-
TECHNISCHES GEBIET
-
Die vorliegende Erfindung betrifft ein Interaktionssystem zur integeren Notfallentriegelung einer verriegelten Cockpit-Tür eines Luftfahrzeugs gemäß dem Oberbegriff des Patentanspruchs 1. Sie betrifft weiterhin ein Verfahren zur integeren Notfallentriegelung einer verriegelten Cockpit-Tür eines Luftfahrzeugs gemäß dem Oberbegriff des Patentanspruchs 6. Insbesondere ist das erfindungsgemäße Interaktionssystem zur Durchführung des erfindungsgemäßen Verfahrens vorgesehen und ausgestaltet.
-
HINTERGRUND DER ERFINDUNG
-
Aus Sicherheitsgründen und insbesondere zum Schutz der Flugzeugführer vor Angriffen aus dem Bereich der Passagierkabine ist in Verkehrsflugzeugen die Cockpit-Tür zwischen Passagierkabine und Cockpit aufbruchssicher und schussfest ausgestaltet und lässt sich im Flugbetrieb nur von der Cockpitseite aus öffnen. Es besteht zwar die Möglichkeit, von der Passagierkabine aus eine Öffnungsanforderung in das Cockpit zu übersenden, doch wenn die Cockpit-Besatzung nicht auf diese Anforderung hin reagiert oder reagieren kann, so ist auch im Notfall der Zutritt von der Passagierkabine aus zum Cockpit nicht möglich. Das der Erfindung zugrunde liegende Szenario ist also, dass ein berechtigtes Besatzungsmitglied eines Luftfahrzeugs vor der verschlossenen Cockpittür steht und diese nicht auf dem herkömmlichen Weg öffnen kann, das heißt der Zutritt zum Cockpit ist ihm ohne ausreichenden Grund verwehrt. Das berechtigte Besatzungsmitglied hegt den begründeten Verdacht, dass ein Notfall oder eine Straftat vorliegt.
-
Das erfindungsgemäße Interaktionssystem und das erfindungsgemäße Verfahren sollen dazu dienen, eine verschlossene Cockpit-Tür eines fliegenden Flugzeugs im Notfall auch von außerhalb des Cockpits, allerdings nur durch autorisierte Personen, öffnen zu lassen, auch wenn der aktuelle Flugzeugführer den Zutritt zum Cockpit verweigert oder aufgrund gesundheitlicher Beeinträchtigung nicht gewähren kann.
-
STAND DER TECHNIK
-
Aus der
DE 101 45 261 A1 ist es bekannt, eine Cockpit-Tür mittels eines, vorzugsweise verschlüsselten, Funksignals von der Flugsicherung oder der Flugüberwachung aus zu öffnen.
-
Aus der
DE 197 32 806 A1 ist es bekannt, die Passagierkabine vom Cockpit aus mittels Videokameras zu überwachen. Die Bilddaten dieser Überwachungskameras können auch an eine Bodenstation, beispielsweise einen Flughafentower, in bestimmten Situationen selbsttätig übertragen werden.
-
Die
US 2004/0094667 A1 beschreibt ein Schutzsystem für einen Cockpitzugang in einem Flugzeug, um im Falle eines Sicherheitsverstoßes die Cockpit-Türe automatisch zu verriegeln. Handelt es sich um einen Fehlalarm, kann die automatische Verriegelung vom Boden aus aufgehoben werden. In einer Notfallsituation wird autorisiertem Personal Zutritt zu dem Cockpit ermöglicht, in dem durch einen Computer am Boden ein für das Flugzeug einzigartiger alphanumerischer Entriegelungscode generiert wird und dem entsprechenden Personal mitgeteilt wird. Mithilfe dieses Entriegelungscodes kann die Cockpit-Türe entriegelt werden.
-
DARSTELLUNG DER ERFINDUNG
-
Aufgabe der vorliegenden Erfindung ist es, ein zuverlässiges gattungsgemäßes Interaktionssystem und ein zuverlässiges gattungsgemäßes Verfahren zur Entriegelung einer verriegelten Cockpit-Tür eines Luftfahrzeugs anzugeben, die es ermöglichen, im Notfall von der Passagierkabine des Luftfahrzeugs aus eine Entriegelung und Öffnung der Cockpit-Tür zu bewirken, ohne dass dadurch die Sicherheit der Cockpit-Besatzung im Falle der Anwesenheit von potentiellen Flugzeugentführern in der Passagierkabine gefährdet wird. Das bedeutet, dass in letzterem Falle eine Entriegelung durch das Interaktionssystem beziehungsweise das Verfahren ausgeschlossen sein muss.
