DE10362085B4

DE10362085B4 - Verfahren zur Änderung des Verriegelungszustandes eines Kraftfahrzeuges

Info

Publication number: DE10362085B4
Application number: DE10362085A
Authority: DE
Inventors: Wolfgang Richter
Original assignee: Ident Technology AG
Current assignee: Microchip Technology Germany GmbH
Priority date: 2003-04-08
Filing date: 2003-04-08
Publication date: 2007-10-18
Anticipated expiration: 2023-04-09
Also published as: DE10315845A1; DE10315845B4

Abstract

Die Erfindung bezieht sich auf ein Verfahren zur Änderung des Verriegelungszustandes eines Kraftfahrzeuges unter Abwicklung eines Datentransfers zwischen einem Mastersystem (Geber/Schlüssel) und einem Slavesystem (Empfänger/fahrzeugseitige Schaltungskomponente) bei welchem seitens des Mastersystems ein Signalereignis in einen Empfangsbereich des Slavesystems hinein abgegeben wird und die Empfangsaufnahmeeigenschaften des Slavesystems definiert moduliert und seitens des Mastersystems erkannt und ausgewertet werden. Der Erfindung liegt der Ansatz zugrunde, einen Datentransfer zwischen einem Mastersystem und einem Slavesystem in einer Weise abzuwickeln, die es ermöglicht, im Bereich des Mastersystems Informationen über das Slavesystem anhand der Signalaufnahmeeigenschaften desselben zu gewinnen. Insbesondere zeigt die Erfindung eine Lösung auf, bei welcher ein Datentransfer zwischen dem Mastersystem und dem Slavesystem auf kapazitivem Wege erfolgt, wobei die Eingangsimpedanz des Slavesystems nach Maßgabe eines definierten Datenmusters moduliert wird und dieses Datenmuster im Bereich des Mastersystems während der Signalaussendung erkannt wird.

