DE10035149C1 - Verfahren zur Programmierung einer Speichervorrichtung, insbesondere für ein Kraftfahrzeugsteuergerät - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zur Programmierung einer Speichervorrichtung, insbesondere für ein Kraftfahrzeugsteuergerät, wobei ein Löschen und/oder ein Überschreiben eines Speicherinhalts einer ersten Speichereinrichtung (2) der Speichervorrichtung (1) jeweils unter Ausführung eines Datenverarbeitungsprogrammabschnittes (DP) und/oder unter Verwendung von Daten (D) durchgeführt wird, nachdem durch ein erstes Authentifizierungssignal (AP) eine autorisierte Anforderung des Lösch- und/oder Überschreibvorgangs des aktiven Speicherinhalts der ersten Speichereinrichtung (2) erfolgt ist und daraufhin die in codierter, nicht-ausführbarer Form vorliegenden Datenverarbeitungsprogrammabschnitte (DP) und/oder Daten (D) durch einen Manipulationsalgorithmus (M) decodiert werden. DOLLAR A Erfindungsgemäß ist vorgesehen, daß der zur Decodierung der in nicht-ausführbarer Form in der Speichervorrichtung (1) gespeicherten und/oder ihr zuführbaren Datenverarbeitungsprogrammabschnitte (DP) und/oder Daten (D) erforderliche Manipulationsalgorithmus (M) in einer nicht-ausführbaren Form in der Speichervorrichtung (1) gespeichert und/oder ihr zuführbar ist, und daß eine Decodierung und Aktivierung des Manipulationsalgorithmus (M) nach dem Auftreten mindestens eines vom ersten Authentifizierungssignal (AP) unabhängigen weiteren Authentifizierungssignals (AM) durchgeführt wird.

Description

Die Erfindung betrifft ein Verfahren zur Programmierung einer Speichervorrichtung, insbesondere für ein Kraftfahrzeugsteuergerät, wobei ein Löschen und/oder ein Überschreiben eines Speicherinhalts einer ersten Speichereinrichtung der Speichervorrichtung jeweils unter Ausführung eines Datenverarbeitungsprogrammabschnittes und/oder unter Verwendung von Daten durchgeführt wird, nachdem durch ein erstes Authentifizierungssignal eine autorisierte Anforderung des Lösch- und/oder Überschreibvorgangs des aktiven Speicherinhalts der ersten Speichereinrichtung erfolgt ist und daraufhin die in codierter, nicht ausführbarer Form vorliegenden Datenverarbeitungsprogrammabschnitte und/oder Daten durch einen Manipulationsalgorithmus decodiert wurden.

Ein derartiges Verfahren ist aus der DE-OS 196 23 145 bekannt. Um einen Schutz vor unbeabsichtigten Speicherinhaltsveränderungen und vor Manipulationen durch hierzu nicht Berechtigte zu erreichen, ist bei dem bekannten Verfahren vorgesehen, daß vor dem eigentlichen Löschen und/oder Überschreiben von Inhalten der ersten Speichereinrichtung ein Autorisierungsprozeß durchgeführt wird. Um zu verhindern, daß in Folge einer ungewollten Anforderung, die durch typische externe Störgrößen, wie etwa eine defekte Umgebungs-Hardware, eine fehlerhafte Software, durch EMC- oder EMV Einflüsse, durch Strominjektionen und hierdurch hervorgerufene Potentialverschiebungen oder Spannungsschwankungen - um nur einige derartige Störgrößen zu nennen - hervorgerufen wird, bereits das Löschen und/oder Überschreiben des Speicherinhalts der ersten Speichereinrichtung durch in diese erste Speichereinrichtung zu ladende Datenverarbeitungsprogrammabschnitte und/oder Daten erfolgt, ist bei dem bekannten Verfahren vorgesehen, daß diese Datenverarbeitungsprogrammabschnitte und/oder Daten in einer modifizierten Form gespeichert sind, d. h., in einer Form, in der sie nicht unmittelbar verwendbar sind, und erst nach Auftreten des Authentifizierungssignals modifiziert werden. Nach dem Auftreten dieses Authentifizierungssignals ist daher bei dem bekannten Verfahren vorgesehen, daß durch einen Manipulationsalgorithmus die modifizierten, in einer zweiten Speichereinrichtung gespeicherten Datenverarbeitungsprogrammabschnitte und/oder Daten erst decodiert werden und dann der bestimmungsgemäße Lösch- und/oder Überschreibvorgang durchgeführt wird. Hierdurch wird vermieden, daß ein nicht-autorisierter Aufruf der Datenverarbeitungsprogrammabschnitte und/oder der Daten zu einem unbeabsichtigten Überschreiben/Löschen des aktiven Speicherinhalts der Speichereinrichtung führt.

