Ein bekannter Codesignalgeber (EP 0 659 963 Al) weist eine Transpondereinheit auf, die ein Fragecodesignal von einer im Kraftfahrzeug angeordneten Sende- und Empfangseinheit emp- fängt. Mit Hilfe des Fragecodesignals wird daraufhin im Code- signalgeber ein Antwortcodesignal erzeugt und zu der Sende- und Empfangseinheit im Kraftfahrzeug zurückgesendet. Bei Be- rechtigung des Antwortcodesignals (Authentifikation) wird ei- ne Wegfahrsperre des Kraftfahrzeugs gelöst.

Au erdem weist der Codesignalgeber eine von der Transponder- einheit unabhängige Fernbedieneinheit auf, die ein codiertes Steuersignal nach Betätigen eines Tastschalters erzeugt und über eine Antenne aussendet. Eine Empfangseinheit im Kraft- fahrzeug empfängt das codierte Steuersignal und steuert die Zentralverriegelungsanlage, wenn das Steuersignal berechtigt ist.

Die Transpondereinheit und die Fernbedieneinheit sind dabei unabhängig voneinander auf einem Schlüsselgriff angeordnet.

Jede Einheit weist dabei eine Recheneinheit auf, die jeweils das Antwortcodesignal bzw. das Steuersignal erzeugt.

Der Erfindung liegt das Problem zugrunde, einen Codesignalge- ber zu schaffen, der möglichst wenig Bauelemente aufweist und dennoch eine abhörsichere sowie fälschungssichere Authentifi- kation zulä t.

Dieses Problem wird erfindungsgemä durch die Merkmale von Patentanspruch 1 gelöst. Dabei weist ein Codesignalgeber eine einzige Verschlüsselungseinheit auf, auf die sowohl eine Fernbedieneinheit als auch eine Transpondereinheit zugreifen.

Somit wird ein codiertes Steuersignal bzw. ein Antwortcodesi- gnal durch die Verschlüsselungseinheit erzeugt und ausgesen- det.

Vorteilhafte Ausgestaltungen der Erfindung sind in den Un- teransprüchen gekennzeichnet. So ist es besonders vorteil- haft, wenn die Transpondereinheit, die Fernbedieneinheit und die Verschlüsselungseinheit als Schaltung auf einem Halblei- terchip integriert aufgebracht sind. Dadurch weist der Code- signalgeber nur geringe Abmessungen auf. Der Codesignalgeber kann einen Schwingkreis mit einer Spule und einem Kondensator aufweisen, über den Signale induktiv gesendet oder empfangen werden. Gleichzeitig weist er noch einen oder mehrere Sender auf, mit denen das codierte Steuersignal drahtlos ausgesendet wird.

Der Codesignalgeber kann einen Energiespeicher aufweisen, der drahtlos durch empfangene Energiesignale aufgeladen wird. So- mit benötigt der Codesignalgeber keine Batterie, die immer

wieder ausgewechselt werden mu , sobald deren Kapazität er- schöpft ist.

Ausführungsbeispiele der Erfindung werden im folgenden anhand der schematischen Zeichnungen näher erläutert. Es zeigen: Figur 1: ein Blockschaltbild eines erfindungsgemä en Codesi- gnalgebers und Figur 2: ein Blockschaltbild einer Sende- und Empfangseinheit in einem Kraftfahrzeug.

Ein erfindungsgemä er, tragbarer Codesignalgeber 10 (Figur 1) weist eine Transpondereinheit 100, 111, 112 und 130 und eine Fernbedieneinheit 140, 160, S4 und S5, auf. Der Codesignalge- ber 10 kommuniziert durch Aussenden und/oder Empfangen von Codesignalen mit einer stationär angeordneten Sende- und Emp- fangseinheit 20 (Figur 2). Mit Hilfe des Codesignalgebers 10 wird eine Authentifikation durchgeführt, bei deren erfolgrei- chem Verlauf ein Sicherheitsaggregat 270 mit einem Freigabe- signal angesteuert wird.

Die Transpondereinheit des Codesignalgebers 10 weist als Sen- de- und Empfangselement einen Schwingkreis 106, 107 mit einer Spule 106 und einen Kondensator 107 auf. Über den Schwing- kreis 106, 107 werden Signale mittels eines hochfrequenten Magnetfeldes induktiv empfangen oder ausgesendet. Hierzu weist die Transpondereinheit eine induktive Schnittstelle 100 mit einem Demodulator 102 auf, der ein empfangenes Signal de- moduliert und zur weiteren Verarbeitung in ein serielles Da- tensignal umwandelt. Analog zu dem Demodulator 102 weist die

induktive Schnittstelle 100 einen Modulator 105 auf, der ein auszusendendes Signal mit einer Trägerfrequenz moduliert und über den Schwingkreis 106, 107 aussendet.

Überdies kann die induktiven Schnittstelle 100 eine Ener- gierückgewinnungseinheit 101 mit einem Gleichrichter und ei- nem Spannungsüberwacher aufweisen, durch die einem empfange- nen Signal im Bedarfsfalle Energie entnommen werden kann. Mit der entnommenen Energie können die Bauteile des Codesignalge- bers 10 direkt mit Energie versorgt werden.

Mit der Energie kann zusätzlich ein wiederaufladbarer Ener- giespeicher 108 (beispielsweise in Form eines Kondensators oder eines Akkumulators) aufgeladen werden. Statt des Ener- giespeichers 108 kann auch eine Batterie als Energiespeicher verwendet werden, wobei diese dann ausgewechselt werden mu , sobald sie entladen ist.

