-
Die Erfindung betrifft eine Funkfernbedienung zur Steuerung von Fahrzeugfunktionen eines Kraftfahrzeugs gemäß dem Oberbegriff des Anspruchs 1.
-
Im Folgenden werden wegen der im Deutschen möglichen Verwechslung der Sicherheit im Sinne des englischsprachigen Begriffs „security” (Zugriffschutz, Schutz vor Eindringlingen, Schutz vor Datenverfälschungen, etc.) und Sicherheit im Sinne des englischsprachigen Begriffs „safety” (Schutz vor unvertretbaren Risiken für Leib und Leben) im ersten Fall im Allgemeinen der Begriff „Sicherheit” und im zweiten Fall der Begriff „Betriebssicherheit” oder „funktionale Sicherheit” verwendet.
-
Es ist bekannt, einzelne Fahrzeugsysteme, die nicht direkt mit dem Führen eines Fahrzeugs in Zusammenhang stehen, per Fernbedienung (beispielsweise in den Funkschlüssel des Fahrzeugs integriert) zu steuern. Beispiele hierfür sind die Zugangsfunktionen der Zentralverriegelung, das Öffnen eines Cabrio-Verdecks oder das Öffnen der Fenster. Bei vielen Fahrzeugen enthält der Funkschlüssel zudem einen Teil der Wegfahrsperre. Außerdem können teilweise auch weitere Komfort-Funktionen wie beispielsweise eine Stand-Klimaanlage oder Stand-Heizung per Fernbedienung gesteuert werden. Das Bewegen des Fahrzeugs ist hingegen in den meisten Fällen nicht fernsteuerbar.
-
Aus Gründen des Diebstahlschutzes besteht für heutige Funkschlüssel im Allgemeinen die Notwendigkeit einer kryptografischen Absicherung. Diese wird typischerweise mittels symmetrischer oder asymmetrischer Verschlüsselung/Signierung erreicht. Weiterhin ist die Funkstrecke solcher Fernbedienungen gegen Verfälschungen abgesichert, beispielsweise mittels eines Prüfsummenverfahrens, insbesondere zyklischer Redundanzprüfung (CRC – Cyclic Redundancy Check), oder Signaturen. Dies kann sowohl der Robustheit als auch einer weiteren Erhöhung der Sicherheit der Übertragung dienen.
-
In Fahrzeugen gibt es viele Funktionen, die für die Betriebssicherheit/funktionale Sicherheit relevant sind. Derartige Funktion werden beispielsweise in Übereinstimmung mit den Normen IEC 61508 (IEC – International Electrotechnical Commission) oder – im Automobilbereich – ISO 26262 (ISO – International Organization for Standardization) entwickelt und abgesichert.
-
Bei einer Fernsteuerung von für die Betriebssicherheit/funktionale Sicherheit relevanten Funktionen im Fahrzeug bestehen an die gesamte Fernbedienung neben den schon heute bekannten Anforderungen an Robustheit und Sicherheit (im Sinne von „Security”) auch noch Anforderungen an die Betriebssicherheit/funktionale Sicherheit (im Sinne von „Safety”).
-
Beispielsweise muss das fehlerhafte Aktivieren einer ferngesteuerten für die funktionale Sicherheit relevanten Funktion aufgrund von Fehlern in der Funkfernbedienung (d. h. im Sender) hinreichend ausgeschlossen bzw. abgesichert sein.
-
Diese Anforderungen zur funktionalen Sicherheit müssen beispielsweise durch eine Entwicklung und Absicherung des gesamten Fernsteuerungssystems (sowohl senderseitig als auch empfängerseitig) entsprechend der im Automobilbereich verwendeten Norm ISO 26262 erfüllt werden.
-
Dieser konventionelle Ansatz zur Gewährleistung der funktionalen Sicherheit führt allerdings zu erheblichen Aufwand und zusätzlichen Problemen, insbesondere für die Fernbedienung (d. h. den Sender). So sind im Vergleich zu einfachen Funkschlüsseln beispielsweise der Software-Entwicklungsprozess sehr aufwändig und die quantitativer Ausfallraten deutlich höher. Außerdem sind typischen zur Gewährleistung der funktionalen Sicherheit verwendeten Lösungen wie eine redundante Verarbeitung von solchen Eingangssignalen, welche für die Gewährleistung der funktionale Sicherheit relevant sind, in Funkschlüssel-Fernbedienungen alleine schon aufgrund des Bauraums und des Stromverbrauchs enge Grenzen gesetzt.
-
1 zeigt ein konventionelles Sender/Empfänger-System, welches zur Fernsteuerung einer Fahrzeugfunktion verwendet wird: Eine Fernbedienung 1 umfasst Eingabemittel 2 zur Steuerung der Fahrzeugfunktionen, beispielsweise verschiedene Tasten zur Auslösung unterschiedlicher Fahrzeugfunktionen, beispielsweise eine Taste zum Öffnen des Fahrzeugs und eine Taste zum Schließen des Fahrzeugs. Mittels der Eingabemittel 1 wird eine Benutzer-Eingabe E gewonnen. Die Benutzer-Eingabe E wird von einer Sender-Logik 3 in die zu versendenden Daten S gewandelt, welches die Benutzer-Eingabe E in codierter Form enthält, d. h. S ist eine Funktion von E: S = f(E). Bei f(E) kann es sich beispielsweise um eine einfache Codierung handeln (S = E) oder S enthält – beispielsweise aus Sicherheitsgründen – noch weitere Informationen wie beispielsweise die Identifikation des Senders (Sender-ID) oder Prüfsummen (beispielsweise im Sinne eines CRC) oder Sequenzzähler. Die Sender-Logik 3 wird beispielsweise mittels eines Mikrocontrollers und gegebenenfalls weiterer Elektronikkomponenten realisiert. Die Modulation der zu versendenden Daten auf einen entsprechenden Hochfrequenzträger ist in 1 aus Gründen der Vereinfachung nicht dargestellt. Auf Empfängerseite wird nach der Demodulation (nicht dargestellt) in der Auswerte-Logik 4 aus den empfangenen Daten S die Benutzer-Eingabe E ermittelt, d. h. E = f–1(S), und das entsprechende Ausgangssignal A zum Durchführen der der Benutzer-Eingabe zugeordnete Fahrzeugfunktion ausgegeben.
-
Bei einer für die funktionale Sicherheit relevanten Fahrzeugfunktion, wie beispielsweise einer von außerhalb des Fahrzeugs auslösbaren Parkfunktion zum automatisierten Ein- oder Ausparken eines Personenkraftwagens, sind beim konventionellen Ansatz sämtliche Teile der Fernbedienung, die mit der Fernsteuerung einer derartigen Fahrzeugfunktion in Berührung kommen, entsprechend der Vorgaben zur funktionalen Sicherheit zu entwerfen. Hierdurch ergibt sich ein erheblicher Mehraufwand, der mit den gegebenen Randbedingungen des vorhandenen Bauraums und des Stromverbrauchs nicht oder nur sehr schwer in Einklang zu bringen ist. Dies gilt insbesondere für den in der Fernbedienung verwendeten Mikrocontroller.
-
Es ist Aufgabe der Erfindung, eine Funkfernbedienung anzugeben, welche neben der Steuerung von Fahrzeugfunktionen (z. B. Öffnen und Schließen der Zentralverriegelung), die für die funktionale Sicherheit nicht relevant sind, auch eine Steuerung von Fahrzeugfunktionen (z. B. das automatische Einparken) erlaubt, die für die funktionale Sicherheit relevant sind, ohne dass sich die Anforderungen im Zusammenhang mit der funktionalen Sicherheit im Wesentlichen vollständig auf den gesamten senderseitigen Mikrokontroller übertragen.
-
Die Aufgabe wird durch die Merkmale der unabhängigen Patentansprüche gelöst. Vorteilhafte Ausführungsformen sind in den abhängigen Ansprüchen beschrieben.
