用於識別對車輛網絡的操縱的方法和控制單元的製作方法
2023-10-18 02:50:44 2
用於識別對車輛網絡的操縱的方法和控制單元的製作方法
【專利摘要】用於對車輛（1）的至少一個車輛網絡（2）進行操縱識別的方法，具有以下步驟：確定至少一個車輛網絡（2）的數字指紋，將至少一個車輛網絡（2）的數字指紋與參考信息進行比較，根據比較的結果適配至少一個車輛網絡（2）的功能，使得保證運行安全性/安全性，如果未識別到對至少一個車輛網絡（2）的操縱則激活正常控制模式或者如果識別到對至少一個車輛網絡（2）的操縱則激活運行安全控制模式。用於對車輛（1）的至少一個車輛網絡（2）進行操縱識別的控制單元，其特徵在於，根據至少一個車輛網絡（2）的數字指紋與控制網絡（21）的參考信息的比較的結果來執行控制任務。
【專利說明】用於識別對車輛網絡的操縱的方法和控制單元
【技術領域】
[0001]本發明涉及信息安全性或完整性的監控用以維持運行安全性/安全性和用於維持攻擊安全性/防護性用以保護免受由操縱引起的損壞。
【背景技術】
[0002]越來越多地使用基於乙太網或基於IP的數據傳輸，用以執行控制和監控任務。因此各種車輛、尤其是有軌車輛擁有用於執行車輛控制以及用於其他運行功能的數據網絡。
[0003]車輛協會的車輛或有軌車輛的控制和監控任務的準確的、按規定的實施需要，控制網絡和經由其所連接的控制組件、諸如控制計算機、具有傳感器和執行器的子系統或現場組件按規定地起作用。但是在控制網絡被操縱時，這不被保證，因為所傳輸的控制和測量數據可能被改變。由此，按規定的運行受影響。也許對於車輛的運行安全性可能不再按規定地滿足所需要的功能。
[0004]用於車輛網絡的保護措施以不同的形式已知。因此可以以接入保護的方式安裝控制網絡。這例如在特定電纜檢查井中發生，使得所述控制網絡對於局外設備不可接入並且因此操縱可以被阻止。但是這是成本耗費的和由於耗費的安裝和維護工作的執行而一般不能被實施。如果例如僅需要除去或旋開蓋板，簡單的物理保護措施可以相對簡單地被迴避。
[0005]控制網絡大多在邏輯上是閉合的，也即不與外部網絡連接或不與外部網絡直接連接。通過所謂的「防火牆」，至少可以在選擇允許與外部網絡交換的數據的意義上限制數據通信業務。因此，從外部的基於網絡的攻擊是不可能的或僅以耗費的方式是可能的。
[0006]但是通過所述措施不構建免受對車輛操縱的保護，使得數據在車輛網絡內仍可以被操縱。
[0007]此外已知的是,在傳輸時通過諸如「CRC值/循環冗餘校驗(Cyclic RedundancyCheck)」循環冗餘校驗的校驗和來保護數據。這些校驗和僅僅適用於識別隨機傳輸誤差。從而不能實現免受故意操作的保護，因為攻擊者能夠以簡單的方式計算由其所操縱的數據的有效CRC值。
[0008]同樣，密碼校驗和是已知的，諸如「消息鑑權碼」或「數字籤名」。在此所傳輸的數據、例如用於車輛的控制數據在發送時被補充有密碼校驗和。該密碼校驗和在接收時被檢驗。僅被正確檢驗的數據被進一步處理。例如可以用「MACseWlPsec」或「SSL/TLS」對通信加密。在此，所傳輸的數據通過密碼校驗和來保護。這樣的密碼保護僅能耗費地事後作為自動化組件中的集成來實現。單獨的加密前置組件同樣是耗費的。此外，加密校驗和的計算以及檢驗由於計算耗費的密碼運算導致延遲，這尤其是在實時關鍵的控制和調節任務情況下是不希望的。
[0009]此外，所謂「侵入探測系統」是已知的，所述侵入探測系統監控出現的網絡通信業務。在「可疑的」網絡通信業務情況下觸發警報。在此可以識別網絡通信業務的已知攻擊模式、所謂的攻擊籤名。但是由此僅能識別特定的、已經已知的攻擊。通過諸如識別描述網絡通信業務的統計參量的顯著變化的啟發式方法，嘗試也識別迄今未知的攻擊。由此通過分析諸如網絡服務的使用頻率和訪問持續時間的統計特徵值的顯著變化僅僅能夠識別攻擊。在此，在隨機波動情況下，可能容易有誤地探測出主觀想像的攻擊。
