CN103237977A - 机动车发动机控制装置的可逆的、防篡改的编码方法和发动机控制装置 - Google Patents

Abstract

本发明涉及一种用于机动车（7）发动机控制装置（1）的可逆的、防篡改的编码方法，所述方法构造成用在具有不同的运行特征的机动车（7）中，其中，对于机动车（7）不可变地确定至少一个第一运行特征，在所述方法中在所述发动机控制装置（1）投入运行时将所述第一运行特征在一认证过程期间和/或认证过程之后如此存储到发动机控制装置（1）中，使得其仅在另一认证过程期间和/或另一认证过程之后是可更改的。

Description

机动车发动机控制装置的可逆的、防篡改的编码方法和发动机控制装置

技术领域

本发明涉及一种用于机动车发动机控制装置的可逆的、防篡改/防操纵的编码方法以及在一种这样的方法中应用的发动机控制装置。

背景技术

用于机动车的发动机控制装置是现在广泛地已知的并且设计用于发动机功能的控制、调节以及监测。对于发动机控制装置已知的是，在机动车的特征可更改的情况下也设有用于不同的这样的运行特征的软件和/或电子装置。针对机动车的这样的运行特征对发动机控制装置的调节/设定此外也称作编码。关于在机动车的使用寿命期间能够更改的这些运行特征，重新编码/代码转换因此是可能的。

然而存在机动车的这样的运行特征，其出于不同的原因不允许进行这样的重新编码，因此要特地针对这些运行特征——在下文中称为第一运行特征——设计并且研发控制装置。例如不可以对机动车的排气处理进行重新编码，因为重新编码将激活其他的差错记录/错误日志或指示，该指示例如在检查中将允许进行操纵/更改。因此部分地存在法律规定，其不允许在第一运行特征方面对发动机控制装置重新编码。因此例如在德国存在用于功率、排气处理或者起/停功能的激活/去活的规定。

由于因此有目的地针对该第一运行特征对发动机控制装置进行设计，所以不仅软件和硬件变型的数量提高了以胜任不同的要求，而且也产生了多个发动机控制装置变型，这随之带来了物流上的费用并且关于不同的发动机控制装置变型对于分辨能力和易操作性具有负面影响。对于多数的发动机控制装置变型的重要因素例如是不同的功率变型、不同的传动变型、不同的排气处理变型、起/停功能或没有起/停功能以及不同的最大速度。因此产生了在研发中通过制造和维护相应的发动机控制装置变型而引起的高成本、在生产中的高物流费用以及在客户服务中的高物流费用。而且在将发动机控制装置最后安装和配置到机动车上时也必须掌握不同的变型。

发明内容

因此本发明的目的在于，给出能够以唯一的发动机控制装置涵盖不同的第一运行特征的可能性。

为了实现该目的，按照本发明提出一种用于机动车的发动机控制装置的可逆的、防篡改的编码的方法，所述方法设计成用在具有不同的运行特征的机动车中，其中，不可变地为机动车确定至少一个第一运行特征，在所述方法中在所述控制装置的投入运行（Inbetriebnahme）情况下将所述第一运行特征在一认证过程期间和/或认证过程之后如此存储到发动机控制装置中，使得第一运行特征仅在另一认证过程期间和/或另一认证过程之后才是可更改的。

因此提出，设有一发动机控制装置，其能够综合现有技术中已知的发动机控制装置变型的至少一部分，因此可应用于第一运行特征的多个值。为了使这成为可能，本申请提出，对于确定的机动车必须是不可变的该第一运行特征——为避免篡改和/或基于相应的法律规定——在控制装置投入运行的时刻可以如此编码到该发动机控制装置中，使得该第一运行特征在一个确定的机动车中在发动机控制装置的使用寿命期间是不可变的并进而被防篡改地保存。

