-
Stand der Technik
-
Die vorliegende Erfindung betrifft ein Verfahren zum Schutz eines Mikrorechners eines Steuergeräts für ein Kraftfahrzeug gegen Manipulation eines zumindest teilweise in einem wiederbeschreibbaren Speicher des Mikrorechners abgelegten Steuerprogrammes, indem ein in dem Mikrorechner abgelegtes Überprüfungsprogramm zum Erkennen einer unbefugten Manipulation des Steuerprogramms ausgeführt wird. Die Erfindung betrifft außerdem ein Steuergerät für ein Kraftfahrzeug, mit einem Mikrorechner, der einen wiederbeschreibbaren Speicher aufweist, in dem ein Steuerprogramm zumindest teilweise ablegbar ist, und auf dem ein Überprüfungsprogramm zum Schutz des Mikrorechners gegen Manipulation des Steuerprogramms ablauffähig ist.
-
Aus der
DE 197 53 730 A1 sind bereits Applikationssteuergeräte und Seriensteuergeräte bekannt.
-
Ein Verfahren der eingangs genannten Art ist bspw. aus der
DE 197 23 332 A1 bekannt. Dort wird ein Verfahren zum Schutz eines Mikrorechners eines Steuergeräts für ein Kraftfahrzeug offenbart, bei dem ein in dem Mikrorechner abgelegtes Überprüfungsprogramm ausgeführt wird. Im Rahmen des Überprüfungsprogramms wird aus zumindest einem. Teil des Speicherinhalts eines wiederbeschreibbaren Speichers des Mikrorechners mit einem bestimmten Schlüssel, der in dem Mikrorechner abgelegt ist, ein Codewort gebildet. Das Codewort wird mit einem in dem wiederbeschreibbaren Speicher abgelegten Vergleichswort verglichen. Das Vergleichswort wird im Anschluß an eine Programmierung bzw. Umprogrammierung des wiederbeschreibbaren Speichers in Kenntnis des Schlüssels und des Speicherinhalts des wiederbeschreibbaren Speichers in diesem abgelegt. Dieses Verfahren zum Schutz des Mikrorechners gegen Manipulation seines Steuerprogramms ist in ISO 14230 normiert. Der Schlüssel ist herstellerabhängig und in der Regel nur dem Hersteller (zum Programmieren des Steuergeräts) und autorisierten Vertragswerkstätten (zum Umprogrammieren des Steuergeräts im Rahmen von Software-Updates) bekannt. Das Verfahren wird auch als Seed-and-Key-Verfahren bezeichnet.
-
Falls der wiederbeschreibbare Speicher von einem Unbefugten umprogrammiert wird, muss dieser im Anschluß an die Umprogrammierung auf jedem Fall ein Vergleichswort bilden und in dem wiederbeschreibbaren Speicher ablegen. Im Rahmen des Überprüfungsprogramms wird dann ein Codewort in Abhängigkeit von dem Schlüssels und dem Speicherinhalt des umprogrammierten wiederbeschreibbaren Speichers gebildet und dieses mit dem abgelegten Vergleichswort verglichen. Da der Unbefugte in der Regel den Schlüssel des Mikrorechners nicht kennt, ist das Vergleichswort wahrscheinlich ungültig und stimmt nicht mit dem Codewort überein. Auf diese Weise wird die unbefugte Manipulation des Steuerprogramms erkannt.
-
Manchmal kann es jedoch notwendig bzw. hilfreich sein, das Überprüfungsprogramm zu deaktivieren, um nicht nach jedem Umprogrammieren des wiederbeschreibbaren Speichers ein Vergleichswort aus dem Speicherinhalt und dem Schlüssel bilden und in dem wiederbeschreibbaren Speicher ablegen zu müssen. Das ist bspw. dann der Fall, wenn das Steuergerät zu Entwicklungs-, Prüf- oder Testzwecken häufig umprogrammiert werden muss, insbesondere in der Anfangsphase der Entwicklung des Steuergeräts oder des Steuerprogramms oder zur Variation von Einstellungen an einer von dem Steuergerät gesteuerten Brennkraftmaschine.
