CN109844822B - 用于车辆的被动进入/被动启动系统以及方法 - Google Patents

Abstract

通信网关建立与便携式设备的蓝牙低功耗通信连接。定位模块使用脉冲无线电(IR)超宽带(UWB)基于双向测距来确定便携式设备的位置。PEPS系统基于便携式设备的位置来执行车辆功能。另一系统包括低频(LF)天线，该低频天线被配置成在预定范围内将无线充电ping信号发送至被配置成用于无线充电的便携式设备。通信网关基于便携式设备对ping信号的响应来认证便携式设备。PEPS系统响应于通信网关认证便携式设备来执行车辆功能。

Description

用于车辆的被动进入/被动启动系统以及方法

相关申请的交叉引用

本申请请求于2017年10月11日提交的美国专利申请第15/730,265号的优先权，并且还请求于2016年10月12日提交的美国临时申请第62/407,190号的优先权。本申请还请求于2017年1月25日提交的美国临时申请第62/450,235号的优先权。上述申请中的每一个的全部公开内容通过引用被并入本文中。

技术领域

本公开内容涉及用于具有下面的连接的车辆的被动进入/被动启动(PEPS)系统和方法，并且更具体地，涉及使用蓝牙低功耗(BLE)通信设备、超宽带(UWB)通信设备和/或无线充电设备的PEPS系统和方法。

背景技术

该部分提供与本公开内容相关的背景信息，其不一定是现有技术。

常规上，PEPS系统允许持有先前已与车辆的中心PEPS电子控制单元(ECU)配对的密钥卡的任何人通过简单地抓住门把手来访问车辆并且通过按下按钮来启动车辆。响应于按钮按下，中心PEPS ECU认证密钥卡以确定密钥卡是否被授权访问车辆，并且使用由多个车辆天线指示的信号强度来估计密钥卡的位置。如果密钥卡能被认证并且位于授权区域内，则车辆的功能可供用户使用(即，门被解锁或车辆被启动)。

传统的PEPS系统使用利用大约125kHz的低频(LF)信号的专有级无线电协议。传统的PEPS系统也受到LF系统的物理效果(physics)的妨碍。LF是由早期的PEPS系统选择的，这是因为波传播使得能够通过使用2米的典型目标激活范围内的信号强度来相对准确地估计范围和位置。然而，由于与实际车辆天线和密钥卡接收器的尺寸相比，LF信号的波长极长，因此难以在合理的功耗和安全的发送功率水平内使用超过几米的LF与密钥卡可靠地通信。

发明内容

本节提供了本公开内容的总体概述，并且不是对其全部范围或全部特征的全面公开。

本公开内容提供了一种系统，该系统包括在车辆中的通信网关，该通信网关被配置成建立与便携式设备的蓝牙低功耗(BLE)通信连接。该系统还包括至少一个传感器，该至少一个传感器被配置成与通信网关通信并且被配置成使用脉冲无线电(IR)超宽带(UWB)通信与便携式设备通信。通信网关被配置成指示至少一个传感器在通信网关与便携式设备之间的配对完成之后的指定的时隙中使用与便携式设备的IR UWB通信来执行双向测距。该系统还包括定位模块，该定位模块与通信网关通信并且被配置成基于由所述至少一个传感器执行的双向测距来确定便携式设备的位置。该系统还包括被动进入/被动启动(PEPS)系统，该被动进入/被动启动(PEPS)系统被配置成从定位模块接收便携式设备的位置并且基于便携式设备的位置执行车辆功能，该车辆功能包括解锁车辆的门、解锁车辆的行李箱以及允许启动车辆中的至少一个。

在其他特征中，所述至少一个传感器被配置成基于与便携式设备的双向测距向通信网关传送信号信息，信号信息包括至少一个传感器与便携式设备之间的双向测距通信信号的接收信号强度、到达时间、到达时间差和到达角度中的至少一个，并且其中，定位模块被附加地配置成基于信号信息来确定便携式设备的位置。

在其他特征中，系统还包括至少一个附加传感器，所述至少一个附加传感器被配置成从通信网关接收与BLE通信连接有关的连接信息，基于连接信息窃听BLE通信连接并且测量与从便携式设备发送至通信网关的至少一个通信信号有关的信号信息，其中，定位模块被附加地配置成接收信号信息并且基于来自BLE通信连接的信号信息以及基于与便携式设备的双向测距来确定便携式设备的位置。

在其他特征中，信号信息包括从便携式设备发送至通信网关的至少一个通信信号的接收信号强度、到达时间和到达时间差中的至少一个。

在其他特征中，至少一个传感器使用到通信网关的有线连接、与通信网关的无线IR UWB连接以及经由通过便携式设备的通信中的至少一个与通信网关通信。

在其他特征中，至少一个传感器通过附接至便携式设备或与便携式设备集成的IRUWB标签进行通信来执行双向测距，其中，便携式设备被配置成与IR UWB标签进行通信。

在其他特征中，所述至少一个传感器包括第一传感器和第二传感器，并且其中，第一传感器被配置成在通信网关与便携式设备之间的配对之后的第一指定时隙中使用与便携式设备的IR UWB通信来执行双向测距，并且第二传感器被配置成在与通信网关之间的配对之后并且在第一指定时隙之后在第二指定时隙中使用与便携式设备的IR UWB通信来执行双向测距。

在其他特征中，定位模块和通信网关被包括在单个电子控制单元中。

本公开内容还提供了一种方法，该方法包括：利用车辆中的通信网关建立与便携式设备的蓝牙低功耗(BLE)通信连接。该方法还包括：利用通信网关指示被配置成使用脉冲无线电(IR)超宽带(UWB)通信与便携式设备通信的至少一个传感器在通信网关与便携式设备之间的配对完成之后的指定时隙中使用与便携式设备的IR UWB通信来执行双向测距。该方法还包括利用至少一个传感器，使用与便携式设备的IR UWB通信来执行双向测距。该方法还包括利用定位模块基于由所述至少一个传感器执行的双向测距来确定便携式设备的位置。该方法还包括利用被动进入/被动启动(PEPS)系统从定位模块接收便携式设备的位置。该方法还包括利用PEPS系统基于便携式设备的位置来执行车辆功能，该车辆功能包括解锁车辆的门、解锁车辆的行李箱、允许启动车辆以及激活车辆中的无线充电站中的至少一个。

在其他特征中，该方法还包括：利用至少一个传感器，基于与便携式设备的双向测距，向通信网关传送包括所述至少一个传感器与便携式设备之间的双向测距通信信号的接收信号强度的信号信息。该方法还包括附加地利用定位模块，基于信号信息来确定便携式设备的位置。

在其他特征中，该方法还包括利用至少一个附加传感器从通信网关接收与BLE通信连接有关的连接信息。该方法还包括利用所述至少一个附加传感器，基于连接信息来窃听BLE通信连接。该方法还包括利用所述至少一个附加传感器来测量与从便携式设备发送至通信网关的至少一个通信信号有关的信号信息。该方法还包括利用定位模块接收信号信息。该方法还包括利用定位模块基于来自BLE通信连接的信号信息以及与便携式设备的双向测距来确定便携式设备的位置。

在其他特征中，信号信息包括从便携式设备发送至通信网关的至少一个通信信号的接收信号强度。

在其他特征中，至少一个传感器使用到通信网关的有线连接、与通信网关的无线IR UWB连接以及经由通过便携式设备的通信中的至少一个与通信网关通信。

在其他特征中，利用至少一个传感器执行双向测距包括：与附接至便携式设备的IR UWB标签进行通信，其中，便携式设备被配置成与IR UWB标签进行通信。

在其他特征中，至少一个传感器包括第一传感器和第二传感器，并且其中，执行双向测距包括利用第一传感器，在通信网关与便携式设备之间的配对之后的第一指定时隙中，使用与便携式设备的IR UWB通信来执行双向测距，并且利用第二传感器，在与通信网关之间的配对之后病情在第一指定时隙之后在第二指定时隙中使用与便携式设备的IR UWB通信来执行双向测距。

本公开内容还提供了另一种系统，该系统包括车辆上的至少一个低频(LF)天线，该至少一个低频天线被配置成在至少一个LF天线的预定范围内将无线充电ping信号发送至被配置成用于无线充电的便携式设备。该系统还包括车辆中的通信网关，该通信网关被配置成建立与便携式设备的无线通信连接，以通过无线通信连接从便携式设备接收对无线充电ping信号的响应并且基于对无线充电ping信号的响应来认证便携式设备。该系统还包括被动进入/被动启动(PEPS)系统，该被动进入/被动启动系统与通信网关通信，并且被配置成响应于通信网关认证便携式设备而执行车辆功能，该车辆功能包括解锁车辆的门、解锁车辆的行李箱以及允许启动车辆中的至少一个。

在其他特征中，通信网关被配置成控制至少一个LF天线何时向便携式设备发送无线充电ping信号。

在其他特征中，通信网关被配置成控制至少一个LF天线响应于门按钮致动、按下按钮致动、通信网关与便携式设备之间的通信信号的信号特性、便携式设备的GPS定位、车辆的GPS定位以及从附加车辆传感器接收到的数据中的至少一个来向便携式设备发送无线充电ping信号。

在其他特征中，来自便携式设备的对无线充电ping信号的响应是加密的、重置安全的和被签名的中的至少一个。

在其他特征中，至少一个LF天线被配置成使用LF通信与密钥卡进行通信。

在其他特征中，至少一个LF天线包括多个LF天线。

在其他特征中，无线通信连接是蓝牙低功耗(BLE)通信连接和脉冲无线电(IR)超宽带(UWB)通信连接中的一个。

适用的其他领域将根据本文中所提供的描述变得明显。本概述中的描述和具体示例仅旨在说明的目的，而不旨在限制本公开内容的范围。

附图说明

本文中描述的附图仅出于对选择的实施方式而非所有可能的实现方式进行说明的目的，并且不旨在限制本公开内容的范围。

图1示出了根据本公开内容的具有PEPS系统的主题车辆。

图2示出了根据本公开内容的PEPS系统的框图。

图3示出了根据本公开内容的PEPS系统的传感器的框图。

图4示出了根据本公开内容的PEPS系统的通信网关。

图5示出了传感器接收来自授权设备的数据和来自攻击者的数据的时序图。

图6示出了由两个传感器接收到的数据的时序图。

图7示出了根据本公开内容的PEPS系统的框图。

图8示出了由传感器使用以查找和跟随安全通信链路的信息。

图9示出了根据本公开内容的PEPS系统的操作。

图10示出了根据本公开内容的示例性信道跳跃映射。

图11示出了根据本公开内容的传感器与通信网关时间同步的处理。

图12示出了根据本公开内容的用于配置和控制传感器网络以及开始和/或停止跟随连接的PEPS模块的处理。

图13示出了根据本公开内容的认证方法。

图14示出了从属设备(slave)、主设备(master)、通信网关和传感器之间的通信的时序图。

图15示出了现有技术的PEPS系统。

图16示出了根据本公开内容的PEPS系统。

图17示出了根据本公开内容的PEPS系统。

图18示出了根据本公开内容的给便携式设备的警报的截图。

图19示出了根据本公开内容的具有PEPS系统的主题车辆。

图20示出了根据本公开内容的具有PEPS系统的主题车辆。

图21示出了根据本公开内容的具有PEPS系统的主题车辆。

图22示出了根据本公开内容的PEPS系统的序列图。

图23示出了根据本公开内容的具有PEPS系统的主题车辆。

图24示出了根据本公开内容的PEPS系统的框图。

图25示出了根据本公开内容的PEPS系统的序列图。

在附图的若干视图中对应的附图标记指示对应的部分。

具体实施方式

现在将参照附图更充分地描述示例实施方式。

本公开内容涉及基于蓝牙联盟(Bluetooth Consurtium)的标准化规范使用消费级无线协议来实现PEPS系统的系统、方法和架构。具体地，本公开内容涉及使用蓝牙低功耗(BLE)通信协议以用于车辆与启用BLE的用户设备(例如，智能电话或可穿戴设备)之间的通信的PEPS系统。此外，本公开内容适用于具有免匙系统的车辆系统，通常称为PEPS系统或免匙进入和免匙起动系统。通常，PEPS系统是一种定位系统。本公开内容涉及安全地实现以PEPS应用为目标的定位系统的系统、方法和架构，该PEPS应用使用被配置成查找BLE设备与车辆之间的现有连接并且测量通信的定时和信号特性的传感器网络。以这种方式，本公开内容提供了一种PEPS系统，该PEPS系统通过相对于车辆定位无线设备并且将无线设备的位置与决策标准(decision criteria)进行比较来为车辆的授权用户提供对车辆功能的安全访问。如下面详细讨论的，本公开内容的PEPS系统包括中心模块，该中心模块从放置在车辆中和车辆周围的多个传感器收集从无线设备接收到的接收信号强度。例如，中心模块包括用于无线设备的认证的加密密钥和质询(challenge)响应算法。以这种方式，如下面详细讨论的，本公开内容描述了使用BLE通信协议实现PEPS系统的功率高效且私密的方法。

期望允许用户将他们的智能设备(例如，智能电话和诸如可穿戴设备的其他设备)用作车辆钥匙。如下面详细讨论的，这将实现数字钥匙共享应用。此外，远程距离特征对于像被动迎宾照明、远程停车应用的距离边界等便利特征而言也变得至关重要。传统的PEPS系统无法实现这样的系统和优点，因为每个车辆制造商和PEPS系统供应商传统上使用由普遍存在的设备(例如，智能电话)不使用的无线电频率来实现专有的封闭系统。

本公开内容的系统、方法和架构包括PEPS系统，该PEPS系统具有：中心模块，其用于做出决策；以及多个传感器模块，其用作传统PEPS系统上使用的多个LF天线的直接替换。本公开内容的系统、方法和架构与传统的LF PEPS系统的不同之处在于，何时收集数据以及数据如何流动以及如何通过系统处理数据的时间。

参照图1和图2，PEPS系统1(也可以称为定位系统)被设置在车辆30内，并且包括通信网关29和统称为31的多个传感器31A-31F。PEPS系统1包括一个或更多个车辆模块20，其分布在整个车辆30中并且能够通过例如车辆接口45彼此通信。此外，模块中的一些可以集成到单个+ECU中或能够使用车辆接口45彼此通信。例如，车辆接口45可以包括用于主模块之间的通信和/或较低数据速率通信的控制器区域网络(CAN)总线(例如，用于多个传感器31A至31F之间的通信的本地互连网络(LIN))。车辆接口45还可以包括时钟扩展外围接口(CXPI)总线。附加地或替选地，车辆接口45可以包括CAN总线、LIN和CXPI总线通信接口的组合。下面参照图3更详细地讨论传感器31的结构。

例如，车辆模块20可以包括通信网关29，该通信网关29包括连接至天线19的BLE芯片组21。如图2所示，天线19可以位于车辆30中。替选地，天线19可以位于车辆模块20内。替选地，天线19可以位于车辆模块30外部。车辆模块20还可以包括经由安全通信链路680认证用于通信的便携式设备10的链路认证模块22。车辆模块20还可以包括用于推送数据的数据管理层23。车辆模块20还可以包括连接信息分发模块24。车辆模块20还可以包括定时控制模块25。车辆模块20还可以包括远程信息处理(telematics)模块26，例如，全球定位系统(GPS)模块和/或其他导航或定位模块。车辆模块20还可以包括PEPS模块27。车辆模块20还可以包括车身控制模块。车辆模块20还可以包括传感器处理和定位模块32。车辆模块20还可以包括安全滤波模块33。

如图1和图2所示，便携式设备10可以经由安全通信链路680与车辆30的通信网关29通信。不受限制地，便携式设备10可以是任何启用蓝牙的通信设备，例如，智能电话、智能手表、可穿戴电子设备、密钥卡、平板设备或与车辆30的用户(例如，车辆30的拥有者、驾驶员、乘客和/或车辆30的技术人员)相关联的其他设备。便携式设备10可以包括连接至天线13的BLE芯片组11。便携式设备10还可以包括存储在计算机可读存储模块或设备中的应用软件12。便携式设备10还可以可选地包括GPS模块14或其他设备位置服务。

便携式设备10和通信网关29可以建立安全通信链路680，如蓝牙规范所提供和定义的蓝牙通信链路。例如，便携式设备10与通信网关29之间的安全通信链路680可以是BLE通信链路。PEPS系统1可以被配置成向便携式设备提供安全通信链路680的附加认证。例如，通信网关29可以与链路认证模块22通信以认证便携式设备10并且建立安全通信链路680。例如，链路认证模块22可以被配置成实现质询响应认证。在这种情况下，与通信网关29与便携式设备10之间的通信有关的定时信息被发送至定时控制模块25，如下面所描述的，该定时控制模块25通过车辆接口45与传感器31A至31F通信。此外，通信网关29可以将与通信信道和信道切换参数有关的信息传送至连接信息分发模块24。连接信息分发模块24被配置成使用车辆接口45与传感器31A至31F中的每一个通信，并且一旦传感器31A-31F与通信网关29同步，就向传感器31A至31F提供传感器31A-31F查找并且随后跟随或窃听安全通信链路680所需的通信信息。虽然图1和图2示出了具有六个传感器31A至31F的PEPS系统1，但可以使用任何数量的传感器。例如，PEPS系统可以包括七个、八个、九个、十个、十一个、十二个或更多个传感器。以这种方式，虽然本公开内容提供了利用六个传感器的示例，但是根据本公开内容可以使用附加的或更少的传感器。

