-
Die Erfindung betrifft ein Verfahren zum Vorsehen und Installieren von Softwareaktualisierungen in wenigstens einer Recheneinheit eines Fahrzeugs nach der im Oberbegriff von Anspruch 1 näher definierten Art sowie ein Fahrzeug nach der im Oberbegriff von Anspruch 7 näher definierten Art.
-
Elektronische Geräte haben heutzutage eine weite Verbreitung gefunden. Zum Betreiben solcher elektronischen Geräte sind neben einer Hardware auch auf der Hardware ausführbare Softwarekomponenten wie beispielsweise ein Programm in Form eines maschinenlesbaren Codes, sowie Regelungs- und/oder Steuerungsparameter, beispielsweise in Form von Datenbanken, erforderlich. Zur Integration und/oder Erweiterung neuer Funktionen, sowie insbesondere zum Schließen von Sicherheitslücken lassen sich solche Softwarekomponenten bei Bedarf durch Installieren einer Softwareaktualisierung beziehungsweise eines Updates aktualisieren. Dabei werden einzelne Codebestandteile oder auch ein vollständiger Code einer Softwarekomponente bzw. einer Software ausgetauscht. Dies ist zum Beispiel bekannt durch Betriebssystemupdates eines Computerbetriebssystems, einem Betriebssystemupdate für mobile Endgeräte wie Smartphones und Tabletcomputer oder auch durch Firmwareupdates für elektronische Geräte wie Drucker oder Router.
-
Insbesondere für den Fall, dass eine Softwareaktualisierung zum Schließen von Sicherheitslücken auf ein elektronisches Gerät einzuspielen ist, erfordert dies ein zügiges Handeln einer die Aktualisierung einspielenden Person, da das elektronische Gerät zu der Zeit, zu der die Aktualisierung noch nicht eingespielt wurde, weiterhin angreifbar ist. Oftmals werden aus diesem Grund Aktualisierungen für Software bzw. Softwarekomponenten automatisiert verteilt und automatisch installiert.
-
Mit zunehmender Digitalisierung nimmt auch eine Anzahl und Bedeutung von elektronischen Geräten in Fahrzeugen zu. Diese weisen verschiedenste Recheneinheiten, beispielsweise einen zentralen Bordcomputer, ein Motorsteuergerät (Engine-Control-Unit) oder Steuergeräte für Fahrzeuguntersysteme wie ABS, eine Geschwindigkeitsregelanlage, oder Sensorsysteme wie ein Abstandsradar auf. Insbesondere über ein Infotainmentsystem des Fahrzeugs lassen sich vielfältige Funktionen bereitstellen. Dabei sind die Fahrzeuge oftmals auch, beispielsweise über Mobilfunk, mit dem Internet verbunden. Weitere drahtlose Kommunikationsschnittstellen können beispielsweise auf einer Verwendung von Bluetooth und/oder Wireless Lan beruhen. Über diese Schnittstellen kann ein Angreifer Zugang zu vom Fahrzeug umfassten Elektronikgeräten erlangen.
-
So kann es vorkommen, dass eine Sicherheitslücke in einem beliebigen Fahrzeugsystem bekannt geworden ist, welche ein Fahrzeughersteller mit Hilfe einer Softwareaktualisierung schließen möchte. Dabei wird die Softwareaktualisierung ausgerollt, das heißt an Flottenfahrzeuge des Herstellers verteilt, und in einem Speicher des Fahrzeugs zwischengespeichert. Zum Installieren der Softwareaktualisierung muss dann nur noch eine autorisierte Person, in der Regel eine fahrzeugführende Person bzw. ein Halter des Fahrzeugs, der Softwareaktualisierung durch Eingabe einer Bedienhandlung in eine Bedieneinrichtung des Fahrzeugs, beispielsweise einer Head Unit, zustimmen. Solange die autorisierte Person der Aktualisierung nicht zustimmt, besteht die Sicherheitslücke weiterhin. Dabei kann es vorkommen, dass die autorisierte Person kein Interesse daran hat, die Softwareaktualisierung zu installieren. Mögliche Gründe sind ein Aufwand für die autorisierte Person sowie das Risiko, dass mit der Softwareaktualisierung Bugs in die Softwarekomponente bzw. Software eingebracht werden, und dadurch bisher fehlerfreie laufende Funktionen nur noch problematisch bereitgestellt werden können. Kommt es zu einem Angriff auf ein Fahrzeug, welches veraltete Software einsetzt, kann dies zu einem Reputationsschaden für den Fahrzeughersteller führen.
