-
Die Erfindung betrifft ein Verfahren zum manipulationssicheren Betreiben eines Funkschlüsselsystems eines Kraftfahrzeugs. Die Erfindung betrifft außerdem ein Funkschlüsselsystem für ein Kraftfahrzeug und ein Kraftfahrzeug mit einem Funkschlüsselsystem.
-
Insbesondere passive Funkschlüsselsysteme bieten einem Nutzer den Vorteil, dass er einen Funkschlüssel nicht zu bedienen braucht, um zum Beispiel das Kraftfahrzeug zu entriegeln oder zu starten. Allerdings treten bei solchen passiven Funkschlüsselsystemen wie auch bei Funkschlüsselsystemen, die manuell, etwa per Knopfdruck, bedient werden, dadurch Sicherheitslücken auf, dass elektromagnetische Funksignale unerlaubt generiert und damit Funkschlüssel des Funkschlüsselsystems imitiert werden und sich somit Dritte unerlaubten Zugang zum Kraftfahrzeug verschaffen können. Durch das erfindungsgemäße Verfahren wird ein Betrieb eines Funkschlüsselsystems gegen solche unerlaubt generierten elektromagnetischen Sendesignale sicherer gemacht.
-
Es sind Verfahren bekannt, durch die Funkschlüsselsysteme mit Sicherheitsmerkmalen gegen von Dritten versuchte, unautorisierte Bedienung geschützt werden.
-
Aus der
DE 10 2014 226 925 A1 sind ein Verfahren und eine Vorrichtung zur Zugangsverifizierung in einem Fahrzeug bekannt. Bei dem Verfahren wird eine Entfernung zwischen einer Transpondereinheit eines Schlüssels und einem Fahrzeug wenigstens zweimal ermittelt. Eine Berechtigung des Schlüssels wird mittels eines mittels einer ersten Codiertabelle codierten Anfragesignals geprüft. Nur wenn ein Schlüssel mit der Transpondereinheit ausgestattet ist, kann er das Anfragesignal decodieren und mittels einer zweiten Codiertabelle ein Antwortsignal codieren und zurücksenden. Nachteilig ist, dass Codiertabellen von Dritten gestohlen und kopiert werden können, und in diesem Fall ein Antwortsignal auch unautorisiert generiert werden kann.
-
Aus der
DE 10 2008 007 842 B3 ist eine Zugangsvorrichtung für Fahrzeuge bekannt. Eine Kommunikation zwischen zwei Kommunikationseinrichtungen ist sowohl über eine induktive NF-Verbindung als auch über zumindest eine HF-Verbindung herstellbar. Zur Authentifizierung wird ein kryptologischer Schlüssel genutzt, der nur legitimen Inhabern bekannt sein darf. Nachteilig ist, das kryptologische Schlüssel abgefangen und entschlüsselt werden können und mit den daraus gewonnenen Informationen ein Antwortsignal generiert werden kann, dass einen legitimen Inhaber imitiert, sodass in diesem Fall auch unautorisierte Dritte die Zugangsvorrichtung bedienen können.
-
Aus der
DE 10 2014 010 668 A1 ist ein Verfahren zur Verhinderung eines Zwei-Diebe-Verfahrens, d.h. einem Angriff auf passive, schlüssellose Ferneingangssysteme von Fahrzeugen bekannt. Das Schutzverfahren nutzt zur Sicherung gegen eine Signalverlängerung eine pseudo-zufällige Änderung der gesendeten Signalpegel in einem speziellen Muster. Ein Schutz gegen generierte Antwortsignale ist nicht beschrieben.
-
Aus der
DE 10 2010 000 304 A1 ist ein Suchsystem für einen elektronischen Schlüssel eines Kraftfahrzeugs bekannt, bei dem der elektronische Schlüssel Antwort-Anfrage-Signale von drei im Kraftfahrzeug angeordneten Sendern empfängt. Mithilfe der berechneten Zeitunterschiede zwischen einer Sendung und einem Empfang jedes Antwort-Anfrage-Signals kann letztendlich anhand eines Antwortsignals des Schlüssels die Position des elektronischen Schlüssels bestimmt werden.
-
Aus der
DE 101 34 837 A1 ist ein Verfahren zum fernbedienten Ver- und/oder Entriegeln eines Fahrzeuges bekannt, bei dem ein Code sowie Zeitinformationen von einem Funkschlüssel an einen Empfänger im Fahrzeug gesendet werden. Nur wenn beide Signale vorbestimmten Erwartungswerten entsprechen, wird die Ver- und/oder Entriegelungsmechanik des Fahrzeugs aktiviert.
-
Aufgabe der Erfindung ist es, ein Verfahren bereitzustellen, das ein Betreiben des passiven Funkschlüsselsystems mittels von unautorisierten Dritten generierten Signalen auch bei einem Abfangen und Decodieren von Sendesignalen verhindert.
-
Die Aufgabe wird erfindungsgemäß gelöst gemäß den unabhängigen Patentansprüchen. Vorteilhafte Weiterbildungen sind in den abhängigen Patentansprüchen, der folgenden Beschreibung und den Figuren beschrieben.