-
Die auf das Interaktionssystem gerichtete Aufgabe wird gelöst durch das Interaktionssystem mit den Merkmalen des Patentanspruchs 1.
-
Das erfindungsgemäße Interaktionssystem zur Entriegelung einer verriegelten Cockpit-Tür eines Luftfahrzeugs umfasst zumindest eine Bodenstation und zumindest eine Datenübertragungsanordnung zwischen der Bodenstation und zumindest einem Luftfahrzeug, wobei ein Signal zur Betätigung eines Türentriegelungsmechanismus' der Cockpit-Tür von der Bodenstation an das Luftfahrzeug übertragbar ist. Das Luftfahrzeug weist eine in einer Passagierkabine des Luftfahrzeugs vorgesehene Türentriegelungs-Anforderungseinrichtung zur Erzeugung eines Türentriegelungs-Anforderungssignals und eine Signalsendeeinrichtung für das Türentriegelungs-Anforderungssignal zur Übertragung an die Bodenstation auf. Außerdem ist das Luftfahrzeug mit zumindest einer Bilderfassungseinrichtung in der Passagierkabine und/oder im Cockpit des Luftfahrzeugs und einer Bildsendeeinrichtung zur Übertragung von erfassten Bildern an die Bodenstation ausgestattet. Weiterhin weist das Luftfahrzeug eine Empfangseinrichtung zum Empfang eines Türentriegelungs-Signals und einen Bordcomputer auf, der ausgestaltet ist, um das Türentriegelungs-Signal von der Empfangseinrichtung zu erhalten und den Türentriegelungsmechanismus der Cockpit-Tür zu betätigen. Die zumindest eine Bodenstation ist mit zumindest einer Empfangsstation für von dem Luftfahrzeug ausgesandte Türentriegelungs-Anforderungssignale und Bildsignale und mit zumindest einer Sendeeinrichtung für das Türentriegelungs-Signal versehen oder verbunden.
-
VORTEILE
-
Dieses erfindungsgemäße Interaktionssystem ermöglicht es auf zuverlässige und sichere Weise, eine verschlossene Cockpit-Tür eines Luftfahrzeugs im Notfall von außerhalb des Cockpits durch autorisierte Personen, und nur durch diese, zu öffnen, auch wenn der aktuelle Flugzeugführer den Zutritt verweigert oder aus gesundheitlichen Gründen nicht gewähren kann.
-
Weitere bevorzugte und vorteilhafte Ausgestaltungsmerkmale des erfindungsgemäßen Interaktionssystems sind Gegenstand der Unteransprüche 2 bis 5.
-
Vorzugsweise sind die Türentriegelungs-Anforderungseinrichtung, die Signalsendeeinrichtung, die zumindest eine Bilderfassungseinrichtung, die Bildsendeeinrichtung, die Empfangseinrichtung zum Empfang eines Türentriegelungs-Signals, der für die Entriegelung der Cockpit-Tür zuständigen Bordcomputer und der Türentriegelungsmechanismus so ausgestaltet, dass sie nicht oder zumindest nicht vom Cockpit aus abschaltbar sind.
-
In einer bevorzugten Weiterbildung der Erfindung weist die Datenübertragungsanordnung zwischen Bodenstation und Luftfahrzeug ein Satelliten-Netzwerk auf.
-
Auch von Vorteil ist es, wenn die Datenübertragungsanordnung zwischen Bodenstation und Luftfahrzeug autonom und unabhängig ist von anderen Kommunikationseinrichtungen zwischen dem Luftfahrzeug und dem Boden.
-
Eine besonders bevorzugte Ausführungsform des erfindungsgemäßen Interaktionssystems zeichnet sich dadurch aus, dass die Türentriegelungs-Anforderungseinrichtung eine Eingabevorrichtung zur Eingabe eines persönlichen Authentifizierungsschlüssels in den für die Entriegelung der Cockpit-Tür zuständigen Bordcomputer des Luftfahrzeugs aufweist, dass der für die Entriegelung der Cockpit-Tür zuständige Bordcomputer ausgebildet ist, um ein empfangenes, signiertes Türentriegelungs-Signal zu authentifizieren, und dass die zumindest eine Bodenstation mit einer Verifikationseinrichtung für die empfangenen Türentriegelungs-Anforderungssignale und mit einer Generierungs- und Signatureinrichtung für Türentriegelungs-Signale ausgestattet ist.
