RS20211400A1 - Sistem automatske zaštite podataka kontrolnih jedinica vozila - Google Patents

Abstract

Sistem automatske zaštite podataka kontrolnih jedinica vozila namenjen za zaštitu podataka upravljačkog sistema (16) vozila dodavanjem sigurnosnog modula (2) u već postojeći sistem koji radi samostalno i nezavisno od drugih sistema zaštite na vozilu. Sigurnosni modul (2) postavlja se između OBD dijagnostičkog konektora (3) i motornog računara (5) na vodove CAN komunikacione mreže (11) tako da razdvaja deo CAN komunikacione mrežne (11a) od dela CAN komunikacione mreže (11b), a čine ga procesor (12), elektronski prekidač (13), detektor komunikacije (14) i detektor napona (15). Zaštita sistema zasniva se na merenju napona na naponskim vodovima (9) vozila naponskim detektorom (15) i merenjem prisustva komunikacije detektorom komunikacije (14) na komunikacionoj mreži (11) vozila. U slučaju prisustva napona i na naponskim vodovima (9) i komunikacije na komunikacionoj mreži (11) šalje se signal procesoru (12) da aktivira elektronski prekidač (13) kako bi se fizički spojili krajevi CAN komunikacione mreže (11 a i 11b), dok u slučaju odsustva napona i komunikacije elektronski prekidač (13) sigurnosnog modula (2) automatski fizički razdvaja krajeve CAN komunikacione mreže (11a i 11b).

Description

Систем аутоматске заштите података контролних јединица возила

Област технике на коју се проналазак односи

Дати проналазак се односи на заштиту електронских комуникационих и управљачких система унутар возила од неовлашћеног приступа подацима које се размењују и чувају у овим системима. Тачније, дати проналазак се односи на допуну постојећег дијагностичког система возила који је извор података са информацијама о стању возила и допуну и заштиту комуникационе мреже возила на којој се размењују информације о стањима појединих система возила.

Технички проблем

Проблем који је потребно решити јесте како се заштитити возило од недозвољеног приступа подсистемима који управљају возилом. Конкретно, проблем који се треба решити је како заштитити систем возила од неовлашћеног приступа путем OBD адаптера, а да се при том за меру заштите не примењују нестандардни прикључни конектори који уз одвојени OBD адаптер омогућује приступ систему возила или заштитна решења која блокирају довод напајања до појединих рачунарских јединица све док заштита не препозна код кључа власника, отисак прста или дефинисани скуп карактера који се даје систему и да сигнал за спајање струјног кола. Кључни проблем који је потребно решити јесте како да се обезбеди једноставна заштита од приступа контролним јединицама возила лицима која за то немају овлашћење а да се при том не користе различите ауторизације или аутентификацје које систем у неким случајевима препозна као грешку.

Стање технике

Постоје различити уређаји који се користе као заштита OBD дијагностичког конектора или само као комуникациони модули. OBD дијагностички конектор је саставни део аутомобила који служи за повезивање дијагностичке опреме и обезбеђује приступ CAN комуникационој мрежи. Постојеће заштите OBD дијагностичког конектора у суштини само успоравају потенцијалне лопове да приступе возилу и односе се на механичко ограничавање овог приступа, тампер заштиту или принцип по коме се сами пинови на комуникационом OBD дијагностичком конектору помешају. To не представља довољну заштиту зато што се пo напонским нивоима, само мерењем у односу на масу може открити који пинови припадају на пример CAN комуникационој мрежи. Овај закључак се доноси мерењем напона у циљу проналажења пинова који имају 2.5 волта у односу на масу. На тај начин се долази до информације који пинови припадају CAN комуникационој мрежи без обзира што су измештени. Наведене недостатке решава приказани проналазак на тај начин што су водови комуникационог CAN комуникационе мреже физички прекинути када је заштита активна тако да било каква мерења или манипулација не може угрозити систем.

