CN118054923A - 安全服务操作授权 - Google Patents

Abstract

本公开提供了“安全服务操作授权”。本公开提供了一种用于在车辆上执行安全操作诸如对车辆进行钥匙更新的系统和方法，所述方法包括：通过广域网从诸如服务工具的计算装置向访问管理服务器传输服务工具请求；在验证所述服务工具请求后，在所述服务工具处通过所述广域网接收来自所述访问管理服务器的安全服务响应，所述安全服务响应包含安全有效载荷；以及通过车辆通信接口将所述安全有效载荷传输到正在服务的特定车辆的安全控制器，而不管所述服务工具是否连接到所述广域网。

Description

安全服务操作授权

技术领域

本公开涉及一种用于在车辆上执行安全操作的系统和方法。

背景技术

近年来，汽车制造商已不再使用物理车辆钥匙(例如，切割成适合锁栓的金属钥匙)，而是使用依赖于无线通信(诸如由近场通信(NFC)卡促进)的车辆钥匙解决方案。这些解决方案可能取决于车辆、虚拟钥匙或钥匙扣与云计算机之间的连接来进行某些操作，但也可在未连接或不可靠连接的环境中操作，包括安全车辆服务操作，如向车辆添加或移除钥匙。

发明内容

本公开包括其中用户(诸如车辆服务技术人员)使用便携式计算装置(例如，专用服务工具)来执行安全服务操作(诸如添加或改变用于访问车辆的新无线或虚拟钥匙)。添加或改变钥匙可涉及允许访问诸如电子控制模块的计算装置以允许用户在车辆上执行授权的操作。然而，监测和记录用户访问(即，允许记录哪个用户访问了哪个模块)可能不包括监测和记录用户在他们访问模块之后所做的事情。例如，如果用户访问模块以添加钥匙，但随后秘密添加第二钥匙，则可能无法检测到这种情况。

根据本公开，经由安全车辆模块进行的安全服务操作被单独授权和记录。此类安全车辆操作可包括：添加、删除或改变车辆钥匙(例如，NFC钥匙卡)；更新、清除或修改用于车辆网络上的消息认证的加密钥匙(例如，CAN消息认证(CMA)钥匙)；修改访问受限的设置(例如，排放控制)；以及更新或撤销存储在模块中的证书以认证与制造商的通信。因此，在添加车辆钥匙的情况下，请求单个钥匙添加操作的用户将无法添加第二钥匙，他们也将无法添加他们最初请求的钥匙之外的钥匙。用户的身份、特定车辆和所添加的钥匙的特定安全操作都被存储，从而进一步增强了安全性。因此，在添加车辆钥匙的情况下，除了确保像车辆钥匙更新(re-keying)的安全操作是可追踪的之外，还通过避免创建“主钥匙”的需要来增强车辆的安全性。

在本公开的一个或多个实施方式中，一种系统包括计算装置，所述计算装置具有处理器和存储器，其中所述存储器存储指令，所述指令可由所述处理器执行，使得所述计算装置被编程为：通过广域网向远程服务器传输对正在服务的特定车辆上的安全服务操作的服务工具请求；在验证所述服务工具请求后，通过所述广域网接收来自所述远程服务器的安全服务响应，所述安全服务响应包含安全有效载荷；以及通过车辆通信接口将所述安全有效载荷传输到所述特定车辆的安全控制器，而不管所述服务工具是否连接到所述广域网。

