CN115103810A

CN115103810A - 操作计算机控制的装置以在乘客运输布置的分布式控制系统中建立安全数据通信的方法

Info

Publication number: CN115103810A
Application number: CN202180014165.2A
Authority: CN
Inventors: 克劳迪奥·科鲁姆巴诺
Original assignee: Inventio AG
Current assignee: Inventio AG
Priority date: 2020-02-13
Filing date: 2021-02-08
Publication date: 2022-09-23
Also published as: EP4103501A1; BR112022015788A2; AU2021220228A1; WO2021160542A1; US20230062888A1

Abstract

提出了一种操作计算机控制的第一装置(15)的方法，该方法用于在乘客运输布置(1)的分布式控制系统(27)中的计算机控制的第一装置(15)和计算机控制的第二装置(17)之间建立安全数据通信(23)。该方法包括：(i)生成加密密钥，该加密密钥包括例如具有公共密钥和私人密钥的密钥对；(ii)基于所生成的加密密钥以诸如X509证书的证书形式创建凭证；(iii)准备证书签名请求CSR，并且经由安全数据通信路径(25)将CSR分发到认证机构CA(21)，其中CA(21)基于由乘客运输布置(1)的运营商操作的公共密钥基础设施PKI(19)；(iv)从CA(21)接收回证书，其中所接收的证书被CA(21)使用私人密钥签名，该私人密钥是由乘客运输布置(1)的运营商持有的私密信息；(v)通过将凭证传输到第二装置(17)来与计算机控制的第二装置(17)建立安全数据通信(23)，其中第二装置(17)在验证凭证的签名时接受建立安全数据通信(23)，其中使用乘客运输布置(1)的运营商的公共密钥来执行验证凭证的签名。

Description

操作计算机控制的装置以在乘客运输布置的分布式控制系统中建立安全数据通信的方法

技术领域

本发明涉及一种操作计算机控制的第一装置，以在乘客运输布置的分布式控制系统中的计算机控制的第一装置和计算机控制的第二装置之间建立安全数据通信的方法。

背景技术

通常在建筑物中提供诸如电梯布置、自动扶梯布置、移动人行道布置或类似布置的乘客运输布置，用于在整个建筑物中垂直地和/或水平地运输乘客。通常，乘客运输布置包括多个单独的装置，这些单独的装置彼此协作以为乘客运输布置建立功能。例如，电梯布置可以包括控制器，该控制器通过控制多个装置(诸如，用于使电梯轿厢移位的驱动电机、用于管理由乘客输入的电梯呼叫的轿厢操作面板和/或多个层站操作面板、用于建立可靠的安全功能的安全装置等)，来控制电梯布置的操作。此外，电梯布置可以由其他装置(诸如，例如临时地联接到控制器以用于维护目的的维护装置)临时地或连续地补充。所有这些单独的装置可以是乘客运输布置的分布式控制系统的一部分。在现代乘客运输布置中，这种装置通常是计算机控制的，即它们的操作由计算机控制并且可以通过执行合适的计算机程序来配置。

为了建立平稳且可靠的协作，乘客运输布置的多个装置可能必须彼此通信。其中，为了例如防止对乘客运输布置的操作的操纵，在作为分布式控制系统的一部分的装置之间的数据通信应当尽可能安全。这尤其意味着，应当保证仅允许特定授权的装置彼此通信和交换数据。

以传统方式，可以例如通过特定地“配对”这些装置来在分布式控制系统中的计算机控制的装置之间建立安全数据通信。通常，配对过程可以包括在形成节点的装置之间建立许可和/或认证，这些节点构成分布式控制系统。例如，在配对过程中，两个计算机控制的装置可以交换证明每个装置被授权与其他装置进行通信的数据。可以通过请求密码、代码、PIN或类似的私密信息来保证授权。这种配对可以例如在安装过程和/或维护过程期间实现。对于乘客运输布置，通常由技术人员执行或管理配对过程。

然而，已经发现，配对过程在乘客运输布置的分布式控制系统中的装置之间建立安全数据通信的这种常规使用可能存在缺点，诸如，需要人工干预、依赖于参与装置的物理安全性和/或配对过程易于出现人为错误。