У патенту из Велике Британије РСТ/ЕР2015/074273 WIPO број публикације: WO/2016/091439 је описан систем који користи CAN комуникацију са имобилајзер рачунаром да препозна валидан кључ у брави у сврху заштите приступа рачунарима возила. Поставља се питање огромне комплексности извођења, систем би морао да буде способан да препозна и декодује поруке преко CAN комуникационе мреже које шаље имобилајзер. Сваки произвођач има другачије поруке комуникације за имобилајзер, и то захтева ажурирање података за све нове аутомобиле што представља додатну несигурност а и није објашњено како ће бити заштићена таква врста ажурирања од злоупотреба или злонамерног репрограмирања самог уређаја. Такође

постоји проблем у овом решењу у случају да се изгубе валидни кључеви за активирање аутомобила. Питање је како ће се испрограмирати нови ако је то онемогућено путем заштите која тражи валидан кључ да би се омогућио приступ OBD дијагностичком конектору и имобилајзер рачунару који служи за програмирање нових кључева. Све ове недостатке решава приказани проналазак зато што користи стандардни OBD формат порука. Нема потреба за било каквим ажурирањима. Приступ имобилајзер рачунару је омогућен иако је аутомобил није у радном стању. To се остварује путем јединственог пин кода који корисник шаље путем паметног телефона да одобри дијагностички приступ.

Механичка заштита описана је у патенту из Јапана број публикације JP2015103380 WIPO, која се односи на механичко забрављивање и спречавање приступа OBD дијагностичком конектору. Решење само успорава лопове зато што се једноставним мерењем напона на жицама

као што је претходно описано, може доћи до комуникационих водова без потреба да се оствари физички приступ само OBD дијагностичком конектору. У патенту из Кине број публикације CN106341392 WIPO, описан је и систем заштите који користи екстерни модул за енкрипцију и дистрибутивне кључеве којима се одобрава приступ рачунарима аутомобила путем OBD дијагностичког конектора. На овај начин остварена је заштита од неовлашћеног приступа рачунарима аутомобила путем OBD порта али и чињеница да мора постојати екстерни модул за активацију / деактивацију заштите, дакле рад није аутоматски, што онемогућава стално повезан комуникациони модул на OBD дијагностички конектор и његов неометан рад. Према томе можемо видети да је проналазак више примењив као аутентификација дијагностичке опреме која се повезује на OBD дијагностички конектор. Све ове поменуте проблеме овде приказан проналазак решава на начин да прати стање аутомобила упаљено/угашено и аутоматски одобрава или брани приступ рачунарима аутомобила без потреба за екстерним уређајима који одобравају приступ рачунарима аутомобиле преко OBD дијагностичког конектора.

У патенту из Кине број пријаве CN105871830 описан је систем за заштиту путем софтверске firewall заштите на самој апликацији паметног телефона и коришћење ELM327 као хардверског протокола интерпретера. Такав начин заштите није безбедан зато што самим декомпајлирањем апликација на паментном телефону долази до изворног кода и даље коришћењем јавно доступних AT команди за ELM327 из документације, управља са интерпретером, простим слањем AT команди на пример:

“ATCRA hhh“ - Set CAN Receive Address to hhh

“ATFC SH hhh” - FC Set the Header to hhh

На овај начин може се адресирати било који ECU аутомобилски рачунар и послати било која порука на рачунар возила и тако угрозити безбедност.

Сви гope описани проналасци и слични за које аутор има сазнање, имају потенцијалне сигурносне проблеме и не нуде новину у свеобухватној заштити и не функционишу као један систем. Поставља се и питање и изводљивости. Сигурност је такође под знаком питања зато што иницијално овакви уређаји нису прављени да раде у комбинацији један са другим да би понудили решење проблема безбедности за системе “повезаних аутомобила”. Такође нису предвиђени да раде аутоматски и за свој функционисање захтевају неку врсту константних ажурирања и екстерног управљања.

Излагање суштине проналаска

Евидентирање података у путничким возилима последњих деценија постала је веома важна за безбедност како за учеснике у саобраћају тако и за животну средину. On-Board Diagnostic -OBD систем је уграђени систем примарно настао за контролу емисије издувних гасова возила, да би се касније његова функционалност проширила, па тако данас имамо модерне OBD системе друге генерације који поред мерења издувних гасова извршавају и дијагностику возила.

Поред дијагностике OBD систем врши и оптимизацију која је веома важна у процесу управљања ‘’здрављем” возила. Овај систем се заправо односи на сакупљање<4,>догађаја" унутар система возила који анализом упућују на могуће будуће кварове самог возила. Под ‘’догађајима” се подразумева праћење тренда хабања механичких делова возила, у смислу оцене који се делови хабају брже него неки други који су у спрези са њима, праћење статуса мотора, статус система горива, праћење притиска, температуре, нивоа уља, стање акумулатора и сл. Сврха OBD Система је да дијагностикује стања возила и да пријави проблеме адекватним обавештењима на контролној табли пре него што дође до квара, тј. систем подржава проактивно а не реактивно управљање.