-
Die Erfindung stellt ein Verfahren bereit, durch das ein Funkschlüsselsystem mit zumindest einem Funkschlüssel manipulationssicherer betrieben werden kann als ohne das Verfahren. Beim Betreiben des Funkschlüsselsystems wird zumindest ein Sendesignal auf einem Sendeweg gesendet. Dieser Sendeweg kann den Weg vom Kraftfahrzeug zum Funkschlüssel hin und/oder vom Funkschlüssel zum Kraftfahrzeug hin beschreiben. Gemäß dem Verfahren wird eine Zugangsfunktion des Kraftfahrzeugs nur dann freigegeben, falls ein vorbestimmtes Sicherheitskriterium erfüllt ist. Eine Zugangsfunktion kann beispielsweise ein Entriegeln oder ein Starten des Kraftfahrzeugs sein. Eine Information, mittels derer das Sicherheitskriterium geprüft werden kann, wird in dem Sendesignal übertragen. Diese Information ist ein Sendezeitpunkt, der als Zählerwert bereitgestellt wird und den Aussendezeitpunkt eines Signals am Sender (Kraftfahrzeug oder Funkschlüssel) beschreibt und welcher mit einem Empfangszeitpunkt, der auch als Zählerwert bereitgestellt wird, am Empfänger, also entweder dem Funkschlüssel oder dem Kraftfahrzeug, verglichen wird. Das Sicherheitskriterium ist dann erfüllt, wenn der Empfangszeitpunkt vom Sendezeitpunkt um nicht mehr als einen vorbestimmten Wert abweicht, der durch einen Toleranzbereich definiert werden kann. Die aktuellen Zählerstände der Zeitgebereinheiten sind nur dem Kraftfahrzeug und Funkschlüssel bekannt. Deshalb kann kein Dritter ein Sendesignal mit irgendeinem fingierten Zählerwert eines Sendezeitpunkts generieren, der im Empfänger das Sicherheitskriterium erfüllen würde. Sende- und Empfangszeitpunkte werden also nach einer allein dem Funkschlüsselsystem bekannten, autonomen Zeitmessung bestimmt. Das Verfahren gliedert sich im Detail folgendermaßen.
-
Erfindungsgemäß werden hierzu in einem Verfahrensschritt zumindest eine Zeitgebereinheit des Funkschlüssels und zumindest eine Zeitgebereinheit des Kraftfahrzeugs aufeinander synchronisiert. Das bedeutet, dass sowohl Funkschlüssel als auch Kraftfahrzeug zumindest eine Zeitgebereinheit aufweisen, mittels derer eine Zeitangabe bestimmt werden kann. Für das Verfahren ist es notwendig, dass die Zeitgebereinheit des Funkschlüssels und die Zeitgebereinheit des Kraftfahrzeugs synchron laufen, da diese miteinander verglichen werden sollen. In dem Verfahrensschritt können beide Zeitgebereinheiten untereinander synchronisiert werden, sodass beide zu einem Zeitpunkt eine von einer globalen oder zentralen Uhrzeit unabhängige gleiche Zeitangabe angeben können. Diese Zeitangabe ist ein Zählerwert eines digitalen Zählers, durch den eine Zeitgebereinheit ausgebildet ist. Damit ist gemeint, dass zum Beispiel zu einem Synchronisierungszeitpunkt beide Zeitgebereinheiten auf einen vorbestimmten Zählerwert, zum Beispiel auf null oder auf einen zufälligen Wert, eingestellt werden und ab diesem Zeitpunkt in beiden Zeitgebereinheiten der digitale Zähler in gleichen Zeitintervallschritten zählt, sodass zu einem späteren Zeitpunkt beide digitale Zähler jeweils einen Zählerwert ausgeben können, die zusammen das besagte Sicherheitskriterium erfüllen. Mit dem Sicherheitskriterium ist ein Toleranzbereich gemeint, welcher durch eine Gangungenauigkeit eines digitalen Zählers vorbestimmt ist. Denn ein digitaler Zähler weist als Taktgeber beispielsweise einen Quarz auf, dessen Frequenz toleranzbehaftet ist, wodurch die Gangungenauigkeit entsteht. Mit anderen Worten laufen die beiden Zeitgebereinheiten ab der Synchronisierung wieder auseinander. Eine Zeitgebereinheit gibt also nicht eine tatsächliche Uhrzeit an, sondern einen Zählerwert, der auch von einer zweiten Zeitgebereinheit des Funkschlüsselsystems (im Rahmen des Toleranzbereichs) angegeben wird. Der Vorteil an diesem Verfahrensschritt ist, dass beide Zeitgebereinheiten zu einem selben Zeitpunkt den gleichen Zählerwert angeben können, der allein den synchronisierten Zeitgebereinheiten bekannt ist. Insbesondere einem Dritten, der ein Sendesignal generieren will, ist der Zählerwert nicht bekannt.
