《用于控制机动车的车辆功能的无线遥控设备.pdf》由会员分享，可在线阅读，更多相关《用于控制机动车的车辆功能的无线遥控设备.pdf（18页珍藏版）》请在专利查询网上搜索。
1、10申请公布号CN104205183A43申请公布日20141210CN104205183A21申请号201380015946922申请日20130222102012202934620120227DEG08C17/0220060171申请人宝马股份公司地址德国慕尼黑72发明人S席林J巴特尔特M昆茨H瓦加塔74专利代理机构中国国际贸易促进委员会专利商标事务所11038代理人张立国54发明名称用于控制机动车的车辆功能的无线遥控设备57摘要按照本发明的无线遥控设备用于控制至少一个对于功能安全重要的第一车辆功能，例如用于自动泊入或驶出轿车的停车功能。除了一个或多个这样的功能之外，遥控设备也用于控制另外。
2、的车辆功能，例如用于打开和关闭中控锁装置。按照本发明的遥控设备包括输入器件，用于在用户侧选择所述车辆功能并且用于获得根据所选择的车辆功能的用户输入。输入器件也用于选择第一车辆功能，从而在选择第一车辆功能的情况下存在配置给第一车辆功能的用户输入。按照本发明的遥控设备附加地还包括用于保障第一车辆功能的安全装置。该安全装置自身包括安全输入器件，能够操纵该安全输入器件用于执行第一车辆功能，此外安全装置还包括与安全输入器件耦合的具有安全信息的安全电路。所述遥控设备这样设置，使得在配置给第一车辆功能的用户输入的情况下，仅仅在操纵安全输入器件的情况下使用安全信息，以用于产生引起执行第一车辆功能的发送数据的。。
3、30优先权数据85PCT国际申请进入国家阶段日2014092386PCT国际申请的申请数据PCT/EP2013/0535292013022287PCT国际申请的公布数据WO2013/127693DE2013090651INTCL权利要求书3页说明书11页附图3页19中华人民共和国国家知识产权局12发明专利申请权利要求书3页说明书11页附图3页10申请公布号CN104205183ACN104205183A1/3页21无线遥控设备10、20、30、40，用于控制至少一个对于功能安全重要的第一车辆功能以及用于控制机动车的一个或多个另外的第二车辆功能，所述无线遥控设备包括输入器件2，用于在用户侧激活所。
4、述车辆功能并且用于获得对应于要激活的车辆功能的用户输入E，其中，对于应该激活第一车辆功能的情况存在配置给第一车辆功能的用户输入E，以及发送器逻辑装置3，用于处理用户输入E，其特征在于，所述遥控设备附加地包括用于保障第一车辆功能的安全装置6，包括安全输入器件SW，该安全输入器件能够被操纵用于执行第一车辆功能，以及与安全输入器件SW耦合的具有安全信息G的安全电路6，其中，遥控设备这样设置，使得在配置给第一车辆功能的用户输入E的情况下，仅仅在操纵安全输入器件的情况下使用安全信息G以用于产生引起执行第一车辆功能的发送数据S；SH；W。2根据权利要求1所述的无线遥控设备10，其中安全输入器件SW在操纵的。
5、情况下转变到第一状态Z2中并且在执行第一车辆功能期间保持在该第一状态Z2中；遥控设备这样设置，使得在离开第一状态Z2时排除使用安全信息G来产生这样的发送数据。3根据权利要求1或2所述的无线遥控设备10，其中，无线遥控设备10这样设置，使得在操纵安全输入器件SW的情况下发送器逻辑装置3获得安全信息G；并且在使用安全信息G和配置给第一车辆功能的用户输入E的情况下产生发送数据S。4根据权利要求3所述的无线遥控设备10，其中，安全输入器件SW在操纵的情况下转变到第一状态Z2中并且在执行第一车辆功能期间保持在该第一状态Z2中；遥控设备这样设置，使得在离开第一状态Z2时排除使用安全信息G来产生这样的发送数。
6、据；以及遥控设备这样设置，使得如果安全输入器件SW离开第一状态Z2，则发送器逻辑装置3失去安全信息。5根据权利要求4所述的无线遥控设备10，其中，安全装置还包括与安全输入器件SW耦合的用于产生复位脉冲的复位电路5，其中，在触发复位脉冲时，发送器逻辑装置3失去安全信息G。6根据权利要求1或2所述的无线遥控设备20，其中，遥控设备20这样设置，使得在操纵安全输入器件SW时，安全电路6在使用安全信息G的情况下产生第一权利要求书CN104205183A2/3页3数据H或者提供安全信息G作为第一数据H；发送器逻辑装置3在使用配置给第一车辆功能的用户输入E的情况下产生第二数据S，或者配置给第一车辆功能的用。
