CN107444300B

CN107444300B - 用于运行用于车辆的数据处理装置的方法

Info

Publication number: CN107444300B
Application number: CN201710363330.0A
Authority: CN
Inventors: R.施莱泽
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2016-05-23
Filing date: 2017-05-22
Publication date: 2022-09-06
Anticipated expiration: 2037-05-22
Also published as: DE102016208869A1; CN107444300A

Abstract

本发明涉及用于运行用于车辆（10）、尤其是机动车（10）的数据处理装置（100）的方法，其中，所述数据处理装置（100）优选集成进所述机动车（10）中，所述方法具有下述步骤：发送（200；410）输入数据（ED）、尤其是车辆相关的输入数据（ED）到布置在所述车辆（10）外部的至少一个计算设备（300）处；接收（210；420）由所述至少一个计算设备（300）根据所述输入数据（ED）算出的输出数据（AD）；检查（220；430）在所述数据处理装置（100）中的所述输出数据（AD）。

Description

用于运行用于车辆的数据处理装置的方法

技术领域

本发明涉及一种用于运行用于车辆的数据处理装置的方法，以及根据并列权利要求的一种用于车辆的数据处理装置，一种控制器和一种车辆。

背景技术

在现代机动车中，大量的数据被处理。这例如在机动车的控制器的计算设备中进行。例如，DE 10 2013 203 943 A1是这个技术领域中的一项专利公开文献。

发明内容

对于本发明来说基本的问题通过根据权利要求1的方法，以及通过根据并列权利要求的数据处理装置、控制器和车辆来予以解决。有利的改型方案在从属权利要求中说明。此外，对于本发明来说重要的特征还可在随后的描述和附图中找到，其中，不管是在单独的情况中还是在不同的组合中，所述特征能够对于本发明而言都是重要的，而不再次明确地将此指出。

本发明涉及一种用于运行用于车辆、尤其是机动车的数据处理装置的方法，其中，所述数据处理装置优选集成进所述机动车中，所述方法具有下述步骤：发送输入数据、尤其是车辆相关的输入数据到布置在所述车辆外部的至少一个计算设备处；接收由所述至少一个计算设备根据所述输入数据算出的输出数据；检查在所述数据处理装置中的所述输出数据。

所述输入数据能够包括数据和/或信息，该信息表征了运用到所述数据上的计算规则（Berechnungsvorschriften）。

根据本方法，在所述车辆中检查所述的输出数据，借此将所述机动车在功能性安全方面被保障的范围有利地扩大到该机动车以外的计算节点（Berechnungsknoten）。因此，例如可行的是：以能够预先规定的安全完整性（Sicherheitsintegrität）来执行基于数据库（Datenbanken）的计算以及执行对于计算能力（Rechenleistung）有高要求的计算，并且将所述计算的结果有利地运用到用于运行该机动车的功能上。

在此，所述机动车能够包括一个或者多个控制器，所述控制器分别具有所描述的数据处理装置。此外，所述机动车优选具有至少一个发送-接收-设备（英语：“transceiver”），该发送-接收-设备被构造用于：执行根据本方法的、与所述至少一个计算设备的通信。这种通信能够分别通过一个或者多个网络进行，所述网络如有必要能够在技术上不同类型地进行实施。例如，所述网络能够是无线电-网络（Funk-Netzwerk）。如果该机动车具有多个控制器，那么这些控制器就能够相互协调地或者也能够彼此独立地与所述至少一个计算设备进行通信。

本发明利用了这种知识：即存在这种数据，在机动车中使用该数据对安全是至关重要的，而（如果无线数据连接可供使用的话）该数据能够有利地远离该机动车地被处理和/或被计算。例如，能够涉及到大数据库的查询，和/或，尤其是当在此使用至少部分与其他车辆有关的数据时，能够是对于交通情况或者当前危险的动态计算。或者能够涉及到一般的计算，其——暂时地或长期地——要求了在车辆中不能够出现的计算能力。在此，这些数据也可能在这些计算设备上进行处理或计算，所述计算设备不满足对机动车而言必不可少的安全要求。

有利的是，也能够在所述数据处理设备与外部的计算设备之间进行待发送的数据和待接收的数据的端-对-端-保障（Ende-zu-Ende-Absicherung），例如借助于虚拟专用网络（VPN）和/或CRC-方法（cyclic redundancy check：循环冗余校验）。

