DE19512266A1 - Vorrichtung zum Schutz einer elektronischen Schaltung vor Manipulation - Google Patents

Description

Die Erfindung betrifft eine Vorrichtung zum Schutz einer elektronischen Schaltung vor Manipulation.

Es ist bekannt, elektronische Schaltungen, die Teil komplexer System sind, so zu konstruieren, daß bestimmte Betriebsparameter dieser Systeme eingehalten werden. Beispielsweise hat man integrierte Schaltungen der Elektronik von Kraft­ fahrzeugen so codiert, daß eine bestimmte Geschwindigkeit nicht überschritten werden kann. Da sich diese Schranke mit einigem technischen Aufwand über­ winden läßt, sind derartige Maßnahmen zwar zur Umsetzung einer freiwilligen Selbstbeschränkung von Herstellern geeignet, nicht aber, wenn gesetzliche Bestimmungen zu erfüllen sind.

Ferner ist es bekannt, elektronische Geräte vor Diebstahl zu schützen, indem ein funktionswesentlicher Teil der Schaltung vom Gerät abnehmbar und transportabel ausgebildet wird. Im Falle, daß der funktionswesentliche Schaltungsteil dennoch in die Hände eines Diebes gelangt, ist dieser Schutz aber wirkungslos.

Der Erfindung liegt die Aufgabe zugrunde, einen besonders wirksamen Schutz elektronischer Schaltungen gegen unberechtigten Umgang damit zu schaffen.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß ein Gehäuse vor­ gesehen wird, das einen funktionswesentlichen Teil der elektronischen Schaltung vollständig umgibt und das eine Wandung aus einem elektrisch isolierenden Material aufweist, durch die hindurch eine Vielzahl von elektrischen Leitungen, die mit dem Schaltungsteil verbunden sind, an die Außenseite des Gehäuses verlaufen und in die eine Vielzahl von feinen Drähten eingebettet sind, die interne Leitungsverbindungen des Schaltungsteils bilden.

Der Erfindung liegt die Erkenntnis zugrunde, daß es am wirksamsten ist, die Schaltung selbst bzw. Teile davon gegen jede Manipulation daran zu schützen. Dies wird gemäß der Erfindung gewährleistet, indem die Schaltung zerstört wird, wenn versucht wird, Zugang dazu zu erlangen. Eine derart geschützte Schaltung ist also geeignet, sicherheitsrelevante Überwachungsfunktionen durchzuführen, z. B. für den Betrieb von militärischen oder industriellen Geräten und Anlagen.

In der bevorzugten Ausführungsform bilden die feinen Drähte ein engmaschiges Geflecht um den Schaltungsteil herum und umfaßt das Gehäuse außerdem wenigstens einen geschlossenen und elektrisch isolierten Hohlkörper, der eine Flüssigkeit enthält, die elektrischen Strom leitet, z. B. eine flache Kunststoffhülle, die an der Innenseite der Gehäusewandung anliegt und die mit Säure gefüllt ist. Selbst wenn es bei einem Aufbruchversuch gelänge, die Verbindungen über die feinen Drähte aufrechtzuerhalten, würden dann elektrische Verbindungen inner­ halb des Gehäuses kurzgeschlossen oder zerstört werden. Diese Zerstörung erfolgt besonders zuverlässig, wenn sich in dem Gehäuse integrierte Schaltungen mit freiliegendem Chip befinden.

Eine dieser integrierten Schaltungen ist vorzugsweise eine integrierte Schaltung aus einem Paar individueller korrespondierender integrierter Schaltungen. Der korrespondierende Chip wird in der Schaltung außerhalb des Gehäuses vorgesehen, mit der das Gehäuse zwecks Austauschbarkeit über Steckverbinder verbunden sein kann. Der im Gehäuse enthaltene Chip überprüft regelmäßig das Vorhandensein des korrespondierenden Chips, und die Schaltung stellt ihren Betrieb ein, wenn dies nicht der Fall ist. Vorzugsweise befindet sich hierzu innerhalb des Gehäuses eine Stromquelle, die funktionswesentliche Leitungs­ verbindungen und/oder elektronische Bauteile durch Überbeanspruchung zerstört. Der ordnungsgemäße Betriebszustand des Schaltungsteils in dem Gehäuse läßt sich durch ein Thermoelement überwachen, wobei ebenfalls eine Zerstörung eingeleitet wird, wenn bestimmte Grenzwerte überschritten werden.

