CN109643338A - 控制器复合体 - Google Patents

Abstract

一种控制器复合体，其具有：‑控制器（100），在所述控制器上设立权限管理（20），‑其中访问许可信息以能由所述权限管理（20）调用的方式来存放，‑其中功能（310、410）以可实施的方式寄存在所述控制器复合体的其它控制器（300、400）上，‑其中所述其它控制器（300、400）中的至少一个控制器构造为询问控制器（300、400），而且本身设立为：根据存放在所述权限管理（20）中的访问许可信息来实施所述功能或者不实施所述功能，其特征在于，所述控制器（100）也包括设备管理（10），‑其中所述设备管理（10）设立为：通过通信接口来进行与服务器（600）的连接，‑其中所述设备管理（10）设立为：向所述权限管理（20）提供通过所述接口从所述服务器（600）接收的对访问许可的更新。

Description

控制器复合体

技术领域

本发明涉及一种控制器复合体。

背景技术

从DE 10 2004 048 126 A1公知一种用于针对具有至少两个不同的数据处理单元的系统的计算机辅助的权限管理的方法，其中设置中央权限管理器。该中央权限管理器对被分配给针对数据处理单元所确定的数据的权限信息进行管理，而且根据这些权限信息来准许针对数据处理单元所确定的数据。

本发明的优点

与此相应地，具有独立权利要求1的特征的方法具有如下优点：该方法可以以特别低的花费来实现以及良好地适应现有的无线（Over-The-Air）车辆基础设施（设备管理（DeviceManagement）、内容管理（Content Management））。因此，如在权利要求1中描述的设备管理可以以特别简单的方式不仅能用于权限管理而且能用于其它应用。

有利的扩展方案是从属权利要求的主题。

发明内容

为了建立所希望的商业模型，可设想的是：以能根据相对应的访问许可来实施的方式维持软件或功能的特性，而且为此在其中应该运行该软件或该功能的系统中以可调用的方式保持设备数据和/或用户数据以及从中得到的访问许可信息（也称作许可证或授权）。

在这种情况下值得期望的是：这些访问许可信息安全地被存储，即这些访问许可信息不能被篡改并且仍然能更新。这样可能的是：被解锁的功能范围在目标设备的使用寿命期间可能发生变化。

可能的是：权限管理（也称作许可证管理或Rechtemanagement）基于在其实施取决于访问许可的软件或功能与后台系统、例如服务器之间的交互，在该后台系统上维持访问许可信息。

在这种情况下可以规定：将权限管理的接口静态地纳入到该软件或功能中。接着，该软件或功能必须能够在运行时进行与权限管理的连接。

尤其是在具有连接设备的车辆中，应该能够动态地引入新的功能。为此需要车辆与相对应的服务器进行连接。同时，在移动连接的情况下并不保证持久地存在与服务器的连接。

在第一方面，本发明涉及一种控制器复合体、尤其是车辆的控制器复合体，该控制器复合体具有：

- 控制器，在该控制器上设立权限管理，

- 其中访问许可信息以能由所述权限管理（20）调用、尤其是有关询问调用的方式来存放，

- 其中功能以可实施的方式寄存在控制器复合体的其它控制器上，

- 其中所述其它控制器中的至少一个控制器、优选地所有控制器都构造为询问控制器，而且本身设立为：根据存放在该权限管理中并且由该权限管理接收的访问许可信息来实施这些功能或者不实施这些功能，

其特征在于，该控制器也包括设备管理，

- 其中该设备管理设立为：通过通信接口来进行与尤其是车辆外部的服务器的连接，

- 其中该设备管理设立为：向该权限管理提供通过该接口从服务器接收的对访问许可的更新。

为此，询问控制器尤其可以设立为：由权限管理直接接收访问许可信息，也就是说例如该权限管理被设立为：将该访问许可信息发送给询问控制器。在这种情况下，功能可以是独立的计算机程序，或者可以是计算机程序的附加功能，或者可以是在某个参数组的情况下对软件功能的使用。也可涉及至少部分地以硬件实现的功能。

利用这种系统可能的是：使得对功能的动态的许可证发放也能在“被连接的（connected）”车辆中应用。

经此可能的是：将对于车辆来说有效的访问授权分配给该具体的车辆（这有利地发生在车辆外部的服务器上）；将所述访问授权鲁棒地并且安全地引入到车辆中并且与服务器保持同步；在车辆中集中地、鲁棒地并且安全地构建权限管理；并且限定在权限管理与车辆中的功能之间所限定的接口。

