Teilnehmerstation für ein serielles Bussystem und Verfahren zur Übertragung von Daten mit Manipulationsschutz in einem seriellen Bussystem

Technisches Gebiet

Die vorliegende Erfindung betrifft eine Teilnehmerstation für ein serielles

Bussystem und ein Verfahren zur Übertragung von Daten mit

Manipulationsschutz in einem seriellen Bussystem.

Stand der Technik

Sollen zwischen Teilnehmerstationen eines seriellen Bussystems Daten übertragen werden, codieren die Teilnehmerstationen des Bussystems die Daten in zeitlich aufeinanderfolgenden Bits. Danach werden die Bits als Nachrichten gemäß einem vorbestimmten Kommunikationsprotokoll nacheinander auf den Bus gesendet und über den Bus übertragen. Das Kommunikationsprotokoll legt fest, an welcher Stelle der Nachricht welche Daten bzw. Bits codiert sind. Als Übertragungsmedium zur Übertragung der Daten zwischen den

Teilnehmerstationen wird bei drahtgebundenen Bussystemen mindestens eine Leitung verwendet.

Beispielsweise sind serielle Kommunikationsprotokolle mit Bit-Arbitration bekannt, wie Classical CAN und CAN FD, welche gemäß der ISO 11898-2 als zwei unterschiedliche Bitpegel einen rezessiven und einen dominanten Buspegel verwenden. Bei der Arbitration wird zwischen den Sendern im Bussystem anhand eines Identifizierers der Nachricht ausgehandelt, welcher Sender in der nächsten Kommunikationsphase das Senden einstellen und für den Rest der laufenden Nachricht nur noch als Empfänger agieren muss und welcher Sender in der nächsten Kommunikationsphase nachfolgend seine Daten zerstörungsfrei senden kann.

In einem heutigen Fahrzeug, wie beispielsweise einem Kraftfahrzeug, einem Lastkraftwagen, usw., werden Bussysteme eingesetzt, welche die zuvor genannten Kommunikations-Protokolle nutzen.

Problematisch ist, dass jede CAN-fähige Elektronikeinheit bei bekannter CAN- Matrix in der Lage ist, die CAN-Nachrichten mit dem richtigen Identifizierer und der richtigen Prüfsumme zu simulieren, die gemäß einer zyklischen

Redundanzprüfung (CRC = Cyclic Redundancy Check) erstellt wird. Der

Empfänger der CAN-Nachricht ist nicht in der Lage zu unterscheiden, ob die Information von einer für ihn vorgesehenen Steuereinheit, insbesondere ECU (= Electronic Control Unit = elektronische Steuereinheit), oder aus einer

nachgerüsteten CAN-fähigen (Fremd-) Elektronikeinheit gesendet wurde.

Außerdem ist ein Sender nicht in der Lage zu erkennen, dass eine andere Einheit, wie beispielsweise die nachgerüstete CAN-fähige (Fremd-)

Elektronikeinheit, die gleiche Nachricht, jedoch mit einem anderen Inhalt im Datenfeld versendet. Als Folge davon kann durch einen nicht autorisierten Eingriff in die CAN-Kommunikation somit das Verhalten von einem oder mehreren Steuergeräten oder Teilnehmerstationen des Bussystems des

Fahrzeugs manipuliert werden.

Offenbarung der Erfindung

Daher ist es Aufgabe der vorliegenden Erfindung, eine Teilnehmerstation für ein serielles Bussystem und ein Verfahren zur Übertragung von Daten mit

Manipulationsschutz in einem seriellen Bussystem bereitzustellen, welche die zuvor genannten Probleme lösen. Insbesondere sollen eine Teilnehmerstation für ein serielles Bussystem und ein Verfahren zur Übertragung von Daten mit Manipulationsschutz in einem seriellen Bussystem bereitgestellt werden, bei welchen eine Manipulation des Verhaltens eines Funktionsteils von einer oder mehreren Teilnehmerstation(en), die insbesondere die Funktion eines

Steuergeräts eines Fahrzeugs sind, zumindest erschwert oder nicht möglich ist. Die Aufgabe wird durch eine Teilnehmerstation für ein serielles Bussystem mit den Merkmalen des Anspruchs 1 gelöst. Die Teilnehmerstation hat eine

Kommunikationssteuereinrichtung zum Erstellen von Nachrichten, die seriell über eine Busleitung an mindestens eine andere Teilnehmerstation des Bussystems zu senden sind, und/oder zum Lesen der Nachrichten, die seriell von der Busleitung empfangen wurden, wobei die Kommunikationssteuereinrichtung ausgestaltet ist, zum Erstellen und/oder Lesen von Nachrichten eine

vorbestimmte Kommunikationsvorschrift zu verwenden, und wobei die

Kommunikationssteuereinrichtung ausgestaltet ist, zum Erstellen und/oder Lesen von Nachrichten mindestens eine von der vorbestimmten

Kommunikationsvorschrift unterschiedliche Vorschrift zum Erstellen und/oder Lesen der Nachrichten zu verwenden, wenn ein vorbestimmter Trigger auftritt.

Die Teilnehmerstation ermöglicht, dass die bisher feste statische Zuordnung eines Datenfelds im seriell zu übertragenden Rahmen (Frame) und/oder eines Rahmen-Identifizierers, insbesondere die CAN-ID, dynamisch veränderbar ist. Somit ist ein einfaches„Abhören“ und Manipulieren eines solchen Rahmens nicht mehr ohne weiteres möglich.

Noch dazu gewährleistet die Teilnehmerstation, dass die Datenmenge trotz des verwendeten Manipulationsschutzes nicht ansteigt. Dies ist ein großer Vorteil gegenüber sonstigen Verschlüsselungstechniken, da beispielsweise beim Standard-CAN-Protokoll pro Rahmen (Frame) nur maximal 8 Byte an Nutzdaten übertragen werden können. Darüber hinaus kann die Komplexität vermieden werden, die bei den bekannten Verschlüsselungsverfahren vorliegt.