-
Die erfindungsgemäße Funkfernbedienung dient zum Steuern mindestens einer für die funktionale Sicherheit relevanten ersten Fahrzeugfunktion, beispielsweise einer Funktion zur Durchführung eines autonomen Fahrvorgangs eines Fahrzeugs, insbesondere einer Parkfunktion zum automatisieren Ein- oder Ausparken eines Personenkraftwagens. Vorzugsweise handelt es sich um eine Parkfunktion zum (frontalen und/oder rückwärtigen) Einparken in einen Kopfparkplatz, insbesondere zum Einparken in einen frontal befahrbaren Kopfparkplatz (beispielsweise eine Einzelgarage). Eine derartige per Fernbedienung steuerbare Parkfunktion ist in der
deutschen Patentanmeldung 10 2011 084 366.3 mit der Bezeichnung „Fernbedienung für ein Parkassistenzsystem und ein per Fernbedienung kontrollierbares Parkassistenzsystem” derselben Anmelderin, die am 12.10.2011 eingereicht wurde, beschrieben. Die dort angegebene Beschreibung der Parkfunktion und dessen Bedienung werden hiermit durch Bezugnahme in den Offenbarungsgehalt dieser Anmeldung aufgenommen.
-
Neben einer oder mehreren solchen Funktionen dient die Fernbedienung auch zum Steuern weiterer Fahrzeugfunktionen, beispielsweise zum Öffnen und Schließen der Zentralverriegelung.
-
Die erfindungsgemäße Fernbedienung umfasst Eingabemittel zum benutzerseitigen Wählen von Fahrzeugfunktionen und zur Gewinnung einer der gewählten Fahrzeugfunktion entsprechenden Benutzer-Eingabe wie dies im Zusammenhang mit 1 bereits beschrieben wurde. Die Eingabemittel dienen auch zur Auswahl der ersten Fahrzeugfunktion, so dass bei Auswahl der ersten Fahrzeugfunktion eine der ersten Fahrzeugfunktion zugeordnete Benutzer-Eingabe vorliegt. Beispielsweise handelt es sich bei den Eingabemitteln um Taster, wobei entweder jedem Taster genaue eine Fahrzeugfunktion zugeordnet ist oder alternativ einem oder mehreren Tastern auch mehr als eine Fahrzeugfunktion zugeordnet sind. Ferner umfasst die Fernbedienung eine Sender-Logik zur Verarbeitung der Benutzer-Eingabe, wie dies bereits im Zusammenhang mit 1 beschrieben wurde.
-
Die erfindungsgemäße Fernbedienung umfasst im Unterschied zu konventionellen Fernbedienungen aber zusätzlich noch eine bestimmte Sicherheitseinrichtung zur Absicherung der ersten Fahrzeugfunktion.
-
Die Sicherheitseinrichtung selbst umfasst ein Sicherheitseingabemittel, welches zum Ausführen der ersten Fahrzeugfunktion zu betätigen ist. Vorzugsweise wird das Sicherheitseingabemittel bei der Betätigung in einen ersten Zustand überführt und bleibt während der Ausführung der ersten Fahrzeugfunktion in diesem Zustand. Hierbei kann beispielsweise vorgesehen sein, dass die Fernbedienung derart eingerichtet ist, dass das Sicherheitseingabemittel während der Ausführung der ersten Fahrzeugfunktion in dem ersten Zustand durch den Benutzer zu halten ist, insbesondere durch Kraftaufwendung seitens des Benutzers, beispielsweise durch fortlaufendes Betätigen eines Tasters gegen eine Gegenkraft des Tasters oder durch fortlaufendes Halten eines herausgezogenen Bedienteils gegen eine Gegenkraft. Es wäre auch denkbar, dass ein (beispielsweise mechanisches) Zeitglied vorgesehen wird, wobei das Zeitglied nach einmaliger Aktivierung das Sicherheitseingabemittel (beispielsweise in Form eines Tasters) im ersten Zustand hält und dann in einer – vorzugsweise definierten – Zeitspanne rückstellt. In diesem Beispiel wäre eine kontinuierliche Betätigung des Sicherheitseingabemittels durch den Benutzer möglich aber nicht unbedingt nötig. Beispielsweise könnte auch ein in dem Sicherheitseingabemittel integriertes oder diesem nachgeschaltetes elektrischen oder elektronisches Zeitglied verwendet werden, wobei das Zeitglied nach einer Aktivierung den Taster im ersten Zustand hält und dann nach Verstreichen einer, vorzugsweise definierten, Zeitspanne rückstellt.
-
Bei dem Sicherheitseingabemittel kann es sich um einen Schalter handeln, der durch eine seitens des Benutzers aufgebrachte Kraft umgeschaltet wird. Dies ist jedoch nicht zwingend. Vorzugsweise weist das Sicherheitseingabemittel mindestens zwei verschiedene Zustände auf und wird durch eine Handlung des Benutzers (beispielsweise durch Drücken eines Tasters oder Berühren eines bestimmten Bereichs auf der Fernbedienung) betätigt und in einen anderen Zustand überführt. Beispielsweise handelt es sich bei dem Sicherheitseingabemittel um ein Schaltelement.
-
Ferner umfasst die Sicherheitseinrichtung eine mit dem Sicherheitseingabemittel gekoppelte Sicherheitsschaltung mit Sicherheitsinformation. Bei Betätigung des Sicherheitseingabemittels wird beispielsweise die Sicherheitsinformation zur Verarbeitung freigegeben.
-
Die Fernbedienung ist derart eingerichtet, dass im Fall einer der ersten Fahrzeugfunktion zugeordneten Benutzer-Eingabe die Sicherheitsinformation zur Erzeugung von Sendedaten, die die Ausführung der ersten Fahrzeugfunktion bewirken, nur in dem Fall verwendet wird, wenn das Sicherheitseingabemittel betätigt wurde. Vorzugsweise wird im Fall einer der ersten Fahrzeugfunktion zugeordneten Benutzer-Eingabe nur bei Vorliegen des ersten Zustands des Sicherheitseingabemittels die Sicherheitsinformation zur Erzeugung von Sendedaten verwendet, die die Ausführung der ersten Fahrzeugfunktion bewirken, und bei Verlassen des ersten Zustands ist die Verwendung der Sicherheitsinformation hierfür ausgeschlossen. Nur im Fall des Vorliegens des ersten Zustands können also dann solche Sendedaten unter Verwendung der Sicherheitsinformation (und vorzugsweise unter Verwendung der der ersten Fahrzeugfunktion zugeordneten Benutzer-Eingabe) erzeugen werden, die die Ausführung der ersten Fahrzeugfunktion ermöglichen. Das Betätigen des Sicherheitseingabemittels stellt also eine Sicherheits-Eingabe des Benutzers dar. Bei einer anschließenden Änderung des Zustands des Sicherheitseingabemittels wird die Verwendung der Sicherheitsinformation dann wieder aufgehoben.
-
Erfindungsgemäß kann ein unerwünschtes Einschalten der ersten Fahrzeugfunktion dadurch verhindert werden, indem ein Geheimnis in Form der Sicherheitsinformation vorgesehen wird, welches bei der Erzeugung von Sendedaten verwendet werden muss, um gültige Sendedaten zur Auslösung der ersten Fahrzeugfunktion zu erhalten. Das Geheimnis, d. h. die Sicherheitsinformation, sollte vorzugsweise so komplex sein, dass mit hinreichender Wahrscheinlichkeit auszuschließen ist, dass ein Element in der Kette Sender, Übertragungsstrecke, Empfänger und Auswerte-Logik das Geheimnis – selbst im Fehlerfalle! – zufällig erzeugt. Vorzugsweise ist die Sicherheitsinformation mindestens 16 Bit lang, insbesondere mindestens 32 Bit lang, beispielsweise 16, 32, 64, 128 oder 256 Bit lang.
