ES2930015T3

ES2930015T3 - Método y aparato para el registro confiable en un sistema de peaje de carretera

Info

Publication number: ES2930015T3
Application number: ES14193479T
Authority: ES
Inventors: Jasja Tijink; Ulrik Janusson
Original assignee: Kapsch TrafficCom AG
Current assignee: Kapsch TrafficCom AG
Priority date: 2014-11-17
Filing date: 2014-11-17
Publication date: 2022-12-05
Anticipated expiration: 2034-11-17
Also published as: AU2015349057A1; WO2016078789A1; EP3021288A1; EP3021288B1; AU2015349057B2; CA2963589A1; US10950062B2; CA2963589C; US20170323490A1

Abstract

Un método para la grabación confiable en un sistema de peaje de carretera, el sistema de peaje de carretera (1) que tiene un servidor proxy (10) conectado a través de una red móvil (5) a una unidad a bordo (4) de un vehículo (3), el a bordo -unidad (4) que dispone de un dispositivo de determinación de posición (14), que comprende: crear un registro de itinerario (RC i) que comprende una primera o segunda posición (pf,i , pl,i), un primer o segundo momento (tf, i , tl,i) al menos uno de: una distancia (di) calculada utilizando al menos la primera y la segunda posición (pf,i , pl,i), un id de segmento (sid) y una distancia (di) calculada usando dicho ID de segmento (sid); recibir y registrar un registro de itinerario firmado (sgn (RC i), sgn (RC i , id)) desde el servidor proxy (10). En otro aspecto de la invención, se proporcionan una unidad a bordo y un servidor proxy para una grabación fiable en un sistema de peaje de carretera. (Traducción automática con Google Translate, sin valor legal)

Description

DESCRIPCIÓN

Método y aparato para el registro confiable en un sistema de peaje de carretera

La presente invención se refiere a un método para el registro confiable en un sistema de peaje de carretera que tiene un servidor proxy conectado a través de una red móvil a una unidad de a bordo (OBU) de un vehículo, la unidad de a bordo tiene un dispositivo de determinación de posición para determinar una posición actual del vehículo La invención se refiere además a una unidad de a bordo.

En los modernos sistemas de peaje de carretera, las unidades de a bordo pueden determinar su posición de forma independiente y pueden crear los llamados registros de itinerario según el estándar CEN TS 16702-1, que comprenden la posición y la hora al final de su adquisición y la distancia recorrida desde la creación de un último registro de itinerario o, de manera alternativa, el id de sección de la sección actual. Para hacer frente a la amenaza de que los registros de itinerario se vean comprometidos en la unidad de a bordo por manipulación o ataques fraudulentos, se implementan conceptos de control seguro en el sistema de peaje de carretera: por lo tanto, las OBU están equipadas con un así llamado registrador confiable certificado por el operador de peaje por mediante los cuales los registros de itinerario pueden firmarse criptográficamente ("congelarse"), cuyo proceso también se conoce como registro confiable.

Se muestra una unidad de a bordo con un elemento confiable integrado, por ejemplo, en la EP 2423 885 B1. Si el operador de peaje desea comprobar el correcto funcionamiento de una OBU transportada por un vehículo en el sistema de peaje de carretera, se leen los registros congelados, por ejemplo en verificaciones al azar, por un terminal de control y se comprueba su verosimilitud.

Sin embargo, dado que los registradores confiables tienen que construirse para que estén a prueba de ser comprometidos, las OBU para un sistema de peaje en carretera en el que se lleva a cabo un registro confiable son complicadas de ensamblar y más costosas de fabricar.

Es un objetivo de la invención proporcionar métodos y aparatos para un registro confiable que superen los inconvenientes mencionados anteriormente del estado de la técnica.

Con este fin, en un primer aspecto, la invención según la reivindicación 1 proporciona un método para el registro confiable en un sistema de peaje de carretera, el sistema de peaje de carretera tiene un servidor proxy conectado a través de una red móvil a una unidad de a bordo de un vehículo, teniendo la unidad de a bordo un dispositivo de determinación de posición para determinar la posición actual del vehículo, que comprende los siguientes pasos realizados en la unidad de a bordo:

determinar una primera posición por medio del dispositivo de determinación de posición en un primer momento y una segunda posición por medio del dispositivo de determinación de posición en un segundo momento;

crear un registro de itinerario que comprenda la primera o la segunda posición, el primer o segundo punto en el tiempo y al menos uno de: una distancia calculada usando al menos la primera y la segunda posición, una identificación de segmento calculada usando al menos la primera o la segunda posición, y una distancia calculada usando dicho id de segmento;

enviar el registro de itinerario a través de la red móvil al servidor proxy;

recibir un registro de itinerario firmado desde el servidor proxy, y

registrar dicho registro de itinerario firmado en una memoria de la unidad de a bordo.

De esta manera, las OBU y el servidor proxy cooperan para implementar una nueva funcionalidad de registro confiable distribuida para una monitorización segura. La invención proporciona un servidor proxy remoto en el que un solo elemento confiable puede firmar registros de itinerario para una multitud de OBU según los estándares de confianza del operador de peaje. Las OBU usadas en tales sistemas de peaje de carretera con monitorización segura son, por lo tanto, sencillas de montar y de fabricar. Además, los sistemas de peaje existentes sin monitorización segura pueden adaptarse fácilmente para admitir la monitorización segura, ya que esto solo requiere la instalación de un servidor proxy con un elemento confiable proporcionado por el operador del peaje.