-
In einem Verfahrensschritt wird zumindest ein Sendesignal auf dem Sendeweg gesendet. In dem zumindest einen Sendesignal ist insgesamt ein digitaler Zeitstempel und ein Triggersignalanteil enthalten. Der Triggersignalanteil kann analog oder digital bereitgestellt werden. Mit insgesamt enthalten ist gemeint, dass, wenn nur ein einziges Sendesignal gesendet wird, dieses sowohl den digitalen Zeitstempel als auch den Triggersignalanteil enthält, wenn jedoch mehr als ein Sendesignal gesendet werden, zumindest eines davon den digitalen Zeitstempel und zumindest ein anderes davon den Triggersignalanteil enthält. Der digitale Zeitstempel enthält eine Information eines Sendezeitpunktes eines Sendesignals mit dem Triggersignalanteil. Der digitale Zeitstempel gibt also darüber Auskunft, zu welchem Zeitpunkt das Sendesignal gesendet wurde, welches den Trägersignalanteil enthält. Der Sendezeitpunkt ist ein Zählerwert eines digitalen Zählers einer sendenden Einheit des Funkschlüsselsystems, also des Funkschlüssels oder des Kraftfahrzeugs. Ein Triggersignalanteil ist eine Signaleigenschaft, die zum Markieren eines Empfangszeitpunktes geeignet ist. Der Trägersignalanteil kann also dazu verwendet werden, einen Empfangszeitpunkt zu bestimmen.
-
In einem weiteren Verfahrensschritt wird das zumindest eine Sendesignal empfangen. Dabei werden sowohl der digitale Zeitstempel ermittelt, als auch der Empfangszeitpunkt des Sendesignals mit dem Triggersignalanteil erfasst. Der Vorteil an dem Verfahrensschritt ist, dass dadurch sowohl der Sendezeitpunkt des Triggersignalanteils bekannt ist, als auch dessen Empfangszeitpunkt bekannt ist, so dass diese miteinander verglichen werden können. Der Zählerwert, den der digitale Zähler des Empfängers als Empfangszeitpunkt ausgibt, ist insbesondere der gleiche Zählerwert, bei dem das Signal gesendet wurde, da eine Sendezeit des Sendewegs sehr gering ist, verglichen mit einem Zählzeitintervall eines digitalen Zählers. Wenn die Sendezeit jedoch zum Beispiel bei einer Verwendung eines besonders hochfrequenten digitalen Zählers nicht vernachlässigbar ist, kann eine Verzögerung durch die Übertragungszeitdauer im Zählerwert des Empfängers berücksichtigt werden.
-
Aus der Information des Sendezeitpunktes und des Empfangszeitpunktes wird in einem Verfahrensschritt eine relative Abweichung ermittelt. Dazu werden der Zählerwert des Sendezeitpunktes und der Zählerwert des Empfangszeitpunktes verglichen, indem sie z.B. voneinander subtrahiert werden. Zusätzlich kann der Betrag des Ergebnisses durch eine Zählergrenze des digitalen Zählers dividiert werden kann, sodass eine relative Abweichung in Bezug auf den verwendeten digitalen Zähler gebildet wird. Die Zählergrenze des digitalen Zählers ist der Zählerwert, bis zu welchem der digitale Zähler zählen kann. Die Zählergrenze eines 64-Bit-Zählers ist beispielsweise die 64te Potenz von 2. Bei Erreichen der Zählergrenze, also bei einem sogenannten Überlauf, während des Verfahrens kann der Zähler wieder auf den Wert Null gestellt werden und von Null aus weiterzählen.
-
In einem weiteren Verfahrensschritt wird die Freigabe einer Zugangsfunktion des Funkschlüsselsystems in Abhängigkeit von einem vorbestimmten Sicherheitswert gesteuert. Der vorbestimmte Sicherheitswert gibt vor, wie groß die relative Abweichung sein darf, also den besagten Toleranzbereich. Der Sicherheitswert stellt also das Sicherheitskriterium dar. Obwohl die Sendezeit vernachlässigbar gering ist, ist eine relative Abweichung aufgrund der besagten Gangungenauigkeiten der digitalen Zähler zu erwarten. Auf Grundlage dieses zu erwartenden Abweichungswertes wird der Sicherheitswert festgelegt. Die Zugangsfunktion des Kraftfahrzeugs wird dann freigegeben, wenn die relative Abweichung geringer ist als der vorbestimmte Sicherheitswert. Im Fall, dass die relative Abweichung größer ist als der vorbestimmte Sicherheitswert, wird die Freigabe der Zugangsfunktion und somit der Betrieb des Funkschlüsselsystems verhindert.
