[go: up one dir, main page]

WO2018133953A1 - Verfahren zum betreiben einer überwachungsvorrichtung eines datennetzwerks eines kraftfahrzeugs sowie überwachungsvorrichtung, steuergerät und kraftfahrzeug - Google Patents

Verfahren zum betreiben einer überwachungsvorrichtung eines datennetzwerks eines kraftfahrzeugs sowie überwachungsvorrichtung, steuergerät und kraftfahrzeug Download PDF

Info

Publication number
WO2018133953A1
WO2018133953A1 PCT/EP2017/051523 EP2017051523W WO2018133953A1 WO 2018133953 A1 WO2018133953 A1 WO 2018133953A1 EP 2017051523 W EP2017051523 W EP 2017051523W WO 2018133953 A1 WO2018133953 A1 WO 2018133953A1
Authority
WO
WIPO (PCT)
Prior art keywords
monitoring device
message
value
network
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/EP2017/051523
Other languages
English (en)
French (fr)
Inventor
Lorenz Lieder
Philipp Neubauer
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Conti Temic Microelectronic GmbH
Original Assignee
Conti Temic Microelectronic GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Conti Temic Microelectronic GmbH filed Critical Conti Temic Microelectronic GmbH
Priority to US16/479,513 priority Critical patent/US20190342115A1/en
Priority to CN201780082620.6A priority patent/CN110226309B/zh
Publication of WO2018133953A1 publication Critical patent/WO2018133953A1/de
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/403—Bus networks with centralised control, e.g. polling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/26—Pc applications
    • G05B2219/2637—Vehicle, car, auto, wheelchair
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40241—Flexray