Dado que las OBU no requieren un registrador confiable incorporado para un registro seguro, es posible que los teléfonos móviles convencionales, por ejemplo los equipados con una interfaz DSRC (comunicación de corto alcance dedicada) para la comunicación con un terminal de control, se pueden usar como OBU que admiten una monitorización segura.

Preferiblemente, el método comprende el paso de firmar el registro de itinerario en un elemento confiable del servidor proxy con una firma digital. Esto permite una implementación sencilla del proceso de firma, ya que la firma de datos con firmas digitales por medio de, por ejemplo, esquemas de clave pública/privada está fácilmente disponible para el experto en la materia. Es especialmente preferible que la firma comprenda un identificador secuencial, por ejemplo un contador, de modo que la OBU o un terminal de control que solicite uno o más registros de itinerario firmados puedan ordenar los registros de itinerario firmados. Una eliminación de registros firmados ("congelados") puede ser detectada por un controlador ya que los registros de itinerario congelados leídos sucesivamente ya no tendrán firmas secuenciales.

En una realización preferida de la invención, la unidad de a bordo envía el registro de itinerario firmado a un terminal de control que comprueba la verosimilitud de dicho registro de itinerario firmado. Esto permite que los terminales de control en el sistema de peaje de carretera lean los registros de itinerarios firmados de OBU para comprobar si la carretera por la que circula el vehículo ha sido declarada para peaje como se suponía. El fraude se puede reducir de manera tan efectiva, ya que las OBU se pueden supervisar, por ejemplo en verificaciones al azar pasando por terminales de control del operador de peaje. Se pueden idear pruebas de verosimilitud, por ejemplo comprobando la secuencialidad de los identificadores, comprobando si la última sección de carretera declarado para peaje mediante el registro de itinerario se encuentra en las inmediaciones del terminal de control, y/o comprobando si la hora del último registro de itinerario firmado está próxima a un tiempo presente, etc.

En el método mencionado anteriormente para el control seguro puede ocurrir un cierto tiempo de latencia entre la creación del registro de itinerario y la recepción del registro de itinerario firmado en la OBU. Esto tiene un impacto para los terminales de control que leen registros de itinerario firmados de la OBU porque el registro de itinerario "sin firmar" más reciente no siempre estará listo como un registro de itinerario firmado para que el terminal de control pueda leerlo. Es un objetivo adicional de la invención proporcionar un método mejorado para el control seguro que aborde también este problema.

Para lograr este objetivo adicional, se realizan los siguientes pasos en la unidad de a bordo después de determinar la primera posición y antes de determinar la segunda posición:

crear un registro de itinerario parcial que comprenda al menos uno de la primera posición y el primer punto en el tiempo;

enviar el registro de itinerario parcial desde la unidad de a bordo al servidor proxy;

recibir un registro de itinerario parcial firmado a través de la red móvil desde el servidor proxy; y

registrar dicho registro de itinerario parcial firmado en una memoria de la unidad de a bordo.

La invención prevé así nuevos registros de itinerarios "reducidos" o "parciales" que ya se crean en el momento en que se ha iniciado una sección a declarar para peaje sin necesidad de recopilar información sobre toda la sección. A su vez, es posible que una unidad de control obtenga información sobre la declaración de una sección que se va a peaje poco después de que el vehículo haya entrado en dicha sección. En este caso, el registro parcial firmado está disponible en la OBU justo después del inicio de una sección, solo retrasado por un tiempo de cálculo interno (tomado en la OBU para crear el registro del itinerario parcial) y un tiempo de latencia (tomado para enviar, firmar y recibir el registro de itinerario parcial del servidor proxy), que son más pequeños que el tiempo de cálculo interno correspondiente y el tiempo de latencia para un registro de itinerario "completo": El tiempo de cálculo interno se reduce ya que no es necesario calcular la distancia y el tiempo de latencia se reduce debido al tamaño de archivo reducido debido a un tiempo de cifrado ("firma") reducido en el servidor proxy.

Preferiblemente dicho método comprende el paso de firmar el registro de itinerario parcial en un elemento confiable del servidor proxy con una firma digital, comprendiendo la firma preferiblemente un identificador secuencial. Más preferiblemente, la unidad de a bordo puede enviar el registro de itinerario parcial firmado a un terminal de control que comprueba la verosimilitud de dicho registro de itinerario parcial firmado. Las mismas ventajas y argumentos valen para la firma y envío del registro de itinerario completo.

En una realización, el registro de itinerario parcial puede comprender solo la primera posición y/o el primer punto en el tiempo, es decir, ninguna distancia calculada. Por otro lado, el registro de itinerario parcial puede comprender además datos de al menos un registro de itinerario firmado o sin firmar previamente registrado y/o al menos un registro de itinerario parcial previamente firmado o sin firmar. Esto es especialmente útil para que los terminales de control verifiquen la verosimilitud del registro de itinerario parcial. Los datos comprendidos además en el registro de itinerario parcial podrían ser al menos una posición, tiempo o distancia anterior.

En otra realización preferida de la invención, el terminal de control comprueba si el identificador del registro de itinerario firmado y el identificador del registro de itinerario parcial firmado están en una relación secuencial predeterminada. De este modo, el terminal de control puede comprobar si la OBU está siguiendo el procedimiento de declarar correctamente el inicio de una sección de carretera para el peaje y luego declarar correctamente la sección completa conducido.

Para lograr una verificación cruzada con los registros de itinerario proporcionados al operador de peaje, el terminal de control puede comparar el registro de itinerario firmado con un registro de itinerario firmado recibido del proxy o una estación central a la que dicho registro de itinerario firmado fue enviado por el servidor proxy. Esto garantiza que la OBU no pueda eliminar registros no deseados ni engañar al terminal de control proporcionándole datos falsos.