Das bekannte Verfahren besitzt aber den Nachteil, daß die durch die vorgenannte Decodierung der Datenverarbeitungsprogrammabschnitte und/oder Daten zu erzielende Schutzwirkung nicht mehr gegeben ist, wenn durch externe Störgrößen ein falsches "Authentifizierungssignal" generiert wird und die Speichereinrichtung diesen Artefakt dann folglich als echtes Authentifizierungssignal interpretiert und das Decodieren sowie Überschreiben und/oder Löschen von Programmverarbeitungsabschnitten und/oder Daten initiiert. Dies ist insbesondere im automativen Bereich problematisch, da ja einerseits aus Sicherheitsgründen hohe Anforderungen an die Störsicherheit derartiger Speichervorrichtungen gestellt werden, wobei aber andererseits sich der automotive Bereich durch eine hohe Störgrößendichte auszeichnet.

Es ist daher Aufgabe der vorliegenden Erfindung, ein Verfahren der eingangs genannten Art derart weiterzubilden, daß ein verbesserter Schutz gegen ein unbeabsichtigtes Löschen und/oder Überschreiben des aktiven Speicherinhalts der ersten Speichereinrichtung der Speichervorrichtung gegeben ist.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß der zur Decodierung der in nicht ausführbarer Form in der Speichervorrichtung gespeicherten und/oder ihr zuführbaren Datenverarbeitungsprogrammabschnitte und/oder Daten erforderliche Manipulationsalgorithmus in einer nicht-ausführbaren Form in der Speichervorrichtung gespeichert und/oder ihr zuführbar ist, und daß eine Decodierung und Aktivierung des Manipulationsalgorithmus nach dem Auftreten mindestens eines vom ersten Authentifizierungssignal unabhängigen weiteren Authentifizierungssignals durchgeführt wird.

Durch die erfindungsgemäßen Maßnahmen wird in vorteilhafter Art und Weise ein Verfahren geschaffen, welches sich durch seine erhöhte Sicherheit gegenüber einer unbeabsichtigten und daher nicht-autorisierten Veränderung des aktiven Speicherinhalts auszeichnet, da beim erfindungsgemäßen Verfahren in vorteilhafter Art und Weise verhindert wird, daß ein einziges falsches Authentifizierungssignal bereits den Lösch- und/oder Überschreibvorgang des aktiven Speicherinhalts auslöst, indem ein vom ersten Authentifizierungssignal für die in den Speicher der ersten Speichereinrichtung zu ladenden Datenverarbeitungsprogrammabschnitte und/oder Daten unabhängiges, die Decodierung des in nicht ausführbarer Form in der Speichereinrichtung gespeicherten oder ihr zugeführten Manipulationsalgorithmus authentifizierendes Anforderungssignal auftreten muß, bevor der Lösch- und/oder Überschreibvorgang des aktiven Speicherinhalts durchgeführt werden kann.

Ein derartiges Verfahren zeichnet sich daher in vorteilhafter Weise durch einen hohen Sicherheitsabstand gegenüber externen Störgrößen aus, da nun nicht mehr ein, sondern mindestens zwei voneinander unabhängige Authentifizierungssignale auftreten müssen, damit eine Löschung und/oder ein Überschreiben des aktiven Speicherinhalts durchgeführt werden kann.

