ES2553445T3

ES2553445T3 - Procedimiento y dispositivo para controlar un sistema de automatización doméstica

Info

Publication number: ES2553445T3
Application number: ES10773609.2T
Authority: ES
Inventors: Enno Danke; Bernd Grohmann; Daniel Lux
Original assignee: EQ-3 AG; RWE Effizienz GmbH
Current assignee: EQ-3 AG; Innogy SE
Priority date: 2010-01-25
Filing date: 2010-10-22
Publication date: 2015-12-09
Anticipated expiration: 2030-10-22
Also published as: WO2011088909A1; EP2529511B1; PL2529511T3; EP2529511A1

Abstract

Procedimiento para operar un aparato de control central para un sistema de automatización doméstica con las etapas de a) recibir una solicitud de integración de aparato (INCLUSION_REQ 58) de un aparato nuevo (2), b) determinar al menos una identificación de aparato a partir de la solicitud de integración de aparato (INCLUSION_REQ 58), c) evaluar una autorización de aparato (62, 72), c1) cifrar una clave de red conocida en el aparato de control con una clave temporal, c2) enviar la clave de red cifrada con la clave temporal junto con la identificación de aparato a un servidor de servicio de clave, c3) recibir del servidor de servicio de clave la clave de red cifrada con una clave de aparato, cifrada con la clave temporal, d) emitir la clave de red (KEY_OFFER 64) cifrada con la clave de aparato, cifrada con la clave temporal como reacción frente a la autorización de aparato (62, 72).

Description

5

10

15

20

25

30

35

40

45

50

55

60

65

DESCRIPCION

Procedimiento y dispositivo para controlar un sistema de automatizacion domestica

El objeto se refiere a un procedimiento para operar un aparato de control central para un sistema de automatizacion domestica. Ademas, el objeto se refiere a un procedimiento para integrar un aparato en un sistema de automatizacion domestica. El objeto se refiere tambien a un aparato de control central para un sistema de automatizacion domestica y a un aparato para un sistema de automatizacion domestica.

Sistemas para la automatizacion domestica son bien conocidos. Asl, por ejemplo, bajo la denominacion EIB/KNX es conocido un sistema de automatizacion domestica alambrico en el que se intercambian mensajes mediante un bus de serie entre sensores y actuadores y se controlan consumidores electricos de manera correspondiente a reglas previamente establecibles (parametros). Sin embargo, un sistema de bus de este tipo requiere un cableado complicado que se puede realizar casi exclusivamente en una obra nueva.

Ademas es conocido tambien un sistema de automatizacion domestica de radio por el documento US 2005/0120246 A1 cuya unidad de control puede controlar mas de un aparato y es capaz de comunicarse de forma cifrada con estos mediante las claves publicas existentes en los aparatos.

En el reequipamiento de soluciones de automatizacion domestica en instalaciones electricas existentes son adecuadas en particular soluciones de radio de este tipo. A este respecto se comunican sensores y actuadores asl como ordenadores de control centrales mediante radiodifusion de alta frecuencia. Sin embargo, dado que en el reequipamiento no existe una alimentacion electrica en muchos puntos en los que se emplean sensores o actuadores, son necesarios al menos sensores autoalimentados con energla (por ejemplo, mediante baterlas, condensadores, etc.). Sin embargo, en los sensores autoalimentados, el consumo electrico es un criterio decisivo para la duracion de la operacion del sensor con una unica baterla. Sensores que se comunican de forma ininterrumpida con actuadores y ordenadores de control centrales o se comunican en intervalos regulares con los actuadores o los ordenadores de control centrales consumen una cantidad innecesaria de corriente. Por tanto, ya es conocido prolongar la vida util de la baterla por que se trasladan los aparatos a un modo de espera y solo en caso de una interaccion de usuario en el aparato se trasladan a un modo activo y emiten y reciben mensajes.

La comunicacion de los aparatos entre si y entre los aparatos y el ordenador de control central se debe realizar preferiblemente de forma cifrada. Esto es valido en particular teniendo en cuenta que, en caso contrario, se podrla influir mediante accesos por terceros en el control de un sistema de automatizacion domestica. Asl, por ejemplo, serla posible que se influya desde fuera en funciones de alarma. Tambien serla posible influir en funciones electricas fuera de un edificio mediante un software y un hardware adecuados sin que el usuario lo desee. Por este motivo, una comunicacion segura es un requisito casi obligatorio para un sistema de automatizacion domestica seguro y que funciona.

Sin embargo, una comunicacion segura es solo posible cuando una clave de red, con la que se cifran mensajes, es conocida por todos los usuarios de comunicacion y, dado el caso, solo es valida para un sistema de automatizacion domestica especial. Por tanto, es necesario que, en la integracion de un aparato en una red, este aparato reciba la clave de red.

Tambien puede ocurrir debido a una transmision por radio que varias redes de radio se encuentren al alcance de un aparato nuevo. De este modo, las redes de radio pueden influir unas en otras cuando ninguna clave de red asegura la respectiva red de radio.

Adicionalmente, algunos aparatos se encuentran habitualmente en el modo de espera y solo se activan clclicamente de forma sincronizada en el caso de acciones de usuario o por una rafaga de activacion para ahorrar energla. A diferencia de los mecanismos establecidos tales como, por ejemplo, en el caso de WLAN, habitualmente, los aparatos no tienen una interfaz de usuario con la que se puede seleccionar la red deseada o se puede introducir una clave.

Por este motivo, el objeto se baso en el objetivo de proporcionar un sistema de automatizacion domestica en el que se realice de manera fiable y de facil manejo para el usuario un intercambio de claves. En particular debe ser posible un intercambio de claves sin entrada de usuario, en particular sin entrada de usuario en el aparato. Ademas, el intercambio de claves debe ser posible con aparatos que habitualmente se encuentran en el modo de espera y que por motivos de consumo energetico no pueden estar activos permanentemente hasta el intercambio de claves.

Este objetivo se consigue de acuerdo con un aspecto mediante un procedimiento de acuerdo con la reivindicacion 1.

Se ha reconocido que la seguridad necesaria para la distribucion de una clave de red se puede garantizar cuando un aparato nuevo en una solicitud de integracion de aparato ya envla una clave temporal que se utiliza por el aparato de control central para cifrar y distribuir la clave de red. Dado que la clave de red posibilita el descifrado de todo el trafico de red, se debe evitar que aparatos no autorizados reciban esta clave. Por tanto, antes de que la clave de red

5

10

15

20

25

30

35

40

45

50

55

60

65

se transmita al aparato, por ejemplo, se puede solicitar una autorizacion por parte del usuario.

Tambien es posible visualizar al menos la identificacion de aparato en una pantalla tras la recepcion. Mediante la identification de aparato determinada en la etapa b) y, dado el caso, la visualization en la etapa c) de la identificacion de aparato, es posible para el usuario autorizar un aparato. Esto se puede realizar, por ejemplo, mediante una interfaz de usuario grafica de un aparato de mando. Por ejemplo, la interfaz puede ser una pagina HTML. Tambien se pueden realizar aplicaciones en un ordenador personal o aparato movil que posibilitan la autorizacion. Por ejemplo, una aplicacion puede ser una aplicacion Silverlight en un ordenador personal o aparato movil (Smart Phone, Tablet PC, etc.). Asimismo, la autorizacion se puede realizar sin interaction de usuario. Entonces no es necesario visualizar la identificacion. Tambien se puede realizar una visualizacion de modo que solo se visualiza que un aparato pretende integrarse sin visualizar la identificacion de aparato. Por regla general, un usuario sabe cuando ha conectado aparatos nuevos y, por tanto, puede autorizar la integration de estos aparatos nuevos sin conocer obligatoriamente la identificacion de aparato.

Por ejemplo, es posible que la identificacion de aparato sea un numero de serie. Mediante estas informaciones y mediante informaciones adicionales con respecto al aparato, por ejemplo, recibidas mediante Internet, que se pueden determinar mediante la identificacion de aparato, el usuario puede realizar una autorizacion activa.

Despues de que el aparato nuevo se haya autorizado en el aparato de control, el aparato de control envla una clave de red en la etapa d) en el marco de un mensaje KEY_OFFER. Con esta clave de red es posible el cifrado del trafico de red. Sin embargo, la clave de red se cifra en la emision con la clave temporal.

Con el procedimiento descrito se pueden registrar aparatos nuevos en el aparato de control central mediante una solicitud de integracion de aparato (INCLUSION_REQ) y, en el caso de una autorizacion con exito mediante un usuario, los aparatos nuevos reciben la clave de red en un mensaje KEY_OFFER.

