PT2772886E - Sistema eletrónico de bordo de veículo e método de teste para o mesmo - Google Patents

Description

DESCRIÇÃO

SISTEMA ELETRÓNICO DE BORDO DE VEÍCULO E MÉTODO DE TESTE

PARA O MESMO A presente invenção refere-se a um sistema de bordo de veiculo que tem uma pluralidade de módulos, que comunicam uns com os outros e são claramente endereçáveis. A invenção refere ainda um método para o teste de tal sistema de bordo.

Quando são utilizados sistemas eletrónicos de bordo de veículos para a qestão do motor em particular, os mesmos têm a cargo nos veículos atuais muitas outras aplicações de complexidade muito diferente; Estes incluem aplicações de segurança, tais como travagem assistida ou controle por airbag, aplicações de conforto, por exemplo aplicações de controlo de temperatura e ambiente ou de navegação, bem como de aplicações de lazer, tais como controle de música e vídeo ou acesso a serviços de Internet, bem como aplicações simples, como uma abertura de janela ou de porta. Estas aplicações são geralmente ligadas como módulos separados a um bus de comunicação comum. Além disso recorrem a outros módulos de ligação que realizam esses correspondentes serviços. Por exemplo, um módulo para aplicação de ar condicionado utiliza um módulo de serviço com sensor de temperatura, o qual devolve uma resposta - do valor de temperatura medido.

Apesar de o desempenho dos sistemas de bordo dos veículos atuais há também muitas aplicações complexas, por exemplo uma aplicação de portagem para um sistema de portagens rodoviárias, instalado no veículo como dispositivo separado, sem estar ligado ao sistema de bordo do veículo. As razões para isso são a elevada sobrecarga adicional do bus de comunicação de sistemas existentes de bordo de veículos com módulos adicionais e custos de validação e de certificação adicionais, quando p. ex. uma aplicação de portagem com todos os seus módulos de serviço terem que ser ligados ao sistema de módulos de serviço para ser conectado ao sistema de bordo do veículo - muitas vezes produzidos por fabricantes diferentes, e operadores certificados específicos. 0 pedido de patente DE 10 2008 048 162 Ai descreve uma Onboard-Unit que liga os módulos de serviço e módulos de aplicações através de um bus de comunicação. Um módulo de serviço pode para isso partilhar vários módulos de aplicações. A publicação DE 100 26 918 AI descreve um adaptador de rede que acopla um segundo acesso de rede ao sistema de bordo do veículo em que o bus de comunicação regista de modo passivo e a segunda rede a partir do seu registo executa um acesso ao sistema de bordo do veículo. O documento EP 1 574 864 AI descreve um sistema de controlo para componentes de um sistema de bordo de veículo. Aqui, um percurso de referência é levado a cabo com um veiculo de referência. O funcionamento de um veiculo a ser testado é então verificado tendo em conta os dados de referência préviamente recolhidos. A invenção tem o objetivo, em primeiro lugar de fornecer um sistema de bordo eletrónico de veículo com uma aplicação de portagem integrada e um módulo de registo que funciona com alta eficiência sendo facilmente verificável e certificável.

Este objetivo é conseguido de acordo com um primeiro aspeto da invenção por um sistema de bordo eletrónico de veículo do tipo acima mencionado, no qual os módulos formam um primeiro grupo com pelo menos dois módulos de aplicação para a execução de várias aplicações e um segundo grupo com pelo menos dois módulos de serviço para a execução de diferentes serviços, em que cada módulo de aplicação é adaptado, para atender a uma mensagem de solicitação para execução do serviço reportando-a através do bus de comunicação a um módulo de serviço selecionado, e cada módulo de serviço é adaptado para, após uma execução de serviços devolver uma mensagem de resposta através do bus de comunicação a um módulo de aplicação requerente, em que pelo menos um módulo de aplicação compreende a aplicação de portagem e pelo menos um módulo de serviço contendo um serviço de comunicação, e em que ambos os módulos de aplicação partilham, mensagens de solicitação enviadas a um e mesmo módulo de serviço, cujo sistema de bordo do veiculo é caraterizado pelo facto de, compreender ainda um módulo de registo adaptado para, a partir do primeiro módulo de aplicação durante o funcionamento do veiculo endereçar mensagens de solicitação a um módulo de serviço e a partir deste durante o funcionamento do veiculo devolver mensagens de resposta respetivamente providas de um carimbo de hora atual registadas numa memória para um sistema de teste independente do sistema de bordo do veiculo para verificação da leitura efetuada.

Através da modularização de serviços em módulos de serviço individuais a utilização de partilha de módulos de serviços individuais através de vários módulos de aplicações aumenta a eficiência do sistema de bordo do veiculo: as duplicações são eliminadas, o número de módulos aumenta apenas ligeiramente com aplicações adicionais pequenas, bem como a carga sobre os bus de comunicação, uma vez que as redundâncias de serviços são eliminadas. Desta forma mesmo módulos de aplicação complexos, como é o caso de uma aplicação de portagem, podem ser integrados de forma eficiente num sistema de bordo de veiculo. 0 registo, de acordo com a invenção cria a possibilidade, de poder mais tarde verificar o processo no sistema de bordo do veiculo e desse modo testar o correto funcionamento da aplicação de portagem e dos seus módulos de serviço utilizados ou de procurar em caso de erro as causas do mesmo. Isto facilita a rastreabilidade dos processos no sistema de bordo do veiculo durante o funcionamento do veiculo, especialmente quando os módulos de diferentes fabricantes são utilizados no sistema de bordo do veiculo.

