B e s c h r e i b u n g

Die Erfindung bezieht sich auf eine Diebstahlsiche¬ rungseinrichtung für Kraftfahrzeuge und auf ein Verfah- ren zur Diebstahlsicherung nach dem Oberbegriff der Pa¬ tentansprüche 1 und 5.

Es wird ein personengebundener Transponder und fahr- zeugseitig ein Immobilisator genutzt, um den Betrieb eines Verbrennungsmotors in Abhängigkeit von der Zu¬ griffsberechtigung des Transponder-Inhabers zu beein¬ flussen. Dies erfolgt durch Eingriff in die Funktion eines Motorsteuergerätes (gilt sowohl für Ottomotoren als auch für Steuerungen bei Dieselmotoren) . Verfahren und Vorrichtungen dieser Art sind bekannt .

Die DE-A-43 20 776 beinhaltet Aussagen zu einer Vor¬ richtung, bei der das codierte Signal eines Transpon- ders drahtlos an einen Immobilisator übermittelt wird. Wird dieser Transponder-Identifikationscode vom Immobi¬ lisator als richtig (zulässig) erkannt, sendet der Im¬ mobilisator einen Frequenzcode (oder ein Erlaubnissi¬ gnal wie in der DE-A-195 14 074) an das Motorsteuerge¬ rät, wo ein Vergleich mit einem abgelegten Frequenzcode erfolgt. Vergleichsabhängig wird dann die Motorfunktion freigegeben oder gesperrt. Bei der Übermittlung des Transponder-Identifikationscodes an den Immobilisator und der Übermittlung des Frequenzcodes an das Motor¬ steuergerät bestehen noch gewisse Eingriffsmöglichkei- ten, die die Inbetriebnahme des Kraftfahrzeugs durch

Unberechtigte ermöglichen.

Bei anderen Diebstahlsicherungseinrichtungen wird hier versucht Abhilfe zu schaffen, so daß beispielsweise auch ein "mitgehörter" Transponder-Identifikationscode nicht geeignet ist für die spätere unberechtigte Inbe¬ triebnahme des Kraftfahrzeugs. Beispielsweise sind hier verschiedenste Wechselcodeverfahren bekannt.

Zwischen Transponder und Immobilisator werden keine konstanten und damit kopierbaren und dauerhaft nutzba¬ ren Codes ausgetauscht, jedoch wird beispielsweise dem Motorsteuergerät wieder eine Freigabeinformation über¬ mittelt. Diese kann zwar verschlüsselt sein, jedoch ist zumindest eine einmalige Inbetriebnahme des Kraftfahr¬ zeugs möglich. Der Wunsch nach einer mehrmaligen Nut¬ zung des Kraftfahrzeugs ist dann bereits nur mit hohem Aufwand erfüllbar.

In der EP-A-0 683 293 ist ein Verfahren zur Diebstahl¬ sicherung beschrieben, bei dem einem Transponder eine verschlüsselte Information eines Immobilisators (Lese¬ gerät) übermittelt wird. Durch geheime Verknüpfung mit Transponder-Festcodes wird dann ein Geheimtext gene- riert, der an den Immobilisator zu übermitteln ist.

Dort wird dann auf vergleichbare Weise ein Immobilisa¬ tor-Geheimtext bestimmt und mit dem Transponder-Geheim- text verglichen. Bei Übereinstimmung der Geheimtexte werden die zu sichernden Steuergeräte freigeschaltet, was codiert erfolgen kann. Die Sicherheit des Informa¬ tionsaustauschs zwischen Transponder und Immobilisator ist hoch. Es kann jedoch wieder unbefugter Eingriff durch Ermittlung der Freigabeinformation, die an das Steuergerät gesendet wird, erfolgen. Selbst wenn der Immobilisator, wie angedeutet, als Bestandteil des

Steuergerätes ausgebildet ist, muß eine (manipulierba¬ re) Schnittstelle bestehen. Die Systemsicherheit ist zwar hoch, jedoch auf vergleichbare Weise wie bei Wech¬ selcodeverfahren zu überwinden.

Es ist Aufgabe der Erfindung, eine Diebstahlsicherungs¬ einrichtung zu schaffen, die mit Hilfe eines möglichst geringen Aufwandes herstellbar und zuverlässig im Be¬ trieb ist. Des weiteren soll ein Verfahren zur Dieb- Stahlsicherung entwickelt werden, welches keine sinn¬ volle Manipulation von außen zuläßt und nur durch sehr aufwendigen Austausch des gesamten Systems zur Dieb¬ stahlsicherung überwindbar ist.

