Die Erfindung betrifft eine Datenübertragungsvorrichtung in einem Fahrzeug, bestehend aus einem Impulsgeber und einem Kontrollgerät, sowie einen Impulsgeber für das Kontrollgerät.

Impulsgeber werden üblicherweise in ein Fahrzeuggetriebe eingebracht und generieren durch eine in Abhängigkeit von der Zeit vorgenommene Erfassung des Wechsels von Zahn und Zahnlücke eines rotierenden Getrieberades ein zur Fahrzeuggeschwindigkeit proportional moduliertes elektrisches Signal. Dieses Signal wird einem Kontrollgerät zur Aufzeichnung und Auswertung zugeleitet, das im Straßenverkehr beispielsweise als Fahrtschreiber, Taxameter, Logbuch oder ähnliche Einrichtung ausgebildet ist.

Derartige Impulsgeber besitzen zumeist neben dem Sensorelement eine Schaltungsanordnung für eine erste Signalaufbereitung und einen Signaltreiber, um das vom Sensorelement erfaßte und für zahlreiche Störeinflüsse zunächst noch anfällige Signal für eine leitungsgebundene Übertragung an das Kontrollgerät in dem rauhen Milieu eines Fahrzeugs transportfähig aufzubereiten. Die Stromversorgung der Elektronik des Impulsgebers erfolgt dabei in der Regel vom Kontrollgerät aus über elektrische Verbindungsleitungen.

Bei einer Ausbildung des Kontrollgerätes als Fahrtschreiber wird das vom

Impulsgeber erfaßte Signal zur Überwachung der Einhaltung der gesetzlichen Sozialvorschriften bezüglich der Lenkzeiten und Ruhezeiten des Fahrzeugführers und/oder der Einhaltung der Straßenverkehrsordnung hinsichtlich der für das

Fahrzeug maximal zulässigen Geschwindigkeit ausgewertet. Aufgrund dieser Zweckbestimmung ist das vom Impulsgeber erfaßte Signal erfahrungsgemäß oft Gegenstand diverser Manipulationen, wobei zumeist versucht wird, auf die Übertragungsstrecke des Signals vom Impulsgeber an das Kontrollgerät unberechtigten Einfluß zu nehmen. Bislang angewandte Gegenmaßnahmen, die vorsehen, ein zum erfaßten Signal invertiertes Signal simultan über eine weitere, zusätzlich zur Signalleitung vorgesehene parallele Leitung zu übertragen und im Kontrollgerät beide Signale vergleichend auszuwerten, haben sich als unzureichend erwiesen, da Vorrichtungen bekannt geworden sind, die bei ihrer Einbringung in die Übertragungsstrecke vom Impulsgeber zum Kontrollgerät diesen Doppelimpuls zu simulieren vermögen, ohne daß der gesetzwidrige Eingriff durch Registrierung im Kontrollgerät nachweisbar ist.

Es ist nun die Aufgabe der vorliegenden Erfindung, eine aus einem Impulsgeber und einem Kontrollgerät bestehende Datenübertragungsvorrichtung in einem Fahrzeug in ihrer Sicherheit bezüglich des zu übertragenden Signals zu verbessern und eine dafür geeignete Ausbildung des Impulsgebers aufzuzeigen.

Die Aufgabe wird durch die Merkmale der nebengeordneten Ansprüche 1 und 8 gelöst. Die jeweils davon abhängigen Ansprüche zeigen vorteilhafte Ausgestaltungen und Weiterbildungen der gefundenen Lösung.

Die gefundene Lösung hat den Vorteil, zur bisher üblichen Vier-Leiter-Technik für die Ubertragungsstrecke vom Impulsgeber zum Kontrollgerät kompatibel zu sein, denn nach wie vor werden zwei Leitungen zur Stromversorgung und nur zwei weitere Leitungen für die Signalübertragung benötigt. Dadurch, daß die einst zur Übertragung des invertierten Signals benutzte Signalleitung jetzt als Datenleitung - vorzugsweise für eine bidirektionale Datenübertragung - verwendet wird, sind keine mehradrigen, teureren Leitungen erforderlich. Deshalb kann die gefundene Datenübertragungsvorrichtung durch Austausch des Impulsgebers und des Kontrollgerätes im vorhandenen Fahrzeugbestand verhältnismäßig leicht nachgerüstet werden, ohne daß Kosten für eine aufwendige neue Leitungsverlegung entstehen.

