ES2475191T3 - Entrada a través de un aparato de presentación con entrada táctil - Google Patents

Abstract

Procedimiento para una introducción relevante desde el punto de vista de la seguridad a través de un aparato de presentación con entrada táctil, en especial para una pantalla táctil, comprendiendo el procedimiento: la transmisión de datos de imagen a través de un línea (24) de datos de imagen desde una unidad (12) computadora a un aparato 14 de presentación con un componente de registro para el registro de diferentes entradas táctiles en el aparato de presentación; registro de una entrada (20) táctil por medio de la lectura (26) del componente de registro; caracterizado por la lectura del componente (16) de registro o de un componente de registro adicional para seleccionar un campo de vigilancia por medio de una unidad (30) de control conectada con la línea (24) de datos de imagen, correspondiéndose el campo de vigilancia con el campo parcial dentro del que tuvo lugar la entrada (20) táctil registrada; creación de un código de control en la unidad (30) de control para la parte de los datos de imagen previstos para su presentación en el campo de vigilancia y expendición, respectivamente lectura del código de control creado por la unidad (30) de control, en especial con el fin de provocar una reacción orientada hacia la seguridad.

Description

Entrada a través de un aparato de presentación con entrada táctil

El invento se refiere de una manera general a la entrada a través de un aparato de presentación con entrada táctil, usualmente un aparato de presentación asistido por una computadora y se refiere en especial a un dispositivo y a un procedimiento para el manejo relevante desde el punto de vista de la seguridad por medio de la entrada efectuada en un aparato de presentación de esta clase

Los aparatos de presentación, displays o pantallas, en especial un panel TFT, se dotan con frecuencia la posibilidad de manejo por medio de una entrada táctil. Con ello permiten un manejo intuitivo y ergonómico, generalmente por medio del contacto con el aparato de presentación, sin la utilización de un aparato de entrada separado, como es usual en las computadoras primitivas. Un ejemplo t�pico es la conocida pantalla táctil o “touchscreen” como elemento combinado de presentación y de entrada.

Estos aparatos de presentación y de manejo ya son utilizados entretanto para la introducción de datos relevante desde el punto de vista de la seguridad o al menos se desean para ello, que est�n preparados para ello, por ejemplo en el puesto del conductor de una locomotora de ferrocarriles o en el pupitre de mando del funcionamiento de un reactor. Sin embargo, el campo de aplicación no est� limitado a estos terminales multifuncionales, sino que también abarca otros dispositivos como los aparatos portátiles pequeños con pantallas táctiles, en especial tablets de PC o smartphones , que se utilizan cada vez más para el mando de máquinas o de instalaciones. As� por ejemplo, los tablets de PC también se utilizan entretanto en los puertos para el mando de las grúas para contendores.

La presentación pura totalmente exenta de una entrada táctil es sensible a errores y por ello no carece de reparos en las aplicaciones críticas desde el punto de vista de la seguridad. As� por ejemplo, los errores se pueden producir en cada uno de los diferentes componentes de la unidad computadora correspondiente, por ejemplo a causa de un microprocesador defectuoso, en el procesado gráfico, en los diferentes módulos de memoria, en la fuente de alimentación o en el sistema operativo utilizado, as� como en las bibliotecas utilizadas para la elaboración del software. Con el procedimiento para la representación de una información relevante desde el punto de vista de la seguridad según el documento WO 2011/003872 se propone una mejora manifiesta en este sentido, pero su doctrina únicamente configura con mayor seguridad la presentación.

Si, además de una representación de la información relevante desde el punto de vista de la seguridad, también se procede ahora a las entradas relevantes desde el punto de vista de la seguridad en un aparato de presentación y de entrada combinado, como por ejemplo una pantalla táctil se suman de una manera totalmente evidente otras fuentes de error. Las fuentes de errores potenciales representan fundamentalmente todo el hardware utilizado para la evaluación y el procesamiento de las entradas y los componentes del software. Por esta razón también es muy laborioso, en especial en las pantallas táctiles, un control de la seguridad para la certificación de un sistema completo correspondiente y siempre tiene que abarcar todos los componentes. Por ello, la aplicación práctica de una entrada cómoda para el usuario de datos relevantes desde el punto de vista de la seguridad es generalmente laboriosa y cara en las pantallas táctiles, como por ejemplo en el puesto del conductor de la unidad de tracción de una locomotora.

Cuando se utilizan unidades de presentación y de entrada combinadas es a pesar de ello es deseable, incluso en las aplicaciones menos críticas, asegurar, que la información registrada como introducida se corresponda exactamente con la elegida, respectivamente seleccionada por el usuario de manera consciente a través de la entrada.

Un objeto del presente invento es con ello proponer un dispositivo, respectivamente un procedimiento, que incremente de manera general la seguridad de un entrada efectuada en un aparato de presentación. La solución debe permitir en especial la identificación en lo posible de todos los errores potenciales durante la creación y el procesamiento y/o la transmisión de la información. Esto puede tener lugar en especial con la finalidad de generar en el caso necesario una acción orientada hacia la seguridad, como por ejemplo el rechazo de una entrada como no válida.

Este problema se soluciona con un procedimiento según la reivindicación 1, respectivamente un dispositivo según la reivindicación 8.

En una ejecución especialmente sencilla se soluciona ya este problema por el hecho de que, en relación con la presentación en un aparato de presentación conforme con el género indicado con entrada táctil tenga lugar la lectura, respectivamente el registro de la entrada táctil, con preferencia separada de la identificación convencional de la entrada de manejo eligiendo con ello en una unidad de control un campo de vigilancia, que se corresponda con una parte de la presentación dentro de la que tuvo lugar a entrada táctil registrada. Además, según el invento, la unidad de control propuesta est� conectada de manera directa o indirecta con la línea de datos de imagen hacia el aparato de presentación y crea desde el punto de vista de la seguridad de la técnica de computadoras un código de control para aquella parte de los datos de imagen previstos para la presentación en la zona de vigilancia elegida. Este código de control es expendido, respectivamente leído, en especial con el fin de provocar una reacción orientada hacia la seguridad.