-
Die Verwendung des Geheimnisses zur Erzeugung der Sendedaten ist senderseitig durch eine Sicherheits-Eingabe seitens des Benutzers zu aktivieren, nämlich durch Betätigen des zusätzlichen Sicherheitseingabemittels. Im Empfänger wird geprüft, ob das Geheimnis bei der Erzeugung der Sendedaten verwendet wurde, und nur in diesem Fall die erste Fahrzeugfunktion aktiviert.
-
Vorzugsweise ist vorgesehen, dass bei Verlassen des ersten Zustands die Verwendung der Sicherheitsinformation zur Erzeugung von gültigen Sendedaten ausgeschlossen ist, die die Ausführung der ersten Fahrzeugfunktion bewirken. Hierdurch wird ermöglicht, dass die erste Fahrzeugfunktion sicher ausgeschaltet wird, sobald der Benutzer die Sicherheits-Eingabe zurücknimmt. Bei der Implementierung der Fernbedienung sollte – selbst im Fehlerfall – mit hinreichender Wahrscheinlichkeit sichergestellt werden, dass die Deaktivierung des Geheimnisses, d. h. der Sicherheitsinformation, erfolgt, wenn der Benutzer die Sicherheits-Eingabe zurücknimmt und das Sicherheitseingabemittel den ersten Zustand verlässt. In diesem Fall wird empfangsseitig festgestellt, dass die Sicherheitsinformation nicht mehr zur Erzeugung der Sendedaten verwendet werden, wobei dann die weitere Ausführung der ersten Funktion unterbunden wird. Beispielsweise sendet der Sender in einem bestimmten Zeitraster, beispielsweise alle 10 ms, wiederholt entsprechende Daten an den Empfänger zur Ausführung der ersten Fahrzeugfunktion. Wenn nach einer bestimmten Zeitdauer (beispielsweise 100 ms) nach dem Empfang von für die Ausführung der ersten Fahrzeugfunktion gültigen Daten dann keine gültigen Daten mehr empfangen werden, welche unter Verwendung der Sicherheitsinformation senderseitig erzeugt wurden, wird beispielsweise die weitere Ausführung der ersten Fahrzeugfunktion gestoppt.
-
Der Grenzwert für die vorstehend genannten hinreichenden Wahrscheinlichkeiten hängt von der Sicherheitsstufe der ersten Fahrzeugfunktion ab. Der Grenzwert lässt sich beispielsweise aus Vorgaben in den Normen zur funktionalen Sicherheit ableiten, beispielsweise schlägt ISO 26262 für ASIL C (Automotive Safety Integrity Level C) einen Wert kleiner gleich 1–7 pro Betriebsstunde vor.
-
Die vorgeschlagene Funkfernbedienung erlaubt das Steuern (beispielsweise Ein- und Ausschalten) hinsichtlich der funktionalen Sicherheit sensibler Fahrzeugfunktionen, ohne dass die gesamte Fernbedienung die entsprechenden Anforderungen der Norm zur funktionalen Sicherheit einhalten muss. Stattdessen wird vorzugsweise nur die Sicherheitseinrichtung (d. h. das Sicherheitseingabemittel, die Sicherheitsschaltung und ggf. weitere Komponenten der Sicherheitseinrichtung) nach den Maßgaben der Norm zur funktionalen Sicherheit entwickelt und abgesichert. Somit reduziert sich der Aufwand für die Entwicklung und Absicherung der Fernbedienung trotz Einhaltung der Normen zur funktionalen Sicherheit wie IEC 61508 oder ISO 26262. Da nicht der gesamte senderseitige Umfang, sondern nur die Sicherheitsschaltung nach den Maßgaben der jeweiligen Norm entwickelt und abgesichert wird, führt der hier vorgeschlagene Ansatz zu einer deutlichen Kostenreduktion. Gleichzeitig wird die funktionale Sicherheit des Systems aber auch gegenüber dem klassischen Ansatz der Absicherung des gesamten Senders tendenziell erhöht, da die Umfänge der Fernbedienung, die tatsächlich gemäß der jeweiligen Norm abzusichern sind, weniger komplex sind. Zusätzlich erhöht sich unabhängig von der funktionalen Sicherheit auch die Robustheit der Funktion, da auch solche Fehl-Aktivierungen verhindert werden können, die möglicherweise nicht zu einer wirklichen Gefährdung führen würden, aber trotzdem aus Sicht des Benutzers ein unerwünschtes Verhalten darstellen.
-
Vorzugsweise umfasst die Fernbedienung einen ersten Taster, der wiederum das Sicherheitseingabemittel in Form eines Sicherheitsschaltelements umfasst.
-
Gemäß einer ersten Ausführungsvariante für den ersten Taster kann der erste Taster neben dem Sicherheitsschaltelement ein weiteres Schaltelement umfassen, welches zur Gewinnung einer der ersten Fahrzeugfunktion zugeordneten Benutzer-Eingabe dient. Das weitere Schaltelement ist also den Eingabemitteln zur benutzerseitigen Auswahl einer Fahrzeugfunktion zugeordnet, während das Sicherheitsschaltelement der Sicherheitseinrichtung zugeordnet ist. Der erste Taster ist dann derart ausgestaltet, dass bei Betätigung des ersten Tasters sowohl das Sicherheitsschaltelement als auch das weitere Schaltelement betätigt werden.
-
Alternativ kann vorgesehen sein, dass die Fernbedienung neben dem ersten Taster zumindest einen weiteren Taster umfasst und der weitere Taster als Eingabemittel zur Wahl der ersten Fahrzeugfunktion dient.
-
Alternativ zur Verwendung eines Tasters, wobei bei Betätigung des Tasters das Sicherheitseingabemittel betätigt wird, kann auch ein völlig anderes Konzept verwendet werden, um das Sicherheitseingabemittel zu betätigen. Beispielsweise kann vorgesehen sein, dass die Fernbedienung einen Grundkörper und ein mindestens ein Bedienelement umfassendes Bedienteil umfasst. Das mindestens eine Bedienelement dient zum Anwählen der ersten Fahrzeugfunktion, beispielsweise zum autonomen Einparken eines Fahrzeugs. In einem verdeckten Zustand des Bedienteils ist das mindestens eine Bedienelement des Bedienteils verdeckt und nicht bedienbar. Das Bedienteil ist aus dem verdeckten Zustand durch Bewegung des Bedienteils gegenüber dem Grundkörper, insbesondere durch Herausschieben, Herausziehen oder Klappen des Bedienteils, in einen offenen Zustand des Bedienteils überführbar, bei dem das mindestens eine Bedienelement sichtbar und bedienbar ist. Eine derartige Anordnung aus Grundkörper und Bedienteil ist in der vorstehend genannten
deutschen Patentanmeldung 10 2011 084 366.3 beschrieben. Die dort angegebene Beschreibung einer derartigen Anordnung und deren Funktionsweise werden hiermit durch Bezugnahme in den Offenbarungsgehalt dieser Anmeldung aufgenommen.
-
Bei der vorliegenden Erfindung wird ein Sicherheitseingabemittel verwendet, wobei in diesem Fall das Sicherheitseingabemittel durch die Bewegung des Bedienteils gegenüber dem Grundkörper betätigt und in den ersten Zustand versetzt wird, wobei es dann im offenen Zustand in dem ersten Zustand ist. Beispielsweise könnte das Sicherheitseingabemittel als Mikroschalter ausgeführt sein, wobei durch die Bewegung des Bedienteils gegenüber dem Grundkörper der Mikroschalter betätigt wird, d. h. in den ersten Zustand überführt wird.
-
In einer weiteren Realisierung könnte das Sicherheitseingabemittel beispielsweise als Reed-Relais ausgeführt sein, wobei durch die Bewegung des Bedienteils gegenüber dem Grundkörper ein Magnet an das Reed-Relais herangeführt wird und somit das Sicherheitseingabemittel in den ersten Zustand überführt wird.