Demzufolge bewirkt die Teilnehmerstation, dass eine Manipulation des

Verhaltens von einer oder mehreren Teilnehmerstation(en) des Bussystems, die insbesondere Steuergeräte eines Fahrzeugs ist/sind, ohne Verschlechterung der Datenübertragungseigenschaften zumindest erschwert oder wirksam verhindert wird. Dies ist von Vorteil insbesondere für abgasrelevante Steuergeräte eines Fahrzeugs, die gegenüber Manipulation derart zu schützen sind, dass

beispielsweise Auswirkungen auf die Software des Steuergeräts verhinderbar sind. Das von der Teilnehmerstation durchgeführte Verfahren kann nachträglich in ein serielles Kommunikationsprotokoll eingefügt werden, insbesondere in die CAN Protokoll-Spezifikation mit CAN FD gemäß dem zuvor genannten Standard. Beispielsweise ist das Einfügen als Option möglich, die wahlweise eingebaut oder per Applikationsparameter aktiviert werden kann

Vorteilhafte weitere Ausgestaltungen der Teilnehmerstation sind in den abhängigen Ansprüchen angegeben.

Denkbar ist, dass die Kommunikationssteuereinrichtung zum Erstellen und/oder zum Lesen mindestens einer ersten Nachricht und einer zweiten Nachricht ausgestaltet ist, in welchen gemäß der vorbestimmten Kommunikationsvorschrift jeweils Felder nacheinander angeordnet sind, die sich in ihrer Funktion in Bezug auf die Kommunikation in dem Bussystem unterscheiden, wobei die

Kommunikationssteuereinrichtung ausgestaltet ist, gemäß der unterschiedlichen Vorschrift mindestens einen Teil eines Felds der ersten Nachricht durch einen Teil eines Felds der zweiten Nachricht auszutauschen.

Gemäß einem Ausführungsbeispiel ist der mindestens eine Teil des Felds der ersten Nachricht ein Datenfeld, in welchem Daten für ein Funktionsteil der Teilnehmerstation seriell angeordnet sind, und der mindestens eine Teil des Felds der zweiten Nachricht ein Datenfeld ist, in welchem Daten für ein

Funktionsteil der Teilnehmerstation seriell angeordnet sind, und wobei die Kommunikationssteuereinrichtung ausgestaltet ist, die Datenfelder der ersten und zweiten Nachricht gegeneinander auszutauschen.

Hierbei kann die erste Nachricht mindestens zwei Signale in ihrem Datenfeld aufweisen und die zweite Nachricht mindestens zwei Signale in ihrem Datenfeld aufweisen, in welchen Datenfeldern jeweils Daten für ein Funktionsteil der Teilnehmerstation seriell angeordnet sind, und wobei die

Kommunikationssteuereinrichtung ausgestaltet ist, mindestens ein Signal der ersten und zweiten Nachricht gegeneinander auszutauschen.

In einer speziellen Ausgestaltung kann die erste Nachricht mindestens zwei Signale in ihrem Datenfeld aufweisen und die zweite Nachricht mindestens zwei Signale in ihrem Datenfeld aufweisen, in welchen Datenfeldern jeweils Daten für ein Funktionsteil der Teilnehmerstation seriell angeordnet sind, und wobei die Kommunikationssteuereinrichtung ausgestaltet ist, die Reihenfolge der mindestens zwei Signale in dem Datenfeld der ersten und/oder zweiten Nachricht zu ändern.

Gemäß einem anderen Ausführungsbeispiel ist der mindestens eine Teil des Felds der ersten Nachricht ein Identifizierer in einem Arbitrationsfeld und der mindestens eine Teil des Felds der zweiten Nachricht ist ein Identifizierer in einem Arbitrationsfeld, wobei die Kommunikationssteuereinrichtung ausgestaltet ist, die Identifizierer der ersten und zweiten Nachricht gegeneinander

auszutauschen.

Optional ist der vorbestimmte Trigger ein vorbestimmter Zeitpunkt und/oder ein vorbestimmtes Ereignis im Betrieb der Teilnehmerstation.

Möglicherweise ist die Teilnehmerstation für ein Bussystem ausgestaltet, bei welchem zumindest zeitweise ein exklusiver, kollisionsfreier Zugriff einer

Teilnehmerstation auf eine Busleitung des Bussystems gewährleistet ist.

Die von der Teilnehmerstation erstellte und/oder empfangene Nachricht kann eine CAN-Nachricht oder eine CAN FD-Nachricht sein.

Die zuvor beschriebene Teilnehmerstation kann Teil eines Bussystems sein, das zudem eine Busleitung und mindestens zwei Teilnehmerstationen aufweist, welche über die Busleitung derart miteinander verbunden sind, dass sie miteinander kommunizieren können. Hierbei ist mindestens eine der mindestens zwei Teilnehmerstationen eine zuvor beschriebene Teilnehmerstation.

Die zuvor genannte Aufgabe wird zudem durch ein Verfahren zur Übertragung von Daten mit Manipulationsschutz in einem seriellen Bussystem nach Anspruch 10 gelöst. Das Verfahren hat den Schritt: Erstellen, mit einer

Kommunikationssteuereinrichtung einer ersten Teilnehmerstation des

Bussystems, von Nachrichten, die seriell über eine Busleitung an mindestens eine zweite Teilnehmerstation des Bussystems zu senden sind, und/oder zum Lesen der Nachrichten), die seriell von der Busleitung empfangen wurden, wobei die Kommunikationssteuereinrichtung ausgestaltet ist, zum Erstellen und/oder Lesen von Nachrichten eine vorbestimmte Kommunikationsmatrix zu verwenden, und wobei die Kommunikationssteuereinrichtung ausgestaltet ist, zum Erstellen und/oder Lesen von Nachrichten mindestens eine von der vorbestimmten Kommunikationsmatrix abweichende Vorschrift zum Erstellen und/oder Lesen der Nachrichten zu verwenden, wenn ein vorbestimmter Trigger auftritt.