-
Aus der
DE 11 2012 007 197 T5 sind ein Verfahren und eine Vorrichtung zum Aktualisieren von Softwareaktualisierungen in Koordination mit Betriebsablaufbedingungen eines Motorfahrzeugs bekannt. Dabei empfängt ein Fahrzeug eine Softwareaktualisierungen typischerweise während eines laufenden Betriebs. In diesem Zustand ist das Durchführen von Softwareaktualisierungen jedoch gegebenenfalls nicht möglich, da eine zu aktualisierende Softwarekomponente beispielsweise gerade im Einsatz ist. So kann die jeweilige Softwarekomponente nicht aktualisiert werden, da eine von der Softwarekomponente bereitgestellte Funktionalität während der Aktualisierung nicht erfüllt bzw. bereitgestellt werden kann, obwohl diese gerade benötigt wird. Beispielsweise lässt sich ein Programmcode eines Motorsteuergeräts zum Steuern bzw. Regeln eines Verbrennungsmotors des Fahrzeugs nicht aktualisieren, während der Motor des Fahrzeugs läuft. Das in der Druckschrift offenbarte Verfahren sowie die Vorrichtung erlauben jedoch das Installieren von Softwareaktualisierungen während eines Betriebs des Fahrzeugs.
-
Hierzu wird eine Softwareaktualisierung an eine Verteilsteuereinrichtung des Fahrzeugs ausgerollt und in dieser gespeichert, woraufhin die Verteilsteuereinrichtung prüft, ob aktuell eine zu aktualisierende Softwarekomponente gefahrlos installiert werden kann. Ist dies der Fall, wird die Softwarekomponente automatisch aktualisiert. Hierzu wird ein Zeitfenster ermittelt, in welchem ein gefahrloses Einspielen der Softwareaktualisierung möglich ist. Dies ist beispielsweise der Fall, wenn die Zündung des Motors und/oder eine Kommunikationsschnittstelle des Fahrzeugs deaktiviert ist. Es ist jedoch auch möglich während einem Betreiben des Fahrzeug Softwarekomponenten zu aktualisieren, und zwar solche Softwarekomponenten, welche für einen normalen Betrieb des Fahrzeugs aktuell nicht wesentlich sind. Dabei ist es mit Hilfe des Verfahrens auch möglich, eine Abschätzung zu treffen, ob Softwarekomponenten voneinander abhängen und die voneinander abhängenden Softwarekomponenten in einer festgelegten Reihenfolge zu aktualisieren. Gilt es beispielsweise einen Programmcode eines Abstandsradars zu aktualisieren, so wird zuerst eine Aktualisierung zum Ansprechen von Radarsensoren installiert. Das Verfahren offenbart zudem, dass bei einer nicht ausreichend zur Verfügung stehenden Zeitdauer zum Einspielen einer Aktualisierung eine Aktualisierung auch pausiert werden kann und/oder nur Teilkomponenten einer Software bzw. Softwarekomponente aktualisiert werden, wobei der Rest der Softwarekomponente zu einer gefahrlosen Zeit aktualisiert wird. Die Druckschrift beschreibt dabei auch, dass eine Softwareaktualisierung in die Verteilersteuereinrichtung bzw. den Speicher der Verteilersteuereinrichtung verteilt wird und/oder auch direkt in ein Fahrzeuguntersystem, beispielsweise ein ABS- oder ASR-System. Dabei geht die Druckschrift jedoch nicht darauf ein, dass zum Einspielen bzw. Installieren von Softwareaktualisierungen eine Zustimmung einer autorisierten Person benötigt wird, und dass bei Ausbleiben einer solchen Zustimmung Softwarekomponenten nicht aktualisiert werden können.
-
Der vorliegenden Erfindung liegt die Aufgabe zugrunde, ein Verfahren zum Vorsehen und Installieren von Softwareaktualisierungen in wenigstens einer Recheneinheit eines Fahrzeugs anzugeben, mit dessen Hilfe Softwarekomponenten eines Fahrzeugs zuverlässig innerhalb einer bestimmten Frist aktualisiert werden bzw. beim Ausbleiben einer solchen Softwareaktualisierung das Fahrzeug weiterhin sicher betrieben werden kann.
