CN113365885A - 用于停用机动车的方法、用于机动车的停用系统和机动车 - Google Patents

Abstract

本发明涉及一种用于停用机动车(100)的方法(400)，其中机动车(100)具有停用系统(1)，该停用系统具有多个总线参与者(2至7)，这些总线参与者分别具有停用功能(21)，该方法包括：基于随机数，从具有停用功能(21)的多个总线参与者(2至7)中选择总线参与者集合(203)，以提供机动车(100)的停用。

Description

用于停用机动车的方法、用于机动车的停用系统和机动车

技术领域

本发明涉及一种用于停用机动车的方法、一种用于机动车的停用系统和一种机动车。

背景技术

除了纯机械部件外，机动车通常还具有电子部件，电子部件可以是嵌入式计算机或计算机的部件，例如蓝牙接口、USB接口、总线系统或空中下载(Over-The-Air)接口，例如WLAN、UMTS、GSM、LTE、5G等。

这种电子部件可以与外部的单元进行通信。例如，机动车的车载计算机可以与位于车内的移动电话进行通信(例如通过蓝牙或无线网络无线地进行通信)，但它也可以通过移动无线电网络与因特网进行通信，而无需移动电话介入。

此外，原则上已知，机动车配备有汽车防盗锁等，以便例如防止机动车被盗。附加地还存在如下可能性，通过软件功能远程停用机动车。

从DE 10 2013 020 333 A1中已知一种系统，该系统提供第一和第二控制装置、服务器和授权系统，其中第一控制装置与服务器连接。服务器将车辆关闭命令发送到第一控制装置，该第一控制装置将关闭命令发送到第二控制装置，由此将车辆停用。

DE 10 2015 010 203 A1示出了一种由机动车和车辆外部的服务器设备组成的系统，其中车辆功能列表是借助车辆外部的服务器设备生成的。对车辆功能列表的相应车辆功能进行控制的控制装置可以从外部进行控制，其中作为对其的响应将功能停用。

专利文献US 9，688，245 B2公开了一种用于(停用)激活车辆的系统。为此，将命令发送到与车辆连接的电子设备，然后该电子设备执行(停用)激活。

这些系统的缺点在于，在更换了相关的控制装置或电子设备的情况下，可以再次恢复机动车的功能并且因此可以容易地绕过停用。

从专利文献US 9，646，794 B2中已知一种方法，该方法借助遥控器将机动车中的电路停用。

专利文献US 8，805，599 B2示出了一种系统，当在发动机运转的情况下离开车辆时，该系统通过使用驾驶员识别来防止未经授权地驾驶陆地车辆。

从专利文献US 10，017，156 B2中已知一种车辆安全系统。在此，例如当根据图像数据识别到危险状况时，控制装置向用户发出警告。

这些系统的缺点在于，它们没有为机动车的安全停用提供解决方案。

此外，公开文献DE 199 36 116 A1描述了一种用于关闭非法使用的机动车的设备。

从公开文献DE 43 33 474 A1中已知机动车的汽车防盗锁。

发明内容

本发明要解决的技术问题是，提供一种用于停用机动车的方法、一种用于机动车的停用系统和一种机动车，它们至少部分地克服了上面提到的缺点。

上述技术问题通过根据本发明的根据权利要求1的用于停用机动车的方法、根据权利要求5的用于机动车的停用系统和根据权利要求8的机动车来解决。

本发明的另外的有利实施方式从从属权利要求和以下对本发明的优选的实施例的描述中得出。

一些实施例涉及用于停用机动车的方法，其中机动车具有停用系统，该停用系统具有多个总线参与者，总线参与者分别具有停用功能。用于停用机动车的方法包括：

基于随机数，从多个具有停用功能的总线参与者中选择总线参与者集合，以提供机动车的停用。

机动车可以是由发动机(如内燃机、电机等)驱动的任何车辆，例如汽车、摩托车、货车、小型公共汽车、农业或林业拖拉机等。

机动车的停用可以通过不同的方式进行。例如可以关闭点火装置；卡住加速踏板或制动器；禁止燃料供应；停用发动机控制；切断起动器的电源等。

总线参与者原则上可以存在于任何已知的总线系统中，例如CAN总线(ControllerArea Network，控制器局域网)。此外或附加地，还可以使用其他同样在汽车制造中应用的总线系统，如LIN(Local Interconnect Network，本地互连网络)、FlexRay、MOST(MediaOriented Systems Transport，面向媒体的系统传输)、PSI5(Peripheral SensorInterface 5，外围传感器接口5)、从计算机领域已知的以太网等。