参照图3，每个传感器31包括连接至天线43的BLE芯片组41。如图3所示，天线43可以位于传感器31的内部。替选地，天线43可以位于传感器31外部。传感器31使用天线43接收BLE信号，并且具体地，使用BLE物理层(PHY)控制器600来接收BLE物理层消息。传感器31能够观察BLE物理层消息并且使用由信道映射重建模块42产生的信道映射对相关信号的物理性质(例如，包括接收信号强度(RSSI))进行测量。附加地或替选地，传感器31可以确定相关信号的物理性质的其他测量结果，例如，其包括与到达角度有关的数据。附加地或替选地，传感器31可以经由车辆接口彼此通信和/或与通信网关29通信，以确定由多个传感器接收到的信号的到达时间差、到达时间或到达角度数据。传感器31经由车辆接口45从通信网关29接收定时信息和信道映射信息。定时同步模块44被配置成准确地测量车辆接口45上的消息的接收时间并且将定时信息传递给BLE芯片组41。BLE芯片组41被配置成获取信道映射信息和定时信号并且在特定时间将PHY控制器600调整至特定信道，并观察符合蓝牙物理层规范的所有物理层消息和数据，例如，该蓝牙物理层规范包括在蓝牙规范版本5.0中建议或采用的正常数据速率。BLE芯片组41经由车辆接口45将数据、时间戳和测量的信号强度报告给车辆30的通信网关29或其他车辆模块20。

参照图4，通信网关29包括连接至天线19以接收BLE信号的BLE芯片组41。BLE芯片组41实现蓝牙协议堆栈46，例如，该蓝牙协议堆栈46符合包括例如BLE规范的版本5的BLE规范。BLE芯片组41还包括由在计算机可读介质(例如，存储模块)中存储的应用代码实现的应用47。应用47可以包括蓝牙规范之外的修改，以使BLE芯片组41能够检查由BLE芯片组41发送和接收到的带时间戳的数据，而不管数据的有效性。例如，应用程序47使BLE芯片组41能够将发送和接收到的数据与期望进行比较。通信网关29被配置成经由车辆接口45将实际发送和接收到的数据发送至车辆30的车辆系统。替选地，通信网关29可以被配置成经由车辆接口45从每个传感器31接收数据。如下面进一步详细描述的，应用47还可以被配置成使BLE芯片组41能够确认每个传感器31在正确的时间接收到正确的数据。

继续参照图4，通信网关29还被配置成提供与每个传感器31查找例如由通信网关29与便携式设备10维持的连接所需的正在进行的连接和定时信号有关的信息并且随后跟随该连接。蓝牙协议堆栈46被配置成向应用47提供信道映射、访问标识符、下一信道和到下一信道的时间。蓝牙协议栈46被配置成将用于发送和接收事件的时间戳的定时信号输出至应用47和/或BLE芯片组41的数字PIN输出。通信网关29还包括定时同步模块44。定时同步模块44被配置成接受定时信号并且与车辆接口45一起工作，以创建连接信息消息和其他通信的准确时间戳。

常规的BLE PEPS系统使用如美国公布第2014/0188348号描述的BLE公告数据，其通过引用被并入本文中。在这样的系统中，建立授权的便携式设备与PEPS模块之间的安全链路。当需要授权访问的车辆功能(例如，解锁门)时，便携式设备必须向PEPS模块发送公告信号。PEPS模块接收每个传感器上的公告信号，处理信息并且做出与便携式设备的位置有关的决策。美国公布第2014/0188348A号还描述了一种系统，其中，便携式设备将需要单独连接至PEPS系统的每个传感器。该类型的系统存在几个缺点。例如，便携式设备可能无法连接至每个传感器。由于大多数BLE芯片组支持总共八个连接，其中一个连接通常是至通信网关的安全连接，因此典型的限制将限制至七个传感器的连接数目。此外，每个传感器的连接事件之间存在时间延迟。因此，每个传感器将不会测量相同的信号。例如，因为BLE使用跳频技术(FHSS)，所以每个传感器通常将在不同时间处在不同信道上测量来自便携式设备的信号。这可能引起准确性的潜在的任务关键性损失。

BLE规范规定使用40个通信信道，其中三个信道被称为“公告”信道。这些公告信道用于设备发现彼此并且报告与它们是什么类型设备有关的一些基本信息。例如，公告数据包含广播通常是设备的名称以及设备提供的服务的公告数据包的设备的地址，。汽车系统可以检测和测量公告信道数据包，以便定位电话相对于车辆的位置。然而，如下面详细讨论的，这样的系统可能易于注入公告数据，并且受到公告主继续公告所需的附加通信负担的影响。因此，为了定位设备，使用其他三十七个“连接信道”会更有益。

一旦两个设备被连接，就不再需要正在广播的设备来满足通信要求。然而，如果该设备需要由使用公告信道的系统定位，则必须继续在公告信道上进行广播，而在电池供电的设备上产生显著的功耗问题。因此，使用连接数据的系统可以为设备提供安全优势以及节能优势。这样的系统还使系统能够监测不认为自身是系统的一部分的设备的位置，例如，跟踪未直接连接至车辆系统的智能手表。

使用公告日期的传统BLE PEPS系统易受攻击。例如，攻击者可以使用数据包嗅探器从包括授权的便携式设备的所有附近设备收集公告数据。授权的便携式设备位于任何PEPS系统的授权区域之外。攻击者可以将其无线电发射功率设置为与便携式设备(通常是智能电话且容易地被攻击者表征)的发射功率类似的发射功率并。在设置发射功率之后，攻击者可以移动到PEPS系统的外部授权区域，通常是门外。然后，攻击者可以克隆公告数据并且注入PEPS系统。根据在PEPS系统中内置的保护的复杂程度，攻击者还可以使用主动干扰模式来干扰PEPS系统以正确接收原始公告数据包。

传统的BLE芯片组和软件堆栈实现未被配置成检测该类型的公告数据的注入，并且BLE规范的任何部分都不保证公告数据的严格确定的达时间。在不存在每个传感器之间的时间同步的情况下，无法保证每个传感器是正在测量相同的信号还是正在测量不同的信号，使系统对克隆、干扰和注入攻击保持严重的开放。

另一方面，本公开内容提供了PEPS系统1，该PEPS系统1使传感器31能够跟踪授权的便携式设备10与通信网关29之间的连接数据，以对通信信号进行测量并且验证测量的数据未被攻击者注入。许多注入防止技术适用于公告数据。然而，通过消除便携式设备10进行公告的需要，本公开内容提供了更安全且节能的PEPS系统1。这实现了使得传感器31能够查找并且跟随预先存在的连接数据，其中，每个传感器测量在到达时间和频率信道方面具有已知期望的信号，从而保证所有传感器31正在测量相同的信号。以这种方式，本公开内容的PEPS系统1与每个传感器31共享同便携式设备10与通信网关29之间的现有连接有关的信息。以这种方式，每个传感器31都能够查找便携式设备10与通信网关29之间的现有通信连接，以开始跟随通信连接并且利用通信连接保持准确的时间。本公开内容的PEPS系统1还使每个传感器31能够验证攻击者没有试图将数据注入系统。相同的反注入技术适用于公告系统，例如，在美国公布第2014/0188348号中所描述的公告系统。此外，虽然本公开内容的许多反注入技术适用于公告数据，但是与时间相关的反注入技术需要仅可以提供连接数据的确定性时间。

在传统的BLE PEPS系统中，攻击者可以克隆来自授权的便携式设备的公告数据包，并且将公告数据包注入PEPS系统中。每个BLE数据包具有由前导码和访问地址组成的数据头、由数据的数据头和数据负载组成的数据部分以及CRC。攻击者可以观察所有这些信息并且克隆所有数据。紧接在接收到来自数据包的所有数据之后，攻击者可以借助物理定位或通过调制发射功率，将相同频率信道上的数据的准确复制包(duplicate)重放到PEPS系统中，使传感器读取注入测量结果。为了保护自身，PEPS系统必须检测在预期时间窗口内存在相同或相似数据的两个副本，以确定其是否受到攻击。可以针对与攻击模式匹配的负载包检查传感器本身或更广泛的PEPS系统内的数据包的任何部分或数学推导。最有用的信息是接收到数据的信道号、跨整个PEPS系统的同步时间戳以及连接数据的访问地址。

攻击者不需要知道可能的多个附近公告设备中的哪一个是授权的便携式设备。更确切地，攻击者可以从所有附近设备克隆公告数据的每个副本。稍微富有经验的黑客可以同时跨所有三个公告信道执行克隆。该技术将保证如果存在授权的便携式设备，则将成功克隆并注入数据。

此外，更富有经验的黑客可能使传统的PEPS系统拒绝原始数据包，因此注入的数据包是观察到的唯一有效的数据包。BLE芯片组和堆栈将拒绝没有有效CRC的任何消息。攻击者可以克隆数据包中的所有数据，直到数据部分的尾端。然后，攻击者可以使用与数据包长度有关的现有知识或使用数据的数据头中的信息来解码数据长度，以计算接收到最后的数据字节的时间。由此，攻击者可以接收到直到CRC的所有可用数据。然后，攻击者可以使用板上处理来计算消息的正确CRC并且将信号发送到物理信道，这将使校验和损坏。然后，传统的PEPS系统可能会接收到损坏的形式的消息。紧接在CRC被授权的便携式设备发送并且被攻击者损坏之后，攻击者可以使用从具有计算的校验和的数据包中克隆的数据并且将校验和插入数据包中来重建数据包。现在可以将重建的数据包注入传统的PEPS系统中。

通常，BLE协议堆栈丢弃具有无效CRC字段的消息，并且不向上层应用报告该信息。为了使BLE PEPS系统能够保护自身免受上述类型攻击，必须修改BLE协议堆栈以报告消息，即使CRC无效。即，通常被BLE协议堆栈丢弃的消息必须被提供给PEPS系统以进行处理。最值得注意的是，应用应当检测在给定时间帧内存在具有相同负载的两个消息，尽管第一数据包的CRC是无效的。然后，PEPS系统可以确定系统已被企图的注入攻击。

此外，即使BLE PEPS系统包括具有修改的BLE协议堆栈的传感器以检测损坏的消息并且可以通过处理注入的数据来保护自身，但如上面所描述的那样，BLE PEPS系统仍可能易受射频(RF)隔离攻击的影响。通过RF隔离攻击，攻击者提供对位于车辆外部的传感器RF隔离。例如，可以使用简单盒子来击败修改后的BLE协议栈并且允许将数据注入传感器和PEPS系统中，该简单盒子提供RF与盒子内部的隔离，其中具有用于克隆公告的在外部的天线和用于将供给信号注入到传感器的在内部的天线。

为了使PEPS系统能够保护自身免受RF隔离攻击，需要两种技术。第一种技术利用信号的到达时间的非常准确的时间期望，由此PEPS系统具有时间同步方法，以确保PEPS系统具有检查来自每个传感器的输入信号的到达时间并且将输入信号的实际到达时间与预期到达时间进行比较的方法。跨所有传感器的全局时间的不匹配指示数据已被克隆或注入。基于到达时间将传感器数据包为两组或更多个不同集合的情况下的不匹配将指示攻击者已将传感器与接收到真实信号隔离并且然后注入克隆的副本。

本公开内容提供了检测和削减注入攻击风险的方法。例如，图5示出了如果传感器在各种类型的物理层攻击下传感器可能会观察到的情况。在图5中，横轴表示时间，刻度线510A-F表示来自授权的便携式设备的数据的预期协议间隔。用于BLE通信的协议时间510A-F是授权的便携式设备的预期公告间隔或连接间隔以及针对便携式设备与PEPS系统内的通信网关之间的连接的从属延时参数。在图5中，纵轴表示传感器将从攻击者接收到的信号强度以及从授权的便携式设备接收到的信号强度。

出于示例性目的，由传感器接收到的较强的RSSI值使PEPS系统授权车辆功能。对于攻击者对PEPS系统成功地进行攻击，攻击者必须注入比一些可配置决策阈值551更强的RSSI值。攻击者通过观察通信530并且克隆数据来进行攻击。随后，攻击者以适于满足或超过决策标准551的信号强度520将数据重放到PEPS系统。

继续参照图5，时间间隔510A与来自授权的便携式设备的准确测量结果对应。重要的特征是在刻度510A的预期公差内仅出现一个采样的测量结果530A。PEPS系统应当将点530A判断为有效测量结果以进行进一步处理，这是因为在BLE物理层上未观察到可疑数据。

在时间间隔510B处，攻击者尝试克隆复制数据包530B中包含的数据并且在520B处注入。下面参照图6和图7详细讨论的传感器和随后的安全滤波模块33可以检测到通过一个或更多个以下描述的技术来注入数据。首先，安全滤波器模块可以对观察到的声称源自授权的便携式设备的数据包的数量进行计数，并且将该数量与协议将允许的来自便携式设备的数据包的最大可能数量进行比较。在该技术中，在时间间隔510B处，直到刻度510C处的下一个预期到达时间为止，两个点520B和530B声称源自授权的便携式设备，其中协议将仅允许一个点。其次，安全滤波器模块可以测量任何给定时间窗口上的方差或数学等量并且与可配置的阈值进行比较，以确保方差在从授权的便携式设备预期的有界范围内。在时间间隔510B处，可以判断出计算的变化552太高。应当注意的是，此处描述的方差技术和数据包计数技术同样适用于跨多个时间间隔的应用。

继续参照图5，时间间隔510C处的攻击者企图通过将对530C进行克隆直到CRC然后干扰传感器准确接收CRC的能力来将克隆的数据包520C注入到PEPS系统中。传感器可以对接收到的具有无效校验和530C的数据包实现特定的BLE协议堆栈软件处理，从而允许传感器和安全滤波模块33在前述部分中所描述的其计数算法中对破坏的数据530C进行计数。因此，在时间间隔510C处，检测到两个声称的数据包520C和530C，其中该协议将仅允许一个数据包在相同的间隔期间源自授权的便携式设备，从而允许PEPS系统确定已经被注入一些数据。此外，对损坏的数据包的特定BLE协议堆栈处理同样适用于其他处理技术，例如，包括在方差测量或时序分析中的处理技术。

时间间隔510D处的攻击者企图通过在传感器周围放置阻止传感器接收数据包530D的RF隔离器，从而将克隆的数据包520D注入传感器中。该攻击将绕过两个先前描述的对时间窗口中的数据包数量进行计数以及与协议允许的最大数量进行比较的并且如果仅授权的便携式设备正在产生信号则检查边界外部的方差的技术。在时间间隔510D期间，传感器将仅接收一个数据包520D。传感器和安全滤波模块33可以通过测量接收到数据的时间并且将该时间与协议时间进行比较来检测该数据的注入。由刻度标记510D指明的预期到达时间与数据包520D的实际到达时间之间的差值被表示为550。PEPS系统中的传感器需要同步方法以便准确地测量时间间隔550。下面进一步详细讨论同步方法。

还应当注意的是，如果注入的数据在预期的协议时间510D之前到达，则时间间隔550可以呈现负值。这在时间间隔510E中示出。在攻击者可以预测530E中包含的值并且提早注入520E的情况或攻击者实施中间人(MITM)攻击的情况，在攻击者意识到来自授权的便携式设备的数据之后借助移动刻度标记510E来增加时间延迟，因此允许攻击者在数据530E中继到系统之前将520E注入PEPS系统中。为了检测该类型的攻击，传感器可配置成在预计的到达时间510E之前扫描数据包，查找可能源自最终将被提早注入系统的授权的便携式设备的数据。通常，BLE设备由于预扫描BLE提供的所有三十七个可用连接信道且同时还维持通信链路的工作负载，难以检测是否存在门控(gating)消息的中继MITM攻击者。然而，在具有多个传感器的PEPS系统中，每个传感器可以被配置成搜索不同的信道以查找从便携式设备至攻击者的数据。此外，值得注意的是，作为MITM的攻击者将不会产生与源自便携式设备的数据包(例如，530E)完全等同的数据包520E。最值得注意的是，FHSS信道号将是不同的，并且连接的访问地址也可能不同。然后，应该搜索的是每个数据包中与便携式设备和/或PEPS系统本身等效的地址。

虽然上面的讨论描述了单个传感器可以检测数据注入攻击的测量类型，但是图6示出了下面详细描述的安全滤波模块33如何操作以检查来自搜索更复杂的注入类型的多个传感器的数据，其中，攻击者成功地破坏传感器或传感器集合。参照图6，图表上的横轴表示时间，纵轴表示测量的信号值。在图6的示例中，纵轴表示RSSI。每个刻度标记510A-F表示PEPS系统中的每个数据样本的预期到达时间。该图表包括从被称为传感器A的传感器接收到的数据520A至520D以及从被称为传感器B的传感器接收到的数据530A至530D。假设值520A-F全部满足条件(未示出)，其中，授权的便携式设备被认为位于应该启用基于位置的功能的区域中。安全滤波模块33可以使用由的其他传感器(例如，传感器B)产生的数据来验证传感器是否具有由线580和581表示的有效范围内的值。如果的任何替选传感器(例如，传感器B)对与期望测量结果520A-F不一致的测量结果530A-F进行采样，则安全滤波模块33可以向PEPS系统报告当前测量结果不应该允许便携式设备访问车辆功能。

继续参照图6，时间间隔510A对应于有效数据的示例。数据点530A在边界580与581之间。在时间间隔510B处，攻击者已经将样本注入到传感器A中，但是相对于传感器B具有时间延迟。安全滤波模块33将520B的到达时间和530B的到达时间进行比较，计算接收时间585之间的差并且将该差与可配置阈值进行比较。如果差585不在某些系统性能和测量误差界限内，则安全滤波模块33可以检测到数据被注入到系统中。在时间间隔510C处，攻击者已经在参考传感器A之前将数据注入传感器B中。应用于时间间隔510B的相同时间边界原理可以应用于时间间隔510C。如果点530C和520C不一致超过系统的测量能力，并且差586不在系统性能和测量误差界限内，则安全滤波模块33可以检测到数据被注入到系统中。