Definitions

  • Method for operating a monitoring device of a data network of a motor vehicle as well as monitoring device, control device and motor vehicle
  • the invention relates to a method for operating a monitoring device in a data network of a motor vehicle.
  • the monitoring device detects if a data message is sent by a wrong sender in the data network.
  • the invention also includes the monitoring ⁇ device, a motor vehicle control unit with the moni ⁇ monitoring device and a motor vehicle with the control unit.
  • a monitoring device may be provided in order to detect an anomaly in the transmission behavior of a network participant in a data network.
  • An anomaly may be, for example, due to a tampering attempt in which a network user, so for example, a control device, sending a data message using a false ⁇ From senders. This results in the network subscriber as another network participants. This can happen, for example, in an attempt to unauthorized tuning of the motor vehicle. Due to a faulty configuration, it can also happen that a network participant a
  • the named data network includes, for example, a CAN (Controller Area Network) bus, a FlexRay bus, an Ethernet network, a MOST bus, a USB bus or a combination of at least two meant by ⁇ retired union of these network technologies.
  • the object of the invention is to monitor a data network of a motor vehicle for incorrect data messages. The problem is solved by the subject matters of the independent patent claims ⁇ . Advantageous developments of the invention are described by the dependent claims, the following description Be ⁇ as well as the figures.
  • the invention provides a method to operate a monitoring device ⁇ for the data network of the motor vehicle.
  • the monitoring device can be provided, for example, as an additional circuit in a control unit of the motor vehicle.
  • the method provides that the monitoring ⁇ device receives a data message from the data network to a network connection. Although such a data message is a digital signal, it is transmitted at the physical level (PHY) as at least one electrical signal.
  • PHY physical level
  • the data message thus comprises at least one such electrical signal.
  • Message is determined at least one level value of a respective Sig ⁇ nalpegels the at least one electrical signal.
  • a signal level for example, a voltage level or a current level can be detected.
  • the level value indicates the voltage amplitude or the current amplitude accordingly.
  • depen ⁇ dependence of the at least one level value of a check value is generated. In other words, when collecting multiple level values, they are combined into a single test value. For a single detected level value, it can be used as the test value.
  • an identifier or a sender specification is determined, which indicates the alleged sender device of the data message.
  • the alleged sender device is another network participant, so for example, a control unit from which could potentially originate the data message and according to the sender details also allegedly originates.
  • Another identifier ⁇ planning for network users is also station.
  • a reference value is determined for this purpose, for example, from a data memory of the monitoring device. This reference value refers to the test value. If a difference between the check value and the reference value is greater than a predetermined threshold, an alert signal is generated. In this case, the difference is preferably detected in terms of amount so that it makes no difference whether the test value is greater or smaller than the reference value.
  • the invention utilizes for detecting a false sender indication that the at least changed, a level value in transmitting over the data network through the line section or line ⁇ segment over which the sender device is electrically connected to the monitoring device.
  • the sender device, the at least one electrical signal as Example ⁇ generate in accordance with a standard or a standard for communication of the data network, so at least to set a standard for the level value of an electric signal.
  • ⁇ impedance which is obtained for the power section, which connects the sender device and the monitoring device, but the respective signal levels of the at least one electrical signal is attenuated or, generally changed.
  • the impedance may have an inductive, capacitive and / or ohmic component, each of which may have an influence on the at least one electrical signal.
  • the reference value can be used to specify which test value the monitoring device has to expect if the data message is correct
  • Sender device was sent out. If, on the other hand, the data message is sent out by another sender device in the data network, then another line section is located between the sender device transmitting illegally with the monitoring device. This line section has e.g. due to a different line length, a different impedance, so that also results in a respective different level value for the at least one electrical signal, as it would be the case if the correct sender device would send out the data message.
  • the invention affords the advantage that the recognition of a data message with forged sender indicated on phy ⁇ sikalischer level on the basis of measuring at least one Level value. This makes it difficult for a sender device to hide an incorrect sender address.
  • a further advantage is that it is sufficient to provide the monitoring device without having to adapt or modify other network subscribers, that is to say other control devices, in their transmitting behavior and / or in their circuit-engineering design in order to be able to provide the monitoring according to the invention in the data network.
  • further developments are also included, resulting in additional benefits.
  • the maximum level of one signal and a minimum value of the other signal are preferably determined as the respective level value of these two signals.
  • the monitoring device calculates a level difference value of a level difference of the maximum value and the minimum value.
  • the largest signal level and the smallest signal level are determined.
  • two levels of the two differential signals can be used.
  • the test value is determined based on the Pe ⁇ geldifferenz.
  • the level difference value can be used directly as a check value.
  • two electrical signals can be taken into account when monitoring the data network.
  • the monitoring device accordingly receives via the data network the further level difference value of the further level difference of the two signals determined on the data network.
  • the test value is then determined on the basis of a quotient of the two values Pegeldif ⁇ conference.
  • the test value is independent of that by the sender device used signal levels. In this way one is independent of Vietnamesesto ⁇ tolerances, so that the replacement of a sender device does not lead to a distortion of the check value and thus always again gives the reference value for the correct sender device.
  • Another advantage is that in each case a level difference is determined at two points in the data network, ie at two network connections. Thus it is prevented that a false sender information and could remain undetected by the monitoring device, because the unauthorized Abser- device randomly the same distance to the monitoring device as the correct sender device and thus the Lei ⁇ tion sections would be the same length.
  • the monitoring device reads out the sender information from the data message. This is possible if the data message contains an indication of the sender device, for example its network address. Alternatively, it can be provided that the monitoring device determines the sender information from a predetermined configuration plan of the data network on the basis of a message type of the data message. For example, the data message may contain a value of a specific measured variable, for example a steering angle. A data after ⁇ indicative of a given message type ( "steering angle”) may be derived only from a predetermined sender apparatus according to the configuration plan intended. Thus, a sender information can also be determined in this way.
  • the reference value can be generated in a calibration phase by receiving the monitoring device via the data network a reference message from a known sender device whose actual Absen ⁇ derangabe is known.
  • the test value can also be calculated in the manner described for the reference message.
  • the calculated test value then serves as a reference value, which is stored, for example, in the data memory.
  • the calibration phase can, for example, during the manufacture of the motor vehicle or during a stay in a workshop, if it can be ensured that there is no manipulation in the data network during the calibration phase.
  • the measurement of a reference value has the advantage that manufacturing tolerances can be taken into account in the reference value and thus can be compensated implicitly during monitoring.
  • the reference value can also be calculated.
  • the reference value can be calculated as a function of an impedance value of the line segment of the data network electrically connecting the monitoring device to the known sender device.
  • the reference value may additionally be a function of a standard level value of the standard level used by the known sender device when generating the at least one electrical signal, for example current or voltage, in particular the said maximum value and minimum value.
  • a predetermined message section is used in the manner described.
  • the monitoring ⁇ device as the predetermined message section determines a predetermined signal bit of the data message.
  • the monitoring device In order to carry out the monitoring with little technical effort, it is preferably provided that the monitoring device generates the at least one level value by means of a sample-and-hold circuit and by means of a downstream analog-to-digital converter. Thus, the monitoring device can read along, ie detect the predetermined message section by means of the sample-and-hold circuit, ie store the respective signal level of the at least one electrical signal, for example in a respective capacitor, without As a result, the data message for use by a controller is lost.
  • the monitoring device is preferably operated as an additional circuit in a control unit of the motor vehicle.
  • a control unit actually has an application circuit, by means of which the control unit can provide a control unit-specific vehicle function, eg an actuator control or a sensory acquisition of measured values or a driver assistance.
  • a vehicle function may therefore be, for example, the control of an electric motor for a power steering and / or a driver assistance for a driving stability control.
  • This application circuit of the control unit receives to provide the vehicle function via the same network connection, the data message and regardless of the monitoring ⁇ circuit. In the described manner, the monitoring device only reads the data message and monitors whether it originates from the correct sender device. Thus, the controller is protected against counterfeit data messages.
  • the invention also provides the provision of said
  • Monitoring device for the data network of the motor vehicle before.
  • This monitoring device has an elec- tronic circuit, which is adapted to perform an off ⁇ embodiment of the method according to the invention.
  • an electronic circuit with the be ⁇ said sample-and-hold circuit, the analog-to-digital converter and a downstream processor device (for example, a microprocessor or microcontroller) may be provided.
  • the method may, for example, also comprise program code in order to be able to carry out the said calculation steps.
  • the monitoring device is implemented as an integral part of a controller for a data ⁇ network of the motor vehicle. Accordingly, the invention also provides such a control device, which has a network connection for connecting the control device to the Data network, wherein both the described application circuit for providing a vehicle function and independently thereof are connected to the network connection, an embodiment of the monitoring device according to the invention.
  • the invention also includes a motor vehicle with a data network to which an embodiment of the control device according to the invention is connected, that is to say a control device with the monitoring device. Furthermore, at least one further network participant, that is, for example, another control device, is connected to the data network. The further network subscriber is set up to send out at least one data message.
  • the control device according to the invention makes it possible to detect in the motor vehicle whether a data message received from the control device actually originates from the network subscriber.
  • the motor vehicle according to the invention is preferably designed as a motor vehicle, in particular as a passenger car or truck.
  • Fig. 1 is a schematic representation of an embodiment of the motor vehicle according to the invention.
  • FIG. 2 shows a schematic illustration of two control units which communicate via a data network of the motor vehicle of FIG. 1;
  • Fig. 3 is a schematic representation of an internal structure of one of the control devices, which has a monitoring device for the data network.
  • the motor vehicle 10 may be a motor vehicle, in particular a passenger car or a lorry.
  • the motor vehicle 10 may include a data network 11, which may be, for example, a CAN bus or a FlexRay bus.
  • a respective control unit 13, 14, 15, 16 can be connected to the data network 11 via a respective network connection 12.
  • the controllers 13, 14, 15, 16 are distinguished from each other by a respective individual designation (ECU M, ECU 1, ECU 2, ECU C).
  • the control unit 13 (ECU M) may be, for example, a bus master for the data network 11.
  • the control units ECU 1, ECU 2 may for example each provide a sensor device and / or an actuator control.
  • the control unit 16 may be another network subscriber (C client).
  • a respective line ⁇ segment 17 having a line length 1_1M the control unit ECU 1 to the control unit ECU M and a line segment 18 having a line length 1_1C may connect the control unit ECU 1 to the control unit ECU C electrically.
  • the control unit ECU can, for example 1 electrical signals in the respective Lei ⁇ tung segment 17, giving 18, which may be received via the respective network terminal 12 of the ECU M and ECU C control units (and also ECU 2).
  • Fig. 2 illustrates this case, the influence of the line ⁇ segments 17 when transmitting the data message 19 by the control unit ECU 1 to the control unit ECU M.
  • two electrical signals 20, 21 for differentially About ⁇ carry a data message 19 in a high line H and a low line L are generated, as is known in connection with the technology of the CAN bus and the FlexRay bus.
  • FIG. 3 illustrates how, for example, in the control unit ECU M, in addition to the actual application circuit 22, a monitoring device 23 can be provided which can detect the electrical signals 20, 21 received via the network connection case 12 independently of the application circuit 22.
  • the monitoring device 23 can have a selection logic 24, a sample-and-hold circuit 25, an analog-digital converter 26 and a processor device 27, for example a microcontroller.
  • the processor device 27 may be part of the application circuit 22.
  • the analog-to-digital converter 26 may already be part of a microcontroller, which represents the processor device 27.
  • control unit ECU M receives a data message 19, which was emitted not from that control unit 14, 15, the entspre ⁇ sponding message type is provided for generating the specific data message 19, so the transfer ⁇ wachungsvoriques detects 23 the data message 19 to be forged or defective and may then generate an alert signal 28 which may indicate this fake data message 19.
  • the monitoring device 23 can perform a method for anomaly detection in a network.
  • the source of a message 19 is verified on the network 11 rakter Vietnameses by a cha- pattern which is given only by physi ⁇ -earth boundary conditions such as the attenuation on a propagation medium, such as on an electric line, and are therefore very difficult to falsify can.
  • Network can be the CAN bus, FlexRay, Ethernet, MOST, to illustrate the broad application of the approach. Amplitude or amplitude differences of the bus signal are detected at suitable times and, after successful reception, compared with the expected pattern of the authorized sender device. If these patterns agree, the normal case exists, ie the message originates from the authorized sender device. In the other case, one can
  • AU M AUi ⁇ 10 ( o - 1 ⁇ « ⁇ ! - 111 '(3)
  • the amplitude difference at the receiving ECU is thus first determined by the sending ECU, which then exponentially decreases over the line length li M.
  • Typical magnitude values lie in the order of 0.1 to 0.3 It is now assumed that at any given time a control unit ECU X transmits a message which is received by all the ECUs connected to the data network, in particular from the ECU M. X can be 1 or 2, for example
  • ECU Y In an undesired, i. safety-critical situation ECU Y would now send a message 28, which ostensibly comes from ECU X (Y not equal to X).
  • ECU X For the CAN bus, for example, this would be the case when ECU Y uses a CAN identifier that is normally associated with ECU X only. In a conventional network, this misuse of a CAN identifier could not be detected.
  • Such a situation arises, for example, when "hacking" an ECU Y from which fake CAN messages are sent out, if (
  • a suitable point in time must be selected. This can be done using the selection logic to determine an appropriate signal characteristic, e.g. a particular bit of a message 19 after the start edge.
  • a master ECU M is preferably provided with the monitoring device 23, which allows, by means of selection logic 24 at the time of arrival of a predetermined bit, the bus signal of the unknown source ECU X with respect to its amplitude difference AUX capture, here by means of sample-and-hold 25 and downstream AD converter 26.
  • the other ECUs need no such device.
  • the amplitude difference at a receiving ECU 1 is also dependent on the amplitude difference AUi available to the sending ECU 1.
  • This voltage can vary widely, under the influence of series dispersion, aging and temperature.
  • the attenuation on the line is rather constant.
  • An improvement is therefore obtained when amplitude or amplitude difference patterns are detected at two separate ECUs, such as ECU M and ECU C, and thus attenuated by (6) tion-dependent D (X) is recorded as a characteristic pattern of a sending ECU X:
  • ⁇ ⁇ ( ⁇ ) AUx ⁇ 10 ( o - 1 ⁇ « ⁇ ! -MX )
  • AU C (X) AUx ⁇ 10 ( o - 1 ⁇ « ⁇ ! -C )
  • ECU M knowing the detected in a second ECU C amplitude difference message X according to the method, a comparison of the currently detected attenuation pattern
  • ECU Y In a safety-critical situation, ECU Y would now send a message Y, allegedly from ECU X.
  • ECU Y For the CAN bus, for example, this would be the case when ECU Y uses a CAN identifier that is normally associated with ECU X only. In a conventional network, this misuse of a CAN identifier could not be detected.
  • the monitoring device thus provides a method and a device in which amplitude or amplitude differences of bus signals of a transmitting station ECU X are detected in a network at a receiving ECU M, compared with an expected amplitude or amplitude difference and be used for the detection of anomaly.
  • Network signals are preferably evaluated at a location in the network, here named ECU M, in terms of the bus level (voltage or current) of a particular bit of the message.
  • ECU M is preferably the bus level or signal level detected (from ⁇ keyed), and a network message X, such as their identifier assigned.
  • the detected in ECU M bus level of a message X are preferably offset to a level difference.
  • the detected bus levels of a reference message R sent from a known station ECU C (or ECU M) are preferably at the bus levels to message X at a loss or amplitude level. Amplitude difference pattern calculated.
  • the determined level difference or attenuation pattern is preferably compared to an expected pattern, and a deviation by means of a threshold decision is regarded as an anomaly.
  • the bus level is preferably detected, and for the purpose of interpolation, an analog filter with peak-hold circuit (as a sample-and-hold circuit) is used which interpolates Value also detected by an analog-to-digital converter and assigned to a network message X.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Environmental & Geological Engineering (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)