7、户输入E对应于第二数据S；以及发送数据SH由第一数据H和第二数据S产生。7根据权利要求1或2所述的无线遥控设备30，其中，遥控设备30这样设置，使得在操纵安全输入器件SW时，安全电路在使用安全信息G的情况下并且在使用第二数据S的情况下产生第一数据H；发送器逻辑装置3在使用配置给第一车辆功能的用户输入E的情况下产生第二数据S，或者配置给第一车辆功能的用户输入E对应于第二数据S；以及要发送的发送数据SH由第一数据H和可选地第二发送数据S产生，或者发送数据SH对应于第一数据H。8根据权利要求6或7所述的无线遥控设备20、30，其中，安全输入器件SW在操纵的情况下转变到第一状态Z2中并且在执行第一车辆。
8、功能期间保持在该第一状态Z2中；遥控设备这样设置，使得在离开第一状态Z2时排除使用安全信息G来产生这样的发送数据；以及遥控设备20、30这样设置，使得如果安全输入器件SW离开第一状态Z2，则安全电路6在使用安全信息G的情况下不再产生或输出第一数据H。9根据权利要求1或2所述的无线遥控设备40，其中，发送器逻辑装置3在使用配置给第一车辆功能的用户输入E的情况下产生第二数据S；安全电路6包括用于释放安全信息G的器件7以用于在安全电路6内进行处理，其中，用于释放安全信息G的器件7与安全输入器件SW这样耦合，使得在操纵安全输入器件SW时释放安全信息G以用于在安全电路6内进行处理；以及安全电路6设置为，。
9、在释放安全信息G时在使用安全信息G的情况下并且在使用第二数据S的情况下产生要发送的发送数据W。10根据权利要求9所述的遥控设备40，其中，安全输入器件SW在操纵的情况下转变到第一状态Z2中并且在执行第一车辆功能期间保持在该第一状态Z2中；遥控设备这样设置，使得在离开第一状态Z2时排除用于使用安全信息G来产生这样的发送数据；以及遥控设备40这样设置，使得如果安全输入器件SW离开第一状态Z2，则安全电路6失去用于使用安全信息G的释放。11根据上述权利要求之一所述的遥控设备10、20、30、40，其中，安全输入器件是安全开关元件，并且遥控设备40包括第一按键9，其包括所述安全开关元件SW。12根据权。
10、利要求11所述的遥控设备10、20、30、40，其中，第一按键9除了安全开关元件SW之外包括所述另外的开关元件SW_E2，所述另外的开关元件用于获得配置给第一车辆功能的用户输入E；并且权利要求书CN104205183A3/3页4这样设计，使得在操纵第一按键9时不仅操纵安全开关元件SW而且操纵另外的开关元件SW_E2。13根据权利要求11所述的遥控设备10、20、30、40，其中，遥控设备除了第一按键之外包括至少一个另外的键；以及所述另外的键用作用于激活第一车辆功能的输入器件。14根据上述权利要求110之一所述的遥控设备10、20、30、40，其中，遥控设备10、20、30、40包括基体；以及具。
11、有至少一个操作元件的操作部件，其中，所述遥控设备这样设计，使得在操作部件被覆盖的状态下，操作部件的所述至少一个操作元件被覆盖并且是不可操作的；该操作部件从覆盖的状态通过使操作部件相对于基体运动、特别是通过推出、拉出或翻转操作部件而可转变到操作部件的打开状态中，其中，所述至少一个操作元件是可见的并且可操作的；以及通过使操作部件相对于基体运动来操纵安全输入器件SW。15根据上述权利要求之一所述的遥控设备10、20、30、40，其中，安全输入器件SW在操纵的情况下转变到第一状态Z2中并且在执行第一车辆功能期间保持在该第一状态Z2中；遥控设备这样设置，使得在离开第一状态Z2时排除使用安全信息G来产生这。
12、样的发送数据；以及遥控设备10、20、30、40这样设置，安全输入器件SW在执行第一车辆功能期间能够由用户、特别是通过在用户方面的力消耗而保持在第一状态S2下。16根据上述权利要求之一所述的遥控设备10、20、30、40，其中，第一车辆功能是用于自动泊入或驶出轿车的停车功能。17根据上述权利要求之一所述的遥控设备10、20、30、40，其中，安全信息是具有至少16位长度的安全信息。18用于根据上述权利要求之一所述的遥控设备10、20、30、40的接收器，其中，该接收器设置为，如下检测所接收的数据S、SH、W，所述数据是否在使用安全信息G的情况下在发送器侧产生的。19机动车，其包括根据权利要求1。
