DE10137485A1

DE10137485A1 - Einrichten zum Steuern einer Sicherungseinrichtung

Info

Publication number: DE10137485A1
Application number: DE10137485A
Authority: DE
Inventors: Michael Vollhardt
Original assignee: Siemens AG
Current assignee: Continental Automotive GmbH
Priority date: 2001-03-30
Filing date: 2001-08-03
Publication date: 2002-10-02

Abstract

Bei einer Einrichtung zum Steuern einer Sicherungseinrichtung, vorzugsweise zur Sicherung eines Kraftfahrzeugs gegen unbefugtes Benutzen, wobei ein tragbarer Schlüssel einen Sender zum Senden von Botschaften nach jeweils einer Betätigung aufweist und die Sicherungseinrichtung einen Empfänger für Botschaften umfaßt und wobei die Botschaften Wechselcodewerte enthalten, die von Botschaft zu Botschaft wechseln, ist vorgesehen, daß im Sender und Empfänger jeweils eine Nachlaufzeit gleicher Dauer implementiert ist, daß der Sender um die Dauer der Nachlaufzeit nach einer jeweils letzten Betätigung abgeschaltet wird, daß bei Betätigung des nicht abgeschalteten Senders eine Botschaft gesendet wird, die eine Information (Zeitdifferenz-Information) darüber enthält, welche Zeit seit dem Senden der vorangegangenen Botschaft vergangen ist, daß bei Betätigung des abgeschalteten Senders der Sender eingeschaltet wird und eine Botschaft sendet, die als Zeitdifferenz-Information eine Information darüber enthält, daß die Nachlaufzeit abgelaufen ist und daß die Sicherungseinrichtung nur gesteuert wird, wenn die in der Botschaft enthaltene Zeitdifferenz-Information der im Empfänger entsprechend ermittelten Zeitdifferenz-Information gleicht.

Description

Die Erfindung betrifft eine Einrichtung zum Steuern einer Sicherungseinrichtung, vorzugsweise zur Sicherung eines Kraftfahrzeuges gegen unbefugtes Benutzen, wobei ein trag barer Schlüssel einen Sender zum Senden von Botschaften nach jeweils einer Betätigung aufweist und die Sicherungs einrichtung einen Empfänger für die Botschaften umfaßt, und wobei die Botschaften Wechselcodewerte enthalten.

Einrichtungen der gattungsbildenden Art werden im wesentli chen für sogenannte Zentralverriegelungsanlagen in Kraft fahrzeugen angewendet. Ein Beispiel ist in DE 44 30 315 C2 zum Stand der Technik beschrieben. Trotz der wechselnden Codewerte ist ein Mißbrauch möglich. Ein solcher kann bei spielsweise dadurch vorgenommen werden, daß bei einem be rechtigten Versuch die Zentralverriegelungsanlage zu ent riegeln, die ausgesendete Botschaft von einem Angreifer empfangen und aufgezeichnet wird, wobei gleichzeitig der Empfang der Botschaft durch ein Hochfrequenzsignal, das in nerhalb der Empfangsbandbreite des Zentralverriegelungs- Empfängers, nicht jedoch in der Empfangsbandbreite des Emp fängers des Angreifers liegt, gestört wird. Damit kann der Angreifer eine Botschaft aufzeichnen und wieder senden, die im Empfänger als gültig erkannt wird.

Zur Vermeidung derartiger Angriffe ist es beispielsweise durch DE 44 30 315 C2 bereits bekannt geworden, Sender und Empfänger mit einer Uhr zu versehen und die Sende- mit der Empfangszeit der jeweiligen Botschaft zu vergleichen. Ein zeitversetztes Senden und damit ein Angriff bzw. ein unbe rechtigter Entriegelungsversuch kann damit im Empfänger er kannt werden. Diese Einrichtung weist jedoch den Nachteil auf, daß eine im Sender vorgesehene Batterie durch die Uhr zusätzlich entladen wird, was insbesondere bei der Miniatu risierung der Sender - beispielsweise die Ausbildung als Chipkarte - nachteilig ist.