Der Ladezustand des Energiespeichers 108 oder der Batterie kann durch den Spannungsüberwacher ständig überwacht werden, damit bei Bedarf sofort Energie nachgeladen bzw. auf die lee- re Batterie hingewiesen werden kann. Au erdem wird durch den Spannungsüberwacher die Betriebsspannung auf dem Codesignal- geber 10 überwacht, damit keine Fehler infolge von Spannungs- einbrüchen vorkommen.

Die Fernbedieneinheit des Codesignalgebers 10 weist eine oder mehrere Tastschalter S4 und S5 auf, die von einem Benutzer dann betätigt werden, wenn dieser eine elektronische Einrich- tung (im folgenden als Sicherheitsaggregat bezeichnet) fern-

bedienen möchte. Eine Tastenabfrageeinheit 140 erkennt, ob und welcher Tastschalter S4 oder Ss betätigt wurde. Des wei- teren weist die Fernbedieneinheit einen Sender 160 mit Funkantennen 163 oder optischen/akustischen Sendeelementen 162 auf, denen gegebenenfalls ein Modulator 161 mit einem nachgeschalteten HF-Oszillator oder ein entsprechender Signalwandler vorgeschaltet sein können.

Bei Betätigen eines Tastschalters S4 oder S5 wird die Fernbe- dieneinheit aktiviert, sobald die Tastenabfrageeinheit 140 erkennt, da ein Tastschalter S4 oder S5 betätigt wurde. Dar- aufhin wird in einem Protokollgenerator 112 einer Signaler- zeugungseinheit 110 ein codiertes Steuersignal erzeugt, das über den Sender 160 drahtlos ausgesendet wird.

Das Steuersignal weist eine Steuerinformation auf, die wie- dergibt, welcher Tastschalter S4 oder S5 betätigt wurde, d.h.

was fernbedient werden soll. Au erdem fügt der Protokollgene- rator 112 ein verschlüsseltes, binäres Signal (im folgenden als Codewort bezeichnet) , das in einer Verschlüsselungsein- heit 111 der Signalerzeugungseinheit 110 erzeugt wird, dem Steuersignal hinzu.

Die Verschlüsselungseinheit 111 ist mit einem Speicher 130 verbunden. Der Speicher 130 ist hier aufgeteilt in einen Ge- heimcodespeicher 131, in dem ein geheimer Schlüssel (im fol- genden als Geheimcode bezeichnet) gespeichert ist, in einen Zähler 132, in dem Synchronisationsdaten gespeichert sind, und in ein Datenregister 133, in dem benutzerspezifische oder fahrzeugspezifische Daten gespeichert sind. Die Synchronisa-

tionsdaten und der Geheimcode werden der Verschlüsselungsein- heit 111 zugeführt. Diese werden in der Verschlüsselungsein- heit 111 mittels eines Verschlüsselungsalgorithmus verschlüs- selt und als Codewort dem Steuersignal hinzugefügt.

Die Verschlüsselungseinheit 111 dient zum Verschlüsseln von Daten. Auf diese Verschlüsselungseinheit 111 greifen sowohl die Transpondereinheit als auch die Fernbedieneinheit zu, um jeweils das Antwortcodesignal bzw. das Steuersignal zu ver- schlüsseln oder um den Signalen zumindest ein Codewort hinzu- zufügen.

Verschlüsselte Signale haben den Vorteil, da aus einem oder mehreren abgehörten Signalen nicht oder nur mit sehr hohem Aufwand auf den Verschlüsselungsalgorithmus geschlossen wer- den kann. Bei jedem Sendevorgang wird zyklisch ein anderes Signal erzeugt und ausgesendet, so da ein einmal abgehörtes Signal im folgenden nicht mehr für die Authentifikation be- nutzt werden kann, da es inzwischen nicht mehr berechtigt ist.

Der Speicher 130 ist so ausgebildet, da der Geheimcode nur bei nachgewiesener Berechtigung überschrieben werden kann.

Der Geheimcode ist von au en nicht auslesbar. Die Synchroni- sationsdaten sind in dem Zähler 132 des Speichers 130 gespei- chert und können bei Bedarf verändert (verändern des Speiche- rinhalts = Zählerstand verändern) oder durch neue Synchroni- sationsdaten überschrieben werden.

Auf dem Codesignalgeber 10 ist eine Ablaufsteuereinheit 150 angeordnet, die alle Bauteile des Codesignalgebers 10 (induktive Schnittstelle 100, Speicher 130, Sender 160, Pro- tokollgenerator 112, usw.) steuert. Sie ist daher mit allen Bauteilen elektrisch verbunden (der Übersichtlichkeit halber sind die elektrischen Verbindungen in der Zeichnung nicht dargestellt).

Die Ablaufsteuereinheit 130 steuert auch Schalter S1 bis S3 an. Abhängig von der Schaltstellung der Schalter S1 bis S3 laufen unterschiedliche Vorgänge auf dem Codesignalgeber 10 ab. Der Schalter S1 schaltet den Ausgang des Protokollgenera- tors 112 entweder auf den Eingang des Modulators 105 (Antwortcodesignal) der induktiven Schnittstelle 100 oder zu dem Sender 160 (Steuersignal). Der Schalter S2 führt der Ver- schlüsselungseinheit 111 entweder das empfangene und demodu- lierte Fragecodesignal oder den Speicherinhalt des Zählers 132 zu. Der Schalter S3 ist nur dann geschlossen, wenn Daten in den Speicher 130 eingeschrieben werden sollen. Der Schal- ter S3 kann dann automatisch geschlossen werden, wenn ein Fragecodesignal empfangen wird. Es kann aber auch ein Nach- weis einer Berechtigung (wird der Ablaufsteuereinheit 150 durch das Fragecodesignal mitgeteilt) notwendig sein, um den Schalter S3 zu schlie en und um damit den Geheimcode oder die Synchronisationsdaten überschreiben zu können.