13、7所述的接收器并且设置为，可遥控地执行至少一个对于功能安全重要的第一车辆功能并且执行一个或多个另外的第二车辆功能；以及只有根据在接收器中的检测确认了，所接收的数据S、SH、W是在使用安全信息G的情况下在发送器侧产生的，才执行第一车辆功能。权利要求书CN104205183A1/11页5用于控制机动车的车辆功能的无线遥控设备技术领域0001本发明涉及一种按照权利要求1的前序部分的用于控制机动车的车辆功能的无线遥控设备。背景技术0002在下文中，由于在英语术语“SECURITY”访问保护、防止入侵者的保护、免于数据歪曲的保护等等意义上的安全和在英语术语“SAFETY”对身体和生命的不可防卫的风险的保。
14、护意义上的安全的在德语上可能混淆，在第一种情况下一般使用术语“安全”，而在第二种情况下使用术语“运行安全”或“功能安全”。0003已知的是，通过例如集成到车辆的无线钥匙中的遥控设备来控制各个车辆系统，所述各个车辆系统不直接与车辆的驾驶关联。为此的例子是中控锁装置的访问功能、敞篷车蓬盖的打开或窗户的打开。在多种车辆中无线钥匙此外包含防盗锁的一部分。此外，部分地也可以通过遥控设备控制其它舒适度功能，如例如停车空调设备或停车加热器。而车辆的运动在大多数情况下是不可遥控的。0004出于防盗保护的原因，对于当今的无线钥匙一般具有密码保障的必要性。该密码保障典型地借助于对称或非对称的加密/签名实现。此外，。
15、保障这样的遥控设备的无线路径免于歪曲，例如借助于校验和方法，特别是循环冗余码校验CRC或签名。这不仅可以用于鲁棒性而且可以用于传输的安全的进一步提高。0005在车辆中具有多个对于运行安全/功能安全重要的功能。这样的功能例如依照标准IEC61508IEC国际电工技术委员会或者在车辆领域ISO26262ISO国际标准化组织中研发并且保障。0006在车辆中遥控对于运行安全/功能安全重要的功能时，对整个遥控设备除了当今已知的对鲁棒性和安全性在“SECURITY”的意义上的要求之外也还具有对运行安全/功能安全在“SAFETY”的意义上的要求。0007例如必须足够地排除或保障基于遥控设备中亦即在发送器中的。
16、错误而遥控的对于功能安全重要的功能的错误激活。0008对于功能安全的这些要求例如必须通过整个遥控系统根据在车辆领域中所应用的标准ISO26262的研发和保障不仅在发送器侧而且在接收侧来满足。0009不过，该用于保证功能安全的传统方案导致显著的成本和附加的问题，特别是对于遥控设备亦即发送器。这样相比于简单的无线钥匙来说，例如软件研发过程是非常耗费的并且数量上的故障率明显更高。此外，典型地为了保证功能安全所应用的解决方案、如这样的输入信号其是对于保证功能安全是重要的的冗余处理在无线钥匙遥控设备中单单已经由于结构空间和电流消耗而窄地受限制。0010图1示出了传统的发送器/接收器系统，其用于车辆功能的。
17、遥控遥控设备1包括输入器件2用于控制车辆功能，例如不同的键用于触发不同的车辆功能，例如用于打开车辆的键和用于关闭车辆的键。借助于输入器件1获得用户输入E。用户输入E由发送器逻说明书CN104205183A2/11页6辑装置3转换成要发送的数据S，所述数据包含以编码形式的用户输入E，亦即S是E的函数SFE。FE例如可以涉及简单的编码SE；或者S还包含例如出于安全原因另外的信息，如例如发送器标识发送器ID或校验和例如在CRC的意义上或序列计数器。发送器逻辑装置3例如借助于微控制器和必要时另外的电子组件来实现。将要发送的数据调制到相应的高频载波上在图1中出于简化的原因而未示出。在接收侧，在解调未示出。
18、之后在分析逻辑装置4中由接收的数据S确定用户输入E，亦即EF1S，并且输出相应的输出信号A用于实施配置给用户输入的车辆功能。0011在对于功能安全重要的车辆功能、如例如由车辆外部可触发的用于自动泊入或泊出轿车的停车功能中，在传统方案中可以根据用于功能安全的预定来设计遥控设备的全部部分，它们与这样的车辆功能的遥控相联系。由此产生了显著的额外费用，所述额外费用没有或仅仅困难地与存在的结构空间和电流消耗的给定的边界条件相协调。这特别是适用于在遥控设备中所应用的微控制器。发明内容0012本发明的任务在于，提出一种遥控设备，其除了控制对于功能安全不重要的车辆功能例如打开和关闭中控锁之外也允许控制对于功能。
19、安全重要的车辆功能例如自动泊入，而不将与功能安全相联系的要求基本上完全地传输到整个发送器侧的微控制器。0013该任务通过独立权利要求的特征解决。有利的实施形式在从属权利要求中描述。0014按照本发明的无线遥控设备用于控制至少一个对于功能安全重要的第一车辆功能、例如用于实施车辆的自主行驶过程的功能，特别是用于自动泊入和泊出轿车的停车功能。优选地涉及用于正向和/或背向泊入到直向停车位KOPFPARKPLATZ，特别是用于泊入到在前端可行驶的直向停车位例如单车库中。这样的通过遥控设备可控制的停车功能在本申请人的名称为“用于停车辅助系统的遥控设备和通过遥控设备可控制的停车辅助系统”的德国专利申请102。