-
Hierbei ist vorzugsweise vorgesehen, dass das Sicherheitseingabemittel vom Benutzer aktiv in dem ersten Zustand gehalten werden muss, indem der Benutzer im offenen Zustand des Bedienteils das Bedienteil gegen eine Gegenkraft (beispielsweise hervorgerufen durch einen Federmechanismus) in dem offenen Zustand halten muss, da ansonsten ohne eine ausreichende Kraftaufbringung seitens des Benutzers das Bedienteil durch die Gegenkraft wieder in den geschlossen Zustand zurückfällt und damit das Sicherheitseingabemittel den ersten Zustand wieder verlässt.
-
Ein zweiter Aspekt der Erfindung betrifft einen Empfänger für eine vorstehend beschriebene Fernbedienung, der in ein Kraftfahrzeug integriert ist. Der Empfänger ist hierbei eingerichtet, die empfangenen Daten daraufhin zu prüfen, ob diese unter Verwendung der vorstehend beschriebenen Sicherheitsinformation senderseitig erzeugt wurden oder nicht.
-
Ein dritter Aspekt der Erfindung betrifft ein Kraftfahrzeug mit einem vorstehend beschriebenen Empfänger. Das Kraftfahrzeug ist derart über eine vorstehend beschriebene Fernbedienung fernbedienbar, dass zumindest eine für die funktionale Sicherheit relevante erste Fahrzeugfunktion (beispielsweise eine Parkfunktion zum automatisierten Ein- oder Ausparken) und eine oder mehrere zweite Fahrzeugfunktionen (beispielsweise eine Öffnungs- und eine Schließfunktion für eine Zentralverriegelung) durch die Fernbedienung ausgelöst werden können. Die erste Fahrzeugfunktion wird jedoch lediglich dann ausgeführt, wenn sich anhand der Prüfung in dem Empfänger bestätigt hat, dass die empfangenen Daten unter Verwendung der Sicherheitsinformation senderseitig generiert wurden.
-
Die Erfindung wird nachfolgend unter Zuhilfenahme auf die beigefügten Zeichnungen anhand mehrerer Ausführungsbeispiele beschrieben. In diesen zeigen:
-
1 ein konventionelles Sender/Empfänger-System, welches zur Fernsteuerung einer Fahrzeugfunktion verwendet wird:
-
2 ein erstes Ausführungsbeispiel für eine erfindungsgemäße Fernbedienung;
-
3 eine alternative Beschaltung der Sicherheitsschaltung;
-
4 ein zweites Ausführungsbeispiel für eine erfindungsgemäße Fernbedienung;
-
5 ein drittes Ausführungsbeispiel für eine erfindungsgemäße Fernbedienung;
-
6 ein viertes Ausführungsbeispiel für eine erfindungsgemäße Fernbedienung; und
-
7 ein Ausführungsbeispiel für zwei Taster der Fernbedienung.
-
Der hier vorgeschlagene Ansatz erlaubt das Ein- und Ausschalten von für die funktionale Sicherheit relevanter Funktionalitäten per Funkschlüsselfernbedienung, ohne dass die Anforderungen aus den relevanten Normen zur funktionalen Sicherheit (beispielsweise ISO 26262) sich auf die gesamte Elektronik oder auch nur auf den Mikrocontroller übertragen.
-
Für die nachfolgenden Ausführungsbeispiele einer Fernbedienung wird von folgenden Anforderungen für die funktionale Sicherheit ausgegangen:
Analog zum im Fahrzeug befindlichen Fahrer, der die letztendliche Verantwortung über die gesamte Fahrzeugführung hat, soll der die Fernbedienung bedienende Operator (d. h. Benutzer) die letztendliche Verantwortung über die fernbedienten Funktionen behalten. Die erste Anforderung lautet daher: Das System muss ein Einschalten einer für die funktionale Sicherheit relevanten Funktion ohne Wunsch des Operators verhindern.
-
Es wird davon ausgegangen, dass das Ausschalten dieser Funktion ein sicherer Zustand ist. Daher lautet die zweite Anforderung: Das System muss den Wunsch des Operators, die fernbediente Funktion auszuschalten erkennen und umsetzen, indem der sichere Zustand eingenommen wird.
-
Da der Operator in bestimmten abzusichernden Situationen keinen mechanischen Durchgriff mehr hat, sollte das System zudem so ausgelegt werden, dass in allen Situationen, insbesondere auch bei Fehlbedienungen durch den Operator, ein unkontrolliertes Verbleiben bzw. Wechsel in einem nicht-sicheren Zustand verhindert wird. Im Zweifelsfall ist der sichere Zustand einzunehmen. Dies ist die dritte Anforderung.
-
Die nachfolgend dargestellten Ausführungsbeispiele sehen zur Erfüllung der ersten Anforderung zur funktionalen Sicherheit Folgendes vor:
Im Fernbedienungssender befindet sich ein Geheimnis in Form von Sicherheitsinformation, dessen Aktivierung vom Empfänger erwartet wird, um die für die funktionale Sicherheit relevante Funktion einzuschalten. Dieses Geheimnis sollte so komplex sein, dass mit hinreichender Wahrscheinlichkeit auszuschließen ist, dass ein Element in der Kette Sender, Übertragungsstrecke, Empfänger und Auswerte-Logik das Geheimnis – selbst im Fehlerfalle – zufällig erzeugt. Das Geheimnis ist in einer Sicherheitsschaltung als Teil einer Sicherheitseinrichtung verborgen. Nur für die Sicherheitseinrichtung und nicht für den gesamten Sender werden die strengen Vorgaben aus der relevanten Norm zur funktionalen Sicherheit (beispielsweise ISO 26262) umgesetzt. Dies ist ein wesentlicher Vorteil der Erfindung. Die Verwendung des Geheimnisses zur Erzeugung eines gültigen Sendesignals zur Auslösung der abzusichernden Funktion ist senderseitig durch eine Sicherheits-Eingabe seitens des Benutzers zu aktivieren, nämlich durch Betätigen des zusätzlichen Sicherheitseingabemittels. Im Empfänger wird geprüft, ob das Geheimnis bei der Erzeugung der Sendedaten verwendet wurde, und nur in diesem Fall wird die erste Fahrzeugfunktion aktiviert.
-
Die nachfolgend dargestellten Ausführungsbeispiele sehen zur Erfüllung der zweiten Anforderung zur funktionalen Sicherheit Folgendes vor:
Der Fernbedienungssender umfasst einen Mechanismus, der sicher die abzusichernde Funktion ausschaltet, sobald der Operator die Sicherheits-Eingabe zurücknimmt. Es ist – selbst im Fehlerfall – mit hinreichender Wahrscheinlichkeit sicherzustellen, dass eine Deaktivierung des Geheimnisses erfolgt, wenn der Operator die Sicherheits-Eingabe zurücknimmt. Die Rücknahme der Sicherheits-Eingabe kann beispielsweise durch Rücknahme einer fortdauernden Betätigung des Sicherheitseingabemittels erfolgen (wenn das Sicherheitseingabemittel beispielsweise mittels eines Tasters realisiert worden ist). In diesem Fall wird empfangsseitig festgestellt, dass die Sicherheitsinformation nicht mehr zur Erzeugung der Sendedaten verwendet wird, wobei dann die weitere Ausführung der abzusichernden Funktion unterbunden wird.
-
Die nachfolgend dargestellten Ausführungsbeispiele sehen zur Erfüllung der dritten Anforderung zur funktionalen Sicherheit Folgendes vor:
Die Sicherheits-Eingabe wird senderseitig so ausgelegt, dass in typischen Fehlbedienungssituationen – beispielsweise bei Fallenlassen der Fernbedienung – die abzusichernde Funktion ausgeschaltet wird, falls diese vorher eingeschaltet war. Ferner sollte die Sicherheits-Eingabe senderseitig so ausgelegt werden, dass in typischen Fehlbedienungssituationen – beispielsweise Sender in Hosentasche mit unbeabsichtigter Eingabe – mit hinreichender Wahrscheinlichkeit auszuschließen ist, dass unbeabsichtigt das Geheimnis (d. h. die Sicherheitsinformation) aktiviert wird.
