ES2301652T3 - Unidad de control. - Google Patents

Abstract

Unidad de mando (1), dotada de un microprocesador, con una memoria programable, con una caja (2) y con, como mínimo, una línea de datos (3,4) que sale de la caja (2) y destinada a la conexión con un dispositivo externo para escribir y/o leer datos en la memoria programable, caracterizada porque la unidad de mando (1) está incrustada dentro de la caja (2) de manera tal, que si se abre la caja (2), se destruye, como mínimo parcialmente, la capacidad de funcionamiento de la unidad de mando (1), caracterizada además porque la unidad de mando (1) dispone de un dispositivo de control (5) el cual, cuando se accede mediante la línea de datos (3,4) para escribir y/o leer, de forma que los datos se escriben en la memoria programable o se leen de la misma, comprueba que dichos datos estén autorizados y solamente permite escribir en la memoria programable o leer de ella en caso de que dicha comprobación haya sido positiva.

Description

Unidad de control.

La presente invención se refiere a una unidad de mando para equipos técnicos, aparatos y/o máquinas, dotada de un microprocesador, una memoria programable, una caja y, como mínimo, una línea de datos que sale de la caja destinada a la conexión con un dispositivo externo para escribir datos en la memoria programable.

Las unidades de mando con microprocesadores ya se utilizan en muchas máquinas y aparatos, por ejemplo en vehículos de motor y en la electrónica de consumo. El programa de mando que necesita el microprocesador generalmente está almacenado en una memoria programable. En muchos casos es una memoria borrable y reescribible que, como mínimo en parte, se puede programar libremente. La unidad de mando se puede adaptar en cualquier momento a cada cliente y cada aplicación, modificando los datos necesarios para ello y, en su caso, rutinas completas de programa. Estas modificaciones posteriores permiten, en especial, mejorar o actualizar el programa de mando. En particular, de esta manera y mediante cambios del software de mando, se puede modificar, por ejemplo, el alcance de las funciones y/o prestaciones de la unidad de mando y, con ello, de todo el equipo técnico, aparato y/o máquina. La reprogramación se realiza por lo general conectando un dispositivo externo a la línea de datos que sale de la caja y escribiendo mediante dicha línea los datos necesarios en la memoria programable. El dispositivo externo con frecuencia es un aparato especial para programar la unidad de mando en cuestión. Sin embargo, también puede ser un ordenador comercial corriente dotado de un software especial para programar la unidad de mando. Las líneas de datos pueden ser líneas de datos especialmente previstas para la programación, que permiten un acceso de escritura a la memoria programable. También pueden ser líneas de datos que también son utilizadas por la unidad de mando para la regulación de la instalación técnica y/o máquina, es decir, líneas de datos que cumplen una función doble.

La posibilidad de modificar ulteriormente el software de mando comporta la desventaja de que personas no autorizadas puedan abusar de esta posibilidad y, por ejemplo, puedan modificar, sin estar autorizados para ello, el alcance de las funciones y/o prestaciones de la unidad de mando, realizando de esta forma un "tuning" del equipo técnico o de la máquina. Esto presenta para los fabricantes el inconveniente de que, por una parte, pueden verse perjudicados por los daños inducidos por el "tuning" durante el periodo de garantía y los costes ocasionados por dichos daños. Además, las características diferenciadoras de los productos pueden verse modificadas ulteriormente en tal medida, que perturban de modo duradero el posicionamiento en el mercado y la política de marcas del fabricante en cuestión.

El objeto de la presente invención es perfeccionar una unidad de mando del tipo descrito al principio de forma tal, que pueda ser modificada en cualquier momento por entes autorizados, pero que también ofrezca una buena protección contra las manipulaciones frente a modificaciones no autorizadas.

Este objetivo se consigue mediante una unidad de mando, según la reivindicación 1. Las reivindicaciones dependientes presentan configuraciones y perfeccionamientos especialmente ventajosos de la invención.

La solución, según la invención, se basa en la combinación de dos componentes de protección.