Eine vorteilhafte Weiterbildung der Erfindung sieht vor, daß zur Decodierung des in nicht ausführbarer Form vorliegenden Manipulationsalgorithmus zur Modifikation der in den Speicher der ersten Speichereinrichtung zu ladenden Datenverarbeitungsprogrammabschnitte und/oder Daten mindestens ein Generatoralgorithmus erforderlich ist, und daß dieser Generatoralgorithmus erst nach dem Auftreten eines weiteren, ihm zugeordneten Authentifizierungssignals aktiviert wird, und daß der aktivierte weitere Generatoralgorithmus dann seinerseits den den Datenverarbeitungsprogrammabschnitt und/ oder die Daten decodierenden Manipulationsalgorithmus decodiert. Eine derartige Maßnahme besitzt den Vorteil, daß hierdurch eine noch größere Störsicherheit gegeben ist.

Eine weitere vorteilhafte Weiterbildung der Erfindung sieht vor, daß zur Decodierung der in inaktivierter Form vorliegenden Datenverarbeitungsabschnitts und/oder Daten der Manipulationsalgorithmus s Segmente aufweist, wobei jedes dieser s durch ein zugeordnetes, authentifizierendes Anforderungssignal aufrufbaren Segmente nur einen Teil des in den aktiven Speicher der ersten Speichereinrichtung zu ladenden Datenverarbeitungsprogrammabschnittes und/oder der Daten decodiert. Eine derartige Vorgangsweise besitzt den Vorteil, daß zur vollständigen Decodierung des in nicht- ausführbarer Form vorliegenden Datenverarbeitungsprogrammabschnitts und/oder der Daten s Authentifizierungssignale für die einzelnen Segmente des Manipulationsalgorithmus erforderlich sind.

Eine weitere vorteilhafte Weiterbildung der Erfindung sieht vor, daß mindestens einer der s in nicht-ausführbarer Form vorliegenden Segmente des Manipulationsalgorithmus zu seiner Decodierung nicht nur ein Authentifizierungssignal, sondern mindestens einen Segment-Generalalgorithmus benötigt, der durch das Auftreten eines ihm zugeordneten, authentifizierenden Anforderungssignals aktiviert wird. Eine derartige Vorgangsweise stellt also eine Kombination der beiden vorstehend genannten Vorgangsweisen, nämlich der seriellen kaskadierten Absicherung und der parallelen, teilweisen Decodierung dar und zeichnet sich somit durch eine besonders hohe Störsicherheit aus.

Weitere vorteilhafte Weiterbildungen der Erfindung sind Gegenstand der Unteransprüche.

Weitere Einzelheiten und Vorteile der Erfindung sind den Ausführungsbeispielen zu entnehmen, die im folgenden anhand der Figuren beschrieben werden. Es zeigen:

Fig. 1 eine schematische Darstellung eines Ausführungsbeispiels einer Speichervorrichtung, und

Fig. 2 einen schematischen Ablaufplan eines Ausführungsbeispiels des Verfahrens. In Fig. 1 ist nun schematisch eine an und für sich bekannte und daher nicht mehr näher beschriebene Speichervorrichtung 1, insbesondere eine Speichervorrichtung für ein Kraftfahrzeugsteuergerät dargestellt, welche eine an und für sich bekannte, elektrisch lösch- und programmierbare Speichereinrichtung 2, vorzugsweise in der Form eines Flash-EPROM's, in dem der aktive Speicherinhalt der Speichervorrichtung 1 in ausführbarer Weise gespeichert ist, sowie eine vorzugsweise nicht-flüchtige zweite Speichereinrichtung 3, in der mindestens ein in die erste Speichereinrichtung 2 zu ladender Datenverarbeitungsprogrammabschnitt DP und/oder Daten D abgespeichert sind. Die Verwendung von elektrisch lösch- und programmierbaren, nicht flüchtigen Speichereinrichtungen wie der ersten Speichereinrichtung 2 erweist sich im automotiven Bereich als vorteilhaft, da derartige Speichervorrichtungen 1 in Kraftfahrzeugsteuergeräten verwendet werden, die sich jederzeit umprogrammieren lassen, was insbesondere bei später entdeckten Programmfehlern oder individuellen Kundenwünschen von nicht unerheblicher Bedeutung ist. Insbesondere eignen sich hierzu Flash-EPROM's als elektrisch lösch- und programmierbare nicht-flüchtige Speichereinrichtungen, da diese die Vorzüge eines EPROM's (hohe Speicherzellendichte) und eines EEPROM's (elektrisches und damit einfaches und problemloses Löschen des aktiven Speicherinhalts) in sich vereinen.