Para poder executar uma aplicação de portagem após a comunicação DSRC-padrão (Dedicated Short Range Communication) é vantajoso que um dos módulos de serviço seja um módulo de comunicação DSRC emissor-recetor. Podem também ser fornecidos outros serviços de comunicação. Assim de preferência um dos módulos de serviço contém um serviço de comunicação de rádio móvel emissor-recetor. Desse modo por exemplo tanto o acesso remoto da aplicação de navegação com dados das condições de estrada atuais e novos mapas como a aplicação de portagem possibilitam a passagem de determinados dos seus dados para um sistema central de portagem. Mesmo uma mudança para uma nova DSRC- e/ou um emissor-padrão de rádio móvel, por exemplo com maior largura de banda, não requer a substituição dos módulos para a aplicação de portagem ou aplicação de navegação; no entanto, ambos os módulos de aplicação beneficiam de uma troca do módulo de serviço DSRC- ou do módulo de serviço móvel.

Uma outra forma de realização preferida de utilização do sistema de bordo do veiculo moderno consiste num módulo adicional de serviço contendo um serviço de localização, a fim de fornecer serviços de localização apropriados para as aplicações de portagen baseadas na localização. É vantajoso que um outro módulo de serviço contenha um serviço de correspondência de mapas. Um tal serviço de correspondência de mapas determina a posição de um veiculo por exemplo através de um serviço de localização de um módulo de serviço tendo por exemplo armazenado em um cartão de memória do módulo de serviço, um mapa de rede rodoviária para melhor localizar deste modo o veiculo na rede rodoviária. Esse serviço intensivamente computacional e altamente complexo pode compartilhar a aplicação de portagem e de navegação, e por meio de tal modularização aumentar a eficiência do sistema de bordo do veiculo. É vantajoso que um outro módulo de serviço contenha um serviço de pagamento. Um serviço de pagamento semelhante, com possibilidade de uma identificação ou autenticação do sistema de bordo do veiculo, não só é adequado para a aplicação de portagem e de navegação, mas também para aplicações que permitem por exemplo o acesso à Internet e a serviços em linha. 0 módulo de registo pode ser ligado diretamente ao bus de comunicação e pode detetar as referidas mensagens de solicitações e de respostas através da comunicação por bus entendendo-as, mas pode também ser entreposto entre o primeiro módulo de aplicação com a aplicação de portagem e o bus de comunicação em que está adaptado para deixar passar as atrás referidas mensagens de solicitação e de resposta.

De preferência, o módulo de registo é concebido para fornecer os registos com uma assinatura. Assim, a autenticidade de cada gravação é compreensível. Uma alteração feita por terceiros a uma assinatura não é possível. Para garantir os registos o acesso não autorizado e a adulteração, é particularmente favorável quando o módulo de registo e/ou o acesso à memória são criptograficamente e/ou fisicamente confirmados.

Num segundo aspeto a invenção proporciona um método para testar um sistema de bordo do tipo mencionado anteriormente, por meio de um sistema de teste independente do mesmo, o qual tem um acesso pelo menos temporário à memória do módulo de registo, compreendendo os seguintes passos:

Ler uma mensagem de solicitação e correspondente mensagem de resposta, juntamente com os respetivos carimbos de tempo da memória,

Testar, se a diferença da leitura do carimbo de tempo excede um valor limite predeterminado, e fornecimento do resultado do teste. A aplicação de portagem e os módulos de serviço por ela endereçados são assim submetidos a um teste simples e rápido. Desvios individuais de módulos de serviço de um determinado comportamento podem assim ser detetados rapidamente. 0 método de teste não está limitado a uma aplicação na oficina, uma vez que a memória do módulo de registo por exemplo, pode ser lida por meio de um serviço de comunicação do sistema de bordo do veiculo - mesmo durante o funcionamento do veiculo ("on the fly"). Dependendo dos módulos testados ou do valor limite de desvio predeterminado é possível implementar diferentes medidas. Então quando o valor de desvio é excedido pelo condutor ou operador de veículo, é possível informar ou advertir uma oficina de manutenção ou um operador de portagem rodoviária, por exemplo para um posterior bloqueio de um contrato de utilização. É igualmente possível desativar um módulo, a fim de evitar uma falha de todo o sistema de bordo do veículo.