继续参照图6，假设攻击者可以在时间间隔510D期间没有时间矛盾地将数据520D注入传感器A中，安全滤波模块33可以使用来自传感器B的测量数据530D来验证520D是否可能是注入的数据。在图6的示例中，数据点530D被认为太弱，因为它比阈值581更弱。安全滤波模块33将判断点520D或530D被注入，因为这两点与有效数据点无关。在一个实施方式中，在给定测量结果520D的情况下，接收使能标准520D并且检查观察530D的条件概率。如果将条件概率与可配置置信度(例如，映射到RSSI线580/581)进行比较，则安全滤波模块33可以确定点530D和520D无法相互确证，并且520D或530D都是无效注入数据。

继续参照图6，假设攻击者可以在时间间隔510E期间没有时间矛盾地将数据520E注入到传感器A中，并且传感器B正在测量确证520E的值530E。传感器A和B被配置成报告数据包521和531中包含的数据。如果数据521和531不完全相同，则安全滤波模块33可以确定一些数据已经被注入到系统中。附加地或替选地，为了减少在每个传感器与安全滤波模块33之间传输的数据量，散列522和散列532，例如，在数据包中包含的数据的使用SHA-256加密散列算法的散列可以从每个传感器被传输到安全滤波模块33。如果散列522和532不完全匹配，则安全滤波模块33被配置为判断数据已被注入到系统中。

图7示出了使用能够在传感器31的天线601上接收BLE信号的PHY控制器600并且将与数据包有关的测量信息传递到安全滤波模块33的PEPS系统1。如上面关于图5和图6所讨论的安全滤波模块33搜索对如上所述的物理层和协议的侵入，并且在将信息一起传递到传感器处理和定位模块32之前对数据进行相应地滤波。安全滤波模块33被配置成将数据标记为被注入，使得传感器处理和定位模块32可以丢弃数据并且警告PEPS系统。来自传感器处理和定位模块32的数据被一起传递到PEPS模块27，由此PEPS模块27被配置成从多个传感器读取车辆状态信息，以检测用户访问功能的意图并且将便携式设备10的位置与授权特定车辆功能(例如，解锁车辆的门或行李箱和/或启动车辆)的一组位置进行比较。

继续参照图7，PHY控制器600从便携式设备10收集数据和测量值RSSI的先决条件是便携式设备10与通信网关29之间的安全通信链路680(例如，安全BLE通信链路)。通信网关29被配置成与连接信息分发模块24共享与通信网关29与便携式设备10之间的安全通信链路680有关的信息。连接信息分发模块24被配置成传播与安全通信链路680有关的信息以跟随多个物理层控制器600。物理层控制器600是在被发现在传感器31中的BLE芯片组41的部件。例如，连接信息分发模块24可以是车辆通信网络(例如，本地互连网络(LIN)或控制器局域网(CAN))中的任何有线网络。然而，可以使用其他通信连接或总线。

继续参照图7，通信网关29被配置成与定时控制模块25共享与通信网关29和移动设备10之间的安全通信链路680的当前定时信息有关的信息。定时控制模块25被配置成利用多个传感器31传播当前定时信息。附加地或替选地，在由传感器31收集来自便携式设备10的公告数据的实施方式中，通信网关29被配置成与每个传感器31共享定时脉冲。在这种情况下，传感器31被配置成接受来自通信网关29的定时信息并且记录相对于定时脉冲的输入数据的数据包。传感器31将带时间戳的数据报告给安全滤波模块33，安全滤波模块33现在可以在定时系统的准确界限内确立是否在同一时间接收到传感器之间的数据包，如上面详细讨论的。

继续参照图7，定时控制模块25被配置成交换下面参照图8描述的数据。参照图8描述的信息足够用于使传感器31查找并且跟随现有的安全通信链路680，只要传感器31与通信网关29同步即可。

参照图8，通信网关29可以将示出为1200到1290的信息传输至所有传感器31。通信网关可以传输信道映射1200、信道跳跃间隔1210、从属延时1220、下一个信道1230、下一个信道时间1240、时钟准确度1250、滤波数据1260、信道预扫描参数1270、信道扫描后参数1280和连接监测参数1290。信道映射1200向传感器31传达要观察三十七个连接信道和三个公告信道中的哪一个。信道映射1200传达参数，该参数指定如何计算下一信道。例如，在BLE中，这是一个简单的递增器。信道跳跃间隔1210与BLE规范中定义的连接间隔对应。信道跳跃间隔1210通知每个传感器31在下一个信道上开始观察处理之前等待多长时间并且用于通知安全滤波模块33和传感器31下一个数据包的预期到达时间。从属延时1220通知传感器有多少(如由信道跳跃间隔1210定义的)时间段，被观察的设备被允许跳过通信。通常，该值在定位便携式设备10时将为零。下一个信道1230向传感器31通知信道映射1200内的下一次应该观察的信道。下一个信道时间1240通知传感器未来传感器31在下一个信道1230上应该进行观察的时间。系统(包括便携式设备10)中的设备的时钟准确度1250被传感器31用于计算开始校正系统的测量能力的观察的时间以及每个设备发送的时间的不确定性。一旦传感器31接收到信息1200、1210、1220、1230、1240和1250，传感器就可以使用该信息来查找安全通信链路680并且开始跟随该连接。滤波数据1260通知每个传感器31如何对在数据包中接收到的数据进行滤波。滤波数据可能包括用于连接的预期的访问标识符。滤波数据还可能包括数据包的最小长度或指示数据包是否包含加密数据的信息。滤波数据还指示传感器要测量数据包的哪些方面，例如，最值得注意的是RSSI，还有时间戳、来自标称预期到达时间的时间Δ、信道号、CRC是否正确、帧中的数据以及被滤波并报告给安全滤波模块610的消息的任何部分的散列。信道预扫描参数1270在下一次观察之前通知传感器31如何观察信道，需要在安全通信链路680上进行观察之前查找MITM攻击者数据和注入数据。预扫描参数的简单示例可以是指示传感器31可以在搜索预注入数据的期望信道上提早观察的信息。另一示例是指示传感器40可以在不需要在搜索与MITM攻击匹配的数据包的安全通信链路680上进行观察的所有时间期间在随机选择的信道上进行观察的信息。信道扫描后参数1280在完成一个观察之后通知传感器如何观察信道，在安全通信链路680上进行观察之前查找MITM攻击者数据和注入数据。连接监测参数1290包括例如由蓝牙规范定义的链路监督超时。连接监测参数1290允许传感器31确定不再跟踪连接，因为连接已经失败。

参照图9，描述了PEPS系统1的操作。在图9的示例中，便携式设备10被配置为BLE外围设备。然而，如果替代地将便携式设备配置成BLE中心，则系统也可以同样工作。在处理1010期间，如BLE规范所定义的，便携式设备10继续进行公告1020，直到可以根据蓝牙规范建立与通信网关29的连接。在处理1011期间，如蓝牙规范所定义的，通信网关29执行对便携式设备10的扫描。一旦通信网关29发现了便携式设备10，通信网关29就根据由蓝牙规范定义的方法向便携式设备10发送链接请求1021。一旦建立了通信网关29与便携式设备10之间的连接，就可以根据蓝牙规范终止公告1010和扫描1011的处理。

在建立通信链路之后，通信网关29开始处理1013，并且便携式设备10开始处理1012以根据蓝牙规范保持链路。在建立通信链路之后，通信网关29识别到通信链路的所有连接参数，并且使用消息1040与连接信息分发模块24交换连接参数信息。车辆接口45接收连接参数信息并且将该信息传递给传感器31的BLE芯片组41。通信网关29将定时信息消息1041传送至定时控制模块25。传感器31经由车辆接口45接收时间信息消息1041。传感器31内的定时同步模块44接收时间信息消息1041。定时控制模块25被配置成发送具有信号1041的消息，该信号1041包含相对于消息本身测量的到下一事件的时间。定时同步模块44能够准确地对车辆接口45上的输入消息加时间戳，并且控制BLE芯片组41根据连接参数来观察必要的信道。

继续参照图9，传感器31执行处理1014以接收输入连接信息1040和定时信号1041。传感器31使用信道映射重建模块42来再现连接信息调度表。图10中示出了连接信息调度表的示例，其在下面进一步详细讨论。传感器31设置其相对于定时信号1041的时基，并且学习要在连接信息消息1040中观察的下一个连接事件的时间和信道。因此，传感器31可以计算直到下一个连接事件1060的时间。针对通过定时控制模块25的同步准确度和每个设备的时钟误差，校正时间窗口1060的计算。传感器31等待计算的时间1060，然后开始观察1015A中心到外围设备的通信1050A和外围设备到主机的通信1050B。传感器31被配置成测量传输1050A和1050B中的每一个的接收能量强度。传感器31可以被配置以测量的其他参数包括：(1)传输1050A和1050B中的每一个的数据；(2)数据的数学推导，例如，散列函数，如SHA256；(3)1050A和1050B的到达时间；(4)1050A和1050B的到达时间差；(5)1050A和1050B中的每一个的相位角度和到达相位角度。1015A的扫描宽度由所涉及的时间的不确定性以及预扫描行为和扫描后行为限定。预扫描和扫描后对于验证系统的不确定性窗口内是否存在攻击者至关重要。在观察1015A期间收集的信息通过安全滤波模块33被传递到传感器处理和定位模块32。然后，传感器31等待连接间隔时间1061A直到下一个连接事件。连接间隔时间1060A-B被计算为，使得时钟准确度、同步误差以及预扫描参数和扫描后参数影响下一个唤醒时间。在经过连接间隔时间1061A之后，传感器31在再现的信道映射中的下一个信道上开始观察1015B。该处理永久重复，直到连接丢失或来自定时控制模块25的命令命令传感器31停止跟随通信链路。

参照图11，示出了传感器31使其在时间上与通信网关29同步的处理。在该图中，存在两个连接事件1050A1/1050B1和1050A2/1050B2。通信网关29被配置成输出每个连接事件处的定时信号1075A1/1075A2。图11示出了与从BLE中心到BLE外围设备通信1050A1/1050A2的通信同时的定时信号1075A1/1075A2。附加地或替选地，通信网关29还可以被配置成在BLE外围设备上向BLE中心通信输出定时脉冲，即，定时信号1050B1/1050B2。定时控制模块25负责接收定时信号1075A1/1075A2。例如，通信网关29可以输出定时信号1075A1/1075A2作为BLE芯片组41的数字引脚中的一个上的输出脉冲，并且定时控制模块25利用高速时钟和定时器接收脉冲作为边缘中断，以创建时间戳。在稍后的时间点处，定时控制模块25可以经由消息1076与传感器31通信。从定时信号1075A1到消息1076的传输所经过的时间量1081被打包到消息1076中。传感器31在车辆接口45上接收消息1076。传感器31还具有运行中的高速时钟和定时器，并且记录接收到消息1076的时间。传感器31从消息1076中提取经过时间1081并且从连接间隔1080中减去该值，以计算到下一个连接事件1082的时间。连接间隔1080先前经由消息1040利用传感器被传送，如上面参照图9所讨论的。在计算到下一个连接事件1082的时间之后，传感器31还通过基于所有设备的睡眠时钟准确度和连接间隔1080结合定时控制模块25的测量不确定性、BLE消息的到达时间的不确定性来计算测量的不确定性。传感器31将预扫描参数时间与计算值1083相加。然后，传感器31通过以下方式来计算开始观察的未来时间：取得到下一个连接事件的时间1082并且从该值减去1083，以得到开始观察的未来时间1084。在经过时间段1084之后，传感器31使用定时器来开始观察处理1085。

参照图12，示出了针对PEPS模块27的配置和控制传感器网络并且命令多个传感器31开始和/或停止跟随连接的处理。PEPS模块27检测到应该跟随链路800并且向通信网关29发送指示应当跟随链路的消息801。然后，通信网关29取得链路信息并将该链路信息发送至连接信息分发模块24。连接信息分发模块24使用车辆接口45向作为目标的传感器31发送消息。

再次参照图1、图2、图3和图9，传感器31可以包括信道映射重建模块42，该信道映射重建模块42被配置成使用连接信息信号1040和定时信号1041来再现用于安全通信链路680的连接定时。图10中示出了信道跳跃映射的示例。在图10中，例如，从左到右的列1360-1363表示时间增加的连接事件。每列之间的经过的时间是被描述为上面参照图8所讨论的信道跳跃间隔1210的连接间隔。在该示例中，信道跳跃间隔1210等于任何两个相邻列(例如，1360与1361)之间的经过的时间。应当注意的是，信道跳跃间隔1210应当被视为用于确定未来信道时间的任何确定性处理，并且不应当受限于BLE使用的静态连接间隔。例如，信道跳跃间隔1210可以包括经典的蓝牙的确定性伪随机信道跳跃。每行1300-1336表示信道号。信道1300-1336是由蓝牙规范定义的BLE信道中的一个并且宽度为2MHz。图10中的示例显示了37个信道，每一个信道用于一个连接信道。然而，应当理解的是，本公开内容的系统可以使得传感器31能够跟随可以依据图8中包含的数据描述的任何信道。传感器31基于在上面参照图9讨论的在消息1040中由传感器40接收到的信道映射1200来认识(learn)应该使用的信道。在图10中描述的示例中，不使用由行1335表示的信道。此外，如由1351-1353指示的黑框表示对传感器31中的BLE芯片组41的PHY控制器600的许诺(commitment)，以在由列映射的时间处观察由行1300-1336映射的信道。消息1040不必包含用于信道映射重建模块42的所有信道和时间。信道映射重建模块42接受BLE外围设备将请求的输出，以根据蓝牙规范以及要传送的下一个信道1230(例示为信道1303)产生连接事件调度映射，以将传感器的当前时基与连接的时基同步。该信道被设置为映射的索引0 1360。信道映射1200包括确定性信道跳跃方案。在BLE中，信道跳跃方案是由BLE规范按照“跳跃增量(hopIncrement)”定义的简单增量器。如图10所示，跳跃增量为5，这表示当前信道每个连接间隔将增加的量。例如，在图10中，随着时间从1360到1361增加一个连接间隔，信道从1352到1353前进5。蓝牙规范定义的BLE信道跳跃方案包括允许信道索引从表的底部折回的模数运算，如时间间隔1362所示的。信道跳跃方案还允许跳过空信道1335。例如，如图10所示，在点1350处跳过信道1335，而在点1351处替代地对信道1336进行采样。具有索引35 1335的信道未被使用。BLE规范提供了重映射的方法，例如，在低能量链路层信道选择规范第4.2版的第4.5.8.2节中所指出的方法。

继续参照图8、图9和图10，信道预扫描参数1270和信道扫描后参数1280描述了PHY控制器600在由图10中的列表示的时间窗口之间的时间间隔期间的行为。时钟准确度1250使得BLE芯片组41能够加宽黑框1351-1353中的每一个的时间间隔，以适应系统中每个设备的测量时间和传输时间两者的不确定性。最初，传感器31不与安全通信链路680同步。在接收到定时信号1041、下一个信道1230和下一个信道时间1240时，传感器31具有足够的信息以使其时基与连接同步，并且确定由传感器31在相对于安全通信链路680的定时的下一个信道时间1240测量的未来通信时间。

关于图13，描述了认证方法。认证方法由如图1和图2所示的车辆30检测到的用户动作触发。例如，PEPS模块27检测到用户动作，例如，如通常在现代车辆中发现的抓握门把手或按下按钮。在图1的示例中，PEPS模块27包括链路认证模块22。替选地，如图2所示，PEPS模块27和链路认证模块22可以实现为单独的模块。附加地或替选地，描述的所有信号可以被引导到通信网关29中，以允许替选配置。PEPS模块27必须基于便携式设备10的位置和便携式设备10可以提供的安全信息来做出关于对功能的安全访问的确定。例如，可以使用质询-响应机制，与使用LF和RF系统实现的当前PEPS系统类似。

继续参照图13，PEPS模块27通过传感器检测访问车辆功能的意图。然后，PEPS模块27将请求映射到区域id，并且将请求1700发送至处理和定位模块32，以确定是否有任何便携式设备10在车辆30的区域id内。处理和定位模块32使用响应1701来响应PEPS模块27，响应1701指示位于可以访问与区域id对应的车辆功能的区域中的便携式设备的列表。在1702处，PEPS模块27检查便携式设备的列表以确定设备是否与系统配对。对于每个有效的便携式设备，针对便携式设备取得一组加密信息。这被称为加密密钥，例如，常用的高级加密标准(AES)加密密钥。附加地或替选地，计数器值可以通过非对称公开密钥/私有密钥来实现。在1703处，PEPS模块27从远程信息处理模块26获取纬度/经度上的当前车辆定位(坐标)。该位置可以包括基于车辆系统的当前测量准确度的误差界限。然后，PEPS模块27将车辆30的纬度和经度嵌入到消息中并且使用在1702处取得的安全信息在1704处对质询消息进行加密。在1704处产生的质询数据在1705处被传送至通信网关29。然后，通信网关29在1706处使用BLE向便携式设备10发送质询数据。在1707处，在便携式设备10上执行的应用对质询消息进行解密。在便携式设备10上执行的应用在1708处获得便携式设备10的纬度和经度上的位置坐标以及可选的位置准确度信息。然后，在便携式设备10上执行的应用在1709处对在1708处接收到的便携式设备的坐标和如从通信网关29接收到的车辆30的(在1703处发送的)坐标执行数学运算。1709处的数学运算被称为质询响应。1709处的数学运算的示例可以是计算两个坐标之间的距离。1709处的数学运算的另一示例是计算在1703和1708处陈述的两组坐标的异或(XOR)。1709处的数学运算的又一示例是计算从1703处的车辆坐标到1708处的便携式设备坐标的方位。一旦获得来自1709处的数学运算的值，则在便携式设备10上执行的应用可以对具有1709处的数学运算值的消息以及来自1708的便携式设备10的坐标信息进行打包并且在1710处使用与通信网关29通信所需的密钥对数据包进行加密。然后，便携式设备10可以在1711处使用BLE将来自1710的加密消息发送至通信网关29。在1711处，通信网关29接收来自1710的加密消息。在1712处，通信网关29将加密消息从1710传送置PEPS模块27。在1713处，PEPS模块27使用适合于从便携式设备10传送的密钥对来自1710的加密消息进行解密。然后，PEPS模块27提取来自1708的便携式设备10的坐标和来自1709的便携式设备的计算的质询响应，并且对来自1703和1708的坐标进行相同的数学运算。然后，在步骤1714处，将运算的结果与加密消息中包含的声称的质询响应进行比较。然后，PEPS模块27在1715处将质询响应与接受标准进行比较。例如，接受标准可以指示该值必须小于某个阈值或在可接受的某些界限内。