在一个实施方式中，所述服务工具请求包括所述安全服务操作、服务用户的证书和所述计算装置的证书。

在另一实施方式中，所述安全服务操作可包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

在一个实施方式中，所述特定车辆钥匙可选自零售用户钥匙、工厂钥匙和车队钥匙。

在另一实施方式中，所述系统可包括连接到所述广域网的服务管理服务器，其中所述远程服务器可以是访问管理服务器，被编程为将所述服务工具请求传输到所述访问管理服务器的所述指令可将所述服务工具请求传输到所述服务管理服务器，被编程为接收来自所述访问管理服务器的所述安全服务响应的所述指令可接收来自所述服务管理服务器的所述安全服务响应，并且所述服务管理服务器可包括服务器处理器和服务器存储器，其中所述服务器存储器存储指令，所述指令可由所述服务器处理器执行，使得所述服务管理服务器被编程为：确认所述安全服务操作是有效的，并且所述服务用户和所述计算装置基于它们相应的证书而被授权；基于所述服务工具请求创建安全服务请求；将所述安全服务请求传输到所述访问管理服务器；接收来自所述访问管理服务器的所述安全服务响应；以及将所述安全服务响应转发到所述计算机装置。

在一个实施方式中，可由所述处理器执行的所述指令还可包括指令，使得所述计算装置被编程为：从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息中继到所述服务管理服务器，其中可由所述服务器处理器执行的所述指令还可包括指令，使得所述服务器计算装置被编程为：从所述计算装置接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息中继到所述访问管理服务器。

在一个实施方式中，可由所述处理器执行的所述指令还可包括用于进行以下操作的指令：在传输所述服务工具请求之前执行预检查，使得所述计算装置被编程为：接收所述安全服务操作的输入；通过所述车辆通信接口将针对所述安全服务操作的先决条件检查传输到所述特定车辆的所述安全控制器；以及接收来自所述安全控制器的授权。

在一个实施方式中，所述安全服务操作可包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

在一个实施方式中，所述特定钥匙可选自零售用户钥匙、工厂钥匙和车队钥匙。

在一个实施方式中，可由所述处理器执行的所述指令还可包括指令，使得所述计算装置被编程为：从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息中继到所述远程服务器。

本公开的一个或多个实施方式可以是一种方法，所述方法包括：通过广域网从计算装置向远程服务器传输对正在服务的特定车辆上的安全服务操作的服务工具请求；在所述计算装置处，在验证所述服务工具请求后，通过所述广域网接收来自所述远程服务器的安全服务响应，所述安全服务响应包含安全有效载荷；以及通过车辆通信接口将所述安全有效载荷传输到所述特定车辆的安全控制器，而不管所述服务工具是否连接到所述广域网。

在所述方法的一个实施方式中，所述服务工具请求包括所述安全服务操作、服务用户的证书和所述计算装置的证书。

在所述方法的另一实施方式中，所述安全服务操作可包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

在所述方法的一个实施方式中，所述特定车辆钥匙可选自零售用户钥匙、工厂钥匙和车队钥匙。

在所述方法的一个实施方式中，所述远程服务器可以是访问管理服务器，其中将所述服务工具请求传输到所述访问管理服务器包括将所述服务工具请求传输到服务管理服务器，其中接收来自所述访问管理服务器的所述安全服务响应包括接收来自所述服务管理服务器的安全服务响应，并且所述方法还可包括：在所述服务管理服务器处确认所述安全服务操作是有效的，并且所述服务用户和所述计算装置基于它们相应的证书而被授权；在所述服务管理服务器处基于所述服务工具请求创建安全服务请求；将所述安全服务请求从所述服务管理服务器传输到所述访问管理服务器；在所述服务管理服务器处接收来自所述访问管理服务器的所述安全服务响应；以及由所述服务管理服务器将所述安全服务响应转发到所述计算装置。

在一个实施方式中，所述方法还可包括：在所述计算装置处从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息从所述计算装置中继到所述服务管理服务器；在所述服务管理服务器处从所述计算装置接收指示接收到所述安全有效载荷的所述访问事件消息；以及将所述访问事件消息从所述服务管理服务器中继到所述访问管理服务器。

在一个实施方式中，所述方法还可包括在传输所述服务工具请求之前通过以下操作执行预检查：在所述计算装置处接收所述安全服务操作的输入；通过所述车辆通信接口将针对所述安全服务操作的先决条件检查从所述计算装置传输到所述特定车辆的所述安全控制器；以及在所述计算装置处接收来自所述安全控制器的授权。

