DE102017200826A1 - Verfahren zum Betreiben einer Überwachungsvorrichtung eines Datennetzwerks eines Kraftfahrzeugs sowie Überwachungsvorrichtung, Steuergerät und Kraftfahrzeug - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zum Betreiben einer Überwachungsvorrichtung (23) eines Datennetzwerks (11) eines Kraftfahrzeugs (10), wobei die Überwachungsvorrichtung (23) an einem Netzwerkanschluss (12) aus dem Datennetzwerk (11) eine Datennachricht (19), welche zumindest ein elektrisches Signal (20, 21) umfasst, empfängt. Die Erfindung sieht vor, dass die Überwachungsvorrichtung (23) in einem vorbestimmten Nachrichtenabschnitt der Nachricht (19) zumindest einen Pegelwert eines jeweiligen Signalpegels des zumindest einen elektrischen Signals (20, 21) ermittelt und in Abhängigkeit von dem zumindest einen Pegelwert einen Prüfwert erzeugt und zu der Datennachricht (19) eine Absenderangabe, die ein angebliches Absendergerät der Datennachricht (19) angibt, ermittelt und in Abhängigkeit von der Absenderangabe einen Referenzwert ermittelt und, falls ein Unterschied zwischen dem Prüfwert und dem Referenzwert betragsmäßig größer als ein vorbestimmter Schwellenwert ist, ein Hinweissignal (28) erzeugt.

