DE102017115064A1

DE102017115064A1 - Sicheres ermitteln von zeitwerten bei angeschlossenen vorrichtungen

Info

Publication number: DE102017115064A1
Application number: DE102017115064.1A
Authority: DE
Inventors: Andrew NAEGLE; Karl B. Leboeuf
Original assignee: GM Global Technology Operations LLC
Current assignee: GM Global Technology Operations LLC
Priority date: 2016-07-14
Filing date: 2017-07-05
Publication date: 2018-01-18
Also published as: CN107623673A; US20180019999A1; US10243955B2

Abstract

System und Verfahren zum Ermitteln eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung. Das Verfahren beinhaltet: das Empfangen eines Hashs eines Pinsets in der angeschlossenen Vorrichtung von jedem unabhängigen Zeitserver in einer Föderation, wobei das Pinset sowohl in der angeschlossenen Vorrichtung als auch in den unabhängigen Zeitservern gespeichert ist, die entfernt von der angeschlossenen Vorrichtung positioniert sind; das Empfangen eines Zeitwerts in der angeschlossenen Vorrichtung zusammen mit jedem Hash des Pinsets; das Versuchen, die Hashs des Pinsets zu überprüfen, die von jedem der Vielzahl von unabhängigen Zeitservern in der angeschlossenen Vorrichtung empfangen werden; und das Bestimmen in der angeschlossenen Vorrichtung, welche Zeitwerte, die von der Mehrzahl von unabhängigen Zeitservern empfangen werden, auf der Grundlage der Gültigkeit der Hashs gültig sind.

Description

TECHNISCHES GEBIET
Die vorliegende Erfindung betrifft angeschlossene Vorrichtungen und insbesondere das sichere Ermitteln eines Zeitwertes in einer angeschlossenen Vorrichtung.
HINTERGRUND
Angeschlossene Vorrichtungen sind zunehmend auf interne Zeitwerte angewiesen, um eine Vielzahl von Aktivitäten erfolgreich durchzuführen oder zu regeln. Die angeschlossene Vorrichtung kann es einer Person ermöglichen, während eines Zeitfensters eine bestimmte vorrichtungsbezogene Aktivität auszuführen, die die Vorrichtung unter Verwendung eines internen Zeitwerts überwacht. Solange der aktuelle Zeitwert in das Zeitfenster fällt, ermöglicht die angeschlossene Vorrichtung das Auftreten der Aktivität. Wenn jedoch der interne Zeitwert angibt, dass das Zeitfenster abgelaufen ist, kann die angeschlossene Vorrichtung das Zulassen der Aktivität stoppen.
In einem zeitlich basierten Zugriffssystem besteht eine Versuchung, den internen Zeitwert der angeschlossenen Vorrichtung zu manipulieren, wodurch der Zugriff außerhalb eines definierten Zeitfensters ermöglicht wird. Manchmal können angeschlossene Vorrichtungen in die Änderung ihrer internen Zeitwerte in einer Weise hinein überlistet werden, dass ein Zeitfenster immer gültig oder niemals gültig ist, oder dass das Zeitfenster als Reaktion auf eine nicht autorisierte Änderung des internen Zeitwertes der angeschlossenen Vorrichtung gültig gemacht werden kann. Obwohl genaue Zeitwerte aus Signalen erhalten werden können, die von einem oder mehreren GPS-Satelliten gesendet werden, können diese Zeitwerte anfällig für Manipulationen sein. Die Signale, die von den GPS-Satelliten gesendet werden, sind nicht digital signiert oder authentifiziert, und eine angeschlossene Vorrichtung, die auf diesen Signalen beruht, um eine gültige Zeit zu erhalten, kann dahingehend getäuscht werden, dass sie ein böswillig erzeugtes Signal empfängt, das ein GPS-Signal nachahmen soll, das eine andere Zeit beinhaltet. Es wäre hilfreich, einen genauen Zeitwert in der angeschlossenen Vorrichtung aufrechtzuerhalten, aber Aktualisierungen oder Änderungen am Zeitwert sollten gegen Fälschungen oder Manipulationen resistent sein.
ZUSAMMENFASSUNG
Gemäß einer Ausführungsform der Erfindung wird ein Verfahren zum Ermitteln eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung bereitgestellt. Das Verfahren umfasst das Empfangen eines Hashs eines Pinsets in der angeschlossenen Vorrichtung von jedem unabhängigen Zeitserver in einer Föderation, wobei das Pinset sowohl in der angeschlossenen Vorrichtung als auch in den unabhängigen Zeitservern gespeichert ist, die entfernt von der angeschlossenen Vorrichtung angeordnet sind; Empfangen von einem Zeitwert in der angeschlossenen Vorrichtung zusammen mit jedem Hash des Pinsets; Versuchen, die Hashs des Pinsets zu überprüfen, die von jedem der Vielzahl von unabhängigen Zeitservern in der angeschlossenen Vorrichtung empfangen werden; und Bestimmen in der angeschlossenen Vorrichtung, welche Zeitwerte, die von der Vielzahl von unabhängigen Zeitservern empfangen werden, auf der Grundlage der Gültigkeit der Hashs gültig sind.
Gemäß einer weiteren Ausführungsform der Erfindung wird ein Verfahren zum Ermitteln eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung bereitgestellt. Das Verfahren umfasst das Empfangen eines Zeitwerts und eines Hashs eines Pinsets in der angeschlossenen Vorrichtung von jedem von drei oder mehreren unabhängigen Zeitservern, die entfernt von der angeschlossenen Vorrichtung angeordnet sind; Versuchen, in der angeschlossenen Vorrichtung die in den empfangenen Hashs beinhalteten digitalen Zertifikate zu validieren; Bestimmen, wie viele der digitalen Zertifikate gültig sind; Bestimmen, ob der sichere Zeitwert unter Verwendung der empfangenen Zeitwerte basierend darauf zu ermitteln ist, wie viele der digitalen Zertifikate gültig sind; und Ermitteln des sicheren Zeitwerts in der angeschlossenen Vorrichtung unter Verwendung der Zeitwerte.
Gemäß einer weiteren Ausführungsform der Erfindung wird ein Verfahren zum Ermitteln eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung bereitgestellt. Das Verfahren beinhaltet das drahtlose Empfangen eines Zeitwerts in der angeschlossenen Vorrichtung von einer Quelle, die entfernt von der angeschlossenen Vorrichtung angeordnet ist; Bestimmen, ob der empfangene Zeitwert früher ist als ein aktueller Zeitwert, der in der angeschlossenen Vorrichtung aufrechterhalten wird; Zurückweisen des empfangenen Zeitwerts, wenn der empfangene Zeitwert dahingehend bestimmt wird, dass er früher als der aktuelle Zeitwert ist, der in der angeschlossenen Vorrichtung aufrechterhalten wird; und Ersetzen des aktuellen Zeitwerts, der in der angeschlossenen Vorrichtung aufrechterhalten wird, durch den empfangenen Zeitwert, wenn der empfangene Zeitwert dahingehend bestimmt wird, dass er gleich oder später als der aktuelle Zeitwert ist, der in der angeschlossenen Vorrichtung aufrechterhalten wird.
KURZBESCHREIBUNG DER ZEICHNUNGEN
Eine oder mehrere Ausführungsformen der Erfindung werden im Folgenden in Verbindung mit den beigefügten Zeichnungen beschrieben, worin gleiche Bezeichnungen gleiche Elemente bezeichnen, und worin:
1 ein Blockdiagramm ist, das eine Ausführungsform eines Kommunikationssystems darstellt, das fähig ist, das hierin offenbarte Verfahren zu verwenden;
2 ein Ablaufdiagramm ist, das eine Ausführungsform eines Verfahrens zum Ermitteln eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung darstellt; und
3 ein Ablaufdiagramm ist, das eine weitere Ausführungsform eines Verfahrens zum Ermitteln eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung darstellt.