Puede ocurrir que un aparato se traslade al modo de espera entre el mensaje a) y el mensaje d). En este caso, el aparato no recibe la clave de acuerdo con el mensaje d). Si se activa un aparato de este tipo mediante una interaccion de usuario, por ejemplo, un acontecimiento, entonces envla de nuevo el mensaje de acuerdo con la etapa a). En este caso ya existe una autorizacion y se puede enviar la clave de acuerdo con la etapa d) directamente a continuation de la recepcion de un mensaje de acuerdo con la etapa a) para asegurar que la clave se recibe por el aparato mientras que esta activado. Es decir, un mensaje de acuerdo con la etapa d) se puede enviar directamente tras la recepcion de una solicitud de integracion de aparato (la siguiente) como reaction frente a la autorizacion de aparato.

Un aparato puede ser un sensor y/o un actuador.

Un sensor puede ser, por ejemplo, un interruptor, un detector de movimientos, un palpador, un contacto de puerta, un termostato, un contacto de ventana, un sensor de imagenes, un sensor de claridad, un sensor de temperatura, un sensor binario, un microfono u otro dispositivo para detectar cambios medioambientales.

Un actuador puede ser en particular un rele, una valvula, un motor, un motor de ajuste, un amortiguador de la luz, un dispositivo de control de persiana, un interruptor, un emisor de senales, un emisor de senales infrarrojas, un emisor de senales acusticas, un elemento de mando, un terminal de information u otro aparato para realizar procesos de conmutacion, procesos de control, procesos de regulation u otras acciones y/o para emitir informaciones y estados.

Un aparato de control central (servidor, Smart Home Controller SHC) puede ser un ordenador dispuesto de forma central que asume funciones de control. Sin embargo, el aparato de control central tambien puede ser cualquier otro aparato configurado para distribuir una clave de red. As! se pueden ejecutar las funciones de dicho aparato de control "central", por ejemplo, tambien por un encaminador, un mando a distancia, aparatos de mando o cualquier otro aparato (sensor, actuador) en el entorno de automatization. El aparato de control central (servidor) puede procesar y emitir parametros para la configuration de sensores y actuadores. Asimismo, el servidor puede ser responsable de una gestion de claves de comunicacion central. En particular, el servidor puede ser responsable de una notification central de una clave de red. Por ejemplo, el servidor puede estar conectado con una red de area amplia. A este respecto, por ejemplo, es posible que el servidor este conectado mediante un encaminador correspondiente con una red de area amplia, por ejemplo, una red de area amplia basada en TCP/IP. En particular puede ser posible acceder al servidor mediante la red de area amplia y realizar de forma remota configuraciones. El servidor puede ser tal que solo se comunica con sensores y actuadores para fines de comunicacion. Ademas, el sistema de automatizacion domestica puede estar disenado de modo que se realiza una comunicacion entre sensores y actuadores para el control como reaccion frente a acontecimientos sin que el servidor este interconectado. De este modo se puede realizar una automatizacion domestica autonoma que tambien funciona sin un servidor. Sin embargo, esto solo es posible de manera segura cuando es conocida una clave de red para el cifrado de comunicacion en los aparatos.

Con el procedimiento descrito es posible intercambiar de manera fiable claves de red. Basicamente, un intercambio de claves no es seguro de forma criptografica, ya que para ello se tendrlan que utilizar un procedimiento tal como

5

10

15

20

25

30

35

40

45

50

55

60

65

DIFFIE-HELL-MANN o certificados. Sin embargo, en el procedimiento descrito, un posible atacante tiene que grabar en el momento correcto la clave temporal de la solicitud de integracion de aparato (INCLUSION_REQ), a continuacion, tras la autorizacion (temporalmente aleatoria) del aparato nuevo, grabar y descifrar el mensaje KEY_OFFER para as! obtener la clave de red. Estos dos momentos raros y aleatorios proporcionan una seguridad suficiente en el ambito de aplicacion privado.

Un aparato nuevo en el sentido de la reivindicacion 1 puede ser tanto un aparato nuevo que se integra en la red de automatizacion domestica como un aparato que se ha restablecido al estado de entrega. Tambien es posible que un aparato nuevo sea un aparato que se ha excluido del sistema de automatizacion domestica existente y se debe integrar de nuevo.

La determinacion de al menos una identificacion de aparato y de una clave temporal a partir de la solicitud de integracion de aparato, por ejemplo, tambien puede significar que solo la identificacion de aparato se determina a partir de la solicitud de integracion de aparato y, entonces, la clave temporal se genera en la centralita. En la siguiente etapa d), la clave de red se puede cifrar entonces con la clave temporal y, a continuacion, la clave de red cifrada se puede transmitir junto con la clave temporal (en el texto claro) al aparato. En este caso, la clave de red se cifra y la clave temporal se transmite en el texto claro. Sin embargo, un atacante no puede escuchar y tomar simplemente la clave de red cifrada sin conocimiento del protocolo de transmision sino que, por un lado, tiene que conocer el protocolo de transmision y, por otro lado, grabar la clave temporal que se envla conjuntamente en la transmision de la clave de red cifrada.

Para asegurar que la clave de red tambien se ha recibido en el aparato se propone de acuerdo con un ejemplo de realizacion ventajoso que la emision de la clave de red cifrada (KEY_OFFER 64) se realice directamente tras la recepcion de una solicitud de integracion de aparato de acuerdo con la etapa a) como reaccion frente a la autorizacion de aparato (62, 72) y/o que tras la emision de la clave de red se vigile la recepcion de un mensaje de acuse de recibo de clave (KEY_ACK). De este modo, el ordenador de control central puede vigilar si la clave de red realmente se ha recibido y descifrado en el aparato. El aparato responde con un mensaje KEY_ACK y, a continuacion, forma parte de la red.

En la etapa b) se transmite al menos la identificacion de aparato con ayuda de la solicitud de integracion de aparato. Esta identificacion de aparato se puede utilizar para la visualizacion y para la autorizacion.

En el marco de la autorizacion es posible que en el lado del ordenador de control se descifren una clave de red con la clave temporal que se ha generado en el aparato y se ha transmitido con la solicitud de integracion de aparato o que se ha generado en el lado del ordenador de control, una vez que se haya realizado una autorizacion de aparato y se haya autorizado el aparato. La clave de red cifrada con la clave temporal se puede cifrar entonces adicionalmente con una clave de aparato almacenada permanentemente en el ordenador de control. La clave de aparato se puede determinar en el lado del ordenador de control mediante la identificacion de aparato. La clave de aparato puede ser conocida tanto en el aparato como en el ordenador de control. A este respecto puede existir una asignacion unlvoca entre la identificacion de aparato y la clave de aparato. Se puede realizar en el ordenador de control mediante la identificacion de aparato un cifrado especlfico del aparato de la clave de red, en particular de la clave de red cifrada con la clave temporal. La clave de red cifrada as! con la clave temporal y/o la clave de aparato se puede transmitir al aparato. Ademas, la clave temporal se puede transmitir al aparato.

En la comunicacion entre el aparato y el ordenador de control se puede transmitir la clave temporal junto con la clave de red cifrada con la clave de aparato y la clave temporal en el texto claro al aparato. Incluso si se escuchara la clave temporal no se podrla realizar un descifrado de la clave de red, ya que esta esta cifrada ademas con la clave de aparato.

En el aparato se descifra a continuacion la clave de red cifrada con la clave de aparato y la clave temporal en primer lugar con la clave de aparato. La clave de aparato es conocida en el aparato y se puede utilizar para el descifrado, pero no se puede leer. A continuacion, la clave de red cifrada ahora ya solo con la clave temporal se puede descifrar con la clave temporal conocida en el aparato y la clave de red existe en el aparato para su uso adicional.

Para el descifrado de la clave de red o de la clave de red cifrada con la clave temporal es necesaria una clave de aparato individual. Por ejemplo, esta puede existir en un servidor/servicio de clave de aparato. Asl, por ejemplo, es posible que la clave de red cifrada con la clave temporal se transmita por el ordenador de control al servidor/servicio de clave de aparato. Ademas, la identificacion de aparato se transmite por el ordenador de control al servidor/servicio de clave de aparato. En el servidor/servicio de clave de aparato se determina una clave de aparato con ayuda de la identificacion de aparato. Con ayuda de la clave de aparato se descifra la clave de red cifrada con la clave temporal. La clave de red cifrada entonces con la clave de aparato y la clave temporal se transmite por el servidor/servicio de clave de aparato al ordenador de control y, desde all!, al aparato.

El servidor/servicio de clave de aparato puede ser un unico servidor de clave. Asimismo, el servidor/servicio de clave de aparato puede estar formado a partir de una pluralidad de servidores. Por ejemplo, el ordenador de control puede haber almacenado en un fichero de configuracion la direccion de al menos un servidor de clave. Tambien es posible

5

10

15

20

25

30

35

40

45

50

55

60

65

que sea conocido un servidor de clave central en el ordenador de control central, aunque el servidor de clave central retransmite solicitudes de ordenadores de control centrales de forma dinamica a servidores de clave adicionales para de este modo conseguir un control de carga.