-
Der auf das Verfahren gerichtete Teil der Aufgabe wird gelöst durch das Verfahren mit den Merkmalen des Patentanspruchs 6.
-
Dieses erfindungsgemäße Verfahren zur Entriegelung einer verriegelten Cockpit-Tür eines Luftfahrzeugs, wobei die ein Cockpit von einer Passagierkabine abgrenzende Cockpit-Tür aufgrund eines von einer Bodenstation ausgesandten Entriegelungssignals entriegelt wird, umfasst die folgenden Schritte:
- a) Eingeben eines persönlichen Authentifizierungsschlüssels, der eine Passphrase und einen geheimen Schlüssel umfasst, in eine Eingabevorrichtung in der Passagierkabine durch ein erstes Besatzungsmitglied der Luftfahrzeugbesatzung, wobei der eingegebene Authentifizierungsschlüssel an einen für die Entriegelung der Cockpit-Tür zuständigen Bordcomputer des Luftfahrzeugs geleitet wird und wodurch ein Bildübertragungsbefehl ausgelöst wird;
- b) Übertragen von aufgezeichneten Bildern und/oder Livebildern, die von zumindest einer Bilderfassungseinrichtung in der Passagierkabine und/oder im Cockpit des Luftfahrzeugs aufgenommen wurden bzw. werden, an eine Bodenstation;
- c) Übertragen eines einen persönlichen Identifizierungscode des ersten Besatzungsmitglieds enthaltenden Türentriegelungs-Anforderungssignals aus der Passagierkabine an die Bodenstation;
- d) Überprüfen des persönlichen Identifizierungscodes, der übertragenen Bilder und von Fluginformationsdaten in der Bodenstation auf Soll-Abweichungen;
- e) falls keine Soll-Abweichungen festgestellt werden, Generieren eines authentifizierten Türentriegelungs-Signals unter Verwendung eines in einem Speicher der Bodenstation gespeicherten öffentlichen Schlüssels des ersten Besatzungsmitglieds und eines geheimen Schlüssels der Bodenstation als Signaturen für das Türentriegelungs-Signal;
- f) Senden des signierten Türentriegelungs-Signals von der Bodenstation an das Luftfahrzeug und Empfangen des signierten Türentriegelungs-Signals durch einen Empfänger des Luftfahrzeugs;
- g) Weiterleiten des signierten Türentriegelungs-Signals vom luftfahrzeugseitigen Empfänger an den für die Entriegelung der Cockpit-Tür zuständigen Bordcomputer des Luftfahrzeugs;
- h) Überprüfen der Signaturen des signierten Türentriegelungs-Signals, nämlich
- – unter Verwendung des geheimen Schlüssels des ersten Besatzungsmitglieds mit dem im Schritt a) eingegebenen persönlichen Authentifizierungsschlüssel und
- – unter Verwendung des an Bord des Luftfahrzeugs gespeicherten öffentlichen Schlüssels der Bodenstation;
- i) falls die Überprüfung der Signaturen des Türentriegelungs-Signals keine Fehler ergeben hat, Entriegeln und Öffnen der Cockpit-Tür.
-
Durch die Abfolge der erfindungsgemäßen Verfahrensschritte und das Vorsehen von Authentifizierungen kann die Entriegelung und die Öffnung der Cockpit-Tür nur von autorisiertem Personal und nur in einem bestätigten und von der Bodenstation verifizierten Notfall durchgeführt werden. Somit kann sowohl einem gesundheitlich bedingten Ausfall der Piloten oder einer beabsichtigten Straftat eines Crewmitglieds als auch einer Flugzeugentführung durch Cockpit-Übernahme durch Nicht-Crewmitglieder zuverlässig entgegen gewirkt werden. Ein erfindungsgemäßes Interaktionssystem, das das erfindungsgemäße Verfahren implementiert, erfüllt sehr hohe Anforderungen an die Verfügbarkeit und auch an die Integrität sowie an die erforderliche Sicherheit.
-
Weitere bevorzugte und vorteilhafte Ausbildungen des erfindungsgemäßen Verfahrens sind Gegenstand der Unteransprüche 7 bis 9.