20、0110843663中描述。对停车功能及其操作的在那里给出的说明由此通过参考而纳入到本申请的公开内容中。0015除了一个或多个这样的功能之外，遥控设备也用于控制其它车辆功能，例如用于打开和关闭中控锁。0016按照本发明的遥控设备包括输入器件，用于在用户侧选择车辆功能并且用于根据用于输入而获得所选择的车辆功能，如这结合图1已经描述过的那样。输入器件也用于选择第一车辆功能，从而在选择第一车辆功能的情况下存在配置给第一车辆功能的用户输入。输入器件例如涉及如下键，其中，或者给每个键配置正好一个车辆功能，或者备选地给一个或多个键也配置多于一个车辆功能。此外，遥控设备具有用于处理用户输入的发送器逻辑装置，。
21、如这结合图1已经描述过的那样。0017但是按照本发明的遥控设备与传统遥控设备的不同之处在于附加地还包括用于保障第一车辆功能的确定的安全装置。0018该安全装置自身包括安全输入器件，能够操纵该安全输入器件以用于执行第一车辆功能。优选地，该安全输入器件在操纵时转变到第一状态中并且在执行第一车辆功能期间保持在该状态中。在此例如可以规定，遥控设备这样设置，使得安全输入器件在执行第一车辆功能期间可以由用户保持在第一状态中，特别是通过在用户侧的力消耗、例如通过克说明书CN104205183A3/11页7服键的反作用力连续地操纵键或者通过克服反作用力连续地持握拉出的操作部件。也可想到的是，设有例如机械的限时。
22、元件，其中，该限时元件在一次激活例如以键的形式的安全输入器件之后保持在第一状态下并且随后在优选限定的时间段后复位。在该例子中，由用户连续操纵安全输入器件是可能的但不是绝对必要的。例如也可以应用集成在控制安全输入器件中的或者在该安全输入器件下游连接的电气或电子限时元件，其中，该限时元件在激活键之后保持在第一状态中并且随后在优选限定的时间段过去之后复位。0019安全输入器件可以是开关，所述开关通过在用户侧施加的力来切换。然而这不是强制的。优选地，安全输入器件具有至少两个不同的状态并且通过用户的动作例如通过按压键或触碰遥控设备上的确定的区域来操纵并且转变到另一状态中。安全输入器件例如是开关元件。00。
23、20此外，安全装置包括与安全输入器件耦合的具有安全信息的安全电路。在操纵安全输入器件时例如释放安全信息用于处理。0021遥控设备这样设置，使得在配置给第一车辆功能的用户输入的情况下，仅仅在操纵安全输入器件的情况下使用安全信息，以用于产生引起执行第一车辆功能的发送数据。优选地，在配置给第一车辆功能的用户输入的情况下，仅在存在安全输入器件的第一状态的情况下使用安全信息，以用于产生发送数据，该发送数据引起第一车辆功能的执行；而在离开第一状态的情况下排除使用用于此的安全信息。仅在存在第一状态的情况下并且优选在使用配置给第一车辆功能的用户输入的情况下才可以产生安全信息产生这样的发送数据，该发送数据能实现。
24、第一车辆功能的执行。安全输入器件的操纵因此是用户的安全输入。在安全输入器件状态的随后变化的情况下又撤销安全信息的应用。0022按照本发明可以由此阻止第一车辆功能的不期望的接通，其方法是设有以安全信息形式的机密，该机密在产生发送数据时必须使用，以便获得用于触发第一车辆功能的有效的发送数据。机密、亦即安全信息优选应该这样复杂，使得以足够的概率排除电路中的元件即发送器、传输路径、接收器和分析逻辑装置即使在错误情况下随机地产生机密。优选地，安全信息至少16位长，特别是至少32位长，例如16、32、64、128或256位长。0023用于产生发送数据的机密的应用在发送器侧可以通过在用户侧的安全输入来激活，。
25、亦即通过操纵附加的安全输入器件。在接收器中检测，在产生发送数据时是否应用机密，并且仅仅在该情况下激活第一车辆功能。0024优选地规定，在离开第一状态时排除用于产生有效的发送数据的安全信息的使用，该有效的发送数据引起第一车辆功能的执行。由此能实现，一旦用户撤销安全输入，则安全地关断第一车辆功能。在遥控设备的实现中即使在错误情况下应该以足够的概率确保如果用户撤销安全输入并且安全输入器件离开第一状态，则实现机密亦即安全信息的去激活。在该情况下在接收侧确定，安全信息不再用于产生发送数据，其中，于是禁止第一功能的继续执行。例如发送器以确定的时间栅、例如每10毫秒重复地将相应的数据发送到接收器上以用于执行。
