-
Stand der Technik
-
Die Erfindung geht aus von einer Vorrichtung zur Erkennung
eines unzulässigen Betriebszustandes nach der Gattung des
unabhängigen Anspruchs. Aus der WO 95/16248 ist bereits eine
Sireneneinheit für ein Kraftfahrzeug bekannt, die von der
Fahrzeugbatterie gespeist wird. Um die Funktionsfähigkeit
der Sirene auch bei einer Unterbrechung des Anschlusses der
Fahrzeugbatterie zu gewährleisten, wird eine Hilfsbatterie
verwendet. Bei einer Unterbrechung der
Batteriespannungsversorgung wird die Sirene aktiviert. Auch
bei einer Unterbrechung der Kommunikation zwischen Sirene
und Alarmanlagensteuergerät nimmt die Sirene einen
Alarmzustand ein.
-
Es ist Aufgabe der vorliegenden Erfindung, die Sicherheit
bei der Erkennung von Manipulationsversuchen weiter zu
erhöhen. Diese Aufgabe wird durch die Merkmale des
unabhängigen Anspruchs gelöst.
-
Vorteile der Erfindung
-
Die Vorrichtung zur Erkennung eines unzulässigen
Betriebszustandes weist Erfassungsmittel zur Erfassung einer
Versorgungsspannung auf. Auswertemittel werten den Verlauf
der Versorgungsspannung aus und erkennen anhand von
Spannungsänderungen der Versorgungsspannung einen
unzulässigen Betriebszustand und lösen einen Alarm aus.
Weiterhin erfassen die Auswertemittel eine Information über
einen Betriebszustand zumindest einer von der
Versorgungsspannung gespeisten elektrischen Last. In
Abhängigkeit von dieser Information lösen die Auswertemittel
den Alarm aus. Somit wird zur Alarmauslösung ein weiteres
Plausibilitätskriterium herangezogen, nämlich der
Betriebszustand der durch die Versorgungsspannung gespeisten
Last. Hierbei kann es sich um die Beleuchtungseinrichtung,
eine Standheizung etc. eines Kraftfahrzeugs handeln.
Detektieren nun die Auswertemittel, dass die
Versorgungsspannung einbricht, so könnte dies auf auf einen
unzulässigen Betriebszustand und möglicherweise auf eine
Alarmsituation hindeuten. So könnte sich beispielsweise ein
Unberechtigter an dem Kraftfahrzeug zu schaffen machen,
indem er mit Hilfe eines elektrischen Verbrauchers die
Fahrzeugbatterie entladen möchte, um so das Alarmsystem
außer Kraft zu setzen. In einer solchen Situation muss ein
Alarm ausgelöst werden. Andererseits könnte jedoch der
Benutzer beispielsweise ferngesteuert die Standheizung des
Kraftfahrzeugs aktivieren, was unter Umständen zu einem
Spannungseinbruch der Versorgungsspannung führt. Diese
Aktion geht dagegen auf einen berechtigten Benutzer zurück,
so dass eine Alarmauslösung unterbleiben soll. Um
Fehlauslösungen zu verhindern, erfolgt erfindungsgemäß eine
Plausibilitätsüberprüfung, indem die Auswertemittel eine
Information über den Betriebszustand zumindest einer von der
Versorgungsspannung gespeisten elektrischen Last erfassen
und in Abhängigkeit von dieser Information den Alarm
auslösen. So erhalten die Auswertemittel beispielsweise in
letzterem Fall die Information, dass die Standheizung
aktiviert wurde. Dann führt der Spannungseinbruch der
Versorgungsspannung nicht zu einem Auslösen des Alarms.
Sollte jedoch den Auswertemitteln keine Information über
einen aktivierten elektrischen Verbraucher vorliegen, so
deutet dies auf unberechtigte Manipulationsversuche hin. Die
Auswertemittel generieren einen Alarm. Neben der Erhöhung
der Sicherheit werden auch Fehlauslösungen des Alarmsystems
vermieden.
-
In einer zweckmäßigen Weiterbildung vergleichen die
Auswertemittel die Batteriespannung mit einer Grenzspannung.