Sob um outro aspeto, a invenção refere-se a um método para testar um sistema de bordo de veículo do tipo acima mencionado utilizando um sistema de teste independente do mesmo, o qual possui o acesso pelo menos temporário para a memória do módulo de registo e pelo menos um módulo do serviço de referência para realizar o serviço do módulo de serviço a ser testado do sistema de bordo de veículo, que compreende os seguintes passos:

Ler uma mensagem de solicitação dirigida ao módulo de serviço a ser testado e mensagem de resposta correspondente a partir da memória,

Envio da mensagem de leitura para a execução de serviços para o módulo de serviço de referência e receção de uma mensagem de resposta de referência devolvida do módulo do serviço de referência, Comparação da leitura da mensagem de resposta com a mensagem de resposta de referência e fornecimento do resultado da comparação. 0 sistema de teste executa um teste muito preciso do módulo de serviço utilizando o seu - p. ex. num ambiente certificado e inviolável à manipulação - módulo de serviço de referência. 0 método acima mencionado, é possível de realizar "on the fly" para validar o sistema de bordo do veículo ou alguns dos seus componentes ou para certificar ou gerar mensagens de informação ou mensagens de alerta. Mais uma vez é possível em presença de um resultado de comparação insuficiente desativar módulos individuais de serviço ou mesmo módulos de aplicações ou efetuar uma alteração na priorização de serviços e aplicações.

Com particular preferência, os resultados dos testes atrás referidos e os resultados da comparação atrás referida estão ligados a um resultado de avaliação. Tal resultado de um teste duplo permite a validação em curso e/ou posterior, a certificação ou recertificação de módulos etc., também durante a operação do sistema de bordo do veículo. Isto é particularmente vantajoso no caso em que o sistema de bordo do veículo compreende vários módulos por exemplo de diferentes fabricantes e/ou em caso de troca ou adição de módulos individuais. É também particularmente preferido que a leitura da assinatura das mensagens de solicitação e de resposta a partir da memória seja verificada quanto à autenticidade, a fim de poder assegurar a autenticidade do registo. Assim, o método pode com base nessa autenticação, registada num único módulo, utilizar autenticações invioláveis p. ex. de fabricantes de veículos e operadores de serviços externos p. ex. operadores de portagem rodoviária, paralelamente para fins de teste de inspeção em especial quando o modulo de registo e/ou a sua memória são adicionalmente de acesso criptograficamente e/ou fisicamente seguro. Caso o módulo de registo registe mensagens de outros módulos, a utilização de outros módulos de registo no sistema de bordo do veiculo pode ser omitida. 0 sistema de bordo do veiculo é portanto mais simples quanto à construção e mais eficiente e poupa mais energia quando em operação. A leitura do conteúdo da memória no sistema de teste pode ser realizada quer por remoção física da memória e/ou do módulo de registo a partir do sistema de bordo do veículo, quer por meio de uma ligação de dados técnicos, ambos com e sem fios. Preferivelmente a referida leitura dos conteúdos da memória é realizada por transmissão sem fios do conteúdo da memória a partir do sistema de bordo do veículo no sistema de teste, por exemplo, utilizando um dos módulos de comunicação do sistema de bordo do veículo. A invenção irá agora ser descrita com referência às formas de realização representadas nos desenhos anexos. Os desenhos ilustram: A Fig. 1 ilustra um veículo com um sistema eletrónico de bordo de veículo de acordo com a invenção em comunicação com componentes externos num diagrama de blocos esquemático.

As Fig. 2a a 2i ilustram a interação de vários módulos do sistema de bordo do veículo da Fig. 1 num detalhe em corte de diagramas de blocos; e A Fig. 3 é um diagrama de fluxo de um método de acordo com a invenção para o controlo do sistema de bordo do veículo das Figs. 1 e 2.

De acordo com a Fig. 1, um veiculo 1 com um sistema de bordo de veículo eletrónico 2 (Onboard Electronic System, OES) circula numa estrada 3. 0 sistema de bordo do veículo 2 executa duas diferentes aplicações e serviços, os quais serão descritos em maior detalhe com referência à Fig. 2. É por exemplo possível determinar a sua posição através de emissor de rádio 4 por satélite 5 com um sistema de navegação global por satélite (Global Navigation Satellite System, GNSS). Da mesma forma, o sistema de bordo do veículo 2 comunica no exemplo da Fig. 1 por meio de uma emissão de ligação de rádio móvel 6 com uma das muitas estações de base 7 de uma rede de rádio móvel 8 (Public Land Mobile Network, PLMN), que também pode configurar uma ligação de dados 9 a uma rede global de dados, como a Internet 10.

Além disso, o sistema de bordo do veículo 2 conforme a Fig. 1 também mostra está em ligação de rádio de curto alcance 11 com uma baliza de rádio 12 de um sistema de portagem rodoviária 13. 0 sistema de portagem rodoviária 13 (cobra) a utilização de áreas de estrada sujeitas a portagem 3, por exemplo, estradas com portagem ou estacionamento através do veiculo 1. Isto compreende uma pluralidade de sinais de rádio de balizas de rádio rodoviárias 12. A comunicação através das ligações de rádio 11 é preferencialmente realizada de acordo com o DSRC ou WAVE-padrão (Dedicated Short Range Communication e Wireless Access in Vehicular Environments), ou também ITS-G5, RFID ou comunicação por infravermelhos, no caso mais simples, WLAN ou Bluetooth. Com base na localização conhecida das balizas 12 e da gama limitada das suas ligações sem fios 11, os sistemas de bordo do veículo 2 podem ser localizados e assim o uso da estrada 3 ser faturado. Para esta finalidade cada baliza 12 está em comunicação com um sistema central 14 do sistema de portagens rodoviárias 13 com ligação de dados (15). 0 sistema central 14 do sistema de portagens rodoviário 13 pode ser ligado através de uma ligação adicional de dados 9' com a rede de dados global 10 e em seguida, se assim desejado, trocar informações, através de emissão de rádio móvel 8 com o sistema de bordo do veículo 2. A rede móvel 8 pode também ser diretamente ligada com a central 14.