El dispositivo de determinación de posición de la OBU podría implementarse de diferentes formas, por ejemplo como un sistema de navegación inercial (sistema de navegación por estimación), un sistema de reconocimiento óptico que detecta puntos de referencia visuales, etc. Sin embargo, el dispositivo de determinación de la posición es preferiblemente un receptor GNSS (sistema global de navegación por satélite). Por un lado, esto tiene la ventaja de una alta precisión al determinar la posición. Por otro lado, también es posible obtener una información de tiempo muy precisa del sistema satelital. Por tanto, preferiblemente se usa una unidad GNSS como dispositivo de determinación del tiempo y se acopla al procesador. De manera alternativa, se podría usar un reloj interno o externo del procesador de la OBU como dispositivo de determinación del tiempo.

En un segundo aspecto de la invención según la reivindicación 11, se proporciona una OBU para montar en un vehículo en un sistema de peaje de carretera, comprendiendo la OBU:

un dispositivo de determinación de la posición para determinar una posición actual del vehículo;

una memoria;

un transceptor para la comunicación con un servidor proxy a través de una red móvil; y

un procesador acoplado a la memoria, el dispositivo de determinación de la posición y el transceptor;

en donde el procesador está configurado para

determinar una primera posición por medio del dispositivo de determinación de la posición en un primer momento y una segunda posición por medio del dispositivo de determinación de la posición en un segundo momento, crear un registro de itinerario que comprenda la primera o la segunda posición, el primer o segundo punto en el tiempo y al menos uno de: una distancia calculada usando al menos la primera y la segunda posición, un id de segmento calculado usando al menos la primera o la segunda posición, y una distancia calculada usando dicho id de segmento, enviar el registro de itinerario a través del transceptor al servidor proxy,

recibir un registro de itinerario firmado del servidor proxy a través del transceptor, y

registrar dicho registro de itinerario firmado en la memoria.

Preferiblemente, el procesador de la OBU está además configurado para, después de determinar la primera posición y antes de determinar la segunda posición,

crear un registro de itinerario parcial que comprenda al menos uno de la primera posición y el primer punto en el tiempo,

enviar el registro de itinerario parcial desde la unidad de a bordo al servidor proxy a través del transceptor, recibir un registro de itinerario parcial firmado del servidor proxy a través del transceptor, y

registrar dicho itinerario parcial firmado en la memoria.

Más preferiblemente, se proporciona un transceptor adicional, preferiblemente un transceptor DSRC, para comunicarse con un terminal control, en donde el procesador de la OBU está configurado para enviar el registro de itinerario firmado a un terminal de control a través del transceptor adicional.

En un tercer aspecto de la invención, se proporciona un servidor proxy para un sistema de peaje de carretera, comprendiendo el servidor proxy

un transceptor para la comunicación a través de una red móvil con una OBU transportada por un vehículo;

un elemento confiable; y

un procesador acoplado al transceptor y al elemento confiable; en donde el procesador está configurado para recibir, a través del transceptor, un registro de itinerario que comprenda una primera o segunda posición, un primer o segundo punto en el tiempo y una distancia basada en al menos la primera y segunda posición de la OBU, dejar que el registro de itinerario recibido haya sido firmado por el elemento confiable con una firma digital, y enviar el registro de itinerario firmado desde el servidor proxy a través del transceptor a la OBU.

Preferiblemente, el procesador del servidor proxy está configurado además para

recibir un registro de itinerario parcial que comprenda al menos uno de la primera posición y el primer punto en el tiempo de la unidad de a bordo a través del transceptor,

dejar que el registro de itinerario recibido haya sido firmado por el elemento confiable con una firma digital, y

enviar el registro de itinerario parcial firmado desde el servidor proxy a través del transceptor a la unidad de a bordo.

En cuanto a las ventajas y características adicionales de la OBU y el servidor proxy, se hace referencia a los argumentos detallados para el método de la invención que se aplican mutatis mutandis.

La invención se explicará ahora con más detalle a continuación sobre la base de realizaciones ejemplares preferidas de la misma con referencia a los dibujos adjuntos, en los que:

La Fig. 1 muestra una vista general esquemática de un sistema de peaje de carretera con componentes según la invención;

la Fig. 2 muestra un diagrama de bloques de los componentes del sistema de peaje de carretera de la Fig. 1;

La Fig. 3 muestra el método de la invención en forma de diagrama de secuencia.

La Fig. 1 muestra un sistema 1 de peaje de carretera con una carretera 2 por la que viaja un vehículo 3 que lleva una unidad 4 de a bordo (OBU). Los vehículos 3 en el sistema 1 de peaje de carretera deben determinar sus propias posiciones y distancias recorridas en las carreteras 2 y enviar esta información a través de una red móvil 5 como una red móvil terrestre pública (PLMN), por ejemplo, GSM, UMTS, LTE , u otra red 3G/4G/5G, a una estación 6 central para facturación, registro, etc.

Para transmitir datos a la estación 6 central, la OBU 4 está equipada con un procesador 7 (Fig. 2) acoplado a un transceptor 8 (con antena 9) que funciona según el estándar usado en la red 5 móvil, por ejemplo, GSM, UMTS, LTE, etc. El transceptor 8 envía datos para ser transmitidos a través de la red 5 móvil, ya sea directamente a la estación 6 central o a un servidor 10 proxy que, según una de sus características, reenvía los datos recibidos a través de una red 11 de datos, como Internet, a la estación 6 central. Para ello, el servidor 10 proxy también está equipado con un transceptor 12 (con una antena 13) que funciona según el estándar usado en la red 5 móvil.