AUSFÜHRLICHE BESCHREIBUNG DER VERANSCHAULICHTEN AUSFÜHRUNGSFORM(EN)
Das nachfolgend beschriebene System und Verfahren ermittelt einen sicheren Zeitwert in einer angeschlossenen Vorrichtung. Das Verfahren stellt die Sicherheit oder Authentizität eines in der angeschlossenen Vorrichtung empfangenen Zeitwerts aus einer Vielzahl von entfernt positionierten unabhängigen Zeitservern sicher. Die angeschlossene Vorrichtung und die unabhängigen Zeitserver können jeweils digitale Zertifikate aufrechterhalten, die in einer vertrauenswürdigen Quelle und einer Liste der unabhängigen Zeitserver ausgegeben werden – auch als ein Pinset bezeichnet. Im Rahmen der Bereitstellung eines Zeitwerts für die angeschlossene Vorrichtung können die unabhängigen Zeitserver eines der digitalen Zertifikate und eine Kopie des Pinsets in der angeschlossenen Vorrichtung beinhalten. Das Pinset kann eine Liste der unabhängigen Zeitserver beinhalten, die in einer Föderation enthalten sind, von der die angeschlossene Vorrichtung Zeitwerte zusammen mit einem oder mehreren digitalen Zertifikaten erhält. Die von der angeschlossenen Vorrichtung und den unabhängigen Zeitservern verwendeten digitalen Zertifikate können zwischen der angeschlossenen Vorrichtung und den unabhängigen Zeitservern unter Verwendung eines Kommunikationsprotokolls wie Transport Layer Security (TLS) kommuniziert und als authentisch verifiziert werden. TLS ist ein End-to-End-Kommunikationsprotokoll, das normalerweise für das Bereitstellen von Authentifizierung, Nachrichtenintegrität und Vertraulichkeit konfiguriert ist. Die Verwendung der digitalen Zertifikate und des Pinsets, die sowohl in der angeschlossenen Vorrichtung als auch in den unabhängigen Zeitservern aufrechterhalten werden, können dazu beitragen, vertrauenswürdige Zeitwerte zu erleichtern, die Voraussetzung für das Vertrauen in verschiedene digitale Zertifikate sind, die die angeschlossene Vorrichtung mit einem zeitbasierten Ablaufwert empfangen kann. Wenn der aktuelle Zeitwert vertrauenswürdig ist, kann die angeschlossene Vorrichtung vertrauenswürdig andere digitale Zertifikate authentifizieren.
Die angeschlossene Vorrichtung kann versuchen, den Zeitwert, den sie aufrechterhält, zu aktualisieren oder zu bestätigen, indem sie eine Zeitwertanforderung drahtlos an die Vielzahl von unabhängigen Zeitservern überträgt. Die angeschlossene Vorrichtung kann eine Antwort von jedem der unabhängigen Zeitserver empfangen, der einen Zeitwert, ein digitales Zertifikat und ein Pinset beinhaltet. Die angeschlossene Vorrichtung kann das empfangene Pinset validieren, wodurch der mit dem Pinset gesendete Zeitwert validiert wird. Der Begriff Pinset kann sich auch auf einen Hash des Pinsets beziehen, der verwendet werden kann, um Datenübertragungsressourcen zu sparen. Die angeschlossene Vorrichtung kann identifizieren, wie viele der unabhängigen Zeitserver auf der Basis des Pinsets oder Pinset-Hashs jedes unabhängigen Zeitservers gültig sind, bevor sie die von den unabhängigen Zeitservern bereitgestellten Zeitwerte akzeptiert. Wenn die Anzahl der von gültigen Zeitwerten unabhängigen Zeitserver über einem bestimmten Schwellenwert liegt, kann die angeschlossene Vorrichtung feststellen, dass die Zeitwerte, die von diesen unabhängigen Zeitservern bereitgestellt werden, gültig sind; andernfalls kann die angeschlossene Vorrichtung die Zeitwerte zurückweisen.
Die Aufrechterhaltung einer vertrauenswürdigen oder sicheren Zeit in einer angeschlossenen Vorrichtung kann das Verwenden zeitlich abgelaufener oder unbestimmter digitaler Zertifikate mit der angeschlossenen Vorrichtung verhindern. Digitale Zertifikate, die abgelaufen oder undefiniert sind, beinhalten eine Vielzahl von Nachteilen. So sind diese digitalen Zertifikate beispielsweise möglicherweise nicht verbunden mit einem geschützten privaten Schlüssel, die Zertifizierungsstelle kann möglicherweise Widerrufanfragen nicht mehr ausstellen und Verschlüsselungsstandards, die mit älteren digitalen Zertifikaten verwendet werden, sind möglicherweise anfällig für Angriffe. Eine sichere Zeit kann sicherstellen, dass die angeschlossene Vorrichtung nicht auf abgelaufenen/unbestimmten digitalen Zertifikaten aufbaut.
Die Vielzahl der unabhängigen Zeitserver kann als eine Föderation fungieren, sodass sie gemeinsam von einem unabhängigen Überwachungs-Client verwendet werden, um sicherzustellen, dass die Zeitwerte, die die Vielzahl der unabhängigen Zeitserver bereitstellt, genau sind. Obwohl die folgende Offenlegung eine Implementierung beschreibt, in der die angeschlossene Vorrichtung die Form einer Fahrzeugtelematikeinheit annimmt, die einen Zeitwert aufrechterhält und eine sichere Aktualisierung dieses Zeitwerts unter Verwendung der Föderation der unabhängigen Zeitserver ausführt, versteht sich, dass das Verfahren der Ermittlung eines sicheren Zeitwertes umgesetzt werden kann unter Verwendung von anderen Arten von angeschlossenen Vorrichtungen, die über ein Kabel angeschlossen werden können, z. B. einen festen Computer (PC) oder drahtlos, wie ein Smartphone.
Kommunikationssystem –
Mit Bezug auf 1 ist eine Betriebsumgebung dargestellt, die ein mobiles Fahrzeugkommunikationssystem 10 umfasst, das verwendet werden kann, um das hierin offenbarte Verfahren zu implementieren. Das Kommunikationssystem 10 umfasst im Allgemeinen ein Fahrzeug 12, ein oder mehrere Drahtlosträgersysteme 14, ein Festnetz 16, einen Computer 18 und ein Call-Center 20. Es versteht sich, dass das offenbarte Verfahren mit einer beliebigen Anzahl von unterschiedlichen Systemen verwendet werden kann und nicht speziell auf die hierin gezeigte Betriebsumgebung einschränkt ist. Auch die Architektur, Konstruktion, Konfiguration und der Betrieb des Systems 10 und seiner einzelnen Komponenten sind in der Technik allgemein bekannt. Somit stellen die folgenden Absätze lediglich einen kurzen Überblick über ein solches Kommunikationssystem 10 bereit; aber auch andere, hierin nicht dargestellte Systeme könnten die offenbarten Verfahren einsetzen.
Fahrzeug 12 ist in der veranschaulichten Ausführungsform als ein Personenkraftwagen dargestellt, es sollte jedoch beachtet werden, dass jedes andere Fahrzeug, einschließlich Motorräder, Lastwagen, Geländewagen (SUV), Campingfahrzeuge (RV), Wasserfahrzeuge, Flugzeuge usw. ebenfalls verwendet werden kann. Ein Teil der Fahrzeugelektronik 28 wird im Allgemeinen in 1 gezeigt und beinhaltet eine Telematikeinheit 30, ein Mikrofon 32, eine oder mehrere Tasten oder andere Steuereingänge 34, ein Audiosystem 36, eine optische Anzeige 38, ein GPS-Modul 40 sowie eine Anzahl von Fahrzeugsystemmodulen (VSMs) 42. Einige dieser Vorrichtungen können direkt mit der Telematikeinheit wie z. B. dem Mikrofon 32 und der/den Taste(n) 34 verbunden sein, während andere indirekt unter Verwendung einer oder mehrerer Netzwerkverbindungen, wie einem Kommunikationsbus 44 oder einem Entertainmentbus 46, verbunden sind. Beispiele geeigneter Netzwerkverbindungen beinhalten ein Controller Area Network (CAN), einen medienorientierten Systemtransfer (MOST), ein lokales Kopplungsstrukturnetzwerk (LIN), ein lokales Netzwerk (LAN) und andere geeignete Verbindungen, wie z. B. Ethernet oder andere, die u. a. den bekannten ISO-, SAE- und IEEE-Standards und -Spezifikationen entsprechen.