-
Vorzugsweise muss die Eingabe eines persönlichen Authentifizierungsschlüssels in die Eingabevorrichtung im Schritt a) zusätzlich durch zumindest ein weiteres Besatzungsmitglied der Luftfahrzeugbesatzung erfolgen, wobei im Schritt c) auch der persönliche Identifizierungscode des weiteren Besatzungsmitglieds aus der Passagierkabine an die Bodenstation übertragen wird, wobei die Generierung des signierten Türentriegelungs-Signals im Schritt e) unter Verwendung auch des Authentifizierungsschlüssels des weiteren Besatzungsmitglieds erfolgt und wobei im Schritt h) auch der persönliche Authentifizierungsschlüssel des weiteren Besatzungsmitglieds überprüft wird. Hierdurch wird die Sicherheit des gesamten Prozesses weiter erhöht.
-
Vorzugsweise wird im Schritt d) von der Bodenstation zusätzlich eine verbale Abfrage der Statusinformation vom aktuellen Flugzeugführer des Luftfahrzeugs durchgeführt.
-
Weiter vorteilhaft ist es, wenn das Senden des signierten Türentriegelungs-Signals von der Bodenstation im Schritt f) auf einer standardisierten Frequenz als Rundfunksignal erfolgt, so dass das signierte Türentriegelungs-Signal von allen mit einem geeigneten Empfänger ausgestatteten und im Empfangsgebiet befindlichen Luftfahrzeugen empfangen wird.
-
Bevorzugte Ausführungsbeispiele der Erfindung mit zusätzlichen Ausgestaltungsdetails und weiteren Vorteilen sind nachfolgend unter Bezugnahme auf die beigefügten Zeichnungen näher beschrieben und erläutert.
-
KURZE BESCHREIBUNG DER ZEICHNUNGEN
-
Es zeigt:
-
1 eine schematische Darstellung des erfindungsgemäßen Interaktionssystems und
-
2 ein Einsatz-Schaubild eines erfindungsgemäßen Interaktionssystems.
-
DARSTELLUNG VON BEVORZUGTEN AUSFÜHRUNGSBEISPIELEN
-
In 1 ist schematisch ein Ausschnitt eines Luftfahrzeugs 1 mit einem Cockpit C und einer Passagierkabine P dargestellt, die durch eine Cockpit-Tür 10 voneinander getrennt sind. Die Cockpit-Tür 10 kann im Flugbetrieb nur von der Cockpitseite aus geöffnet werden.
-
In der Passagierkabine P ist eine Türentriegelungs-Anforderungseinrichtung 12 zur Erzeugung eines Türentriegelungs-Anforderungssignals vorgesehen. Dazu ist die Türentriegelungs-Anforderungseinrichtung mit einer Eingabevorrichtung 12' zur Eingabe eines persönlichen Authentifizierungsschlüssels eines die Eingabevorrichtung betätigenden und damit einen Notruf absetzenden Besatzungsmitglieds ausgestattet.
-
Dieser persönliche Authentifizierungsschlüssel kann auf einer Chipkarte oder einem geeigneten RFID-Transponder gespeichert sein, der sich sogar implantieren ließe. Jedes Besatzungsmitglied des Luftfahrzeugs 1 oder eine geeignete Teilmenge der Luftfahrzeugbesatzung kann mit einem solchen individuellen persönlichen Authentifizierungsschlüssel ausgestattet sein. Die Chipkarte oder der RFID-Transponder enthält den persönlichen, geheimen Authentifizierungsschlüssel (SK-1) zum Dechiffrieren, der mit einer Passphrase gesichert ist. Ein Beispiel für einen solchen Schlüssel ist ein so genannter „geheimer Schlüssel” (”secret key”) nach dem bekannten Prinzip des Public-Key-Verfahrens. Da ein solcher persönlicher Authentifizierungsschlüssel personenspezifisch ist, enthält oder bildet er zugleich einen persönlichen Identifizierungscode des Schlüssel-Besitzers. Die Eingabevorrichtung 12' kann in diesem Fall als, vorzugsweise zerstörungsresistentes, Lesegerät für entsprechende Chipkarten oder RFID-Transponder ausgebildet sein oder ein solches Lesegerät aufweisen.