-
Erfindungsgemäß wird diese Aufgabe durch ein Verfahren zum Vorsehen und Installieren von Softwareaktualisierungen mit den Merkmalen des Anspruchs 1 sowie ein Fahrzeug mit den Merkmalen des Anspruchs 7 gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen ergeben sich aus den hiervon abhängigen Ansprüchen.
-
Bei einem Verfahren zum Vorsehen und Installieren von Softwareaktualisierungen in wenigstens einer Recheneinheit eines Fahrzeugs empfängt das Fahrzeug zu einem Ausrollzeitpunkt Softwareaktualisierungen von einer fahrzeugexternen zentralen Recheneinheit, wobei die Softwareaktualisierungen in einer Speichereinrichtung wenigstens einer Recheneinheit des Fahrzeugs zwischengespeichert werden. Zu einem Installationszeitpunkt werden die Softwareaktualisierungen dann ausgeführt, um eine Softwarekomponente auf eine aktuelle bzw. neuere Version zu bringen. Erfindungsgemäß erfordert ein Initiieren des Installationszeitpunkts die Eingabe einer Bedienhandlung einer autorisierten Person in eine Bedieneinrichtung des Fahrzeugs, wobei bei einer Fristüberschreitung zur Installation einer Softwareaktualisierung ein von wenigstens einer Recheneinheit des Fahrzeugs bereitgestellter Funktionsumfang eingeschränkt wird.
-
Verpasst es die autorisierte Person innerhalb einer festgelegten Frist zur Installation einer Softwareaktualisierung diese zu bestätigen, so bleibt die jeweilige Softwarekomponente auf ihrem veralteten Stand. Umfasst eine jeweilige Softwarekomponente ein Sicherheitsupdate, beispielsweise zum Schließen von Sicherheitslücken, bedeutet dies, dass das Fahrzeug bzw. eine vom Fahrzeug umfasste Recheneinheiten und/oder ein entsprechendes Untersystem angreifbar bleiben. Um auch in diesem Falle das Fahrzeug sicher betreiben zu können, wird mit Hilfe des erfindungsgemäßen Verfahrens ein von wenigstens einer Recheneinheit des Fahrzeugs bereitgestellter Funktionsumfang eingeschränkt. Dabei werden genau die von der Softwareaktualisierung betroffenen Programmbestandteile bzw. die von diesen bereitgestellten Funktionalitäten eingeschränkt. Somit stehen die von der Sicherheitslücke betroffenen Funktionalitäten nicht mehr zur Verfügung, wodurch auch ein Angriff über die entsprechende Funktionalität nicht mehr erfolgen kann. Somit ist auch beim Ausbleiben der Softwareaktualisierung einer kritischen Programmcodekomponente ein sicheres Betreiben des Fahrzeugs möglich.
-
Wird die Softwareaktualisierung zu einem späteren Zeitpunkt installiert, werden die Einschränkungen wieder aufgehoben.
-
Bei der wenigstens einen Recheneinheit kann es sich um eine beliebige Recheneinheit des Fahrzeugs handeln. Beispielsweise kann es sich dabei um einen zentralen Bordcomputer oder um einzelne Steuergeräte von Fahrzeuguntersystemen, beispielsweise ein Motorsteuergerät oder ein Steuergerät eines ABS-Systems handeln. Die Softwareaktualisierung kann dazu dienen, einzelne Codebestandteile auszutauschen, einzelne Parameter zu ändern und/oder hinzuzufügen sowie ganze Datenbanken zu verändern. Die Softwareaktualisierung kann dabei auch komplett neue Codebestandteile umfassen. Auch ist es möglich, dass mit Hilfe einer Softwareaktualisierung ein vollständiger Programmcode ausgetauscht wird. Dabei ist es wie im Stand der Technik möglich, dass einzelne Softwarekomponenten nur dann aktualisiert werden, wenn diese für einen normalen Betrieb des Fahrzeugs gerade nicht wesentlich sind.
-
Das Ausrollen der Softwareaktualisierungen an das Fahrzeug erfolgt dabei beispielsweise kabelgebunden während eines Wartungsintervalls des Fahrzeugs oder auch „over the air“, das heißt per Funk. Hierzu kann beispielsweise Mobilfunk oder Wireless Lan genutzt werden, was ein flexibles Verteilen von Softwareaktualisierungen an Flottenfahrzeug eines Fahrzeugherstellers erlaubt.
