Die Erfindung betrifft ein Wegfahrsperre gemäß Oberbegriff von Patentanspruch 1.

Eine Wegfahrsperre ist eine Steuereinheit, die ein Kraftfahr¬ zeug vor unberechtigtem Benutzen sichert. Hierzu wird von ei¬ nem Zündschlüssel mit einem Transponder oder von einem trag¬ baren Transponder in Form einer Chipkarte ein Benutzercode an die Wegfahrsperre geschickt. Nur wenn der Benutzer berechtigt ist, läßt sich das Kraftfahrzeug starten. Bei Übereinstimmung des Benutzercodes mit einem Berechtigungscode wird beispiels¬ weise die Motorsteuerung aktiviert. Durch den Versuch, dies mit nicht berechtigten Schlüsseln, Transponder oder durch Überbrücken der Wegfahrsperre zu erreichen, wird die Motor¬ steuerung hingegen nicht freigegeben.

Durch Austausch des Motorsteuergerät und Überbrücken der Weg¬ fahrsperre läßt sich das Kraftfahrzeug dennoch auf Dauer be- nutzten.

Der Erfindung liegt das Problem zugrunde, eine Wegfahrsperre zu schaffen, die höchste Sicherheit vor unbefugtem Benutzen eines Kraftfahrzeugs - selbst bei Austausch von Steuergeräten - bietet, wobei die Verfügbarkeit des Kraftfahrzeugs gewähr¬ leistet sein soll.

Dieses Problem wird erfindungsgemäß durch die Merkmale des .Anspruchs 1 und durch ein Verfahren nach Anspruch 6 gelöst.

Bei dieser Lösung weisen mehrere Steuergeräte, beispielsweise zum Steuern der Luftmenge, der Kraftstoffeinspritzung, der

Zündung, des Getriebes, eines Airbags oder der Zentralverrie¬ gelung, jeweils einen Kennungscode auf, der bei Aufforderung durch die Wegfahrsperre über eine Datenleitung an eine Prüf- einheit geschickt und dort mit einem Sollcode verglichen wird. Falls nicht mindestens eine vorgegebene Anzahl von Steuergeräten mit ihrem Kennungscode oder gar nicht antwor¬ tet, dann verbleiben alle oder ein Teil der Steuergeräte in einem inaktiven Zustand, so daß das Kraftfahrzeug nicht ge¬ startet oder gefahren werden kann.

Zum unberechtigten Benutzen des Kraftfahrzeug müßten nun schon alle Steuergeräte ausgetauscht werden, was allerdings sehr aufwendig ist.

Vorteilhafte Ausgestaltungen der Erfindung sind in den Unter¬ ansprüchen gekennzeichnet. Dabei kann die Prüfeinheit in ei¬ nem Steuergerät untergebracht sein. Mit einem Kennungscodege- ber können die Steuergeräte oder ausgetauschte Steuergeräte initialisiert werden. Bei dieser Wegfahrsperre wird vorüber- gehend toleriert, daß nicht zum Betrieb des Kraftfahrzeugs unbedingt notwendige Steuergeräte ausgefallen sind, sie müs¬ sen jedoch nach einer Zeitdauer ausgetauscht werden, da an¬ sonsten das Kraftfahrzeug von der Prüfeinheit in einen inak¬ tiven Zustand gebracht wird. Dies hat den Vorteil, daß das Kraftfahrzeug noch gestartet und zu einer Werkstatt gebracht werden kann, wenn ein - und zwar ein nicht zum Betrieb unbe¬ dingt notwendiges - Steuergerät oder die Prüfeinheit selber defekt ist und ausgetauscht werden muß. Die Prüfeinheit kann ein selbständiges, zum Betrieb des Kraftfahrzeugs unbedingt notwendiges Steuergerät sein. Sie kann aber auch in einem oh¬ nehin vorhandenen Steuergerät untergebracht sein.

Die Anzahl der Startvorgänge kann durch einen Zähler aufad¬ diert werden. Die Prüfeinheit versetzt das Kraftfahrzeug in einen inaktiven Zustand, falls der Zählerstand nicht von'Zeit

zu Zeit von einer externen und autorisierten RESET-Einheit auf Null zurückgesetzt wird.

