ES2539692T3 - Sistema electrónico de a bordo para un vehículo y procedimiento de verificación para el mismo - Google Patents

Abstract

Sistema electrónico de a bordo para vehículos (2), con una pluralidad de módulos (MAi, MSj) que están conectados entre sí a través de un bus de comunicaciones (C) y a los que se puede acceder mediante direcciones inequívocas, en donde los módulos (MAi, MSj) 5 forman un primer grupo (GA) de por lo menos dos módulos de aplicación (MAi) para ejecutar diferentes aplicaciones (Ai) y un segundo grupo (GS) de por lo menos dos módulos de servicio (MSj) para prestar diferentes servicios (Sj), en donde cada módulo de aplicación (MAi) está configurado para dirigir un mensaje de solicitud (nij) para la prestación del servicio a través del bus de comunicaciones (C) a un módulo de servicio seleccionado (MSj) , y en donde cada módulo de servicio (MSj) está configurado para que después de una prestación de servicio devuelva un mensaje de respuesta (nji) a través del bus de comunicaciones (C) a un módulo de aplicación solicitante (MAi), en donde por lo menos un módulo de aplicación (MAi) comprende una aplicación de tarificación de peaje (A2) y por lo menos un módulo de servicio (MSj) comprende un servicio de comunicaciones (S1 S2), y en donde los dos módulos de aplicación (MAi) comparten por lo menos uno de los dos módulos de servicio (MSj), debido a que dirigen mensajes de solicitud (nij) a un mismo módulo de servicio (MSj), caracterizado por que el sistema de a bordo para vehículos (2) comprende adicionalmente un módulo de registro (MA4), que está configurado para registrar los mensajes de solicitud (n2j) dirigidos por el primer módulo de aplicación (MA2) durante el funcionamiento del vehículo a un módulo de servicio (MSj), así como los mensajes de respuesta (nj2) devueltos por el mismo durante el funcionamiento del vehículo, y almacenarlos de manera recuperable y legible, y respectivamente provistos con un sello cronológico actual (t2j, tj2), en una memoria (18) de un sistema de verificación independiente del sistema de a bordo para vehículos (2) para su verificación.

Description

E13157236

16-06-2015

DESCRIPCIÓN

Sistema electrónico de a bordo para un vehículo y procedimiento de verificación para el mismo

5 La presente invención se refiere a un sistema electrónico de a bordo para un vehículo con una pluralidad de módulos que están conectados entre sí a través de un bus de comunicaciones y a los que se puede acceder mediante direcciones inequívocas. La invención se refiere además a procedimientos para verificar un sistema de a bordo de este tipo.

Si los sistemas electrónicos de a bordo para vehículos en un principio fueron empleados sobre todo para el manejo del motor, en los vehículos actuales ellos asumen numerosas otras funciones y aplicaciones de muy diversa complejidad; a esto pertenecen las aplicaciones de seguridad, por ejemplo, en la asistencia de frenado o el control del airbag, aplicaciones de confort como, por ejemplo, la regulación de la temperatura y de la climatización, o la navegación, al igual que las aplicaciones de entretenimiento, por ejemplo, el control de música y vídeo o el acceso a

15 servicios de Internet, pero también aplicaciones sencillas, tales como la apertura de ventanillas o puertas. Estas aplicaciones normalmente están conectadas como módulos separados a un bus de comunicaciones común. A través de éste tienen acceso a otros módulos conectados que ejecutan servicios asignados a los mismos. Por ejemplo, un módulo de aplicación para la regulación de la climatización tiene acceso a un módulo de servicio con sensor de temperatura que devuelve una respuesta – en este caso, el valor de temperatura medido.

A pesar de la capacidad de rendimiento de los actuales sistemas de a bordo para vehículos, numerosas aplicaciones complejas, tales como, por ejemplo, una aplicación para el cobro de peajes en un sistema de peajes de carretera, todavía se siguen instalando actualmente en los vehículos como aparatos separados, sin estar conectados al sistema de a bordo del vehículo. Esto se debe, entre otras cosas, a la elevada carga adicional del bus de

25 comunicaciones de los sistemas de a bordo vehiculares existentes a través de módulos adicionales, así como el dispendio adicional de validación y certificación, por ejemplo, cuando una aplicación de cobro de peajes con todos sus módulos de servicio – muchas veces producidos por fabricantes ajenos y certificados de manera específica para el respectivo explotador – se quiere conectar al sistema de a bordo del vehículo.

El documento DE 10 2008 048 162 A1 describe una unidad de a bordo que acopla módulos de servicio y módulos de aplicaciones a través de un bus de comunicaciones. En este caso, un módulo de servicio puede ser usado de manera compartida por varios módulos de aplicaciones.

El documento DE 100 26 918 A1 describe un adaptador de red que acopla una segunda red al sistema de a bordo

35 del vehículo, debido a que registra el bus de comunicaciones de manera pasiva y basándose en sus registros simula para la segunda red un acceso al sistema de a bordo del vehículo.

El documento EP 1 574 864 A1 describe un sistema de verificación para componentes de un sistema de a bordo vehicular. Para esto se efectúa un viaje de referencia con un vehículo de referencia. La capacidad de funcionamiento de un vehículo a ser comprobado se verifica después basándose en los datos de referencia recogidos.

El objetivo de la presente invención consiste en crear por primera vez un sistema electrónico de a bordo para vehículos con una aplicación de gestión de peajes integrada y un módulo de registro, que trabaja con elevada eficiencia y que puede ser fácilmente verificado y certificado.