-
Durch das erfindungsgemäße Verfahren ergibt sich der Vorteil, dass die Zugangsfunktion des Kraftfahrzeugs nur dann freigeben wird, wenn ein jeweiliger Sender des Sendesignals den Zählerwert kennt, für welchen sich eine relative Abweichung mit einem Wert ergibt, der geringer ist als der vorbestimmte Sicherheitswert. Der dafür benötigte Zählerwert ist jedoch nur dem Funkschlüssel und dem Kraftfahrzeug, also jeweils Komponenten des Funkschlüsselsystems bekannt, und kann von einem Dritten nicht vorhergesagt oder ermittelt werden. Dies ergibt sich daraus, dass der Zählerwert von einem Synchronisationszeitpunkt abhängig ist, der wiederum allein dem Funkschlüsselsystem bekannt ist. Insbesondere findet die Synchronisierung zwischen Funkschlüssel und Kraftfahrzeug nicht in regelmäßigen zeitlichen Abständen statt, sondern in zufälligen zeitlichen Abständen, etwa dann, wenn sich der Funkschlüssel im Kraftfahrzeug befindet. Selbst wenn ein Dritter aber herausfindet, wann sich der Funkschlüssel im Kraftfahrzeug befindet, ist nicht bekannt, wann die Synchronisierung stattgefunden hat, da diese auch dann, wenn sich der Funkschlüssel im Kraftfahrzeug befindet, nur unter bestimmten Bedingungen stattfindet. Genaueres zur Synchronisierung ist im Folgenden beschrieben. Wenn ein Dritter versucht, einen Zählerwert zu raten und mit einem solchen geratenen Zählerwert ein Sendesignal generiert, ist die Wahrscheinlichkeit, dass Sicherheitskriterium zu erfüllen sehr gering, insbesondere wenn digitale Zähler mit einem sehr großen Wertebereich, vorzugsweise 64-Bit-Zähler, genutzt werden. Somit stellt das Verfahren einen hohen Schutz gegen eine Manipulation des Funkschlüsselsystems bereit.
-
Erfindungsgemäß wird der vorbestimmte Sicherheitswert in Abhängigkeit einer Zeitdauer zur vorhergehenden Synchronisierung eingestellt. Da die Zeitgebereinheiten des Funkschlüsselsystems toleranzbehaftet sind, weisen diese eine umso größere Abweichung voneinander auf, je mehr Zeit nach der letzten Synchronisierung vergangen ist. Der Sicherheitswert wird deshalb größer eingestellt, je mehr Zeit seit dem letzten Synchronisieren vergangen ist. Der Sicherheitswert wird beispielsweise am 4. Tag nach der Synchronisierung doppelt so hoch eingestellt wie am 2. Tag nach der Synchronisierung. Dabei weist der Sicherheitswert höchstens einen vorbestimmten Maximalwert auf. Der vorbestimmte Maximalwert ist ein Wert, unter dem eine relative Abweichung als Sicherheitskriterium statistisch genügend sicher ist. Der Maximalwert ist ein Wert, der nach einer bestimmten Zeit, etwa nach zwei Wochen, erreicht wäre, wenn die Zählerwerte von zwei toleranzbehafteten Zeitgebereinheiten gemäß ihrer Spezifikation um den maximal möglichen Toleranzwert voneinander abweichen würden. Damit ist gemeint, dass beispielsweise die erste Zeitgebereinheit um einen maximalen positiven Toleranzwert abweicht und die zweite Zeitgebereinheit um einen maximalen negativen Toleranzwert abweicht. Wenn ein Maximalwert so eingestellt ist, dass er dem so nach zwei Wochen erreichten Wert entspricht, kann das Funkschlüsselsystem so eingestellt werden, dass nach zwei Wochen eine Bedienung des Funkschlüsselsystems mittels des Funkschlüssels nicht mehr möglich ist. Der Vorteil daran ist, dass das Verfahren das Funkschlüsselsystem gegen ein unautorisiertes Betreiben stets sehr gut sichert.
-
Zu der Erfindung gehören auch Weiterbildungen, durch die sich zusätzliche Vorteile ergeben.
-
In einer Weiterbildung des Verfahrens ist beschrieben, wie die Zeitgebereinheiten von Funkschlüssel und Kraftfahrzeug synchronisiert werden. Es ist wichtig, dass diese unter einer Sicherheitsbedingung synchronisiert werden, da sonst ein Dritter die Zeitgebereinheit unautorisiert auf einen Zählerwert synchronisieren könnte, den er dem Kraftfahrzeug in einem generierten Sendesignal senden könnte. Deshalb wird eine Synchronisierung der Zeitgebereinheiten nur dann vorgenommen, wenn gewährleistet ist, dass der autorisierte Funkschlüssel und das Kraftfahrzeug miteinander synchronisieren. Das ist zum Beispiel dann der Fall, wenn sich der Funkschlüssel innerhalb des Kraftfahrzeugs befindet, da ein unautorisierter Dritter keinen Zutritt zum Kraftfahrzeug hat. Ob dies der Fall ist, kann zum Beispiel über eine Innenantenne des Kraftfahrzeugs ermittelt werden. Es ist auch möglich, dass eine Synchronisierung erst nach einer manuellen Betätigung eines Schalters am Funkschlüssel stattfindet, so dass nur ein Nutzer, der im Besitz des Funkschlüssels ist, eine Synchronisierung freigeben kann. Es ist auch möglich, dass eine Synchronisierung zum Beispiel in einer autorisierten Werkstatt stattfindet. Für ein Auswählen eines zufälligen Zeitpunkts der Synchronisierung können auch vom Fahrer oder vom Kraftfahrzeug beeinflusste Werte wie eine Gaspedalstellung, eine Motorlast oder eine Fahrzeuginnenraumtemperatur genutzt werden. Es ist auch möglich, dass eine Synchronisierung nur dann stattfindet, wenn das Kraftfahrzeug fährt, zum Beispiel schneller als mit einer Geschwindigkeit von 10 km/h fährt. Der Vorteil an dieser Ausführung ist, dass eine Synchronisierung auch anderer Funktionen des Funkschlüssels mit dem Kraftfahrzeug bei einer solchen Geschwindigkeit standardmäßig stattfindet und keine Extrasynchronisierung vorgenommen werden muss. Ein weiterer Vorteil daran ist, dass das Fahrzeug nur dann fahren kann, wenn es durch das Funkschlüsselsystem sicher geöffnet und gestartet wurde, also in diesem Fall gewährleistet ist, dass der zu synchronisierende Funkschlüssel ein autorisierter Funkschlüssel des Funkschlüsselsystems ist.