Con ello ya es posible asegurar en los aparatos de presentación con entrada táctil, que se reconozca exactamente el accionamiento, respectivamente la entrada realizada realmente por el usuario, eventualmente también con independencia del lugar en el que esta se hallaba dentro de la presentación. Con la introducción de la unidad de control, respectivamente de su código de control es en especial posible, que las entradas, que por ejemplo no fueron

5 evaluadas como correctas en una computadora de seguridad, puedan ser rechazadas. Con el procedimiento propuesto se reduce considerablemente el coste de certificación de los sistemas críticos desde el punto de vista de la seguridad.

Las aplicaciones del invento críticas desde el punto de vista de la seguridad abarcan de una manera general, además de los ejemplos mencionados más arriba, todas las aplicaciones en el campo de la seguridad de peligros, 10 respectivamente de funcionamiento de máquinas y también de instalaciones (en inglés: safety), en especial aquellas con un alto potencial de peligro en caso de un manejo erróneo, como por ejemplo en el caso del mando de centrales eléctricas. Sin embargo, el invento también puede ser utilizado ventajosamente en el campo de la seguridad crítica de acceso, respectivamente autorización (en inglés: security), en especial en las instalaciones de procesamiento de datos y en los dispositivos, que requieran una autorización, como por ejemplo los cajeros automáticos. 15 Eventualmente se puede aprovechar el invento al mismo tiempo para fines de la seguridad de manejo y de la seguridad de acceso. Con la creación con la técnica de computadoras del código de control no se entiende en un sentido restringido el cálculo a base de una computadora Neumann, sino en el sentido más amplio la creación de una firma o de un “fingerprint” o de otros códigos en función de la datos de imagen en el campo de vigilancia elegido por el ,manejo. La creación de un código de control en la unidad de control tiene lugar con preferencia de manera

20 exclusiva o predominante con la técnica de circuitos y con ello casi sin retardo por medio de circuitos compuerta lógicos, por medio de un FPGA, como se propone en el documento WO 2011/003872.

En una forma de ejecución preferida se diseñan el procedimiento y el dispositivo para su realización para la transmisión a una computadora de seguridad del código de prueba creado con la unidad de control y de su valor determinado por la unidad computadora como introducido por medio de la entrada táctil en el aparato de 25 presentación. En la computadora de seguridad se crea entonces un valor de comparación equivalente al código de control, con preferencia por medio de una tabla Lookup (tabla de consulta con los valores de comparación asignados a los posibles códigos de control). Por comparación del valor registrado como introducido con el valor de comparación puede tener lugar, según el resultado de la comparación, una reacción orientada hacia la seguridad, en especial el rechazo del valor registrado como introducido. La reacción puede tener lugar en la unidad computadora

30 y/o en la computadora de seguridad o en cualquier otro lugar apropiado del sistema.

Un perfeccionamiento ventajoso comprende en primer lugar la presentación en el aparato de presentación de un elemento de accionamiento en un primer estado, el registro de un accionamiento del elemento de accionamiento, la elección del correspondiente campo de vigilancia por medio de la unidad de control y la transmisión a la computadora de seguridad de un primer código de control, que se corresponda con el elemento de accionamiento en 35 el primer estado. Para la confirmación y para el manejo seguro comprende este perfeccionamiento, además, la presentación a continuación del elemento de accionamiento en un segundo estado, que se corresponda con el elemento de accionamiento en el segundo estado, la transmisión correspondiente a la computadora de seguridad de un segundo código de control, que se corresponda con el elemento de accionamiento en el segundo estado y, finalmente, el control de si se recibe en la computadora de seguridad el segundo código de control correspondiente

40 al primer código de control recibido. Con ello puede tener lugar para una mayor seguridad la confirmación del valor registrado como introducido después de la recepción del segundo código de control esperado.

El procedimiento y los dispositivos según el invento para su realización también hacen posible, después de detectar un valor de entrada, que se corresponda con el código de control, por ejemplo por medio de una tabla de consulta el aprovechamiento del valor de entrada, que se corresponde con el código de control como valor introducido en la 45 unidad computadora y/o en la computadora de seguridad. Con otras palabras, no se retiene por la unidad computadora convencional como valor registrado como introducido, sino en lugar de ello se retiene el valor, que es transmitido por la unidad de control y su canal independiente. Esta ejecución hace posible aprovechar, en especial en las computadoras de seguridad críticas en tiempo real, la unidad de control según el invento para el registro de entradas para aplicaciones críticas en tiempo real. Esto se puede aprovechar de manera complementaria o

50 alternativa con la función de seguridad mencionada más arriba.

El dispositivo según el invento puede ser configurado como elemento separado para equipar una interfaz de usuario con construcción convencional o como componente integrado de ella.

En una ejecución barata se aprovecha para la determinación del campo de vigilancia la componente de registro, que ya forma parte de un pantalla táctil comercial. Con un segundo componente de registro redundante o con un 55 componente de registro adicional se puede obtener una mayor seguridad y/o capacidad de ampliación, por ejemplo con un sensor de película adicional. En el caso mencionado en primer lugar también se puede obtener una redundancia para incrementar la seguridad, por el hecho de que los componente de registro ya existentes sean leídos varias veces, eventualmente de manera desplazada en el tiempo, aprovechando la lectura adicional para definir el campo de vigilancia. El componente redundante de registro ya incrementa en el segundo caso la seguridad 60 por medio de un canal de lectura independiente. De manera alternativa o complementaria se puede obtener un aumento de la seguridad por medio de uno o de varios circuitos de control redundantes, respectivamente por medio de controladores de sensor en el /los componente(s) de registro. Además, es posible un aumento adicional de la seguridad creando de manera alternativa o complementaria para la redundancia de varios campos de vigilancia del mismo objeto de control códigos separados y eventualmente con distintos procedimientos de codificación. Los campos de vigilancia se pueden interferir y en especial se pueden solapar en el caso de distintos procedimientos de 5 codificación. Esta última clase de redundancia es en especial ventajosa en el caso de una capacidad suficiente, respectivamente de un exceso de capacidad del hardware utilizado en la unidad de control para la codificación. Con los FPGA modernos y con tasas típicas de datos de imagen se pueden crear sin más varios códigos de control paralelos en el tiempo en un circuito. El aumento de la seguridad puede ser obtenido por medio de una combinación cualquiera de algunas o de todas las redundancias descritas más arriba dentro de la cadena activa. Sin embargo, la

10 redundancia en las cadenas activas sólo es necesaria generalmente en un punto de la cadena activa con una sensibilidad a errores especial. El acoplamiento directo de la unidad de control con un componente, que registre un contacto, ya da lugar a una mejora decisiva, ya que la operación de manejo puede ser controlada casi en tiempo real desde el punto de vista de la técnica de seguridad.