Un aparato de control adicional que, por ejemplo, tambien habla recibido la solicitud de integracion de aparato y habla almacenado de forma intermedia la clave temporal y, a continuacion, intento incluir el aparato en la red propia mediante un mensaje KEY_OFFER, recibe del aparato, por ejemplo, un mensaje de rechazo de recepcion de clave (KEY_NAK). Por tanto, el usuario del segundo aparato de control recibe, por ejemplo, mediante una visualization una information de que el aparato se ha incluido en otra red.

Sin embargo, si el usuario del segundo aparato de control esta en posesion del aparato incluido en una red externa y si recibe un mensaje KEY_NAK, una vez que haya pretendido integrar el aparato, el propio usuario puede restablecer el aparato que se encuentra en su posesion al estado de entrega y, de este modo, eliminar la integracion en la red externa y realizar un nuevo intento de integracion.

De acuerdo con un ejemplo de realization ventajoso se propone que solo tras la recepcion del mensaje de acuse de recibo de clave se integra el aparato nuevo por el aparato de control en el sistema de automatization domestica. Con ello se asegura que el aparato de control central vigila el intercambio correcto de la clave de red con el aparato nuevo y solo en caso de un intercambio correcto integra el aparato en la red.

Para reducir el riesgo de que un aparato de control central no deseado reciba la solicitud de integracion de aparato o, tal como se describe a continuacion, un mensaje de busqueda de integracion (INCLUSION_DISCOVER), se propone de acuerdo con un ejemplo de realizacion ventajoso que el aparato de control central solo se habilite para recibir y/o evaluar mensajes de este tipo de un aparato nuevo mediante una activation de un modo de integracion. La activacion de un modo de integracion se puede realizar, por ejemplo, mediante interacciones de usuario, por ejemplo, mediante la apertura de un lado de integracion en el aparato de control.

Por ejemplo, es posible que un modo de integracion de este tipo permanezca activo durante un determinado intervalo de tiempo, por ejemplo, de 5 minutos, y, a continuacion, se desactive automaticamente. Dentro de este intervalo de tiempo, el aparato de control central puede evaluar solicitudes de integracion de aparato de los aparatos nuevos. Fuera de este intervalo de tiempo se pueden ignorar las solicitudes de integracion de aparato. Tambien es posible que se evaluen solicitudes de integracion de aparato mediante el aparato de control central y, en particular, que se determine la identification de aparato. Con ayuda de la identification de aparato es posible determinar si un aparato ya estaba integrado en la red y, dado el caso, se ha restablecido a los ajustes de fabrica. En este caso ya se realizo previamente una autorizacion del aparato y el ordenador de control conoce esta autorizacion. Al usuario se le puede ofrecer entonces rechazar la autorizacion y eliminar el aparato del sistema de automatizacion domestica, volver a integrar el aparato en el sistema de automatizacion domestica y, a este respecto, transmitir de nuevo la clave de red (preferiblemente cifrada) o tambien integrar el aparato como un aparato nuevo en el sistema de automatizacion domestica, pudiendo asignarse entonces al aparato otros parametros y ajustes. Tambien es posible que en el estado de entrega del sistema de automatizacion domestica esten asociados entre si el ordenador de control central y al menos un aparato. Es decir, en el ordenador de control central ya esta almacenada la identificacion de aparato del aparato asociado con este ordenador de control. En este caso se puede detectar mediante la identificacion de aparato que el aparato pertenece al dispositivo de control central. Una integracion se puede realizar entonces, por ejemplo, tambien fuera del modo de integracion. Tambien es posible que ya no sea necesaria una autorizacion, ya que el aparato ya esta asignado por fabrica al ordenador de control central.

De acuerdo con un ejemplo de realizacion ventajoso se propone que antes de la etapa a) se reciba en una etapa a0) un mensaje de busqueda de integracion (INCLUSION_DISCOVER) del aparato nuevo. Mediante la etapa a0) se activa un procedimiento de dos niveles que en primer lugar exige que los aparatos nuevos se den a conocer frente a aparatos de control centrales mediante un mensaje de busqueda de integracion. El aparato envla un mensaje de busqueda de integracion (INCLUSION_DISCOVER) tras la activacion de un modo de inclusion en el aparato para indicar que aun no tiene una clave de red y pretende ser incluido por un aparato de control en una red. Por tanto, preferiblemente, un mensaje de busqueda de integracion solo se emite por un aparato nuevo si se ha trasladado a un modo de integracion y aun no ha almacenado una clave de red.

Para posibilitar al aparato de control identificar el aparato nuevo que desea la integracion en la red se propone de acuerdo con un ejemplo de realizacion ventajoso que junto con el mensaje de busqueda de integracion se transmita una identificacion de aparato del aparato nuevo. Con ayuda de la identificacion de aparato, por un lado, es posible identificar el aparato nuevo. Por otro lado, es posible responder de forma dirigida a este aparato mediante la identificacion de aparato. As! se puede utilizar en la respuesta del aparato de control central la identificacion de aparato para direccionar el aparato que ha emitido el mensaje de busqueda de integracion.

De acuerdo con un ejemplo de realizacion ventajoso se propone que tras la etapa a0) y antes de la etapa a) se emita en una etapa a1) un mensaje de oferta de integracion (INCLUSION_OFFER) al aparato nuevo. Si un aparato de control se encuentra en el modo de integracion y recibe un mensaje de busqueda de integracion, el aparato de control responde con un mensaje de oferta de integracion (INCLUSION_OFFER). El mensaje de oferta de

5

10

15

20

25

30

35

40

45

50

55

60

65

integracion esta asignado preferiblemente mediante la identificacion de aparato de forma unlvoca a un aparato nuevo. Mediante el mensaje de oferta de integracion, el aparato de control senala al aparato nuevo que esta listo para emitir una clave de red. El aparato nuevo recibe mediante el mensaje de oferta de integracion la informacion de que el aparato de control tambien se encuentra en el modo de integracion y puede recibir una clave temporal. De este modo se asegura que las claves temporales solo se emiten por aparatos nuevos cuando realmente existen aparatos de control que en el modo de integracion pueden recibir la recepcion de la clave temporal en el marco de una solicitud de integracion de aparato (INCLUSION_REQ). De este modo se reduce el numero de las veces con las que se emite la clave temporal.

De acuerdo con un ejemplo de realizacion ventajoso se propone que la clave recibida en la etapa b) este formada a partir de al menos dos claves, siendo una primera clave una clave generada de forma temporal en el aparato que esta cifrada con una clave almacenada permanentemente en el aparato. La clave temporal se puede almacenar de forma intermedia en uno o varios aparatos de control. Por ejemplo, la clave temporal se puede generar de nuevo tras cada restablecimiento del aparato al estado de entrega para tambien garantizar la seguridad en el caso de una retransmision de aparatos. Sin embargo, para evitar que la clave temporal se escuche por una persona extrana, la clave temporal se puede cifrar con una clave almacenada de forma permanente en el aparato. Por ejemplo, una clave de este tipo almacenada de forma permanente en el aparato puede estar definida previamente en el proceso de produccion. Siempre que una clave previamente definida de este tipo no se de a conocer sino solo este almacenada en los aparatos y en los aparatos de control centrales, el cifrado de la clave temporal es seguro, ya que esta esta cifrada con la clave almacenada de forma permanente.

Tambien es posible que la clave temporal se intercambie en el texto claro entre el aparato y el aparato de control. Esto se puede realizar tanto en el marco de la solicitud de integracion de aparato por el aparato al aparato de control como en la emision de la clave de red cifrada como reaccion frente a la autorizacion de aparato por el aparato de control al aparato.

Un intercambio de claves seguro es posible, por ejemplo, con ayuda del servidor de clave. A este respecto, la clave temporal puede ser conocida en el aparato de control y en el aparato y se puede transmitir en el trayecto entre el aparato de control y el aparato en el texto claro. La clave de aparato es conocida solo por el aparato y el servidor de clave y no se transmite de forma no cifrada. Finalmente, la clave de red es conocida solo en el aparato de control y se debe dar a conocer al aparato, pero no al servidor de servicio de clave. Para conseguir esto, la clave de red conocida en el aparato de control se cifra en primer lugar con la clave temporal. A continuacion, la clave de red cifrada con la clave temporal se transmite al servidor de servicio de clave junto con la identificacion de aparato. Dado que el servidor de servicio de clave no conoce la clave temporal, no puede descifrar la clave de red. El servidor de servicio de clave cifra con la clave de aparato la clave de red cifrada con la clave temporal. Esta clave de red cifrada as! se transmite por el servidor de servicio de clave al aparato de control y, desde all!, se retransmite al aparato. En el trayecto de transmision entre el aparato de control y el aparato, la clave temporal se podrla haber escuchado. Sin embargo, dado que la clave de red en el trayecto entre el aparato de control y el aparato se ha cifrado adicionalmente con la clave de aparato, es imposible descifrar la clave de red tambien conociendo la clave temporal sin conocer la clave de aparato. Dado que la clave de aparato solo es conocida en el aparato y en el servidor de servicio de clave, un atacante no puede escuchar la clave de red. En el aparato es conocida la clave temporal. Esta se ha generado en el aparato o se ha transmitido en el marco del mensaje de acuerdo con la etapa d) en el texto claro. En el aparato se descifra entonces en primer lugar con la clave de aparato la clave de red cifrada con la clave temporal y la clave de aparato. A continuacion, la clave temporal se utiliza para descifrar la clave de red que ya solo esta cifrada con la clave temporal. En el aparato existe entonces la clave de red que se puede utilizar para la comunicacion adicional.