接着可能的是：例如根据对功能的调用的所确定的次数来构建该功能的访问许可信息；而且例如当该次数超过可预先给定的次数时，撤销访问许可。

也可能的是：选择性地允许该访问许可，例如以便能够使租车的已经预订了“导航（Navigation）”特性的客户实现对导航系统的使用。

询问控制器对权限管理的访问可通过接口来实现，该接口本地地（例如借助于包装类（Wrappers））来构造或者实施为面向服务的通信。在这种情况下，在车辆中优选地使用在汽车领域已经建立的协议，例如SOM E/IP或SOC。

访问许可信息有利地寄存为使得这些访问许可信息或者被分配给包括车辆识别码和功能识别码的明确的元组，或者被分配给由车辆识别码、用户识别码和功能识别码构成的元组。为此的示例在图2中示范性地示出。

在一个有利的扩展方案中，询问控制器可以设立为：在接收访问许可信息之前向权限管理询问访问许可信息。有利的，通过API来实现这种访问，如示范性地在图3中示出的那样。有利地，通过功能引起的权限管理API使用相对于在本地存在于权限管理中的访问许可信息被调整得同步。为此可以规定：利用这些访问许可信息来执行本地补偿并且有利地立即将同步应答发给询问控制器。

在一个替选的或附加的扩展方案中可以规定：该权限管理设立为按照所接收到的更新来更新所存放的访问许可的列表。

例如，可根据用户识别码或根据车辆识别码和用户识别码来进行这种更新，如在图4或图5中示范性地示出的那样。

有利地，不同步地进行这种更新。有利地，向询问控制器和权限管理的API隐藏权限管理的这些不同步的活动。

在另一替选的或附加的扩展方案中可以规定：设备管理设立为维持如下设备的列表，这些设备或者可以以硬件来实现或者也可以以软件来实现或者可以以硬件和软件的混合形式来实现，

- 其中该设备管理设立为：通过接口来接收信息，这些信息被寄给该列表的设备；对该设备进行标识；并且将该信息提供给该设备。

尤其可以规定：该权限管理通过（车辆内部的）注册过程在设备管理中注册并且被添加给设备的列表。

由此，该设备管理能够将从服务器接收并且被寄给权限管理的消息和应答分配给该权限管理。由此能够实现：该权限管理对如下信息做出反应，所述信息是由服务器寄送给该权限管理的。

在一个扩展方案中可以规定：该设备管理也设立为：从权限管理接收现有的访问许可信息并且将这些访问许可信息传送给服务器，例如与车辆识别码共同传送给服务器。

这可以使服务器能够有关实时性来对信息进行检查并且必要时促使利用较新的信息来进行更新。接着，该更新可以引起在权限管理中对访问许可信息的新建或修改或删除。

在另一替选的或附加的扩展方案中可以规定：该权限管理将用于存储在存储器中的访问许可信息传送给内容管理，其中该内容管理设立为接收数据、尤其是多个控制器的数据并且将这些数据存放在存储器中。这能特别高效地来实现，因为不仅权限管理而且其它应用都提出对鲁棒的并且防篡改的存储器的要求。

在一个扩展方案中，该内容管理可设立为：将数据借助于硬件安全模块加密地存放在存储器中，其中仅仅硬件安全模块访问该存储器。这能够实现：特别高效地保证数据的可信度和完整性而且同时使得能改变这些数据成为可能。

在一个替选的或者附加的扩展方案中，尤其可以规定：将访问许可信息存放在控制器的存储器中，该控制器并不是在其上设立有该权限管理的那个控制器。

附图说明

随后，本发明的实施方式参考随附的附图进一步予以阐述。在附图中：

图1示出了机动车的控制器复合体；

图2示出了访问许可信息的可能的构造；

图3示出了经由权限管理API的可能的访问；

图4示出了通过权限管理API对访问许可信息的可能的新建、删除或修改；

图5示出了通过权限管理API对访问许可信息的另一可能的新建、删除或修改。

具体实施方式

图1示例性地示出了具有控制器复合体的车辆1，该控制器复合体包括控制器100，在该控制器100上寄存有权限管理20和设备管理10。该控制器复合体还包括其它控制器200、300、400、500。在控制器300、400上寄存有软件功能310、410。为了实施软件功能310、410，这些控制器将询问发送给权限管理20的API，而且询问当前是否存在用于实施这些软件功能310、410的访问许可。这些控制器300、400在设备管理10中登记并且能由该设备管理寻址。