Ein weiterer Vorteil besteht darin, daß dadurch, daß das vom Sensorelement des Impulsgebers erfaßte Signal auch weiterhin unmittelbar nach seiner Erfassung, dh in Form eines Echtzeitsignals übertragen wird, die herkömmliche Art der Signalaufbereitung im Impulsgeber und im Kontrollgerät beibehalten werden kann. So können bewährte Schaltungstechniken weiter verwendet werden, was den Entwicklungsaufwand zur Schaffung der aufgabengemäß angestrebten Datenübertragungsvorrichtung reduziert. Vorhandene Systemkomponenten werden vorteilhaft ergänzt, was zu einer kostengünstigen Realisierung führt und eine schnellere Kundenakzeptanz erwarten läßt.

Besonders vorteilhaft ist, daß das als verschlüsseltes Signal aufbereitete Datensignal nicht zeitgleich mit dem als Echtzeitsignal vorliegenden unverschlüsselten Signal übertragen werden muß, weil es in der Praxis ausreicht, wenn die Manipulationsprüfung nur bei Bedarf erfolgt. Dadurch ist es nicht erforderlich, die im Kontrollgerät vorhandenen Hardware-Resourcen leistungsstärker auszulegen, sondern eine problemlose Einbindung der gefundenen Lösung in die im Kontrollgerät vorhandene Logikeinheit ist möglich. Auch im Impulsgeber können die neuen Funktionen durch Implementierung verhältnismäßig einfacher Baugruppen realisiert werden, so daß die vorgeschlagene Datenübertragungsvorrichtung in allen ihren Bestandteilen kostengünstig herstellbar ist.

Weil die Manipulationsprüfung nur bei Bedarf erfolgt, kann die Datenübertragungsrate gering gewählt werden, wodurch zur Anbindung der Datenleitung nur recht leicht erfüllbare Anforderungen an die im Impulsgeber und im Kontrollgerät vorzusehenden Datenschnittstellen gestellt werden. Im übrigen führt eine geringe Datenübertragungsrate auch zu einer Erhöhung der Zuverlässigkeit einer Schnittstelle. Die Beibehaltung des Echtzeitsignals trägt ferner zur Funktionsstabilität der Datenübertragungsvorrichtung bei, denn selbst wenn die Elektronik zur Erzeugung des verschlüsselten Signals einmal ausfallen sollte, steht dennoch durch das fortlaufend übertragene Echtzeitsignal ein hinsichtlich der eingangs genannten Kriterien auswertbares Signal zur Verfügung, auch wenn bei

diesem teilweisen Systemausfall ein Manipulationsnachweis nun nicht mehr führbar ist.

Durch die Trennung der Übertragung des Echtzeitsignals vom Verschlüsselungsverfahren ist es möglich, die Taktfrequenz der Kodierschaltung im Impulsgeber verhältnismäßig niedrig zu halten, was sich sehr günstig auf das elektromagnetische Strahlungsverhalten, auf den Stromverbrauch und vor allem auf die Verlustleistung auswirkt. Denn die Abstrahlung elektronischer Logikbausteine ist um so intensiver, desto höher die Taktfrequenz ist. Des weiteren verhält sich auch die Verlustleistung direkt proportional zur Taktfrequenz.

Tatsächlich ist es so, daß dadurch, daß im Impulsgeber verhältnismäßig einfache Baugruppen eingesetzt werden können, eine Datenübertragungsvorrichtung mit den angestrebten Eigenschaften bezüglich der Übertragungssicherheit unter den extremen Umweltbedingungen in einem Fahrzeug erst möglich wird. Denn ein in einem Fahrzeuggetriebe eingebrachter Impulsgeber arbeitet im oberen Temperaturbereich der üblichen Spezifikation elektronischer Silizium-Bauelemente. Für Halbleiterbauelemente gilt, daß sie bei sehr hohen Betriebstemperaturen zwar nicht notwendigerweise schlagartig ausfallen, daß ihre Lebensdauer aber dadurch reduziert werden kann. Um dennoch die erforderliche Funktionssicherheit zu gewährleisten, ist die durch die Schaltungsanordnung in ihrem Betrieb erzeugte Stromwärme unbedingt gering zu halten, was insbesondere durch die besondere Art der verwendeten Bauelemente und einen niedrigen Systemtakt erreicht wird.