Abstract

Die Erfindung betrifft ein Verfahren zum Betreiben einer Überwachungsvorrichtung (23) eines Datennetzwerks (11) eines Kraftfahrzeugs (10), wobei die Überwachungsvorrichtung (23) an einem Netzwerkanschluss (12) aus dem Datennetzwerk (11) eine Datennachricht (19), welche zumindest ein elektrisches Signal (20, 21) umfasst, empfängt. Die Erfindung sieht vor, dass die Überwachungsvorrichtung (23) in einem vorbestimmten Nachrichtenabschnitt der Nachricht (19) zumindest einen Pegelwert eines jeweiligen Signalpegels des zumindest einen elektrischen Signals (20, 21) ermittelt und in Abhängigkeit von dem zumindest einen Pegelwert einen Prüfwert erzeugt und zu der Datennachricht (19) eine Absenderangabe, die ein angebliches Absendergerät der Datennachricht (19) angibt, ermittelt und in Abhängigkeit von der Absenderangabe einen Referenzwert ermittelt und, falls ein Unterschied zwischen dem Prüfwert und dem Referenzwert betragsmäßig größer als ein vorbestimmter Schwellenwert ist, ein Hinweissignal (28) erzeugt. Durch die Impedanz, die sich für den Leistungsabschnitt ergibt, der das Absendergerät und die Überwachungsvorrichtung (23) verbindet, wird der Signalpegel des elektrischen Signals gedämpft oder allgemein verändert. Ausgenutzt wird, dass in einem Netzwerk charakteristische Dämpfungen auf den Leitungen zwischen den einzelnen Steuergeräten (ECUs), welche in statischen Netzwerken weitgehend fest und somit deterministisch sind, gelten. Somit bietet die Überwachungsvorrichtung ein Verfahren und eine Vorrichtung, bei welchen Amplituden oder Amplitudendifferenzen von Bussignalen einer sendenden Station ECU X (14, 15, 16) in einem Netzwerk an einer empfangenden Station ECU M (13) erfasst werden, mit einer erwarteten Amplitude- oder Amplitudendifferenz verglichen und zur Detektion einer Anomalie herangezogen werden. Dies erschwert es einem Absendergerät, eine falsche Absenderangabe zu kaschieren.

