"Hohe Sicherheit, wenig Bauteile und einfach zu skalieren"

Mit einer dualen Infotainment Architektur will Blaupunkt den scheinbaren Widerspruch von Sicherheit und Update-Fähigkeit lösen. Das Konzept wird bereits 2008 in Serien-Pkw im Einsatz sein. Wir sprachen mit Georg Sandhaus, Leiter der Abteilung "Systemtechnik Fahrerinformationssysteme" über Funktion und Vorteile dieser Systemarchitektur.

Sie schlagen eine duale Architektur für Infotainment-Komponenten vor, die höchste Sicherheit mit bester Erweiterbarkeit verbinden soll. Wie ist dieses System aufgebaut?
Sandhaus Wir isolieren etablierte Teile des Systems von den Bereichen, die sich sehr schnell ändern - aufgrund von neuer Technologie, Marktveränderungen etc. Den geschlossenen Bereich nennen wir Dragon, den offenen Bereich Tiger. Wenn etwas mit hoher Wahrscheinlichkeit über die Lebensdauer des Fahrzeugs nicht verändert werden muss, kommt es in den geschlossenen Bereich, Funktionen, die sich voraussichtlich schnell ändern, in den offenen Bereich.
Im offenen Bereich befinden sich aber nicht nur Infotainment-Komponenten. Funktionen, die sich ebenfalls noch stark ändern, sind zum Beispiel Video-Coding, Ripping oder 3D-Darstellung. Dazu kommen Funktionen, die wir von außen beziehen, zum Beispiel Browser-Funktionen. Wir können diese nur als vollständigen Code-Block beziehen, den wir testen aber nicht weiter qualifizieren können.
Was in den offenen oder geschlossenen Bereich gehört, kann sich im Laufe der Zeit ändern. Spracherkennung beispielsweise ist derzeit noch auf der offenen Seite untergebracht, weil es relativ neu im Automobil ist, es wird allerdings voraussichtlich zu einem festen Bestandteil werden. Dies wird auch mit einigen anderen klassischen Infotainment-Funktionen passieren, weil sie sich bereits fest im Automobil etabliert haben, wie zum Beispiel der Rundfunk oder mittlerweile auch Funktionen wie MP3 Audio.

Wie spielen die Komponenten Dragon und Tiger mit der Gesamtfahrzeugelektronik zusammen, wie muss man sich die Gesamttopologie vorstellen?
Sandhaus Die an Dragon angeschlossenen Fahrzeugschnittstellen werden über ein einheitliches Bus-unabhängiges Framework angeschlossen, das heißt, wir haben immer die gleiche Software-Architektur, unabhängig davon, welche Vernetzung der Fahrzeughersteller wählt, seien es nun CAN, MOST oder andere Anschlüsse. Die Software ist davon unabhängig, weil wir das Kommunikationsframework oberhalb davon abgebildet haben, nur die Treiber darunter müssen angepasst werden.

Wie ist die Firewall zwischen den Systemebenen realisiert?
Sandhaus Die Firewall ist ein Bestandteil innerhalb unseres Systems, der Dragon und Tiger voneinander trennt. Das heißt, die fahrzeugrelevanten Schnittstellen sitzen hinter der Firewall. Zum geschlossenen Bereich gehören demnach Dragon und die gesamte Fahrzeugelektronik.
Auf der Dragon-Seite haben wir Hardware-Verschlüsselungsalgorithmen, hier gibt es also einen nicht auslesbaren Teil, an den niemand herankommt - im Prinzip handelt es sich um einen Algorithmus, der mit einem selbst generierten Schlüssel antwortet.

Welche Arten von Bedrohung sind im Fahrzeug vorstellbar?
Sandhaus Im Moment kommen die Bedrohungen vor allem über die Anbindung von Mobiltelefonen. In diesem Bereich sind auch bereits Ausfälle oder Störungen bekannt, aber keine solchen, die sicherheitsrelevant wären. Die Bedrohung kommt natürlich auch durch Software-Update-fähige Systeme, was typischerweise bei Navigationssystemen der Fall ist. Auch wenn Sie zum Beispiel I-Pods anbinden möchten, gibt es Update-CDs, um die oberen Kommunikationsschichten anzupassen. Störungen bei solchen Software-Updates sind bisher nur aufgetreten, wenn man gleichzeitig Startvorgänge oder Batteriewechsel durchführt. Auch für solche Fälle haben wir Schutzmechanismen eingebaut.