-
In einer Weiterbildung des Verfahrens wird das Sendesignal, das den digitalen Zeitstempel aufweist, mittels eines kryptographischen Verfahrens verschlüsselt. Der Vorteil daran ist, dass ein Dritter nur sehr schwer, nämlich nur mittels Entschlüsselung des kryptographischen Verfahrens, herausfinden kann, dass das Sendesignal einen Zählerwert aufweist. Erst dann könnte ein Dritter anfangen, Zählerwerte zu raten, da nicht bekannt ist, dass das Sicherheitskriterium auf einem Zählerwert basiert. Ein weiterer Vorteil ist, dass unautorisiert generierte Sendesignale mit geratenen Zählerwerten vom Empfänger gar nicht erst angenommen werden, da diese nicht über die korrekte Verschlüsselung verfügen und somit vom Empfänger der darin enthaltene geratene Zählerwert überhaupt nicht erfasst wird.
-
In einer Weiterbildung des Verfahrens ist der Triggersignalanteil analog durch ein Burst-Signal oder ein Impulssignal bereitgestellt. Diese weisen jeweils zumindest eine vorbestimmte Flankensteilheit und/oder eine vorbestimmte Signaldauer auf. Ein solches Signal ist als Triggersignal besonders gut dazu geeignet, einen Empfangszeitpunkt genau zu bestimmen. Insbesondere ist eine Ungenauigkeit des Empfangszeitpunktes dadurch geringer, als eine Ungenauigkeit durch eine begrenzte zeitliche Auflösung eines digitalen Zählers. Eine Zeitdauer einer Signalflanke ist also zum Beispiel geringer als ein Zählzeitintervall des digitalen Zählers. Eine Burstlänge kann je nach verwendetem Frequenzband des Sendesignals unterschiedlich lang gewählt sein, da je nach gewählten Frequenzband ein Kommunikationsbyte eine unterschiedliche Länge hat. Der Vorteil daran ist, dass mittels der Flankensteilheit oder der Signaldauer ein Empfangszeitpunkt des Sendesignal sehr genau ermittelt werden kann. Dadurch ist gewährleistet, dass Fehler beim Ermitteln des Empfangszeitpunktes vermieden werden und die relative Abweichung genau bekannt ist.
-
In einer Weiterbildung des Verfahrens sind der Triggersignalanteil und der digitale Zeitstempel im selben Sendesignal enthalten oder werden zum gleichen Sendezeitpunkt in zwei verschiedenen Sendesignalen gesendet. Ein Sendesignal, das sowohl den Triggersignalanteil als auch den digitalen Zeitstempel enthält, kann zum Beispiel als Signalpegel den Triggersignalanteil enthalten und den digitalen Zeitstempel durch eine Frequenzmodulation enthalten. Dadurch ergibt sich der Vorteil, dass nur ein einziges Signal gesendet werden muss und somit das Funkschlüsselsystem auch nur über einen Sende- und/oder Empfangskanal verfügen muss. Im Fall, dass zwei Signale gesendet werden ergibt sich insbesondere der Vorteil, dass der digitale Zeitstempel unabhängig vom Triggersignalanteil gesendet werden kann. Da die zwei Sendesignale über zwei verschiedene Sendekanäle übertragen werden, weisen diese jeweils verschiedene Sendefrequenzen auf, wodurch neben der Sicherheit gegen unautorisiert generierte Signale gleichzeitig auch eine Sicherheit gegen Signalverlängerungen erhöht wird.
-
In einer Weiterbildung werden der Triggersignalanteil und der digitale Zeitstempel in zwei Sendesignalen gesendet, welche eine vorbestimmte zeitliche Differenz aufweisen. Zum Beispiel wird also erst in einem ersten Sendesignal der Triggersignalanteil gesendet und um eine vorbestimmte Zeit später das Signal dem digitalen Zeitstempel gesendet. Der digitale Zeitstempel entspricht dem Zählerwert des digitalen Zählers, bei dem das erste Sendesignal gesendet wurde. Der Vorteil daran ist, dass beide Sendesignale unabhängig voneinander bei der gleichen Signalfrequenz gesendet werden können. Somit ist für das Funkschlüsselsystem nur ein Sende- und/oder Empfangskanal bereitzustellen. Der weitere Vorteil, wenn der digitale Zeitstempel erst nach dem Triggersignalanteil gesendet wird, ist, dass dabei sichergestellt ist, dass der Triggersignalanteil tatsächlich zum Sendezeitpunkt, den der digitale Zeitstempel aufweist, gesendet wurde.
