-
Die Erfindung betrifft eine Vorrichtung zum wenigstens teilweisen Unterbrechen einer Kommunikationsleitung eines Fahrzeuges entsprechend dem unabhängigen Anspruch 1.
-
Stand der Technik
-
Die Offenlegungsschrift
DE 10 2014 207 810 A1 beschreibt ein Verfahren und eine Vorrichtung zum Betreiben eines Kraftfahrzeugs, wobei Messsignale empfangen werden, die Informationen über einen zeitlichen Strom- und/oder Spannungsverlauf einer elektronischen Steuereinheit des Kraftfahrzeugs umfassen. Es wird ermittelt, ob die empfangenen Messsignale vom Sollzustand abweichen. Wenn dem so ist, wird ein manipulierter Zustand der elektronischen Steuereinheit festgestellt. Der Sollzustand in Form von charakteristischen Strom- und/oder Spannungsverläufen ist in einem Speicher hinterlegt, der der elektronischen Steuereinheit zugeordnet oder extern in einem Back-End angeordnet ist. Wird die elektronische Steuereinheit manipuliert, kann der Zugriff auf beide mögliche Speicherorte ebenfalls manipuliert werden. Außerdem kann selbst der Vergleich von Soll- und Istzustand manipuliert werden. Das Verfahren dient also nur zu einem bestimmten Grad der Erkennung einer Manipulation. Wird die Manipulation nicht zuverlässig erkannt, können auch die Gegenmaßnahmen, wie das Ausgeben einer Information, die Unterbrechung der Energieversorgung zum Motor oder des gesamten Kraftfahrzeugs, nicht wirkungsvoll sichergestellt werden. Das Aufrechterhalten der Kommunikationsschnittstelle verkennt das Problem, dass die Manipulation genau über die Kommunikationsschnittstelle erfolgen könnte.
-
Die Offenlegungsschrift
DE 10 2014 221 772 A1 beschreibt ein Verfahren, bei dem bei einem fahrzeugexternen Zugriff auf eine oder mehrere Fahrzeugkomponenten der Zugriff mittels einer fahrzeuginternen Sicherungseinrichtung eingeschränkt oder unterbrochen wird. Der fahrzeugexterne Zugriff ist beispielsweise der Startversuch der Brennkraftmaschine oder das Öffnen einer Fahrzeugtür mittels eines physikalischen Schlüssels und soll übersteuert werden. Dazu sind fahrzeuginterne Sicherungseinrichtungen vorgesehen, beispielsweise in Form eines Übersteuerns des fahrzeugexternen Zugriffs seitens eines Dritten durch den Eigentümer über ein Kommunikationsnetzwerk, beispielsweise über ein Smartphone. Die Ausführung der fahrzeuginternen Sicherungseinrichtung bleibt dem Fachmann überlassen. Der erkennbare erfindungsgemäße Gedanke, einen Fremdzugriff eines Diebes während eines autonomen Einparkvorgangs zu übersteuern und den Dieb im besten Fall dingfest zu machen, also im Fahrzeug einzusperren, soll durch einen sogenannten Hauptschlüssel, der mit Administratorrechten ausgestattet ist, umgesetzt werden. Der Fahrer oder Eigentümer ist der Administrator und kann die Zugriffe auf sein Fahrzeug einschränken. Das Problem, fahrzeugexterne Zugriffe über das Kommunikationsnetzwerk zu erkennen oder gar zu unterbrechen, wird nicht adressiert.
-
Die Offenlegungsschrift
DE 102 26 253 A1 betrifft ein Kommunikationsnetzwerk für ein Kraftfahrzeug, bei dem in der Kommunikationsleitung zwischen einer zentralen Steuerungseinheit und einer in einem zugriffsunsicheren Bereich, z. B. außerhalb des Kraftfahrzeugs, angeordneten Knoteneinheit ein Trennelement zur Unterbrechung der Kommunikation angeordnet ist. Das Trennelement unterbricht die Kommunikationsleitung, wenn die Gefahr eines unbefugten Zugriffs besteht, insbesondere wenn das Fahrzeug abgestellt ist. Das Trennelement kann eine beliebige Art von Schalter umfassen, der den Außenbereich von dem Innenbereich des Bussystems trennen kann. Es wird aber kein unbefugter Zugriff erkannt, es werden lediglich Kraftfahrzeugzustände, z. B. wenn das Fahrzeug abgestellt ist, definiert, in denen die Trenneinheit prophylaktisch die Kommunikationsleitung trennt. Kommunikationsschnittstellen, die auch während der definierten Kraftfahrzeugzustände wünschenswerter Weise aktiviert sein sollen, werden nicht betrachtet. Folglich können unbefugte Zugriffe außerhalb der definierten Zustände nicht unterbunden werden.