Para incrementar adicionalmente la seguridad se puede configurar el manejo con una presentación adecuada en el

15 sentido de una presentación múltiple, análoga aproximadamente a las consultas de confirmación conocidas en los sistemas operativos. Por lo tanto, puede ser conveniente prever un desarrollo en el que tenga lugar una lectura secuencial de los componentes de registro para la elección de varios campos de vigilancia correspondientes por medio de la unidad de control. En este caso, cada campo de vigilancia en la secuencia se corresponde con el campo parcial en el que tuvo lugar una de varias entradas táctil sucesivas. Para incrementar la seguridad se crea en la

20 unidad de control un código de control correspondiente para cada campo de vigilancia en la secuencia. Por medio de la expendici�n, respectivamente lectura de una secuencia o de una serie de códigos de control creados se puede asegurar, que se desea con seguridad precisamente el manejo realizado por el usuario.

Los errores de calibrado o de medición, que no son raros en las pantallas táctiles comerciales, pueden ser identificados con la ejecución de una de las secuencias con manejo múltiple descritas más arriba y eventualmente

25 pueden ser compensados. Una secuencia de control conveniente para detectar posibles errores en la lectura de los componentes de registro prev�, que la presentación presente en una serie prefijada de campos parciales los elementos de control a manejar y que la computadora de seguridad controle la recepción de una secuencia correspondiente de códigos de control.

Para evitar errores sistemáticos y/o errores de manejo por falta de la atención prestada o por comportamientos

30 rutinarios del usuario es ventajoso, que el manejo se configure con una disposición variable en el tiempo, con preferencia aleatoria, de determinados elementos gráficos del display. En lugar de la disposición convencional invariable en el tiempo, se presentan en el aparato de presentación en una posición, que varía aleatoriamente en el tiempo, elementos con el fin de la introducción táctil correspondiente. Debido a que los códigos de control se corresponden siempre de manera inherente y sin otra manipulación con el campo elegido y seleccionado realmente

35 por el usuario, no se produce durante el procesamiento un coste adicional a causa de esta modificación, respectivamente el carácter aleatorio de la presentación.

Para la redundancia y para la seguridad aumentada son con preferencia la unidad de control y/o la computadora de seguridad componentes independientes del sistema del aparato de presentación y de sus accesorios, en especial su unidad computadora.

40 La unidad de control propuesta también puede ser conectada de manera directa o indirecta con un dispositivo de registro de datos para perseguir las entradas táctiles. También se puede integrar en la unidad de control una impresora de datos. Con el almacenamiento sistemático de los códigos de control registrados es posible una reconstrucción eficiente desde el punto de vista de la técnica de datos del manejo de un aparato de presentación con entrada táctil.

45 El invento se presta en especial como primer equipamiento o como ampliación de un puesto de conductor, que posea un aparato de presentación con entrada táctil, en especial para una máquina de tracción en el tráfico ferroviario. Estos puestos de conductor pueden comprender entre otros un terminal multifunci�n, por ejemplo con interfaz conductor-vehículo para el sistema ETCS o CBCT, que resulta más cómodo para el usuario y barato con un aparato de presentación con entrada táctil, por ejemplo un a pantalla táctil. Con el equipamiento con el dispositivo

50 según el invento se hace posible la confirmación o el rechazo de un valor, que se registr� como introducido en el aparato de presentación con entrada táctil y con ello se incrementa de manera manifiesta la seguridad.

El invento se presta igualmente para una gran cantidad de otras aplicaciones en la seguridad de peligros o de acceso. As� por ejemplo, el pupitre de mando de una central eléctrica o de un puente de enclavamiento se puede proveer ventajosamente de un terminal multifunci�n mejorado según el invento, tanto como primer equipamiento,

55 como también como ampliación. El invento se presta de una manera general para cualquier terminal multifunci�n, que comprenda un aparato de presentación con entrada táctil para el manejo o el mando de un aparato, una máquina o una instalación. As� por ejemplo, también es posible mejorar con el invento aparatos de la técnica medicinal manejables de distancia

Adem�s, el invento también se presta para aparatos terminales en sistemas con seguridad de autorización, respectivamente de acceso, en especial para procesos bancarios. Los aparatos de presentación con entrada táctil también hallan una aceptación creciente en este sector, por ejemplo en los cajeros automáticos. Para la autorización por contacto tiene lugar en este caso una entrada, que es verificada con uno o varios códigos de control. La

5 transmisión puede tener lugar eventualmente a través de un canal de retorno independiente y/o más seguro. La verificación puede ser realizada como antes con una computadora de seguridad.