因此，可能需要一种在乘客运输布置的分布式控制系统中的各种装置之间建立安全数据通信的改进方法。此外，可能需要一种被配置成建立这种方法的乘客运输布置。

这种需要可以通过独立权利要求的主题来满足。在从属权利要求和以下说明书中限定有利实施例。

发明内容

根据本发明的第一方面，提出了一种操作计算机控制的第一装置的方法，该方法用于在乘客运输布置的分布式控制系统中的计算机控制的第一装置和计算机控制的第二装置之间建立安全数据通信。该方法至少包括优选地以所指示顺序的以下步骤：

-生成加密密钥；

-基于所生成的加密密钥以证书的形式创建凭证；

-准备证书签名请求，并且经由安全数据通信路径将证书签名请求分发到认证机构，其中该认证机构基于由乘客运输布置的运营商操作的公共密钥基础设施；

-从认证机构接收回证书，其中所接收的证书被认证机构使用私人密钥签名，该私人密钥签名是由乘客运输布置的运营商持有的私密信息(secret)；

-通过将凭证传输到第二装置来建立与计算机控制的第二装置的安全数据通信，其中计算机控制的第二装置在验证了凭证的签名时接受建立安全数据通信，并且其中，通过使用乘客运输布置的运营商的公共密钥来执行验证凭证的签名。

根据本发明的第二方面，提出了一种乘客运输布置。该乘客运输布置包括具有计算机控制的第一装置和计算机控制的第二装置的分布式控制系统。其中，乘客运输布置被配置成执行或控制根据本发明的第一方面的实施例的方法。

本发明实施例的思想可以被解释为尤其基于以下的观察和认识。

如上面已经简要表示的，通过例如在安装时对装置进行配对是在这些装置(装置形成构成分布式控制系统中的网络的节点)之间建立许可和认证的常见方式。其中，通常，一旦建立了许可，就需要在替换了网络中的至少一个节点的情况下也重复该许可。

通过手动对装置进行配对来在乘客运输布置的分布式控制系统中的计算机控制的装置之间建立安全数据通信的这种常规方法能存在各种缺点。例如，可能需要技术人员的手动干预，使得技术人员可能必须亲自访问乘客运输布置。此外，这种常规方法依赖于配对用户界面所在的物理安全性。潜在地，访问可能容易被破坏，从而允许未授权节点的配对。另外，这种方法通常依赖于人工操作员执行对正确装置配对的过程。如果技术人员错误地配对，则在配对过程期间操作的恶意客户端可能获得对网络的永久访问权。最后，还可能忘记一些关键节点的配对。这可能导致系统似乎被完全配置，但是其中一些连接在需要时将无法被授权。

作为计算机控制的装置的常规手动配对的替代，本文提出了一种方法，该方法允许以自动或半自动的方式在乘客运输布置的分布式控制系统中的计算机控制的装置之间建立安全数据通信。其中，许可和认证可以自动执行，即通常不需要任何人工干预。相反，许可和认证可以安全地基于通常被建立在现代乘客运输布置中的某些技术规定。

在下文中，本文提出的乘客运输布置和方法的实施例的可能特征和细节将通常参考该乘客运输布置是电梯并且计算机控制的第二装置是电梯控制器的示例进行描述。然而，应当注意的是，乘客运输布置可以替代地被实现为例如自动扶梯、移动人行道、或通常包括在建筑物中用于在整个建筑物中运输乘客的类似装置。因此，计算机控制的第二装置可以是控制例如这种乘客运输布置的操作或者在这种乘客运输布置中的操作的任何控制器。

在电梯中，通常存在形成分布式控制系统中的节点的多个计算机控制的装置，这种装置在本文中被称为第一装置。例如，轿厢操作面板(COP)和/或层站操作面板(LOP)可以用于形成人机界面，乘客可以经由该人机界面例如输入用于使电梯轿厢移位到预期楼层的呼叫。在现代电梯中，这种COP和/或LOP可以是计算机控制的，即可以包括处理器，该处理器可以处理、分析和/或修改从例如包括在COP或LOP中的开关、按钮或其他传感器接收的信号。COP和/或LOP可以与形成计算机控制的第二装置的电梯控制器通信，使得电梯控制器可以例如根据乘客的呼叫来控制轿厢位移。此外，其他的计算机控制的第一装置可以被配置成保证电梯的安全操作。例如，电梯轿厢的超速可以被合适的传感器装置检测，并且可以报告给电梯控制器，使得可以采取合适的对策来限制超速。此外，电梯中的分布式控制系统可以包括各种其他子控制器。

