JP7003243B2 - 乗物の電子装置のための安全システム、電子装置、乗物、方法 - Google Patents

Description

本発明は、乗物の電子装置のための安全システムに関する。ここで、電子装置は、プログラミング可能であり、電子装置に対するアクセス及び／又はプログラミングのために、外部からのアクセスを介して使用可能なインタフェースを有し、電子装置に対する権限のないアクセス及び／又は権限のないプログラミングを阻止するように構成された安全モジュールを備えている。

さらに、本発明は、斯かる安全システムを備えた乗物用の電子装置、斯かる安全システムを備えた少なくとも１つの電子装置を有する乗物、並びに、斯かる安全システム、斯かる安全システムを備えた電子装置、又は、斯かる安全システムを備えた少なくとも１つの電子装置を有する乗物を動作させる方法に関する。

従来の技術
例えばエンジン用又は変速機用の、あるいは、例えば乗物の機能又は乗物に対するアクセスのためなど、安全性に関連する装置用の電子装置、特に制御装置又はセンサは、安全性に関連する機能を有することが多く、それらの機能は、権限のないアクセスから保護されなければならず、特に権限のないプログラミング、例えば、制御特性曲線、総走行距離及び／又はプログラムバージョンの変更から、及び／又は、不所望な誤った制御が引き起こされるようなプログラムの完全性の変更及び／又は損傷から、保護されなければならない。しかも、斯かる電子装置は、インタフェースを備えており、このインタフェースを介して、動作中に通信が機能するだけでなくプログラミングも機能し、これは、例えば、装置のコンフィギュレーションのために利用される。プログラミング又はコンフィギュレーションを、リモートアクセスを介して実行可能であることが多い。電子装置を斯かる不許可のアクセスから保護するために、例えば、アクセスをブロックする、装置の機能をブロックするなどのために、又は、装置の不許可のプログラミングを阻止するために、アクセス認証用の問合せが使用される。ただし、この技術によっても低い安全性しかもたらされず、その理由は、斯かるソフトウェアベースの認証システムをすり抜けることが可能となってしまうことを排除することができないからである。従って、ソフトウェアベースの認証のすり抜けによるリスクが高まっていることから、電子装置を権限のないアクセスから、特に権限のないプログラミングから、保護するために、改善されたアルゴリズム及び機能が必要とされる。

発明の開示
請求項１の特徴を備えた本発明が有する利点とは、以下のような乗物の電子装置のための安全システムが提供されることである。即ち、このシステムは、電子装置に対するアクセス及び／又は権限のないプログラミングを阻止する、特に、電子装置が規定どおりに使用される状態に置かれた後、事後にプログラミングされるのを阻止する。