De acuerdo con un ejemplo de realizacion ventajoso se propone que la autorizacion de aparato se realice mediante una interaccion de usuario o por que se consulta una asignacion almacenada de forma central entre la identificacion de aparato y el aparato de control y, en el caso de un resultado de consulta positivo, se realiza automaticamente una autorizacion. Por un lado, es posible que se pueda realizar la autorizacion de forma controlada por el usuario. Para ello se puede visualizar la identificacion de aparato a un usuario en una pantalla y se puede invitar al usuario a autorizar el aparato correspondiente. Por otro lado, es tambien posible que se realice automaticamente una autorizacion. Asl, por ejemplo, una asociacion entre el aparato y el aparato de control ya se puede almacenar en un sistema loglstico. Por ejemplo, el cliente puede asociar el aparato de control correspondiente con el aparato nuevo al comprar un aparato, por ejemplo, al indicar un numero de aparato de control. Si se exige ahora una autorizacion, el aparato de control, por ejemplo, puede recurrir a asociaciones asl almacenadas mediante Internet y puede comprobar que el aparato nuevo esta asignado al aparato de control. Si este es el caso, se puede realizar una autorizacion automaticamente, es decir, sin una interaccion de usuario.

De acuerdo con un ejemplo de realizacion ventajoso se propone que el mensaje de oferta de integracion emitido en la etapa a1) incluya una identificacion de aparato de control y que la solicitud de integracion de aparato recibida en la etapa a) incluya la identificacion de aparato de control. Con la identificacion de aparato de control es posible para el aparato direccionar la solicitud de integracion de aparato al aparato de control.

5

10

15

20

25

30

35

40

45

50

55

60

65

De acuerdo con un ejemplo de realizacion ventajoso se propone que se active un modo de integracion del aparato de control mediante una interaccion de usuario y que solo en el modo de integracion se puedan recibir y/o evaluar mensajes de acuerdo con la etapa a0) y/o a) y/o que el modo de integracion se desactive tras un tiempo definido tras la interaccion de usuario. Tal como ya se describio anteriormente, mediante la activacion de un modo de integracion mediante una interaccion de usuario se evita que aparatos de control se encuentren en todo momento en el modo de integracion y, por tanto, se produzcan permanentemente situaciones de competencia entre dos aparatos de control que en realidad estan asignados a dos redes independientes.

De este modo, por ejemplo, a mensajes INCLUSION_DISCOVER de aparatos de control solo se responde si estan integrados en el modo de integracion, a mensajes INCLUSION REQ, por ejemplo, solo se responde si el mensaje INCLUSION REQ se ha recibido y evaluado en el modo de integracion y/o si ya ha tenido lugar previamente la autorizacion del aparato, lo que evita el riesgo de que se comuniquen claves de red falsas a aparatos nuevos.

Un aspecto adicional es un procedimiento de acuerdo con la reivindicacion 10.

Mediante este procedimiento es posible en el aparato nuevo solicitar una integracion en una red por un aparato de control central y recibir de manera segura una clave de red por el aparato de control central.

De acuerdo con un ejemplo de realizacion ventajoso se propone que antes de la etapa b) se emita en una etapa b0) un mensaje de busqueda de integracion. Con ayuda del mensaje de busqueda de integracion, el aparato nuevo senala frente a un aparato de control que desea integrarse en la red. Este mensaje de busqueda de integracion se emite preferiblemente en el modo de difusion de modo que todos los aparatos de control que se encuentran al alcance de comunicacion reciben este mensaje.

Para asegurar que el mayor numero posible de aparatos de control al alcance de comunicacion reciban un mensaje de busqueda de integracion de este tipo se propone que la etapa b0) se repita tras el acontecimiento en un numero previamente establecible. "Reintentos" de este tipo aumentan la perceptibilidad del mensaje y la posibilidad de que aparatos de control reciban este mensaje. Tambien se pueden realizar las etapas de acuerdo con a) en un numero o tiempo previamente establecido.

Para evitar que se realice una integracion por un aparato de control en cualquier momento, una vez que se emita un mensaje de busqueda de integracion, se propone de acuerdo con un ejemplo de realizacion ventajoso que de acuerdo con la etapa b0) se vigile en un tiempo previamente establecible la recepcion de un mensaje de oferta de integracion. Con ello se espera a un mensaje de oferta de integracion en un tiempo determinado despues de que se emita un mensaje de busqueda de integracion.

De acuerdo con un ejemplo de realizacion ventajoso se propone que, en el caso de que no se produzca el mensaje de oferta de integracion o un mensaje de integracion de aparato, el aparato se desactive (se traslade al modo de espera). Esto ahorra corriente, ya que, de este modo, el aparato solo tiene que esperar un tiempo determinado tras la interaccion de usuario a una respuesta de un aparato de control central.

De acuerdo con un ejemplo de realizacion ventajoso se propone que de acuerdo con la etapa b0) en una recepcion de un mensaje de oferta de integracion se envle la solicitud de integracion de aparato. Esto asegura que la clave temporal tambien se envla solo cuando al menos un aparato de control espera posiblemente la recepcion de una solicitud de integracion de aparato. Si el aparato dispone de una interfaz de usuario grafica, se puede enviar tambien de forma controlada por el usuario una solicitud de integracion de aparato a un aparato de control que se puede seleccionar. De este modo, el usuario puede seleccionar con que aparato de control se debe conectar el aparato.

De acuerdo con un ejemplo de realizacion ventajoso se propone tambien que el acontecimiento que activa el modo de integracion sea una interaccion de usuario, un encendido del aparato o un restablecimiento del aparato al estado de entrega, activandose, por ejemplo, el modo de integracion exclusivamente para el caso de que aun no se haya recibido una clave de red en el aparato.

De acuerdo con un ejemplo de realizacion ventajoso se propone que la clave de red se reciba junto con una identification de aparato de control. De este modo es posible en el aparato nuevo asignar la clave de red a un aparato de control y acusar el recibo de la clave de red al aparato de control.

Por este motivo se propone de acuerdo con un ejemplo de realizacion ventajoso que la clave de red recibida se confirme con respecto al aparato de control con un mensaje de acuse de recibo de clave (KEY_ACK) mediante el uso de la identificacion de aparato de control. Con ayuda de este mensaje, el aparato de control puede asegurar que la clave de red se ha recibido correctamente en el aparato nuevo.

De acuerdo con un ejemplo de realizacion ventajoso se propone que para el caso de que ya se haya recibido previamente otra clave de red se emita un mensaje de rechazo de recepcion de clave (KEY_NAK). Con ayuda de este mensaje, el aparato de control central puede determinar que el aparato nuevo ya se ha integrado por otro aparato de control. Para el usuario resulta de ello la ventaja de que puede controlar si se ha integrado un aparato

5

10

15

20

25

30

35

40

45

50

55

60

65

que es suyo por otro aparato de control. En un caso de este tipo, puede restablecer el aparato para iniciar un nuevo intento de integracion con el aparato de control propio.

Un aspecto adicional es un aparato de control central para un sistema de automatization domestica de acuerdo con la reivindicacion 14.

Un aspecto adicional es un aparato para un sistema de automatizacion domestica de acuerdo con la reivindicacion 15.

En la entrada del aparato se puede detectar un acontecimiento de acuerdo con el objeto. Un acontecimiento puede ser una interaction de usuario, por ejemplo, el accionamiento de un interruptor o palpador, un cambio de condiciones medioambientales, un movimiento, una apertura de una ventana, un cambio de temperatura u otro cambio de condiciones ambientales.

