DE10352071A1

DE10352071A1 - Verfahren zur Erkennung von unberechtigten Komponententausch

Info

Publication number: DE10352071A1
Application number: DE10352071A
Authority: DE
Inventors: Michael-Rainer Busch; Andreas Dipl.-Ing. Miksch (FH)
Original assignee: DaimlerChrysler AG
Current assignee: Mercedes Benz Group AG
Priority date: 2003-11-07
Filing date: 2003-11-07
Publication date: 2005-06-23
Also published as: US7747869B2; US20050125655A1

Abstract

Verfahren zur Erkennung von unberechtigten Komponententausch bei einem technischen System, bei dem vom Steuergerät (1) eine verschlüsselte Nachricht (3) an eine zu prüfende Komponente (2) verschickt wird, wobei in einem Datenfeld der Nachricht (3) ein schwer reproduzierbarer oder zufällig erzeugter Wert (5, 6) eingetragen wird, der zur Prüfung der eingebauten Komponente (2) herangezogen wird. Die Komponente (2) greift auf ein Zuordnungsfeld (8) zu und dadurch wird jedem mit der Nachricht (3) übertragenen, schwer reproduzierbaren oder zufälligen Wert (5, 6) eine Kennung (9) zugewiesen, und die Komponente (2) überträgt die dem Wert (5, 6) entsprechende Kennung an das Steuergerät (1) zurück und das Steuergerät (1) entscheidet aufgrund der Kennung (9), ob die Komponente (2) die zum Einsatz bei diesem technischen System zugelassene Komponente (2) ist.

Description

Die Erfindung betrifft ein Verfahren zur Erkennung von unberechtigtem Komponententausch bei einem technischen System, insbesondere bei einem Verkehrsmittel, bei dem vom Steuergerät eine verschlüsselte Nachricht an eine zu prüfende Komponente verschickt wird, wobei in einem Datenfeld der Nachricht ein zufällig erzeugt oder schwer reproduzierbarer Wert eingetragen wird, der zur Prüfung der eingebauten Komponente herangezogen wird.

Ein derartiges Verfahren kann zukünftig beispielsweise bei Kraftfahrzeugkühlern eingesetzt werden, die ein besonderes katalytisches Verfahren zur Umwandlung von Schadstoffen in umweltverträgliche Stoffe vorsehen. Insbesondere dann, wenn für den Einsatz derartiger katalytischer Kraftfahrzeugkühler eine steuerliche Ermäßigung durch einen Staat vergeben wird, muss sichergestellt sein, dass dieser spezielle katalytische Kraftfahrzeugkühler im Verkehrsmittel ursprünglich eingebaut ist und später auch eingebaut bleibt. Ein katalytischer Kraftfahrzeugkühler, bei dem das erfinderische Verfahren eingesetzt werden kann, ist aus der DE 103 40 086 A1 bekannt. Das Verfahren zur Erkennung von unberechtigtem Komponententausch kann aber auch zusammen mit allen anderen denkbaren Komponenten bei einem Verkehrsmittel oder einer Werkzeugmaschine eingesetzt werden.

Es ist Aufgabe der vorliegenden Erfindung, ein Verfahren zur Erkennung von unberechtigtem Komponententausch derart weiter zubilden, dass ein unerlaubter Komponententausch erschwert wird. Das erfindungsgemäße Verfahren soll insbesondere für eine amtliche Genehmigung von steuerbegünstigten Systemen im Zusammenhang mit Umweltschutzmaßnahmen durch Einsatz spezieller Komponenten geeignet sein.

Die Aufgabe wird erfindungsgemäß durch die Merkmale des Einspruchs 1 gelöst. Danach greift die Komponente auf ein Zuordnungsfeld zu und weist dadurch jedem mit der Nachricht übertragenen, zufälligen oder schwer reproduzierbarem Wert eine Kennung zu, die Komponente überträgt die dem Wert entsprechende Kennung an das Steuergerät zurück, so dass das Steuergerät aufgrund der Kennung entscheiden kann, ob die Komponente die zum Einsatz bei diesem technischen System zugelassene Komponente ist.