Description

Beschreibung
Verfahren zum Betreiben einer Überwachungsvorrichtung eines Datennetzwerks eines Kraftfahrzeugs sowie Überwachungsvor- richtung, Steuergerät und Kraftfahrzeug
Die Erfindung betrifft ein Verfahren zum Betreiben einer Überwachungsvorrichtung in einem Datennetzwerk eines Kraftfahrzeugs. Die Überwachungsvorrichtung erkennt, falls in dem Datennetzwerk eine Datennachricht von einem falschen Absender versendet wird. Zu der Erfindung gehören auch die Überwachungs¬ vorrichtung, ein Kraftfahrzeug-Steuergerät mit der Überwa¬ chungsvorrichtung sowie ein Kraftfahrzeug mit dem Steuergerät. In einem Kraftfahrzeug kann eine Überwachungsvorrichtung vorgesehen sein, um in einem Datennetzwerk eine Anomalie beim Sendeverhalten eines Netzwerkteilnehmers zu erkennen. Eine Anomalie kann z.B. auf einen Manipulationsversuch zurückzuführen sein, bei welchem ein Netzwerkteilnehmer, also zum Beispiel ein Steuer- gerät, eine Datennachricht unter Verwendung eines falschen Ab¬ senders aussendet. Hierdurch ergibt sich der Netzteilnehmer als ein anderer Netz Teilnehmer aus. Dies kann beispielsweise im Rahmen eines Versuchs eines nicht-autorisierten Tuning des Kraftfahrzeugs geschehen. Durch eine fehlerhafte Konfiguration kann es auch dazu kommen, dass ein Netzwerkteilnehmer eine
Datennachricht versendet, die er gar nicht aussenden soll, weil dafür ein anderer Netzwerkteilnehmer vorgesehen ist.
Im Zusammenhang mit der Erfindung ist unter dem besagten Da- tennetzwerk beispielsweise ein CAN-Bus (CAN - Controller Area Network), ein FlexRay-Bus, ein Ethernet-Netzwerk, ein MOST-Bus, ein USB-Bus oder eine Kombination aus zumindest zwei unter¬ schiedlichen der genannten Netzwerk-Technologien zu verstehen. Der Erfindung liegt die Aufgabe zugrunde, ein Datennetzwerk eines Kraftfahrzeugs auf falsche Datennachrichten hin zu überwachen. Die Aufgabe wird durch die Gegenstände der unabhängigen Patent¬ ansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung sind durch die abhängigen Patentansprüche, die folgende Be¬ schreibung sowie die Figuren beschrieben.
Die Erfindung stellt ein Verfahren bereit, um eine Überwachungs¬ vorrichtung für das Datennetzwerk des Kraftfahrzeugs zu betreiben. Die Überwachungsvorrichtung kann zum Beispiel als Zusatzschaltung in einem Steuergerät des Kraftfahrzeugs vor- gesehen sein. Das Verfahren sieht vor, dass die Überwachungs¬ vorrichtung an einem Netzwerkanschluss eine Datennachricht aus dem Datennetzwerk empfängt. Eine solche Datennachricht ist zwar ein digitales Signal, wird aber auf der physikalischen Ebene (PHY) als zumindest ein elektrisches Signal übertragen. Die Datennachricht umfasst also zumindest ein solches elektrisches Signal. In einem vorbestimmten Nachrichtenabschnitt der
Nachricht wird zumindest ein Pegelwert eines jeweiligen Sig¬ nalpegels des zumindest einen elektrischen Signals ermittelt. Als Signalpegel kann beispielsweise ein Spannungspegel oder ein Strompegel erfasst werden. Der Pegelwert gibt dann entsprechend die Spannungsamplitude oder die Stromamplitude an. In Abhän¬ gigkeit von dem zumindest einen Pegelwert wird ein Prüfwert erzeugt. Mit anderen Worten werden bei Erfassen mehrerer Pegelwerte diese zu einem einzigen Prüfwert kombiniert. Bei einem einzelnen erfassten Pegelwert kann dieser als Prüfwert verwendet werden .
Zu der Datennachricht wird des Weiteren ein Identifier oder eine Absenderangabe ermittelt, die das angebliche Absendergerät der Datennachricht angibt. Das angebliche Absendergerät ist ein anderer Netzwerkteilnehmer, also zum Beispiel ein Steuergerät, von dem potenziell die Datennachricht stammen könnte und gemäß der Absenderangabe auch angeblich stammt. Eine andere Bezeich¬ nung für Netzwerkteilnehmer ist auch Station. Nun soll überprüft werden, ob die Absenderangabe korrekt ist. In Abhängigkeit von der Absenderangabe wird hierzu z.B. aus einem Datenspeicher der Überwachungsvorrichtung ein Referenzwert ermittelt. Dieser Referenzwert bezieht sich auf den Prüfwert. Falls ein Unterschied zwischen den Prüfwert und dem Referenzwert größer als ein vorbestimmter Schwellenwert ist, wird ein Hinweissignal erzeugt. Der Unterschied wird hierbei bevorzugt betragsmäßig erfasst, sodass es keinen Unterschied macht, ob der Prüfwert größer oder kleiner als der Referenzwert ist.
Die Erfindung nutzt zum Erkennen einer falschen Absenderangabe aus, dass der zumindest eine Pegelwert beim Übertragen über das Datennetzwerk durch den Leitungsabschnitt oder das Leitungs¬ segment verändert wird, über welches das Absendergerät mit der Überwachungsvorrichtung elektrisch verbunden ist. Das Absendergerät kann das zumindest eine elektrische Signal beispiels¬ weise gemäß einer Norm oder einem Standard für die Kommunikation des Datennetzwerks erzeugen, also einen Normpegelwert für das zumindest eine elektrische Signal einstellen. Durch die Im¬ pedanz, die sich für den Leistungsabschnitt ergibt, der das Absendergerät und die Überwachungsvorrichtung verbindet, wird aber der jeweilige Signalpegel des zumindest einen elektrischen Signals gedämpft oder allgemein verändert. Die Impedanz kann nämlich einen induktiven, kapazitiven und/oder ohmschen Anteil aufweisen, von denen jeder einen Einfluss auf das zumindest eine elektrische Signal aufweisen kann. Durch den Referenzwert kann angegeben werden, welchen Prüfwert die Überwachungsvorrichtung zu erwarten hat, falls die Datennachricht von dem korrekten
Absendergerät ausgesendet wurde. Wird die Datennachricht dagegen durch ein anderes Absendergerät in Datennetzwerk ausgesendet, so befindet sich ein anderer Leitungsabschnitt zwischen dem unerlaubt sendenden Absendergerät mit der Überwachungsvorrich- tung. Dieser Leitungsabschnitt weist z.B. aufgrund einer anderen Leitungslänge eine andere Impedanz auf, sodass sich entsprechend auch ein jeweiliger anderer Pegelwert für das zumindest eine elektrische Signal ergibt, als es der Fall wäre, wenn das korrekte Absendergerät die Datennachricht aussenden würde.
Durch die Erfindung ergibt sich der Vorteil, dass die Erkennung einer Datennachricht mit gefälschter Absenderangabe auf phy¬ sikalischer Ebene auf der Grundlage der Messung zumindest eines Pegelwert erfolgt. Dies erschwert es für ein Absendergerät, eine falsche Absenderangabe zu kaschieren. Ein weiterer Vorteil besteht darin, dass es ausreicht, die Überwachungseinrichtung bereitzustellen, ohne dass übrige Netzwerkteilnehmer, also andere Steuergeräte, in ihrem Sendeverhalten und/oder in ihrer schaltungstechnischen Bauweise angepasst oder verändert werden müssten, um die erfindungsgemäße Überwachung in dem Datennetzwerk bereitstellen zu können. Durch die Erfindung sind auch Weiterbildungen umfasst, durch die sich zusätzliche Vorteile ergeben.
In einem Datennetzwerk, das vorsieht, dass die Datennachricht zwei elektrische Signale einer differentiellen Übertragung umfasst (zwei gegenphasige elektrische Signale), werden als jeweiliger Pegelwert dieser beiden Signale bevorzugt zum einen ein Maximalwert des einen Signals und ein Minimalwerts des anderen Signals ermittelt. Die Überwachungsvorrichtung berechnet einen Pegeldifferenzwert einer Pegeldifferenz des Maximalwerts und des Minimalwerts. Es werden also der größte Signalpegel und der kleinste Signalpegel ermittelt. Allgemein können zwei Pegelwerte der beiden differentiellen Signale verwendet werden. Der Prüfwert wird auf Grundlage der Pe¬ geldifferenz ermittelt. Beispielsweise kann der Pegeldiffe- renzwert direkt als Prüfwert verwendet werden. Durch diese
Weiterbildung können zwei elektrische Signale beim Überwachen des Datennetzwerks berücksichtigt werden.
Gemäß einer Weiterbildung erzeugt nicht nur die Überwachungs- Vorrichtung selbst, sondern zusätzlich ein anderer Netzwerkteilnehmer, also z.B. ein anderes Steuergerät, einen solchen Pegeldifferenzwert. Bei dieser Weiterbildung empfängt die Überwachungsvorrichtung entsprechend über das Datennetzwerk den weiteren Pegeldifferenzwert der weiteren, an dem Datennetzwerk ermittelten Pegeldifferenz der beiden Signale. Der Prüfwert wird dann auf der Grundlage eines Quotienten der beiden Pegeldif¬ ferenzwerte ermittelt. Dies ergibt zwei Vorteile. Zum einen ist der Prüfwert dadurch unabhängig von dem durch das Absendergerät verwendeten Signalpegel. Hierdurch ist man von Fertigungsto¬ leranzen unabhängig, sodass das Austauschen eines Absendergeräts nicht zu einer Verfälschung des Prüfwerts führt und sich damit für das korrekte Absendergerät stets wieder der Referenzwert ergibt. Ein weiterer Vorteil besteht darin, dass an zwei Stellen im Datennetzwerk, d.h. an zwei Netzwerkanschlüssen, jeweils eine Pegeldifferenz ermittelt wird. Somit ist verhindert, dass durch die Überwachungsvorrichtung eine verfälscht Absenderangabe und unerkannt bleibt könnte, weil das nicht-autorisierte Absen- dergerät zufällig denselben Abstand zur Überwachungsvorrichtung aufweist wie das korrekte Absendergerät und damit die Lei¬ tungsabschnitte gleich lang wären.
Um die Absenderangabe zu ermitteln, kann vorgesehen sein, dass die Überwachungsvorrichtung die Absenderangabe aus der Datennachricht ausliest. Dies ist möglich, falls die Datennachricht eine Angabe zum Absendergerät enthält, beispielsweise dessen Netzwerk-Adresse. Alternativ dazu kann vorgesehen sein, dass die Überwachungsvorrichtung die Absenderangabe aus einem vorgegebenen Konfigurationsplan des Datennetzwerks anhand eines Nachrichtentyps der Datennachricht ermittelt. Beispielsweise kann die Datennachricht einen Wert einer bestimmten Messgröße, beispielsweise eines Lenkwinkels, enthalten. Eine Datennach¬ richt eines gegebenen Nachrichtentyps („Lenkwinkel") kann gemäß dem Konfigurationsplan bestimmungsgemäß nur von einem vorbestimmten Absendergerät stammen. Somit kann auch auf diese Weise eine Absenderangabe ermittelt werden.