Die Ablaufsteuereinheit 150 wird durch einen Oszillator 104 oder eine Taktrückgewinnungseinheit 103 getaktet. Wenn nur die Fernbedieneinheit aktiviert wird, so wird zunächst der Oszillator 104 aktiviert, der dann die Ablaufsteuereinheit

150 taktet. Wenn dagegen die Transpondereinheit durch Empfan- gen eines Fragecodesignals aktiviert wird, so wird der Takt für die Ablauf steuereinheit 150 durch die Taktrückgewinnungs- einheit 103 aus dem von der Transpondereinheit empfangenen, magnetischen Wechselfeld entnommen.

Vorteilhafterweise wird ein solcher Codesignalgeber 10 für ein Diebstahlschutzsystem eines Kraftfahrzeugs verwendet. Da- bei wird der Codesignalgeber 10 vom Benutzer mit sich getra- gen. Der Codesignalgeber 10 kommuniziert dann mit einer Sen- de- und Empfangseinheit 20 (vgl. Figur 2), die stationär in dem Kraftfahrzeug angeordnet ist.

Das Diebstahlschutzsystem umfa t dabei als Sicherheitsaggre- gat 270 eine Wegfahrsperre, die zuerst durch Nachweis einer Berechtigung gelöst werden mu , bevor das Fahrzeug benutzt werden kann. Mit dem Codesignalgeber 10 können au erdem wei- tere Sicherheitsaggregate 270, wie eine Zentralverriegelungs- anlage, die Türschlösser des Kraftfahrzeugs ver- oder entrie- gelt, fernbedient werden. Ferner können auch sonstige Steuer- geräte fernbedient als Sicherheitsaggregate 270 gesteuert werden, durch die Funktionen wie Öffnen/Schlie en von Fen- stern, Einstellen der Sitze, Ein-/Ausschalten der Heizung usw., gesteuert werden.

Wenn ein Benutzer in sein Fahrzeug einsteigen möchte, so be- tätigt er zunächst einen Tastschalter S4 oder S5 auf dem Codesignalgeber 10, und zwar denjenigen, mit dem die Zentral- verriegelungsanlage des Kraftfahrzeugs angewiesen wird, alle Türen und gegebenenfalls den Kofferraum zu entriegeln.

Es sei hier angenommen, da der Tastschalter S4 zum Entrie- geln aller Türen und der Tastschalter S5 zum Verriegeln aller Türen vorgesehen ist. Sobald das Betätigen des Tastschalter S4 durch die Tastenabfrageeinheit 140 erkannt ist, wird in dem Protokollgenerator 112 ein Steuersignal erzeugt. Hierzu wird das Codewort von der Verschlüsselungseinheit 111 mit ei- ner Steuerinformation (im folgenden als Steuerdaten bezeich- net) und gegebenenfalls mit Daten aus dem Datenregister 133 (im folgenden als Fahrzeugdaten bezeichnet) durch Codierung zusammengefügt. Das somit erzeugte Steuersignal wird dann mo- duliert oder unmoduliert zum Kraftfahrzeug gesendet.

Ein Empfänger 260 der Sende- und Empfangseinheit 20 im Kraft- fahrzeug empfängt das Steuersignal über ein optisches oder akustisches Empfangselement 262 oder durch eine Funkantenne 263 und demoduliert das Steuersignal in einem Demodulator 261. Der Demodulator 261 trennt das Steuersignal in seine Be- standteile Codewort - Steuerdaten - Fahrzeugdaten auf. Das Codewort wird einer Vergleichseinheit 240 und die restlichen Daten dem Sicherheitsaggregat 270 zugeführt.

Zunächst wird anhand des empfangenen Codeworts eine Authenti- fikation durchgeführt. Hierzu wird das Codewort mit einem er- warteten Sollcodewort in dem Vergleicher 240 verglichen. Wenn die Authentifikation erfolgreich war, so wird ein Freigabesi- gnal erzeugt, durch das die Inhalte der Steuerdaten und gege- benenfalls der Fahrzeugdaten durch das Sicherheitsaggregat 270 ausgeführt werden. Der Inhalt der Steuerdaten gibt an, welche Einrichtung im Kraftfahrzeug gesteuert werden soll. Im

Falle des Betätigens des Tastschalters S4 sollen alle Türen und der Kofferraum des Kraftfahrzeugs entriegelt werden.

Wenn der Benutzer mit seinem Kraftfahrzeug wegfahren möchte, so mu zunächst die Wegfahrsperre gelöst werden. Hierzu betä- tigt der Benutzer einen Zündschalter 210, beispielsweise durch Drehen des Zündschlüssels im Zündschlo in die Position "Zündung EIN" oder "START". Daraufhin sendet die Sende- und Empfangseinheit 20 im Kraftfahrzeug ein binäres Fragecodesi- gnal (auch als Challenge bezeichnet) über eine induktive Schnittstelle 200 und einen Schwingkreis 204, 205 mit einer Spule 204 und einem Kondensator 205 aus. Das Fragecodesignal kann dabei zuvor entweder verschlüsselt oder aber auch als unverschlüsseltes sowie nicht codiertes Signal ausgesendet werden. In dem Fragecodesignal sind vorzugsweise die Synchro- nisationsdaten, insbesondere eine Zufallszahl, enthalten.