Das zuvor beschriebene Verfahren bietet dieselben Vorteile, wie sie zuvor in Bezug auf die Teilnehmerstation genannt sind.

Weitere mögliche Implementierungen der Erfindung umfassen auch nicht explizit genannte Kombinationen von zuvor oder im Folgenden bezüglich der

Ausführungsbeispiele beschriebenen Merkmalen oder Ausführungsformen.

Dabei wird der Fachmann auch Einzelaspekte als Verbesserungen oder

Ergänzungen zu der jeweiligen Grundform der Erfindung hinzufügen.

Zeichnungen

Nachfolgend ist die Erfindung unter Bezugnahme auf die beiliegende Zeichnung und anhand von Ausführungsbeispielen näher beschrieben. Es zeigen:

Fig. 1 ein vereinfachtes Blockschaltbild eines Bussystems gemäß einem ersten Ausführungsbeispiel;

Fig. 2 ein Schaubild zur Veranschaulichung des Aufbaus von Nachrichten, die von Teilnehmerstationen des Bussystems gemäß dem ersten

Ausführungsbeispiel gesendet werden können;

Fig. 3 ein Schaubild zur Veranschaulichung des Aufbaus von Nachrichten, die von Teilnehmerstationen des Bussystems gemäß dem ersten

Ausführungsbeispiel gesendet werden können; und Fig. 4 ein Schaubild zur Veranschaulichung des Aufbaus von Nachrichten, die von Teilnehmerstationen des Bussystems gemäß einem zweiten

Ausführungsbeispiel gesendet werden können.

In den Figuren sind gleiche oder funktionsgleiche Elemente, sofern nichts Anderes angegeben ist, mit denselben Bezugszeichen versehen.

Beschreibung der Ausführungsbeispiele

Fig. 1 zeigt als Beispiel ein serielles Bussystem 1, das als ein beliebiges serielles Bussystem ausgestaltet sein kann. Insbesondere ist das Bussystem 1 ein CAN- Bussystem, CAN FD-Bussystem, FlexRay- Bussystem, Bussystem für Ethernet, Gigabit- Ethernet, usw.. Das Bussystem 1 ist in einem Fahrzeug, insbesondere einem Kraftfahrzeug, einem Flugzeug, usw., oder im Krankenhaus usw.

verwendbar.

In Fig. 1 hat das Bussystem 1 eine, insbesondere als eine Zweidrahtleitung ausgeführte, Busleitung 3, an die eine Vielzahl von Teilnehmerstationen 10, 20, 30, 40 angeschlossen sind. Mit den Teilnehmerstationen 10, 20, 30, 40 sind weitere Einheiten 50, 60 verbindbar, wie beispielsweise ein zentraler

Datenspeicherort, insbesondere Cloud, oder ein Sensor. Die Einheiten 50, 60 sind nicht direkt an das Bussystem 1 angeschlossen.

Über die Busleitung 3 sind Nachrichten 4, 5 in der Form von Signalen zwischen den einzelnen Teilnehmerstationen 10, 20, 30, 40 seriell übertragbar. Die Teilnehmerstationen 10, 20, 30, 40 sind beliebige Geräte, die miteinander Daten seriell austauschen sollen, wie beispielsweise Steuergeräte, Sensoren,

Anzeigevorrichtungen, usw. eines Kraftfahrzeugs. Bei dem genannten Beispiel ist die Teilnehmerstation 10 eine Fahrsteuereinheit (Driving Control Unit = DCU) für ein SCR-Abgasnachbehandlungssystem oder eine elektronische Steuereinheit (Electronic Control Unit = ECU) des Fahrzeugs, die Teilnehmerstation 20 ist ein Lidar-Sensor, die Teilnehmerstation 30 ist eine Fahrzeugsteuereinheit (Vehicle Control Unit = VCU), die Teilnehmerstation 40 ist ein Navigationssystem. In diesem Fall ist die Einheit 50 eine Cloud und die Einheit 60 ist ein Giersensor.

Die Teilnehmerstationen 10, 20, 30, 40 können jedoch beliebige andere Geräte sein. Zusätzlich können weitere Geräte an das Bussystem 1 angeschlossen sein, wie beispielsweise ein Fahrstreifenmarkierung- Erfassungssensor oder ein Stickoxid-Sensor (NOx-Sensor) oder eine beliebige andere Kombination von Geräten, die jedoch hier zur Vereinfachung nicht dargestellt ist. Dasselbe gilt für die Einheiten 50, 60.

Alternativ sind die Teilnehmerstationen 10, 20, 30, 40 beispielsweise Computer eines Computernetzwerks und/oder Komponenten eines

Automatisierungsnetzwerks, insbesondere für eine industrielle Anlage.

Die Teilnehmerstationen 10, 20, 30, 40 sind jedoch nicht auf die genannten speziellen Beispiele beschränkt. In dem Bussystem 1 sind mindestens zwei der Teilnehmerstationen 10, 20, 30, 40 vorhanden.

Nachfolgend ist die Erfindung als Beispiel anhand des CAN- und CAN-FD- Bussystems beschrieben. Jedoch ist die Erfindung nicht darauf beschränkt, sondern die Erfindung kann auf ein beliebiges serielles Bussystem 1 angewendet werden.