-
Der vorliegenden Erfindung liegt deshalb die Aufgabe zu Grunde, ein in einem Mikrorechner eines Kraftfahrzeug-Steuergeräts abgelegtes Überprüfungsprogramm zeitweilig deaktivieren zu können, ohne dass es durch die mögliche Deaktivierung des Überprüfungsprogramms zu einem verminderten Schutz eines in einem wiederbeschreibbaren Speicher des Mikrorechners abgelegten Steuerprogrammes kommt.
-
Zur Lösung dieser Aufgabe schlägt die Erfindung ausgehend von dem Verfahren zum Schutz eines Mikrorechners eines Steuergeräts der eingangs genannten Art vor, dass die Steuergeräte in Seriengeräte und Applikationsgeräte unterteilt werden, die sich durch eine elektronische Hardware-Kennung voneinander unterscheiden, wobei das Überprüfungsprogramm in den Applikationsgeräten mittels Standardbefehlen und in den Seriengeräten mittels Sondermaßnahmen bei Bedarf von einem aktivierten in einen deaktivierten Zustand umgeschaltet wird und wobei nur die Standardbefehle frei zugänglich sind.
-
Vorteile der Erfindung
-
Gemäß der vorliegenden Erfindung wird also ausgehend von der bekannten Software-Kennung des Seed-and-Key-Verfahrens eine Hardware-Kennung als Überbau zum Deaktivieren der Software-Kennung vorgeschlagen. Aufgrund der elektronischen Hardware-Kennung dient das Steuergerät selbst als Informationsträger für die Frage, ob es sich um ein Applikationsgerät oder um ein Seriengerät handelt.
-
In der Regel werden nur so viele Steuergeräte als Applikationsgeräte ausgebildet, wie für eine Entwicklung des Steuergeräts, des Steuerprogramms oder der Brennkraftmaschine, die von dem Steuergerät und dem Steuerprogramm gesteuert wird, notwendig sind. Die Anzahl und Verbreitung der Applikationsgeräte ist also stark eingeschränkt. Die Applikationsgeräte unterscheiden sich von den Seriengeräten insbesondere dadurch, dass die Überprüfungsprogramme mittels Standardbefehle, die frei zugänglich sind, zwischen einem aktivierten und einem deaktivierten Zustand umgeschaltet werden können.
-
Wenn sich das Überprüfungsprogramm in einem aktivierten Zustand befindet, muss nach jeder Umprogrammierung des wiederbeschreibbaren Speichers des Mikrorechners ein Vergleichswort ermittelt und in dem wiederbeschreibbaren Speicher abgelegt und die Software-Kennung durchgeführt werden. Bei einem deaktivierten Überprüfungsprogramm kann eine Umprogrammierung des wiederbeschreibbaren Speichers nahezu beliebig oft wiederholt werden, ohne jedesmal die Software-Kennung durchlaufen zu müssen.
-
Dagegen machen die Seriengeräte den weitaus größten Teil der Steuergeräte aus. Bei den Seriengeräten kann das Überprüfungsprogramm lediglich mittels Sondermaßnahmen, die nur beschränkt zugänglich sind, von einem aktivierten in einen deaktivierten Zustand umgeschaltet werden. Die Sondermaßnahmen sind vorzugsweise nur dem Hersteller der Steuergeräte bekannt.
-
Die Standardbefehle bei dem erfindungsgemäßen Verfahren entsprechen in etwa dem Deaktivierungscode bei dem aus dem Stand der Technik bekannten Verfahren. Der Unterschied zwischen dem erfindungsgemäßen Verfahren und dem Stand der Technik besteht jedoch darin, dass die Anzahl und Verbreitung von Applikationsgeräten, bei denen als einzige das Überprüfungsprogramm mit Standardbefehlen von einem aktivierten in einen deaktivierten Zustand umgeschaltet werden kann, stark beschränkt ist. Die weit verbreiteten Seriengeräte können dagegen nur mit den nicht frei zugänglichen, Sondermaßnahmen umgeschaltet werden.
