-
Gegenstand der Erfindung ist eine elektronische Steuereinrichtung,
umfassend zumindest einen mit einem Prozessor ausgerüsteten
elektronischen Aktor und ein über eine Kommunikationsstrecke mit dem zumindest
einen elektronischen Aktor verbundenes Authentisierungsmodul,
bereitstellend eine zum Betreiben des zumindest einen elektronischen Aktors
benötigte Authentisierung. Ferner betrifft die Erfindung ein Verfahren zum
Zuordnen eines mit einem Prozessor ausgerüsteten und somit aktiven
elektronischen Aktors zu einem Authentisierungsmodul.
-
Elektronischen Aktoren, insbesondere wenn diese mit anderen Modulen
zusammenwirken, ist oftmals ein Code als Authentisierung zugeordnet.
Derartige Authentisierungen werden etwa bei solchen elektronischen
Anwendungen eingesetzt, die sicherheitsrelevant sind. Beispielsweise sei
hier auf den Automotive-Bereich verwiesen. In Kraftfahrzeugen werden in
zunehmenden Maße elektronische Aktoren eingesetzt, die zur Steuerung
und Überwachung des Kraftfahrzeuges dienen. Unter anderem werden
Kraftfahrzeuge mit einem elektronischen Zentralsteuergerät ausgerüstet.
Es hat sich gezeigt, daß Manipulationen etwa an solchen Steuergeräten
nicht ausgeschlossen und diese in Betrieb gesetzt werden können, wenn
andere Sicherungen dadurch überwunden werden, daß funktionstüchtige
Module von Parallelmodellen eingesetzt werden, um einen solchen Aktor,
etwa das elektronische Zentralsteuergerät zu überbrücken.
-
Das Authentisierungsmodul und der jeweilige elektronische Aktor bilden
eine gegenständliche Einheit. Um ein Überbrücken eines elektronischen
Aktors, beispielsweise eines elektronischen Steuergerätes eines
Kraftfahrzeuges zu verhindern, ist vorgeschlagen worden, dem elektronischen
Aktor Ausbauschutzmittel zuzuordnen, die bei einem Ausbauversuch
einen Speicher setzen - wie in DE 196 34 626 C1 beschrieben - oder die die
in dem Authentisierungsmodul abgelegte Authentisierung ändern - wie in
DE 100 18 252 A1 beschrieben. Bei einer Inbetriebnahme des
elektronischen Aktors erfaßt dieser im Rahmen seines Steueralgorithmus
entweder den gesetzten Speicher oder erhält eine falsche Authentisierung, so
daß eine Inbetriebnahme verhindert ist. Das Generieren eines solchen
Befehles zum Setzen oder Überschreiben eines Speichers erfolgt in
Abhängigkeit von erfaßten, bei einem Ausbau auftretenden mechanischen
Bewegungen, durch die beispielsweise ein Mikroschalter oder ein
Magnetschalter betätigt wird. Um eine Deaktivierung des Aktors, etwa des
elektronischen Zentralsteuergerätes bei einem Betrieb des Fahrzeuges
wirksam zu verhindern, beispielsweise bei einem Unfall, ist vorgesehen,
diese Einrichtung bei aktivierter Zündung zu deaktivieren. Folglich besteht
grundsätzlich die Möglichkeit, daß im Falle eines Unfalles und eines damit
einher gehenden Stromausfalles das dem elektrischen Aktor,
beispielsweise dem elektrischen Zentralsteuergerät zugeordnete
Authentisierungsmodul nicht mehr beschrieben werden kann und grundsätzlich
dieses Modul in seiner Gesamtheit funktionstüchtig dem Fahrzeug
entnommen werden kann. Überdies besteht bei solchen Systemen grundsätzlich
die Möglichkeit, mit entsprechender Vorsicht einen solchen Aktor auch
ohne Auslösung der Ausbauschutzmaßnahme zu entnehmen.
-
In DE 199 33 568 A1 ist ein ähnlicher Ausbauschutz beschrieben, bei dem
jedoch das Steuergerät selbst unbrauchbar geschaltet wird, wenn ein
versuchter Aus- oder Abbau detektiert wird.
-
Sämtlichen vorbekannten Einrichtungen gemein ist, daß eine erneute
Inbetriebnahme des elektronischen Aktors durch autorisiertes Personal mit
beispielsweise einem Master-Schlüssel möglich sein soll. Auch dies kann
grundsätzlich eine Lücke im Sicherheitssystem darstellen, da auch aus
autorisierten Werkstätten derartige Master-Schlüssel Entwendet werden
können, durch die das Authentisierungsmodul bzw. das Steuergerät
wieder funktionstüchtig geschaltet werden kann.
-
Daher ist es Aufgabe der vorliegenden Erfindung, eine eingangs genannte
elektronische Steuereinrichtung dergestalt weiterzubilden, daß der
Wiedereinsatz eines einmal beispielsweise in einem Kraftfahrzeug
eingebauten elektronischen Aktors nach dessen Ausbau aus seinem Kraftfahrzeug
verhindert ist.