Bei dem erfindungsgemäßen Verfahren versendet ein Steuergerät eine erste Nachricht an die zu prüfende Komponente und überprüft die von der Komponente zurückkommende Nachricht daraufhin, ob die geforderte Antwort vorhanden ist. Dabei muss der Nachrichtenaustausch derart abhörsicher erfolgen, so dass böswillige Nachahmer das Nachrichtenaustauschverfahren nicht einfach nachbilden können. Dazu ist erforderlich, dass in der Nachricht vom Steuergerät ein schwer reproduzierbarer oder zufällig erzeugter Wert mitgesendet wird, aufgrund dessen in der Komponente auf ein Zuordnungsfeld zugegriffen wird und dem Wert eine Kennung zugewiesen wird. Diese Kennung wird von der Komponente wieder an das Steuergerät zurückgesendet und kann dann in dem Steuergerät ausgewertet werden. Wird im Steuergerät beispielsweise ein Zuordnungsfeld hinterlegt, welches mit dem Zuordnungsfeld übereinstimmt, auf das die Komponente zugreift, so kann das Steuergerät durch Verwendung des schwer reproduzierbaren oder zufälligen Werts auf das eigene Zuordnungsfeld zugreifen und muss dann als Ergebnis die selbe Kennung erhalten, wie die die von der Komponente mit der Nachricht übertragen wurde. Der Wert kann beispielsweise im Steuergerät über einen Zufallsgenerator erzeugt werden oder als schwer reproduzierbarer Wert dadurch entstehen, dass das Steuergerät auf ein Sensorsignal zugreift, das beispielsweise den Brennraumdruck, die Motordrehzahl oder auch Wank- oder Nickwerte des Fahrzeugs betrifft. Greift beispielsweise das Steuergerät auf den Ergebniswert eines Sensors zu, so gibt dieses Ergebnis eine physikalische Größe wieder, die über der Zeit keinen einfach darstellbaren, mathematischen Funktionszusammenhang aufweist. Das Steuergerät liest dann den Sensorwert ein, normiert diesen, beispielsweise auf einen Wert zwischen 0 und 1, und schickt den Wert dann mit der Nachricht zur Komponente. Die zurückgesendete Kennung kann dann innerhalb des Steuergeräts nachvollzogen werden, indem ein Zuordnungsfeld innerhalb des Steuergeräts verglichen wird. Andererseits kann auch vorgesehen sein, dass von der Komponente eine zweite verschlüsselte Nachricht an das Steuergerät zurückgesendet wird, wobei eine weitere darin enthaltene Kennung dann durch eine vorbestimmte Berechnung wieder den schwer reproduzierbaren Wert ergibt.

Bevorzugt ist das Zuordnungsfeld eine Matrix und die Kennung wird aufgrund zweier, schwer reproduzierbarer Werte oder zufällig erzeugter Werte bestimmt, die mit der Nachricht vom Steuergerät an den Sensor übertragen werden. Die Nachricht vom Steuergerät weist dann zwei Werte auf, so dass innerhalb des matrixförmigen Zuordnungsfelds eine eindeutige Position bestimmbar ist. Die Matrix ist an allen Positionen mit vorbestimmten Kennungen belegt, so dass über die beiden übertragenen und zufälligen Werte jedes Mal eine andere Kennung erhalten wird.

Bei einer Weiterbildung der Erfindung ist innerhalb der vom Steuergerät zur Komponente, beispielsweise ein Sensor, übertragene Nachricht ein Selektionsdatenfeld vorgesehen. Die Berechtigungsprüfung wird nur dann mittels Zugriff auf das Zuordnungsfeld durchgeführt, wenn ein bestimmter Wert im Selektionsdatenfeld übertragen wird. Ist im Selektionsdatenfeld nicht der bestimmte Wert eingetragen, so wird die Kennung nicht über das Zuordnungsfeld, sondern beispielsweise über einen mathematischen Algorithmus erzeugt. Dieser mathematische Algorithmus ist in der Komponente hinterlegt und wird unter Verwendung der beiden übertragenen, zufälligen Werte durchgeführt. Dieser Berechnungsalgorithmus kann sowohl in der Komponente als auch im Steuergerät hinterlegt sein. Wird also vom Steuergerät im Selektionsdatenfeld ein bestimmter Wert eingetragen, wird die Kennung aufgrund des matrixartigen Zuordnungsfelds erzeugt, weicht jedoch der Wert im Selektionsdatenfeld ab, so wird die zurückgesendete Kennung über einen Algorithmus erzeugt, der dann innerhalb des Steuergeräts zur Prüfung ebenfalls vorhanden ist.