26、第一车辆功能。如果在接收到对于第一车辆功能的执行有效的数据之后在确定的持续时间例如100毫秒之后于是不再接收有效数据，所述有效数据在使用安全信息的情况下在发送器侧产生，则例如停止第一车辆功能的继续执行。0025上述足够概率的边界值依赖于第一车辆功能的安全级别。边界值可以例如由对于功能安全的标准中的预定所导出，例如用于ASILC汽车安全完整性等级C的ISO26262说明书CN104205183A4/11页8提出每个运行小时小于等于17的值。0026所提出的无线遥控设备允许在敏感的车辆功能方面的功能安全的控制例如接通和关断，而整个遥控设备不必须遵循用于功能安全的标准的相应要求。取而代之地，优选仅仅。
27、按照用于功能安全的标准来研发和保障安全装置亦即安全输入器件、安全电路并且必要时安全装置的其它组件。以此，尽管遵循用于功能安全的标准如IEC61508或ISO26262，还是降低用于研发和保障遥控设备的成本。因为不是整个发送器侧范围而是仅仅安全电路按照相应标准来研发和确保，所以在此提出的方案导致明显的成本降低。同时，系统的功能安全也相对于保障整个发送器的经典方案而随趋势提高，因为遥控设备的范围所述遥控设备实际上可以按照相应的标准来保障不太复杂。附加地独立于功能安全地，功能的鲁棒性也提高，因为也可以阻止如下的错误激活，该错误激活可能不会导致实际的危险，但是由用户来看仍然是不期望的行为。0027优选。
28、地，遥控设备包括第一键，所述第一键又包括以安全开关元件形式的安全输入器件。0028按照第一键的第一实施变型方案，第一键除了安全开关元件之外还包括另外的开关元件，所述另外的开关元件用于获得配置给第一车辆功能的用户输入。所述另外的开关元件因此配置给用于在用户侧选择车辆功能的输入器件，而安全开关元件配置给安全装置。第一键于是这样设计，使得在操纵第一键时不仅操纵安全开关元件而且操纵所述另外的开关元件。0029备选地可以规定，遥控设备除了第一键之外至少包括另外的键，并且所述另外的键用作用于选择第一车辆功能的输入器件。0030备选于使用键，其中，在操纵键时操纵安全输入器件，也可以应用完全不同的构思，以便操。
29、纵安全输入器件。例如可以规定，遥控设备包括基体和具有至少一个操作元件的操作部件。所述至少一个操作元件用于选择第一车辆功能，例如用于自主泊入车辆。在操作部件被覆盖的状态下，操作部件的所述至少一个操作元件被覆盖并且是不可操作的。该操作部件从覆盖的状态通过使操作部件相对于基体运动、特别是通过推出、拉出或翻转操作部件而可转变到操作部件的打开状态中，其中，所述至少一个操作元件是可见的并且可操作的。这样的由基体和操作部件组成的布置结构在上述德国专利申请1020110843663中描述。这样的布置结构及其功能方式的在那里给出的说明由此通过参考而纳入到本申请的公开内容中。0031在本发明中应用安全输入器件，其。
30、中，在该情况下通过使操作部件相对于基体运动来操纵安全输入器件并且使其置于第一状态中，其中，于是该安全输入器件在打开状态下是在第一状态下。安全输入器件例如可以构造成微开关，其中，通过使操作部件相对于基体运动来操纵微开关，亦即转变到第一状态中。0032在另一种实现方案中，安全输入器件可以例如构造成簧片继电器，其中，通过使操作部件相对于基体运动而将磁体引向簧片继电器并且以此使安全输入器件转变到第一状态中。0033在此优选地规定，安全输入器件必须由用户激活地保持在第一状态中，其方法是，用户在操作部件的打开状态中必须使操作部件克服例如通过弹簧器件引起的反作用力而保持在打开状态中，因为否则在用户侧没有足够。
31、的力施加的情况下操作部件由于反作用说明书CN104205183A5/11页9力又返回到关闭状态中并且由此安全输入器件又离开第一状态。0034本发明的第二方面涉及用于上述遥控设备的接收器，该接收器集成到机动车中。该接收器在此设置为，如下检测所接收的数据，所述数据是否是在使用上述安全信息的情况下在发送器侧产生的。0035本发明的第三方面涉及具有上述接收器的机动车。该机动车这样通过上述遥控设备是可遥控的，使得通过遥控设备可以触发至少一个对于功能安全重要的第一车辆功能例如用于自动泊入和泊出的停车功能和一个或多个第二车辆功能例如用于中控锁的打开和关闭功能。然而只有根据在接收器中的检测确认了，所接收的数据。