En el sector de la seguridad de autorización es especialmente ventajosa la combinación con una representación dispuesta de manera arbitraria de elementos gráficos, de los que el usuario debe realizar una elección correcta en un orden correcto, como por ejemplo las cifras de un código PIN por medio de un teclado numérico. La unidad de 10 control crea siempre de manera selectiva y con total independencia del diseño del aparato de presentación elegido un código de control para aquellas zonas de la imagen seleccionadas realmente por el usuario. Con ello se puede incrementar de manera manifiesta la seguridad contra abusos por terceros, en especial el “skimmimg”. Además, la transmisión del código de control desde la unidad de control puede tener lugar a través de un canal de retorno más seguro y/o cualquiera con independencia del sistema presente, por ejemplo también a través de un aparato de 15 telefonía móvil del usuario. El conocimiento de la representación generada realmente con mecanismos aleatorios adecuados ya no es necesario posteriormente en el sistema ligado de manera directa con la entrada táctil. Por lo tanto, este conocimiento puede ser eliminado en el sentido de una encriptaci�n en una sola dirección y, por lo tanto, tampoco puede ser intervenido por terceros. Además, con los parámetros, respectivamente procedimientos de codificación variables en el tiempo o con cualquier otra técnica de cifrado se puede evitar, que los códigos de control

20 permitan deducir la combinación secreta. Por medio de la representación aleatoria en el aparato de presentación, combinada eventualmente con elementos gráficos con poco contraste se pueden reducir, respectivamente dificultar considerablemente otros abusos en estos aparatos terminales.

Otros detalles, ventajas y características del invento se desprenden de la descripción de la figura en la que se describe un ejemplo de ejecución preferido del dispositivo según el invento para la realización del procedimiento

25 según el invento.

La figura única muestra la representación esquemática de un dispositivo según el invento para la entrada relevante desde el punto de vista de la seguridad a través de un aparato de presentación con entrada táctil.

En la figura se designa de una manera general con 10 una interfaz de usuario, respectivamente una HMI (Human Machine Interface). La HMI 10 es entendida aquí como un sistema formado por una unidad 12 computadora no 30 segura representada por un aparato 14 de presentación con pantalla táctil. El aparato 14 de presentación puede ser configurado en especial como pantalla táctil TFT y comprende como elemento integrado u n componente de registro designado de una manera general con 16 en la figura. Como componente 16 de registro se puede prever en especial un conocido sistema táctil con una tecnología adecuada, por ejemplo un sistema táctil resistivo o un sistema táctil capacitivo, de manera típica en forma de un sensor de película transparente sobre la superficie representada 35 del aparato de presentación. El componente 16 de registro sirve de sensor táctil, de manera típica para el registro de coordenadas dentro del plano del aparato 14 de presentación. La unidad 12 computadora posee un controlador 22 gráfico para la activación del aparato 14 de presentación a través de una línea 24 de imagen. El componente 16 de registro est� conectado a través de una línea 26 de sensor con un controlador 18 de sensor en la unidad 12 computadora para activar y leer el componente 16 de registro, de manera, que se pueda registrar y procesar una 40 entrada 20 táctil en la unidad computadora. La entrada 20 táctil puede abarcar en especial el accionamiento, por ejemplo por medio de un “toque” de un elemento 18 de display representado e n la presentación del aparato 14 de presentación. La HMI 10 puede ser configurada esencialmente según una construcción estándar conocida por medio de un PC como unidad 12 computadora con un software de presentación en s� conocido, que posea elementos 18 de manejo, como por ejemplo teclas, un teclado u otros elementos gráficos para el manejo (respectivamente 45 solicitud de manejo) sobre el aparto 14 de presentación. Un usuario querr� manejar, respectivamente activar y transmitir la correspondiente entrada por medio de una presión sobre la superficie de la presentación, respectivamente del componente 16 de registro en el punto correspondiente al contenido de información correspondiente al elemento representado. De manera típica se determina con ello por medio del controlador 28 de sensor la posición del contacto, por ejemplo en forma de coordenadas x, y, asignándola con ello en la unidad 12 50 computadora a un punto de la representación y con ello con al correspondiente elemento 18 de manejo del aparato 14 de presentación. Un software de aplicación apropiado transforma correspondientemente el fenómeno del contacto, es decir el accionamiento 20, en un contenido de información (por ejemplo presión sobre el símbolo de la tecla representado con la leyenda “D” significa, que se eligió el contenido “D” de información): este contenido de información se transmite por ejemplo en la forma de ejecución representada a un receptor para su procesamiento

55 ulterior , por ejemplo a través de un canal 38 de conexión a una computadora 40 de seguridad.

Entre la lectura de componente 16 de registro y un receptor, por ejemplo la computadora 40 de seguridad, se hallan diferentes fuentes potenciales de error, que pueden falsear la información realmente introducida, de manera, que por ejemplo no llega al receptor “D”, sino “B”. En aplicaciones con seguridad crítica de una HMI 10 , por ejemplo como terminal multifunci�n con interfaz conductor-vehículo (Driver–Machine-Interface) en una máquina de arrastre puede

60 tener esto consecuencias peligrosas e incluso fatales.

Por ello se propone aquí realizar una lectura, respectivamente evaluación adicional del componente 16 de registro o también de un componente adicional de registro (no representado) , cuyo resultado se evalúe por medio de un canal de retorno independiente. La lectura, respectivamente la evaluación tiene lugar en este caso con preferencia de manera totalmente separada e independiente, es decir de manera redundante. Además, se propone, que se genere

5 una firma, que se corresponda con el manejo leído, respectivamente un código de control (“A3F5d1xh” en la figura).

Para ello se prev� según el invento una unidad 30 de control, que como se desprende la figura 1, se conecta por un lado con la línea 14 de datos de imagen y, por otro, a través de un canal 34 de lectura con el componente 16 de registro o eventualmente con u n sensor de contacto adicional. La unidad 30 de control puede ser prevista directamente en la línea 24 de datos de imagen o estar conectada con ella a través de un línea de monitorización

10 (no representada). Correspondientemente se puede utilizar como canal 34 de lectura la línea 26 de sensor, pero con preferencia se prev�, sin embargo, un canal 34 de lectura en forma de una línea independiente adicional para obtener una evaluación totalmente independiente del componente 16 de registro integrado, respectivamente un componente de registro adicional.