45 De acuerdo con un primer aspecto de la presente invención, este objetivo se logra con un sistema electrónico de a bordo para vehículos del tipo inicialmente mencionado, en el que los módulos forman un primer grupo de por lo menos dos módulos de aplicación para ejecutar distintas aplicaciones y un segundo grupo de por lo menos dos módulos de servicio para prestar diferentes servicios, en donde cada módulo de aplicación está configurado para dirigir un mensaje de solicitud para la prestación del servicio a través del bus de comunicaciones a un módulo de servicio seleccionado, y en donde cada módulo de servicio está configurado para que después de una prestación de servicio devuelva un mensaje de respuesta a través del bus de comunicaciones a un módulo de aplicación solicitante, en donde por lo menos un módulo de aplicación comprende una aplicación de tarificación de peaje y por lo menos

55 un módulo de servicio comprende un servicio de comunicaciones, y en donde los dos módulos de aplicación comparten por lo menos uno de los dos módulos de servicio, debido a que dirigen los mensajes de solicitud al mismo módulo de servicio, y en donde el sistema de a bordo vehicular está caracterizado por que comprende adicionalmente un módulo de registro, que está configurado para registrar los mensajes de solicitud dirigidos por el primer módulo de aplicación durante el funcionamiento del vehículo a un módulo de servicio, así como los mensajes de respuesta devueltos por el mismo durante el funcionamiento del vehículo, y almacenarlos de manera recuperable y legible, y respectivamente provistos con un sello cronológico actual, en una memoria de un sistema de verificación independiente del sistema de a bordo para vehículos.

65 Debido a la modularización de servicios en módulos de servicio individuales y el uso compartido de módulos de servicio individuales por varios módulos de aplicación, se incrementa la eficiencia del sistema de a bordo vehicular:

E13157236

16-06-2015

Se previenen las redundancias por vías dobles, el número de módulos solo aumenta poco con aplicaciones adicionales, al igual que la carga del bus de comunicaciones, ya que se previenen las redundancias de servicios. De esta manera, también los módulos de aplicación complejos, tales como los requeridos por una aplicación de gestión de peajes, pueden ser integrados de manera eficiente en un sistema electrónico de a bordo para un vehículo.

5 El registro de acuerdo con la presente invención crea la posibilidad de hacer un seguimiento posterior de los sucesos en el sistema de a bordo vehicular y de esa manera verificar el correcto funcionamiento de la aplicación de gestión de peajes y de los módulos de servicio usados por la misma, así como, en caso de error o fallo, buscar las causas del mismo. Esto facilita la trazabilidad de los sucesos que se desarrollan en el sistema de a bordo vehicular durante el funcionamiento del vehículo, en particular cuando se usan módulos de diferentes fabricantes en el sistema de a bordo vehicular.

Para poder ejecutar una aplicación de gestión de peajes de acuerdo con el estándar DSCR (Dedicated Short Range Communication), es ventajoso si uno de los módulos de servicio que comprenden un servicio de comunicaciones es

15 un transceptor DSRC. También se pueden hacer disponibles otros servicios de comunicaciones. De esta manera, preferentemente uno de los módulos de servicio que comprenden un servicio de comunicaciones es un transceptor de telefonía móvil. De esta manera, por ejemplo, se posibilita tanto para la aplicación de navegación un acceso remoto a datos actuales sobre el estado de las vías de circulación o a nuevos mapas de carretera, respectivamente, así como también el envío de los datos de peaje determinados por la aplicación de gestión de peajes a un sistema de peajes de carretera central. Incluso un cambio a un nuevo estándar DSRC y/o de telefonía móvil, por ejemplo con una mayor anchura de banda, no requiere ningún cambio de los módulos de aplicación para la aplicación de gestión de peajes o de navegación, respectivamente. En cambio, ambos módulos de aplicación se benefician de una sustitución del módulo de servicio DSRC o del módulo de servicio de telefonía móvil.

25 Otra forma de realización preferente del sistema de a bordo para vehículos de acuerdo con la invención consiste en que un módulo de servicio adicional comprende un servicio de localización para poder suministrar servicios de localización correspondientes a las aplicaciones de gestión de peajes dependientes del lugar.

Es ventajoso si otro módulo de servicio adicional comprende un servicio de comparación de mapas. Un servicio de comparación de mapas de este tipo compara, por ejemplo, con el servicio de localización de un módulo de servicio adicional la posición determinada del vehículo con un mapa de una red de carreteras almacenado, por ejemplo, en una memoria de mapas del módulo de servicio, para así poder localizar de mejor manera el vehículo en la red de carreteras. Un servicio de este tipo, altamente complejo y muy intensivo en cuanto a cálculos, puede ser compartido por la aplicación de gestión de peajes y la aplicación de navegación, por lo que tal modularización incrementa la

35 eficiencia del sistema de a bordo para vehículos.

Es ventajoso si un módulo de servicio adicional comprende un servicio de pagos. Un servicio de pagos de este tipo, que puede estar ligado a una identificación o autenticación del sistema de a bordo del vehículo, no solo puede ser usado para aplicaciones de gestión de peajes y de navegación, sino también para aplicaciones que permiten, por ejemplo, obtener acceso a Internet y a los servicios online ofrecidos allí.

El módulo de registro puede estar conectado directamente al bus de comunicaciones y detectar y registrar los mencionados mensajes de solicitud y respuesta en el bus de comunicaciones, o también puede estar interconectado entre el primer módulo de aplicación con la aplicación de gestión de peajes y el bus de comunicaciones y estar

45 configurado para dejar pasar y registrar los mencionados mensajes de solicitud y respuesta.

Preferentemente, el módulo de registro estar configurado para dotar los registros con una signatura. De esta manera se puede comprobar la autenticidad de cada registro individual. Una modificación de un registro por terceros no es posible sin que sea advertida. Para proteger los registros adicionalmente contra el acceso de personas no autorizadas y contra manipulaciones, es particularmente ventajoso si el módulo de registro y/o su memoria de datos tienen una protección de acceso criptográfica y/o física.

En un segundo aspecto, la presente invención crea un procedimiento para verificar un sistema de a bordo del tipo previamente mencionado mediante un sistema de verificación independiente del mismo que tiene un acceso por lo

55 menos temporal a la memoria del módulo de registro, y que comprende las siguientes etapas:

leer un mensaje de solicitud y un mensaje de respuesta correspondiente junto con sus respectivos sellos cronológicos de la memoria de datos, verificar si la diferencia de los sellos cronológicos leídos excede de un valor límite predeterminado y suministrar el resultado de la verificación.