-
Ferner liegt der Erfindung die Aufgabe zugrunde, ein Verfahren
bereitzustellen, mit dem ein aktiver elektronischer Aktor einem
Authentisierungsmodul zugeordnet werden kann.
-
Die auf die Steuereinrichtung bezogene Aufgabe wird erfindungsgemäß
dadurch gelöst, daß das Authentisierungsmodul räumlich getrennt und
beabstandet von dem zumindest einen elektronischen Aktor angeordnet
und das Authentisierungsmodul elektrische und/oder elektronische
Komponenten umfaßt, durch die bei einer Bestromung der Steuereinrichtung
eine von dem Aktor erfaßbare Kennung bereitgestellt ist, die nach einem
erstmaligen Erfassen durch den Aktor in einem dem Aktor zugeordneten,
nicht flüchtigen Datenspeicher abgelegt ist.
-
Die verfahrensbezogene Aufgabe wird dadurch gelöst, daß das Verfahren
folgende Schritte umfaßt:
- - Anschließen des Aktors an das Authentisierungsmodul, das elektrische
und/oder elektronische Komponenten umfaßt, durch die bei einer
Bestromung der aus Aktor und Authentisierungsmodul gebildeten
Anordnung eine von dem Aktor erfaßbare Kennung bereitgestellt ist,
- - erstmaliges Bestromen der Anordnung,
- - Erfassen der bei der Bestromung durch das Authentisierungsmodul
bereitgestellten Kennung durch den Aktor,
- - Ablegen der von dem Aktor erfaßten Kennung in einem dem Aktor
zugeordneten, nicht flüchtigen Datenspeicher,
- - Vergleichen der bei jeder weiteren Bestromung der Anordnung von
dem Authentisierungsmodul bereitgestellten und von dem Aktor
erfaßten Kennung mit der bei der ersten Bestromung in dem Datenspeicher
hinterlegten und
- - bei fehlender Übereinstimmung zwischen der aktuell erfaßten Kennung
und der in dem Datenspeicher hinterlegten Kennung Ausgabe eines
Fehlerbefehls, durch den die Ausführung der durch die Bestromung
gewünschten Aktion des Aktors verhindert wird.
-
Bei dem Gegenstand der beanspruchten elektronischen Steuereinrichtung
ist das Authentisierungsmodul räumlich getrennt und beabstandet von
dem zumindest einen elektronischen Aktor. Das Authentisierungsmodul
kann mit dem elektronischen Aktor beispielsweise durch eine
Verbindungsleitung bzw. einen Verbindungsleitungssatz als
Kommunikationsstrecke oder auch über eine drahtlose Kommunikationsstrecke verbunden
sein. Dadurch ist gewährleistet, daß bei einer Entnahme des Aktors das
Authentisierungsmodul nicht ohne weiteres bei dem Vorgang des
Entnehmens des Aktors beispielsweise einem Kraftfahrzeug mit entnommen
wird. Verhindert wird dadurch insbesondere, daß Aktor und
Authentisierungsmodul zusammen einem Unbefugten zur Manipulation vorliegen. Die
Beabstandung der beiden Elemente ermöglicht, daß das in seiner
Dimensionierung üblicherweise sehr klein ausgestaltete Authentisierungsmodul
in einfacher Weise durch mechanisch wirkende Ausbauschutzmittel
zusätzlich gesichert werden kann - eine Maßnahme, die sich bei einem
elektronischen Aktor, wie etwa einem elektronischen Zentralsteuergerät
nicht ohne weiteres realisieren ließe. Darüberhinaus kann das
Authentisierungsmodul auch an schwer zugänglichen und bei parallelen Modellen
auch an unterschiedlichen Positionen, beispielsweise in einem
Kraftfahrzeug, untergebracht sein. Das Authentisierungsmodul umfaßt elektrische
und/oder elektronische Komponenten, die bei einer Bestromung der aus
dem Authentisierungsmodul und dem elektronischen Aktor mit seinem
Prozessor gebildeten Anordnung eine Kennung bereitgestellt ist.
-
Die Kennung ist dergestalt konzipiert, daß diese von dem beispielsweise
als Mikrocontroller ausgebildeten Prozessor des elektronischen Aktors
erfaßbar ist. Nach einer körperlichen Ausbildung der Anordnung durch
elektrisches Verbinden des Mikrocontrollers mit der Leiterstruktur des
Authentisierungsmoduls wird diese Kennung von dem Mikrocontroller bei
einem ersten Bestromungsvorgang erfaßt und in einem dem Aktor
zugeordneten, nicht flüchtigen Datenspeicher abgelegt. Durch diese
Maßnahme ist das Authentisierungsmodul mit dem Aktor verheiratet. Bei jedem
erneuten Bestromungsvorgang wird naturgemäß die Kennung des
Authentisierungsmoduls generiert, von dem Mikrocontroller des
elektronischen Aktors im Rahmen seines Steueralgorithmus erfaßt und, bevor
dieser seinen eigentlichen Betrieb aufnimmt, mit der in dem Datenspeicher
abgelegten Kennung verglichen. Nur wenn die aktuell erfaßte Kennung
(IST-Kennung) mit der zuvor hinterlegten Kennung (SOLL-Kennung)
übereinstimmt, wird von dem Aktor die gewünschte, gegebenenfalls
benutzerseitig gewünschte Aktion ausgeführt. Unterscheidet sich die IST-
Kennung von der SOLL-Kennung, wird ein Fehlerbefehl ausgegeben,
durch den ein weiterer Betrieb des Aktors zum Durchführen der
gewünschten Aktion verhindert ist. Folglich wird die gewünschte Aktion nicht
durchgeführt.