-
Die Sicherheit des erfindungsgemäßen Verfahrens lässt sich noch weiter erhöhen, in dem die Zugänglichkeit der Standardbefehle zum Umschalten des Überprüfungsprogramms in den Applikationsgeräten von einem aktivierten in den deaktivierten Zustand eingeschränkt wird. Es ist denkbar, dass die Standardbefehle neben dem Hersteller der Steuergeräte nur einigen wenigen ausgewählten Entwicklern beim Kunden und den Mitarbeitern einiger weniger ausgewählter Vertragswerkstätten des Kunden bekannt sind. Außerdem kann die Verbreitung der Applikationsgeräte genau überwacht und gesteuert werden.
-
Gemäß einer vorteilhaften Weiterbildung der vorliegenden Erfindung beruht die Software-Kennung auf dem sog. Seed-and-Key-Verfahren, wobei im Rahmen des Überprüfungsprogramms aus zumindest einem Teil des Speicherinhalts des wiederbeschreibbaren Speichers mit einem Schlüssel ein Codewort gebildet und dieses mit einem in dem wiederbeschreibbaren Speicher abgelegten Vergleichswort verglichen. Dieses Verfahren ist ausführlich in der
DE 197 23 332 A1 beschrieben.
-
Gemäß einer bevorzugten Ausführungsform der vorliegenden Erfindung wird vorgeschlagen, dass das Überprüfungsprogramm in den Applikationsgeräten und in den Seriengeräten mittels Standardbefehle von einem deaktivierten in einen aktivierten Zustand umgeschaltet wird. Da durch ein Umschalten des Überprüfungsprogramms eines Steuergeräts in einen aktivierten Zustand keine Gefahr der Manipulation des Steuerprogramms des Steuergeräts besteht, darf dieses Umschalten von jedermann mittels Standardbefehle ausgeführt werden.
-
Gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung wird vorgeschlagen, dass das Überprüfungsprogramm in den Applikationsgeräten mittels Standardbefehlen von dem deaktivierten in einen verriegelt aktivierten Zustand und mittels Sondermaßnahmen von dem verriegelt aktivierten Zustand in den deaktivierten Zustand umgeschaltet wird. Gemäß dieser Ausführungsform des erfindungsgemäßen Verfahrens kann das Applikationsgerät also zwischen drei unterschiedlichen Zuständen umgeschaltet werden. Neben dem Zustand mit einfach aktivierter (nicht verriegelter) Software-Kennung und dem Zustand mit deaktivierter Software-Kennung kann das Applikationsgerät auch in einen Zustand mit verriegelt aktivierter Software-Kennung umgeschaltet werden. In diesem Zustand kann. das Applikationsgerät nach Abschluss der Applikations- und Entwicklungsphase als normales Seriengerät eingesetzt werden. Aus dem Zustand mit deaktivierter Software-Kennung wird das Applikationsgerät mittels Standardbefehle in den Zustand mit verriegelt aktivierter Software-Kennung umgeschaltet. Diesen Zustand kann das Applikationsgerät nur mittels Sondermaßnahmen verlassen. Diese sind nur beschränkt, bspw. nur dem Hersteller der Steuergeräte, zugänglich. Ein unbefugtes Modifizieren des Steuerprogramms in dem wiederbeschreibbaren Speicher eines Applikationsgeräts, indem der Zustand des Applikationsgerätes unbefugterweise in den Zustand mit deaktivierter Software-Kennung umgeschaltet wird, ist damit nahezu ausgeschlossen.
-
Wird bei Seriengeräten versucht, mit einem Standardbefehl das Überprüfungsprogramm von dem deaktivierten in den einfach aktivierten (nicht verriegelten) Zustand umzuschalten, wird das Überprüfungsprogramm gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung automatisch in den verriegelt aktivierten Zustand umgeschaltet. Dadurch wird sichergestellt, dass das Seriengerät nach Abschluß einer Umprogrammierung des Steuerprogramms auf jeden Fall wieder in den verriegelt aktivierten Zustand gelangt, um ein unbefugtes Manipulieren des Steuerprogramms zu verhindern.