Die Telematikeinheit 30 selbst ist ein Fahrzeugsystemmodul (VSM) und kann eine OEM-installierte (eingebettete) oder eine Aftermarketvorrichtung sein, die in dem Fahrzeug installiert ist und eine drahtlose Sprach- und/oder Datenkommunikation über das drahtlose Trägersystem 14 und über eine drahtlose Vernetzung ermöglicht. Dies ermöglicht, dass das Fahrzeug mit Call-Center 20, anderen telematikfähigen Fahrzeugen oder einer anderen Entität oder Vorrichtung kommunizieren kann. Die Telematikeinheit verwendet vorzugsweise Funkübertragungen, um einen Kommunikationskanal (einen Sprachkanal und/oder einen Datenkanal) mit dem Drahtlosträgersystem 14 herzustellen, sodass Sprach- und/oder Datenübertragungen über den Kanal gesendet und erhalten werden können. Durch Bereitstellen von sowohl Sprach- als auch Datenkommunikation ermöglicht die Telematikeinheit 30 dem Fahrzeug das Anbieten einer Anzahl von unterschiedlichen Diensten, darunter solche, die sich mit Navigation, Fernsprechen, Nothilfe, Diagnose, Infotainment usw. befassen. Daten können entweder über eine Datenverbindung, z. B. die Paketdatenübertragung über einen Datenkanal oder über einen Sprachkanal unter Verwendung von auf dem Fachgebiet bekannten Techniken gesendet werden. Für kombinierte Dienste, die sowohl Sprachkommunikation (z. B. mit einem Live-Berater oder einer Sprachdialogeinheit im Call-Center 20) als auch Datenkommunikation (z. B. für die Bereitstellung von GPS-Ortsdaten oder Fahrzeugdiagnosedaten im Call-Center 20) einschließen, kann das System einen einzelnen Anruf über einen Sprachkanal verwenden und nach Bedarf zwischen Sprach- und Datenübertragung über den Sprachkanal umschalten, und dies kann unter Verwendung von Techniken erfolgen, die dem Fachmann bekannt sind.
Gemäß einer Ausführungsform verwendet die Telematikeinheit 30 Mobilfunkkommunikation gemäß entweder den GSM-, CDMA- oder LTE-Standards und beinhaltet daher einen Mobilfunkstandardchipsatz 50 für die Sprachkommunikation, wie Freisprechen, ein drahtloses Modem für die Datenübertragung, ein elektronisches Verarbeitungsgerät 52, eine oder mehrere Digitalspeichervorrichtungen 54 und eine Dual-Antenne 56. Es versteht sich, dass das Modem entweder durch Software implementiert sein kann, die in der Telematikeinheit gespeichert und durch den Prozessor 52 ausgeführt wird, oder es kann eine separate Hardwarekomponente sein, die sich innerhalb oder außerhalb der Telematikeinheit 30 befinden kann. Das Modem kann mithilfe einer beliebigen Anzahl unterschiedlicher Standards oder Protokolle, wie z. B. LTE, EVDO, CDMA, GPRS und EDGE, betrieben werden. Die drahtlose Vernetzung zwischen dem Fahrzeug und den anderen vernetzten Vorrichtungen kann auch unter Verwendung der Telematikeinheit 30 erfolgen. Für diesen Zweck kann die Telematikeinheit 30 konfiguriert sein, gemäß einem oder mehreren Protokollen drahtlos zu kommunizieren einschließlich drahtloser Nahbereichskommunikation (SRWC), wie irgendwelche von den IEEE 802.11-Protokollen, WiMAX, ZigBee^TM, Wi-Fi direct, Bluetooth^TM oder Nahfeldkommunikation (NFC). Wenn die Telematikeinheit für paketvermittelte Datenkommunikation, wie z. B. TCP/IP verwendet wird, kann sie mit einer statischen IP-Adresse konfiguriert oder eingerichtet werden, um eine zugewiesene IP-Adresse von einem anderen Gerät im Netzwerk, wie z. B. einem Router oder einem Netzwerkadressenserver, automatisch zu empfangen.
Eine der vernetzten Vorrichtungen, die mit der Telematikeinheit 30 kommunizieren können, ist eine angeschlossene Vorrichtung wie ein Smartphone 57. Das Smartphone 57 kann Rechner-Verarbeitungsmöglichkeiten beinhalten, einen Senderempfänger, der über ein Protokoll kurzer Reichweite kommunizieren kann und ein visuelle Smartphone-Anzeige 59. In einigen Implementierungen beinhaltet die Smartphone-Anzeige 59 auch eine graphische Berührungsbildschirm-Benutzeroberfläche und/oder ein GPS-Modul zum Empfang von GPS-Satellitensignalen und Erzeugen von GPS-Koordinaten basierend auf diesen Signalen. Das Smartphone 57 beinhaltet auch einen oder mehrere Mikroprozessoren, die Maschinencode ausführen, um eine logische Ausgabe zu generieren. Beispiele des Smartphones 57 beinhalten das iPhone, hergestellt von Apple, und das Galaxy, das von Samsung hergestellt wird, sowie andere. Das Smartphone 57 besitzt auch die Fähigkeit zum Kommunizieren über Kurzbereichs-Drahtloskommunikations-Protokolle wie Bluetooth und WLAN. Während das Smartphone 57 die Fähigkeit zum Kommunizieren über drahtlose Verbindungen unter Verwendung des Drahtlosträgersystems 14 besitzt, ist dies nicht immer der Fall. Beispielsweise stellt Apple Vorrichtungen her, wie die verschiedenen Modelle des iPad und iPod Touch, die Verarbeitungsvermögen, das Display 59 und die Möglichkeit zu Kurzbereichs-Drahtloskommunikationsverbindungen beinhalten. Jedoch haben die iPod Touch^TM und einige iPads^TM keine drahtlosen Kommunikationsfähigkeiten. Auch können diese und ähnliche Vorrichtungen für die Zwecke der hierin beschriebenen Verfahren als eine Art angeschlossene Vorrichtung verwendet oder angesehen werden, wie das Smartphone 57. Wie oben erwähnt, könnte ein Personalcomputer (PC) oder andere ähnliche Computer, die Zugang zum Internet aufweisen, auch die abgehandelten Verfahren implementieren.
In einigen Implementierungen kann das Smartphone 57 ein digitales Zertifikat empfangen, das Zugriff auf das Fahrzeug 12 für eine definierte zeitliche Periode erlaubt. Die zeitliche Periode kann als zeitgleich mit einer Gültigkeitsperiode des digitalen Zertifikats ermittelt werden, das Zugriff auf das Fahrzeug 12 erlaubt. Die Fahrzeugtelematikeinheit 30 kann dann das digitale Zertifikat in Bezug auf den Fahrzeugzugriff von dem Smartphone 57 empfangen, und feststellen, ob das Zertifikat gültig ist oder nicht. Hierzu kann die Fahrzeugtelematikeinheit 30 die Gültigkeitsperiode des digitalen Zertifikats für den Fahrzeugzugriff vergleichen, wobei ein Zeitwert in dem Fahrzeug 12 aufrechterhalten wird. Wenn der Zeitwert innerhalb der Gültigkeitsperiode liegt, kann die Fahrzeugtelematikeinheit 30 das digitale Zertifikat validieren, das den Zugriff ermöglicht, und den Smartphone-Benutzer auf das Fahrzeug 12 zugreifen lassen. Wenn jedoch der Zeitwert außerhalb der Gültigkeitsperiode liegt, kann die Fahrzeugtelematikeinheit 30 das digitale Zertifikat zurückweisen, das den Zugriff ermöglicht, und den Zugriff auf das Fahrzeug 12 verweigern. Abgesehen von der Verwendung des Smartphones 57 zum Zugriff auf das Fahrzeug 12 mithilfe digitaler Zertifikate kann das Smartphone 57 auch das hierin offenbarte Verfahren für das Ermitteln eines sicheren oder vertrauenswürdigen Zeitwertes innerhalb des Smartphones 57 implementieren.