En primer lugar, la unidad de mando es encapsulada en la caja de forma que impide en gran medida abrir la caja de cualquier forma, por ejemplo, mediante desatornillado o fresado, porque cualquier apertura del encapsulado de la caja conduce automáticamente a la destrucción de la capacidad de funcionamiento de la unidad de mando. Esto se puede conseguir, por ejemplo, mediante las correspondientes técnicas de aplicación de adhesivos. Puede tratarse de la destrucción de componentes de hardware esenciales, o bien del borrado de, como mínimo, partes del software importantes para la capacidad de funcionamiento. De esta forma, ya no es posible abrir la unidad y quitar soldaduras de los correspondientes componentes de memoria o extraer códigos a fin de analizar, dejar al descubierto o eludir las medidas de seguridad existentes en la unidad de mando, y posteriormente volver a cerrar la unidad de mando y seguir utilizándola en la forma modificada. Así pues, el "tuning" de la unidad de mando sólo podrá realizarse mediante las líneas de datos.

Para evitarlo, la unidad de mando comporta, en segundo lugar, un dispositivo de control que comprueba la autorización de acceso para escritura, cuando se escriben datos en la memoria programable utilizando las líneas de datos. Es decir, que cada proceso que desea acceder desde fuera a los datos de la unidad de mando, mediante las líneas de datos, para leer y/o escribir, deberá someterse a un control de autorización por parte de un llamado "guardián de puerta". La escritura o lectura en la memoria programable, es decir, cuando el dispositivo de control permite o realiza por sí mismo la escritura/lectura de los datos, solamente son posibles una vez que se ha comprobado con éxito la autorización de acceso.

Dado que de esta manera se canalizan todos los datos y se comprueba la autenticidad de los mismos, ya no es posible realizar mediante las líneas de datos un "tuning" no permitido. Como la caja está físicamente encapsulada de modo adecuado, este proceso tampoco se puede eludir.

Preferentemente, este dispositivo de control se integra en forma de rutina de software del microprocesador en la propia memoria programable. Como alternativa, también es posible colocar en la caja un módulo de seguridad separado que comporta dicho dispositivo de control, independiente del microprocesador y de la memoria programable, y conectarlo como una especie de filtro a las líneas de datos.

Para la comprobación de los datos existen diversas posibilidades generales.

Una de las posibilidades es utilizar un algoritmo secreto o una contraseña secreta. En este caso, sólo se permitirá un acceso de escritura una vez que se haya determinado la autenticidad mediante una información determinada, por ejemplo, la introducción de un PIN, o bien mediante una autenticación variable dinámica con un proceso "Challenge-Response" ("alto y contraseña"). En un caso especialmente sencillo, el dispositivo de control simplemente comporta una memoria con una contraseña secreta y un cotejador. Para la comprobación de la autorización, antes de cada acceso para escritura se transmite una contraseña mediante una línea de datos a la unidad de mando, la cual es cotejada con la palabra de control.

En un ejemplo de realización preferente, la unidad de mando está encerrada en la caja de modo tal, que cuando se abre la caja, se borran y/o destruyen las zonas de memorias que contienen una palabra de control secreta y/o una clave secreta y/o un algoritmo secreto de cifrado, de manera que después de la apertura ya no es posible leer dichos datos u algoritmos. Esto presenta la ventaja de que se pueden utilizar las mismas claves y procedimientos secretos, por ejemplo, para toda una serie de unidades de mando, sin que exista el riesgo de que una persona no autorizada pueda abrir una unidad de mando de dicha serie, a sabiendas de que se destruye su capacidad de funcionamiento, para llegar a conocer el procedimiento o la clave secreta, que posteriormente se podrían utilizar para modificar sin autorización otras unidades de mando de la misma clase.

En otra alternativa preferente, no se utilizan para la autenticación algoritmos secretos, sino procedimientos criptográficos publicados o publicables. El proceso de autenticación se realiza empleando dicho procedimiento, de manera que la seguridad ya sólo depende de las correspondientes claves empleadas. La seguridad de todo el sistema, es decir, la protección de la unidad de mando frente a manipulaciones, dependerá de la seguridad de los procesos de gestión de claves. Para el manejo de estas claves con una seguridad adecuada, existen suficientes procedimientos generalmente conocidos. La utilización de tales procedimientos criptográficos publicables presenta la ventaja de que el elemento de seguridad, al contrario que con los algoritmos secretos, no puede ser eludido simplemente conociendo los algoritmos, como sucede, por ejemplo, con la simple introducción de una contraseña.

Ejemplos de tales procedimientos criptográficos publicados son los procedimientos criptográficos simétricos tales como, por ejemplo, DES, 3-DES o IDEA, así como los procedimientos criptográficos asimétricos tales como, por ejemplo, el procedimiento RSA, donde el algoritmo de cifrado se basa en la aritmética de números enteros grandes y las claves se generan partiendo de dos números primos grandes.