-
Gemäß einer vorteilhaften Weiterbildung der vorliegenden Erfindung wird vorgeschlagen, dass die Standardbefehle zum Aktivieren bzw. Deaktivieren des Überprüfungsprogramms über eine Kommunikationsschnittstelle an das Steuergerät übermittelt werden. Die Kommunikationsschnittstelle ist bspw. als ein Controller-Area-Network (CAN)-Bus oder eine K-Leitung ausgebildet. Zu Prüf- und Diagnosezwecken ist es aus dem Stand der Technik bekannt, eine K-Leitung zwischen dem Steuergerät und einem Diagnose- oder Prüfgerät anzuordnen. Über eine K-Leitung werden Daten nach dem Key Word Protocol 2000 (ISO 14 230) übertragen. Diese K-Leitung wird auch zum Übermitteln der Befehle zum Umschalten des Überprüfungsprogramms zwischen einem aktivierten und einem inaktivierten Zustand verwendet.
-
Als weitere Lösung der Aufgabe der vorliegenden Erfindung wird ausgehend von dem Steuergerät der eingangs genannten Art vorgeschlagen, dass das Steuergerät eine elektronische Hardware-Kennung zur Identifikation des Steuergeräts als Seriengerät oder als Applikationsgerät aufweist, wobei das Überprüfungsprogramm in einem Applikationsgerät mittels Standardbefehle und in einem Seriengerät mittels Sondermaßnahmen bei Bedarf von einem aktivierten Zustand in einen deaktivierten Zustand umschaltbar ist und die Standardbefehle frei und die Sondermaßnahmen beschränkt zugänglich sind.
-
Die elektronische Hardware-Kennung kann als ein beliebiges elektronisches Bauteil der Schaltung des Steuergeräts ausgebildet sein. Das elektronische Bauteil ist bspw. als ein EPROM, ein EEPROM oder als ein programmierbares logisches Bauteil (programmable logical device, PLD), als eine programmable array logic (PAL) oder als ein GAL ausgebildet sein. Die logischen Bauteile (PLDs) können für Applikationsgeräte und für Seriengeräte unterschiedlich programmiert sein. Nach außen ist eine Unterscheidung zwischen Applikationsgerät und Seriengerät nur im Rahmen der Umschaltung des Überprüfungsprogramms zwischen aktiviertem und deaktiviertem Zustand möglich.
-
Alternativ wird jedoch gemäß einer vorteilhaften Weiterbildung der vorliegenden Erfindung vorgeschlagen, dass die elektronische Hardware-Kennung als mindestens ein in die Schaltung des Steuergeräts integriertes zusätzliches elektronisches Bauteil ausgebildet ist. Applikationsgeräte und Seriengeräte unterscheiden sich gemäß dieser Weiterbildung in einer unterschiedlich bestückten Schaltung. Die unterschiedliche Bestückung der Schaltung kann bspw. mittels Widerständen mit unterschiedlichen Widerstandswerten, mittels Spulen mit unterschiedlichen Induktivitäten, mittels Kondensatoren mit unterschiedlichen Kapazitäten, mit zusätzlichen Widerständen, Induktivitäten oder Kondensatoren, mit zusätzlichen Transistoren oder mit zusätzlichen logischen Bauteilen erzielt werden.
-
Zeichnungen
-
Ein bevorzugtes Ausführungsbeispiel der vorliegenden Erfindung wird im Folgenden an Hand der Figuren näher erläutert. Es zeigen:
-
1 ein Steuergerät mit einem Mikrorechner und wiederbeschreibbarem Speicher, optional mit Programmiergerät
-
2 ein erfindungsgemäßes Verfahren gemäß einer bevorzugten Ausführungsform am Beispiel eines Applikationsgerätes;
-
3 das erfindungsgemäße Verfahren aus 2 am Beispiel eines Steuergerätes;
-
4 ein Zustandsdiagramm des erfindungsgemäßen Verfahrens gemäß 2; und
-
5 ein Zustandsdiagramm des erfindungsgemäßen Verfahrens gemäß 3.