ОБД II је дефинисан као стандард за аутомобиле који препоручује Друштво инжењера аутомобила (eng. Society of Automotive Engineering - SAE) заснован на захтев/одговор методу размене порука (request/seponse messages). Стандардом су дефинисани ID параметри (eng. Onboard diagnostics Parameter IDs) који cy y суштини индентификациони параметри намењени за потраживање података од рачунара возила (Electronic Control Unit — ECU) и идентификациони параметри на које ECU одговара на захтев. Сваком ID-y захтева одговара један ID одговора.

Систем за дијагностику, OBD, ради тако што шаље поруке захтева рачунару возила, ECU, који прослеђује одговарајући одговор на захтев и на тај начин врши колекцију порука свих стања возила похрањивањем на SD меморијску картицу. Поруке које се детектују као грешке у возилу (eng. Data Trouble Code — DTC), OBD користи да упозори на квар тако што прослеђује захтев за паљењем одговарајуће сигналне лампе на контролној табли возила. Различити DTC кодови представљају различите и специфичне проблеме који су настали у возилу. Модернији OBD систем се може подесити тако да испоручује упозорења служби за одржавање путем мобилне мреже. Ова функционалност је корисна за организације које поседују возне паркове у циљу што боље организације сервисирања возила.

DTC грешке рачунара возила су алфа нумерички кодови које рачунар возила региструје кад се деси неки проблем у возилу. Ови кодови могу да се ишчитавају помоћу дијагностичких уређаја који се повезују на OBD интерфејс. Да би могли да прочитамо DTC кодове дијагностичких проблема и разумемо проблеме у возилу, треба да се користи OBD скенер за повезивање са 16 -пинским конектором подржаним OBD II стандардом, који се налази испод контролне табле возила. Данас је OBD II стандард присутан у већини возила и предуслов је за лако решавање насталих грешака у возилима, а стандардизација DTC-a додатно олакшава власницима аутомобила да могу на једноставан начин да препознају природу и порекло грешака.

То значи да власници возила могу сами да ишчитавају податке са контролних јединица свог возила а да при том не морају да одлазе у сервис. Потребно је поседовање OBD 2 скенера или OBD 2 записивача података који се повезује на OBD II 16 пин конектор. Путем скенера се уносе поруке захтева упућене контролним јединицама које дају одговоре на захтеве. OBD 2 скенер аутоматски преводи поруке пристигле са мреже возила (Controller Area Network — CAN) које би без OBD система биле нечитљиве, односно морале би да се преводе. Читање порука могуће је и путем мобилних уређаја, нпр. паметних телефона који се повезују са OBD конектором Bluetooth технологијом и уз одговарајућу апликацију могуће је ишчитавање параметара који приказују стање возила.

Овакав један систем је врло сложен и као такав врло рањив у погледу сигурности. Да би подаци на контролним јединицама били безбедни од неовлашћеног приступа и да би власник возила био осигуран од крађе возила, OBD систем мора да поседује адекватну заштиту која гарантује да преко OBD интерфејса није могуће приступити контролним јединицама чак и у случају да систем дозвољава даљинско очитавање података помоћу паметних уређаја интернет мрежом или Bluetooth упаривањем. Постоје разни начини заштите од недозвољеног приступа, попут уграђивања нестандардног прикључног конектора у који када се укључи одвојени OBD адаптер

постаје стандардни систем за дијагностику. Проблем оваквог решења је у томе што очитавање података са контролних јединица у случају да адаптер није доступан, није могуће. Држање ових адаптера у возилу није безбедно јер самим тим се губи смисао заштите, док са друге стране, чувању ових адаптера на неком другом месту прети опасност губитка што опет доводи до проблема приступа дијагностичком систему. Такође постоје и заштитна решења која раде на принципу прекида електричног кола за активирање возила, довода горива и кола електромотора којим се покреће возило. Овакви системи засновани су на препознавању јединственог кода фабрички уграђеног у кључ ' за активирање возила, који када систем препозна, аутоматски затвара раздвојена електрична кола што аутоматски даје и дозволу за приступ контролним јединицама возила. И овим безбедносним решењем приступ систему возила може бити отежан у случају губитка или квара кључа намењеног за активирање и може изазвати низ непријатности све док се не изврши замена која захтева поновну израду новог кључа од стране произвођача возила.