Zur Lösung dieser Aufgaben zeichnet sich die Diebstahl- sicherungseinrichtung nach dem Oberbegriff des Patent¬ anspruchs 1 durch die kennzeichnenden Merkmale des Pa¬ tentanspruchs 1 aus . Das erfindungsgemäße Verfahren zur Diebstahlsicherung ist durch die im Patentanspruch 6 angegebenen Merkmale gekennzeichnet . Einzelheiten der

Erfindung ergeben sich aus den Patentansprüchen 2 bis 5 und 7 bis 11.

Ein Transponder in an sich bekannter Bauweise ist mit einem Zündschlüssel kombiniert und beinhaltet eine

Sende- und Empfangsantenne sowie eine elektronische Re¬ chen- und eine Speichereinheit. Zur Diebstahlsicherung eines bestimmten Kraftfahrzeuges können mehrere Trans¬ ponder tauglich sein. Beispielsweise sind drei Trans- ponder in einer Familie verteilt oder es existiert eine Mehrzahl von Transpondern in einem Fuhrpark, die dort für ein Kraftfahrzeug benötigt werden. Vorzugsweise sind die Transponder batterielos, also passiv ausgebil¬ det.

Ein Immobilisator, der dem Kraftfahrzeug zugeordnet ist, besteht aus einer Sende- und Empfangsantenne, die im Bereich des Zündschlosses angeordnet ist . Über die Antenne ist der Transponder bei eingestecktem Zünd- Schlüssel anregbar, und es sind Daten zwischen Trans¬ ponder und Immobilisator austauschbar.

Der Immobilisator ist mit einem betriebsrelevanten Steuergerät des Kraftfahrzeugs, insbesondere mit einem die Funktion eines Verbrennungsmotors (Otto- oder Die¬ selmotor) steuernden Gerät, elektrisch verbunden. Der ordnungsgemäße Betrieb dieses Steuergerätes und damit des Verbrennungsmotors ist nur nach erfolgtem Nachweis der Zugriffsberechtigung des Transponder-Inhabers mög- lieh.

Die Funktion des Immobilisators ist gegenüber bekannten Diebstahlsicherungseinrichtungen wesentlich verändert worden. Er hat ausschließlich die Aufgabe, die Verbin- düng zwischen Transponder und Motorsteuergerät in der Phase der Initialisierung herzustellen und damit den Datenaustausch zwischen diesen Geräten zu ermöglichen. Die Überprüfung der Zugriffsberechtigung erfolgt nicht mehr durch den Immobilisator, sondern direkt im Steuer- gerät, womit eine Fehlerquelle und eine Manipulations¬ möglichkeit ausgeschaltet wurde. Der exakte Nachweis der Zugriffsberechtigung hat also durch Kommunikation zwischen Transponder und Motorsteuergerät zu erfolgen, wobei der Immobilisator nur noch die Aufgabe hat, diese Kommunikation zu ermöglichen und gegebenenfalls weniger relevante Funktionen zu schalten. Beispielsweise kann vom Immobilisator noch in Abhängigkeit vom Vorhanden¬ sein eines bekannten Transponders (eines der zum Fahr¬ zeug gehörenden Transponder) eine Diebstahlwarnanlage ein- oder ausgeschaltet werden oder es können benutzer-

individuelle Fahrzeugeinstellungen über den Immobilisa¬ tor vorgenommen werden.

Die derart gestaltete Einrichtung zur Diebstahlsiche- rung arbeitet vorzugsweise nach folgendem Verfahren:

Eine bestimmte Anzahl von Transpondern wird dem Kraft¬ fahrzeug zugeordnet, indem Speichereinheiten der Trans¬ ponder eine spezifische Codierung erhalten. Die gespei- cherten Informationen bestehen aus einem Sicherheits¬ code sowie einem Transponder-Identifikationscode. Die zum Kraftfahrzeug gehörenden Transponder-Identifikati¬ onscodes werden auch in Speichern des Immobilisators und gegebenenfalls des Motorsteuergerätes abgelegt, wo- bei im Motorsteuergerät auch der Sicherheitscode abge¬ legt wird.

Nach Einstecken des Zündschlüssels in das Zündschloß des Kraftfahrzeugs wird der Transponder vom Immobilisa- tor über die jeweiligen Antennen angeregt und der

Transponder-Identifikationscode wird zum Immobilisator übertragen. Dort findet eine erste Überprüfung statt, wobei festgestellt wird, ob einer der zum Kraftfahrzeug gehörenden Transponder die Kommunikation aufgenommen hat. Wenn ja, wird die Kommunikation zum Motorsteuerge¬ rät freigegeben, indem ein sonst anderweitig genutzter Eingang des Motorsteuergerätes entsprechend geschaltet wird.