Eine weitere Frage ist, wie man den Referenzwert in dem
Kraftfahrzeug bereitstellen kann. Der Referenzwert kann in einer Kalibrierphase erzeugt werden, indem die Überwachungsvorrichtung über das Datennetzwerk eine Referenznachricht aus einem bekannten Absendergerät empfängt, dessen tatsächliche Absen¬ derangabe bekannt ist. Zu der Referenznachricht kann in der beschriebenen Weise ebenfalls der Prüfwert berechnet werden. Der berechnete Prüfwert dient dann als Referenzwert, der z.B. in den Datenspeicher abgespeichert wird. Die Kalibrierphase kann beispielsweise während der Herstellung des Kraftfahrzeugs oder während eines Aufenthalts in einer Werkstatt erfolgen, wenn sichergestellt werden kann, dass in dem Datennetzwerk während der Kalibrierphase keine Manipulation vorliegt. Das Vermessen eines Referenzwerts weist den Vorteil auf, dass Fertigungstoleranzen in dem Referenzwert berücksichtigt und somit bei der Überwachung implizit kompensiert werden können.
Alternativ kann der Referenzwert auch berechnet werden. Der Referenzwert kann hierzu in Abhängigkeit von einem Impedanzwert des die Überwachungsvorrichtung mit dem bekannten Absendergerät elektrisch verbindenden Leitungssegments des Datennetzwerks berechnet werden. Falls kein zweiter Prüfwert durch ein anderes Steuergerät ermittelt wird, kann zusätzlich der Referenzwert in Abhängigkeit von einem Normpegelwert des von dem bekannten Absendergerät beim Erzeugen des zumindest einen elektrischen Signals verwendeten Normpegels zum Beispiel für Strom oder Spannung, insbesondere der besagte Maximalwert und Minimalwert, erfolgen . Um einen aussagekräftigen Pegelwert zu erhalten, wird in der beschriebenen Weise ein vorbestimmter Nachrichtenabschnitt genutzt. Eine Weiterbildung sieht vor, dass die Überwachungs¬ vorrichtung als den vorbestimmten Nachrichtenabschnitt ein vorbestimmtes Signalbit der Datennachricht ermittelt. Welches Signalbit hier geeignet ist, hängt von dem Kommunikations¬ protokoll ab, dass in den Datennetzwerk verwendet wird. Es wird bevorzugt ein solches Signalbit verwendet, bei welchem ein Signalpegel den besagten Maximalwert aufweist. Um mit geringem technischem Aufwand die Überwachung durchzuführen, ist bevorzugt vorgesehen, dass die Überwachungsvorrichtung den zumindest einen Pegelwert mittels einer Samp- le-and-Hold-Schaltung und mittels eines dieser nachgeschalteten Analog-Digital-Wandlers erzeugt. Somit kann die Überwachungs- Vorrichtung mitlesen, d.h. mittels der Sample-and-Hold-Schal- tung den vorbestimmten Nachrichtenabschnitt erfassen, also den jeweiligen Signalpegel des zumindest einen elektrischen Signals zum Beispiel in einem jeweiligen Kondensator speichern, ohne dass hierdurch die Datennachricht für die Nutzung durch ein Steuergerät verloren geht.
Entsprechend ist vorgesehen, dass die Überwachungsvorrichtung bevorzugt als eine Zusatzschaltung in einem Steuergerät des Kraftfahrzeugs betrieben wird. Ein Steuergerät weist eigentlich eine Applikationsschaltung auf, durch welche das Steuergerät eine Steuergerät-spezifische Fahrzeugfunktion bereitstellen kann, z.B. eine Aktuatorsteuerung oder eine sensorische Er- fassung von Messwerten oder eine Fahrerassistenz. Eine solche Fahrzeugfunktion kann also beispielsweise die Steuerung eines elektrischen Motors für eine Servolenkung und/oder eine Fahrerassistenz für eine Fahrstabilitätskontrolle sein. Diese Applikationsschaltung des Steuergeräts empfängt zum Bereit- stellen der Fahrzeugfunktion über denselben Netzwerkanschluss die Datennachricht und zwar unabhängig von der Überwachungs¬ schaltung. In der beschriebenen Weise liest also die Überwachungsvorrichtung die Datennachricht nur mit und überwacht, ob diese von dem korrekten Absendergerät stammt. Somit ist das Steuergerät vor gefälschten Datennachrichten geschützt.
Die Erfindung sieht auch das Bereitstellen der besagten
Überwachungsvorrichtung für das Datennetzwerk des Kraftfahrzeugs vor. Überwachungsvorrichtung weist hierzu eine elekt- ronische Schaltung auf, die dazu eingerichtet ist, eine Aus¬ führungsform des erfindungsgemäßen Verfahrens durchzuführen. Beispielsweise kann eine elektronische Schaltung mit der be¬ sagten Sample-and-Hold-Schaltung, dem Analog-Digital-Wandler und einer nachgeschalteten Prozessoreinrichtung (beispielsweise einem Mikroprozessor oder MikroController) vorgesehen sein. Das Verfahren kann beispielsweise auch Programmcode umfassen, um die besagten Berechnungsschritte durchführen zu können.
Besonders vorteilhaft ist es, wenn die Überwachungsvorrichtung als integraler Bestandteil eines Steuergeräts für ein Daten¬ netzwerk des Kraftfahrzeugs realisiert ist. Entsprechend stellt die Erfindung auch ein solches Steuergerät bereit, das einen Netzwerkanschluss zum Anschließen des Steuergeräts an das Datennetzwerk aufweist, wobei an den Netzwerkanschluss sowohl die beschriebene Applikationsschaltung zum Bereitstellen einer Fahrzeugfunktion als auch unabhängig davon eine Ausführungsform der erfindungsgemäßen Überwachungsvorrichtung angeschlossen sind.
Schließlich umfasst die Erfindung auch ein Kraftfahrzeug mit einem Datennetzwerk, an welches eine Ausführungsform des erfindungsgemäßen Steuergeräts angeschlossen ist, also ein Steuergerät mit der Überwachungsvorrichtung. Des Weiteren ist an das Datennetzwerk zumindest ein weiterer Netzwerkteilnehmer, also zum Beispiel ein weiteres Steuergerät, angeschlossen. Der weitere Netzwerkteilnehmer ist dazu eingerichtet, zumindest eine Datennachricht auszusenden. Durch das erfindungsgemäße Steu- ergerät kann in dem Kraftfahrzeug erkannt werden, ob eine von dem Steuergerät empfangene Datennachricht tatsächlich von dem Netzwerkteilnehmer stammt.
Das erfindungsgemäße Kraftfahrzeug ist bevorzugt als Kraftwagen, insbesondere als Personenkraftwagen oder Lastkraftwagen, ausgestaltet .
Im Folgenden ist ein Ausführungsbeispiel der Erfindung beschrieben. Hierzu zeigt:
Fig. 1 eine schematische Darstellung einer Ausführungsform des erfindungsgemäßen Kraftfahrzeugs;
Fig. 2 eine schematische Darstellung zweier Steuergeräte, die über ein Datennetzwerk des Kraftfahrzeugs von Fig. 1 kommunizieren; und
Fig. 3 eine schematische Darstellung eines inneren Aufbaus eines der Steuergeräte, welches eine Überwachungsvorrichtung für das Datennetzwerk aufweist.
Bei dem im Folgenden erläuterten Ausführungsbeispiel handelt es sich um eine bevorzugte Ausführungsform der Erfindung. Bei dem Ausführungsbeispiel stellen die beschriebenen Komponenten der Ausführungsform jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden und damit auch einzeln oder in einer anderen als der gezeigten Kombination als Bestandteil der Erfindung anzusehen sind. Des Weiteren ist die beschriebene Ausführungsform auch durch weitere der bereits beschriebenen Merkmale der Erfindung ergänzbar. In den Figuren sind funktionsgleiche Elemente jeweils mit denselben Bezugszeichen versehen.
Fig. 1 zeigt ein Kraftfahrzeug 10, bei dem es sich um einen Kraftwagen, insbesondere einem Personenkraftwagen oder Last- kraftwagen handeln kann. Das Kraftfahrzeug 10 kann ein Datennetzwerk 11 aufweisen, das beispielhaft ein CAN-Bus oder ein FlexRay-Bus sein kann. An das Datennetzwerk 11 kann über einen jeweiligen Netzwerkanschluss 12 jeweils ein Steuergerät 13, 14, 15, 16 angeschlossen sein. Die Steuergeräte 13, 14, 15, 16 sind durch eine jeweilige individuelle Bezeichnung (ECU M, ECU 1, ECU 2, ECU C) voneinander unterschieden. Bei dem Steuergerät 13 (ECU M) kann es sich zum Beispiel um einen Busmaster für das Datennetzwerk 11 handeln. Die Steuergeräte ECU 1, ECU 2 können beispielsweise jeweils eine Sensoreinrichtung und/oder eine Aktuatorsteuerung bereitstellen. Das Steuergerät 16 kann ein weiterer Netzwerkteilnehmer (C - Client) sein.
In Fig. 1 ist veranschaulicht, dass ein jeweiliges Leitungs¬ segments 17 mit einer Leitungslänge 1_1M das Steuergerät ECU 1 mit dem Steuergerät ECU M und ein Leitungssegments 18 mit einer Leitungslänge 1_1C das Steuergerät ECU 1 mit dem Steuergerät ECU C elektrisch verbinden kann.
Zum Übertragen einer Datennachricht 19 kann beispielsweise das Steuergerät ECU 1 elektrische Signale in dem jeweiligen Lei¬ tungssegment 17, 18 erzeugen, die über den jeweiligen Netz- werkanschluss 12 der Steuergeräte ECU M und ECU C (und auch ECU 2) empfangen werden können. Fig. 2 veranschaulicht hierbei, den Einfluss des Leitungs¬ segments 17 beim Übertragen der Datennachricht 19 von dem Steuergerät ECU 1 zu dem Steuergerät ECU M. Es kann vorgesehen sein, dass zwei elektrische Signale 20, 21 zum differentiellen Über¬ tragen einer Datennachricht 19 in einer High-Leitung H und einer Low-Leitung L erzeugt werden, wie dies im Zusammenhang mit der Technologie des CAN-Bus und des FlexRay-Bus bekannt ist. Fig. 3 veranschaulicht, wie beispielsweise in dem Steuergerät ECU M zusätzlich zur eigentlichen Applikationsschaltung 22 eine Überwachungsvorrichtung 23 bereitgestellt werden kann, die unabhängig von der Applikationsschaltung 22 die über den Netzwerkanschluss Fall 12 empfangenen elektrischen Signale 20, 21 erfassen kann. Die Überwachungsvorrichtung 23 kann hierzu eine Auswahllogik 24, eine Sample-and-Hold-Schaltung 25, einen Analog-Digital-Wandler 26 und eine Prozessoreinrichtung 27 aufweisen, beispielsweise einen MikroController . Die Prozessoreinrichtung 27 kann Bestandteil der Applikationsschaltung 22 sein. Der Analog-Digital-Wandler 26 kann bereits Bestandteil eines MikroControllers sein, der die Prozessoreinrichtung 27 darstellt .