Wie in Fig. 1 gezeigt, hat die Teilnehmerstation 10 ein Funktionsteil 11 und eine Schnittstelle 15, die eine Kommunikationssteuereinrichtung 16 und eine Sende- /Empfangseinrichtung 17 aufweist. Die Teilnehmerstation 20 hat ein Funktionsteil 21 und eine Schnittstelle 25, die eine Kommunikationssteuereinrichtung 26 und eine Sende-/Empfangseinrichtung 27 aufweist. Die Teilnehmerstation 30 hat ein Funktionsteil 31 und eine Schnittstelle 35, die eine

Kommunikationssteuereinrichtung 36 und eine Sende-/Empfangseinrichtung 37 aufweist. Die Teilnehmerstation 40 hat ein Funktionsteil 41 und eine Schnittstelle 45, die eine Kommunikationssteuereinrichtung 46 und eine Sende- /Empfangseinrichtung 47 aufweist. Die Sende-/Empfangseinrichtungen 17, 27,

37, 47 der Teilnehmerstationen 10, 20, 30, 40 sind jeweils direkt an die

Busleitung 3 angeschlossen, auch wenn dies in Fig. 1 nicht veranschaulicht ist.

Die Funktionsteile 11, 21, 31, 41 führen die jeweilige Funktion der

Teilnehmerstation 10, 20, 30, 40 aus, wie beispielsweise die Funktion eines Navigationsgeräts für die Teilnehmerstation 40 bei dem oben genannten Beispiel, die Funktion eines Antriebs, usw.. Die

Kommunikationssteuereinrichtungen 16, 26, 36, 46 dienen jeweils zur Steuerung einer Kommunikation der jeweiligen Teilnehmerstation 10, 20, 30, 40, genauer gesagt deren Funktionsteil 11, 21, 31, 41, über die Busleitung 3 mit einer anderen Teilnehmerstation der Teilnehmerstationen 10, 20, 30, 40, die an die Busleitung 3 angeschlossen sind. Hierbei verwenden die

Kommunikationssteuereinrichtungen 16, 26, 36, 46 eine vorbestimmte

Kommunikationsvorschrift 7 und von Fall zu Fall zusätzlich mindestens eine von der vorbestimmten Kommunikationsvorschrift unterschiedliche Vorschrift 8 zum Erstellen und/oder Lesen einer Nachricht 4, 5.

Die vorbestimmte Kommunikationsvorschrift 7 ist beispielsweise eine

vorbestimmte Kommunikationsmatrix, insbesondere eine CAN-Matrix, in welcher unter anderem festgelegt ist, welche Teilnehmerstation 10, 20, 30, 40 welche Nachricht 4, 5 unter welchen Bedingungen und mit welcher Zykluszeit sendet, mit welcher Priorität die Nachrichten 4, 5 zu senden sind, welche Signale und in welcher Form in den Nachrichten 4, 5 enthalten sind und welche

Teilnehmerstation 10, 20, 30, 40 welche Nachricht 4, 5 empfängt. Die

mindestens eine von der vorbestimmten Kommunikationsvorschrift 7

unterschiedliche Vorschrift 8 wird nachfolgend noch genauer beschrieben.

Die Kommunikationssteuereinrichtung 26 kann für das zuvor genannte Beispiel bis auf die nachfolgend noch genauer beschriebenen Unterschiede wie ein herkömmlicher CAN-Controller ausgeführt sein. In diesem Fall erstellt und/oder liest die Kommunikationssteuereinrichtung 26 erste Nachrichten 4,

beispielsweise modifizierte Classic CAN-Nachrichten 4. Die Classic CAN- Nachrichten 4 sind bis auf die nachfolgend beschriebenen Modifikationen gemäß dem Classic Basisformat aufgebaut, bei welcher in der Nachricht 4 eine Anzahl von bis zu 8 Datenbytes umfasst sein können. Die Sende-/Empfangseinrichtung 27 kann somit bis auf die nachfolgend noch genauer beschriebenen

Unterschiede wie ein herkömmlicher CAN Transceiver ausgeführt sein.

Die Kommunikationssteuereinrichtungen 16, 36, 46 können für das zuvor genannte Beispiel derart ausgestaltet sein, dass sie sowohl erste Nachrichten 4, beispielsweise modifizierte Classic CAN-Nachrichten 4 erstellen und/oder lesen können als auch zweite Nachrichten 5, die beispielsweise modifizierte CAN FD- Nachrichten 5 sind. Hierbei sind die modifizierten CAN FD-Nachrichten 5 bis auf die nachfolgend beschriebenen Modifikationen auf der Grundlage eines CAN FD- Formats aufgebaut, bei welcher in der Nachricht 5 eine Anzahl von bis zu beispielsweise 64 Datenbytes umfasst sein können, wie im unteren Teil von Fig.

2 gezeigt. Die Kommunikationssteuereinrichtungen 16, 36, 46 können somit bei dem genannten Beispiel des CAN- Bussystems je nach Bedarf eine modifizierte Classic CAN-Nachricht 4 oder eine modifizierte CAN FD-Nachricht 5 für die zugehörige Sende-/Empfangseinrichtung 17, 37, 47 bereitstellen und/oder von dieser empfangen. Die Kommunikationssteuereinrichtungen 16, 36, 46 erstellen und/oder lesen also eine erste Nachricht 4 oder zweite Nachricht 5, wobei sich die erste und zweite Nachricht 4, 5 durch ihren Datenübertragungsstandard unterscheiden, nämlich in diesem Fall modifiziertes CAN oder modifiziertes CAN FD.

Die Sende-/Empfangseinrichtung 17, 37, 47 können ausgeführt sein, um je nach Bedarf Nachrichten 4 gemäß dem modifizierten CAN- Basisformat oder

Nachrichten 5 gemäß dem modifizierten CAN FD-Format für die zugehörige Kommunikationssteuereinrichtung 16, 26, 46, 76 bereitzustellen oder von dieser zu empfangen.

Mit den Teilnehmerstationen 10, 20, 40 ist alternativ eine Bildung und dann Übertragung von Nachrichten 5 mit dem modifizierten CAN FD oder auch mit höheren Datenraten als CAN FD realisierbar.