-
Die von dem Authentisierungsmodul jeweils bereitgestellte Kennung ist
zweckmäßigerweise einzigartig, so daß die Kennung von Modulen bei
parallelen Modellen jeweils unterschiedlich ist. Durch eine solche
Anordnung bzw. durch ein solches Verfahren ist somit ausgeschlossen, daß das
Authentisierungsmodul eines ersten Aktors mit einem anderen Aktor
betrieben werden kann.
-
In einfacher Weise läßt sich eine solche Kennung, bereitgestellt durch
elektrische und/oder elektronische passive Komponenten, beispielsweise
durch eine Spannungscodierung ausbilden, indem die Leiterstruktur des
Authentisierungsmoduls ein oder mehrere Spannungsteiler aufweist und
die Kennung durch die unterschiedlichen Spannungswerte oder auch
durch den Teilungskoeffizienten definiert ist. Unterschiedliche Modelle,
etwa Kraftfahrzeuge, die mit einer solchen Anordnung ausgerüstet werden
sollen, weisen zur Bereitstellung unterschiedlicher Kennungen
unterschiedliche Spannungsteiler bzw. solche mit unterschiedlichen
Teilungsverhältnissen auf. Eine Codierung ist ebenfalls auf einfache Weise durch
Ausbilden eines oder mehrerer Schwingkreise, beispielsweise von RC-
Schwingkreisen oder durch Einsatz von Kondensatoren oder
Kondensatoranordnungen möglich, wobei diese beispielhafte Aufzählung von
Möglichkeiten, eine Kennung bereitzustellen, nicht abschließend ist. Auch eine
Kombination unterschiedlicher elektronischer Bauelemente zur
Bereitstellung einer Identitätskennung ist möglich.
-
Bei Vorsehen einer Spannungscodierung durch Ausbilden eines oder
mehrerer Spannungsteiler kann die Leiterstruktur des
Authentisierungsmoduls als integrierte Schaltung, beispielsweise als Hybrid aufgebaut
sein. Bei derartig aufgebauten Leiterstrukturen werden die darin
integrierten Widerstände zum Ausbilden der Spannungsteiler durch einen
Laservorgang codiert, wobei im Herstellungsprozeß bei einer solchen
Codierung vorgesehen ist, jede Leiterbahnstruktur bezüglich der zur
Bereitstellung der Kennung vorgesehenen Widerstände unterschiedlich zu
kodieren.
-
Um eine manipulative Erkennung der Leiterstrukturen, insbesondere der
zum Bereitstellen der Kennung vorgesehenen zu erschweren, ist es
zweckmäßig, eine solche Leiterstruktur als Multilayermodul mit in
mehreren übereinander liegenden Ebenen angeordneten Leiterbahnstrukturen
auszubilden.
-
Der Einsatz elektrischer und/oder elektronischer Mittel, wie beispielsweise
die beschriebene Widerstandsanordnung, zur Ausbildung eines
Spannungsteiles als Kennung ist als passives Authentisierungsmodul
anzusprechen und benötigt insbesondere keine eigenen Speicherkapazitäten.
Folglich besteht auch nicht die Gefahr, daß wie bei anderen
Ausgestaltungen ein mit einer Kennung versehener Speicher versehentlich gelöscht
oder überschrieben wird, was zu einer Funktionsuntüchtigkeit des
elektronischen Aktors führen würde. Daher kann ein solches
Authentisierungsmodul auch an solchen Stellen eingesetzt werden, an denen ein
magnetischer Speicher, beispielsweise in der Nähe von Magnetfeldern, nicht
einsetzbar wäre.
-
Das Authentisierungsmodul kann zusätzlich wirksam durch mechanische
Mittel geschützt werden. Beispielsweise bietet sich eine Kapselung der
Leiterstruktur des Authentisierungsmoduls an, die etwa durch ein
Wirbelsinterverfahren ausgebildet werden kann. Insbesondere bei Ausbilden
eines Hybrides, auf dem die die Kennung bereitstellende Leiterstruktur
aufgebracht ist, ist eine Kapselung, etwa durch ein Wirbelsinterverfahren
zweckmäßig, da bei einer versuchten Zerstörung des gesinterten
Materiales, um an die Leiterstruktur zu gelangen, diese unweigerlich zerstört
werden würde.