-
Die
DE 10 2011 010 230 A1 zeigt ein Verfahren und eine Vorrichtung zur Steuerung der Stromversorgung in einem Stromnetz eines Kraftwagens. Ein potentieller Zusammenstoß des Kraftwagens mit einem Objekt im Umfeld wird in Abhängigkeit von erfassten Umfelddaten bewertet. In Abhängigkeit dieser Bewertung wird die Stromversorgung in dem Stromnetz gesteuert.
-
Die
DE 10 2004 057 828 A1 offenbart ein Verfahren zur Notabschaltung elektrischer Stromkreise in einem Kraftfahrzeug. Die Notabschaltung erfolgt manuell durch Schalterbetätigung oder automatisch durch ein Rauchmeldesignal.
-
Die
DE 195 19 681 A1 beschreibt eine Diebstahlsicherung für Fahrzeuge mittels eines Funksignals. Dabei kann ein Stillsetzen des Kraftfahrzeugs aus der Ferne durch Ansteuern von in einem Stromkreis angeordneten Schaltmitteln erfolgen. Aufgabe der Erfindung
-
Demgegenüber liegt der vorliegenden Erfindung die Aufgabe zu Grunde, den Stand der Technik dahingehend zu verbessern, dass im Falle eines externen Zugriffs dieser wirkungsvoll unterbunden werden kann.
-
Offenbarung der Erfindung
-
Die Aufgabe wird durch eine Vorrichtung zum wenigstens teilweisen Unterbrechen einer Kommunikationsleitung eines Fahrzeugs entsprechend den gegenständlichen Merkmalen des unabhängigen Anspruchs 1 gelöst.
-
Eine Kommunikationsleitung unterscheidet sich von einer elektrischen Leitung dadurch, dass sie hauptsächlich informationsführend ist. Diese Informationen können zwar ebenfalls mithilfe elektrischer Energie übertragen werden, weisen aber ein so geringes Energieniveau auf, dass diese keine Leistung verrichten kann. Darüber hinaus können derartige Kommunikationsleitungen auch mittels Licht kommunizieren, beispielsweise unter der Nutzung von Lichtwellenleitern, wie bei einem MOST-Netzwerk (MOST=Media Oriented Systems Transport), oder weitere zukünftige Kommunikationsverfahren nutzen. Im Gegensatz dazu sind elektrische Leitungen hauptsächlich zur Übertragung von Leistungsenergie vorgesehen, auch wenn sie in geringem Umfang Informationen enthalten. Selbstverständlich ist alternativ auch eine kombinierte Informations- und Leistungsübertragung möglich, beispielsweise, bei auf elektrischer Energie basierender Informationsübermittlung, wenn die Betriebsspannung (interne Spannung) der Informationsempfangseinheit gleich dem Spannungspegel der Informationsübertragungsspannung ist. Im Folgenden wird unter Kommunikationsleitung eine Leitung verstanden, deren primärer Zweck es ist, Informationen zu übertragen, unabhängig ob dies elektrisch, optisch oder selbst nicht leitungsgebunden erfolgt. Eine elektrische Leitung ist dementsprechend eine Leitung, deren primärer Zweck es ist, Energie zu übertragen, unabhängig davon, ob dies mechanisch, elektrisch, hydraulisch, pneumatisch oder selbst nicht leitungsgebunden erfolgt.
-
Ein Fahrzeug im Sinne der Erfindung kann ein Land-, Luft- oder Wasserfahrzeug sein. Vorzugsweise handelt es sich um ein Kraftfahrzeug mit wenigstens einer Antriebseinheit, beispielsweise einer Brennkraftmaschine oder einem Elektromotor. Das Fahrzeug umfasst üblicherweise Fahrzeugsteuereinheiten, die neben der Antriebseinheit auch weitere Systeme und Funktionen im Fahrzeug steuern. Der Begriff der Fahrzeugsteuereinheit ist im weitesten Sinne zu verstehen. Dazu zählen klassische Fahrzeugsteuereinheiten, wie das Motorsteuergerät oder das ABS-Steuergerät (ABS=Antiblockiersystem). Diese empfangen Informationen über Fahrzustände und/oder Fahrereingaben und berechnen entsprechend eines hinterlegten Steueralgorithmus Stellsignale für Aktoren, z. B. für einen Drosselklappenstellmotor oder ein Wegeventil einer hydraulischen Bremsanlage. Als Fahrzeugsteuereinheiten werden ebenfalls im Fahrzeug angeordnete Rechnereinheiten angesehen, die nicht unmittelbar zur Steuerung des Fahrzeugs beitragen, wie Infotainmentsteuereinheiten, oder Sicherheitssteuereinheiten, z. B. ein Airbagsteuergerät. Eine Fahrzeugsteuereinheit ist entsprechend dadurch gekennzeichnet, dass sie einen Eingang zum Empfang von Informationen, z. B. Sensordaten, eine Verarbeitungslogik zum Verarbeiten der Informationen entsprechend einer vorbestimmten oder situativ wählbaren sowie fest hinterlegten (Festwertspeicher: Read Only Memory = ROM) oder variabel programmierbaren (programmierbarer Speicher: Electrical Erasable Programable Read Only Memory=EEPROM) Logik (z. B. Steueralgorithmus) verarbeitet und einen Ausgang zum Ausgeben einer weiteren Information, z. B. Stellbefehl an einen Aktor, umfasst.