Die Transpondereinheit des Codesignalgebers 10 empfängt das Fragecodesignal. Das Fragecodesignal wird ausgewertet. Falls das Fragecodesignal ein erlaubtes Fragecodesignal war, so wird in der Verschlüsselungseinheit 111 mit Hilfe des Geheim- codes ein Codewort erzeugt, das von dem Protokollgenerator 112 zu einem binären, verschlüsseltes Antwortcodesignal (auch als Response bezeichnet) vervollständigt wird. Das Antwort- codesignal wird über den Schwingkreis 106, 107 des Codesi- gnalgebers 10 zu dem Schwingkreis 204, 205 der Sende- und Empfangseinheit 20 im Kraftfahrzeug gesendet.

Das Antwortcodesignal wird mit Hilfe eines Demodulators 203 der induktiven Schnittstelle 200 der Sende- und Empfangsein- heit 20 demoduliert und der Vergleichseinheit 240 zugeführt.

In einer Verschlüsselungseinheit 230 der Sende- und Empfangs- einheit 20 wird in der Zwischenzeit ein Sollcodewort erzeugt.

Hierzu wird der Verschlüsselungseinheit 230 sowohl ein Ge- heimcode aus einem Geheimcodespeicher 223 als auch die in ei- nem Zufallsgenerator 221 erzeugten Synchronisationsdaten (Zufallszahl) zugeführt. Der Geheimcode sollte dabei iden- tisch mit dem Geheimcode des Codesignalgebers 10 sein. Als Synchronisationsdatum wird die gleiche Zufallszahl verwendet, da diese mit dem Fragecodesignal zu dem Codesignalgeber 10 gesendet wurde.

Das empfangene Antwortcodesignal wird mit dem Sollcodewort verglichen. Wenn die beiden Codesignale zumindest weitgehend übereinstimmen, so wird angenommen, da der Codesignalgeber 10 zu dem Diebstahlschutzsystem gehört und berechtigt ist, da sich in diesem Fall die beiden Geheimcodes als identisch er- weisen. Die Authentifikation ist damit erfolgreich. Die Weg- fahrsperre wird infolgedessen gelöst.

Sowohl im Codesignalgeber 10 als auch in der Sende- und Emp- fangseinheit 20 des Kraftfahrzeug werden identische Geheim- codes verwendet, um die Codesignale zu erzeugen. Der Geheim- code kann eine binäre Zahl sein, auf die ein mathematischer Verschlüsselungsalgorithmus (logische Operation wie bei- spielsweise eine EXOR-Verknüpfung zweier binärer Zahlen) an-

gewendet wird. Ebenso wird die Zufallszahl zum Erzeugen des Sollcodeworts verwendet.

Der Verschlüsselungsalgorithmus kann so ausgebildet sein, da sich die Codesignale zyklisch ändern, so da bei jedem Erzeu- gen eines Codesignals ein gegenüber dem unmittelbar vorange- gangenen Codesignal geändertes Codesignal erzeugt wird.

Die Länge eines Zyklus (d.h. die mögliche Wiederholbarkeit eines einmal ausgesendeten Codesignals) hängt dabei von dem Verschlüsselungsalgorithmus und den zum Verschlüsseln verwen- deten Daten (Zufallszahl) ab. So können der Geheimcode bei- spielsweise 128 Bit und die Synchronisationsdaten 32 Bit lang sein. Damit können so viele verschiedene Codesignale erzeugt werden, da der Aufwand unwirtschaftlich wird, das übertrage- ne Codesignal abzuhören und alle Möglichkeiten durchzuprobie- ren, um auf den Geheimcode zu kommen. Somit tritt eine Wie- derholung eines einmal ausgesendeten Codesignals bei Verwen- dung des Codesignalgebers 10 in einem Diebstahlschutzsystem in der Regel nicht auf. Die Zykluslänge kann durch längere Synchronisationsdaten oder Geheimcodes noch weiter vergrö ert werden. Denn je mehr Bitstellen die Zufallszahl hat, desto komplexer und sicherer wird das Diebstahlschutzsystem.

Vorteilhafterweise ist eine binäre Zufallszahl in den Syn- chronisationsdaten enthalten, die bei jeder Betätigung des Zündschalters 210 durch einen Zufallsgenerator 211 von neuem zufälligerweise erzeugt wird. Diese Zufallszahl wird auch als Startwert in einem Zähler 222 gespeichert. Die Zufallszahl kann unmittelbar nach der Modulation als Fragecodesignal aus-

gesendet werden. Auch ist es möglich, die Zufallszahl in der Verschlüsselungseinheit 230 zu verschlüsseln und anschlie end moduliert auszusenden.

Die von dem Codesignalgeber 10 empfangene Zufallszahl wird dort in dem Zähler 132 abgespeichert (eine bereits früher ge- speicherte Zufallszahl wird dann überschrieben) . Die Zufalls- zahl und der Geheimcode des Codesignalgebers 10 werden in der Verschlüsselungseinheit nach dem vorgegebenen Verschlüsse- lungsalgorithmus verschlüsselt. Somit wird das Codewort er- zeugt.

Vorzugsweise findet beim Erzeugen des Steuersignals kein Dia- log mit der Sende- und Empfangseinheit 20 stattfindet, d.h.

es wird kein Fragecodesignal empfangen. Daher bleiben die bisherigen Synchronisationsdaten (Zufallszahl) gültig. Damit auch beim Erzeugen des Steuersignals ein gegenüber dem vor- hergehenden Steuersignal verändertes Steuersignal ausgesendet wird, werden die Synchronisationsdaten durch den Zähler 132 ausgehend von dem Startwert (= Zufallszahl) bei jeder Betäti- gung eines Tastschalters S4 oder S5 durch In- oder Dekremen- tieren verändert. Der somit erhaltene Zählerstand wird nun dazu verwendet, das Codewort für das Steuersignal zu erzeu- gen.