Aufgrund dieses Verschlüsselungsverfahrens kann ein Dritter durch Überwachung der Bus-Nachrichten keine mathematischen Zusammenhänge zwischen den übertragenen Kennungen feststellen, da die Kennungen nicht über eine lineare, exponentielle Funktion oder eine Potenzfunktion mathematisch bestimmbar sind. Deswegen ist eine Entschlüsselung des Verfahrens äußerst schwierig und es ist fast unmöglich eine unberechtigte Komponente am Steuergerät anzumelden.

Das Verfahren kann bei einer Ausführungsform folgendermaßen ablaufen. Bei einem Kaltstart des Motors eines Verkehrsmittels wird in sich wiederholenden Zeitabständen eine Nachricht über den Datenbus zu einem Temperatursensor gesandt und in dieser Nachricht sind zwei zufällig bestimmte Werte und ein Selektionsdatenfeld vorgesehen. Eine elektronische Schaltung innerhalb des Temperatursensors wertet die Nachricht aus und bestimmt innerhalb eines matrixartigen Zuordnungsfelds aufgrund der beiden zufällig bestimmten Werte eine Kennung, falls im Selektionsdatenfeld beispielsweise der Wert 39 oder 79 eingetragen ist und bei allen anderen zulässigen Werten wird ein Algorithmus zur Berechnung der Kennung aus den beiden zufällig bestimmten Werten herangezogen. Der Temperatursensor sendet daraufhin eine Nachricht an das Steuergerät zurück und übermittelt zumindest die Kennung und ggf. auch das Selektionsdatenfeld.

Im Motorsteuergerät kann im einfachsten Fall bei Kenntnis des Zuordnungsfeldes und des Algorithmus und ausgehend von den bekannten, zufällig bestimmten Werten überprüft werden, ob der Temperatursensor eine Berechtigung zum Einsatz bei dem Verkehrsmittel besitzt. Wenn aus Sicherheitsgründen innerhalb des Steuergeräts kein matrixartiges Zuordnungsfeld hinterlegt ist, besteht die Möglichkeit, dass vom Temperatursensor eine weitere Nachricht mit einer anderen Verschlüsselung zurückgesendet wird, wobei die Kennung dann über einen Algorithmus im Steuergerät zurückgerechnet wird, so dass das Steuergerät dann die Kennung der ersten Nachricht mit der zurückgerechneten Kennung aus der zweiten Nachricht vergleicht. Wenn die beiden Kennungen übereinstimmen, ist die Komponente, d. h. der Temperatursensor, berechtigt zum Einsatz bei diesem Verkehrsmittel.

Die Berechnung der Kennung muss im Beispiel für die Werte 39 und 79 über eine inverse Matrix oder eine Umkehrfunktion erfolgen und für die, bezogen auf das Selektionsdatenfeld, anderen Werte über eine Umkehrfunktion oder einen entsprechenden Algorithmus. Unterscheiden sich im Ergebnis die Kennungen von der ersten und der zweiten Nachricht zueinander, so ist nicht der zugelassene Temperatursensor bzw. die zugelassene Komponente im Verkehrsmittel eingebaut und es wird ein Fehlersignal erzeugt, welches im Fahrzeug anzeigbar ist oder im Diagnosesystem erkennbar ist.

Bei einer Weiterbildung der Erfindung wird im Steuergerät aufgrund eines von der Komponente mittels einer Nachricht zurückgesendeten Funktionswertes oder Funktionsergebnisses ein Vergleich mit der bei einem vorhergehenden Nachrichtenaustausch übermittelten Kennung durchgeführt und daraus entschieden, ob die Komponente die zum Einsatz bei dem Verkehrsmittel zugelassene Komponente ist.