Tal como mostrado nas Figuras 2a a 2i, o sistema de bordo do veiculo 2 tem um design modular: 0 mesmo compreende um primeiro grupo GA de módulos de aplicações MAi ,MA2fii, gerais MAl, as quais executam respetivamente diferentes aplicações Alr A2 gerais A±; e um segundo grupo Gs de módulos de serviço Msl, MS2..., gerais MS], que executam respetivamente serviços diferentes SI, S2-geras Sj. Os módulos MAl, Msj estão em comunicação C um com o outro através de um bus de comunicação do sistema de bordo do

veiculo 2. Cada módulo MAl, Msj tem no bus de comunicação C um endereço de bus exclusivo, a partir do qual é individualmente endereçável. 0 bus de comunicação C pode ser um bus CAN ou de outro tipo, inserido num bus de comunicação do veiculo, por exemplo um bus de campo FlexRay ™. Cada módulo de aplicação MAl ou a sua aplicação Air dispõe, quando necessário, de um ou mais módulos de serviço Msj e dos serviços executados por cada um deles Sj; e inversamente cada módulo de serviço Msj pode dispor dos serviços Sj de vários módulos de aplicações MAl para execução de solicitações quando necessário.

Os serviços oferecidos Sj pelos módulos de serviço Msj podem ser de qualquer tipo, por exemplo um serviço oferecido de computação S6, tal como por um processador (CPU) e serviço oferecido por unidade de processamento gráfico (GPU), um serviço oferecido de armazenamento S7 fornecido por um componente de memória (MEM), serviços relacionados a veículos, como os de componentes específicos para cada veiculo, tais como o painel de instrumentos, de ignição, ou sistemas de travagem ou de gestão do motor ou similares.

Por exemplo, um módulo de serviço de "ignição" Msj podia oferecer informações sore a ligação da ignição (chave de ignição do veiculo), um módulo de "serviço tacómetro" Msj fornecer informações sobre a velocidade do veiculo, um módulo "relógio" Msj o fornecimento do pulso ou dados de tempo, um módulo de serviço ligado ao sistema de travagem do veiculo Msj fornecer valores de medição de acelerações e travagens, por exemplo de sensores de aceleração, um módulo de serviço ligado ao motor para gestão do motor Msj (Engine Control Unit, ECU; Full Authority Digital Engine Control, FADEC) fornecer dados de medição do motor e de medição dos gases de escape (por exemplo, a partir de uma sonda Lambda) para disponibilizar ou poder alterar os dados de controlo do motor, etc., etc.

No exemplo da Fig. 2a, um módulo de aplicação transmite Ma3 para uma outra aplicação de navegação (Navigation) , NAV)Ai uma mensagem de solicitação n33 por um serviço de localização por satélite (GNSS) S3 por meio de comunicação por bus CAN para este serviço S3 ser realizado por um módulo de serviço Ms3. Após a execução dos serviços de localização S3, ou seja da determinação da posição, é enviada Ms3 uma mensagem de resposta n33 pelo bus de comunicação C de retorno a esse módulo de aplicação que a solicitou MA1. A mensagem de solicitação n13 contém paralelamente ao comando para a execução de um serviço, também parâmetros apropriados e transferência de dados, listas de comando, somas de controlo e assim por diante, os endereços da rede do módulo de aplicação de envio MA3 e o módulo de serviço selecionado Ms3, ao qual a mensagem n13 se destina. A mensagem de resposta n31 por sua vez, contém os endereços de bus dos dois módulos Ms3, MA1 e também resultaos dos parâmetro do serviço de localização S3 para posterior utilização na aplicação de navegação A3, os parâmetros de resultado podem, por exemplo também conter relatórios sobre a natureza e a qualidade da execução do serviço, por exemplo, a quantidade de memória usada para os mesmos, a quantidade de unidades de processamento (CPUs), a precisão dos resultados de localização, relatórios de desempenho, na forma de MIPS (million instructions per second) como indicadores para o desempenho da CPU utilizada, etc., etc.

Se assim desejado, uma mensagem de solicitação nij pode, em adição ao referido endereços de bus, conter igualmente parâmetros para uso no serviço selecionado Sj, por exemplo dados de localização para um serviço de mapa correspondente S,j,tal como será explicado mais abaixo. Além disso uma mensagem de resposta nji pode adicionalmente ao dito endereço bus também ser apenas uma confirmação da execução do serviço Sj, por exemplo para incluir a confirmação de que o serviço de comunicação móvel por rádio S2 enviou com sucesso dados para a rede móvel 8 sem mais resultados de parâmetros.

