CN111051144A - 用于确定机动车的停用运行状态的方法 - Google Patents

Abstract

在回收机动车时，执行以下方法步骤：a)接收包含机动车(1)的运行参数(特别是速度)的信号(16)；b)确定来自所接收的信号(16)的运行参数最后跨越可预设的阈值的时刻；c)根据所确定的时刻是否出现在预设时间间隔(23)之后来识别机动车的停用运行状态；d)输出用于安全气囊的触发信号。

Description

用于确定机动车的停用运行状态的方法

背景技术

现代机动车通常具有诸如安全气囊的烟火系统。特别是在报废机动车时，这种烟火系统可能会构成危险。因此，例如在报废机动车时，通常以受控方式触发安全气囊。这也被称为“报废触发”。

ISO 26021定义了用于在车辆内部触发诸如安全气囊的烟火组件的方法。由此需要建立用于在车辆回收时安全且方便地停用烟火组件的跨制造商机制。

ISO 26021标准提供了在“报废触发”之前检查机动车的运行状态的可行方案。例如读取简单的速度信号，以确保当安全气囊以受控方式被触发时，机动车处于静止。在其他情况下，速度信号例如是用于ABS的信号，该信号通过信号总线而可供使用。

发明内容

在这里提出了一种用于确定机动车的停用运行状态的特别有利的方法。从属权利要求给出该方法的特别有利的改进方案。

所描述的方法原则上可以应用于机动车的每个运行状态。例如，运行状态可以是对机动车的电子组件(诸如控制单元、收音机或车窗升降器)的设置。例如，发动机转速、燃料消耗或行驶速度也可以被视为运行状态。如果表征相应运行状态的运行参数处于相应的预设值范围内，则该运行状态例如可以被认为是停用运行状态。特别地，这样的运行参数在停用运行状态时可以特别小。例如，如果发动机转速低于对于空转所预设的转速，则可以从发动机转速中得出机动车已关闭的结论。在这种情况下，停用运行状态的特征在于发动机已关闭。

特别地，停用运行状态可以是特别肯定的。特别是在发动机或电子组件关闭时，停用运行状态可以是特别肯定的。特别地，利用所描述的方法可以特别可靠地识别是否存在停用运行状态。

为此，在所描述的方法的步骤a)中，接收包含机动车的运行参数的至少一个信号。

在步骤a)中可以接收一个信号。但是，也可以在步骤a)中接收多个信号，然后在随后的步骤b)、步骤c)和必要时步骤d)中进一步处理这些信号。如果在下文中提到“一个信号”或“信号”，则总是包括多个信号的情况，这些信号被一起使用，以便在步骤b)中与可预设的阈值比较，并且在步骤c)中识别停用运行状态。

信号优选地由用户接口接收，该用户接口被指定和被设置用于执行所描述的方法。用户接口可以是例如计算机(例如便携式电脑)，该计算机例如通过诊断接头和/或通过无线电通信连接到机动车的网络。但是，用户接口还可以(永久性地)被设置在机动车内。因此，用户接口例如还可以是机动车的能够由驾驶员操作的车载计算机。该方法还可以被实施在烟火控制单元中，从而被实施在机动车中。

信号可以例如由控制单元输出，该控制单元被连接到用于测量运行参数的传感器。信号还可以直接由控制单元作为计算结果输出。特别地，信号可以在机动车的信号总线上可供使用。

在所描述的方法的步骤b)中，确定来自根据步骤a)所接收的信号的运行参数最后跨越可预设的阈值的时刻。

特别地，可预设的阈值可以被存储在用户接口中。阈值可以被预设为不随时间变化的值。阈值还可以被预设为一个或多个参数的因变量，从而可以从一个或多个参数中根据时间计算阈值。

跨越可预设的阈值应当理解为，先前较大的值位于阈值的大于可预设的阈值的一侧的对面，或先前较小的值位于阈值的小于可预设的阈值的一侧的对面。其中可以规定在步骤b)中是否应当考虑从低于可预设的阈值到高于可预设的阈值的跨越，和/或从高于可预设的阈值到低于可预设的阈值的跨越。例如，可以规定在步骤b)中获取运行参数最终下降到可预设的阈值之下的时刻，并且随后不会再次上升到阈值之上。因此，在步骤b)中所确定的时刻指示运行参数不再大于可预设的阈值的持续时间。