32、是在使用安全信息的情况下在发送器侧生成的时，才执行第一车辆功能。附图说明0036以下参照附图根据多个实施例描述本发明。图中0037图1示出传统的发送器/接收器系统，该系统用于遥控车辆功能；0038图2示出用于按照本发明的遥控设备的第一实施例；0039图3示出安全电路的备选接线；0040图4示出用于按照本发明的遥控设备的第二实施例；0041图5示出用于按照本发明的遥控设备的第三实施例；0042图6示出用于按照本发明的遥控设备的第四实施例；以及0043图7示出用于遥控设备的两个键的实施例。具体实施方式0044在此提出的方案允许通过无线钥匙遥控设备对于功能安全重要的功能进行接通和关断，而无需将来自对。
33、于功能安全的重要的标准例如ISO26262的要求转用到整个电子装置上或仅仅转用到微控制器上。0045对于遥控设备的以下实施例基于对于功能安全的以下要求0046类似于位于车辆中的驾驶员，该驾驶员具有关于整个车辆驾驶的最终责任，操作遥控设备的操作者亦即用户应该保留关于遥控功能的最终责任。第一要求的内容因此是系统必须在没有操作者愿望的情况下阻止接通对于功能安全重要的功能。0047在此基于，该功能的关断是一种安全状态。第二要求的内容因此是该系统必须识别和转换操作者的关断遥控功能的期望，其方法是，采取安全状态。0048因为操作者在确定的要保障的情况下不再采取机械措施，所以该系统此外应该这样设计，使得在所。
34、有情况下特别是也在由操作者遥控时，阻止在非安全的状态中的不受控的保持或转换。在怀疑情况下可以采取安全状态。这是第三要求。0049以下示出的实施例规定用于满足对于功能安全的第一要求0050以安全信息形式的机密位于遥控设备发送器中，该机密的激活被接收器所期望，以便接通对于功能安全重要的功能。该机密应该这样复杂，使得以足够的概率排除电路中的元件即发送器、传输路径、接收器以及分析逻辑装置即使在错误情况下随机地产生机密。该机密隐藏在作为安全装置的部分的安全电路中，亦即该机密存储在安全装置中。仅仅对于安全装置并且不对于整个发送器使用来自对于功能安全的重要标准例如ISO说明书CN104205183A6/11。
35、页1026262的严格规定。这是本发明的显著的优点。用于产生用于触发要保障的功能的有效发送信号的机密的应用可以在发送器侧通过在用户侧的安全输入来激活，亦即通过操纵附加的安全输入器件。在接收器中检测，是否在产生发送数据中使用机密，并且仅仅在该情况下激活第一车辆功能。0051以下示出的实施例规定用于满足用于功能安全的第二要求0052遥控设备发送器包括一种机制，一旦操作者撤销安全输入，则该机制安全地关断要保障的功能。即使在故障情况下也可以以足够概率确保，如果操作者撤销安全输入，则实现机密的去激活。安全输入的撤销例如可以通过撤销安全输入器件的连续操纵来实现如果该安全输入器件例如借助于键实现，在该情况下。
36、在接收侧确定，安全信息不再用于产生发送数据，其中于是禁止要保障的功能的继续执行。0053下述实施例规定用于满足用于对于功能安全的第三要求0054安全输入在发送器侧这样设计，使得在典型的错误操作情况下，假如要保障的功能之前接通，则例如在遥控设备掉落FALLENLASSEN的情况下关断要保障的功能。此外，安全输入应该在发送器侧这样设计，使得在典型的错误操作情况下例如发送器在裤子口袋中通过无意地输入可以以足够的概率排除无意地激活机密亦即安全信息。0055在图2中示出了按照本发明的安全装置的第一实施例。遥控设备10除了图1中的遥控设备1之外还包括安全装置，该安全装置包括以安全开关元件SW形式的安全输入。
37、器件、用于发送器逻辑装置5的复位电路5以及安全电路6。如果用户进行非要保障的输入例如用于打开或关闭中控锁，则遥控设备10的行为与图1中的遥控设备1完全一样，因为安全开关元件SW没有被操纵并且安全开关元件SW位于开关状态Z1中。在该状态Z1中，安全电路6是非激活的。“非激活”意味着安全电路6不能提供安全信息G，例如因为安全电路6特别是由于切断运行电源而关断。如果开关状态Z1存在并且安全电路6是非激活的，则发送器逻辑装置3仅仅发送没有G的发送数据S，亦即SFE。这在接收侧是可识别的，并且接收器可以仅仅激活这样的功能例如打开中控锁，该功能响应于非要保障的用户输入。0056安全电路6的任务是，首先告知。