Description

Gebiet der Erfindung
Die Erfindung bezieht sich auf ein Verfahren zur Änderung des Verriegelungsszustandes eines Kraftfahrzeuges unter Verwendung eines als Geber, oder Schlüssel realisierten Mastersystems und einem fahrzeugseitig vorgesehenen Empfänger- oder Slavesystems.
Hintergrund der Erfindung
Bei funkbasierten Datenübertragungssystemen, insbesondere Kfz-Türverriegelungssystemen besteht das Problem, dass aufgrund der Ausbreitung der Funkwellen Unbefugte mit geeigneten Empfängern Daten aufzeichnen und missbrauchen.
Um diese Probleme zu vermeiden wurden sog. Challenge/Response-Lösungen entwickelt. Dabei werden zwischen einem Datengeber und einem Reaktionsgerät bidirektional Schlüsselwörter ausgetauscht. Neben einem aufwendigen Verfahren (Protokoll), was dieses ermöglicht, müssen sowohl Datengeber als auch Reaktionsgerät mit Sende- und Empfangseinrichtungen versehen sein und mit einer Steuerung wechselseitig betrieben werden.
Aus DE 41 02 816 A1 ist eine als Kurzstreckenfernsteuerung fungierende Kommunikationseinrichtung bekannt durch welche bei Annäherung an ein Kraftfahrzeug automatisch ein Entriegeln des Türsystems veranlasst werden kann, ohne dass hierzu eine Anwenderseitig zu führende Geberkomponente aktiv betätigt werden muss. Die Entscheidung, ob eine Annäherung eines autorisierten Anwenders erfolgt, oder ob sich dieser vom Fahrzeug entfernt wird anhand einer als Dopplereffekt bezeichneten Frequenzänderung getroffen.
Aus DE 40 23 890 A1 ist ebenfalls eine Kommunikationseinrichtung mit einem Abfragegerät und einem Antwortgerät bekannt, wobei der Signaltransfer die Aussendung eines gepulsten Antwortsignales des Antwortgerätes beinhaltet und dieses Antwortsignal hierbei das zu Trägerfrequenz-Impulsen zerhackte Abfragesignal selbst ist.
Aus EP 0 599 143 A2 ist eine Kommunikationseinrichtung bekannt bei welcher in einem Antwortgerät unter Zugrundelegung eines Codes eine Modifikation eines empfangenen Abfragesignales erfolgt.
Aufgabe der Erfindung
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zur Änderung des Verriegelungszustandes eines Kraftfahrzeuges zu schaffen das sich durch eine hohe Manipulationssicherheit auszeichnet.
Erfindungsgemäße Lösung
Diese Aufgabe wird erfindungsgemäß durch ein Verfahren mit den in Patentanspruch 1 angegebenen Merkmalen gelöst.
Dadurch wird es auf vorteilhafte Weise möglich, Informationen insbesondere in Form einer Schlüsseldatensequenz in einer quasi-hermetisch abgeschirmten Weise an ein Master- oder Sendesystem zurückzuführen und diese Schlüsseldatensequenz einer für den weiteren Datentransfer oder Datenaustausch maßgeblichen Signalgenerierung und/oder Signalvalidierung zugrundezulegen.
Unter dem Begriff Mastersystem ist im Kontext ein System zu verstehen, das in der Lage ist, eine, an einen Adressaten gerichtete Signalsequenz abzugeben. Unter dem Begriff Slavesystem ist im Kontext ein System zu verstehen, das in der Lage ist, ein seitens des Mastersystems bereitgestellte Datensequenz zu erfassen. Es kann ausreichend sein, das Master- oder das Slavesystem mit einer hinsichtlich seiner Eingangsimpedanz modulierbaren Empfangseinrichtung auszustatten. In Abstimmung auf den jeweiligen Anwendungsfall ist es möglich, schaltungstechnisch oder hinsichtlich der Datenverarbeitung aufwendigere Schaltungsstrukturen in den Bereich des Master- oder Slavesystems zu verlagern.
Im Hinblick auf die konkrete Abwicklung des Datentransfers wird die eingangs angegebene Aufgabe gelöst durch ein Verfahren zur Abwicklung eines Datentransfers zwischen einem Mastersystem (Geber) und einem Slavesystem (Empfänger) bei welchem seitens des Mastersystems ein Signalereignis in einen Empfangsbereich des Slavesystems hinein abgegeben wird und die Empfangsaufnahmeeigenschaften des Slavseystems definiert moduliert und seitens des Mastersystems erkannt und ausgewertet werden.
Der Datentransfer wird auf Grundlage kapazitiver Wechselwirkungseffekte abgewickelt.
Vorzugsweise wird seitens des Mastersystems eine Pilotsequenz emittiert und während des Eingangs der Pilotsequenz die Eingangsimpedanz des Slavesystems nach Maßgabe eines Datenmusters moduliert.