所提及的第一装置可以永久地连接到分布式控制系统，即第一装置可以是多个现场装置中的一个，所述现场装置在安装电梯时连接到分布式控制系统，并且通常仅可以在例如由于相应的第一装置的故障而需要更换的情况下才与分布式控制系统断开连接。

可选地，计算机控制的第一装置可以是仅临时连接到电梯的分布式控制系统的装置。换言之，计算机控制的第一装置可以是被配置成被改装到乘客运输布置中并且然后与计算机控制的第二装置通信的装置。例如，出于维护目的，移动装置可能必须临时连接到电梯的分布式控制系统中的其他装置。因此，特定的第一装置可能必须例如在维护过程期间被临时包括在电梯的分布式控制系统中，并且可以在完成维护过程之后再次从这种分布式控制系统中移除。

分布式控制系统中的计算机控制的装置之间的数据通信可以使用将例如各种装置的端口或接口彼此连接的有线线路来建立。可选地，数据通信可以使用无线数据通信(诸如Wi-Fi、蓝牙或类似技术)来建立。

计算机控制的第一装置可以通过执行特定方法步骤来建立与计算机控制的第二装置的安全数据通信，从而遵循如下的特定协议：

最初，第一装置生成其自己的加密密钥。这种加密密钥生成可以自主地执行，即无需与其他装置或人员的任何交互。优选地，加密密钥可以包括密钥对，该密钥对包含公共密钥和私人密钥。其中，如在加密数据通信领域中公知的，公共密钥可以被形成为公共可用的，并且可以用于加密数据，而私人密钥可以用于解密这种加密数据，并且必须是对加密密钥的所有者保密的。加密密钥可以例如在第一装置的第一次启动或重启时生成。通常，应当有足够量的密码信息(entropy)是可用的，以便保证任何两个第一装置将具有不同随机加密密钥的可能性非常高。

然后，第一装置可以创建其自己的凭证。这种凭证可以以证书的形式创建。具体地，可以基于先前生成的加密密钥来创建形成凭证的证书。根据实施例，可以通过使用在前述方法步骤中生成的密钥对来以X509证书的形式创建凭证。在密码学中，X.509是定义公共密钥证书的格式的标准。

随后，第一装置准备所谓的证书签名请求(CSR)。通常，在公共密钥基础设施(PKI)系统中，证书签名请求(也称为认证请求)可以是从申请端发送到认证机构(CA)以便申请数字身份认证的消息。证书签名请求通常包含应当为其发布该证书的公共密钥、标识信息(诸如域名)、以及完整性保护信息(例如数字签名)。然后，经由安全的数据通信路径将证书签名请求分发到特定认证机构。

其中，认证机构应当基于由乘客运输布置的运营商操作的公共密钥基础设施(PKI)。换言之，被第一装置发送证书签名请求的认证机构应当被实施在公共密钥基础设施中，其中该公共密钥基础设施应当由乘客运输布置的运营商管理。因此，仅乘客运输布置的运营商具有对公共密钥基础设施的管理权限。因此，该公共密钥基础设施可以被第一装置信任，即第一装置可以假设从这种公共密钥基础设施接收的任何数据或信息是有效且可信的。乘客运输布置的运营商可以例如是乘客运输布置的制造商，或者为乘客运输布置提供监测和/或维护服务的服务提供商。特别地，假设乘客运输布置的运营商形成信任机构，使得也可以假设在由这种运营商管理的公共密钥基础设施中实施的认证机构形成了信任机构。

此外，在分发证书签名请求时，该证书签名请求应当经由安全数据通信路径发送到认证机构。这种安全数据通信路径应当以经由这种路径的任何数据通信都是安全的方式(即，既不被多方操纵也不被以未授权方式监听或拦截)永久地或临时地建立在计算机控制的第一装置和认证机构之间。换言之，安全数据通信路径可以至少临时地将计算机控制的第一装置与认证机构连接。通常，在现代乘客运输系统中，这种安全数据通信路径是永久提供的，或者可以利用由乘客运输布置的运行商管理的服务器临时建立，使得运营商可以例如经由安全数据通信路径安全地监测乘客运输系统的实际操作，和/或经由安全数据通信路径向乘客运输系统提供例如指令，以用于例如维护目的。

