ES2257492T3 - Procedimiento y dispositivo asi como unidad de control para la supervision de un sistema de bus. - Google Patents

Abstract

Procedimiento para la supervisión de un sistema de bus de vehículo (101-103) con al menos tres usuarios (100, 104, 105, 107, 108) para un vehículo con una unidad de accionamiento y con una zona del vehículo que se puede cerrar, en el que de los al menos tres usuarios del sistema de bus (101) exactamente un primer usuario (100) está configurado como usuario de orden superior y que inicia cada transmisión de datos sobre el sistema de bus, en el que al menos un segundo usuario (104) está configurado como elemento de una instalación de cierre del vehículo y al menos un tercer usuario (105) está dispuesto fuera de la zona del vehículo que se puede cerrar, caracterizado porque el primer usuario (100) supervisa la transmisión de los datos de tal forma que el primer usuario, en cada transmisión de datos sobre el sistema de bus (101-103), que no ha sido iniciada por él mismo, inicia medidas para impedir una transmisión de los datos.

Description

Procedimiento y dispositivo así como unidad de control para la supervisión de un sistema de bus.

Estado de la técnica

La invención se refiere a un procedimiento y a un dispositivo así como a una unidad de control para la supervisión de un sistema de bus de vehículo con al menos tres usuarios para un vehículo con una unidad de accionamiento y una zona del vehículo que se puede cerrar de acuerdo con el preámbulo respectivo de las reivindicaciones independientes 1, 12 y 13, de acuerdo con el documento DE 195 30 726 A1.

La conexión en red de aparatos de control, de dispositivos sensores y de dispositivos de actuación con la ayuda de un sistema de comunicación, es decir, de un sistema de bus, se ha incrementado en una medida drástica en los últimos años en la fabricación de automóviles modernos. En este caso, se consiguen efectos de sinergia a través de la distribución de funciones sobre varias unidades de control o dispositivos sensores o bien dispositivos de actuación. A este respecto, se habla de sistemas distribuidos. La comunicación entre diferentes usuarios de tales sistemas distribuidos tiene lugar cada vez más a través de un bus o bien de un sistema de bus. El tráfico de la comunicación sobre el sistema de bus, a través de mecanismos de acceso y de recepción así como los procesamientos de los errores son regulados a través de un protocolo.

Las arquitecturas de puertas futuras prevén una estructura conectada en red de todos los componentes eléctricos que se encuentran en ella.

La cerradura, los espejos, los elevalunas eléctricos y el elemento de mando, etc. son conectados en un sistema de bus y son activados por un aparato de control central o bien por una unidad de control central. Un sistema de bus de este tipo está constituido por una línea de datos, sobre la que se intercambian datos bidireccionalmente entre los usuarios conectados.

Un ejemplo de un sistema de bus de este tipo es el LIN (red de interconexión local, ver por ejemplo Speck, J. W.; Rajnák, A.: "LIN-Protokoll, Entwicklungswerkzeuge und Software-Schnittstelle für Lokale Datennetzwerke im Kraftfahrzeug"; Informes VDI 1547/2000, VDI-Verlag Dusseldorf (DE), 05.10.2000, páginas 227-250.), un bus maestro - subordinado, cuyos usuarios están conectados a través de una línea de bus lógica. A cada bus pertenecen como máximo un maestro y hasta 64 subordinados. Como medio de transmisión sirve una línea física de un hilo no blindado. El protocolo LIN divide el proceso de emisión y de recepción en dos tareas. La tarea maestra contiene la sincronización y el direccionamiento y la tarea subordinada contiene los datos. Ambas tareas -tarea maestra y tarea subordinada- están agrupadas en un cuadro de mensajes, el llamado cuadro de mensajes. Un maestro puede ejecutar tanto la tarea maestra como también la tarea subordinada. Cada transmisión de datos consta de un cuadro de mensajes (message frame), en el que se transmiten tanto las informaciones de sincronización como también las informaciones de datos. Al comienzo de cada mensaje o recado, el maestro emite una interrupción de la sincronización en la tarea maestra, la llamada SynchBreak, para sacar a los subordinados desde un posible estado de reposo y posibilitar la sincronización. A continuación se lleva a cabo entonces una información de sincronización pura así como una identificación, que describe el contenido de datos de cada cuadro de mensajes de una manera unívoca y de la misma manera reproduce de forma codificada la longitud de los datos siguientes.