Der Prozessor 52 kann jede Geräteart sein, die fähig ist elektronische Befehle zu verarbeiten, einschließlich Mikroprozessoren, Mikrocontrollern, Hostprozessoren, Steuerungen, Fahrzeugkommunikationsprozessoren und anwendungsspezifische integrierte Schaltungen (ASICs). Er kann ein speziell dafür vorgesehener Prozessor sein, der nur für die Telematikeinheit 30 verwendet wird, oder er kann mit anderen Fahrzeugsystemen geteilt werden. Der Prozessor 52 führt verschiedene Arten von digital gespeicherten Befehlen aus, wie Software oder Firmwareprogramme, die im Speicher 54 gespeichert sind, welche der Telematikeinheit ermöglichen, eine große Vielfalt von Diensten bereitzustellen. Zum Beispiel kann der Prozessor 52 Programme ausführen oder Daten verarbeiten, um mindestens einen Teil des Verfahrens auszuführen, das hierin beschrieben ist. Der Prozessor 52 kann eine interne Uhr in Form eines 64-Bit-Zählers aufrechterhalten, die einen Zeitwert aufrechterhält. Dieser Zeitwert kann eine Basis in Epochenzeit aufweisen und dann mit der Anwendung eines Modifikators angepasst werden. Epochenzeit betrifft im Allgemeinen einen Zeitwert gemessen vom 1. Januar 1970. 32-Bit-Zähler können auch verwendet werden, aber wenn sie mit einer Epochenzeit verwendet werden, kann erwartet werden, dass Implementierung eine Rücksetzung voraussichtlich irgendwann im Laufe des Jahres 2038 ausführt. Die Epochenzeit kann durch den Prozessor 52 als Reaktion auf Zeitwerte, die in dem Fahrzeug 12 empfangen wurden, oder andere Faktoren, wie das Vorhandensein oder die Weitergabe von Sommer- und Winterzeit, vorgestellt oder zurückgestellt werden.
Die Telematikeinheit 30 kann verwendet werden, um eine vielfältige Palette von Fahrzeugdiensten bereitzustellen, die drahtlose Kommunikation zu und/oder vom Fahrzeug beinhalten. Derartige Dienste beinhalten: Wegbeschreibungen und andere navigationsbezogene Dienste, die in Verbindung mit dem GPS-basierten Fahrzeugnavigationsmodul 40 bereitgestellt sind; Benachrichtigung über die Airbagauslösung und andere mit Notruf oder Pannendienst verbundene Dienste, die in Verbindung mit einem oder mehreren Crashsensor-Schnittstellenmodulen, wie einem Fahrzeugbeherrschbarkeitsmodul (nicht gezeigt), bereitgestellt sind; Diagnosemeldungen unter Verwendung von einem oder mehreren Diagnosemodulen; und mit Infotainment verbundene Dienste, wobei Musik, Internetseiten, Filme, Fernsehprogramme, Videospiele und/oder andere Informationen durch ein Infotainmentmodul (nicht gezeigt) heruntergeladen und für die gegenwärtige oder spätere Wiedergabe gespeichert werden. Die vorstehend aufgelisteten Dienste sind keineswegs eine vollständige Liste aller Fähigkeiten der Telematikeinheit 30, sondern sie sind einfach eine Aufzählung von einigen der Dienste, welche die Telematikeinheit anbieten kann. Des Weiteren versteht es sich, dass mindestens einige der vorstehend genannten Module in der Form von Softwarebefehlen implementiert sein könnten, die innerhalb oder außerhalb der Telematikeinheit 30 gespeichert sind, sie könnten Hardwarekomponenten sein, die sich innerhalb oder außerhalb der Telematikeinheit 30 befinden, oder sie könnten integriert sein und/oder miteinander oder mit anderen Systemen geteilt zu sein, die sich im Fahrzeug befinden, um nur einige Möglichkeiten zu nennen. Für den Fall, dass die Module als VSM 42 implementiert sind, die sich außerhalb der Telematikeinheit 30 befinden, könnten sie den Fahrzeugbus 44 verwenden, um Daten und Befehle mit der Telematikeinheit auszutauschen.
Das GPS-Modul 40 empfängt Funksignale von einer Konstellation 60 von GPS-Satelliten. Von diesen Signalen kann das Modul 40 die Fahrzeugposition ermitteln, die verwendet wird, um Navigation und andere mit der Position verbundene Dienste an den Fahrzeugführer bereitzustellen. Navigationsinformationen können auf der Anzeige 38 (oder einer anderen Anzeige innerhalb des Fahrzeugs) dargestellt oder in verbaler Form präsentiert werden, wie es beispielsweise bei der Wegbeschreibungsnavigation der Fall ist. Die Navigationsdienste können unter Verwendung von einem zugehörigen Fahrzeugnavigationsmodul (das Teil des GPS-Moduls 40 sein kann) bereitgestellt werden, oder einige oder alle Navigationsdienste können über die Telematikeinheit 30 erfolgen, wobei die Positionsinformationen zum Zweck des Ausstattens des Fahrzeugs mit Navigationskarten, Kartenanmerkungen (Sehenswürdigkeiten, Restaurants usw.), Routenberechnungen und dergleichen zu einem entfernten Standort gesendet werden. Die Positionsinformationen können an das Call-Center 20 oder ein anderes Remotecomputersystem wie Computer 18 für andere Zwecke, wie Flottenmanagement, bereitgestellt werden. Außerdem können neue oder aktualisierte Kartendaten zum GPS-Modul 40 vom Call-Center 20 über die Telematikeinheit 30 heruntergeladen werden.
Abgesehen von der Telematikeinheit 30, dem Audiosystem 36 und dem GPS-Modul 40 kann das Fahrzeug 12 andere Fahrzeugsystemmodule (VSMs) 42 in Form von elektronischen Hardwarekomponenten beinhalten, die sich im Fahrzeug befinden und typischerweise eine Eingabe von einem oder mehreren Sensoren erhalten und die erfassten Eingaben verwenden, um die Diagnose, Überwachung, Steuerung, Berichterstattung und/oder andere Funktionen auszuführen. Jedes der VSMs 42 ist vorzugsweise durch den Kommunikationsbus 44 mit den anderen VSM sowie der Telematikeinheit 30 verbunden und kann programmiert werden, Fahrzeugsystem- und Subsystemdiagnosetests auszuführen. So kann beispielsweise ein VSM 42 ein Motorsteuermodul (ECM) sein, das verschiedene Aspekte des Motorbetriebs, wie z. B. Kraftstoffzündung und Zündzeitpunkt steuert, ein weiteres VSM 42 kann ein Antriebsstrangsteuermodul sein, das den Betrieb von einer oder mehreren Komponenten des Fahrzeugantriebsstrangs reguliert, und ein weiteres VSM 42 kann ein Bordnetzsteuermodul sein, das verschiedene im Fahrzeug befindliche elektrische Komponente, wie beispielsweise die Zentralverriegelung des Fahrzeugs und die Scheinwerfer, verwaltet. Gemäß einer Ausführungsform ist das Motorsteuergerät mit integrierten Diagnose-(OBD)-Funktionen ausgestattet, die unzählige Echtzeitdaten, wie z. B. die von verschiedenen Sensoren, einschließlich Fahrzeugemissionssensoren, erhaltenen Daten bereitstellen und eine standardisierte Reihe von Diagnosefehlercodes (DTCs) liefern, die einem Techniker ermöglichen, Fehlfunktionen innerhalb des Fahrzeugs schnell zu identifizieren und zu beheben. Sachverständige auf dem Fachgebiet werden erkennen, dass es sich bei den vorgenannten VSM nur um Beispiele von einigen der Module handelt, die im Fahrzeug 12 verwendet werden können, zahlreiche andere Module jedoch ebenfalls möglich sind.
Die Fahrzeugelektronik 28 beinhaltet auch eine Anzahl von Fahrzeugbenutzeroberflächen, die Fahrzeuginsassen mit einem Mittel zum Bereitstellen und/oder Empfangen von Informationen ausstattet, einschließlich Mikrofon 32, Taste(n) 34, Audiosystem 36, und optischer Anzeige 38. Wie hierin verwendet, beinhaltet der Begriff „Fahrzeugbenutzeroberfläche” weitgehend jede geeignete Form von elektronischer Vorrichtung, die sowohl die im Fahrzeug befindlichen Hardware- als auch Softwarekomponenten beinhaltet und einem Fahrzeugbenutzer ermöglicht, mit einer oder durch eine Komponente des Fahrzeugs zu kommunizieren. Das Mikrofon 32 stellt eine Audioeingabe an die Telematikeinheit bereit, um dem Fahrer oder anderen Insassen zu ermöglichen, Sprachsteuerungen bereitzustellen und Freisprechen über das Drahtlosträgersystem 14 auszuführen. Für diesen Zweck kann es mit einer integrierten automatischen Sprachverarbeitungseinheit verbunden sein, welche die unter Fachleuten auf dem Gebiet bekannte Mensch-Maschinen-Schnittstellen-(HMI)-Technologie verwendet. Die Taste(n) 34 ermöglichen eine manuelle Benutzereingabe in die Telematikeinheit 30, um drahtlose Telefonanrufe zu initiieren und andere Daten, Antworten oder eine Steuereingabe bereitzustellen. Separate Tasten können zum Initiieren von Notrufen gegenüber regulären Dienstunterstützungsanrufen beim Call-Center 20 verwendet werden. Das Audiosystem 36 stellt eine Audioausgabe an einen Fahrzeuginsassen bereit und kann ein zugehöriges selbstständiges System oder Teil des primären Fahrzeugaudiosystems sein. Gemäß der bestimmten Ausführungsform, die hierin gezeigt ist, ist das Audiosystem 36 operativ sowohl mit dem Fahrzeugbus 44 als auch mit dem Entertainmentbus 46 gekoppelt und kann AM-, FM- und Satellitenradio, CD-, DVD- und andere Multimediafunktionalität bereitstellen. Diese Funktionalität kann in Verbindung mit dem vorstehend beschriebenen Infotainmentmodul oder davon unabhängig bereitgestellt werden. Die optische Anzeige 38 ist vorzugsweise eine Grafikanzeige, wie z. B. ein Touchscreen am Armaturenbrett oder eine Warnanzeige, die von der Frontscheibe reflektiert wird, und verwendet werden kann, um eine Vielzahl von Eingabe- und Ausgabefunktionen bereitzustellen. Verschiedene andere Fahrzeugbenutzeroberflächen können ebenfalls verwendet werden, denn die Schnittstellen von 1 dienen lediglich als Beispiel für eine bestimmte Implementierung.