La aplicación de gestión de peajes y los módulos de servicio a los que se dirige se someten así a una comprobación sencilla y rápida. Las desviaciones de módulos de servicio individuales con respecto a un comportamiento predeterminado pueden ser reconocidas rápidamente. El procedimiento de verificación no está limitado a ser

65 realizado en un taller, debido a que la memoria del módulo de registro puede ser leída, por ejemplo, a través de un servicio de comunicaciones del sistema de a bordo del vehículo, incluso durante el funcionamiento del vehículo (“on

E13157236

16-06-2015

the fly”). Dependiendo de los módulos verificados o de la desviación con respecto al valor límite predeterminado, se pueden tomar diferentes medidas correctivas. Así, en caso de una desviación que excede el valor límite, se puede informar o advertir al conductor u operador del vehículo, a un taller y/o al operador del sistema de peajes de carretera, por ejemplo para bloquear o suspender la vigencia de un contrato de usuario. También se puede

5 desactivar un módulo para prevenir la perturbación del sistema de a bordo vehicular en su totalidad.

En un aspecto adicional, la presente invención se refiere a un procedimiento para verificar un sistema de a bordo para vehículos del tipo previamente mencionado a través de un sistema de verificación independiente del mismo, que tiene un acceso por lo menos temporal a una memoria del módulo de registro y por lo menos un módulo de servicio de referencia para ejecutar el servicio de un módulo de servicio a ser verificado del sistema de a bordo del vehículo, que comprende las siguientes etapas:

leer un mensaje de solicitud dirigido al módulo de servicio a ser verificado y el mensaje de respuesta correspondiente de la memoria de datos,

15 enviar el mensaje de solicitud leído para la ejecución del servicio al módulo de servicio de referencia y recibir un mensaje de respuesta de referencia retornado en relación a ello del módulo de servicio de referencia, comparar el mensaje de respuesta leído con el mensaje de respuesta de referencia y suministrar el resultado de la comparación.

De esta manera, el sistema de verificación efectúa una comprobación muy exacta del módulo de servicio con el apoyo de su módulo de servicio de referencia – por ejemplo, en un entorno certificado y a prueba de manipulaciones. Al igual que el procedimiento antes mencionado, también puede ser realizado “on the fly”, es decir, sobre la marcha, para validar o certificar el sistema de a bordo del vehículo o algunos de sus componentes individuales, o para generar avisos de información o advertencia. También en este caso, como reacción adicional

25 ante un resultado insatisfactorio de la verificación, es posible la desactivación de módulos de servicio individuales o incluso de módulos de aplicación, o también un cambio en la priorización de servicios o aplicaciones.

De manera particularmente preferente, el resultado de comprobación arriba mencionado y el resultado de comparación arriba mencionado se combinan en un resultado de evaluación. Tal resultado de una doble comprobación hace posible la validación, certificación o la recertificación actual y/o posterior de módulos, y concretamente también durante el funcionamiento del sistema de a bordo del vehículo. Esto es ventajoso en particular en aquellos casos en los que el sistema de a bordo del vehículo comprende diferentes módulos, por ejemplo, de diferentes fabricantes, y/o en caso de sustitución o ampliación de módulos individuales.

35 De manera particularmente preferente, adicionalmente se comprueba la autenticidad de la signatura de los mensajes de solicitud y de respuesta leídos en la memoria, a fin de poder asegurar la autenticidad de los registros. De esta manera, los procedimientos, basados en los mismos registros registrados, autenticados y protegidos contra manipulaciones por un solo módulo, pueden ser usados, por ejemplo, por los fabricantes del módulo, el fabricante del vehículo y los operadores de servicios externos, por ejemplo, operadores de peaje de carreteras, de manera paralela a los fines de una verificación, en particular si el módulo de registro y/o su memoria de datos están protegidos adicionalmente de forma criptográfica y/o física. Si el módulo de registro también registra mensajes de otros módulos, se puede prescindir del uso de módulos de registro adicionales en el sistema de a bordo del vehículo.

La lectura del contenido de la memoria al sistema de verificación puede efectuarse tanto mediante una extracción

45 física de la memoria y/o del módulo de registro fuera del sistema de a bordo del vehículo, como también mediante una conexión técnica de datos, bien sea alámbrica o inalámbrica. Preferentemente, la mencionada lectura del contenido de la memoria se realiza mediante el envío inalámbrico del contenido de la memoria por el sistema de a bordo del vehículo al sistema de verificación, por ejemplo, con el apoyo de uno de los módulos de servicio de comunicaciones del sistema de a bordo del vehículo.

La presente invención se describe más detalladamente a continuación con referencia a ejemplos de realización representados en los dibujos adjuntos. En los dibujos:

la Fig. 1 muestra un vehículo con un sistema electrónico de a bordo para vehículos de acuerdo con la presente

55 invención en comunicación con componentes externos en un diagrama de bloques esquemático; las Figs. 2a hasta 2i muestran la cooperación entre diferentes módulos del sistema de a bordo para vehículos de la Fig. 1 en diagramas de bloque por secciones; y la Fig. 3 es un diagrama de flujo de un procedimiento de acuerdo con la presente invención para verificar el sistema de a bordo para vehículos de las Figs. 1 y 2.

De acuerdo con la Fig. 1, un vehículo 1 con un sistema electrónico de a bordo para vehículos 2 (Onboard Electronic System, OES) se desplaza sobre una carretera 3. El sistema de a bordo del vehículo 2 ejecuta diferentes aplicaciones y servicios, según se explicará con mayor detalle más adelante con referencia a la Fig. 2. Por ejemplo, se encuentra en comunicación de radio vía satélite 4 con los satélites 5 de un sistema global de navegación por 65 satélite (Global Navigation Satellite System, GNSS) para determinar su posición. Igualmente, el sistema de a bordo del vehículo 2 en el ejemplo de la Fig. 1 se comunica a través de una conexión de telefonía móvil 6 con una de

E13157236

16-06-2015

5

10

15

20

25

30

35

40

45

50

55

60

65

muchas estaciones de base 7 de una red de telefonía móvil 8 (Public Land Mobile Network, PLMN), que también puede establecer una conexión de datos 9 con una red de datos global, tal como la Internet 10.