原则上，可以直接基于运行参数的当前值来判断是否存在停用运行状态。但这容易出错。如果运行参数的当前值是错误的，则也可能会错误地判断是否存在停用运行状态。

特别是在机动车的数字化和互联不断提高的背景下，这个问题变得重要。事实证明，对机动车的网络攻击是可能的。可以设想，在未来对机动车的网络攻击的次数和质量会增加。特别是对于具有互联网连接(特别是通过“车至车(V2V)”或“车至基础设施(V2I)”通信)的机动车。攻击者曾经成功通过无线电通信将信息引入到车辆网络(特别是信号总线)中，而无需物理访问机动车。

特别是在可能的网络攻击的背景下，利用所描述的方法可以特别可靠地识别停用运行状态。这是因为所描述的方法不仅仅基于运行参数的当前值。相反，在步骤b)中还考虑了运行参数不再跨越可预设的阈值的持续时间。

例如，如果攻击者通过网络攻击成功地操纵了运行参数的各个值，则利用所描述的方法仍然可以正确地识别是否存在停用运行状态。特别地，所描述的方法对于短时间的操纵性网络攻击特别鲁棒。

在所描述的方法的步骤c)中，根据与在步骤b)中所确定的时刻是否出现在预设时间间隔之后来识别停用运行状态。

特别地，预设时间间隔可以存储在用户接口中。时间间隔可以被预设为不随时间变化的值。时间间隔还可以被预设为一个或多个参数的因变量，从而可以从一个或多个参数中根据时间计算时间间隔。

特别地，在步骤c)中可以检查运行参数在由预设时间间隔所决定的过去时间内是否跨越可预设的阈值。因此，预设时间间隔从当前时刻向过去延伸。如果可预设的阈值在预设时间间隔内未被跨越，则在整个预设时间间隔期间，运行参数位于可预设的阈值的同一侧。如果是这种情况，则可以以特别高的可靠性识别是否存在停用运行状态。例如，如果停用运行状态由运行参数的特别小的值表征，则当运行参数至少在整个预设时间间隔期间低于可预设的阈值时，可以在步骤c)中判断是否存在停用运行状态。否则，即当运行参数在预设时间间隔内即使仅短暂地位于可预设的阈值之上时，可以相应地判定不存在停用运行状态。

特别地，通过该方法可以使通过网络攻击的操纵变得困难，或者可以减轻网络攻击的影响。在所描述的示例中，攻击者将必须将运行参数的值在整个预设时间间隔期间操纵为低于可预设的阈值的值，以便在步骤c)中做出错误的判断。这比操纵单个值要困难得多。例如，如果运行参数在整个预设时间间隔期间实际上位于相应的可预设的阈值之上，而仅在该时间间隔的一部分中将运行参数操纵为低于可预设的阈值的值，则所描述的方法不会受此影响。

在方法的优选实施方案中，在步骤a)中在多个离散的接收时刻接收信号，这些离散的接收时刻彼此至多相隔最大接收时间间隔，并且其中在步骤c)中所使用的预设时间间隔至少大于最大接收时间间隔。

特别地，可以重复地(特别是周期性地)接收运行参数。特别是对于通过信号总线可供使用的参数。以某个时钟频率定期更新这些参数。根据时钟，可以在离散的接收时刻接收运行参数。接收时间间隔指示两个相邻接收时刻之间的时间跨度。最大接收时间间隔是两个相邻接收时刻之间的最大时间跨度。如果周期性地接收运行参数，则所有接收时刻相隔相等的接收时间间隔，该接收时间间隔也对应于最大接收时间间隔。

特别是在这样的能够在离散的接收时刻被接收的运行参数的情况下，所描述的方法是有利的，因为操纵离散的接收时刻中的单个接收时刻是不重要的。如果攻击者在网络攻击中成功地在离散的接收时刻中的单个接收时刻操纵运行参数的值，这也不会影响步骤c)中的判断。只有当攻击者在预设时间间隔内的所有离散的接收时刻都操纵运行参数时，这才会影响步骤c)中的判断。与在单个接收时刻的操纵相比，在离散的接收时刻中的不止一个接收时刻操纵运行参数要困难得多。