Para recopilar información sobre su posición actual y la distancia recorrida, la OBU 4 comprende un dispositivo 14 de determinación de la posición. En las realizaciones que se muestran en las Fig. 1 y 2, como dispositivo 14 de determinación de la posición se usa un receptor del sistema global de navegación por satélite (GNSS) a través del cual la OBU 4 recibe señales 15 de navegación de un GNSS 16 como GPS, GLONASS, GALILEO o similar, y basándose en ellas sucesivamente genera lecturas de su propia posición actual ("fijaciones de posición") p¹, p², ..., generalmente pⁿ, en puntos sucesivos de tiempo t¹, t², ..., generalmente tⁿ, que están determinados por un dispositivo de determinación de tiempo tal como el propio receptor 14 GNSS, el procesador 7 o un reloj separado. De manera alternativa, la OBU 4 también podría determinar las posiciones actuales de otra manera, por ejemplo, por medio de un sistema de medición inercial o de navegación por estimación, reconocimiento óptico (visual) de puntos de referencia, o por triangulación de radio o evaluación del identificador de celda en la red 5 móvil o una red de balizas de radio, por ejemplo, balizas DSRC.

Por medio del dispositivo 14 de determinación de la posición, la OBU 4 reúne un conjunto de posiciones actuales {pⁿ}ⁱ, (i = 1, 2, ...) en un intervalo de tiempo T ⁱcon una longitud predeterminada que a su vez define una sección sⁱde la carretera 2 por la que ha circulado el vehículo 3 durante el intervalo de tiempo Tⁱ. Cada intervalo de tiempo T ⁱse puede definir por su primer punto de tiempo t^f,iy su último punto de tiempo t ^I,i.

El conjunto de posiciones actuales {pⁿ} ⁱreunidas en la sección sⁱse puede resumir en la primera posición p^f,io la última posición ^{p i ,í}en este y una distancia d ⁱ- aproximada o calculada con precisión - abarcada por el conjunto de posiciones actuales {pⁿ} ⁱ, reflejando - aproximadamente o con precisión - la distancia recorrida por el vehículo 3 en la sección sⁱ.

Para informar su camino recorrido a la estación 6 central de manera eficiente, la OBU 4 crea un llamado registro RCⁱde itinerario para la sección sⁱ. Según la norma CEN TS 16702-1, tales registros de itinerario comprenden la última posición p ^i,ide una sección mⁱ, el último punto de tiempo t ^i,ide la sección sⁱ, y la distancia d ⁱviajada dentro de la sección s ⁱ, aunque diferentes representaciones de la sección sⁱpuede elegirse como, por ejemplo, la primera posición p^f,i, primer momento t^t,¡, y distancia d ⁱ, o las posiciones primera y última p^f,i, p^l,i(sin tiempo ni distancia) y/o algunas de las otras posiciones actuales pⁿdel conjunto de posiciones actuales {pⁿ}ⁱreunidas sobre la sección ^{s ¡,}etc. La OBU 4 está además equipada con una memoria 17 para almacenar de forma temporal o permanente las posiciones pⁿreunidas, conjuntos de posiciones {pⁿ}^¡, registros RC^¡de itinerario, etc.

En lugar de la distancia d ⁱconducida en la sección sⁱ, el registro RCⁱde itinerario puede incluir un id de segmento sid^m(m = 1,2, ...) . El id de segmento sid^msuele ser diferente de la sección s ^¡, ya que los id de segmento sid^mcorresponden a segmentos sg¹, sg², ... sg^m, de carretera predeterminados... de la carretera 2, como por ejemplo los definidos en un comparador 7'de mapas de la OBU 4 o un comparador de mapas externo. Al crear un registro RC^¡de itinerario al final de una sección s^¡, la OBU 4 puede recuperar un id de segmento sid^mdesde el comparador 7' de mapas interno (o un comparador de mapas externo) correspondiente a cualquiera (o una pluralidad) de las posiciones pⁿdel conjunto de posiciones {pⁿ} ^¡actuales, preferiblemente la primera posición p^f,¡o la última posición p^l,¡de una sección m^¡, que cae en el segmento sg^mde carretera.

Después de que el intervalo Tⁱde tiempo ha terminado, la OBU 4 reúne un siguiente conjunto de posiciones {pⁿ}ⁱ⁺ⁱactuales durante un siguiente intervalo de tiempo Tⁱ⁺¹, en donde el último punto de tiempo t^f,idel intervalo anterior puede coincidir con el primer punto de tiempo t^t,¡+1del nuevo intervalo, y por lo tanto la última posición p ^i,¡del conjunto anterior de posiciones {pⁿ}ⁱactuales puede coincidir con la primera posición p^f,¡+1del nuevo conjunto de posiciones {pⁿ} ⁱ⁺¹actuales. Así, los intervalos Tⁱ, T ⁱ⁺¹, de tiempo..., se suceden para definir las secciones si, ^{s ¡+1,}..., con conjuntos de posiciones {pⁿ}^¡, {pⁿ}^¡+1, ... actuales. Preferiblemente, los intervalos T ^¡, T ^¡+1, ..., de tiempo tienen la misma duración temporal y por tanto son periódicas, aunque no es obligatorio.

Para implementar una monitorización segura en el sistema 1 de peaje de carretera, se instala un elemento 18 confiable en el servidor 10 proxy, es decir, se acopla al transceptor 12 del servidor 10 proxy. El elemento 18 confiable es a prueba de manipulaciones y comprende un procesador 19, una unidad 20 de cifrado y un generador 21 de id (opcional); a continuación se dará una explicación detallada de las funciones de dichos elementos. Para almacenar de forma temporal o permanente los datos entrantes o salientes con fines de control, se acopla una memoria 22 al procesador 18.