基于公告的系统的漏洞主要是由两个因素造成的。首先，BLE的公告信道被设计为非常可预测且易于发现，使得没有特殊软件的任何BLE设备都能够发现附近的公告主并且克隆和模仿数据。其次，公告信道实现固有的抖动以避免消息的冲突，因此很难建立以下系统，在该系统中，可以在不需要需对系统进行特殊修改的情况下验证接收时间的公告数据包的真伪，其中，BLE规范不涵盖该特殊修改。公告数据包可能包含特殊的应用特定安全信息，但公告数据的预期到达时间的宽松容差仅依赖于必要的密码技术。

本公开内容提供了利用传感器31从通信网关29准确地传送定时信息的方法，并且提供了对信号的定时以及传感器值的互相关做出决定以验证是否可能存在注入方案的安全滤波模块33。尽管本公开内容使用连接数据的示例，但是本公开内容的安全滤波模块33可以同样适用于验证公告数据的定时。

前面提到的美国公布第2014/0188348A号描述了一种使用连接数据的方法，其中，便携式设备单独地连接至每个传感器。该设计具有几个固有的缺点。例如，对便携式设备有很高的要求，以形成和保持与多个传感器的连接。例如，考虑到所需的附加通信和处理时间，对于便携式设备连接至每个传感器在网络中可能存在过多传感器。

再次参照图1，本公开内容的PEPS系统1包括车辆30和便携式设备10。便携式设备是能够支持BLE协议的启用蓝牙的设备。蓝牙技术规范由蓝牙技术联盟(SIG)开发和发布。

在没有限制的情况下，便携式设备10可以是任何启用蓝牙的通信设备，例如，智能电话、智能手表、可穿戴电子设备、密钥卡、平板计算机等。便携式设备10可以结合其他无线技术，例如，可以用于与车辆30通信的WiFi、脉冲无线电。虽然本公开内容提供了使用蓝牙通信的示例，但是可以使用其他适用的通信协议、其他认证系统或方法、或其他精细定位来实现本公开内容的系统、方法和架构。因此，本公开内容的系统、方法和架构不限于BLE通信协议。此外，本公开内容的系统、方法和架构适用于使用跳频扩频(FHSS)的任何通信协议，其中，通信网关29可以与传感器共享重建信道映射和定时信息所需的信息。

车辆30包括：一组模块20，其为单个控制器或分布在整个车辆30中；以及多个传感器31，其可以经由蓝牙无线地或经由常规车辆有线连接(例如，本地互连网络(LIN)或控制器局域网(CAN))与控制模块20通信。车辆30能够经由实现GPS、惯性导航系统、GSM信号定位等中的任何一个的远程信息处理模块26知道其当前位置和位置误差。车辆信息可以由数据管理层23收集并且与便携式设备10共享。数据可以包括车辆30的当前纬度/经度以及每个链路会话的当前位置的不确定性度量。

通信网关29包括BLE芯片组21和链路验证模块22。链路验证模块22能够认证便携式设备10是先前已与通信网关29配对的同一设备。配对处理和认证方法由蓝牙技术联盟(SIG)指定。

BLE芯片组21能够使用天线19生成和接收符合蓝牙规范的信号。

每个传感器31包括能够使用天线43生成和接收符合蓝牙规范的信号的BLE芯片组41。BLE芯片组41包含能够使用从车辆接口45上的车辆模块20接收到的FHSS信息来再现便携式设备10与通信网关29之间的现有连接的信道映射的信道映射重建模块42。所有BLE芯片组41实现用于保持跟随BLE连接和调整到正确频率所需的准确时间，但是无法调整到它们未同步或失去同步的连接。传感器31包括能够从定时控制模块25接收定时信号的定时同步模块44。定时控制模块25使多个传感器与通信网关29和便携式设备10之间的通信的连接间隔保持同步。

通信网关29和便携式设备10通过其中一个设备进行公告而其他设备进行扫描来建立由蓝牙核心规范管理的连接。在建立通信之后，通信网关29和便携式设备10都必须跟随信道映射以及设备在建立通信链路时认同的信道跳跃方案。图10示出了用于说明性目的的信道跳跃映射的示例。信道跳跃映射包含通信网关29和便携式设备10在将来的正确时间处在正确的频率信道上彼此通信所需的所有信息。虽然观察者不是不可能推断出信道跳跃映射，但是在大多数实际应用中，信道跳跃映射被认为对于该特定通信是私有的且唯一的。使用BLE信道映射的示例，在蓝牙规范下，分配被称为访问标识符的唯一号码以识别链路。本公开内容的系统、方法和架构用于将信道跳跃映射传播到网络中的传感器31，使得每个传感器31可以跟随FHSS通信。因此，本公开内容的系统、方法和架构可以推广到任何FHSS协议。

在建立便携式设备10与通信网关29之间的链路之后，链路认证模块22可以确立链路的真实性。蓝牙SIG定义了通过检查在车辆30与便携式设备10之间交换的先前存储的安全信息来保护链路的方法。链路认证模块22可能需要超出蓝牙SIG定义的信息的附加信息，以便验证链接。实施方式可以仅使用由蓝牙SIG指定的链路认证方法，或者可以使用附加的安全机制。本公开内容不限于认证链路的特定方法。在建立链路认证之后，数据管理层23从远程信息处理模块26收集车辆30的当前位置并且与便携式设备10共享该位置。便携式设备10可选地包含GPS模块14，例如，由苹果iOS和谷歌安卓OS提供的那些GPS模块。在便携式设备10上执行的应用软件12可以将便携式设备10的估计的相对位置与车辆30进行比较。基于便携式设备10相对于车辆30的估计位置，便携式设备10可以向通信网关29发送信号请求车辆执行特定动作。

如上所述，常规系统使用开放公告信道进行RSSI测量。然而，这些系统可能不安全，因为公告数据是在公共和易探查的信道上传播的。因此，可以使用可免费下载的电话应用来进行注入攻击。常规系统没有解决如何处理使用公告数据时明显的这种安全漏洞。此外，使用公告数据是非常低能效的。在这样的系统中，密钥卡必须与中心节点安全地通信，并且还与多个传感器交换公告数据。这引起许多不必要的传输和接收，最终降低系统的功率性能。在一些系统中，可以与每个传感器形成多个连接。此外，在这种情况下，启动和保持与每个传感器的链路所需的传输和接收量显著增加。尽管这在很大程度上解决了公告的隐私和注入问题，但仍然非常低效并且带来新的安全风险，因为没有公开的方法来防止通过错误地连接至传感器以注入更强的信号的攻击。

本公开内容涉及向多个车辆传感器提供被动窃听能力。网络中的传感器的窃听性质为实现BLE PEPS系统提供了许多优点。例如，智能电话/密钥卡仅需要消耗与中心通信网关安全通信所需的能量。不存在为了与每个传感器分别通信需要付出附加的能量消耗。此外，通过仅使用具有非常好理解的严格的定时约束、协议校验和等的一个通信信道，可以大大增加安全性。攻击者无法在不干扰链接的情况下将伪造数据注入现有链路中。例如，攻击者在观察到之前很难事先知道将交换哪些数据。攻击者只能知道信道和定时。在该信道上注入信号会干扰BLE协议，从而导致引起数据包被丢弃并且不进行测量的错误，很可能是CRC/校验和错误。此外，公告数据的使用有时要考虑隐私问题。例如，如果智能电话一直在继续努力公告，则具有大型传感器网络的人很容易跟踪电话的去向。有利的是，智能电话不需要进行公告以使用PEPS系统。

如所讨论的，本公开内容的系统、方法和架构包括通信网关29，例如，BLE网关。例如，通信网关29可以包括能够与便携式设备10安全通信的任何设备，例如，智能电话、平板设备、密钥卡、的可穿戴设备(例如，智能手表)或其他BLE通讯设备。例如，通信网关29可以集成到专用短程(DSRC)通信模块中。替选地，通信网关29可以集成到LTE通信模块中。通信网关29与便携式设备10之间的通信数据是加密的，因此已知它是私有的并且署名的，因此可以确定(非伪造)数据的真实性。通过使用例如基于计数器的加密、实时令牌交换和/或时间戳信息使重放通信数据安全。

便携式设备10和通信网关29经历配对处理以建立信任关系。配对处理可以包括：如蓝牙规范所描述的蓝牙配对；使用电话和车辆接口在车辆系统与电话之间交换附加的安全信息的配对；经由云基础设施交换设备地址、设备身份解析密钥、预留ID和加密密钥的配对；以及/或者使用车辆的证书被呈现给车辆的配对，其中证书由车辆拥有者的设备和/或可信的安全签名权威机构(例如，车辆制造商或可信任的第三方)签名。在证书的情况下，证书可以包含使用实例中的限制(即，地理围栏、代客模式限制)、有效期、是否需要向拥有者报告驾驶性能/行为等。

如上所述，本公开内容的系统、方法和架构包括一个或更多个BLE传感器31。每个传感器31能够测量接收到的BLE信号特征的一些物理现象。例如，传感器31可以测量接收信号的RSSI、到达角度、到达时间差或其他特性。

传感器31可以放置在车身内或车身上的某些位置，使得这样的特定物理现象可以允许关于便携式设备10相对于车辆的位置做出有意义的决策。例如，物理现象可以包括由于传播引起的自由空间信号损失、散射、多径衰落、传播时间和传播时间差、到达角度差。

再次参照图1和图2，每个传感器31可以与通信网关29通信。例如，便携式设备10可以在作为BLE通信链路的一部分的公告信道上或在连接的信道上与通信网关29通信。每个传感器31能够被动地窃听两个连接的设备(例如，通信网关29与便携式设备10)之间的通信。附加地或替选地，在可穿戴设备的情况下，可以在便携式设备10和与便携式设备10相关联的可穿戴设备(例如，智能手表)之间进行窃听。每个传感器31能够选择性地禁用并且重新启用窃听，即，跟随连接的过程，以节省电力。通信网关能够控制哪些传感器31进行窃听。

此外，通信网关能够向每个传感器31提供必要的信息，以便恢复窃听。例如，用于窃听的必要信息可以包括BLE通信链路的访问标识符，该访问标识符唯一地标识通信网关29与便携式设备10之间的通信。每个通信数据包将包含访问标识符数据作为前导码。因此，该信息可以包括与如何解码前导码有关的信息。该信息还可以包括当前正在使用的信道映射，因此传感器31知道在窃听时使用哪组信道。该信息还可以包括与信道跳跃方案有关的信息，使得传感器31知道如何从一个信道跳到下一个信道。如果已知某些基本参数，则许多无线通信标准实现确定性的信道跳跃。在BLE中，传感器31必须知道当前信道、信道映射和信道跳跃数，以确定要跳跃到的下一个信道。该信息还可以包括查找未来连接事件所需的信息(例如，利用通信事件的大致时间的下一个通信信道和/或未来通信信道)。

每个传感器31能够恰好在连接事件之前收听连接信道，以收集如先前所述的物理现象(即，RSSI、时间戳、到达角度等)以及在主设备和从属设备的通信数据包两者中包含的所有数据。

跟随本公开内容的系统、方法和架构的连接的一个考虑因素是调度表的同步。因为正在连接处理中的两个设备所需的所有通信信息都以可自由观察的格式进行广播，所以恰好见证或窃听正在形成的连接的任何BLE通信节点都可以得到调度表，因此可以扫描被动窃听模式下的通信。然而，使传感器始终跟随所有连接很耗电的(power intensive)。因此，优选的是，假设每个传感器已经失去在正确时间扫描正确信道的能力的情况下，具有可以选择性地启用和禁用连接跟随的系统，尽管可能出现同步问题。由于这些原因，本公开内容的系统、方法和架构利用同步算法来协调传感器31对的通信和在通信上进行的窃听。

例如，从通信网关29向必须开始跟随通信连接的每个传感器31发送消息。该消息包含传感器31解码通信数据包所需的信息，该信息以最简单的形式可以包括发送标识链路ID的访问标识符，该链路ID对于任何给定区域是相当稳健的唯一ID。在通信网关29的请求之前的某个时间点处，与链路有关的信息已被传送或传输至传感器31。如上所述，这可以包括所有设备的信道映射、信道跳跃数、连接间隔、从属延时以及睡眠时钟准确度设置。

参照图14，主设备和从属设备被示出为以通信间隔(例如，100ms)进行通信。设备使用所有信道和5个信道的信道跳跃。当前或起始信道是信道3。在图14的示例中，从属延时为零，因此从属设备始终进行通信。

在1400处，通信网关29向一个或更多个传感器31发出开始窃听的命令。开始窃听命令包含传感器31开始在正确信道上扫描并且跟随正确的信道跳跃方案所需的所有信息。最初，传感器31必须稍早地开始在信道上收听，如1402处所示，使得传感器31可以检测设备之间的通信。在随后的连接事件(例如，1404和1406)上，可以基于所有设备的时钟准确度将扫描间隔缩短到更短的持续时间。传感器31可以与通信网关29共享关于信号和连接事件所测量的数据，如1408、1410和1412处所示。

于2015年9月1日发布的题为“Vehicle Tracking of Personal Devices withResponse System”的美国专利第9,123,244号描述了一种用于通过机动车辆上的系统跟踪对象的方法。该方法包括：检测无线设备；确定无线设备的位置；识别无线设备相对于车辆的位置；分析无线设备相对于预定条件语句的位置；以及根据预定义的条件语句的满足来激活警报。美国专利第9,123,244号的全部内容通过引用被并入本文中。

美国专利第9,123,244号描述了一种能够跟踪靠近电话并且靠近车辆的设备的系统。本公开内容使用上述连接跟随系统、方法和架构扩展了美国专利第9,123,244号中描述的示例使用实例。

美国专利第9,123,244号的公开内容描述了从用户的智能电话或密钥卡到可穿戴设备(例如，活动监视器或智能手表，即，FitBit或苹果手表)的数字密钥的委托。例如，在由美国专利第9,123,244号描述的系统和方法的使用实例中，驾驶员利用车辆到达公园并且希望去慢跑。驾驶员不想随身携带他们的车钥匙或智能电话并且只想在慢跑时带上他们的智能手表。然而，将车辆钥匙和智能电话设备留在车辆中不安全，因为它们被启用为车辆的钥匙。例如，如果强盗闯入车辆，强盗可能会偷走整个车辆。

本公开内容提供了一种临时禁用钥匙使得钥匙可以安全地留在车辆中直到用户从慢跑中返回的方法。由此，用户可以安全地访问车辆并且再次重置电话和密钥卡。

在本公开内容中，美国专利第9,123,244号的系统、方法和架构可以扩展成使得密钥卡(无论是使用BLE、LF、RF等)也可以位于电话附近。因此，在美国专利第9,123,244号中描述的系统、方法和架构可以扩展成包括电话还可以检测例如与设备(诸如，智能手表或锻炼设备，例如，FitBit)的链路状态的事物并且使该信息可用于车辆的决策制定系统。

例如，当在慢跑之后手表返回时，电话可以检测到已经重新建立与手表的安全链路。将该信息报告给车辆系统对于在从慢跑返回后是否授权用户进入车辆的决策是至关重要的。这样的信息必须包括指示链路是否安全/有担保的信息以及指示是否可以验证与链路相关联的安全数据的信息。

例如，本公开内容对于在美国专利第9,123,244号中描述的系统提供了附加特征，以确保该系统所跟踪的设备是受信任的设备，而不是攻击者。例如，安全信息可以包括个人识别号码(PIN)，当用户从慢跑中返回进入车辆并且解除系统防护时，用户必须在他们的手表上输入该个人识别号码。对于另一示例，安全信息还可以包括智能电话与手表之间的安全配对信息，即，手表和电话已经对它们的链接进行加密，并且电话可以信任手表是授权的手表。例如，现有的智能手表包括用于由于在手表与电话之间交换敏感数据而对电话的通信链路加密的系统。一旦智能电话的操作系统(OS)与智能手表之间的安全层被实现，就可以报告信任地使用的车辆被跟踪的设备是可信任的设备。安全信息还可以包括智能电话与智能手表上运行的应用共享的令牌。当智能手表重新连接时，智能电话可以要求手表应用生成令牌，从而验证智能手表是起初被授权了委托模式的同一设备。安全信息还可以包括接近车辆并且接近智能电话的智能手表的GPS定位。这可以降低中继攻击的可能性，其中，上述安全信息对于攻击者是未知的，但是可以被门控，即使智能手表距离车辆很远。例如，GPS范围可以广泛地包括设备的纬度/经度坐标。智能电话和智能手表还可以通过WiFi网络的存在和通过蜂窝数据来估计其位置。因此，必须比较智能电话的位置和智能手表的位置并且牢记相对准确度。如果没有足够准确的GPS精确度来消除中继站攻击，则系统可以要求用户进行一些手动输入，例如警报，其中用户必须确认系统已在车辆附近检测到他们，但没有足够的准确度来自动禁用。例如，警报可以重复使用智能手表的安全模型，因此，如果用户持续佩戴手表，则可以安全地避免输入PIN。在智能手表可能已被移除的情况下，用户可能必须手动激活可穿戴设备上的某个接口。系统和方法的规则可以包括禁用某些功能直到满足某些条件，即是，在某个设备(例如，智能电话或智能钥匙)上解除PEPS防护，直到手表回归。