Adicionalmente, el sistema de a bordo del vehículo 2 de acuerdo con la Fig. 1 también está en comunicación de radio de corto alcance 11 con una radiobaliza 12 de un sistema de peajes de carretera 13. El sistema de peajes de carretera 13 tarifica (grava) el uso de zonas o áreas sujetas a un peaje de la carretera 3, por ejemplo, carreteras de peaje o aparcamientos, usadas por los vehículos 1. Para esto comprende una pluralidad de radiobalizas 12 en el lado de la carretera. La comunicación a través de las conexiones de radio 11 se realiza preferentemente de acuerdo al estándar DSRC o el estándar WAVE (Dedicated Short Range Communication o Wireless Access in Vehicular Environments), o también ITS-G5, comunicación de RFID o de rayos infrarrojos, en el caso más simple WLAN o Bluetooth. Debido al emplazamiento conocido de las radiobalizas 12 y de los alcances limitados de sus comunicaciones de radio 11, los sistemas de a bordo para vehículos 2 pueden ser localizados para gravar así el peaje por el uso de la carretera 3. Para este fin, cada radiobaliza 12 mantiene una conexión de datos (15) con un sistema central 14 del sistema de peajes de carretera 13.

El sistema central 14 del sistema de peajes de carretera 13 puede estar conectado a través de una conexión de datos adicional 9’ con la red de datos global 10 y así, si ello se desea, intercambiar información a través de la red de telefonía móvil 8 con el sistema de a bordo para vehículos 2. Asimismo, el sistema de telefonía móvil 8 puede estar en contacto directamente con la central 14.

Como se muestra en las Figs. 2a hasta 2i, el sistema de a bordo para vehículos 2 está estructurado de forma modular: El mismo comprende un primer grupo GA de módulos de aplicación MA1, MA2,..., designados conjuntamente como MAi, que respectivamente ejecutan diferentes aplicaciones A1, A2,..., designados conjuntamente como Ai; así como un segundo grupo GS de módulos de servicio MS1, MS2,..., designados conjuntamente como MSj, que respectivamente ejecutan diferentes aplicaciones S1, S2,..., designados conjuntamente como Sj. Los módulos MAi, MSj se encuentran en contacto de comunicación entre sí a través de un bus de comunicaciones C del sistema de a bordo para vehículos 2. Cada módulo MAi, MSj tiene una dirección de bus inequívoca en el bus de comunicaciones C, con la que puede ser contactado de manera individual.

El bus de comunicaciones C puede ser un bus CAN, u otro bus de comunicaciones empleado en un vehículo, por ejemplo un bus de campo FlexrayTM. Cada módulo de aplicación MAi o su aplicación Ai, respectivamente, en caso de ser necesario tiene acceso a uno o varios módulos de servicio MSj y al servicio Sj respectivamente ejecutado en el mismo; y viceversa, cada módulo de servicio MSj a solicitud puede poner su servicio Sj a disposición de uno o varios módulos de aplicación MAi.

Los servicios Sj ofrecidos por los módulos de servicio MSj pueden ser de cualquier tipo, por ejemplo, un servicio de cálculo S6, como es ofrecido por un procesador (CPU) o un procesador gráfico (GPU), un servicio de almacenamiento S7, como es ofrecido por un componente de memoria (MEM), servicios referidos al vehículo, que son puestos a disposición por componentes específicos del vehículo, tales como el tablero de instrumentos, la cerradura de encendido, los sistemas de frenos o de manejo del motor, u otros similares.

Por ejemplo, un módulo de servicio MSj de “cerradura de encendido” podría suministrar información sobre el estado de encendido (la posición de la llave de encendido) del vehículo, un módulo de servicio MSj de “tacómetro” puede suministrar valores de medición de velocidad del vehículo, un módulo de servicio MSj de “reloj” puede suministrar datos de sincronización y tiempo, un módulo de servicio MSj vinculado con el sistema de freno del vehículo puede suministrar valores de medición de aceleración y frenado, por ejemplo, suministrados por sensores de aceleración, un módulo de servicio del motor MSj vinculado con la unidad de control o manejo del motor (Engine Control Unit, ECU; Full Authority Digital Engine Control, FADEC) puede suministrar datos de medición del motor o de los gases de escape (por ejemplo, suministrados por una sonda lambda) o permitir la modificación de datos de control del motor, etc., etc.

En el ejemplo de la Fig. 2a, un módulo de aplicación MA1 con una aplicación de navegación (Navigation, NAV) A1 envía un mensaje de solicitud n13 para ejecutar un servicio de localización por satélite (GNSS) S3 a través del bus de comunicaciones C a un módulo de servicio MS3 que presta este servicio S3. Después de ejecutar el servicio de localización S3, es decir, después de determinar la posición, el módulo de servicio MS3 envía un mensaje de respuesta n31 a través del bus de comunicaciones C de retorno al módulo de aplicación solicitante MA1. El mensaje de solicitud n13, además de la instrucción para la ejecución del servicio, que también puede incluir la correspondiente transferencia de parámetros y datos, listas de instrucciones, sumas de verificación, etc., comprende las direcciones de bus del módulo de aplicación emisor MA1 y del módulo de servicio seleccionado MS3, al que va dirigido el mensaje n13. El mensaje de respuesta n31 a su vez contiene las direcciones de bus de los dos módulos MS3, MA1 y adicionalmente parámetros de resultado del servicio de localización S3 para el uso adicional en la aplicación de navegación A1. Los parámetros de resultado también pueden comprender, por ejemplo, informes sobre el tipo y calidad de la ejecución del servicio, por ejemplo, el tamaño de la memoria usada para esto, el número de unidades de cálculo (CPUs) usadas para esto, la exactitud de un resultado de localización, informes de rendimiento en forma de MIPS (millones de instrucciones por segundo) como indicador de la potencia de CPU usada, etc., etc.