Проналаском се даје решење заштите приступа подацима на контролним јединицама возила на начин да се између OBD уређаја и његове везе са комуникационом мрежом возила CAN уграђује систем на чипу који има улогу да физички раздвоји везу OBD система са комуникационом мрежом када возило није у радном стању. Предложени систем на чипу детектује рад мотора возила и у случају недостатка напајања мотора раздвајају се мрежне везе и зауставља проток података и могућност приступа подацима на контролним јединицама.

Кратак опис слика нацрта

Следеће слике употпуњују опис проналаска:

Слика 1: Блок шема аутомобила у радном стању када је мотор возила активан

Слика 2: Блок шема аутомобила у мирном стању када је мотор возила неактиван

Слика 3: Положај OBD дијагностичког конектора, сигурносног модула, комуникационог модула у унутрашњости аутомобила

Слика 4: Блок шема сигурносног модула

Детаљан опис проналаска

OBD дијагностички конектор 3 омогућава стандардизовану методу приступа различитим подацима, дијагностичким кодовима грешака и многим другим подацима из аутомобила, средњих и тешких возила. У пракси, OBD II протокол омогућава сервисерима и власницима возила примену OBD 2 скенера или читача кодова за идентификацију ових кодова који дају приказ основних проблема који су изазвали паљење одговарајућег светлосног показатеља квара на контролној табли возила. OBD дијагностички конектор 3 је такође релевантан као извор података о стању возила, у реалном времену, за сврху нпр. управљања возним парком, оптимизације горива, CAN ослушкивање комуникационе мреже 11 и за још много тога. Свеобухватно OBD 2 систем је намењен за евидентирање података, односно размене порука у мрежи возила између контролних јединица (моторног рачунара 5, ABS рачунара 6, имобилајзера 1 итд.) а заснива се на упит/захтев поруци коју шаље OBD дијагностички конектор 3 и одговора који шаље релевантна контролна јединица. OBD дијагностички конектор 3 поседује OBD PID -ове преко којих се чита порука пристигла са CAN комуникационе мреже 11. Поруке чине конкретне информације попут брзине возила и броја обртаја, док OBD 2 систем и скенер као и одговарајућа апликација на мобилном телефону 10, омогућавају да обе информације буду разумљиве кориснику.

Систем возила је комплексан систем и у пракси поприлично рањив у погледу неовлашћеног приступања подацима моторног рачунара 5, које може, у случају да се деси, довести до неовлашћеног отуђивања возила власнику.

Датим проналаском се решава проблем сигурности система возила додавањем сигурносног модула 2 у већ постојећи систем а који ради самостално и независно од других система заштите на возилу. Сигурносни модул 2 приказан на слици 4 чине процесор 12, електронски прекидач 13, детектор комуникације 14 и детектор напона 15. Сигурносни модул 2 поставља се између OBD дијагностичког конектора 3 и моторног рачунара 5 на водове CAN комуникационе мреже 11 тако даје раздваја на део CAN комуникационе мреже 11a и део CAN комуникационе мреже 116. Сигурносни модул 2 се уграђује испод контролне табле 19 возила на место које одређује власник возила, како је приказано на слици 3.

У радном стању 17 возила приказаном на слици 1, сигурносни модул 2 је путем дела CAN комуникационе мреже 11a повезан са OBD дијагностичким конектором 3 док је са друге стране повезан са моторним рачунаром 5 делом CAN комуникационе мреже 116. Радно стање 17 возила се детектује сигурносним модулом 2 мерењем напона на напонским водовима 9 помоћу детектора напона 15 и ослушкивањем комуникације CAN комуникационе мреже 11 помоћу детектора комуникације 14. Карактеристика аутомобилске напонске инсталације је да има од 13.5V до 14V када је аутомобил активан, а када је аутомобил неактиван, напон се креће од 11V до 12V. Када детектор напона 15 измери напон радног стања 17 на инсталацијама аутомобила, он шаље сигнал процесору 12 сигурносног модула 2 да активира електронски прекидач 13 који физички спаја крајеве CAN комуникационе мреже 11 а и б. Физичким спајањем крајева CAN мреже 11 омогућује се комуникација, односно пренос података путем CAN комуникационе мреже 11 а и б са моторног рачунара 5 до OBD дијагностичког конектора 3 и комуникационог модула 7 који је повезан са OBD читачем или са мобилним телефоном 10. Са друге стране, док детектор напона 15 мери напон на инсталацијама аутомобила, детектор комуникације 14 активно ослушкује размену података на комуникационој мрежи 11 и све док постоји размена података сматра се да је систем возила у радном стању 17 а крајеви комуникационе мреже 11 а и б спојени.