Die Sende- und Empfangseinheit 20 im Kraftfahrzeug ist ähn- lich wie der Codesignalgeber 10 aufgebaut. Auch dort ist die Verschlüsselungseinheit 230 vorhanden, die ebenfalls ein Codewort, und zwar das Sollcodewort erzeugt. Die Synchronisa- tionsdaten kommen bei einem Frage-Antwort-Dialog (d.h. Aus-

senden des Fragecodesignals und Empfangen des Antwortcodesi- gnals) von dem Zufallsgenerator 221. Wenn unmittelbar zuvor kein Fragecodesignal ausgesendet wurde, so kommen die Syn- chronisationsdaten von dem Zähler 222. Bei Empfang eines Codesignal werden die Synchronisationsdaten dazu verwendet, das Sollcodewort durch Verschlüsseln zu erzeugen. Zwischen dem Zufallsgenerator 221 und dem Zähler 222 wird je nach Be- darf von der Ablaufsteuerung 250 hin- und hergeschaltet.

Beim Frage-Antwort-Dialog wird sowohl in der Sende- und Emp- fangseinheit 20 als auch im Codesignalgeber 10 von der glei- chen Zufallszahl ausgegangen, da die Zufallszahl zu dem Code- signalgeber 10 übertragen und dort ebenfalls gespeichert wird. Infolgedessen läuft das Diebstahlschutzsystem "synchron".

Bei Erzeugen des Steuersignal im Codesignalgeber 10 werden die Synchronisationsdaten, d.h. die Zufallszahl (= Zähler- stand) durch den Zähler 132 durch In- oder Dekrementieren verändert, da ein Tastschalter S4 oder S5 betätigt wurde. Die Synchronisationsdaten in der Sende- und Empfangseinheit 20 hingegen bleiben zunächst unverändert, da dort das Betätigen des Tastschalters S4 oder S5 des Codesignalgebers 10 nicht registriert wird. Dies ist auch der Fall, wenn jemand mit dem Codesignalgeber 10 spielt und mehrmals die Tastschalter S4 oder S5 betätigt, ohne da das Kraftfahrzeug in der Nähe ist.

Bei Empfang eines Steuersignals durch die Sende- und Emp- fangseinheit 20 wird der in dem Zähler 222 aktuell gespei- cherte Zählerstand (mit einem Startwert gleich der Zufalls-

zahl) dazu verwendet, das Sollcodewort durch Verschlüsseln zu erzeugen. Anschlie end findet ein Vergleich des Sollcodeworts mit dem empfangenen Codewort des Steuersignals statt.

Falls die beiden nicht übereinstimmen, so wird der Zähler- stand in der Sende- und Empfangseinheit 20 durch In- oder De- krementieren analog zum Zählerstand im Codesignalgeber 10 verändert. Mit dem neuen Zählerstand wird durch Verschlüsseln ein weiteres Sollcodewort erzeugt. Es findet daher erneut ein Vergleich des neuen Sollcodeworts mit dem empfangenen Code- wort statt. Wenn eine Übereinstimmung jetzt erkannt wird, so ist die Authentifikation erfolgreich. Ansonsten wird der Zäh- lerstand in der Sende- und Empfangseinheit 20 erneut verän- dert und eine weiteres Sollcodewort erzeugt.

Falls keine Übereinstimmung durch die Vergleichseinheit 240 erkannt wird, so wird dieses Verfahren fortgesetzt, jedoch sicherheitshalber nur eine begrenzte Anzahl von Verschlüsse- lungsvorgängen, d.h. es findet nur eine vorgegebene, maximale Anzahl von Vergleichsvorgängen statt, innerhalb derer eine Authentifikation erfolgreich stattfinden mu . Falls keine Au- thentifikation erfolgreich stattfindet, so wird der Codesi- gnalgeber 10 als nicht berechtigt erachtet.

Durch die vorgegebene Anzahl von Vergleichsvorgängen wird ein sogenannter Fangbereich erhalten. Innerhalb des Fangbereichs kann eine Authentifikation noch erfolgreich stattfinden, falls das Codewort des Steuersignals mit dem wiederholt neu erzeugten Sollcodewort übereinstimmt. Au erhalb des Fangbe- reichs finden keine Vergleiche des Sollcodeworts mit dem emp-

fangenen Codewort mehr statt. Die Sende- und Empfangseinheit 20 sowie der Codesignalgeber 10 laufen dann nicht mehr "synchron".

Damit eine Authentifikation wieder möglich ist, mu dann das Diebstahlschutzsystem synchronisiert werden. Dies kann durch Aussenden des Fragecodesignals geschehen. Dabei werden die Synchronisationsdaten einerseits im Zähler 222 der Sende- und Empfangseinheit 20 gespeichert und andererseits zu dem Zähler 132 des Codesignalgebers 10 übertragen und dort gespeichert.

Die neuen Synchronisationsdaten sind dann wieder Ausgangs- punkt zum Verschlüsseln, d.h. zum Erzeugen des Codeworts und des Sollcodeworts.

Wenn das empfange Codewort des Steuersignals nicht innerhalb des Fangbereichs als berechtigt erkannt wird, so kann das Diebstahlschutzsystem zunächst nicht mehr elektronisch be- dient werden. Damit der Benutzer dennoch sein Fahrzeug benut- zen kann, werden die Türschlösser auf mechanische Betätigung mit einem Schlüssel umgeschaltet. Der Benutzer kann dann die Türen mechanisch entriegelt und in sein Fahrzeug einsteigen.

