CN111200498B - 对机动车中的数据包的验证 - Google Patents

Abstract

对机动车中的数据包的验证。本发明涉及一种用于验证数据包的真实性的方法（100），所述数据包由机动车的通信网络（30）的成员、尤其是控制设备（5、10、15、20、25）经由所述通信网络（30）来交换，其中尤其是设置验证控制器（50），所述验证控制器被构造和设立为检测经由所述通信网络（30）的通信，所述方法具有如下步骤：·根据经由所述通信网络（30）传输的数据包来确定（120）标识符、数据、签名，·借助于公钥通过对所述签名进行检查来验证（130）所述数据包的真实性，·提供（140）所述验证的结果，并且·作为对所述通信网络（30）的成员的询问的反应来发送（150）所述结果。

Description

对机动车中的数据包的验证

技术领域

本发明包括一种用于验证由机动车的通信网络的成员传输的数据包的真实性的方法以及一种验证控制器。

背景技术

在汽车领域中，电子控制设备如今越来越多地被使用。这些控制设备形成了一个控制设备联合体。这些控制设备通过通信总线、例如CAN总线来交换信息、数据或者信号。多个控制设备彼此间进行通信。一些控制设备寄送对于多个其余的控制设备来说重要的数据包，例如充电状态对于逆变器来说并且对于发动机控制器来说是重要的。为了检查对通信的可能的不期望的操纵，例如通过受操纵的信息或控制指令对通信的可能的不期望的篡改，已知的是对该通信进行加密。然而，加密导致所需的带宽提高。

发明内容

按照本发明的用于验证由机动车的通信网络的成员经由该通信网络交换、尤其是传输、优选地发送的数据包的真实性的方法包括至少如下列举的方法步骤，其中数据包包括标识符、数据以及签名。并且其中优选地签名由发送方根据要传输的数据和标识符借助于私钥来生成。优选地，不对数据包进行加密。有利的是：即使控制设备中的仅仅一部分被扩展有检查询问（Überprüfungsanfrage）的可能性，也可以应用该方法。

按照本发明提出：在一个方法步骤中，根据经由通信网络传输的数据包来执行对标识符、数据、签名的确定。

按照本发明提出：在一个方法步骤中，在使用公钥的情况下借助于签名来验证数据包的真实性。该签名由发送方借助私钥根据要传输的数据和标识符来形成。

还提出：提供验证的结果。

按照本发明还提出：在一个方法步骤中，作为对询问、尤其是通信网络的成员的检查询问的反应，执行对结果的发送。

在按照本发明的方法方面有利的是：尤其是可以识别伪造或操纵，和/或只需要通信、尤其是带宽的微小的附加的负荷，和/或该方法能应用于全部拓扑。该方法还可以在已经存在的控制设备联合体中应用、尤其是加装。此外，没有对控制设备的处理器性能提出经提高的要求，或只是对控制设备的处理器性能提出最低限度地更高的要求。

通过在从属权利要求中列举的措施，得到在独立权利要求中说明的方法的有利的扩展方案和改进。

有利的是：数据包由数据、标识符和签名组成，其中签名借助于私钥根据标识符和数据来创建。数据包由进行发送的控制设备编排并且借助于通信网络来发送。签名由进行发送的控制设备创建。

一个可能的扩展方案的特点在于：通过对数据和/或标识符的附加的使用来验证数据包的真实性。还可以在真实性方面做出还更准确的陈述。

一个可能的扩展方案的特点在于如下方法步骤：通过将结果存放在数据存储器、尤其是环形存储器（Ringspeicher）中来提供验证、尤其是检查的结果。由此，也可以在稍后的时间点还访问这些结果。

还可设想的是：验证的结果经加密地和/或经签名地来提供和发送。借助于私钥来进行签名。这些结果本身不能被操纵。

一个可能的扩展方案的特点在于：对于每个数据包来说都生成并且存在伪唯一标识符。给出对各个数据的标识。

本发明还涉及一种用于机动车的通信网络的验证控制器。该验证控制器具有通信接口，该通信接口能与机动车的通信网络连接。该通信接口被构造和设立为：读出、尤其是一并读取经由通信网络交换、尤其是传输的数据包。有利的是：该验证控制器被构造和设立为实施按照本发明的方法。

通信网络尤其构造为通信总线，尤其是构造为基于CAN、LIN、MOST、FLEXRAY或者IP的网络。

一个可能的扩展方案的特点在于：设置处理装置，该处理装置被构造和设立为：依据公钥根据包含在数据包中的签名来确定标识符和数据。该处理装置还被构造和设立为：关于真实性来对数据包进行验证并且将验证的结果提供给通信网络的成员。优选地，该处理装置被构造为计算单元、尤其是微控制器或微处理器。