在一种构造方案中，借助于一种用于编码计算（英语：“Coded Processing”（缩写：“CP”））的方法，为所述输入数据配设至少一个第一计算签名，其中，所述输入数据和所述第一计算签名一起被发送到所述外部的计算设备处；并且其中，（出自）所述外部的计算设备的、由该外部的计算设备算出的输出数据和配属于该输出数据的第二计算签名（在所述数据处理装置中）被接收；并且其中，所述检查的步骤包括检查所述第二计算签名。

例如，在所述计算设备中，所述第二计算签名能够遵循着所述编码计算的原理，根据所述输入数据和/或所述第一计算签名，和/或根据在使用所述输入数据的情况下实施的计算来进行形成。由此，如果所述外部的计算设备不具有对于运行所述机动车而言必不可少的安全性或者完整性，该机动车的功能性安全也能够有利地得以实现。例如，在错误计算的情况下，所述第二计算签名能够具有错误的值，那么由此该错误能够被识别出来。

在此，所述输入数据连同所述至少一个第一计算签名一起被传输到所述外部的计算设备处。在一种对此的变型方案中，在所述机动车和所述外部的计算设备之间设置了双向通信，其中，检查在该机动车中的数据或者计算的完整性。例如，从所述外部的计算设备传输到该机动车的信息能够是编码的。

可选的是，为了保障所述机动车和所述计算设备之间的数据传输，能够设置其他用于端-对-端-保障的方法。这能够例如在使用至少一个CRC-校验和（CRC，英语：“CyclicRedundancy Check”）的情况下实现。尤其是，在此，待发送的或者待接收的CP-签名也能够通过所述CRC-方法予以保护。

可选的是，具有所有数据和计算签名（“CP-签名”）的每个总计算链均能够从所述外部的计算设备（“服务器”）到达在所述机动车中的控制器。这表征了所谓的“安全通道”，其中，还能够附加地设置“保密通道”，该保密通道能够通过虚拟专用网络-连接（VPN，英语：“Virtual Private Network”，虚拟专用网络）来实现。所述安全通道不仅在所述数据处理装置上，而且也在所述外部的计算设备上，实现了连续地例如借助于CP来保障的对数据的计算，而所述保密（例如VPN）通道保障了例如数据处理装置、计算设备等系统之间的数据传输的安全。

根据本方法，在所述机动车的数据处理装置中检查所述计算签名，尤其是所述至少一个第二计算签名，由此，能够说以后能够检查借助于所述外部的计算设备实施的计算（们）的完整性。

在另一种构造方案中设置的是：所述发送包括发送所述输入数据到至少一个第一外部的计算设备处和到至少一个第二外部的计算设备处，其中，所述接收包括接收第一计算设备的第一输出数据和第二计算设备的第二输出数据；并且其中，所述检查包括检查所述第一和/或第二输出数据。例如，所述检查借此来进行：比较所述第一输出数据与所述第二输出数据（是否一致）。由此，在多个并且至少部分彼此独立的外部的计算设备上实现的多重计算能够识别出错误，并且能够因此有利地改善所述机动车的运行安全性。在此，编码计算（英语“coded processing”）的使用并不是强制必须的，但是根据其它实施方式是能够考虑的。

在另一个例子中存在至少三个计算设备，其中，对所述至少三个计算设备的输出数据进行互相比较。在所述输出数据的可能的不一致时，则通过多数决定（Mehrheitsentscheid）来决定：哪些输出数据能够使用和哪些输出数据不能够使用。

在另一种构造方案中设置的是，所述发送包括发送所述输入数据到第一外部的计算设备处和到至少一个第二外部的计算设备处，其中，为至少一个计算设备这样准备（例如配设CP-签名）待发送的输入数据，使得在所述至少一个计算设备中能够进行编码计算，英语：“coded processing”。例如，输入数据的所述的准备包括将该输入数据连同所述第一计算签名一起发送。

当使用一个以上的外部的计算设备时，因此总共三种变型方案是可行的：第一，编码计算不被设置用于所述计算设备中的任何一个。第二，编码计算被设置用于计算设备中的全体。第三，编码计算仅被设置用于所述计算设备中的一部分。

第一种变型方案的优点在于它特别简单。第二种变型方案的优点在于它能够附加地改善安全性。

第三种变型方案的优点在于，能够对产生所述第一计算签名的过程或者对检查所述第二计算签名的过程进行附加地测试。例如，能够考虑以下情况：因为例如在形成所述第一计算签名时出现了错误，所以对所述第二计算签名的检查持续导致（可能只是表面上的）错误。