En la detection de un acontecimiento, el aparato, preferiblemente un aparato autoalimentado (operado por acumulador), se puede activar y se puede trasladar a un modo activo. De acuerdo con el objeto es posible que el aparato en el estado normal se encuentre en un estado de reposo (modo de espera). En este estado de reposo solo se vigila la entrada con respecto a la ocurrencia de un acontecimiento. Todas las demas funciones se pueden desactivar o se pueden mantener con una absorcion de potencia minima. En particular, la comunicacion mediante una interfaz de comunicacion puede estar suspendida en estos periodos de tiempo, de modo que ni se emiten senales ni se reciben senales. En la deteccion de un acontecimiento, el aparato se puede activar (cambiar al modo activo) de modo que el procesador se activa y se activa la interfaz de comunicacion para la comunicacion con el entorno.

Por ejemplo, el procesador puede ser un procesador digital de senales (DSP). Asimismo, el procesador puede ser un microcontrolador. El procesador puede ser cualquier microprocesador que esta configurado, por un lado, para evaluar senales de entrada y, por otro lado, para emitir senales de control.

Por ejemplo, la interfaz de comunicacion en un aparato o en el aparato de control puede ser un dispositivo para la comunicacion mediante una red inalambrica. Asimismo, la interfaz de comunicacion se puede comunicar mediante una red inalambrica. Por ejemplo, se puede realizar una comunicacion mediante LAN, WLAN, Bluetooth o similares. En particular, por ejemplo, la interfaz de comunicacion puede emitir mensajes con una frecuencia de 868 Mz con una clave de desplazamiento de frecuencia. En particular son posibles tasas de transmision de datos de 10 KB/s. Un protocolo de acceso puede ser, por ejemplo, un protocolo de acceso CSMA/CA.

La comunicacion mediante la interfaz de comunicacion puede ser una comunicacion bidireccional en un bus, en particular en un bus de radio. La interfaz de comunicacion puede estar configurada para cifrar los datos transmitidos. En particular, un cifrado simetrico puede estar asistido por la interfaz de comunicacion. En particular, un cifrado CCM o un cifrado CCM* puede estar asistido. En particular se puede utilizar un procedimiento de cifrado autenticado de acuerdo con la norma IEEE 802.11. Tambien es posible un procedimiento de cifrado ampliado de acuerdo con el modo de contador estandar de cifrado avanzado (AES/CCM) en el que se utiliza una cifra de bloque de 16 bytes. Para el cifrado simetrico puede ser posible que cada sensor, cada actuador y cada ordenador de control central (servidor) tenga un numero de serie. Tambien puede ser posible que el numero de serie de cada aparato sea conocido en una centralita. La comunicacion mediante la interfaz de comunicacion se puede realizar tanto en multidifusion como en unidifusion.

Los procedimientos anteriormente mencionados se pueden realizar tambien como programa informatico o como programa informatico almacenado en un medio de almacenamiento. A este respecto puede estar programado de manera adecuada mediante un programa informatico en el lado del sensor, en el lado del actuador y/o en el lado del servidor un microprocesador para realizar las respectivas etapas de procedimiento. Las caracterlsticas de los procedimientos y dispositivos se pueden combinar libremente entre si. En particular, caracterlsticas de las reivindicaciones dependientes omitiendo las caracterlsticas de las reivindicaciones independientes pueden ser inventivas por si solas o de forma libremente combinada entre si independientemente.

A continuation se explica en mas detalle el objeto mediante un dibujo que muestra ejemplos de realization.

La figura 1 La figura 2 La figura 3 La figura 4 La figura 5

muestra de manera esquematica un aparato que esta formado como sensor;

muestra de manera esquematica un aparato que esta formado como actuador;

muestra una estructura esquematica de un sistema de automatizacion domestica;

muestra el desarrollo de un procedimiento de acuerdo con un ejemplo de realizacion;

muestra el desarrollo de un procedimiento de acuerdo con un ejemplo de realizacion ejemplar adicional;

5

10

15

20

25

30

35

40

45

50

55

60

65

La figura 6 La figura 7 La figura 8 La figura 9 La figura 10 La figura 11 La figura 12

muestra el desarrollo de un adicional;

muestra el desarrollo de un adicional.

procedimiento

de acuerdo con

un ejemplo de un ejemplo de un ejemplo de un ejemplo de un ejemplo de un ejemplo de un ejemplo de

realizacion ejemplar realizacion ejemplar realizacion ejemplar realizacion ejemplar realizacion ejemplar realizacion ejemplar realizacion ejemplar

La figura 1 muestra de manera esquematica un sensor 2 con un campo de palpadores 4 que se utiliza como entrada para la deteccion de acontecimientos. En el sensor 2 esta dispuesto ademas un procesador 6 para evaluar los acontecimientos detectados en el campo de palpadores 4. En el sensor 2 esta prevista tambien una interfaz de radio 8 que se activa mediante el procesador 6. Mediante la interfaz de radio 8 es posible emitir y recibir mensajes mediante un protocolo de radio. La interfaz de radio 8 posibilita una comunicacion mediante una interfaz aerea. Ademas esta dispuesta en el sensor 2 una memoria 10. En la memoria 10 se pueden almacenar claves temporales y claves de red. Con ayuda del sensor 2 es posible registrar acontecimientos y convertirlos en mensajes correspondientes.

La figura 2 muestra un actuador 12. El actuador 12 tiene una salida 14 a traves de la que, por ejemplo, se pueden controlar consumidores electricos. Se puede apreciar que, en el ejemplo representado, la salida 14 esta conectada con un interruptor a traves del que se pueden cortocircuitear o desconectar contactos electricos en la salida 14. La salida 14 o el interruptor se activa mediante un procesador 16 que tambien esta dispuesto en el actuador 12. El procesador 16 esta conectado con una interfaz de radio 18. Mediante la interfaz de radio 18 se pueden intercambiar datos mediante la interfaz aerea, por ejemplo, con la interfaz de radio 8 y con un servidor central.

Finalmente esta dispuesta en el actuador 12 una memoria 20 en la que pueden estar almacenadas claves temporales y claves de red.

Los sensores 2 y los actuadores 12 mostrados en las figuras 1 y 2 se pueden emplear en un sistema de automatizacion domestica mostrado en la figura 3. La figura 3 muestra, por ejemplo, el entorno 26 de una casa o de un piso. En este entorno 26 esta previsto un encaminador 24 que proporciona una conexion de comunicacion con Internet 28 y puede emitir paquetes de datos a Internet 28 y recibir estos de Internet 28. Al encaminador 24 esta conectado un servidor 22 (Smart Home Controller, SHC). Mediante el encaminador 24, el SHC 22 puede intercambiar paquetes de datos con Internet 28. El SHC 22 puede establecer una comunicacion con los sensores 2 y con los actuadores 12 mediante una conexion de radio. La comunicacion puede ser bidireccional y se puede realizar como respuesta a solicitudes.

A Internet 28 esta conectada una unidad de gestion 30 central. La unidad de gestion 30 central puede iniciar una conexion con el SHC 22 mediante Internet 28 y el encaminador 24, por ejemplo, para realizar una configuracion de los sensores 2, de los actuadores 12 o del SHC 22.

La configuracion del SHC 22 y de los sensores 2 y de los actuadores 12 mediante Internet 28 se puede realizar, por ejemplo, por un ordenador personal 32a privado. Para ello, el ordenador personal 32a, por ejemplo, puede establecer una conexion mediante Internet 28 con la unidad de gestion 30 central y realizar una configuracion del SHC 22, del sensor 2 o del actuador 12 mediante la unidad de gestion 30 central. Este cambio de configuracion se puede transmitir entonces mediante Internet 28 por la unidad de gestion 30 central mediante el encaminador 24 al SHC 22. Tambien se puede realizar una configuracion, por ejemplo, mediante un telefono movil 32b, en la que el telefono movil 32b esta conectado mediante una pasarela 34 con Internet 28 y puede iniciar una conexion con la unidad de gestion 30 central mediante la pasarela 34.

Una comunicacion segura entre el SHC 22 y la unidad de gestion 30 central puede estar garantizada, por ejemplo, por que el SHC 22 establece un tunel de comunicacion a traves de Internet 28 con la unidad de gestion 30 central mediante el encaminador 24, una vez que el SHC 22 se conecte con el encaminador 24. Para ello, el SHC 22 solo debe conocer la direccion IP fija de la unidad de gestion 30 central y cifrar mediante una contrasena y una clave la

5

10

15

20

25

30

35

40

45

50

55

60

65

comunicacion con la unidad de gestion 30 central. Mediante esta conexion cifrada se puede realizar ahora una configuracion del SHC 22, del sensor 2 y del actuador 12 por la unidad de gestion 30 central. La configuration se puede controlar por el ordenador personal 32a o por el telefono movil 32b. Tambien es posible generar acontecimientos en el sensor 2 mediante el ordenador personal 32a y el telefono movil 32b para de este modo desencadenar determinadas acciones de los actuadores 12. Tambien se puede consultar as! el estado de los sensores 2 y de los actuadores 12.