Es gibt nun verschiedene Möglichkeiten, die Lehre der vorliegenden Erfindung in vorteilhafter Weise auszugestalten und weiterzubilden. Dazu ist einerseits auf die untergeordneten Ansprüche und andererseits auf die nachfolgende Erläuterung einer Ausführungsart zu verweisen. In der Zeichnung sind zwei alternative Ausführungsarten des erfindungsgemäßen Verfahrens dargestellt. Es zeigen, jeweils in schematischer Darstellung:
1 den Verfahrensablauf zur Erkennung von unberechtigtem Komponententausch gemäß der vorliegenden Erfindung nach einer ersten Alternative und
2 den Verfahrensablauf zur Erkennung von unberechtigtem Komponententausch bei Versendung einer zweiten Nachricht durch die Komponente gemäß einer erweiterten Alternative.
Das Verfahren zur Erkennung von unberechtigtem Komponententausch bei einem Automobil ist zur automatischen Überprüfung einer Steuerbegünstigung bei umweltverträglichen Komponenten geeignet. Ein Motorsteuergerät (MSG) 1 prüft dabei die Berechtigung eines intelligenten Temperatursensors 2 zum Einbau in das betreffende Automobil. Neben dem Temperatursensor 2 kann aber auch jede andere Komponente auf deren berechtigten Einbau hin überprüft werden. Es kann beispielsweise vorgesehen sein, dass bestimmte Komponenten als umweltbegünstigt anerkannt sind und wenn deren sicherer Einbau im Automobil nachgewiesen ist, wird das Fahrzeug steuerbegünstigt. Bei dem Verfahren zur Erkennung von unberechtigtem Komponententausch wird also festgestellt, ob der Sensor 2 noch der ursprünglich vorgesehene steuerbegünstigte Sensor 2 ist. Das erfindungsgemäße Verfahren ist derart verschlüsselt, dass das Verfahren nicht durch einen unberechtigten Dritten so beeinflusst werden kann, dass ein nicht-berechtigter Sensor 2 eingebaut werden kann.
Das Steuergerät 1 sendet eine verschlüsselte Nachricht 3 in bestimmten Zeitabständen über eine elektrische Leitung oder einen Datenbus zwischen dem Steuergerät 1 und dem Sensor 2. Die Nachricht 3 weist ein Selektionsdatenfeld 4 und zwei Datenfelder für schwer reproduzierbare oder zufällige Werte 5, 6 auf. Ein Kaltstartbit 7 zeigt einen Kaltstart des Motors an, bei dem das Motorsteuergerät 1 in jedem Fall die Berechtigung des Sensors 2 zum Einbau innerhalb des Automobils prüft. Wenn das Kaltstartbit 7 nicht gesetzt ist, kann eine Prüfung unterbleiben oder eine Berechtigungsprüfung in anderer Art durchgeführt werden.
Der schwer reproduzierbare oder zufällige Wert 5, 6 kann im Motorsteuergerät 1 mittels eines Zufallsgenerators oder mittels der Verwendung von physikalischen Sensorsignalen erzeugt werden, die eine variierende und mathematisch schwer zu erfassende Veränderung erfahren. Beispielsweise können Drehzahlwerte oder Abgaswerte, die von der Fahrweise des Fahrers abhängen, als schwer reproduzierbare Werte 5, 6 eingesetzt werden. In jedem Fall speichert das Motorsteuergerät 1 die Werte 5, 6 ebenfalls zurück. Nimmt das Selektionsdatenfeld 4 einen im Motorsteuergerät 1 bekannten und vorbestimmten Wert an, so wird mittels der übertragenen Werte 5, 6 innerhalb der Matrix 8 eine Kennung 9 bestimmt. Die Matrix 8 stellt dabei ein Zuordnungsfeld dar und durch eine spezielle Normierung wird aus den zufälligen Werten 5 und 6 eine Spaltenzahl und eine Zeilenzahl 10 ermittelt, so dass innerhalb der Matrix 8 die Kennung 9 bestimmbar ist. Der Sensor 2 beantwortet die anfragende Nachricht 3 des Motorsteuergeräts 1, indem entweder eine Nachricht vom Typ 10 oder eine Nachricht vom Typ 11 an das Steuergerät 1 zurückgesendet wird. Der Zeitpfeil 12 zeigt dabei für die schematische Darstellung den zeitlichen Ablauf. Der Sensor 2 sendet in einem ersten Fall, wenn das Selektionsdatenfeld einen bestimmten Wert einnimmt, die Nachricht 10 zum Steuergerät 1 zurück. Im Selektionsdatenfeld 4' ist dann der bestimmte Wert eingetragen und im folgenden Datenfeld wird die Kennung 9 mit zum Steuergerät 1 übertragen.