Description

• Die Erfindung betrifft ein Verfahren zum Betreiben einer Überwachungsvorrichtung in einem Datennetzwerk eines Kraftfahrzeugs. Die Überwachungsvorrichtung erkennt, falls in dem Datennetzwerk eine Datennachricht von einem falschen Absender versendet wird. Zu der Erfindung gehören auch die Überwachungsvorrichtung, ein Kraftfahrzeug-Steuergerät mit der Überwachungsvorrichtung sowie ein Kraftfahrzeug mit dem Steuergerät.
• In einem Kraftfahrzeug kann eine Überwachungsvorrichtung vorgesehen sein, um in einem Datennetzwerk eine Anomalie beim Sendeverhalten eines Netzwerkteilnehmers zu erkennen. Eine Anomalie kann z.B. auf einen Manipulationsversuch zurückzuführen sein, bei welchem ein Netzwerkteilnehmer, also zum Beispiel ein Steuergerät, eine Datennachricht unter Verwendung eines falschen Absenders aussendet. Hierdurch ergibt sich der Netzteilnehmer als ein anderer Netz Teilnehmer aus. Dies kann beispielsweise im Rahmen eines Versuchs eines nicht-autorisierten Tuning des Kraftfahrzeugs geschehen. Durch eine fehlerhafte Konfiguration kann es auch dazu kommen, dass ein Netzwerkteilnehmer eine Datennachricht versendet, die er gar nicht aussenden soll, weil dafür ein anderer Netzwerkteilnehmer vorgesehen ist.
• Im Zusammenhang mit der Erfindung ist unter dem besagten Datennetzwerk beispielsweise ein CAN-Bus (CAN - Controller Area Network), ein FlexRay-Bus, ein Ethernet-Netzwerk, ein MOST-Bus, ein USB-Bus oder eine Kombination aus zumindest zwei unterschiedlichen der genannten Netzwerk-Technologien zu verstehen.
• Der Erfindung liegt die Aufgabe zugrunde, ein Datennetzwerk eines Kraftfahrzeugs auf falsche Datennachrichten hin zu überwachen.
• Die Aufgabe wird durch die Gegenstände der unabhängigen Patentansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung sind durch die abhängigen Patentansprüche, die folgende Beschreibung sowie die Figuren beschrieben.
• Die Erfindung stellt ein Verfahren bereit, um eine Überwachungsvorrichtung für das Datennetzwerk des Kraftfahrzeugs zu betreiben. Die Überwachungsvorrichtung kann zum Beispiel als Zusatzschaltung in einem Steuergerät des Kraftfahrzeugs vorgesehen sein. Das Verfahren sieht vor, dass die Überwachungsvorrichtung an einem Netzwerkanschluss eine Datennachricht aus dem Datennetzwerk empfängt. Eine solche Datennachricht ist zwar ein digitales Signal, wird aber auf der physikalischen Ebene (PHY) als zumindest ein elektrisches Signal übertragen. Die Datennachricht umfasst also zumindest ein solches elektrisches Signal. In einem vorbestimmten Nachrichtenabschnitt der Nachricht wird zumindest ein Pegelwert eines jeweiligen Signalpegels des zumindest einen elektrischen Signals ermittelt. Als Signalpegel kann beispielsweise ein Spannungspegel oder ein Strompegel erfasst werden. Der Pegelwert gibt dann entsprechend die Spannungsamplitude oder die Stromamplitude an. In Abhängigkeit von dem zumindest einen Pegelwert wird ein Prüfwert erzeugt. Mit anderen Worten werden bei Erfassen mehrerer Pegelwerte diese zu einem einzigen Prüfwert kombiniert. Bei einem einzelnen erfassten Pegelwert kann dieser als Prüfwert verwendet werden.
• Zu der Datennachricht wird des Weiteren ein Identifier oder eine Absenderangabe ermittelt, die das angebliche Absendergerät der Datennachricht angibt. Das angebliche Absendergerät ist ein anderer Netzwerkteilnehmer, also zum Beispiel ein Steuergerät, von dem potenziell die Datennachricht stammen könnte und gemäß der Absenderangabe auch angeblich stammt. Eine andere Bezeichnung für Netzwerkteilnehmer ist auch Station. Nun soll überprüft werden, ob die Absenderangabe korrekt ist. In Abhängigkeit von der Absenderangabe wird hierzu z.B. aus einem Datenspeicher der Überwachungsvorrichtung ein Referenzwert ermittelt. Dieser Referenzwert bezieht sich auf den Prüfwert.
• Falls ein Unterschied zwischen den Prüfwert und dem Referenzwert größer als ein vorbestimmter Schwellenwert ist, wird ein Hinweissignal erzeugt. Der Unterschied wird hierbei bevorzugt betragsmäßig erfasst, sodass es keinen Unterschied macht, ob der Prüfwert größer oder kleiner als der Referenzwert ist.
• Die Erfindung nutzt zum Erkennen einer falschen Absenderangabe aus, dass der zumindest eine Pegelwert beim Übertragen über das Datennetzwerk durch den Leitungsabschnitt oder das Leitungssegment verändert wird, über welches das Absendergerät mit der Überwachungsvorrichtung elektrisch verbunden ist. Das Absendergerät kann das zumindest eine elektrische Signal beispielsweise gemäß einer Norm oder einem Standard für die Kommunikation des Datennetzwerks erzeugen, also einen Normpegelwert für das zumindest eine elektrische Signal einstellen. Durch die Impedanz, die sich für den Leistungsabschnitt ergibt, der das Absendergerät und die Überwachungsvorrichtung verbindet, wird aber der jeweilige Signalpegel des zumindest einen elektrischen Signals gedämpft oder allgemein verändert. Die Impedanz kann nämlich einen induktiven, kapazitiven und/oder ohmschen Anteil aufweisen, von denen jeder einen Einfluss auf das zumindest eine elektrische Signal aufweisen kann. Durch den Referenzwert kann angegeben werden, welchen Prüfwert die Überwachungsvorrichtung zu erwarten hat, falls die Datennachricht von dem korrekten Absendergerät ausgesendet wurde. Wird die Datennachricht dagegen durch ein anderes Absendergerät in Datennetzwerk ausgesendet, so befindet sich ein anderer Leitungsabschnitt zwischen dem unerlaubt sendenden Absendergerät mit der Überwachungsvorrichtung. Dieser Leitungsabschnitt weist z.B. aufgrund einer anderen Leitungslänge eine andere Impedanz auf, sodass sich entsprechend auch ein jeweiliger anderer Pegelwert für das zumindest eine elektrische Signal ergibt, als es der Fall wäre, wenn das korrekte Absendergerät die Datennachricht aussenden würde.