E13157236

16-06-2015

Dado el caso, un mensaje de solicitud nij además de las direcciones de bus previamente mencionadas también puede comprender parámetros para el uso en el servicio Sj seleccionado, por ejemplo, datos del lugar para un servicio de comparación de mapas S4, según se explica más abajo. Asimismo, un mensaje de respuesta nji además de las direcciones de bus previamente mencionadas también puede comprender solamente una confirmación sobre

5 la ejecución del servicio Sj, por ejemplo, la confirmación de que el servicio de comunicaciones de telefonía móvil S2 ha enviado datos exitosamente a la red de telefonía móvil 8, sin comprender otros parámetros de resultado adicionales.

Las Figs. 2a hasta 2i muestran la cooperación de diferentes módulos de servicio MSj con diferentes módulos de aplicación MAi, en donde los módulos de aplicación MAi comparten respectivamente módulos de servicio MSj, es decir, los usan conjuntamente, a fin de minimizar el número de módulos MAi, MSj y por ende también la complejidad del sistema de a bordo para vehículos 2. A este respecto, las Figs. 2a hasta 2i muestran respectivamente un escenario diferente o una función diferente del sistema de a bordo para vehículos 2, para las que los módulos resumidos mediante líneas intermitentes forman respectivamente otro aparato físico o virtual.

15 La Fig. 2a muestra el uso del sistema de a bordo para vehículos 2 como instrumento de navegación, por ejemplo, un receptor de GPS con representación de mapas. De acuerdo con la Fig. 2a, una aplicación de navegación A1 solicita un servicio de comparación de mapas S4 (“map matching”, MM) de un módulo de servicio MS4, enviando un mensaje de solicitud n14 al módulo de servicio MS4 que contiene los parámetros de lugar previamente determinados por el servicio de localización S3 (véase el mensaje de solicitud n13 y el mensaje de respuesta n31). Basándose en estos parámetros de lugar, el servicio de comparación de mapas S4 efectúa una comparación con un mapa digital de una red de carreteras almacenado en una memoria D del módulo de servicio MS4 y mejora así la precisión de la posición determinada por el servicio de localización S3 del sistema de a bordo para vehículos 2 o del vehículo 1, respectivamente, en la red de carreteras 3. Basándose en los resultados transmitidos en el correspondiente mensaje

25 de respuesta n41, la aplicación de navegación A1 puede entonces mostrarle al conductor la posición actual del vehículo, así como propuestas para la ruta a seguir.

La aplicación de navegación A1 adicionalmente puede tener acceso a un módulo de comunicaciones de telefonía móvil MS2 – en el presente ejemplo, un transceptor de telefonía móvil (PLMN) – por ejemplo, para recibir y evaluar información actual sobre el tiempo o el tráfico, o para actualizar el mapa digital almacenado en la memoria D.

La Fig. 2b muestra el sistema de a bordo para vehículos 2 en una función como router para redes. Una aplicación para redes (aplicación de IP) A3 de esta manera posibilita que el vehículo o sus ocupantes tengan acceso a la Internet 10. El acceso es establecido por la aplicación de redes A3 con el apoyo del módulo de comunicaciones de

35 telefonía móvil MS2 a través de una conexión de telefonía móvil 6 y la red de telefonía móvil 8. La aplicación de redes A3 opcionalmente para fines de autenticación y/o pagos también puede usar un servicio de pagos (Subscriber Identification Module, SIM) S5, por ejemplo, un monedero electrónico, en caso de que se quiera tener acceso a servicios de Internet o telefonía móvil externos que están sujetos al pago de una tarifa o que requieren una identificación del usuario.

Las Figs. 2c hasta 2i muestran el uso del sistema de a bordo para vehículos 2 como unidad de a bordo (OBU) del sistema de peajes de carretera 13 en diferentes formas realización.

La Fig. 2c muestra la realización de una así llamada OBU “thin client”. Una aplicación de tarificación de peaje

45 (Tolling Service Application, TSA) A2 del sistema de a bordo para vehículos 2 usa el servicio de localización S3 del módulo MS3 para la localización vía satélite, a fin de localizarse a sí mismo. La aplicación de tarificación de peaje transmite los datos de localización en bruto determinados de esta manera, por ejemplo, a través del módulo de servicio de telefonía móvil MS2, al sistema central 14 del sistema de peaje de carreteras 13, donde los datos de localización pueden ser mejorados, por ejemplo, mediante mapas de carretera digitales, para gravar el uso de carreteras 3 sujetas al pago de peaje.

La Fig. 2d muestra la estructura de una así llamada OBU “thick client”, en la que la aplicación de tarificación de peaje A2 evalúa por sí misma los datos de localización determinados por el servicio de localización S3 con el apoyo del módulo de servicio de comparación de mapas MS4, para calcular basándose en esto las sumas de peaje y transmitir

55 el resultado de la tarificación como información de peaje con anonimización de lugar, por ejemplo, a través del módulo de servicio de comunicaciones de telefonía móvil MS2, al sistema central 14 del sistema de peaje de carreteras 13.

La Fig. 2e muestra una variante de la OBU “thin client” de la Fig. 2c. La aplicación de tarificación de peaje A2 con el apoyo del servicio de localización S3 en este caso transmite los datos de localización a través de un módulo de servicio DSRC MS1, por ejemplo, un transceptor DSRC o un módulo de servicio WAVE (no representado) al sistema central 14 del sistema de peaje de carreteras 13.