Falls das Steuergerät ECU M eine Datennachricht 19 empfängt, die nicht von demjenigen Steuergerät 14, 15 ausgesendet wurde, das zum Erzeugen der spezifischen Datennachricht 19 des entspre¬ chenden Nachrichtentyps vorgesehen ist, so erkennt die Über¬ wachungsvorrichtung 23 diese Datennachricht 19 als gefälscht oder fehlerhaft und kann daraufhin ein Hinweissignal 28 erzeugen, welches auf diese gefälschte Datennachricht 19 hinweisen kann.
Die Überwachungsvorrichtung 23 kann hierzu ein Verfahren zur Anomalie-Detektion in einem Netzwerk durchführen. Dabei wird die Quelle einer Nachricht 19 auf dem Netzwerk 11 durch ein cha- rakteristisches Muster verifiziert, welches nur durch physi¬ kalische Randbedingungen, wie die Dämpfung auf einem Ausbreitungsmedium, etwa auf einer elektrischen Leitung, gegeben ist, und daher nur sehr schwer verfälscht werden kann. Bei dem Netzwerk kann es sich um den CAN-Bus, FlexRay, Ethernet, MOST handeln, um die breite Verwendungsmöglichkeit des Ansatzes zu verdeutlichen . Es werden zu geeigneten Zeitpunkten Amplituden- oder Amplitudendifferenzen des Bussignals erfasst und nach erfolgreichem Empfang mit dem erwarteten Muster des berechtigten Absendergeräts verglichen. Stimmen diese Muster überein, liegt der Normalfall vor, d.h. die Nachricht stammt also von dem be- rechtigten Absendergerät. Im anderen Fall lässt sich eine
Anomalie feststellen, es wurde detektiert, dass eine Nachricht nicht von dem berechtigten Absendergerät als Quelle der Nachricht 19 gesendet wurde. Angriffe können mit Hilfe einer Anoma- lie-Detektion wirksam erkannt und in einem weiteren Schritt abgewehrt werden. In der Überwachungsvorrichtung 23 wird unter Signal unmittelbar die Spannung (ggf. auch der Strom) auf der Busleitung geprüft, es erfolgt also bei der hier beschriebenen Anomalie-Detektion keine Decodierung der Nachrichteninhalte, abgesehen vom Identifier, der als Absenderangabe verwendet wird, um das charakteristische Muster einer Signalquelle zuzuordnen.
Für das Verfahren wird keine Periodizität der zu untersuchenden Nachrichten erwartet. Es wird auch keinerlei Kooperation des sendenden Netzwerkteilnehmers vorausgesetzt, es müssen von dem sendenden Absendergerät also keine zusätzlichen Informationen, wie etwa Zeitstempel gesendet werden. Weiterhin wird mit dem Verfahren angestrebt, den Mehraufwand klein zu halten, etwa dadurch dass die überwiegende Mehrzahl der elektronischen Steuergeräte keinerlei Modifikation benötigen.
Ausgenutzt wird, dass in einem Netzwerk charakteristische Dämpfungen auf den Leitungen zwischen den einzelnen ECUs, welche in statischen Netzwerken weitgehend fest und somit deterministisch sind, gelten.
Sendet, wie in Fig. 2 dargestellt, die ECU 1 eine Nachricht, erfolgt dies etwa beim CAN-Bus oder bei FlexRay durch diffe- rentielle Leitungsübertragung. Eine der beiden symmetrischen Busleitungen wird mit einem Pegel UiH moduliert, die andere Leitung mit einem entgegengesetzten Pegel UiL. Hier ist bei¬ spielhaft nur ein einziges, ideal terminiertes Leitungssegment 17 dargestellt.
Nach Fig. 2 breitet sich auf der Leitung die Spannung UiH(t,l) bzw. UiL(t,l) als gedämpfte Welle aus, und werden von ECU M empfangen als gedämpfte, kleinere Spannungen UMH bzw. UML, SO dass die Differenzen
Figure imgf000014_0001
AUM = UMH - UML (2)
AUM = AUi · 10 ( o - 1 ■ «■ !-111' (3) Der Koeffizient drückt dabei die Dämpfung der Leitung in dB/m aus, 1_1M = Im die Leitungslänge zwischen ECU 1 und ECU M bei reflexionsarm ausgeführter Terminierung aus (reflexionsarme Terminierung sollte hier stets sichergestellt sein) . Die Amplitudendifferenz an der empfangenden ECU wird also zunächst von der sendenden ECU bestimmt, diese nimmt dann ex- ponentiell über der Leitungslänge liM ab. Typische, betragsmäßige Werte für liegen in der Größenordnung 0.1 bis 0.3 dB/m. Es sei nun angenommen, dass zu einem beliebigen Zeitpunkt ein Steuergerät ECU X eine Nachricht aussende, welche von allen ECUs die an das Datennetzwerk angeschlossen sind, empfangen werden, insbesondere von der ECU M. X kann hier z.B. 1 oder 2 sein. Überwachungsvorrichtung 23 ermittelt zu der Datennachricht 19 von dem noch unbekannten Steuergerät ECU X eine Pegeldifferenz AUM = AUX.
Für bestimmte Identifier sicherheitskritischer Nachrichten, etwa dem Lenkwinkel, oder der Drosselklappenstellung, kann ECU M nun nach dem Verfahren einen Vergleich der aktuell festgestellten Amplitudendifferenz AUx(actual) der Buspegel mit einer erwarteten Amplitudendifferenz AUX (expected) vornehmen, und eine Abweichung als Anomalie werten Apat ( X ) = AUx(actual) - AUX (expected) (4)
In einer unerwünschten, d.h. sicherheitskritischen Situation würde ECU Y nun eine Nachricht 28 senden, welche vorgeblich von ECU X stammt (Y ungleich X ) . Beim CAN-Bus wäre dies beispielsweise der Fall, wenn ECU Y einen CAN-Identifier verwendet, der normalerweise ausschließlich ECU X zugeordnet ist. In einem herkömmlichen Netzwerk könnte diese missbräuchliche Verwendung eines CAN-Identifier nicht erkannt werden. Eine solche Situation entsteht etwa beim„Hacking" einer ECU Y, von der aus gefälschte CAN-Nachrichten ausgesendet werden. falls (|Apat(x) | > Limit) -+ Anomalie (5)
Zur Ermittlung einer charakteristischen Amplitudendifferenz nach (2) muss ein geeigneter Zeitpunkt gewählt werden. Dies kann mit Hilfe der Auswahllogik zur Ermittlung einer geeigneten Signaleigenschaft erfolgen, z.B. einer bestimmtes Bit einer Nachricht 19 nach der Startflanke.
In einem Netzwerk mit einer beliebigen Zahl von ECUs ist bevorzugt eine Master ECU M mit der Überwachungsvorrichtung 23 versehen, die es erlaubt, per Auswahllogik 24 zum Zeitpunkt des Eintreffens eines zuvor festgelegten Bits das Bus-Signal der unbekannter Quelle ECU X hinsichtlich seiner Amplitudendifferenz AUX zu erfassen, hier mittels Sample-and-Hold 25 und nachgeschaltetem AD-Wandler 26. Die anderen ECUs benötigen keine solche Vorrichtung .
Nach (3) ist die Amplitudendifferenz an einer empfangenden ECU 1 auch von der Amplitudendifferenz AUi abhängig, welche der sendenden ECU 1 zur Verfügung steht. Diese Spannung kann stark variieren, unter dem Einfluss von Serienstreuung, Alterung und der Temperatur. Die Dämpfung auf der Leitung ist dagegen eher konstant. Eine Verbesserung erhält man daher, wenn man Amplituden- oder Amplitudendifferenzmuster an zwei getrennten ECUs erfasst, etwa an ECU M und ECU C, und so mittels (6) dämp- fungsabhängige D (X) als charakteristische Muster einer sendenden ECU X erfasst:
ΔυΜ(Χ) = AUx · 10 ( o - 1 ■ «■ !-MX)
AUC (X) = AUx · 10 ( o - 1 ■ «■ !-C )
D(X) = ΔυΜ(Χ) / AUc(X) = lO«0-1 ■ «■ (I_MX - i_cx> wobei 1_MX = lMx die Länge des Leitungssegments zwischen ECU M und ECU X und 1_CX = lCx die Länge des Leitungssegments zwischen ECU C und ECU X ist.
Für bestimmte Identifier sicherheitskritischer Nachrichten, etwa dem Lenkwinkel, oder der Drosselklappenstellung, kann ECU M unter Kenntnis der in einer zweiten ECU C ermittelten Amplitudendifferenz bei Nachricht X nach dem Verfahren einen Vergleich des aktuell festgestellten Dämpfungsmuster
D(X,actual) mit dem erwarteten Dämpfungsmuster D (X, expected) vornehmen, und eine Abweichung als Anomalie werten Dpat(X) = D(X, actual) - D (X, expected) (7)
In einer sicherheitskritischen Situation würde ECU Y nun eine Nachricht Y senden, welche vorgeblich von ECU X stammt. Beim CAN-Bus wäre dies beispielsweise der Fall, wenn ECU Y einen CAN-Identifier verwendet, der normalerweise ausschließlich ECU X zugeordnet ist. In einem herkömmlichen Netzwerk könnte diese missbräuchliche Verwendung eines CAN-Identifier nicht erkannt werden. Eine solche Situation entsteht etwa beim„Hacking" einer ECU Y, von der aus gefälschte CAN-Nachrichten ausgesendet werden. falls (|Dpat(X) | > Limit) -> Anomalie (8)
Somit bietet also die Überwachungsvorrichtung ein Verfahren und eine Vorrichtung, bei welchen Amplituden oder Amplitudendifferenzen von Bussignalen einer sendenden Station ECU X in einem Netzwerk an einer empfangenden ECU M erfasst werden, mit einer erwarteten Amplitude- oder Amplitudendifferenz verglichen und zur Detektion einer Anomalie herangezogen werden. Netzwerk-Signale werden bevorzugt an einer Stelle im Netzwerk, hier als ECU M benannt, hinsichtlich der Buspegels (Spannung oder Strom), eines bestimmten Bits der Nachricht ausgewertet. In ECU M wird bevorzugt der Buspegel oder Signalpegel erfasst (ab¬ getastet) , und einer Netzwerknachricht X, etwa deren Identifier, zugeordnet. Die in ECU M erfassten Buspegel einer Nachricht X werden bevorzugt zu einer Pegeldifferenz verrechnet. Die erfassten Buspegel einer Referenznachricht R gesendet von einer bekannten Station ECU C (oder ECU M) werden bevorzugt mit den Buspegeln zur Nachricht X zu einem Dämpfungs- oder Amplitudenbzw. Amplitudendifferenzmuster verrechnet. Das ermittelte Pegeldifferenz- oder Dämpfungsmuster wird bevorzugt mit einem erwarteten Muster verglichen, und eine Abweichung mittels Schwellwertentscheidung als Anomalie gewertet . Zum Zeitpunkt des Eintreffens eines bestimmten Bits in ECU M oder in ECU C wird bevorzugt der Buspegel erfasst und zum Zweck der Interpolation wird ein analoges Filter mit Peak-Hold-Schaltung (als Samp- le-and-Hold-Schaltung) verwendet, dieser interpolierte Wert durch einen Analog-Digital-Wandler ebenfalls erfasst und einer Netzwerknachricht X zugeordnet.
Insgesamt zeigt das Beispiel, wie durch die Erfindung eine Amplitudenüberwachung in einem Netzwerk bereitgestellt werden kann.
, r
Bezugs zeichenliste
10 Kraftfahrzeug
11 Datennetzwerk
12 Netzwerkanschluss
13 Steuergerät
14 Steuergerät
15 Steuergerät
16 Steuergerät
17 Leitungssegment
18 Leitungssegment
19 Datennachricht
20 Elektrisches Signal
21 Elektrisches Signal
22 ApplikationsSchaltung
23 Überwachungs orrichtung
24 Auswahllogik
25 Sample-and-Hold-Schaltung
26 Analog-Digital-Wandler
27 Prozessoreinrichtung
28 Hinweissignal