-
Eine vorteilhafte Ausgestaltung des Verfahrens sieht vor, dass die Frist einer der folgenden Zeitdauern aufweist:
- - eine verstrichene Zeitdauer zwischen einem Deaktivieren einer Antriebsmaschine des Fahrzeugs und einem erneuten Starten der Antriebsmaschine, wobei das Fahrzeug wenigstens eine Softwareaktualisierung, während die Antriebsmaschine aktiv war, empfangen hat;
- - eine verstrichene Zeitdauer in Form einer festgelegten Anzahl an Tagen zwischen einem Empfangen wenigstens einer Softwareaktualisierung und einem erneuten Starten der Antriebsmaschine des Fahrzeugs, insbesondere eine Anzahl an 14 Tagen;
- - eine verstrichene Zeitdauer zwischen einem Empfangen wenigstens einer Softwareaktualisierung und einem festgelegten Kalenderdatum; oder
- - eine sich funktional ergebende Zeitdauer, wobei ein Fristende nach Durchführen einer festgelegten Anzahl an Starts der Antriebsmaschine, einer festgelegten Anzahl an Zündzyklen, einer festgelegten mit dem Fahrzeug zurückgelegten Wegstrecke oder einer festgelegten Anzahl von der Antriebsmaschine geleisteter Betriebsstunden erreicht wird.
-
Wird eine Softwareaktualisierung von einem Fahrzeughersteller bereitgestellt, kann es in Abhängigkeit einer Dringlichkeit, wie schnell eine Softwareaktualisierung durchgeführt werden muss, erforderlich sein, diese besonders schnell oder aber auch erst nach einer bestimmten Zeit zu installieren. Gilt es beispielsweise, eine Sicherheitslücke einer WLan-Kommunikationsschnittstelle zu schließen, so sollte dies besonders schnell erfolgen, da sonst Angreifer über eine nicht ausreichend gesicherte WLan-Schnittstelle Schadcode in das Fahrzeug einbringen können. Umfasst die Softwareaktualisierung hingegen beispielsweise lediglich einen angepassten Regelungsparameter, beispielsweise einen Regelungsparameter für ein adaptives Fahrwerk, so wird mit Hilfe der Softwareaktualisierung lediglich ein komfortablerer Betrieb des Fahrzeugs ermöglicht, woraufhin diese Softwareaktualisierung nicht als kritisch erachtet werden muss, und somit auch erst zu einem späteren Zeitpunkt zu installieren ist.
-
Generell ist es auch möglich, dass eine Softwareaktualisierung als unkritisch eingestuft wird, woraufhin diese nicht zwangsweise installiert werden muss und somit die Frist ein offenes Ende aufweist. Handelt es sich jedoch um ein kritisches Softwareupdate bzw. eine kritische Softwareaktualisierung, so ist beispielsweise die Softwareaktualisierung sofort einzuspielen. Dies bedeutet, dass die Softwareaktualisierung bestenfalls zum nächstmöglichen Zeitpunkt installiert wird. Es ist jedoch auch möglich, dass nach dem Empfangen einer Softwareaktualisierung eine bestimmte festgelegte Anzahl an Tagen gefahrlos verstreichen kann, bis die Softwareaktualisierung zu installieren ist. Hierzu haben sich beispielsweise 14 Tage bewährt. Das Vorsehen einer solchen Frist ermöglich es, dass eine erste Anzahl an Flottenfahrzeugen die Softwareaktualisierung installiert, woraufhin möglicherweise Bugs festgestellt werden können, woraufhin die Bugs innerhalb der 14 tägigen Frist vom Fahrzeughersteller beseitigt werden. Hierdurch kann die autorisierte Person bei einer Installation der Softwareaktualisierung zum 14. Tag bzw. zum Ende der Frist sicher sein, dass die Softwareaktualisierung keine Bugs mehr enthält. Ebenfalls ist es möglich, dass der Fahrzeughersteller ein fixes Kalenderdatum angibt, bis zu dem die Softwareaktualisierung installiert worden sein muss.