Seitens des Mastersystems wird vorzugsweise die modulierte Änderung der Eingangsimpedanz des Slavesystems erfasst.
Aus dem seitens des Mastersystems erfassten Modulationsmuster der Eingangsimpedanz des Slavesystems wird in vorteilhafter weise ein Datensatz generiert wobei dieser Datensatz maßgeblich für den Informationsinhalt oder für die Zulässigkeit einer Fortsetzung des Datentransfer von dem Mastersystem zu dem Slavesystem berücksichtigt wird.
Im Bereich des Mastersystems werden in vorteilhafter Weise aus den, aus dem Aufnahmeverhalten des Slavesystems gewonnenen Signalen Daten gewonnen, auf deren Grundlage eine Verschlüsselung der seitens des Slavesystems weiter ausgesendeten Daten erfolgt.
Im Bereich des Slavesystems kann in vorteilhafter Weise bei der Generierung des für die Modulation der Eingangsimpedanz relevante Datenmusters ein Zeitwert berücksichtigt werden.
Vorzugsweise werden im Bereich des Slavesystems für die Modulation der Eingangsimpedanz Informationsinhalte der seitens des Mastersystems generierten Signale berücksichtigt.
Die Modulation der Eingangsimpedanz des Slavesystems erfolgt vorzugsweise unter Rückgriffnahme auf eine Verschlüsselungsprozedur.
Die seitens des Slavesystems zur Bereitstellung der für die Modulation der Eingangsimpedanz maßgeblichen Datenmuster beigezogene Verschlüsselungsprozedur, kann in vorteilhafter Weise auf Grundlage von Informationsinhalten der seitens des Mastersystem ausgegebenen Signalsequenz konfiguriert oder abgestimmt werden.
In vorteilhafter Weise erfolgt im Rahmen der Dialogaufnahme eine Kongruenzanalyse zunächst auf Grundlage eines niedrigen Verschlüsselungsniveaus, wobei das Verschlüsselungsniveau anschließend angehoben wird.
Die für das angehobene Verschlüsselungsniveau maßgeblichen Informationsinhalte können zumindest zunächst auf niedrigeren Verschlüsselungsniveau transportiert werden.
Über das Mastersystem kann in vorteilhafter Weise eine, als Autorisierungskennung gewertete Signalsequenz je nach Anwendungsfall permanent, gepulst oder selektiv abgegeben werden.
Es ist möglich, das Mastersystem so auszugestalten, dass dieses eine Konfigurationsänderung des Mastersystems über die durch Impedanzmodulation gewonnenen Signale ermöglicht.
Weitere Einzelheiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung in Verbindung mit der Zeichnung. Es zeigt:
1 ein an sich bekanntes, einen Sender und einen Empfänger umfassendes Datenübertragungssystem, sowie ein beigestelltes Mithörsystem das einen unzulässigen Informationsabgriff ermöglicht;
2 ein an sich bekanntes elektromagnetisches Transpondersystem bei welchem ein Datentransfer zwischen dem Transponder und einem Lesegerät durch missbräuchliche Zwischenschaltung eines Schnüffelsystems bewerkstelligt ist;
3 eine Schemadarstellung zur Erläuterung eines Challenge/Response-Systems;
4 eine Schemadarstellung zur Erläuterung eines erfindungsgemäßen Systems zur Abwicklung einer hermetischen Signalrückführung durch Modulation der Empfangsimpedanz im Bereich des Empfängers;
5 eine Schemadarstellung zur vertieften Erläuterung des Systems nach 4;
6 ein Diagramm zur Erläuterung des Aktivitätsablauf im im Bereich des Mastersystems (Geber) und dem Slavesystem (Empfänger).
Nachfolgend wird das erfindungsgemäße Verfahren vorgestellt. Dieses Verfahren basiert auf der Technik einer kapazitiven Übertragung von Daten, vorzugsweise über die Haut eines Benutzers. Da es sich hierbei prinzipiell um einen Wechselstromkreis handelt, kann eine Änderung der (z.B. ohmschen) Belastung der Empfängereingangsstufe senderseitig festgestellt werden. Diese Änderung kann in einem bestimmbaren Rhythmus erfolgen (sog. Belastungstelegramm BT s. 4).
Der Geber erzeugt zunächst einen kurzen (z.B. 1 ms) Pilotton in unregelmäßigen Abständen wiederkehrend (repetierend), z.B. 5 mal pro Sekunde. Bei Annäherung an die kapazitive Koppelstelle wird diese Frequenz vom Empfänger erkannt, der daraufhin sofort ein Belastungstelegramm (BT) erzeugt. Daran kann der Geber (Sender) „erkennen":