-
Der eingegebene persönliche Authentifizierungsschlüssel wird von der Eingabevorrichtung 12' an einen für die Entriegelung der Cockpit-Tür 10 zuständigen Bordcomputer 19 des Luftfahrzeugs 1 weitergeleitet. Der für die Entriegelung der Cockpit-Tür 10 zuständige Bordcomputer 19 ist zu diesem Zweck mit einem Türentriegelungsmechanismus 11 der Cockpit-Tür 10 verbunden. Die Türentriegelungs-Anforderungseinrichtung 12 ist weiterhin mit einer Signalsendeeinrichtung 13 des Luftfahrzeugs 1 verbunden, um ein von der Eingabe des persönlichen Authentifizierungsschlüssels und der Betätigung der Eingabevorrichtung ausgelöstes Türentriegelungs-Anforderungssignal a an die Signalsendeeinrichtung 13 zur Übertragung an eine Bodenstation 2 weiterzuleiten. Von dieser wird das Türentriegelungs-Anforderungssignal a an eine Bodenstation gesendet.
-
Eine Bilderfassungseinrichtung 14, die beispielsweise von einer Videokamera gebildet ist, ist in der Passagierkabine P vorgesehen und erfasst den Raum vor der Cockpit-Tür 10. Es können zusätzlich in der Passagierkabine P weitere (nicht gezeigte) Bilderfassungseinrichtungen vorgesehen sein. Das von der Bilderfassungseinrichtung 14 (und gegebenenfalls von den weiteren Bilderfassungseinrichtungen) erfasste Bildsignal wird an eine Bildsendeeinrichtung 16 des Luftfahrzeugs 1 geleitet. Auch im Cockpit C ist zumindest eine Bilderfassungseinrichtung 15 vorgesehen, deren Bildsignal ebenfalls an die Bildsendeeinrichtung 16 zur Übertragung an die Bodenstation 2 geleitet wird. Die Bilderfassungseinrichtungen 14, 15 können Kameras zur Kabinen- und Cockpitüberwachung sein oder solche Kameras aufweisen, die mit Speichermedien an Bord des Luftfahrzeugs 1 ausgestattet oder verbunden sind und die ständig aufzeichnen. Das aufgezeichnete Bildmaterial wird für eine vorgebbare Zeit gespeichert, bevor es wieder überschrieben werden darf. Dadurch wird ermöglicht, dass auch die gespeicherten Bilddaten der Vergangenheit an die Bodenstation 2 übertragen werden können. Nach Eingabe des persönlichen Authentifizierungsschlüssels und Betätigung der Eingabevorrichtung werden automatisch die gespeicherten und die aktuellen Bildsignale b von der Bildsendeeinrichtung 16 an die Bodenstation 2 gesendet.
-
Aufbau und Funktionsweise des erfindungsgemäßen Interaktionssystems werden nun anhand der Darstellung in 2 beschrieben.
-
Die Bodenstation 2 weist ein vorzugsweise weltumspannendes Netz von Empfangsstationen auf, von denen in 2 nur eine Empfangsstation 20 dargestellt ist. Die von der Empfangsstation 20 empfangenen Signale (Türentriegelungs-Anforderungssignal a und die Bildsignale b) werden an eine Kommandozentrale 21 der Bodenstation 2 weitergeleitet.
-
Von dem den Notruf auslösenden Luftfahrzeug 1 werden also das Türentriegelungs-Anforderungssignal a und zumindest ein Bildsignal b an die Empfangsstation 20 der Bodenstation 2 gesandt. Diese Signalübertragung kann beispielsweise über ein Kurzwellen-Sender-Empfänger-System erfolgen, das entweder unabhängig von der Flugfunk-Hardware ist oder die Flugfunk-Hardware nutzt. Diese Signale können verschlüsselt sein, wobei eine Verschlüsselung für diese Übertragung nicht zwingend erforderlich ist.
-
In der Kommandozentrale 21 wird das empfangene Türentriegelungs-Anforderungssignal a analysiert und der darin enthaltene persönliche Identifizierungscode des Besatzungsmitglieds, das die Türentriegelungs-Anforderung ausgelöst hat, wird zumindest daraufhin verifiziert, ob dieser Identifizierungscode gültig ist und zu einem aktuellen Besatzungsmitglied des Luftfahrzeugs 1 gehört. Im Falle des Public-Key-Verfahrens wird dazu der zugehörige sogenannte „öffentliche Schlüssel” („public key”) verwendet, hier (PK-1) genannt. Weiterhin werden die Bilder der empfangenen Bildsignale daraufhin überprüft, ob im Cockpit C und in der Passagierkabine P auffällige Unregelmäßigkeiten zu erkennen sind (beispielsweise eine Bedrohung eines Besatzungsmitglieds), die einer Öffnung der Cockpit-Tür 10 entgegenstehen könnten. Des Weiteren werden allgemein verfügbare Fluginformationsdaten daraufhin überprüft, ob das Luftfahrzeug 1 vom vorgesehenen Kurs oder von der vorgesehenen Flughöhe abweicht oder bereits abgewichen ist.