La comunicacion entre el SHC 22, los actuadores 12 y los sensores 2 posibilita, por un lado, la configuracion de los sensores 2 y de los actuadores 12 y el control de consumidores electricos conectados al actuador 12 mediante los sensores 2. El control de actuador se regula mediante asociaciones entre un sensor 2 y actuadores 12 y tambien mediante parametros de sensor y/o parametros de actuador.

A los diferentes actuadores 12 se pueden conectar los consumidores electricos mas diferentes. En la configuracion del sensor 2 y de los actuadores 12 mediante el SHC 22 se puede reducir de acuerdo con el objeto el volumen de comunicacion con un sensor 2, de modo que el sensor 2 autoalimentado con energla consume la menor cantidad posible de energla. Por ejemplo, los actuadores 12 se pueden alimentar permanentemente con energla, por ejemplo, pueden estar conectados a una alimentation de corriente y, de este modo, pueden recibir y emitir permanentemente mensajes. Asimismo, los actuadores 12 pueden estar configurados de modo que reciben permanentemente mensajes y emiten en intervalos mensajes. Asimismo, los actuadores 12 pueden estar configurados de modo que pueden recibir permanentemente mensajes y solo emiten mensajes cuando sea necesario. El ahorro energetico se debe realizar principalmente en los sensores 2 que estan autoalimentados con energla.

La figura 4 muestra a modo de ejemplo los aparatos 2a-2e, 22 dispuestos en un entorno 26 de una casa. En la figura 4 se representa un usuario 34. Ademas se representa un servidor (ordenador de control central) 22 y un sensor 2a. Ademas se representan sensores adicionales 2b, 2c, 2d y 2e. Los sensores 2a-e podrlan ser tambien actuadores. El sensor 2a es un sensor 2a que se activa mediante una interaction de usuario. El sensor 2b es un sensor 2b que se activa de forma sincronizada. El sensor 2c es un sensor 2c que se activa clclicamente. El sensor 2d es un sensor 2d que se activa mediante una rafaga de activation y el sensor 2e es un sensor 2e que esta activado permanentemente. La comunicacion mostrada a continuation esta descrita solo de forma ejemplar para los sensores 2a y 2e, aunque se puede transferir de forma analoga tambien a los sensores 2b-2d.

Ademas se representa en la figura 4 un servidor 42 dispuesto fuera del entorno 26 y un segundo usuario 44.

En la figura 4 y tambien en las siguientes figuras se representan los mismos aparatos con los mismos numeros de referencia. Ademas, las figuras 4 a 12 muestran los diagramas de mensajes en un flujo de mensajes entre los aparatos que tiene lugar mediante la interfaz de comunicacion, preferiblemente, mediante una interfaz aerea.

Llneas continuas significan que los aparatos estan activos. Llneas discontinuas significan que los aparatos estan inactivos.

La figura 4 muestra un diagrama de mensajes en el que se integra un aparato que solo se activa mediante una interaccion de usuario en la red. Se puede observar que el usuario 34 active en primer lugar el sensor 2a 50. Tras una activacion 50 del sensor 2a, el sensor 2a emite mensajes INCLUSION_DISCOVER 52 en el modo de difusion. Es decir, el mensaje INCLUSION_DISCOVER 52 no se direcciona a ningun receptor determinado. El mensaje INCLUSION_DISCOVER 52 se puede recibir tanto en el primer aparato de control 22 como en el segundo aparato de control 44. En la primera emision del mensaje INCLUSION_DISCOVER 52, ni el primer aparato de control 22 ni el segundo aparato de control 42 se encuentra en un modo de integration, por lo que los aparatos de control 22, 42 no envlan respuestas. Por tanto, el mensaje INCLUSION_DISCOVER 52 se emite de forma sucesiva un determinado numero de veces, en el ejemplo mostrado dos veces, despues de lo cual el sensor 2a se vuelve a trasladar al modo de espera.

A continuacion, tal como se muestra en la figura 4, el primer aparato de control 22 se lleva al modo de integracion 54. A continuacion, el usuario 34 activa 50 el sensor 2a. A continuacion, el sensor 2a envla de nuevo un mensaje INCLUSION_DISCOVER 52. El aparato de control 22 recibe el mensaje INCLUSION_DISCOVER 52 y, dado que se encuentra en el modo de integracion, el aparato de control 22 responde al mensaje INCLUSION_DISCOVER 52 con un mensaje INCLUSION_OFFER 54. En el mensaje INCLUSION_OFFER 54 esta incluida la identification del aparato de control 22.

En cambio, el aparato de control 42 no se encuentra en el modo de integracion, por lo que no se envla por el aparato de control 42 una respuesta al mensaje INCLUSION_DISCOVER 52.

Tras la reception del mensaje INCLUSION_OFFER 56, el sensor 2a responde con un mensaje INCLUSION_REQ 58. En el mensaje INCLUSIOn_REQ 58 esta incluida, por un lado, la identificacion de aparato del sensor 2a y, por otro lado, una clave temporal.

5

10

15

20

25

30

35

40

45

50

55

60

65

La clave temporal se puede generar en la primera puesta en funcionamiento del sensor 2a. Tambien es posible que la clave temporal se genere de nuevo para cada mensaje INCLUSION_REQ 58. Tambien es posible que la clave temporal se cifre con una clave almacenada fijamente en el sensor 2a que tambien es conocida en el aparato de control 22.

Tambien es posible que la clave temporal solo se genere en el aparato de control y no en el sensor 2a.

El aparato de control 22 recibe el mensaje INCLUSION_REQ 58 y visualiza al usuario 34 mediante la identificacion de aparato incluida en el mensaje INCLUSION_REQ 58 en una pantalla la identificacion del sensor 2a 60.

En el ejemplo mostrado, el usuario 34 no reacciona frente a la visualizacion 60.

Dado que el sensor 2a aun no esta integrado en una red, emite de nuevo un mensaje INCLUSION_DISCOVER 52.

Tras un tiempo indeterminado, el usuario 34 autoriza 62 al sensor 2a. Tras la autorizacion 62, el aparato de control 22 envla un mensaje KEY_OFFER 64 en el que esta incluida una clave de red cifrada con la clave temporal. Junto con la clave de red cifrada se puede enviar la clave temporal (en caso de que este se haya generado en el aparato de control 22) en el texto claro. Tal como se puede apreciar en la figura 4, el sensor 2a se encuentra en este momento en el modo de espera y no puede recibir el mensaje KEY_OFFER 64. El aparato de control 22 espera a un mensaje KEY_ACK 68, aunque no recibe a este, ya que el sensor 2a se encuentra en el modo de espera y no emite un mensaje de este tipo.

En una interaccion de usuario 66 nueva al sensor 2a, este se activa. En este momento, el sensor 2a aun no ha recibido una clave de red y, a continuacion, emite de nuevo un mensaje INCLUSION_DISOVER 52. El mensaje INCLUSION_DISCOVER 52 se recibe en el aparato de control 22 y, mediante la identificacion de aparato incluida en el mensaje INCLUSION_DISCOVER 52, el aparato de control 22 puede determinar que el usuario 34 ya ha autorizado a este sensor 2a en la etapa 62. Por este motivo, el aparato de control 22 envla de nuevo un mensaje KEY_OFFER 64 al sensor 2a. El sensor 2a acusa recibo del mensaje KEY_OFFER 64 con un mensaje KEY_ACK 68.

A continuacion, el sensor 2a ha recibido la clave de red y el aparato de control 22 sabe que el sensor 2a tiene esta clave de red, con lo que el sensor 2a esta integrado en la red.

Tal como se puede apreciar en la figura 4, el aparato de control 42 no responde a ningun mensaje INCLUSION_DlScOVER 52, de modo que el aparato de control 42 no integra el sensor 2a.

La figura 5 muestra el desarrollo de una integration de un aparato, siendo el aparato en la figura 5, que se debe integrar, el sensor 2e que esta permanentemente listo para recibir. La figura 5 muestra que el modo de integracion del aparato de control 22 se activa mediante el usuario 34 54. A continuacion, el modo de integracion se activa en el sensor 2e 50. Por tanto, tanto el aparato de control 22 como el sensor 2e se encuentra en el modo de integracion. El desarrollo de las siguientes etapas se corresponde aproximadamente con el desarrollo descrito en la figura 4.

A un mensaje INCLUSION_DISCOVER 52 responde el aparato de control 22 que se encuentra en el modo de integracion con un mensaje INCLUSION_OFFER 56 que se responde por el sensor 2e mediante un mensaje INCLUSION_REQ 58.