Die im Impulsgeber zur Realisierung der gefundenen Lösung erforderlichen

Bauelemente benötigen nicht viel Platz, so daß die Geometrie heutiger Impulsgeber beibehalten werden kann. Dieses kommt dem Umstand entgegen, daß der in Fahrzeuggetrieben für die Anbringung eines Impulsgebers zur Verfügung stehende Bauraum äußerst begrenzt ist.

Eine vorteilhafte Ausgestaltung der Kodierschaltung im Impulsgeber sieht vor, diese durch ein Mikrocontrollersystem zu realisieren. Wenn die Datenleitung vom Impulsgeber zum Kontrollgerät bidirektional ausgeführt ist, kann das Kontrollgerät

den Impulsgeber über diese Leitung zur Übersendung der zwischengespeicherten Daten auffordern. Alternativ kann die Übertragung der verschlüsselten Daten vom Impulsgeber zum Kontrollgerät aber auch nach anderen Kriterien gesteuert werden.

Vorzugsweise wird das vom Impulsgeber erfaßte Signal mit dem standardisierten DES-Verschlüsselungsverfahren (Data Encryption Standard) verschlüsselt, weil dieses Verschlüsselungsverfahren nach dem heutigen Stand der Technik als äußerst sicher gilt. Die Sicherheit dieses Verschlüsselungsverfahren beruht auf der praktischen Unmöglichkeit, aus der Kenntnis der verschlüsselten und unverschlüsselten Nachricht den Schlüssel zu berechnen.

Da gleiche Erfassungssignale auch immer gleiche verschlüsselte Nachrichten erzeugen, kann überdies vorgesehen werden, einen vom Kontrollgerät generierten Zufallswert zusätzlich zum Erfassungssignal verschlüsselt zu übertragen. Dadurch wird nach außen jeder systematische Zusammenhang zwischen einem unverschlüsseltem und einem verschlüsselten Signal vermieden. Auch könnten zur weiteren Erhöhung der Datensicherheit die Schlüssel des Verschlüsselungsverfahrens während des Betriebes der Datenübertragungsvorrichtung immer wieder einmal getauscht werden.

Die Funktionssicherheit des Mikrocontrollersystems kann dadurch noch erhöht werden, daß die Merkmale einer Watchdogfunktion und die eines Power-On-Resets realisiert werden. Immer dann, wenn das Mikrocontrollersystem durch eine Manipulation oder durch sonstige Störeinflüsse, zB Störeinstrahlungen (EMV), gestört wurde, muß es nach Beendigung der Störung wieder in einen stabilen definierten Zustand gebracht werden. Das Kontrollgerät erkennt eine Störung daran, daß eine ordnungsgemäße Kommunikation mit dem Impulsgeber nicht möglich ist.

Der Power-On-Reset spricht bei Spaπnungsunterbrechung oder bei Unterspannung in der Versorgungsleitung an und ist in Verbindung mit dem Netzteil des

Impulsgebers zu realisieren. Für die Realisierung der Watchdogfunktion sind zwei Varianten möglich. Entweder wird die auf das Mikrocontrollersystem gerichtete Watchdogfunktion intern im Impulsgeber verwirklicht, so daß beim Ausfall des

Mikrocontrollersystems ein Reset-Befehl ausgelöst wird, der das Mikrocontrollersystem neu initialisiert. Oder die Watchdogfunktion wird vom Kontrollgerät wahrgenommen, indem das Kontrollgerät dann die Initialisierung des Mikrocontrollersystems des Impulsgebers veranlaßt, wenn Signalmeldungen vom Mikrocontrollersystem ausbleiben. Dazu zieht das Kontrollgerät die Datenleitung für eine gewisse Zeit auf ihren unteren Signalpegel (LOW). Wenn das der Fall ist, spricht im Impulsgeber ein Monoflop an, das einen Steuerimpuls als Reset-Befehl zur Initialisierung des Mikrocontrollersystems auslöst.

Anhand eines vereinfachten Blockschaltbildes gemäß der anliegenden Figur sollen die einzelnen Merkmale der vorgeschlagenen Datenübertragungsvorrichtung sowie ihre Arbeitsweise nochmals kurz erläutert werden.