請求項１の特徴を備えた、乗物の電子装置のための本発明に係る安全システムは、この安全システムが、乗物内の及び／又は乗物における、電子装置のポジション及び／又はアライメントを検出するためのセンサを有する、という点において優れている。これによって、乗物内の及び／又は乗物における電子装置の実際のポジション及び／又はアライメントが検出され、これを安全モジュールが利用することができるようになる。本明細書において「アクセス」とは、特に、データ、例えばプログラムコードの読み出しのことであると解される。本明細書において「プログラミング」とは、特に、プログラム又はソフトウェアの変更又は少なくとも部分的な変更、特にプログラムのソースコードの変更のことであると解される。好ましくは、「プログラミング」とは、コンフィギュレーション又はコーディングのことでもあると解される。「安全モジュール」とは、特に、プロセッサ、メモリ及びデータ伝送のための少なくとも１つのインタフェースを有する要素のことであると解される。安全モジュールは、センサにより検出された電子装置のポジション及び／又はアライメント、即ち、実際のポジション及び／又はアライメントと、予期されるポジション及び／又はアライメントとの逸脱又は一致を識別し、一致が識別されたならば、又は、わずかな逸脱だけしか識別されなかったならば、電子装置に対するアクセス及び／又はプログラミングを阻止するように構成されている。これにより、電子装置が乗物内に規定どおりに組み込まれているならば、即ち、乗物内において及び／又は乗物において、予期されるポジション及び／又はアライメントにあるならば、電子装置に対する権限のないアクセス及び／又は権限のないプログラミングが阻止される。好ましくは、電子装置への問合せが無視される。有利には、本発明に係る安全システムによって、電子装置に対する権限のないアクセス及び／又は権限ないプログラミングが阻止され、この電子装置は、特に、電子装置に対するアクセス及び／又はプログラミングを許可するための認証に依存してはおらず又はこの認証だけに依存してはいない。これによって、電子装置は、取り付け及び／又は電気的接続を変更しなければ、プログラミングすることはできず、特にリモートアクセスによってプログラミングすることはできない。このことによって実現されるのは、電子装置における不正操作を、特に、乗物内に及び／又は乗物に、電子装置を取り付けし終えた状態では及び／又は乗物の動作中は、阻止することができる、ということである。好ましくは、既に実装された認証方法を並行して使用することができる。好ましくは、電子装置のポジション及び／又はアライメントが、センサによって、連続的に又は決められたタイムインターバルで、検出される。これによって、装置が予め定められたポジション及び／又はアライメントからいつ動かされるのかを、及び／又は、アクセス中に及び／又はプログラミング中に及び／又は外部からのアクセス中に、電子装置のポジション及び／又はアライメントが変更されたか否かを、識別することができる。好ましくは、安全モジュールは、複数の電子装置の逸脱又は一致を識別するように構成されている。好ましくは、安全システムは、１つ又は複数の電子装置のポジション及び／又はアライメントを検出するために、複数のセンサを有する。これにより、安全モジュールを用いて、複数の電子装置に対するアクセス及び／又はプログラミングを阻止することができる。好ましくは、安全モジュールは、電子装置の予期されるポジション及び／又はアライメントに関するデータ、署名、及び／又は、電子装置の認証用データが格納されているデータメモリを有する。好ましくは、電子装置に対するアクセスは、事前に認証されてからでなければ実行することができず、この場合、格納された署名、特にデータメモリに格納された署名が、入力された認証用署名と比較される。好ましくは、安全モジュールに対するアクセスは、事前に認証されてからでなければ実行することができない。好ましくは、安全モジュールは、集積回路又は集積されたセンサとして構成されており、特に電子装置に配置されている。好ましくは、電子装置のインタフェースは、リモートインタフェースであり、例えば、ＷＬＡＮインタフェース、Ｂｌｕｅｔｏｏｔｈインタフェース又は赤外線インタフェースであり、これを介してしてリモートアクセスを行うことができ、好ましくは、このインタフェースを、リモートメンテナンス可能なインタフェースに変更することができる。好ましくは、安全モジュールは、電子装置のインタフェースを電流源から切り離すことによって、電子装置に対するアクセス及び／又はプログラミングを阻止する。これにより、電子装置に対する外部からのアクセスはもはや不可能である。好ましくは、安全モジュールは、電子装置とそのインタフェースを介してデータ交換する。これによって、安全モジュールと電子装置との間のデータ交換のために、さらなるインタフェースを使用することなく済ませることができる。

本発明の１つの好ましい発展形態によれば、安全モジュールは、一致が識別されたときにインタフェースを完全に又は部分的に非活性化するように構成されている。これにより実現されるのは、電子装置のプログラミングが阻止されるだけでなく、外部からのアクセス全体が阻止されることであり、その際に、特に、外部からのアクセスによる電子装置のデータの読み出しが阻止され、又は、インタフェースに対するアクセスにおいて少なくとも外部からの問合せが無視される。