-
Beschreibung des Ausführungsbeispiels
-
Die vorliegende Erfindung betrifft ein Verfahren zum Schutz eines Mikrorechners gegen unbefugte Umprogrammierung. Der Mikrorechner ist Teil eines Steuergerätes zur Steuerung der Brennkraftmaschine und/oder anderer Funktionen eines Kraftfahrzeugs. Diese anderen Funktionen sind bspw. Antiblockiersystem, Antriebsschlupfregelung, elektronisches Stabilitätsprogramm, Ein-/Ausschalten und Ausrichten von Scheinwerfern, usw. Durch die Bezeichnung Steuergerät und Steuerprogramm ist die Funktion des Steuergeräts nicht auf die Steuerung von bestimmten Kraftfahrzeugfunktionen beschränkt. Vielmehr kann das Steuergerät, für einen Fachmann ohne weiteres erkennbar, mit Hilfe des Steuerprogramms in dem Kraftfahrzeug auch Regelungsaufgaben übernehmen.
-
1 zeigt ein Steuergerät 100 mit dem Mikrorechner 101 und einem darin enthaltenen wiederbeschreibbaren Speicher 102. In dem Steuergerät 100 kann ein weiterer Speicher 103 enthalten sein. Daneben können optional weitere Elemente 105, wie weitere Mikrorechner, Speicher, Ein-/Ausgabebaugruppen, etc. je nach Ausstattung und Variante des Steuergerätes 100 enthalten sein. Die einzelnen Elemente des Steuergerätes sind durch wenigstens ein steuergeräteinternes Bussystem 106 miteinander verbunden. Mit 104 ist eine Ein-/Ausgabebaugruppe für eine Kommunikationsschnittstelle 107 dargestellt über welche das Steuergerät mit externen Komponenten kommunizieren kann. Insbesondere eine Um- oder Neuprogrammierung des Steuergeräts, insbesondere bezüglich Speicher 102 und/oder Speicher 103, kann über diese Schnittstelle vorgenommen werden. Dies geschieht z. B. mit Hilfe eines externen Programmiergerätes 108.
-
Der Mikrorechner weist einen wiederbeschreibbaren Speicher auf, in dem ein Steuerprogramm zur Durchführung der Steuerungsaufgaben abgelegt ist. Der Mikrorechner verfügt über eine Software-Kennung, um eine unbefugte Manipulation des Steuerprogramms zu erkennen. Die Software-Kennung umfasst bspw. ein Überprüfungsprogramm, das nach der Umprogrammierung des wiederbeschreibbaren Speichers des Mikrorechners durchlaufen wird.
-
Nach dem Programmieren oder Umprogrammieren des wiederbeschreibbaren Speichers mit einem neuen Steuerprogramm wird zunächst aus dem Speicherinhalt des wiederbeschreibbaren Speichers unter Zuhilfenahme eines Schlüssels, der in dem Mikrorechner abgelegt ist, ein Vergleichswort gebildet und in dem wiederbeschreibbaren Speicher abgelegt. Im Rahmen des Überprüfungsprogramms wird dann aus zumindest einem Teil des Speicherinhalts des wiederbeschreibbaren Speichers und dem Schlüssel ein Codewort gebildet und dieses mit dem abgelegten Vergleichswort verglichen. Das Codewort und das Vergleichswort stimmen nur dann überein, wenn zu ihrer Bildung der gleiche Schlüssel verwendet wurde, wenn also bei der Bildung des Vergleichsworts der Schlüssel bekannt war. Stimmen das Codewort und das Vergleichswort nicht überein, wird von einer unbefugten Umprogrammierung des Steuerprogramms ausgegangen und das Steuergerät gesperrt. Dieses Verfahren wird als Seed-and-Key-Verfahren bezeichnet.
