittete Daten hält. Aufgrund dieser Vorgehensweise wird die Funktion des Fahrzeugnetzwerksystems in geeigneter Weise aufrechterhalten.
Bei dem vorstehend beschriebenen dritten Ausführungsbeispiel ist die Beschreibung im Hinblick für den Fall gegeben, bei dem die ursprünglichen Daten FV in drei, mit einer festgelegten Länge, unterteilt werden, um die Stücke bzw. Teile von unterteilten Daten 1 bis 3 zu generieren. Allerdings ist die Gestaltung nicht hierauf beschränkt. Eine Mehrzahl von Stücken von unterteilten Daten können dadurch generiert werden, dass die ursprünglichen Daten mit einer variablen Länge in drei aufgeteilt werden. Durch die Unterteilung der ursprünglichen Daten FV derart, dass Teile von unterteilten Daten, die mindestens zwei oder mehr Arten von Längen (Datenlängen) aufweisen, wie in 9 als Beispiel gezeigt ist, werden unterteilte Daten 1A, unterteilte Daten 2A und unterteilte Daten 3A generiert, die mit mindestens zwei oder mehr Arten von Längen gebildet sind bzw. werden. Zu dieser Zeit bzw. hierbei kann die Unterteilungslänge (Datenlänge) vorab festgelegt sein, oder kann unter Verwendung einer Zufallszahl oder dgl. jedes Mal berechnet werden. Wenn die Datenlänge von unterteilten Daten in dieser Weise variiert wird, wird es weiterhin noch schwieriger, unterteilte Daten zu generieren, sodass es möglich ist, die Ermittlung einer Modifikation unter Verwendung der unterteilten Daten mit höherer Sicherheit zu treffen. Aufgrund dieser Vorgehensweise verbessert sich die Sicherheit des Fahrzeugnetzwerksystems noch weiter.
Bei dem vorstehend beschriebenen zweiten Ausführungsbeispiel ist die Beschreibung anhand eines Falls getroffen, bei dem eine Reprogrammierung bzw. Umprogrammierung durch die Umprogrammierungseinrichtung 20, die mit dem Netzwerk 19 verbunden ist, bei einem Händler ausgeführt wird. Allerdings ist die Gestaltung nicht hierauf beschränkt. Die Umprogrammierungseinrichtung 20 kann ein Gerät kleiner Größe wie etwa ein Tester sein oder kann ein Gerät mit großen Abmessungen wie etwa ein Zentrum sein. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Gestaltung bzw. des Entwurfs des Fahrzeugnetzwerksystems.
Bei dem vorstehend beschriebenen zweiten Ausführungsbeispiel ist die Beschreibung anhand eines Falls vorgestellt, bei dem die ursprünglichen Daten FV in fünf unterteilt werden, und es ist bei dem vorstehend beschriebenen dritten Ausführungsbeispiel die Beschreibung anhand eines Falls getroffen, bei dem die ursprünglichen Daten FV in drei unterteilt werden. Allerdings ist die Konfiguration nicht hierauf beschränkt. Die Anzahl von Teilen bzw. Unterteilungen der ursprünglichen Daten kann größer als 5 oder 3 sein, oder kann kleiner als 5 oder 3 sein. Aufgrund dieser Konzeption verbessert sich die Flexibilität der Gestaltung bzw. des Entwurfs des Fahrzeugnetzwerksystems.
Bei dem vorstehend beschriebenen dritten Ausführungsbeispiel ist die Beschreibung anhand eines Falls getroffen, bei dem Stücke bzw. Teile von unterteilten Daten auf die elektronischen Steuereinheiten in Form einer Ringverteilung aufgeteilt werden; allerdings ist die Konfiguration nicht hierauf beschränkt. Solange bzw. sofern es möglich ist, die Stücke von unterteilten Daten zu sammeln, wenn bestimmt bzw. ermittelt wird, ob Internetdaten modifiziert worden sind, können die Stücke bzw. Teile von unterteilten Daten durch eine andere Verteilungs- bzw. Aufteilungsmethode verteilt werden wie etwa durch einen anderen Verteilungsalgorithmus und eine Zufallsmethode. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität des Designs des Netzwerksystems.