-
In 2 ist ein erstes Ausführungsbeispiel für eine erfindungsgemäße Sicherheitseinrichtung dargestellt. Die Fernbedienung 10 umfasst zusätzlich zu der Fernbedienung 1 in 1 eine Sicherheitseinrichtung, welche ein Sicherheitseingabemittel in Form eines Sicherheitsschaltelements Sw, eine Reset-Schaltung 5 für die Sender-Logik 5 und eine Sicherheitsschaltung 6 umfasst. Wenn der Benutzer eine nicht-abzusichernde Eingabe tätigt (beispielsweise zum Öffnen oder Schließen der Zentralverriegelung), so verhält sich die Fernbedienung 10 genauso wie die Fernbedienung 1 in 1, da der Sicherheitsschaltelement Sw nicht betätigt ist und sich das Sicherheitsschaltelement Sw im Schaltzustand Z1 befindet. In diesem Zustand Z1 ist die Sicherheitsschaltung 6 nicht aktiv. „Nicht aktiv” bedeutet, dass die Sicherheitsschaltung 6 keine Sicherheitsinformation G bereitstellen kann, beispielsweise weil die Sicherheitsschaltung 6 insbesondere durch Abschalten der Betriebsspannungsversorgung ausgeschaltet ist. Wenn der Schaltzustand Z1 vorliegt und die Sicherheitsschaltung 6 nicht aktiv ist, dann kann die Sender-Logik 3 die Sendedaten S nur ohne G versenden, d. h. S = f(E). Dies ist auf Empfängerseite erkennbar, und der Empfänger kann nur solche Funktionen (beispielsweise die Zentralverriegelung öffnen) aktivieren, die über nicht abzusichernde Benutzereingaben angesprochen werden.
-
Die Aufgabe der Sicherheitsschaltung 6 ist es, der Sender-Logik 3 zunächst nicht bekannte und hinreichend komplexe Sicherheitsinformation G mitzuteilen, welche zur Absicherung sicherheitsrelevanter Benutzereingaben verwendet wird. Die Sicherheitsschaltung kann ein Speicher sein. Die Sicherheitsschaltung kann auch eine komplexere Schaltung sein, beispielsweise ein Mikrocontroller oder ein ASIC (Application Specific Integrated Circuit) sein. Vorzugsweise handelt es sich bei der Sender-Logik 3 und der Sicherheitsschaltung 6 um zwei verschiedene Halbleiterbausteine, wobei die Sicherheitsschaltung 6 gemäß ISO 26262 abgesichert ist, jedoch nicht die Sender-Logik 3.
-
Die Sicherheitsschaltung 6 ist nur dann aktiv (d. h. kann nur dann die Sicherheitsinformation 6 bereitstellen), wenn sich das Sicherheitsschaltelement Sw im Schaltzustand Z2 befindet. Dazu kann beispielsweise die Betriebsspannungsversorgung V der Sicherheitsschaltung 6 über das Sicherheitsschaltelement Sw geführt werden, wobei die Sicherheitsschaltung 6 nur im Schaltzustand Z2 mit Betriebsspannung V versorgt wird und nur in diesem Fall die Sicherheitsschaltung 6 die Sicherheitsinformation G am Ausgang liefern kann. Alternativ könnte durch Umschalten des Sicherheitsschaltelement Sw in den Schaltzustand Z2 ein Enable-Signal En (hier ein Enable-Signal mit dem Spannungswert der Betriebsspannung V) auf einen entsprechenden Enable-Eingang der Sicherheitsschaltung 6 gegeben werden, wobei im Fall En = V die Sicherheitsschaltung 6 an ihrem Ausgang die Sicherheitsinformation G liefert. Ein Beispiel hierfür ist in 3 dargestellt. Stattdessen könnte auch mit einem Reset-Signal Rs gearbeitet werden, welches bei Rückschalten des Sicherheitsschaltelements Sw in den Schaltzustand Z1 ausgelöst wird, wobei in diesem Fall der Datenausgang der Sicherheitsschaltung 6 für eine gewisse Dauer auf einen vordefinierten Zustand zurückgesetzt wird und während dieser Zeitdauer keine Sicherheitsinformation G am Ausgang der Sicherheitsschaltung vorliegt. Diese beiden Varianten können auch im Fall der Ausführungsbeispiele in 4 bis 6 verwendet werden.
-
Bei Betätigen des Sicherheitsschaltelements Sw wird das Sicherheitsschaltelement Sw in den Schaltzustand Z2 versetzt, so dass die Sicherheitsschaltung 6 aktiv wird und die Sicherheitsinformation G zur Verarbeitung in der Sender-Logik 3 aktiviert werden. Dann erhält und kennt die Sender-Logik 3 die Sicherheitsinformation G, beispielsweise weil die aktivierte Sicherheitsschaltung 6 die Sicherheitsinformation G an die Sender-Logik 3 verschickt oder weil die Sender-Logik 3 das Geheimnis G von der Sicherheitsschaltung 6 erfragt. Wenn die Sicherheitsschaltung 6 nicht aktiv ist, kennt die Sender-Logik 6 das Geheimnis G nicht.
-
Im Fall einer abzusichernden Benutzer-Eingabe (beispielsweise zum Ausführen einer autonomen Parkfunktion) muss der Nutzer die entsprechenden Eingabe über die Eingabemittel 2 tätigen, so dass eine entsprechende Benutzer-Eingabe E vorliegt, sowie das Sicherheitsschaltelement Sw betätigen, so dass der Schaltzustand Z2 eingenommen wird. Dadurch wird die Sicherheitsschaltung 6 aktiv und die Sender-Logik 3 kann über die Sicherheitsinformation G verfügen.
-
In diesem Fall wird die Benutzer-Eingabe E unter Zuhilfenahme der Sicherheitsinformation G in zu versendende Daten S gewandelt. Mit anderen Worten: die Sendedaten S werden unter Verwendung der Sicherheitsinformation G und der Benutzer-Eingabe E erzeugt, d. h. S = f(E, G), wobei die Daten S beispielsweise die Benutzer-Eingabe E und G in codierter Form enthalten. Dabei ist jede Funktion f(E, G) geeignet, insbesondere sofern die folgenden Eigenschaften der Codierung erfüllt sind:
- – die Komplexität von G bleibt durch die Kodierung erhalten;
- – eine empfängerseitige Prüfung auf Verwendung der korrekten Sicherheitsinformation G bei Erzeugung der Sendedaten S ist möglich; und
- – die Information über die Benutzer-Eingabe E bleibt erhalten oder ist empfängerseitig rekonstruierbar.
-
Beispielsweise könnte zum Bilden der Sendedaten S die Sicherheitsinformation G einfach an die Benutzer-Eingabe E angehängt werden, d. h. S = f(E, G) = E·G. Wenn die Benutzer-Eingabe E beispielsweise aus dem Binärwort 1010 und die Sicherheitsinformation G aus dem Binärwort 10011001 besteht, so ergeben sich die Sendedaten S zu S = 101010011001.
-
Zum Bilden der Sendedaten S kann auch eine komplexere Codierung verwendet werden. Beispielsweise kann die Benutzer-Eingabe E in der Sender-Logik 3 mit einer Prüfsumme oder einem Hash belegt werden, beispielsweise mit einer CRC-Prüfsumme. Zur Bestimmung der CRC-Prüfsumme kann die Sicherheitsinformation G den Startwert (Seed) des CRC darstellen: S = f(E, G) = E·CRC(Seed = G, Datum = E).
