Stand der Technik

Die Erfindung geht aus von einer Fahrzeugsicherungsanordnung nach der Gattung des Hauptanspruchs. Aus der DE-PS 43 25 657 ist eine Diebstahlsicherung bekannt, bei der der

Diebstahlschutz von Fahrzeugen dadurch bewirkt wird, daß zielgerichtet funktionswichtige Baugruppen blockiert werden. Wirkmodule übernehmen dabei das Sperren oder Freischalten der jeweils zugeordneten Baugruppen. Ein auf einem Codeschlüssel hinterlegter Code wird von einem Codeleser erfaßt und an alle Wirkmodule weitergeleitet. Ein Logikteil des Wirkmoduls vergleicht den Code mit einer Information, die im Codespeicher des Wirkmoduls abgelegt ist. Stimmen beide nicht überein, deaktiviert das Wirkmodul die zugeordnete Funktionsbaugruppe. Auch ist vorgesehen, daß bei fehlender Übereinstimmung das Wirkmodul eine Zerstörung der betreffenden Baugruppe herbeiführen kann. Datenübertragung und Datenvergleich in den Wirkmodulen werden durch das Einführen des Codeschlüssels in den Codeleser ausgelöst.

Der Erfindung liegt die Aufgabe zugrunde, eine Fahrzeugsicherungsanordnung anzugeben, die einen erhöhten Diebstahlschutz realisiert.

Diese Aufgabe wird durch eine Fahrzeugsicherungsanordnung mit den im Hauptanspruch angegebenen Merkmalen gelöst. Erfindungsgemäß wird ein verbesserter Diebstahlschutz erzielt, indem die Freischaltung eines jeden Funktionssteuergeräts in Abhängigkeit von einem Vergleich zweier Codeworte erfolgt. Das erste wird vom jeweiligen

Funktionssteuergerät und das zweite von einer Eingabeeinheit bereitgestellt. Ein Diebstahlschutzsteuergerät initiiert die Bereitstellung der beiden Codeworte. Durch Einbeziehen mehrerer für den Fahrbetrieb relevanter Funktionssteuergeräte erhöht sich die Sicherheit gegen unberechtigtes Inbetriebnehmen des Fahrzeugs weiter. Jedes Funktionssteuergerät überprüft für sich, ob ein berechtigter Nutzer auf das Fahrzeug zugreift. Dadurch wird insbesondere ein Austausch von Funktionssteuergeräten gegen Geräte, die beispielsweise von gestohlenen Fahrzeugen stammen, erschwert, da die Funktionssteuergeräte sowohl auf das Diebstahlschutzsteuergerät als auch auf die Eingabeeinheit abgestimmt sein müssen. Ist dies nicht der Fall, verweigert das Funktionssteuergerät seine Nutzung. Die Steuerung der Freigabeprozedur durch das Diebstahlschutzsteuergerät erhöht die Abhörsicherheit, indem es Codeworte zufallsgesteuert beeinflußt. Das Diebstahlschutzsteuergerät trifft eine zielgenaue Vorauswahl, welche der möglicherweise mehreren Eingabeeinheiten die Berechtigung erhält, das zweite Codewort bereitzustellen.

Eine zweckmäßige Weiterbildung sieht vor, daß eine Weiterleitung des zweiten Codewσrtes, das von der Eingabeeinheit bereitgestellt wird, an das Funktionssteuergerät dann erfolgt, wenn das zweite Codewort

mit dem vom Diebstahlschutzsteuergerät erwarteten Codewort übereinstimmt. Eine weitere im Diebstahlschutzsteuergerät ausgeführte Berechtigungsabfrage erhöht den Diebstahlschutz. Die Maßnahme erhöht zudem den Bedienkomfort, etwa wenn durch Übertragungsfehler das zweite Codewort verstümmelt bei dem Diebstahlschutzsteuergerät eintrifft. Dieses kann eine Aufforderung an die Eingabeeinheit auslösen, die Übertragungs- bzw. Bereitstellungsprozedur des zweiten Codewortes zu wiederholen, ohne daß das falsche zweite Codewort bereits zu einer Fehlfunktion der Funktionssteuergeräte geführt hätte.