38、发送器逻辑装置3不已知的并且足够复杂的安全信息G，其用于保障安全重要的用户输入。安全电路6包含该安全信息G，亦即安全信息G存储在安全电路6中。安全电路可以是简单的存储器。安全电路也可以是较复杂的电路，例如微控制器或ASIC专用集成电路。优选地，发送器逻辑装置3和安全电路6是两个不同的半导体元件，其中，安全电路6按照ISO26262来保障，然而发送器逻辑装置3不是。0057安全电路6仅仅当安全开关元件SW位于开关状态Z2时才是激活的亦即才可以提供安全信息6。为此例如安全电路6的运行电源可以通过安全开关元件SW进行操控，其中，安全电路6仅在开关状态Z2中供应以运行电压V，并且仅在该情况下，安全电路。
39、6可以在输出端提供安全信息G。备选地，可以通过将安全开关元件SW切换到开关状态Z2中而将使能信号EN在此是具有运行电源的电压值V的使能信号给出到安全电路6的相应的使能输入端上，其中，在ENV的情况下，安全电路6在其输出端上提供安全信息G。为此的一个例子在图3中示出。取而代之地，也可以以复位信号RS工作，该复位信号在安全开关元件SW开关回到开关状态Z1中时被触发，其中，在该情况下，安全电路6的数据输出端复说明书CN104205183A107/11页11位到预定义的状态上一定的持续时间并且在该持续时间期间在安全电路的输出端上不存在安全信息G。0058这两个变型方案也可以应用在图4至图6中的实施例的。
40、情况下。0059在操纵安全开关元件SW时，将安全开关元件SW置于开关状态Z2，从而激活安全电路6并且激活安全信息G以用于在发送器逻辑装置3中进行处理。于是发送器逻辑装置3获得并且得知安全信息G，例如因为已激活的安全电路6将安全信息G发送到发送器逻辑装置3上或者因为发送器逻辑装置3由安全电路6询问机密G。如果安全电路6是非激活的，则发送器逻辑装置6不得知机密G。0060在要保障的用户输入的情况下例如用于执行自主停车功能用户必须通过输入器件2进行相应的输入，从而存在相应的用户输入E，以及操纵安全开关元件SW，从而占据开关状态Z2。由此激活安全电路6并且发送器逻辑装置3可以具有安全信息G。0061在。
41、该情况下，用户输入E借助于安全信息G转换为要发送的数据S。换言之在使用安全信息G和用户输入E的情况下产生发送数据S，亦即SFE,G，其中，数据S例如包含以编码形式的用户输入E和G。在此，每个函数FE,G是适合的，特别是只要满足编码的以下特性0062通过编码保持G的复杂性；0063在产生发送数据S时针对正确的安全信息G的使用能够在接收0064器侧进行检测；以及0065信息通过用户输入E来保持或者在接收器侧是可重建的。0066例如为了形成发送数据S可以将安全信息G简单地附加到用户输入E上，亦即SFE,GEOG。如果用户输入E例如由二进制字1010组成并且安全信息G由二进制字10011001组成，则。
42、产生发送数据S为S101010011001。0067为了形成发送数据S也可以应用更复杂的编码。例如可以给用户输入E在发送器逻辑装置3中附加校验和或散列，例如CRC校验和。为了确定CRC校验和,安全信息G可以是CRC的开始值种子SFE,GEOCRC种子G，数据E。另一种更复杂的编码是利用安全信息G作为加密的密钥，或者以对称的加密或者以非对称加密。如果例如采用加密方法AES高级加密标准则可以例如以以下形式确定发送数据SSFE,GAES密钥G，数据E。0068在接收侧上在分析逻辑装置4中如下检测所接收的数据S，在发送器侧是否在使用安全信息G的情况产生所述数据。为此根据所使用的函数FE,G或者针对也在。
43、接收器中已知的安全信息G进行检测对称编码或者在非对称编码的情况下借助于适合于安全信息G的安全信息G进行检测。在对称编码的情况下，接收器得知安全信息G并且知道如何构成发送数据SFE,G。由此分析逻辑装置4可以检测，所接收的数据S是否包含正确的G或者例如在使用CRC时基于正确的安全信息G计算并且重建E。在非对称编码时，接收器得知适合于安全信息G的安全信息G并且知道如何构成SFE,G。由此分析逻辑装置4可以通过必要时与FE,G不同的另外的函数GS,G针对所接收的数据S的正确性进行检测并且这样重建用户输入E类似于PGP加密。0069如果在分析逻辑装置4中如下检测过所接收的数据S，在发送器侧是否在使用安。
44、全信息G的情况下产生所述数据，则可以在接收器中将重建好的用户输入E理解为要保障说明书CN104205183A118/11页12的用户输入并且输出为A。否则在接收器侧例如确定一个错误或者实现其他有意义的反应，例如执行仅仅一个这样的动作，该动作相当于非要保障的用户输入。例如可以双重地占用遥控设备10的输入键，亦即以非要保障的功能打开和关闭中控锁并且以要保障的功能实施自主停车过程。在操纵该输入键和附加的开关元件S的情况下则在接收器侧触发要保障的功能，而在操纵输入键时在没有附加地操纵开关元件S的情况下触发非要保障的功能。0070优选地，遥控设备10以一个确定的时间栅例如每10毫秒重复地发送相应的数据到。