• Durch die Erfindung ergibt sich der Vorteil, dass die Erkennung einer Datennachricht mit gefälschter Absenderangabe auf physikalischer Ebene auf der Grundlage der Messung zumindest eines Pegelwert erfolgt. Dies erschwert es für ein Absendergerät, eine falsche Absenderangabe zu kaschieren. Ein weiterer Vorteil besteht darin, dass es ausreicht, die Überwachungseinrichtung bereitzustellen, ohne dass übrige Netzwerkteilnehmer, also andere Steuergeräte, in ihrem Sendeverhalten und/oder in ihrer schaltungstechnischen Bauweise angepasst oder verändert werden müssten, um die erfindungsgemäße Überwachung in dem Datennetzwerk bereitstellen zu können.
• Durch die Erfindung sind auch Weiterbildungen umfasst, durch die sich zusätzliche Vorteile ergeben.
• In einem Datennetzwerk, das vorsieht, dass die Datennachricht zwei elektrische Signale einer differentiellen Übertragung umfasst (zwei gegenphasige elektrische Signale), werden als jeweiliger Pegelwert dieser beiden Signale bevorzugt zum einen ein Maximalwert des einen Signals und ein Minimalwerts des anderen Signals ermittelt. Die Überwachungsvorrichtung berechnet einen Pegeldifferenzwert einer Pegeldifferenz des Maximalwerts und des Minimalwerts. Es werden also der größte Signalpegel und der kleinste Signalpegel ermittelt. Allgemein können zwei Pegelwerte der beiden differentiellen Signale verwendet werden. Der Prüfwert wird auf Grundlage der Pegeldifferenz ermittelt. Beispielsweise kann der Pegeldifferenzwert direkt als Prüfwert verwendet werden. Durch diese Weiterbildung können zwei elektrische Signale beim Überwachen des Datennetzwerks berücksichtigt werden.
• Gemäß einer Weiterbildung erzeugt nicht nur die Überwachungsvorrichtung selbst, sondern zusätzlich ein anderer Netzwerkteilnehmer, also z.B. ein anderes Steuergerät, einen solchen Pegeldifferenzwert. Bei dieser Weiterbildung empfängt die Überwachungsvorrichtung entsprechend über das Datennetzwerk den weiteren Pegeldifferenzwert der weiteren, an dem Datennetzwerk ermittelten Pegeldifferenz der beiden Signale. Der Prüfwert wird dann auf der Grundlage eines Quotienten der beiden Pegeldifferenzwerte ermittelt. Dies ergibt zwei Vorteile. Zum einen ist der Prüfwert dadurch unabhängig von dem durch das Absendergerät verwendeten Signalpegel. Hierdurch ist man von Fertigungstoleranzen unabhängig, sodass das Austauschen eines Absendergeräts nicht zu einer Verfälschung des Prüfwerts führt und sich damit für das korrekte Absendergerät stets wieder der Referenzwert ergibt. Ein weiterer Vorteil besteht darin, dass an zwei Stellen im Datennetzwerk, d.h. an zwei Netzwerkanschlüssen, jeweils eine Pegeldifferenz ermittelt wird. Somit ist verhindert, dass durch die Überwachungsvorrichtung eine verfälscht Absenderangabe und unerkannt bleibt könnte, weil das nicht-autorisierte Absendergerät zufällig denselben Abstand zur Überwachungsvorrichtung aufweist wie das korrekte Absendergerät und damit die Leitungsabschnitte gleich lang wären.
• Um die Absenderangabe zu ermitteln, kann vorgesehen sein, dass die Überwachungsvorrichtung die Absenderangabe aus der Datennachricht ausliest. Dies ist möglich, falls die Datennachricht eine Angabe zum Absendergerät enthält, beispielsweise dessen Netzwerk-Adresse. Alternativ dazu kann vorgesehen sein, dass die Überwachungsvorrichtung die Absenderangabe aus einem vorgegebenen Konfigurationsplan des Datennetzwerks anhand eines Nachrichtentyps der Datennachricht ermittelt. Beispielsweise kann die Datennachricht einen Wert einer bestimmten Messgröße, beispielsweise eines Lenkwinkels, enthalten. Eine Datennachricht eines gegebenen Nachrichtentyps („Lenkwinkel“) kann gemäß dem Konfigurationsplan bestimmungsgemäß nur von einem vorbestimmten Absendergerät stammen. Somit kann auch auf diese Weise eine Absenderangabe ermittelt werden.
• Eine weitere Frage ist, wie man den Referenzwert in dem Kraftfahrzeug bereitstellen kann. Der Referenzwert kann in einer Kalibrierphase erzeugt werden, indem die Überwachungsvorrichtung über das Datennetzwerk eine Referenznachricht aus einem bekannten Absendergerät empfängt, dessen tatsächliche Absenderangabe bekannt ist. Zu der Referenznachricht kann in der beschriebenen Weise ebenfalls der Prüfwert berechnet werden. Der berechnete Prüfwert dient dann als Referenzwert, der z.B. in den Datenspeicher abgespeichert wird. Die Kalibrierphase kann beispielsweise während der Herstellung des Kraftfahrzeugs oder während eines Aufenthalts in einer Werkstatt erfolgen, wenn sichergestellt werden kann, dass in dem Datennetzwerk während der Kalibrierphase keine Manipulation vorliegt. Das Vermessen eines Referenzwerts weist den Vorteil auf, dass Fertigungstoleranzen in dem Referenzwert berücksichtigt und somit bei der Überwachung implizit kompensiert werden können.
• Alternativ kann der Referenzwert auch berechnet werden. Der Referenzwert kann hierzu in Abhängigkeit von einem Impedanzwert des die Überwachungsvorrichtung mit dem bekannten Absendergerät elektrisch verbindenden Leitungssegments des Datennetzwerks berechnet werden. Falls kein zweiter Prüfwert durch ein anderes Steuergerät ermittelt wird, kann zusätzlich der Referenzwert in Abhängigkeit von einem Normpegelwert des von dem bekannten Absendergerät beim Erzeugen des zumindest einen elektrischen Signals verwendeten Normpegels zum Beispiel für Strom oder Spannung, insbesondere der besagte Maximalwert und Minimalwert, erfolgen.