本発明の１つの好ましい発展形態によれば、安全システムは、電子装置に対応づけられた又は対応づけ可能な少なくとも１つのスイッチ装置を有し、このスイッチ装置の操作によって、電子装置に対するアクセス及び／又はプログラミングに必要な電気的接続を遮断可能である。これにより実現されるのは、電子装置に対するアクセス及び／又はプログラミングが、アクセス及び／又はプログラミングに必要とされる接続が再び形成されるまで阻止される、ということである。特に、このスイッチ装置は、磁場により操作可能なスイッチ装置として構成されており、このスイッチ装置は、乗物において予め定められた箇所に配置された磁場発生器と協働する。電子装置が予め定められたポジション及び／又はアライメントに置かれると、スイッチ装置は、磁場発生器の磁場により操作され、これによって、上述の接続が遮断される。電子装置がそのポジションから動かされると、接続が再び形成される。この場合、スイッチ装置は、特に、電子装置のハウジング内部に配置されており、従って、そのポジションは、外部から識別することはできず、それによって、権限のない人からも判らない。他の選択肢として、スイッチ装置は、例えば、前述のセンサと協働する制御可能なスイッチ装置であり、従って、安全モジュールが、予め定められたポジション及び／又はアライメントからの逸脱を検出すると、接続を形成するためにスイッチ装置が操作される。好ましくは、スイッチ装置は、プログラムにより制御可能なスイッチ装置であり、このスイッチ装置は、外部のセンサと協働し、特に地磁気センサ又は加速度センサと協働する。

本発明の１つの好ましい発展形態によれば、センサは、電子装置内に又は電子装置に又は乗物に、配置されている又は配置可能である。このようにすれば、電子装置のポジション及び／又はアライメントのより確実な検出がセンサによって保証される。それというのも、センサの空間的配置は、外部からのアクセスによっても、特に権限のないアクセスによっても、変更することができないからである。さらにこのようにすれば、低コストかつ時間を節約する取り付けが可能となる。

本発明の１つの好ましい発展形態によれば、センサは、非接触で動作するセンサであり、特に、マグネットセンサ、超音波センサ、カメラセンサ、ポジションセンサ、及び／又は、アライメントセンサである。本発明のさらなる好ましい発展形態によれば、センサは、接触センサである。

本発明の１つの好ましい発展形態によれば、安全モジュールは、逸脱が識別されたときに電子装置に対するアクセス及び／又はプログラミングを許可するように構成されている。これによって以下のことが実現される。即ち、安全性に関連して乗物内で予期されるポジション及び／又はアライメントに電子装置が配置されていなければ、電子装置は、例えば、取り外された状態又は工場などにおいて、電子装置に対するアクセス及び／又はプログラミングを実行することができるようにする。

請求項７の特徴を備えた本発明に係る乗物用の電子装置は、本発明に係る安全システムが設けられている点において優れている。この場合、電子装置に関して特に、安全システムに関連して既に説明した利点がもたらされる。

本発明の１つの好ましい発展形態によれば、電子装置は、乗物の制御装置として構成されている。これによって特に、安全性に関連する電子装置に対する権限のないアクセス及び／又は権限のないプログラミングが阻止される。好ましくは、電子装置は、エンジン用又は変速機用の制御装置、ナビゲーション装置、エンジンイモビライザ、又は、安全装置である。好ましくは、電子装置は、さらなる認証のために暗号化された信号をチェックするように構成されている。

請求項９の特徴を備えた本発明に係る乗物は、少なくとも１つの電子装置と、この電子装置に対応づけられた本発明に係る安全システムとを、この乗物が有する点において優れている。この場合、乗物に関して特に、本発明に係る安全システム及び本発明に係る電子装置に関連して既に説明した利点がもたらされる。「乗物」とは、本明細書においては、特に、乗用車、トラック、バスのことであると解され、あるいは、ボート、船舶又は航空機のことであるとも解される。

本発明の１つの好ましい発展形態によれば、安全システムのセンサは、電子装置内に若しくは電子装置に、又は、電子装置を担持する若しくは電子装置に対応づけられた乗物の構造物に、配置されている。これによって、外部からのアクセスによってもセンサを不正操作することはできない。それというのも、センサの配置を外部からのアクセスによっても変更することはできないからであり、特に電子装置に対し空間的に変更することはできないからである。さらにこのようにすれば、低コストかつ時間を節約する取り付けが可能となる。