为了实现防篡改，仅在认证过程期间和/或认证过程之后、特别是紧接在认证过程之后才能进行存储，该认证过程因此在发动机控制装置的投入运行的范围中实施。特别有利地——在下文中还将进一步详细探讨——认证过程可以是本来在发动机控制装置的投入运行的范围中（并且仅在该投入运行期间）就已经进行的认证过程，这是因为该认证过程因此可连带也用于实现发动机控制装置的关于所述第一运行特征方面的设定。当然也可设想专门的、特地为所述第一运行特征的设定而设置的认证过程。在一个这样的认证过程的范围中能够例如对相应的存在于发动机控制装置中和存在于厂商侧的密钥进行比较，从而因此将一基于密钥的认证方法用作所述认证过程。然而也可设想其他类型的认证。

按照本发明的方法的特别的优点由下述方式得到，即：使用一在投入运行的范围中应用的认证过程，因为由此特别是能够，在另一个这样的认证过程中更改所述第一运行特征，从而例如能够在另一个和/或显著改变的机动车中继续使用一用过的发动机控制装置。这意味着，发动机控制装置能够当在一个新的车辆中投入运行时又——并且也对于这个新的车辆不可变地并且防篡改地——重新编码。因此，能够将该在本发明的范围中进行的过程称为“可逆的一次性编码”。

通过该可逆的一次性编码在发动机控制装置中创建了这样的可能性，即：防篡改地并且可编码地在发动机控制装置中保存重要的因素或运行特征，例如关于功率、排气处理和起/停模块方面的。由此，在将来能够，在唯一的发动机控制装置中综合关于第一运行特征方面的多个变型，由此显著减少了发动机控制装置变型的数量，从而因此节省了成本和物流费用。

如已经提到的，能够将所述机动车的功率和/或所述机动车的排气处理和/或起/停运行的激活或去活用作第一运行特征。自然也可设想其他第一运行特征，其应该对于一个机动车是不可变的并且因此防篡改地存储在发动机控制装置中。在此为了澄清要说明的是，当然该发动机控制装置此外能够如通常那样被设计用于不相应于第一运行特征的第二运行特征（但是该第二运行特征能够通过通常的编码过程设置）的不同的值。

在所述方法的另一设计方案中，能够将所述第一运行特征的至少一部分存储在所述发动机控制装置的一存储元件、特别是一EEPROM（电可擦可编程只读存储器）中。EEPROM证实是特别适合的，因为它在此众所周知地是电可擦可编程只读存储器，英文为“electrically erasableprogrammable read-only memory”。因此能够安全地获得编码。

优选地，能够在存储了所述第一运行特征的至少一部分之后设置一禁止对所述第一运行特征的存储空间进行写访问的禁止位。通过这种方式给出一种优美的技术方案，以便最后在机动车中发动机控制装置的投入运行之后禁止对第一运行特征的相应的存储空间进行访问；该禁止位归根结底亦即相应于一类“状态标志”，通过其可以说“冻结”了存储空间，从而所述存储空间直至另一投入运行过程为止保持不可变并进而防篡改。

因此，仅在发动机控制装置的另一投入运行中才可设想解除禁止位，从而能够规定，在所述认证过程范围中和/或紧接在所述认证过程结束之后解除所述禁止位，从而在认证过程之后进行对所述第一运行特征的至少一部分的存储。在此要注意的是，在投入运行中自然也能够规定，总地消除发动机控制装置的以前可能存在的编码，从而除了禁止位之外也重新清空特别是关于第一运行特征、但是在必要时也关于另外的第二运行特征的存储空间。

特别有利地能够在该设计方案中规定，在特别是也对不相应于所述第一运行特征的第二运行特征进行限定的编码字的第一分析期间存储所述第一运行特征的至少所述部分。这样的编码字原则上是已知的并且以紧凑的形式例如作为10比特长的编码字包含待设定的运行特征的值。按照本发明，该编码字也包含这样的第一运行特征、即能够在一个这样的编码字的第一分析中被设定在发动机控制装置中的第一运行特征。在以后的对第二运行特征的重新编码——对此将一新的编码字发送到发动机控制装置——中能够例如将包含在该编码字中的第一运行特征例如用于一致性检查或诸如此类。

特别有利的是，在应用禁止位时应用这样的编码字，这是因为那时在编码字的第一分析中便已能应用标准化的分析和编码算法，此后当在相同的机动车中的另外的编码过程中也基于禁止位而不再存在能够更改第一运行特征的风险。