Када детектор комуникације 14 препозна одсуство размене порука на комуникационој мрежи 11 и када детектор напона 15 очита одсуство напона на напонским водовима 9, шаље се сигнал процесору 12 сигурносног модула 2 који активира електронски прекидач 13 за физичко раздвајање дела CAN комуникационе мреже 11 а од дела CAN комуникационе мреже 11 б, слика

2. Возило се тада налази у мирном стању 18 у којем је комуникација моторног рачунара 5 и OBD дијагностичког конектора 3 прекинута, односно део CAN комуникационе мреже 116 који је и директна веза сигурносног модула 2 са управљачким системом возила 16 повезаним делом CAN комуникационе мреже 11 ц је прекинута. На овај начин сви подаци које прикупља моторни рачунар 5 од остатка управљачког система 16, тј. ABS рачунара 6, имобилајзера 1 и др., су заштићени од неовлашћеног приступа без присуства власника или овлашћене особе која поседује кључ аутомобила.

Поновно повезивање дела CAN комуникационе мреже 116 са делом CAN комуникационе мреже 11a ће се десити када детектор напона 15 поново детектује присуство напајања на напонским водовима 9. Мирно стање 18 и радно стање 17 возила се постиже постављањем кључа које поседује власник возила у браву за покретање аутомобила.

Начин индустријске или друге примене проналаска

Проналазак налази примену у моторним возилима које поседују OBD 2 систем за дијагностику. I ачније, проналазак се може примењивати на свим врстама моторних возила која за потребе дијагностике користе OBD II стандард и CAN комуникациони стандард.

Claims (8)

Патентни захтеви

1. Систем аутоматске заштите података контролних јединица возила који контролише комуникацију OBD дијагностичког конектора (3) са моторним рачунаром (5) путем CAN комуникационе мреже (11) назначен тиме да сигурносни модул (2) чине процесор (12), детектор напона (13), детектор комуникације (14) и детектор напона (15), где детектор комуникације (14) и детектор напона (15) у случају присуства комуникације на комуникационој мрежи (11) и напона на напонским водовима (9) дају сигнал процесору (12) који активира електронски прекидач (13) за физичко спајање крајева CAN комуникационе мреже (11a и б), док у случају одсуства напона електронски прекидач (13) сигурносног модула (2) аутоматски физички раздваја крајеве CAN комуникационе мреже (11a и б).

2. Систем према патентном захтеву 1 назначен тиме да се сигурносни модул (2) поставља између OBD дијагностичког конектора (3) и моторног рачунара (5) на водове CAN комуникационе мрежне (11).

3. Систем према патентном захтеву 1 назначен тиме да детектор комуникације (14) сигурносног модула (2) стално ослушкује размену података на комуникационој мрежи (11)возила.

4. Систем према патентном захтеву 1 назначен тиме да детектор напона (15) сигурносног модула (2) стално мери стање напонских водова (9) унутар возила.

5. Систем према патентном захтеву 1 назначен тиме да електронски прекидач (13) спајањем крајева CAN комуникационе мреже (11a и б) омогућава размену података између OBD дијагностички конектор (3) и моторног рачунара (5).

6. Систем према патентном захтеву 1 назначен тиме да електронски прекидач (13) раздвајањем крајева CAN комуникационе мреже (11a и б) прекида размену података између OBD дијагностички конектор (3) и моторног рачунара (5).

7. Систем према патентном захтеву 1 назначен тиме да је детектор напона (15) конструкцијски повезан са детектором комуникације (14).

8. Систем према патентном захтеву 1 назначен тиме да је улога детектора комуникације (14) да комуницира са моторним рачунаром (5).