根据实施例，安全数据通信路径可以经由互联网建立。换言之，计算机控制的第一装置和第二装置中的至少一个可以至少临时包括互联网访问，并且可以配置成建立安全的数据通信路径以用于建立与认证机构的安全数据通信。在现代乘客运输布置中，已经在许多情况下提供了计算机控制的装置的这种互联网访问。

特别地，可以经由被配置在互联网网关上的虚拟专用网络来建立安全的数据通信路径。虚拟专用网络(VPN)通常可以连接装置或者在公共网络上扩展专用网络，并且使得用户能够在共享网络或公共网络上发送和接收数据，就好像他们的计算装置直接连接到专用网络一样。因此，计算装置上的以VPN运行的应用可以受益于专用网络的功能性、安全性和管理。加密是VPN连接的常见部分，但不是固有部分。为了保证安全性，通常使用加密的分层隧道协议来建立专用网络连接，并且VPN用户可以使用认证方法(包括密码或证书)来获得对VPN的访问。VPN通常通过使用专用电路或利用现有网络上的隧道协议建立虚拟点对点连接来创建。可从公共互联网获得的VPN可以提供广域网(WAN)的一些益处。

在接收由第一装置分发的证书签名请求时，认证机构用其私人密钥对证书进行签名。其中，用于签名的私人密钥是认证机构所持有的私密信息，即间接地由乘客运输布置的运营商所持有的私密信息。换言之，用于签名由第一装置提交的证书的签名可以由被乘客运输布置的运营商管理的公共密钥基础设施唯一地生成，其中这种公共密钥基础设施被配置成实施认证机构。因此，被这种签名所签名的证书可以用于“证明”计算机控制的第一装置的许可和授权，因为第一装置从认证机构接收回证书并且证书被认证机构签名的事实可以保证，第一装置经由安全数据通信路径访问了所信任认证机构。因此，经签名证书可以之后在与其他装置(特别是计算机控制的第二装置)建立安全数据通信时用作认证凭证。

例如，在从认证机构接收回证书之后，可以将签名证书存储在计算机控制的第一装置的安全存储器中。换言之，从认证机构接收回并且被签名的证书可以由第一装置存储在例如文件系统的受保护区域中。这种安全存储器可以是仅由第一装置可访问的，即这种安全存储器可以配置成使得可以可靠地防止对存储在这种存储器中的数据的任何窥探或操纵。

最后，例如在需要与计算机控制的第二装置进行数据通信的时间点，可以通过向第二装置发送凭证来建立与该第二装置的安全数据通信。其中，第二装置通常在验证包括在凭证中的签名时接受建立安全数据通信。换言之，当从另一计算机控制的装置接收建立数据通信的请求时，所寻址装置可以首先通过检查由另一装置发送的凭证是否被认证机构签名，来检查另一装置是否针对这种数据通信被认证和授权。仅在这种经签名证书有效的情况下，第二装置接受与第一装置交换数据。

为了能够检查凭证的签名的有效性，包括在分布式控制系统中的每个装置(即计算机控制的第一装置和第二装置)可以包括存储在各个计算机控制的装置内部的乘客运输布置的运营商的公共密钥的副本。例如，公共密钥可以例如在软件创建时被烧录到计算机控制的装置的固件中。由于运营商的该公共密钥与私人密钥相关，而认证机构先前利用该私人密钥对证书签名来形成第一装置的凭证，因此第二装置可以检查这些凭证中的签名。因此，在已经成功验证了凭证的签名后，就保证了第一装置的认证和授权，并且可以建立第一装置和第二装置之间的安全数据通信。

总之，根据本文提出的方法在乘客运输布置的分布式控制系统的计算机控制的装置之间建立安全数据通信，以及被配置成实施这种方法的乘客运输布置可以被理解为基于以下前提条件：

第一，乘客运输布置的运营商拥有所信任认证机构所基于的公共密钥基础设施。

第二，在计算机控制的第一装置(例如位于乘客运输布置的机房中)与运营商的认证机构(例如被定位成远离乘客运输布置)之间存在可靠且安全的通信方式。例如，这种通信可以经由互联网网关来建立。

