DISPOSITIVO DE PROTECCIÓN PARA UNA UNIDAD PROGRAMABLE DE PROCESO DE DATOS.

Dispositivo de protección (PU) para una unidad de proceso de datos (DE) configurada como unidad de control de un vehículo,

un avión, un barco o similar, caracterizado porque el dispositivo de protección (PU) integrado en la unidad de proceso de datos presenta en un entorno de ejecución (AU) protegido contra accesos no autorizados al menos una unidad de vigilancia (ÜL) y al menos una lógica de protección (SL), porque el entorno de ejecución (AU) está materializado como hardware y forma un entorno de tiempo de tiempo de operación para la lógica de vigilancia (ÜL) y la lógica de protección (SL) protegido contra accesos de escritura y lectura no autorizados, porque la lógica de vigilancia (ÜL) para vigilar variaciones no autorizadas, accesos no autorizados o violaciones de protección similares de los datos de funcionamiento (BD) de la unidad de proceso de datos (DE) almacenados en una memoria de funcionamiento de dicha unidad de proceso de datos (DE) accede a la memoria de funcionamiento (BS) y, en caso de una violación de protección, la notifica a la lógica de protección (SL), y porque la lógica de protección (SL), en caso de una violación de protección, proporciona datos sustitutivos (ED) para el funcionamiento o para un funcionamiento sustitutivo de la unidad de proceso de datos (DE)

Dispositivo de protección para una unidad programable de proceso de datos.

La invención concierne a un dispositivo de protección (unidad de protección) para una unidad (programable) de proceso de datos, en donde la unidad de proceso de datos presenta al menos una memoria de funcionamiento en la que se pueden almacenar o están almacenados datos de funcionamiento para que funcione la unidad de proceso de datos. Unidad programable de proceso de datos significa especialmente una unidad de control o un aparato de control dentro de un vehículo, un avión, un barco, una máquina en una cadena de producción o una instalación administrada a distancia (véase, por ejemplo, el documento US 6 571 191 B1). Tales unidades de proceso de datos, por ejemplo aparatos de control programables, están integradas hoy en día en gran número o con gran diversidad en vehículos modernos o similares. Están conectadas en red con su entorno en medida creciente y, sobre todo, adquieren importancia en medida creciente los sectores del "infotenimiento" o de la telemática del tráfico.

Se conoce en principio el recurso de proteger unidades de proceso de datos, por ejemplo ordenadores personales que están integrados en redes de ordenadores o en Internet, contra virus o contra ataques por medio de un software antivirus u otros programas. Tales desarrollos no han tenido influencia alguna sobre la flabilidad o seguridad de unidades de proceso de datos en, por ejemplo, vehículos.

La invención se basa en el problema de crear un dispositivo de protección (programable) para una unidad (programable) de proceso de datos, por ejemplo un aparato de control de vehículo, que garantice un funcionamiento fiable y seguro de la unidad de proceso de datos.

Para resolver este problema, la invención revela un dispositivo de protección para una unidad (programable) de proceso de datos, por ejemplo una unidad de control de un vehículo o similar, en donde la unidad de proceso de datos presenta al menos una memoria de funcionamiento en la que se pueden almacenar o están almacenados datos para que funcione la unidad de proceso de datos,

en donde el dispositivo de protección presenta en un entorno de ejecución protegido contra accesos no autorizados al menos una lógica de vigilancia y al menos una lógica de protección,

en donde la lógica de vigilancia para vigilar variaciones no autorizadas, accesos no autorizados o violaciones de protección similares de los datos de funcionamiento almacenados en la memoria de funcionamiento accede a esta memoria de funcionamiento y, en caso de una violación de protección, la notifica a la lógica de protección, y

en donde la lógica de protección, en el caso de una violación de protección, pone a disposición datos sustitutivos no comprometidos para un funcionamiento sustitutivo de la unidad de proceso de datos. Datos (datos de funcionamiento, por un lado, y datos sustitutivos, por otro) significan en el marco de la invención, datos, programas, zonas de memoria o similares que determinan el funcionamiento de tal unidad de proceso de datos o influyen sobre el mismo. Violación de protección significa en el marco de la invención especialmente accesos no autorizados a la memoria de funcionamiento o a los datos de funcionamiento, así como variaciones no autorizadas de los datos de funcionamiento.