[0010]由此基於統計特徵值的啟發性攻擊識別方法是不可靠的並且在實際上最多以補充的方式被使用。
[0011]利用在網絡中的自動拓撲識別，例如藉助於「LLDP」、「CDP」、「SNMP」或「廣播Ping」確定所有相連接的網絡設備。通過「LLDP」也可以確定網絡電纜線路的拓撲。
[0012]具有標題「Methodand System for IP Train Inauguration，，的US 2006/0180709描述了在基於IP的列車控制網絡中運行的列車設定裝置(Zugtaufe)。在此，尤其是根據引導車輛設計的列車拓撲藉助於網絡識別來確定。與此有關地配置「路由選擇」和IP位址轉換 /NAT。
【發明內容】
[0013]本發明所基於的任務是，確定車輛網絡處的、尤其是有軌車輛的車輛網絡處的變化並且防止危及完整性、也即危及運行安全性/安全性和攻擊安全性/防護性。
[0014]通過獨立表達的權利要求的相應的特徵組合來解決該任務。
[0015]本發明基於以下認識:可以識別對車輛網絡的不同的操縱或惡意破壞，其中通過所述不同的操縱或惡意破壞危及在車輛處的控制功能的正確執行。如果運行安全狀態不能得以保證，則不能實現正常的運行。
[0016]為了正常地運行車輛，一般需要車輛網絡的完整性。故意或非故意類型的或由於技術故障引起的變化可能隨時出現。完整性包括運行安全性/安全性、保護免受傳輸故障、和攻擊安全性/防護性，尤其是保護免受故意的變化。
[0017]車輛、尤其是有軌車輛處的操縱識別通過以下方式實現，即車輛網絡的數字指紋被確定並且與所存放的參考信息比較。車輛網絡的數字指紋表徵車輛網絡的當前存在的配置、也即所連接的網絡組件(例如控制設備)的數目和/或所連接的網絡組件的標識信息的集合。網絡組件的標識信息可以例如通過諸如MAC地址、IP位址的其網絡地址或通過其類型和其序列號給出。車輛網絡的數字指紋也可以包括表徵網絡拓撲的信息，也即所述信息描述哪些網絡組件直接與哪些或哪個其他網絡組件相連接並且經由哪個接口連接。根據比較的結果，適配與所考慮的車輛網絡相連接的控制單元的控制功能，所述控制單元尤其是是控制計算機。
[0018]對於在該比較情況下有偏差的情況，轉換到所謂的安全性控制或運行安全狀態。因此在對車輛網絡的有關操縱情況下通過操作識別和接著轉換到安全性控制來防止:可能發生對人員的傷害或對設備/車輛的損害。在此可以使用按標準存在的安全性功能，以便對付有關的事故或限制由所述事故造成的損壞。
[0019]所確定的比較信息相對於所存儲的參考信息被檢驗，以便確定車輛網絡的實際網絡配置是否對應於參考信息。因此，識別出對車輛網絡的操縱。
[0020]重要的是，識別對車輛的控制網絡的操縱。例如當附加網絡設備與車輛網絡連接時可以識別這一點，其方式是，所連接的網絡組件的數目高於所存儲的參考值。也可以根據網絡組件的不同標識信息識別出一個網絡設備被另一個網絡設備替換。也可以識別電纜線路的轉接。[0021]比較信息或參考信息可以被理解為車輛網絡的數字參考指紋。
[0022]「數字指紋」分別表徵單個車輛網絡2。
[0023]如果用於控制車輛所使用的控制網絡的所確定的數字指紋與所存儲的參考指紋匹配，則車輛控制裝置執行正常的控制。在偏差情況下，受限制地運行或去激活車輛，以便將所述車輛保持在運行安全狀態。