Um nun zu verhindern, daß durch einen willkürlichen, insbesondere durch einen durch externe Störgrößen verursachten Aufruf durch die in der zweiten Speichereinrichtung 3 gespeicherten Datenverarbeitungsprogrammabschnitte DP und/oder Daten D der aktive Speicherinhalt der ersten Speichereinrichtung 2 durch diesen nicht-autorisierten, zufälligen Aufruf modifiziert, insbesondere überschrieben oder gelöscht werden kann, ist vorgesehen, daß die Datenverarbeitungsprogrammabschnitte und/oder die Daten in der weiteren Speichereinrichtung 3 in dieser in einer codierten, in diesem codierten Zustand nicht lauffähigen Art und Weise abgespeichert sind. Derartige Codierungsmaßnahmen sind dem Fachmann bekannt und müssen daher nicht mehr weiter erläutert werden. Beispielhafterweise soll nur darauf hingewiesen werden, daß ein einfaches derartiges Codierungsverfahren in einer bitweisen Invertierung der Datenverarbeitungsprogrammabschnitte DP und/oder Daten D besteht.

Um nun nach einer entsprechenden authentifizierten Anforderung einer Modifikation des aktiven Speicherinhalts der ersten Speichereinrichtung 2 mindestens eines der in der zweiten Speichereinrichtung 3 gespeicherten Datenverarbeitungsprogrammabschnitte und/oder Daten in den Speicher der ersten Speichereinrichtung 2 laden zu können, ist ein Manipulationsalgorithmus M erforderlich, welcher den aktuell in den Speicher der ersten Speichereinrichtung 2 zu ladenden Datenverarbeitungsprogrammabschnitt DP und/oder die entsprechenden Daten D decodiert und somit den Datenverarbeitungsprogrammabschnitt DP und/oder die Daten D für die erste Speichereinrichtung 2 verwendbar macht.

Wichtig ist nun, daß bei der beschriebenen Speichervorrichtung 1 dieser auf die Datenverarbeitungsprogrammabschnitte und/oder Daten einwirkende, sie decodierende und damit verwendbare machende Manipulationsalgorithmus M in codierter und somit nicht unmittelbar ausführbarer Form in der Speichereinrichtung 1 verfügbar ist. Um nun den Datenverarbeitungsprogrammabschnitt oder Teile desselben und/oder Daten oder Teile derselben zu decodieren und somit zur Ausführung verwendbar zu machen, muß nun der Manipulationsalgorithmus M in vorteilhafter Art und Weise zuerst selbst decodiert werden, um lauffähig gemacht zu werden. Die einfachste Art einer derartigen Codierung besteht darin, daß ein dem Manipulationsalgorithmus M zugeordnetes Authentifizierungssignal AM, welches von dem das Laden des Datenverarbeitungsprogrammabschnitts DP und/oder der Daten D in den Speicher der ersten Speichereinrichtung 2 initiierenden Authentifizierungssignal AP unabhängig ist, auftreten muß, um die Decodierung des Manipulationsalgorithmus M zu initiieren und damit diesen zu aktivieren.