Außerdem kann sich innerhalb des Gehäuses ein Zeitzähler befinden, der nach einer voreingestellten Zeit eine Selbstzerstörung auslöst. Nur der rechtmäßige Benutzer des Systems, in dem die erfindungsgemäße Vorrichtung eingebaut ist, erhält vom Hersteller einen neuen, funktionierenden Schaltungsteil. Auf diese Weise läßt sich z. B. verhindern, daß Waffensysteme, die nur in bestimmte Länder exportiert werden dürfen, unkontrolliert weiterverbreitet werden.

Mit der Erfindung läßt sich außerdem ein wirksamer Diebstahlschutz für Fahrzeuge realisieren, z. B. Kraftfahrzeuge. Dazu- wird die Kraftfahrzeugelektronik mit Hilfe einer erfindungsgemäßen Vorrichtung gesichert, die außerdem einen Funkemp­ fänger aufweist, der mit einer externen Antenne verbunden ist. Wird ein Diebstahl angezeigt, so werden von geeigneten Sendestationen, z. B. weltweit empfang­ baren Satelliten, Signale ausgesandt, bei deren Empfang sich die Vorrichtung selbst zerstört, ggf. mit einer Verzögerung, um Selbstzerstörungen aufgrund von Fehlalarmen zu vermeiden. Damit der Empfang dieser Signale nicht verhindert werden kann, befindet sich eine zweite erfindungsgemäße Vorrichtung im Kraftfahrzeug, die einen Sender enthält. Wenn der Empfänger die Signale dieses Senders nicht mehr empfängt, wird ebenfalls eine Selbstzerstörung eingeleitet.

Weitere Merkmale und Vorteile der Erfindung ergeben sich aus der folgenden Beschreibung mehrerer Ausführungsbeispiele und aus der Zeichnung, auf die Bezug genommen wird. In der Zeichnung zeigen:

Fig. 1 eine Perspektivansicht einer erfindungsgemäßen Vorrichtung von außen, die nachfolgend als Zerstörungsschalter bezeichnet wird; und

Fig. 2 eine Prinzipdarstellung des Inneren des Zerstörungsschalters von Fig. 1.

Der in Fig. 1 gezeigte Zerstörungsschalter weist ein würfelförmiges Gehäuse 1 aus isolierendem Kunststoff mit einer Kantenlänge von einem Zentimeter oder einigen Zentimetern auf, dessen Wandung z. B. 2 mm stark ist. Über die gesamte Wandung verteilt sind darin hauchdünne Drähte 2 eingebettet, die dünner als 0,1 mm sind und die in geringen gegenseitigen Abständen verlaufen, z. B. 0,1 mm.

Das Gehäuse 1 ist über nicht gezeigte Lötstifte, die durch seine Wandung hindurch verlaufen, auf einer Einschubplatine 3 festgelötet, die eine Steckerleiste mit einer Vielzahl von Kontakten 4 aufweist, die über Leiterbahnen 5 mit den Lötstiften des Gehäuses 1 verbunden sind. In der Figur sind zwar nur einige wenige Kontakte 4 und Leiterbahnen 5 eingezeichnet; ihre Anzahl kann aber wesentlich höher sein, z. B. Hundert oder mehr. Die Einschubplatine 3 ist auf eine nicht gezeigte Hauptplatine einer zu sichernden Schaltung aufsteckbar.

Die Drähte 2 in der Wandung des Gehäuses 1 bilden einen oder mehrere Kontaktkreisläufe, die in Form eines engmaschigen Geflechts um das Gehäuse 1 herumlaufen und die mit einer Kontrollschaltung 6 im Inneren des Gehäuses 1 verbunden sind, wie in Fig. 2 schematisch gezeigt. Eine integrierte Schaltung 7, die eine oder mehrere beliebige, aber wesentliche Funktionen der zu sichernden Schaltung ausführt, ist über die Vielzahl von Leiterbahnen 5 und Kontakten 4 mit der zu sichernden Schaltung verbunden.

Die Kontrollschaltung 6 überprüft ständig den Leitungszustand der Drähte 2, und wenn sie einen Kurzschluß zwischen den Drähten 2 oder eine Unterbrechung der Drähte 2 feststellt, versorgt sie die integrierte Schaltung 7 mit Überspannung von einer Batterie 8, um die integrierte Schaltung 7 zu zerstören.

Während in der gezeichneten Ausführungsform die Kontrollschaltung eine Art Relaisfunktion ausführt, können in einer alternativen Ausführungsform oder auch zusätzlich Leitungsverbindungen der zu sichernden Schaltung unmittelbar über Drähte 2 in der Wandung des Gehäuses 1 geführt sein.