-
Die Zeitdauer der Frist kann sich auch funktional ergeben. Beispiele hierfür sind das Erreichen eines Fristendes nachdem eine festgelegte Anzahl an Starts der Antriebsmaschine bzw. Zündungszyklen des Fahrzeugs erfolgt sind, das Fahrzeug eine festgelegte Fahrtstrecke zurückgelegt hat, beispielsweise eine festgelegte Kilometerzahl erreicht hat, oder die Antriebsmaschine des Fahrzeugs eine festgelegte Anzahl an Betriebsstunden abgeleistet hat. Hierdurch lässt sich ein kritischer Zeitpunkt, zu dem eine Softwareaktualisierung spätestens installiert worden sein muss, noch flexibler festlegen.
-
Entsprechend einer weiteren vorteilhaften Ausgestaltung des Verfahrens wird, bevor der Funktionsumfang der wenigstens einen Recheneinheit eingeschränkt wird, eine Mitteilung über die geplante Einschränkung auf einer Anzeige des Fahrzeugs ausgegeben. Dabei ist es generell auch möglich, dass neben einer visuellen Ausgabe der Mitteilung auch eine Audiowarnung, beispielsweise in Form einer Sprachnachricht, über einen Lautsprecher des Fahrzeugs ausgegeben wird. Beispielsweise kann auf einer Anzeige des Fahrzeugs wie einem Kombiinstrument oder einer Head Unit des Fahrzeugs ein Datum, bis zu dem die Softwareaktualisierung installiert werden muss, angezeigt werden. Ferner kann die Mitteilung eine Information über eine von der Aktualisierung betroffenen Recheneinheit beziehungsweise eine von einem bestimmten Programmcode bereitgestellte Funktion umfassen. Hierdurch wird die autorisierte Person darüber informiert, welche Komponenten mit Hilfe des Softwareupdates aktualisiert werden und welche Funktionalitäten bei einer ausbleibenden Installation innerhalb einer vom Fahrzeughersteller gesetzten Frist eventuell eingeschränkt werden. Hierdurch kann eine Akzeptanz der fahrzeugführenden Person bzw. der autorisierten Person zum Installieren der Softwareaktualisierung erhöht werden.
-
Eine weitere vorteilhafte Ausgestaltung des Verfahrens sieht ferner vor, dass die Mitteilung über die geplante Einschränkung zu wenigstens einem festgelegten Zeitpunkt, insbesondere regelmäßig und ganz bevorzugt jedes Mal nach Starten und/oder Deaktivieren der Antriebsmaschine des Fahrzeugs erneut ausgegeben wird. Hierdurch kann die autorisierte Person für eine Dringlichkeit, mit der eine Softwareaktualisierung zu installieren ist, sensibilisiert werden. Je öfter die Mitteilung angezeigt wird, desto dringlicher erscheint auch das Durchführen der Softwareaktualisierung. Insbesondere beim Anzeigen der Mitteilung nach Deaktivieren der Antriebsmaschine wird das Fahrzeug in einen Modus versetzt, in dem Softwareaktualisierungen installiert werden können, da das Fahrzeug dann nicht betrieben wird und auch die jeweiligen Softwarekomponenten nicht auf Hardware des Fahrzeugs ausgeführt werden. Generell kann die Mitteilung jedoch zu jedem beliebigen Zeitpunkt erneut angezeigt werden, beispielsweise auch nach einer festgelegten Zeitdauer wie beispielsweise einmal pro Stunde. Dabei kann die Mitteilung insbesondere auch eine Liste umfassen, mit welchen Einschränkungen zu rechnen ist. Somit wird die autorisierte Person umfassend darüber informiert, welche Funktionalitäten des Fahrzeugs bei Ausbleiben der Softwareaktualisierung verloren gehen.
-
Entsprechend einer weiteren vorteilhaften Ausgestaltung des Verfahrens wird zumindest folgender Funktionsumfang der wenigstens einen Recheneinheit des Fahrzeugs eingeschränkt:
- - eine Begrenzung von der Recheneinheit verwendeter Schnittstellen;
- - eine Begrenzung von der Recheneinheit durchgeführter Funktionen; und/oder
- - eine Begrenzung von der Recheneinheit ausgetauschter Kommunikationsnachrichten.