Wird der Motor mit Hilfe des Zündschlüssels gestartet, signalisiert das Motorsteuergerät über ein Ausgangssi¬ gnal (beispielsweise des Motorkontrolleuchtenausgangs) den Beginn der Kommunikation mit dem Transponder. Eine Information, insbesondere eine nicht konstante, will- kürlich im Motorsteuergerät gebildete Zufallsinforma-

tion, wird an den Transponder übertragen. Dort wird die Zufallsinformation, der Transponder-Identifikationscode und die Geheiminformation mit Hilfe einer geheimen Re¬ chenoperation zu einem Code verknüpft, der an das Mo- torsteuergerät übertragen wird. Im Motorsteuergerät er¬ folgt die gleiche geheime Rechenoperation zur Bildung eines Referenzcodes. Der dazu erforderliche Transpon¬ der-Identifikationscode des aktuell in Kommunikations- bereitschaft befindlichen Transponders kann dazu vom Immobilisator an das Motorsteuergerät übertragen wer¬ den. Andererseits können im Motorsteuergerät mit allen einzelnen zulässigen Transponder-Identifikationscodes mehrere Referenzcodes berechnet werden. Der im Trans¬ ponder berechnete Code hat dann mit zumindest einem der Referenzcodes übereinzustimmen. Ist dies der Fall, wird der Motorbetrieb ordnungsgemäß vom Motorsteuergerät ge¬ steuert. Anderenfalls ist die Motorfunktion zu sperren.

Eine detailliertere Beschreibung der Erfindung erfolgt anhand eines Ausführungsbeispiels, wobei die zugehörige Figur schematisch eine erfindungsgemäße Diebstahlsiche¬ rungseinrichtung zeigt.

Die Diebstahlsicherungseinrichtung umfaßt zumindest ei- nen mit einem Zündschlüssel 1 kombinierten passiven

(batterielosen) Transponder 2. Ein Immobilisator 3 ist in unmittelbarer Nähe zu einem Zündschloß 4 des Kraft¬ fahrzeugs angeordnet. Des weiteren ist in der Figur an¬ deutungsweise ein Motorsteuergerät 5 sowie ein Diagno- se-Tester 6 gezeigt.

Der Transponder 2 und der Immobilisator 3 weisen je¬ weils eine Sende- und Empfangsantenne 7, 8 auf, über die der Transponder 2 mit Energie versorgt wird und Da- ten ausgetauscht werden. Der Transponder 2 beinhaltet

des weiteren eine elektronische Speichereinheit 9 und eine Recheneinheit 10. Der Immobilisator 3 umfaßt eben¬ falls eine Speichereinheit 11 sowie eine Recheneinheit 12, eine Schnittstelle 13 und einen hier über ein Schaltgerät 14 gesteuerten Umschalter 15 (dargestellt in einer Stellung während der Initialisierungsphase) . Das Motorsteuergerät 5 allgemein bekannter Bauart bein¬ haltet neben einer Schnittstelle 16, einem Mikroprozes¬ sor 17 und einer Speichereinheit 18 weitere hier nicht interessierende Bauelemente.

Die Diebstahlsicherungseinrichtung arbeitet auf die folgende Weise, womit auch das Verfahren zur Diebstahl- Sicherung erläutert wird:

Nach Einstecken des Zündschlüssels 1 in das Zündschloß 4, wird die Antenne 7 des Transponders 2 von der Anten¬ ne 8 des Immobilisators 3 angeregt. Es kommt zur Über¬ tragung einer frequenz- oder amplitudenmodulierbaren elektrischen Spannung. Ein im Speicher 9 abgelegter

Transponder-Identifikationscode wird über die Rechen¬ einheit 10 und die Antennen 7, 8 zur Recheneinheit 12 des Immobilisators 3 übertragen. In der Speichereinheit 11 des Immobilisators 3 sind Identifikationscodes der zum Kraftfahrzeug gehörenden Transponder 2 gespeichert. Diese werden mit dem vom Transponder 2 übermittelten Identifikationscode verglichen. Ist einer der zulässi¬ gen Transponder 2 im Bereich des Zündschlosses 4 er¬ kannt worden, werden von der Recheneinheit 12 des Immo- bilisators mehrere Funktionen gesteuert, jedoch wird der Betrieb des Kraftfahrzeugs noch nicht zugelassen. Einerseits können über Ausgänge 19, 20 der Schnittstel¬ le 13 externe Funktionen angesteuert werden. Beispiels¬ weise kann eine Diebstahlwarnanlage entsichert oder eine andere Schaltfunktion angesteuert werden. Zu die-

sem Zeitpunkt kann auch eine Verbindung 21 zum Motor¬ steuergerät 5 über den Umschalter 15 hergestellt wer¬ den, was aber auch erst später erfolgen kann, worauf weiter unten eingegangen wird. Der Umschalter 15 ist normalerweise in einer das Motorsteuergerät 5 mit dem Diagnose-Tester 6 verbindenden Stellung, so daß hier entsprechende Daten austauschbar sind. In der Initiali¬ sierungsphase wird diese Verbindung 21 zum Ein-/Ausgang des Motorsteuergerätes 5 wie bekannt zur Übertragung anderer Daten genutzt .