Fig. 2 zeigt für die Nachricht 4 einen CAN Rahmen 43, wie er von einer der Sende-/Empfangseinrichtungen 10, 20, 30, 40 mit einer Spannung U über der Zeit t gesendet wird. Die Spannung U ist in Fig. 2 stark vereinfacht gezeigt. In der Realität wechselt der Wert der Spannung U je nach der Information des zu übertragenden Bits in dem Rahmen 43 zwischen den verschiedenen

Busspannungspegeln, die den logischen Bitpegel 0 und 1 entsprechen.

Der CAN Rahmen 43 ist für die CAN-Kommunikation auf dem Bus 3 in unterschiedliche Felder unterteilt, nämlich ein Startfeld 431, ein Arbitrationsfeld 432, ein Steuerfeld 433, ein Datenfeld 434, ein Prüfsummenfeld 435 und ein Endefeld 436. Eine Nachricht 5 ist auf die gleiche Weise aufgebaut. Jedoch ist bei der Nachricht 5 insbesondere das Datenfeld 434 zeitlich kürzer als bei der Nachricht 4 bzw. dem CAN Rahmen 43, da bei einem CAN FD Rahmen der Nachricht 5 die Bits des Datenfelds 434 mit einer höheren Bitrate als bei der Nachricht 4 übertragen werden. Zudem sind bei der Nachricht 5 im Datenfeld 434 mehr Bytes als bei der Nachricht 4 bzw. dem CAN Rahmen 43 übertragbar, wie auch nachfolgend noch genauer beschrieben.

Das Startfeld 431 hat beispielsweise ein Bit, das auch SOF-Bit genannt wird und den Beginn des Rahmens bzw. Start of Frame anzeigt.

In dem Arbitrationsfeld 432 ist ein Identifizierer mit beispielsweise 32 Bit zur Identifikation des Senders der Nachricht enthalten. Das Arbitrationsfeld 432 kann zusätzlich eine aus einem oder mehreren Bits bestehende

Protokollformatinformation enthalten, welche geeignet ist, CAN- Rahmen oder CAN FD-Rahmen zu unterscheiden.

In dem Steuerfeld 433 ist ein beispielsweise 13 Bit langer Datenlängecode (Data- Length-Code) enthalten, der dann zum Beispiel Werte von 1 bis zu 64 mit der Schrittweite von 1 annehmen kann. Der Datenlängecode kann auch weniger oder mehr Bit umfassen und der Wertebereich und die Schrittweite können andere Werte annehmen. Das Steuerfeld 433 enthält möglicherweise zusätzlich eine aus einem oder mehreren Bits bestehende Protokollformatinformation, welche geeignet ist, CAN-Rahmen oder CAN FD-Rahmen zu unterscheiden.

In dem Datenfeld 434 sind die Nutzdaten des CAN-Rahmens bzw. der Nachricht 43 enthalten. Die Nutzdaten können, entsprechend dem Wertebereich des Datenlängecodes, beispielsweise 8 oder bis zu 64 Bytes oder mehr aufweisen.

In dem Prüfsummenfeld 435 ist eine Prüfsumme über die Daten in dem

Datenfeld 434 einschließlich möglicherweise vorhandener Stuffbits enthalten, die gemäß dem zuvor erwähnten CAN-Protokoll vom Sender der Nachricht 43 jeweils nach einer vorbestimmten Anzahl von gleichen Bits, beispielsweise 5, 6,

7, 8, 9, 10, usw. gleichen Bits als inverses Bit eingefügt werden. In dem

Endefeld 436 ist mindestens ein Acknowledge-Bit enthalten und außerdem eine Folge von 11 gleichen Bits, welche das Ende des CAN Rahmens 43 anzeigen. Mit dem mindestens einen Acknowledge-Bit kann mitgeteilt werden, ob ein Empfänger in dem empfangenen CAN Rahmen 43 bzw. der Nachricht 4 einen Fehler entdeckt hat oder nicht.

In den Phasen zum Senden des Arbitrationsfelds 432 und des Endefelds 436 wird ein Physical Layer gemäß CAN und CAN- FD verwendet. Bei der Arbitration wird mit Hilfe des Identifizierers in dem Arbitrationsfeld 432 bitweise zwischen den Teilnehmerstationen 10, 20, 30, 40 ausgehandelt, welche Teilnehmerstation 10, 20, 30, 40 die Nachricht 4, 5 mit der höchsten Priorität senden möchte und daher für die nächste Zeit zum Senden der Felder 433 bis 435 den exklusiven Zugriff auf den Bus 3 des Bussystems 1 bekommt. Ein wichtiger Punkt während dieser Phasen ist, dass das bekannte CS M A/CR- Verfahren Verwendung findet, welches gleichzeitigen Zugriff der Teilnehmerstationen 10, 20, 30, 40 auf den Bus 3 erlaubt, ohne dass die höher priorisierte Nachricht 4, 5 zerstört wird.

Bei dem CSMA/CR-Verfahren sind die Busspannungspegel unter

Berücksichtigung des Übertragungsmediums des Busses 3 derart gewählt, dass der dominante Pegel den rezessiven Pegel überschreiben kann. Damit kann beispielsweise ein Sender, der während der Arbitration ein rezessives Bit ( ) sendet und stattdessen ein dominantes Bit (Ό') auf dem Bus 3 sieht, das Senden einstellen und für den Rest der laufenden Nachricht 4, 5 nur noch als Empfänger agieren. Die Arbitration wird von dem Sender gewonnen, dessen Nachricht 4, 5 die meisten führenden Ό'-Bits enthält. Der Gewinner der Arbitration bemerkt keinen Zugriffskonflikt für den Bus 3. Somit kommt es nicht zu einer Kollision und damit Zerstörung von gesendeten Nachrichten 4, 5, Daher erfolgt die Arbitration und die nachfolgende Kommunikation, in welcher das Datenfeld 434 und somit die eigentlichen zu übertragenden Daten gesendet werden, zerstörungsfrei. Dadurch können dem Bussystem 1 relativ einfach weitere Teilnehmerstationen 10, 20, 30, 40 hinzugefügt werden, was sehr vorteilhaft ist.