-
Wie bereits erwähnt besteht die Möglichkeit, dass mit Hilfe der Softwareaktualisierung eine potenzielle Sicherheitslücke geschlossen werden soll. Für den Fall, dass die Softwareaktualisierung ausbleibt, besteht die Sicherheitslücke weiterhin. Indem die Funktionalitäten der wenigstens einen Recheneinheit eingeschränkt werden, welche die Sicherheitslücke aufweisen, kann das Fahrzeug trotzdem weiterhin sicher betrieben werden. So kann es sein, dass beispielsweise über eine bestimmte Schnittstelle ausgetauschte Daten bzw. Informationen das Ausnutzen der Sicherheitslücke erlauben. Durch Einschränken der jeweiligen Schnittstelle, beispielsweise eines bestimmten Datenbusses, eines bestimmten Kommunikationsprotokolls oder einer Kommunikationsschnittstelle wie einer Mobilfunk- oder WLan-Schnittstelle, lässt sich ein Angriff über eine solche Schnittstelle verhindern. Beispielsweise kann es auch der Fall sein, dass eine bestimmte Fahrzeugfunktion fehlerhaft ist. Beispielsweise besteht die Gefahr, dass ein Abstandsregeltempomat einen fehlerhaften Parameter umfasst, wodurch beispielsweise bei einem plötzlichen Bremsmanöver eines dem Fahrzeug vorausfahrenden Fahrzeugs das eigene Fahrzeug nicht schnell genug bremsen kann und droht, auf das stark bremsende vorausfahrende Fahrzeug aufzufahren. In diesem Falle kann der Abstandsregeltempomat deaktiviert werden, sodass dieser für eine fahrzeugführende Person generell nicht mehr zur Verfügung steht. Hierdurch kann ein Unfallrisiko reduziert werden. In Abhängigkeit des betroffenen Fahrzeugsystems kann dies auch so gravierend sein, dass beispielsweise das Fahrzeug bzw. die Antriebsmaschine des Fahrzeugs auch gar nicht mehr gestartet werden kann, bis die Softwareaktualisierung eingespielt wurde. Hierdurch kann eine Rückrufaktion seitens des Fahrzeugherstellers vermieden werden.
-
Bevorzugt sind die geplanten Einschränkungen von wenigstens einer vom Fahrzeug empfangenen Softwareaktualisierung umfasst. Generell ist es möglich, dass im Fahrzeug bzw. der wenigstens einen Recheneinheit des Fahrzeugs ein fester Zusammenhang zwischen einem zu aktualisierenden Softwaremodul bzw. Softwarekomponente und damit einhergehenden Einschränkungen vorgesehen ist. Es ist jedoch auch möglich, dass die geplanten Einschränkungen direkt mit dem Softwareupdate ausgrollt werden. In diesem Fall wird eine Flexibilität der durchzuführenden Einschränkungen erhöht, da die Einschränkungen an eine jeweilige Softwareaktualisierung angepasst werden können.
-
Bei einem Fahrzeug mit wenigstens einer Kommunikationsschnittstelle, einer Recheneinheit, wobei die Recheneinheit zumindest eine Speichereinrichtung zum Zwischenspeichern einer Softwareaktualisierung und einen Prozessor zum Ausführen von Programmcode umfasst, sowie mit einer Bedieneinrichtung und einer Anzeige, ist erfindungsgemäß die Recheneinheit dazu eingerichtet, ein im vorigen beschriebenes Verfahren auszuführen. Bei dem Fahrzeug kann es sich um ein beliebiges Fahrzeug wie einen Pkw, Lkw, Transporter, Bus, Motorrad oder dergleichen handeln. Wie bereits erwähnt, kann es sich bei der Recheneinheit um eine beliebige Recheneinheit wie einen zentralen Bordomputer oder ein Steuergerät wie ein Motorsteuergerät oder ein Steuergerät eines ABS-Systems handeln. Über die Bedieneinrichtung kann die autorisierte Person den Befehl zum Vorsehen der Softwareaktualisierung eingeben. Beispielsweise handelt es sich dabei um einen Touchscreen einer Head Unit des Fahrzeugs. Mit Hilfe des erfindungsgemäßen Verfahrens und des erfindungsgemäßen Fahrzeugs ist es somit möglich, das Fahrzeug auch bei einer potenziellen nicht geschlossenen Sicherheitslücke weiter sicher betreiben zu können.
-
Weitere vorteilhafte Ausgestaltungen des erfindungsgemäßen Verfahrens und des Fahrzeugs ergeben sich auch aus den Ausführungsbeispielen, welche nachfolgend unter Bezugnahme auf die Figuren näher beschrieben werden.