Überschreitet die Batterie diese Grenzspannung, so deutet
dies auf eine leere Batterie hin. In diesem Fall soll eine
Alarmauslösung unterbleiben. Wiederum werden Fehlauslösungen
vermieden.
-
In einer zweckmäßigen Weiterbildung wird die
Versorgungsspannung mit dem Wert Null verglichen. Erreicht
die Versorgungsspannung diesen Wert, so wird sofort ein
Alarm generiert, da die Energieversorgung vermutlich aus
Manipulationsgründen unterbrochen wurde. Dadurch erhöht sich
die Sicherheit gegen Diebstahl.
-
In einer zweckmäßigen Weiterbildung wird bei Unterschreiten
einer ersten Spannung ein Timer gestartet. Unterschreitet
die Versorgungsspannung mit Starten des Timers innerhalb
einer bestimmten Zeitdauer auch eine zweite Spannung, so
wird ein Alarm ausgelöst. Somit führen einerseits
kurzzeitige Spannungseinbrüche, die innerhalb der
zugestandenen Zeitspanne liegen, noch nicht zum Auslösen
eines Alarms. Andererseits kann bei einer geeigneten Wahl
der Zeitspanne ein Manipulationsversuch sicher detektiert
werden.
-
In einer zweckmäßigen Weiterbildung wird der Verlauf der
Versorgungsspannung hinsichtlich eines Spannungssprunges
und/oder eines Spannungsknicks ausgewertet. Hierbei kann
auch die Gesamteinschaltdauer (Dauer des Spannungseinbruchs)
erfasst und als Kriterium für die Alarmauslösung
herangezogen werden. Dauert der Spannungseinbruch
beispielsweise länger als eine kritische Zeitspanne, so wird
der Alarm bei einer unbekannten Last ausgelöst. Alternativ
könnte ebenfalls vorgesehen sein, die Summe der
Einschaltzeiten mit einer kritischen Zeitspanne zu
vergleichen. Wird diese Zeitspanne überschritten, wird ein
Alarm ausgelöst. Dadurch werden auch mehrere
Manipulationsversuche berücksichtigt.
-
In einer zweckmäßigen Weiterbildung ist vorgesehen, dass
eine Auswertung der Versorgungsspannung mit Blick auf einen
Spannungsknick nur dann erfolgt, wenn sich die
Versorgungsspannung im eingeschwungenen Zustand befindet.
Dann führen Spannungsänderungen, die aus vorherigen starken
Belastungen oder aus vorherigem Laden der Fahrzeugbatterie
resultieren, nicht zu einer Fehlauslösung.
-
Weitere zweckmäßige Weiterbildungen ergeben sich aus
weiteren abhängigen Ansprüchen und aus der Beschreibung.
Zeichnung
-
Ein Ausführungsbeispiel der erfindungsgemäßen Vorrichtung
ist in der Figur dargestellt und wird nachfolgenden näher
beschrieben.
-
Es zeigen
-
Fig. 1 ein Blockschaltbild der Vorrichtung zur Erkennung
eines unzulässigen Betriebszustandes,
-
Fig. 2a-2e unterschiedliche zeitabhängige Spannungsverläufe
der Versorgungsspannung und
-
Fig. 3 ein Flussdiagramm zur Erkennung eines unzulässigen
Betriebszustandes.