本発明に係る安全システム、本発明に係る電子装置、又は、本発明に係る乗物を動作させるための、請求項１１の特徴を備えた本発明に係る方法は、電子装置の検出されたポジション及び／又はアライメントと、予期されるポジション及び／又はアライメントとの一致が識別されたならば、電子装置に対する権限のないアクセス及び／又は権限のないプログラミングを阻止する点において優れている。この場合、この方法に関して特に、安全システム、電子装置及び乗物に関連して既に説明した利点がもたらされる。

さらなる好ましい特徴及び利点は、特に既にこれまでの説明から、及び、特許請求の範囲から明らかになる。

次に、実施例に基づき本発明について、さらに詳細に説明する。

本発明に係る安全システムのブロック回路図を概略的に示す図である。 本発明に係る安全システムの流れを説明するフローチャートである。

図１には、乗物の電子装置２のための本発明に係る安全システム１のブロック回路図が概略的に示されている。電子装置２はプログラミング可能であり、電子装置２に対するアクセス及びプログラミングのために、外部からのアクセスを介して使用可能なインタフェース３を有する。安全システム１は、安全モジュール４を有し、これは、電子装置２に対する許可されていないアクセス及び／又は許可されていないプログラミングを阻止するように構成されている。安全モジュール４は、さらなる実施例において、データメモリ８及び／又はコンピュータと接続されている。さらに、安全システム１は、乗物内の及び／又は乗物における（乗物は図示せず）電子装置２のポジション及び／又はアライメントを検出するためのセンサ５を有する。安全モジュール４は、さらなる実施例において、データ交換のためにデータ接続線６を介して電子装置２と接続されている。安全モジュール４は、センサ５により検出された電子装置２のポジション及び／又はアライメントと、予期されるポジション及び／又はアライメントとの一致又は逸脱を識別し、一致が識別されたならば、電子装置２に対するアクセス及び／又はプログラミングを阻止するように構成されている。安全モジュール４は、電子装置２が規定どおりに取り付けられていれば、電子装置２に対するアクセス及び／又はプログラミングを許可しない。１つの実施例によれば、インタフェース３がこのために完全に又は部分的に非活性化され、及び／又は、電子装置２の電流供給が遮断される。安全モジュール４は、さらなる実施例において、データ交換のためにデータ接続線７を介してセンサ５と接続されている。従って、電子装置２において、特に、乗物内の及び／又は乗物における電子装置２のポジション及び／又はアライメントにおいて、機械的な変更を、好ましくは空間的な変更を行わなければならず、電子装置２に対するアクセス及び／又はプログラミングが可能となるように、リモートアクセスを介してこの変更を行うことはできない。１つの実施例において、センサ５は、電子装置２内に若しくは電子装置２に又は乗物に、配置され、これによって、低コストで時間を節約する取り付けが可能となる。

図２には、安全システム１を動作させるための方法のステップを説明するフローチャートが示されている。ステップ１０においてセンサ５によって、電子装置２の実際のポジション及び／又はアライメントに関するデータが検出される。安全モジュール４は、センサ５により検出された電子装置２の実際のポジション及び／又はアライメントに関する、ステップ１０におけるデータと、電子装置２の予期されるポジション及び／又はアライメントに関するデータとの比較を、ステップ１１において実施する。予期されるポジションに関するデータは、選択的に、直接、安全モジュール４内に設けられているが、そうではなく、さらなるデータメモリ８によって供給することもできる。安全モジュール４は、ステップ１１におけるデータの比較を通して、乗物内の及び／又は乗物における電子装置２のポジション及び／又はアライメントの逸脱が存在するのか又は一致が存在するのかを、ステップ１２において識別する。安全モジュール４により識別された逸脱又は一致に基づき、安全モジュール４は、電子装置２を制御し、ステップ１２において、電子装置２のポジション及び／又はアライメントが、電子装置２の予期されるポジション及び／又はアライメントと一致しているならば又は最小限の逸脱であれば、ステップ１３において、電子装置２に対するアクセス及び／又はプログラミングが阻止され、電子装置２の予期されるポジション及び／又はアライメントに対し電子装置２のポジション及び／又はアライメントの逸脱が、ステップ１２において識別されれば、電子装置２に対するアクセス及び／又はプログラミングが許可される。従って、安全モジュール４は、電子装置２が規定どおりに取り付けられていれば、アクセス及び／又はプログラミングを許可せず、特に、電子装置への問合せが無視される。さらなる実施例において、電子装置２に対するアクセス及び／又はプログラミングのために、付加的に認証が必要とされる。