Claims

Patentansprüche
1. Verfahren zum Betreiben einer Überwachungsvorrichtung (23) eines Datennetzwerks (11) eines Kraftfahrzeugs (10), wobei die Überwachungsvorrichtung (23) an einem Netzwerkanschluss (12) aus dem Datennetzwerk (11) eine Datennachricht (19), welche zu¬ mindest ein elektrisches Signal (20, 21) umfasst, empfängt, d a d u r c h g e k e n n z e i c h n e t , dass die Über¬ wachungsvorrichtung (23) :
- in einem vorbestimmten Nachrichtenabschnitt der Nachricht (19) zumindest einen Pegelwert eines jeweiligen Signalpegels des zumindest einen elektrischen Signals (20, 21) ermittelt,
- in Abhängigkeit von dem zumindest einen Pegelwert einen Prüfwert erzeugt,
- zu der Datennachricht (19) eine Absenderangabe, die ein angebliches Absendergerät der Datennachricht (19) angibt, ermittelt,
- in Abhängigkeit von der Absenderangabe einen Referenzwert ermittelt, und
- falls ein Unterschied zwischen dem Prüfwert und dem Refe¬ renzwert betragsmäßig größer als ein vorbestimmter Schwellenwert ist, ein Hinweissignal (28) erzeugt.
2. Verfahren nach Anspruch 1, wobei die Datennachricht (19) zwei elektrische Signale (20, 21) einer differentiellen Übertragung umfasst und die Überwachungsvorrichtung (23) einen Pegeldifferenzwert einer Pegeldifferenz des einen Signals (20) und des anderen Signals (21) berechnet und der Prüfwert auf der Grundlage des Pegeldifferenzwerts ermittelt wird.
3. Verfahren nach Anspruch 2, wobei die Überwachungsvorrichtung (23) über das Datennetzwerk (11) einen weiteren Pegeldiffe¬ renzwert einer weiteren, an einem anderen Netzwerkanschluss (12) ermittelten Pegeldifferenz des zumindest einen elektrischen Signals (20, 21) der Datennachricht (19) empfängt und den Prüfwert auf der Grundlage eines Quotienten der beiden Pe¬ geldifferenzwerte ermittelt.
4. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Überwachungsvorrichtung (23) die Absenderangabe aus der Da¬ tennachricht (19) ausliest oder aus einen vorgegebenen Kon¬ figurationsplan des Datennetzwerks (11) anhand eines Nach- richtentyps der Datennachricht (19) ermittelt.
5. Verfahren nach einem der vorhergehenden Ansprüche, wobei der jeweilige Signalpegel ein Spannungspegel oder ein Strompegel ist .
6. Verfahren nach einem der vorhergehenden Ansprüche, wobei der Referenzwert in einer Kalibrierphase erzeugt wird, indem die Überwachungsvorrichtung (23) eine Referenznachricht über das Datennetzwerk (11) aus einem bekannten Absendergerät, dessen Absenderangabe bekannt ist, empfängt und zu der Referenz¬ nachricht den Prüfwert berechnet und den berechneten Prüfwert als den Referenzwert abspeichert, oder wobei
der Referenzwert in Abhängigkeit von einem Impedanzwert eines die Überwachungsvorrichtung (23) mit dem bekannten Absendergerät elektrisch verbindenden Leitungssegments (17) des Datennetzwerks (11) berechnet wird.
7. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Überwachungsvorrichtung (23) als den vorbestimmten Nachrich- tenabschnitt ein vorbestimmtes Signalbit der Datennachricht (19) ermittelt .
8. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Überwachungsvorrichtung (23) den zumindest einen Pegelwert mittels einer Sample-and-Hold-Schaltung (24) und eines dieser nachgeschalteten Analog-Digital-Wandlers (25) erzeugt.
9. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Überwachungsvorrichtung (23) als eine Zusatzschaltung in einem Steuergerät (13) des Kraftfahrzeugs (10) betrieben wird, wobei eine Applikationsschaltung (22) des Steuergeräts (13) unabhängig von der Überwachungsschaltung (23) über denselben Netzwerk- anschluss (12) die Datennachricht (19) zum Bereitstellen einer Fahrzeugfunktion empfängt.
10. Überwachungsvorrichtung (23) für ein Datennetzwerk (11) eines Kraftfahrzeugs (10), wobei die Überwachungsvorrichtung (23) eine elektronische Schaltung aufweist, die dazu einge¬ richtet ist, ein Verfahren nach einem der vorhergehenden Ansprüche durchzuführen.
11. Steuergerät (13) für ein Datennetzwerk (11) eines Kraft¬ fahrzeugs (10), wobei das Steuergerät (13) einen Netzwerkan- schluss (12) zum Anschließen des Steuergeräts (13) an das Datennetzwerk (11) aufweist und an den Netzwerkanschluss (12) eine Applikationsschaltung (22) zum Bereitstellen einer
Fahrzeugfunktion und unabhängig davon eine Überwachungsvorrichtung (23) nach Anspruch 10 angeschlossen sind.
12. Kraftfahrzeug (10) mit einem Datennetzwerk (11), an welches ein Steuergerät (23) nach Anspruch 11 sowie zumindest ein Netzwerkteilnehmer ( 14 , 15, 16), welcher zum Aussenden von
Datennachrichten (19) eingerichtet ist, angeschlossen sind.
PCT/EP2017/051523 2017-01-19 2017-01-25 Verfahren zum betreiben einer überwachungsvorrichtung eines datennetzwerks eines kraftfahrzeugs sowie überwachungsvorrichtung, steuergerät und kraftfahrzeug Ceased WO2018133953A1 (de)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US16/479,513 US20190342115A1 (en) 2017-01-19 2017-01-25 Method for operating a monitoring device for a data network of a motor vehicle and monitoring device, control unit and motor vehicle
CN201780082620.6A CN110226309B (zh) 2017-01-19 2017-01-25 用于对机动车辆中数据网络的监测装置进行操作的方法以及监测装置、控制设备和机动车辆

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102017200826.1A DE102017200826A1 (de) 2017-01-19 2017-01-19 Verfahren zum Betreiben einer Überwachungsvorrichtung eines Datennetzwerks eines Kraftfahrzeugs sowie Überwachungsvorrichtung, Steuergerät und Kraftfahrzeug
DE102017200826.1 2017-01-19

Publications (1)

Publication Number Publication Date
WO2018133953A1 true WO2018133953A1 (de) 2018-07-26

Family

ID=57944400

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2017/051523 Ceased WO2018133953A1 (de) 2017-01-19 2017-01-25 Verfahren zum betreiben einer überwachungsvorrichtung eines datennetzwerks eines kraftfahrzeugs sowie überwachungsvorrichtung, steuergerät und kraftfahrzeug

Country Status (4)

Country Link
US (1) US20190342115A1 (de)
CN (1) CN110226309B (de)
DE (1) DE102017200826A1 (de)
WO (1) WO2018133953A1 (de)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11110895B2 (en) * 2018-04-09 2021-09-07 Cisco Technology, Inc. Vehicle network intrusion detection system (IDS) using vehicle state predictions
US11354406B2 (en) * 2018-06-28 2022-06-07 Intel Corporation Physics-based approach for attack detection and localization in closed-loop controls for autonomous vehicles
DE102019201230A1 (de) * 2018-08-17 2020-02-20 Robert Bosch Gmbh Teilnehmerstation für ein serielles Bussystem und Verfahren zum Senden einer Nachricht in einem seriellen Bussystem
DE102019107248A1 (de) * 2019-03-21 2020-09-24 Eaton Intelligent Power Limited Busanordnung und Verfahren zum Betreiben einer Busanordnung
DE102019219904B4 (de) * 2019-12-17 2022-12-22 Conti Temic Microelectronic Gmbh Datennetzwerk mit zumindest drei Leitungszweigen, die über einen gemeinsamen Sternpunkt miteinander verbunden sind, sowie Kraftfahrzeug und Betriebsverfahren für das Datennetzwerk
DE102020200727A1 (de) * 2020-01-22 2021-07-22 Robert Bosch Gesellschaft mit beschränkter Haftung Verfahren und Vorrichtung zum Auswerten eines Signals
CN114902222A (zh) * 2020-01-28 2022-08-12 住友电气工业株式会社 检测装置、管理装置、检测方法及检测程序
DE102020201606A1 (de) * 2020-02-10 2021-08-12 Robert Bosch Gesellschaft mit beschränkter Haftung Kommunikationsmodul, Teilnehmer und Verfahren
CN114205261B (zh) * 2020-08-27 2024-02-20 中车株洲电力机车研究所有限公司 网络通信数据正确性的自动化测试方法及存储介质
JP2023081175A (ja) * 2021-11-30 2023-06-09 ラピステクノロジー株式会社 電子制御装置
DE102022206582A1 (de) * 2022-06-29 2024-01-04 Robert Bosch Gesellschaft mit beschränkter Haftung Verfahren zum Überwachen des Betriebs einer Recheneinheit, Recheneinheit und Computerprogramm
CN115774185B (zh) * 2023-02-13 2023-05-05 江苏泰治科技股份有限公司 一种车规级芯片dpat检测方法及装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130104231A1 (en) * 2011-10-25 2013-04-25 GM Global Technology Operations LLC Cyber security in an automotive network
WO2016151566A1 (en) * 2015-03-26 2016-09-29 Tower-Sec Ltd Security system and methods for identification of in-vehicle attack originator
DE102016108923A1 (de) * 2015-05-19 2016-11-24 Ford Global Technologies, Llc Spoofing-Erkennung