-
Eine weitere komplexere Codierung ist die Nutzung der Sicherheitsinformation G als kryptographischen Schlüssel, entweder in einer symmetrischen Verschlüsselung oder in einer asymmetrischen Verschlüsselung. Wenn beispielsweise das Verschlüsselungsverfahren AES (Advanced Encryption Standard) zum Einsatz kommt, dann könnten die Sendedaten S beispielsweise in folgender Form bestimmt werden: S = f(E, G) = AES (Schlüssel = G, Datum = E).
-
Auf der Empfängerseite werden in der Auswerte-Logik 4 die empfangenen Daten S daraufhin überprüft, ob diese unter Verwendung der Sicherheitsinformation G senderseitig erzeugt wurden. Dazu wird je nach verwendeter Funktion f(E, G) entweder auf auch im Empfänger bekannte Sicherheitsinformation G geprüft (symmetrische Kodierung) oder im Fall einer asymmetrischen Kodierung mittels zu der Sicherheitsinformation G passender Sicherheitsinformation G' geprüft. Bei symmetrischer Kodierung kennt der Empfänger die Sicherheitsinformation G und weiß, wie das Sendesignal S = f(E, G) aufgebaut ist. Damit kann die Auswerte-Logik 4 prüfen, ob die empfangenen Daten S das korrekte G enthalten oder beispielsweise bei Verwendung des CRC auf Basis der korrekten Sicherheitsinformation G berechnet wurden und E rekonstruieren. Bei asymmetrische Kodierung kennt der Empfänger zur Sicherheitsinformation G passende Sicherheitsinformation G' und weiß, wie S = f(E, G) aufgebaut ist. Damit kann die Auswerte-Logik 4 mit einer (ggf. von f(E, G) abweichenden) weiteren Funktion g(S, G') auf die Korrektheit der empfangenen Daten S prüfen und so die Benutzer-Eingabe E rekonstruieren (ähnlich der PGP-Verschlüsselung).
-
Wenn in der Auswerte-Logik 4 die empfangenen Daten S darauf geprüft wurden, ob diese unter Verwendung der Sicherheitsinformation G senderseitig erzeugt wurden, dann ist im Empfänger die rekonstruierte Benutzer-Eingabe E als abzusichernde Benutzer-Eingabe zu verstehen und als A auszugeben. Andernfalls wird empfängerseitig beispielsweise ein Fehler festgestellt oder es erfolgt eine sonstige sinnvolle Reaktion, beispielsweise eine Ausführung nur einer derartigen Aktion, die einer nicht-abzusichernden Benutzer-Eingabe entspricht. Beispielsweise können eine Eingabe-Taste der Fernbedienung 10 doppelt belegt werden, nämlich mit einer nicht-abzusichernden Funktion (Öffnen oder Schließen der Zentralverriegelung) und einer abzusichernden Funktion (Durchführen eines autonomen Einparkvorgangs). Im Fall der Betätigung dieser Eingabe-Taste und zusätzlich des Schaltelements S wird dann empfängerseitig die abzusichernde Funktion ausgelöst, während bei Betätigung der Eingabe-Taste ohne zusätzliche Betätigung des Schaltelements S die nicht-abzusichernde Funktion ausgelöst wird.
-
Vorzugsweise sendet die Fernbedienung 10 in einem bestimmten Zeitraster, beispielsweise alle 10 ms, entsprechende Daten wiederholt an den Empfänger. Wenn nach einer bestimmten Zeitdauer (beispielsweise 100 ms) nach dem Empfang von für die Ausführung der abzusichernden Fahrzeugfunktion gültigen Daten erneut keine gültigen Daten mehr empfangen werden, welche unter Verwendung der Sicherheitsinformation G senderseitig erzeugt wurden, wird beispielsweise die weitere Ausführung der abzusichernden Funktion gestoppt. Dies gilt in entsprechender Weise auch für die nachfolgenden Ausführungsbeispiele.
-
Die Fernbedienung 10 ist derart eingerichtet, dass die Sender-Logik 3 die Sicherheitsinformation G wieder verliert, wenn das Sicherheitsschaltelement Sw den Schaltzustand Z2 verlässt. Vorzugsweise wird hierzu eine Reset-Schaltung 5 verwendet, die gewährleistet, dass die Sender-Logik 3 zuverlässig die Sicherheitsinformation G wieder vergisst, sobald die Sicherheitsinformation G deaktiviert wurde (Umschalten von Zustand Z2 auf Zustand Z1). Die Aufgabe der Reset-Schaltung besteht beispielsweise darin, beim Umschalten von Zustand Z2 auf den Zustand Z1 aus dem Flankenwechsel des Signals R' einen Reset-Impuls R für die Sender-Logik 3 zu erzeugen. Im eingeschwungenen Zustand (Schaltzustand Z1) ist der Reset-Impuls abgelaufen, d. h. die Sender-Logik ist nicht im Reset-Zustand, sondern operationsbereit. Bei einem Zustandswechsel von Z1 nach Z2 ändert sich daran nichts. Wenn dann vom Zustand Z2 auf den Zustand Z1 zurückwechselt wird, entsteht ein Flankenwechsel an R' und die Reset-Schaltung 5 erzeugt den Reset-Impuls R, der bewirkt, dass die Sender-Logik 3 in einen Reset-Zustand umschaltet und die Sicherheitsinformation G verliert. Sobald der Reset-Impuls R abgelaufen ist, ist der eingeschwungene Zustand wieder erreicht. Die Reset-Schaltung ist daher vorzugsweise so auszulegen, dass die Sender-Logik 3 die vorher explizit oder zumindest theoretisch (auch im Fehlerfall) bekannt Sicherheitsinformation G mit hinreichender Wahrscheinlichkeit zuverlässig vergisst, sobald die Sicherheitsinformation G durch Umschalten des Sicherheitsschaltelements Sw von Z2 auf Z1 deaktiviert wurde. Der Reset, d. h. das Zurücksetzen, der Sender-Logik 3 kann beispielsweise über einen vorhandenen Reset-Eingang der Sender-Logik 3 erfolgen, wenn ein so ausgelöster Reset einen internen Speicher der Sender-Logik 3 mit hinreichender Wahrscheinlichkeit zuverlässig löscht oder zurücksetzt, der die Sicherheitsinformation G enthalten könnte. Das Zurücksetzen der Sender-Logik 3 kann alternativ beispielsweise über eine (temporäre) Wegnahme der Betriebsspannung der Sender-Logik 3 erfolgen, wenn beispielsweise die Sender-Logik 3 mit einem oder mehreren flüchtigen Speichern ausgestattet ist, die die Sicherheitsinformation G enthalten können.
-
In 4 ist ein zweites Ausführungsbeispiel für die Fernbedienung 20 dargestellt. Bei dem in 4 dargestellten Beispiel erzeugt bei Betätigen des Sicherheitsschaltelements Sw die Sicherheitsschaltung 6 unter Verwendung der Sicherheitsinformation G die Daten H und die Sender-Logik 3 erzeugt unter Verwendung der Benutzer-Eingabe E die Daten S. Die zu sendenden Daten SH ergeben sich aus H und S, beispielsweise als Verkettung von H und S oder als komplexere Funktion von H und S.