通过所述第三种变型方案还能够有利地识别出这样的错误，该错误在产生所述第一计算签名时和/或在评估所述第二计算签名时出现在所述机动车的数据处理装置中，而第一种和第二种变型方案能够典型地识别出这样的错误，该错误在处理数据时出现在所述至少一个外部的计算设备中。

在另一种构造方案中，根据所述检查的结果来执行错误反应。由此能够有利地改善所述数据处理装置的或者所述机动车的运行。例如，如果所述检查推断出了错误，那么就拒绝所接收的输出数据。所述数据处理装置或包含有所述数据处理装置的控制器优选被构造用于：随时这样考虑干扰或中断或者切断在所述机动车与所述外部的计算设备之间的数据连接，以使得该机动车的功能性安全得以保持。因此，能够将有错误的输出数据评价为不存在。

在另一种构造方案中，在所述机动车与所述外部的计算设备之间的数据连接被实施为加密通道。可选的是，能够借助于校验和（Prüfsummen）、错误纠正方法、CRC、或者类似方法对由该机动车发送的输入数据予以附加地保障。由此，除了防止在所述计算设备上或在数据传输期间偶然的错误之外，还能够有利地防止篡改。

在另一种构造方案中，在使用虚拟专用网络，VPN，的情况下，和/或在使用校验和，CRC，英语：“Cyclic Redundancy Check”，的情况下实施所述输入数据的发送和/或所述输出数据（优选连同各自的计算签名一起）的接收。由此能够有利地提高所述数据传输的安全性。

此外，本发明还包括一种用于车辆、尤其是机动车的数据处理装置，其中，所述数据处理装置优选集成进所述机动车中；并且其中，所述数据处理装置被构造用于实施下述步骤：发送输入数据、尤其是车辆相关的输入数据到布置在所述车辆外部的至少一个计算设备处；接收由所述至少一个计算设备根据所述输入数据算出的输出数据；检查在所述数据处理装置中的所述输出数据。所述数据处理装置优选被构造用于：实施根据上面所描述的构造方案中的一种构造方案的方法。在此，产生了类似的优点。所述数据处理装置能够具有例如微型控制器或者处理器或者说另外的计算单元以及必要时控制该计算单元的计算机程序。替代方案是：所述数据处理装置还能够借助于能够编程的逻辑元件（例如FPGA：现场可编程门阵列）或者借助于ASIC（application specific integrated circuit：专用集成电路）来实现。

此外，本发明还包括一种尤其是用于机动车的控制器，该控制器具有至少一个根据上文的构造方案中的一个构造方案的数据处理装置。产生了类似的优点。

此外，本发明还包括一种车辆、尤其是机动车，该车辆具有分别根据上文描述的构造方案之一的至少一个数据处理装置和/或至少一个控制器。如上所述，产生了类似的优点。

此外，本发明涉及一种计算设备，该计算设备被构造用于实施下述步骤：接收布置在该计算设备外部的机动车的数据处理装置的输入数据、尤其是车辆相关的输入数据；根据所接收的输入数据算出输出数据；发送所述输出数据到所述机动车的数据处理装置处。

在一种构造方案中，所述计算设备被构造用于实施下述步骤：接收所述机动车的数据处理装置的输入数据连同第一计算签名；算出输出数据和配属于该输出数据的第二计算签名；发送所述输出数据连同所述第二计算签名到所述机动车的数据处理装置处。对于所述计算设备及其构造方案而言，产生了类似于上文中对于所述方法已经描述过的那样的优点。

附图说明

接下来参照附图阐述本发明示例性的实施方式。在附图中示出：

图1 具有用于机动车的数据处理装置和布置在该机动车外部的计算设备的示意图；

图2 具有用于机动车的数据处理装置和两个布置在该机动车外部的计算设备的示意图；

图3 用于运行所述数据处理装置的方法的流程图；

图4 具有数据处理装置并且具有包含计算设备的计算中心的机动车的示意图。

在所有附图中，也就不同的实施方式而言，功能上等效的元件和量使用相同的附图标记。

具体实施方式

图1示出了具有仅通过矩形边框象征性示出的机动车10（图1左侧）并且具有计算中心20（图1右侧）的示意图。所述机动车10包括控制器50和通信设备60。广义上说，所述计算中心20也能够被称为所谓的“云”的元件。

所述控制器50包括数据处理装置100，并且所述通信设备60包括用于在所述机动车10与所述计算中心20之间搭建或着运行虚拟专用网络（VPN）的设备62。在所述机动车10和所述计算中心20之间至少间歇性地存在通过双向箭头象征性示出的无线电连接70。