-
Werden in der Kommandozentrale 21 keine verdächtigen Ereignisse an Bord des Luftfahrzeugs 1 erkannt, die einer Türentriegelung entgegen stehen, so wird ein Türentriegelungs-Signal c generiert und über eine mit der Bodenstation 2 verbundene oder zur Bodenstation 2 gehörige Sendeeinrichtung 22 eines vorzugsweise weltumspannenden Netzes von Sendeeinrichtungen geleitet. Von dieser Sendeeinrichtung 22 (oder von mehreren Sendeeinrichtungen des Netzes) wird dann das Türentriegelungs-Signal c ausgestrahlt und es kann von der Empfangseinrichtung 17 des Luftfahrzeugs 1 empfangen werden. Diese Ausstrahlung des Türentriegelungs-Signals c erfolgt im gezeigten Beispiel von der Sendeeinrichtung 22 über ein Netz von Satelliten 31, 32, von denen das Türentriegelungs-Signal c an alle Luftfahrzeuge 1, 1' gesendet wird, die sich im Empfangsbereich der Sender 31', 32' der Satelliten 31, 32 aufhalten. Damit das Türentriegelungs-Signal c nur in dem Luftfahrzeug 1 Wirkung entfalten kann, von dem der Notruf abgesetzt wurde, ist eine nachstehend beschriebene Authentifizierung des Signals c vorgesehen.
-
Auf einem Computer der Bodenstation 2 ist eine Software lauffähig gespeichert, die ein authentifiziertes Türentriegelungs-Signal c generiert. Dazu wird der bekannte öffentliche Schlüssel (PK-1) des den Notruf absetzenden Besatzungsmitglieds an Bord des Luftfahrzeugs 1 verwendet, um das Türentriegelungs-Signal c auf dieses Luftfahrzeug 1 zu beschränken. Zusätzlich wird ein der Bodenstation 2 zugeordneter geheimer Schlüssel (SK-2) zum Authentifizieren zur Erzeugung des authentifizierten Türentriegelungs-Signals c verwendet. Die zu den geheimen Schlüsseln (SK-2) gehörigen öffentlichen Schlüssel (PK-2) aller zum erfindungsgemäßen Interaktionssystem gehörenden Bodenstationen 2 sind in einem dem jeweiligen Bordcomputer 19 der am erfindungsgemäßen Interaktionssystem teilnehmenden Luftfahrzeuge 1, 1' zugeordneten Speicher gespeichert.
-
Ein System von Satelliten 31, 32 inklusive zugehöriger Relaisstationen für den Uplink (Sendeeinrichtungen 22), möglicherweise ergänzt um zusätzliche (nicht gezeigte) Sendestationen am Boden, erhält folglich von einer autorisierten Kommandozentrale 21 das authentifizierte Türentriegelungs-Signal c, welches dann zumindest im Empfangsbereich des Luftfahrzeugs 1 hinreichend oft ausgestrahlt wird. Die Anforderungen an dieses Satellitensystem beinhalten unter anderem eine sehr hohe Verfügbarkeit und eine sehr hohe Gewährleistung der Authentizität der übertragenen Nachrichten (Integritätsanforderung). Dabei kann es sich zum Beispiel um ein globales Navigationssystem (GNSS-System), wie beispielsweise ”Galileo”, unter Verwendung des ERIS-Kanals oder ein satellitenbasiertes Navigations-Ergänzungssystem (SBAS-System) unter Verwendung eines der für zukünftige Anwendungen reservierten Message-Typen 8, 11, 13 bis 16 oder 19 bis 23 handeln oder entsprechende Message-Typen, die für den L5-SBAS-Strom vorgesehen sind.