As Figs. 2a a 2i mostram a interação de diferentes módulos de serviços Msj com diferentes módulos de aplicação MAl, em que os módulos de aplicação MAl partilham respetivamente com os módulos de serviço Msj, ou seja, executam em conjunto, por forma a reduzir o número de módulos MAl, Msj e com isso a complexidade do sistema de bordo do veiculo 2. As Figs. 2a a 2i mostram respetivamente um cenário diferente e uma função diferente do sistema de bordo do veiculo 2, para o conjunto de módulos mostrados a tracejado formam respetivamente um dispositivo fisico ou virtual. A Fig. 2a mostra a utilização do sistema de bordo do veiculo 2 como um dispositivo de navegação, por exemplo, recetor de GPS com exibição de mapa. De acordo com a Fig. 2a, uma aplicação de navegação solicita Ai um serviço de correspondência de mapas S4 ("map matching",MM) de um módulo de serviço M84, em que o mesmo endereça a esse módulo de serviço M84 uma mensagem de solicitação n14, previamente gerada pelo serviço de localização S3 (ver mensagem de solicitação ni3 e mensagem de resposta n3i) contendo parâmetros de localização. A partir desses parâmetros de localização o serviço de correspondência de mapa S4 faz uma comparação com um mapa digital armazenado na memória D do módulo de serviço M84 de uma rede de estradas, melhorando assim a precisão do serviço de localização S3 da posição determinada do sistema de bordo do veículo 2 ou do veículo 1 na rede rodoviária 3. A aplicação de navegação A3 pode fazer referência à respetiva mensagem de resposta n4i dos resultados enviados para mostrar ao motorista a posição atual do veículo e apresentar propostas de novas rotas. A aplicação de navegação A1 poderia ter acesso por meio deste módulo de comunicação de rádio móvel MS2_ neste exemplo, um emissor-recetor de rádio móvel (PLMN) - por exemplo, a obter condições meteorológicas ou de trânsito atuais e levá-las em conta ou a atualizar o mapa digital armazenado na memória D. A Fig. 2b mostra o sistema de bordo do veículo 2 numa função de router de rede. Uma aplicação de rede (aplicação-IP, IP) A 3 proporciona ao veiculo ou seus ocupantes o acesso à Internet 10. A aplicação de acesso à rede A3 utiliza o módulo de comunicação móvel de rádio M82 através de uma ligação rádio móvel 6 e pela rede móvel 8. A aplicação de rede A3 pode opcionalmente utilizar a autenticação e/ou meios de pagamento por um serviço de pagamento (Subscriber Identification Module, SIM) S5, por exemplo uma carteira eletrónica, em caso de acesso a Internet externa ou serviços móveis de rádio de acesso pelo ordenante ou afins, que necessitam de uma identificação do utilizador.

As Figs. 2c a 2i mostram a utilização do sistema de bordo do veículo 2 como Onboard-Unit (OBU) do sistema de portagens de estrada 13 em várias formas de realização. A Fig. 2c mostra a realização de um chamado "thin-client" OBU. Uma aplicação de portagem (Tolling Service

Application, TSA) A2 do sistema de bordo do veículo 2 utiliza os serviços de localização S3 dos módulos de serviços MS3 para localização por satélite, para se localizar. A aplicação de portagem A2 encaminha as informações de localização em bruto assim obtidas tais como p. ex. através do módulo de serviço de comunicação móvel Ms2 para o sistema central 14 do sistema de portagem 13, onde as informações de localização p.ex. podem ser melhoradas com base em mapas de estradas digitais e na utilização de estradas com cobrança de portagem 3. A Fig. 2d mostra a estrutura de um chamado "thick-client" OBU, na qual a aplicação de portagem A2 avalia as informações determinadas pelo serviço de localização S3 usando o módulo de serviço de correspondência de mapas MS4, calcula valores de portagens e transmite essa informação de localização anónima de portagem através do serviço de comunicação do módulo MS2 móvel para o sistema central 14 do sistema de portagem rodoviário 13. A Fig. 2e mostra uma variante de auto localização do "thin-client" OBU da Fig. 2c. A aplicação de portagem A2 envia a informação aqui determinada utilizando o serviço de localização S3 através de um módulo de serviço DSRC MSi, por exemplo, um emissor-recetor DSRC-, ou um módulo de serviço WAVE (não representado) para o sistema central 14 do sistema de portagem rodoviário 13.

Tal como mostrado na Fig. 2f, o sistema de bordo do veículo 2 pode em alternativa às variantes atrás descritas nas Figs. 2c a 2f, utilizando os sinais de auto-localização OBUs para recorrer a balizas de rádio 12 de curto alcance, em que o módulo de apliacação de portagem MA2 requer o módulo de serviço DSRC MSi (ou um módulo de serviço WAVE). 0 exemplo da Fig. 2g representa uma variante OBU para a portagem pré-paga Aqui, o módulo de aplicação de portagem MA2 utilizado adicionalmente do serviço de pagamento S5 do módulo do serviço MS5 para ao entrar na área de cobertura de rádio de curto alcance de uma baliza 12 assim comunicar uma quantia predeterminada de portagem a partir de um saldo armazenado no módulo de serviço MSs.

Além disso, seria possível utilizar conforme mostrado na Fig. 2h, por um lado o módulo de aplicação de portagem Ma2 e por outro lado o módulo de serviço DSRC MSi para a auto localização com base numa rede geograficamente distribuída de balizas de rádio DSRC 12, e a informação de localização por meio do módulo de serviço móvel de rádio MS2 transmitir ao sistema central 14 do sistema de portagem rodoviária 13 para faturação.