[0024]有利的是，使用基於乙太網或IP的車輛網絡，其僅與已知組件根據固定電纜線路連接。這意味著，涉及具有固定配置的閉合網絡。這適用於以下情況，即只要沒有探測到控制網絡的所確定的指紋與所存儲的參考指紋的偏差，則在車輛控制網絡處進行了操縱識另IJ。根據本發明，在比較時可以容易地識別與所述固定網絡配置的偏差。有利的是，在出現與所存放的固定配置的偏差情況下適配車輛控制。由此即使在故意或無意地操縱的車輛控制網絡時也可以避免有誤的控制。由此實現防止危及乘客的目的。
[0025]在「數字指紋」和參考信息之間執行比較可以通過控制單元(諸如在車輛網絡範圍中的控制計算機)本身來執行。但是同樣可以將比較的結果輸送給另外的控制單元。這可以經由控制網絡本身或經由單獨的控制線路進行。
[0026]使用可存儲器編程的控制單元是有利的。由此可以進行空調、門、傳動裝置、制動裝置等的操控。
[0027]尤其是對於車輛的運行安全狀態，可以在轉發時以密碼方式保護比較或檢驗結果。這例如可以通過所謂的「消息鑑權碼/MAC」或通過「數字籤名」實現。由此該信息獲得所述信息不能被操縱的狀態。
[0028]為了識別操縱，有利地可以考慮網絡電纜線路的拓撲完整性的檢驗。拓撲完整性被理解為:與車輛控制網絡連接的網絡組件的網絡接口的連接通過網絡電纜不被改變。即使數據通信是可能的，則在錯誤連接的網絡電纜情況下例如也不排除在一些網絡連接上的網絡過負荷，或者在網絡電纜上在網絡連接上的實時關鍵的網絡控制通信可能被另外的數據通信幹擾，所述另外的數據通信在如所設置的所連接的網絡電纜情況下不會存在。在此檢驗，設備是否如平常那樣接線或組件或網絡電纜是否例如被轉接。此外可以檢驗，正常的設備是否可達並且確定的、不期望的設備也實際上不可達。可以檢驗，未被佔用的網絡端子是否實際上是未被佔用的。在此可以考慮，各個控制設備可以由車輛服務關斷。因此在搜索操縱時可以將組件缺乏立即歸為負的、也即不允許的偏差。
[0029]此外有利的是，使用物理傳感器用於監控網絡電纜線路。因此例如可以監控以數字方式、也即僅斷開或僅接通地被控制的部件。
[0030]在另一變型方案中，考慮物理傳輸參數用於分析。在此，確定網絡電纜線路的脈衝應答並且與參考值進行比較。以網絡電纜更換形式或對網絡電纜的物理操縱形式的操縱因此可以被識別。
[0031]此外有利的是，藉助於IP位址或MAC地址標識外來設備或更換設備。連接在車輛網絡上的組件被標識或鑑權。在此，其設備類型按照諸如製造商、型號、序列號等準則來確定。此外，密碼設備鑑權可以進行。在此，對所連接的設備的鑑權可以藉助於口令、密碼密鑰或數字設備證書來執行。該詢問可以在操縱識別本身的範圍中被執行或者在鑑權另外的組件時發生的通信通過操縱識別被監控和分析。此外，測試數據可以經由車輛網絡被傳輸，以便驗證其正確的傳輸。[0032]藉助於控制單元根據控制網絡的檢驗的結果執行至少一個控制任務。在此，用於運行的控制設備的功能性被釋放、受限制地被釋放或被去激活。可以將去激活一般地理解為車輛的自安全運行狀態。作為特別的服務可以將釋放通知發送給控制設備。由此實現，設備即使在對控制網絡的當前操縱的情況下也不能切換到非運行安全的運行狀態下。可以實現車輛的受限制的運行，諸如以有限的行駛速度或可見行駛(Fahren auf Sicht)。
[0033]附加的優點從在耦合多個車輛網絡情況下使用控制計算機中得出，以便將允許的通信限制於網絡耦合器/網關。一般，存在不同的車輛子網絡，諸如旅客網絡、運營商網絡等，其通常完全從車輛網絡退耦，所述車輛網絡負責控制車輛。在用於操縱識別的方法流程中，可以置入計算，其中為了繼續運行車輛必須滿足附加準則。因此可以例如檢驗，具有防火牆功能性的網絡耦合器/網關實際上真實地阻止在車輛控制網絡和經由網絡耦合器/網關連接的運營商網絡或旅客網絡之間的不允許的通信。但是如果這樣的不允許的通信是可能的，例如因為網絡電纜錯誤地被插接至網絡耦合器/網關或者因為網絡耦合器/網關的防火牆功能性不按規定地起作用，則故障被探測出來，也即操縱識別識別出偏差/操縱。