Im zweiten Fall, wenn das Selektionsdatenfeld 4'' einen abweichenden Wert einnimmt, so wird ein von einer Funktion oder mittels eines Algorithmus berechneter Wert 13 mit zum Steuergerät 1 übertragen. Bei dieser ersten Alternative muss das Zuordnungsfeld sowohl im Steuergerät 1 wie auch im Sensor 2 vorhanden sein, so dass im ersten Fall das Motorsteuergerät 1 feststellen kann, ob die innerhalb des Motorsteuergeräts 1 berechnete Kennung mit der zurückübertragenen Kennung vom Sensor 2 übereinstimmt. Im anderen Fall 2 muss das Motorsteuergerät 1 durch Berechnung des bekannten Algorithmus mittels der zufälligen Werte 5 und 6 auf dieselbe Kennung kommen, wie der Wert 13, der vom Sensor 2 mit der Nachricht 11 an das Steuergerät 1 zurückgeschickt wird. Stimmen die beiden Kennungen, nämlich die vom Steuergerät 1 berechnete Kennung und die vom Sensor 2 berechnete Kennung, überein, so ist die berechtigte Komponente 2 eingebaut. Stimmen die beiden Kennungen nicht überein, so handelt es sich um eine defekte oder eine nicht-berechtigte Komponente. Dieses Ergebnis wird dann ggf. in der Diagnose oder mittels einer Warnanzeige im Automobil angezeigt.
In 2 ist eine erweiterte Ausführung des erfindungsgemäßen Verfahrens gezeigt, bei dem im Steuergerät 1 das Zuord nungsfeld 8 nicht bekannt sein muss. Dies kann aus Sicherheitsgründen erforderlich sein, um eine Nachbildung oder Verfälschung des Verfahrens durch dritte Personen zu verhindern. Bei diesem alternativen Verfahren wird neben der bereits oben beschriebenen Nachricht noch eine weitere Nachricht vom Motorsteuergerät 1 zum Sensor 2 gesendet. Diese Nachricht 14 weist ein verändertes Berechnungsverfahren auf. Beispielsweise kann eine zufällig ermittelte Zahl 15, ein Wert 16 zur Unterscheidung mehrerer Funktionen und zwei weitere, zufällig ermittelte Werte 17 und 18 übertragen werden. Sowohl im Motorsteuergerät 1 und im Sensor 2 ist eine Schar von Funktionen hinterlegt, die jeweils über den Wert 16 voneinander unterschieden werden können. Beispielsweise kann der Wert 1 einer logarithmischen Funktion und der Wert 2 einer exponentialen Funktion entsprechen. Der Sensor 2 wird aufgrund der mit dem Wert 16 übermittelten Zahl aus der Funktionsschar eine Funktion auswählen und mittels der Werte 17 und 18 ein Funktionsergebnis erzeugen, welches die Kennung A₂ ergibt. Die Kennung A₂ wird mit der Zufallszahl 15 verknüpft und mit der Nachricht 19 innerhalb des Datenfelds 20 zurück zum Motorsteuergerät 1 übertragen.
Im Motorsteuergerät wird mit Hilfe der bekannten Werte 15,16,17,18 ebenfalls die Kennung A₂, verknüpft mit Z, ermittelt und beide Kennungen, nämlich die im Motorsteuergerät 1 berechnete Kennung und die vom Sensor 2 zurückübertragene Kennung 20 werden verglichen. Bei Übereinstimmung der beiden Kennungen wird gemäß dem erfindungsgemäßen Verfahren erkannt, ob die berechtigte Komponente im Automobil eingebaut ist. Wichtig bei diesem erweiterten Verfahren ist nun, dass die Kennung A₂ derart angelegt ist, dass sich bei Übermittlung der gleichen Zufallszahlen 17,18 bzw. 5,6 im zweiten Verfahren die gleiche Kennung A2 wie die Kennung A1 ergibt, so dass im Motorsteuergerät bei dem bestimmten Selektionsdatenfeld, welches die Berechnung über die Matrix bewirkt, mit der ersten Nachricht die Kennung A₁ gemäß dem ersten Fall in 1 und mit der zweiten Nachricht die Kennung A₂ zurückübermit telt wird, und die Kennung A₁ mit der Kennung A₂ übereinstimmt. Auf diese Weise ist nicht erforderlich, dass im Steuergerät 1 das Zuordnungsfeld ebenfalls hinterlegt wird. Das Funktionsfeld, mittels dem die Kennung A₂ ermittelt wird, muss gemäß einem Verschlüsselungsverfahren an die Matrix angepasst sein. Auf diese Weise ergeben die Kennungen A₁ und die Kennung A₂ nach der Rücksendung im Motorsteuergerät 1 den gleichen Wert, wenn die berechtigte Komponente 2 im Verkehrsmittel eingebaut ist.