-
In einer Weiterbildung des Verfahrens ist vorgesehen, dass der vorbestimmte Sicherheitswert in Abhängigkeit einer Gangungenauigkeit zumindest einer Zeitgebereinheit eingestellt wird. Zwar weisen die Zeitgebereinheiten eine endliche Ganggenauigkeit auf, die aus einer Abweichung einer tatsächlichen Frequenz eines Taktgebers zu dessen Nominalwert entsteht, jedoch können diese Abweichungen, also die Toleranzwerte, selbst konstant sein. Damit ist gemeint, dass zum Beispiel ein Frequenzgeber, der um 10 ppm von seinem Nominalwert abweicht, konstant um 10 ppm von seinem Nominalwert abweicht. Somit kann gemessen werden, wie viel Abweichung zwischen einem Zählerwert des digitalen Zählers des Funkschlüssels und einem Zählerwert des digitalen Zählers des Kraftfahrzeugs beispielsweise nach einer Woche zu rechnen ist. Anhand dieses Wertes kann mittels einer Skalierung auch auf Werte nach beispielsweise 3 Tagen oder nach 10 Tagen rückgeschlossen werden. Dadurch kann der Wertebereich, innerhalb dessen die relative Abweichung das Sicherheitskriterium erfüllt, kleiner gewählt werden, sodass das Verfahren eine Sicherheit gegen eine Manipulation des Funkschlüsselsystems noch weiter erhöht. Eine solche zu erwartende Systemabweichung kann bei Inbetriebnahme des Funkschlüsselsystems ermittelt werden und auch zwischen jedem Synchronisierungsvorgang ermittelt werden. Dadurch wird auch der Einfluss etwa von Alterung von frequenzgebenden Bauteilen der Zeitgebereinheiten im Verfahren mitberücksichtigt.
-
Zur Erfindung gehört auch ein Funkschlüsselsystem für ein Kraftfahrzeug. Das Funkschlüsselsystem weist einen Funkschlüssel und eine Steuerungseinrichtung auf, wobei die Steuerungseinrichtung ein Betreiben des Funkschlüsselsystems verhindert, also zumindest eine Zugangsfunktion des Kraftfahrzeugs dann nicht freigibt, falls ein Steuersignal einen ersten Wert aufweist. Die Steuereinrichtung stellt dabei den Wert des Steuersignals auf den ersten Wert ein, wenn die relative Abweichung größer als der vorbestimmte Sicherheitswert ist. Das Funkschlüsselsystem ist also dazu ausgestaltet, eine Zugangsfunktion nur dann freizugeben, wenn ein vom Sender gesendetes Sendesignal einen Zählerwert als digitalen Zeitstempel aufweist, der einem Zählerwert am Empfänger entspricht, der beim Empfang des Triggersignalanteils vorliegt. Dabei werden die Zählerwerte wie vorher beschriebenen gemäß dem Verfahren der vorliegenden Erfindung ermittelt und verglichen.
-
Zur Erfindung gehört auch ein Kraftfahrzeug mit einem Funkschlüsselsystem, das zumindest einen Funkschlüssel aufweist. Der Funkschlüssel und das Kraftfahrzeug weisen jeweils zumindest eine Zeitgebereinheit mit einem digitalen Zähler auf, die aufeinander synchronisiert werden können. Zwischen dem Kraftfahrzeug und dem Funkschlüssel ist über zumindest einen Übertragungskanal ein elektromagnetisches Funksignal als Sendesignal übertragbar, das einen Triggersignalanteil und/oder einen digitalen Zeitstempel aufweisen kann.
-
Zu der Erfindung gehören auch Weiterbildungen des erfindungsgemäßen Funkschlüsselsystems sowie des erfindungsgemäßen Kraftfahrzeugs, die Merkmale aufweisen, wie sie bereits im Zusammenhang mit den Weiterbildungen des erfindungsgemäßen Verfahrens beschrieben worden sind. Aus diesem Grund sind die entsprechenden Weiterbildungen des erfindungsgemäßen Funkschlüsselsystems sowie des erfindungsgemäßen Kraftfahrzeugs hier nicht noch einmal beschrieben.
-
Im Folgenden sind Ausführungsbeispiele der Erfindung beschrieben. Hierzu zeigt:
- 1 ein schematisches Blockschaltbild des erfindungsgemäßen Verfahrens; und
- 2 eine schematische Darstellung eines Kraftfahrzeugs mit einem autorisierten Schlüssel und einem unautorisierten Sender.
-
Bei den im Folgenden erläuterten Ausführungsbeispielen handelt es sich um bevorzugte Ausführungsformen der Erfindung. Bei den Ausführungsbeispielen stellen die beschriebenen Komponenten der Ausführungsformen jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden und damit auch einzeln oder in einer anderen als der gezeigten Kombination als Bestandteil der Erfindung anzusehen sind. Des Weiteren sind die beschriebenen Ausführungsformen auch durch weitere der bereits beschriebenen Merkmale der Erfindung ergänzbar.
-
In den Figuren sind funktionsgleiche Elemente jeweils mit denselben Bezugszeichen versehen.