在按照本发明的方法的一种特别优选的设计方案中，能够使所述认证在一学习过程的范围中实现。当在一个新的机动车中在投入运行的范围中使发动机控制装置学习时大多本来就将多个数据加密地传输到该发动机控制装置上，其中这样的学习过程于是也包含一认证过程，该认证过程特别有利地在按照本发明的方法中“被连带使用”，以便也提供对第一运行特征的设定的认证。因此不需要新的额外的认证，因为学习过程本来就在投入运行时（并且仅在那时）发生并因此已经给出了认证过程。

例如能够将在有多个控制装置参与的情况下的防盗系统的配置用作认证过程。另外，防盗系统在现有技术中是已知的。关于这方面将提出，将必要的信息分配到多个控制装置上，以便使篡改变得困难。在防盗系统的配置的末尾，检查其是否正确地安装，从而例如能够形成校验和等。在这里，如果防盗系统不正常工作，则已经禁止了机动车中的每个喷射过程。只有当防盗系统被正确地配置时，才能够——如果不是所有的第一运行特征都已经在防盗系统的配置期间被设置的话——解除例如禁止位并且随后实现将所述第一运行特征的至少所述部分存储到存储元件中，紧接着又重新设置禁止位。

此外还能够规定，在所述防盗系统的配置期间存储至少一个运行特征、特别是所述机动车的功率。特别是也能够在原本就加密地发生的并且视为认证过程的防盗系统配置期间便已设置所有的第一运行特征，然而经常原本就已经规定，将机动车的功率以功率级的形式在防盗系统配置的范围中传送。相应地有用的是，至少所述设定在防盗系统的配置期间便已进行。

除了所述方法之外，本发明也涉及一种用在具有不同的运行特征的机动车中的发动机控制装置，其中，至少一个第一运行特征对于机动车不可变地是可被确定的，该机动车特别是设计用于在与一特别是机动车外部的计算装置、特别是一测试器的通信的范围中实施根据上述权利要求之一所述的方法。按照本发明的发动机控制装置也不仅包含与第一运行特征的一个值有关的内容、也就是软件和/或硬件，而且还包含用于该第一运行特征的多个值的内容，例如用于多个功率级、用于起/停运行的激活和去活、和/或用于多个排气处理变型的内容。此外该控制装置被构造成，使得当在一确定的机动车的发动机控制装置的投入运行期间确定第一运行特征之后、在这个机动车的发动机控制装置的使用寿命期间不再能实现对第一运行特征的篡改；该按照本发明的发动机控制装置亦即包含用于实施按照本发明的方法、即可逆的一次性编码所必要的软件和/或硬件构件。因此例如能够规定，设有一用于对于一机动车不变地存储所述第一运行特征的至少一部分的EEPROM。

为了进行按照本发明的发动机控制装置的投入运行，能够例如如下进行。如果是新出厂的发动机控制装置，那么其在在EEPROM中没有记入的编码字的情况下被装在机动车中并且随后通过机动车中的防盗系统的配置进行学习。在此已经能够设置一个功率级作为第一运行特征。接着对发动机控制装置进行编码，其方法是：例如通过外部通信装置或通过惯常的通信连接例如因特网连接而接收编码字。在发动机控制装置的相应的编码之后冻结了编码字在EEPROM中的表征为可逆的、可一次性编码的存储空间，这意味着，例如为包含第一运行特征的存储空间设置一禁止位。该存储空间/编码单元在没有防盗系统的学习/再学习过程的情况下不再能够被重新编码，而剩余的相应于第二运行特征的存储空间（其对应于编码字的其他部分）能够被任意地经常地重新编码。