• Um einen aussagekräftigen Pegelwert zu erhalten, wird in der beschriebenen Weise ein vorbestimmter Nachrichtenabschnitt genutzt. Eine Weiterbildung sieht vor, dass die Überwachungsvorrichtung als den vorbestimmten Nachrichtenabschnitt ein vorbestimmtes Signalbit der Datennachricht ermittelt. Welches Signalbit hier geeignet ist, hängt von dem Kommunikationsprotokoll ab, dass in den Datennetzwerk verwendet wird. Es wird bevorzugt ein solches Signalbit verwendet, bei welchem ein Signalpegel den besagten Maximalwert aufweist.
• Um mit geringem technischem Aufwand die Überwachung durchzuführen, ist bevorzugt vorgesehen, dass die Überwachungsvorrichtung den zumindest einen Pegelwert mittels einer Sample-and-Hold-Schaltung und mittels eines dieser nachgeschalteten Analog-Digital-Wandlers erzeugt. Somit kann die Überwachungsvorrichtung mitlesen, d.h. mittels der Sample-and-Hold-Schaltung den vorbestimmten Nachrichtenabschnitt erfassen, also den jeweiligen Signalpegel des zumindest einen elektrischen Signals zum Beispiel in einem jeweiligen Kondensator speichern, ohne dass hierdurch die Datennachricht für die Nutzung durch ein Steuergerät verloren geht.
• Entsprechend ist vorgesehen, dass die Überwachungsvorrichtung bevorzugt als eine Zusatzschaltung in einem Steuergerät des Kraftfahrzeugs betrieben wird. Ein Steuergerät weist eigentlich eine Applikationsschaltung auf, durch welche das Steuergerät eine Steuergerät-spezifische Fahrzeugfunktion bereitstellen kann, z.B. eine Aktuatorsteuerung oder eine sensorische Erfassung von Messwerten oder eine Fahrerassistenz. Eine solche Fahrzeugfunktion kann also beispielsweise die Steuerung eines elektrischen Motors für eine Servolenkung und/oder eine Fahrerassistenz für eine Fahrstabilitätskontrolle sein. Diese Applikationsschaltung des Steuergeräts empfängt zum Bereitstellen der Fahrzeugfunktion über denselben Netzwerkanschluss die Datennachricht und zwar unabhängig von der Überwachungsschaltung. In der beschriebenen Weise liest also die Überwachungsvorrichtung die Datennachricht nur mit und überwacht, ob diese von dem korrekten Absendergerät stammt. Somit ist das Steuergerät vor gefälschten Datennachrichten geschützt.
• Die Erfindung sieht auch das Bereitstellen der besagten Überwachungsvorrichtung für das Datennetzwerk des Kraftfahrzeugs vor. Überwachungsvorrichtung weist hierzu eine elektronische Schaltung auf, die dazu eingerichtet ist, eine Ausführungsform des erfindungsgemäßen Verfahrens durchzuführen. Beispielsweise kann eine elektronische Schaltung mit der besagten Sample-and-Hold-Schaltung, dem Analog-Digital-Wandler und einer nachgeschalteten Prozessoreinrichtung (beispielsweise einem Mikroprozessor oder Mikrocontroller) vorgesehen sein. Das Verfahren kann beispielsweise auch Programmcode umfassen, um die besagten Berechnungsschritte durchführen zu können.
• Besonders vorteilhaft ist es, wenn die Überwachungsvorrichtung als integraler Bestandteil eines Steuergeräts für ein Datennetzwerk des Kraftfahrzeugs realisiert ist. Entsprechend stellt die Erfindung auch ein solches Steuergerät bereit, das einen Netzwerkanschluss zum Anschließen des Steuergeräts an das Datennetzwerk aufweist, wobei an den Netzwerkanschluss sowohl die beschriebene Applikationsschaltung zum Bereitstellen einer Fahrzeugfunktion als auch unabhängig davon eine Ausführungsform der erfindungsgemäßen Überwachungsvorrichtung angeschlossen sind.
• Schließlich umfasst die Erfindung auch ein Kraftfahrzeug mit einem Datennetzwerk, an welches eine Ausführungsform des erfindungsgemäßen Steuergeräts angeschlossen ist, also ein Steuergerät mit der Überwachungsvorrichtung. Des Weiteren ist an das Datennetzwerk zumindest ein weiterer Netzwerkteilnehmer, also zum Beispiel ein weiteres Steuergerät, angeschlossen. Der weitere Netzwerkteilnehmer ist dazu eingerichtet, zumindest eine Datennachricht auszusenden. Durch das erfindungsgemäße Steuergerät kann in dem Kraftfahrzeug erkannt werden, ob eine von dem Steuergerät empfangene Datennachricht tatsächlich von dem Netzwerkteilnehmer stammt.
• Das erfindungsgemäße Kraftfahrzeug ist bevorzugt als Kraftwagen, insbesondere als Personenkraftwagen oder Lastkraftwagen, ausgestaltet.
• Im Folgenden ist ein Ausführungsbeispiel der Erfindung beschrieben. Hierzu zeigt:
• 1 eine schematische Darstellung einer Ausführungsform des erfindungsgemäßen Kraftfahrzeugs;
• 2 eine schematische Darstellung zweier Steuergeräte, die über ein Datennetzwerk des Kraftfahrzeugs von 1 kommunizieren; und
• 3 eine schematische Darstellung eines inneren Aufbaus eines der Steuergeräte, welches eine Überwachungsvorrichtung für das Datennetzwerk aufweist.
• Bei dem im Folgenden erläuterten Ausführungsbeispiel handelt es sich um eine bevorzugte Ausführungsform der Erfindung. Bei dem Ausführungsbeispiel stellen die beschriebenen Komponenten der Ausführungsform jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden und damit auch einzeln oder in einer anderen als der gezeigten Kombination als Bestandteil der Erfindung anzusehen sind. Des Weiteren ist die beschriebene Ausführungsform auch durch weitere der bereits beschriebenen Merkmale der Erfindung ergänzbar.
• In den Figuren sind funktionsgleiche Elemente jeweils mit denselben Bezugszeichen versehen.