Para los fines mencionados anteriormente, el servidor 10 proxy está conectado a la estación 6 central a través de la red 11, y la estación 6 central está equipada con un procesador 23 y una memoria 24 para almacenar datos enviados por el servidor proxy 10.

Ahora se hace referencia a la Fig. 3 para el método de monitorización seguro en el sistema 1 de peaje de carretera, donde un proceso G^¡de recopilación se ejecuta dentro del intervalo T ^¡de tiempo para recopilar las posiciones pⁿactuales. Al final del proceso G^¡de recopilación, es decir, en el último punto de tiempo t ^i,¡, tienen lugar los procesos internos en la OBU 4 durante un intervalo TC^¡ntde tiempo para crear el registro RC^¡de itinerario. Esto toma una cierta cantidad de tiempo ya que se debe calcular especialmente el cálculo de la distancia d^¡para crear el registro RC^¡de itinerario.

El cálculo de la distancia d^¡por medio del conjunto recopilado de posiciones {pⁿ}^¡actuales se puede hacer de cualquier manera conocida por el experto en la materia, por ejemplo calculando la distancia entre posiciones pⁿadyacentes o por técnicas de interpolación. De manera alternativa, la distancia d ⁱtambién podría obtenerse por correspondencia de mapas por medio del Comparador 7' de Mapas de la OBU 4, usando la primera y la última posición p^t,¡, p ^l,¡o el id de segmento sid, o por medio de un comparador de mapas externo, por ejemplo en el servidor 10 proxy. Sin embargo, cuando se usan comparadores de mapas externos, el intervalo TC^¡ntde cálculo "interno" aumenta significativamente. Después de que el registro RCⁱde itinerario ha sido creado, es decir, después del intervalo TC ^intde cálculo interno , el registro RC^¡de itinerario se envía al servidor 10 proxy en el paso 25, donde se recibe con un retraso según la latencia de la red 5 móvil.

En el paso 26, el registro RC^¡de itinerario se firma en el elemento 18 confiable del servidor 10 proxy por medio de la unidad 20 de cifrado, por ejemplo, según un esquema de clave pública/privada, para obtener un registro sgn(RC^¡) de itinerario firmado.

Preferiblemente, el paso 26 de firma del registro RCⁱde itinerario comprende además adjuntar un id de identificación al registro por medio del generador 21 de id para obtener un registro sgn(RC^¡,id) de itinerario firmado. La identificación de identificación también está preferiblemente firmada, de modo que no pueda ser falsificada por la OBU 4 o por un tercero. El generador 21 de id actúa preferiblemente como un contador, de manera que todas los id de identificaciones son secuenciales y únicos.

En el paso 27, el registro sgn(RC^¡,id) de itinerario firmado se envía de vuelta a la OBU 4 donde se almacena en la memoria 17 de la OBU 4. Dado que ahora hay un registro sgn(RC^¡,id) de itinerario firmado presente en la OBU 4, no es obligatorio reenviar el registro sgn(RC^¡,id) de itinerario firmado a la estación 6 central, ya que el registro sgn(RC^¡,id) de itinerario firmado podría leerse de la OBU 4 en forma de "back office" para calcular el peaje después de un viaje del vehículo 3 en el sistema 1 de peaje de carretera. Sin embargo, preferiblemente el servidor 10 proxy reenvía el registro sgn( RC^¡,id) de itinerario firmado en el paso 28 a la estación 6 central para evaluación, cálculo de cargos, etc., donde el registro sgn(RC^¡,id) de itinerario firmado es procesado por el procesador 23 y almacenado en la memoria 24 de la estación 6 central. De manera alternativa o adicional, el registro sgn(RC^¡,id) de itinerario firmado también podría almacenarse en la memoria 22 del servidor 10 proxy.

Opcionalmente, los registros RC^¡de itinerario sin firmar también podrían ser enviados a la estación 6 central o almacenados en la memoria 22 para cotejarlos con los registros sgn (RC^¡, id) de itinerario firmados.

El registro sgn(RC^¡,id) de itinerario firmado se recibe en la OBU 4 después de un intervalo TC ^latque comprende latencias de red y el tiempo de procesamiento en el servidor 10 proxy, es decir, en total es un tiempo TC^¡nt+ TC ^latdespués del último punto de tiempo t ^i,i.

Por lo tanto, se puede ver que se necesita una cantidad significativa de tiempo para recopilar las posiciones pⁿactuales, crear el registro RC^¡de itinerario y recibir el registro RC^¡de itinerario firmado, es decir, el tiempo

Ti TCint TClat.

Para comprobar el correcto funcionamiento de las OBU 4 del sistema 1 de peaje y declarar sus peajes mediante los registros sgn(RCⁱ,id) de itinerario firmados, existe un sistema de control que usa los terminales 29 de control para comprobar si las OBU 4 declaran su peaje correctamente. Los terminales 29 de control se pueden usar en vehículos que patrullan la carretera 3, preferiblemente viajando en la misma dirección que los vehículos 3 que transportan las OBU 4, o los terminales 29 de control pueden ser balizas en la carretera que interactúan con las OBU 4.

Con este fin, la OBU 4 está equipada con otro transceptor 30 para establecer un enlace 31 de radio con un terminal 29 de control que pasa. El transceptor 30, y por lo tanto el enlace 31 de radio, tiene un alcance de radio de unos pocos metros, algunas decenas de metros o algunos cientos de metros, como lo implementan, por ejemplo, DSRC (comunicación de corto alcance dedicada), CEN-DSRC, UNI-DSRC, IEEE 802.11 p o WAVE (acceso inalámbrico para entornos vehiculares) o los estándares ITS-G5 que incluyen WLAN y Wifi^®, Bluetooth^®, o tecnologías RFID activas o pasivas (identificación por radiofrecuencia).