在一用过的发动机控制装置情况下，该发动机控制装置已经进行了学习、编码并且在EEPROM中具有由此已经“闭锁的”存储空间，例如按照EU5的排气处理设定和激活的起/停运行。现在要将该发动机控制装置装在另一例如具有按照EU2的排气处理并且不具有起/停运行的机动车中。因此该发动机控制装置在当前状态下不能在该机动车中运行，从而现在通过防盗系统在新的机动车上的配置使发动机控制装置进行学习，其中，解除禁止位并且在必要时也消除在EEPROM中的完整的编码字。在防盗系统的配置期间也能够已经设置该新的机动车的功率级。接着对发动机控制装置重新进行编码，其方法是：接收编码字并且将其相应地存储在EEPROM中，其中，又通过设置禁止位来冻结编码字在EEPROM中的表征为可逆的、可一次性编码的存储空间。通过这种方式，在应用在另一机动车中时关于第一运行特征的篡改也是不可能的。然而其他包含在编码字中的运行特征能够被任意地重新编码。

附图说明

由在下文中描述的各实施例以及根据附图得到本发明的其他优点和细节。其中：

图1示出按照本发明的控制装置的原理图；

图2示出在发动机控制装置投入运行时的机动车；以及

图3示出按照本发明的方法的一种实施例的流程图。

具体实施方式

图1示出了按照本发明的发动机控制装置1的原理图。在发动机控制装置1中存放有不同的功能性作为软件和/或硬件模块。在此发动机控制装置1特别是如图1所示的包含多个用于不同的功率级的构件2、用于具有起/停功能和不具有起/停功能的运行的构件3以及用于不同类型的排气处理的构件4。功率级、排气处理的类型以及起/停运行的激活或去活是第一运行特征，所述第一运行特征的突出之处在于，它们对于确定的机动车必须被确定，亦即应该是不可变的并且防篡改的。为此的原因在于，应该避免例如在检查时通过篡改发动机控制装置1进行欺骗和/或避免违反法律规定。当然也可考虑对于确定的机动车应该不可变地在发动机控制装置1中被设定的、另外的第一运行特征。

在此要注意，发动机控制装置1也包含用于不同的另外的第二运行特征的多个构件，所述第二运行特征在发动机控制装置的使用寿命期间在一确定的机动车内应该是可变的亦即可重新编码的。

此外发动机控制装置1包括必要的构件5，还有软件和/或硬件构件，以便能够实施按照本发明的方法，该方法允许关于第一运行特征的可逆的一次性编码。为了存储第一运行特征的至少一部分以及第二运行特征——其例如通过测试器作为编码字提供给发动机控制装置1，发动机控制装置1包含EEPROM（电可擦可编程只读存储器）6。

如果发动机控制装置1作为还未编码的发动机控制装置1或用过的发动机控制装置1装在一确定的机动车7中，如图2所示的，那么在认证过程期间和/或认证过程之后在发动机控制装置1的投入运行的范围内设定第一运行特征并且将其对于该机动车7不可变地亦即防篡改地存储起来。为了投入运行，发动机控制装置1例如与一外部计算装置8、例如一测试器进行通信。

图3现在示出了按照本发明的方法的一种实施例的流程图。在步骤9中建立发动机控制装置1与外部计算装置8之间的通信连接，从而例如能够从数据库调用关于机动车7的数据。在接下来的学习过程或再学习过程10（其中仅仅示出了对于按照本发明的方法相关的步骤）的范围中，现在此外也实现了防盗系统/防盗锁的配置。该防盗系统在本实施例中构造成，使得将其数据分配到多个控制装置中，发动机控制装置1属于其中之一。在配置防盗系统的范围中现在也从数据库获得关于机动车7的功率级的信息（步骤11）。在步骤12中现在检查，是否在发动机控制装置1中包含有用于该功率级的相应的构件2并且发动机控制装置1被设定为相应的功率级。由于该功率是第一运行特征，所以该设定能够仅在这个学习过程——具体地说是防盗系统的配置——的范围中实现，其加密钥地进行并且取决于或显现为认证过程。因此作为第一运行特征的功率级设定的更改始终仅在发动机控制装置1的投入运行或者说学习的范围中才能实现，在以后的时间点上的重新编码、因此篡改是不可实施的。

在步骤13中检查，防盗系统是否正确地被配置，因此此外也检查功率级是否正确地被设定，此后其在本实施例中形成被分配地设置的防盗系统信息的一部分，在对该部分篡改时判定出不一致性。