In einer weiteren erfindungsgemäßen Maßnahme ist vorgesehen, daß eine Generierung der beiden Codeworte mittels eines Berechtigungalgorithmus und/oder eines Schlüsselwortes erfolgt. Insbesondere bei einem fahrzeugspezifischen Schlüsselwort kann der Berechtigungsalgorithmus für jedes Fahrzeug gleich gewählt sein. Diese Trennung stellt zum einen sicher, daß jedem Fahrzeug ein individuelles Codewort zugeordnet wird. Andererseits ist für den Hersteller gewährleistet, daß durch die Verwendung ein und desselben Berechtigungsalgorithmus für jedes Fahrzeug ein hohes Maß an Standardisierung erreicht wird, das sich kostensenkend im Herstellungsprozeß bemerkbar macht.

Eine weitere zweckmäßige Verbesserung sieht vor, daß zur Generierung der beiden Codeworte ein drittes Codewort verwendet ist, dessen Bereitstellung durch das Diebstahlschutzsteuergerät erfolgt. Dadurch läßt sich ein Schutz gegen Abhören realisieren, indem beispielsweise für jeden Initiierungsvorgang ein anderes drittes Codewort zufallsgesteuert herangezogen wird. Gleichbleibende Kommunikationsvorgänge werden somit vermieden, wodurch das Risiko sinkt, das Fahrzeug durch gezielte Manipulation in einen fahrtaugliehen Zustand zu versetzen.

Eine vorteilhafte Weiterbildung sieht vor, daß die Initiierung des Diebstahlschutzsteuergeräts nach Betätigen eines Schalters erfolgt. Die Kopplung des Freigabeverfahrens, beispielsweise mit einem Zündschloß, erhöht die Sicherheit, indem konventionelle Schließeinrichtungen mit berücksichtigt werden.

In einer Verbesserung haben sich als zweckmäßige Eingabeeinheiten Transponder und/oder elektronische Chipkarte herausgestellt. Ein Transponder erhöht den Bedienkomfort durch drahtlose Kommunikation mit dem Diebstahlschutzsteuergerät. Für die Verwendung einer elektronischen Chipkarte spricht, daß sich die mechanische Zugänglichkeit der Leseeinrichtung durch zusätzliche

Kontrollmechaniεmen erschweren läßt, was ebenfalls der Sicherheit dienlich ist.

Eine weitere Maßnahme zeichnet sich erfindungsgemäß dadurch aus, daß eine Master-Eingabeeinheit das Schlüsselwort enthält. Diese Master-Eingabeeinheit wird benötigt, wenn Funktionssteuergeräte oder Eingabeeinheiten ausgewechselt werden sollen. Dadurch wird der Austausch fahrzeugspezifischer Module bei gestohlenen Fahrzeugen beträchtlich erschwert.

Eine weitere vorteilhafte Ausgestaltung sieht ein Verfahren zur Parametrierung einer Fahrzeugsicherungsanordnung vor, wobei Funktionssteuergerät und Diebstahlschutzsteuergerät in einem Parametriermodus betrieben werden. Ein zusätzliches Gerät teilt dem FunktionsSteuergerät und dem Diebstahlschutzsteuergerät das fahrzeugspezifische Schlüsselwort mit, das daraufhin seitens des Diebstahlschutzsteuergeräts an die Eingabeeinrichtung weitergegeben wird. Diese Vorgehensweise ermöglicht einen

aus fertigungstechnischer Sicht günstigen Parametrierablauf am Bandende.

Weitere zweckmäßige Weiterbildungen aus weiteren abhängigen Ansprüchen ergeben sich aus der Beschreibung.

Zeichnung

Es zeigen Figur 1 einen prinzipiellen Aufbau einer Fahrzeugsicherungsanordnung,

Figur 2 ein Flußdiagramm einer möglichen Arbeitsweise, Figur 3 ein Flußdiagramm zur Parametrierung und Figur 4 ein Flußdiagramm für Austauscharbeiten.