-
Dabei zeigen:
- 1 eine schematische Darstellung eines erfindungsgemäßen Fahrzeugs, welches eine Softwareaktualisierung von einer fahrzeugexternen zentralen Recheneinheit empfängt; und
- 2 ein Ablaufdiagramm eines erfindungsgemäßen Verfahrens.
-
1 zeigt ein Fahrzeug 2 mit mehreren Recheneinheiten 1. Bei den Recheneinheiten 1 kann es sich beispielsweise um einen zentralen Bordcomputer oder Steuergeräte von Fahrzeuguntersystemen wie einer Motorsteuerung oder einer ABS- oder ASR-Steuerung handeln. Die jeweiligen Recheneinheiten 1 umfassen jeweils eine Speichereinrichtung 4, sowie einen Prozessor 10. Dabei sind in den jeweiligen Speichereinrichtungen 4 Softwarekomponenten vorgesehen, beispielsweise vom Prozessor 10 ausführbarer Programmcode und/oder Regelungsparameter oder solche Parameter umfassenden Datenbanken. Die jeweiligen Recheneinheiten 1 stehen dabei mit einer Vielzahl verschiedener Schnittstellen 8 mit weiteren Fahrzeugkomponenten, beispielsweise einer Bedieneinrichtung 5, einer Anzeige 7, einer Antriebsmaschine 6 und/oder einer Kommunikationsschnittstelle 9 in Verbindung. Beispielsweise handelt es sich bei der Verbindung um ein Bussystem. Das Fahrzeug 2 bzw. wenigstens eine Recheneinheit 1 des Fahrzeugs 2 empfängt über die drahtlose Kommunikationsschnittstelle 9 eine von einer fahrzeugexternen zentralen Recheneinheit 3 bereitgestellte Softwareaktualisierung. Dabei kann die drahtlose Kommunikationsschnittstelle 9 beispielsweise eine Datenübertragung über Funk, insbesondere Mobilfunk, Bluetooth und/oder WiFi, durchführen. Bevorzugt wird die fahrzeugexterne zentrale Recheneinheit 3 von einem Hersteller des Fahrzeugs 2 betrieben. Die an das Fahrzeug 2 übermittelte Softwareaktualisierung wird dann in wenigstens einer Speichereinrichtung 4 wenigstens einer Recheneinheit 1 zumindest zwischengespeichert, bis die Softwareaktualisierung in einer Zielrecheneinheit 1 eingespielt wurde. Zum Initiieren einer Installation der Softwareaktualisierung ist die Eingabe einer Bedienhandlung einer autorisierten Person über die Bedieneinrichtung 5 erforderlich. Hierzu wird der autorisierten Person über die Anzeige 7 eine Information über eine verfügbare Softwareaktualisierung angezeigt, sowie die autorisierte Person dazu aufgefordert, die Softwareaktualisierung innerhalb einer festgelegten Frist durchzuführen. Mit Hilfe einer Softwareaktualisierung lassen sich gegebenenfalls von einem Programmcode umfasste Sicherheitslücken schließen. Während der Frist, bis das jeweilige Softwareupdate installiert wurde, besteht dann ein Gefährdungspotenzial für das Fahrzeug 2, da dieses über die Sicherheitslücke angreifbar ist. Somit besteht der Wunsch seitens des Fahrzeugherstellers und/oder eines Fahrzeughalters bzw. der autorisierten Person, die Softwareaktualisierung möglichst zeitnah zu installieren. Dies ist jedoch mit einem Aufwand für die autorisierte Person verbunden, was ein Grund dafür sein kann, dass die autorisierte Person der Softwareaktualisierung nicht nachkommt.