在所述方法的一个实施方式中，所述安全服务操作可包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

在所述方法的另一实施方式中，所述特定钥匙可选自零售用户钥匙、工厂钥匙和车队钥匙。

在一个实施方式中，所述方法还可包括：在所述计算装置处从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息从所述计算装置中继到所述远程服务器。

附图说明

图1是用于执行安全服务操作的示例性系统的框图。

图2是用于执行安全服务操作的示例性过程的数据流程图。

具体实施方式

参考图1，用于安全服务操作的连接的系统100可在车辆102的安全控制器210、诸如服务工具220的便携式装置、服务管理服务器230和访问管理服务器240之间提供数字数据通信。虽然车辆102中的安全控制器210可连接到或可不连接到诸如互联网的广域网116，但服务管理服务器230和访问管理服务器240可直接或间接地连接到广域网116，并且服务工具220可在其与服务管理服务器230通信的至少一部分时间期间直接或间接地连接到广域网116。

车辆102是用于执行车辆102中的功能或一组操作的一组部件或零件，包括硬件部件，并且通常还包括软件和/或编程。车辆子系统通常包括制动系统、推进系统和转向系统以及其他子系统，包括但不限于车身控制系统、气候控制系统、照明系统和可以包括仪表板和/或信息娱乐系统的人机界面(HMI)系统。推进子系统将能量转换为车辆102车轮的旋转以向前和/或向后推进车辆102。制动子系统可减慢和/或停止车辆102的移动。转向子系统可在车辆102移动时控制它的横摆，例如左转和右转、保持直线路径。

连接的系统100的实施方式将关于涉及添加无线钥匙112的安全操作来描述，但不限于此，并且可用于根据本公开的其他安全服务操作。

安全控制器210是计算装置，通常是安装在车辆102中的安全/受保护模块，例如电子控制模块(ECM)等。在用于使用NFC添加、删除或改变呈无线钥匙112的形式的车辆钥匙的实施方式中，安全控制器210可采用NFC控制器的形式。安全控制器210包括处理器、存储可执行指令的存储器、用于连接到服务工具220的车辆通信接口以及用于与无线钥匙112进行通信的NFC接口。因此，安全控制器210可与无线钥匙112通信以允许用户操作车辆102，并且可与服务工具220通信以允许车辆上的安全服务操作。在一些示例中，无线钥匙112是NFC钥匙，即，包括用于实现近场通信(NFC)的芯片或芯片组。在其他示例中，无线钥匙112可根据其他协议(例如，蓝牙低功耗(BLE)、Wi-Fi等)进行操作。

用户装置(诸如服务工具220)包括处理器、存储可执行指令的存储器、用于连接到安全控制器的车辆通信接口以及用于通过广域网116进行通信的网络通信接口。因此，服务工具220可使用有线连接(诸如经由车载诊断端口(例如，OBD-II端口)或经由无线连接)与车辆102的安全控制器210进行连接以进行通信。在与安全控制器210连接期间，服务工具220可不连接到广域网116，从而允许离线安全操作，诸如在没有网络访问的远程位置处执行车辆钥匙改变操作。

参考图1和图2，对于安全操作车辆钥匙改变，服务工具220被编程为在经由网络116到服务管理服务器230的消息中向访问管理服务器240传输钥匙添加请求，诸如服务工具请求消息254，所述服务工具请求消息包括对车辆钥匙改变操作的请求(即，添加、删除或恢复特定车辆102的无线钥匙112(即，虚拟或电子车辆钥匙))的请求。

服务工具220还被编程为经由服务管理服务器230接收来自访问管理服务器240的安全服务响应消息260，从安全服务响应消息260中提取安全命令消息262，将安全命令消息262传输到安全控制器210，接收来自安全控制器210的访问事件消息264响应，以及经由服务管理服务器230将访问事件消息266中继到访问管理服务器240。