通过使用智能电话、智能手表/活动监视器或其中一个车辆显示器上的接口，用户可以配置使PEPS系统忽略诸如在慢跑时位于车辆中的密钥卡和智能电话的设备的规则。例如，智能电话和智能手表上的接口都可以用于进入“委托模式”，出于在委托模式下操作PEPS系统的目的，其中当前位于车辆附近的任何密钥卡/智能电话被禁用。接口可以允许用户选择启用的设备的列表，但在默认情况下，可以禁用所有附近的设备。然后，用户可以使用智能手表锁定车门，其中，智能手机和密钥卡安全地留在车辆内并且优选地在手套箱内不可见，以减少被闯入的可能性。然后，用户可以去慢跑并且系统可以检测到手表现在离开车辆的附近。现在满足了用户期望去慢跑的规则的第一部分。此时，系统然后可以跟踪到电话正在离开车辆附近并且如果安全钥匙(例如，密钥卡或智能电话)被留在车辆中，则系统可以触发给用户的警报，即，将启用委托模式，或者在意外将钥匙忘记在车辆内的情况下，用户应该返回到汽车以取得启用作为钥匙的设备。

例如，一旦用户离开去慢跑，可穿戴设备(例如，智能手表)就离开与留在车辆内部的智能电话的通信连接的范围。然后智能电话可以报告通信链路的丢失，如美国专利第9,123,244号关于防止安全链路丢失的规则的处理所描述的。可穿戴设备通常可以在公告信道上开始广播，以重新建立到智能电话的链路。附加地或替选地，然而，角色可能可能被颠倒，其中，智能电话将在公告信道上广播。因为智能手表和智能电话超出彼此的范围，所以关于激活车辆功能的任何有意义的活动都不会被车辆系统检测到。然而，与智能电话相比，由于更好的天线设计和放置，车辆可以检测来自可穿戴设备的公告通信。

继续该示例，用户继续进行慢跑并且返回位于车辆内的车辆系统和智能电话的与可穿戴设备相关联的通信范围内。此时，例如，可穿戴设备可以在公告信道上进行广播，并且智能电话可以扫描这些公告。

一旦智能电话和可穿戴设备可以在公告信道上发现彼此，则在智能电话与可穿戴设备之间建立连接。在本公开内容中，在美国专利第9,123,244号中描述的车辆系统被扩展成见证智能电话与可穿戴设备(例如，智能手表)之间的连接事件并且记录：连接间隔、第一通信时间、信道映射、访问标识符、从属延时、这两个设备的蓝牙地址(IEEE MAC)以及地址类型(即，公开、可解析的)等。如上所述，该信息可以用于跟随BLE连接，但是本公开内容不限于BLE通信。所有低功率无线网络都使用某种发现和调度/时隙，从而可以观察到连接，然后被动地跟随。每种类型的网络或通信将因媒体访问控制(MAC)层而不同。因此，如上所述，本公开内容的车辆系统可以观察正在建立的连接并且使用公开的MAC层规范来窃听通信连接。通过记录上面讨论的信息，车辆系统可以被动地窃听智能电话与可穿戴设备(例如，智能手表)之间的连接。此外，可穿戴设备很有可能在此时停止使用公告信道以降低功耗。

虽然智能电话与可穿戴设备(即，智能手表)之间的数据可能以车辆系统(即，PEPS系统)无法使用的方式被加密，但智能电话可以使用如上所述的安全数据，向车辆系统报告链路被认为是安全的、设备是可信任设备并且设备/通信未经受中继攻击。

使用由智能电话报告的链路参数和信任状态，系统使用本公开内容描述的架构能够跟随连接并且收集与接近车辆的可穿戴设备的位置有关的信息。

BLE传感器通常无法定位便携式设备(例如，智能电话、可穿戴设备或密钥卡)，其准确度与使用125kHz低频(LF)信号构建的常规PEPS系统相同。

参照图15，示出了用于车辆150的传统PEPS系统，其中需求由具有由使用LF作为用于定位密钥卡的基础技术的当前产品的PEPS系统实现。例如，传统的LF PEPS系统具有足够低的错误率，以避免错误决策的倾向(liability)，同时还能在几乎每个实际场景中实现正确的操作，以避免用户受挫感。

例如，当密钥卡位于区域152内时允许门解锁操作，例如，区域152包括距车辆150的门把手两米的半径。虽然使用两米作为示例，距离阈值可能因制造商和/或地区不同而不同。作为另一示例，当密钥卡位于车辆150的区域154内时允许车辆启动操作，区域154包括车辆150的内部，其中一些部分溢出车辆150的外部。例如，车辆150的区域154可以被允许延伸到侧窗外侧约5cm和前后风挡外侧约15cm。作为另一示例，当密钥卡位于车辆150的区域156内时，允许行李箱打开操作。

与使用125kHz LF信号构建的常规PEPS系统相比，使用利用具有2.4Ghz信号的工业、科学和医学(ISM)无线电频带的BLE通信实现PEPS系统可能存在挑战。例如，使用BLE通信和具有2.4Ghz信号的ISM无线电频带的PEPS系统必须考虑可以使PEPS系统使用低成本BLE传感器来测量RSSI的多路径、阴影和衰减问题，例如，与实现LF的常规系统相比，准确度较低。然而，本公开内容提供了解决这些问题的系统、方法和架构。

要解决的一个问题是，在传感器放置在车辆内部的情况下，当便携式设备10在车辆内部时，测量的信号的RSSI很强，但当便携式设备在车辆和车辆的窗户的外部时，测量的RSSI也很强。要解决的另一个问题是，例如，当便携式设备10位于试图解锁车辆的门的人的后裤口袋中时，人体会产生明显的阴影。人体主要是水，并且在吸收2.4GHz信号方面非常高效。因此，难以基于来自便携式设备10的信号的测量RSSI做出与便携式设备10的从车辆的门把手起的范围有关的可靠决策。假设自由空间传播在来自便携式设备10的信号被人体衰减或受到严重破坏性的多径衰退环境的影响时几乎肯定不允许PEPS系统检测到便携式设备10足够靠近门以允许解锁，优化RSSI阈值以确保便携式设备10位于门的两米内。此外，设置成在车辆传感器31处于人体阴影中时允许较弱的RSSI的RSSI阈值几乎肯定会允许与门把手的距离大于两米的便携式设备10具有清晰的视线信号，并且没有对车辆传感器31的破坏性(或甚至是构造上的)多径干扰。由于上述原因，这样的PEPS系统可能并不总是满足用户的期望，这包括PEPS系统做出错误决策的倾向。

参照图16和图17，示出了具有PEPS系统的车辆30，该PEPS系统利用使用具有2.4Ghz信号的ISM无线电频带中的BLE通信的BLE传感器。由于便携式设备10的位置的不确定性，如上面所讨论的，PEPS系统包括许多不同的区域，其包括不确定区域。例如，参照图16，当便携式设备10位于指定的164A区域内时，PEPS系统可以允许车辆启动操作，而区域164B内和区域164A外的区域可以被指定为不确定区域。换言之，当便携式设备10位于区域164A时，PEPS系统可以允许车辆启动操作。如下面详细讨论的，当便携式设备10被测量为在区域164A的外部但在区域164B的内部时，便携式设备10被指定为处于不确定区域内。如上面所讨论的，可以基于例如从便携式设备10接收到的信号的RSSI来测量便携式设备10的位置。

参照图17，当便携式设备10位于指定的区域162A内时，PEPS系统可以允许门解锁操作，而区域162B内和区域162A外的区域可以被指定为不确定区域。换言之，当便携式设备10位于区域162A时，PEPS系统可以允许门解锁操作。如下面详细讨论的，当便携式设备10被测量为在区域162A的外部但在区域162B的内部时，便携式设备10被指定为处于不确定区域内。此外，当便携式设备10位于指定区域166A内时，PEPS系统可以允许行李箱解锁操作，而区域166B内和区域166A外的区域可以被指定为不确定区域。换言之，当便携式设备10位于区域166A时，PEPS系统可以允许行李箱解锁操作。如下面详细讨论的，当便携式设备10被测量为在区域166A的外部但在区域166B的内部时，便携式设备10被指定为处于不确定区域内。

PEPS系统可以检测到便携式设备处于图16和图17中所示的不确定区域中的一个中。在这种情况下，已知便携式设备10可能在授权区域内，但是没有足够的置信度允许以做出在具有尽量减少误报的适当的置信度的情况下做出的正确决定。在这种情况下，PEPS系统可以被配置成当激活与特定区域相关联的致动开关时向用户发出警报。

由于这些原因，当确定便携式设备位于不确定区域中的一个内时，使用BLE通信的PEPS系统可能需要受过更多教育和更知情的用户以及在某种程度上接受PEPS系统要采取的限制和预定义动作。例如，用户可以分类成两个不同的类别。虽然两个类别用于本示例的目的，但是附加类别可以与本公开内容的系统、方法和架构一起使用。

例如，第一类用户包括非常关注安全性的用户。对于该类别的用户，PEPS系统不得出现任何误报(false positive)误报。例如，当便携式设备10与车辆30的门把手的距离大于两米时，PEPS系统不应该允许解锁操作，而不管便携式设备10的阴影或多径环境。该类别的用户必须愿意接受以下限制：由于阴影或衰弱导致的通信信号衰减，引起当便携式设备10位于不确定区域时，PEPS系统可能无法检测到便携式设备10。换言之，这些情况最终将引起漏报(false negative)，从而当便携式设备位于不确定区域内时，不允许车辆启动操作、门解锁或行李箱解锁操作。

例如，第二类用户包括对便利性更重视的用户。对于该类别的用户，可以接受的是，PEPS系统可能会产生一些误报(false positive)，但PEPS系统应当尽量减少漏报以避免用户不便利。例如，当存在构造上的多径环境时，便携式设备10可以被检测为足够强以允许门被解锁。因此，在一些情况下，尽管便携式设备10与车辆30的门把手的距离大于预定距离(例如，两米)，但仍可以允许门解锁功能。

对于这两类用户，可能存在某种类型的限制或不便。然而，与密钥卡无法与系统用户有效通信的传统PEPS系统不同，BLE PEPS系统的目标是使用诸如智能电话、平板计算机、可穿戴设备(例如，智能手表等)的智能设备作为传统的密钥卡的替代。这些设备包含高级接口系统，高级接口系统包括触觉、振动、音频和画面。此外，这些设备可以与其他设备对接。例如，智能电话和平板计算机可以与智能手表或也采用相同类型的接口并且可以由用户快速访问的其他可穿戴设备对接。这些设备还可以使用设备内运动传感器接受用户输入(例如，接口上的按钮按下、语音命令以及屏幕上和空中的测量姿势)。此外，这些设备可以容易地检测自身的运动与静止状态并且可以报告其取向以及屏幕锁定状态。这些设备还可以使用被设计成在有人说话时锁定屏幕的摄像机和/或光学传感器以测量环境背景光。

使用上述扩展的兼容性集合，根据本公开内容的系统、方法和架构的BLE PEPS系统可以执行许多不同的动作。例如，根据本公开内容的系统、方法和架构的BLE PEPS系统可以在针对车辆执行PEPS系统动作时启用给用户的警报，但PEPS系统没有足够的证据来将错误肯定率减少到可接受的低数量。例如，当按下驾驶员车门解锁按钮，并且存在足够的证据确定某些授权设备在门附近，但没有收集到足够的证据以将误报减少到适当的低比率时，可以向用户触发警报以确认是否应当解锁门。此外，当按下点火开关按钮，并且存在足够的证据确定某些授权设备很可能在车辆内部，但没有足够的证据将误报减少到适当的低比率时，可以向用户触发警报以确认应该启动车辆。此外，可以通过美国专利第9,123,244号中描述的系统来启用其他警报，该美国专利通过引用被并入本文中。作为另一示例，如果对象被留在车辆内以及智能电话不再在车辆内等，则可以生成警报。

如上所述，PEPS系统可以生成给用户的许多不同类型的警报，例如，其包括经由便携式设备10向用户传递的警报。例如，警报可以包括以下中的一个或更多个的组合：触觉振动；可听到的声音；电话操作系统中的电话通知，例如，由iOS和安卓使用的电话通知；智能电话或附接的可穿戴设备(例如，智能手表)和/或两者上的弹出警报。此外，如果更高级别的证据可用，则警报可以要求确认要被激活的行为。警报可以包含车辆状态，例，如门锁状态或点火状态和制动踏板状态。

警报可以专门针对可以合理地位于致动开关附近的所有设备。例如，如果驾驶员门附近存在一个智能电话，在乘客门旁边存在两个智能电话，并且乘客门开关被按下，则PEPS系统可以在乘客侧的两个智能电话上触发警报并且可以排除驾驶员侧智能电话接收警报。替选地，PEPS系统可以被配置成使得所有设备都可以接收警报。替选地，便携式设备10可以经由应用设置被配置成接收所有警报，而不管便携式设备10的位置如何。替选地，警报可以排队，以便如果需要经由应用设置接收警报的设备未在通信范围内，则PEPS系统可以在与设备的通信恢复时发出警报。当车辆解锁按钮被按下或手势开关(例如，手势切换到解锁行李箱)被激活但是附近没有授权设备时，也可以触发警报。当设备模仿来自授权设备的某些数据但不能满足所有安全数据(例如，假冒者(impersonator)试图进行黑客攻击)时也可以触发警报。

用户可以响应警报采取许多动作、补救措施或干预措施。例如，图形用户接口(GUI)上的警报按钮可以确认建议的动作，例如，解锁门、解锁行李箱或启动车辆。例如，当用户按下门把手上的解锁按钮时，可以向智能电话发送警报，询问用户是否希望解锁门。上述命令包含门锁定状态，因为如果门已被解锁，则GUI上的问题将要求用户确认用户是否想要锁定门。警报可以映射到特定含义。例如，针对每个特定动作(例如，锁定车辆、解锁车辆、启动车辆等)的特定触觉。附加地或替选地，可以在便携式设备10上针对特定动作播放特定音调。附加地或替选地，智能电话上的经由文本到语音的口述功能可以询问“你想解锁门吗？”。可以由便携式设备10读取其他文本以确认建议的动作。

响应于这样的警报，例如，用户可以按下便携式设备10的GUI上的按钮以接受动作或忽略警报。附加地或替选地，语音命令可以用于通过说出是、否、取消、忽略等来接受建议的动作。使用智能电话系统中的现有安全系统，例如，跟踪智能手表是否自输入PIN后被连续佩戴，或智能电话是否处于解锁状态，或智能电话是否可以认证语音。附加地或替选地，用户可以响应于接收到警报而使用编程的姿势，例如，使智能手表进行三个循环。

可以适当地由便携式设备10路由动作和警报。例如，如果没有可穿戴设备存在或链接到智能电话，则例如智能电话本身必须处理警报。另一方面，如果用户佩戴智能手表，则经由手表给用户警报会更合适，并且警报可以被路由到智能手表。如果智能电话处于解锁状态，则即使存在智能手表，也可以更适合在智能电话上发出警报，仅仅因为用户当前正在使用智能电话。

PEPS系统通过等待或动作来操作。例如，PEPS系统可以等待门把手上的致动开关被激活或者等待姿势开关(例如，解锁行李箱的姿势开关)被激活。当动作被执行(例如，按下门把手上的按钮或者做姿势以激活姿势开关)时，由通信网关29和传感器31收集与便携式设备10的位置有关的一组证据。基于如上面所讨论的便携式设备10的确定的位置、指示该位置的证据级别以及与针对安全性和便利性的用户的容差有关的用户设置，PEPS系统进行关于是否执行车辆功能(例如，解锁车辆30的门或行李箱或启动车辆30)的操作的确定。PEPS系统可以针对状态改变读取致动开关(例如，门把手)。当开关的状态发生改变使得应当由PEPS系统执行某些操作时，PEPS系统基于哪些设备在致动区域附近以及哪些设备不管位置如何选择接收警报来检查应当接收警报的便携式设备。PEPS系统可以经由通信网关29或通过蜂窝数据连接(例如，LTE/云模块)将消息从PEPS系统路由到便携式设备10(例如，智能电话)。PEPS系统可以被配置成在可用时使用BLE通信，并且如果必要的话在BLE通信不可用时使用蜂窝数据(例如，LTE数据连接)。消息应被加密并签名，使得避免窃听、注入或重放。授权的便携式设备可以验证消息并且判定如何最好地给用户警报以及是否应该采取一些补救措施或干预措施。

如上面所讨论的，PEPS系统在确定便携式设备10的位置时可以利用多个级别的证据。例如，PEPS系统可以配置有例如在存在将便携式设备10定位在车辆30的驾驶员门附近的足够证据时激活警报所需的预定级别的证据。，PEPS系统可以被配置成对于愿意允许一些误报的更激进的用户利用更高标准的证据来做出决策，以允许做出在按下致动开关时采取行动的决定。PEPS系统还可以被配置成对于愿意减少误报的保守用户利用甚至更高标准的证据来做出决定，以允许做出在按下致动开关时采取动作的决定。

用于为每个动作标准设置可接受的证据级别的设备到设备(用户到用户)设置的接口

例如，每个用户可以配置他们想要自己拥有的设备如何与系统一起操作。由两个驾驶员拥有和操作的车辆可以使一个驾驶员想要更安全系统的驾驶员且另一驾驶员可以想要更方便的系统。

便携式设备10(例如，智能电话或平板设备)可以包括供用户设置和/或调整要由PEPS系统使用的风险/容差/证据的级别的用户接口，例如，在智能电话或平板设备上运行的应用的用户接口。例如，用户接口可以通过允许更多误报来向用户显示什么风险与使系统不太安全相关联。例如，用户接口可以以图形方式提供误报可能在何处以及实际上误报可能引起什么的视觉指示。例如，通过允许较弱的RSSI来解锁驾驶员车门，存在以下风险：用户可以站在距乘客门超过三米并且攻击者可以潜行到用户后面以获得对车辆的访问的风险。参照图18，例如，可以使用描绘在用户的智能电话与小偷相比离车辆更远时小偷获得对车辆的访问的图形界面180在便携式设备10上显示该风险。