Bei einem seriellen Bussystem 1 ohne Arbitration 432, wie beispielsweise Ethernet, FlexRay, usw., entfällt das Arbitrationsfeld 432. Das Steuerfeld 433 und das Datenfeld 434 werden von einer Teilnehmerstation 10, 20, 30, 40 als Sender der Nachricht 43 erst auf den Bus 3 gesendet, wenn die Teilnehmerstation die Arbitration gewonnen hat und die Teilnehmerstation damit zum Senden der Felder 433 bis 436 einen exklusiven Zugriff auf den Bus 3 des Bussystems 1 hat.

Die Kommunikationssteuereinrichtungen 16, 26, 36, 46 sind ausgestaltet, Rahmen 43 für die Nachrichten 4, 5 zu erstellen und/oder zu lesen. Noch dazu sind die Kommunikationssteuereinrichtungen 16, 26, 36, 46 ausgestaltet, bei Auftreten eines vorbestimmten Triggers 70, Rahmen 4301, 4302 gemäß Fig. 3 für die Nachrichten 4, 5 zu erstellen und/oder zu lesen. Der Rahmen 4301 hat einen Identifizierer 0x01. Der Rahmen 4302 hat einen Identifizierer 0x02.

Zum Erstellen der Rahmen 4301, 4302 gemäß Fig. 3 sind die

Kommunikationssteuereinrichtungen 16, 26, 36, 46 ausgestaltet, Dateninhalte im Datenfeld 4341, 4342 der Rahmen 4301, 4302 bei Auftreten des vorbestimmten Triggers 70 auszutauschen, was von der eigentlichen Kommunikationsvorschrift 7 abweicht. Hierbei wird die Vorschrift 8 verwendet, die sich von der

Kommunikationsvorschrift 7 unterscheidet. Dies ist in Fig. 3 mit den Pfeilen an den Datenfeldern 4341, 4342 dargestellt.

Der vorbestimmte Trigger 70 ist eine Information und/oder ein Element, welches von der Kommunikationssteuereinrichtung 16, 26, 36, 46 der sendenden Teilnehmerstation und von der Kommunikationssteuereinrichtung 16, 26, 36, 46 der empfangenden Teilnehmerstation gleich interpretiert wird und die neue Berechnung der Zuordnung der Nutzinformationen zu den Nachrichten 4, 5 anstößt, die von der Zuordnung der eigentlichen Kommunikationsmatrix abweicht.

Der vorbestimmte Trigger 70 ist ein vorbestimmter Zeitpunkt tl. Zusätzlich oder alternativ ist der vorbestimmte Trigger 70 ein vorbestimmtes Ereignis im Betrieb mindestens einer der Teilnehmerstationen 10, 20, 30, 40. Der vorbestimmte Trigger 70 kann insbesondere mindestens eine der folgenden Trigger- Bedingungen aufweisen, nämlich: - Motor- oder Antriebsdrehzahl oberhalb einer Schwelle für eine bestimmte Zeitdauer

- Erstmaliges Überschreiten einer Drehmomentschwelle eines Antriebs

- Übergang eines Zustands einer Steuereinrichtung vom Bereitschaftsmodus (STANDBY) in einen anderen Betriebszustand, wie beispielsweise Lauf

(RUNNING)

- Erreichen einer bestimmten Kühlwassertemperatur

- Gleichzeitiges Auftreten vereinbarter Werte zweier CAN-Signale

- Ein in einem nichtflüchtigen Speicher festgestelltes Datenmuster

- Erreichen des Schubbetriebs eines Antriebs

- mindestens eine Diagnosefunktion, mit welcher eine Diagnose eines Betriebs einer technischen Anlage, insbesondere in oder an einem Fahrzeug, ausgeführt wird

Selbstverständlich sind zusätzliche oder andere Trigger-Bedingungen als vorbestimmter Trigger 70 denkbar.

Dadurch fügen die Kommunikationssteuereinrichtungen 16, 26, 36, 46, wenn kein Trigger 70 auftritt, das Datenfeld 4341 in den Rahmen 4301 ein und das Datenfeld 4342 in den Rahmen 4302 ein. Tritt jedoch der vorbestimmte Trigger 70 auf, fügen die Kommunikationssteuereinrichtungen 16, 26, 36, 46 das

Datenfeld 4341 in den Rahmen 4302 ein und das Datenfeld 4342 in den Rahmen

4301 ein, wie in Fig. 3 veranschaulicht. In dem letzteren Fall überträgt der Rahmen 4301 dann anstelle der Daten aus dem Datenfeld 4341 stattdessen die Daten aus dem Datenfeld 4342 des Rahmens 4302. Somit überträgt der Rahmen

4302 dann anstelle der Daten aus dem Datenfeld 4342 die Daten aus dem Datenfeld 4341. Beim Empfang der Rahmen 43 bzw. 4301, 4302 werden die Daten aus den Datenfeldern 434, 4341, 4342 jeweils mit einem vorbestimmten Algorithmus wieder zugeordnet und somit entsprechend verarbeitet, um die richtige Interpretation der Daten aus den Datenfeldern 434, 4341, 4342 zu gewährleisten.

Somit wird von mindestens zwei der Teilnehmerstationen 10, 20, 30, 40, genauer gesagt von einer ihrer Kommunikationssteuereinrichtungen 16, 26, 36, 46, ein Verfahren durchgeführt, bei welchem über einen Austausch des Datenfelds 434 von Rahmen 43 bzw. der Datenfelder 4341, 4342 die Möglichkeit geschaffen wird, die Manipulation einer Datenübertragung im Bussystem 1 zu erschweren.