Outras variantes da utilização do sistema de bordo do veículo 2 como portagem OBU são possíveis. Assim por exemplo um "thick-client" OBU pode também ser equipado com saldo pré-pago, o módulo de aplicação de portagem MA2 a cada localização, poder combinar os módulos de comunicação e serviço de computação MSi, Ms2, Ms3, Ms4, Ms5 e compartilhar com outros módulos de aplicações MA1, MA3 etc. Outras aplicações e módulos de serviço Mai, MSj, por exemplo de gestão do motor, controle de temperatura, podem igualmente estar ligadas pela comunicação C e partilhar serviços Sj uns com os outros.

Entende-se que, dependendo dos requisitos de módulos individuais MAi, Msj podem também ser construídos como módulos de Software, bem como módulos de Hardware e como vários módulos de software e assim, se desejado, terem lugar numa mesma unidade física de computação. Os módulos MAl, Msj podem ser refinados ou divididos hierarquicamente. 0 sistema de bordo do veículo 2 executa as aplicações Ai e serviços Sj geralmente paralelos uns aos outros, quando tal for necessário ou desejado. Mensagens de solicitação e de resposta nij, nji são apresentadas em sucessão cronológica através da comunicação C. Para documentar o funcionamento dos módulos de aplicação e de serviços MAi, Msj e poder validar e/ou certificar, deverá seguir-se a expecificação com referência à Fig. 2i de expansão do sistema.

Conforme o ilustrado na Fig. 2i, ligado ao bus de comunicação C do sistema de bordo do veiculo 2 está um módulo comum de registo MA4. No exemplo mostrado na Fig. 2i, o módulo de registo MA4 faz o protocolo de todos os registos retirados da aplicação de portagem A2 dos serviços reivindicados Sj. A Fig. 3 mostra o fluxograma de funcionamento do módulo de registo MA4 da aplicação de registo A4.

Numa ligação 16, o módulo de registo MA4 percebe conjuntamente a comunicação C. Deteta o módulo de registo Ma4 num dos primeiros módulos de aplicação MA2, enquanto é dirigida para um módulo de serviço Msj uma mensagem de solicitação n2j ou uma mensagem de resposta nj2 devolvida a partir do mesmo com base nos endereços de bus respetivamente nele contidos (ramo "Y" a decisão 16'), desse modo oferece a mensagem detetada n2j, nj2 na etapa 17 com um carimbo de tempo atual t2j, tj2 e regista-a numa memória 18. Estas mensagens registadas n2j, nj2 podem assim também partilhar cada parâmetro transmitido p. ex. de dados ou p. ex. contendo comandos ou parâmetros de resultados ou datas, como abordado anteriormente. 0 módulo de registo MA4 pode ser adaptado para que as mensagens detetadas n2j, nj2 e os respetivos carimbos de tempo associados t2j, tj2 sejam fornecidos com uma assinatura digital e desse modo armazenados na memória 18. 0 módulo de registo MA4 pode ser por exemplo um cartão inteligente Smart-Card, que contém uma assinatura criptográfica ou que a gere e em conjunto com a sua memória 18 (ou esta sozinha) - possa garantir o acesso criptográficamente - na forma de um "trusted element". Alternativamente ou adicionalmente, o módulo de registo MA4 e/ou a sua memória 18 também fisicamente segura, tem por exemplo uma estrutura encapsulada, como é conhecido para os telefones móveis, por exemplo, na forma de cartões SIM. 0 módulo de registo MA4 pode - da mesma forma que os outros módulos de aplicação MAl -ser ligado ao bus de comunicação C e detetar as mensagens n2j, n]2 através do bus de comunicação C com base em endereços de bus interessados e registá-las como pela sonda de bus 18' conforme indicado. Em alternativa o módulo de registo MA4 pode também estar entreposto entre o módulo de registo MA2 com a aplicação de portagem A2 e o bus de comunicação C, como uma linha tracejada indicada por 18", e o módulo de aplicação para portagem MA2 conduzir (routen) as mensagens de solicitação e de resposta n2j,nj2 ou deixando-as passar e assim captar as mensagens do referido registo na memória 18.

Com base nos registos na memória 18 do módulo de registo MA4f é possível um teste, uma validação ou certificação do sistema de bordo do veículo 2 ou dos módulos e serviços. Assim um sistema de teste (Performance Validation Proxy, PVP) 19 independente do sistema de bordo do veículo 2 tem acesso pelo menos temporariamente aos registos na memória 18, por exemplo numa estadia na oficina do veículo 1. A memória 18 pode ser removida para essa finalidade, ou o módulo de registo MA4 pode ter uma ligação com o sistema de teste 19. Em alternativa as solicitações do sistema de teste 19 ou do módulo de registo MA4 os registros da memória 18 até mesmo durante o funcionamento do veículo 1 por exemplo ser enviados para o sistema de teste 19 por meio do módulo de registo MA4, do bus de comunicação C e um dos módulos de serviço de comunicação Msl, Ms2 ou semelhantes e aí ser testadas de acordo com um dos a seguir descritos procedimentos de teste.