Das Drahtlosträgersystem 14 ist vorzugsweise ein Smartphonesystem, das eine Vielzahl von Mobilfunkmasten 70 (nur einer gezeigt), eine oder mehrere mobile Vermittlungszentrale Einrichtung (MSC) 72 sowie irgendwelche anderen Netzwerkkomponenten umfasst, die erforderlich sind, um das Drahtlosträgersystem 14 mit dem Festnetz 16 zu verbinden. Jeder Mobilfunkmast 70 beinhaltet Sende- und Empfangsantennen und eine Basisstation, wobei die Basisstationen von unterschiedlichen Mobilfunkmasten mit der MSC 72 entweder direkt oder über zwischengeschaltete Geräte, wie z. B. eine Basisstationssteuereinheit, verbunden sind. Das Drahtlosträgersystem 14 kann jede geeignete Kommunikationstechnik implementieren, darunter beispielsweise analoge Technologien wie AMPS oder die neueren Digitaltechnologien, wie CDMA (z. B. CDMA2000 oder 1 × EV-DO) oder GSM/GPRS (z. B. 4G LTE). Der Fachmann wird erkennen, dass verschiedene Mobilfunkmast/Basisstation/MSC-Anordnungen möglich sind und mit dem drahtlosen System 14 verwendet werden könnten. Zum Beispiel könnten sich Basisstation und Mobilfunkturm an derselben Stelle oder entfernt voneinander befinden, jede Basisstation könnte für einen einzelnen Mobilfunkturm zuständig sein oder eine einzelne Basisstation könnte verschiedene Mobilfunktürme bedienen und verschiedene Basisstationen könnten mit einer einzigen MSC gekoppelt werden, um nur einige der möglichen Anordnungen zu nennen.
Abgesehen vom Verwenden des Drahtlosträgersystems 14 kann ein unterschiedliches Drahtlosträgersystem in der Form von Satellitenkommunikation verwendet werden, um unidirektionale oder bidirektionale Kommunikation mit dem Fahrzeug bereitzustellen. Dies kann unter Verwendung von einem oder mehreren Fernmeldesatelliten 62 und einer aufwärtsgerichteten Sendestation 64 erfolgen. Bei der unidirektionalen Kommunikation kann es sich beispielsweise um Satellitenradiodienste handeln, wobei programmierte Inhaltsdaten (Nachrichten, Musik usw.) von der Sendestation 64 erhalten werden, für das Hochladen gepackt und anschließend zum Satelliten 62 gesendet werden, der die Programmierung an die Teilnehmer ausstrahlt. Bidirektionale Kommunikation kann beispielsweise Satellitentelefoniedienste unter Verwendung der Satelliten 62 sein, um Telefonkommunikationen zwischen dem Fahrzeug 12 und der Station 64 weiterzugeben. Bei Verwendung kann dieses Satellitenfernsprechen entweder zusätzlich zum oder anstatt des Drahtlosträgersystems 14 verwendet werden.
Das Festnetz 16 kann ein konventionelles landgebundenes Telekommunikationsnetzwerk sein, das mit einem oder mehreren Festnetztelefonen verbunden ist und das Drahtlosträgersystem 14 mit dem Call-Center 20 verbindet. So kann beispielsweise das Festnetz 16 ein Fernsprechnetz (PSTN) wie jenes sein, das verwendet wird, um festverdrahtetes Fernsprechen, paketvermittelte Datenkommunikationen und die Internetinfrastruktur bereitzustellen. Ein oder mehrere Segmente des Festnetzes 16 könnten durch Verwenden eines normalen drahtgebundenen Netzwerks, eines Lichtleiter- oder eines anderen optischen Netzwerks, eines Kabelnetzes, von Stromleitungen, anderen drahtlosen Netzwerken, wie drahtlose lokale Netzwerke (WLANs) oder Netzwerke, die drahtlosen Breitbandzugang (BWA) bereitstellen oder jeder Kombination davon implementiert sein. Des Weiteren muss das Call-Center 20 nicht über das Festnetz 16 verbunden sein, sondern könnte Funktelefonieausrüstung beinhalten, sodass direkt mit einem drahtlosen Netzwerk, wie dem Drahtlosträgersystem 14, kommuniziert werden kann.
Der Computer 18 kann einer von einer Anzahl von Computer sein, die über ein privates oder öffentliches Netzwerk, wie das Internet, zugänglich sind. Jeder dieser Computer 18 kann für einen oder mehrere Zwecke, wie einen Webserver verwendet werden, der vom Fahrzeug über die Telematikeinheit 30 und das Drahtlosträgersystem 14 zugänglich ist. Andere derartige zugängliche Computer 18 können beispielsweise sein: ein Kundendienstzentrumcomputer, wo Diagnoseinformationen und andere Fahrzeugdaten vom Fahrzeug über die Telematikeinheit 30 hochgeladen werden können; ein Clientcomputer, der vom Fahrzeugbesitzer oder einem anderen Teilnehmer für solche Zwecke, wie das Zugreifen auf oder das Erhalten von Fahrzeugdaten oder zum Einstellen oder Konfigurieren von Teilnehmerpräferenzen oder Steuern von Fahrzeugfunktionen, verwendet wird; oder ein Drittparteispeicherort, zu dem oder von dem Fahrzeugdaten oder andere Informationen entweder durch Kommunizieren mit dem Fahrzeug 12 oder dem Call-Center 20 oder beiden bereitgestellt werden. Ein Computer 18 kann auch für das Bereitstellen von Internetkonnektivität, wie DNS-Dienste oder als ein Netzwerkadressenserver, verwendet werden, der DHCP oder ein anderes geeignetes Protokoll verwendet, um dem Fahrzeug 12 eine IP-Adresse zuzuweisen.
Das Call-Center 20 ist konzipiert, die Fahrzeugelektronik 28 mit einer Anzahl von unterschiedlichen System-Back-End-Funktionen bereitzustellen, und beinhaltet nach dem hierin gezeigten Ausführungsbeispiel im Allgemeinen einen oder mehrere Switches 80, Server 82, Datenbanken 84, Live-Berater 86 sowie ein automatisiertes Sprachausgabesystem (VRS) 88, die alle auf dem Fachgebiet bekannt sind. Diese verschiedenen Komponenten des Call-Centers sind vorzugsweise miteinander über ein verdrahtetes oder drahtloses lokales Netzwerk 90 gekoppelt. Der Switch 80, der ein Nebenstellenanlagen(PBX)-Switch sein kann, leitet eingehende Signale weiter, sodass Sprachübertragungen gewöhnlich entweder zum Live-Berater 86 über das reguläre Telefon oder automatisiert zum Sprachdialogsystem 88 unter Verwendung von VoIP gesendet werden. Das Live-Berater-Telefon kann auch VoIP verwenden, wie durch die gestrichelte Linie in 1 angezeigt. VoIP und andere Datenkommunikation durch den Switch 80 werden über ein Modem (nicht gezeigt) implementiert, das zwischen dem Switch 80 und Netzwerk 90 verbunden ist. Datenübertragungen werden über das Modem an den Server 82 und/oder die Datenbank 84 weitergegeben. Die Datenbank 84 kann Kontoinformationen, wie Teilnehmerauthentisierungsinformationen, Fahrzeugbezeichner, Profilaufzeichnungen, Verhaltensmuster und andere entsprechende Teilnehmerinformationen, speichern. Datenübertragungen können auch durch drahtlose Systeme, wie z. B. 802.11x, GPRS und dergleichen, erfolgen. Obwohl die veranschaulichte Ausführungsform beschrieben wurde, als ob sie in Verbindung mit einem bemannten Call-Center 20 verwendet werden würde, das den Live-Berater 86 einsetzt, ist es offensichtlich, dass das Call-Center stattdessen VRS 88 als einen automatisierten Berater verwenden kann, oder eine Kombination von VRS 88 und dem Live-Berater 86 verwendet werden kann.