Um sein Fahrzeug zu starten, mu der Benutzer die elektroni- sche Wegfahrsperre lösen. Hierzu steckt er den Zündschlüssel in das Zündschlo und dreht den Schlüssel, wodurch der Zünd- schalter 210 betätigt wird. Anschlie end findet eine Frage- Antwort-Dialog zwischen dem Codesignalgeber 10 und der Sende- und Empfangseinheit 20 statt, bei dessen erfolgreichem Ver- lauf die Wegfahrsperre gelöst wird.

Während des Frage-Antwort-Dialogs werden in dem Zufallsgene- rator 211 neue Synchronisationsdaten erzeugt und im Frage- codesignal zu dem Codesignalgeber 10 übertragen. Da die Syn- chronisationsdaten sowohl in der Sende- und Empfangseinheit 20 als auch in dem Codesignalgeber 10 gespeichert werden, findet auf diese Weise eine Synchronisation statt. Bei zu- künftig übertragenen Steuersignalen ist nun wieder eine er- folgreiche Authentifikation möglich.

Eine Synchronisation kann auch durch ein extern anschlie ba- res Diagnosegerät stattfinden. Dabei können sowohl der Code- signalgeber 10 als auch die Sende- und Empfangseinheit 20 an das Diagnosegerät angeschlossen werden. Bei Nachweis einer Berechtigung (beispielsweise durch Eingabe eine fahrzeugspe- zifische PIN-Nummer) werden neue Synchronisationsdaten sowohl in der Sende- und Empfangseinheit 20 als auch über die induk- tiven Schnittstellen 200 und 100 in den Speicher des Codesi- gnalgebers 10 gespeichert. Über das Diagnosegerät kann die Sende- und Empfangseinheit 20 auch dazu aufgefordert werden, die Synchronisationsdaten über die induktiven Schnittstellen 200 und 100 zu dem Codesignalgeber 10 zu übertragen, damit sie dort gespeichert werden.

Die Transpondereinheit 100 und 130, die Fernbedieneinheit 140 und 112 sowie die Verschlüsselungseinheit 111 sind vorteil- hafterweise als integrierte Schaltung auf einem (Si-)Halb- leiterchip ausgebildet. Dadurch werden die mechanischen Ab- messungen des Codesignalgebers 10 sehr klein. Alle Teile, die als integrierte Schaltung auf dem Halbleiterchip angeordnet sind, sind in der Figur 1 durch einen gestrichelt dargestell-

ten Rahmen umfa t. Au erhalb des Halbleiterchip sind die Tastschalter S4 und S5, der Energiespeicher 108, der Schwing- kreis 106 und 107 sowie das optische oder akustische Sendee- lement 162 und die Funkantenne 163 angeordnet. Diese Bauteile sind selbstverständlich alle mit dem Halbleiterchip elek- trisch verbunden.

Über den Schwingkreis 106, 107 wird das Fragecodesignal oder das Antwortcodesignal in Form eines hochfrequenten Magnetfel- des empfangen bzw. gesendet. Aus dem Magnetfeld kann dabei mit Hilfe der Taktrückgewinnungseinheit 103 der Takt für die Ablaufsteuereinheit 150 gewonnen werden.

Das Fragecodesignal kann auch dazu benutzt werden, Energie zu dem Codesignalgeber 10 zu übertragen. Hierzu wird die in der Spule 106 induzierte Spannung beim Empfang des Fragecodesi- gnals in dem Gleichrichter gleichgerichtet. Die so entstande- ne Gleichspannung kann dazu verwendet werden, den Energie- speicher 108 aufzuladen oder alle Bauelemente des Codesignal- gebers 10 direkt mit Energie zu versorgen. Wenn der Energie- speicher 108 weitgehend geladen ist, so wird die Aufladung vorläufig beendet. Dies wird durch die Spannungsüberwachungs- einheit überwacht. Wenn die Energie im Energiespeicher 108 unter einen Schwellwert abgesunken ist, so wird der Energie- speicher 108 wieder aufgeladen.

Das Fragecodesignal, das Antwortcodesignal und das Steuersi- gnal sind digitale Signale in binärer Form. Die logischen Zu- stände 0 und 1 von solchen Signalen haben Pegel L (Low) und H (High). Die für den Codesignalgeber 10 benötigte Energie kann

in dem Fragecodesignal oder in separat übertragenen Energie- signalen enthalten sein. Zur Energieübertragung weist das Fragecodesignal vorteilhafterweise sowohl im H als auch im L- Pegel Spannungsamplituden grö er 0V auf.

Die Signale können amplituden-, frequenz-, phasenmoduliert oder auf eine sonstige Modulationsart moduliert sein. Übli- cherweise werden das Fragecodesignal und das Antwortcodesi- gnal bei einer Trägerfrequenz von etwa 125 kHz induktiv über- tragen und das Steuersignal bei einer Trägerfrequenz von etwa 433 MHz per Funk ausgesendet.

Das Steuersignal kann auch optisch oder akustisch übertragen werden. Es kann auch gleichzeitig sowohl per Funk als auch optisch ausgesendet werden. Das Steuersignal mu nicht unbe- dingt moduliert übertragen werden. In einem solchen Fall wird das Steuersignal über einen Oszillator (statt des Modulators 161) unmittelbar der Funkantenne 163 oder dem optischen oder akustischen Sendeelement 162 zugeführt.