Beschreibung des Ausführungsbeispiels
-
Einer Versorgungseinheit 12 werden eine Versorgungsspannung
UB (Klemme 30) und ein Bezugspotenzial (Klemme 31)
zugeführt. Die Versorgungseinheit 12 enthält einen
Verpolschutz, eine Spannungserfassung für die
Versorgungsspannung UB, einen Spannungsregler sowie eine
Batterieumschaltung, um bei einer Unterbrechung der
Versorgungsspannung UB die Sirene 10 mit der Hilfsbatterie
14 zu speisen. Die Hilfsbatterie 14 wird von einer
Hilfsbatterperipherie 16 überwacht und gegebenenfalls
geladen. Die Versorgungeinheit 12 stellt die
Versorgungsspannung UB, die interne Versorgungsspannung VCC,
einen Resetbefehl sowie eine Information über die
Hilfsbatterie 14 einem Mikrocontroller 18 zur Verfügung. Der
Mikrocontroller 18 gibt ein Testsignal und gegebenenfalls
ein Aktivierungssignal für das Laden der Hilfsbatterie 14 an
die Hilfsbatterieperipherie 16 ab. Weiterhin überwacht der
Mikrocontroller 18 den Ladezustand bzw. die vorhandene
Restkapazität der Hilfsbatterie 14. Der Mikrocontroller 18
tauscht außerdem Daten aus mit einem Bustreiber 20, welcher
über den Mikrocontroller 18 aktiviert werden kann. Der
Mikrocontroller steuert im Alarmfall einen Piezotreiber 22
als Teil eines Alarmtongebers 24 an. Über den Bustreiber 20
und ein Bussystem 34 tauscht der Mikrocontroller Daten aus
mit einem Alarmanlagensteuergerät 30. Dem
Alarmanlagensteuergerät 30 sind Ausgangssignale von
Überwachungssensoren 32a, 32b zugeführt. An das Bussystem 34sind weiterhin als Beispiele für elektrische Verbraucher
eine Beleuchtung 36 sowie eine Standheizung 38
angeschlossen, die durch die Versorgungsspannung VB gespeist
werden. Über das Bussystem 34 geben die elektrischen
Verbraucher 36, 38 Informationen über ihre Betriebszustände
entweder an das Alarmanlagensteuergerät 30 oder direkt an
den Mikrocontroller 18 ab.
-
Der Mikrocontroller 18 wertet den Verlauf der
Versorgungsspannung UB aus, ob ein unzulässiger
Betriebszustand erreicht wurde, der auf
Manipulationsversuche an einem Kraftfahrzeug schließen
lässt. Bei einem Kraftfahrzeug wird die elektrische Energie
beziehungsweise die Versorgungsspannung UB durch eine
Batterie bereitgestellt. Somit müssen bei einer Auswertung
des Verlaufs der Versorgungsspannung UB batteriespezifische
Betriebszustände berücksichtigt werden. Im normalen
Betriebszustand jedoch erhält die Sirene 10 von dem
Alarmanlagensteuergerät 30 einen Aktivierungsbefehl, wenn
anhand der eingehenden Signale der Überwachungssensoren 32a,
32b ein unberechtigtes Eindringen in den
Kraftfahrzeuginnenraum detektiert wurde. Der entsprechende
Aktivierungsbefehl des Alarmanlagensteuergeräts 30 gelangt
über das Bussystem 34 und den Bustreiber 20 an den
Mikrocontroller 18, der daraufhin den Piezotreiber 22 derart
ansteuert, dass der Alarmtongeber 24 ein Warnsignal abgibt.
Die Überwachung der Versorgungsspannung UB soll nun dazu
dienen, dass Manipulationsversuche, die die
Funktionsfähigkeit der Sirene 10 beeinträchtigen, ebenfalls
zu einem Alarm führen. Hierzu wertet der Mikrocontroller 18
den Verlauf der Versorgungsspannung UB, von der
Versorgungseinheit 12 erfasst und an den Mikrocontroller 18
weitergeleitet, aus. Nimmt die Versorgungsspannung UB den
Wert Null an, das heißt, wurde die Versorgungsleitung zu der
Sirene 10 gekappt beziehungsweise unterbrochen, so generiert
der Mikrocontroller 18 sofort ein Alarmsignal. Die
Energieversorgung wird in diesem Fall sofort von der
Hilfsbatterie 14 übernommen, was die Versorgungeinheit 20
anhand der Batterieumschaltung bewirkt. Diese Situation ist
in dem Flussdiagramm gemäß Fig. 3 in Schritten 101, 103 und
105 dargestellt.
-
Es werden jedoch noch weitere, kritische Betriebszustände
der Versorgungsspannung UB in Schritt 101 ausgewertet. Als
kritischer Betriebszustand wird beispielsweise ein
Spannungssprung, wie in Fig. 2c dargestellt, detektiert.