No caso mais simples, os procedimentos de teste podem consistir no sistema de teste 19, em que as mensagens de resposta nj2 são meramente analisadas em termos do seu conteúdo, particularmente se elas próprias contiverem um relatório do respetivo módulo de serviço Msj, por exemplo sobre desempenho na execução do serviço Sj no módulo de serviço Msj, o tamanho de memória necessária, o tempo de computação, o número de cálculos, sobre a qualidade das medidas dos dados de resultados, por exemplo, a precisão indicada de um serviço de localização ou outros semelhantes. Tais relatórios de desempenho de um módulo de serviço MSJ podem ser monitorizados para garantir a conformidade com os limites especificados, de modo a validar e certificar os módulos e serviços do sistema de bordo do veiculo 2. Além disso o conteúdo da mensagem de resposta nj2 pode também ser comparado com o de outros módulos de serviço Msj por exemplo para realizar verificações da plausibilidade dos dados.

Numa forma de realização preferida, o sistema de teste 19 executa os seus próprios testes de desempenho, tal como descrito abaixo. 0 procedimento de ensaio é iniciado no passo 20, onde o sistema de teste 19 e uma mensagem de solicitação n2j e uma mensagem de resposta correspondente nj2 incluindo os respetivos carimbos de tempo t2j, tj2 são lidos a partir da memória 18. Numa primeira variante do método de teste que é então apresentada no passo 21, em que é verificado se a diferença entre as leituras dos carimbos de tempo t2j, tj2 excede um valor com limite predeterminado tG, e o resultado deste teste é fornecido no passo 22, tal como o teste P.

De acordo com um dos passos 20 e 21 ou uma variante alternativa adicional dos tipos de procedimento, passa-se do passo 20 para o passo 23, em que a mensagem de solicitação n2j lida é enviada para realizar os serviços selecionados Sj num módulo de serviço de referência Msj,ref (Fig. 2i) do sistema de teste 19, em que o serviço Sj do módulo de serviço a ser testado Msj do sistema de bordo 2 independentemente dos mesmos, é realizado num ambiente certificado como serviço de referência Sj,ref, e, em seguida, na etapa 24, é devolvida uma mensagem de resposta de referência nj2 ref. Num passo seguinte 25, a mensagem de resposta lida nj2 é comparada com a mensagem de resposta de referência nj2,ref e o resultado fornecido no passo 26 como o resultado de comparação V.

Opcionalmente, o teste P e os resultados de comparação V estão ligados para formar uma avaliação de resultado B (passo 27) . Os resultados P, V, B do método de teste de acordo com a Fig. 3 podem então ser utilizados para validar os resultados do módulo de serviço testado Msj ou do módulo de aplicação MA± requerido e caso os resultados de avaliação P, V, B, sejam insuficientes não validar. Quando o módulo de registo MA4 tem os registos fornecidos no passo 17 com uma assinatura, o sistema de teste 19 pode testar a assinatura a partir da memória 18 das mensagens de solicitação e resposta lidas n2j, nj2 quanto à autenticidade e de fornecer os resultados de uma análise mais aprofundada. A invenção não está limitada às formas de realização ilustradas, mas inclui todas as variações, combinações e modificações que se incluem dentro do âmbito das reivindicações anexas. Assim, o módulo de registo MA4 também poderia utilizar para as mensagens de solicitação e receção nij,nji um outro módulo MAl desde que o módulo de aplicação de portagem MA2 esteja registado com um carimbo de tempo atual tij, tji na memória 18, após o qual o sistema de teste de 19 poderia aplicar os seus métodos de teste para cada módulo MAl, Ms j .

DOCUMENTOS REFERIDOS NA DESCRIÇÃO

Esta lista de documentos referidos pelo autor do presente pedido de patente foi elaborada apenas para informação do leitor. Não é parte integrante do documento de patente europeia. Não obstante o cuidado na sua elaboração, o IEP não assume qualquer responsabilidade por eventuais erros ou omissões.

Documentos de patente referidos na descrição • DE 102008048162 Ai [0004] • DE 10026918 Ai [0005] • EP 1574864 Ai [0006]

Lisboa, 16 de Junho de 2015

Claims (15)