PEPS系统可以利用程序覆盖(programmed override)。例如，用户可以根据他们的偏好设置所有应用设置，但是仍然可能存在系统性能问题。然而，PEPS系统的警报系统可以学习经常发生的行为并且向用户发出警报，询问用户是否想要将覆盖编程到PEPS系统中。例如，商务人士可以穿着西装外套并且将便携式装置10(例如，智能电话)留在西装外套的胸袋中。然后可能将西装外套悬挂在后座中的衣架上，使得便携式装置10始终处于用于启动车辆的不确定区域中。当按下点火开关时，PEPS系统可以认识到应当允许点火，但是，PEPS系统可能不确定用户的智能电话是否真正在车辆内。然后，如上所述，可以向智能电话触发警报，由此用户可以确认在这种情况下应该启动车辆。然而，更重要的是，当与智能电话的位置有关的收集的证据与智能电话位于西装外套的胸袋中时的证据一样，如同在该示例中的情况，可以选择性地修改决策边界以批准/接受未来的点火命令。例如，在简单的形式中，可以存在特征输入的多维空间以及应该允许车辆启动的点与不应该允许车辆启动的点分开的某些表面以及描绘应该允许门解锁操作的点的另一平面。可以修改平面的形状，使得决策边界可以随着时间来学习基于用户输入的正确动作。

由于存在由PEPS系统使用的多个级别的证据，因此与便携式设备10的位置有关的收集的证据可能发生冲突。在这种情况下，PEPS系统可以对各个证据进行加权以进行关于便携式设备的位置的确定。PEPS系统还可以被配置成以预定方式响应冲突证据。例如，当PEPS系统具有冲突证据时，可以达到无决策/无动作/警报状态。例如，当PEPS系统因为基于证据有不止一个启动状态可行而混乱时，PEPS系统可以在默认情况下执行安全操作，并且在那时不允许任何被动功能，并且可以向用户发出警报。作为又一示例，当便携式设备10被测量到在车辆的窗户线附近并且被设计成解锁车辆的传感器产生便携式设备10在车辆外部并且在门附近的证据以及车辆内部的传感器产生电话在汽车内部的证据时，出现证据冲突。当存在证据冲突时，PEPS系统可以被配置成默认地执行安全操作，即，不允许任何被动功能并且基于用户必须确认/批准的用户警报来启用动作。用户还可以通过与PEPS系统共享的应用上的设置来覆盖其设备的该动作，以便允许任一动作。

在判定进入无决策/无动作/警报状态之前，PEPS系统可以可选地对可能的结果之间的证据加权并且选择性地进入无决策/无动作/警报状态，或者可以选择最可能的结果。例如，如果解锁状态与点火状态相比具有显著差距(margin)的更大的可能性，则尽管两者都是可能的，但是PEPS系统也可以判定不进入无决策/无动作/警报状态，而是可以选择允许车门解锁操作。

PEPS系统可以被配置成基于便携式设备10的运动禁用某些车辆功能或动作。针对用户便利性的允许更高误报率的主要风险之一是便携式设备10与车辆的距离小于两米，但有人仍然可以让车门解锁。当存在进入车辆的潜在攻击者时，可以通过警告用户做出了低置信度决策而使用警报来警告用户。附加地或替选地，可以首先禁止发生这种情况。例如，用户可能将他们的智能电话放在后裤袋、手中或钱包中，在这种情况下，在用户离开并步行远离车辆时可以由车辆接收到强信号。攻击者可能潜到用户后面并且进入车辆。在这种情况下，因为用户正在步行远离车辆并且智能电话可以容易地检测到步行动作。PEPS系统可以结合算法来检测用户的智能电话是否正在移动。例如，电话可以向PEPS系统报告运动何时开始运动以及何时停止。当设备被认为处于运动中或者当智能电话的测量或检测到的运动大于预定运动阈值时，可以针对设备禁用车辆锁定/解锁特征。这有效地降低了上述风险。可以经由应用设置使智能电话的用户能使用该设置。例如，如果用户已将系统配置成允许在该区域中出现误报，则可以鼓励用户启用此设置。

本公开内容包括允许车辆功能的安全授权的BLE定位系统。BLE定位系统包括便携式设备(也称为移动设备)以及车辆。BLE定位系统还包括多个BLE被动窃听传感器，多个BLE无源窃听传感器被配置成从通信网关(也称为中心控制器)安全地接收跳频扩频连接信息并且将测量值安全地报告回中心控制器。通信网关或中心控制器能够与便携式或移动设备进行安全的BLE通信并且被配置成向被动窃听传感器提供关于与便携式或移动设备的通信连接的连接信息并且从窃听传感器收集数据。通信网关或中心控制器可以与每个被动窃听传感器共享被动窃听传感器被动地跟随通信网关或中心控制器与便携式或移动设备之间的通信所需的通信信息。每个窃听传感器被配置成在从通信网关或中心控制器接收到连接信息时，查找通信网关或中心控制器与便携式或移动设备之间的下一个调度通信并且同步其内部定时和通信信道映射，以观察和测量通信网关或中心控制器与便携式或移动设备之间的所有后续通信。通信网关或中心控制器可以被配置成将车辆在纬度、经度上的位置和位置测量误差传送至便携式或移动设备。便携式或移动设备可以使用便携式或移动设备(例如，智能电话)可用的、基于位置的服务来估计到车辆或车辆的PEPS系统的距离或范围，并且可以将该距离或范围与由车辆报告的位置进行比较。

本公开内容还包括允许对包括便携式或移动设备和车辆的车辆功能进行安全授权的BLE定位系统。BLE定位系统包括：多个传感器，其被配置成测量来自便携式或移动设备的通信的信号特性；以及通信网关或中心控制器，其能够提供关于来自便携式或移动设备的通信的预期间隔和定时的信息。BLE定位系统还包括被配置成处理声称来自便携式或移动设备的样本的时间序列的安全滤波模块。安全滤波模块可以将时间序列与已知通信性质进行比较。安全滤波模块可以比较在给定时间帧内从便携式或移动设备采样的通信数据是否比由便携式或移动设备单独产生的通信数据多。以这种方式，安全滤波模块可以确定是否违反了物理层协议。安全滤波模块可以确定在给定时间窗内声称从便携式或移动设备采样的数据的方差是否超出对源自便携式或移动设备的所有数据的预期。该比较是有界比较，其中方差可能太大，如同在不同位置中存在多于一个的设备或者单个设备将过多一致的测量结果推入系统中。安全滤波模块可以在给定时间窗内对超出绝对值的可配置阈值的异常值的数量进行计数并且将计数与可配置的校准进行比较。安全滤波模块可以对在给定时间窗内超出标准偏差(其超出数据集平均值)的可配置阈值的异常值的数量进行计数并且将该计数与可配置校准进行比较。传感器可以被配置成向安全滤波模块报告部分接收的损坏数据的数据包。传感器可以从系统接收定时信息，这允许每个传感器报告每个接收到的数据包的时间戳。安全滤波模块可以根据可配置的阈值来搜索过早或过晚的接收数据包。安全滤波模块可以比较由多个传感器接收到的数据包的相似的定时，以确定任何传感器是否接收到可配置值比标称值更早的数据或可配置值比标称值更晚的数据，从而判断传感器是否测量到与预期相同的RF能量。当来自任何特定传感器(授权传感器)的传感器值将使系统启用对功能的授权访问时，安全滤波模块可以比较从多个传感器报告的报告信号强度。来自其余传感器的值的报告值可以用于验证传感器正在接收与由授权传感器的测量结果声称的区域内的设备一致的值。

传感器可以被配置成仅报告具有与特定格式匹配的数据的测量结果。例如，可以对数据包进行滤波，使得仅测量具有比预定字节数长的数据的BLE属性写入请求。在这种情况下，可以丢弃与简单链路维护有关的数据包，或者不对未加密的数据进行测量。传感器可以被配置成向安全滤波模块报告数据包中包含的数据的密码散列或被测量的数据包的集合。

通信网关可以被配置成与安全滤波模块共享以原始格式或一个或更多个数据包的密码散列在便携式或移动设备与通信网关之间传输的数据。安全滤波模块可以被配置成检查来自多个传感器的数据或密码散列数据并且比较从通信网关接收到的数据的报告数据或密码散列，使得安全滤波模块能够验证每个传感器接收到相同的数据并且数据与由通信网关接收到的数据匹配。安全滤波模块被配置成将清理的数据报告给决策制定模块。如果不满足任何安全规则，则安全滤波模块可以向决策制定模块报告确定系统受到攻击。决策制定模块被配置成通过经认证的BLE通信链路可选地向授权的便携式或移动设备发送警报消息。便携式或移动设备上的应用软件可选地被配置成通过设备的其中一个警报机制向设备的用户发出警报。

本公开内容包括一个或更多个传感器，其能够接受命令，以接收BLE物理层数据包，而不论在可配置的未来时间处或可配置的持续时间内在四十个BLE信道中的任何一个上没有错误(例如，CRC错误)。

本公开内容还包括传感器网络，其中，每个传感器被配置成在不同时间搜索不同的BLE信道并且将所接收到的数据报告给安全模块以供稍后处理。

本公开内容还包括一种方法，通过该方法，安全模块将从连接至通信网关的便携式设备(声称是授权的便携式设备)接收到的数据与由传感器网络读取和从传感器网络产生的数据的日志进行比较。

本公开内容包括一种比较方法，该比较方法在所记录的数据包内查找与授权的便携式设备的地址等同的设备地址。本公开内容还包括一种比较方法，该比较方法提取在记录的数据包内包含的数据并且将其与由PEPS系统正在接收或已经接收到的数据进行比较。如果匹配，则安全模块能够判断正在发生中间人攻击。

本公开内容包括一种方法，该方法采用源自便携式或移动设备的接收消息的时间序列并且再现传感器网络中的传感器开始跟随连接所需的连接间隔、当前信道、连接间隔、从属延时和信道映射。

参照图19，在车辆230内设置有另一个PEPS系统200。类似于上述PEPS系统1，PEPS系统200包括通信网关229和统称为231的多个传感器231A-231F。类似于上述PEPS系统1，在图19的PEPS系统200中，便携式设备210可以经由参考上述安全通信链路680描述的安全通信链路280(例如，蓝牙通信链路)与车辆230的通信网关229通信。图19的PEPS系统200类似于上述PEPS系统1，除了图19的PEPS系统200不仅利用BLE通信还利用脉冲无线电(IR)超宽带(UWB)通信以外。更具体地，一个或更多个传感器231可以被配置成除了使用BLE通信之外还使用IR UWB通信进行通信。此外，通信网关229还被配置和配备成除了使用BLE通信之外还使用IR UWB通信进行通信。例如，便携式设备210可以利用IR UWB通信与通信网关229通信。在一些配置中，车辆202可以包括被配置成仅使用IR UWB进行通信的一个或更多个传感器231以及被配置成仅使用BLE通信进行通信的一个或多个传感器231。例如，车辆202可以配置有：被配置成使用IR UWB和BLE通信两者进行通信的一个或更多个传感器231；被配置成仅使用IR UWB通信进行通信的一个或更多个传感器231；以及/或者被配置成仅使用BLE通信进行通信的一个或多个传感器。在本文描述的图19的示例中，车辆202被称为包括被配置成至少使用IR UWB进行通信的一个或更多个传感器231以及被配置成至少使用BLE通信进行通信的一个或更多个传感器。替选地，车辆202可以仅包括被配置成使用IR UWB进行通信的传感器231。在这种情况下，便携式设备可以使用BLE通信与通信网关229通信，并且可以使用IR UWB通信与传感器231通信。

继续参照图19，便携式设备210类似于上述便携式设备210，除了便携式设备210被配置成使用除了BLE通信之外的IR UWB通信进行通信。在没有限制的情况下，便携式设备210可以是被配置成用于IR UWB通信和BLE通信的任何设备，例如，智能电话、智能手表、可穿戴电子设备、密钥卡、平板设备或与车辆230的用户(例如，车辆230的拥有者、驾驶员、乘客和/或车辆230的技术人员)相关联的其他设备。如上所述，便携式设备210可以包括连接至天线13的BLE芯片组11。如上所述，便携式设备210还可以包括存储在计算机可读存储模块或设备中的应用软件12。如上所述，便携式设备210还可以可选地包括GPS模块214或其他设备定位服务。

继续参照图19，便携式设备210可以配置有内部IR UWB通信模块，并且可以配备有IR UWB通信能力。例如，便携式设备210可以包括连接至天线的被配置成用于IR UWB通信的IR UWB通信芯片组。替选地，可以通过将IR UWB标签250附接在便携式设备210的外部来改造便携式设备210以用于IR UWB通信。例如，IR UWB标签250可以使用IR UWB通信与被配置成用于IR UWB通信的一个或更多个传感器231进行通信。并且与通信网关229通信。如下面进一步详细描述的，在IR UWB标签250附接于便携式设备210的配置中，便携式设备210与标签250进行通信以验证标签250附接于便携式设备210。

如上所述，通信网关229和一个或更多个传感器231被配置成使用根据UWB IEEE802.15.4IR UWB标准(更具体地，IEEE 802.15.4a标准)的IR UWB通信进行通信。

如下面进一步详细描述的，除了使用BLE通信进行通信之外，图19中所示的配置还可以通过使用诸如IR UWB的通信技术来实现便携式设备210的更准确的位置跟踪。可以响应于预定的钥匙事件(例如，紧接在BLE连接事件之后的时间帧)来触发诸如IR UWB通信的附加通信技术。在这种情况下，PEPS系统200可以激活IR UWB通信系统，使得每个传感器可以通过分配与BLE连接通信事件同步的时隙以确定性方式执行与被跟踪设备的双向测距。例如，在每个BLE连接事件之后，可以为每个BLE传感器分配时隙，以基于传感器的唯一识别码执行双向测距。然而，并非每个连接事件都可以触发双向测距，因为在许多情况下，测距可以是不必要的并且会引起功耗成本。因此，PEPS系统200可以被配置成使得可以发送经由BLE通信发送的触发，以指示应该在某个未来连接处(即，紧接在下一个连接事件之后)执行测距。然后，如上所述的定位模块32可以基于由传感器执行的双向测距来确定便携式设备的位置。

可选地，如果所有IR UWB无线电可以是时间同步的并且使用到达时间差，则可以不需要双向测距。在这种情况下，便携式设备210可以广播其是正在被跟踪的设备并且可以发送其与已知的连接事件同步的测距脉冲。然后，所有BLE传感器可以根据该同步在该时隙处收听测距脉冲。通过这种方式，通过采用与由BLE或其他低功耗协议提供的主要数据信道的同步来减少使用IR UWB或其他测距技术，可以实现显著的功耗节省，其中通信定时可以被网络中的每个传感器学习。

每个BLE传感器被配置成并且能够与通信网关229通信。以这种方式，根据需要，可以将感测到的数据传送至通信网关229并且分发给网络中的其他通信节点。传感器231与通信网关229之间的通信连接可以(例如，通过本地互连网络(LIN)接口)与通信网关229直接有线地接口连接。通信连接也可以是无线的。例如，BLE传感器可以使用安全BLE通信与通信网关229进行通信。

如上面所讨论的，例如，便携式设备210可以是能够使用公告信道或使用连接的信道以安全的方式与通信网关229通信的智能电话。如上面进一步指出的，便携式设备210可以包括附接设备(例如，附接标签250)，其提供附加的通信技术以用于更准确的测距。例如，标签250可以结合IR UWB通信技术以用于更准确的测距。标签250可以单独与通信网关229通信，并且可以由传感器网络(即，传感器231)使用BLE或IR UWB通信进行跟踪。标签250还可以与便携式设备210通信，使得便携式设备210与标签250之间的安全数据被交换，以验证标签250被附接于并且保持附接于便携式设备210。例如，这样的数据可以包括发射功率和信号强度。例如，发射功率可以被设置得很低，使得标签250只能在标签250附接于便携式设备210时进行通信，从而必须保持某些阈值级别的RSSI，以便标签250被认为附接于便携式设备210。传送的数据还可以包括维持通信链路的时间长度。

传送的数据还可以包括加速度计数据。例如，在标签250中嵌入的加速度计可以报告加速度计数据，然后可以将该加速度计数据与由在便携式设备210中嵌入的单独的加速度计生成的加速度计数据进行比较。例如，因为标签250可以物理地附接于便携式设备210，所以当标签250和便携式设备210彼此配对时，可以学习设备的相对方位。换言之，可以使用来自每个设备的x、y和z的加速度计数据的简单转换来在便携式设备210相对于标签250的方位之间移动。以这种方式，如果标签250被移除并且不再附接于便携式设备210，则可能难以针对便携式设备的方位做出稳定的参考，并且PEPS系统200可以忽视或解除基于标签250的位置的任何定位决策，这是因为假设标签250不再与便携式设备210处于相同位置(co-located)。PEPS系统200可以被配置成处理和分析便携式设备210的当前方位(例如，x、y、z加速度计数据)以及标签250附接于便携式设备的当前方位(例如，x、y、z加速度计数据)。PEPS系统200经由通信网关229或便携式设备210的处理，可以确定从标签250的方位到便携式设备210的方位的映射功能。可以在标签250附接于便携式设备210的时间处学习映射功能的确定。在应用变换功能之后，可以监视或跟踪两个设备相对于学习的初始位置的相对漂移或移动。可以确定容差要求，例如，基于硬件的容差允许多少漂移。关于两个设备的方位高于设定容差的任何不一致都可以用于禁用与便携式设备位置有关的决策。因为标签250可以随着时间相对于便携式设备210缓慢地滑动和移位，所以可以基于标签250和便携式设备210在容差内的每个决策点处的指示方位来调整映射功能。平均/滤波功能可以应用于预定数量的最近的相对方位，使得可以校正电子器件的准确度或设备相对于彼此的物理方位的小而缓慢的漂移。例如，平均滤波器可以使用与所需容差匹配的最新相对坐标。