Zum Zeitpunkt te bricht die Versorgungsspannung UB auf einen
niedrigeren Wert ein. Dieser Spannungseinbruch kann auf
einen Manipulationsversuch hindeuten. So könnte
beispielsweise ein Unberechtigter durch Zuschalten einer
externen Last versuchen, die Fahrzeugbatterie langsam zu
entladen. Unter Umständen würde bei einer langsamen
Entladung das Überwachungskonzept der Sirene 10 nicht
ansprechen, so dass ein Einbruchversuch bei leerer
Fahrzeugbatterie nicht zu einem Auslösen der Sirene führen
würde. Dies wird nun durch die Detektion und weitere
Auswertung eines Spannungssprungs verhindert. Ein
Spannungseinbruch gilt als Fehler im Sinne der Abfrage 107.
In der darauffolgenden Abfrage 109 ermittelt der
Mikrocontroller 18 als mögliches Auswertemittel, ob eine
bekannte Last 36, 38 aktiviert wurde. Hierzu wertet der
Mikrocontroller 18 eine Information über den Betriebszustand
der elektrischen Lasten 36, 38 aus, die beispielsweise das
Alarmanlagensteuergerät 30 über das Bussystem 34 an den
Mikrocontroller 18 sendet. Lässt sich der Information über
den Betriebszustand beispielsweise entnehmen, dass zum
Zeitpunkt te die Standheizung 38 aktiviert wurde, so handelt
es sich um eine bekannte Last. Ein Spannungseinbruch geht
vermutlich auf das Zuschalten der Standheizung 38 zurück,
nicht dagegen auf ein Zuschalten einer externen, das heißt
unbekannten und nicht im Fahrzeug angeordneten Last. Weil es
sich nun in dem Beispielsfall um eine bekannte Last handelt,
wird kein Alarm ausgelöst und die
Versorgungsspannungsüberwachung gemäß Schritt 101 weiter
durchgeführt.
-
Ergibt sich in Abfrage 109 jedoch, dass keine Information
über den Betriebszustand vorliegt, die auf eine aktivierte,
bekannte elektrische Last hindeutet, so handelt es sich um
eine unbekannte Last. In diesem Fall schließt sich Schritt
111 an. Ein Spannungseinbruch könnte nun auch darauf
zurückgeführt werden, dass inzwischen die Batterie leer ist.
Das entsprechende charakteristische Verhalten lässt sich der
Fig. 2b entnehmen. So bricht eine entladene Batterie unter
Belastung nach Unterschreitung der Grenzspannung UG, die
beispielsweise zwischen 10,5 V und 11,4 V liegt, ein. Somit
lässt sich anhand der Grenzspannung UG detektieren, ob der
Ladezustand der Batterie nahezu 0% ist. Sollte dies der Fall
sein, so wird kein Alarm ausgelöst. In diesem Fall schließt
sich wiederum die Versorgungsspannungsüberwachung gemäß
Schritt 101 an. Ist die Batterie jedoch nicht entladen, so
wird der Alarm nun endgültig ausgelöst, Schritt 105.
-
Bei einer Auswertung des Spannungssprungs der
Versorgungsspannung UB kann die Gesamteinschaltdauer der
unbekannten Last als Alarmauslösekriterium herangezogen
werden. So wird beispielsweise mit Beginn des
Spannungseinbruchs zum Zeitpunkt te mit einer Alarmauslösung
solange gewartet, bis eine vorbestimmte Zeitspanne Tk
abgelaufen ist. Sollte die Versorgungsspannung UB innerhalb
dieser kritischen Zeitspanne Tk auf dem niedrigeren
Spannungsniveau verharren, wird nach Ablauf der kritischen
Zeitspanne Tk der Alarm ausgelöst, sofern es sich um eine
unbekannte Last handelt.