Como se muestra en la Fig. 2f, el sistema de a bordo para vehículos 2 – de manera alternativa a las variantes de

65 OBUs autolocalizantes representadas en las Figs. 2c hasta 2f – de la manera previamente descrita puede ser localizado de forma externa a través de las radiobalizas de corto alcance 12, para lo que el módulo de aplicación de

E13157236

16-06-2015

tarificación de peaje MA2 usa el módulo de servicio DSRC MS1 (o un módulo de servicio WAVE). El ejemplo de la Fig. 2g representa una variante de OBU para una tarificación de peaje de prepago. Para esto, el módulo de aplicación de tarificación de peaje MA2 usa adicionalmente el servicio de pagos S5 del módulo de servicio MS5, por ejemplo, para que al ingresar en la zona de cobertura de radio de corto alcance de una radiobaliza 12 se

5 cargue una tarifa de peaje predeterminada o comunicada a este respecto a un saldo almacenado en el módulo de servicio MS5.

Asimismo, tal como se representa en la Fig. 2h, el módulo de aplicación de tarificación de peaje MA2 por una parte podría usar el módulo de servicio DSRC MS1 para la autolocalización basándose en una red de radiobalizas DSRC geográficamente distribuidas 12, pero para entonces enviar los datos de localización de forma autónoma a través del módulo de servicio de telefonía móvil MS2 al sistema central 14 del sistema de peaje de carreteras 13.

También son posibles otras variantes para el uso del sistema de a bordo para vehículos 2 como OBU de tarificación de peaje. Así, por ejemplo, una OBU “thick client” también puede estar dotada con un saldo de prepago, el módulo

15 de aplicación de tarificación de peaje MA2 puede combinar cualesquiera módulos de localización, comunicaciones y cálculo MS1, MS2, MS3, MS4, MS5 y compartirlos con otros módulos de aplicación MA1, MA3, etc., etc. Otros módulos de aplicación y de servicio MAi, MSj, por ejemplo, para control del motor, regulación de la climatización, también pueden estar conectados a través del bus de comunicaciones C y compartir entre ellos los servicios Sj.

Es obvio que dependiendo de los requerimientos, los diferentes módulos individuales MAi, MSj pueden estar realizados tanto como módulos de hardware como también de software, y que a este respecto varios módulos de software también pueden ejecutarse en la misma unidad procesadora física, si esto se requiere. Asimismo, los módulos MAi, MSj también podrían estar más refinados o subdivididos jerárquicamente, según sea el caso.

25 El sistema de a bordo para vehículos 2 en general ejecuta las aplicaciones Ai y los servicios Sj de forma cronológicamente paralela, en la medida en que estos se requiera o se desee. Los mensajes de solicitud y de respuesta nij, nji a este respecto se envían de manera cronológicamente consecutiva a través del bus de comunicaciones C. Para documentar, verificar, validar y/o certificar el modo de funcionamiento de los módulos de aplicación y de servicio MAi, MSj, sirve de la siguiente ampliación del sistema descrita con referencia a las Fig. 2i.

De acuerdo con la Fig. 2i, al bus de comunicaciones C del sistema de a bordo para vehículos 2 está conectado un módulo de registro común MA4. En el ejemplo representado en la Fig. 2i, el módulo de registro MA4 protocoliza todos los servicios Sj usados por la aplicación de tarificación de peaje A2. La Fig. 3 muestra el diagrama de flujo de la aplicación de registro A4 que se ejecuta en el módulo de registro MA4.

35 En un bucle 16, el módulo de registro MA4 también escuchar las transmisiones en el bus de comunicaciones C. Si el módulo de registro MA4 a este respecto detecta un mensaje de solicitud n2j dirigida por el primer módulo de aplicación MA2 a un módulo de servicio MSj o un mensaje de respuesta nj2 retornado por éste basándose en las direcciones del bus respectivamente contenidas en los mismos (rama “Y” de la decisión 16’), entonces dota al mensaje detectado n2j, nj2 en la etapa 17 con un sello cronológico actual t2j, tj2 y los almacena en una memoria 18. Los mensajes registrados n2j, nj2 a este respecto también pueden comprender respectivamente los parámetros o datos transmitidos en los mismos, por ejemplo, parámetros o datos de instrucción o de resultado, según será explicado previamente.

45 El módulo de registro MA4 puede estar configurado para dotar los mensajes detectados n2j, nj2 y los correspondientes sellos de tiempo t2j, tj2 con una signatura digital y almacenarlos con esta signatura en la memoria 18. El módulo de registro MA4 puede ser, por ejemplo, una “smart card” o tarjeta inteligente, que contiene o constituye una signatura criptográfica y que conjuntamente con su memoria 18 (o ella solamente) – a la manera de un “trusted element” o elemento de confianza – puede estar protegida criptográficamente contra el acceso no autorizado. De manera alternativa o adicional, el módulo de registro MA4 y/o su memoria 18 también pueden tener una protección de acceso física, por ejemplo, mediante una construcción encapsulada, tal como es conocido, por ejemplo, en el ámbito de las tarjetas SIM para teléfonos móviles.

De la misma manera que los otros módulos de aplicación MAi, el módulo de registro MA4 puede estar conectado al

55 bus de comunicaciones C y detectar y registrar los mensajes n2j, nj2 en el bus de comunicaciones C basándose en las direcciones de bus interesadas, según se indica mediante la sonda de bus 18’. De manera alternativa, el módulo de registro MA4 también puede estar interconectado entre el módulo de registro MA2 con la aplicación de tarificación de peaje A2 y el bus de comunicaciones C, según se indica con línea intermitente en 18”, y canalizar (enrutar) o dejar pasar los mensajes de solicitud y respuesta n2j, nj2 enviados desde y hacia el módulo de aplicación de tarificación de peaje MA2, y al mismo tiempo captar los mensajes para su correspondiente registro en la memoria 18.