Ein Zusammenschluss von unabhängigen Zeitservern kann als drei oder mehr Computer implementiert werden, die sich entfernt von der angeschlossenen Vorrichtung befinden und so konfiguriert sind, dass einen Zeitwert sowie ein Pinset zur Validierung des Zeitwerts für die angeschlossene Vorrichtung aufrechterhalten. Zwei unabhängige Zeitserver 92, 94, die ausschließlich als Zeitserver agieren, sind dargestellt. Die Computer in den unabhängigen Zeitservern 92, 94 können einen oder mehrere Mikroprozessoren, Speichergeräte und Eingabe-/Ausgabegeräte beinhalten, die gemeinsam in der Lage sind, digitale Zertifikate zu speichern und einen Zeitwert aufrechtzuerhalten. Wie der Prozessor 52 können die unabhängigen Zeitserver 92, 94 jeweils einen 64-Bit-Zähler aufrechterhalten, der einen Wert entsprechend der Epochenzeit generiert. Darüber hinaus erhalten die unabhängigen Zeitserver 92, 94 eines oder mehrere digitale Zertifikate und eine Liste aller unabhängigen Zeitserver in der Föderation. Das/die digitalen Zertifikat(e) und die Liste können als ein Pinset in einem Speichergerät gespeichert werden. Es sollte gewürdigt werden, dass zusätzliche unabhängige Zeitserver zusammen mit oder anstelle der unabhängigen Zeitserver 92, 94 verwendet werden können. Die unabhängigen Zeitserver können bei Einrichtungen aufrechterhalten werden, die auch andere Aktivitäten ausüben. In einem Beispiel können der Computer 18 oder das Call-Center 20 einen Zeitwert und ein Pinset zur Validierung des Zeitwerts für die angeschlossene Vorrichtung aufrechterhalten. Bei einer solchen Anordnung kann eine föderale Gruppe von Zeitservern aus unabhängigen Zeitservern 92, 94 ausgebildet werden, sowie die unabhängigen Zeitserver in dem Computer 18 und dem Call-Center 20 aufrechterhalten werden. Obwohl sich dieses Beispiel auf vier unabhängige Zeitserver bezieht, kann die Anzahl von Servern von drei bis n Servern reichen. Die Aufrechterhaltung der Trennung der unabhängigen Zeitserver kann helfen, die Menge des Vertrauens in die Zeitwerte zu erhöhen, die die föderale Gruppe von Zeitservern zu Fahrzeugen sendet.
Verfahren –
Indem wir uns nun 2 zuwenden, ist dort eine Ausführungsform eines Verfahrens (200) zum Ermitteln eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung dargestellt. Die angeschlossene Vorrichtung für Verfahren 200 und 300 wird in Bezug auf die Fahrzeugtelematikeinheit 30 beschrieben. Jedoch könnten diese Verfahren auch auf andere Arten von angeschlossenen Vorrichtungen wie Smartphone 57 oder PC angewendet werden, die oben abgehandelt sind. Das Verfahren 200 beginnt bei Schritt 210 durch drahtloses Empfangen eines Zeitwerts in der Fahrzeugtelematikeinheit 30 von einem unabhängigen Zeitserver 92. Die unabhängigen Zeitserver 92 (oder andere unabhängige Zeitserver) können programmiert werden, um in regelmäßigen Abständen einen Zeitwert zu einem oder mehreren Fahrzeugen zu übertragen. Der unabhängige Zeitserver 92 kann drahtlos einen Zeitwert, der auf dem Server 92 aufrechterhalten wird, bis zu der Fahrzeugtelematikeinheit 30 über das Drahtlosträgersystem 14 übertragen. Das Verfahren 200 fährt dann mit Schritt 220 fort.
Bei Schritt 220 wird festgestellt, ob der Zeitwert, der von den unabhängigen Zeitserver 92 empfangen wird, früher als ein aktueller Zeitwert ist, der auf der Fahrzeugtelematikeinheit 30 aufrechterhalten wird. Die Fahrzeugtelematikeinheit 30 kann den Zeitzähler überprüfen, den sie betreibt, um den aktuellen Zeitwert zu bestimmen. Nachdem der aktuelle Zeitwert bestimmt ist, der auf der Fahrzeugtelematikeinheit 30 aufrechterhalten wird, kann er mit dem Zeitwert verglichen werden, der von dem unabhängigen Zeitserver 92 empfangen wird. Das Verfahren 200 fährt dann mit Schritt 230 fort.
Bei Schritt 230 wird der empfangene Zeitwert zurückgewiesen, wenn festgestellt wird, dass der Zeitwert früher als ein aktueller Zeitwert ist, der in der Fahrzeugtelematikeinheit 30 aufrechterhalten wird. Jedoch kann der aktuelle Zeitwert im Fahrzeug durch den empfangenen Zeitwert ersetzt werden, wenn der empfangene Zeitwert dahingehend bestimmt wird, dass er gleich wie oder höher als der aktuelle Zeitwert ist, der in der Fahrzeugtelematikeinheit 30 aufrechterhalten wird. Die Fahrzeugtelematikeinheit 30 kann einen solchen Vergleich ausführen um zu verhindern, dass der Zeitwert, der in dem Fahrzeug 12 aufrechthalten wird, ohne Genehmigung zurückgedreht wird. Ein Zugriff auf das Fahrzeug 12 ist mithilfe digitaler Zertifikate möglich, für die von einer vertrauenswürdigen Autorität zertifiziert wurde, dass sie für eine zeitliche Periode gültig sind. Die Manipulation des Zeitwerts, der im Fahrzeug 12 aufrechterhalten wird, kann die Sicherheit solcher digitalen Zertifikate erheblich vermindern, weil der zeitliche Aspekt der Zertifikate wirkungslos gemacht wurde.
In diesem Beispiel kann die Fahrzeugtelematikeinheit 30 den Zeitwert von dem unabhängigen Zeitserver 92 erhalten und bestimmen, ob er der gleiche oder später als die Zeit ist, die in dem Fahrzeug 12 aufrechterhalten wird. Die Fahrzeugtelematikeinheit 30 kann dann den Zeitzähler einstellen, der von der Fahrzeugtelematikeinheit 30 aufrechterhalten wird, basierend auf dem Zeitwert, der von dem unabhängigen Zeitserver 92 empfangen wird. In einigen Implementierungen kann die Fahrzeugtelematikeinheit 30 Zeitwerte empfangen, die etwas früher sind als der Wert, der in dem Fahrzeug 12 aufrechterhalten wird, und immer noch feststellen, dass der empfangene Zeitwert der „gleiche” wie der Zeitwert ist, der in dem Fahrzeug 12 aufrechterhalten wird. So ist es beispielsweise möglich, dass der Zeitwert, der von dem unabhängigen Zeitserver 92 empfangen wird, dem Zeitwert, der in dem Fahrzeug 12 aufrechterhalten wird, um einen Wert von so viel wie fünf Minuten vorangehen kann, und immer noch als der gleiche angesehen wird, sodass die Fahrzeugtelematikeinheit 30 ihren Zeitzähler so einstellen kann, dass diese Differenz von fünf Minuten wiedergegeben wird. Das Verfahren 200 endet dann.