De la misma manera que el ejemplo mencionado del bus LIN, existen una pluralidad de sistemas de bus, que se pueden emplear como conexión de la comunicación entre usuarios correspondientes, especialmente en estos sistemas distribuidos en arquitecturas de puertas. En este caso, la protección frente a acceso no autorizado a estos sistemas adquiere cada vez más importancia. En los sistemas de bus actuales en el automóvil, la mayor parte de los datos se transmiten de forma no protegida. Si se conecta la línea de bus desde un usuario no autorizado, entonces puede enviar instrucciones, que activan, por ejemplo, el desbloqueo del cierre centralizado o de otros sistemas de cierre y, por lo tanto, una apertura del vehículo. Por lo tanto, un problema grande planteado a la seguridad contra irrupción consiste en que se da la posibilidad de una alimentación externa del sistema de cierre o de la instalación de cierre o bien de partes de los mismos desde el exterior, es decir, desde fuera del compartimiento interior del vehículo que se puede cerrar, porque los usuarios del bus están dispuestos fuera de este compartimiento interior del vehículo que se puede cerrar y se posibilita a través de éstos o bien a través de las líneas de conexión que conducen allí una apertura del vehículo. Con la instalación de cierre o con el sistema de cierre se entienden en este caso todas las partes que impiden una penetración en el compartimiento interior del vehículo o bien en la zona del vehículo (espacio interior, espacio del maletero). A ellas pertenecen, además de las cerraduras, también los elevalunas eléctricos o bien los bloqueos correspondientes, etc.

De esta manera, se plantea el cometido de acondicionar un procedimiento y un dispositivo así como una unidad de control, que proteger frente a tal acceso no autorizado.

Ventajas de la invención

Este cometido se soluciona a través de un procedimiento de acuerdo con la reivindicación 1 y a través de un dispositivo de acuerdo con la reivindicación 12 así como a través de una unidad de control de acuerdo con la reivindicación 13 para la supervisión de un sistema de bus de vehículo con al menos tres usuarios para un vehículo con una unidad de accionamiento y una zona del vehículo que se puede cerrar, en el que de los al menos tres usuario del sistema de bus exactamente un primer usuario está configurado como usuario de orden superior o maestros y que inicia cada transmisión de datos sobre el sistema de bus, en el que al menos un segundo usuario está configurado como elemento de una instalación de cierre del vehículo y al menos un tercer usuario está dispuesto fuera de la zona del vehículo que se puede cerrar. De una manera más ventajosa, el primer usuario, es decir, el maestro o bien la unidad de control, supervisa la transmisión de los datos de tal forma que el primer usuario, en cada transmisión de datos sobre el sistema de bus, que no ha sido iniciada por él mismo, inicia medidas que impiden una transmisión de estos datos.

En una configuración ventajosa, el primer usuario, es decir, el maestro o bien la unidad de control, supervisa la transmisión de datos de tal forma que en al menos un estado determinado de funcionamiento del vehículo, el primer usuario, con cada transmisión de datos sobre el sistema de bus, inicia medidas que impiden una transmisión de estos datos.

En una configuración ventajosa, en cada transmisión de datos sobre un sistema de bus, se transmite una identificación, estando asociada la identificación de una manera unívoca a uno de los al menos tres usuarios o estando asociada de una manera unívoca a los datos que pueden proceder exclusivamente desde uno de los al menos tres usuarios. En este caso, todas las identificaciones están reservadas en el usuario de orden superior, es decir, en el maestro para comparación, en el que en caso de igualdad de la identificación de una transmisión de datos con una identificación, que está disponible en el usuario de orden superior, se impide una transmisión de los datos a través del usuario de orden superior, es decir, a través del maestro.

De una manera más ventajosa, al menos un estado de funcionamiento es un modo de disponibilidad asegurado del vehículo, de tal forma que el vehículo, es decir, especialmente la zona del vehículo, está cerrado y la unidad de accionamiento no está en servicio. En este caso, no se excluye una actividad sobre el sistema de bus, iniciada a través del maestro, sino que está presente, en general.

En una configuración ventajosa, el impedimento de la transmisión de los datos se lleva a cabo porque los datos a transmitir son destruidos al menos en parte a través del usuario de orden superior, es decir, a través del maestro o bien de la unidad de control, En este caso, los datos a transmitir se pueden destruir de una manera más conveniente porque los datos son sobrescritos con una señal de datos dominante para el sistema de bus. De la misma manera, los datos a transmitir se pueden destruir a través del usuario de orden superior, es decir, a través del maestro, porque todo el sistema de bus se coloca en potencial de masa y de esta manera se bloquea una transmisión de los datos.