• 1 zeigt ein Kraftfahrzeug 10, bei dem es sich um einen Kraftwagen, insbesondere einem Personenkraftwagen oder Lastkraftwagen handeln kann. Das Kraftfahrzeug 10 kann ein Datennetzwerk 11 aufweisen, das beispielhaft ein CAN-Bus oder ein FlexRay-Bus sein kann. An das Datennetzwerk 11 kann über einen jeweiligen Netzwerkanschluss 12 jeweils ein Steuergerät 13, 14, 15, 16 angeschlossen sein. Die Steuergeräte 13, 14, 15, 16 sind durch eine jeweilige individuelle Bezeichnung (ECU M, ECU 1, ECU 2, ECU C) voneinander unterschieden. Bei dem Steuergerät 13 (ECU M) kann es sich zum Beispiel um einen Busmaster für das Datennetzwerk 11 handeln. Die Steuergeräte ECU 1, ECU 2 können beispielsweise jeweils eine Sensoreinrichtung und/oder eine Aktuatorsteuerung bereitstellen. Das Steuergerät 16 kann ein weiterer Netzwerkteilnehmer (C - Client) sein.
• In 1 ist veranschaulicht, dass ein jeweiliges Leitungssegments 17 mit einer Leitungslänge 1_1M das Steuergerät ECU 1 mit dem Steuergerät ECU M und ein Leitungssegments 18 mit einer Leitungslänge 1_1C das Steuergerät ECU 1 mit dem Steuergerät ECU C elektrisch verbinden kann.
• Zum Übertragen einer Datennachricht 19 kann beispielsweise das Steuergerät ECU 1 elektrische Signale in dem jeweiligen Leitungssegment 17, 18 erzeugen, die über den jeweiligen Netzwerkanschluss 12 der Steuergeräte ECU M und ECU C (und auch ECU 2) empfangen werden können.
• 2 veranschaulicht hierbei, den Einfluss des Leitungssegments 17 beim Übertragen der Datennachricht 19 von dem Steuergerät ECU 1 zu dem Steuergerät ECU M. Es kann vorgesehen sein, dass zwei elektrische Signale 20, 21 zum differentiellen Übertragen einer Datennachricht 19 in einer High-Leitung H und einer Low-Leitung L erzeugt werden, wie dies im Zusammenhang mit der Technologie des CAN-Bus und des FlexRay-Bus bekannt ist.
• 3 veranschaulicht, wie beispielsweise in dem Steuergerät ECU M zusätzlich zur eigentlichen Applikationsschaltung 22 eine Überwachungsvorrichtung 23 bereitgestellt werden kann, die unabhängig von der Applikationsschaltung 22 die über den Netzwerkanschluss Fall 12 empfangenen elektrischen Signale 20, 21 erfassen kann. Die Überwachungsvorrichtung 23 kann hierzu eine Auswahllogik 24, eine Sample-and-Hold-Schaltung 25, einen Analog-Digital-Wandler 26 und eine Prozessoreinrichtung 27 aufweisen, beispielsweise einen Mikrocontroller. Die Prozessoreinrichtung 27 kann Bestandteil der Applikationsschaltung 22 sein. Der Analog-Digital-Wandler 26 kann bereits Bestandteil eines Mikrocontrollers sein, der die Prozessoreinrichtung 27 darstellt.
• Falls das Steuergerät ECU M eine Datennachricht 19 empfängt, die nicht von demjenigen Steuergerät 14, 15 ausgesendet wurde, das zum Erzeugen der spezifischen Datennachricht 19 des entsprechenden Nachrichtentyps vorgesehen ist, so erkennt die Überwachungsvorrichtung 23 diese Datennachricht 19 als gefälscht oder fehlerhaft und kann daraufhin ein Hinweissignal 28 erzeugen, welches auf diese gefälschte Datennachricht 19 hinweisen kann.
• Die Überwachungsvorrichtung 23 kann hierzu ein Verfahren zur Anomalie-Detektion in einem Netzwerk durchführen. Dabei wird die Quelle einer Nachricht 19 auf dem Netzwerk 11 durch ein charakteristisches Muster verifiziert, welches nur durch physikalische Randbedingungen, wie die Dämpfung auf einem Ausbreitungsmedium, etwa auf einer elektrischen Leitung, gegeben ist, und daher nur sehr schwer verfälscht werden kann. Bei dem Netzwerk kann es sich um den CAN-Bus, FlexRay, Ethernet, MOST handeln, um die breite Verwendungsmöglichkeit des Ansatzes zu verdeutlichen.
• Es werden zu geeigneten Zeitpunkten Amplituden- oder Amplitudendifferenzen des Bussignals erfasst und nach erfolgreichem Empfang mit dem erwarteten Muster des berechtigten Absendergeräts verglichen. Stimmen diese Muster überein, liegt der Normalfall vor, d.h. die Nachricht stammt also von dem berechtigten Absendergerät. Im anderen Fall lässt sich eine Anomalie feststellen, es wurde detektiert, dass eine Nachricht nicht von dem berechtigten Absendergerät als Quelle der Nachricht 19 gesendet wurde. Angriffe können mit Hilfe einer Anomalie-Detektion wirksam erkannt und in einem weiteren Schritt abgewehrt werden. In der Überwachungsvorrichtung 23 wird unter Signal unmittelbar die Spannung (ggf. auch der Strom) auf der Busleitung geprüft, es erfolgt also bei der hier beschriebenen Anomalie-Detektion keine Decodierung der Nachrichteninhalte, abgesehen vom Identifier, der als Absenderangabe verwendet wird, um das charakteristische Muster einer Signalquelle zuzuordnen.
• Für das Verfahren wird keine Periodizität der zu untersuchenden Nachrichten erwartet. Es wird auch keinerlei Kooperation des sendenden Netzwerkteilnehmers vorausgesetzt, es müssen von dem sendenden Absendergerät also keine zusätzlichen Informationen, wie etwa Zeitstempel gesendet werden. Weiterhin wird mit dem Verfahren angestrebt, den Mehraufwand klein zu halten, etwa dadurch dass die überwiegende Mehrzahl der elektronischen Steuergeräte keinerlei Modifikation benötigen.
• Ausgenutzt wird, dass in einem Netzwerk charakteristische Dämpfungen auf den Leitungen zwischen den einzelnen ECUs, welche in statischen Netzwerken weitgehend fest und somit deterministisch sind, gelten.
• Sendet, wie in 2 dargestellt, die ECU 1 eine Nachricht, erfolgt dies etwa beim CAN-Bus oder bei FlexRay durch differentielle Leitungsübertragung. Eine der beiden symmetrischen Busleitungen wird mit einem Pegel U_1H moduliert, die andere Leitung mit einem entgegengesetzten Pegel U_1L. Hier ist beispielhaft nur ein einziges, ideal terminiertes Leitungssegment 17 dargestellt.
• Nach 2 breitet sich auf der Leitung die Spannung U_1H(t,l) bzw. U_1L(t,l) als gedämpfte Welle aus, und werden von ECU M empfangen als gedämpfte, kleinere Spannungen U_MH bzw. U_ML, so dass die Differenzen $$\mathrm{\Delta }\text{U}1={\text{U}}_{1\text{H}}-{\text{U}}_{1\text{L}}$$