Hierzu ist vorgesehen, daß in der zweiten Speichereinrichtung 3 ein Decodierungs-/ Aktivierungsprogramm für den Manipulationsalgorithmus M abgespeichert ist, daß durch das Auftreten des dem Manipulationsalgorithmus M zugeordneten Authentifizeriungssignals AM aktiviert wird und dann den Manipulationsalgorithmus M decodiert. Es ist also vorgesehen, daß nach dem Auftreten des dem Manipulationsalgorithmus M zugeordneten Authentifizierungssignals AM dieser Manipulationsalgorithmus M unmittelbar oder mittelbar durch Zwischenschaltung mindestens eines durch das Authentifizierungssignal AM getriggertem Decodierungs- /Aktivierungsprogramms decodiert und damit aktiviert wird.

Das seinem Ablauf nach in Fig. 2 dargestellte Verfahren zeichnet sich durch aus, daß im Gegensatz zu dem bekannten Verfahren, bei denen nur die Datenverarbeitungsprogramme DP und/oder die Daten D in codifizierter und somit nicht unmittelbar verwendbarer Form in der Speichervorrichtung 1 verfügbar sind - auch der zur Aktivierung dieser Datenverabeitungsprogrammabschnitte DP und/oder Daten D erforderliche Manipulationsalgorithmus M in codierter und damit nicht unmittelbar lauffähiger Form vorliegt und erst durch ein entsprechendes, dem Manipulationsalgorithmus M zugeordnetes Authentifizierungssignal AM aktiviert wird. Es sind somit zwei voneinander unabhängige Authentifizierungssignale AP, AM, nämlich das Authentifizierungssignal AP, welches das Laden des Datenverarbeitungsprogrammabschnitts DP und/oder der Daten D in die erste Speichereinrichtung 2 anfordert, und das Authentifizierungssignal AM für den Manipulationsalgorithmus M, welches die Aktivierung des in nicht ausführbarer Form vorliegenden Manipulationsalgorithmus M bewirkt, erforderlich, damit ein Löschen und/oder Überschreiben des aktiven Speicherinhalts der ersten Speichereinrichtung 2 der Speichervorrichtung 1 durchgeführt werden kann.

Ein weitere Vorteil der vorgenannten Vorgangsweise besteht darin, daß dieses Konzept leicht kaskadierbar ist, daß also vorgesehen ist, daß zur Decodierung und damit Aktivierung des auf den zu decodierenden Datenverarbeitungsprogrammabschnitt DP und/oder die zu decodierenden Daten D einwirkenden Manipulationsalgorithmus M ein Generatoralgorithmus G₁ benötigt wird, daß der Manipulationsalgorithmus M aktiviert und damit ausführbar gemacht wird, wobei der Generatoralgorithmus G₁ durch eine (externe) Authentifizierung aktiviert wird und nach dem Auftreten dieses Authentifizierungssignals AG₁ den codiert vorliegenden Manipulationsalgorithmus M decodiert und somit ausführbar macht, durch den dann die Datenverarbeitungsprogrammabschnitte DP und/oder die Daten D decodiert und damit in den Speicher der ersten Speichereinrichtung 2 ladbar gemacht werden. Eine derartige Vorgangsweise besitzt nicht nur den Vorteil, daß hierdurch eine noch größere Störsicherheit als vorstehend beschrieben realisierbar ist, da neben den das Laden des Datenverarbeitungsprogrammabschnitts DP und/oder der Daten D in den Speicher der ersten Speichereinrichtung 2 anfordernden Authentifizierungssignals AP und dem den die Decodierung des Manipulationsalgorithmus M auslösenden Authentifizierungssignals AM noch ein weiteres, den Generatoralgorithmus G₁ decodierenden Authentifizierungssignals AG₁ vorliegen muß, damit ein Überschreiben und/oder Löschen des aktiven Speicherinhalts möglich ist.