Hierbei kann dann, wenn die erste elektronische Steuereinheit 11 nicht imstande ist, mit der zweiten elektronischen Steuereinheit 12 zu kommunizieren, die erste elektronische Steuereinheit 11 die Stücke von unterteilten Daten auf die dritte bis achte elektronische Steuereinheit 13 bis 18 umverteilen bzw. neu zu verteilen. Aufgrund einer solchen Vorgehensweise ist es möglich, die Redundanz von unterteilten Daten beizubehalten.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist die Beschreibung anhand des Falls getroffen, bei dem gesammelte Stücke von unterteilten Daten in der Reihenfolge ihrer Sammlung kombiniert werden; allerdings ist die Konfiguration nicht hierauf beschränkt. Durch die Hinzufügung von Informationen, durch die die Reihenfolge identifizierbar ist, zu Stücken von unterteilten Daten ist es möglich, die Stücke von unterteilten Daten unabhängig von der Reihenfolge ihrer Sammlung in korrekter Weise zu kombinieren. Durch diese Vorgehensweise verbessert sich die Flexibilität der Gestaltung des Fahrzeugnetzwerksystems.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist die Beschreibung anhand des Falles getroffen, bei dem die erste elektronische Steuereinheit 11 oder die elfte elektronische Steuereinheit 21, die für die Ermittlung dahingehend, ob die internen Daten modifiziert worden sind, gedacht bzw. ausgelegt ist, keine unterteilten Daten auf der Basis ihrer eigenen ursprünglichen Daten FV halten bzw. speichern. Allerdings ist die Konfiguration nicht hierauf beschränkt. Eine elektronische Steuereinheit, die für eine Ermittlung einer Modifikation gedacht bzw. ausgelegt ist, wie etwa die erste elektronische Steuereinheit 11 (oder die elfte elektronische Steuereinheit 21) können Teile von Stücken von unterteilten Daten halten bzw. speichern. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Netzwerksystems.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist die Beschreibung anhand des Falls getroffen, bei dem die zweite elektronische Steuereinheit 12 und die vierte bis siebte elektronische Steuereinheit 14 bis 17 jeweils ein unterteiltes Datum bzw. einen unterteilten Datenteil halten bzw. speichern. Allerdings ist die Konfiguration nicht hierauf beschränkt. Jede elektronische Steuereinheit kann eine Mehrzahl von Stücken von unterteilten Daten halten bzw. speichern. Wenn entsprechende elektronische Steuereinheiten identifizierbar sind, ist es hierbei möglich, eine Mehrzahl von Stücken von unterteilten Daten der Mehrzahl von elektronischen Steuereinheiten zu halten bzw. speichern. Zusätzlich ist es möglich, die Mehrzahl von Stücken von unterteilten Daten auch in einer elektronischen Steuereinheit zu halten, solange bzw. sofern die Reihenfolge von Stücken von unterteilten Daten identifizierbar ist. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