[0034]為了跟蹤故障通知，可以發生到故障存儲器中的錄入。這同樣適用於檢驗的正結果。
[0035]此外，如果數據的傳輸被傳輸給陸地側單元，例如經由「WLAN」或移動無線電網絡、諸如 「 GSM」、「 GPRS 」、「 UMTS 」、「 WIMAX 」 等，則得出優點。
[0036]用於識別操縱的方法可以在不同時間被應用，該方法可以規則地、持續地或可選地被調用。該方法例如可以在以下條件下被激活:
-在結束用於釋放來運行的維護模式時，
-在激活控制功能時，
-在切換操作者以進行新操作者的鑑權時，
-在進行中的運行中。
[0037]車輛、尤其是有軌車輛可以擁有車輛網或者車輛網絡，例如以便實施不同的車輛網絡任務或車輛控制任務。這裡要列舉的是:
?傳動網絡，
?制動網絡，
?列車保險網絡，
?空調控制網絡，
?門控制網絡，
?旅客信息網絡或者 ?視頻監控網絡。
[0038]監控可以涉及這些車輛網絡中的單個車輛網絡。也可能的是，在一個車輛網絡上實現多個車輛網絡任務。因此例如傳動網絡和制動網絡可以重合。各個車輛網絡可以經由網絡耦合器/網關連接。
[0039]在另一變型方案中，監控車輛網絡的完整性並且在偏差情況下阻止或限制與車輛網絡的數據通信。如果例如識別出，運營商網絡或用於例如空調控制或照明控制的控制網絡與已知的參考配置不同，因為備用設備或維護設備與該車輛網絡連接，則可以將網絡耦合器/網關與另外的子網、例如車輛的控制網絡或制動網絡連接。此外，可以限制或阻止所考慮的車輛控制網絡與另外的網絡的數據通信。因此防止，任何車輛網絡的變化危險地影響另外的車輛網絡的可靠運行。
[0040]特別有利的是，參考信息不僅可以固定地被預先給定，而且在變型方案中可以被訓練。在車輛維護(其中有缺陷的控制設備被替換)時，車輛網絡的指紋也改變。為了不必明確地由操作人員存儲參考指紋，在結束維護時或在結束車輛維護模式時可以確定車輛網絡的當前存在的指紋並且將其作為新的參考指紋進行存儲。這可以通過車輛的控制設備進行或者通過所連接的維護設備、例如維護筆記本進行。在此，所確定的指紋也可以被修改或者所修改的指紋可以被存儲為參考指紋，以便例如從參考指紋中去除涉及所連接的維護筆記本的信息。如果車輛釋放用於車輛運行的參考信息，從而在維護車輛或有軌車輛時，所述參考信息可以被檢測和存儲。這在該情況下只有當經由有軌車輛的維護接口進行有權利的維護訪問時才是可能的。
【專利附圖】
【附圖說明】
[0041]下面根據示意圖描述不限制本發明的實施例:
圖1示出具有多個不同車輛網絡2的有軌車輛，其中網絡耦合器/網關GW將車輛網絡2與車輛主網絡3連接，
圖2示出圖1的變型方案，其中有軌車輛擁有多個車輛網絡2，所述車輛網絡2經由網絡耦合器/網關G W彼此連接，以及同時經由網絡耦合器/網關GW與車輛主網絡3耦合，圖3示出用於操縱識別和相應的反應的流程圖。
【具體實施方式】
[0042]圖1和2分別示出具有車輛主網絡總線3的車輛1，尤其是有軌車輛，所述車輛主網絡總線3經由網絡耦合器/網關GW將一個或多個電耦合EK連接。如在圖1中所示的，車輛網絡2的車輛子網絡21至26彼此經由車輛控制網絡總線4連接，其中存在至網絡耦合器/網關GW的連接。車輛網絡2可以尤其是被實現為乙太網網絡或IP網絡或其組合。該車輛網絡2在圖1中作為總線示出，其中車輛控制設備或車輛子網絡21-24和網絡耦合器/網關GW經由所述總線連接。車輛網絡2或一組車輛網絡2同樣可以被構造為環或星形。