Un entrada 20 táctil en el aparato 14 de presentación es evaluada con ello, por medio de un bloque 32 funcional

15 correspondiente con la unidad 30 de control según el invento, pero no para el registro de determinadas coordenadas, sino en el sentido de que a la entrada 20 táctil y con ello a un display 18 en el aparato 14 de presentación se asigne un determinado campo de vigilancia y se active en la unidad 30 de control. El bloque 32 funcional asume con ello la función de elegir un determinado campo de vigilancia, a saber el campo parcial de la presentación dentro del que se produjo la entrada 20 táctil registrada. Para ello se puede utilizar por ejemplo una

20 trama con mallas relativamente bastas, que subdivida la presentación del aparato 14 de presentación en sectores rectangulares, respectivamente teselas de imagen. Esto hace posible, además, en el caso de un componente de registro adicional, la utilización de una técnica de sensor más favorable. En una trama correspondiente de campos de vigilancia y con una presentación formateada de manera adecuada equivale cada símbolo de la pantalla, respectivamente elemento 18 del display (por ejemplo “tecla D” en la figura 1) a un elemento adicional de registro

25 rectangular. Este se halla en una posición relativa fija con relación al elemento 18 de display presentado. La presentación del elemento gráfico por medio de la unidad 12 computadora tendr� lugar, por lo tanto, para la conservación de la disponibilidad en una trama determinada, que se corresponda con la trama de los campos de vigilancia, que pueden ser seleccionados con la unidad 30 de control.

La unidad 30 de control genera, debido al campo de vigilancia elegido con el bloque 32 funcional, para este campo

30 parcial de la presentación, es decir para el elemento 18 de display y con ello para la entrada realizada una firma correspondiente, respectivamente un código de control unívoco correspondiente (por ejemplo “A35d1xh” en la figura),

Este código de control es transmitido al receptor por medio de un canal 35 de código representado en la figura por una computadora 40 de seguridad. Con la unidad 30 de control según el invento y con el canal 34 de lectura y el

35 canal 36 de código es posible con ello un canal de retorno independiente con una mayor seguridad, eventualmente con una mayor disponibilidad.

La computadora 40 de seguridad est� conectada igualmente de manera conocida por medio de un canal 38 de conexión con la HMI 10. Para mayor seguridad puede realizar la computadora 40 de seguridad por medio de la firma, respectivamente el código de control transmitido por la unidad 30 de control una comparación con el contenido 40 de información de una confirmación convencional, respectivamente de un valor determinado por la unidad 12 computadora como introducido para identificar posibles errores. Si, por ejemplo, la unidad 12 computadora devuelve un valor distinto del registrado como valor, que se corresponde con el código de control generado por la unidad de control, el receptor identifica este error, por ejemplo en la computadora 40 de seguridad. Para la comparación antes mencionada se define en la computadora 40 de seguridad un valor de comparación, que se corresponda con el 45 código de control y que de manera típica equivale al elemento 18 de display presentado en el campo de vigilancia, que fue “codificado”, respectivamente “firmado” por la unidad 30 de control. Esto puede tener lugar de manera eficiente por ejemplo por medio de una tabla 42 de consulta almacenada en la computadora 40 de seguridad. El resultado de la comparación hace posible numerosas reacciones dirigidas hacia la seguridad, en especial, sin embargo, el accionamiento o en el caso de un error el rechazo del valor definido introducido por la unidad 12

50 computadora. La reacción en s� puede tener lugar en la unidad 12 computadora y/o en la computadora 40 de seguridad o en cualquier otro punto del sistema.

Como técnica de codificación para generar códigos para datos de imagen se utiliza con preferencia en la unidad de control una solución según el documento WO 2011/003872 A1, que genera firmas características y unívocas del elemento 18 de display elegido por el usuario a través de la entrada 20 de manejo. La divulgación del documento

55 WO 2011/003872 referente al procedimiento de codificación es abarcada aquí al ser remitid a ella.

El dispositivo según la figura también puede ser aprovechado para utilizar el código de control generado por la unidad 30 de control en lugar del resultado de la unidad 12 computadora para identificar la entrada, que se activ�, respectivamente cual de los elementos 18 del display fue manejado. El código de control devuelto no es utilizado en este caso para una comparación, sino que, por ejemplo a través de la tabla 42 de consulta es transformado en el

60 valor (por ejemplo “tecla D”), que el sistema procesa después como valor introducido.

Para una mayor seguridad contra fenómenos aleatorios, que pueden ser generados por ejemplo por el componente 16 de registro, o para la visualización y la confirmación del manejo de las teclas para el usuario, se puede ampliar como sigue el aprovechamiento del procedimiento propuesto:

El usuario acciona un elemento 18 del display del aparato 14 de presentación (“tecla D”) presentado en primer lugar

5 en un primer estado (por ejemplo “Tecla no elegida”, respectivamente “tecla no presionada”). La unidad 30 de control, en especial el bloque 32 funcional, crea correspondientemente el campo de vigilancia y genera un código de control de acuerdo con la representación gráfica del elemento 18 del display en el primer estado. El código de control para el primer estado es transmitido a la computadora 40 de seguridad. Esta controla la corrección de la entrada por comparación o la utiliza directamente como entrada, como se expuso más arriba, y envía una

10 confirmación de la recepción a la HMI 10. La HMI 10 modifica entonces la presentación del elemento 18 del display de un primer estado a un segundo estado (por ejemplo “tecla seleccionada”, respectivamente “tecla presionada”). El código correspondiente para ello también es generado a continuación por la unidad 30 de control y es transmitido a la computadora 40 de seguridad, por ejemplo por medio de una repetición correspondientemente retardada de la codificación sin utilizar el bloque 32 funcional. La computadora 40 de seguridad puede vigilar con ello la confirmación

15 y eventualmente cerrar a continuación el proceso de manejo deseado como correcto.

De manera alternativa o complementaria para generar una reacción orientada hacia la seguridad también se puede conectar la unidad 30 de control por ejemplo a través del canal 36 de código con un dispositivo de registro de datos, respectivamente registrador de datos (no representado), que registrando el código de control hace posible el manejo en el aparato 14 de presentación para el seguimiento hacia atrás de la entrada 20 táctil realizada.