服务管理服务器230包括处理器、存储可执行指令的存储器以及用于通过广域网116进行通信的网络接口。任选地，服务管理服务器230可包括用于与访问管理服务器240直接连接的接口。服务管理服务器230被编程为从服务工具220接收对安全操作的请求诸如钥匙改变请求，诸如与添加、删除或恢复特定车辆(诸如车辆102)的无线钥匙112(即，车辆钥匙(其可以是零售用户钥匙、工厂钥匙或车队钥匙))的安全操作相关联的服务工具请求消息254。服务管理服务器230还可被编程为例如通过认证用户、特定车辆和/或包括在服务工具请求消息254中的安全操作来认证服务工具请求消息254。服务管理服务器230还可被编程为将经认证的服务工具请求消息254作为安全服务请求消息256转发到访问管理服务器240，并将来自访问管理服务器240的安全服务响应258作为安全服务响应消息260转发到服务工具220。服务管理服务器230还可被编程为从服务工具220接收访问事件消息266并将访问事件消息268中继到访问管理服务器240。服务管理服务器230可保存各种请求、响应和事件以用于审计目的。

访问管理服务器240包括处理器、存储可执行指令的存储器以及用于通过广域网116进行通信的网络接口。任选地，访问管理服务器240可包括用于与服务管理服务器230直接连接的接口。访问管理服务器240被编程为从服务工具220接收安全操作请求诸如钥匙改变请求，诸如与添加、删除或恢复特定车辆(例如，车辆102)的无线钥匙112(即，车辆钥匙，其可以是零售用户钥匙、工厂钥匙或车队钥匙)的安全服务操作相关联的安全服务请求消息256。访问管理服务器240负责生成和管理安全钥匙、证书等，诸如激活或停用每个特定车辆102上的特定数字钥匙所需的数字钥匙数据。访问管理服务器240还可被编程为从服务管理服务器230接收经认证的安全服务请求消息256(例如，请求钥匙改变)，并将具有安全有效载荷中的数字钥匙数据的安全服务响应258传输到服务管理服务器230到服务工具220。服务管理服务器230还可被编程为从服务工具220接收访问事件消息266并将访问事件消息268中继到访问管理服务器240。访问管理服务器240可保存各种请求、响应和事件以用于审计目的。

参考图2，示出了用于针对车辆102的钥匙改变(例如，添加、删除或恢复特定车辆钥匙)执行安全服务操作的示例性过程的数据流。钥匙改变仅仅是本公开内的安全服务操作的一种实施方式。车辆安全控制器上的其他安全服务操作包括但不限于：更新、清除或修改用于车辆网络上的消息认证的加密钥匙(例如，CMA钥匙)；修改访问受限的设置(例如，排放控制)；以及更新或撤销存储在模块中的证书以认证与制造商的通信。

在可选步骤中，服务工具220可首先通过向安全控制器210发送预检查消息250以请求是否允许安全操作(例如，添加、删除或恢复钥匙)来确定预期操作将是可能的。如果允许，则安全控制器210将诸如利用“通过”消息252作出肯定回复，即，提供对进一步处理的批准。如果安全操作不被允许(即，未能满足先决条件)，则安全控制器将向服务工具220作出否定回复，即利用“失败”消息(未示出)来回复，从而终止安全服务操作。这种否定响应可包括请求不满足先决条件的原因，并且允许用户解决问题并再次尝试安全服务操作。

用户可使用已知的输入装置(诸如小键盘和/或条形码读取器)将诸如用户证书、车辆标识(例如，VIN)和所请求的安全服务操作(例如，零售用户钥匙添加)的数据输入到服务工具220。服务工具220中的处理器可生成服务工具请求消息254，所述服务工具请求消息包括输入数据和服务工具220的识别数据(ID)(例如，唯一字符串)。利用连接到广域网116的服务工具220，用户可将服务工具请求消息254发送到服务管理服务器230(用于将识别数据递送到访问管理服务器240)。