-
In 4 sind die Abläufe ähnlich den zu 2 beschriebenen, insbesondere die Funktionsweise des Sicherheitsschaltelements Sw. Für die zu 4 nicht beschriebenen Aspekte wird auf die Beschreibung zur 2 verwiesen. Allerdings verwendet in 4 im Unterschied zu 2 nicht die Sender-Logik 3 die Sicherheitsinformation G, um aus G und der Benutzer-Eingabe E die zu versendenden Daten S zu erzeugen. Stattdessen stellt in 4 die Sicherheitsschaltung 6 die Daten H zusätzlich zu S der Sender-Logik 3 zur Versendung bereit, wenn die Sicherheitsschaltung 6 bei Betätigen des Sicherheitsschaltelements Sw aktiviert wurde, beispielsweise durch Zuschalten der Versorgungsspannung V (alternativ könnte die Aktivierung/Deaktivierung auch über den Enable-Eingang oder den Reset-Eingang der Sicherheitsschaltung 6 gesteuert werden). Im einfachsten Fall kann H = G und S = E sein. Vorzugsweise sind eines oder beide Datumswerte H und S codiert, d. h. H = f1(G) und S = f2(E). Dabei können H bzw. S auch noch weitere Informationen wie beispielsweise die Identifikation des Senders (auch als Sender-ID bezeichnet) oder eine Prüfsumme (beispielsweise CRC) oder einen Sequenzzähler enthalten.
-
Die in 2 dargestellte Reset-Schaltung 5 ist bei der Sicherheitseinrichtung in 4 nicht notwendig, da die Sender-Logik 3 hier die Sicherheitsinformation G nie kennt und es somit nicht nötig ist, dass die Sender-Logik 3 die Sicherheitsinformation G zuverlässig vergisst.
-
In 4 wird SH versandt, welches sich aus S und H ergibt, d. h. SH = f(S, H). Beispielsweise können H und S zeitlich korreliert versendet werden (beispielsweise als Verkettung SH = S·H oder SH = H·S). Beispielsweise versendet zunächst die Sender-Logik 3 S und anschließend versendet die Sicherheitsschaltung 6 H. Hierbei ist es auch denkbar, dass bei wiederholtem Übertragen der Daten SH entweder H oder S seltener als S bzw. H versandt wird. Beispielsweise kann H seltener als S versandt werden, um die Datenmenge zu reduzieren. H kann periodisch und unabhängig von S versendet werden. Außerdem ist es möglich, dass sich SH als Verkettung von alternierenden Teilsegmenten von S und H ergibt, d. h. beispielsweise zunächst ein Teilsegment von S, dann ein Teilsegment von H, dann wieder ein Teilsegment von S usw.
-
Auf der Empfängerseite wird SH auf Korrektheit geprüft (d. h. ob SH unter Verwendung der Sicherheitsinformation erzeugt wurde) und im Erfolgsfall ein entsprechendes Ausgangssignal A ausgegeben, um die abzusichernde Funktion auszuführen. Die Vorgehensweise ist analog zu der zu 2 beschriebenen. Auch bei diesem Ausführungsbeispiel erfolgt eine zuverlässige Deaktivierung der Sicherheitsschaltung 6 beim Umschalten des Sicherheitsschaltelements vom Schaltzustand Z2 in den Schaltzustand Z1 analog zu der zu 2 beschriebenen. Bei deaktivierter Sicherheitsschaltung 6 wird kein gültiges H mehr erzeugt oder zumindest seitens der Sicherheitsschaltung 6 nicht mehr ausgegeben und somit nur S und kein SH versendet.
-
In 5 ist ein drittes Ausführungsbeispiel für die Fernbedienung 30 dargestellt. In 5 erzeugt die Sicherheitsschaltung 6 bei Betätigen des Sicherheitsschaltelements Sw unter Verwendung der Sicherheitsinformation G und unter Verwendung der seitens der Sender-Logik 3 aus E erzeugten Daten S die Daten H. Alternativ wäre es auch denkbar, dass hierfür statt S direkt E verwendet wird. Die Sendedaten SH ergeben sich aus H und optional S. Es ist möglich, dass SH gleich H ist.
-
In 5 sind die Abläufe ähnlich zu den zu 4 beschriebenen. Für die zu 5 nicht beschriebenen Aspekte wird auf die Beschreibung zur 2 und 4 verwiesen. Bei dem Beispiel in 5 erzeugt bei Betätigen des Sicherheitsschaltelements Sw die Sicherheitsschaltung 6 unter Verwendung der Sicherheitsinformation G die Daten H. Im Unterschied zu dem Beispiel aus 4 verwendet die Sicherheitsschaltung 6 hierfür auch die von der Sender-Logik 3 erzeugte Daten S. Es wäre auch denkbar, stattdessen die Benutzer-Eingabe E zu verwenden. Die zu sendenden Sendedaten SH ergeben sich aus H und optional S, insbesondere können die Sendedaten SH auch H entsprechen.
-
Bei dem in 5 dargestellten Beispiel bezieht die Sicherheitsschaltung 6 bei der Errechnung von H sowohl die Sicherheitsinformation G als auch die von der Sender-Logik 3 kommenden Daten S ein und stellt dann H zur Versendung bereit, wenn die Sicherheitsschaltung 6 bei Betätigung des Sicherheitsschaltmittels Sw aktiviert wurde. Somit gilt: H = f3(G, S). Beispielsweise kann die Funktion f3 eine Prüfsummen- oder Verschlüsselungsfunktion sein, analog zu den Beispielen, die im Zusammenhang mit 2 beschrieben wurden. Die Erzeugung der Sendedaten SH sowie Prüfung und Auswertung der Daten SH auf der Empfängerseite arbeiten in gleicher Weise, wie dies im Zusammenhang mit 4 bereits beschrieben wurde. Ebenfalls kann auch bei diesem Ausführungsbeispiel – wie bereits im Zusammenhang mit 4 beschrieben – optional eine Reset-Schaltung 5 verwendet werden (s. gestrichelter Umfang in 5). Auch bei diesem Ausführungsbeispiel erfolgt eine zuverlässige Deaktivierung der Sicherheitsschaltung 6 beim Umschalten vom Schaltzustand Z2 auf den Schaltzustand Z1, wie dies bereits im Zusammenhang mit 2 beschrieben wurde. Bei deaktivierter Sicherheitsschaltung 6 kann kein H erzeugt werden und somit nur S und kein SH versendet werden.
-
Die in 5 dargestellte Variante bietet im Unterschied zu der in 4 dargestellten Variante den Vorteil, dass sich typischerweise H in Abhängigkeit des Signals S und damit in Abhängigkeit der Benutzer-Eingabe E ändert. Dies kann sendeprotokolltechnische Vorteile bieten. Beispielsweise könnte es sinnvoll sein, für unterschiedliche Benutzereingaben E verschiedene Absicherungen H vorzusehen. So könnte beispielsweise für weniger funktionssicherheitsrelevante Benutzereingaben E, die öfter vorkommen, die „Größe” (z. B. Bitanzahl) von H reduziert werden gegenüber mehr funktionssicherheitsrelevanten Benutzereingaben E, die seltener vorkommen, um beispielsweise Bandbreite einer Funkübertragung zu sparen.
-
In 6 ist ein fünftes Ausführungsbeispiel für die Fernbedienung 40 dargestellt. Hierbei umfasst die Sicherheitsschaltung 6 Mittel 7 zum Freigeben der Sicherheitsinformation G derart, dass die Sicherheitsinformation innerhalb der Sicherheitsschaltung 6 verarbeitet wird. Die Mittel 7 zum Freigeben der Sicherheitsinformation G sind mit dem Sicherheitsschaltelement Sw über den Eingang GEn derart gekoppelt, dass bei Betätigung des Sicherheitsschaltelements Sw die Sicherheitsinformation G zur Verarbeitung innerhalb der Sicherheitsschaltung 6 freigegeben wird. Die Sicherheitsschaltung 6 ist eingerichtet, bei freigegebener Sicherheitsinformation G unter Verwendung der Sicherheitsinformation G und unter Verwendung der von der Sender-Logik 3 erzeugten Daten S die zu sendenden Sendedaten W zu erzeugen.