20 En otra configuración se puede prever, que la computadora 40 de seguridad se construya con capacidad de tiempo real, contrariamente a la unidad 12 computadora, cuyo funcionamiento se basa típicamente en la interrupción y/o la prioridad. En el presente caso se define la capacidad de tiempo real como la capacidad para poder cerrar un determinado cometido siempre y forzosamente dentro de un tiempo máximo determinado.

En las aplicaciones críticas desde el punto de vista del tiempo real se puede utilizar aprovechando la unidad 30 de

25 control del sistema 40 de seguridad según el invento como un valor de entrada registrado correspondientemente pero no para fines de seguridad, sino para fines críticos desde el punto de vista del tiempo real. Una posible aplicación crítica desde el punto de vista del tiempo real sería por ejemplo la activación de determinadas funciones del vehículo, que no son forzosamente relevantes desde el punto de vista de la seguridad. Dado que el tiempo necesario para generar un código de control y para la determinación de los correspondientes valores de entrada

30 puede ser relativamente pequeño no se presta sin más el dispositivo según el invento para funciones críticas desde el punto de vista del tiempo real, que no puedan ser garantizadas sin más por la unidad 12 computadora convencional. La función de tiempo real puede ser obtenida de manera complementaria o también adicional de la función de seguridad as� como con el primer equipamiento o por medio de una ampliación.

Como aspecto adicional se puede prever, que determinados errores, en especial errores de calibrado, sean

35 identificados y/o evitados en la lectura 34 del componente 16 de registro. Determinados tipos de componentes/sensores 16 de registro poseen un modo de error en el punto de contacto es expendido sistemáticamente de manera errónea. Estos errores pueden ser debido en especial a la lectura analógica de, por ejemplo, valores de resistencia para el registro de las coordenadas X e Y de la posición del contacto. As� por ejemplo, puede tener lugar en vez de la posición x, y real permanentemente de manera errónea la expendici�n de

40 x+Offset 1 y+Offset 2, siendo “Offset 1” y “Offset2” errores sistemáticos de calibrado o de medición.

Con ello se pueden identificar tanto la HMI 10, como también la computadora 40 de seguridad por igual a través de lo dos canales separados un contenido no deseado de la información, cuando la unidad 30 de control se realiza con el componente 16 de registro conectado con el canal 34 de lectura y no con otro sensor de contacto independiente (no representado). Un “Common Mode Error” puede surgir también, cuando dos sensores separados, pero con

45 construcción idéntica son utilizados como componente 16 de registro y como sensor de contacto independiente.

Para detectar los errores de esta clase y eventualmente también para su compensación es posible controlar, respectivamente supervisar el calibrado. Esto puede tener lugar por el hecho de que en la inicialización del sistema y eventualmente también de manera cíclica después de determinados intervalos de tiempo, por ejemplo en el marco del mantenimiento, se ejecute una secuencia de prueba o de control. En la secuencia de control muestra la 50 presentación sucesivamente en una sucesión invariable prefijada de campos parciales los elementos de control, que deben ser manejados por el usuario. El correspondiente manejo es controlado por la computadora 40 de seguridad por el hecho de que la computadora 40 de seguridad controla la recepción de una secuencia en el tiempo de códigos de control, que se debe corresponder con la secuencia de los elementos de manejo previamente definida presentada. Si se confirma la secuencia correcta de los códigos de control en la computadora 40 de seguridad, se

55 finaliza el proceso de control como exitoso y el funcionamiento correcto (sin errores de calibrado) del componente 16 de registro y/o del sensor de contacto independiente queda garantizado.

De manera alternativa o complementaria se pueden evitar los errores de registro por el hecho de que los elementos de manejo críticos desde el punto de vista de la seguridad a registrar se presenten en el aparato 14 de presentación exclusivamente en las dos direcciones separadas entre s� por campos parciales distanciados por una separación dx, dy suficiente en las dos direcciones X e Y. La separación de seguridad en las dos direcciones dx, dy de las coordenadas se debe elegir siempre mayor que el correspondiente error de calibrado más grande, es decir dx > max(0ffset1) y dy > max(Offset2) para el componente 16 de registro utilizado. En el caso de un componente de registro adicional independiente de un tipo distinto se debe tener en cuenta siempre el error de calibrado más

5 grande. La ejecución citada en último lugar, se presta, sobre todo, para aplicaciones en las que la entrada de datos relevante desde el punto de visita de la seguridad se limita a unos pocos elementos seleccionables, es decir en el caso de que la entrada de datos relevante desde el punto de vista de la seguridad sólo requiera una superficie relativamente pequeña en el aparato 14 de presentación

Como otro ejemplo de ejecución se describir� finalmente la manera en la que una HMI 10 representada en la figura

10 con la unidad 30 de control según el invento también se presta para su aplicación en campos de la seguridad de acceso. Al menos la unidad 12 computadora y el aparato 14 de presentación forman en este caso parte de un cajero automático eventualmente no seguro (en inglés: ATM) para la retirada de dinero o para la ejecución de otras operaciones bancarias.

La unidad 12 computadora genera en la pantalla 14 táctil en calidad de elemento 18 del display, entre otro, teclas

15 numéricas de un bloque de cifras para la entrada de un PIN del usuario. En esta caso, la disposición de los elementos 18 del display tiene lugar de manera puramente aleatoria para cada entrada nueva y de acuerdo con una configuración no conocida previamente. Por lo tanto, también es imposible una repetición exacta del mismo diseño de los elementos 18 del display, en este caso por ejemplo las teclas 0-9 de cifras en la pantalla 14 táctil, al menos durante un tiempo limitado. Con ello ya se evita el conocido riesgo de una copia abusiva en el propio teclado de

20 cifras, por ejemplo cubriendo una película de sensor.