El sensor 2e se visualiza al usuario 60. Siempre que el usuario no autorice al aparato, no se realiza una transmision de un mensaje KEY_OFFER 64. Es decir, el sensor 2e emite tras un determinado tiempo de nuevo un mensaje INCLUSION_DISCOVER 52. Tras un determinado tiempo puede occurir que el sensor 2e abandone el modo de integracion. A continuacion, el modo de integracion se debe activar de nuevo 50, despues de lo cual el sensor 2e emite de nuevo mensajes INCLUSION_DISCOVER 52.

Solo en la autorizacion 62 del sensor 2e mediante el usuario 34 en el aparato de control 22, el aparato de control 22 transmite un mensaje KEY_OFFER 64 al sensor 2e que acusa recibo con un mensaje KEY_ACK 68. A continuacion, el sensor 2e esta integrado en la red del aparato de control 22.

La figura 6 muestra el desarrollo de un procedimiento en el que tanto el aparato de control 22 como el aparato de control 42 se encuentra en el modo de integracion. Las etapas 50, 52 se corresponden con aquellas de acuerdo con la figura 4. A diferencia de la figura 4, el usuario 34 activa 54a el modo de integracion en el aparato de control 22 y el usuario 44 activa 54b el modo de integracion en el aparato de control 42.

Tal como se puede apreciar, tanto el aparato de control 22 como el aparato de control 42 envla tras la reception del mensaje INCLUSION_DISCOVER 52 en cada caso un mensaje INCLUSION_OFFER 56a y 56b. El sensor 2a recibe el mensaje INCLUSION_OFFER 56a del aparato de control 22 y envla al aparato de control 22 un mensaje INCLUSlON_REQ 58a con la clave temporal. El sensor 2a recibe tambien el mensaje INCLUSION_OFFER 56b del aparato de control 42 y envla al aparato de control 42 un mensaje INCLUSION_REQ 58b tambien con la clave

5

10

15

20

25

30

35

40

45

50

55

60

65

temporal.

Tanto el aparato de control 22 como el aparato de control 42 visualiza al usuario el sensor 2a 60a, 60b. Siempre que no se haya recibido un KEY_OFFER en el sensor 2a, el sensor 2a envia de nuevo mensajes INCLUSION_DISCOVER 52.

En la figura 6 se muestra que el usuario 34 autoriza 62 al sensor 2a. Las siguientes etapas se corresponden con aquellas en la figura 4. En la figura 6 se autoriza al sensor 2a solo en el aparato de control 22 y no en el aparato de control 42, por lo que el sensor 2a se integra en la red del aparato de control 22.

La figura 7 muestra el desarrollo de un procedimiento de manera correspondiente a la figura 6. A diferencia de la figura 6, el sensor 2a no se autoriza 70 de forma activa tras la visualizacion 60b del sensor 2a en el aparato de control 42. Por tanto, el aparato de control 42 tampoco envia un mensaje KEY_OFFER al sensor 2a. Todas las demas etapas se corresponden con aquellas en la figura 6, estando activado el modo de integracion del aparato de control 22 54a antes de que haya tenido lugar una activacion 54b del aparato de control 42, por lo que el aparato de control 22 ya emite un mensaje INCLUSION_OFFER 56 al sensor 2a antes de que se haya emitido un mensaje INCLUSION_OFFER 56b por el aparato de control 42.

La figura 8 muestra el desarrollo de un procedimiento tal como se representa en la figura 7, aunque, en la figura 8, este aparato tambien se autoriza 72 mediante el usuario 44 tras la visualizacion 60b del aparato en el aparato de control 42. De este modo, el aparato de control 42 envia tambien un mensaje KEY_OFFER 64b al sensor 2a. Tras la autorizacion 62 del sensor 2a en el aparato de control 22, este tambien envia un mensaje KEY_OFFER 64a. Ambos mensajes KEY_OFFER 64a, 64b se emiten durante un modo de espera del sensor 2a, de modo que el sensor 2a no puede recibir ninguno de los dos mensajes KEY_OFFER 64a, 64b.

Tras una nueva activacion 50 del sensor 2a, este emite de nuevo mensajes INCLUSION_DISCOVER 52. Ambos aparatos de control 22, 42 reciben este mensaje INCLUSION_DISCOVER 52. En ambos aparatos de control se autorizo al aparato 62, 72. En el ejemplo mostrado, el aparato de control 42 transmite en primer lugar el mensaje KEY_OFFER 64b. El sensor 2a recibe temporalmente despues el mensaje KEY_OFFER 64a del aparato de control 22. Dado que el mensaje KEY_OFFER 64b se recibio en primer lugar, el sensor 2a envia un mensaje KEY_ACK 68 al aparato de control 42 y un mensaje KEY_NAK 78 al aparato de control 22. De este modo, en el ejemplo mostrado en la figura 8, el sensor 2a se integra en la red del aparato de control 42 y no en la red del aparato de control 22.

El usuario del aparato de control 22 experimenta la integracion defectuosa mediante el mensaje KEY_NAK 78. Si la integracion en la red del aparato de control 42 es defectuosa y el usuario 34 esta en posesion del sensor 2a, puede restablecer el sensor 2a e iniciar una nueva integracion. De este modo se asegura que ningun aparato de control 42 externo puede integrar permanentemente el sensor 2a cuando el sensor 2a no esta en posesion del usuario 44 del aparato de control 42 externo.

La figura 9 muestra el desarrollo de un procedimiento simplificado en el que se renuncia a los mensajes INCLUSION_DISCOVER 52 y los mensajes INCLUSION_OFFER 56 y el sensor 2a emite directamente tras la activacion 50 del modo de integracion un mensaje INCLUSION_REQ 58. Este mensaje INCLUSION_REQ 58 se emite a este respecto en el modo de difusion y ya no esta dirigido a un aparato de control 22, 42 especial. Una vez que se haya activado el modo de integracion en el aparato de control 42 54 y el sensor 2a tambien este activado 50, se visualiza el sensor 2a al usuario 60 tras la recepcion de un mensaje INCLUSION_REQ 58 en el aparato de control 22. La integracion del sensor 2a en la red del aparato de control 22 se corresponde con la mostrada anteriormente con las etapas 62 a 68, emitiendose, en lugar de un mensaje INCLUSION_DISCOVER 52, un mensaje INCLUSION_REQ 58, siempre que en el sensor 2a no este almacenada una clave de red. Una vez que se haya realizado una autorizacion mediante el usuario, se transmite un mensaje KEY_OFFER 64b del aparato de control al sensor. En el mensaje KEY_OFFER esta incluida de forma cifrada la clave de red. El cifrado de la clave de red se puede realizar de la siguiente manera.

Una clave temporal se puede generar en el aparato de control 42. La clave de red se cifra en primer lugar con la clave temporal. Ademas, mediante la identificacion de aparato se determina una clave de aparato. Esta clave de aparato puede existir en el aparato de control 42. La clave de red cifrada con la clave temporal se cifra con la clave de aparato. En el mensaje KEY_OFFER se transmite la clave de red cifrada de este modo al sensor 2a. De manera paralela a ello se transmite en el texto claro la clave temporal. En el sensor 2a es posible con la clave temporal recibida un descifrado de la clave de red cifrada con la clave temporal y la clave de aparato. Entonces se realiza un descifrado de la clave de red cifrada ahora ya solo con la clave de aparato con ayuda de la clave de aparato conocida solo en el aparato.

Un aseguramiento adicional de la clave de red se puede realizar, por ejemplo, al generarse una clave temporal en el aparato de control 42 tras la autorizacion. La clave de red se cifra en primer lugar con la clave temporal. La clave de red cifrada se transmite junto con la identificacion de aparato a un servidor de clave que, por ejemplo, es accesible mediante Internet. En el servidor de clave se determina mediante la identificacion de aparato una clave de aparato y se cifra con ayuda de la clave de aparato la clave de red cifrada con la clave temporal. La clave de red cifrada con la

5

10

15

20

25

clave de aparato y la clave temporal, a su vez, se transmite mediante Internet al aparato de control 42. El aparato de control 42 transmite la clave de red cifrada de forma doble al sensor 2a y en el texto claro la clave temporal. Si se escucha la clave temporal, no es posible descifrar la clave de red, ya que esta se ha cifrado adicionalmente con la clave de aparato. En el sensor 2a se descifra en primer lugar con ayuda de la clave de aparato la clave de red cifrada con la clave de aparato y la clave temporal. La clave de red cifrada entonces ya solo con la clave temporal se descifra con la clave temporal enviada al aparato y en el aparato existe la clave de red.

La figura 10 muestra un ejemplo de realization en el que el sensor 2e se integra como aparato que permanentemente esta listo para recibir. El procedimiento descrito en la figura 10 se diferencia del procedimiento descrito en la figura 9 solo en que el mensaje KEY_OFFER 64 se recibe inmediatamente tras la autorizacion 62 del aparato en el sensor 2e y se realiza una confirmation.