  

  $$\mathrm{\Delta }\text{UM}={\text{U}}_{\text{MH}}-{\text{U}}_{\text{ML}}$$

  

  $$\mathrm{\Delta }{\text{U}}_{\text{M}}=\mathrm{\Delta }{\text{U}}_1\cdot {10}^{\left(0.1\cdot \mathrm{\alpha }\cdot \text{l\_1M}\right)}$$

  
• Der Koeffizient α drückt dabei die Dämpfung der Leitung in dB/m aus, l_1M = l_1M die Leitungslänge zwischen ECU 1 und ECU M bei reflexionsarm ausgeführter Terminierung aus (reflexionsarme Terminierung sollte hier stets sichergestellt sein).
• Die Amplitudendifferenz an der empfangenden ECU wird also zunächst von der sendenden ECU bestimmt, diese nimmt dann exponentiell über der Leitungslänge l_1M ab. Typische, betragsmäßige Werte für α liegen in der Größenordnung 0.1 bis 0.3 dB/m.
• Es sei nun angenommen, dass zu einem beliebigen Zeitpunkt ein Steuergerät ECU X eine Nachricht aussende, welche von allen ECUs die an das Datennetzwerk angeschlossen sind, empfangen werden, insbesondere von der ECU M. X kann hier z.B. 1 oder 2 sein. Überwachungsvorrichtung 23 ermittelt zu der Datennachricht 19 von dem noch unbekannten Steuergerät ECU X eine Pegeldifferenz ΔU_M = ΔU_x.
• Für bestimmte Identifier sicherheitskritischer Nachrichten, etwa dem Lenkwinkel, oder der Drosselklappenstellung, kann ECU M nun nach dem Verfahren einen Vergleich der aktuell festgestellten Amplitudendifferenz ΔU_x(actual) der Buspegel mit einer erwarteten Amplitudendifferenz ΔU_x(expected) vornehmen, und eine Abweichung als Anomalie werten $$\text{Apat}\left(\text{X}\right)=\mathrm{\Delta }{\text{U}}_{\text{X}}\left(\text{actual}\right)-\mathrm{\Delta }{\text{U}}_{\text{X}}\left(\text{expected}\right)$$

  
• In einer unerwünschten, d.h. sicherheitskritischen Situation würde ECU Y nun eine Nachricht 28 senden, welche vorgeblich von ECU X stammt (Y ungleich X) . Beim CAN-Bus wäre dies beispielsweise der Fall, wenn ECU Y einen CAN-Identifier verwendet, der normalerweise ausschließlich ECU X zugeordnet ist. In einem herkömmlichen Netzwerk könnte diese missbräuchliche Verwendung eines CAN-Identifier nicht erkannt werden. Eine solche Situation entsteht etwa beim „Hacking“ einer ECU Y, von der aus gefälschte CAN-Nachrichten ausgesendet werden. $$\text{falls}\left(\left|\text{Apat}\left(\text{x}\right)\right|>\text{Limit}\right)\to \text{Anomalie}$$

  
• Zur Ermittlung einer charakteristischen Amplitudendifferenz nach (2) muss ein geeigneter Zeitpunkt gewählt werden. Dies kann mit Hilfe der Auswahllogik zur Ermittlung einer geeigneten Signaleigenschaft erfolgen, z.B. einer bestimmtes Bit einer Nachricht 19 nach der Startflanke.
• In einem Netzwerk mit einer beliebigen Zahl von ECUs ist bevorzugt eine Master ECU M mit der Überwachungsvorrichtung 23 versehen, die es erlaubt, per Auswahllogik 24 zum Zeitpunkt des Eintreffens eines zuvor festgelegten Bits das Bus-Signal der unbekannter Quelle ECU X hinsichtlich seiner Amplitudendifferenz ΔUX zu erfassen, hier mittels Sample-and-Hold 25 und nachgeschaltetem AD-Wandler 26. Die anderen ECUs benötigen keine solche Vorrichtung.
• Nach (3) ist die Amplitudendifferenz an einer empfangenden ECU 1 auch von der Amplitudendifferenz ΔU₁ abhängig, welche der sendenden ECU 1 zur Verfügung steht. Diese Spannung kann stark variieren, unter dem Einfluss von Serienstreuung, Alterung und der Temperatur. Die Dämpfung auf der Leitung ist dagegen eher konstant. Eine Verbesserung erhält man daher, wenn man Amplituden- oder Amplitudendifferenzmuster an zwei getrennten ECUs erfasst, etwa an ECU M und ECU C, und so mittels (6) dämpfungsabhängige D(X) als charakteristische Muster einer sendenden ECU X erfasst: $$\mathrm{\Delta }{\text{U}}_{\text{M}}\left(\text{X}\right)=\mathrm{\Delta }{\text{U}}_{\text{X}}\cdot {10}^{\left(0.1\cdot \mathrm{\alpha }\cdot \text{l\_MX}\right)}$$