服务管理服务器230为服务工具220操作提供服务云后端。服务管理服务器230可被称为“远程”服务器，因为其在地理上远离车辆102和服务工具220，并且经由广域网116而不是直接或本地连接来访问。服务管理服务器230接收具有诸如服务工具220的ID、用户证书、车辆标识(例如，VIN)和所请求的安全服务操作(例如，零售用户钥匙添加)的数据的服务工具请求消息254，并且基于确认其已从授权服务工具和授权服务用户接收到有效请求来执行授权。如果正确授权，则服务管理服务器230创建包括数据的安全服务请求消息256并将所述安全服务请求消息传输到访问管理服务器240。

访问管理服务器240提供对服务管理服务器230和服务工具220操作的处理，并且如上所述，在钥匙改变的示例性实施方式中，负责生成和管理激活或停用每个特定车辆102上的特定数字钥匙所需的数字钥匙数据。访问管理服务器240从服务管理服务器230接收安全服务请求消息256，并且基于所包括的数据，生成安全服务响应消息258并将所述安全服务响应消息传输到服务管理服务器230。安全服务响应消息258包括安全有效载荷，所述安全有效载荷诸如具有根据针对特定车辆102的所请求的安全服务操作激活或停用特定数字钥匙(例如，无线钥匙112)所需的数字钥匙数据。另外，安全有效载荷中的数据是有时间限制的或包括时间限制，使得所请求的安全服务操作是车辆特定的、操作特定的、有时间限制的授权。

服务管理服务器230接收安全服务响应258并将安全服务响应消息260转发到服务工具220，其中安全服务响应消息260包括安全有效载荷，在该实施方式中，所述安全有效载荷具有根据所请求的安全服务操作激活或停用特定数字无线钥匙112所需的数字钥匙数据。

当服务工具220连接到广域网116时，服务工具220从服务管理服务器230接收包括安全有效载荷的安全服务响应消息260。然而，当接收到安全服务响应消息260时，服务工具220不需要连接到车辆102的安全控制器210(但仍必须使请求用户被授权使用服务工具220)。

然后，授权服务用户可使用车辆通信接口将服务工具220连接到车辆102的安全控制器210，但可与广域网116断开连接。然后，服务工具220可在安全命令消息262中将具有根据所请求的安全服务操作激活或停用特定数字钥匙所需的数字钥匙数据的安全有效载荷传输到安全控制器210。

安全控制器210接收并解包安全命令消息262中的安全有效载荷，并且使用安全有效载荷中的数字钥匙数据来根据所请求的安全服务操作来激活或停用特定数字钥匙。在保护安全有效载荷和/或数字钥匙的使用时，安全控制器210和访问管理服务器240可使用非对称加密钥匙来减少对称钥匙的长时间存储的计算和存储器负担。

在根据所请求的安全服务操作激活或停用特定数字钥匙(例如，无线钥匙112)之后，安全控制器210生成指示成功的安全服务操作的访问事件消息264并将所述访问事件消息传输到服务工具220。然后，服务工具220可与安全控制器210断开连接，连接到广域网116，并将访问事件消息266发送到服务管理服务器230，所述服务管理服务器将访问事件消息268中继到访问管理服务器240。访问事件消息266中的数据可保存在服务管理服务器230处，并且访问事件消息268中的数据可保存在访问管理服务器240处，以更新装置关联记录并记录信息以用于审计和跟踪目的。