-
Ein wesentlicher Unterschied zu den anderen Ausführungsbeispielen ist, dass die Sicherheitsschaltung mittels des Sicherheitsschaltelements Sw nicht komplett aktiviert oder deaktiviert wird. Im Fall einer abzusichernden Benutzer-Eingabe E (d. h. im Schaltzustand Z1) wird die Sicherheitsinformation G innerhalb der Sicherheitsschaltung 6 freigegeben, wenn im Schaltzustand Z1 ein entsprechendes Signal am Eingang GEn anliegt. Wenn die Sicherheitsinformation G freigegeben ist, dann kann die Sicherheitsschaltung 6 unter Verwendung von G aus S Sendedaten W berechnen, so dass W = f(S, G). Ohne freigegebene Sicherheitsinformation G kann die Sicherheitsinformation die Sicherheitsinformation G hierfür nicht verwenden, so dass Sendedaten W gemäß W = f(S) berechnet werden. Die Sendedaten W werden anschließend gesendet und empfängerseitig ausgewertet (analog zum in 4 beschriebenen Fall). Wenn das Sicherheitsschaltelement Sw den Schaltzustand Z2 wieder verlässt, verliert die Sicherheitsschaltung 6 die Freigabe zur Verwendung der Sicherheitsinformation G; der Eingang GEn befindet sich dann nicht mehr auf dem Potential der Betriebsspannung V. Um ein zuverlässiges Zurücksetzen der Sicherheitsschaltung G zu erreichen, wird in 6 vorzugsweise analog zum in 2 beschriebenen Fall (mittels der Reset-Schaltung 5) ein Reset beim Wechsel vom Schaltzustand Z2 auf den Schaltzustand Z1 ausgelöst. Dieser Reset geht allerdings auf den unabhängig vom Sicherheitsschaltelement Sw aktivierten Teil der Sicherheitsschaltung 6.
-
Die funktionale Sicherheit der oben beschriebenen Ansätze kann optional dadurch erhöht werden, indem das Sicherheitsschaltelement Sw als Totmannschaltung ausgelegt wird. Somit ist sichergestellt, dass bei einer Fehlbedienung wie beispielsweise dem Fallenlassen der Fernbedienung oder Abrutschen das System in einen sicheren Zustand wechselt. Dazu muss das Schaltelement so ausgelegt sein, das der Operator während des gesamten Steuerungsvorgangs einer abzusichernden Benutzer-Eingabe das Schaltelement im Schaltzustand Z2 aktiv halten muss, insbesondere durch Kraftaufwendung. Beispielsweise kann dies durch fortlaufendes Betätigen eines das Sicherheitsschaltelement Sw umfassenden Tasters gegen eine Gegenkraft des Tasters oder durch fortlaufendes Halten eines herausgezogenen Bedienteils gegen eine Gegenkraft bewirkt werden.
-
In 7 sind zwei beispielhafte Taster 8 und 9 einer Fernbedienung dargestellt. Bei dem Taster 8 handelt es sich um einen Taster zum Aktivieren einer nicht-abzusichernden Funktion, beispielsweise zum Öffnen der Zentralverriegelung. Bei dem Taster 9 handelt es sich um einen Taster zum Aktivieren einer abzusichernden Funktion, beispielsweise einer autonomen Ein- oder Ausparkfunktion.
-
Der Taster 8 umfasst eine Bedienfläche 11 sowie das Schaltelement Sw E1. Das Schaltelement Sw E1 dient als Eingabemittel zur Gewinnung einer Benutzer-Eingabe E. Bei Betätigen des Schalters 8 durch Niederdrücken der Bedienfläche 11 über eine Kraft F1, die größer als die Gegenkraft F3 des Tasters 8 ist, wird das Schaltelement Sw E1 in den Schaltzustand Z2 versetzt und eine entsprechende Benutzer-Eingabe E erzeugt, die die benutzerseitige Auswahl der nicht-abzusichernden Funktion angibt und die mittels der Sender-Logik 3 in ein entsprechendes Sendesignal S gewandelt wird. Nach Empfang des Sendesignals S wird die nicht-abzusichernde Funktion im Fahrzeug ausgelöst.
-
Der Taster 9 umfasst eine Bedienfläche 12 sowie das Schaltelement Sw E2. Ähnlich wie das Schaltelement Sw E1 dient das Schaltelement Sw E2 als Eingabemittel zur Gewinnung einer Benutzer-Eingabe. Bei Betätigen des Schalters 9 durch eine Kraft F2, die größer als die Gegenkraft F4 des Tasters 9 ist, wird das Schaltelement Sw E2 betätigt und in den Schaltzustand Z2 versetzt und eine entsprechende Benutzer-Eingabe E erzeugt, die die benutzerseitige Auswahl der abzusichernden Funktion angibt. Ferner umfasst der Taster 9 noch das Sicherheitsschaltelement Sw. Bei Betätigung des Tasters 9 wird nicht nur das Schaltelement Sw E2 betätigt und in den Schaltzustand Z2 versetzt, sondern auch das Sicherheitsschaltelement Sw betätigt und in den Schaltzustand Z2 versetzt. Nur wenn das Sicherheitsschaltelement Sw sich im Schaltzustand Z2 befindet, wird die Sicherheitsinformation G zur Erzeugung von Sendedaten S verwendet, die bei Empfang die Ausführung der abzusichernden Fahrzeugfunktion überhaupt bewirken können.
-
Im Unterschied zu 7 können neben einem einzelnen Sicherheitsschaltelement Sw auch mehrere Sicherheitsschaltelemente verwendet werden, die gemeinsam betätigt werden müssen, um die Verwendung der Sicherheitsinformation zu gewährleisten und die gewünschte Fahrzeugfunktion auszulösen. Alternativ können auch mehrere Schaltelemente verwendet werden, die in einer Sequenz betätigt werden müssen, wobei beispielsweise das zuletzt zu betätigende Schaltelement dem vorstehend beschriebenen Sicherheitsschaltelement entspricht. Zum Auslösen der abzusichernden Funktion durch Verwendung der Sicherheitsinformation müssen dann aber auch die anderen Schaltelemente in der vorgegebenen Sequenz betätigt werden. Hierbei bleibt zumindest das zuletzt betätigte Schaltelement bei der Ausführung der abzusichernden Funktion in dem Zustand Z2, wobei bei Verlassen des Zustands Z2 die Ausführung der abzusichernden Funktion abgebrochen wird. Theoretisch kann auch vorgesehen sein, dass alle oder eine Teilmenge der in Sequenz zu schaltenden Schaltelemente während der Ausführung der abzusichernden Fahrzeugfunktion umgeschaltet bleiben müssen, beispielsweise ein mit einem Schaltelement gekoppeltes Bedienteil, das herausgezogen werden muss und dabei das Schaltelement umschaltet und während der Ausführung der Funktion herausgezogen bleiben muss, und ein nach Herausziehen des Bedienteils zu betätigender seitlicher Taster, der gedrückt werden muss und während der Ausführung der Funktion gedrückt bleiben muss.
-
Zusätzlich zum oder in Kombination mit dem Sicherheitsschaltelement Sw kann auch in der Benutzereingabe E zwischen für die funktionale Sicherheit relevanten und nicht für die funktionale Sicherheit relevanten Eingaben unterschieden werden. Beispielsweise kann eine gleichzeitige Betätigung von verschiedenen Tastern (oder von anderen Bedienelementen) der Eingabe-Mittel für E notwendig sein, um eine für die funktionale Sicherheit relevante Eingabe E zu erzeugen. Alternativ kann eine sequenzielle Betätigung von mehreren Tastern (oder von mehreren Bedienelementen) für E notwendig sein, um eine für die funktionale Sicherheit relevante Eingabe E zu erzeugen.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102011084366 [0014, 0030]
-
Zitierte Nicht-Patentliteratur
-
- Normen IEC 61508 [0005]
- ISO 26262 [0005]
- Norm ISO 26262 [0008]
- ISO 26262 für ASIL C [0025]
- IEC 61508 oder ISO 26262 [0026]
- ISO 26262 [0044]
- ISO 26262 [0048]
- ISO 26262 [0052]