如上面所讨论的，在一种配置中，车辆230可以仅包括使用IR UWB测距通信进行通信的传感器231。在这种情况下，便携式设备210可以使用BLE通信与通信网关229通信，并且可以使用IR UWB测距通信与传感器231通信。在该配置中，PEPS系统200包括通信网关299，该通信网关299可以使用安全BLE通信连接与便携式设备210通信，并且其可以可选地包括用于使用IR UWB通信与便携式设备210通信的IR UWB通信模块。在该配置中，PEPS系统200还包括IR UWB传感器231，该IR UWB传感器231可以在通信网关229包括IR UWB通信模块的情况下经由专用总线例如，CAN总线或LIN总线)或经由IR UWB通信与通信网关229通信。附加地或替选地，IR UWB传感器可以使用IR UWB通信将信息传送至便携式设备210，并且便携式设备210可以使用BLE通信将信息从传感器231中继到通信网关229。在这样的配置中，便携式设备210被配置成利用BLE通信和UWB通信两者进行通信。例如，便携式设备210可以是被配置成使用BLE通信进行通信的智能电话。附加地或替选地，便携式设备210可以被配置成使用BLE通信进行通信，并且可以包括实现IR UWB通信的附接标签250，其中，如上所述，IR UWB标签250包括验证其附接于便携式设备210的验证方法。

参照图20，示出了PEPS系统201的另一种配置，其具有车辆230，车辆230包括使用BLE通信以及IR UWB测距通信进行通信的传感器231。例如，在图20所示的PEPS系统201的配置中，传感器231A是能够进行IR UWB通信以及BLE通信的传感器，而传感器231C仅能够进行IR UWB通信。如图20所示，便携式设备210能够进行BLE通信以及IR UWB通信。例如，图20中所示的便携式设备210包括用于IR UWB通信的附接的IR UWB标签250。替选地，便携式设备210可以包括连接至天线的被配置用于IR UWB通信的IR UWB通信芯片组。在这种情况下，便携式设备210可以使用IR UWB进行通信而无需附接的IR UWB标签250。如图20所示，便携式设备210经由安全通信链路280使用BLE通信与通信网关229通信。便携式设备210经由通信链路281使用IR UWB通信与传感器231C通信。便携式设备210经由通信链路282使用BLE通信并且还经由通信链路283使用IR UWB通信与传感器231A通信。参照图20，PEPS系统201被示出为与便携式设备211通信，该便携式设备211能够使用BLE通信进行通信但是不能使用IRUWB进行通信。便携式设备210经由安全通信链路280使用BLE通信与通信网关229通信。便携式设备210还经由通信链路282使用BLE通信与传感器231A通信。

最初，BLE可以是用于在车辆附近定位便携式设备211的唯一合适技术。随着实时定位系统(RTLS)变得日渐流行制造商(例如，智能电话、平板设备和可穿戴设备制造商)可能会采用并利用基于准确飞行时间(TOF)的双向测距系统，例如，IR UWB。因此，为了保持与现有的便携式设备(例如，现有的智能电话、桌面设备和/或可穿戴设备)的兼容性，用户不希望在他们的便携式设备上安装IR UWB标签以进行精确的位置跟踪，并且从而用户可以容忍通过仅使用低成本的BLE解决方案所带来的限制和安全风险，可以使用参照图20和图21示出和讨论的混合配置。混合配置还可以包括上面讨论的可穿戴设备委托模式，因为系统的BLE通信部可以在可穿戴设备返回到例如车辆230附近时粗略地定位可穿戴设备。因此，混合配置系统为用户提供低成本系统，并且还提供与未启用IR UWB通信的BLE设备的兼容性。

如上面所讨论的，混合配置系统可以包括被配置成使用BLE通信与便携式设备210、211通信的通信网关229。该系统还可以包括一个或更多个组合IR UWB和BLE传感器231，即，诸如231A的传感器，其能够使用IR UWB通信和BLE通信两者进行通信。组合传感器能够测量公告和连接跟随信道的BLE信号特性，并且还能够使用双向测距和/或使用到达时间差来进行IR UWB测距。该系统还可以包括仅使用BLE通信进行通信的零个或更多个传感器。例如，仅BLE的传感器可以用于位于“已知位置”的启动系统中，由此便携式设备必须放置在该传感器附近以允许动作，即是，便携式设备必须放置在例如中央控制台上以允许车辆启动。利用这样的仅BLE的传感器，近场性质通常在该系统中占主导地位，从而允许稳健的强RSSI。该系统还包括零个或更多个仅IR UWB的传感器(例如，传感器231C)。这些传感器能够如上所述地进行UWB测距，并且被放置在几何测距性质对于定位被跟踪设备至关重要的区域中，但是BLE信号信息几乎是不重要的。如上面所讨论的，混合配置PEPS系统201与使用BLE通信进行通信但不使用IR UWB进行通信的便携式设备211在通信方面兼容。这些类型的便携式设备211可以经由连接跟随和/或公告数据被跟踪，并且受到准确度的限制被粗略定位。混合配置PEPS系统201还与可以使用BLE通信和IR UWB通信进行通信的便携式设备210在通信上兼容。可以经由UWB测距跟踪这些类型的便携式设备210，其中BLE通信用作控制信道，以仅在必要的时间启用IR UWB通信以降低功耗。然后，如上所述的定位模块32可以基于由传感器231执行的双向测距来确定便携式设备的位置。

除了跟踪便携式设备210、211之外，PEPS系统201还可以跟踪与便携式设备210、211相关联的可穿戴设备。可穿戴设备可以包括上述的委托功能，并且可以使用来自便携式设备的状态消息来指示相关联的可穿戴设备是否存在以及被认证。

该类型的PEPS系统201的其中一个考虑是何时启用IR UWB通信系统。作为示例，IRUWB通信系统可以被同步以跟随BLE连接事件。例如，系统可以被配置成计算从便携式设备210到所有车辆传感器231的距离。参照图22，示出了示出使用两种不同方法的系统的说明性操作的序列图。如图22所示，事件定时信息在2201处从通信网关29被发送至IR UWB传感器1 231，并且在2202处从通信网关29被发送至IR UWB传感器N 231。在2204处，在便携式设备210与通信网关之间发生连接事件2204。在连接事件之后，直到下一个连接事件的时间可以分成N个时隙。可以为每个IR UWB传感器231分配时隙。通过与通信网关29通信，传感器231可以计算到下一个连接事件的时间和它们自己的时隙的偏移，以最小化使用每个传感器231之间的双向测距从便携式设备210收听通信所花费的时间量。

在图22的序列图中，可以通过在连接事件之后为每个传感器231分配时隙来激活双向测距。如图22所示，在第一连接事件2204之后，与IR UWB传感器1 231的双向测距在2206和2208处发生在测距时隙1中。此外，与IR UWB传感器N的双向测距在2210和2212处发生在测距时隙N中。此外，在2214处示出第二连接事件。在第二连接事件2214之后，与IR UWB传感器1 231的双向测距再次在2216和2218处发生在测距时隙1中。在实践中，可以在每个连接事件之后不发生双向测距，这是因为这在能量方面成本太高。因此，在一些连接事件期间，数据的数据包从通信网关29被传输至便携式设备210，反之亦然。数据的数据包可以指示在将来的某些连接事件期间，测距系统将变为活动状态。

在最简单的形式中，可以在每个连接事件之后立即开始测距，如图22的序列图所示。附加地或替选地，便携式设备210与通信网关29之间的数据的数据包可以包括触发器。例如，触发器信息可以提供指令以激活0到N的范围内的从现在起的N个连接事件中的测距，其中零是紧接该连接事件。附加地或替选地，触发信息可以提供指令以在连接事件到达某个特定BLE信道时(例如，每次系统在信道5上通信时，或者在例如在信道5、15、25和32上通信时)激活测距。附加地或替选地，触发信息可以提供指令以激活从现在起的Y连接事件之后开始的每个第N连接事件的测距。例如，从3个连接事件(Y)开始，应该在每个第20连接事件(N)激活测距系统。某些设备(例如，特定的智能电话)可能没有与连接事件有关或与当前信道是哪个信道有关的准确信息。因此，通信节点必须实现发现初始设置的模式。例如，在系统在BLE信道5上通信时应该启用防护的情况下，传感器231可以进入以下模式：连续扫描信道5，直到观察到与正在跟随的通信链路的访问标识符匹配的数据包。然后，可以建立用于跟随BLE通信链路的调度表。作为另一示例，系统可以被配置成使得当使用每个第N连接事件时，接收器可能不知道IR UWB测距请求的发送器的当前计数器的值。因此，接收器可以扫描来自正确设备的IR UWB双向测距请求(前导码等)。一旦接收到IR UWB请求，接收器就可以将下一个扫描时间设置为N乘以连接间隔。以这种方式，可以实现同步。

在图22的序列图中描述的测距系统使用双向测距。然而，还有其他可用的模式，其中，IR UWB网络中的节点可以相对于彼此保持它们的时钟，从而可以建立共同的时基。然而，时钟同步处理会引起更高的能量消耗，因此基于节点之间的BLE命令进行启动。

可以通过诸如“前导码注入”攻击或“蝉(cicada)攻击”的攻击在物理层上攻击IRUWB通信系统。减少攻击者成功的可能性的一种方法是使用尽可能短的符号(更高的比特率)并且使用不可预测的前导码。然而，通过减小符号的长度，有效的通信范围减小了。由于某些功能(例如，远程欢迎)需要长距离的低准确度并且具有最小限度的安全性考虑，而其他功能(例如，门解锁)需要短距离的高安全性，因此系统必须具有自适应设置。该系统能够将符号率从长符号率改变成短符号率，长符号率将提供更长的通信范围，但提供不太稳健的IR UWB测距，并且短符号率将提供更短的通信范围，但提供更稳健的IR UWB测距。经由便携式设备210与车辆系统之间的通信，通过通信网关29，经由BLE通信消息，可以进行协商使用什么符号率以及何时控制符号率。

此外，可以通过改变前导码来部分地减轻IR UWB通信系统的物理层攻击。例如，IEEE 802.15.4-2011a规范指定使用哪个前导码。然而，有利的是，改变前导码，选择仅使用特定前导码一次。因此，该系统可以实现一种方法，通过该方法，便携式设备210或车辆系统可以部分地或整体地选择临时前导码。部分前导码的示例包括选择小于前导码的大小的某些比特数。该数据可以是前导码的子集，或者由所有节点使用以确定较大的前导码作为确定性生成算法中的种子。然后恰好在使用之前使用BLE通信网络在整个系统中传播临时前导码。图22中所示的序列图描述了IR UWB测距可以与连接事件同步。在IR UWB测距通信之前的连接事件期间，可以利用将在测距命令期间使用的前导码来传输BLE数据的数据包。

可以使用用于激活IR UWB测距系统的多个触发器。这些触发器还可以触发系统改变IR UWB上的比特率/符号率以从长距离变为短距离，反之亦然。触发器可以包括使用BLE控制信道的RSSI来确定IR UWB系统足够靠近车辆系统以激活欢迎/接近功能。此外，可以在激活欢迎功能之后立即禁用IR UWB通信以降低功耗。触发器还可以包括使用BLE传感器网络的粗略定位能力来确定便携式设备210相对靠近重要的激活区域，例如，便携式设备210针对解锁功能在驾驶员门附近或在升降门或乘客门附近，或者认为便携式设备210位于车辆内部，并且可以马上按下启动按钮。触发器还可以包括使用结合了重量传感器和/或乘员的视觉识别的车辆乘员检测系统。为了降低功耗，可以针对“点火开启”的情况禁用IR UWB系统，直到知道有人坐在驾驶员座椅上，或者直到按下装配在点火系统上的制动踏板。触发器还可以包括使用纬度/经度(即，GPS数据)来计算便携式设备210相对于车辆230的接近的粗略距离和侧面，即是，将车辆230的纬度/经度与便携式设备210的纬度/经度进行比较来计算从车辆230到便携式设备210的矢量。一旦便携式设备210被计算为可能在需要功能的区域中，则可以启用测距系统。触发器还可以包括使用可用于便携式设备210的加速度计/运动数据。为了计算“接近速度”值，便携式设备(例如，智能设备)可以向应用提供当前的行进方向和运动以及当前的位置。然后可以从该数据导出相对于车辆的接近速度。以这种方式，当便携式设备210即将很快到达决策区域时，可以选择性地准备或激活测距和认证系统。例如，如果用户正朝着其车辆奔跑，则用户很可能由于下雨或被抢劫犯追赶而导致匆忙。测距系统可以保持活动状态，以便预测人员到达安全决策区域(例如，解锁门)的精确时间。在这种情况下，当用户到达安全决策区域时，可以在到达之前完成所有认证，只有便携式设备相对于车辆的位置保持待定。这允许基于用户的非常快速的接近来实现诸如门被解锁或自动打开升降门的功能。触发器还可以包括使测距系统在远程欢迎功能附近保持活动更长的时间以计算“接近速度”，以便确定系统应当保持开启并且在无需在便携式设备210上使用运动感测的情况下(例如，如果便携式设备210不具有运动感测能力，如果用户选择不运动数据，或者如果在任何情况下使用该方法仅仅是更加节能)启用上述使用实例。触发器还可以包括由主要跟踪设备激活辅助跟踪设备。例如，在标签放置在物品(例如，高尔夫球袋)上的使用情况下，高尔夫球袋以及拥有者的电话都位于升降门解锁区域中，用户可以编程应该自动打升降升门。主要便携式设备210(例如，电话)可以经由BLE非常有效地以低功率与辅助跟踪设备(例如，标签)通信。当在决策区域附近(例如，在升降门附近)检测到主要便携式设备210时，主要便携式设备210可以向辅助跟踪设备(例如，高尔夫球袋标签)和/或车辆系统发送BLE通信消息，以将IR UWB系统安装在辅助标签上，使得车辆系统可以准确地定位标签。

参照图23，在车辆202内提供另一个PEPS系统300。类似于上述PEPS系统1、200，PEPS系统300包括通信网关329，该通信网关329被配置成与便携式设备311(例如，智能电话、智能手表、可穿戴电子设备、密钥卡、平板设备或与车辆330的用户(例如，拥有者)相关联的其他设备)通信。PEPS系统300包括能够与传统PEPS密钥卡(例如，当前与传统LF PEPS系统一起使用的密钥卡)通信的低频(LF)天线331。例如，PEPS系统300可以包括位于车辆330内部的一个或更多个LF天线331以及位于车辆330外部的一个或更多个LF天线331。LF天线331被配置成在频率范围(例如，在80kHz与200kHz之间)内通信。可以使用一个或更多个单独的LF驱动器来驱动LF天线331。在图23所示的配置中，LF驱动器包括在通信网关329中。替选地，与通信网关329通信的单独的LF驱动器或发射器模块可以用于驱动LF天线331。

图23的PEPS系统300中示出的便携式设备311包括无线充电能力，即，无线功率传输能力。例如，无线充电能力可以包括感应充电和/或谐振充电。例如，便携式设备311可以包括用于便携式设备311的无线充电的Qi充电装置。LF天线331和与LF天线331相关联的LF驱动器被配置成以达预定的距离(例如，四米)发送Qi无线充电器ping请求。因此，例如，具有Qi充电装置的便携式设备311可以基于便携式设备311中的Qi接收器的接收增益，在大约四米处观察来自LF天线的无线充电器ping请求。在381处示出了到LF天线331的/从LF天线331到便携式设备311的通信，例如，Qi无线充电器ping请求。虽然通信381被示出为具有单个LF天线331，但是应当理解的是，在便携式设备311与每个LF天线331之间发生通信。

可以改变驱动到LF天线331中的功率量，使得如果目标是小于4米的范围，则LF驱动器可以降低发送增益以实现更小的通信范围。此外，不同类型的便携式设备可以具有不同的Qi接收器增益设置。然而，可以由车辆通过由该类型的便携式设备设置的校准来学习不同的接收器增益，其中基于便携式设备的类型已知增益灵敏度。然后，当便携式设备311最初与车辆PEPS系统300配对时，可以将校准结果发送至车辆PEPS系统。替选地，可以通过将便携式设备放置在LF天线331附近的已知位置的处理来学习接收器增益。然后，LF天线331可以以不同的功率电平向便携式设备311发送几个数据包，然后便携式设备311可以对接收到的每个通信数据包作出响应。然后，LF驱动器或发射器可以测量发射功率阈值，低于该发射功率阈值，电话无法检测到信号。例如，通过使用基于训练场景理解的波传播(即，选择的已知位置，以便准确理解由于传播引起的信号损失)，可以计算接收器增益。此外，发射功率减去接收到的能量的量指示路径损耗。在已知路径损耗且接收到的能量等于零的情况下，路径损耗与接收器增益完全匹配。

LF驱动器或发射器能够改变数据包的负载以包括“质询”码。质询码可以与现有的PEPS质询码相同。质询码必须被便携式设备311上的Qi接收器检测到。LF驱动器或发送器通常还能够以125kHz与传统的密钥卡通信。控制LF天线的模块(例如，通信网关329或专用模块)可以被配置成改变LF天线331的模式以驱动当前在传统PEPS系统上使用的Qi规范数据包和LF质询两者。也可以修改传统的密钥卡以实现Qi规范。因此，LF天线331将不需要修改通信协议以适应Qi规范数据包和LF质询。