  

  $$\mathrm{\Delta }{\text{U}}_{\text{C}}\left(\text{X}\right)=\mathrm{\Delta }{\text{U}}_{\text{X}}\cdot {10}^{\left(0.1\cdot \mathrm{\alpha }\cdot \text{l\_CX}\right)}$$

  

  $$\text{D}\left(\text{X}\right)=\mathrm{\Delta }{\text{U}}_{\text{M}}\left(\text{X}\right)/\mathrm{\Delta }{\text{U}}_{\text{C}}\left(\text{X}\right)={10}^{(0.1\cdot \mathrm{\alpha }\cdot \left(\text{l\_MX}\mathrm{-}\text{l\_CX}\right)}$$

  

  wobei l_MX = l_MX die Länge des Leitungssegments zwischen ECU M und ECU X und l_CX = l_CX die Länge des Leitungssegments zwischen ECU C und ECU X ist.
• Für bestimmte Identifier sicherheitskritischer Nachrichten, etwa dem Lenkwinkel, oder der Drosselklappenstellung, kann ECU M unter Kenntnis der in einer zweiten ECU C ermittelten Amplitudendifferenz bei Nachricht X nach dem Verfahren einen Vergleich des aktuell festgestellten Dämpfungsmuster D(X,actual) mit dem erwarteten Dämpfungsmuster D(X,expected) vornehmen, und eine Abweichung als Anomalie werten $$\text{Dpat}\left(\text{X}\right)=\text{D}\left(\text{X}\text{, actual}\right)\mathrm{-}\text{D}\left(\text{X}\text{, expected}\right)$$

  
• In einer sicherheitskritischen Situation würde ECU Y nun eine Nachricht Y senden, welche vorgeblich von ECU X stammt. Beim CAN-Bus wäre dies beispielsweise der Fall, wenn ECU Y einen CAN-Identifier verwendet, der normalerweise ausschließlich ECU X zugeordnet ist. In einem herkömmlichen Netzwerk könnte diese missbräuchliche Verwendung eines CAN-Identifier nicht erkannt werden. Eine solche Situation entsteht etwa beim „Hacking“ einer ECU Y, von der aus gefälschte CAN-Nachrichten ausgesendet werden. $$\text{falls}\left(\left|\text{Dpat}\left(\text{X}\right)\right|\mathrm{>}\text{Limit}\right)\mathrm{->}\text{Anomalie}$$

  
• Somit bietet also die Überwachungsvorrichtung ein Verfahren und eine Vorrichtung, bei welchen Amplituden oder Amplitudendifferenzen von Bussignalen einer sendenden Station ECU X in einem Netzwerk an einer empfangenden ECU M erfasst werden, mit einer erwarteten Amplitude- oder Amplitudendifferenz verglichen und zur Detektion einer Anomalie herangezogen werden. Netzwerk-Signale werden bevorzugt an einer Stelle im Netzwerk, hier als ECU M benannt, hinsichtlich der Buspegels (Spannung oder Strom), eines bestimmten Bits der Nachricht ausgewertet. In ECU M wird bevorzugt der Buspegel oder Signalpegel erfasst (abgetastet), und einer Netzwerknachricht X, etwa deren Identifier, zugeordnet. Die in ECU M erfassten Buspegel einer Nachricht X werden bevorzugt zu einer Pegeldifferenz verrechnet. Die erfassten Buspegel einer Referenznachricht R gesendet von einer bekannten Station ECU C (oder ECU M) werden bevorzugt mit den Buspegeln zur Nachricht X zu einem Dämpfungs- oder Amplituden- bzw. Amplitudendifferenzmuster verrechnet. Das ermittelte Pegeldifferenz- oder Dämpfungsmuster wird bevorzugt mit einem erwarteten Muster verglichen, und eine Abweichung mittels Schwellwertentscheidung als Anomalie gewertet. Zum Zeitpunkt des Eintreffens eines bestimmten Bits in ECU M oder in ECU C wird bevorzugt der Buspegel erfasst und zum Zweck der Interpolation wird ein analoges Filter mit Peak-Hold-Schaltung (als Sample-and-Hold-Schaltung) verwendet, dieser interpolierte Wert durch einen Analog-Digital-Wandler ebenfalls erfasst und einer Netzwerknachricht X zugeordnet.
• Insgesamt zeigt das Beispiel, wie durch die Erfindung eine Amplitudenüberwachung in einem Netzwerk bereitgestellt werden kann.
• Bezugszeichenliste

10

Kraftfahrzeug

11

Datennetzwerk

12

Netzwerkanschluss

13

Steuergerät

14

Steuergerät

15

Steuergerät

16

Steuergerät

17

Leitungssegment

18

Leitungssegment

19

Datennachricht

20

Elektrisches Signal

21

Elektrisches Signal

22

Applikationsschaltung

23

Überwachungsvorrichtung

24

Auswahllogik

25

Sample-and-Hold-Schaltung

26

Analog-Digital-Wandler

27

Prozessoreinrichtung

28

Hinweissignal

Claims (12)