Claims (11)

1. 乗物の電子装置（２）のための安全システム（１）であって、
   前記電子装置（２）は、プログラミング可能であり、かつ、前記電子装置（２）に対するアクセス及び／又はプログラミングのために、外部からのアクセスを介して使用可能なインタフェース（３）を有し、
   前記安全システム（１）は、前記電子装置（２）に対する権限のないアクセス及び／又は権限のないプログラミングを阻止するように構成された安全モジュール（４）を備えている、
   乗物の電子装置（２）のための安全システム（１）において、
   前記安全システム（１）は、前記乗物内の及び／又は前記乗物における前記電子装置（２）のポジション及びアライメントを検出するためのセンサ（５）を有し、
   前記安全モジュール（４）は、前記センサ（５）により検出された前記電子装置（２）のポジション及びアライメントと、予期されるポジション及びアライメントとの一致を識別し、一致が識別されたならば、前記電子装置（２）に対するアクセス及び／又はプログラミングを阻止するように構成されている、
   ことを特徴とする、乗物の電子装置（２）のための安全システム（１）。
2. 前記安全モジュール（４）は、一致が識別されたときに、前記インタフェース（３）を完全に又は部分的に非活性化するように構成されている、
   請求項１に記載の安全システム（１）。
3. 前記安全システム（１）は、前記電子装置（２）に対応づけられた又は対応づけ可能な少なくとも１つのスイッチ装置を備えており、前記スイッチ装置の操作によって、前記電子装置（２）に対するアクセス及び／又はプログラミングに必要な電気的接続を遮断可能である、
   請求項１又は２に記載の安全システム（１）。
4. 前記センサ（５）は、前記電子装置（２）内に若しくは前記電子装置（２）に又は前記乗物に、配置されている又は配置可能である、
   請求項１乃至３のいずれか一項に記載の安全システム（１）。
5. 前記センサ（５）は、非接触で動作するセンサであり、特に、マグネットセンサ、超音波センサ、カメラセンサ、ポジションセンサ、及び／又は、アライメントセンサである、
   請求項１乃至４のいずれか一項に記載の安全システム（１）。
6. 前記安全モジュール（４）は、逸脱が識別されたときに、前記電子装置（２）に対するアクセス及び／又はプログラミングを許可するように構成されている、
   請求項１乃至５のいずれか一項に記載の安全システム（１）。
7. 請求項１乃至６のいずれか一項に記載の安全システム（１）を備えた乗物用の電子装置（２）。
8. 乗物の制御装置として構成されている、
   請求項７に記載の電子装置（２）。
9. 少なくとも１つの電子装置（２）と、前記電子装置（２）に対応づけられた請求項１乃至６のいずれか一項に記載の安全システム（１）と、を備えている乗物。
10. 前記安全システム（１）のセンサ（５）は、前記電子装置（２）内に若しくは前記電子装置（２）に、又は、前記電子装置（２）を担持する又は前記電子装置（２）に対応づけられた乗物の構造物に配置されている、
    請求項９に記載の乗物。
11. 請求項１乃至６のいずれか一項に記載の安全システム（１）、請求項７又は８に記載の電子装置（２）、又は、請求項９又は１０に記載の乗物を動作させるための方法において、
    前記電子装置（２）の検出されたポジション及びアライメントと、予期されるポジション及びアライメントとの一致が識別されたならば、前記電子装置（２）に対する権限のないアクセス及び／又は権限のないプログラミングを阻止することを特徴とする方法。

Images