-
Die Kommunikationsleitung entsprechend dem Oberbegriff vorliegender Erfindung verbindet dabei die Fahrzeugsteuereinheiten untereinander und mit einer Kommunikationsschnittstelle (Kommunikationsmodul) zur Übertragung von Informationen. Üblicherweise werden die die einzelnen Fahrzeugsteuereinheiten verbindenden Kommunikationsleitungen in Fahrzeugen als Netzwerk mit Bustopologie, z. B. als CAN-Bus (Controller Area Network) oder FlexRay, ausgeführt. Es können aber auch andere Topologien, wie Ring- oder Sterntopologie, umgesetzt werden. Ein derartiges Netzwerk kann auch eine Kommunikationsschnittstelle aufweisen. Diese ist zur Kommunikation von Fahrzeugsteuereinheiten mit außerhalb des Fahrzeugs angeordneten weiteren Kommunikationsschnittstellen ausgebildet. Die Kommunikation einer Fahrzeugsteuereinheit mit einer weiteren Kommunikationsschnittstelle kann direkt über die Kommunikationsleitung oder indirekt über die Zwischenschaltung einer weiteren Fahrzeugsteuereinheit erfolgen. Die Kommunikation zwischen der dem Fahrzeug zugeordneten Kommunikationsstelle und der Kommunikationsschnittstelle außerhalb des Fahrzeugs erfolgt bevorzugt kabellos. Beispiele für entsprechend geeignete Kommunikationstechnologien sind WLAN, Ethernet, NFC, Car-to-X und Bluetooth, die heutzutage in das Fahrzeugsystem eines Kraftfahrzeugs implementiert werden. In diesem Zusammenhang ist WLAN eine Abkürzung für den englischen Ausdruck Wireless Local Area Network und bezeichnet ein lokales Funknetz, insbesondere gemäß einem Standard der IEEE 802.11-Familie. Ethernet bezeichnet ein lokales kabelgebundenes Netzwerk, das weitestgehend nach der IEEE 802.3-Norm Datenaustausch zwischen Geräten ermöglicht, die an dem lokalen Netzwerk angeschlossen sind. Das Akronym NFC ist eine Abkürzung für den englischen Ausdruck Near Field Communication und ist ein internationaler Übertragungsstandard zum kontaktlosen Datenaustausch per Funktechnik über kurze Distanzen und erfolgt zumeist nach einem der Standards ISO 14443 und ISO 15693. Der Ausdruck Car-to-X ist eine umfassende Bezeichnung für Kommunikationswege zwischen einem Kraftfahrzeug und einer Informationsquelle, die mit dem Platzhalter X abgekürzt ist. Beispiele sind in diesem Zusammenhang Car-to-Car und Car-to- Infrastructure Kommunikationen, die den Datenaustausch zwischen Kraftfahrzeugen untereinander und zwischen einem Kraftfahrzeug und der Verkehrsinfrastruktur beschreiben. Dabei können verschiedene Kommunikationstechnologien verwendet werden, wie z.B. eine Technologie der IEEE 802.11-Familie (WLAN, siehe oben) oder der IEEE 802.16-Familie (WiMAX). Bluetooth ist eine weitere Technologie, die einen Datentransfer zwischen Geräten über kurze Distanzen per Funktechnik ermöglicht. In diesem Zusammenhang erfolgt die Datenübertragung gemäß dem Industriestandard IEEE 802.15.1. Weiterhin kann ein Fahrzeug über eine Mobilfunkschnittstelle beispielsweise nach einem der Standards GSM, GSM2, GSM3 oder GSM4 (LTE) drahtlos mit fahrzeugexternen Einrichtungen kommunizieren. Darüber hinaus ist die Kommunikation unter Nutzung anderer elektromagnetischer Strahlung als Funkstrahlung genannt, beispielsweise das Nutzen von Infrarot-Strahlung zur Signalübertragung. Eine Kommunikationsverbindung kann auch unter Nutzung mehrerer der genannten Technologien und/oder über das Internet erfolgen.