Ein Versuch, das Gehäuse 1 gewaltsam zu öffnen, führt zu einer Durchtrennung der Drähte 2, während ein Schmelzen des Gehäuses 1 Kurzschlüsse verursacht, so daß ein Ausfall der zu sichernden Schaltung die Folge ist. Durch Wahl einer entsprechend hohen Zahl von Leiterbahnen 5 bzw. indem schwierig zu beschaf­ fende bzw. zu rekonstruierende integrierte Schaltungen 7 innerhalb des Gehäuses 1 angeordnet werden, läßt sich die Sicherheit gegen eine Verwendung der zu sichernden Schaltung ohne den Zerstörungsschalter praktisch beliebig steigern.

Außerdem sind an der Innenseite der Wandung des Gehäuses 1 im wesentlichen flächendeckend Hohlkörper in Form von flachen Kunststoffhüllen 9 angebracht, die eine Säure enthalten, die sich bei Gewaltanwendung über die Bauteile im Gehäuse 1 ergießt. Durch die Säure verursachte Kurzschlüsse zerstören Leitungen oder Bauteile entweder unmittelbar, was gefördert werden kann, indem integrierte Schaltungen ohne äußeren Kunststoffmantel verwendet werden, oder es werden Kontaktflächen 10 miteinander kurzgeschlossen, die im Inneren des Gehäuses 1 verteilt angeordnet sind, was von der Kontrollschaltung 6 detektiert wird, die daraufhin eine weitere Zerstörung der Bauteile durch Überspannung bzw. Über­ hitzung bewirkt. Durch diese Maßnahmen wird ein Eindringen in den Zerstörungs­ schalter weiter erschwert, so daß seine Funktion nicht beeinflußt werden kann.

Der Zerstörungsschalter enthält ferner einen Zeitzähler 11, der vom Hersteller auf einen bestimmten, nicht nachträglich veränderbaren Zeitablauf eingestellt ist, z. B. drei Monate, in Sekunden gezählt. Das Ende des Zeitablaufs wird von der Kontroll­ schaltung 6 detektiert und dann eine programmierte Selbstzerstörung des nicht reparablen Zerstörungsschalters eingeleitet, wodurch die gesamte Schaltung unbenutzbar wird, in die der Zerstörungsschalter integriert ist, und damit auch das System, in das die elektronische Schaltung eingebaut ist, beispielsweise ein Waffensystem. Einen Ersatz-Zerstörungsschalter vom Hersteller erhält nur der rechtmäßige Erwerber bzw. Benutzer. Auch in industriellen, prozeßgesteuerte Anlagen oder Teilen, die nicht laufend gewartet werden können, kann der Schalter die Sicherheit steigern, indem er verhindert, daß in bestimmten Zeitabständen vorgeschriebene Sicherheitskontrollen auf Grund von menschlichem Versagen nicht durchgeführt werden, z. B. durch Vergessen dieser Kontrollen.

Die Sicherheit gegen eine Benutzung entgegen bestimmten Vorschriften wird noch weiter gesteigert, wenn ein sogenanntes Identdualsystem genutzt wird. Dabei müssen zwei Korrespondenzchips miteinander korrespondieren und sich gegen­ seitig identifizieren, von denen sich einer außerhalb des Gehäuses 1 auf der zu schützenden Schaltung und der andere Korrespondenzchip 12 innerhalb des Gehäuses 1 befindet. Der innere Korrespondenzchip 12 wird bei fehlender Identifikation oder bei Aufbruchversuchen von der Kontrollschaltung 6 zerstört. Seine elektrische Konfiguration ist nur dem Hersteller bekannt und wird in einen Ersatz-Zerstörungsschalter übernommen. Wird der Ersatz-Zerstörungsschalter in die Gesamtanlage eingebaut, so muß der neue Korrespondenzchip 12 exakt mit dem Korrespondenzchip in der Gesamtanlage korrespondieren, andernfalls eine Selbstzerstörung des Zerstörungsschalters stattfindet.

Da der Besteller eines Ersatz-Zerstörungsschalters dem Hersteller alle Daten und Lieferdaten der Anlage mitteilen muß, ist eine herstellerseitige Kontrolle und ein genauer Überblick über den Verbleib der Anlage möglich. Bei Waffensystemen kann durch Nichtlieferung von Ersatz-Zerstörungsschaltern eine Weiterver­ wendung unterbunden werden, wenn dies aus politischen Gründen vom Land des Herstellers verlangt wird. Diese politische Kontrollierbarkeit kann den Export solcher Systeme erleichtern.