Bei dem vorstehend beschriebenen zweiten Ausführungsbeispiel ist die Beschreibung im Hinblick auf den Fall getroffen, bei dem die elfte elektronische Steuereinheit 21 die Verteilungseinheit 214 enthält. Allerdings ist die Konfiguration nicht hierauf beschränkt. Die Verteilungseinheit kann in einer anderen elektronischen Steuereinheit als die elfte elektronische Steuereinheit 21 enthalten sein. Dies bedeutet, dass die Verteilungseinheit in jeder beliebigen elektronischen Steuereinheit enthalten sein kann, sofern die Verteilungseinheit imstande ist, die ursprünglichen Daten FV der elften elektronischen Steuereinheit 21 zu erhalten bzw. zu gewinnen bzw. herbeizuholen und die verteilten Stücke von unterteilten Daten auf andere elektronische Steuereinheiten zu verteilen. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist die Beschreibung anhand des Falls vorgestellt, bei dem der jeweilige (aktuelle) Prüfwert CV (”each-time check value”, ”present-time check value”) in der ersten elektronischen Steuereinheit 11 oder der elften elektronischen Steuereinheit 21 gespeichert ist; allerdings ist die Konfiguration nicht hierauf beschränkt, solange es möglich ist, einen jeweiligen Prüfwert CV zu dem Zeitpunkt der Bestimmung bzw. Ermittlung dahingehend, ob die internen Daten modifiziert worden sind, zu erhalten bzw. erlangen, kann der jeweilige Prüfwert CV auch in einer der anderen elektronischen Steuereinheiten oder dgl., die eine andere ist als die erste elektronische Steuereinheit 11 (oder die elfte elektronische Steuereinheit 21) gehalten sein. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist die Beschreibung anhand des Falls vorgestellt, bei dem die erste elektronische Steuereinheit 11 die Berechnungseinheit 111, die Kombiniereinheit 112 und die Verifikationseinheit 113 enthält, oder anhand des Falls, bei dem die elfte elektronische Steuereinheit 21 die Berechnungseinheit 211, die Kombiniereinheit 212 und die Verifikationseinheit 213 enthält. Allerdings ist die Konfiguration nicht hierauf beschränkt. Mindestens eine von der Berechnungseinheit, der Kombiniereinheit und der Verifikationseinheit können in einer anderen elektronischen Steuereinheit als die erste elektronische Steuereinheit 11 (oder die elfte elektronische Steuereinheit 21) enthalten sein. Die Berechnungseinheit kann also an beliebiger Stelle enthalten sein, solange bzw. sofern die Berechnungseinheit imstande ist, die internen Daten der ersten elektronischen Steuereinheit 11 (oder der elften elektronischen Steuereinheit 21) zu erhalten. Die Kombiniereinheit kann an beliebiger Stelle enthalten bzw. angeordnet sein, vorausgesetzt, dass die Kombiniereinheit imstande ist, Stücke von unterteilten Daten zu sammeln bzw. zusammenzutragen. Die Verifikationseinheit kann an beliebiger Stelle enthalten bzw. angeordnet sein, unter der Voraussetzung, dass die Verifikationseinheit imstande ist, den jeweiligen Prüfwert CV und kombinierte Daten UV einer elektronischen Steuereinheit zu erhalten, die für die Bestimmung bzw. Ermittlung einer Modifikation intendiert bzw. ausgelegt ist. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist die Beschreibung anhand des Falls getroffen, bei dem die ursprünglichen Daten FV und der Prüfwert CV Hash-Werte sind; allerdings ist die Konfiguration nicht hierauf beschränkt.