如果例如根据校验和判定出：存在防盗系统的错误，那么在步骤14中进行错误存储记入以及每个喷射可能性的去活，从而不能起动机动车7。

然而如果防盗系统是正常的，那么在步骤15中将EEPROM6中的禁止位设置为“解除”这个值，从而EEPROM6中的、配属给另外的第一运行特征（在此为起/停运行的激活/去活以及排气处理）的存储空间能够被写入。还能够设定，消除在EEPROM6中配属给整个编码字的存储空间。这里，在第一次使用的发动机控制装置1中当然还不包含值，然而当在一个新的机动车7中再次使用该发动机控制装置1时允许针对该新的机动车7的重新编码。

随后在步骤16中实现标准编码过程，为此将编码字17传送给发动机控制装置1，该编码字以紧凑的形式包含所有运行特征或除功率级之外的所有运行特征的值。现在对编码字17进行分析，以便相应地写入EEPROM6中的存储空间中，其中，因为解除了禁止位，配属给排气处理和起/停运行这些第一运行特征的存储空间在步骤16中能够被写入。然而，用于第二运行特征的存储空间（其在以后的进程中还应该是可重新编码的）在步骤16中也已经被设置。

最后在步骤18中将禁止位又重新设置为“闭锁”，从而当进行以后的重新编码时，仅还能够更改EEPROM6的配属给第二运行特征的存储空间。第一运行特征在机动车7中在发动机控制装置1的整个使用寿命期间是不可变的，因此是防篡改的，因为如果将要进行一个新的学习过程、具体的说就是防盗系统的安全配置，那么仅仅会取消通过该禁止位造成的闭锁。然而可毫无困难地在另一标准编码步骤16中设想第二运行特征的重新编码，其中那么又重新分析一相应的编码字17。然而能够不变换第一运行特征。

Claims (11)

1.一种用于机动车（7）发动机控制装置（1）的可逆的、防篡改的编码的方法，所述方法被设计用在具有不同的运行特征的机动车（7）中，其中，对于机动车（7）不可变地确定至少一个第一运行特征，在所述方法中在所述发动机控制装置（1）投入运行时将所述第一运行特征在一认证过程期间和/或认证过程之后如此存储到发动机控制装置（1）中，使得该第一运行特征仅在另一认证过程期间和/或另一认证过程之后是可更改的。

2.根据权利要求1所述的方法，其特征在于，将所述机动车（7）的功率和/或所述机动车（7）的排气处理和/或起/停运行的激活或去活用作第一运行特征。

3.根据权利要求1或2所述的方法，其特征在于，将所述第一运行特征的至少一部分存储在所述发动机控制装置（1）的一存储元件、特别是EEPROM（6）中。

4.根据权利要求3所述的方法，其特征在于，在存储了所述第一运行特征的至少一部分之后，设置一禁止对所述第一运行特征的存储空间进行写访问的禁止位。

5.根据权利要求4所述的方法，其特征在于，在所述认证过程的范围中和/或直接在所述认证过程结束之后解除所述禁止位。

6.根据权利要求4或5所述的方法，其特征在于，在——特别是还对不相应于所述第一运行特征的第二运行特征进行限定的——编码字（17）的第一分析期间存储所述第一运行特征的至少所述部分。

7.根据上述权利要求之一所述的方法，其特征在于，所述认证在一学习过程（10）的范围中实现。

8.根据权利要求7所述的方法，其特征在于，在有多个控制装置参与的情况下将防盗系统的配置用作认证过程。

9.根据权利要求8所述的方法，其特征在于，在所述防盗系统的配置期间存储至少一个第一运行特征、特别是所述机动车（1）的功率。

10.一种在具有不同的运行特征的机动车（7）中使用的发动机控制装置（1），其中，至少一个第一运行特征能对于机动车（7）不可变地被确定，该发动机控制装置特别是被设计用于在与一特别是机动车外部的计算装置（8）——特别是测试器——通信的范围内实施根据上述权利要求之一所述的方法。

11.根据权利要求11所述的发动机控制装置，其特征在于，设有一用于对于机动车（1）不变地存储所述第一运行特征的至少一部分的EEPROM（6）。

Images