Family Cites Families (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ZA785255B (en) 1978-09-15 1979-12-27 Anglo Amer Corp South Africa Alarm system
AU648648B2 (en) 1991-04-15 1994-04-28 Hochiki Kabushiki Kaisha Method of detecting transmission error in disaster prevention supervisory system
DE19601836B4 (de) 1995-01-31 2008-03-27 Volkswagen Ag Verfahren zur Überwachung einer seriellen Übertragung von digitalen Datennachrichten auf zwei parallel geführten Datenleitungen
DE19611944C2 (de) * 1996-03-26 2003-03-27 Daimler Chrysler Ag Integrierter Schaltkreis zur Kopplung eines mikrokontrollierten Steuergerätes an einen Zweidraht-Bus
DE19726538C1 (de) * 1997-06-23 1998-10-01 Daimler Benz Ag Verfahren und Schaltungsanordnung zur Überprüfung von Leitungsfehlern in einem Zweidraht-Bus-System
US6356823B1 (en) * 1999-11-01 2002-03-12 Itt Research Institute System for monitoring and recording motor vehicle operating parameters and other data
WO2002055356A1 (de) * 2001-01-12 2002-07-18 Daimlerchrysler Ag Vorrichtung zur überwachung von in einem fahrzeug angeordneten sensormitteln
US7403560B2 (en) * 2004-02-09 2008-07-22 Lecroy Corporation Simultaneous physical and protocol layer analysis
DE102004054016A1 (de) * 2004-11-09 2006-05-11 Robert Bosch Gmbh Steuergerät zum Steuern und/oder regeln mindestens einer Fahrzeugfunktion
US8213321B2 (en) * 2007-02-01 2012-07-03 Deere & Company Controller area network condition monitoring and bus health on in-vehicle communications networks
FR2940199B1 (fr) * 2008-12-18 2010-12-24 Renault Sas Procede de pilotage d'un groupe d'organes de vehicule en fonction des situations de conduite, et dispositif correspondant
WO2011037554A2 (en) * 2009-09-24 2011-03-31 Gilleland David S Authorisation and monitoring system
WO2012097775A1 (de) * 2011-01-21 2012-07-26 Continental Automotive Gmbh Schaltungsanordnung mit überwachungseinrichtung
CN202094916U (zh) * 2011-06-21 2011-12-28 长沙中联重工科技发展股份有限公司 Can总线的故障检测系统
ES2805290T3 (es) * 2012-03-29 2021-02-11 Arilou Information Security Tech Ltd Dispositivo para proteger un sistema electrónico de un vehículo
DE102012216689B4 (de) 2012-09-18 2017-05-04 Continental Automotive Gmbh Verfahren zur Überwachung eines Ethernet-basierten Kommunikationsnetzwerks in einem Kraftfahrzeug
JP5904163B2 (ja) * 2013-06-19 2016-04-13 株式会社オートネットワーク技術研究所 接続検出装置及び車載中継装置
US9316680B2 (en) * 2013-07-06 2016-04-19 Infineon Technologies Ag Method, device and circuitry for detecting a failure on a differential bus
JP6126980B2 (ja) * 2013-12-12 2017-05-10 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム
GB2522852A (en) * 2014-02-05 2015-08-12 Bombardier Transp Gmbh A method of communication between a vehicle and a wayside control unit for controlling an inductive energy transfer to the vehicle, a vehicle, a wayside contr
US9407319B2 (en) * 2014-03-24 2016-08-02 Sital Technology Ltd. Fault tolerant transceiver
US8955130B1 (en) * 2014-04-10 2015-02-10 Zephyr Technology Co., Limited Method for protecting vehicle data transmission system from intrusions
US9568533B2 (en) * 2014-05-27 2017-02-14 GM Global Technology Operations LLC Method and apparatus for open-wire fault detection and diagnosis in a controller area network
CN104202200B (zh) * 2014-09-15 2018-01-12 中国科学院电工研究所 一种基于FlexRay总线的网络在线诊断装置
US9843597B2 (en) * 2015-01-05 2017-12-12 International Business Machines Corporation Controller area network bus monitor
US9380070B1 (en) * 2015-01-20 2016-06-28 Cisco Technology, Inc. Intrusion detection mechanism
US10095634B2 (en) * 2015-05-22 2018-10-09 Nxp B.V. In-vehicle network (IVN) device and method for operating an IVN device
US10429428B2 (en) * 2015-11-30 2019-10-01 GM Global Technology Operations LLC ECU ground fault isolation for a delay system
JP6732799B2 (ja) * 2015-12-25 2020-07-29 パナソニックセミコンダクターソリューションズ株式会社 不正メッセージ検知装置、不正メッセージ検知装置を備える電子制御装置、不正メッセージ検知方法、及び不正メッセージ検知プログラム
KR101734505B1 (ko) * 2016-04-29 2017-05-11 재단법인대구경북과학기술원 차량용 네트워크의 공격탐지 방법 및 그 장치
WO2018013171A1 (en) * 2016-07-15 2018-01-18 The Regents Of The University Of Michigan Identifying compromised electronic control units via voltage fingerprinting
CN110325929B (zh) * 2016-12-07 2021-05-25 阿瑞路资讯安全科技股份有限公司 用于检测有线网络变化的信号波形分析的系统和方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130104231A1 (en) * 2011-10-25 2013-04-25 GM Global Technology Operations LLC Cyber security in an automotive network
WO2016151566A1 (en) * 2015-03-26 2016-09-29 Tower-Sec Ltd Security system and methods for identification of in-vehicle attack originator
DE102016108923A1 (de) * 2015-05-19 2016-11-24 Ford Global Technologies, Llc Spoofing-Erkennung

Also Published As

Publication number Publication date
CN110226309B (zh) 2022-12-16
DE102017200826A1 (de) 2018-07-19
US20190342115A1 (en) 2019-11-07
CN110226309A (zh) 2019-09-10

Similar Documents

Publication Publication Date Title
WO2018133953A1 (de) Verfahren zum betreiben einer überwachungsvorrichtung eines datennetzwerks eines kraftfahrzeugs sowie überwachungsvorrichtung, steuergerät und kraftfahrzeug
DE102015122823B4 (de) Verfahren und System zur reflektometriebasierten Überwachung, Intrusionserfassung und Mitteilungsauthentifizierung eines Kommunikationsnetzwerks
DE102014211387B4 (de) Verbindungserkennungsvorrichtung und fahrzeugeigene Weiterleitvorrichtung
DE102016107923B4 (de) Detektion eines ECU-Erdungsfehlers mit Spannungsmessungen am CAN-Bus
DE102015108333B4 (de) Kurzschlussfehlerisolierung in einem controller area network
DE102017208547A1 (de) Verfahren zum Schutz eines Netzwerkes vor einem Cyberangriff
DE112015006541T5 (de) Angriffsdetektionsvorrichtung
EP3418133B1 (de) Verfahren zum betreiben einer passiven funkbasierten schliessvorrichtung und passive funkbasierte schliessvorrichtung
EP3357262B1 (de) Kommunikationssystem zur v2x-kommunikation
DE102017208553A1 (de) Verfahren zum Schutz eines Netzwerkes vor einem Cyberangriff
WO2018077528A1 (de) Erkennung von manipulationen in einem can-netzwerk mittels überprüfung von can-identifiern
DE102020214099A1 (de) Verfahren zur Erkennung eines unerlaubten physischen Zugriffs auf ein Bussystem
DE102016204999A1 (de) Verfahren zur Überwachung der Sicherheit von Kommunikationsverbindungen eines Fahrzeugs
DE102017208545A1 (de) Verfahren zum Schutz eines Netzwerkes vor einem Cyberangriff
DE102017209556A1 (de) Verfahren zum Schutz eines Fahrzeugnetzwerks gegen manipulierte Datenübertragung
DE102018212657A1 (de) Verfahren und Vorrichtung zum Erkennen von Unregelmäßigkeiten in einem Rechnernetz
EP2575282B1 (de) Vorrichtung sowie Verfahren zum Empfangen eines sicheren Telegramms
DE102017208551A1 (de) Verfahren zum Schutz eines Netzwerkes vor einem Cyberangriff
DE102020214945A1 (de) Verfahren zum Überprüfen einer Nachricht in einem Kommunikationssystem
DE102008052781B4 (de) Fehlererkennung in differentiellen Bussystemen
DE102007058071A1 (de) Verfahren und Vorrichtung zur Plausibilisierung einer Auswertung von sicherheitsrelevanten Signalen für ein Kraftfahrzeug
EP4291922A1 (de) Identifizieren einer störung in empfangenen echosignalen einer gruppe von sensoren
EP3393830A1 (de) Verfahren und vorrichtung zur übertragung von daten von einer an einem rad eines fahrzeuges angeordneten radeinheit zu einer zentraleinheit des fahrzeuges
EP4018603A1 (de) Verfahren zur positionserkennung eines busteilnehmers
DE102019129628B3 (de) Verfahren und Steuergerät zum Detektieren eines unautorisierten Datenverkehrs in einem paketorientierten Datennetzwerk eines Kraftfahrzeugs sowie entsprechendes Kraftfahrzeug

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17702329

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17702329

Country of ref document: EP

Kind code of ref document: A1