-
Unter bestimmten Voraussetzungen kann es jedoch notwendig bzw. hilfreich sein, das Seed-and-Key-Verfahren zu deaktivieren, um das Steuergerät mehrmals hintereinander umprogrammieren zu können, ohne jedesmal das Vergleichswort bestimmen und in dem wiederbeschreibbaren Speicher ablegen zu müssen. Die vorliegende Erfindung schlägt ein Verfahren und ein Steuergerät vor, bei denen das Seed-and-Key-Verfahren auf einfache Weise deaktiviert werden kann, ohne dass dadurch das Erkennen einer unbefugten Manipulation des Steuerprogramms durch das Seed-and-Key-Verfahren im aktivierten Zustand beeinträchtigt wird. Dadurch kann vermieden werden, dass bereits in der Entwicklungsphase eines Steuergeräts Tools mit dem Seed-and-Key-Verfahren bzw. der Schlüssel des Seed-and-Key-Verfahrens in großer Zahl an eine Vielzahl von Personen verteilt werden. Das erfindungsgemäße Verfahren führt somit zu einer Minderung des Risikos eines Missbrauchs der Tools oder des Schlüssels.
-
Die hergestellten Steuergeräte werden zunächst in Applikationsgeräte und in Seriengeräte unterteilt. Am Beginn einer Fertigungsserie und bei Bedarf auch mitten in einer Fertigungsserie werden eine beschränkte Anzahl von Steuergeräten als Applikationsgeräte gefertigt. Die Applikationsgeräte unterscheiden sich von den Seriengeräten durch eine unterschiedliche elektronische Hardware-Kennung. Die elektronische Hardware-Kennung kann als mindestens ein beliebiges elektronisches Bauteil der Schaltung des Steuergeräts oder aber als mindestens ein beliebiges in die Schaltung des Steuergeräts integriertes zusätzliches elektronisches Bauteil ausgebildet sein. Als elektronische Bauteile kommen bspw. Widerstände, Spulen, Kondensatoren, beliebige Speicherbauteile oder logische Bauteile in Betracht. Der Zustand der elektronischen Hardware-Kennung kann nur im Rahmen der Umschaltung des Überprüfungsprogramms zwischen aktiviertem und deaktiviertem Zustand abgefragt werden. Dazu wird vorzugsweise eine Kommunikationsschnittstelle, bspw. eine K-Leitung, an die externen Anschlüsse des Steuergeräts angeschlossen. Die Datenübertragung über die K-Leitung erfolgt nach dem sog. Key Word Protocol 2000 (ISO 14230). Die Kommunikationsschnittstelle kann auch als ein Controller-Area-Network (CAN)-Bus ausgebildet sein.
-
Gemäß der vorliegenden Erfindung ist das Steuergerät selbst (d. h. die Hardware des Steuergeräts) der Informationsträger zur Identifikation des Steuergeräts als Seriengerät oder als Applikationsgerät. Das Applikationsgerät weist drei Zustände auf, zwischen denen es umgeschaltet werden kann (vgl. 2). In einem ersten Zustand 1 ist die Software-Kennung verriegelt aktiviert. In einem zweiten Zustand ist die Software-Kennung einfach, d. h. nicht verriegelt, aktiviert. In einem dritten Zustand 3 ist die Software-Kennung deaktiviert. Der Auslieferungszustand des Applikationsgerätes ist der Zustand 2 mit einfach aktivierter Software-Kennung. In dem Zustand 2 kann eine Umprogrammierung des Steuerprogramms nur durchgeführt werden, wenn für jede Umprogrammierung das Seed-and-Key-Verfahren durchlaufen wird. Anders als in 2 dargestellt, ist es auch möglich, das Applikationsgerät in dem Zustand 3 mit deaktivierter Software-Kennung auszuliefern.
-
Aus dem Zustand 2 kann das Applikationsgerät mittels eines ersten Standardbefehls 4 in den Zustand 3 mit deaktivierter Software-Kennung umgeschaltet werden. Solange sich das Applikationsgerät in diesem Zustand 3 befindet, kann es nahezu beliebig häufig umprogrammiert werden, ohne dass nach jedem Umprogrammieren das Seed-and Key-Verfahren durchlaufen werden muss. Nach Abschluss einer Entwicklungs-, Erprobungs- oder Testphase kann das Applikationsgerät mittels eines zweiten Standardbefehls 5 wieder in den Zustand 2 mit einfach aktivierter Software-Kennung umgeschaltet werden. Aus diesem Zustand kann das Applikationsgerät mittels des ersten Standardbefehls 4 jederzeit wieder in den Zustand 3 umgeschaltet werden.