软件功能310、410例如可以是已经存在于车辆1中的特性，然而这些特性首先必须通过相对应的访问许可来解锁。在这种情况下，例如可涉及车道保持辅助，该车道保持辅助可以由车辆1的驾驶员可选地获得或解锁。

软件功能310、410也可以是对于车辆1来说能重新安装的功能。在成功安装功能310之后可以规定：功能310在设备管理10中登记。

在成功询问API之后，权限管理可选地通过寄存在控制器500中的身份管理（Identity Management）510询问车辆识别码和驾驶员识别码，该身份管理将该车辆识别码和该驾驶员识别码传送给权限管理20。

权限管理20检查是否存在用于实施软件功能310、410的访问许可并且反馈软件功能310、410的结果。为此，权限管理20通过内容管理30来对存储器50进行访问。内容管理30和存储器50在控制器200上实现，该控制器200并不是控制器100。软件功能310、410也通过内容管理30来对存储器50进行访问。

通过硬件安全模块40来实现内容管理30对存储器50的访问，该硬件安全模块同样安装在控制器200上并且导致在存储器50上的信息不被攻击以不允许的方式调用或改变。

权限管理20在设备管理10中注册。设备管理10可通过连接接口来进行与车辆外部的服务器600的连接。该连接通常是无线的，即“over-the-air”。在该服务器中例如安装有用于权限管理的后台系统600。

权限管理20可以向设备管理10提供当前寄存的访问许可信息。设备管理10将这些当前寄存的访问许可信息传送给服务器600。服务器600检查这些访问许可信息是否对应于访问许可信息的寄存在服务器600上的状态。如果情况不是如此，则服务器600将访问许可信息的更新传送给设备管理10。设备管理10接收该更新，标识权限管理20是该更新的接受者并且将该更新传送给权限管理20。权限管理20通过内容管理30来执行对寄存在存储器50中的访问许可信息的相对应的更新。

对于本领域技术人员来说易于理解的是：本发明可以以软件来实现，或者以硬件来实现，或者以硬件和软件的混合形式来实现。

Claims (8)

1.一种控制器复合体，其具有：

- 控制器（100），在所述控制器上设立权限管理（20），

- 其中访问许可信息以能由所述权限管理（20）调用的方式来存放，

- 其中功能（310、410）以可实施的方式寄存在所述控制器复合体的其它控制器（300、400）上，

- 其中所述其它控制器（300、400）中的至少一个控制器构造为询问控制器（300、400），而且本身设立为：根据存放在所述权限管理（20）中的访问许可信息来实施所述功能或者不实施所述功能，

其特征在于，所述控制器（100）也包括设备管理（10），

- 其中所述设备管理（10）设立为：通过通信接口来进行与服务器（600）的连接，

- 其中所述设备管理（10）设立为：向所述权限管理（20）提供通过所述接口从所述服务器（600）接收的对访问许可的更新。

2.根据权利要求1所述的控制器复合体，其中所述询问控制器（300、400）设立为：在接收访问许可信息之前向所述权限管理（20）询问所述访问许可信息。

3.根据上述权利要求之一所述的控制器复合体，其中所述权限管理（20）设立为按照所接收到的更新来更新所存放的访问许可的列表。

4.根据上述权利要求之一所述的控制器复合体，

- 其中所述设备管理（10）设立为维持设备的列表，

- 其中所述设备管理（10）设立为：通过接口来接收信息，所述信息被寄给所述列表的设备（20、300、310、400）；对所述设备（20、300、310、400）进行标识；并且将所述信息提供给所述设备（20、300、310、400）。

5.根据权利要求4所述的控制器复合体，其中所述设备管理（10）设立为：从所述权限管理（20）接收现有的访问许可信息并且将所述访问许可信息传送给服务器（600）。

6.根据上述权利要求之一所述的控制器复合体，其中所述权限管理（20）将用于存储在存储器（50）中的访问许可信息传送给内容管理（30），其中所述内容管理（30）设立为接收数据并且将所述数据存放在所述存储器（50）中。

7.根据权利要求6所述的控制器复合体，其中所述内容管理（30）设立为：将这些数据借助于硬件安全模块（40）加密地存放在所述存储器（50）中，其中仅仅所述硬件安全模块（40）访问所述存储器（50）。

8.根据上述权利要求之一所述的控制器复合体，所述控制器复合体设立为：将所述访问许可信息存放在控制器（200）的存储器（50）中，所述控制器并不是在其上设立有所述权限管理（20）的那个控制器（100）。