Das Verfahren kann in verschiedenen Zuständen des Funktionsteils 11, 21, 31,

41 der Teilnehmerstationen 10, 20, 30, 40 angewendet werden. Vorzugsweise kann das Verfahren nach einem Zustand„Klemme 15 ein“ verwendet werden. „Klemme 15 ein“ bedeutet in den meisten Anwendungen, dass die CAN- Kommunikation aller Teilnehmerstationen 10, 20, 30, 40 startet. Die

Kommunikation beginnt unverschlüsselt, also ohne das zuvor beschriebene Verfahren zum Manipulationsschutz. Ab diesem Zeitpunkt jedoch wird auf den vorbestimmten Trigger 70 gewartet, nach welchem die Verschlüsselung bzw. das zuvor beschriebene Verfahren zum Manipulationsschutz aktiviert wird.

Fig. 4 veranschaulicht die Ausgestaltung der

Kommunikationssteuereinrichtungen 16, 26, 36, 46 gemäß einem zweiten Ausführungsbeispiel. Hier sind die Kommunikationssteuereinrichtungen 16, 26, 36, 46 ausgestaltet, die Identifizierer im Arbitrationsfeld 432 der Rahmen 4301, 4302 bei Auftreten des vorbestimmten Triggers 70 auszutauschen.

Dadurch fügen die Kommunikationssteuereinrichtungen 16, 26, 36, 46, wenn kein Trigger 70 auftritt, den Identifizierer 0x01 in den Rahmen 4301 ein und den Identifizierer 0x02 in den Rahmen 4302 ein. Tritt jedoch der vorbestimmte Trigger 70 auf, fügen die Kommunikationssteuereinrichtungen 16, 26, 36, 46 den

Identifizierer 0x01 in den Rahmen 4302 ein und den Identifizierer 0x02 in den Rahmen 4301 ein, wie in Fig. 4 veranschaulicht.

Somit besteht über den Identifizierer der Rahmen 43 bzw. 4301, 4302 die Möglichkeit, die Manipulation zu erschweren.

Ansonsten gilt das Gleiche, wie zuvor im Zusammenhang mit Fig. 1 bis Fig. 3 beschrieben.

Gemäß einer Modifikation wird von der Kommunikationssteuereinrichtung 16, 26, 36, 46 beachtet, dass sich bei einem Wechsel der Identifizierer 0x01, 0x02 die Priorität der Nachricht 4, 5 ändert. Demzufolge kann die Kommunikationssteuereinrichtung 16, 26, 36, 46 beispielsweise beachten, dass der Identifizierer 0x01, 0x02 von aufeinanderfolgenden Nachrichten 4, 5 nur geändert wird, wenn es sich um Nachrichten 4, 5 handelt, die mittlere bis niedrige Priorität haben. Somit werden Identifizierer 0x01, 0x02 von aufeinanderfolgenden Nachrichten 4, 5 nicht geändert, wenn mindestens eine der Nachrichten 4, 5 eine hohe Priorität hat.

Hierbei ist möglicherweise alternativ oder zusätzlich zu berücksichtigen, dass bei einigen Fahrzeugklassen beispielsweise die CAN-Kommunikation durch Normen definiert ist. Dabei sind die Rahmen bezüglich Identifizierer und Inhalt und Position der Datenfelder genormt. Bei Anwendung des zuvor beschriebenen Verschlüsselungsverfahrens würden die betroffenen Frames zu proprietären Frames werden. Um Normenkompatibilität zu gewährleisten, sind die betroffenen Identifizierer mit dem„Proprietär“ Merkmal zu kennzeichnen. Das zuvor beschriebene Verschlüsselungsverfahren für Nachrichten 4, 5 kann also sowohl für genormte, als auch für proprietäre Frames angewendet werden.

Gemäß einer Modifikation ist eine Kombination des ersten und zweiten

Ausführungsbeispiels und/oder deren Modifikationen möglich.

Gemäß einem dritten Ausführungsbeispiel sind die

Kommunikationssteuereinrichtungen 16, 26, 36, 46 zudem ausgestaltet, in Nachrichten Ml bis Mn, die entweder Nachrichten 4 oder Nachrichten 5 sind, gemäß der Kommunikationsvorschrift 7 mehrere Signale als Daten nacheinander in einem Datenfeld 4340 anzuordnen. Haben die Nachrichten Ml bis Mn

Identifizierer ID-Ml bis ID-Mn könnte sich beispielsweise zu einem

vorbestimmten Zeitpunkt tl und/oder nach einem vorbestimmten Ereignis 1 eine Anordnung der Signale 1 bis 10 ergeben, wie in der nachfolgenden Tabelle 1 gezeigt. Das Steuerfeld 433 ist unverändert, wie bei anderen Nachrichten 4, 5 im Bussystem 1. Die CRC-Prüfsumme in dem CRC-Feld 435 errechnet sich wie üblich. Daher ist weder der Inhalt des Steuerfelds 433 noch der Inhalt des CRC- Felds 435 genauer dargestellt.

Tabelle 1

Somit sind in dem Datenfeld 4340 der Nachricht Ml, welche den Identifizierer ID- Ml hat, nacheinander die Signale 1 bis 5 angeordnet. Dagegen sind im

Datenfeld 4340 der Nachricht M2, welche den Identifizierer ID-M2 hat, nacheinander die Signale 6 bis 8 angeordnet. Dagegen sind im Datenfeld 4340 der Nachricht Mn, welche den Identifizierer ID-Mn hat, nacheinander die Signale 9 bis 11 angeordnet.