第三，分布式控制系统中的计算机控制的装置中的每一个应当具有认证机构的公共密钥的副本，以便能够通过检查通信合作装置的凭证中的签名来检查其认证和授权。

特别地，上述的第二特征可以保证，由认证机构签名的每个证书将被分布式控制系统中接收与所述凭证的外部连接尝试的每个其他装置接受。

本文提出的方法的实施例可以具有例如不需要现场中的装置的特定配置的优点。可以通过使用由认证机构签名的证书来自动创建相互信任，这可以被自动创建。

然而，一个可能的不利因素可能是，泄露的私人密钥和对应的证书的影响可能是全局性的。通常，拥有该信息的任何人(这可以例如通过反向设计特定的计算机控制的装置来实现)将能够创建经授权的其他装置，所述经授权的其他装置将能够与分布式控制系统中的所有其他装置建立数据通信。

为了克服此缺点，经签名证书的有效性可以限制有预定最大持续时间。此外，在有效性到期之后，可能必须重复方法步骤(iii)至(v)。换言之，证书的寿命持续时间可以被保持足够短，使得可能的泄漏的影响将是有时间限制的。因此，方法步骤(iii)、(iv)和(v)(即，准备和分发证书签名请求、接收由认证机构签名的证书、以及在通过检查凭证的签名来验证认证和授权时最终建立安全数据通信)，应当以足够短的时间间隔重复。例如，这种时间间隔可以在从几天至几个月的范围内。例如，时间间隔可以等于或短于九个月。

总之，利用本文提出的方法，可以可靠地建立乘客运输布置的分布式控制系统中的计算机控制的装置之间的安全数据通信，而无需对装置进行配对，因此无需本地操纵。因此，可以节省手动工作和/或可以减少人为错误的风险。

应当注意，在本文中部分地关于用于在乘客运输布置的分布式控制系统中建立安全数据通信的方法并且部分地关于被配置成实施这种方法的乘客运输布置来描述本发明的实施例的可能特征和优点。本领域技术人员将认识到，所述特征可以适当地从一个实施例转移到另一实施例，并且所述特征可以被修改、调适、组合和/或替换等，以获得本发明的其他实施例。

附图说明

在下文中，将参考附图描述本发明的有利实施例。然而，附图和描述都不应被解释为限制本发明。

图1示出了根据本发明的实施例的可以建立计算机控制的第一装置和第二装置之间的安全数据通信的乘客运输布置。

附图仅仅是示意性的而不是按比例的。相同的附图标记表示相同或相似的特征。

具体实施方式

图1示出了体现为电梯3的乘客运输布置1。电梯3包括电梯轿厢5，电梯轿厢5可以使用驱动电机7而在整个电梯竖井中移位。驱动电机的操作可以由电梯控制器9控制。此外，乘客可以开动轿厢操作面板11和/或层站操作面板13，以输入使电梯轿厢5移位到目的层高的呼叫请求。

电梯控制器9、轿厢操作面板11、层站操作面板13以及可能的其他部件可以使用计算机控制的装置来实施，该计算机控制的装置可以形成电梯3的分布式控制系统27中的节点。特别地，电梯控制器9可以例如形成计算机控制的第二装置17，其他的第一装置15(诸如，轿厢操作面板11或层站操作面板13)可能必须与第二装置17以安全的方式通信。

为了在计算机控制的第一装置15和计算机控制的第二装置17之间建立这种安全数据通信23(如附图中的虚线所示)，各个第一装置15最初生成其自己的加密密钥，该加密密钥例如包括具有私人加密密钥和公共加密密钥的密钥对。使用这种密钥对，则第一装置15可以以例如X509证书的形式创建自己的凭证。

本文提出的方法受益于以下事实：在现代电梯中，计算机控制的第一装置15和第二装置17通常至少临时访问网络(诸如互联网)，它们可以经由该网络创建例如与外部服务器29的安全数据通信路径25(如附图中的虚线所示)。安全数据通信路径25可以例如使用将第一装置15和第二装置17与外部服务器29连接的虚拟专用网络。外部服务器29可以例如由乘客运输布置1的运营商(诸如电梯3的制造商)运行。服务器29可以建立认证机构(CA)21可以基于的公共密钥基础设施(PKI)19。

然后，计算机控制的第一装置15可以准备证书签名请求(CSR)，并且经由安全数据通信路径25向认证机构21传输该证书签名请求。由于认证机构21假设能够经由这种安全数据通信路径25进行通信的每个装置都可以被信任，因此认证机构21对与证书签名请求一起传输的证书进行签名，并且发送回计算机控制的第一装置15。