Por consiguiente, en el marco de la invención se proporciona un dispositivo de protección o "unidad de protección" para una unidad programable de proceso de datos, por ejemplo un aparato de control de un vehículo, que protege la unidad de proceso de datos contra accesos no permitidos o contra variaciones no autorizadas de los datos de funcionamiento. Las variaciones no autorizadas de los datos y, en consecuencia, las violaciones de protección de la unidad de proceso de datos pueden detectarse continua o cíclicamente con ayuda de la lógica de vigilancia del dispositivo de protección. Unos programas de prueba correspondientes (lógica de vigilancia) están almacenados ellos mismos en forma segura contra manipulación dentro del dispositivo de protección y se ejecutan en forma segura contra manipulación. En particular, el dispositivo de protección está protegido por estos programas contra una lectura o escritura no autorizada de datos. Si la unidad de vigilancia detecta una violación de protección, informa de ella a la lógica de protección, la cual proporciona entonces especialmente datos sustitutivos no comprometidos para el funcionamiento o para un funcionamiento sustitutivo de la unidad de proceso de datos. En consecuencia, estos datos sustitutivos o el funcionamiento sustitutivo reproducen "propiedades de marcha de emergencia". A este respecto, la invención parte del conocimiento de que no solo es necesario detectar manipulaciones o accesos no autorizados a la memoria de funcionamiento, sino que, a pesar de una violación de protección, se tiene que garantizar un funcionamiento impecable o al menos un "funcionamiento de marcha de emergencia" o un "funcionamiento sustitutivo" de la unidad de proceso de datos. Se garantiza así, por ejemplo en vehículos, que en el caso de una manipulación no permitida se proporcione al menos un funcionamiento de marcha de emergencia o un funcionamiento de emergencia. Esta consideración tiene en cuenta especialmente el hecho de que una electrificación o automatización progresiva de las funciones primarias de conducción en vehículos (tecnología de conducción por cable) imponen elevados requisitos de seguridad. Se tiene que asegurar en todo momento que los aparatos de control implicados se comporten de conformidad con las especificaciones y que, en caso de fallo, se pueda recurrir rápidamente a propiedades de marcha de emergencia seguras. En consecuencia, el dispositivo de seguridad según la invención forma un ancla de confianza segura que confiere la plena eficacia a las medidas de protección correspondientes y puede ejecutar rápidamente las operaciones de protección para impedir a su debido tiempo modos de comportamiento peligrosos del vehículo por manipulación de aparatos de control.

En lo que sigue se explican perfeccionamientos ventajosos de la invención. Así, se ha previsto que la unidad de seguridad presente al menos una memoria de vigilancia en la que se puedan almacenar informaciones sobre una violación de protección detectada o varias violaciones de protección detectadas. Asimismo, se ha previsto preferiblemente una interfaz de información a través de la cual se pueden leer en el dispositivo de protección informaciones sobre violaciones de protección y/u otras informaciones de estado. A través de esta interfaz de información se pueden leer de manera autorizada en la memoria de vigilancia informaciones sobre las violaciones de protección detectadas por la lógica de vigilancia y sobre el inicio de las propiedades de marcha de emergencia o de los datos sustitutivos y se pueden proporcionar estas informaciones a las unidades relevantes para la notificación del usuario. Las informaciones de autorización necesarias para la lectura están archivadas en el entorno de ejecución. En este caso, se pueden archivar diferentes informaciones de autorización en el entorno de ejecución, con lo que, en función de las informaciones de autorización aportadas a la interfaz de información, se pueden leer diferentes zonas de la memoria. Por tanto, se pueden materializar modelos de roles para el acceso a la memoria de vigilancia.

Según otra propuesta de la invención, el dispositivo de protección presenta una interfaz de administración. A través de esta interfaz de administración se pueden intercambiar informaciones de autorización del entorno de ejecución. A este fin, el entorno de ejecución contiene al menos una información de autorización inicial. Por tanto, después de una autorización satisfactoria se pueden introducir desde fuera en el entorno de autorización nuevas informaciones de autorización, así como nuevas lógicas de vigilancia y/o lógicas de protección.

El entorno de ejecución para las lógicas de desarrollo del dispositivo de protección está materializado preferiblemente como hardware o en hardware. Este entorno de ejecución representa un entorno de tiempo de operación para las lógicas y memorias descritas protegido contra accesos de escritura y lectura no autorizados. El entorno de ejecución contiene las informaciones de autorización para poder poner en ejecución las propiedades de marcha de emergencia descritas o el funcionamiento sustitutivo en una forma segura, es decir, únicamente después de una autorización satisfactoria. Además,...