El procedimiento mostrado en la figura 11 se corresponde con el procedimiento descrito en la figura 10, estando activados en el procedimiento descrito en la figura 11 tanto el aparato de control 22 como el aparato de control 42 54a, 54b y encontrandose estos en el modo de integration. De este modo, el sensor 2e se visualiza en ambos aparatos de control 60a, 60b. Sin embargo, la autorizacion 62 se realiza solo en el aparato de control 22, de modo que el sensor 2a solo se integra mediante el aparato de control 22.

La visualization 60b del aparato nuevo frente al usuario 44 se puede ignorar o, asimismo, es posible que no se autorice al sensor 2a actuando de forma activa. En ambos casos, el sensor 2a se integra mediante el aparato de control 22 y no mediante el aparato de control 42.

La figura 12 muestra fundamentalmente un procedimiento ya descrito en la figura 8, emitiendose en este caso, en lugar de los mensajes INCLUSION_DISCOVER 52 directamente mensajes INCLUSION_REQ 58. En la figura 12 se puede apreciar que, tambien en este caso, el aparato de control 42, cuyo mensaje KEY_OFFER 64 se recibio en primer lugar por el sensor 2a, integra el sensor 2a en su red.

Claims

5

10

15

20

25

30

35

40

45

50

55

60

65

REIVINDICACIONES

1. Procedimiento para operar un aparato de control central para un sistema de automatizacion domestica con las etapas de

a) recibir una solicitud de integracion de aparato (INCLUSION_REQ 58) de un aparato nuevo (2),

b) determinar al menos una identificacion de aparato a partir de la solicitud de integracion de aparato (INCLUSION_REQ 58),

c) evaluar una autorizacion de aparato (62, 72),

c1) cifrar una clave de red conocida en el aparato de control con una clave temporal,

c2) enviar la clave de red cifrada con la clave temporal junto con la identificacion de aparato a un servidor de servicio de clave,

c3) recibir del servidor de servicio de clave la clave de red cifrada con una clave de aparato, cifrada con la clave temporal,

d) emitir la clave de red (KEY_OFFER 64) cifrada con la clave de aparato, cifrada con la clave temporal como reaccion frente a la autorizacion de aparato (62, 72).
2. Procedimiento de acuerdo con la reivindicacion 1, caracterizado por que la emision de la clave de red cifrada (KEY_OFFER 64) como reaccion frente a la autorizacion de aparato (62, 72) se realiza directamente tras la recepcion de una solicitud de integracion de aparato de acuerdo con la etapa a) y/o por que tras la emision de la clave de red (KEY_OFFER 64) se vigila la recepcion de un mensaje de acuse de recibo de clave (KEY_ACK 68).
3. Procedimiento de acuerdo con la reivindicacion 2, caracterizado por que solo tras la recepcion del mensaje de acuse de recibo de clave (KEY_ACK 68) el aparato de control (22, 42) integra el aparato nuevo (2) en el sistema de automatizacion domestica.
4. Procedimiento de acuerdo con una de las reivindicaciones 1 a 3, caracterizado por que la recepcion y/o la evaluacion de una solicitud de integracion de aparato (INCLUSION_REQ 58) se posibilita mediante una activacion (54) de un modo de integracion.
5. Procedimiento de acuerdo con una de las reivindicaciones 1 a 4, caracterizado por que antes de la etapa a) se recibe en una etapa a0) un mensaje de busqueda de integracion (INCLUSION_DISCOVER 52) del aparato nuevo, y/o por que se determina a partir del mensaje de busqueda de integracion (INCLUSION_DISCOVER 52) una identificacion de aparato del aparato nuevo (2) y/o por que tras la etapa a0) y antes de la etapa a) se emite en una etapa a1) un mensaje de oferta de integracion (INCLUSION_OFFER 56) al aparato nuevo (2), y/o por que el mensaje de oferta de integracion (INCLUSION_OFFER 56) emitido en la etapa a1) incluye una identificacion de aparato de control y por que la solicitud de integracion de aparato (INCLUSION_REQ 58) recibida en la etapa a) incluye la identificacion de aparato de control.
6. Procedimiento de acuerdo con una de las reivindicaciones 1 a 5, caracterizado por que la clave recibida en la etapa b) esta formada por al menos dos claves, siendo una primera clave una clave generada temporalmente en el aparato (2) que esta cifrada con una clave almacenada permanentemente en el aparato (2).
7. Procedimiento de acuerdo con una de las reivindicaciones 1 a 6, caracterizado por que la autorizacion de aparato (62, 72) se realiza mediante una interaccion de usuario o por que se consulta una identificacion de aparato almacenada de manera central entre la identificacion de aparato y el aparato de control (22, 42) y se realiza automaticamente una autorizacion en el caso de un resultado de consulta positivo.
8. Procedimiento de acuerdo con una de las reivindicaciones 5 a 7, caracterizado por que se activa un modo de integracion del aparato de control (22, 42) mediante una interaccion de usuario y por que solo en el modo de integracion se pueden evaluar y/o recibir mensajes de acuerdo con las etapas a0) y/o a) y/o por que el modo de integracion se desactiva tras un tiempo definido tras la interaccion de usuario.
9. Procedimiento de acuerdo con una de las reivindicaciones 1 a 8, caracterizado por que la clave de red se cifra con la clave temporal y, a continuacion, la clave de red cifrada se transmite junto con la clave temporal en el texto claro al aparato (2).
10. Procedimiento para integrar un aparato en un sistema de automatizacion domestica con las etapas de:

a) detectar un acontecimiento que activa un modo de integracion (50),

b) emitir una solicitud de integracion de aparato (INCLUSION_REQ 58) como reaccion frente al acontecimiento, estando incluida en la solicitud de integracion de aparato (INCLUSION_REQ 58) al menos una identificacion de aparato,

c) recibir una clave de red (KEY_OFFER 68) cifrada con una clave de aparato, cifrada con la clave temporal,

c1) descifrar con la clave de aparato conocida en el aparato la clave de red cifrada con la clave de aparato, cifrada con la clave temporal,

5

10

15

20

25

30

35

40

c2) descifrar a continuation con la clave temporal conocida en el aparato la clave de red cifrada con la clave temporal para obtener la clave de red descifrada.
11. Procedimiento de acuerdo con la revindication 10, caracterizado por que el acontecimiento que activa el modo de integration (50) es una interaction de usuario, un encendido del aparato y/o un restablecimiento del aparato al estado de entrega, activandose el modo de integracion exclusivamente para el caso de que aun no se haya recibido una clave de red (KEY_OFFER 64) en el aparato (2).
12. Procedimiento de acuerdo con las reivindicaciones 10 u 11, caracterizado por que la clave de red (KEY_OFFER 64) recibida se recibe junto con una identification de aparato de control, y/o por que la clave de red (KEY_OFFER 64) recibida se confirma mediante el uso de la identificacion de aparato de control con respecto al aparato de control (22, 42) con un mensaje de acuse de recibo de clave (KEY_ACK 68).
13. Procedimiento de acuerdo con una de las reivindicaciones 10 a 1, caracterizado por que para el caso de que ya se haya recibido una clave de red se emite un mensaje de rechazo de reception de clave (KEY_NAK 78).
14. Aparato de control central (22, 42) para un sistema de automatization domestica con

- una interfaz de comunicacion para la recepcion de una solicitud de integracion de aparato (INCLUSION_REQ 58),

- un procesador para determinar al menos una identificacion de aparato a partir de la solicitud de integracion de aparato (INCLUSION_REQ 58),

- en el que el procesador esta configurado para evaluar una autorizacion de aparato y para descifrar una clave de red conocida en el aparato de control con una clave temporal y activa la interfaz de comunicacion para enviar la clave de red cifrada con la clave temporal junto con la identificacion de aparato a un servidor de servicio de clave, y para recibir del servidor de servicio de clave la clave de red cifrada con una clave de aparato, cifrada con la clave temporal, y para emitir la clave de red (KEY_OFFER 64) cifrada con la clave de aparato, cifrada con la clave temporal como reaction frente a la autorizacion de aparato.
15. Aparato (2) para un sistema de automatizacion domestica con:

- un procesador para detectar un acontecimiento que activa un modo de integracion,

- una interfaz de comunicacion para emitir una solicitud de integracion de aparato (INCLUSION_REQ 58) como reaccion frente al acontecimiento, estando incluida en la solicitud de integracion de aparato (INCLUSION_REQ 58) al menos una identificacion de aparato, y para recibir una clave de red (KEY_ACK 68) cifrada con una clave de aparato, cifrada con la clave temporal, estando el procesador configurado ademas para descifrar con la clave de red conocida en el aparato la clave de red cifrada con la clave de aparato, cifrada con la clave temporal, y para descifrar a continuacion con la clave temporal conocida en el aparato la clave de red cifrada con la clave temporal para obtener la clave de red descifrada.