Ein Ausführungsbeispiel der Erfindung ist im folgenden unter Bezugnahme auf die schematische Zeichnung näher erläutert. Es zeigen:

Figur 1: eine Teilansicht einer erfindungsgemäßen Wegfahr¬ sperre Figur 2: ein Blockdiagramm der Wegfahrsperre und

Figur 3: ein Ablaufdiagramm eines Verfahrens zum Betreiben der Wegfahrsperre

Eine Wegfahrsperre für ein Kraftfahrzeug kann das bestim- mungsgemäße Benutzen eines Kraftfahrzeugs durch einen unbe¬ rechtigten Benutzer verhindern. Eine Prüfeinheit P (Figur 1) der Wegfahrsperre kann in einem Gehäuse an dem Zündschloß Z des Fahrzeugs angeordnet sein. Sobald ein Zündschlüssel ZS im Schloß steckt und betätigt wird, wird durch die Wegfahrsperre die Berechtigung des Benutzers in der Prüfeinheit P über¬ prüft.

Hierzu wird von einem Transponder G (Benutzercodegeber) , der mit dem Zündschlüssel verbunden ist, ein Benutzercodewort (im folgenden als Benutzercode bezeichnet) an eine Sende- und Empfangsantenne E der Wegfahrsperre drahtlos übermittelt. Wenn mehrere Benutzer berechtigt sein sollen, so haben sie alle einen eigenen Zündschlüssel ZS mit jeweils eigenen Be¬ nutzercodes. Die Prüfeinheit P vergleicht den Benutzercode mit einem in der Prüfeinheit P gespeicherten Berechtigung¬ scodewort (im folgenden als Berechtigungscode bezeichnet) . Bei Übereinstimmung kann das Fahrzeug zum bestimmungsgemäßen Gebrauch freigegeben werden. Hierzu kann beispielsweise das Motorsteuergerät, das im ungeprüften Zustand gesperrt ist, entriegelt werden, so daß der Motor gestartet werden kann.

Damit die Wegfahrsperre nicht durch Austausch der Motorsteue¬ rung allein umgangen werden kann, ist die Prüfeinheit P mit weiteren Steuergeräten Sj_ und Fj (Figur 2, mit i = 1 bis m und j = 1 bis n, S _j _ sind betriebsrelevante Steuergeräte, wie Motorsteuerung, und Fj sind nicht betriebsrelevante Steuerge¬ räte, wie z.B. Airbag-Steuergerät) im Kraftfahrzeug über eine Datenleitung BUS verbunden. Alle Steuergeräte S± und Fj sind ohnehin vorhanden, z.B. Zünd-, ABS-, ZentralVerriegelung-, Getriebe, Niveausteuergerät, usw., und werden beim Versuch, das Kraftfahrzeug zu starten durch die Wegfahrsperre über¬ prüft. Bei unberechtigter Benutzung bleiben die betriebsrele¬ vanten Steuergeräte gesperrt, so daß das Kraftfahrzeug nicht in Gang gesetzt werden kann. Um die Wegfahrsperre zu umgehen, müßten nun alle Steuergeräte Si und Fj ausgetauscht werden.

Die Wegfahrsperre ist ein Sicherheitssystem bestehend aus der Prüfeinheit P mit ihrer Sende- und Empfangseinheit E, den Steuergeräten S-^ und Fj, die über die Datenleitung BUS mit der Prüfeinheit P verbunden sind, sowie mehreren tragbaren Benutzercodegebern.

In jedem Steuergerät S^ und Fj ist ein Kennungscodewort (im folgenden als Kennungscode bezeichnet) gespeichert, das jeweils von der Prüfeinheit P abgefragt wird, um zu verhindern, daß mit einem Kennungscode versehene Steuergeräte Si und Fj unerlaubterweise gegen nicht codierte Steuergeräte ausgetauscht werden. Wenn die Kennungscodes überprüft und alle berechtigt sind, so kann das Kraftfahrzeug durch Aktivieren zumindest eines betriebsrelevanten Steuergeräts S^ in Gang gesetzt werden. Anhand der Figuren 2 und 3 wird die Wegfahrsperre und das Verfahren zu ihrem Betreiben näher erläutert.