在这种情况下，总线参与者可以是控制装置，其中，控制装置通常被设置为用于预定的控制功能，例如用于车窗升降、中央闭锁、发动机控制、ABS(Antiblockiersystem，防抱死刹车系统)控制、传动机构控制、ESP(Elektronisches

电子稳定程序)控制、安全气囊控制、空调控制等。此外，总线参与者也可以是(机动车的)中央车载计算机、中央车载计算机的部件或例如能够为此产生电信号的任何机动车部件。

停用功能可以是用于停用车辆或要导致停用的功能。在一些实施例中，停用功能可以导致直接的停用，例如通过发送将行驶运行所需的构件停用的命令。例如，总线参与者可以与对行驶运行至关重要的构件连接并且发送禁用该构件的命令。例如，总线参与者可以访问发动机控制器、起动器、发动机的电源或诸如此类并将其关断。

然而，停用功能也可以间接地停用机动车，例如通过向另外的实体、例如中央控制器发送消息或停用命令，该实体响应于消息或停用命令的接收将机动车停用。

停用功能也可以由多个总线参与者执行。例如，总线参与者集合可以访问发动机控制器、起动器、发动机的电源或诸如此类并将其关断。这样做是有利的，因为撤销机动车的停用与很大的开销相关联，因为必须更换或重新编程所有参与停用的总线参与者。

总线参与者可以直接与要停用的部件连接，或者如已经提到的，也可以与中央控制器、例如中央控制装置或机动车的中央车载计算机连接，中央控制器然后执行机动车的停用。

在一些实施例中，总线参与者集合包括具有停用功能的总线参与者的子集(在其他实施例中只包括一个或所有总线参与者)。可以以任何方式确定子集，例如通过制作具有总线参与者的不同组合的列表。然后，可以为每个不同的组合分配与列表中的位置相对应的编号。

然而，也可以直接为每个总线参与者分配编号，其中编号是随机选择的。

子集可能总是具有相同数量的元素。在n个总线参与者和k个元素的情况下，元素的数量为N

其中n！＝n*(n-1)*(n-2)*…*3*2*1。

对于子集应当覆盖一定范围的元素的情况，即子集可以具有l至k个元素，其中k>l>0，则元素的数量为N

分配给列表的元素的编号来自1至N的编号空间。

可以通过1至N范围内的随机数来选择列表的元素，该列表的元素对应于选出的(预定的)总线参与者集合。

用于为元素分配编号的、任何其他的组合式的计数方法也是可以的，例如元素的顺序很重要的计数方法。

原则上，随机数可以是由确定性的(例如伪随机的)或非确定性的随机数生成器生成的任何数字。

确定性的随机数生成器例如包括梅森旋转(Mersenne-Twister)、(递归的)算术随机数生成器、逆同余生成器(inverse Kongruenzgenerator)、Xorshift生成器、Multiply-with-Carry生成器等。

非确定性的随机数生成器例如包括物理随机生成器，其基于获得随机数时的物理随机事件。该过程例如是大气噪声、CCD传感器噪声、Z-二极管的电压波动、追溯到量子测量的过程等。

停用功能可以以不同的方式提供。在一些实施例中，可以将该总线参与者集合置于可以执行停用功能的状态。在其他情况下，可以将该总线参与者集合置于执行停用功能的状态。

上面描述方法是有利的，因为很难将已经停用的机动车重新激活，因为必须更换或重新编程所有的总线参与者，这是巨大的开销。总线参与者的随机选择产生以下影响：必须更换或重新编程哪些总线参与者并不是显而易见的。随机更换或重新编程总线参与者导致机动车能够被激活的概率是1/N，其中N是总线参与者的总数(在一些实施方式中，总线参与者的总数大于30，例如50或甚至更多，没有将本发明限制到特定的总数)。此外，所描述的方法的优点在于，不需要像在存在大量控制装置的情况下那样传输大的数据量，而只需要将停用所需的数据发送到总线参与者集合中，从而所需的数据量比较小，其中同时地，在更换较少控制装置的情况下，停用功能失效的可能性仍然很小。

在一些实施例中，总线参与者集合中的每个总线参与者向机动车的中央控制器发送停用命令。

停用命令可以是用于禁用对机动车的运行至关重要的功能的命令，例如关闭发动机的电源、停用发动机控制器等，如上面已经描述的。

停用命令还可以包括停用机动车的时间点，而在另外的实施例中，停用的时间例如由中央控制器确定(例如当机动车恰好运动时或者处于停用可能造成机动车乘员的危险的状态中时，中央控制器也可以避免机动车的停用)，从而在一些实施例中，只有当中央控制器识别到机动车的特定状态(如关闭和安全停放等)时，才执行停用。