Claims

Verfahren zur Erkennung von unberechtigtem Komponententausch bei einem technischem System, bei dem vom Steuergerät (1) eine verschlüsselte Nachricht (3) an eine zu prüfende Komponente (2) verschickt wird, wobei in einem Datenfeld der Nachricht (3) ein schwer reproduzierbarer oder zufällig erzeugter Wert (5, 6) eingetragen wird, der zur Prüfung der eingebauten Komponente (2) herangezogen wird, dadurch gekennzeichnet, dass die Komponente (2) auf ein Zuordnungsfeld (8) zugreift und dadurch jedem mit der Nachricht (3) übertragenen, schwer reproduzierbaren oder zufälligen Wert (5, 6) eine Kennung (9, 13, 20) zuweist, und dass die Komponente (2) die dem Wert entsprechende Kennung (9, 13, 20) an das Steuergerät (1) zurück überträgt und das Steuergerät (1) aufgrund der Kennung (9, 13, 20) entscheidet, ob die Komponente (2) die zum Einsatz bei diesem technischen System zugelassene Komponente (2) ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Zuordnungsfeld (8) eine Matrix ist, aus der eine Kennung (9, 13, 20) aufgrund zweier Werte erzeugt wird.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass ein Selektionsdatenfeld (4, 4', 4'') in der Nachricht (3) des Steuergerätes (1) vorgesehen ist und die Berechtigungsprüfung durchgeführt wird, wenn ein bestimmter Wert im Selektionsdatenfeld (4, 4', 4'') übertragen wird, und dass bei ande ren Werten im Selektionsdatenfeld (4, 4', 4'') die Kennung (9, 13, 20) aufgrund eines Algorithmus (16) erzeugt wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Algorithmus (16) sowohl in der Komponente (2) als auch im Steuergerät (1) hinterlegt wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Komponente (2) eine Nachricht (10, 11) an das Steuergerät (1) zurücksendet, in der das Selektionsdatenfeld (4, 4', 4'') und dann die ermittelte Kennung (9, 13, 20) übertragen wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Steuergerät (1) aufgrund eines von der Komponente (2) mittels einer Nachricht (10, 11) zurück gesendeten Funktionswertes (5, 6) oder Funktionsergebnisses (16, 20) einen Vergleich mit der bei einem vorhergehenden Nachrichtenaustausch übermittelten Kennung (9, 13) durchführt und daraus entscheidet, ob die Komponente (2) die zum Einsatz bei diesem technischen System zugelassene Komponente (2) ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Komponente (2) aufgrund einer Nachrichtenübermittlung vom Steuergerät (1) die entsprechende Nachricht (10, 11, 19) mit der Kennung (9, 13, 20) zurücksendet.