具有处理器和存储器(包括本文公开的安全控制器210、服务工具220、服务管理服务器230和访问管理服务器240中的处理器和存储器)的计算机可采用任何合适的形式。计算机存储器可包括一种或多种形式的计算机可读介质，并且存储可由处理器执行以用于执行各种操作(包括如本文所公开的操作)的指令。例如，计算机可以是具有如上所述的处理器和存储器的通用计算机，和/或用于特定功能或一组功能的ECU、控制器等，和/或包括针对特定操作而制造的ASIC的专用电子电路，例如用于处理传感器数据和/或传送传感器数据的ASIC。在另一示例中，计算机可包括FPGA(现场可编程门阵列)，该FPGA是被制造为可由用户配置的集成电路。通常，在电子设计自动化中使用诸如VHDL(超高速集成电路硬件描述语言)等硬件描述语言来描述诸如FPGA和ASIC等数字和混合信号系统。例如，ASIC是基于制造前提供的VHDL编程而制造的，而FPGA内部的逻辑部件可基于例如存储在电连接到FPGA电路的存储器中的VHDL编程来配置。在一些示例中，处理器、ASIC和/或FPGA电路的组合可包括在计算机中。

计算机存储器可以是任何合适的类型，例如，EEPROM、EPROM、ROM、Flash、硬盘驱动器、固态驱动器、服务器或任何易失性或非易失性介质。存储器可存储数据，例如ECU的存储器。存储器可以是与计算机分离的装置，并且计算机可检索存储在存储器中的信息，例如，一个或多个计算机可经由车辆102中的车辆网络或连接到服务器的存储阵列(例如，通过以太网总线、CAN总线、无线网络等)获得要存储的数据。替代地或另外地，存储器可以是计算机的一部分，即作为计算机的存储器或可编程芯片的固件。

虽然上文关于某些实施方式而公开，但在不脱离本公开的情况下，各种其他实施方式也是可能的。

本文中“响应于”、“基于”和“在确定……时”的使用指示因果关系，而不仅仅是时间关系。另外，除非本文作出相反的明确指示，否则权利要求中使用的所有术语意图给出如本领域技术人员所理解的普通和通常的含义。除非权利要求叙述相反的明确限制，否则使用“一个/种”、“所述”等单数冠词应被解读为叙述所指示的要素中的一者或多者。

在附图中，相同的附图标记指示相同的要素。此外，可改变这些要素中的一些或全部。就本文所描述的介质、过程、系统、方法等而言，应理解，虽然此类过程的步骤等已被描述为按照特定的顺序发生，但除非另有说明或从上下文中可以看出，可在按照本文所述顺序以外的顺序执行所述步骤的情况下实践此类过程。同样，还应理解，可同时执行某些步骤，可添加其他步骤，或者可省略本文描述的某些步骤。换句话说，本文对过程的描述出于说明某些实施方案的目的而提供，并且决不应被解释为限制本公开。

已经以说明性方式描述了本公开，并且应理解，已经使用的术语意在是描述性的词语的性质，而不是限制性的。鉴于以上教导，本公开的许多修改和变化是可能的，并且本公开可以不同于具体描述的其他方式来实践。

根据本发明，提供了一种系统，所述系统具有：计算装置，所述计算装置包括处理器和存储器，其中所述存储器存储指令，所述指令可由所述处理器执行，使得所述计算装置被编程为：通过广域网向远程服务器传输对正在服务的特定车辆上的安全服务操作的服务工具请求；在验证所述服务工具请求后，通过所述广域网接收来自所述远程服务器的安全服务响应，所述安全服务响应包含安全有效载荷；以及通过车辆通信接口将所述安全有效载荷传输到所述特定车辆的安全控制器，而不管所述计算装置是否连接到所述广域网。

根据实施例，所述服务工具请求包括所述安全服务操作、服务用户的证书和所述计算装置的证书。

根据实施例，所述安全服务操作包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

根据实施例，所述特定车辆钥匙选自零售用户钥匙、工厂钥匙和车队钥匙。

根据实施例，本发明的特征还在于连接到所述广域网的服务管理服务器，其中所述远程服务器是访问管理服务器，其中被编程为将所述服务工具请求传输到所述访问管理服务器的所述指令将所述服务工具请求传输到所述服务管理服务器，其中被编程为接收来自所述访问管理服务器的所述安全服务响应的所述指令接收来自所述服务管理服务器的所述安全服务响应，并且所述服务管理服务器包括服务器处理器和服务器存储器，其中所述服务器存储器存储指令，所述指令可由所述服务器处理器执行，使得所述服务管理服务器被编程为：确认所述安全服务操作是有效的，并且所述服务用户和所述计算装置基于它们相应的证书而被授权；基于所述服务工具请求创建安全服务请求；将所述安全服务请求传输到所述访问管理服务器；接收来自所述访问管理服务器的所述安全服务响应；以及将所述安全服务响应转发到所述计算机装置。