La utilización de una unidad de mando de este tipo presenta una ventaja especial, por ejemplo, para regular el motor de un vehículo. También por motivos técnicos de seguridad del tráfico, es importante para estas unidades de mando impedir el "tuning" no autorizado de las unidades de mando y, con ello, de los motores. Por otra parte, un "tuning" no autorizado puede conducir a daños prematuros de motores o transmisiones dentro del periodo de garantía, lo que representa un perjuicio importante para el fabricante del vehículo. Justamente en este mercado los usuarios están muy interesados en conseguir una mayor potencia del motor mediante el correspondiente "tuning".

La invención permite modificar en cualquier momento la programación, con la máxima seguridad posible contra manipulaciones, si se aporta y comprueba una autorización, por ejemplo, un certificado electrónico y/o una característica biométrica, etc. De esta manera, un ente autorizado tal como el fabricante o un usuario de la unidad de mando que disponga de una licencia, podrá realizar en cualquier momento una puesta en servicio, modificación o introducción de diversos contenidos, por ejemplo, planos de ciudades, piezas de música o similares, o bien modificar totalmente el código del programa.

El hecho de que una persona autorizada pueda modificar los datos o el código del programa dentro de la unidad de mando y, al mismo tiempo, se impidan de forma segura las manipulaciones, tiene la ventaja adicional de que, por ejemplo, se pueden realizar modificaciones sólo temporales que desaparecen automáticamente después de un lapso prefijado, por ejemplo, cuando caduca una determinada licencia adicional. De esta manera se podría, por ejemplo, arrendar o recargar con una limitación temporal potencia adicional en un vehículo de motor. Del mismo modo, para aparatos de mando de sistemas de navegación se podrían arrendar temporalmente, para un determinado recorrido, los datos geográficos relativos a las regiones a recorrer, es decir, los mapas de ciudades o de regiones, de forma que dichos datos dejen de estar a disposición del sistema de navegación después de una fecha determinada posterior a la conclusión del viaje.

En especial, cuando se modifica el software de mando de vehículos de motor puede ser necesario recabar una autorización o habilitación de un ente tercero, por ejemplo, la autoridad que emite el permiso de circulación, antes de realizar la modificación. Para este fin, antes o después de la comprobación de la autorización, el dispositivo de control inicializa una conexión con el ente exterior, que permite la instalación del software de mando.

A continuación, se explica con más detalle la invención en base a un ejemplo de realización y haciendo referencia a la figura adjunta.

La figura única muestra esquemáticamente un diagrama de bloques de una unidad de mando (1) para un motor (no representado) de un vehículo.

La unidad de mando (1) comporta una caja cerrada (2), en la que hay dispuesto un microprocesador con una memoria programable, en la que están almacenados los datos de programa y de usuario, particularmente los parámetros pertinentes para la regulación del motor, tales como la presión de carga. La caja (2) está cerrada de manera tal, que cualquier apertura conduce a una destrucción irreversible de la capacidad de funcionamiento de la unidad de mando. Mediante las líneas de datos (3) y (4) se puede acceder a la memoria programable y sobrescribir los programas o datos que contiene.

La unidad de mando (1) comporta, además, un dispositivo de control (5) que funciona como "guardián de puerta" y comprueba todos los datos que entran desde las líneas de datos (3) y (4), controlando de esta manera la autenticidad de cada acceso para escritura.

El dispositivo de control se muestra en la figura como un bloque dentro de la unidad de mando. En realidad, el dispositivo de control (5) está integrado en la memoria programable como proceso de software dentro del microprocesador. En la figura no se muestra el microprocesador ni la memoria programable.

En el ejemplo de realización mostrado, el dispositivo de control (5) trabaja mediante una firma digital mediante la cual, primero, se calcula un valor hash sobre todo el string de datos que se ha de escribir en la memoria. Este valor hash, antes de la transmisión mediante una de las líneas de datos (3) ó (4), se cifra con un algoritmo criptográfico preferentemente asimétrico, en este caso un procedimiento RSA. El resultado de este cálculo se adjunta como "firma" al mensaje propiamente dicho, es decir, al string de datos.