便携式设备311使用到车辆330的通信网关329的安全加密通信链路380(例如，安全BLE通信链路380)。附加地或替选地，通信链路380可以是IR UWB通信链路或其他标准化或专有协议。便携式设备311包括能够与在便携式设备311上运行的应用软件通信的Qi充电装置。当便携式设备311从车辆上的LF天线331接收到Qi充电ping时，与便携式设备311上运行的应用软件共享数据包信息。基于数据包中的数据，应用软件使用在便携式设备311与车辆系统配对时在车辆系统与便携式设备311之间交换的密钥或一组密钥来进行密码响应。然后，由便携式设备311经由安全BLE通信链路380将响应发送至通信网关模块。通过安全BLE通信链路380发送的响应被加密。可选地，数据可以被配置成重置安全，即，通过使用基于计数器的加密(例如，AES-CCM)被重置安全。可选地，可以对数据进行签名，即，通过使用AES-CCM或通过使用RSA或ECC进行签名。如果IR UWB或另一双向通信协议被用作安全通信链路，则该链路还可以用于通过测量响应的到达时间或到达时间差来防止中继站攻击。

PEPS系统300包括能够例如使用如上所述的BLE通信与便携式设备311进行安全通信的一个或更多个通信网关329。通信网关329能够创建与便携式设备311的安全通信链路380并且能够验证便携式设备311的身份和真伪。例如，通信网关329和便携式设备311被配置成理解在设备之间交换的加密数据，确保每个设备都具有在便携式设备311与车辆系统配对时交换的密钥。以这种方式，通信网关329和便携式设备311可以彼此自由地交换数据。例如，便携式设备可以将来自LF Qi ping的响应代码发送至通信网关329，以便通信网关329可以确认动作。通信网关329能够与每个LF天线通信并且致动每个LF天线，以请求LF天线向便携式设备发送LF Qi ping请求。通信网关329可以控制或学习在每个ping中发送的数据，并且可以控制每个ping中的数据，使得每个ping是唯一的。可以定期发送LF ping。也可以在诸如门按钮被致动或启动按钮被致动的车辆动作时发送LF ping。还可以基于通信网关329与便携式设备311之间的信号特性(包括例如基于通信网关与便携式设备之间的RSSI)来发送LF ping。信号特征可以用于估计从便携式设备311到通信网关329的距离，使得每当便携式设备311可能在车辆中的其中一个LF天线331的通信范围内时，可以启用LFping。也可以基于粗略定位系统(例如，上面关于BLE PEPS系统描述的那些系统)来发送LFping，其中，来自车辆中的若干其他传感器的数据能够定位很可能在LF天线的通信范围内的电话。还可以基于便携式设备311与车辆330之间的GPS比较(例如，当距离足够接近以使便携式设备311可能在其中一个LF天线的通信范围内时)来发送LF ping。

通信网关329能够从便携式设备311接收质询响应，对质询响应进行解密并且可选地检查重置和签名以验证响应的真实性。然后可以将响应代码与质询代码和在配对期间与便携式设备311共享的一个或多个密钥进行比较。通过使用质询/响应代码算法，可以确定响应代码是正确的还是不正确的。如果通信网关329接收到正确的响应代码，则通信网关329可以与车辆330内的车辆访问和车辆启动子系统通信，以基于例如根据萨彻姆(Thatcham)的要求建立的完善的定位公约使门被锁定/解锁或车辆点火状态改变。还可以使用认证来限制充电站上的无线充电功能，即是，限制可从车辆内部和/或外部访问的LF天线，以防止路人或其他未经授权的人访问无线充电功能。

参照图24，示出了使用LF通信和Qi ping质询的PEPS系统300的一部分的框图。通信网关329在360处将质询码传送至LF天线。LF天线331在362处使用LF通信向便携式设备311发出Qi ping质询。便携式设备311响应于Qi ping质询，在364处通过使用BLE通信将加密的质询响应传送至通信网关329来做出响应：

参照图25，序列图示出了通信网关329、LF天线331和便携式设备311之间的通信。序列图假设在便携式设备与车辆系统配对时，便携式设备311计算对质询码的安全质询响应的必要的密码信息被分配在通信网关329与便携式设备311之间。

通信网关329最初确定应该发送Qi ping或质询，如上面详细讨论的。在382处，将Qi质询发送到LF天线。由LF系统配置LF天线以使用Qi来通信。在384处，LF天线以适当的功率电平发送具有包括质询的数据的Qi ping。然后便携式设备311接收质询，计算质询响应，并且可以测量RSSI和时间戳数据。在386处，便携式设备311经由BLE通信将响应发送至通信网关。然后，通信网关确定该响应对于做出响应的便携式设备是否正确。如果响应是正确的，则通信网关可以启用致动，例如，使用适用的决策标准解锁车辆或者在车辆的内部和/或外部的充电站处激活无线充电功能。

出于说明和描述的目的已经提供了对实施方式的前述描述。其不旨在穷举或限制本公开内容。特定实施方式的各个元件或特征通常不限于该特定实施方式，而是在适用的情况下是可互换的并且可以用于所选择的实施方式中，即使没有具体示出或描述也是如此。特定实施方式的各个元件或特征也可以按多种方式变化。这样的变型不被视为是脱离本公开内容，并且所有这样的修改旨在被包括在本公开内容的范围内。

提供示例实施方式以使得本公开内容将是充分的，并且更充分地向本领域的技术人员传达范围。陈述许多具体的细节，例如特定部件、设备以及方法的示例以提供对本公开内容的实施方式的完整理解。对于本领域的技术人员而言明显的是，不需要采用具体细节，示例实施方式可以以许多不同的形式来实施，并且具体细节和示例实施方式都不应当被解释为限制本公开内容的范围。在一些示例实施方式中，并未详细描述公知的处理、公知的设备结构和公知的技术。

在本申请中，包括以下定义，术语“模块”和“系统”可以指可以包括执行代码的处理器硬件(共享、专用或组)和存储由处理器硬件执行的代码的存储器硬件(共享、专用或组)的电路或电路系统的一部分或者包括该电路或电路系统。代码被配置成提供本文描述的模块和系统的特征。此外，在本申请中，术语“模块”和“系统”可以用术语“电路”代替。术语“存储器硬件”可以是术语计算机可读介质的子集。术语计算机可读介质不包括通过介质传播的暂态电信号和电磁信号，因此可以被认为是有形的和非暂态的。非暂态有形计算机可读介质的非限制性示例包括非易失性存储器、易失性存储器、磁存储装置和光学存储装置。

本申请中描述的装置和方法可以由通过配置通用计算机执行在计算机程序中呈现的一个或更多个特定功能而创建的专用计算机来部分地或完全地实现。上述功能块、流程图组件和其他元件用作软件说明，其可以通过有经验的技术人员或编程人员的例行工作被编译成计算机程序。

计算机程序包括存储在至少一个非暂态、有形计算机可读介质上的处理器可执行指令。计算机程序还可以包括或依赖于存储的数据。计算机程序可以包含与专用计算机的硬件进行交互的基本输入/输出系统(BIOS)、与专用计算机的特定装置交互的设备驱动器、一个或更多个操作系统、用户应用、后台服务、后台应用等。

计算机程序可以包括：(i)要解析的描述性文本，例如，JavaScript对象简谱(JSON)、超文本标记语言(HTML)或可扩展标记语言(XML)；(ii)汇编代码；(iii)由编译器从源代码生成的目标代码；(iv)由解释器执行的源代码；(v)由即时编译器编译和执行的源代码等。仅作为示例，源代码可以使用来自包括以下的语言的句法来编写：C、C++、C#、Objective C、Haskell、Go、SQL、R、Lisp、

Fortran、Perl、Pascal、Curl、OCaml、

HTML5、Ada、ASP(活动服务器页面)、PHP、Scala、Eiffel、Smalltalk、Erlang、Ruby、

Visual

Lua和

除非使用短语“用于......的装置”明确说明一个元件，或者除非在使用短语“用于......的操作”或“用于......的步骤”的方法权利要求的情况下，否则权利要求书中记载的元件都不是35U.S.C§112(f)的含义内的功能限定元件(means-plus-functionelement)。

本文中使用的术语仅出于描述特定示例实施方式的目的，并且不旨在是限制性的。除非上下文另有明确指示，否则如本文中使用的单数形式“一”、“一个”和“该”可以意在还包括复数形式。术语“包括”、“包含”、“含有”以及“具有”是非排他性的，从而指定陈述的特征、整体、步骤、操作、元件和/或部件的存在，但是不排除一个或更多个其他特征、整体、步骤、操作、元件、部件和/或其群组的存在或不排除添加一个或更多个其他特征、整体、步骤、操作、元件、部件和/或其群组。本文中描述的方法步骤、处理和操作不应当被解释为一定要求它们以所讨论或示出的特定顺序来执行，除非该特定顺序被特别指定为执行顺序。还应当理解的是，可以采用附加步骤或替代性步骤。

当元件或层被称为“在......上”、“接合至”、“连接至”或者“耦接至”另一元件或层时，它可以直接在另一元件或层上、接合至、连接至或耦接至另一元件或层，或者可以存在中间元件或层。相反，当元件被称为“直接在另一元件或层上”或者“直接接合至”、“直接连接至”或“直接耦合至”另一元件或层时，不存在中间元件或层。用于描述元件之间的关系的其他词应该以相似的方式来解释(例如，“在......之间”与“直接在......之间”、“相邻”与“直接相邻”等)。如在本文中所使用的，术语“和/或”包括一个或更多个相关联列举的项目的任意和所有组合。

尽管术语第一、第二、第三等在本文中可以用于描述各种元件、部件、区域、层和/或部分，但是这些元件、部件、区域、层和/或部分不应当受这些术语限制。这些术语可以仅用于将一个元件、部件、区域、层或部分与另一区域、层或部分区分开。比如在本文中使用“第一”、“第二”的术语和其他数字术语时，除非由上下文明确指示，否则不暗含序列或顺序。因此，下文中所论述的第一元件、部件、区域、层或部分可以被称为第二元件、部件、区域、层或部分，而不背离示例性实施方式的教导。

在本文中可以使用空间关系术语，例如“内部”、“外部”、“在......之下”、“在......下方”、“下部”、“在......上方”、“上部”等以便于描述如图所示的一个元件或特征与另外的元件或特征的关系。空间上的相关术语可以意为包括在使用或操作中的设备的除了在附图中描绘的方位之外的不同方位。例如，如果附图中的设备被翻转，则被描述为其他元件或特征的“下面”或“下方”的元件将位于所述其他元件或特征的“上面”。因此，示例性术语“在......下方”可以包括在......上方和在.......下方两个方向。该设备可以以其他方式定向(旋转90度或其他方向)，并且对应地解释本文所使用的空间相对描述符。

Claims (15)

1.一种车辆控制系统，包括：

通信网关(229)，其在车辆(230)中，被配置成建立与便携式设备(210，211)的蓝牙低功耗(BLE)通信连接；

至少一个传感器(231)，其被配置成与所述通信网关(229)通信，并且被配置成使用脉冲无线电(IR)超宽带(UWB)通信与所述便携式设备(210，211)通信，所述通信网关(229)被配置成指示所述至少一个传感器(231)在所述通信网关(229)与所述便携式设备(210，211)之间的配对完成之后，通过将与BLE连接通信事件同步的指定时隙分配给所述至少一个传感器(231)，在所述指定时隙中使用与所述便携式设备(210，211)的IR UWB通信来执行双向测距，其中，所述至少一个传感器(231)基于其唯一识别码来执行双向测距；

定位模块(32)，其与所述通信网关(229)通信，并且被配置成基于由所述至少一个传感器(231)执行的双向测距来确定所述便携式设备(210，211)的位置；以及

被动进入/被动启动(PEPS)系统(200，201)，其被配置成从所述定位模块(32)接收所述便携式设备(210，211)的位置并且基于所述便携式设备(210，211)的位置执行车辆功能，所述车辆功能包括解锁车辆(230)的门、解锁所述车辆(230)的行李箱以及允许启动车辆(230)中的至少一个。

2.根据权利要求1所述的系统，其中，所述至少一个传感器(231)被配置成基于与所述便携式设备(210，211)的双向测距向所述通信网关(229)传送信号信息，

所述信号信息包括所述至少一个传感器(231)与所述便携式设备(210，211)之间的双向测距通信信号的接收信号强度、到达时间、到达时间差或到达角度中的至少一个，并且

所述定位模块(32)被另外配置成基于所述信号信息来确定所述便携式设备(210，211)的位置。

3.根据权利要求1所述的系统，还包括：

至少一个附加传感器，其被配置成从所述通信网关(229)接收与BLE通信连接有关的连接信息，基于所述连接信息窃听BLE通信连接，并且测量与从所述便携式设备(210，211)发送至所述通信网关(29，229，329)的至少一个通信信号有关的信号信息，其中，

所述定位模块(32)被另外配置成接收所述信号信息并且基于来自BLE通信连接的信号信息以及基于与所述便携式设备(210，211)的双向测距来确定所述便携式设备(210，211)的位置。

4.根据权利要求3所述的系统，其中，

所述信号信息包括从所述便携式设备(210，211)发送至所述通信网关(229)的至少一个通信信号的接收信号强度、到达时间、到达时间差和到达角度中的至少一个。

5.根据权利要求1所述的系统，其中，

所述至少一个传感器(231)使用到所述通信网关(229)的有线连接、与所述通信网关(229)的无线IR UWB连接以及经由通过所述便携式设备(210，211)的通信中的至少一个来与所述通信网关(229)通信。

6.根据权利要求1所述的系统，其中，

所述至少一个传感器(231)通过与IR UWB标签(250)进行通信来执行双向测距，所述IRUWB标签(250)是附接于所述便携式设备和与所述便携式设备集成这些情形中的至少一种，并且

所述便携式设备(210，211)被配置成与所述IR UWB标签(250)进行通信。

7.根据权利要求1所述的系统，其中，

所述至少一个传感器(231)包括第一传感器和第二传感器，

所述第一传感器被配置成在所述通信网关(229)与所述便携式设备(210，211)之间的配对之后在第一指定时隙中使用与所述便携式设备(210，211)的IR UWB通信来执行双向测距，并且

所述第二传感器被配置成在与所述通信网关(229)之间的配对之后并且在所述第一指定时隙之后在第二指定时隙中使用与所述便携式设备(210，211)的IR UWB通信来执行双向测距。

8.根据权利要求1至7中任一项所述的系统，其中，

所述定位模块(32)和所述通信网关(229)被包括在单个电子控制单元中。

9.一种车辆控制方法，包括：

利用车辆(230)中的通信网关(229)建立与便携式设备(210，211)的蓝牙低功耗(BLE)通信连接；

利用通信网关(229)来指示被配置成使用脉冲无线电(IR)超宽带(UWB)通信与所述便携式设备(210，211)通信的至少一个传感器(231)在所述通信网关(229)与所述便携式设备(210，211)之间的配对完成之后，通过将与BLE连接通信事件同步的指定时隙分配给所述至少一个传感器(231)，在所述指定时隙中使用与所述便携式设备(210，211)的IR UWB通信来执行双向测距；

利用所述至少一个传感器(231)、使用与所述便携式设备(210，211)的IR UWB通信来执行双向测距，其中，所述至少一个传感器(231)基于其唯一识别码来执行双向测距；

利用定位模块(32)基于由所述至少一个传感器(231)执行的双向测距来确定所述便携式设备(210，211)的位置；

利用被动进入/被动启动(PEPS)系统(200，201)来从所述定位模块(32)接收所述便携式设备(210，211)的位置；以及

利用所述PEPS系统(200，201)基于所述便携式设备(210，211)的位置执行车辆功能，所述车辆功能包括解锁车辆(230)的门、解锁车辆(230)的行李箱、允许启动车辆(230)以及激活车辆(230)中的无线充电站中的至少一个。

10.根据权利要求9所述的方法，还包括：

利用所述至少一个传感器(231)、基于与所述便携式设备(210，211)的双向测距向所述通信网关(229)传送信号信息，所述信号信息包括所述至少一个传感器(231)与所述便携式设备(210，211)之间的双向测距通信信号的接收信号强度；以及

利用所述定位模块(32)、还基于所述信号信息来确定所述便携式设备(210，211)的位置。

11.根据权利要求9所述的方法，还包括：

利用至少一个附加传感器从所述通信网关(229)接收与BLE通信连接有关的连接信息；

利用所述至少一个附加传感器基于所述连接信息来窃听BLE通信连接；

利用所述至少一个附加传感器来测量与从所述便携式设备(210，211)发送至所述通信网关(229)的至少一个通信信号有关的信号信息；

利用所述定位模块(32)来接收所述信号信息；以及

利用所述定位模块(32)、基于来自BLE通信连接的所述信号信息以及与所述便携式设备(210，211)的双向测距来确定所述便携式设备(210，211)的位置。

12.根据权利要求11所述的方法，其中，

所述信号信息包括从所述便携式设备(210，211)发送至所述通信网关(229)的所述至少一个通信信号的接收信号强度。

13.根据权利要求9所述的方法，其中，

所述至少一个传感器(231)使用到所述通信网关(229)的有线连接、与所述通信网关(229)的无线IR UWB连接以及经由通过所述便携式设备(210，211)的通信中的至少一个来与所述通信网关(229)通信。

14.根据权利要求9所述的方法，其中，

利用所述至少一个传感器(231)执行双向测距包括：与附接于所述便携式设备(210，211)的IR UWB标签(250)进行通信，并且

所述便携式设备(210，211)被配置成与所述IR UWB标签(250)进行通信。

15.根据权利要求9至14中任一项所述的方法，其中，

所述至少一个传感器(231)包括第一传感器和第二传感器，并且

执行双向测距包括：

利用所述第一传感器在所述通信网关(229)与所述便携式设备(210，211)之间的配对之后在第一指定时隙中使用与所述便携式设备(210，211)的IR UWB通信来执行双向测距，并且

利用所述第二传感器在与所述通信网关(229)之间的配对之后并且在所述第一指定时隙之后在第二指定时隙中使用与所述便携式设备(210，211)的IR UWB通信来执行双向测距。

Images