Basándose en los registros guardados en la memoria 18 del módulo de registro MA4, es posible la verificación, validación y certificación del sistema de a bordo para vehículos 2 o de los respectivos módulos y servicios. Para esto, un sistema de verificación (Performance Validation Proxy, PVP) 19, independiente del sistema de a bordo para

65 vehículos 2, tiene acceso por lo menos temporalmente a los registros guardados en la memoria 18, por ejemplo, durante la presencia del vehículo 1 en un taller. Para este fin, la memoria 18 podría ser amovible o extraíble, o el

E13157236

16-06-2015

módulo de registro MA4 podría tener una conexión para el sistema de verificación 19. Alternativamente, a solicitud del sistema de verificación 19 o del módulo de registro MA4, los registros guardados en la memoria 18 también podrían ser enviados durante el funcionamiento del vehículo 1, por ejemplo, a través del módulo de registro MA4, el bus de comunicaciones S y uno de los módulos de servicio de comunicaciones MS1, MS2, o algo similar, al sistema de

5 verificación 19 para ser comprobados allí de acuerdo con uno de los procedimientos de verificación descritos subsiguientemente.

En el caso más simple, el procedimiento de verificación en el sistema de verificación 19 puede consistir en que los mensajes de respuesta nj2 solo se analizan con respecto a su contenido, en particular cuando ellos mismos 10 contienen un informe de rendimiento del respectivo módulo de servicio MSj, por ejemplo, sobre el tamaño de memoria, el tiempo de cálculo o el número de núcleos de procesador requeridos para la ejecución del servicio Sj en el módulo de servicio MSj, sobre las medidas de calidad de los datos de resultado, por ejemplo, los datos de exactitud de un servicio de localización, o algo similar. Tales datos de informes de rendimiento de un módulo de servicio MSj pueden ser vigilados, por ejemplo, en relación al cumplimiento de valores límite predeterminados, para

15 validar o certificar el sistema de a bordo para vehículos 2, así como sus módulos y servicios. Adicionalmente, el contenido de los mensajes de respuesta nj2 también puede ser comparado con el de otros módulos de servicio MSj, para poder efectuar, por ejemplo, comprobaciones de plausibilidad de los datos.

En una forma de realización preferente, el sistema de verificación 19 realiza sus propias verificaciones de 20 rendimiento, según se describe a continuación.

Para esto, el sistema de verificación comienza en la etapa 20, donde el sistema de verificación 19 lee un mensaje de solicitud n2j y un mensaje de respuesta correspondiente nj2 junto con sus respectivos sellos de tiempo t2j, tj2 de la memoria 18. En una primera variante del procedimiento de verificación, después de esto se hace una ramificación a

25 la etapa 21, en la que se comprueba si la diferencia entre los sellos de tiempo leídos t2j, tj2 excede un valor límite predeterminado tG, después de lo que el resultado de esta comprobación es usado como resultado de verificación P en la etapa 22.

De acuerdo con una variante alternativa o complementaria para las etapas 20 y 21 del procedimiento de verificación,

30 después de la etapa 20 se hace una ramificación a la etapa 23, en la que el mensaje de solicitud leído n2j para la ejecución del servicio seleccionado en el mismo Sj se envía a un módulo de servicio de referencia MSj,ref (Fig. 2i) del sistema de verificación 19, que emula el servicio Sj del módulo de servicio MSj a ser verificado del sistema de a bordo 2 en un entorno independiente y certificado, para después, en la etapa 24, retornar un mensaje de respuesta de referencia nj2,ref. En una siguiente etapa 25, el mensaje de respuesta leído nj2 es comparado con el mensaje de

35 respuesta de referencia nj2,ref y el resultado se provee como resultado de comparación V en la etapa 26.

De manera opcional, el resultado de verificación P y el resultado de comparación V pueden ser combinados en un resultado de evaluación B (etapa 27) los resultados P, V, B del procedimiento de verificación de acuerdo con la Fig. 3 pueden usarse entonces para validar el módulo de servicio verificado MSj y/o el módulo de aplicación solicitante

40 MAi, o no validarlo en caso de resultados P, V, B insuficientes. Si el módulo de registro MA4 adoptado los registros en la etapa 17 con una signatura, el sistema de verificación 19 adicionalmente puede comprobar la autenticidad de la signatura de los mensajes de solicitud y respuesta n2j, nj2 leídos de la memoria 18 y proveer el resultado para su consideración adicional.

45 La presente invención no está limitada a las formas de realización representadas, sino que comprende todas las variantes, combinaciones y modificaciones que se sitúan dentro del marco de las reivindicaciones adjuntas. Así, por ejemplo, el módulo de registro MA4 también podría dotar respectivamente con un sello cronológico actual tij, tji y registrar en la memoria 18 los mensajes de solicitud y de respuesta nij, nji de otros módulos de aplicación MAi no pertenecientes al módulo de aplicación de tarificación de peaje MA2, y luego el sistema de verificación 19 podría

50 aplicar su procedimiento de verificación cualesquiera módulos MAi, MSj.

Claims (12)

1. REIVINDICACIONES

   1. Sistema electrónico de a bordo para vehículos (2), con una pluralidad de módulos (MAi, MSj) que están conectados entre sí a través de un bus de comunicaciones (C) y

   5 a los que se puede acceder mediante direcciones inequívocas, en donde los módulos (MAi, MSj) forman un primer grupo (GA) de por lo menos dos módulos de aplicación (MAi) para ejecutar diferentes aplicaciones (Ai) y un segundo grupo (GS) de por lo menos dos módulos de servicio (MSj) para prestar diferentes servicios (Sj), en donde cada módulo de aplicación (MAi) está configurado para dirigir un mensaje de solicitud (nij) para la prestación del servicio a través del bus de comunicaciones (C) a un módulo de servicio seleccionado (MSj) , y en donde cada módulo de servicio (MSj) está configurado para que después de una prestación de servicio devuelva un mensaje de respuesta (nji) a través del bus de comunicaciones (C) a un módulo de aplicación solicitante (MAi), en donde por lo menos un módulo de aplicación (MAi) comprende una aplicación de tarificación de peaje (A2) y por lo menos un módulo de servicio (MSj) comprende un servicio de comunicaciones (S1 S2), y en donde los dos módulos de aplicación (MAi) comparten por lo menos uno de los dos módulos de servicio (MSj),

   15 debido a que dirigen mensajes de solicitud (nij) a un mismo módulo de servicio (MSj),

   caracterizado por que

   el sistema de a bordo para vehículos (2) comprende adicionalmente un módulo de registro (MA4), que está configurado para registrar los mensajes de solicitud (n2j) dirigidos por el primer módulo de aplicación (MA2) durante el funcionamiento del vehículo a un módulo de servicio (MSj), así como los mensajes de respuesta (nj2) devueltos por el mismo durante el funcionamiento del vehículo, y almacenarlos de manera recuperable y legible, y respectivamente provistos con un sello cronológico actual (t2j, tj2), en una memoria (18) de un sistema de verificación independiente del sistema de a bordo para vehículos (2) para su verificación.