Beschreibung der Ausführungsbeispiele

Gemäß Figur 1 steht ein Diebstahlεchutzsteuergerät DS mit zumindest einem FunktionsSteuergerät F^ über einen Bus in Wechselwirkung. Das Diebstahlschutzsteuergerät DS kommuniziert mit einer Eingabeeinheit E. Das Funktionssteuergerät F^ stellt ein erstes Codewort C^, die Eingabeeinheit E ein zweites Codewort C, das Diebstahlschutzsteuergerät DS ein drittes Codewort C _D bereit.

Jedes der Funktionssteuergeräte F-^ - der Index ± steht hierbei für das -j _^ -te FunktionsSteuergerät F-^ - generiert jeweils für sich das erste Codewort C^. In einem Kraftfahrzeug sind ausstattungsabhängig unterschiedliche Funktionssteuergeräte F-^ vorhanden, beispielsweise Steuergeräte für Motorsteuerung, Getriebesteuerung, Antiblockiersystem, Antischlupfregelung, Start der Steuerung, elektrische Lenkung, Zündsteuerung, Zentralverriegelung oder Niveausteuerung. Sie alle werden

für den reibungslosen Betrieb des Kraftfahrzeugs benötigt. Jedes Funktionssteuergerät Fj_ erzeugt für sich und unabhängig von den anderen das erste Codewort C . Die dafür notwendigen Algorithmen und Daten sind in jedem einzelnen Funktionssteuergerät F-j _^ hinterlegt. Der Datenaustausch der Funktionssteuergeräte F^ untereinander sowie mit dem Diebstahlschutzsteuergerät DS erfolgt über den Bus.

Die Eingabeeinheit E ist, beispielsweise durch einen Algorithmus, in die Lage versetzt, in Abhängigkeit von einem Schlüsselwort das zweite Codewort C bereitzustellen. Als Eingabeeinheit E ist ein Transponder verwendet. Er beinhaltet Sender sowie Empfänger für elektromagnetische Wellen und kann beispielsweise die Form einer elektronischen Chipkarte aufweisen, als Schlüsselanhänger ausgebildet oder in dem Fahrzeugschlüssel integriert sein. Mehrere als Transponder ausgebildete Eingabeeinheiten E ermöglichen eine Benutzung desselben Fahrzeuges durch mehrere Personen. Neben einer drahtlosen Kommunikation kann als Eingabeeinheit E auch eine elektronische Chipkarte verwendet werden. Ihr zugeordnet ist eine Kartenlese/-schreibstation, in die die Karte eingeführt werden muß. Die Datenübertragung zwischen der Eingabeeinheit E und dem Diebstahlschutzsteuergerät DS läßt sich grundsätzlich beliebig realisieren, so wären beispielsweise hierfür Infrarotsignale ebenso denkbar.

Das Diebstahlschutzsteuergerät DS übernimmt den Datenaustausch mit der Eingabeeinheit E.

Unter Bezugnahme auf Figur 2 wird nachfolgend die

Funktionsweise der in Figur 1 wiedergegebenen Anordnung beschrieben. Der Beginn der Fahrberechtigungsprozedur wird durch Schritt 100, Schalter ein, ausgelöst. Der Schalter wird beispielsweise über einen Zündschlüssel betätigt.

Dadurch erkennt das Diebstahlschutzsteuergerät DS, daß ein Starten des Fahrzeugs gewünscht ist.

Es bereitet daraufhin die Initiierung vor, Schritt 101. Der Datenaustausch des Diebstahlschutzsteuergeräts DS mit

Eingabeeinheiten E und Funktionssteuergeräten F- _j _ erfolgt nach einem sogenannten Challenge/Response-Verfahren. Das Diebstahlschutzsteuergerät DS erzeugt eine Challenge, eine sogenannte Reizung. Die Challenge kann einen Befehl und/oder das dritte Codewort C _Q enthalten. Der Befehl löst beim jeweiligen Empfänger, im Ausführungsbeispiel bei Funktionssteuergerät F^ und Eingabeeinheit E, eine Datenverarbeitungsprozedur aus, bei der das erste und zweite Codewort C^ C erzeugt werden. Wird als zusätzliche Information der Challenge das dritte Codewort C _D neben dem

Befehl übertragen, kann ein im Diebstahlschutzsteuergerät DS integrierter Zufallsgenerator aus Gründen der Abhörsicherheit das dritte Codewort CJJ für jede Berechtigungsprüfung neu zur Verfügung stellen. Ebenso könnte der Schritt 101 beinhalten, eine spezielle

Eingabeeinheit E auszuwählen, der die Challenge gesendet werden soll. Dabei lassen sich gezielt bestimmte Eingabeeinheiten E sperren, sollten sie verlorengegangen sein. Auch ist denkbar, diejenige Eingabeeinheit E bevorzugt anzusprechen, mittels derer das Fahrzeug zuletzt benutzt wurde.