一个可能的扩展方案是：该通信接口被构造和设立为：发送这些结果，尤其是应控制设备联合体的成员、尤其是一个控制设备的询问并且优选地经加密地来发送这些结果。该通信接口也被构造和设立为一并读取和接收经由通信网络发送的数据包。

附图说明

随后，本发明参考附图予以阐述。在附图中：

图1示出了没有按照本发明的验证控制器的控制设备联合体；

图2示出了具有按照本发明的验证控制器的控制设备联合体；

图3示出了按照本发明的方法；以及

图4至7以经简化的控制设备联合体为例示出了按照本发明的方法的流程。

具体实施方式

控制设备联合体1由多个电子控制设备组成。越来越多地，每个组件都具有控制设备、尤其是发动机控制设备、ABS、窗玻璃升降器等等。控制设备具有通信装置，由此控制设备可以与其它控制设备、尤其是借助于通信网络、优选地通信总线来进行通信。

控制设备联合体包括哪些控制设备取决于机动车的装备和/或驱动装置的类型，尤其是内燃机、燃料电池发动机、混合动力发动机、插电式混合动力发动机、电动机。

示例性地，在图1中示出了电驱动机动车的控制设备联合体1的一部分。示例性地，示出了控制设备联合体1的负责驱动的控制设备5、10、15、20、25。所示出的控制设备只示出了机动车、尤其是汽车的控制设备联合体1的示例性的部分。所示出的控制设备联合体1包括：

· 发动机控制设备5，该发动机控制设备用于操控驱动装置、尤其是机动车的电驱动装置和/或内燃机。

· 逆变器10或换流器，该逆变器或换流器具有如下任务：将发电机的多相交变电压、尤其是三相交变电压转换成直流电压用于给电蓄能器充电。在反过来的情况下，在对电动机进行驱动时，将电蓄能器的直流电压变换成多相交变电压。该逆变器具有其它任务，如对电压或者电流的转换。优选地，驱动电机同时也充当发电机，并且反之亦然。相对应地，逆变器也必须转换例如在减速时生成的电能，使得该电能可以被馈入到电蓄能器中。电蓄能器是基于电化学的针对电能的可再充电的存储器。电蓄能器包括至少一个电池组电池。优选地，电池组电池是可再充电的存储器元件、尤其是蓄电池、优选地二次元件或二次电池。

· BDU 15、即battery disconnect unit（电池组断开单元），调节电开关、如继电器或晶体管，所述电开关中断和/或开启电蓄能器的电流输送和电流消耗。

· BCU 20、即battery control unit（电池组控制单元），承担对蓄能器的参数、如充电状态、蓄能器的状态等等的计算。

· CSC 25、即cell supervision circuit（电池监控电路），承担对蓄能器数据、诸如电池电压、各个电池或整个蓄能器的电流和/或温度的数据检测。

插电式混合动力的控制设备联合体1例如包括如下控制设备：电机控制设备、变速箱控制控制设备、尾气后处理控制设备、电池组管理控制设备、内燃机控制设备等等。

各个控制设备5、10、15、20、25彼此间经由通信网络30连接。通信网络30尤其是无线网络或者有线网络。尤其是涉及通信总线，优选地涉及MOST总线、CAN总线、LIN总线、FlexRay总线。通信网络30也可以基于IP。各个控制设备5、10、15、20、25借助于通信网络30来交换数据包。这些数据包尤其包括数据、如测量数据和/或控制指令、功率要求、能量调用、状态信息等等。

在图1中示出的按照图1的控制设备联合体1的通信的示例可能就是。CSC 25周期性地检测蓄能器的数据，诸如电压、电流和温度，并且经由通信网络20来交流这些数据。BCU20周期性地计算电池组的充电状态、健康状态和可能的能调用的功率。BCU 20将该信息发送给BDU 15和发动机控制设备5。在行驶周期开始时，BDU 15已经执行了预充电并且闭合了电开关、尤其是继电器。经由通信网络30发来针对驱动电机的转矩要求，例如因为车辆应该从静止状态运动。对此，BCU报告可调用的功率。逆变器10计算在驱动电机上可以施加怎样的转矩。发动机控制设备5以相对应的功率来操控驱动电机。在这种情况下，发动机控制设备5访问BCU 20、CSC 25的数据。

整个通信经由通信网络30来进行。在该示例中变得明显的是：控制设备5、10、15、20、25彼此间进行通信并且交换数据包。在已知的控制设备联合体的情况下，控制设备5、10、15、20、25在没有检查所寄送的数据包是否由经授权的控制设备发送的情况下彼此间进行通信。各个控制设备中的检查尤其会提高对控制设备的计算性能的要求。