2. 2.

   Sistema de a bordo para vehículos de acuerdo con la reivindicación 1, caracterizado por que uno de los módulos 25 de servicio (MS1, MS2) que comprende un servicio de comunicaciones (S1, S2) es un transceptor DSRC (MS1).

3. 3.

   Sistema de a bordo para vehículos de acuerdo con las reivindicaciones 1 o 2, caracterizado por que uno de los módulos de servicio (MS1, MS2) que comprende un servicio de comunicaciones (S1, S2) es un transceptor de telefonía móvil (MS2).

4. 4.

   Sistema de a bordo para vehículos de acuerdo con una de las reivindicaciones 1 a 3, caracterizado por que un módulo de servicio adicional (MS3) comprende un servicio de localización (S3).

5. 5.

   Sistema de a bordo para vehículos de acuerdo con una de las reivindicaciones 1 a 4, caracterizado por que un 35 módulo de servicio adicional (MS4) comprende un servicio de comparación de mapas (S4).

6. 6.

   Sistema de a bordo para vehículos de acuerdo con una de las reivindicaciones 1 a 5, caracterizado por que un módulo de servicio adicional (MS5) es un monedero electrónico.

7. 7.

   Sistema de a bordo para vehículos de acuerdo con una de las reivindicaciones 1 a 6, caracterizado por que el módulo de registro (MA4) está conectado al bus de comunicaciones (C) y está configurado para detectar y registrar los mencionados mensajes de solicitud y de respuesta (n2j, nj2) en el bus de comunicaciones (C).

8. 8. Sistema de a bordo para vehículos de acuerdo con una de las reivindicaciones 1 a 6, caracterizado por que el 45 módulo de registro (MA4) está interconectado entre el primer módulo de aplicación (MA2) y el bus de comunicaciones

   (C) y está configurado para dejar pasar y al mismo tiempo registrar los mencionados mensajes de solicitud y de respuesta (n2j, nj2).

9. 9.

   Sistema de a bordo para vehículos de acuerdo con una de las reivindicaciones 1 a 8, caracterizado por que el módulo de registro (MA4) está configurado además para dotar a los registros de una signatura.

10. 10.

    Sistema de a bordo para vehículos de acuerdo con una de las reivindicaciones 1 a 9, caracterizado por que la memoria (18) del módulo de registro (MA4) está protegida contra el acceso de manera criptográfica y/o física.

    55 11. Procedimiento para la verificación de un sistema de a bordo para vehículos de acuerdo con una de las reivindicaciones 1 a 10 mediante un sistema de verificación independiente del mismo (19), que tiene un acceso por lo menos temporal a la memoria (18) del módulo de registro (MA4), y que comprende las siguientes etapas:

    leer (20) un mensaje de solicitud (n2j) y un mensaje de respuesta correspondiente (nj2), que son captados respectivamente durante el funcionamiento del vehículo, junto con sus respectivos sellos cronológicos (t2j, tj2) de la memoria de datos (18), verificar (21) si la diferencia de los sellos cronológicos leídos (t2j, tj2) excede de un valor límite predeterminado (tG) y suministrar (22) el resultado de la verificación (P).

    65 12. Procedimiento para la verificación de un sistema de a bordo para vehículos de acuerdo con una de las reivindicaciones 1 a 10 mediante un sistema de verificación independiente del mismo (19), que tiene un acceso por

    9

    lo menos temporal a la memoria (18) del módulo de registro (MA4) y por lo menos un módulo de servicio de referencia (MSj,ref) para prestar el servicio (Sj) de un módulo de servicio a ser verificado (MSj) del sistema de a bordo para vehículos (2), y que comprende las siguientes etapas:

    5 leer (20) un mensaje de solicitud (n2j) dirigido al módulo de servicio (MSj) a ser verificado y el mensaje de respuesta correspondiente (nj2) de la memoria de datos (18), enviar (23) el mensaje de solicitud leído (n2j) para la prestación del servicio al módulo de servicio de referencia (MSj,ref) y recibir (24) un mensaje de respuesta de referencia (nj2,ref) retornado en relación a ello del módulo de servicio de referencia (MSj,ref),

    10 comparar (25) el mensaje de respuesta leído (nj2) con el mensaje de respuesta de referencia (nj2,ref) y suministrar

    (26) el resultado de la comparación (V).
11. 13. Procedimiento de acuerdo con las reivindicaciones 11 y 12, caracterizado por que el resultado de la verificación

    (P) y el resultado de la comparación (V) se combinan en un resultado de evaluación (B). 15
12. 14. Procedimiento de acuerdo con una de las reivindicaciones 11 a 13 en conexión con la reivindicación 9, caracterizado por que además se comprueba la autenticidad de la signatura de los mensajes de solicitud y de respuesta (n2j, nj2) leídos de la memoria (18).

    20 15. Procedimiento de acuerdo con una de las reivindicaciones 11 a 14, caracterizado por que la mencionada lectura del contenido de la memoria se efectúa mediante la transmisión inalámbrica del contenido de la memoria desde el sistema de a bordo del vehículo (2) al sistema de verificación (19).

    10