所选择的预设时间间隔与最大接收时间间隔相比越大，为使攻击有效而必须操纵的值就越多。因此，优选特别大的预设时间间隔。

在方法的另一优选实施方案中，运行参数是机动车的速度。

特别地，通过将机动车的速度作为运行参数可以识别机动车的静止状态。

备选地或除了机动车的速度之外，还可以特别地利用如下的运行参数执行所描述的方法，这样的运行参数指示机动车的发动机是打开还是关闭。由此也可以识别机动车的静止状态。

特别是在安全气囊的“报废触发”中，能够特别可靠地识别机动车的静止状态可以是有利的。特别地，这可以在方法的另一优选实施方案中被充分利用，在该实施方案中，方法还被设置为输出用于机动车的烟火元件的至少一个触发信号的输出信号，其中如果识别到停用运行状态，则输出信号包括第一值，其中输出信号在其他情况下包括第二值，并且其中方法还包括以下方法步骤：

d)如果在步骤c)中识别到停用运行状态，则输出至少一个触发信号，以用于机动车的相应的烟火元件。

在该实施方案中，所描述的方法可以特别地用于触发至少一个烟火元件，特别是例如在车辆回收期间以受控的方式触发安全气囊(“报废触发”)。

特别地，烟火元件可以是安全气囊。

特别地，输出信号可以由用户接口输出，并且由烟火控制单元(特别是由安全气囊控制单元)接收。根据输出信号的值，可以由烟火控制单元输出用于触发相应烟火元件的触发信号。优选地，为每个烟火元件输出相应的触发信号。与此相反，输出信号优选地全局输出。这意味着对于所有烟火元件输出相同的输出信号。特别地，输出信号可以包括“真”作为第一值和“假”作为第二值。在由烟火控制单元输出触发信号之前，烟火控制单元可以检查输出信号是哪个值。优选地，仅当输出信号包括值“真”时才进行“报废触发”。与此相反，(特别是由于事故而引起的)其他触发可以特别地独立于该输出信号进行。因此，尤其可以确保所描述的方法不会妨碍在事故中按预期地触发安全气囊。

在该实施方案中，通过所描述的方法可以确保在“报废触发”期间机动车不在行驶。如果安全气囊在正常行驶期间(即不是按预期在事故情况下)例如因为网络攻击被触发，则这会因为驾驶员的强烈转向而造成严重事故。如果所有安全气囊在行驶期间完全意外的触发，则这可能会导致驾驶员失去对机动车的控制。此外，机动车的乘客也可能会由于安全气囊的“报废触发”而直接受到威胁。特别是在“报废触发”中(例如在副驾驶安全气囊中)忽略了用于保护儿童的功能。

如果在安全气囊的“报废触发”期间仅检查简单的当前速度信号，则网络攻击的攻击者可以通过特别简单的操纵来规避该检查。假设攻击者能够将消息引入到车辆网络中，并且从而操纵速度信号。然后，攻击者可以通过操纵单个值使机动车被视为静止。在没有其他措施的情况下，无法区分这种被操纵的信号和“真正的”速度信号。如果攻击者在由他引入的用于安全气囊的“报废触发”的信号之前直接操纵速度信号的单个值，则攻击者还可以在全速行驶期间滥用地触发安全气囊。利用所描述的方法使得这变得困难得多。因此，在本实施方案中，所描述的方法特别是对于网络攻击特别鲁棒。

通常通过通信总线周期性地传输速度信号。在下文中，两个速度信号之间的最大接收时间间隔(即最大允许周期)被称为T_vMax。如果网络攻击的攻击者在预设时间间隔T_w≥T_vMax期间将被操纵的速度信号作为外部信号引入到车辆网络中，则速度信号在至少一个接收时刻被操纵，从而至少一个有效速度信号被操纵。如果该信号在对于机动车的静止状态的预设的阈值(在这里被成为v_s)之上，则机动车被认为处于运动中。因此，可以定义赋值S：t→{真、假}，该赋值指示机动车在时刻t应当被认为是处于运动中还是处于静止状态：

其中v(t)＝0，对于t<0

特别地，根据如此定义的赋值可以确定输出信号的值。如果可预设的阈值v_s在所考虑的时刻t之前的预设时间间隔T_w内至少短暂地被跨越，则赋值S取“假”值。这意味着在“假”值的情况下，机动车被认为在行驶中。在其他情况下，赋值S取“真”值。在这种情况下，机动车可以被认为处于静止状态。