En un desarrollo ventajoso, después de un tiempo de espera, el usuario de orden superior anulará el bloqueo de la transmisión de los datos y supervisará de nuevo si se lleva a cabo una transmisión de los datos, que no ha sido iniciada por él, siendo bloqueada entonces de nuevo la transmisión de los datos, en el caso de que esto suceda, y en el otro caso de que no exista, por lo tanto, una transmisión de datos iniciada a través del maestro, se anulará el bloqueo y se transferirá al estado normal.

En una forma de realización preferidas, en el sistema de bus se trata de un sistema de bus LIN.

A través de las ventajas y características mencionadas anteriormente se consigue de una manera ventajosa una seguridad elevada frente a irrupción y el hecho de que no es posible una apertura eléctrica de la cerradura desde el exterior. De una manera más ventajosa, tal influencia ajena se puede transferir a la instalación de alarma, reaccionando ésta entonces con alarma, es decir, con señalización (acústica u óptica así como con un mensaje a una central a través de radio móvil).

El objeto descrito de acuerdo con la invención posibilita de esta manera la evitación de una influencia ajena sobre la electrónica de la puerta, especialmente en el caso de un sistema de bus LIN desde el exterior y posibilita su señalización.

Otras ventajas y configuraciones ventajosas se deducen a partir de la descripción y de las características de las reivindicaciones.

Dibujo

La invención se explica en detalle a continuación con la ayuda del dibujo representado. El dibujo muestra una arquitectura de puerta en la zona interior del vehículo, en la que los usuarios individuales están conectados entre sí a través de una línea de bus o bien a través de un sistema de bus.

Descripción de los ejemplos de realización

La figura 1 muestra un aparato de control 100 montado en la zona del vehículo o bien en la zona interior del vehículo así como usuarios del bus montados en la zona interior de la puerta y, por lo tanto, de la misma manera en la zona interior del vehículo, con una cerradura 104, un elevalunas eléctrico 108 y un elemento de mando 107. En la zona exterior del vehículo está montado un espejo 105. Estos usuarios 100, 104, 105, 107 y 108 están conectados entre sí a través de una línea de datos o bien a través de un bus 101.

De la misma manera, está previsto conectados entre sí a través de una línea de masa común 103 y a través de una alimentación de tensión común U_{bat} 102.

En este caso, la línea de datos está diseñada especialmente bidireccional, lo que hace posible un intercambio directo de los datos entre el aparato de control 100 y los elementos individuales 105, 104, 107 y 108. La comunicación sobre el bus 101 se inicia a través de la unidad de control 100, que representa aquí el maestro del bus; es decir, que se inicia un cuadro de mensajes con una señal de sincronización o Synchbreak en el caso de la aplicación del bus LIN desde la unidad de control. En la tarea subordinada respectiva del usuario del bus respectivo, éste transmite entonces datos al maestro, es decir, a la unidad de control 100.

En una estructura conectada en red de este tipo, como la prevista aquí a modo de ejemplo, es posible, puesto que el espejo está conectado con la cerradura a través de un sistema de bus, desmontar el espejo como usuario del bus localizado fuera de la zona interior del vehículo y de esta manera llegar al sistema de línea, especialmente la línea de datos o bien el bus 101, en la puerta. Esto se representa con el bloque 106. Además de un espejo como usuario del bus externo, también son concebibles acoplamientos de remolque o conexiones para el remolque, antenas eléctricas o similares como punto de ataque para el acceso no autorizado.

En este caso, se considera como parte de la instalación de cierre, además de la cerradura 104, de la misma manera un elevalunas eléctrico 108 o bien una parte de mando 107 correspondiente con bloqueo y similares; por lo tanto, todo lo que impide que se pueda acceder a la zona del vehículo, especialmente al espacio interior del vehículo.

Si se produce ahora una transmisión de datos, que no ha sido iniciada a través del maestro (en LIN se puede reconocer a través de SynchBreak, por ejemplo), esto sólo puede significar que existe una actuación ajena desde el exterior. Como consecuencia se impide una transmisión de datos a través del maestro. Por ejemplo, se sobrescribe de forma dominante la señal de datos iniciada a través del mismo, se destruye parcialmente, se invalida de otra manera o se consigue un bloqueo porque se coloca la línea de datos 101 en masa 103. Después de un tiempo de espera, se verifica entonces de nuevo si está presente una transmisión de datos no autorizada sobre el sistema de bus. Si éste es el caso, entonces se mantiene el bloqueo; si éste no es el caso, se anula el bloqueo y se abate la conexión a masa. Por lo tanto, a través de la invención es posible una supervisión de la línea de datos desde el aparato de control central o bien desde la unidad de control central 100 hacia los terminales en la puerta. Si un aparato electrónico extraño intenta ahora establecer una transmisión de datos sobre el bus, entonces se bloquea la comunicación de datos desde el aparato de control o bien desde la unidad de control 100.