Ein Impulsgeber 1 ist über eine zweiadrige Versorgungsleitung 18, eine Signalleitung 9 und eine Datenleitung 19 mit einem Kontrollgerät 20 verbunden. Der Impulsgeber 1 besitzt ein Sensorelement 2 zur Erfassung der Drehfrequenz eines Getriebezahnrades, eine Schaltungsanordnung 3 für eine erste Signalaufbereitung des vom Sensorelement 2 erfaßten Signals und einen Signaltreiber 4 zur Verstärkung dieses Signals. Das Sensorelement 2 kann zB ein Hall-Element sein. Das vom Sensorelement 2 generierte Signal wird vorteilhafterweise in ein aus Rechteckimpulsen bestehendes Frequenzsignal umgeformt und als solches vom Signaltreiber 4 über die Signalleitung 9 an das Kontrollgerät 20 gesendet. Im Kontrollgerät 20 ist eine Schaltungsanordnung 12 vorgesehen, die das gesendete Impulssignal empfängt und zur Registrierung an eine Logikeinheit 14 weiterleitet. Die Registrierung beinhaltet eine zeitbezogene Zählung der empfangenen Impulse. Der Signaltreiber 4 und die Schaltungsanordnung 12 bilden die Schnittstellen der Signalleitung 9.

Sowohl im Kontrollgerät 20 als auch im Impulsgeber 1 sind jeweils Netzteile 5 und 16 vorgesehen, die durch eine in der Regel zweiadrige Versorgungsleitung 18 miteinander verbunden sind. Die elektrische Energie zum Betrieb der Elektronik im Impulsgeber 1 wird vorzugsweise vom Kontrollgerät 20 bereitgestellt. Es ist vorteilhaft, das Netzteil 5 des Impulsgebers 1 um eine Schaltungsanordnung 6 zur

Spannungsüberwachung, zB einen integrierten Spannungsregler, und um Mittel zur Auslösung eines Power-On-Resets zu erweitern.

Erfindungsgemäß wird das in der Schaltungsanordnung 3 aufbereitete Signal auch einer Kodierschaltung 7 zugeführt, die vorzugsweise als ein Mikrocontrollersystem ausgebildet ist. In der Kodierschaltung 7 werden die Rechteckimpulse des Signals in einem Zählregister zunächst aufsummiert. Wenn das Kontrollgerät 20 zur Übertragung des Zählerstandes auffordert, wird der Zählerstand beispielsweise mit dem standardisierten DES-Verschlüsselungsverfahren verschlüsselt und dem Kontrollgerät über eine als Sende- und Empfangsschaltung ausgebildete Schnittstelle 8 zugesendet.

Nachdem das über die Datenleitung 19 gesendete Signal von der ebenfalls als Sende- und Empfangsschaltung ausgebildeten Schnittstelle 13 im Kontrollgerät 20 empfangen worden ist, wird es an die Logikeinheit 14 des Kontrollgerätes zur

Dekodierung weitergeleitet, damit anschließend im Vergleicher 15 die Echtheit des zuvor über die Signalleitung 9 übermittelten Signals ermittelt werden kann. Dazu wird der über die Datenleitung 19 empfangene und anschließend entschlüsselte Zählerstand mit Bezug auf einen definierten Zeitraum mit demjenigen Zählerstand verglichen, der sich durch die Registrierung der über die Signalleitung 9 übertragenen Rechteckimpulse in dem Speicher des Kontrollgerätes 20 ergeben hat. Die Baugruppe 17 bezeichnet zusammenfassend alle Mittel, die zur Realisierung der übrigen Funktionen des Kontrollgerätes erforderlich sind, auf die hier aber nicht näher eingegangen wird, weil sie mit dem Gegenstand der Erfindung nicht in direktem Zusammenhang stehen.

Unter der Initialisierung der Datenübertragungsvorrichtung soll die Übertragung des Schlüssels vom Kontrollgerät 20 an den Impulsgeber 1 verstanden werden. Der Vorgang der Initialisierung unterscheidet sich demnach vom Betrieb der Datenübertragungsvorrichtung.