45、接收器上。如果在接收到对于执行要保障的车辆功能有效的数据之后在确定的持续时间例如100毫秒之后重新不再接收到有效的数据，在发送器侧在使用安全信息G的情况下产生所述数据，则例如停止要保障的功能的继续执行。这也以相应的方式适用于以下实施例。0071遥控设备10这样设置，使得如果安全开关元件SW离开开关状态Z2，发送器逻辑装置3又失去安全信息G。优选地，对此使用复位电路5，其保证一旦安全信息G被去激活从状态Z2切换到状态Z1上，则发送器逻辑装置3又可靠地忘记安全信息G。复位电路的任务例如在于，在状态Z2切换到状态Z1上时，由信号R的边沿变换产生用于发送器逻辑装置3的复位脉冲R。在振荡状态下开关状态Z。
46、1复位脉冲结束，亦即发送器逻辑装置不位于复位状态下，而是准备好运行。在从Z1到Z2的状态转换时对此不发生变化。如果随后从状态Z2转换回到状态Z1上，则在R上产生边沿变换并且复位电路5产生复位脉冲R，该复位脉冲引起发送器逻辑装置3转换到复位状态中并且失去安全信息G。一旦复位脉冲R结束，则又达到振荡状态。复位电路因此优选这样设计，使得一旦安全信息G由于安全开关元件SW从Z2切换到Z1而去激活，则发送器逻辑装置3以足够的概率可靠地忘记之前明确地或者至少理论上也在错误情况下所已知的安全信息G。发送器逻辑装置3的复位、亦即重置例如可以通过发送器逻辑装置3的存在的复位输入端实现，如果这样触发的复位以足够的。
47、概率可靠地删除或重置发送器逻辑装置3的可能包含安全信息G的内部存储器。发送器逻辑装置3的重置备选地例如可以通过暂时的除去发送器逻辑装置3的运行电压实现，如果例如发送器逻辑装置3具有一个或多个可能包含安全信息G的易失性存储器。0072在图4中示出了遥控设备20的第二实施例。在图4所示的例子中在操纵安全开关元件SW中，安全电路6在使用安全信息G的情况下产生数据H，并且发送器逻辑装置3在使用用户输入E的情况下产生数据S。要发送的数据SH由H和S产生，例如作为H和S的耦合或者作为H和S的更复杂的函数。0073在图4中示出安全开关元件SW的类似于图2所述的特别是功能方式的流程。对于在图4中未描述的方面参。
48、考图2的描述。不过在图4中与图2的不同之处在于发送器逻辑装置3不使用安全信息G来由G和用户输入E产生要发送的数据S。取而代之地，在图4中安全电路6除了用于发送给发送器逻辑装置3的S之外也提供数据H，如果安全电路6在操纵安全开关元件SW时被激活，例如通过接通供应电压V备选地也可以通过安全电路6的使能输入或复位输入来控制激活/去激活。在最简单的情况下可以是HG和SE。优选地，将一个或两个数据值H和S编码，亦即HF1G和SF2E。在此H或S也还可以包含另外的信息，例如发送器的标识也称为发送器ID或校验和例如CRC或序列说明书CN104205183A129/11页13计数器。0074在图2中示出的复位。
49、电路5在图4中的安全装置中不是必要的，因为发送器逻辑装置3这样从未得知安全信息G并且由此不必要的是，发送器逻辑装置3可靠地忘记安全信息G。0075在图4中发送SH，其由H和S产生，亦即SHFS,H。例如H和S可以在时间上相关地被发送例如作为串接SHSOH或SHHOS。例如发送器逻辑装置3首先发送S而随后安全电路6发送H。在此也可想到，在重复地传输数据SH中H或S比S或H更少有地发送。例如H可以比S更少有地发送，以便减少数据量。H可以周期地并且独立于S发送。此外可能的是，SH作为S和H的交替子段的串接而产生，亦即例如首先是S的子段，随后是H的子段，随后又是S的子段等等。0076在接收侧针对正确性对SH进行检测亦即是否在使用安全信息的情况下产生SH并且在成功情况下输出相应的输出信号A，以便执行要保障的功能。该方法类似于图2地描述。也在该实施例中，类似于图2所述的那样，在将安全开关元件从开关状态Z2切换到开关状态Z1中时安全电路6可靠地去激活。在去激活的安全电路6中不再产生有效的H并且至少在安全电路6侧不再将其输出并且以此仅发送S而不发送SH。0077在图5中示出遥控设备30的第三实施例。在图5中安全电路6在操纵安全开关元件SW时在使用安全信息G的情况下并且在使用在发送器逻辑装置3侧由E产生的数据S的情况下产生数据H。备选地也。