Wenn ein Benutzer mit einem Benutzercodegeber Gjς (im Ausfüh- rungsbeispiel mit k = 1 bis 3) , z.B. in Form eines Zünd¬ schlüssels ZS, der einen Transponder G aufweist, oder in Form

einer Chipkarte mit einem Transponder, das Fahrzeug benutzen möchte, so muß ein Dialog zwischen der Wegfahrsperre und dem Benutzercodegeber Gj stattfinden. Der Dialog kann beispiels¬ weise durch Drehen des Zündschlüssels ZS im Zündschloß Z aus- gelöst werden. Dabei wird überprüft, ob der Benutzercodegeber Gj _ζ berechtigt ist, das Fahrzeug zu starten. Hierzu wird der Benutzercode mit dem Berechtigungscode in der Prüfeinheit P verglichen.

Wenn beide Codes übereinstimmen, so wird ein Anforderungssi¬ gnal über die Datenleitung BUS der Reihe nach an alle oder nur einen Teil der angeschlossenen Steuergeräte Sj_ und F _j ge¬ schickt. Diese empfangen das Anforderungssignal und werden dadurch veranlaßt, mit ihrem Kennungscode zu antworten. In der Prüfeinheit P wird dann registriert, ob und mit welchem Kennungscode die Steuergeräte S^ und Fj geantwortet haben. Hierzu werden die empfangenen Kennungscodes mit Sollcodewor¬ ten (Sollcodes) verglichen. Falls alle Steuergeräte Sj_ und Fj richtig geantwortet haben, wird - gesteuert durch die Prüf- einheit P - ein Freigabesignal an das oder die Steuergeräte Si geschickt, wodurch ein Starten des Kraftfahrzeug ermög¬ licht wird. Ansonsten verbleiben die Steuergeräte Si in einem inaktiven Zustand.

Die betriebsrelevanten Steuergeräte S^, d.h. die Steuerge¬ räte, die unbedingt zum Betrieb des Kraftfahrzeugs notwendig sind, werden beim Abstellen des Kraftfahrzeugs in einen inak¬ tiven Zustand versetzt. Zu den betriebsrelevanten Steuergerä¬ ten gehört auch die Prüfeinheit P, die ebenfalls im Ruhezu- stand des Kraftfahrzeugs gesperrt ist. Der inaktive Zustand kann nur durch einen berechtigten Benutzer wieder aufgehoben werden.

Falls eines der Steuergeräte Fj, das nicht unbedingt zum Betrieb des Kraftfahrzeugs nötig ist, defekt ist und eröetzt werden muß, so kann es auf das Anforderungssignal gar nicht

oder nur mit einem falschen Kennungscode antworten. Dies wird von der Prüfeinheit P erkannt. Der Fahrer wird durch ein optische oder akustische Anzeige gewarnt und auf die Notwendigkeit hingewiesen, daß das Kraftfahrzeug nur noch für eine kurze Dauer, beispielsweise für eine bestimmte Fahrtstrecke, eine vorgegebene Zeitdauer oder eine Anzahl von StartVorgängen, in Betrieb sein wird. Das Kraftfahrzeug kann somit z.B. aus dem Urlaub heimgeholt werden, damit es in der heimischen Werkstätte repariert und das defekte Steuergerät Fj ausgetauscht werden kann. Falls das defekte Steuergerät Fj nicht ausgetauscht wird, wird das Kraftfahrzeug nach Ablauf der Dauer durch die Prüfeinheit P still gelegt.

Aus diesem Grund genügt es, wenn bei der Abfrage nach den Kennungscodes - nicht alle, sondern - mindestens eine vorbe¬ stimmte Anzahl der Steuergeräte S-j_ und Fj mit ihrem Kennung¬ scode antworten. Wenn beispielsweise vier Steuergeräte Si und Fj abgefragt werden, so genügt es, daß drei mit einem gülti¬ gen Kennungscode antworten. Somit ist die Verfügbarkeit des Kraftfahrzeugs jederzeit gewährleistet. Es kann also nicht passieren, daß aufgrund eines defekten und ausgetauschten Steuergeräts, das nicht unbedingt zum Betrieb des Kraftfahr¬ zeugs nötig ist, das Kraftfahrzeug überhaupt nicht mehr zu bewegen ist.

Antworten jedoch weniger als die vorbestimmte Anzahl von Steuergeräten S^ und Fj mit ihrem Kennungscode, so beläßt die Prüfeinheit P mindestens ein Steuergerät S^ in einem inakti¬ ven Zustand, so daß das Starten oder das Fahren des Kraft- fahrzeugs verhindert wird. Demzufolge muß das inaktivierte Steuergerät Si ein betriebsrelevantes Steuergerät sein, da ansonsten die Wegfahrsperre nicht wirksam wäre.