1. Verfahren zum Betreiben einer Überwachungsvorrichtung (23) eines Datennetzwerks (11) eines Kraftfahrzeugs (10), wobei die Überwachungsvorrichtung (23) an einem Netzwerkanschluss (12) aus dem Datennetzwerk (11) eine Datennachricht (19), welche zumindest ein elektrisches Signal (20, 21) umfasst, empfängt, dadurch gekennzeichnet , dass die Überwachungsvorrichtung (23): - in einem vorbestimmten Nachrichtenabschnitt der Nachricht (19) zumindest einen Pegelwert eines jeweiligen Signalpegels des zumindest einen elektrischen Signals (20, 21) ermittelt, - in Abhängigkeit von dem zumindest einen Pegelwert einen Prüfwert erzeugt, - zu der Datennachricht (19) eine Absenderangabe, die ein angebliches Absendergerät der Datennachricht (19) angibt, ermittelt, - in Abhängigkeit von der Absenderangabe einen Referenzwert ermittelt, und - falls ein Unterschied zwischen dem Prüfwert und dem Referenzwert betragsmäßig größer als ein vorbestimmter Schwellenwert ist, ein Hinweissignal (28) erzeugt.
2. Verfahren nach Anspruch 1, wobei die Datennachricht (19) zwei elektrische Signale (20, 21) einer differentiellen Übertragung umfasst und die Überwachungsvorrichtung (23) einen Pegeldifferenzwert einer Pegeldifferenz des einen Signals (20) und des anderen Signals (21) berechnet und der Prüfwert auf der Grundlage des Pegeldifferenzwerts ermittelt wird.
3. Verfahren nach Anspruch 2, wobei die Überwachungsvorrichtung (23) über das Datennetzwerk (11) einen weiteren Pegeldifferenzwert einer weiteren, an einem anderen Netzwerkanschluss (12) ermittelten Pegeldifferenz des zumindest einen elektrischen Signals (20, 21) der Datennachricht (19) empfängt und den Prüfwert auf der Grundlage eines Quotienten der beiden Pegeldifferenzwerte ermittelt.
4. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Überwachungsvorrichtung (23) die Absenderangabe aus der Datennachricht (19) ausliest oder aus einen vorgegebenen Konfigurationsplan des Datennetzwerks (11) anhand eines Nachrichtentyps der Datennachricht (19) ermittelt.
5. Verfahren nach einem der vorhergehenden Ansprüche, wobei der jeweilige Signalpegel ein Spannungspegel oder ein Strompegel ist.
6. Verfahren nach einem der vorhergehenden Ansprüche, wobei der Referenzwert in einer Kalibrierphase erzeugt wird, indem die Überwachungsvorrichtung (23) eine Referenznachricht über das Datennetzwerk (11) aus einem bekannten Absendergerät, dessen Absenderangabe bekannt ist, empfängt und zu der Referenznachricht den Prüfwert berechnet und den berechneten Prüfwert als den Referenzwert abspeichert, oder wobei der Referenzwert in Abhängigkeit von einem Impedanzwert eines die Überwachungsvorrichtung (23) mit dem bekannten Absendergerät elektrisch verbindenden Leitungssegments (17) des Datennetzwerks (11) berechnet wird.
7. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Überwachungsvorrichtung (23) als den vorbestimmten Nachrichtenabschnitt ein vorbestimmtes Signalbit der Datennachricht (19) ermittelt.
8. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Überwachungsvorrichtung (23) den zumindest einen Pegelwert mittels einer Sample-and-Hold-Schaltung (24) und eines dieser nachgeschalteten Analog-Digital-Wandlers (25) erzeugt.
9. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Überwachungsvorrichtung (23) als eine Zusatzschaltung in einem Steuergerät (13) des Kraftfahrzeugs (10) betrieben wird, wobei eine Applikationsschaltung (22) des Steuergeräts (13) unabhängig von der Überwachungsschaltung (23) über denselben Netzwerkanschluss (12) die Datennachricht (19) zum Bereitstellen einer Fahrzeugfunktion empfängt.
10. Überwachungsvorrichtung (23) für ein Datennetzwerk (11) eines Kraftfahrzeugs (10), wobei die Überwachungsvorrichtung (23) eine elektronische Schaltung aufweist, die dazu eingerichtet ist, ein Verfahren nach einem der vorhergehenden Ansprüche durchzuführen.
11. Steuergerät (13) für ein Datennetzwerk (11) eines Kraftfahrzeugs (10), wobei das Steuergerät (13) einen Netzwerkanschluss (12) zum Anschließen des Steuergeräts (13) an das Datennetzwerk (11) aufweist und an den Netzwerkanschluss (12) eine Applikationsschaltung (22) zum Bereitstellen einer Fahrzeugfunktion und unabhängig davon eine Überwachungsvorrichtung (23) nach Anspruch 10 angeschlossen sind.
12. Kraftfahrzeug (10) mit einem Datennetzwerk (11), an welches ein Steuergerät (23) nach Anspruch 11 sowie zumindest ein Netzwerkteilnehmer(14, 15, 16), welcher zum Aussenden von Datennachrichten (19) eingerichtet ist, angeschlossen sind.

Images