-
Um die autorisierte Person daran zu erinnern, dass die Softwareaktualisierung innerhalb der Frist zu installieren ist, ist es möglich, auf der Anzeige 7 Erinnerungsnachrichten anzuzeigen. Ebenso können auch beispielsweise über einen Lautsprecher des Fahrzeugs 2 Audioausgaben zur Erinnerung an die durchzuführende Installation ausgegeben werden. Gibt die autorisierte Person innerhalb der Frist die Bedienhandlung zur Installation wenigstens einer ausstehenden Softwareaktualisierung nicht in die Bedieneinrichtung 5 ein, so werden erfindungsgemäß von einer betroffenen Recheneinheit 1, welche zumindest eine Softwarekomponente einer zu aktualisierenden Software aufweist, bereitgestellte Funktionen, Schnittstellen 8 und/oder ausgetauschte Kommunikationsnachrichten eingeschränkt. Dabei handelt es sich um Hard- und/oder Softwarekomponenten, welche von der Sicherheitslücke betroffen sind und/oder diese hervorrufen. Durch Einschränken einer Nutzbarkeit der entsprechenden Schnittstellen 8, der Funktionen und/oder der austauschbaren Kommunikationsnachrichten wird ein Missbrauch bzw. ein Ausnutzen der Sicherheitslücke unterbunden. So ist auch ein sicherer Betrieb des Fahrzeugs 2 trotz einer nicht durchgeführten ausstehenden Softwareaktualisierung möglich. Sobald die autorisierte Person die Bedienhandlung in die Bedieneinrichtung 5 zur Installation einer ausstehenden Softwareaktualisierung eingibt und die jeweilige Softwareaktualisierung installiert wurde, werden die beschränkten Funktionen, Schnittstellen 8 und/oder austauschbaren Kommunikationsnachrichten einer eingeschränkten Recheneinheit 1 wieder freigegeben.
-
2 zeigt ein entsprechendes Ablaufdiagramm einer erfindungsgemäßen Verfahrens 200. So wird im Verfahrensschritt 201 wenigstens eine Softwareaktualisierung ausgerollt, das heißt insbesondere von einem Hersteller des Fahrzeugs 2 bereitgestellt. Im Verfahrensschritt 202 wird die entsprechende Softwareaktualisierung an eine Fahrzeugflotte versendet bzw. ein Download der jeweiligen Softwareaktualisierung von der fahrzeugexternen zentralen Recheneinheit 3 zugänglich gemacht. Im Verfahrensschritt 203 wird eine entsprechende Softwareaktualisierung, nachdem diese von einem Fahrzeug 2 über die drahtlose Kommunikationsschnittstelle 9 oder aber auch über eine kabelgebundene Kommunikationsschnittstelle, beispielsweise bei einem Wartungsintervall in einer Werkstatt, empfangen wurde, in wenigstens einer Speichereinrichtung 4 einer Recheneinheit 1 zumindest zwischengespeichert. Daran schließt sich ein optionaler Verfahrensschritt 205 an. Dieser umfasst eine Installation einer jeweiligen Softwareaktualisierung. Im Verfahrensschritt 210 wird geprüft, ob die entsprechende Softwareaktualisierung eingespielt wurde. Ist dies nicht der Fall, wird im Verfahrensschritt 211 geprüft, ob eine Frist, bis zu der die jeweilige Softwareaktualisierung zu installieren ist, überschritten wurde. Ist dies nicht der Fall, wird im Verfahrensschritt 212 zu festgelegten Zeitpunkten, insbesondere regelmäßig und bevorzugt jedes Mal zum Starten und/oder Deaktivieren der Antriebsmaschine 6 des Fahrzeugs 2, eine Erinnerungsmitteilung an eine autorisierte Person zur Installation der Softwareaktualisierung ausgegeben. Dem Verfahrensschritt schließt sich optional eine Installation der Softwareaktualisierung an. Wurde hingegen im Verfahrensschritt 211 festgestellt, dass die Frist überschritten wurde, so werden im Verfahrensschritt 213 Einschränkungen für eine Recheneinheit 1, deren Programmcode bzw. Softwarekomponenten zu aktualisieren sind, verhängt. Auch diesem Verfahrensschritt schließt sich eine optionale Installation der Softwareaktualisierung an. Wird nun im erneut durchgeführten Verfahrensschritt 210 festgestellt, dass die Installation der Softwareaktualisierung durchgeführt wurde, so können bei verhängten Einschränkungen im Verfahrensschritt 214 diese Einschränkungen wieder aufgehoben werden. Mit Hilfe des erfindungsgemäßen Fahrzeugs 2 und des erfindungsgemäßen Verfahrens 200 ist somit ein sicherer Betrieb des Fahrzeugs 2 möglich, auch wenn sicherheitsrelevante Softwareaktualisierungen verspätet installiert werden oder ausbleiben.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 112012007197 T5 [0006]