Die ursprünglichen Daten FV und der Prüfwert CV können jegliche beliebige Werte sein, die eine Ermittlung hinsichtlich der Identifikation der internen Daten einer elektronischen Steuereinheit erlauben, die für die Ermittlung bzw. Bestimmung dahingehend ausgelegt ist, ob die internen Daten modifiziert worden sind. Als ein Beispiel kann ein Wert wie etwa eine Prüfsumme, der bzw. die durch einen Algorithmus erhalten wird, der sich von einer Hash-Funktion unterscheidet, als ein Prüfwert CV eingesetzt werden. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist die Beschreibung anhand eines Falls vorgestellt, bei dem die erste elektronische Steuereinheit 11 oder die elfte elektronische Steuereinheit 21 eine Bestimmung bzw. Ermittlung dahingehend ausführen, ob die internen Daten modifiziert worden sind. Allerdings ist die Konfiguration nicht hierauf beschränkt. Solange es möglich ist, einen Prüfwert CV und kombinierte Daten UV einer elektronischen Steuereinheit oder dgl., die für die Ermittlung dahingehend, ob die internen Daten modifiziert worden sind, ausgelegt ist, über das Netzwerk zu erhalten, kann eine von den weiteren elektronischen Steuereinheiten, die eine Gateway-Einrichtung oder dgl. enthält, ermitteln, ob die internen Daten der beabsichtigten bzw. ausgewählten elektronischen Steuereinheit modifiziert worden sind, und zwar auf der Basis jenes gewonnen Prüfwerts CV und der kombinierten Daten UV. Aufgrund dieser Vorgehensweise verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist die Beschreibung anhand eines Falls vorgestellt, bei dem sich die Konfiguration der ersten elektronischen Steuereinheit 11 oder der elften elektronischen Steuereinheit 21 von der Konfiguration der zweiten bis achten elektronischen Steuereinheit 12 bis 18 unterscheidet. Allerdings ist die Konfiguration nicht hierauf beschränkt. Die Konfiguration von jeder der zweiten bis achten elektronischen Steuereinheit 12 bis 18 kann die gleiche sein wie die Konfiguration der ersten elektronischen Steuereinheit 11 oder der elften elektronischen Steuereinheit 21. Wenn jede der zweiten bis achten elektronischen Steuereinheiten 12 bis 18 die gleiche bzw. eine ähnliche Konfiguration wie diejenige der ersten elektronischen Steuereinheit 11 aufweist, ist jede von den zweiten bis achten elektronischen Steuereinheiten 12 bis 18 ebenfalls imstande, zu ermitteln, ob die internen Daten modifiziert worden sind. Aufgrund dieser Gestaltung ist die Flexibilität der Konfiguration des Netzwerksystems verbessert.
Bei den vorstehend beschriebenen Ausführungsbeispielen ist die Beschreibung anhand eines Falls vorgestellt, bei dem das Fahrzeugnetzwerksystem an dem Fahrzeug 10 angebracht ist; allerdings ist die Konfiguration nicht hierauf beschränkt. Ein Teil des Fahrzeugnetzwerksystems kann außerhalb des Fahrzeugs vorgesehen sein. Dies bedeutet, dass ein Teil der elektronischen Steuereinheiten des Fahrzeugnetzwerksystems außerhalb des Fahrzeugs mittels drahtloser Kommunikation vorgesehen sein kann. Aufgrund dieser Gestaltung verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.
Bei den vorstehend beschriebenen Ausführungsbeispielen können erste Daten als dritte Daten verwendet werden. Aufgrund dieser Gestaltung verbessert sich die Flexibilität der Konfiguration des Fahrzeugnetzwerksystems.

Claims

Ein Fahrzeugnetzwerksystem, aufweisend: eine Mehrzahl von elektronischen Steuereinheiten, die mit einem Fahrzeugnetzwerk derart verbunden sind, dass sie miteinander kommunizieren können, und die eine Modifikation von internen Daten erlauben, wobei eine vorbestimmte elektronische Steuereinheit, die eine aus dem Netzwerk von elektronischen Steuereinheiten ist, erste Daten auf der Basis der internen Daten generiert, die in der vorbestimmten elektronischen Steuereinheit gehalten sind, wobei mindestens eine erste Mehrzahl von elektronischen Steuereinheiten zweite Daten, die durch Sammeln und Kombinieren von Teilen von unterteilten Daten, die von den ersten Daten abgetrennt und auf die Mehrzahl von elektronischen Steuereinheiten verteilt und in diesen gehalten sind, und dritte Daten, die auf der Basis von internen Daten, die durch die vorbestimmte elektronische Steuereinheit zu jedem Zeitpunkt gehalten sind, erzeugt sind, vergleicht, und auf der Basis eines Ergebnisses des Vergleichs bestimmt bzw. ermittelt wird, ob die internen Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten sind, modifiziert worden sind.
Fahrzeugnetzwerksystem nach Anspruch 1, bei dem die vorbestimmte elektronische Steuereinheit einen Vergleich zwischen den zweiten Daten und den dritten Daten durchführt.