中央控制器例如可以是中央控制装置、中央车载计算机等。

这具有如下优点，即机动车的停用是由总线参与者集合中的所有总线参与者执行的，这导致更换或重新编程总线参与者集合中的单个总线参与者不会导致机动车的激活。

在一些实施例中，机动车响应于通过机动车的中央控制器接收至少一个停用命令而被停用，其中如所提到的，中央控制器可以使停用的时间点取决于例如机动车的状态、预定的时间点等。

停用命令可以通过不同的方式进行接收，例如无线方式(例如通过空中接口)或有线方式。例如，空中接口(其例如设置在中央控制器上)可以通过蓝牙、Wifi、WLAN、红外线等进行接收(并且必要时进行发送)，或者通过上面提到的总线系统中的一个(例如有线情况)进行接收(并且必要时进行发送)。

有利的是，由此可以例如远程启动机动车的(立即)停用。还可以生成机动车应该停用的时间点，或者停用取决于一个或多个参数，例如速度参数(非常低或零)、停车制动激活、点火装置关闭、发动机关闭等。

在一些实施例中，接收停用请求并且响应于停用请求的接收，设置总线参与者集合中的总线参与者的停用功能。

如已经描述的，停用请求的接收可以通过无线接口，例如蓝牙、Wifi、WLAN、红外线等实现。在一些实施例中，如上面描述的，无线接口也可以是空中接口，例如RFID、FOTA、无线电波、GSM、UMTS、WiMax、WLAN、LTE、蓝牙、广播、IrDA等。

此外，停用请求的接收可以通过所提到的总线系统中的一个进行，或者也可以通过没有与机动车电子器件连接的另外的总线系统、如USB(Universal Serial Bus，通用串行总线)进行。

停用功能的设置可以以执行机动车的停用的方式进行，如上面已经描述的。因此，设置例如包括激活该总线参与者集合的总线参与者，使得它们发送停用命令或至少准备到它们响应于触发器(例如来自中央控制器的启动命令)一次或多次发送停用命令的程度。

这具有如下优点，可以改变或有选择地选择总线参与者集合。例如，还可以成功地更换或重新编程所有的总线参与者，从而可以重新激活机动车。如果在下次停用时设置了不同的总线参与者集合，则必须更换该总线参与者集合，其新的成功概率为1/N。

在一些实施例中，设置总线参与者的停用功能包括软件更新程序。在这种情况下，存储在该总线参与者集合的总线参与者上的软件可以被覆盖，其中覆盖可以完全地或者部分地进行，直到仅覆盖一个比特以激活停用功能。然后，这可能导致发送停用命令。

这具有如下优点，即在只能从中央部门改变机动车软件的情况下，示出了一种启动机动车的停用的可能性。因此，在一些实施例中，总线参与者被设置为，使得其可以参与软件更新程序并且可以改变其基础软件或操作软件。在此，总线参与者还可以被设置为，使得其例如从中央控制器通过机动车总线或甚至从外部通过空中接口自己“下载”软件的更新。

此外，还存在如下优点，即只有在授权的情况下才能启动或禁用停用，由此可以将行驶安全风险最小化。

在一些实施例中，存在用于机动车的停用系统，该机动车具有多个总线参与者以及中央控制器，这些总线参与者分别具有停用功能，其中停用系统被设置为用于执行根据上面提到的实施例中的任一项的方法。

在一些实施例中，存在停用系统，其中总线参与者是控制装置，其带来如下优点：不需要对新装置进行设计，因为控制装置通常存在于机动车中。因此，在一些实施例中，将该方法应用于具有总线参与者的现有机动车，并且例如可以在软件更新的框架下实现。

在一些实施例中，总线参与者具有加密的存储区域，在其中存储了停用功能。

加密的存储器区域可以包括任何数据存储器，例如ROM(Read Only Memory，只读存储器)、RAM(Random Access Memory，随机存取存储器)、固态驱动器(SSD，Solid StateDrive)、闪存或类似的存储器。

加密可以以任何方式进行，例如通过对称加密方法，例如AES(AdvancedEncryption Standard，高级加密标准)、DES(Data Encryption Standard，数据加密标准)、IDEA(International Data Encryption Algorithm，国际数据加密算法)、Blowfish、QUISCI(Quick Stream Cipher，快速流密码)、Twofish等。