La entrada 20 táctil es realizada por un usuario atento de acuerdo con la disposición de los elementos 18 del diplay presentados actualmente. A través del canal 34 de lectura registra la unidad 30 de control directamente en el componente 16 de registro el campo de vigilancia del elemento 18 del display accionado realmente. Con ello se crea de una manera totalmente independiente de la disposición puramente aleatoria elegida, respectivamente del diseño

25 de la presentación y de manera inherente por la unidad 30 de control un código de control, que se corresponde con el elemento 18 del display seleccionado realmente por el usuario. El conocimiento de la representación en la pantalla 14 táctil realizada en cada caso individual no se tiene que hallar en la unidad 12 computadora ni el la computadora 40 de seguridad. Este conocimiento posterior también debería ser evitado para incrementar la seguridad.

Los códigos de control registrados por la unidad 30 de control se utilizan después para la determinación unívoca de

30 la entrada del PIN realizada y son transmitidos a través de un canal 36 de códigos independiente y seguro a la computadora 40 de seguridad del banco o del gestor de las tarjetas. Como canal 36 de retorno también se podría aprovechar un canal independiente del cajero automático, por ejemplo un canal GSM de telefonía móvil a través del teléfono móvil del usuario. El registro usual de acuerdo con el actual estado de la técnica de las entradas 20 táctiles realizadas por medio de la unidad 12 computadora posiblemente manipulada del cajero automático es con ello al

35 menos desde el punto de vista del PIN nulo y, por lo tanto, tampoco puede ser copiado, respectivamente escuchado.

De manera análoga con el ejemplo de ejecución descrito anteriormente también se puede utilizar la unidad 30 de control en una disposición según el invento de manera análoga para incrementar la seguridad de otras entradas de datos, por ejemplo en negocios realizados a través de Internet, como el “Online Banking”.

LISTA DE SÍMBOLOS DE REFERENCIA

10

Human-Machine-Interface (HMI)

12

Unidad computadora

14

Aparato de presentación con entrada táctil (por ejemplo pantalla táctil)

5

16 Componente de registro/sensor (por ejemplo “touch”)

18

Elemento del display

20

Entrada táctil

22

Controlador gráfico

24

Línea de datos de imagen (por ejemplo LVDS)

10

26 Línea de sensor

28

Controlador de sensor

30

Unidad de control

32

Bloque funcional (“selección de campos)

34

Canal de lectura

15

36 Canal de código

38

Canal de conexión

40

Computadora de seguridad

42

Tabla de consulta

Claims (14)

1. REIVINDICACIONES

   1. Procedimiento para una introducción relevante desde el punto de vista de la seguridad a través de un aparato de presentación con entrada táctil, en especial para una pantalla táctil, comprendiendo el procedimiento:

   la transmisión de datos de imagen a través de un línea (24) de datos de imagen desde una unidad (12) computadora 5 a un aparato 14 de presentación con un componente de registro para el registro de diferentes entradas táctiles en el aparato de presentación;

   registro de una entrada (20) táctil por medio de la lectura (26) del componente de registro;

   caracterizado por

   la lectura del componente (16) de registro o de un componente de registro adicional para seleccionar un campo de

   10 vigilancia por medio de una unidad (30) de control conectada con la línea (24) de datos de imagen, correspondiéndose el campo de vigilancia con el campo parcial dentro del que tuvo lugar la entrada (20) táctil registrada;

   creaci�n de un código de control en la unidad (30) de control para la parte de los datos de imagen previstos para su presentación en el campo de vigilancia y

   15 expendici�n, respectivamente lectura del código de control creado por la unidad (30) de control, en especial con el fin de provocar una reacción orientada hacia la seguridad.
2. 2. Procedimiento según la reivindicación 1, caracterizado por la transmisión (38) a una computadora (40) de seguridad de un valor registrado por la unidad (12) computadora como introducido por medio de una entrada táctil en el aparato de presentación;

   20 transmisión (36) a la computadora de seguridad del código de control creado por la unidad (30) de control; determinación de un valor de comparación correspondiente al código de control, con preferencia por medio de una tabla (42) “Lookup” (tabla de consulta) en la computadora (40) de seguridad;

   comparaci�n del valor determinado como introducido con el valor de comparación para formar un resultado positivo

   o negativo de la comparación con el fin de provocar una reacción orientada hacia la seguridad, en especial para

   25 desechar el valor determinado registrado en la unidad computadora y/o en la computadora de seguridad como introducido.
3. 3. Procedimiento según la reivindicación 2, caracterizado por la presentación en el aparato de presentación de un elemento de accionamiento en un primer estado,

   registro de un accionamiento del elemento de accionamiento por medio de una entrada táctil en el aparato de 30 presentación a través de la lectura del componente de registro;

   elecci�n por medio de la unidad de control del campo de vigilancia dentro del que tuvo lugar la entrada táctil ; transmisión a la computadora de seguridad de un primer código de control, que se corresponda con el elemento de manejo en el primer estado, que se representa en el campo de vigilancia;

   control para determinar si para el primer código de control se recibe en la computadora de seguridad el

   35 correspondiente segundo código de control con el fin de provocar una reacción orientada hacia la seguridad, en especial para confirmar o rechazar el valor determinado como introducido por la unidad computadora en la unidad computadora y/o en la computadora de seguridad.
4. 4. Procedimiento según la reivindicación 1 � 2, caracterizado por la determinación de un valor de entrada correspondiente al código de control, con preferencia por medio de una tabla “Lookup” (tabla de consulta);

   40 aprovechamiento del valor correspondiente al código de control como valor introducido en la unidad computadora y/o en la computadora de seguridad, en especial para una aplicación crítica desde el punto de vista del tiempo real en la computadora (40) de seguridad.
5. 5. Procedimiento según una de las reivindicaciones 1 a 4, caracterizado por la ejecución de una secuencia, que comprende:

   45 lectura (34) secuencial del componente de registro para la selección de varios campos de vigilancia con la unidad

   (30) de control, correspondiéndose cada campo de vigilancia de la secuencia con el campo parcial dentro del que tuvo lugar una de varias entradas (20) táctiles sucesivas;

   creaci�n de un código de control en la unidad (30) de control para cada campo de vigilancia en la secuencia y expendici�n, respectivamente lectura de una secuencia de códigos de control creados.