Tritt als Trigger 70 ein vorbestimmter Zeitpunkt t2 und/oder ein vorbestimmtes Ereignis 2 ein, sind mindestens zwei der Kommunikationssteuereinrichtungen 10, 20, 30, 40 ausgestaltet, gemäß der Vorschrift 8 Nachrichten 4, 5 über den Bus 3 auszutauschen, in welchen die sendende Kommunikationssteuereinrichtung 10, 20, 30, 40 die Datenfelder 4340 der Nachrichten Ml und M2 in dem Datenfeld

4340 dynamisch geändert hat, wie beispielsweise in der nachfolgenden Tabelle 2 gezeigt.

Tabelle 2 Somit wurde gemäß der Vorschrift 8 bei dem gezeigten Beispiel von Tabelle 2 der Inhalt des Datenfelds 4340 für die Nachrichten Ml und M2 miteinander vertauscht. Dagegen ist der Inhalt des Datenfelds 4340 für die Nachrichten M... bis Mn unverändert.

Tritt als Trigger 70 ein vorbestimmter Zeitpunkt tx und/oder ein vorbestimmtes Ereignis x ein, sind mindestens zwei der Kommunikationssteuereinrichtungen 10, 20, 30, 40 ausgestaltet, gemäß der Vorschrift 8 Nachrichten 4, 5 über den Bus 3 auszutauschen, in welchen die sendende Kommunikationssteuereinrichtung 10, 20, 30, 40 die Datenfelder 4340 der Nachrichten M2 und Mn in dem Datenfeld

4340 dynamisch geändert hat, wie in der nachfolgenden Tabelle 3 gezeigt.

Tabelle 3

Somit wurde gemäß der Vorschrift 8 bei dem gezeigten Beispiel gemäß Tabelle 3 der Inhalt des Datenfelds 4340 für die Nachrichten M2 und Mn miteinander vertauscht. Dagegen ist der Inhalt des Datenfelds 4340 für die Nachrichten Ml unverändert.

Somit können die mindestens zwei der Kommunikationssteuereinrichtungen 10, 20, 30, 40 die Zuordnung der Signale 1 bis 10 zu den Nachrichten 4, 5 dynamisch verwalten. Nach Auftreten des vorbestimmten Triggers 70 wird die Zuordnung der Signale zu den Nachrichten 4, 5 mit einem Algorithmus mittels Koordinator verändert. Ansonsten gilt das Gleiche, wie zuvor im Zusammenhang mit Fig. 1 bis Fig. 3 beschrieben.

Gemäß einem vierten Ausführungsbeispiel wird von den mindestens zwei der Kommunikationssteuereinrichtungen 10, 20, 30, 40 gemäß der Vorschrift 8 die Reihenfolge der Signale 1 bis 10 zu den Nachrichten 4, 5 dynamisch verwaltet. Somit kann dann die Nachricht Ml von Tabelle 1 im Datenfeld 434 zuerst das Signal 3, dann das Signal 4, dann das Signal 5, dann das Signal 1 und dann das Signal 2 übertragen. Es sind beliebige andere Reihenfolgen der Signale im Datenfeld 434 denkbar.

Ansonsten gilt das Gleiche, wie zuvor im Zusammenhang mit dem dritten Ausführungsbeispiel beschrieben.

Alle zuvor beschriebenen Ausgestaltungen des Bussystems 1, der

Teilnehmerstationen 10, 20, 30, 40 und des von den Teilnehmerstationen 10, 20, 30, 40 ausgeführten Verfahrens können einzeln oder in allen möglichen

Kombinationen Verwendung finden. Insbesondere können alle Merkmale der zuvor beschriebenen Ausführungsbeispiele und/oder deren

Ausführungsvarianten und/oder deren Modifikationen beliebig kombiniert werden. Zusätzlich oder alternativ sind insbesondere folgende Modifikationen denkbar.

Das zuvor beschriebene Bussystem 1 gemäß den Ausführungsbeispielen ist anhand eines auf dem CAN-Protokoll basierenden Bussystems beschrieben. Das Bussystem 1 gemäß den Ausführungsbeispielen kann jedoch alternativ eine andere Art von seriellem Kommunikationsnetz sein. Es ist vorteilhaft, jedoch nicht zwangsläufige Voraussetzung, dass bei dem Bussystem 1 zumindest für bestimmte Zeitspannen ein exklusiver, kollisionsfreier Zugriff einer

Teilnehmerstation 10, 20, 30 auf einen gemeinsamen Kanal gewährleistet ist.

Bei den zuvor beschriebenen Ausführungsbeispielen und deren Modifikationen ist die Anzahl und/oder Anordnung der Teilnehmerstationen 10, 20, 30, 40 in dem Bussystem 1 beliebig. Zum Zweck von Komponententausch ist es vorteilhaft, die entsprechenden Informationen zu der aktuell gültigen dynamischen Anpassung, die von den mindestens zwei Teilnehmerstationen 10, 20, 30, 40 in den Datenfeldern 434, 4341, 4342 ausgeführt wird, wie zuvor beschrieben, in einem EEPROM

(NVRAM) zu speichern (EEPROM = Electrically Erasable Programmable Read

Only Memory = elektrisch löschbares programmierbares ROM bzw. Nur-Lese- Speicher; NVRAM = Non Volatile Random Access Memory = nicht flüchtiger RAM bzw. Speicher mit wahlfreiem Zugriff). Zudem ist es vorteilhaft, die gespeicherten Informationen zu der aktuell gültigen dynamischen Anpassung entsprechend zu sichern.

Alternativ kann auf eine EEPROM-Speicherung verzichtet werden. In diesem Fall kann der vorbestimmte Trigger70 in einem, insbesondere

manipulationsgeschützten, Algorithmus berechnet werden, welcher eine

Kombination der als Beispiele genannten Trigger-Bedingungen verwendet, die bei dem ersten Ausführungsbeispiel erläutert sind.