-
Die Empfangseinrichtungen 17 der am erfindungsgemäßen Interaktionssystem beteiligten Luftfahrzeuge 1, 1' sind mit einem Empfänger ausgestattet, der das von den Satelliten 31, 32 und gegebenenfalls auch von Sendestationen am Boden abgestrahlte Signal empfängt und an den für die Cockpit-Tür 10 zuständigen Bordcomputer 19 weiterleitet. Im Fall des Galileo-Systems kann der Empfänger zum Beispiel ein ERIS-fähiger Galileo-Empfänger sein, der das Türentriegelungs-Signal c verarbeiten kann. Im Fall eines SBAS-Systems kann der Empfänger zum Beispiel ein SBAS-Empfänger sein, der die empfangene, das Türentriegelungs-Signal c aufweisende Message verarbeiten kann.
-
Im Bordcomputer 19 ist eine Software lauffähig gespeichert, die im Bordcomputer 19 anhand der geladenen persönlichen Schlüssel (SK-1) und des gespeicherten öffentlichen Schlüssels (PK-2) der Bodenstation 2 die Gültigkeit und die Authentizität des empfangenen Türentriegelungs-Signals verifiziert und im Falle der Gültigkeit und der Authentizität die Cockpit-Tür 10 entriegelt und öffnet.
-
Die öffentlichen Schlüssel (PK-1) („public key”) aller Besatzungsmitglieder der dem erfindungsgemäßen Notrufsystem angeschlossenen Luftfahrzeuge 1, 1', zusammen mit deren Identifizierungscodes zur eindeutigen Identifizierung der Personen, sind in zumindest einer Speichereinrichtung der Bodenstation 2 gespeichert. Der zumindest einen Kommandozentrale 21 der Bodenstation 2 sind diese Informationen somit entweder bekannt oder sie können dieser jederzeit in hinreichend kurzer Zeit bekannt gemacht werden.
-
Die Anforderung eines Türentriegelungs-Anforderungssignals erfolgt beispielsweise mit den nachstehend beschriebenen Schritten:
Ein erstes und gegebenenfalls ein weiteres Besatzungsmitglied laden ihren jeweiligen persönlichen (geheimen) Schlüssel (SK-1) über das Lesegerät der Eingabevorrichtung 12' in den für die Cockpit-Tür relevanten Bordcomputer 19 unter Eingabe ihrer jeweiligen Passphrase. Diese Personen werden als die Initiatoren des Notrufs angesehen. Das Laden eines persönlichen Schlüssels in den Bordcomputer 19 führt außerdem zur automatischen, verschlüsselten Übertragung der von den Bilderfassungseinrichtungen 14, 15 aufgezeichneten Bilder der Passagierkabinenüberwachung und der Cockpitüberwachung an Empfangsstationen 20 der Bodenstation 2. Nach einer Vorverarbeitung leiten diese die Informationen an die Kommandozentrale 21 weiter.
-
Zusätzlich werden das Türentriegelungs-Anforderungssignal und der persönliche Identifizierungscode des (jeweiligen) Initiators des Notrufs an die Bodenstation 2 übertragen. Dies kann automatisch oder mittels Sprechfunk erfolgen. Beispielsweise kontaktiert ein Besatzungsmitglied des Luftfahrzeugs 1 auf einem vorgesehenen Kommunikationsweg die Bodenstation 2. Dabei werden alle Initiatoren angegeben und die Türentriegelungsprozedur wird initiiert.
-
Die Kommandozentrale 21 der Bodenstation führt geeignete Maßnahmen zur Überprüfung der Rechtmäßigkeit und zur Rechtfertigung des Türentriegelungs-Ersuchens aus, beispielsweise:
- (a) Auswertung des Bildmaterials der Kabinen- und Cockpitüberwachung, um eventuelle Fremdeinflüsse auszuschließen oder festzustellen, wodurch beispielsweise ein erzwungenes Türentriegelungs-Ersuchen aufgedeckt werden kann;
- (b) Beobachtung der Flugbahn des Luftfahrzeugs, um Unregelmäßigkeiten festzustellen;
- (c) Anruf des aktuellen Luftfahrzeugführers, um eine Begründung der Verweigerung des Cockpitzutritts zu erhalten.
-
Diese Maßnahmen zur Überprüfung der Rechtmäßigkeit und zur Rechtfertigung des Türentriegelungs-Ersuchens können auch automatisiert durchgeführt werden.