Especialmente en el caso de una aplicación de bus LIN, se trata de una aplicación de maestro y subordinado, en la que la unidad de control representa aquí, como se ha indicado, el maestro y las electrónicas distribuidas de la cerradura, del elevalunas eléctrico, del espeso, del elemento de mando están diseñados como subordinados. Si debe activarse un subordinado, esto solamente es posible desde el maestro.

Si un maestro necesita datos de un subordinado, entonces esto solamente es posible a través de una consulta del mismo.

Si se deja el vehículo ahora en un estado de funcionamiento determinado, por lo tanto precisamente en un llamado modo de disponibilidad asegurado, con la zona interior del vehículo bloqueada o bien cerrada y la unidad de accionamiento 110 no activada, entonces solamente son consultados los usuarios del bus en la zona interior del vehículo a través del inicio de la comunicación desde el maestro, es decir, desde la unidad de control 100, sobre su estado. En un caso especial, cuando el vehículo está parado y cerrado, la cerradura es el único usuario del bus, que debe ser activado de forma cíclica para comunicar al maestro un desbloqueo mecánico o su estado actual para la función de la instalación de alarma con respecto a la instalación de alarma 109. Entonces cualquier señal, que no corresponde a la señal de la cerradura consultada o bien a las señales consultadas de los restantes usuarios de la zona interior, es decir, por ejemplo, del espejo reconocible a través de identificación, puede ser suprimida o bien destruida, por ejemplo a través de sobrescritura dominante y/o a través de la aplicación de la línea de bus en potencial de masa.

El puerto en serie de entrada y salida de datos de un microcontrolador en la unidad de control 100 puede espiar, además, la línea de bus de datos con preferencia durante las pausas de transmisión de los datos. Por lo tanto, en las fases, en las que no se lleva a cabo ninguna transmisión de datos iniciada por él. En el bus LIN, esto es ejemplo del espacio entre cuadros. Se reconocen entonces modificaciones no deseadas de la señal sobre el bus. En esta forma especial de la escucha de las pausas de transmisión de datos, esto puede significar que se lleva a cabo un acceso no autorizado en el caso de modificaciones de las señales.

Además, si una palabra de datos recibida corresponde a la de una dirección de un consumidor conectado en el bus, entonces se puede tratar con seguridad solamente de una influencia externa del sistema. En este caso, el aparato de control puede colocar la línea de bus de una manera activa en potencial de masa. Ahora ya no es posible una transmisión de datos sobre el bus. De esta manera, no se puede desbloquear ya eléctricamente la cerradura. Se puede enviar a la instalación de alarma 109 un mensaje, en el sentido de que existe un intento de irrupción, lo que implica una reacción correspondiente de la instalación de alarma.

Después de un tiempo de espera, el aparato de control puede ser consultado en el bus con respecto a una modificación de la señal. Si no se reconoce ninguna modificación de la señal, entonces se mantiene el estado bloqueado. Si es posible de nuevo una comunicación entre el maestro y el subordinado, se puede conmutar la unidad de control de nuevo al funcionamiento normal, es decir, que se puede anular el bloqueo.

Claims (13)

1. Procedimiento para la supervisión de un sistema de bus de vehículo (101-103) con al menos tres usuarios (100, 104, 105, 107, 108) para un vehículo con una unidad de accionamiento y con una zona del vehículo que se puede cerrar, en el que de los al menos tres usuarios del sistema de bus (101) exactamente un primer usuario (100) está configurado como usuario de orden superior y que inicia cada transmisión de datos sobre el sistema de bus, en el que al menos un segundo usuario (104) está configurado como elemento de una instalación de cierre del vehículo y al menos un tercer usuario (105) está dispuesto fuera de la zona del vehículo que se puede cerrar, caracterizado porque el primer usuario (100) supervisa la transmisión de los datos de tal forma que el primer usuario, en cada transmisión de datos sobre el sistema de bus (101-103), que no ha sido iniciada por él mismo, inicia medidas para impedir una transmisión de los datos.