加密也可以使用非对称加密方法，如RSA、Merkle-Hellmann、McEliece、Rabin、Chor-Rivest、Elgamal、(后)量子加密方法等。

混合加密方法也是可能的，它是对称和非对称加密方法的混合。

由此确保了，只有作为拥有密钥的授权人员才能影响停用功能。

在一些实施例中，在中央控制器的安全存储区域中存储了总线参与者集合。

在一些实施例中，总线参与者集合存储在多个总线参与者的安全存储区域中。

在一些实施例中，为了进一步提高方法的安全性，关于总线参与者集合的信息通过无线电接口传输到中央系统。中央系统可以是服务器、供应商等。

在一些实施例中，可以取消机动车的停用，即可以再次激活机动车，其中使用与前面描述的方法类似的方法。

此外，在一些实施例中，全局激活可以基于计算出来的密钥进行，该密钥被全局发送(例如借助中央播送(广播))，由此例如将机动车中存在的所有控制装置置于停用(功能)未激活的状态中。

另一方面，还可以以这样的方式进行车辆的激活，即例如仅将选出的总线参与者集合置于停用功能不再激活的状态。

一些实施例涉及到机动车(如在此描述的)，该机动车具有如在此描述的停用系统。

附图说明

现在示例性地并且参照附图对本发明的实施例进行描述。附图中：

图1示意性地示出了控制装置的联合的实施例；

图2示出了说明用于停用机动车的方法的实施例的图示；以及

图3示出了被设计为控制装置的总线参与者的实施例的方框图。

具体实施方式

图1示意性示出了控制装置2、3、4、5、6、7的联合1的实施例，这些控制装置是机动车100的组成部分，其在此被设计为具有汽油发动机的乘用车，在这方面不限制本发明。

控制装置2至7的联合1包含控制装置2至7，它们具有停用功能DDF(DriveDisabling Function，驱动器停用功能)。

因此，下面将控制装置的联合简称为DDF联合1。控制装置2至7通过车辆总线系统201，例如FlexRay或CAN，与中央控制装置200连接。

此外，中央控制装置200还包括处理器301、存储器302、接口303和天线202。

当DDF激活时，该DDF用于将机动车100停用，如上面实施的那样。

DDF联合1与控制装置2至7通过车辆总线系统201相互连接。在图1中，为了简单起见仅示例性地描述了六个控制装置，其中在机动车100中例如设置了五十个控制装置(原则上，可以任意选择机动车中的控制装置的数量)。

在该实施例中，控制装置2至7原则上被设置为，向中央控制装置200发送停用命令，中央控制装置200由此将机动车100停用。

在该实施例中，选择两个控制装置3和6，以选出总线参与者集合203。根据实施例，也可以只选择一个控制装置或多于两个的控制装置来形成总线参与者集合203，如上面所描述的那样。

在该实施例中，由此得出15种选择控制装置2至7的可能性。下面，这些可能性作为元组示出，其中元组的每个元素相应于控制装置2至7的控制装置。

这些可能性是(2，3)、(2，4)、(2，5)、(2，6)、(2，7)、(3，4)、(3，5)、(3，6)、(3，7)、(4，5)、(4，6)、(4，7)、(5，6)、(5，7)、(6，7)。在该实施例中，选择的顺序并不重要，即例如元组(2，3)相应于元组(3，2)，这就是为什么在下表中没有示出元组的排列的原因。

为每个元组都分配识别号，由此可以识别元组，如下表中所示：

该表例如可以存储在控制装置200的存储器302中。

随机数生成器生成1至15之间的随机数，由此在此选择控制装置集合203作为控制装置3和6的元组。控制装置集合203提供停用功能。

为了激活控制装置集合203的控制装置3和6中的停用功能，例如可以从中央控制装置200向它们传输命令，如下面进一步对此详细说明的。

图2示出了用于停用机动车100的方法400的实施例的图示，其中该方法400基本上由中央控制装置200与其控制装置2至7一起执行。

操作者(例如，保险公司、租赁公司、警察部门等的操作者)或软件10在12处要求机动车100以空中下载(Over-The-Air)的方式在DDF模式下进行软件更新，方式是通过移动无线电系统向机动车100传输相应的停用请求，其中控制装置200通过其空中接口202进行接收。机动车100(或中央控制装置200)在13处通过经由移动无线电网络向操作者或软件10传输相应的消息来确认DDF模式。