Neue Steuergeräte Sj_ und Fj sind anfangs in einem Grundzu- stand (Neumodus) . Der Neumodus wird von der Prüfeinheit P er¬ kannt. Wenn sich alle oder der größte Teil der Steuergeräte

Si und F _j im Neumodus befinden, so werden alle Steuergeräte S- _j _ und F _j mit einem Kennungscode und die Benutzercodegeber G^ mit einem Benutzercode versehen (Erstinitialisierung) . Dies kann beispielsweise nach der Herstellung des Kraftfahrzeugs, d.h. am Bandende beim Automobilhersteller, mit Hilfe eines nicht dargestellten, autorisierten Kennungscodegebers gesche¬ hen. In diesem sind die Kennungscodes aller in dem Kraftfahr¬ zeug vorhandenen Steuergeräte Si und Fj gespeichert. Bei der Erstinitialisierung wird durch die Prüfeinheit P festgelegt, welche Steuergeräte Si und Fj überhaupt von der Wegfahrsperre zu prüfen sind.

Die Erstinitialisierung ist irreversibel, d.h. sie kann durch einen Dieb nicht rückgängig gemacht werden. Die Steuergeräte Si und Fj können also danach nicht mehr erstinitialisiert werden.

Nach der Erstinitialisierung gehen die Steuergeräte Si und Fj in einen Betriebsmodus über. Nur im Betriebsmodus kann das Kraftfahrzeug gestartet werden, wenn der Start durch einen berechtigten Benutzercodegeber Gfc ausgelöst wurde und eine Mindestanzahl von Steuergeräten S und Fj mit der Prüfeinheit P über die Datenleitung BUS verbunden sind.

Gegen defekte Steuergeräte S und Fj ausgetauschte neue Steu¬ ergeräte •Si und Fj sind anfangs ebenfalls im Neumodus. Dies wird von der Prüfeinheit P erkannt. In diesem Fall kann nur das neue Steuergerät Si oder Fj erstmals initialisiert (Re- Initialisierung) werden, wenn von der Prüfeinheit P erkannt wird, daß die restlichen Steuergeräte Si und Fj mit ihrem Kennungscode antworten und mindestens ein berechtigter Benut¬ zercodegeber Gj _ζ vorhanden ist.

Die Erst- und die Re-Initialisierung können auch über eine Diagnose-Schnittstelle D, die ohnehin im Kraftfahrzeug 'vor¬ handen und mit der Datenleitung BUS verbunden ist, erfolgen.

Mit einem nicht dargestellten Diagnosegerät, das an die Dia¬ gnose-Schnittstelle D angeschlossen wird, können die einzel¬ nen Steuergeräte S und Fj beispielsweise mit den Kennung- scodes versehen werden, wenn dies durch einen berechtigten Kennungscodegeber autorisiert wird.

Neue Steuergeräte ≤i und Fj befinden sich immer im Neumodus. Der Neumodus wird sowohl bei der Erstinitialisierung als auch bei der Re-Initialisierung erkannt. Bei der Re-Initialisie- rung muß ausgeschlossen sein, das ein unberechtigter Benutzer nur ein Steuergerät Si oder Fj austauscht und dann alle Steu¬ ergeräte Si und Fj des Kraftfahrzeugs neu initialisiert.

Es können auch mehrere Prüfeinheiten P in der Wegfahrsperre eingebunden sein. Eine zweite Prüfeinheit P kann dann die Funktion der ersten Prüfeinheit P übernehmen, falls diese de¬ fekt ist und dies beim ersten Startversuch festgestellt wird.

Die Kennungscodes und die Benutzercodes können mindestens in einer weiteren Prüfeinheit P, in einem beim Hersteller be¬ findlichen Zentralrechner, in einem Steuergerät Si oder Fj oder in jedem Benutzercodegeber Gjς gespeichert sein, von wo sie bei berechtigtem Zugriff zum Re-Initialisieren der Steu¬ ergeräte S und Fj ausgelesen werden können, falls die Prüf- einheit P einmal ausgefallen sein sollte. Die Berechtigung zum Re-Initialisieren kann durch einen Transponder, der sich bei dem Fahrzeugbrief befindet, nachgewiesen werden.