1. das er sich in der Nähe eines Empfängers befindet
2. um welchen Empfänger es sich handelt, wenn das BT eine Kennung enthält
3. auf welche weise (Frequenz, Code, Schlüssel etc.) bestimmte Daten übertragen werden sollen
4. ob die Übertragung gestört wird, BT aufgrund eines Störträgers nicht korrekt lesbar

Ein „Mithörer" würde lediglich die Pilottöne detektieren können, da er zum Geber hin einen eigenen Belastungskreis bildet (Nicht jedoch zum Empfänger). An vom Empfänger entfernter Stelle könnten ohnehin lediglich die repetierenden Pilottöne „abgehört" werden, aufgrund des fehlenden Belastungstelegramms „erkennt" der Geber, das er sich nicht in Empfängernähe befindet und fährt fort, den Pilotton zyklisch auszugeben.
Der Empfänger ändert bei jedem Pilotton sein Belastungstelegramm. Einem Störträger „erkennt" er an der Überlänge (Dauerträger). Würde die Störung zyklisch erfolgen, wie die Pilottöne, so könnte aufgrund der unregelmäßigen Ausgabe der „echten" Pilottöne immer der eine oder andere „durchschlüpfen". Eine erkannte Störung kann einen Alarm auslösen oder z.B. eine Schließung einleiten oder anderweitig signalisiert werden. Da auf einen Pilotton vom Geber eine, durch das Belastungstelegramm verschlüsselte ID-Nummer ausgegeben werden muss, kann der Empfänger das Ausbleiben einer solchen ebenfalls feststellen.
Funktionsprinzip
Ein Oszillator (der auch als VCO ausgeführt sein kann) erzeugt die Übertragungsgrundfrequenz (typisch einige 100 kHz). Eine Steuerung sorgt dafür, dass über einen Mischer (ASK/FSK o.ä.) zunächst die Pilottöne selektiv, oder zyklisch ggf. in unregelmäßigen Abständen ausgegeben werden. Bei Annäherung an einen Empfänger erzeugt dieser ein Belastungstelegramm (z.B. durch Kurzschluß von Rb), was alternierende Spannungsabfälle am Widerstand Rx des Gebers zur Folge hat. Diese können z.B. über einen Differenzverstärker der Steuerung zugeführt werden.
Diese dekodiert das Belastungstelegramm und verschlüsselt den zu übertragenden Code des Gebers entsprechend. Das Resultat wird wiederum über den Mischer ausgegeben, vom Empfänger verstärkt, dekodiert und einer Codeauswertung zugeführt. Beim Empfänger können Bauteile oder Komponenten in einen stromsparenden Zustand verbleiben, bis ein Pilotton empfangen wurde. Damit ist auf einfache Weise und mit geringem Aufwand ein komfortables und sicheres Dialogsystem mit vielen Vorteilen realisierbar (s. 5). Die Belastung des Wechselstromkreises kann durch das Ein- bzw. Ausschalten eines ohmschen Widerstands und/oder einer Kapazität und/oder einer Induktivität erfolgen. Der Schaltvorgang selbst kann durch einen Transistor, FET, CMOS-Schalter etc erfolgen; auch ein Optokoppler kann verwendet werden.
Eine erste bevorzugte Ausführung
Überall, wo eine sichere Identifikation innerhalb einer Handlung stattfinden soll (handlungsintegrierte Identifikation), können einer oder mehrere Codegeber bei einem Benutzer in Körpernähe untergebracht sein. Dies kann auf vielfältige weise geschehen, z.B. können Chipkarten oder Schlüsselanhänger, Schmuck- oder Kleidungsstücke oder andere mitgeführte Gegenstände (Geldbörsen, Brieftaschen) Geber enthalten. Bei Annäherung eines Benutzers z.B. mit dessen Hand an einen Empfänger findet der quasi bidirektionale Dialog statt, weil ein Wechselstromkreis mit kapazitiven Koppelflächen entsteht. Nach der Übertragung identifizierender Daten kann der Empfänger bei Übereinstimmung dieser ein Signal ausgeben, welches z.B. eine elektromechanische Verriegelungseinrichtung zum Öffnen eines (Tür-) Verschlusses bewirkt. Während die zu identifizierende Handlung erfolgt, wird im Rhythmus der Pilottöne ständig ein neuer Dialog mit unterschiedlichen Belastungstelegrammen geführt Eine Entfernung vom Empfänger veranlasst diesen, automa tisch einen Schließimpuls auszugeben, der intern und extern verwendet werden kann. Keyless Access-Systeme erhalten damit eine neue Qualität, weil die kapazitive Methode zwischen zwei sich annähernden Flächen arbeitet und keinen (abhörbaren) Funkbereich benötigt. Außerdem gilt die Faustregel, dass wenn ein Geber ein Belastungstelegramm erkennen und dekodieren kann, die Übertragungsqualität (Quality of Service) der kapazitiven Koppelfläche für eine sichere geberseitige Datenübertragung ausreichend ist. Diesen Vorgang wollen wir „sensitive Intelligenz" nennen. Auf dieses Basis kann eine handlungsintegrierte Identifikation neu definiert werden:

1. Absicht eines, mit mindestens einem Codegeber ausgestatteten Benutzers, eine identifizierbare Handlung auszuführen (z.B. das Öffnen einer verschlossenen Tür).
2. Annäherung (z.B. mit der Hand) an die Koppelfläche eines Empfänger, damit Aufbau eine Wechselstromkreises; die Rückführung erfolgt über parasitäre Kapazitäten.
3. Empfänger „erkennt" die unregelmäßigen Pilottöne
4. Er erzeugt ein Belastungstelegramm durch Impedanz-Änderung der Eingangstufe in einem zufälligen jedoch sinnvollen Rhythmus.
5. Der Geber dekodiert aus dem Belastungstelegramm BT eine Handlungsanweisung
6. Damit verschlüsselt er seinen Identifizierungsdaten, und wählt z.B. eine Übertragungsfrequenz, Baudrate und Übertragungsverfahren aus (z.B. ASK, FSK usw.) (s. 6)
7. Der Geber gibt die verschlüsselten Signale aus und erzeugt anschließend wieder einen Pilotton
8. Der Empfänger verstärkt, dekodiert und entschlüsselt die Gebersignale
9. Bei Übereinstimmung einer bestimmten Codefolge wird ein Impuls ausgegeben, z.B. zum Öffnen eines Verschlussmechanismus (evtl. über ein Steuergerät).
10. Beim nächsten Pilotton gibt er dem Empfänger eine „OK"-Meldung und weitere Informationen über ein neues Belastungstelegramm. In dem Belastungstelegramm können Informationen enthalten sein, die vom Codegeber stammen oder durch diesen veranlasst wurden.
11. Wenn sich der Benutzer entfernt, bricht der Dialog ab. Der Geber generiert dann nur noch Pilottöne und der Empfänger meldet die Entfernung (z.B. Schließbefehl).
12. Zwischendurch „untersuchen" Geber und Empfänger ständig Ihre Umgebung nach Störungen.