In einem Schritt 102 sendet das Diebstahlschutzsteuergerät DS die im Schritt 101 bereitgestellte Challenge. Sie enthält den Befehl „Codewort bereitstellen" und gegebenenfalls das dritte Codewort Cp. Alle an den Bus angeschlossenen Funktionssteuergeräte F-^ und die seitens des Diebstahlschutzsteuergeräts DS ausgewählten Eingabeeinheiten E erhalten diese Challenge. Sowohl Eingabeeinheit E als auch Funktionssteuergeräte F-^ stellen

ihre Codeworte C, C^ bereit, nachdem sie in Schritt 103, bzw. 106 den Befehl des Diebstahlschutzsteuergerätes DS empfangen haben. In Schritt 104 beginnt die jeweilige Eingabeeinheit E, das zweite Codewort C zu erzeugen. Hierbei wird ein in der Eingabeeinheit E hinterlegter

Berechtigungsalgorithmus angestoßen, der in Abhängigkeit eines beispielsweise fahrzeugspezifischen Schlüsselworts und/oder des dritten Codewortes Cn das zweite Codewort C berechne . Ebenso verfahren unabhängig voneinander die angeschlossenen Funk ionsteuergerate Fi. In einem Schritt 107 stellt jedes Funktionssteuergerät F-^ in Abhängigkeit von einem Berechtigungsalgorithmus für sich das erste Codewort C^ bereit. Der Algorithmus ist in jedem Funktionssteuergerät F _j _ separat hinterlegt. Er berechnet in Abhängigkeit von dem beispielsweise fahrzeugspezifischen Schlüsselwort und/oder von dem dritten Codewort C _D das entsprechende erste Codewort

-l -

Es ist darauf hinzuweisen, daß die grundsätzliche

Vorgehensweise, wie die Codewort C^, C erzeugt werden, bei den FunktionsSteuergeräten F-^ untereinander übereinstimmen muß und mit der Eingabeeinheit E identisch ist. Berechtigungsalgorithmus und die Daten, auf die dieser zurückgreif , müssen bei Funktionssteuergerät F _± und

Eingabeeinheit E übereinstimmen, um das Fahrzeug in Betrieb nehmen zu können. Greift der Berechtigungsalgorithmus des FunktionsSteuergerätes F-^ auf das Schlüsselwort zu, so muß auch der Berechtigungsalgorithmus der Eingabeeinheit in der gleichen Weise verfahren. Benötigt der

Berechtigungsalgorithmus des Funktionssteuergeräts FJ; das dritte Codewort C^, so muß auch der Berechtigungsalgorithmus der Eingabeeinheit E darauf zurückgreifen. Stimmen also Berechtigungsalgorithmus, das jeweils verwendete Schlüsselwort und gegebenenfalls das dritte

Codewort überein für das Funktionssteuergerät F- _j _ und die Eingabeeinheit E, so sind erstes und zweites Codewort, Ci, C, identisch.

Die Eingabeeinheit E sendet das im Schritt 104 erzeugte und bereitgestellte zweite Codewort C in einem Schritt 105 an das Diebstahlschutzsteuergerät DS. Dieses empfängt das zweite Codewort C und wertet es gegebenenfalls aus, Schritt 109. Zur Auswertung kann beispielsweise so vorgegangen werden, daß in Abhängigkeit von dem im