Die oben zitierte Vorgangsweise biete somit auch den Vorteil, daß eine beliebige Anzahl von n Generatoralgorithmen G₁-G_n kaskadierbar verwendbar sind, indem vorgesehen wird, daß zur Decodierung des ersten Generatoralgorithmus G₁ zuerst eine Decodierung eines hierarchisch nächsten zweiten Generatoralgorithmus G₂ durchgeführt werden muß, wobei diese Decodierung und damit Aktivierung des Generatoralgorithmus G₂ durch ein zugeordnetes Authentifizierungssignal A₂ initiiert wird. Nachdem der Generatoralgorithmus G₂ decodiert und damit aktiviert wurde, ist er in der Lage, den Generatoralgorithmus G₁ zu decodieren, wenn dessen Authentifizierungssignal A₁ vorliegt. Dieser wiederum ist erst dann in der Lage, den Manipulationsalgorithmus M zu aktivieren.

In Verallgemeinerung dieser vorstehend für n = 2 Generatoralgorithmen G₁, G₂ beschriebenen Vorgangsweise auf n Generatoralgorithmen wird zuerst nach dem Auftreten eines Authentifizierungssignals AG_n der Generatoralgorithmus G_n decodiert und somit lauffähig gemacht, welcher dazu dient, den hierarchisch nächsten Generatoralgorithmus G_n-1 zu decodieren. Diese Decodierung findet aber nur dann statt, wenn ein den Generatoralgorithmus G_n-1 zugeordnetes Authentifizierungssignal AG_n-1 vorliegt.

Diese kaskadierte Vorgangsweise wird solange durchgeführt, bis - nachdem zuvor alle Generatoralgorithmen G_n-G₂ nach dem Auftreten der ihnen zugeordneten Authentifizierungssignale AG_n-AG₂ decodiert wurden, der Generatoralgorithmus G₁ nach dem Auftreten des Authentifizierungssignals A₁ generiert wird, welcher dann wiederum beim Auftreten des Authentifizierungssignals AM dem Manipulationsalgorithmus M decodiert und damit generiert, so daß beim Auftreten des Authentifizierungssignals AP die in modifizierter Form vorliegenden Datenverarbeitungsprogrammabschnitte DP und/oder Daten D decodiert und dann in den Speicher der ersten Speichereinrichtung 2 geladen werden.

Es ist auch möglich, daß für einen oder mehrere der Generatoralgorithmen G₁-G_n jeweils noch Sub-Generatoralgorithmen G_x1-G_xn aus der Menge der Sub- Generatoralgorithmen G₁₁-G_1x, . . ., G₁₁-G_nx vorgesehen sind, die durch entsprechende Authentifizierungssignale AG₁₁-AG_nx getriggert werden und dann in ihrer Abfolge dem Generatoralgorithmus G_x decodieren und damit generieren. Es ist auf diese Art und Weise möglich, besonders sicherheitskritische Generatoralgorithmen noch zusätzlich abzusichern.

Bei der obigen Beschreibung wird davon ausgegangen, daß der Manipulationsalgorithmus M die einzelnen Generatoralgorithmen G₁-G_n sowie eventuell ihnen zugeordnete Sub-Generatoralgorithmen G₁₁-G_1x , . . ., G_n1-G_nx in nicht-lauffähiger Form in der Speichervorrichtung 1 vorliegen und beim Auftreten der ihnen zugeordneten Authentifizierungssignale AG₁-AG_n und gegebenenfalls AG₁₁-AG_1x, . . ., AG_n1-AG_nx generiert werden. Es ist aber auch möglich, daß zur Generierung des Manipulationsalgorithmus M, der einzelnen Generatoralgorithmen und/oder Sub- Generatoralgorithmen derart vorgegangen wird, daß in der Speichervorrichtung 1 ein Algorithmen-Erzeugungsprogramm abgespeichert ist und dieses in Abhängigkeit von der Signalinformation des Authentifizierungssignals einen Generatoralgorithmus G_1-G_n oder einen Sub-Generatoralgorithmus G₁₁-G_nx erzeugt. In diesem Fall beinhalten die Aktivierungssignale AG_1-AG_n, AG₁₁-AG_nx nicht nur die Trigger-Information zur Generierung der entsprechenden Generatoralgorithmen und/oder Sub- Generatoralgorithmen, sondern beinhalten des weiteren noch weitere Informationen, welche die Erzeugung eines Generatoralgorithmus oder eines Sub- Generatoralgorithmus durch das vorgenannte Generierungsprogramm ermöglicht.