Die Prüfeinheit P braucht nicht unbedingt als separates Gerät ausgeführt zu sein. Es kann in einem Steuergerät Si unterge¬ bracht sein (in Figur 2 durch P/Sl und die gestrichelte Linie angedeutet) und dort Bauelemente, wie Mikroprozessor oder Speicherelemente, des Steuergeräts S mitbenutzen, die ohne¬ hin in dem Steuergerät vorhanden sind.

Um einem Car-Napping vorzubeugen, kann die Wegfahrsperre so ausgelegt sein, daß beispielsweise die Anzahl der Motorstarts oder die Fahrstrecke durch einen Zähler in der Prüfeinheit P oder in mehreren Zählern in den jeweiligen Steuergeräte Si und F _j durch In- oder Dekrementieren erfaßt wird. Bei einem vorgegebenen Zählerstand wird das Kraftfahrzeug still gelegt, wenn der Zähler nicht vorher durch eine externe und separate RESET-Einheit auf Null zurückgesetzt wurde.

Ein RESET kann nur unter Verwendung eines zentral beim Her¬ steller oder in einem eigenen Transponder, der an den Fahr¬ zeugbrief geheftet ist, gespeicherten RESET-Codes vorgenommen werden. Die RESET-Einheit kann beispielsweise zu Hause in der Garage angeordnet sein. Sie kann per Funk den Zählerstand be- einflussen. Ebenso kann der RESET bei einer autorisierten Werkstatt unter Vorlage des Fahrzeugbriefs bei jeder Inspek¬ tion vorgenommen werden.

Somit wird ein gestohlenes Fahrzeug nach einiger Zeit un- brauchbar, wenn nicht mit einer autorisierten RESET-Einheit der Zählerstand auf Null zurückgesetzt wird.

Ein Zähler kann auch in dem Benutzercodegeber G^ vorhanden sein. Bei jeder Betätigung des Benutzercodegebers Gjς wird der Zähler um Eins erhöht oder erniedrigt. Der Benutzercodegeber Gjζ kann nur bis zu einem vorbestimmten Zählerstand benutzt werden. Deshalb muß der Zähler von Zeit zu Zeit auf Null ge¬ setzt werden.

Die Kennungscodes, Benutzercodes und dergleichen, können so¬ genannte Festcodes sein, die jeweils fest in Speichereinhei¬ ten gespeichert sind. Sie können sich auch ständig ändern (sogenannte Wechselcodes) . Dabei werden die Codes nach einem mathematischen Algorithmus, zu dessen Ermittlung Daten in den jeweiligen Speichereinheiten gespeichert sind, berechnet. Nach jedem Abfragevorgang wird der Code verändert. Dies dient

der Abhörsicherheit. Für die Erfindung ist es allerdings un¬ wesentlich, ob die Wegfahrsperre mit Festcodes oder mit Wech¬ selcodes arbeitet. Bei Wechselcodes sind alle Daten, die zur Berechnung der Codes dienen, in der betreffenden Einheit, wie Prüfeinheit P oder Steuergerät gespeichert, und bei den Fest- codes sind die Codes gespeichert.

Das Anforderungssignal kann bei jedem Startvorgang ausgesen¬ det werden. Zusätzlich können kontinuierlich in gewissen Zeitabständen Anforderungssignale erzeugt werden. Es können alle mit der Datenleitung BUS verbundene Steuergeräte S und Fj abgefragt werden oder nur ein vorher, beispielsweise nach einem Zufallsprinzip festgelegter Teil der Steuergeräte Si und Fj . Die Abfrage kann auch wechseln, so daß einmal ein Teil, z.B. die ersten drei der Steuergeräte Si und Fj nach ihrem Kennungscode abgefragt wird und beim nächsten Abfrage- Vorgang ein anderer Teil, nämlich die nächsten drei Steuerge¬ räte Si und Fj . Damit ist die Wegfahrsperre sicher gegen Aus¬ tausch von einzelnen Steuergeräten Si und Fj .

Durch den zufälligen Wechsel der Abfrage der Steuergeräte Si und Fj wird ein Diebstahl des Kraftfahrzeugs erschwert, da auf jeden Fall alle Steuergeräte Si und Fj ausgetauscht wer¬ den müßten, um das Kraftfahrzeug in Gang zu setzen. Ein Kauf von allen Steuergeräten Si und Fj kann jedoch von einem Er¬ satzteillager gut kontrolliert werden.