-
Die elektrische Leitung verbindet die Fahrzeugsteuereinheiten direkt oder über weitere Fahrzeugsteuereinheiten mit einer Spannungsversorgung. Eine daraus resultierende Übertagung von Leistungsenergie kann beispielsweise notwendig sein, wenn eine der Fahrzeugsteuereinheiten keine ausreichend leistungsfähige Endstufe zur Umsetzung der Betriebsspannung in eine vom Aktor benötigte Spannung aufweist, oder der Spannungspegel der Informationsübertragungsspannung niedriger als die Betriebsspannung der Fahrzeugsteuereinheit ist.
-
Die Vorrichtung weist weiterhin wenigstens eine Trenneinheit und wenigstens eine Betätigungseinheit auf, wobei die wenigstens eine Trenneinheit in der Kommunikationsleitung angeordnet ist.
-
Die Trenneinheit weist vorzugsweise eine Baugruppe auf, die mittels zweier elektrisch leitender Materialien oder eines Halbleiterbauelements eine elektrisch leitende Verbindung herstellt oder trennt, also zu einem eindeutigen Schaltzustand offen oder geschlossen führt. Im Falle einer Kommunikation über Lichtwellenleiter wird entsprechend die Lichtübertragung unterbrochen. Derartige Baugruppen können Schalter, z. B. Rastschalter, Taster oder optische Schalter, sein, bei denen der Schaltzustand durch manuelle Betätigung oder automatisch geändert werden kann, wie z. B. bei Relais, Schützen oder Transistoren. Die einzelnen Typen von Schaltern sind an sich dem Fachmann bekannt, der den geeignetsten Typ entsprechend nachfolgender Ausführungsformen auswählen kann. Die Trenneinheit wird als aktiviert angesehen, wenn die Kommunikationsleitung unterbrochen, also getrennt ist.
-
Die Erfindung ist vor allem dadurch gekennzeichnet, dass die Betätigungseinheit als Mensch-Maschine-Schnittstelle im Fahrzeug ausgebildet oder einer Mensch-Maschine-Schnittstelle (HMI=Human Machine Interface) im Fahrzeug zugeordnet ist, wobei die Trenneinheit durch die Betätigungseinheit betätigbar ist, also zur Aktivierung in Wirkverbindung steht. Im einfachsten Fall ist die Betätigungseinheit demnach ein Schalter, der im Fahrzeug angeordnet ist, und vom Bediener des Fahrzeugs, z. B. dem Fahrer, betätigt werden kann. In diesem Fall ist die Betätigungseinheit als die Mensch-Maschine-Schnittstelle HMI ausgebildet. Im Gegensatz dazu ist im bevorzugten Fall die Betätigungseinheit an einer HMI angeordnet und wird parallel bzw. gleichzeitig mit der Betätigung der HMI betätigt. In einem besonders bevorzugten Fall ist die HMI ein Bremspedal und die Betätigungseinheit wird bei Betätigung des Bremspedals (HMI) ebenfalls betätigt. Dadurch wird bei einer bestimmten Betätigung der HMI, beispielsweise des Bremspedals, gleichzeitig die Betätigungseinheit betätigt, welche wiederum zur Aktivierung der Trenneinheit führt, was wiederum zur wenigstens teilweisen Unterbrechung der Kommunikationsleitung führt. Wenigstens teilweise bedeutet in diesem Zusammenhang, dass, abhängig von der Topologie der Kommunikationsleitung, nicht sämtliche Leitungen unterbrochen werden, bspw. nur ausgewählte Fahrzeugsteuereinheiten von einer Kommunikationsschnittstelle getrennt werden. Die Leitungen, die unterbrochen werden, werden selbstverständlich komplett unterbrochen. Es wird also für jede individuelle Leitung der eindeutige Schaltzustand offen oder geschlossen hergestellt. Es können eine, mehrere oder alle Kommunikationsleitungen bzw. elektrischen Leitungen unterbrochen werden.