在已经从认证机构21接收到经签名证书时，计算机控制的第一装置15可以将最终凭证存储在例如安全存储器中，并且可以同时地或稍后将包括经签名证书的凭证传输到计算机控制的第二装置17。然后，第二装置17可以通过使用例如存储在第二装置的固件中的乘客运输系统的运行商的公共密钥，来验证包括在该凭证中的签名。作为成功验证签名的结果，可以以完全自动化的方式建立第一装置15和第二装置17之间的安全数据通信23。

最后，应当注意，术语“包括”不排除其他元件或步骤，并且“一”或“一个”不排除多个。另外，可以将关于不同实施例描述的要素进行组合。还应当注意的是，权利要求中的附图标记不应该被解释为限制权利要求的范围。

附图标记列表

1 乘客运输布置

3 电梯

5 电梯轿厢

7 驱动电机

9 电梯控制器

11 轿厢操作面板

13 层站操作面板

15 计算机控制的第一装置

17 计算机控制的第二装置

19 公共密钥基础设施

21 认证机构

23 安全数据通信

25 安全数据通信路径

27 分布式控制系统

29 外部服务器

Claims

1.一种操作计算机控制的第一装置(15)的方法，所述方法用于在乘客运输布置(1)的分布式控制系统(27)中的计算机控制的第一装置(15)和计算机控制的第二装置(17)之间建立安全数据通信(23)，其中所述方法包括：

(i)生成加密密钥；

(ii)基于所生成的加密密钥以证书形式创建凭证；

(iii)准备证书签名请求，并且经由安全数据通信路径(25)将所述证书签名请求分发到认证机构(21)，其中认证机构(21)基于由乘客运输布置(1)的运营商操作的公共密钥基础设施(19)；

(iv)从认证机构(21)接收回所述证书，其中所接收的证书被认证机构(21)使用私人密钥签名，所述私人密钥是由乘客运输布置(1)的运营商持有的私密信息；

(v)通过将所述凭证传输到第二装置(17)来与计算机控制的第二装置(17)建立安全数据通信(23)，其中第二装置(17)在验证所述凭证的签名时接受建立安全数据通信(23)，其中使用乘客运输布置(1)的运营商的公共密钥来执行验证所述凭证的签名。

2.根据权利要求1所述的方法，其中，所述加密密钥包括密钥对，所述密钥对包括公共密钥和私人密钥。

3.根据权利要求2所述的方法，其中，通过使用先前生成的所述密钥对，以X509证书的形式创建所述凭证。

4.根据前述权利要求中的任一项所述的方法，其中，所述安全数据通信路径(25)至少将计算机控制的第一装置(15)与认证机构(21)临时连接。

5.根据权利要求4所述的方法，其中，所述安全数据通信路径(25)经由互联网建立。

6.根据权利要求4和5中的任一项所述的方法，其中，所述安全数据通信路径(25)经由在互联网网关上配置的虚拟专用网络建立。

7.根据前述权利要求中的任一项所述的方法，其中，在从认证机构(21)接收回所述证书之后，将签名的证书存储在计算机控制的第一装置(15)的安全存储器中。

8.根据前述权利要求中的任一项所述的方法，其中，所述计算机控制的第一装置(15)包括存储在所述计算机控制的第一装置(15)内部的乘客运输布置(1)的运营商的公共密钥的副本。

9.根据前述权利要求中的任一项所述的方法，其中，所述经签名证书的有效性被限制到预定最大持续时间，并且其中，在所述有效性到期之后，重复方法步骤(iii)至(v)。

10.一种乘客运输布置(1)，所述乘客运输布置(1)包括具有计算机控制的第一装置(15)和计算机控制的第二装置(17)的分布式控制系统(27)，其中乘客运输布置(1)被配置成执行和控制根据前述权利要求中的一项所述的方法中的一个。

11.根据权利要求9所述的乘客运输布置，其中，乘客运输布置(1)是电梯(3)，并且其中，计算机控制的第二装置(17)是电梯控制器(9)。

12.根据权利要求9和10中的任一项所述的乘客运输布置，其中，计算机控制的第一装置(15)是被配置成被改装到乘客运输布置(1)中然后与计算机控制的第二装置(17)通信的装置。

13.根据权利要求10至12中的任一项所述的乘客运输布置，其中，计算机控制的第一装置(15)和第二装置(17)中的至少一者至少临时包括互联网访问，并且被配置成建立安全数据通信路径(25)，以用于建立与认证机构(21)的安全数据通信。