De manera alternativa, el terminal 29 de control puede solicitar el registro sgn(RC ⁱ,id) de itinerario firmado desde la OBU 4 a través de la red 5 móvil o a través de un canal de datos público o privado, por ejemplo una red privada virtual (VPN). En esta realización, no son necesarios medios de comunicación DSRC dentro de la OBU 4, de manera que incluso un teléfono móvil puede usarse como una OBU 4 por medio de implementaciones de software adecuadas. Para determinar una coincidencia entre la OBU 4 y el vehículo 3, el terminal 29 de control puede, en cualquier caso, leer el número de matrícula del vehículo 3, por ejemplo mediante lectura OCR, y cotejar el número de matrícula con una identificación OBU única por medio de una base de datos.

Para comprobar la OBU 4, el terminal 29 de control lleva a cabo un proceso EP1 de control, en el que en el paso 32 se envía una petición req a la OBU 4 para obtener el registro o registros sgn(RC ⁱ,id) de itinerario firmados más recientes. Después de recibir el registro o registros sgn(RCⁱ,id) de itinerario firmados en el paso 33, el terminal 29 de control comprueba la verosimilitud de los registros sgn(RCⁱ,id) de itinerario firmados recibidos. Con este fin, el terminal 29 de control puede usar una variedad de esquemas de verificación, cada uno de los cuales es opcional: en primer lugar, el terminal 29 de control puede comprobar si la firma es de hecho válida. En segundo lugar, el terminal 29 de control puede verificar si la última posición p^ucomo se indica en el registro sgn (RCⁱ,id) de itinerario firmado se encuentra en las proximidades de la posición actual del terminal de control. De manera adicional o alternativa, se comprueba si el último punto de tiempo t ^I,ise encuentra en las proximidades de un tiempo momentáneo.

Un esquema de verificación adicional prueba si las identificaciones id de los al menos dos últimos registros sgn (RC^i-1,id), sgn(RCⁱ,id) de itinerario firmados recibidos son sucesivos. Esto asegura que no se descartó ningún registro de itinerario firmado. Otro esquema de verificación más solicita el registro sgn(RCⁱ,id) de itinerario firmado almacenado en la memoria 22 del servidor 10 proxy y/o almacenado en la memoria 24 de la estación 6 central y lo compara con el registro sgn(RCⁱ,id) de itinerario firmado recibido de la OBU 4, como se describe más adelante para el proceso EP4 de control ejemplar.

Como puede verse en la Fig. 3, se necesita que el registro sgn(RCⁱ,id) de itinerario firmado esté disponible una cantidad considerable de tiempo en la OBU 4 para su control. Así, un registro RPⁱde itinerario "parcial", que comprende solo la primera posición p^f,iy/o el primer punto de tiempo t^f,i, puede introducirse opcionalmente en una realización adicional del método que ahora se explica en detalle.

El método para firmar el registro RCⁱde itinerario "completo" descrito se mantiene para el registro RPⁱde itinerario parcial también, es decir, después de la creación, el registro RPⁱde itinerario parcial se envía en el paso 34 al servidor 10 proxy donde se firma mediante una firma digital (y un id de identificación opcional) en el paso 35 para obtener un registro sgn(RPⁱ,id) de itinerario parcial firmado que se envía de vuelta a la OBU 4 en el paso 36. Además, todas las memorias 17, 22 y 24 mencionadas también están configuradas para almacenar dichos registros RPⁱde itinerario parcial.

El registro RPⁱde itinerario parcial es "parcial" en la medida en que no comprende todas las posiciones {pⁿ} ⁱactuales de una sección mⁱ, sino solo algunas de las primeras o preferiblemente solo la primera posición p^f,iactual de una sección mⁱ, y por lo tanto no comprende la distancia d ⁱconducida sobre la sección sⁱ. La creación del registro RPⁱde itinerario parcial por lo tanto, ya se puede realizar al comienzo de la sección sⁱ, reduciendo el tiempo después del cual un registro que declara el peaje de la sección sⁱestá disponible en la OBU 4 por (al menos) la cantidad T ⁱ.

En particular, ya que no se ha de calcular la distancia d ⁱ, el tiempo TP ^intde cálculo interno en la OBU 4 puede incluso ser menor que el tiempo TC^intde cálculo interno para un registro RCⁱde itinerario completo. También debido al tamaño reducido del archivo y, por lo tanto, a la reducción del tiempo de cifrado del registro RPⁱde itinerario parcial, el tiempo TP ^latde latencia para registros RPⁱde itinerario parciales es menor que el tiempo TC ^latde latencia para registros RPⁱde itinerario completo . El ahorro de tiempo total de recibir un registro sgn(RPⁱ,id) de itinerario parcial firmado con respecto al registro sgn(RC^i-1, id) de itinerario completo firmado tal como se recibió de la sección s^uanterior es entonces ^AT = TC ^int+ TC ^lat-TP^int-TP^lat.