Fahrzeugnetzwerksystem nach Anspruch 1 oder 2, bei dem die vorbestimmte elektronische Steuereinheit die zweiten Daten und die dritten Daten hält bzw. speichert.
Fahrzeugnetzwerksystem nach einem beliebigen der Ansprüche 1 bis 3, bei dem die vorbestimmte elektronische Steuereinheit die ersten Daten und die dritten Daten generiert.
Fahrzeugnetzwerksystem nach einem beliebigen der Ansprüche 1 bis 4, bei dem die vorbestimmte elektronische Steuereinheit die ersten Daten in Teile von unterteilten Daten aufteilt und die Teile von unterteilten Daten auf die Mehrzahl von elektronischen Steuereinheiten verteilt.
Fahrzeugnetzwerksystem nach einem beliebigen der Ansprüche 1 bis 5, bei dem die aufgeteilten Daten auch auf die vorbestimmte elektronische Steuereinheit verteilt werden.
Fahrzeugnetzwerksystem nach Anspruch 6, bei dem die vorbestimmte elektronische Steuereinheit eine Modifikation der internen Daten durch Kommunikation erlaubt, und die unterteilten Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten sind, dann, wenn die internen Daten der vorbestimmten elektronischen Steuereinheit modifiziert werden, zu einer der anderen elektronischen Steuereinheiten verschoben werden.
Fahrzeugnetzwerksystem nach Anspruch 7, bei dem nach einer Modifizierung der internen Daten der vorbestimmten elektronischen Steuereinheit die eine der anderen elektronischen Steuereinheiten die unterteilten Daten, die zu der einen der anderen elektronischen Steuereinheiten verschoben wurden, zu der vorbestimmten elektronischen Steuereinheit verschiebt.
Fahrzeuginformationsverarbeitungsverfahren, das in einem Fahrzeugnetzwerksystem eingesetzt wird, indem eine Mehrzahl von elektronischen Steuereinheiten derart verbunden ist, dass sie miteinander kommunizieren können, aufweisend: Erzeugen von ersten Daten vorab auf der Basis von internen Daten, die in einer vorbestimmten elektronischen Steuereinheit gehalten sind; Unterteilen der erzeugten ersten Daten in eine Mehrzahl von Teilen von unterteilten Daten; Aufteilen der Mehrzahl von Teilen von unterteilten Daten auf die Mehrzahl von elektronischen Steuereinheiten; Erzeugen von zweiten Daten durch Sammeln und Kombinieren der Teile von unterteilten Daten; Erzeugen von dritten Daten auf der Basis von internen Daten, die in der vorbestimmten elektronischen Steuereinheit zu jedem Zeitpunkt gehalten sind; und Bestimmen, ob die internen Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten sind, modifiziert worden sind, und zwar aufgrund eines Vergleiches zwischen den zweiten Daten und den dritten Daten.
Fahrzeuginformationsverarbeitungsverfahren nach Anspruch 9, bei dem der Vergleich zwischen den zweiten Daten und den dritten Daten durch die vorbestimmte elektronische Steuereinheit durchgeführt wird.
Fahrzeuginformationsverarbeitungsverfahren nach Anspruch 9 oder 10, bei dem die zweiten Daten und die dritten Daten durch die vorbestimmte elektronische Steuereinheit gehalten bzw. gespeichert sind.
Fahrzeuginformationsverarbeitungsverfahren nach einem beliebigen der Ansprüche 9 bis 11, bei dem die ersten Daten und die dritten Daten durch die vorbestimmte elektronische Steuereinheit generiert werden.
Fahrzeuginformationsverarbeitungsverfahren nach einem beliebigen der Ansprüche 9 bis 12, bei dem die Teile von unterteilten Daten, die von den ersten Daten abgeteilt sind, auf die Mehrzahl von elektronischen Steuereinheiten durch die vorbestimmte elektronische Steuereinheit aufgeteilt werden.