Selbstverständlich können auch andere Trägerfrequenzen ver- wendet werden, um die Signale moduliert zu übertragen. Die Signale können auch parallel bei zumindest zwei verschiedenen Trägerfrequenzen übertragen werden. Die Sendeleistung des Fragecodesignal kann auf den Energiebedarf des Codesignalge- bers 10 eingestellt werden. Über die Sendeleistung kann auch die Reichweite der übertragenen Signale eingestellt werden.

Die Reichweite kann auch über andere Parameter, wie Übertra- gungsart, Trägerfrequenz, usw. eingestellt werden.

Binäre Signale werden mit einer vorgegebenen elektrischen Si- gnalform, wie zum Beispiel NRZ-, RZ oder Biphase-Format, übertragen werden. Für die Anwendung von drahtlosen Daten- übertragungen in der Kraftfahrzeugtechnik hat sich das Bipha- se-Format als vorteilhaft herausgestellt. Es wird auch als Manchester-Code bezeichnet. Dabei werden die Signale mit den binären Werten 0 und 1 durch Impulse der Länge T/2 darge- stellt. Ein Signal mit dem Wert 1 wird mit einem Impuls in der ersten Hälfte der Periodendauer T und ein Signal mit dem Wert 0 durch einen Impuls in der zweiten Hälfte übertragen.

Alle übertragenen Signale können durch Startbits, Stopbit oder Paritätsbits erweitert werden. Dadurch wird die Übertra- gung sicherer. Die Signalform und der Aufbau eines übertrage- nen Datenworts (Protokoll) wird durch den Protokollgenerator 112 eingestellt. Der Protokollgenerator 112 fügt au erdem die von der Tastenabfrageeinheit 140 oder dem Datenregister 133 erhaltenen Daten zu dem in der Verschlüsselungseinheit 111 erzeugten Codewort hinzu.

Der Speicher 130 kann aus mehreren E2PROM bestehen. Sicher- heitshalber ist der Geheimcode von au en nicht auslesbar. Der Geheimcode ist nur bei nachgewiesener Berechtigung über- schreibbar. Bei Nachweis der Berechtigung wird der Schalter S3 von der Ablaufsteuereinheit 150 geschlossen und ein von dem Schwingkreis 106, 107 empfangener, neuer Geheimcode in den Geheimcodespeicher 131 eingeschrieben. Als Nachweis einer Berechtigung, d.h. zum Schlie en des Schalters S3 und zum Einschreiben eines neuen Geheimcodes, kann es vorgesehen sein, da eine bestimmter Tastschalter S4 oder Ss des Codesi-

gnalgebers 10 beispielsweise für eine vorgegebene Zeitdauer oder mehrere Male hintereinander in einem vorgegebenen Rhyth- mus betätigt wird.

Vorteilhafterweise ist das Fragecodesignal lediglich eine in dem Zufallsgenerator 211 der Sende- und Empfangseinheit 20 erzeugte binäre Zufallszahl mit beispielsweise 32 Bit Länge, die in den Zählern 222 und 132 gespeichert ist. Der Zähler- stand des Zählers 132 wird bei Betätigen eines Tastschalter S4 oder S5 um eins in- oder dekrementiert wird.

In dem Datenregister 133 können benutzer- oder fahrzeugspezi- fische Daten gespeichert sein. Ebenso können Diagnosedaten während des Betriebs des Fahrzeugs über die induktiven Schnittstellen 100 und 200 in das Datenregister 133 einge- schrieben werden. Allerdings mu dann der Codesignalgeber 10 möglichst nahe der Sende- und Empfangseinheit 20 sein. Dies ist dann der Fall, wenn der Codesignalgeber 10 auf dem Griff des Zündschlüssels angeordnet ist und der Zündschlüssel im Zündschlo steckt sowie die Spule 204 der Sende- und Emp- fangseinheit 20 um das Zündschlo angeordnet ist.

Diagnosedaten, insbesondere Fehlerdaten, werden durch eine fahrzeuginterne Diagnoseeinheit (On-board-Diagnose) ständig während des Betriebs des Kraftfahrzeugs erfa t und über die induktiven Schnittstellen 100 und 200 in das Datenregister 133 eingeschrieben. Eine Zentrale kann diese Diagnosedaten von au en über den Empfänger 260 im Kraftfahrzeug und über die induktiven Schnittstellen 100 und 200 aus dem Speicher 130 des Codesignalgebers 10 abrufen. Die Diagnosedaten können

dann entweder über die induktiven Schnittstellen 100 und 200 oder über den Sender 160 des Codesignalgebers 10 drahtlos zu der Zentrale ausgesendet werden.

Eine solche Zentrale kann sich beispielsweise in einem Fahr- zeug der Verkehrsüberwachung (Polizei) befinden, die die Dia- gnosedaten von vorbeifahrenden Fahrzeugen auf Einhaltung von Grenzwerten (wie unzulässige hohe Schadstoffwerte im Abgas) überwacht.

In den Verschlüsselungseinheiten 111 und 130 werden Daten mit einem Verschlüsselungsalgorithmus verschlüsselt. Wenn der Verschlüsselungsalgorithmus geheim ist, d.h. er kann von au- en nicht ausgelesen werden, so wird der Geheimcode nicht un- bedingt benötigt. Ist dagegen der Verschlüsselungsalgorithmus von au en relativ leicht zugänglich, so wird der Geheimcode benötigt, um Daten sicher zu verschlüsseln.

Die Verschlüsselungseinheiten 111 und 230 können hardwaremä- ig als festverdrahtete, rückgekoppelte Schieberegister aus- gebildet sein. Die Verschlüsselungseinheiten 111, 230 können auch als Mikroprozessoren oder als Kryptoprozessoren ausge- bildet sein.