所述数据处理装置100能够具有例如微型控制器或着处理器或者说另外的计算单元，和必要时控制该计算单元的计算机程序。替代方案是：所述数据处理装置100还能够借助于能够编程的逻辑元件（例如FPGA）或者借助于ASIC（application specificintegrated circuit：专用集成电路）来实现。

所述计算中心20包括计算设备300（“服务器”），所述计算设备300又包括计算单元310（“CPU”，英语：“central processing unit”，中央计算单元）以及包括数据存储器320。双向箭头330表征了在所述计算单元310与所述数据存储器320之间的可能的数据交换。在所述计算单元310内部的虚线边框象征着在所述计算设备300中可能实施的编码计算（CP）340。对应的是：在所述数据存储器320中的虚线边框象征着被编码的数据322。

图1示出了所述数据处理装置100，或者说表征了用于运行用于车辆10、尤其是机动车10的数据处理装置100的方法，其中，所述数据处理装置100 优选集成进所述机动车10中，所述方法具有下述步骤：发送200输入数据ED、尤其是车辆相关的输入数据ED到布置在所述车辆10外部的至少一个计算设备300上；接收210由所述至少一个计算设备300根据所述输入数据ED算出的输出数据AD；检查220在所述数据处理装置100中的所述输出数据AD。

在所述方法的一种实施形式中，借助于一种用于编码计算的方法，英语：“CodedProcessing”，为所述输入数据ED配设至少一个第一计算签名sig1，其中，所述输入数据ED和所述第一计算签名sig1一起被发送到外部的计算设备300处；并且其中，（出自）所述外部的计算设备300的由该外部的计算设备300算出的输出数据AD和配属于该输出数据AD的第二计算签名sig2（在所述数据处理装置100中）被接收；并且其中，所述检查220的步骤包括检查所述第二计算签名sig2。

在所述方法的一种实施形式中，在使用虚拟专用网络VPN的情况下，和/或在使用校验和，CRC，英语：“Cyclic Redundancy Check”，的情况下实施所述输入数据ED的发送200和/或所述输出数据AD的接收210。

所述输入数据ED能够是例如车辆有关的数据，即例如所述机动车10的部件的运行数值，例如传感器数据，该传感器数据表征了内燃机的运行和/或所述机动车的行驶动态的特征值以及类似值。

图2示出了与图1类似的（但是扩展了的）示意图，其中，与图1不同的是，图2示出了具有第一计算设备300和第二计算设备300'的计算中心20，它们能够借助于VPN-连接与所述数据处理装置100通信。配属于所述第二计算设备300'的元件的附图标记相应地通过单引号（'）来进行添加。在所述计算中心20的下部区域中的三个被画出的点象征着可能的其它的计算设备300''，借助于它们，所述数据处理装置100能够在必要时以类似的方式进行通信。所述计算设备300''也能够布置在不同于所述计算中心20的单元中。

在本方法的根据图2的实施形式中，所述发送200包括发送200所述输入数据ED到至少第一外部的计算设备300处和到至少第二外部的计算设备300'处，其中，所述接收210包括接收210所述第一计算设备300的第一输出数据AD和所述第二计算设备300'的第二输出数据AD'；并且其中，所述检查220包括检查220所述第一输出数据AD和/或第二输出数据AD'。

在另一种实施形式中，所述发送200包括发送200所述输入数据ED到至少第一外部的计算设备300处和到至少第二外部的计算设备300'处，其中，为至少一个计算设备300、300'这样准备待发送的输入数据ED，使得在所述至少一个计算设备300、300'中能够进行编码计算340、340'，英语：“coded processing”。

根据图2的布局，用于运行所述数据处理装置100的方法的总共至少三种变型方案是可行的：第一，编码计算340、340'不被设置用于计算设备300、300'中的任何一个。第二，编码计算340、340'被设置用于计算设备300、300'中的全体。第三，编码计算340、340'仅被设置用于计算设备300、300'中的一部分。这些变型方案的相应的特征或者优点已经在上文中详细阐述过了。

图3示出了用于运行根据图1或者图2的数据处理装置100的方法的流程图。在开始方框400中，开始了在图3中示出的程序（Prozedur）。

在随后的方框410中，发送200所述输入数据ED、尤其是车辆相关的输入数据ED到布置在所述机动车10外部的至少一个计算设备300、300'处。

在随后的方框415中，在所述至少一个计算设备300、300'中，根据所述输入数据ED算出了输出数据AD（在此，能够在CP的意义上设置编码计算），以及发送所述输出数据AD到所述数据处理装置100处。