   50 6. Procedimiento según la reivindicación 5, caracterizado por la ejecución de la secuencia para la determinación de los posibles errores de calibrado durante la lectura (34) del componente (16) de registro y/o del componente de registro adicional, presentado el dispositivo de presentación los elementos de control a manejar en una serie prefijada de manera fija de campos parciales y controlando la computadora (40) de seguridad la recepción de la correspondiente secuencia de códigos de control.
6. 7. Procedimiento según una de las reivindicaciones 1 a 6, caracterizado por una disposición variable en el tiempo,

   5 con preferencia aleatoria, de determinados elementos (18) gráficos del display en el aparato de presentación con el fin de entradas táctiles correspondientes por medio del aparato de lectura.
7. 8. Dispositivo para una entrada relevante desde el punto de vista de la seguridad, que comprende

   un aparato (14) de presentación con entrada táctil, en especial a través de una pantalla táctil, con un componente

   (16) de registro para registrar diferentes entradas (20) táctiles en el aparato de presentación;

   10 una línea (24) de datos de imagen para la transmisión de datos de imagen de una unidad (12) computadora al aparato (14) de presentación,

   caracterizado por

   una unidad (30) de control conectada con la línea (24) de datos de imagen conectada con el componente (16) de registro del aparato de presentación o con un componente de registro adicional (34) para la selección de un campo 15 de vigilancia, correspondiéndose el campo de vigilancia con el campo parcial dentro del que tuvo lugar una entrada

   (20) táctil; y porque

   es apropiado para crear un código de control para la parte de los datos de imagen previstos para la presentación en el campo de vigilancia y para la expendici�n, respectivamente lectura del código de control creado, en especial para provocar una reacción orientada hacia la seguridad.

   20 9. Dispositivo según la reivindicación 8, caracterizado por una computadora (40) de seguridad, en especial una computadora (40) de seguridad con capacidad de tiempo real, conectada (38) con la unidad 12) computadora para la recepción de la transmisión de un valor registrado por la unidad computadora como introducido de manera táctil en el aparato de presentación y conectada (36) con la unidad (30) de control para la transmisión a la computadora de seguridad del código de control creado por la unidad de control, siendo apropiada la computadora de seguridad para

   25 registrar un valor de comparación correspondiente al código de control, con preferencia por medio de una tabla (42) de consulta.
8. 10. Dispositivo según la reivindicación 9, caracterizado por medios para la comparación del valor registrado como introducido con el valor de comparación para la formación de un resultado de comparación positivo o negativo con el fin de provocar una reacción orientada hacia la seguridad, en especial para rechazar el valor registrado como

   30 introducido en la unidad computadora y/o en la computadora de seguridad.
9. 11. Dispositivo según la reivindicación 10, caracterizado por medios en la computadora (40) de seguridad para el control de si para un primer código de control recibido en la unidad (30) de control se recibe de la unidad (30) de control un segundo código de control correspondiente con el primer código de control recibido en la unidad (30) de control con el fin de provocar una reacción orientada hacia la seguridad, en especial para confirmar o rechazar el

   35 valor determinado por la unidad (12) computadora como introducido en la unidad computadora y/o en la computadora de seguridad.
10. 12. Dispositivo según una de las reivindicaciones 8 a 11, caracterizado porque la unidad (30) de control y con preferencia la computadora (40) de seguridad se configura/n como componente del sistema independiente de la unidad (12) computadora del aparato de presentación.

    40 13. Dispositivo según una de las reivindicaciones 8 a 12, caracterizado porque la unidad (30) de control est� conectada con un dispositivo de registro de datos para almacenar los códigos de control creados.
11. 14. Dispositivo según una de las reivindicaciones 8 a 13, caracterizado porque para una redundancia, que incremente la seguridad,

    se prev� un componente de registro adicional con el que est� conectada la unidad (30) de control para la selección 45 de un campo de vigilancia;

    y/o se equipa el/los componente/s (16) de registro con dos circuitos de lectura separados, estando conectada la unidad (30) de control con un circuito de lectura distinto de la unidad (12) computadora; y/o al menos se prevén dos unidades (30) de control conectadas con la línea (24) de datos de imagen, que se prevén para la selección del correspondiente campo de vigilancia as� como para crear y expender, respectivamente leer un código de control

    50 para los datos de imagen en el correspondiente campo de vigilancia; y/o

    unidad (30) de control apropiada para el procesamiento en paralelo, que pueda crear códigos de control para varios campos de vigilancia en un procesamiento en paralelo, que comprenda en especial una FPGA, un DSP y/o varios microcontroladores.
12. 15. Puesto de conductor de un vehículo, en especial una máquina de tracción, que comprende un terminal (10) multifuncional, que posea un aparato (14) de presentación con entrada táctil, caracterizado por un dispositivo según una de las reivindicaciones 8 a 14 Para la confirmación o el rechazo relevante desde el punto de vista de la seguridad de un valor, que se registr� como introducido por medio de una entrada táctil en el aparato de

    5 presentación.
13. 16. Terminal (10) multifuncional para el mando de una aparato, una máquina o una instalación, en especial el pupitre de mando de un puesto de enclavamiento, que comprende un aparato (14) de presentación con entrada táctil, caracterizado por un dispositivo según una de las reivindicaciones 8 a 14 para la confirmación o el rechazo relevante desde el punto de vista de la seguridad de un valor, que se registr� como introducido por medio de una entrada táctil

    10 en el aparato de presentación.
14. 17. Aparato (10) terminal para un sistema con seguridad de autorización, en especial para operaciones bancarias, que comprende un aparato (14) de presentación con entrada táctil, caracterizado por un dispositivo según una de las reivindicaciones 8 a 14 para la confirmación o el rechazo relevante desde el punto de vista de la seguridad de una entrada para su autorización, siendo transmitida la entrada en el aparato de presentación con entrada táctil por

    15 medio de uno o de varios códigos de control, eventualmente a través de un canal de retorno seguro y siendo verificada en especial por una computadora de seguridad.