-
Falls abgesehen werden kann, dass eine weitere Entwicklungs-, Erprobungs- oder Testphase nicht nötig sein wird, kann das Applikationsgerät aus dem Zustand 3 mit deaktivierter Software-Kennung mittels eines dritten Standardbefehls 6 in den Zustand 1 mit verriegelt aktivierter Software-Kennung umgeschaltet werden. In diesem Zustand 1 ist eine Umprogrammierung des Steuerprogramms nur unter Durchlaufen des Seed-and-Key-Verfahrens im Anschluss an die Umprogrammierung möglich.
-
Es ist zwar theoretisch möglich, das Applikationsgerät aus dem Zustand 1 in den Zustand 3 umzuschalten. Dazu bedarf es aber einer Sondermaßnahme 7, bspw. eines Sonderbefehls, der im Gegensatz zu den Standardbefehlen 4, 5, 6 lediglich beschränkt zugänglich ist. Vorzugsweise ist der Sonderbefehl 7 nur dem Hersteller des Steuergerätes bekannt. Dadurch ist der Personenkreis, der Kenntnis von dem Sonderbefehl 7 hat, so weit eingeschränkt werden, dass ein Missbrauch oder eine Weitergabe des Sonderbefehls 7 an Unbefugte nahezu ausgeschlossen ist.
-
Zur Erhöhung der Sicherheit des erfindungsgemäßen Verfahrens kann die Verfügbarkeit des ersten Standardbefehls 4 ebenfalls auf den Hersteller der Steuergeräte und Mitarbeiter von Kunden beschränkt werden. Dann kann die Gefahr einer unbefugten. Umprogrammierung des Steuerprogramms vermindert werden, selbst wenn sich das Applikationsgerät nur in dem einfach aktivierten Zustand 2 und nicht in dem verriegelt aktivierten Zustand 1 befindet.
-
Im Gegensatz zu den Applikationsgeräten verfügen die Seriengeräte (vgl. 3) lediglich über zwei Zustände, zwischen denen sie umgeschaltet werden können. Die Seriengeräte werden in dem Zustand 1 mit verriegelt aktivierter Software-Kennung ausgeliefert. Aus diesem Zustand 1 können sie mittels des Sonderbefehls 7 lediglich in den Zustand 3 mit deaktivierter Software-Kennung umgeschaltet werden. Wenn versucht wird, das Seriengerät aus dem Zustand 3 mittels des zweiten Standardbefehls 5 in den Zustand 2 mit einfach aktivierter Software-Kennung umzuschalten, wird auf Grund der Hardware-Kennung erkannt, dass es sich bei dem vorliegenden Steuergerät um ein Seriengerät handelt, das nicht in den Zustand 2 umgeschaltet werden darf. Durch den zweiten Standardbefehl 5 wird das Seriengerät also nicht in den Zustand 2 mit einfach aktivierter Software-Kennung, sondern in den Zustand 1 mit verriegelt aktivierter Software-Kennung umgeschaltet. Der gleiche Effekt kann auch mittels des dritten Standardbefehls 6 erzielt werden.
-
Durch Umschalten der Applikationsgeräte in den Zustand 1 mit verriegelt aktivierter Software-Kennung können die Applikationsgeräte nach Abschluss der Entwicklungs-, Erprobungs- oder Testphase wie Seriengeräte als ganz normale Steuergeräte eingesetzt werden. Dadurch können die Kosten für die Entwicklung der Steuergerät reduziert werden.
-
Die Standardbefehle 4, 5, 6 und die Sondermaßnahmen 7 zum Aktivieren bzw. Deaktivieren der Software-Kennung werden bspw. über die K-Leitung an das Steuergerät übermittelt. In den 4 und 5 sind Zustandsdiagramme eines Applikationsgerätes (4) und eines Seriengerätes (5) dargestellt. Es ist deutlich zu erkennen, dass auf Grund des zweiten Standardbefehls 5 zum Umschalten des Steuergeräts aus dem Zustand 3 in den Zustand 2 in Abhängigkeit von der Hardware-Kennung bei dem Applikationsgerät in den Zustand 2 und bei dem Seriengerät in den Zustand 1 umgeschaltet wird.