Indem wir uns nun 3 zuwenden, ist dort eine weitere Ausführungsform eines Verfahrens (300) zum Ermitteln eines sicheren Zeitwerts in der Fahrzeugtelematikeinheit 30 dargestellt. Das Verfahren 300 beginnt mit dem Empfangen an der Fahrzeugtelematikeinheit 30 von einem oder mehreren vertrauenswürdigen digitalen Zertifikaten, die auch in drei oder mehr vertrauenswürdigen unabhängigen Zeitservern gespeichert sind, die entfernt von der Fahrzeugtelematikeinheit 30 positioniert sind. Die vertrauenswürdigen digitalen Zertifikate können von einer Quelle erstellt werden, denen durch das Fahrzeug 12 und die unabhängigen Zeitserver vertraut wird. Bei einer Implementierung kann diese Quelle ein Fahrzeughersteller sein, der vertrauenswürdige digitale Zertifikate erstellt und verwaltet, die in dem Fahrzeug 12 und den unabhängigen Zeitservern gespeichert sind. In diesem Beispiel kann eine Vielzahl von Zeitservern in einer Föderation vorhanden sein, die die unabhängigen Zeitserver 92, 94 sowie unabhängige Zeitserver beinhaltet, die betrieben werden von dem Computer 18 und dem Call-Center 20. In diesem Beispiel beinhaltet die Föderation vier unabhängige Zeitserver, aber im Allgemeinen kann die Föderation eine Gruppe von drei oder mehr unabhängigen Zeitservern sein, die jeweils vertrauenswürdige digitale Zertifikate speichert, einen Zeitwert aufrechterhält, der eine aktuelle Uhrzeit darstellt, z. B. einen Epochenzeitwert und auch eine Liste der unabhängigen Zeitserver in der Föderation aufrechterhält.
Jeder der unabhängigen Zeitserver in der Föderation kann die Liste speichern und empfangen, die alle unabhängigen Zeitserver identifiziert, die in der Föderation beinhaltet sind, als auch die digitalen Zertifikate. Die Kombination von digitalen Zertifikaten und der Liste unabhängiger Zeitserver kann auch als Pinset bezeichnet werden. Das Pinset kann jedem der unabhängigen Zeitserver in der Föderation sowie der Fahrzeugtelematikeinheit 30 dafür bereitgestellt werden, um das Anheften von Zertifikaten auszuführen. Die Fahrzeugtelematikeinheit 30 kann das Pinset empfangen, wenn das Fahrzeug 12 hergestellt wird, oder das Pinset kann sicher aus der Ferne der Fahrzeugtelematikeinheit 30 von einer zentralen Einrichtung, z. B. dem Computer 18, bereitgestellt werden. Das Pinset kann auch von einer unidirektional kommunizierenden unabhängigen Autorität über das Festnetz 16 zu den unabhängigen Zeitservern in der Föderation gesendet werden: unabhängige Zeitserver 92, 94 sowie die Zeitserver, die in dem Computer 18 und Call-Center 20 aufrechterhalten werden.
Die Fahrzeugtelematikeinheit 30 kann dann einen Zeitwert von jedem der unabhängigen Zeitserver in der Föderation anfordern, und kann dies aus jedem von einer Reihe von Gründen tun. In einigen Implementierungen kann die Fahrzeugtelematikeinheit 30 erkennen, dass der Zeitwert, der von dem GPS-Modul 40 empfangen wird, nicht mit dem Zeitwert synchronisiert ist, der in dem Fahrzeug 12 aufrechterhalten wird. Oder in anderen Anwendungen kann ein Fahrzeugereignis die Fahrzeugtelematikeinheit 30 dazu veranlassen, einen Zeitwert von der Föderation anzufordern. Diese Fahrzeugereignisse beinhalten einen periodischen Zeitauslöser, die Einleitung einer WLAN- oder Mobilfunkverbindung, eines Fahrzeugstarts, oder wenn der Zähler, der verwendet wird, um den Zeitwert in dem Fahrzeug aufrechtzuerhalten, sich selbst zurücksetzt. Die Fahrzeugtelematikeinheit 30 kann auch einen Zeitwert von der Föderation anfordern, wann immer die Einheit 30 feststellt, dass der Zähler, der den Zeitwert in dem Fahrzeug 12 aufrechterhält, zurückgesetzt wird. Es ist auch möglich, einen Zeitwert von der Föderation anzufordern, wenn die Fahrzeugtelematikeinheit 30 erkannt hat, dass ihr Zeitwert manipuliert wurde. Das Verfahren 300 fährt dann mit Schritt 320 fort.
Bei Schritt 320 werden ein Zeitwert und ein Hash-Code des Pinsets in der Fahrzeugtelematikeinheit 30 empfangen. Nach Empfang einer Anforderung von einem Zeitwert können der unabhängige Zeitserver 92, 94, der Computer 18 und das Call-Center 20 ein digitales Zertifikat auswählen und auf das Pinset zugreifen, das in jedem davon gespeichert ist. Ein Hash-Code des Pinsets kann im unabhängigen Zeitserver 92, 94, dem Computer 18 und dem Call-Center 20 (d. h. der Föderation) erzeugt, und zu der Fahrzeugtelematikeinheit 30 zusammen mit den ausgewählten digitalen Zertifikaten gesendet werden. Das Verfahren 300 fährt dann mit Schritt 330 fort.
Bei Schritt 330 wird der Hash von jedem der Vielzahl von unabhängigen Zeitservern in der Fahrzeugtelematikeinheit 30 unter Verwendung des Pinsets überprüft, das in der Fahrzeugtelematikeinheit 30 gespeichert ist. Die Fahrzeugtelematikeinheit 30 kann auf das Pinset zugreifen, die sie im Fahrzeug 12 speichert, das eine Kopie des Pinsets sein kann, das von den unabhängigen Zeitservern verwendet wird, und feststellen, ob die digitalen Zertifikate, die das Fahrzeug 12 erhielt, gelten. Die Fahrzeugtelematikeinheit 30 kann erkennen, ob die unabhängigen Zeitserver in der Föderation in dem Pinset beinhaltet sind. Dies kann erreicht werden durch Validieren der Hashs, die von jedem unabhängigen Zeitserver in der Fahrzeugtelematikeinheit 30 unter Verwendung seines Pinsets erhalten werden. Darüber hinaus kann die Fahrzeugtelematikeinheit 30 den Medianwert annehmen, der von der Summe der unabhängigen Zeitserver in der Föderation zurückgegeben wird. Alle Zeitwerte, bei denen durch statistische Analyse bestimmt wird, dass sie ein Ausreißer im Vergleich zu den anderen Zeitwerten sind, können als ungültig angesehen werden. Diese statistischen Analysetechniken sind Fachleuten auf dem Gebiet bekannt. Ein Zeitwert, von dem bestimmt wird, dass er um einen bestimmten Schwellenwert anders als der Medianzeitwert ist, kann zurückgewiesen werden. Es ist möglich, dass der Schwellenwert irgendwo von einer Menge größer als 500 ms bis 1 Sekunde oder länger betragen kann. Das Verfahren 300 fährt dann mit Schritt 340 fort.
Bei Schritt 340 bestimmt die Fahrzeugtelematikeinheit 30, welche Hashs, die aus der Vielzahl von unabhängigen Zeitservern empfangen werden, gültig sind, und akzeptiert die mit den gültigen Hashs empfangenen Zeitwerte. Während des normalen Betriebs können die Hashs des Pinsets, die von der Föderation der unabhängigen Zeitserver gesendet wurden, in der Fahrzeugtelematikeinheit 30 empfangen und durch diese überprüft werden. Und die Zeitwerte, die den Hashs zugeordnet sind, können alle innerhalb einer Standardabweichung voneinander liegen. Wenn alle Hashs verifiziert sind, kann die Fahrzeugtelematikeinheit 30 den Durchschnitt der Zeitwerte bestimmen, die mit den Hashs gesendet wurden, und dann den Zeitwert mit diesem bestimmten Zeitwert aktualisieren, der in dem Fahrzeug 12 aufrechterhalten wird.