[0043]圖2示出一種變型方案，其中三個車輛控制網絡或三個車輛控制子網絡21-23以及25-26分別聯合。根據圖2的車輛控制子網絡因此部分地彼此連接並且部分地經由網絡耦合器/網關GW相互連接並且單獨地和總體地經由網絡耦合器/網關GW與車輛主網絡總線3連接。
[0044]圖的附圖標記詳細地表示:
I車輛
2車輛網絡/VCS車輛控制網絡 3車輛主網絡總線
4車輛子網絡總線/車輛控制網絡總線 車輛子網絡:
21控制網絡22制動網絡/制動控制設備
23空調網絡/空調控制設備/HVAC控制裝置
24列車保險網絡ATP
25乘客信息網絡PIS-S
26乘客信息網絡AIS-D
圖3:
31開始
32確定車輛網絡的指紋 33與參考信息比較 34判定:操縱是/否 35否 36是
37激活正常控制模式 38激活運行安全控制模式 39結束
GW網絡耦合器/網關 EK電耦合。
[0045]在圖1中繪出的有軌車輛包含多個車輛控制設備，所述車輛控制設備彼此連接在一起。控制網絡21的車輛控制設備在該情況下作為「車輛控制伺服器(VCS)」承擔引導作用並且可以操控各個子系統/車輛子網絡/車輛控制設備22-24。在該情況下屬於子網絡的有:
?制動控制設備或制動網絡22，
?空調控制設備或空調網絡23，HVAC，供暖、通風、空調，和 ?列車保險控制設備或列車保險網絡24、自動列車保護，ATP0
[0046]車輛I的控制網絡21經由網絡耦合器GW與車輛主網絡總線3連接。該車輛主網絡總線3可以是乙太網網絡或IP網絡或其組合。列車的存在的主網絡例如是「乙太網列車骨幹」，ETB/乙太網/列車基礎網絡。
[0047]在對車輛控制網絡2進行操縱識別情況下，在操縱被識別時適配車輛控制、也即所實現的控制功能性。操縱識別可以在網絡耦合器/網關GW中或作為「車輛控制伺服器VCS」、也即車輛控制網絡或車輛控制設備21的部分實現。在變型方案中，所述操縱識別是列車保險控制設備24/ 「自動列車保護」ATP的部分。
[0048]根據另一實施例，操縱識別的結果可以經由車輛主網絡總線3和電耦合EK被傳輸給另外的車輛。在此存在以下可能性:在操作臺處顯示操縱識別的結果。
[0049]圖2是一種變型方案，其中有軌車輛的裝備包括大量車輛子網絡21-26。這些車輛子網絡經由網絡耦合器/網關GW連接。
[0050]在圖2中這是:控制網絡21，所述控制網絡21包括作為車輛控制伺服器(VCS)的車輛控制設備，以及制動控制設備22和具有空調控制網絡23的空調控制設備。此外，存在具有列車保險控制設備24的列車保險網絡以及具有兩個乘客信息控制設備25 PIS-S和26PIS-D的乘客信息控制網絡。[0051]圖3示出用於操縱識別的流程圖。在開始31之後，運行用於當前網絡的所謂數字指紋的確定32。接著，將結果與所存儲的參考信息比較33。如果操縱識別34得出:在該測試中不存在偏差，也即具有應答「否35 」的左邊支路適用，則運行正常控制模式的激活37。如果在參考信息和車輛網絡的所確定的指紋之間存在偏差，則沿著具有「是36」的右邊支路走向並且激活38運行安全控制模式。接下來，用於操縱識別的方法方式到達結束39。
【權利要求】
1.用於對車輛(I)的至少一個車輛網絡(2)進行操縱識別的方法，具有以下步驟: -確定至少一個車輛網絡(2)的數字指紋， -將至少一個車輛網絡(2)的數字指紋與參考信息進行比較用於確定操縱， -根據比較的結果適配至少一個車輛網絡(2)的功能，使得保證運行安全性/安全性，-如果未識別到對至少一個車輛網絡(2)的操縱則激活(37)正常控制模式或者如果識別到對至少一個車輛網絡(2)的操縱則激活(38)運行安全控制模式。
2.根據權利要求1所述的方法，其特徵在於，藉助於控制單元實施至少一個車輛網絡(2)的適配。
3.根據前述權利要求之一所述的方法，其特徵在於，使用所存放的安全性功能，用以在操縱被識別時將所引起的損壞保持得最小。