为了特别简单地实现赋值S，所接收的速度信号v(t')被存储在循环缓冲区(“ringbuffer”)中，在该循环缓冲区中，所接收的信号在一侧被读入，并且在另一侧随着时间从这些元素中移除。为了检查在循环缓冲区中所存储的信号中的一个信号是否跨越预设的阈值，可以检查在循环缓冲区中所存储的属于预设时间间隔的所有元素。为此，循环缓冲区可以存储优选是至少

个元素。其中

给出x的向上取整的值。T_vMin是最小接收时间间隔。T_vMin通常在一秒到几秒的范围内。因此，优选地，循环缓冲区可以存储数百个信号。

在这种实施方式中，存储器容量和所需的处理时间都可能会是不利的。如果方法例如被实施在具有有限资源的烟火控制单元中，则尤其如此。此外，攻击者可以尝试用被操纵的大量信号来使环形缓冲区溢出。

在所描述的方法的下面所描述的使用时间戳的优选实施方式中可以避免上述缺点。由此可以规避循环存储区的上述缺点。特别地，不需要特别大的存储器容量和/或特别长的处理时间。为此，速度信号的每个值由连续工作的监视功能检查。如果当前所接收的信号跨越可预设的阈值，则设置时间戳。因此，时间戳总是指示何时是可预设的阈值被跨越的最后时刻。因此，S还可以被定义如下：

特别地，可以根据如此定义的赋值确定输出信号的值。

在方法的另一优选实施方案中，响应于用于停用至少一个烟火元件的请求而执行方法步骤a)至d)。

特别地，停用至少一个烟火元件的请求可以是用于“报废触发”(特别是安全气囊的“报废触发”)的请求。特别地，请求可以由用户接口输出。

例如，在车辆回收期间可以通过诊断接头将便携式电脑作为用户接口连接到机动车，从而输出停用至少一个烟火元件的请求。然后，根据所描述的方法检查机动车是否处于静止状态，如果机动车处于静止状态，则以受控方式触发安全气囊。

特别地，作为对请求的响应，可以检查上面所描述的赋值S是取“真”真还是“假”值。仅当赋值S去“真”值时，进行“报废触发”。因此，通过将时间戳与当前时间t比较可以查明机动车在预设时间间隔内是否处于静止状态。仅当时间戳指示机动车处于静止状态时，才触发“报废触发”。

另一方面提出了一种控制单元，其被设置为执行所描述的方法。上面针对方法所描述的特定优点以及设计特征可应用且可转用到用户接口。控制单元优选地与机动车的信号总线分离，并且特别是与用于提供在步骤a)中所接收的信号的主控制单元分离。特别地，以如下方式实现该分离，使得无法从主控制单元发起对控制单元的操纵。如果攻击者操纵主控制单元并且可以将伪造的信号馈送到信号总线中，则攻击者如上所述仍然无法访问控制单元。以这种方式方法可以防止对所描述的方法的在控制单元中的执行的操纵。优选地，以如下方式设置控制单元，使得在步骤a)中所接收的信号仅可以从主控制单元或通过信号总线由控制单元接收。因此，可以确保从主控制单元发起对控制单元的操纵是不可能的或至少变得困难。

此外，提出了一种计算机程序，其被设置为执行所描述的方法的所有步骤。此外，提出了一种机器可读的存储介质，在该存储介质上存储了所描述的计算机程序。上文中针对方法和用户接口所描述的特定优点和设计特征可应用且可转用到计算机程序和机器可读的存储介质。

附图说明

借助附图更详细地说明本发明的其他细节和实施例，但是本发明并不限于该实施例。其中：

图1示出了具有连接到其上的用户接口的机动车的示意图；

图2示出了用于确定图1的机动车的停用运行状态的方法的第一示意图；

图3示出了用于确定图1的机动车的停用运行状态的方法的第二示意图；

图4示出了用于确定图1的机动车的停用运行状态的方法的第三示意图；并且

图5示出了用于确定图1的机动车的停用运行状态的方法的第四示意图。

具体实施方式

图1示出了机动车1，其具有网络3和烟火控制单元4。用户装置2连接到网络3，该用户装置2包括用户接口5以及电缆连接6和接口8。此外，在接口8和用户接口5之间形成无线电通信7。接口8通过诊断接头9连接到机动车1或机动车的网络3。特别地，网络3包括电池11以及点火开关10。

特别地，烟火控制单元4包括具有处理器12和安全元件13的安全气囊控制单元14。安全气囊控制单元14连接到烟火元件15，该烟火元件15特别地可以是用于安全气囊系统的点火器。特别地，利用处理器12和安全元件13可以执行图2至图5中所示的方法。