Für die Erfindung ist es unwesentlich, auf welche Weise Daten verschlüsselt werden. Bei der Verschlüsselung wird ein Klar- text in der Verschlüsselungseinheit mit Hilfe des Verschlüs- selungsalgorithmus und gegebenenfalls mit Hilfe des Geheim- codes auf einen Chiffretext (Steuersignal, Codesignale) abge- bildet. Die Umkehrabbildung wird als Entschlüsselung bezeich-

net. Zum Verschlüsseln oder Entschlüsseln können verschiedene Verfahren verwendet werden.

Zum Ver- oder Entschlüsseln können auch kryptographische Ver- fahren, wie z.B. symmetrische oder asymmetrische Verfahren verwendet werden. Bei kryptographischen Verfahren werden die verschlüsselten Daten auf der Gegenseite wieder entschlüs- selt, damit sie als Klartext vorliegen. Für die Authentifika- tion genügt es jedoch, wenn die Daten auf beiden Seiten nur verschlüsselt und die beiden Ergebnisse miteinander vergli- chen werden. Bei Übereinstimmung ist sichergestellt, da ein berechtigter Codesignalgeber 10 ein Codewort ausgesendet hat.

Hierzu kann entweder festgestellt werden, ob der Verschlüsse- lungsalgorithmus oder der geheime Schlüssel auf beiden Seiten identisch ist oder ob das empfangene Codewort korrekt ist.

Eine Entschlüsselung wird daher nicht unbedingt benötigt.

Bei den kryptographischen Verfahren können öffentliche (public key) oder auch geheime Schlüssel (secret key = Ge- heimcode) zum Ver- und Entschlüsseln verwendet werden. Hierzu werden sogenannte Kryptoprozessoren verwendet. Allen Ver- schlüsselungsverfahren ist gemeinsam, da ein "Knacken" der übertragenen, verschlüsselten Signale durch Abhören der Da- tenkommunikation und das Auswerten der Daten nur mit unver- tretbar hohen Aufwand möglich ist. Somit eignen sich solche Verschlüsselungsverfahren vorzugsweise für ein Diebstahl- schutzsystem eines Kraftfahrzeugs.

Der Codesignalgeber 10 kann beispielsweise auf eine Schlüs- selgriff eines Tür- oder Zündschlüssels angeordnet sein.

Ebenso eignet sich eine Chipkarte oder eine sogenannte Smart Card dazu, den Codesignalgeber 10 aufzunehmen. Ein Benutzer kann den Codesignalgeber 10 bequem bei sich tragen, da er sehr klein ausgebildet ist. Je nach Anforderung kann der Codesignalgeber 10 mehr oder weniger Tastschalter S4, S5 auf- weisen. So kann je nach Anforderung ein Tastschalter zum Ver- riegeln aller Türen, ein anderer Tastschalter zum Entriegeln nur einer Tür, ein Tastschalter zum Verriegeln aller Türen, ein Tastschalter zum Aussenden eines Notrufs, ein Tastschal- ter zum Ver-/Entriegeln des Kofferraums, ein Tastschalter zum Öffnen/Schlie en der Fenster/Schiebedach/Verdeck ein Tast- schalter zum Entriegeln der Türen eines Gebäudes, ein Tast- schalter zum Einschalten der Beleuchtung des Gebäudes, ein Tastschalter zum Öffnen der Garage, usw. vorhanden sein.

Mit diesem erfindungsgemä en Codesignalgeber 10 wird keine eigene Codier- oder Verschlüsselungseinheit zum Erzeugen des Steuersignals benötigt. Sowohl die Transpondereinheit als auch die Fernbedieneinheit greifen auf dieselbe Verschlüsse- lungseinheit 111 zu.

Der erfindungsgemä e Codesignalgeber 10 kann nicht nur für ein Diebstahlschutzsystem eines Kraftfahrzeugs verwendet wer- den, sonder auch für andere Anwendungen, bei denen eine Au- thentifikation mit einem Frage-Antwort-Dialog zwischen zwei Einheiten (bidirektionale Kommunikation) und eine unidirek- tionale Fernsteuerung stattfinden.

Unter dem Begriff "Wegfahrsperre" sind alle Vorrichtungen im Kraftfahrzeug zu verstehen, die ein Benutzen des Kraftfahr-

zeug verhindern können. Diese Vorrichtungen werden nur dann freigegeben, wenn zuvor eine Authentifikation erfolgreich stattgefunden hat. In eine Wegfahrsperre kann beispielsweise ein Motorsteuergerät, eine Absperrventil für die Kraftstoff- zufuhr, ein Schalter zum Zuschalten der Batterie, ein Getrie- besteuergerät, ein Schalter zum Einschalten des Zündkreises, ein Bremssteuergerät, die Lenkung, usw. einbezogen werden.

Unter dem Begriff "Transpondereinheit" ist eine Vorrichtung zu verstehen, die ein Signal empfängt und daraufhin automa- tisch ein Signal zurücksendet.

Das Fragecodesignal, das Antwortcodesignal und das Steuersi- gnal sind Codesignale, die jeweils ein Codewort aufweisen.

Das Codewort ist ein binär codiertes Signal, das viele Bit- stellen aufweist. Durch das Verschlüsseln ändert sich das Codewort bei jedem neuen Verschlüsselungsvorgang. Dem Code- wort können mehrere Bit vorausgehen oder nachfolgen, die ge- gebenenfalls zu einer sicheren Datenübertragung benötigt wer- den. Das Codewort wird mit einem Sollcodewort verglichen.