4.根據前述權利要求之一所述的方法，其特徵在於，為了識別對至少一個車輛網絡(2)的操縱使用參考信息與車輛網絡的數字指紋的比較的結果。
5.根據權利要求4所述的方法，其特徵在於，只有當用於控制車輛(I)所使用的車輛控制網絡(21)的所確定的數字指紋與所存儲的參考信息匹配時，才在車輛控制網絡(21)中實施正常控制模式。
6.根據權利要求4所述的方法，其特徵在於，在所接收的數字指紋與參考信息之間有偏差時，所述至少一個車輛 網絡(2)在受限制的模式中運行或被去激活，以便將車輛保持在運行安全狀態。
7.根據前述權利要求之一所述的方法，其特徵在於，車輛控制網絡(21)是乙太網或基於IP的車輛控制網絡或其組合。
8.根據前述權利要求之一所述的方法，其特徵在於，使用具有固定網絡配置的閉合車輛網絡(2)，使得可以簡單地識別與該固定網絡配置的偏差。
9.根據權利要求8所述的方法，其特徵在於，當在固定參考網絡配置信息和要檢驗的至少一個車輛網絡(2)的數字指紋之間的比較有偏差時，適配至少一個車輛網絡(2)的控制。
10.根據前述權利要求之一所述的方法，其特徵在於，對於識別到對車輛的控制網絡的操縱或惡意破壞、由此危及控制功能的正確執行的情況，不進行車輛(I)的正常運行。
11.根據前述權利要求之一所述的方法，其特徵在於，檢驗網絡電纜線路的拓撲完整性。
12.根據前述權利要求之一所述的方法，其特徵在於，使用物理傳感器並且詢問開關元件的雙極狀態。
13.根據前述權利要求之一所述的方法，其特徵在於，分析物理傳輸參數並且與參考值進行比較。
14.根據前述權利要求之一所述的方法，其特徵在於，識別在車輛網絡中存在的外來設備。
15.根據權利要求14所述的方法，其特徵在於，藉助於密碼密鑰保護設備的標誌。
16.根據前述權利要求之一所述的方法，其特徵在於，可以訓練參考信息。
17.根據前述權利要求之一所述的方法，其特徵在於，操縱識別持續地或者在所選擇的時刻或者在所選擇的事件情況下或在所選擇的運行狀態情況下進行。
18.根據前述權利要求之一所述的方法，其特徵在於，在各個車輛子網絡(21至26)處進行監控。
19.用於對車輛(I)的至少一個車輛網絡(2)進行操縱識別的控制單元，其特徵在於，根據至少一個車輛網絡(2)的數字指紋與控制網絡(21)的參考信息的比較的結果來執行控制任務。
20.根據權利要求19所述的控制單元，其特徵在於，所述控制單元被設計為使得可以執行自檢驗。
21.根據權利要求19至20之一所述的控制單元，其特徵在於，對於正常運行，通過控制單元可以釋放、受限制地釋放或去激活至少一個控制設備。
22.根據權利要求19至21之一所述的控制單元，其特徵在於，所述控制單元包括控制計算機，所述控制計算機限制經由用於耦合多個車輛網絡(2)的網絡耦合器/網關(GW)的允許的通信。
23.根據權利要求19至22之一所述的控制單元，其特徵在於，可以關掉顯示操縱識別的警報通知並且可以記錄正常運行。
24.根據權利要求19至23之一所述的控制單元，其特徵在於，存在用於存儲檢驗結果的故障存儲器。
25.根據權利要求19至24之一所述的控制單元，其特徵在於，可以經由按標準的移動無線電網絡將用於操縱識別的數據通信傳輸給陸地側單元。
26.根據權利要求19至25之一所述的控制單元，其特徵在於，存在多個車輛網絡(2)或車輛子網絡(21至26)，其經·由網絡耦合器/網關(GW)連接。
【文檔編號】G06F21/64GK103547975SQ201280024676
【公開日】2014年1月29日 申請日期:2012年5月15日 優先權日:2011年5月24日
【發明者】R.貝耶, R.法爾克 申請人:西門子公司