Wird die Zündung über den Zündschlüssel 1 betätigt, läuft im Motorsteuergerät 5 das Startprogramm ab, was dem Immobilisator 3 letztlich auch über einen Kontroll- leuchtenausgang 22 des Motorsteuergerätes 5 signali¬ siert wird. Spätestens nach Anliegen dieses Signals trennt der Umschalter 15 den Diagnose-Tester 6 vom Mo¬ torsteuergerät 5 und verbindet die Schnittstellen 13 und 16 miteinander. Dies erfolgt also entweder nach Er- kennen eines zulässigen Transponders 2 oder nach vorge¬ nommenem Startbefehl durch ein Signal der Recheneinheit 12.

Nunmehr arbeitet der Immobilisator 3 ausschließlich als Durchgangsstation. Die Kommunikationsfähigkeit zwischen Transponder 2 und Motorsteuergerät 5 ist hergestellt. Der endgültige Identifikationsvorgang erfolgt durch Da¬ tenaustausch zwischen dem Motorsteuergerät 5 und dem Transponder 2 :

Das Motorsteuergerät 5 sendet über die Verbindung 21 sowie die Antennen 8, 7 eine auf Basis einer Zufalls¬ funktion im Prozessor 17 generierte Zufallsinformation an den Transponder 2. Dort ist im Speicher 9 ein gehei- mer Algorithmus abgelegt, mit Hilfe dessen eine Ver-

knüpfung der Zufallsinformation mit dem Transponder- Identifikationscode und einem transponderinternen Ge¬ heimcode erfolgt. Der berechnete Code wird zum Motor¬ steuergerät 5 übertragen. Der dortige Speicher 18 ent- hält (neben umfangreichen Daten und Programmen zur Mo¬ torsteuerung) ebenfalls die Geheiminformation und gege¬ benenfalls alle zugelassenen Transponder-Identifikati¬ onscodes sowie den Rechenalgorithmus. Mit Hilfe der Zu¬ fallsinformation, der Geheiminformationen und je einem Transponder-Identifikationscode werden Referenzcodes ermittelt. Es ist jedoch auch möglich, daß der Trans¬ ponder-Identifikationscode des aktuellen Transponders 2 an das Motorsteuergerät 5 übermittelt wird und damit nur ein Referenzcode zu bestimmen ist . Letztendlich wird der vom Transponder 2 übermittelte Code mit zumin¬ dest einem Referenzcode im Motorsteuergerät 5 vergli¬ chen. Bei Übereinstimmung wird die Motorfunktion frei¬ gegeben. Anderenfalls wird das Motorsteuergerät 5 außer Funktion gesetzt und der Motor abgestellt, falls er be- reits angesprungen ist .

Nach Abschluß der Initialisierungsphase wird der Um¬ schalter 15 im Immobilisator 3 wieder betätigt und die Verbindung 21 an den Diagnose-Tester 6 gelegt. Ist der Motor für eine bestimmte Zeit außer Betrieb, wird die

Diebstahlsicherungseinrichtung automatisch "geschärft", d. h. der Identifikationsvorgang ist zu wiederholen, um die Funktionsfähigkeit des Motorsteuergerätes herzu¬ stellen.

Die so ausgebildete Diebstahlsicherungseinrichtung ist besonders einfach ausgebildet, da die vorhandenen Bau¬ elemente des Motorsteuergerätes 5 genutzt werden. Der Immobilisator 3 wird nur noch zur Herstellung der Ver- bindung zwischen Transponder 2 und Motorsteuergerät 5

eingesetzt, hat aber keine Funktion mehr bei der ei¬ gentlichen Freischaltung des Motorsteuergerätes 5. Es werden keine konstanten "abhörbaren" Daten mehr zwi¬ schen Transponder 2 und Motorsteuergerät 5 übermittelt, mit Hilfe derer das Verfahren nachvollziehbar wäre. Die Zufallsinformation, die vom Motorsteuergerät 5 zum Transponder 2 übertragen wird, ist nur einmalig gültig. Der Rechenalgorithmus und die Geheiminformation sind in internen Speichern 9, 18 abgelegt und von dort nicht durch Unberechtigte auslesbar. Eine Übertragung dieser Informationen erfolgt gar nicht. Da die Zugriffsberech¬ tigung im Motorsteuergerät 5 selbst überprüft wird, ist auch keine Freigabeinformation mehr an das Motorsteuer- gerät 5 zu übertragen, womit auch diese Eingriffsmög- lichkeit beseitigt ist.