在图2中示出了与在图1中相同的控制设备联合体1。控制设备联合体1被扩展了可实施该方法的成员、尤其是按照本发明的验证控制器50。

验证控制器50使得能够有关准确性和真实性来检查经由通信网络30发送的数据包。该验证控制器例如使得能够识别不允许的调试，在所述不允许的调试情况下发送了被操纵的、例如表示蓄能器功率高的数据包，由此发动机控制装置从蓄能器调用更多功率。不允许的调试可能会通过改变控制设备的软件、通过操纵数据包或者发送具有被操纵的内容的数据包来进行。

不允许的调试可导致：从电蓄能器中调用比该电蓄能器在没有损坏的情况下可以提供的能量更多的能量。传感器数据包也可以被伪造，以便例如达到电池组的更高的充电状态。这种调试措施大多以牺牲电蓄能器或者机动车的其它组件的使用寿命为代价。

验证控制器50被构造和设立为实施按照本发明的方法100。

在图3中示出了按照本发明的方法100的流程图。方法100包括多个方法步骤，这些方法步骤的顺序可以被交换。

在方法步骤110中，监控经由通信网络30进行的通信。对通信的监控尤其包括一并读取经由通信网络30发送的数据包。经由通信网络30发送的数据包由验证控制器50接收。尤其是在总线系统中，数据包也被发送给总线系统的完全不需要该数据包各个数据包的成员。成员尤其是依据数据包的发送方和/或收件方和/或标识符和/或数据来识别该数据包是不是特定于所述成员的。

在方法步骤120中，根据所接收到的数据包来确定签名和/或数据和/或标识符和/或发送方。

签名优选地由发送方根据标识符和数据借助于私钥来创建。优选地，涉及不对称的密码系统。签名是借助于私钥、尤其是秘密密钥来计算的值。私钥固定地被分配给发送方、即控制设备。私钥自出厂起就被分配给每个控制设备。通过在工厂中受保护的诊断服务来进行学习。每个单独的控制设备都获得自己的私钥。有利地，只须使其中必须有关真实性来检查数据包的控制设备扩展该功能。这例如是安全相关的控制设备和/或对于驱动来说重要的控制设备。

在方法步骤130中，借助于签名和公钥来确定数据包的真实性。

优选地，借助于数据和/或标识符以及签名和公钥来执行验证。所述确定对应于借助于公钥对签名的认证。

在方法步骤140中，提供验证130的结果。该提供尤其可以借助于经由通信网络30的发送和/或作为在数据存储器中的存储来实现。验证130的结果与数据包的标识符一起被存放在数据存储器、尤其是环形存储器中。

在可选的方法步骤145中，关于数据包的真实性来检测控制设备的询问。

在方法步骤150中，作为对所检测到的、尤其是所接收到的询问的反应来发送结果，通信网络30的成员、尤其是控制设备已经发送了该询问。该询问尤其包括数据包的标识符。优选地，验证控制器50从数据存储器中提取验证的结果。为了确定正确的结果，在数据存储器中搜索标识符并且读出所属的结果。该数据存储器尤其是数据库或者表格。

优选地，验证的结果经加密地被发送给进行询问的控制设备。

控制设备可以将询问发送给验证控制器50并且获得关于数据包的真实性的情况。该询问包括其真实性和/或准确性被查询的数据包的标识符。

在图4中示出了控制设备联合体1的片段。该片段包括验证控制器50、BCU 20和CSC25。按照本发明的方法100应该依据如下示例和图4至7来说明。

CSC 25检测电蓄能器的测量数据，诸如电压、电流和温度。例如，该CSC 25检测到蓄能器提供400V的电压和50A的电流。该CSC 25例如还检测到蓄能器具有30℃的温度。为了发送数据，控制设备、这里是CSC 25生成伪唯一标识符。所生成的标识符例如是488213。

根据数据（这里是测量数据）、标识符和私钥来确定签名。所确定的签名例如是0XB1F4D32。测量数据、签名和标识符被汇总在数据包中并且借助于通信网络来传输、尤其是发送。尤其是，该数据包经由通信网络、尤其是总线系统被发送给BCU 20。

在图5中，BCU 20以及其它控制设备接收已被发送到通信网络上的数据包。BCU 20接收具有数据、标识符和签名的数据包。如果这些数据对于BCU来说重要，则BCU对这些数据进行处理。

控制设备可以提取这些数据并且直接对这些数据进行进一步处理。替选地和/或附加地，控制设备可以允许通过验证控制器50和/或方法100来检查真实性。

验证控制器50接收该数据包。验证控制器50同样已经通过检测、尤其是一并读取通信网络的通信接收到了该数据包。为此，所述验证控制器按照方法步骤110来监控通信网络30。