Aufgabe der vorliegenden Erfindung ist es daher, eine Ein richtung zur Steuerung der Sicherungseinrichtung anzugeben, die den Mißbrauch einer abgehörten Botschaft verhindert, ohne daß im Sender fortlaufend eine Uhr betrieben zu werden braucht.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß im Sender und Empfänger jeweils eine Nachlaufzeit gleicher Dauer implementiert ist, daß der Sender um die Dauer der Nachlaufzeit nach einer jeweils letzten Betätigung abge schaltet wird, daß bei Betätigung des nicht abgeschalteten Senders eine Botschaft gesendet wird, die eine Information (Zeitdifferenz-Information) darüber enthält, welche Zeit seit dem Senden der vorangegangenen Botschaft vergangen ist, daß bei Betätigung des abgeschalteten Senders der Sen der eingeschaltet wird und eine Botschaft sendet, die als Zeitdifferenz-Information eine Information darüber enthält, daß die Nachlaufzeit abgelaufen ist, und daß die Siche rungseinrichtung nur gesteuert wird, wenn die in der Bot schaft enthaltene Zeitdifferenz-Information der im Empfän ger entsprechend ermittelten Zeitdifferenz-Information gleicht.

Die Erfindung weist den Vorteil auf, daß die Batterie des Senders nicht andauernd belastet wird. Selbst gegenüber der Verwendung eines stromsparenden Uhrenchips im Sender zeich net sich die Erfindung durch geringeren Aufwand aus.

Bei dem Vergleich der Zeitdifferenz-Informationen werden Toleranzen bei der Zeitermittlung im Sender und Empfänger berücksichtigt.

Bei der erfindungsgemäßen Einrichtung kann vorgesehen sein, daß die Botschaften die Wechselcodewerte und die Zeitdiffe renz-Informationen in verschlüsselter Form enthalten.

Die Erfindung läßt zahlreiche Ausführungsformen zu. Eine davon ist schematisch in der Zeichnung anhand mehrerer Fi guren dargestellt und nachfolgend beschrieben. Es zeigt:

Fig. 1 die Aussendung und den Empfang mehrerer Bot schaften im Normalbetrieb einer erfindungsgemä ßen Einrichtung,

Fig. 2 Botschaften bei Vorliegen einer zufälligen Stö rung,

Fig. 3 Botschaften bei einer Störung durch einen An greifer und die Aufzeichnung der Botschaften bei sofortiger Wiederaussendung der aufgezeich neten Botschaften,

Fig. 4 Botschaften bei verzögerter Aussendung der auf gezeichneten Botschaften,

Fig. 5 ein Blockschaltbild einer erfindungsgemäßen Einrichtung und

Fig. 6 ein Schema zur Erläuterung des Wechselcodever fahrens.

Vor dem Eingehen auf die einzelnen Diagramme gemäß den Fig. 1 bis 4 wird zunächst die grundsätzliche Funktion ei ner Einrichtung, die mit Wechselcodesignalen arbeitet, an hand der Fig. 5 und 6 erläutert. Ein kleiner tragbarer Schlüssel 1, beispielsweise in Form einer Chipkarte oder in Form eines üblichen Schlüssels, enthält eine Batterie 2, einen Mikroprozessor 3 und eine Sender-Endstufe 4, sowie eine Taste 5. Der Mikroprozessor enthält einen Speicher 6, in dem außer den zum Betrieb erforderlichen Programmen, einschließlich eines Algorithmus zum Berechnen des jeweils folgenden Wechselcodewertes, auch der jeweils zuletzt ver wendete Wechselcodewert abgelegt ist. In entsprechender Weise ist ein Empfänger 10 mit einem Empfangsteil 11 und einem Mikroprozessor 12 versehen. Dieser enthält wiederum einen Speicher 13, in dem Programme einschließlich des Al gorithmus und der zuletzt verwendete Wechselcodewert abge legt sind. Der Empfänger 10 ist mit einer Sicherungsein richtung 14 verbunden, beispielsweise einer Zentralverrie gelungsanlage.