Jedoch kann manchmal die Fahrzeugtelematikeinheit 30 bestimmen, dass einer oder mehrere der Hashs, die durch die unabhängigen Zeitserver in der Föderation gesendet werden, nicht gültig im Vergleich zu einem Hash sind, das aus dem Pinset erstellt ist, das im Fahrzeug 12 gespeichert ist. Die Fahrzeugtelematikeinheit 30 kann dann entscheiden, ob sie den Zeitwerten der unabhängigen Zeitserver in der Föderation, die einen validierten Hash gesendet haben, vertrauen sollte, obwohl einige andere Server in der Föderation nicht validiert wurden. In einigen Implementierungen kann die Fahrzeugtelematikeinheit 30 die Anzahl von unabhängigen Zeitservern in der Föderation bestimmen und dann den Anteil dieser unabhängigen Zeitserver berechnen, die validiert worden sind. Wenn der Anteil der validierten Zeitserver in der Föderation weniger als 50% beträgt, kann die Fahrzeugtelematikeinheit 30 bestimmen, dass keiner der Zeitwerte, die von der Föderation empfangen werden, vertrauenswürdig sein sollte – selbst von unabhängigen Zeitservern, die Hashs senden, die validiert werden können. Die Fahrzeugtelematikeinheit 30 kann einen Test für die Durchführung dieser Bestimmung erstellen, wobei k gleich der Anzahl der kompromittierten Zeitserver ist, und n gleich der Gesamtzahl der unabhängigen Zeitserver in der Föderation ist. Wenn der Wert von 2·k + 1 größer ist als n, dann kann die Fahrzeugtelematikeinheit 30 alle Zeitwerte ignorieren, die von der Föderation werden.
Wenn der Wert von 2·k + 1 kleiner oder gleich n ist, kann die Fahrzeugtelematikeinheit 30 die Zeitwerte verwenden, die von validierten unabhängigen Zeitservern in der Föderation empfangen werden, und eine vertrauenswürdige Zeit von den validierten Zeitservern generieren. Es ist möglich, dass eine zentrale Einrichtung in regelmäßigen Abständen die unabhängigen Zeitserver in der Föderation kontaktiert und die Zeitwerte überwacht, die diese Server aufrechterhalten. Wenn die Zeitserver unterschiedliche Zeiten aufrechterhalten, kann die zentralisierte Einrichtung die Zeitwerte koordinieren, die in allen Servern aufrechterhalten werden. Aber es versteht sich, dass es wichtig ist, weiterhin einen Luftspalt mit dem unabhängigen Zeitserver in der Föderation aufrechtzuerhalten, um Unabhängigkeit zu bewahren und böswillige Angriffe zu verhindern. Das Verfahren 300 endet dann.
Es versteht sich, dass das Vorstehende eine Beschreibung einer oder mehrerer Ausführungsformen der Erfindung ist. Die Erfindung ist nicht auf die besondere(n) hierin offenbarte(n) Ausführungsform(en) beschränkt, sondern ausschließlich durch die folgenden Patentansprüche definiert. Darüber hinaus beziehen sich die in der vorstehenden Beschreibung gemachten Aussagen auf bestimmte Ausführungsformen und sind nicht als Einschränkungen des Umfangs der Erfindung oder der Definition der in den Patentansprüchen verwendeten Begriffe zu verstehen, außer dort, wo ein Begriff oder Ausdruck ausdrücklich vorstehend definiert wurde. Verschiedene andere Ausführungsformen und verschiedene Änderungen und Modifikationen an der/den ausgewiesenen Ausführungsform(en) sind für Fachleute offensichtlich. Alle diese anderen Ausführungsformen, Änderungen und Modifikationen sollten im Geltungsbereich der angehängten Patentansprüche verstanden werden.
Wie in dieser Beschreibung und den Ansprüchen verwendet, sind die Begriffe „zum Beispiel”, „beispielsweise”, „z. B.”, „wie” und „gleich” und die Verben „umfassen”, „aufweisen”, „beinhalten” und ihre anderen Verbformen, wenn sie in Verbindung mit einer Auflistung einer oder mehrerer Komponenten oder anderen Gegenständen verwendet werden, jeweils als offen auszulegen, was bedeutet, dass die Auflistung nicht so berücksichtigt wird, als dass sie andere, zusätzliche Komponenten oder Elemente ausschließt. Andere Begriffe sind in deren weitesten vernünftigen Sinn auszulegen, es sei denn, diese werden in einem Kontext verwendet, der eine andere Auslegung erfordert.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

IEEE 802.11-Protokollen [0018]

Claims

Verfahren zur Ermittlung eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung, umfassend die Schritte: (a) Empfangen eines Hash-Codes eines Pinsets in der angeschlossenen Vorrichtung von jedem unabhängigen Zeitserver in einer Föderation, wobei das Pinset in der angeschlossenen Vorrichtung sowie in den unabhängigen Zeitservern gespeichert ist, die entfernt von der angeschlossenen Vorrichtung positioniert sind; (b) Empfangen eines Zeitwerts in der angeschlossenen Vorrichtung zusammen mit jedem Hash des Pinsets; (c) Versuchen, die Hashs des Pinsets zu überprüfen, die von jeder der Vielzahl von unabhängigen Zeitservern in der angeschlossenen Vorrichtung empfangen werden; und (d) Bestimmen in der angeschlossenen Vorrichtung, welche der Zeitwerte von der Vielzahl von unabhängigen Zeitservern gültig sind, basierend auf der Gültigkeit der Hashs.
Verfahren nach Anspruch 1, wobei die angeschlossene Vorrichtung des Weiteren eine Fahrzeugtelematikeinheit umfasst.
Verfahren nach Anspruch 2, wobei die drahtlose Vorrichtung des Weiteren eine Fahrzeugtelematikeinheit ist.
Verfahren nach Anspruch 2, wobei die drahtlose Vorrichtung ein Smartphone ist.
Verfahren nach Anspruch 1, des Weiteren umfassend das Erzeugen eines Medianzeitwertes unter Verwendung der gültigen Zeitwerte und Speichern des Medianzeitwertes in der angeschlossenen Vorrichtung.
Verfahren nach Anspruch 1, des Weiteren umfassend den Schritt des Bestimmens, ob einer der Zeitwerte, die von der Vielzahl unabhängiger Zeitserver empfangen wird, anders ist als die anderen Zeitwerte, basierend auf statistischer Analyse und Zurückweisen der Zeitwerte, die sich um mehr als eine Schwellenwertmenge unterscheiden.
Verfahren nach Anspruch 1, wobei ein Fahrzeughersteller eines oder mehrere digitale Zertifikate erzeugt, die in dem Pinset beinhaltet sind.
Verfahren zur Ermittlung eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung, umfassend die Schritte: (a) Empfangen eines Zeitwerts und eines Hashs eines Pinsets in der angeschlossenen Vorrichtung von jedem der drei oder mehreren unabhängigen Zeitserver, die entfernt von der angeschlossenen Vorrichtung positioniert sind; (b) Versuchen, in der angeschlossenen Vorrichtung die digitalen Zertifikate, die in den empfangenen Hashs beinhaltet sind, zu validieren; (c) Bestimmen, wie viele der digitalen Zertifikate gültig sind; (d) Bestimmen, ob der sichere Zeitwert unter Verwendung der empfangenen Zeitwerte basierend darauf zu erstellen ist, wie viele der digitalen Zertifikate gültig sind; und (e) Einrichten des sicheren Zeitwerts in der angeschlossenen Vorrichtung unter Verwendung der Zeitwerte basierend auf dem Bestimmen in Schritt (d).
Verfahren nach Anspruch 8, des Weiteren umfassend den Schritt des Bestimmens, ob einer der Zeitwerte, die von der Vielzahl unabhängiger Zeitserver empfangen werden, anders ist als die anderen Zeitwerte, basierend auf statistischer Analyse und Zurückweisen der Zeitwerte, die sich um mehr als den Medianwert unterscheiden.
Verfahren zum Ermitteln eines sicheren Zeitwerts in einer angeschlossenen Vorrichtung, umfassend die Schritte: (a) Drahtloses Empfangen eines Zeitwerts in der angeschlossenen Vorrichtung von einer Quelle, die entfernt von der angeschlossenen Vorrichtung positioniert ist; (b) Bestimmen, ob der empfangene Zeitwert früher als ein aktueller Zeitwert ist, der in der angeschlossenen Vorrichtung aufrechterhalten wird; (c) Zurückweisen des empfangenen Zeitwerts, wenn festgestellt wird, dass der empfangene Zeitwert früher als der aktuelle Zeitwert ist, der in der angeschlossenen Vorrichtung aufrechterhalten wird; und (d) Ersetzen des aktuellen Zeitwerts, der in der angeschlossenen Vorrichtung aufrechterhalten wird, durch den empfangenen Zeitwert, wenn bestimmt wird, dass der empfangene Zeitwert gleich wie oder später als der aktuelle Zeitwert ist, der in der angeschlossenen Vorrichtung aufrechterhalten wird.