Durch das unregelmäßige Ausgeben von Pilottönen sollen Kollisionen bei Verwendung mehrerer Geber weitgehend vermieden werden. Dabei soll der Abstand der Frequenzausgabe (burst) aus einem fixen und mindestens einem zufälligen Zeitanteil bestehen, der eine bestimmte Dauer nicht überschreiten darf (sog. dirty burst).
Beispiel einer Generierung von „dirty bursts" in der Programmiersprache „C", wobei angenommen wird, das der Geber seine Funktionen durch einen Microcontroller (oder eine vergleichbare Logik) erfüllt:
Das quasi unidirektionales Dialogsystem ist überall da komfortabler und kostengünstiger einsetzbar, wo bisher andere drahtlose Technologien (Funk, Transponder, IR-Licht usw.) Verwendung fanden, und die entweder auf einen Dialog verzichteten und/oder nur mit erheblichen Aufwand und/oder Sicherheitsrisiken realisiert werden konnten. Eine Verbindung der unterschiedlichen Technologien ist möglich, z.B. um diese sicherer oder komfortabler zu machen.
Durch eine einfach zu realisierende rhythmische Änderung der Eingangsimpedanz des Empfängers erhält der Geber Informationen. Dies ist so nur in einem Wechselstromkreis möglich, wie er vorzugsweise bei kapazitiver Datenübertragung entsteht. Ein Dialog kann stattfinden, weil der Geber mit seinem frequenten Pilotsignal den Träger für das Belastungstelegramm des Empfängers liefert, was prinzipiell eine Amplitudenmodulation darstellt. Bei konstantem Ausgabepegel wird der Pilotton nicht belastet, vielmehr ist die rhythmische Belastung im parasitären Rückführungskreis zu detektieren. Das wiederum erschwert das unbefugte Abhören des Belastungstelegramms BT.

Claims

Verfahren zur Änderung des Verriegelungszustandes eines Kraftfahrzeuges unter Abwicklung eines Datentransfers zwischen einem Mastersystem (Geber/Schlüssel) und einem Slavesystem (Empfänger/fahrzeugseitige Schaltungskomponente) bei welchem: – seitens des Mastersystems ein Signalereignis in einen Empfangsbereich des Slavesystems hinein abgegeben wird, und – die Empfangsaufnahmeeigenschaften des Slavseystems definiert moduliert werden, – und diese definiert modulierten Empfangsaufnahmeeigenschaften seitens des Mastersystems erkannt und ausgewertet werden, – wobei der Datentransfer auf Grundlage kapazitiver Wechselwirkungseffekte abgewickelt wird, – wobei im Bereich des Mastersystems aus den, aus dem Aufnahmeverhalten des Slavesystems gewonnenen Signalen Daten gewonnen werden auf deren Grundlage eine Verschlüsselung der seitens des Mastersystems weiter ausgesendeten Daten erfolgt, und – wobei das Mastersystem eine Signalausgabeeinrichtung aufweist die als Flächenelektrode ausgebildet ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass im Bereich des Slavesystems für die Modulation der Eingangsimpedanz Informationsinhalte der seitens des Mastersystems generierten Signale berücksichtigt werden.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die seitens des Slavesystems zur Bereitstellung der für die Modulation der Eingangsimpedanz massgeblichen Datenmuster beigezogene Verschlüsselungsprozedur auf Grundlage von Informationsinhalten der seitens des Mastersystem ausgegebenen Signalsequenz konfiguriert oder beeinflusst wird.
Verfahren nach wenigstens einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass im Rahmen der Dialogaufnahme eine Kongruenzanalyse zunächst auf Grundlage eines niedrigen Verschlüsselungsniveaus erfolgt, und dass das Verschlüsselungsniveau anschliessend angehoben wird.
Verfahren nach wenigstens einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die für das angehobene Verschlüsselungsniveau massgeblichen Informationsinhalte zumindest zunächst auf niedrigerem Verschlüsselungsniveau transportiert werden.
Verfahren nach wenigstens einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass über das Mastersystem eine, als Autorisierungskennung gewertete Signalsequenz selektiv abgebbar ist.
Verfahren nach wenigstens einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass über das durch Impedanzmodulation zurückgeführte Signal des Slavesystems eine Konfigurationsänderung des Mastersystems abwickelbar ist.