1. REIVINDICAÇÕES 1. Sistema eletrónico de bordo de veiculo (2), com uma pluralidade de módulos (MAl, Msj), os quais através de uma comunicação por bus (C) comunicam uns com os outros e são claramente endereçáveis, em que os módulos (MAi, Msj) formam um primeiro grupo (Ga) de pelo menos dois módulos de aplicação (MAl) para executar diferentes aplicações (A±) e um segundo grupo (Gs) de pelo menos dois módulos de serviço (Msj) para executar diferentes serviços (Sj), em que cada módulo de aplicação (MAl) está adaptado para, uma mensagem de solicitação (nij) para a comunicação do serviço através de comunicação por bus (C) para um módulo de serviço selecionado (Msj), e cada módulo de serviço (Msj) está adaptado para, após a execução de serviços devolver uma mensagem de resposta (nji) através da comunicação por bus (C) a um módulo de aplicação requerente (MAl) , em que pelo menos um módulo de aplicação(MAl) contém uma aplicação de portagem (A2)e pelo menos um módulo de serviço (Msj) que contém uma aplicação de serviço (Si, S2) , e em que ambos os módulos de aplicações (MAl) partilham pelo menos um módulo de serviço(Msj) , por mensagens de solicitação (nij) a um mesmo módulo de serviço(Msj) , caracterizado por o sistema de bordo do veiculo (2) conter também um módulo de registo (MA4) , o qual é adaptado, a partir do primeiro módulo da aplicação (MA2) durante o funcionamento do veiculo num módulo de serviço(Msj) poder capturar as mensagens de solicitação (n2j) e a partir destas, devolver mensagens de resposta durante o funcionamento do veiculo (nj2) e respetivamente provido de um carimbo de hora atual (t2j, tj2) armazenado para uma memória (18) para um sistema de teste independente do sistema de bordo de veiculo(2) testar registos legíveis.
2. 2. Sistema de bordo de veículo de acordo com a reivindicação 1, caracterizado por um dos serviços de comunicação (Si, S2) contendo um módulo de serviço (MSi, Ms2) ser um emissor-recetor DSRC (Msi) .
3. 3. Sistema de bordo de veículo de acordo com a reivindicação 1 ou 2, caracterizado por ter um serviço de comunicação (S4, S2) num módulo de serviço (MSi, Ms2) e um emissor-recetor DSRC (Ms2) .
4. 4. Sistema de bordo de veículo de acordo com uma das reivindicações 1 a 3, caracterizado por ter um módulo de serviço adicional (MS3) contendo um serviço de localização. (S3) .
5. 5. Sistema de bordo de veículo de acordo com uma das reivindicações 1 a 4, caracterizado por um módulo de serviço adicional (MS4) conter um serviço de correspondência de mapas. (S4) .
6. 6. Sistema de bordo de veículo de acordo com uma das reivindicações 1 a 5, caracterizado por um módulo de serviço adicional (NS5) ser uma carteira eletrónica.
7. 7. Sistema de bordo de veículo de acordo com uma das reivindicações 1 a 6, caracterizado por o módulo de registo (Ma4) estar ligado ao bus de comunicação (C) e adaptado para captar as acima mencionadas mensagens de solicitação e mensagens de resposta (n2j, nj2) no bus de comunicação (C) e para desse modo as registar.
8. 8. Sistema de bordo de veículo de acordo com uma das reivindicações 1 a 6, caracterizado por o módulo de registo (Ma4) estar entre o primeiro módulo de aplicação (Ma2) e o bus de comunicação (C) interposto e adaptado para deixar passar as atrás referidas mensagens de solicitações e de respostas (n2j, nj2) e desse modo as registar.
9. 9. Sistema de bordo de veiculo de acordo com as reivindicações 1 a 8, caracterizado por o módulo de registo (MA4) ser ainda adaptado para fornecer os registos com uma assinatura.
10. 10. Sistema de bordo de veiculo de acordo com uma das reivindicações 1 a 9, caracterizado por a memória (18) do módulo de registo (MA4) ser criptograficamente e/ou de acesso fisicamente seguro.
11. 11. Método para testar um sistema de bordo de veiculo de acordo com uma das reivindicações 1 a 10 utilizando um sistema de teste independente (19) do referido sistema que tem um acesso pelo menos temporário à memória (18) do módulo de registo (MA4) , compreendendo os seguintes passos: Ler (20) uma mensagem de solicitação (n2j) e de uma mensagem de resposta associada (nj2) , que são registadas, respetivamente, durante o funcionamento do veiculo, juntamente com os respetivos carimbos de tempo (t2j, tj2) na memória (18), Testar (21) se a diferença do carimbo de tempo lida (t2j, tj2) excede um valor limite predeterminado (tG) , e fornecimento (22) do resultado do teste (P) .
12. 12. Método para testar um sistema de bordo de veiculo de acordo com uma das reivindicações 1 a 10 utilizando um sistema de teste independente (19) que tem pelo menos um acesso temporário à memória (18) do módulo de registo (MA4) e pelo menos um módulo de serviço de referência (Msj,ref) para executar o serviço (Sj) um módulo de serviço a ser testado (Msj) do sistema de bordo do veículo (2), que compreende os passos seguintes: Ler (20) um envio ao módulo de serviço (MSj) de uma mensagem de solicitação a ser testada (n2j) e da mensagem de resposta associada (nj2) a partir da memória (18), Envio (23) da mensagem de solicitação lida (n2j) para execução do serviço no módulo de serviço de referência (Msj,ref) e receção (24) de uma referência a respeito da mensagem de resposta devolvida (nj2 ref) do módulo de serviço de referência (Msj, ref) , Comparação (25) da leitura da mensagem de resposta (nj2) com a referida mensagem de resposta de referência (nj2,ref) e fornecimento (26) do resultado da comparação (V).
13. 13. Método de acordo com as reivindicações 11 e 12, caracterizado por o resultado do teste (P) e o resultado da comparação (V) estarem ligados a um resultado de avaliação (B) .
14. 14. Método de acordo com uma das reivindicações 11 a 13 em ligação com a reivindicação 9, caracterizado por a assinatura mais distante a partir da memória (18) da leitura das mensagens de solicitação e de resposta (n2j, nj2) ser verificada quanto à autenticidade.
15. 15. Método de acordo com qualquer uma das reivindicações 11 a 14, caracterizado por a referida leitura do conteúdo da memória ser feita por transmissão sem fios do conteúdo da memória a partir do sistema a bordo do veículo (2) para o sistema de teste (19) . Lisboa, 16 de Junho de 2015