在方法步骤120中，根据所接收到的数据包来确定签名、数据、标识符和/或发送方。

在方法步骤130中，借助于公钥来验证数据包的真实性。依据尤其是数据和/或标识符、签名和公钥来对数据包进行验证。可以确定、尤其是通过验证控制器50来确定：数据是否真实或数据包是否由被授权的控制设备发送的。验证控制器50接收相同的数据并且借助于CSC 25的公钥来检查测量数据和标识符的有效性。

在方法步骤140中，检查的结果与标识符共同被提供、尤其是被存储。尤其是，结果与标识符一起被存储在数据存储器中，优选地被存储在环形缓冲器中。

常常，但不一定在每个数据包中都如此，控制设备、这里示例性地是BCU 20在验证控制50时利用对标识符的说明来请求验证的结果。图6示例性地示出这种询问。

按照方法步骤150和图7，验证控制50将结果发送回给已经请求了检查的控制设备。通信尤其是经加密地和/或经签名地优选仅在BCU 20与验证控制50之间进行。必要的密钥在工厂中被编程。在检查较负面的情况下，BCU 20可以采取相对应的措施。

方法100也可以由控制设备联合体1的已经存在的控制设备来实施。为此所需的控制设备仅须被构造和设立来实施方法100。优选地，该控制设备需要处理单元、尤其是微控制器或微处理器，该微控制器或微处理器被构造和设立为实施按照本发明的方法100。

按照本发明的一个扩展方案，只须通过方法100来保护某些数据包。尤其是，不是所有数据包都必须通过方法100来验证。要保护的数据包在系统设计时被规定，例如安全相关的数据、驱动相关的数据或者在操纵的情况下可能导致损害的数据。优选地，除了正常情况下被发送的数据包之外，还可以发送用于验证的信息。

按照一个扩展方案，只须针对某些数据包来进行检查、尤其是验证130。对真实性的检查是可选的。由此，可以降低在验证控制器50中的计算性能。

为了降低，可以降低检查的频率并且例如每秒钟或者每10秒钟来执行验证、即从120开始的方法步骤。所选择的延迟不允许导致安全风险。

优选地，可以进行时间上的、消息相关的或者控制设备相关的限制。因此，可以减少验证的次数。

所提出的方法100使通信扩展了在能够实现灵活的控制设备结构的情况下同时验证重要的数据包的可能性。

Claims (11)

1.用于验证数据包的真实性的方法（100），所述数据包由机动车的通信网络（30）的成员经由所述通信网络（30）来交换，其中设置验证控制器（50），所述验证控制器被构造和设立为检测经由所述通信网络（30）的通信，所述方法具有如下步骤：

· 根据经由所述通信网络（30）传输的数据包来确定（120）标识符、数据、签名，

· 借助于公钥通过对所述签名进行检查来验证（130）所述数据包的真实性，

· 提供（140）所述验证的结果，并且

· 作为对所述通信网络（30）的成员的询问的反应来发送（150）所述结果，

所述方法具有如下步骤：

· 针对每个数据包生成伪唯一标识符。

2.根据权利要求1所述的方法（100），其特征在于，所述通信网络（30）的成员是控制设备（5、10、15、20、25）。

3.根据上述权利要求1至2中任一项所述的方法（100），其特征在于，所述数据包由数据、标识符和签名组成，其中所述签名借助于私钥根据所述标识符和所述数据来创建。

4.根据上述权利要求1至2之一所述的方法（100），其特征在于，所述提供（140）包括将所述验证的结果存放在数据存储器中。

5.根据权利要求4所述的方法（100），其特征在于，所述数据存储器是环形存储器。

6.根据上述权利要求1至2之一所述的方法（100），其特征在于，所述结果经加密地和/或经签名地被提供和发送。

7.用于机动车的通信网络（30）的验证控制器（50），所述验证控制器具有通信接口，所述通信接口能与所述机动车的通信网络（30）连接，并且所述通信接口被构造和设立为读出经由所述通信网络（30）传输的数据包，其特征在于，所述验证控制器（50）被构造和设立为实施根据上述权利要求之一所述的方法（100）。

8.根据权利要求7所述的验证控制器（50），其特征在于，设置处理装置，所述处理装置被构造和设立为借助于公钥来验证数据包的真实性并且将所述验证的结果提供给所述通信网络（30）的成员。

9.根据权利要求7至8之一所述的验证控制器（50），其特征在于，所述通信接口被构造和设立为发送所述结果。

10.根据权利要求9所述的验证控制器（50），其特征在于，所述结果应成员的询问被发送。

11.根据权利要求9所述的验证控制器（50），其特征在于，所述结果经加密地被发送。