Sowohl in der Kodierschaltung 7 des Impulsgebers 1 als auch in der Logikeinheit 14 des Kontrollgerätes 20 ist ein Masterschlüssel hinterlegt. Bei der Initialisierung der

Datenübertragungsvorrichtung wird in der Logikeinheit 14 des Kontrollgerätes 20 ein neuer zufälliger Schlüssel generiert. Dieser neue Schlüssel wird unter Zuhilfenahme des Masterschlüssels in der Logikeinheit 14 verschlüsselt und über die Datenleitung 19 zum Impulsgeber 1 übertragen. Der neue Schlüssel wird im Impulsgeber 1 anhand des dort hinterlegten Masterschlüssels entschlüsselt und in einem zur Kodierschaltung 7 gehörenden Speicher hinterlegt. Der neue Schlüssel wird erst dann gültig, wenn er vom Kontrollgerät 20 bestätigt wird (Semaphore-Prinzip). Hierzu wird im Impulsgeber 1 der Masterschlüssel mit dem neuen Schlüssel verschlüsselt und nach Aufforderung durch das Kontrollgerät 20 an das Kontrollgerät 20 übertragen. Erst nach einer im Kontrollgerät 20 durchgeführten Überprüfung wird bei positivem Ergebnis der neue Schlüssel durch eine Meldung an die Kodierschaltung 7 des Impulsgebers 1 bestätigt, wodurch im Impulsgeber 1 die Freischaltung des „Betriebsmode " erfolgt.

Im weiteren wird davon ausgegangen, daß der Speicher im Impulsgeber als Zählregister ausgebildetet ist, was einer bevorzugten Ausführung entspricht. Während des Betriebs der Datenübertragungsvorrichtung sind für den Datenverkehr auf der Datenleitung 19 im wesentlichen nur zwei Befehle erforderlich, die von der Logikeinheit 14 des Kontrollgerätes 20 zur Steuerung des Verhaltens der Kodierschaltung 7 im Impulsgeber 1 an die Kodierschaltung 7 gerichtet werden. Es sind Befehle, die 1.) den Zählerstand aus dem Zählregister auslesen und verschlüsseln sowie 2.) den verschlüsselten Zählerstand übertragen. Auch für die Schlüsselübertragung sind nur drei Befehle erforderlich, nämlich 3.) ein Befehl, um einen verschlüsselten Schlüssel in Empfang zu nehmen, zu dekodieren und den Masterschlüssel mit dem neuen Schlüssel zu kodieren, 4.) ein Befehl, um den verschlüsselten Masterschlüssel zurückzusenden sowie 5.) ein Befehl, um den neuen Schlüssel zu bestätigen. Somit kann sich die Kommunikation zwischen dem Impulsgeber 1 und dem Kontrollgerät 20 auf insgesamt fünf Befehle beschränken. Im Blockschaltbild wird das Signal, das von der Logikeinheit 14 des Kontrollgerätes 20 an die Kodierschaltung 7 im Impulsgeber 1 über die Datenleitung 19 übertragen wird und Befehle und Daten beinhaltet, unter dem Bezugszeichen 10 zusammengefaßt. Das in umgekehrter Richtung übertragene, nur Daten enthaltene Signal ist mit dem Bezugszeichen 11 bezeichnet. Das Kontrollgerät 20 wirkt somit gegenüber dem

Mikrocontrollersystem im Impulsgeber 1 als Master, denn das Mikrocontrollersystem des Impulsgebers reagiert wie ein Slave nur nach Aufforderung von außen durch zugeleitete Befehle.

Die erfindungsgemäß ausgebildete Datenübertragungsvorrichtung erkennt, ob die Signalleitung oder die Datenleitung auf definierte Pegel gelegt werden, ob die Signalleitung oder die Datenleitung auf einen zweiten (systemfremden) Impulsgeber umgeschaltet werden, ob das Gebersignal fremdeingespeist wird, ob in der Datenleitung oder der Signalleitung ein Impulsteiler zwischengeschaltet ist, ob das auf der Signalleitung oder auf der Datenleitung übertragene, Daten enthaltene Signal zwecks Abhörung über längere Zeit umgeleitet worden ist und, falls das Netzteil 5 des Impulsgebers 1 mit einer Schaltungsanordnung 6 zur Spannungsüberwachung erweitert ist, ob in der Versorgungsleitung die Versorgungsspannung in ihrer Amplitude, zB durch ein zwischengeschaltetes Potentiometer, abgeschwächt wird.

Eine mit den vorgeschlagenen Merkmalen ausgestattete Datenübertragungsvorrichtung erkennt deshalb jede gängige Manipulation an irgendeiner ihrer Verbindungsleitungen, da nach der Initialisierung der Datenübertragungsvorrichtung Impulsgeber und Kontrollgerät durch Festlegung, Übertragung und Überprüfung eines Identifikationsmerkmals einander unverwechselbar zugeordnet sind.