1. Dispositivo de protección (PU) para una unidad de proceso de datos (DE) configurada como unidad de control de un vehículo, un avión, un barco o similar, caracterizado porque el dispositivo de protección (PU) integrado en la unidad de proceso de datos presenta en un entorno de ejecución (AU) protegido contra accesos no autorizados al menos una unidad de vigilancia (ÜL) y al menos una lógica de protección (SL),

porque el entorno de ejecución (AU) está materializado como hardware y forma un entorno de tiempo de tiempo de operación para la lógica de vigilancia (ÜL) y la lógica de protección (SL) protegido contra accesos de escritura y lectura no autorizados,

porque la lógica de vigilancia (ÜL) para vigilar variaciones no autorizadas, accesos no autorizados o violaciones de protección similares de los datos de funcionamiento (BD) de la unidad de proceso de datos (DE) almacenados en una memoria de funcionamiento de dicha unidad de proceso de datos (DE) accede a la memoria de funcionamiento (BS) y, en caso de una violación de protección, la notifica a la lógica de protección (SL), y

porque la lógica de protección (SL), en caso de una violación de protección, proporciona datos sustitutivos (ED) para el funcionamiento o para un funcionamiento sustitutivo de la unidad de proceso de datos (DE).

2. Dispositivo de protección según la reivindicación 1, que comprende al menos una memoria de vigilancia (ÜS) en la que se pueden almacenar informaciones sobre una o varias violaciones de protección detectadas.

3. Dispositivo de protección según la reivindicación 1 ó 2, que comprende al menos una interfaz de información (IS) a través de la cual se pueden leer en el dispositivo de protección (PU) informaciones sobre violaciones de protección y/u otras informaciones de estado.

4. Dispositivo de protección según cualquiera de las reivindicaciones 1 a 3, que comprende al menos una interfaz de administración (AS) a través de la cual se pueden ingresar por lectura informaciones de autorización, configuraciones, una lógica de vigilancia, una lógica de protección u otros datos/programas en el dispositivo de protección (PU) y se pueden extraer todos estos elementos por lectura de dicho dispositivo de protección.

5. Dispositivo de protección según cualquiera de las reivindicaciones 1 a 4, en el que la lógica de vigilancia (ÜL), la lógica de protección (SL), la memoria de vigilancia (ÜS), la interfaz de información (IS), la interfaz de administración (AS) y/o los datos sustitutivos (ED) están materializados como software, por ejemplo como un código de un módulo libremente programable.

6. Unidad de proceso de datos que está concebida como unidad de control de un vehículo o similar, la cual comprende al menos un dispositivo de protección (PU) según cualquiera de las reivindicaciones 1 a 5.

7. Procedimiento para vigilar una unidad de proceso de datos en la que está integrado al menos un dispositivo de protección según cualquiera de las reivindicaciones 1 a 5, en donde la lógica de vigilancia accede a los datos de funcionamiento y detecta violaciones de protección,

en donde la lógica de vigilancia, en caso de una violación de protección, la notifica a la lógica de protección y

en donde la lógica de protección, en caso de una violación de protección, proporciona datos sustitutivos para el funcionamiento o un funcionamiento sustitutivo de la unidad de proceso de datos,

comprobándose los datos sustitutivos con ayuda de informaciones de autorización archivadas en el entorno de ejecución.

8. Procedimiento según la reivindicación 7, en el que se almacenan en la memoria de vigilancia informaciones sobre una violación de protección.

9. Procedimiento según la reivindicación 7 u 8, en el que la lógica de vigilancia accede de forma continua o cíclica o cuasicontinua, con una frecuencia de cadencia prefijada, a los datos de funcionamiento o a la memoria de funcionamiento.

10. Procedimiento según la reivindicación 9, en el que la frecuencia de cadencia se prefija a través de la interfaz de administración.

11. Procedimiento según cualquiera de las reivindicaciones 7 a 10, en el que, para comprobar violaciones de protección, se efectúa la comprobación de al menos una firma electrónica de los datos de funcionamiento.

12. Procedimiento según cualquiera de las reivindicaciones 7 a 11, en el que la lógica de protección, en caso de una violación de protección, suprime el acceso a los datos de funcionamiento en la memoria de funcionamiento de la unidad de proceso de datos.

13. Procedimiento según cualquiera de las reivindicaciones 7 a 12, en el que, en función de la naturaleza de la violación de protección, se ponen a disposición datos sustitutivos diferentes.

14. Procedimiento según cualquiera de las reivindicaciones 7 a 13, en el que los datos sustitutivos para un funcionamiento sustitutivo de la unidad de proceso de datos son procesados por el dispositivo de protección y/o por la unidad de proceso de datos.

15. Procedimiento según cualquiera de las reivindicaciones 7 a 14, en el que, después de una violación de protección, los datos sustitutivos puestos a disposición son comprobados por la lógica de vigilancia (ÜL) en cuanto a eventuales violaciones de protección.