图2示出了用于确定图1的机动车的停用运行状态的方法的第一示意图。为此，在水平轴上示出了时间t。特别地，在垂直轴上示意性地绘出了信号16。特别地，信号16可以是机动车1的速度信号。特别地，可以看出信号16存在于离散的接收时刻17，这些离散的接收时刻最多相隔最大接收时间间距24。在信号16上方示出了攻击者25将哪些信号引入到机动车1中。在这里所示的示例中，攻击者25在某个时刻将用于触发烟火元件15的请求18引入到机动车1中。在攻击者25上方示出了通过用户装置2(并且特别是通过用户接口5)执行速度检查19。如果识别到机动车1的静止状态，则程序开始20。特别地，这可以是烟火元件15的“报废触发”。在该示例中，攻击者25的介入对应于引入请求18。如果机动车1在行驶中，则这不会导致触发烟火元件15。

图3示出了用于确定图1的机动车的停用运行状态的方法的第二示意图。与图2中的图示不同，攻击者25在这里附加地引入外部信号21。外部信号21是可以伪造速度检查19的速度信号。如果速度检查19仅取决于一个速度信号，则该一个外部信号21就足以通过由攻击者引入的请求18来触发烟火元件15。

图4示出了用于确定图1的机动车的停用运行状态的方法的第三示意图。在这里，根据速度监视22进行速度检查19。速度监视22在预设时间间隔23上进行。如图所示，必须由相应的外部信号21在预设时间间隔23内的所有接收时刻17操纵信号16的值，才能在速度检查19中得到错误的结果。在这里，攻击者25必须在整个预设时间间隔23上引入外部信号21，才能由攻击者25引入的请求18导致烟火元件15的触发。

图5示出了用于确定图1的机动车的停用运行状态的方法的第四示意图。该方法包括以下步骤：

a)接收包含机动车1的运行参数的信号16，

b)确定来自根据步骤a)所接收的信号16的运行参数最后跨越可预设的阈值的时刻，

c)根据在步骤b)中所确定的时刻是否出现在预设时间间隔23之后来识别停用运行状态。

此外，方法被设置为输出用于机动车1的烟火元件15的至少一个触发信号的输出信号，其中如果识别到停用运行状态，则输出信号包括第一值，其中输出信号在其他情况下包括第二值。因此，方法还包括以下步骤：

d)如果在步骤c)中识别到停用运行状态，则输出至少一个触发信号以用于机动车1的相应烟火元件15。

Claims (8)

1.一种用于确定机动车(1)的停用运行状态的方法，包括至少以下方法步骤：

a)接收包含所述机动车(1)的运行参数的至少一个信号(16)；

b)确定来自根据步骤a)所接收的至少一个信号(16)的运行参数最后跨越可预设的阈值的时刻；

c)根据在步骤b)中所确定的时刻是否出现在预设时间间隔(23)之后来识别所述停用运行状态。

2.根据权利要求1所述的方法，

其中在步骤a)中在多个离散的接收时刻(17)接收所述至少一个信号(16)，所述多个离散的接收时刻彼此至多相隔最大接收时间间隔(24)；并且

其中在步骤c)中所使用的所述预设时间间隔(23)至少大于所述最大接收时间间隔。

3.根据前述权利要求中任一项所述的方法，其中所述运行参数是所述机动车(1)的速度。

4.根据前述权利要求中任一项所述的方法，

其中所述方法还被设置为输出用于所述机动车(1)的烟火元件(15)的至少一个触发信号的输出信号，

其中如果识别到停用运行状态，则所述输出信号包括第一值，

其中所述输出信号在其他情况下包括第二值，并且

其中所述方法还包括以下方法步骤：

d)如果在步骤c)中识别到停用运行状态，则输出所述至少一个触发信号，以用于所述机动车(1)的相应的烟火元件(15)。

5.根据权利要求4所述的方法，其中响应于用于停用至少一个所述烟火元件(15)的请求(18)而执行所述方法步骤a)至d)。

6.一种控制单元(5)，其被设置为执行根据前述权利要求中任一项所述的方法。

7.一种计算机程序，其被设置为执行根据权利要求1至5中任一项所述的方法的所有步骤。

8.一种机器可读的存储介质，在所述存储介质上存储了根据权利要求7所述的计算机程序。

Images