Debido al ahorro de tiempo mencionado anteriormente, el registro sgn(RPⁱ,id) de itinerario parcial firmado puede de hecho recibirse incluso antes que el registro sgn(RC^i-1, id) de itinerario firmado de la sección s^uanterior. Si, en una realización del método, se considera la secuencialidad de las identificaciones id cuando el terminal 29 de control verifica los identificadores id secuenciales, se pueden usar dos generadores 19 de id diferentes (contadores) para los registros RPi, RCi, de itinerario parcial y completo respectivamente. Otra solución sería considerar una relación esperada al verificar la secuencialidad, por ejemplo el identificador id del registro sgn(RCi,id) de itinerario completo se espera que sea tres veces mayor con respecto al identificador id del registro sgn(RPi,id) de itinerario parcial declarando la misma sección si.

El enfoque ahora se desplaza hacia las respuestas recibidas en el terminal 29 de control al solicitar a la OBU 4 que emita su último registro de itinerario completo y/o parcial firmado. Con este fin, a continuación se explican otros procesos EP2, EP3 y EP4 de control ejemplares.

Para un proceso EP2 de control cuyo paso 37 de enviar una solicitud requiere que se encuentre en un momento tep²con

t f , i < t ea2 < t f f i T P i nt TP]_at ,

el terminal 29 de control recibirá en el paso 38 el registro sgn(RCi-², id) de itinerario completo firmado de la sección si-², es decir, la información de peaje de hace dos secciones, y opcionalmente el último registro sgn(RPi-¹, id) de itinerario firmado. Por lo tanto, el terminal 29 de control puede concluir que la OBU 4 está en el proceso Gi^-1de recopilación o ya ha terminado el proceso Gi^-1de recopilación pero aún no recibió el registro sgn(RPi,id) de itinerario parcial firmado del servidor 10 proxy.

Para un proceso EP3 de control cuyo paso 39 de enviar una solicitud requiere que se encuentre en un momento tep3 con

tf,i TPint TPiat < tep3 < tffi TCint TC]_at,

en el que existe una disponibilidad AV1 del registro sgn(RPi,id) de itinerario parcial firmado de la sección si, el terminal 29 de control puede recibir en el paso 40 el registro sgn(RPi,id) de itinerario parcial firmado y opcionalmente el registro sgn(RCi-²,id) de itinerario completo firmado, con lo cual el terminal 29 de control puede concluir que la sección si ha sido declarada para peaje, aun cuando no existe ni siquiera un registro (RCi-¹, id) completo firmado sobre la sección si^-1presente en la OBU 4.

El proceso EP4 de control muestra en el paso 41 una solicitud req en un momento tep4 con

tf,i TCint TClat < tep4 < tf,i Ti,

en el que existe una disponibilidad AV2 del registro sgn (RCi-¹, id) de itinerario completo firmado de la sección si-¹, que se recibe en el paso 42. Esta acción EP4 de control tiene similitudes con la acción EP2 de control: el terminal 29 de control puede concluir que la OBU 4 está en el proceso Gi de recopilación o ya ha concluido el proceso Gi de recopilación pero aún no recibió el registro sgn(RPi+¹, id) de itinerario parcial firmado, pero sabe con certeza que la sección si será declarada por la presencia del registro (RPi, id) de itinerario parcial.

Además, el proceso EP4 de control puede enviar en el paso 43 una solicitud req_CS a la estación 6 central para emitir el último registro de itinerario parcial y/o completo recibido en el paso 44, de modo que el terminal 29 de control pueda verificar la verosimilitud del registro o registros de itinerario tal como se recibió de la OBU 4 en el paso 42. Esta medida también se puede tomar para los procesos EP1, EP2 y EP3 de control.

Todos los esquemas adicionales para verificar la verosimilitud como se describe anteriormente para el caso de registros sgn(RCi,id) de itinerario completos también se puede realizar para registros sgn(RPi, id)de itinerarios parciales.

La invención no se limita a las realizaciones específicas descritas en detalle en este documento, sino que abarca todas las variantes, combinaciones y modificaciones de las mismas que caen dentro del marco de las reivindicaciones adjuntas.

Claims

REIVINDICACIONES

1. Un método para el registro confiable en un sistema de peaje de carretera, teniendo el sistema (1) de peaje de carretera un servidor (10) proxy conectado a través de una red (5) móvil a una unidad (4) de a bordo de un vehículo (3) , teniendo la unidad (4) de a bordo un dispositivo (14) de determinación de la posición para determinar una posición (pⁿ) actual del vehículo (3), que comprende los siguientes pasos realizados en la unidad (4) de a bordo: determinar una primera posición (p^f,i) por medio del dispositivo (14) de determinación de la posición en un primer momento (t^f,i) y una segunda posición (p^p) por medio del dispositivo (14) de determinación de la posición en un segundo momento (t^l,i);

crear un registro (RCⁱ) de itinerario que comprende la primera o la segunda posición (p^f,i, p^l,i), el primer o segundo punto de tiempo (t^f,i, t ^l,i) y al menos uno de: una distancia (dⁱ) calculada usando al menos la primera y segunda posición (p^f,i, p^l,i), un id de segmento (sid) calculado usando al menos la primera o la segunda posición (p^f,i, p^p), y una distancia (dⁱ) calculada usando dicho id de segmento (sid);

enviar el registro (RCⁱ) de itinerario a través de la red (5) móvil al servidor (10) proxy;

recibir un registro (sgn(RCⁱ), sgn(RCⁱ,id)) de itinerario firmado del servidor (10) proxy, y

registrar dicho registro (sgn(RCⁱ,id)) de itinerario firmado en una memoria (17) de la unidad (4) de a bordo.

2. El método según la reivindicación 1, que comprende el paso de firmar el registro (RCⁱ) de itinerario en un elemento (18) confiable del servidor (10) proxy con una firma (sgn) digital, comprendiendo dicha firma (sgn) preferentemente un identificador (id) secuencial.