-
Die Erfindung weist hauptsächlich zwei wesentliche Vorteile auf. Zum einen wird ermöglicht, dass bei einer erkannten Manipulation von außerhalb des Fahrzeugs das Fahrzeug von der Manipulationsquelle getrennt und eventuell betroffene Fahrzeugsteuereinheiten sicher deaktiviert werden, so dass die Fahrzeugsicherheit und Integrität wiederhergestellt werden. Zum anderen erfolgt die Erkennung der Manipulation durch einen nicht manipulierbaren Bediener des Fahrzeugs, beispielsweise durch den Fahrer, der besonders vorteilhaft durch intuitives Reagieren unterbewusst und sehr schnell Gegenmaßnahmen zu der erkannten Manipulation einleiten kann. Die Erkennung einer Manipulation durch prinzipiell manipulierbare Fahrzeugsteuereinheiten, wie im Stand der Technik bekannt, wird damit wirkungsvoll umgangen.
-
In einer weiteren, besonders bevorzugten Ausgestaltung der erfindungsgemäßen Vorrichtung ist die Mensch-Maschine-Schnittstelle ein Bremspedal des Fahrzeugs. Dies weist den besonderen Vorteil auf, dass eine intuitive Betätigung durch den Fahrer gewährleistet ist. Stellt der Fahrer eine Manipulation des Fahrzeugs fest, welches sich durch kritische Fahrmanöver oder fehlende Reaktion auf Fahrbefehle, z. B. der Lenkung oder der Bremse, äußert, wird er zunächst intuitiv das Bremspedal schneller, mit einer größeren Kraft und mit längerem Pedalweg betätigen, als bei einem „normalen“ Bremsvorgang. Dies wird von der Erfindung besonders vorteilhaft ausgenutzt, da eine Betätigung im bestimmungsgemäßen, alltäglichen Gebrauch des Fahrzeugs weitgehend ausgeschlossen werden kann.
-
In einer Ausgestaltung weist die Mensch-Maschine-Schnittstelle einen bestimmten Betätigungswiderstand auf, wobei die Trenneinheit erst nach Überwinden des bestimmten Betätigungswiderstandes durch die Betätigungseinheit betätigbar ist. Jede Mensch-Maschine-Schnittstelle mit bei Betätigung bewegten Bauteilen weist einen funktionsgemäßen Betätigungswiderstand auf. Dieser kann auf der Reibung der beteiligten Bauteile und/oder auf zusätzlichen funktionalen oder rückmeldungsbedingten Widerständen beruhen. Demgegenüber ist der bestimmte Betätigungswiderstand prinzipbedingt größer, da erst nach dessen Überwindung und nicht bereits beim funktionsgemäßen Betätigen der HMI die Betätigungseinheit betätigt werden soll.
-
In einer weiterführenden Ausgestaltung ist der Betätigungswiderstand mechanisch und/oder elektrisch erzeugbar. Im einfachsten Fall kann der Betätigungswiderstand durch eine Feder oder ein Reibelement erzeugt werden. Denkbar wäre auch ein Betätigungswiderstand, der durch Zerstörung des betreffenden Bauteils überwunden werden kann, wobei dies wiederum Nachteile aufweisen kann, beispielsweise hinsichtlich der Reversibilität. Ein mechanisch erzeugter Betätigungswiderstand ist vorteilhafterweise konstruktiv einfach zu erstellen und mit geringen Kosten umzusetzen. Ein elektrisch erzeugter Betätigungswiderstand kann beispielsweise elektromotorisch, induktiv oder messtechnisch durch eine Messung einer Überschreitung einer bestimmten Betätigungskraft erzeugt werden. Vorteilhafterweise kann damit ein variabler Widerstand erzeugt werden. Dieser kann in Abhängigkeit einer erfassten Situation bzw. deren Kritikalität oder in Abhängigkeit eines Fahrerprofils eines erkannten Fahrers angepasst werden.
-
Eine weitere Ausgestaltung der erfindungsgemäßen Vorrichtung ist dadurch gekennzeichnet, dass durch die Betätigungseinheit eine Verbindungseinheit betätigbar ist, wobei durch die Verbindungseinheit eine im Normalbetrieb unterbrochene Kommunikationsleitung zu einer Notfallfahrzeugsteuereinheit zur Übertragung von Informationen direkt oder über eine weitere Fahrzeugsteuereinheit verbindbar ist. Die Verbindungseinheit ist als Gegenspieler zur Trenneinheit zu verstehen. Wird sie betätigt, also aktiviert, wird die Kommunikationsleitung einer Fahrzeugsteuereinheit zwar getrennt, es wird aber eine alternative Fahrzeugsteuereinheit verbunden, also mit Informationssignalen bzw. elektrischer Energie versorgt. Dabei kann das Aktivieren der Verbindungseinheit parallel zum Aktivieren der Trenneinheit oder alternativ dazu erfolgen. Beispielsweise wird dabei ein Backup-Steuergerät oder ein Backup-Übertragungsweg aktiviert, welcher das manipulierte System ersetzt.