Diebstahlschutzsteuergerät DS hinterlegten

Berechtigungsalgorithmus und des ebenfalls dort hinterlegten Schlüsselworts ein Kontrollcodewort berechnet wird. Verwendet der Berechtigungsalgorithmus von Schritt 104 auch das dritte Codewort C^, so ist es auch im Schritt 109 entsprechend zu berücksichtigen. Anschließend erfolgt ein Vergleich des zweiten Codeworts C mit dem Kontrollcodewort. In Schritt 110 erfolgt die Abfrage, ob das zweite Codewort C in Ordnung ist. Ist dies nicht der Fall, unterscheiden sich also das zweite Codewort C und das Kontrollcodewort, liegt ein Fehlerfall vor, Schritt 111. Denkbar ist es, die Schritte 102 bis 110 nochmals zu wiederholen, um Übertragungsfehler zwischen der Eingabeeinheit E und dem Diebstahlschutzsteuergerät DS zu vermeiden. Ebenso könnte jedoch der Fehlerfall sofort dazu führen, die Freischaltung der FunktionsSteuergeräte F-^ weiterhin zu unterbinden. Ist gemäß der Abfrage, Schritt 110, das zweite Codewort C in Ordnung, schließt sich ein Schritt 112 an. Hierbei sendet das Diebstahlschutzsteuergerät DS das zweite Codewort über den Bus an alle Funktionssteuergeräte F-^. Das zweite

Codewort C wird hierbei unverarbeitet direkt als von der Eingabeeinheit E ermitteltes Ergebnis weitergegeben.

Während der zuletzt beschriebenen Schritte warten die Funktionssteuergeräte F^ in einem Schritt 108 auf das zweite

Codewort C. Sämtliche Funktionssteuergeräte F-^ empfangen das zweite Codewort C und werten es aus, Schritt 113. Jedes Funktionssteuergerät F^ führt in einer Abfrage 114 einen Vergleich des zweiten Codewortes C mit dem jeweils in Schritt 107 bereitgestellten ersten Codewort C^ durch. Die beiden Codeworte C, C stimmen dann überein, wenn jeweils Berechtigungsalgorithmus, Schlüsselwort und gegebenenfalls das dritte Codewort C _D , einmal in der Eingabeeinheit E, einmal in dem Funktionssteuergerät F -_ abgelegt, identisch sind. Stimmen erstes und zweites Codewort C^, C nicht überein, tritt der Fehlerfall ein, Schritt 115. Im Fehlerfall schaltet sich das entsprechende FunktionsSteuergerät Fj_ nicht frei und blockiert so den Startvorgang. Stimmen erstes und zweites Codewort C _j _, C überein, schaltet sich das betreffende Funktionssteuergerät Fi selbst frei, Schritt 116. ie bereits ausgeführt, führt jedes der Funktionssteuergeräte F^ die Schritte 106 bis 108 und 113 bis 116 in Abhängigkeit vom jeweiligen Berechtigungsalgorithmus und Schlüsselwort aus, die in den jeweiligen Funktionssteuergeräten F-^ hinterlegt sind. Der Fehlerfall, Schritt 115, kann somit auch dann auftreten, wenn beispielsweise bei Austausch eines Funktionssteuergerätes F entweder nicht der Berechtigungsalgorithmus mit dem in der Eingabeeinheit hinterlegten übereinstimmt oder wenn die fahrzeugspezifischen Schlüsselworte der Eingabeeinheit E und des Funktionssteuergerätes F-^ voneinander abweichen. Damit hemmt auch der unautorisierte Austausch eines Funktionssteuergerätes F-^ den Startvorgang.

Unter Bezugnahme auf Figur 3 wird nachfolgend eine Möglichkeit der Inbetriebnahme der

Fahrzeugsicherungsanordnung beschrieben. Die anschließend beschriebenen Verfahrensschritte können beispielsweise am Bandende nach Einbau der Funktionssteuergeräte F- _j _ in das