3. El método según la reivindicación 1 o 2, caracterizado por que la unidad (4) de a bordo envía el registro (sgn(RCⁱ,id)) de itinerario firmado a un terminal (29) de control que comprueba la verosimilitud de dicho registro (sgn(RCⁱ,id)) de itinerario firmado .

4. El método según una cualquiera de las reivindicaciones 1 a 3, caracterizado por que los siguientes pasos se realizan en la unidad (4) de a bordo después de determinar la primera posición (p^f,i) y antes de determinar la segunda posición (p^l,i):

crear un registro (RPⁱ) de itinerario parcial que comprende al menos una de las primeras posiciones (p^t,¡) y el primer punto en el tiempo (t^f,i) ;

enviar el registro (RPⁱ) de itinerario parcial desde la unidad (4) de a bordo al servidor (10) proxy;

recibir un registro (sgn(RPⁱ,id)) de itinerario parcial firmado a través de la red (5) móvil desde el servidor (10) proxy; y registrar dicho registro (sgn(RPⁱ,id)) de itinerario parcial firmado en una memoria (17) de la unidad (4) de a bordo.

5. El método según la reivindicación 4, que comprende el paso de firmar el registro (sgn(RPⁱ,id)) de itinerario parcial en un elemento (18) confiable del servidor (10) proxy con una firma (sgn) digital, comprendiendo la firma (sgn) preferentemente un identificador (id) secuencial.

6. El método según la reivindicación 4 o 5, caracterizado por que la unidad (4) de a bordo envía el registro (sgn(RPⁱ,id)) de itinerario parcial firmado a un terminal (29) de control, que comprueba la verosimilitud de dicho registro (sgn(RPⁱ,id))de itinerario parcial firmado .

7. El método según cualquiera de las reivindicaciones 4 a 6, caracterizado por que el registro (RPⁱ) de itinerario parcial comprende además datos de al menos un registro (RC^i-1, sgn(RC^i-1, id)) de itinerario firmado o sin firmar registrado previamente y/o al menos un registro (RP^i-1, signo (RP^i-1, id)) de itinerario parcial previamente firmado o sin firmar.

8. El método según las reivindicaciones 3 y 6, caracterizado por que el terminal (29) de control comprueba si el identificador (id) del registro (sgn(RC^i-1,id)) de itinerario firmado y el identificador (id) del registro (RP^i-1, signo(RC^i-1,id)) de itinerario parcial firmado están en una relación secuencial predeterminada.

9. El método según las reivindicaciones 3 u 8, en donde el terminal (29) de control compara el registro (sgn(RC^i-1,id)) de itinerario firmado con un registro (sgn(RC^i-1,id)) de itinerario firmado recibido del proxy (10) o de una estación (6) central a la que dicho registro (sgn(RC^i-1,id)) de itinerario firmado había sido reenviado por el servidor (10) proxy.

10. El método según cualquiera de las reivindicaciones 1 a 9, caracterizado por que el dispositivo (14) de determinación de la posición es un receptor GNSS.

11. Una unidad de a bordo para montar en un vehículo en un sistema de peaje de carretera, comprendiendo la unidad (4) de a bordo :

un dispositivo (14) de determinación de la posición para determinar una posición actual (pⁿ) del vehículo (3); una memoria (17);

un transceptor (8) para comunicarse con un servidor (10) proxy a través de una red (5) móvil; y

un procesador (7) acoplado a la memoria (17), el dispositivo (14) de determinación de la posición y el transceptor (8); en donde el procesador (7) está configurado para

determinar una primera posición (p^f,i) por medio del dispositivo (14) de determinación de la posición en un primer momento (t^t,¡) y una segunda posición (p^l,i) por medio del dispositivo (14) de determinación de la posición en un segundo momento (t^l,i),

crear un registro (RCⁱ) de itinerario que comprende la primera o la segunda posición (p^p, p^p), el primer o segundo punto del tiempo (t^f,i, t ^l,i) y al menos uno de: una distancia (dⁱ) calculada usando al menos la primera y segunda posición (p^f,i, p^l,i), un id de segmento (sid) calculado usando al menos la primera o la segunda posición (p^p, p^p), y una distancia (dⁱ) calculado usando dicho id de segmento (sid),

enviar el registro (RCⁱ) de itinerario a través del transceptor (8) al servidor (10) proxy,

recibir un registro (sgn(RC^i-1,id)) de itinerario firmado desde el servidor (10) proxy a través del transceptor (8), y registrar dicho registro (sgn(RC^i-1,id)) de itinerario firmado en la memoria (17).

12. La unidad de a bordo según la reivindicación 11, caracterizado por que el procesador (7) se configura además para, después de determinar la primera posición (pp ) y antes de determinar la segunda posición (pp) ,

crear un registro (RPⁱ) de itinerario parcial que comprende al menos una de las primeras posiciones (p^p) y el primer punto en el tiempo (tp ) ,

enviar el registro (RPⁱ) de itinerario parcial desde la unidad (4) de a bordo al servidor (10) proxy a través del transceptor (8),

recibir un registro (sgn(RPⁱ,id)) de itinerario parcial firmado desde el servidor (10) proxy a través del transceptor (8), y registrar dicho registro (sgn(RCⁱ,id)) de itinerario parcial firmado en la memoria (17).

13. La unidad de a bordo según la reivindicación 11 o 12, que comprende un transceptor (30) adicional, preferiblemente un transceptor DSRC, para la comunicación con un terminal (29) de control, en donde el procesador (7) está configurado para enviar el registro (sgn (RCⁱ,id)) de itinerario firmado al terminal (29) de control a través del otro transceptor (30).