-
In einer vorteilhaften Ausgestaltung der Erfindung ist die Trenneinheit reversibel betätigbar. Sie ist also in den Ausgangszustand rückstellbar ausgebildet. Die Rückstellung kann automatisch nach Deaktivierung und erneuter Aktivierung des Fahrzeugs erfolgen oder erst nach manueller Bestätigung des Fahrzeugführers. Bei zerstörten Belastungswiderständen wird in der Regel ein Austausch des Bauteils notwendig sein. Daher ist das Bauteil konstruktiv austauschbar zu gestalten. Dem Fachmann ist dabei klar, wie dies erfolgen kann.
-
Ausführungsbeispiel
-
Weitere Merkmale, Anwendungsmöglichkeiten und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen der Erfindung, die schematisch in der Figur dargestellt sind. Dabei bilden alle beschriebenen oder dargestellten Merkmale für sich oder in beliebiger Kombination den Gegenstand der Erfindung, unabhängig von ihrer Zusammenfassung in den Patentansprüchen oder deren Rückbeziehung sowie unabhängig von ihrer Formulierung bzw. Darstellung in der Beschreibung bzw. in der Figur.
-
Die Figur zeigt generell die erfindungsgemäße Vorrichtung zum Unterbrechen einer Kommunikationsleitung 19 und die Vorrichtung zum Unterbrechen einer elektrischen Leitung 18, die einem Bremspedal 1 zugeordnet ist. Ziel der Erfindung ist es, bei Auftreten eines Kontrollverlustes über das Fahrzeug, Fahrzeugsteuereinheiten 16, die bestimmte Komfortfunktionen, wie Onlinedienste und andere risikobehaftete bzw. potentiell durch Dritte manipulierbare Funktionen, wie Fahrzeugsteuerung, aufweisen, zu deaktivieren und/oder deren zugehörige Kommunikationsschnittstellen 20 zu unterbrechen. Das Fahrzeug soll sozusagen in einen autarken Modus versetzt werden. Als Fahrzeugsteuereinheiten 16 werden die hard- oder softwaretechnischen Steuermechanismen bzw. Algorithmen im Fahrzeug angesehen, die bestimmte Funktionen ausführen sollen, z. B. Multimediainhalte zur Verfügung stellen oder eine Brennkraftmaschine steuern. Die Kommunikationsschnittstelle 20 stellt dabei die für den notwendigen Informationsfluss in Form von Steuerbefehlen oder Daten von und zur Fahrzeugsteuereinheit 16 notwendige Schnittstelle dar, z. B. als Mobilfunkschnittstelle zum Internet oder als Aktor in der Brennkraftmaschine, wie der Einspritzanlage.
-
Es wurde erkannt, dass zum Erreichen des Ziels eine Zuordnung der Erfindung zu einer Mensch-Maschine-Schnittstelle, vorzugsweise zum Bremspedal 1 des Fahrzeugs besonders wirkungsvoll ist, weil die erste Reaktion des Fahrers auf einen Kontrollverlust des Fahrzeugs, ob nun durch einen Defekt oder durch externe Manipulation hervorgerufen, der Versuch einer (Not)-Bremsung ist.
-
In der Figur ist das Bremspedal 1 über einen Bremspedalarm 2 mit einer Bremspedalkraftübertragung 3, hier als Gestänge dargestellt, welches die Kraft mechanisch auf einen Kolben innerhalb eines Hauptbremszylinders überträgt, gezeigt. Selbstverständlich kann die Bremspedalkraftübertragung 3 auch hydraulisch, pneumatisch oder elektrisch beziehungsweise durch reine Signalübertragung an einen anderen Aktor als den Kolben erfolgen. Dabei sind drei verschiedene Zuordnungen einer Betätigungseinheit (10, 11, 12) zum Bremspedal 1 dargestellt.
Betätigungseinheit 10 ist als einfacher Schalter an der Fahrzeuginnenwand bzw. der Spritzwand 4 angebracht. Der Schalter kann selbstverständlich als Taster, Näherungs- oder Berührungsschalter, der mechanisch, elektromagnetisch/induktiv oder optisch funktioniert, ausgeführt sein. Die Betätigungseinheit 10 ist in Fahrzeugquerrichtung auf Höhe des Pedalweges des Bremspedals 1 bzw. des Bremspedalarms 2 angeordnet. Ab einem gewissen Pedalweg, also ab einer bestimmten (definierten) Auslenkung des Bremspedals 1, z. B. bei einer Vollbremsung, wird die Betätigungseinheit 10 durch Annäherung, Berührung oder Drücken betätigt.