Kraftfahrzeug vorgenommen werden. Gemäß Schritt 201 werden das Diebstahlschutzsteuergerät DS und die Funktionssteuergeräte F-j _^ in einem Para etriermodus betrieben. Dabei ist denkbar, daß der Berechtigungsalgorithmus bereits jeweils fest im Diebstahlschutzsteuergerät DS und in den Funktionssteuergeräten F-^ implementiert ist. Zum erfolgreichen Durchführen der Berechtigungsprozedur ist das fahrzeugspezifische Schlüsselwort notwendig. In einem nächsten Schritt 202 wird ein zusätzliches Gerät angeschlossen. Beispielsweise über eine vorgesehene Diagnoseschnittstelle kann das zusätzliche Gerät über den Bus sowohl mit dem Diebstahlschutzsteuergerät DS als auch mit den Funktionssteuergeräten F-j_ kommunizieren. Mit Hilfe des zusätzlichen Geräts läßt sich der Anlernvorgang beispielsweise von dem Bedienpersonal starten, Schritt 203. Anschließend wird in einem Schritt 204 das Schlüsselwort an das Diebstahlschutzsteuergerät DS und an die Funktionssteuergeräte Fj_ übertragen. Gegebenenfalls sind diese Übertragungsprozesse durch geeignete

Kontrollprozeduren zu verifizieren. Anschließend sendet das Diebstahlschutzsteuergerät DS das Schlüsselwort an die Eingabeeinheit E, Schritt 205. Insbesondere im Hinblick auf spätere Wartungsarbeiten ist es sinnvoll, den Eingabeeinheiten E unterschiedliche Berechtigungsfunktionen zuzuweisen. So kann vorgesehen sein, daß die Parametrierung eines ausgetauschten Funktionssteuergeräts F^ nur in Verbindung mit einer Master-Eingabeeinheit erfolgen kann. Auch das Anlernen neuer Eingabeeinheiten E läßt sich zweckmäßig nur in Verbindung mit der Master-Eingabeeinheit durchführen. Nach Schritt 205 wird in einem Schritt 206 eine Eingabeeinheit E ausgewählt, der als Master-Eingabeeinheit eine besondere Berechtigung zugewiesen wird. Im Ablaufdiagramm nach Figur 4 wird eine Möglichkeit beschrieben, wie neue Eingabeeinheiten E und neue

Funktionssteuergeräte F-^ nach der Erstinbetriebnahme zu parametrieren sind. In einem Schritt 301 wird ein zusätzliches Gerät angeschlossen, beispielsweise an einer Diagnoseschnittstelle. Hierauf wird die Master- Eingabeeinheit geprüft, beispielsweise durch das im

Zusammenhang mit Figur 2 erläuterte Challenge-Response- Verfahren, Schritt 302. Ist die Master-Eingabeeinheit nicht in Ordnung, Abfrage 303, wird als Fehlerfall, Schritt 304, der Vorgang unterbrochen. Ist die Master-Eingabeeinheit in Ordnung, besteht die Berechtigung, in einem Schritt 305 ein neues Funktionssteuergerät Fi in dem Kraftfahrzeug einzubauen oder eine neue Eingabeeinheit E anzulernen. Sind die neue Eingabeeinheit E oder das neue Funktionssteuergerät F-^ in der Lage, Daten auszutauschen, wird das Schlüsselwort an diese in einem Schritt 306 übertragen. Das Schlüsselwort wird durch die neue Eingabeeinheit E oder durch das neue Funktionssteuergerät F gespeichert, Schritt 307. Dieser Anlernvorgang wird in einer Abfrage 308 „Verifikation in Ordnung?" überprüft. Diese Verifikation kann beispielsweise darin bestehen, daß das Diebstahlschutzsteuergerät DS nach dem bereits beschriebenen Challenge-Response-Verfahren ein erstes oder zweites Codewort Ci, C von dem neuen Funktionssteuergerat Fi oder von der neuen Eingabeeinheit E erzwingt, das mit dem im Diebstahlschutzsteuergerät DS errechneten Kontrollcodewort verglichen wird. Ist die Verifikation nicht in Ordnung, kann die Anlernprozedur unterbrochen oder gegebenenfalls wiederholt werden, Schritt 309. Ist die Verifikation in Ordnung, werden die neuen Funktionssteuergeräte F und neue Eingabeeinheiten E integriert, Schritt 310. Denkbar ist auch, der neuen

Eingabeeinheit E im Diebstahlschutzsteuergerät DS einen bestimmten Empfängercode zuzuweisen, um die neue Eingabeeinheit E gezielt ansteuern zu können. Diese Daten könnten gegebenenfalls auch der Master-Eingabeeinheit mitgeteilt werden.