根据实施例，可由所述处理器执行的所述指令还包括指令，使得所述计算装置被编程为：从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息中继到所述服务管理服务器，并且其中可由所述服务器处理器执行的所述指令还包括指令，使得所述服务器计算装置被编程为：从所述计算装置接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息中继到所述访问管理服务器。

根据实施例，可由所述处理器执行的所述指令还包括用于进行以下操作的指令：在传输所述服务工具请求之前执行预检查，使得所述计算装置被编程为：接收所述安全服务操作的输入；通过所述车辆通信接口将针对所述安全服务操作的先决条件检查传输到所述特定车辆的所述安全控制器；以及接收来自所述安全控制器的授权。

根据实施例，所述安全服务操作包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

根据实施例，所述特定钥匙选自零售用户钥匙、工厂钥匙和车队钥匙。

根据实施例，可由所述处理器执行的所述指令还包括指令，使得所述计算装置被编程为：从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息中继到所述远程服务器。

根据本发明，一种方法包括：通过广域网从计算装置向远程服务器传输对正在服务的特定车辆上的安全服务操作的服务工具请求；在所述计算装置处，在验证所述服务工具请求后，通过所述广域网接收来自所述远程服务器的安全服务响应，所述安全服务响应包含安全有效载荷；以及通过车辆通信接口将所述安全有效载荷传输到所述特定车辆的安全控制器，而不管所述服务工具是否连接到所述广域网。

在本发明的一个方面，所述服务工具请求包括所述安全服务操作、服务用户的证书和所述计算装置的证书。

在本发明的一个方面，所述安全服务操作包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

在本发明的一个方面，所述特定车辆钥匙选自零售用户钥匙、工厂钥匙和车队钥匙。

在本发明的一个方面，所述服务器是访问管理服务器，其中将所述服务工具请求传输到所述访问管理服务器包括将所述服务工具请求传输到服务管理服务器，其中接收来自所述访问管理服务器的所述安全服务响应包括接收来自所述服务管理服务器的安全服务响应，并且所述方法还包括：在所述服务管理服务器处确认所述安全服务操作是有效的，并且所述服务用户和所述计算装置基于它们相应的证书而被授权；在所述服务管理服务器处基于所述服务工具请求创建安全服务请求；将所述安全服务请求从所述服务管理服务器传输到所述访问管理服务器；在所述服务管理服务器处接收来自所述访问管理服务器的所述安全服务响应；以及由所述服务管理服务器将所述安全服务响应转发到所述计算装置。

在本发明的一个方面，所述方法包括：在所述计算装置处从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息从所述计算装置中继到所述服务管理服务器；在所述服务管理服务器处从所述计算装置接收指示接收到所述安全有效载荷的所述访问事件消息；以及将所述访问事件消息从所述服务管理服务器中继到所述访问管理服务器。

在本发明的一个方面，所述方法包括在传输所述服务工具请求之前通过以下操作执行预检查：在所述计算装置处接收所述安全服务操作的输入；通过所述车辆通信接口将针对所述安全服务操作的先决条件检查从所述计算装置传输到所述特定车辆的所述安全控制器；以及在所述计算装置处接收来自所述安全控制器的授权。

在本发明的一个方面，所述安全服务操作包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

在本发明的一个方面，所述特定钥匙选自零售用户钥匙、工厂钥匙和车队钥匙。

在本发明的一个方面，所述方法包括：在所述计算装置处从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及将所述访问事件消息从所述计算装置中继到所述远程服务器。