-
In 1 ist schematisch ein Funkschlüsselsystem 10 dargestellt. Dieses weist einen Funkschlüssel 11 und ein Kraftfahrzeug 12 auf. Eine Zeitgebereinheit 13 des Funkschlüssels 11 kann mit einer Zeitgebereinheit 14 des Kraftfahrzeugs 12 in einer Synchronisierung 15 zeitlich synchronisiert werden. Der Funkschlüssel 11 kann dem Kraftfahrzeug 12 in einem Sendesignal 16 einen digitalen Zeitstempel 17 sowie einen analogen Triggersignalanteil 18 senden. Eine Vergleichseinheit 19 ermittelt eine relative Abweichung 20 eines Zählerwertes des digitalen Zeitstempel 17 und eines Zählerwertes bei einem Empfangszeitpunkt des Sendesignals mit dem analogen Triggersignalanteil 18. Eine Sicherheitseinheit 21 überprüft ob die relative Abweichung 20 geringer ist als ein vorbestimmter Sicherheitswert 22. Ein Betreiben des Funkschlüsselsystems 10, also eine Freigabe einer Zugangsfunktion des Kraftfahrzeugs 12, kann von einer Freigabeeinheit 23 freigegeben werden.
-
In 2 ist schematisch ein Funkschlüsselsystem 10 mit einem Funkschlüssel 11 und einem Kraftfahrzeug 12 dargestellt. Zusätzlich zu dem Funkschlüsselsystem 10 ist ein Sender 30 eines unautorisierten Dritten dargestellt, der ein Sendesignal 31 mit einer Information in Form eines Zählerwertes 32 an das Kraftfahrzeug 12 des Funkschlüsselsystems 10 sendet.
-
In einem Ausführungsbeispiel sendet der Funkschlüssel 11 zunächst ein Sendesignal 16 mit dem digitalen Zeitstempel 17 und 100 ms später ein weiteres Sendesignal 16 mit dem analogen Triggersignalanteil 18. Dabei ist die zeitliche Differenz von 100 ms vorbestimmt, sodass der digitale Zeitstempel 17 den Sendezeitpunkt und den dazugehörigen Zählerwert der Zeitgebereinheit 13 des Sendesignals 16 mit dem analogen Triggersignalanteil 18 genau vorhersagen und somit bereits vor dem analogen Triggersignalanteil 18 senden kann. Der Zählerwert des digitalen Zeitstempels 17 wird mit dem Zählerwert, den die Zeitgebereinheit 14 zum Empfangszeitpunkt des Sendesignals 16 mit dem analogen Triggersignalanteil 18 aufweist, verglichen. Daraus wird eine relative Abweichung 20 gebildet, welche wiederum mit einem vorbestimmten Sicherheitswert 22 verglichen wird. Nur dann, wenn die relative Abweichung 20 geringer als der vorbestimmter Sicherheitswert 22 ist, wird eine Zugangsfunktion des Kraftfahrzeugs 12 durch das Funkschlüsselsystems 10 freigegeben. Der Vergleich von relativer Abweichung 20 und vorbestimmtem Sicherheitswert 22 kann in einer Komponente des Funkschlüsselsystems 10 im Kraftfahrzeug 12 oder auch auf einem Bordcomputer des Kraftfahrzeugs 12 durchgeführt werden.
-
In einem Ausführungsbeispiel sind die Zeitgebereinheiten 13 und 14 digitale Zähler. In dem Ausführungsbeispiel handelt es sich jeweils um einen 64-Bit-Zähler. Die digitalen Zähler führen jeweils unter einer vorbestimmten Bedingung eine Synchronisierung 15 durch, etwa dann, wenn das Kraftfahrzeug 12 eine Mindestgeschwindigkeit aufweist, die zum Beispiel 20 km/h oder 30 km/h ist. Nach der Synchronisierung 15 zählen beide digitale Zähler vom selben Zählerwert aus, mit einer gleichen Zählgeschwindigkeit oder einer bekannten unterschiedlichen Zählgeschwindigkeit. Dieser Zählerwert, der bei der Synchronisierung eingestellt wird, kann auf einen Zufallswert eingestellt werden. Ein Zufallswert, der in einem oberen Wertebereich des Zählers liegt ist dabei unproblematisch, da bei einem Erreichen der Zählergrenze ein definierter Zählerüberlauf eingestellt werden kann, etwa so, dass der Zähler dann wieder vom Wert Null aus weiterzählt. Beide digitale Zähler weisen als Taktgeber in diesem Ausführungsbeispiel als Resonator einen Quarz auf, der mit einer Frequenz von 32,768 kHz schwingt und dabei eine Toleranz von höchstens 20 ppm aufweist. Es könnte aber auch ein anderer Resonator verwendet werden, etwa ein MEMS-Resonator. Nach einer Zeitdauer t nach der Synchronisierung ist nur den beiden Zeitgebereinheiten 13 und 14 der jeweilige Zählerstand mit einer erlaubten Abweichung bekannt. Der Funkschlüssel 11 muss im Sendesignal 16 im digitalen Zeitstempel 17 diesen Zählerstand an das Kraftfahrzeug 12 senden. Die erlaubte Abweichung ist dabei abhängig von einer Toleranz der Frequenz des Quarzes, hier 20 ppm von 32,768 kHz. Im