-
Ergibt die Überprüfung keine Unregelmäßigkeiten, also keine Soll-Abweichungen, wird ein authentifiziertes Türentriegelungs-Signal c erzeugt, was automatisch oder manuell eingeleitet werden kann. Das autorisierte Personal in der Kommandozentrale 21 leitet beispielsweise diese Generierung des authentifizierten Türentriegelungs-Signals c ein. Dabei werden zur Authentifizierung des Türentriegelungs-Signals c die öffentlichen Schlüssel (PK-1) aller Initiatoren an Bord des Luftfahrzeugs 1 und der geheime Schlüssel (SK-2) der Bodenstation verwendet.
-
Dieses authentifizierte Türentriegelungs-Signal c wird an die entsprechenden Relaisstationen, wie die Sendeeinrichtung 22, zum Uplink gesendet, die es an den oder die entsprechenden Satelliten 31, 32 des Satellitensystems übermitteln. Von dort wird es hinreichend oft verbreitet.
-
Die zugehörigen Empfänger in den Empfangseinrichtungen 17 aller zum erfindungsgemäßen Interaktionssystem gehörenden Luftfahrzeuge 1, 1' im Empfangsgebiet empfangen das authentifizierte Türentriegelungs-Signal c und leiten es an ihren jeweiligen, der Cockpit-Tür 10 zugeordneten Bordcomputer 19 weiter. Dieser versucht, das Türentriegelungs-Signal zu verifizieren. Dazu ist jedoch nur der Bordcomputer 19 des Luftfahrzeugs 1, von dem der Notruf ausgesandt wurde, in der Lage, da nur er die zur Dechiffrierung benötigten persönlichen Schlüssel der Initiatoren kennt. Durch die verifizierte Signatur des Türentriegelungs-Signals ist die Echtheit (Integrität) des Türentriegelungs-Befehls garantiert. Dadurch ist gesichert, dass im richtigen Luftfahrzeug 1 die Tür geöffnet wird. Durch die Notwendigkeit der Eingabe einer Passphrase zumindest eines Besatzungsmitglieds und durch andere Maßnahmen, die in der Bodenstation 2 getroffen werden, wie zum Beispiel den Ausschluss von Fremdeinflüssen, die Beobachtung einer nicht vorgesehenen Flugbahn durch die Bodenstation 2 oder der fehlenden Reaktion des aktuellen Luftfahrzeugführers auf persönliche Anrufe von der Bodenstation 2 aus wird die Integrität des Türentriegelungs-Ersuchens untermauert.
-
Zusammenfassend bildet das erfindungsgemäße Interaktionssystem ein Sicherheitssystem, welches bewirkt, dass eine verschlossene Cockpit-Tür eines Luftfahrzeugs im Notfall von außerhalb des Cockpits durch autorisierte Personen oder Einrichtungen geöffnet werden kann, auch wenn der aktuelle Luftfahrzeugführer den Zutritt nicht gewähren kann oder aktiv verweigert hat. Die Öffnung kann nur von autorisiertem Personal und nur im bestätigten Notfall durchgeführt werden. Somit kann sowohl einer beabsichtigten Straftat eines Besatzungsmitglieds als auch einer Flugzeugentführung durch Cockpitübernahme durch nicht-Crewmitglieder zuverlässig entgegengewirkt werden. Das zur Lösung des Problems vorgeschlagene Gesamtsystem erfüllt sehr hohe Anforderungen an die Verfügbarkeit und die Integrität.
-
Bezugszeichen in den Ansprüchen, der Beschreibung und den Zeichnungen dienen lediglich dem besseren Verständnis der Erfindung und sollen den Schutzumfang nicht einschränken.
-
Bezugszeichenliste
-
- 1
- Luftfahrzeug
- 1'
- Luftfahrzeug
- 2
- Bodenstation
- 3
- Datenübertragungsanordnung
- 10
- Cockpit-Tür
- 11
- Türentriegelungsmechanismus
- 12
- Anforderungseinrichtung
- 12'
- Eingabevorrichtung
- 13
- Signalsendeeinrichtung
- 14
- Bilderfassungseinrichtung
- 15
- Bilderfassungseinrichtung
- 16
- Bildsendeeinrichtung
- 17
- Empfangseinrichtung
- 19
- Bordcomputer
- 20
- Empfangsstation
- 21
- Kommandozentrale
- 22
- Sendeeinrichtung
- 30
- Satelliten-Netzwerk
- 31
- Satellit
- 31'
- Sender
- 32
- Satellit
- 32'
- Sender
- C
- Cockpit
- P
- Passagierkabine
- a
- Türentriegelungs-Anforderungssignal
- b
- Bildsignal
- c
- Türentriegelungs-Signal