因此，在14处开始软件更新，在15处，机动车100的中央控制装置200将DDF状态传输给操作者或软件10，方式是通过移动无线电网络传输相应的消息，以通知原则上可以执行停用。

然后，中央控制器200在16处从控制装置2至7中随机选择DDF联合1的总线参与者，如所描述的，这导致控制器3和6的集合203，它们共同提供停用功能。

中央控制装置200生成用于激活DDF的密钥，并且将其传输给控制装置集合203的控制装置3和6。

响应于在软件更新的框架中传输给控制装置集合203的密钥，控制装置3和6中的DDF在17处被激活，从而控制装置集合203的控制装置3和6通过车辆总线系统201向中央控制装置200传输停用命令，作为对此的响应，中央控制装置200采取相应措施以停用机动车100。

下面参照图3示例性地说明控制装置2至7中的控制装置2的存储区域500的结构。

控制装置2的存储区域500具有未加密的存储区域和加密的存储区域501和502。

未加密的存储区域具有引导加载程序(Bootloader)20，操作软件23和两个应用程序24和27。

加密的存储区域被划分为第一加密存储区域501和第二加密存储区域502。

第一加密存储区域501具有元素DDF 21和其他元素22、22’、22”，其存储内容是加密的。

第二加密存储区域502具有存储元素28，其提供第一加密存储区域501的冗余；用于镜像第一存储区域501的数据的镜像区域29；补充区域30和另外的被加密的存储元素31。

此外，控制装置2可以通过接口32和33与其他装置进行通信。

当要激活DDF时，例如中央控制装置200可以从外部覆盖第一加密存储区域501。此外，例如如果确定第一存储区域501有错误或者如果要停用DDF，还可以利用来自第二加密存储区域502的数据来覆盖第一加密存储区域501。

附图标记列表

1 停用系统

2至7 总线参与者

10 操作者或软件

12 停用命令

13 确认驱动器停用功能模式

14 执行软件更新

15 传输驱动器停用功能状态

16 随机确定DDF参与者并且生成密钥

17 激活驱动器停用功能

20 引导加载程序

21 驱动器停用功能

22至22” 另外的加密存储区域

23 操作软件

24，27 应用程序

25 校准

26 数据组

28 冗余

29 镜像区域

30 补充区域

31 另外的加密的存储区域

32，33 控制装置的接口

100 机动车

200 中央控制装置

201 车辆总线系统

202 天线

203 总线参与者集合

301 处理器

302 存储器

303 中央控制装置的接口

400 用于停用机动车的方法

500 控制装置的存储区域

501 控制装置的第一加密存储区域

502 控制装置的第二加密存储区域

Claims (8)

1.一种用于停用机动车(100)的方法(400)，其中所述机动车(100)具有停用系统(1)，所述停用系统具有多个总线参与者(2至7)，所述总线参与者分别具有停用功能(21)，所述方法包括：

基于随机数，从具有所述停用功能(21)的多个总线参与者(2至7)中选择总线参与者集合(203)，以提供所述机动车(100)的停用；从所述总线参与者集合(203)的每个总线参与者(3，6)向所述机动车(100)的中央控制器(200)发送停用命令(12)；并且响应于通过所述机动车(100)的中央控制器(200)从总线参与者集合(203)中的至少一个总线参与者(3，6)接收至少一个停用命令(12)，停用所述机动车(100)。

2.根据权利要求1所述的方法(400)，进一步包括：接收停用请求(17)，并且响应于所述停用请求(17)的接收，设置所述总线参与者集合(203)的总线参与者(3，6)的停用功能(21)。

3.根据权利要求2所述的方法(400)，其中所述停用请求(17)通过机动车(100)的空中接口(202)进行接收。

4.根据权利要求2或3的方法(400)，其中设置所述总线参与者(2至7)的停用功能(21)包括软件更新程序(14)。

5.一种用于机动车(100)的停用系统(1)，所述机动车具有多个总线参与者(2至7)以及中央控制器(200)，所述总线参与者分别具有停用功能(21)，其中所述停用系统(1)被设置为，用于执行根据权利要求1至4中任一项所述的方法(400)。

6.根据权利要求5所述的停用系统(1)，其中所述总线参与者(2至7)分别被设计为控制装置(2至7)。

7.根据权利要求5所述的停用系统(1)，其中所述总线参与者(2至7)具有加密的存储区域(501，502)，在其中存储了所述停用功能(21)。

8.一种机动车(100)，其具有根据权利要求5至7中任一项所述的停用系统(1)。

Images