Außerdem wurde bei der obigen Beschreibung davon ausgegangen, daß die in die erste Speichereinrichtung 2 zu ladenden Datenverarbeitungsprogrammabschnitte DP und/oder Daten D in der Speichervorrichtung 1 gespeichert sind, und daß diese auch für den Manipulationsalgorithmus M und/oder die Generatoralgorithmen und Sub- Generatoralgorithmen zutrifft. Es ist aber auch durchaus möglich, daß die vorgenannten Datenverarbeitungsprogrammabschnitte DP, Daten D, der Manipulationsalgorithmus M, die Generatoralgorithmen G₁-G_n und/oder die Sub-Generatoralgorithmen G₁₁-G_nx - z. B. durch eine Art On-Line-Reload der Speichervorrichtung 1 über ein Kommunikationsmedium zugeführt werden. Wichtig hierbei ist nur, daß die entsprechenden Programme, Algorithmen und/oder Daten zum Zeitpunkt ihrer authentifizierten Anforderung in der Speichervorrichtung 1 verfügbar sind.

An dieser Stelle ist noch festzuhalten, daß es nicht unbedingt erforderlich ist, daß die Generatoralgorithmen und/oder die Sub-Generatoralgorithmen in codierter Form vorliegen, obwohl dies bevorzugt wird.

Des weiteren wurde bis jetzt davon ausgegangen, daß der Manipulationsalgorithmus M - nachdem er wie oben beschrieben decodiert wurde - in einem darauffolgenden Verfahrensschritt das oder die in die erste Speichereinrichtung 2 zu ladende Datenverarbeitungsprogrammabschnitte DP und/oder Daten D decodiert.

Es ist aber auch möglich, anstatt dieser seriellen Implementierung derart vorzugehen, daß vorgesehen ist, daß der Manipulationsalgorithmus M zur Decodierung der Datenverarbeitungsprogrammabschnitte DP und/oder der Daten D mehrere Segmente M₁-M_s aufweist, von denen ein jedes Segment M₁-M_s nur einen Teil des in den Speicher der ersten Speichereinrichtung 2 zu ladenden Datenverarbeitungsprogrammabschnitts DP und/oder der Daten D decodiert und damit aktiviert, so daß erst nach einer sequenziellen und/oder parallelen Abfolge der s Segmente M₁-M_s des Manipulationsalgorithmus M der zu ladende Datenverarbeitungsprogrammabschnitt DP und/oder der zu ladenden Daten D vollständig decodiert vorliegen. Hierbei liegt wiederum jedes dieser s Segmente M₁-M_s des Manipulationsalgorithmus M in decodierter und somit in nicht-aktivierter Form vor und wird durch ein entsprechendes Authentifizierungssignal A_s1-A_ss aktiviert, wobei wiederum vorgesehen sein kann, daß für mindestens eines und vorzugsweise für alle s Segmente eine der oben beschriebenen Kaskadierung ähnliche Kaskadierung von die jeweiligen Segmente M₁-M_s decodierenden Segment-Generatoralgorithmen unter Verwendung entsprechender Authentifizierungssignale verwendet wird.