在随后的方框420中，在所述数据处理装置100中接收210由所述至少一个计算设备300、300'根据所述输入数据ED算出的输出数据AD、AD'。

在随后的方框430中，检查220在所述数据处理装置100中的所述输出数据AD、AD'。在随后的方框440中，根据所述检查220的结果来执行错误反应。例如，如果所述检查220推断出了错误，那么就拒绝所接收的输出数据AD、AD'。但若在所述检查220时没有识别出错误，则将所接收的输出数据AD、AD'对应于各个计算所基于的目的运用到对所述机动车10的控制上。

在方框440之后，该方法分叉返回到方框410的起始处，借此该方法能够不断地地运用到可能的随后的计算中。

可选的是，在图3时也能够考虑上文在图1和2时已经描述的、本方法的实施方式。例如，能够在方框410中为所述输入数据ED配设至少第一计算签名sig1。例如，能够在方框420中将所述输出数据AD连同所述第二计算签名sig2一起进行接收。相应地，能够在方框430中对所述输出数据AD进行所述检查220。

可选的是，正如先前在根据图2的实施方式时已经描述过的那样，在方框410、420和430中，能够分别考虑两个或者更多的外部的计算设备300、300'、300''。

补充于图1和图2，图4示意性地示出了具有数据处理装置100的所述机动车10，以及具有计算设备300的外部的计算中心20。如先前已经阐述过的那样，在所述数据处理装置100和所述计算设备300之间至少间歇性地存在无线电连接70。

Claims

1.用于运行用于车辆（10）的数据处理装置（100）的方法，其中，所述数据处理装置（100）集成进所述车辆（10）中，所述方法具有下述步骤：发送（200；410）输入数据（ED）到布置在所述车辆（10）外部的至少一个计算设备（300）处；接收（210；420）由所述至少一个计算设备（300）根据所述输入数据（ED）算出的输出数据（AD）；在所述数据处理装置（100）中检查（220；430）所述输出数据（AD），

其中，借助于一种用于编码计算过程，为所述输入数据（ED）配设至少一个第一计算签名（sig1），其中，所述输入数据（ED）连同所述第一计算签名（sig1）一起被发送到所述外部的计算设备（300）处；其中，所述外部的计算设备（300）的由该外部的计算设备（300）算出的输出数据（AD）和配属于该输出数据（AD）的第二计算签名（sig2）被接收；并且其中，所述检查（220；430）的步骤包括检查所述第二计算签名（sig2）。

2.根据权利要求1所述的方法，其中，所述发送（200；410）包括发送（200；410）所述输入数据（ED）到至少一个第一外部的计算设备（300）处和到至少一个第二外部的计算设备（300'）处；并且其中，所述接收（210；420）包括接收（210；420）第一计算设备（300）的第一输出数据（AD）和第二计算设备（300'）的第二输出数据（AD'）；并且其中，所述检查（220；430）包括检查（220；430）所述第一和/或第二输出数据（AD、AD'）。

3.根据权利要求1所述的方法，其中，所述发送（200；410）包括发送（200；410）所述输入数据（ED）到第一外部的计算设备（300）处和到至少一个第二外部的计算设备（300'）处；并且其中，为至少一个计算设备（300、300'）这样准备待发送的输入数据（ED），使得在所述至少一个计算设备（300、300'）中能够进行编码计算（340、340'）。

4.根据权利要求1所述的方法，其中，根据所述检查（220；430）的结果来执行错误反应（440）。

5.根据权利要求2所述的方法，其中，在使用虚拟专用网络，VPN，的情况下，和/或在使用校验和CRC，的情况下实施所述输入数据（ED）的发送（200；410）和/或所述输出数据（AD、AD'）的接收（210；420）。

6.用于车辆（10）的数据处理装置（100），其中，所述数据处理装置（100）集成进所述车辆（10）中，其中，所述数据处理装置（100）被构造用于实施下述步骤：发送（200；410）输入数据（ED）到布置在所述车辆（10）外部的至少一个计算设备（300）处；接收（210；420）由所述至少一个计算设备（300）根据所述输入数据（ED）算出的输出数据（AD）；检查（220；430）在所述数据处理装置（100）中的输出数据（AD），

7.根据权利要求6所述的数据处理装置（100），其中，所述数据处理装置（100）被构造用于实施根据权利要求1至5中任一项所述的方法。

8.控制器（50），该控制器具有至少一个根据权利要求6至7中任一项所述的数据处理装置（100）。

9.车辆（10），该车辆具有至少一个根据权利要求6至7中任一项所述的数据处理装置（100）和/或至少一个根据权利要求8所述的控制器（50）。