Durch Betätigen der Taste 5 im Schlüssel 1 wird der Mikro prozessor 3 in Betrieb genommen und liest aus dem Speicher 6 den zuvor verwendeten Wechselcode aus, um daraus mit Hil fe des Algorithmus den in der zu sendenden Botschaft ent haltenen Wechselcodewert zu berechnen. Die Botschaft wird dann der Sender-Endstufe 4 zum Aussenden zugeführt. Nach Empfang der Botschaft wird im Mikroprozessor 12 des Empfän gers 10 geprüft, ob der in der Botschaft enthaltene Wech selcodewert durch begrenzt mehrmaliges Anwenden des Algo rithmus aus dem dort gespeicherten Wechselcodewert ableit bar ist. Ist dies der Fall, wird die Sicherungseinrichtung 14 angesteuert, so daß gegebenenfalls eine Entriegelung der Türen erfolgt.

Das Blockschaltbild gemäß Fig. 1 ist stark schematisiert und stellt nur die zum Verständnis der Erfindung notwendi gen Teile dar. Häufig können mehrere Befehle gesendet, emp fangen und ausgeführt werden, wobei dann eine entsprechende Anzahl von Tasten vorgesehen ist - beispielsweise eine zum Verriegeln und eine zum Entriegeln. Eine Botschaft umfaßt dann den jeweiligen Befehl, den Wechselcodewert und die Zeitdifferenz-Information, wobei in der Praxis noch eine Prüfsumme zur Erkennung von Übertragungsfehlern vorgesehen ist.

In Fig. 6 ist die Menge aller möglichen Wechselcodewerte (Vorrat) in Form eines Kreises 20 dargestellt, wobei ein Segment 21 die jeweils durch eine einmalige oder begrenzt mehrmalige Anwendung des Algorithmus aus dem zuletzt ver wendeten Wechselcodewert ableitbar sind. Mit jeweils dem Empfang eines gültigen Wechselcodewertes wird das Segment 21 in Pfeilrichtung weitergeschaltet, wobei dann Wechselco dewerte, die längere Zeit zurückliegend verwendet wurden, nach einer sehr großen Zahl von Betätigungen wieder verwen det werden können. Damit ist eine beliebig häufige Benut zung des Vorrats der Wechselcodewerte möglich. Eine Sicher heit gegenüber Mißbrauch ist dennoch gegeben, wenn der Vor rat groß und der Anteil der gültigen Wechselcodewerte im Verhältnis dazu klein ist.

Bei der erfindungsgemäßen Einrichtung enthalten die Mikro prozessoren 3 und 12 jeweils eine Zeitmeßeinrichtung, die im Falle des Senders nur mit einer Betätigung der Taste 5 in Betrieb genommen wird.

In den Fig. 1 bis 4 wird mit einem Pfeil nach oben die Aussendung einer Botschaft, mit einem Pfeil nach unten die Aufzeichnung einer Botschaft, mit einem gezackten Pfeil ei ne Störung des Empfängers, mit einem auf der Spitze stehen den Quadrat die normale Reaktion des Empfängers auf eine empfangene Botschaft (beispielsweise Entriegeln oder Ver riegeln des Kraftfahrzeugs), mit einem senkrechten Strich der Start der Zeitmessung im Empfänger, wobei zunächst kei ne weitere Reaktion auf die empfangene Botschaft erfolgt, und mit einem nach rechts gerichteten Pfeil die Zeitmessung im Sender bzw. im Empfänger dargestellt. Die einzelnen Dia gramme sind mit S wie Sender, E wie Empfänger und A wie Aufnahme bzw. Angreifer bezeichnet.

Der Normalbetrieb, der in Fig. 1 dargestellt ist, geht von einer Anfangsbedingung aus, bei welcher die Nachlaufzeit abgelaufen ist. Auf die erste Betätigung während der darge stellten Zeit wird eine Botschaft TO gesendet, deren Zeit information lediglich besagt, daß die Nachlaufzeit seit der letzten Betätigung verstrichen ist. Innerhalb der Nachlauf zeit erfolgen bei dem Beispiel nach Fig. 1 jeweils nach den Zeiten t1 und t2 zwei weitere Betätigungen und schließlich nach der Nachlaufzeit eine weitere Betätigung. Der Empfän ger reagiert auf alle Botschaften, da diese gültige Zeit differenz-Informationen beinhalten.