Die Spannung der Batterie 8 bzw. ihr Innenwiderstand unterliegen einer impuls­ weisen Selbstkontrolle, z. B. alle 0,3 Sekunden, um die gespeicherte Energie nicht vorzeitig zu verbrauchen. Zur Erhöhung der Redundanz kann hierfür eine weitere, nicht eingezeichnete Batterie im Gehäuse 1 eingebaut sein. Damit die Batterien nicht durch Kühlen wirkungslos gemacht werden können, erfolgt außerdem eine Temperaturprüfung durch Thermofühler 13. Wird eine bestimmte Temperatur unterschritten, so erfolgt die Selbstzerstörung, vorzugsweise unter Reihenschal­ tung der beiden Batterien, so daß sich deren Restspannungen addieren. Für einen Betrieb bei niedrigen äußeren Umgebungstemperaturen muß der Zerstörungs­ schalter allerdings künstlich beheizt werden. Die Thermofühler 13 registrieren außerdem zu hohe Temperaturen, so daß z. B. oberhalb von 100°C ebenfalls eine Selbstzerstörung stattfindet, etwa bei Auslötversuchen, bei Einwirkung von Fein­ bearbeitungswerkzeugen wie Laserstrahlwerkzeugen oder auch bei Feuer.

Durch diese diversen Schutzfunktionen ist ein Nachbau des Zerstörungsschalters anhand eines vorhandenen Exemplars äußerst schwierig. Die Konfiguration der Zerstörungsschalter im Einzelfall muß natürlich geheim gehalten werden. Für jeden Anlagentyp gibt es typgebundene Einschubplatinen 3, deren Konfiguration für andere Anlagen völlig unbrauchbar ist.

Ein weiteres Ausführungsbeispiel ergibt einen wirkungsvollen Diebstahlschutz für Kraftfahrzeuge. Ein erster Zerstörungsschalter, der einen funktionswesentlichen Teil der Kraftfahrzeugelektronik enthält, und ein zweiter Zerstörungsschalter, der ebenfalls einen funktionswesentlichen Teil der Kraftfahrzeugelektronik enthalten kann, sind an getrennten Stellen in einem Kraftfahrzeug eingebaut, wobei sie für eine Warnfunktion gut sichtbar angeordnet sein können.

Die beiden Zerstörungsschalter sind ähnlich wie der Zerstörungsschalter aus dem oben beschriebenen Ausführungsbeispiel aufgebaut, jedoch enthält der erste Zerstörungsschalter zusätzlich zu oben beschriebenen Bauelementen einen Funkempfänger, der mit einer Antenne mit Außenwirkung verbunden ist, z. B. einem im Gummi der Windschutzscheibe des Kraftfahrzeugs verlaufenden Antennendraht. Anstelle der Batterie 8 enthält er einen Akkumulator. Der zweite Zerstörungsschalter enthält keine Batterie, jedoch einen Funksender mit einer eigenen Antenne außerhalb des Gehäuses 1, der von dem Empfänger im ersten Zerstörungsschalter empfangbar und auf diesen abgestimmt ist.

Im Anschluß an eine Diebstahlmeldung an die Polizei wird über geeignete Funkstationen, z. B. weltweit empfangbare Satelliten, ein Funksignal ausgesandt, das den z. B. auf einen Monat programmierten Zeitzähler im ersten Zerstörungs­ schalter startet. Bei einem Empfang des Funksignals, welches genügend lange bzw. unter ständiger Wiederholung ausgesandt wird, wird außerdem der eingebaute Akkumulator aufgeladen, mit dessen Hilfe nach Ablauf des Monats die Selbstzerstörung durchgeführt wird. Bis dahin erscheint eine Sichtanzeige mit der Diebstahlmeldung am Armaturenbrett, so daß im Falle einer Falschmeldung ausreichend Gelegenheit besteht, in der autorisierten Werkstatt oder bei der Polizei für eine Klärung zu sorgen, um das weltweite Funksignal zu stoppen.

Ein zerstörter Zerstörungsschalter wird nach einem Verkehrsunfall oder einer erwiesenermaßen rechtmäßigen Eigentumsübertragung durch einen neuen ersetzt, der nur auf Anforderung und unter Mitteilung aller Daten des Kraftfahrzeugs und seiner Vorgeschichte beim Werk erhältlich ist, welches diese Daten mit polizeilich gespeicherten Daten vergleicht.