Fahrzeuginformationsverarbeitungsverfahren nach einem beliebigen der Ansprüche 9 bis 13, bei dem die aufgeteilten Daten auch auf die vorbestimmte elektronische Steuereinheit aufgeteilt werden.
Fahrzeuginformationsverarbeitungsverfahren nach Anspruch 14, bei dem die vorbestimmte elektronische Steuereinheit eine Modifikation der internen Daten durch Kommunikation erlaubt, wobei das Informationsverarbeitungsverfahren weiterhin umfasst: Bewegen der aufgeteilten Daten, die auf die vorbestimmte elektronische Steuereinheit aufgeteilt sind, zu einer der anderen elektronischen Steuereinheiten, wenn die internen Daten modifiziert werden.
Fahrzeuginformationsverarbeitungsverfahren nach Anspruch 15, das weiterhin umfasst: Bewegen der aufgeteilten Daten, die zu der einen der anderen elektronischen Steuereinheiten verschoben sind, zu der vorbestimmten elektronischen Steuereinheit nach der Modifizierung der internen Daten.
Fahrzeugnetzwerksystem, umfassend: eine Mehrzahl von elektronischen Steuereinheiten, die mit einem Fahrzeugnetzwerk so verbunden sind, dass sie miteinander kommunizieren können, und die eine Modifikation von internen Daten erlauben, wobei die Mehrzahl von elektronischen Steuereinheiten erste Daten auf der Basis von internen Daten generieren, die in einer ersten elektronischen Steuereinheit gehalten sind, die eine aus der Mehrzahl von elektronischen Steuereinheiten ist, wobei die Mehrzahl von elektronischen Steuereinheiten zweite Daten generiert, die durch Zusammentragen und Kombinieren von Teilen von unterteilten Daten erzeugt werden, die von den ersten Daten abgeteilt und auf die Mehrzahl von elektronischen Steuereinheiten aufgeteilt sind und in diesen gehalten sind, und die Mehrzahl von elektronischen Steuereinheiten ermittelt, ob die internen Daten, die in der ersten elektronischen Steuereinheit gehalten sind, modifiziert worden sind, und zwar aufgrund eines Vergleichs zwischen den ersten Daten und den zweiten Daten, der von mindestens einer der Mehrzahl von elektronischen Steuereinheiten durchgeführt wird.
Fahrzeugnetzwerksystem, aufweisend: eine Mehrzahl von elektronischen Steuereinheiten, die mit einem Fahrzeugnetzwerk so verbunden sind, dass sie miteinander kommunizieren können, und die eine Modifizierung von internen Daten ermöglichen, wobei eine erste elektronische Steuereinheit, die eine aus der Mehrzahl von elektronischen Steuereinheiten ist, aufweist: eine Erzeugungseinheit, die erste Daten auf der Basis der internen Daten generiert, die in einer vorbestimmten elektronischen Steuereinheit gehalten sind; eine Unterteilungseinheit, die die erzeugten ersten Daten unterteilt, um eine Mehrzahl von Teilen von unterteilten Daten zu generieren; eine Verteilungseinheit, die die Teile von unterteilten Daten auf die Mehrzahl von elektronischen Steuereinheiten aufteilt und die Mehrzahl von elektronischen Steuereinheiten dazu veranlasst, die Teile von unterteilten Daten zu halten; eine Kombiniereinheit, die die Teile von unterteilten Daten, die auf die Mehrzahl von elektronischen Steuereinheiten aufgeteilt und in diesen gehalten sind, zusammenträgt und kombiniert, um zweite Daten zu generieren; und eine Bestimmungseinheit, die ermittelt, ob die internen Daten, die in der vorbestimmten elektronischen Steuereinheit gehalten sind, modifiziert worden sind, und zwar auf der Basis eines Vergleichs zwischen den zweiten Daten und dritten Daten, die auf der Basis von internen Daten generiert sind, die in der vorbestimmten elektronischen Steuereinheit zu jedem Zeitpunkt gehalten sind.