Bei dem in Fig. 2 dargestellten Beispiel wird der Empfang der ersten Botschaft gestört. Erst bei der um t1 verzöger ten zweiten gesendeten Botschaft beginnt eine Zeitmessung im Empfänger. Wenn dann die um t2 verzögerte Botschaft emp fangen wird, ist die Zeitmeßeinrichtung im Empfänger eben falls bei t2 angelangt, so daß diese Botschaft als gültig angesehen wird.

Fig. 3 zeigt ein Beispiel, bei dem ebenfalls wiederum als Anfangsbedingung der Ablauf der Nachlaufzeit angenommen wird. Der Sender sendet dann eine Botschaft TO. Eine Auf zeichnungseinrichtung, die gleichzeitig mit einem Störsen der versehen ist, zeichnet diese Botschaft auf. Auch die zweite und dritte gesendete Botschaft werden gestört und aufgezeichnet. Erfolgt nun unmittelbar nach der Aufzeich nung die Wieder-Aussendung der drei aufgezeichneten Bot schaften - in Fig. 3 mit TO', t1' und t2' gekennzeichnet -, enthält die erste wiedergegebene Botschaft TO' die Zeitdif ferenz-Tnformation, daß die Nachlaufzeit abgelaufen ist. Dies ist auch im Empfänger der Fall. Deshalb reagiert der Empfänger und steuert die Sicherungseinrichtung 14 (Fig. 1), beispielsweise zur Verriegelung der Türen. Dies ist aus der Sicht eines Angreifers erwünscht, damit der rechtmäßige Benutzer sich vom Kraftfahrzeug entfernt, nach dem er beobachtet hat, daß die Türen verriegelt sind.

Es ist davon auszugehen, daß die Wiedergabe der folgenden Botschaften nicht mit den gleichen Zeitdifferenzen erfolgt, so daß die mit den jeweiligen Botschaften übermittelten Zeitdifferenzen t1' und t2' nicht mit den gemessenen Zeit differenzen t3 und t4 im Empfänger übereinstimmen und der Empfang dieser Botschaften keine Reaktion des Empfängers zur Folge hat.

Fig. 4 zeigt den Fall, daß die erste aufgezeichnete Bot schaft TO aus oben genannten Gründen ebenfalls unmittelbar nach der Aufzeichnung, die weiteren Botschaften jedoch erst nach Ablauf der Nachlaufzeit gesendet werden. Auch hier liegen wieder verschiedene Werte der Zeitdifferenz- Informationen innerhalb der Botschaften und der gemessenen Zeitdifferenzen-Informationen vor, so daß keine Reaktion des Empfängers erfolgt.

Claims

1. Einrichtung zum Steuern einer Sicherungseinrichtung, vorzugsweise zur Sicherung eines Kraftfahrzeugs gegen unbefugtes Benutzen, wobei ein tragbarer Schlüssel einen Sender zum Senden von Botschaften nach jeweils einer Betätigung aufweist und die Sicherungseinrich tung (14) einen Empfänger für Botschaften umfaßt und wobei die Botschaften Wechselcodewerte enthalten, die von Botschaft zu Botschaft wechseln, dadurch gekenn zeichnet, daß im Sender (1) und Empfänger (10) je weils eine Nachlaufzeit gleicher Dauer implementiert ist, daß der Sender (1) um die Dauer der Nachlaufzeit nach einer jeweils letzten Betätigung abgeschaltet wird, daß bei Betätigung des nicht abgeschalteten Senders (1) eine Botschaft gesendet wird, die eine Information (Zeitdifferenz-Information) darüber ent hält, welche Zeit seit dem Senden der vorangegangenen Botschaft vergangen ist, daß bei Betätigung des abge schalteten Senders (1) der Sender (1) eingeschaltet wird und eine Botschaft sendet, die als Zeitdiffe renz-Information eine Information darüber enthält, daß die Nachlaufzeit abgelaufen ist, und daß die Si cherungseinrichtung (14) nur gesteuert wird, wenn die in der Botschaft enthaltene Zeitdifferenz-Information der im Empfänger (10) entsprechend ermittelten Zeit differenz-Information gleicht.

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Botschaften die Wechselcodewerte und die Zeitdifferenz-Informationen in verschlüsselter Form enthalten.