2. Procedimiento según la reivindicación 1, caracterizado porque en al menos un estado determinado de funcionamiento del vehículo, el primer usuario, con cada transmisión de datos sobre el sistema de bus, inicia medidas con el fin de impedir una transmisión de los datos.

3. Procedimiento según la reivindicación 1, caracterizado porque con cada transmisión de datos sobre el sistema de bus, se transmite una identificación y se asocia la identificación de una manera unívoca a uno de los al menos tres usuarios, estando disponibles todas las identificaciones en el usuario de orden superior para la comparación y en caso de igualdad de la identificación de una transmisión de datos con una identificación que está disponible en el usuario de orden superior, se impide una transmisión de datos a través del usuario de orden superior.

4. Procedimiento según la reivindicación 2, caracterizado porque al menos un estado de funcionamiento corresponde a un modo de disponibilidad asegurado del vehículo, de tal manera que el vehículo, especialmente la zona del vehículo, está cerrado y la unidad de accionamiento no está en servicio.

5. Procedimiento según la reivindicación 1, caracterizado porque se impide una transmisión de datos, porque los datos a transmitir son destruidos al menos parcialmente a través del usuario de orden superior.

6. Procedimiento según la reivindicación 5, caracterizado porque los datos a transmitir son destruidos a través del usuario de orden superior porque los datos son sobrescritos con una señal de datos dominante para el sistema de bus.

7. Procedimiento según la reivindicación 5, caracterizado porque los datos a transmitir son destruidos a través del usuario de orden superior porque el sistema de bus se aplica sobre potencial de masa y de esta manera se bloquea una transmisión de datos.

8. Procedimiento según la reivindicación 7, caracterizado porque después de un tiempo de espera, el usuario de orden superior anula el bloqueo de la transmisión de datos y supervisa de nuevo si se lleva a cabo una transmisión de datos, que no ha sido iniciada por él, siendo bloqueada entonces de nuevo la transmisión de datos y siendo anulado en otro caso el bloqueo.

9. Procedimiento según la reivindicación 1, caracterizado porque el primer usuario supervisa, en las pausas de transmisión de datos, el sistema de bus para determinar las modificaciones de la señal y, en el caso de que aparezcan tales modificaciones de la señal, inicia medidas correspondientes.

10. Procedimiento según la reivindicación 1, caracterizado porque en el sistema de bus se trata de un sistema de bus LIN.

11. Procedimiento según la reivindicación 1, caracterizado porque en el caso de una evitación de la transmisión de datos sobre el sistema de bus a través del primer usuario, esto es transmitido a una instalación de alarma (109) en el vehículo.

12. Dispositivo para la supervisión de un sistema de bus de vehículo (101-103), para un vehículo con una unidad de accionamiento y con una zona del vehículo que se puede cerrar, en el que el sistema de bus presenta al menos tres usuarios (100, 104, 105, 107, 108), en el que de los al menos tres usuarios del sistema de bus exactamente un primer usuario (100) está configurado como usuario de orden superior e inicia cada transmisión de datos sobre el sistema de bus, estando configurado al menos un segundo usuario (104) como elemento de una instalación de cierre del vehículo, y estando dispuesto al menos un tercer usuario (105) fuera de la zona del vehículo que se puede cerrar, caracterizado porque el primer usuario (100) supervisa la transmisión de datos de tal forma que el primer usuario, con cada transmisión de datos sobre el sistema de bus (101-103), que no ha sido iniciada por él mismo, inicia medidas para impedir una transmisión de los datos.

13. Dispositivo (100) para la supervisión de un sistema de bus de vehículo (101-103), para un vehículo con una unidad de accionamiento y con una zona del vehículo que se puede cerrar, en el que el sistema de bus presenta al menos tres usuarios (100, 104, 105, 107, 108), en el que de los al menos tres usuarios del sistema de bus la unidad de control (100) está configurada como primer usuario de orden superior e inicia cada transmisión de datos sobre el sistema de bus, estando configurado al menos un segundo usuario (104) como elemento de una instalación de cierre del vehículo, y estando dispuesto al menos un tercer usuario (105) fuera de la zona del vehículo que se puede cerrar, caracterizado porque la unidad de control (100) supervisa la transmisión de datos de tal forma que ésta, con cada transmisión de datos sobre el sistema de bus, que no ha sido iniciada a través de la unidad de control, inicia medidas para impedir una transmisión de los datos.