-
Ein weiteres, parallel ablaufendes Überwachungskonzept ist
in Fig. 2e dargestellt. Unterschreitet die
Versorgungsspannung UB eine erste Spannung U1, so wird ein
Alarm nur dann ausgelöst, wenn die Versorgungsspannung UB
eine betragsmäßig kleinere, zweite Spannung U2 innerhalb der
kritischen Zeitspanne Tk unterschreitet. In dem in Fig. 2e
dargestellten Beispielfall unterschreitet die
Versorgungsspannung UB die zweite Spannung U2 zum Zeitpunkt
t2. Da die Zeitspanne zwischen dem ersten Zeitpunkt t1, zu
welchem die erste Spannung U1 unterschritten wurde, und dem
zweiten Zeitpunkt t2 kleiner ist als die kritische
Zeitspanne Tk, so wird in Abfrage 107 auf einen Fehler
erkannt.
-
In einem weiteren, zusätzlich ablaufenden
Überwachungskonzept wird ein möglicher Spannungsknick der
Versorgungsspannung UB ausgewertet. Zuerst wird der
eingeschwungene Zustand der Versorgungsspannung UB gesucht.
Der Fig. 2a lässt sich entnehmen, dass gemäß der oberen
Kurve die Versorgungsspannung UB nach einem vorherigen Laden
sich erst nach einer Zeit zwischen drei bis fünfzehn Stunden
auf den Ruhewert U0 eingeschwungen hat. Die untere Kurve
zeigt den Verlauf der Versorgungsspannung UB bei vorheriger
starker Belastung. In diesem Fall wird die Ruhespannung U0
erfahrungsgemäß erst zwischen zwei und sechs Stunden
erreicht. Der eingeschwungene Zustand stellt sich somit
innerhalb von zwei bis fünfzehn Stunden ein. Die
Gradientenüberwachung wird erst bei Erreichen des
eingeschwungenen Zustand gestartet. Beginnend mit dem
Auswertezeitpunkt der Gradientenüberwachung wird nun eine
Spannungsänderung der Versorgungsspannung UB als
Fehlerkriterium im Sinne der Abfrage 107 herangezogen. Hält
die Spannungsänderung über eine kritische Zeitspanne Tk
hinweg an, ist ein fehlerhafter Zustand aufgetreten,
vergleiche die Fig. 2d. Das stetige Absinken der
Versorgungsspannung UB könnte beispielsweise durch
Zuschalten eines kleinen exteren elektrischen Verbrauchers
in unberechtigter Weise hervorgerufen werden. In diesem Fall
müsste ein Alarm ausgelöst werden. Zuvor wird jedoch in der
Abfrage 109 detektiert, ob die Information über einen
Betriebszustand der elektrischen Last besagt, dass eine
bekannte Last aktiviert ist. Beispielsweise könnte die
Beleuchtung 36 aktiviert sein, wenn beispielsweise der
Benutzer vergessen hat, das Licht auszuschalten. Handelt es
sich somit um eine bekannte Last, wird kein Alarm ausgelöst
und die Versorgungsspannungsüberwachung gemäß Schritt 101
fortgesetzt. Bei einer unbekannten Last jedoch folgt eine
Alarmauslösung gemäß Schritt 105, sofern die Batterie nicht
leer ist.
-
Als zusätzliches Kriterium für eine Alarmauslösung dient die
Überwachung der Kommunikationsverbindung mit dem Bussystem
34. Wird die Kommunikation mit dem Alarmanlagensteuergerät
30 unterbunden, so aktiviert sich die Sirene 10.
-
Die Versorgungsspannungsüberwachung 101 ist grundsätzlich
aktiv, wenn sich die Alarmanlage des Fahrzeugs im
geschärften Zustand befindet. Das Schärfen erfolgt
beispielsweise mit Verlassen beziehungsweise Verriegeln des
Kraftfahrzeugs.
-
Die Auswertung der Versorgungsspannung UB könnte
softwaremäßig beispielsweise in Verbindung mit dem
Mikrocontroller 18 erfolgen. Gleichermaßen wäre jedoch auch
eine Hardwareschaltung denkbar. Auf die grundsätzliche
Funktionsweise des Überwachungskonzepts hat dies jedoch
keinen Einfluss.
-
Die Erfindung findet bevorzugte Verwendung bei Alarmanlagen
für Kraftfahrzeuge. Sie ist jedoch hierauf nicht
eingeschränkt. Auch der Einsatz für Gebäude etc. ist
denkbar.