Claims (15)

1.一种方法，其包括：

通过广域网从计算装置向远程服务器传输对正在服务的特定车辆上的安全服务操作的服务工具请求；

在所述计算装置处，在验证所述服务工具请求后，通过所述广域网接收来自所述远程服务器的安全服务响应，所述安全服务响应包含安全有效载荷；以及

通过车辆通信接口将所述安全有效载荷传输到所述特定车辆的安全控制器，而不管所述计算装置是否连接到所述广域网。

2.如权利要求1所述的方法，其中所述服务工具请求包括所述安全服务操作、服务用户的证书和所述计算装置的证书。

3.如权利要求2所述的方法，其中所述安全服务操作包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

4.如权利要求3所述的方法，其中所述特定车辆钥匙选自零售用户钥匙、工厂钥匙和车队钥匙。

5.如权利要求2所述的方法，

其中所述远程服务器是访问管理服务器，

其中将所述服务工具请求传输到所述访问管理服务器包括将所述服务工具请求传输到服务管理服务器，

其中接收来自所述访问管理服务器的所述安全服务响应包括接收来自所述服务管理服务器的所述安全服务响应，并且

所述方法还包括：

在所述服务管理服务器处确认所述安全服务操作是有效的，并且所述服务用户和所述计算装置基于它们相应的证书而被授权；

在所述服务管理服务器处基于所述服务工具请求创建安全服务请求；

将所述安全服务请求从所述服务管理服务器传输到所述访问管理服务器；

在所述服务管理服务器处接收来自所述访问管理服务器的所述安全服务响应；以及

由所述服务管理服务器将所述安全服务响应转发到所述计算装置。

6.如权利要求5所述的方法，其还包括：

在所述计算装置处从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及

将所述访问事件消息从所述计算装置中继到所述服务管理服务器；

在所述服务管理服务器处从所述计算装置接收指示接收到所述安全有效载荷的所述访问事件消息；以及

将所述访问事件消息从所述服务管理服务器中继到所述访问管理服务器。

7.如权利要求2所述的方法，其还包括在传输所述服务工具请求之前通过以下操作执行预检查：

在所述计算装置处接收所述安全服务操作的输入；

通过所述车辆通信接口将针对所述安全服务操作的先决条件检查从所述计算装置传输到所述特定车辆的所述安全控制器；以及

在所述计算装置处接收来自所述安全控制器的授权。

8.如权利要求7所述的方法，其中所述安全服务操作包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

9.如权利要求8所述的方法，其中所述特定钥匙选自零售用户钥匙、工厂钥匙和车队钥匙。

10.如权利要求1所述的方法，其还包括：

在所述计算装置处从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及

将所述访问事件消息从所述计算装置中继到所述远程服务器。

11.如权利要求5所述的方法，其中所述安全服务操作包括所述特定车辆的标识和要添加、删除或恢复到所述特定车辆的特定车辆钥匙。

12.如权利要求11所述的方法，其中所述特定车辆钥匙选自零售用户钥匙、工厂钥匙和车队钥匙。

13.如权利要求12所述的方法，其还包括在传输所述服务工具请求之前通过以下操作执行预检查：

在所述计算装置处接收所述安全服务操作的输入；

通过所述车辆通信接口将针对所述安全服务操作的先决条件检查从所述计算装置传输到所述特定车辆的所述安全控制器；以及

在所述计算装置处接收来自所述安全控制器的授权。

14.如权利要求13所述的方法，其还包括：

在所述计算装置处从所述安全控制器接收指示接收到所述安全有效载荷的访问事件消息；以及

将所述访问事件消息从所述计算装置中继到所述远程服务器。

15.一种计算装置，其包括处理器和存储器，所述存储器存储指令，所述指令能够由所述处理器执行以执行如权利要求1至14中的一项所述的方法。