-
Alternativ oder zusätzlich zur Betätigungseinheit 10 können die Betätigungseinrichtungen 11 und 12 vorgesehen sein. Diese sind ebenfalls dem Bremspedal 1 zugeordnet, genauer dem Mittel zur Bremspedalkraftübertragung 3. Deren Betätigung kann mechanisch, z. B. über einen dargestellten Mitnehmer 9 oder eine nicht dargestellte Kulissenführung, elektromagnetisch oder auch elektromotorisch erfolgen. Bei hydraulischer, pneumatischer oder elektrischer Bremspedalkraftübertragung 3 erfolgt die Betätigung analog zum Mitnehmer 9. Die Ausführung des Betätigungsschalters 11 zeigt einen gleichen Schalter, wie bei der Betätigungseinheit 10 vorgesehen. Demgegenüber symbolisiert die Betätigungseinheit 12 einen Schalter, der eine Kraft-, Weg- oder Geschwindigkeitsmessung durchführt. Betätigungseinheit 12 wird entsprechend nur betätigt bzw. ausgelöst, wenn das Bremspedal 1 ausreichend schnell, ausreichend weit und/oder mit ausreichender Kraft betätigt wird. Denkbar ist eine mechanische oder elektrische Messung, z. B. über eine Feder mit definierter Federkonstante oder eine elektromagnetische bzw. optische Erfassung, oder auch ein Element, welches durch Massenträgheit aktiviert wird.
-
Alternativ oder zusätzlich kann die Betätigungseinheit ein Schalter sein, der im Innenraum des Fahrzeugs angeordnet ist und manuell betätigt werden kann (nicht dargestellt). Derartige Schalter sind beispielsweise als Not-Aus-Schalter bei Maschinen bekannt. Dies ist vor allem im Bereich von kommerziell genutzten Fahrzeugen, wie Taxis, Bussen oder LKW, vorteilhaft.
-
Sobald die Betätigungseinheit 10, 11, 12 betätigt wurde, betätigt diese die Trenneinheit 14, die dadurch aktiviert wird (aktivierter Zustand der Trenneinheit durch Bezugszeichen 15 angezeigt) und eine Kommunikationsleitung 19 und eine elektrische Leitung 18 trennt, also unterbricht. Im einfachsten Fall ist die Betätigungseinheit 10, 11, 12 ein Schalter, der eine bauliche Einheit mit der Trenneinheit 14, 15 bildet, und in der zu trennenden Leitung 18, 19 angeordnet ist. Für den Fall, dass Betätigungseinheit 10, 11, 12 und Trenneinheit 14, 15 räumlich voneinander entfernt angeordnet sind, ist ein Betätigungsübermittlungsmittel 13 zur Übermittlung der Betätigung der Betätigungseinheit 10, 11, 12 zur Betätigung der Trenneinheit 14, 15 vorgesehen. Dies kann im einfachsten Fall eine mechanische Übermittlung sein, beispielsweise anhand einer Stange, einer Kulisse oder über einen Hebelmechanismus, mittels derer eine Betätigungskraft übertragen wird. Es kann sich aber auch um elektrisches oder optisches Signal handeln, welches über ein als elektrische bzw. optische Leitung ausgebildetes Betätigungsübermittlungsmittel 13 übermittelt wird. Schließlich ist auch eine Funkübermittlung denkbar, die jedoch wieder anfällig für Manipulation ist.
-
Wie erwähnt, ist die Trenneinheit 14, 15 in einer Kommunikationsleitung 19 und in einer elektrischen Leitung 18 angeordnet, wobei dem Fachmann klar ist, dass „in einer Leitung angeordnet“ bedeutet, dass die Trenneinheit 14, 15 zwei Leitungsabschnitte galvanisch bzw. kommunikativ trennen und verbinden kann. Im Falle einer elektrischen Leitung 18 verbindet diese eine Kommunikationsschnittstelle 20, z. B. ein Funkmodul, oder eine Fahrzeugsteuereinheit 16 mit einer Spannungsquelle 17. Wird die elektrische Leitung 18 durch die Trenneinheit 14, 15 getrennt, fällt das Funkmodul 20 aus und das Fahrzeug hat keine Schnittstelle mehr zur Fahrzeugumgebung und kann daher nicht mehr online manipuliert werden. Alternativ oder zusätzlich kann die Kommunikationsleitung 19 getrennt werden, sodass das Funkmodul keine externen Daten mehr empfangen und an die Fahrzeugsteuereinheit weiterleiten kann. Eine Manipulation online ist damit ebenfalls ausgeschlossen.
