[发明专利]用于保护对控制仪器的诊断指令的设备和相应的机动车

说明书

一种用于监控对控制仪器（14）的诊断指令（16）的设备（10），其特征在于如下特征：‑设备（10）包括运行平台（18）和与运行平台（18）连接的安全装置（19），所述安全装置具有指令过滤器（21）和状态机（22，23，24），‑运行平台（18）设计成，根据预设的脚本（15）产生诊断指令（16）；‑指令过滤器（21）设计成，根据从状态机（22，23，24）的状态（25，26）中得出的条件（20）从诊断指令（16）中选出有效指令（29），并且‑安全装置（19）设计成，将指令（29）转发给控制仪器（14）。

技术领域

本发明涉及一种用于保护对控制仪器的诊断指令的设备。本发明此外涉及一种相应的机动车。

背景技术

为了维护机动车技术上的控制仪器，根据ISO 14229的统一诊断服务（unifieddiagnostic services，UDS）是充分已知的。借助于这种服务例如可能的是，询问各个控制仪器（electronic control units，ECUs）的错误存储器或者将其借助新的固件或应用软件更新。UDS标准对此限定在OSI参考模型的会话层（session layer）和应用层（applicationlayer）上的通信协议。

DE102016201279A1公开了一种用于监控车辆的更新的方法，所述方法具有如下步骤：将车辆转移到安全状态中；将安全状态锁定；询问车辆的能量状态；与能量状态相关地，更新车辆的控制仪器或者提前控制地中断该方法并且将安全车辆状态解锁。

发明内容

本发明提供根据独立权利要求的用于监控对一个或多个控制仪器的诊断指令的设备以及相应的机动车。

提出的方案在此基于如下知识：为了能够实现诊断或软件更新指令的灵活的控制进程，可以基于注释的脚本语言（例如Python）产生相应的指令序列。还使用如下语言，所述语言为虚拟机编译，所述虚拟机在其方面运行生成的字节码（例如Lua或Java）。

这样灵活的控制进程由可能不可靠的脚本处理，所述脚本由同样不太可靠的脚本解释程序运行，所述脚本解释程序又在ECU上执行，所述ECU可能不被设计用于安全应用。在安全重要的系统中，当不存在减少这种风险的机制时，这种设置风险能够通过由于有错误的控制进程而无意地干涉安全重要的控制仪器造成。

基于脚本的编程因此一方面提供高的灵活性并且是用于将来应用的动态技术。在另一方面，大多数安全标准要求静态编程，所述静态编程具有清楚限定的状态。所述问题随着经由空气接口（over the air，OTA）引入固件和软件更新而激化，其中——与在工厂中的更新相反地——可在任何时刻并且到处执行不具有限定的状态和监控的无意的动作。

为了能够实现在安全重要的系统中使用创建的诊断协议和基于脚本的处理，因此提出一种系统结构，以便将诊断指令序列产生的实施、指令的监控和进行接收的安全重要的ECU分离。附加地，引入用于监控诊断指令的方法，以便保护安全重要的嵌入的目标ECU免受无意的干涉。术语“诊断指令”在此在广义上用于任意指令序列，以便为了诊断、软件更新的目的或在其他应用的范围内控制嵌入的目标ECU。

不仅软件结构、而且监控诊断指令的方法允许将创建的诊断通信协议、如UDS用于安全重要的应用。

通过在从属权利要求中详述的措施，在独立权利要求中说明的基本构思的有利的扩展和改进是可能的。因此，可以设有指令过滤器，以便根据预设的条件从诊断指令中选出有效指令。可以调整所述条件，以便满足不同的安全标准的要求。

附图说明

本发明的实施例在附图中示出并且在下面的说明书中详细阐述。其中：

图1示出根据本发明的一个实施方式的系统结构。

图2示意地示出该实施方式的安全装置部件。

图3示出安全装置的示例性的进程。