Claims (9)

1. Verfahren zur Programmierung einer Speichervorrichtung, insbesondere für ein Kraftfahrzeugsteuergerät, wobei ein Löschen und/oder ein Überschreiben eines Speicherinhalts einer ersten Speichereinrichtung (2) der Speichervorrichtung (1) jeweils unter Ausführung eines Datenverarbeitungsprogrammabschnittes (DP) und/oder unter Verwendung von Daten (D) durchgeführt wird, nachdem durch ein erstes Authentifizierungssignal (AP) eine autorisierte Anforderung des Lösch- und/oder Überschreibvorgangs des aktiven Speicherinhalts der ersten Speichereinrichtung (2) erfolgt ist und daraufhin die in codierter, nicht ausführbarer Form vorliegenden Datenverarbeitungsprogrammabschnitte (DP) und/oder Daten (D) durch einen Manipulationsalgorithmus (M) decodiert wurden, dadurch gekennzeichnet, daß der zur Decodierung der in nicht-ausführbarer Form in der Speichervorrichtung (1) gespeicherten und/oder ihr zuführbaren Datenverarbeitungsprogrammabschnitte (DP) und/oder Daten (D) erforderliche Manipulationsalgorithmus (M) in einer nicht-ausführbaren Form in der Speichervorrichtung (1) gespeichert und/oder ihr zuführbar ist, und daß eine Decodierung und Aktivierung des Manipulationsalgorithmus (M) nach dem Auftreten mindestens eines vom ersten Authentifizierungssignal (AP) unabhängigen weiteren Authentifizierungssignals (AM) durchgeführt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß zur Decodierung des Manipulationsalgorithmus (M) mindestens ein Generatoralgorithmus (G₁-G_n) erforderlich ist, der durch das Auftreten eines ihm zugeordneten Authentifizierungssignals (AG₁-AG_n) aktiviert wird.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß der oder mindestens einer der Generatoralgorithmen (G₁-G_n) in codierter und somit nicht ausführbarer Form vorliegt, und daß der Generatoralgorithmus (G₁-G_n) nach dem Auftreten seines ihm zugeordneten Authentifizierungssignals (AG₁-AG_n) decodiert wird.

4. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß zur Decodierung des Manipulationsalgorithmus (M) n Generatoralgorithmen (G₁-G_n) erforderlich sind, daß die n Generatoralgorithmen (G₁-G_n) in kaskadierter Form vorliegen, so daß ein Generatoralgorithmus (G_n-1) erst dann aktivierbar ist, wenn sein hierarchisch nächster Generatoralgorithmus (Gn_n) nach dem Auftreten des ihm zugeordneten Authentifizierungssignals (AG_n) aktiviert wurde.

5. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß zur Aktivierung mindestens eines der n Generatoralgorithmen (G₁-G_n) mindestens ein diesem Generatoralgorithmus (G₁-G_n) zugeordneter Sub- Generatoralgorithmus (G₁₁-G_nx) erforderlich ist, wobei der Sub- Generatoralgorithmus (G₁₁-G_nx) durch das Auftreten eines ihm zugeordneten Authentifizierungssignals (AG₁₁-AG_nx) aktiviert wird.

6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, daß mindestens ein Sub- Generatoralgorithmus (G₁₁-G_nx) in decodierter Form in der Speichervorrichtung (1) vorliegt und/oder ihr zuführbar ist.

7. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß der Manipulationsalgorithmus (M) s Segmente (M₁-M_s) aufweist, wobei durch ein jedes dieser s Segmente (M₁-M_s) ein Teilbereich des Datenverarbeitungsprogrammabschnitts (DP) und/oder der Daten (D) decodierbar ist.

8. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß der Manipulationsalgorithmus (M), mindestens ein Generatoralgorithmus (G₁- G_n) und/oder mindestens ein Sub-Generatoralgorithmus (G₁₁-G_nx) in der Speichervorrichtung (1) abgespeichert oder ihr über ein Kommunikationsmedium zuführbar ist.

9. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß in der Speichervorrichtung (1) ein Algorithmen-Erzeugungsprogramm abgespeichert ist, durch das aus der Signalinformation, welche in den ihm zugeführten Authentifizierungssignalen (AM, AG₁-AG_n, AG₁₁-AG_nx) enthalten sind, der Manipulationsalgorithmus (M), mindestens ein Generatoralgorithmus (G₁-G_n) und/oder mindestens ein Sub-Generatoralgorithmus (G₁₁-G_nx) erzeugbar sind.