El dispositivo de control (5) origina posteriormente en la unidad de mando (1), mediante el string de datos propiamente dicho, la compresión del valor hash con el mismo algoritmo hash usado en el aparato de escritura. La firma digital adjunta se descifra con la clave pública del algoritmo RSA y el valor hash adjunto de la firma contenido en el descifrado se coteja con el valor hash calculado en la unidad de mando. Si dos valores son iguales, el mensaje no ha sido modificado durante su transmisión y fue generado por un aparato en posesión de la clave secreta correcta. De esta manera la firma queda comprobada y los datos autenticados. En caso de que los dos valores no coincidan, el mensaje o la firma han sido modificados durante la transmisión. Así pues, no hay autenticidad y el contenido del mensaje no puede ser admitido como no modificado o como enviado por una persona autorizada. En consecuencia, el string de datos no es aceptado por el dispositivo de control y, contrariamente a lo que pretende el usuario del equipo para programar la unidad de mando (1), no se inscribe en la memoria. En la parte superior izquierda del dispositivo de control (5) se muestra este proceso de control como código de programa. Dentro del dispositivo de control (5), arriba a la derecha, se muestra el string de datos y la generación del valor hash y de la firma.

La invención impide de forma eficaz las manipulaciones de la unidad de mando y dentro de la misma dado que, debido al encapsulamiento de la caja, no es posible eludir la firma digital, y una persona no autorizada no puede abrir la caja y escribir los datos que desea directamente en los lugares correspondientes de la memoria. De esta forma se evita que las sociedades afectadas reciban reclamaciones por garantía no deseadas. Ya no se podrá perjudicar la estrategia de marca de las empresas en cuestión. Además, la duración útil de los equipos técnicos y/o aparatos o máquinas controlados por la unidad de mando es mayor que la de los dispositivos modificados sin autorización. Por otra parte, en cualquier momento es posible realizar modificaciones o ampliaciones permanentes o sólo temporales de las funciones de la unidad de mando, de modo que se puede asegurar una adaptación flexible y dinámica a las cambiantes exigencias de la técnica, los mercados y los clientes.

Claims (8)

1. Unidad de mando (1), dotada de un microprocesador, con una memoria programable, con una caja (2) y con, como mínimo, una línea de datos (3,4) que sale de la caja (2) y destinada a la conexión con un dispositivo externo para escribir y/o leer datos en la memoria programable, caracterizada porque la unidad de mando (1) está incrustada dentro de la caja (2) de manera tal, que si se abre la caja (2), se destruye, como mínimo parcialmente, la capacidad de funcionamiento de la unidad de mando (1), caracterizada además porque la unidad de mando (1) dispone de un dispositivo de control (5) el cual, cuando se accede mediante la línea de datos (3,4) para escribir y/o leer, de forma que los datos se escriben en la memoria programable o se leen de la misma, comprueba que dichos datos estén autorizados y solamente permite escribir en la memoria programable o leer de ella en caso de que dicha comprobación haya sido positiva.

2. Unidad de mando, según la reivindicación 1, caracterizada porque el dispositivo de control comporta una memoria con una contraseña secreta y un dispositivo de cotejo, para comparar con dicha contraseña una palabra clave transmitida a la unidad de mando mediante una línea de datos, antes de un acceso para escritura, a fin de comprobar la autorización de acceso.

3. Unidad de mando, según las reivindicaciones 1 ó 2, caracterizada porque el dispositivo de control comporta medios para ejecutar un procedimiento de "alto y contraseña" (Challenge-Response) para la comprobación de autorización.

4. Unidad de mando, según una de las reivindicaciones 1 a 5, caracterizada porque el dispositivo de control comporta medios para el cifrado y/o descifrado de datos.

5. Unidad de mando, según una de las reivindicaciones 1 a 3, caracterizada porque el dispositivo de control (5) comporta medios para comprobar una firma digital de los datos trasmitidos mediante la línea de datos (3, 4).

6. Unidad de mando, según una de las reivindicaciones 1 a 5, caracterizada porque la unidad de mando está incrustada en la caja de forma tal que, cuando se abre la caja, se borran y/o destruyen zonas de la memoria que contienen una contraseña secreta y/o una clave secreta y/o un algoritmo secreto de cifrado.

7. Unidad de mando, según una de las reivindicaciones 1 a 6, caracterizada porque el dispositivo de control (5) comporta medios para realizar una conexión a entes externos y solamente permite un acceso para escribir o leer una vez que dicho ente externo lo autorice.

8. Utilización de una unidad de mando (5), según una de las reivindicaciones 1 a 7, para regular el motor de un vehículo.