gegebenen Ausführungsbeispiel ist eine Abweichung eines Zählerwertes von seinem nominalen Zählerwert pro Tag maximal 32,768 kHz mal 20 ppm mal 24 mal 60 mal 60 Sekunden, also gleich 56.623. Da ein Toleranzwert auch negativ sein kann (-20 ppm), ergibt sich daraus zwischen zwei Zeitgebereinheiten 13, 14 eine maximale Differenz der Zählerwerte von 2 mal 56.623 pro Tag. Wenn die maximale Zeit, innerhalb derer eine Synchronisierung 15 stattfinden muss, auf 2 Wochen gesetzt wird, ergibt sich nach diesen 2 Wochen eine maximale Abweichung von 14 mal 2 mal 56.623, also gleich 1.585.446 und damit beim 64-Bit-Zähler eine maximale relative Abweichung 20 von 1.585.446 geteilt durch die 64. Potenz von 2, also insgesamt 8,6 mal 10^(-14), in Worten ausgedrückt 10 hoch minus 14. In diesem Ausführungsbeispiel wird der vorbestimmte Sicherheitswert 22 nach 2 Wochen daher auf den Wert 8,6 mal 10^(-14) gesetzt. Er wird in Abhängigkeit zum zeitlichen Abstand der letzten, d.h. vorhergehenden Synchronisierung 15 skaliert. Nach einer Zeitdauer nach einer Synchronisierung 15 von beispielsweise einer Woche muss in diesem Fall der digitale Zeitstempel 17, der vom Funkschlüssel 11 an das Kraftfahrzeug 12 gesendet wird, eine relative Abweichung 20 zur Folge haben, die geringer ist als die Hälfte des vorbestimmten Sicherheitswertes 22 nach 2 Wochen. Da der betragsmäßige Toleranzwert von 20 ppm konstant ist, ist eine maximale relative Abweichung 20 der beiden Zeitgebereinheiten 13, 14 nach einer Woche halb so groß wie nach 2 Wochen. Der vorbestimmte Sicherheitswert 22 ist dabei auch nach 2 Wochen noch so klein, dass ein Dritter ihn nicht erraten kann und somit kein Sendesignal generieren kann, mit dem er das Funkschlüsselsystem 10 bedienen könnte. Wird das Funkschlüsselsystem 10 auch nach der vorgegebenen Maximalzeit, hier also nach 2 Wochen, nicht synchronisiert, so kann dieses deaktiviert werden und ein Benutzer kann auf einen mechanischen Schlüssel umsteigen. Sobald eine Synchronisierungsbedingung erfüllt ist, kann das Funkschlüsselsystem 10 den Funkschlüssel 11 und das Kraftfahrzeug 12 synchronisieren, sodass die Funktion des Funkschlüsselsystems 10 wieder aktiviert werden kann.
-
Eine temperaturabhängige Toleranz der Zeitgebereinheiten 13, 14 kann vernachlässigt werden, da der Temperatureinfluss auf die Taktgeber, beispielsweise die Quarze, nur gering ist, etwa weniger als 0,5 ppm. Es sind auch andere digitale Zähler möglich, mit denen das Verfahren durchgeführt werden kann, etwa ein 32-Bit-Zähler oder ein 16-Bit-Zähler. Es sind auch höherfrequente Quarze möglich oder Quarze mit einem geringeren Toleranzwert, die vorzugsweise verwendet werden können, da damit die Genauigkeit des Verfahrens erhöht wird.
-
In einem Ausführungsbeispiel versucht ein unautorisierter Dritter mit einem Sender 30 mittels eines Sendesignal 31 das Funkschlüsselsystem 10 zu betreiben und somit beispielsweise das Kraftfahrzeug 12 zu öffnen. Dafür sendet er mit dem Sendesignal 31 eine Information, die einen Zählerwert 32 enthält. Die Vergleichseinheit 19 ermittelt aus dem geratenen Zählerwert 32 und dem Zählerwert zum Empfangszeitpunkt des Sendesignal 31 eine relative Abweichung 20. Diese ist jedoch mit sehr hoher Wahrscheinlichkeit größer als der vorbestimmte Sicherheitswert 22, so dass das Betreiben des Funkschlüsselsystems 10 in diesem Fall nicht ermöglicht wird. Eine Sicherheit gegen Manipulation wird insbesondere dadurch erhöht, dass beispielsweise nach drei Betriebsfehlversuchen, d.h. nach drei Sendesignalen 31 mit falschen Zählerwerten 32, die zu einer zu großen relativen Abweichung 20 führen, in einen Sicherheitsmodus übergeht und das Funkschlüsselsystem 10 nicht mehr per Funksignal gesteuert werden kann. Dadurch, dass ein unautorisierter Dritter also nur eine sehr begrenzte Anzahl von Versuchen hat, Zählerwerte 32 zu raten, ist ein Betreiben des Funkschlüsselsystems 10 mit einem unautorisiert generierten Sendesignal 31 fast unmöglich.
-
Insgesamt zeigen die Beispiele, wie durch die Erfindung ein Funkschlüsselsystem durch ein Sicherheitsmerkmal, dass allein den Komponenten des Funkschlüsselsystems, also dem Funkschlüssel und dem Kraftfahrzeug bekannt ist, manipulationssicher gemacht wird.