-
In der Figur ist von der Kommunikationsleitung 19 und der elektrischen Leitung 18 nur jeweils eines als Verbindung zwischen Spannungsversorgung 17, Fahrzeugsteuereinheit 16 und Kommunikationsschnittstelle 20 dargestellt. Dies dient lediglich der Übersichtlichkeit. Tatsächlich werden beide Leitungen häufig parallel verlegt oder in einer Leitungseinheit zusammengefasst sein.
-
Bei der Fahrzeugsteuereinheit 16 kann es sich um ein Motorsteuergerät 16 handeln, welches nach der Unterbrechung der elektrischen Leitung 18 deaktiviert wird und damit der Antrieb des Fahrzeugs ausfällt. In dem Fall ist auch eine Manipulation offline nicht mehr möglich. Die gleiche Wirkung kann mit dem Trennen der Kommunikationsverbindung 19 zwischen einem Aktor der Brennkraftmaschine (im Sinne einer Funktionsschnittstelle 20, mit der ebenfalls kommuniziert wird), z. B. der Einspritzanlage, und dem Motorsteuergerät 16 erreicht werden. In einigen Fällen ist es für die Wirkung egal, ob kein Steuersignal ausgesendet wird oder das ausgesendete Steuersignal nicht beim Aktor ankommt. Fehlt die Kommunikation von Steuersignalen, können einige Aktoren auf ein nicht manipuliertes bzw. nicht manipulierbares Notfallprogramm umschalten und damit weiterhin die Sicherheit des Fahrzeugs gewährleisten. Fehlt ein derartiges Notfallprogram, kann es für die Sicherheit des Fahrzeugs sinnvoller sein, wenn der Aktor komplett von der Energiezufuhr getrennt wird.
-
Im Folgenden wird die Wirkung der Erfindung erläutert. Wird ein Fahrzeug manipuliert, z. B. über eine Drahtlosschnittstelle 20 von außen oder durch schadhafte Software über eine kabelgebundene Schnittstelle 20, bspw. der OBD-Schnittstelle, von innen, kann es passieren, dass falsche Fahrzeugsteuerbefehle an die Fahrzeugaktoren, wie Lenkung oder Antrieb, übermittelt werden und das Fahrzeug außer Kontrolle gerät. Der Bediener des Fahrzeugs wird in diesem Fall intuitiv das Bremspedal betätigen, wahrscheinlich in Form eines panikartigen schnellen Trittes auf das Bremspedal 1. Dadurch wird die Betätigungseinheit 10, 11, 12 ausgelöst und die Trenneinheit 14, 15 aktiviert. Vorteilhafterweise kann dadurch eine rein mechanische teilweise Bordnetzunterbrechung erreicht werden. Das Fahrzeug wird wieder kontrollierbar und vollzieht eine Notbremsung bzw. geht bei Vorhandensein eines nicht manipulierten bzw. nicht manipulierbaren Notprogramms in einen sicheren Zustand über. In jedem Fall kann die Aktion nicht mehr durch den Manipulator online oder offline beeinflusst werden.
-
Die Bordnetzunterbrechung kann auch elektrisch erfolgen. Die Energie des Tritts auf das Bremspedal 1 kann auch in einen elektrischen Impuls umgewandelt werden, welcher wiederum ein Relais oder ein Schütz schaltet, woraufhin das Bordnetz, also die Kommunikationsleitung und die elektrische Leitung 18, teilweise unterbrochen werden. Die Betätigungseinheit kann auch einen Stromkreis schließen, der wiederum das Relais oder das Schütz schaltet.
-
Sobald das Fahrzeug steht oder nach vollständigem Deaktivieren und erneutem Aktivieren (Zündung aus und wieder ein), kann die Trenneinheit 14, 15 automatisch oder nach Bedienerabfrage zurückgesetzt, also in den deaktivierten Zustand versetzt werden.
-
Bezugszeichenliste
-
- 1
- Bremspedal
- 2
- Bremspedalarm
- 3
- Bremspedalkraftübertragung
- 4
- Fahrzeuginnenwand/Spritzwand
- 9
- Mitnehmer
- 10
- Betätigungseinheit (Bremspedalarm)
- 11
- Betätigungseinheit (Mitnehmer)
- 12
- Betätigungseinheit (kraft- oder geschwindigkeitsabhängig)
- 13
- Betätigungsübermittlungsmittel
- 14
- Trenneinheit (deaktiviert)
- 15
- Trenneinheit (aktiviert)
- 16
- Fahrzeugsteuereinheit
- 17
- Spannungsversorgung
- 18
- elektrische Leitung
- 19
- Kommunikationsleitung
- 20
- Kommunikationsschnittstelle/Funktionsschnittstelle