Außer den oben bereits beschriebenen Identifikationsmerkmalen werden verschie­ denen Zerstörungsschaltern verschiedene Frequenzen bzw., wenn diese nicht ausreichen, individuelle Signalformen oder Signalcodes zugewiesen.

Der zweite Zerstörungsschalter sendet im Kraftfahrzeugbetrieb ein Prüfsignal an den ersten Zerstörungsschalter, und wenn dieses vom ersten Zerstörungsschalter nicht detektiert wird, beginnt die Zeitspanne von einem Monat bis zur Selbst­ zerstörung ebenfalls abzulaufen. Daher ist es für einen Dieb zwecklos, den Empfang des Funksignals auf irgendeine Weise zu unterbinden. Zusätzlich können die beiden Zerstörungsschalter in dem weiter oben beschriebenen Identdualsystem miteinander korrespondieren.

Mit dem beschriebenen Diebstahlschutzsystem können nicht nur durch Diebstahl von Kraftfahrzeugen verursachte Schäden verringert werden, sondern es ist für mobile technische Einrichtungen verschiedenster Art geeignet.

Claims (15)

1. Vorrichtung zum Schutz einer elektronischen Schaltung vor Manipulation, gekennzeichnet durch ein Gehäuse (1), das einen funktionswesentlichen Teil (7) der elektronischen Schaltung vollständig umgibt und das eine Wandung aus einem elektrisch isolierenden Material aufweist, durch die hindurch eine Vielzahl von elektrischen Leitungen (5), die mit dem Schaltungsteil (7) verbunden sind, an die Außenseite des Gehäuses (1) verlaufen und in die eine Vielzahl von feinen Drähten (2) eingebettet sind, die interne Leitungsverbindungen des Schaltungsteils bilden.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die feinen Drähte (2) ein engmaschiges Geflecht um den Schaltungsteil (7) herum bilden.

3. Vorrichtung nach Anspruch 1 oder Anspruch 2, dadurch gekennzeichnet, daß das Gehäuse (1) außerdem wenigstens einen geschlossenen und elektrisch isolierten Hohlkörper (9) umfaßt, der eine Flüssigkeit enthält, die elektrischen Strom leitet.

4. Vorrichtung nach Anspruch 3, dadurch gekennzeichnet, daß die Flüssigkeit eine Säure ist.

5. Vorrichtung nach Anspruch 3 oder Anspruch 4, dadurch gekennzeichnet, daß der wenigstens eine Hohlkörper (9) flach ist und an der Innenseite der Wandung des Gehäuses (1) anliegt.

6. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß der Schaltungsteil wenigstens eine integrierte Schaltung (6, 7) umfaßt.

7. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß der Schaltungsteil wenigstens eine integrierte Schaltung (6, 7) mit einem freiliegenden Chip umfaßt.

8. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß der Schaltungsteil wenigstens eine integrierte Schaltung umfaßt, die eine integrierte Schaltung (12) aus einem Paar individueller korrespondierender integrierter Schaltungen ist.

9. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß sich innerhalb des Gehäuses eine Stromquelle (8) befindet.

10. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekenn­ zeichnet, daß sich innerhalb des Gehäuses ein Zeitzähler (11) befindet.

12. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekenn­ zeichnet, daß sich innerhalb des Gehäuses wenigstens ein Thermoelement (13) befindet.

13. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekenn­ zeichnet, daß sich innerhalb des Gehäuses ein Funkempfänger befindet.

14. Vorrichtung nach einem der vorstehenden Ansprüche, dadurch gekenn­ zeichnet, daß sich innerhalb des Gehäuses ein Funksender befindet.

15. Diebstahlschutzsystem für Fahrzeuge, dadurch gekennzeichnet, daß es eine Vorrichtung nach Anspruch 13 und eine Vorrichtung nach Anspruch 14 aufweist, und dadurch, daß wenigstens die Vorrichtung mit dem Funkempfänger Funktionen der Fahrzeugelektronik durchführt und diesen Betrieb einstellt, wenn entweder keine Signale von der Vorrichtung mit dem Funksender empfangen werden oder ein besonderes Signal von außerhalb des Fahrzeugs empfangen werden.

16. Vorrichtung nach Anspruch 15, dadurch gekennzeichnet, daß die Einstellung des Betriebs der Vorrichtung mit dem Funkempfänger mit einer voreingestellten Verzögerung erfolgt.