Wie wird der Service-Zugang zu dem ansonsten geschlossenen Dragon-System ermöglicht?
Sandhaus Dieser wird über das Diagnosesystem des Fahrzeugherstellers vorgenommen. Das passiert in Vertragswerkstätten, beim Hersteller, das geht aber auch bei uns. Hierbei handelt es sich um spezifische kabelgebundene Systeme, wie sie heute üblich sind, für den Kunden ist das System geschlossen.
Wir können auch nur ausschließlich das gesamte Software-Paket updaten, so dass zum Beispiel in jedem Fall die gesamte Checksumme geprüft werden kann. "Illegale" Teile lassen sich auf diesem Wege nicht einschleusen.

Es geht ja nicht nur um Sicherheit. Welche Vorteile bietet Ihr Konzept darüber hinaus?
Sandhaus Dadurch, dass wir eine geschlossene Fahrzeugseite haben, können wir auf der offenen Seite sehr einfach skalieren, zum Beispiel beim Speicherausbau oder bei neuen Schnittstellen. Und weil wir das System im Wesentlichen auf zwei Chips bringen, hat es einen hohen Integrationsgrad und wenig Bauteile, was eine sehr hohe Qualität hinsichtlich der Ausfallzahlen ermöglicht. Die Fahrzeugseite lassen wir konstant, dadurch muss der Integrationsprozess nicht jedes Mal neu angeschoben werden. Wenn man also einmal ein Dragon-basiertes System freigegeben hat, lassen sich Modifikationen der Tiger-Seite relativ schnell und einfach durchführen, mit den entsprechenden "Time-to-Market"- und Kostenvorteilen. Durch die Hardware-Trennung besteht außerdem der Vorteil einer guten Lastverteilung, weil die Rechenleistung auf der offenen Seite nicht die Fahrzeugseite beeinflusst.

Verwenden Sie aufgrund der unterschiedlichen Anforderungen auf beiden Seiten verschiedene Prozessoren?
Sandhaus Wir verwenden auf beiden Seiten den gleichen Prozessorkern und das gleiche Betriebssystem - und zwar T-Engine, ein Betriebssystem, das in Europa in etwa mit Symbian zu vergleichen ist. Es kann ja passieren, dass eine Funktion, die sich etabliert hat, auf die geschlossene Seite wandert.
Der Ausbau der beiden Rechnerkerne ist allerdings sehr unterschiedlich. Zum Beispiel haben wir auf der geschlossenen Seite einen 16 Bit breiten Speicherzugriff, aber zweimal 32 Bit auf der rechten Seite. Die Kosten sind weniger von diesen Prozessoren abhängig, sondern von der Bus-Bandbreite und der Grafik - so haben wir auf der Dragon-Seite nur die 2D-Möglichkeit, auf der Tiger-Seite auch 3D. Die Software-Aufwände bilden eindeutig den Kern der Kosten.

Wie ist Ihr Konzept im Kontext von Standardisierungsinitiativen zu sehen, wie lässt es sich einbinden?
Sandhaus Wir beteiligen uns zum Beispiel sehr intensiv an Autosar, das sich aber im Moment mehr mit fahrzeugnahen Bereichen befasst, noch nicht so sehr mit Infotainment. Wir versuchen, die Gesamtarchitektur des Fahrzeugs mitzugestalten, und sehen im Dragon auch entsprechende Standard-Schnittstellen vor.

Wie sieht Ihre Zusammenarbeit mit den OEMs aus, welche Produkte sind konkret zu erwarten?
Sandhaus Das erste Produkt wird in Zusammenarbeit mit einem OEM 2008 auf den Markt kommen. Dieses Projekt beruht auf einer globalen Ausschreibung, und deswegen wird das Produkt auch in Fahrzeugen unterschiedlicher Marken weltweit vertrieben. Ab 2009 erwarten wir dann, unser Produkt mit voller Skalierbarkeit rentabel vertreiben zu können, das heißt, von der reinen Radiofunktionalität bis hin zur 3D-Navigation.

Autor(en): Gernot Goppelt

Suche: