DE19933568A1 - Zum Schutz gegen unberechtigte Kraftfahrzeugbenutzung vorgesehenes Kraftfahrzeug-Steuersystem, und entsprechend ausgelegtes Verfahren - Google Patents

Abstract

Das Wegfahrsperren-Steuergerät ist mit einem Ausbaudetektor ausgestattet, der einen Ausbau des Steuergerätes aus dem Kraftfahrzeug erkennt. Bei einem Ausbau wird das Steuergerät außer Betrieb gesetzt, so daß es bei einem nachfolgenden Einbau in einem anderen Kraftfahrzeug nicht mehr ordnungsgemäß funktioniert. Hierdurch wird eine Überwindung der Wegfahrsperreneinrichtung durch aus einem anderen Kraftfahrzeug entnommene Originalsteuergeräte verhindert.

Description

Die Erfindung betrifft ein Kraftfahrzeug-Steuersystem, das insbesondere zum Schutz gegen unberechtigte Fahrzeugbenutzung vorgesehen ist und vorzugsweise durch ein Wegfahrsperrensy­ stem und/oder Zugangskontrollsystem gebildet ist. Weiterhin ist die Erfindung auf ein entsprechendes Verfahren gerichtet.

Mit elektronischen Wegfahrsperren ausgestattete Kraftfahrzeu­ ge sind gegenüber unberechtigter Benutzung weitgehend ge­ schützt. Eine mögliche Schwachstelle besteht aber darin, daß beispielsweise nach passivem Abtransport eines solchen Kraft­ fahrzeugs (z. B. durch Verladen auf einen Anhänger) alle für die Wegfahrsperre relevanten Komponenten einschließlich des oder der Steuergeräte ausgebaut und durch andere Komponenten ersetzt werden, die sich der Entwender beispielsweise von ei­ nem Unfallfahrzeug beschafft hat. Damit wird ein solches, un­ berechtigt entwendetes und umgebautes Fahrzeug doch wieder einschließlich Wegfahrsperre benutzbar.

Der Erfindung liegt die Aufgabe zugrunde, einen besseren Schutz gegen eine derartige unberechtigte Benutzung von Kraftfahrzeugen zu erreichen.

Diese Aufgabe wird mit dem im Patentanspruch 1 angegebenen Kraftfahrzeug-Steuersystem gelöst. Weiterhin wird ein ent­ sprechendes Verfahren bereitgestellt. Vorteilhafte Ausgestal­ tungen der Erfindung sind in den Unteransprüchen angegeben.

Das erfindungsgemäße Kraftfahrzeug-Steuersystem ist mit einem im folgenden auch als Ausbaudetektor bezeichneten Detektor oder Sensor ausgestattet, der einen Ausbau des Steuergeräts des betreffenden Steuersystems von seinem auslegungsgemäß vorgegebenen Platz erfaßt und die Deaktivierung des Steuerge­ räts veranlaßt, so daß dieses danach nicht länger funktions­ fähig ist.

Diese Deaktivierung kann z. B. durch aktives Durchbrennen ei­ ner Sicherung oder eines Widerstands, durch Ausschaltung ei­ nes Schalters oder einer sonstigen Komponente, oder durch permanentes Setzen einer Kennung beim Ausbauvorgang erreicht werden, deren ordnungsgemäßer Zustand vor oder bei einer je­ weiligen Ausführung der zu steuernden Funktion vom Steuerge­ rät überprüft wird, das bei nicht ordnungsgemäßem Zustand nicht weiterarbeitet. Es können auch funktionsnotwendige Da­ ten oder Programme bei dem Ausbauvorgang gelöscht werden, so daß das Steuergerät bei einem späteren Wiederinbetriebnahme­ versuch nicht mehr über die notwendige Arbeitsbasis verfügt. Das Steuergerät kann dann beispielsweise nur wieder von einer autorisierten Werkstätte mit einem entsprechenden Reparatur­ vorgang oder Initialisierungsprogramm wieder freigeschaltet werden.

Allgemein gesagt, wird das Steuergerät bei einem Ausbau aus dem Kraftfahrzeug in einen funktionsunfähigen Modus gebracht. Hierzu befindet sich in dem Steuergerät eine Einrichtung, die die Normalfunktion des Steuergeräts nach dem Erkennen eines Ausbaus aus dem Kraftfahrzeug oder gegebenenfalls auch schon bereits nach dem Abziehen des Verbindungssteckers zwischen dem Steuergerät und den bordseitigen Komponenten sperrt. Da beim Ausbau des Steuergeräts zwangsweise auch dessen Verbin­ dungsstecker abgezogen wird, wird in vorliegenden Unterlagen auch schon das bloße Abziehen des Verbindungssteckers als Teil eines Ausbauvorgangs eingestuft.

Die Sperrung des Steuergeräts gegenüber einer Wiederinbe­ triebnahme nach Detektion eines Ausbauvorgangs kann permanent sein, so daß das Steuergerät dauerhaft wertlos wird. Vorzugs­ weise ist die Sperre jedoch wieder aufhebbar, allerdings nur von einer autorisierten Betriebsstätte und autorisierten Per­ son, die mit einem entsprechenden Fehlerbehebungswerkzeug oder -programm ausgestattet ist. Dies erlaubt es, das Steuer­ gerät nach einem berechtigten Ausbauvorgang - beispielsweise zu Überprüfungszwecken in einer Werkstatt - wieder regulär in Betrieb zu setzen.

Die Erfindung wird nachstehend anhand von drei Ausführungs­ beispielen unter Bezugnahme auf die Fig. 1 bis 3 näher be­ schrieben.

Bei dem in Fig. 1 gezeigten Ausführungsbeispiel wird das Steuergerät 8 des Steuersystems, und damit das Steuersystem insgesamt, beim Abziehen seines Verbindungssteckers von dem Kraftfahrzeugbus CAN oder einer anderen bordseitigen Kompo­ nente in einen funktionsunfähigen Modus gebracht. Das Steuer­ system enthält einen Steckverbinder 1 zur elektrischen Ver­ bindung mit einem fahrzeugseitigen Gegensteckverbinder 2, der über eine mehradrige Leitung 3 mit der Bordelektronik verbun­ den ist. Der Steckverbinder 1 enthält mehrere Kontakte 4, die mit entsprechenden Gegenkontakten des Gegensteckverbinders 2 in leitendem Kontakt stehen, und eine Kurzschlußbrücke 5, die zwei Kontakte 4 kurzschließt. Die Kurzschlußbrücke 5 kann entweder Teil des Gegensteckverbinders 2 sein oder eine lei­ tende Verbindung im Steckverbinder 1 sein, die beim Einschie­ ben des Gegensteckverbinders 2 eingeschaltet wird. Die Kurz­ schlußbrücke 5 ist somit lediglich dann aktiviert, wenn die beiden Steckverbinder 1 und 2 miteinander verbunden sind, bei abgezogenem Steckverbinder 1 jedoch geöffnet. Die durch die Kurzschlußbrücke 5 kurzschließbaren Kontakte 4 sind über Lei­ tungen 6, 7 mit dem Steuergerät 8 verbunden, das einen lösch­ baren Speicher 9, beispielsweise ein EEPROM enthält und mit einer eigenen Versorgungsspannungsquelle (Energiespeicher) 10 ausgestattet ist. Das Steuergerät 8 tauscht über weitere, nicht dargestellte, mit dem Steckverbinder 1 verbundene Lei­ tungen Daten und Befehle mit der Bordelektronik aus und emp­ fängt vorzugsweise weiterhin über den Steckverbinder 1 die Versorgungsspannung zum Betrieb des Steuergeräts 8 und zur Aufladung der Versorgungsspannungsquelle 10. Das Steuergerät 8 prüft zyklisch oder in unregelmäßigen Abständen oder abhän­ gig davon, ob die Versorgungsspannung abgeschaltet worden ist, das Vorhandensein der Kurzschlußbrücke 5, indem sie bei­ spielsweise auf die Leitung 6 ein entsprechendes Potential gibt und das auf der Leitung 7 empfangene Potential abfragt. Wenn das Steuergerät 8 das Fehlen der Kurzschlußbrücke 5 er­ mittelt, ist dies ein Indiz für das Abziehen des Steckverbin­ ders 1 und damit für einen Ausbauvorgang. Das Steuergerät 8 löscht als Reaktion hierauf für den Betrieb des Steuergeräts notwendige Daten oder Programme, beispielsweise in dem Spei­ cher 9. Damit ist das Steuergerät 8 nun funktionsunfähig und kann erst durch eine autorisierte Werkstätte wieder neu be­ schrieben werden. Die Kurzschlußbrücke 5 dient damit als Aus­ baudetektor.

Alternativ kann das Ausführungsbeispiel auch so ausgestaltet sein, das die Kurzschlußbrücke 5 bei miteinander verbundenen Steckverbindern 1, 2 geöffnet ist und sich beim Abziehen des Steckverbinders 1 automatisch schließt, beispielsweise durch Freigabe eines bislang in die Ausschaltstellung gedrückten Kurzschlußbügels. In diesem Fall löscht das Steuergerät 8 be­ triebsnotwendige Daten und/oder Programme bei Erfassen des Kurzschlusses zwischen den Leitungen 6 und 7. Es ist weiter­ hin möglich, die Leitung 6 oder 7 nicht mit dem Steuergerät 8, sondern mit einem vorbestimmten Bezugspotential, z. B. Mas­ se, zu verbinden. Das Steuergerät 8 fragt dann über die ande­ re, noch mit ihm verbundene Leitung 7 oder 6 das auf dieser Leitung vorhandene Potential ab, das entweder dem vorbestimm­ ten Bezugspotential entspricht oder bei geöffneter Kurz­ schlußbrücke 5 floatet.

Bei dem in Fig. 2 gezeigten Ausführungsbeispiel wird das Steuergerät 11 beim Ausbau zwingend einem Magnetfeld ausge­ setzt und hierdurch in den funktionsunfähigen Modus gebracht. Im Steuergerät 11 befindet sich eine Datenspeicherungsein­ richtung, die elektrisch beschrieben und magnetisch gelöscht werden kann und beim Ausbau des Steuergeräts 11 zwingend ei­ nem Magnetfeld ausgesetzt, d. h. gelöscht wird. Bei dem in Fig. 2 gezeigten Ausführungsbeispiel ist diese Datenspeiche­ rungseinrichtung ein bistabiler Reed-Sensor 12. Auf der den Reed-Sensor 12 tragenden Leiterplatte ist diesem gegenüber­ liegend ein Elektromagnet 14 angeordnet, der durch einen Pro­ zessor 13 des Steuergeräts 11 aktivierbar ist. Bei der In­ itialisierung des Steuergeräts 11 nach dessen erstem autori­ sierten Einbau in ein Kraftfahrzeug aktiviert der Prozessor 13 den Elektromagnet 14, so daß der Reed-Sensor 12 magnetisch in einen seiner beiden stabilen Zustände (Zustand A), bei­ spielsweise in geöffneten Zustand, gebracht wird. Aufgrund der Bistabilität wird dieser Zustand auch nach Beendigung der Aktivierung des Elektromagneten 14 gehalten. Der Prozessor 13 fragt den Zustand des Reed-Sensors 12 während des Betriebs zumindest bei jeder Einschaltung der Spannungsversorgung, ge­ gebenenfalls aber auch zyklisch oder azyklisch wiederholt ab. Sofern der Reed-Sensor 12 den Zustand A aufweist, führt das Steuergerät 11 die auslegungsgemäßen Betriebsvorgänge aus.

Unmittelbar neben dem Einbauort des Steuergeräts 11 ist, von außen unzugänglich und nicht abschirmbar, ein Permanentmagnet 15 angeordnet, der gegenüber dem Reed-Sensor 12 so versetzt positioniert ist, daß das von ihm erzeugte Magnetfeld nicht zum Umschalten des Reed-Sensors 12 in den anderen bistabilen Zustand (Zustand B) ausreichend ist. Wenn das Steuergerät 11 jedoch ausgebaut wird, muß es aufgrund der konstruktiven Ein­ bauverhältnisse zwangsweise entlang des Permanentmagneten 15 herausgezogen werden, so daß der Reed-Sensor 12 durch das Ma­ gnetfeld des Permanentmagneten 15 in den Zustand B umgeschal­ tet wird. Die Ausbaurichtung des Steuergeräts 11 ist durch einen Pfeil 16 veranschaulicht. Bei einem nachfolgenden Ein­ bau des Steuergeräts 11 in einem anderen Kraftfahrzeug fragt der Prozessor 13 bei Wiederinbetriebnahme den nun im Zustand B befindlichen Reed-Sensor 12 ab und ist so programmiert, daß es bei Erkennen des Zustands B nicht mehr ordnungsgemäß wei­ terarbeitet, beispielsweise überhaupt keine weiteren Be­ triebsvorgänge ausführt und damit auch ein Freischalten der Wegfahrsperre unterbindet. Lediglich eine autorisierte Werk­ stätte kann durch ein Diagnoseprogramm und Wiederholung der Steuergerät-Initialisierung das Steuergerät wieder in funkti­ onsfähigen Zustand versetzen.

Anstelle des Reed-Sensors 12 kann auch ein anderer, magne­ tisch löschbarer Speicher vorgesehen sein, der bei der Ersti­ nitialisierung vom Prozessor 13 mit gewünschten Daten elek­ trisch beschreibbar ist. Bei jeder Inbetriebnahme des Steuer­ geräts 8 prüft dieses das Vorhandensein der in den Speicher eingeschriebenen Daten und führt nur dann die vorgegebenen Arbeitsvorgänge aus. Beim Ausbau wird dieser Speicherinhalt jedoch aufgrund des Vorbeiführens am Permanentmagnet 15 zwangsweise gelöscht.

Das in Fig. 3 gezeigte Ausführungsbeispiel ist so ausgebil­ det, daß bei einem Ausbau des Steuergeräts 17 zwangsweise ein Mikroschalter 18 geöffnet wird und das Steuergerät 17 dadurch in funktionsunfähigen Modus versetzt wird. Der Mikroschalter 18 befindet sich an der Außenseite des Steuergeräts 17, das an einer Trägerwand oder Trägerplatte 19, beispielsweise ei­ ner Karosseriewand, an seiner normalen Einbauposition befe­ stigt ist. Die Wand 19 betätigt nicht nur den Mikroschalter 18 bei normal eingebautem Steuergerät 17, sondern schützt diesen zugleich auch gegen Manipulation, d. h. macht den Mi­ kroschalter 18 unzugänglich. Bei der Initialisierung des Steuergeräts 17 im Kraftfahrzeug wird von dessen Prozessor 20 auch die Position des Mikroschalters 18 abgefragt. Wenn die­ ser betätigt ist, steuert der Prozessor 20 einen Elektroma­ gnet 21 an, der nahe bei einem magnetisch schaltbaren Schal­ ter 22 angeordnet ist. Bei Aktivierung des Elektromagnet 21 wird der Schalter 22 in den eingeschalteten Zustand gebracht und bleibt in diesem Zustand aufgrund bistabilen Schaltver­ haltens auch nach Beendigung der Erregung des Elektromagneten 21. Es genügt somit eine nur kurzzeitige Aktivierung des Elektromagneten 21, so daß der Strombedarf zum Umschalten des Schalters 22 gering ist. Der Prozessor 20 fragt den Schaltzu­ stand des Schalters 22 bei jeder Inbetriebsetzung oder in re­ gelmäßigen oder unregelmäßigen Intervallen ab und arbeitet nur dann ordnungsgemäß, wenn der Schalter 22 geschlossen ist, sperrt andernfalls aber die ihm zugeordnete Funktion, bei­ spielsweise das Freigeben des Startens des Motors.

Der Schalter 22 ist mit dem Mikroschalter 18 mechanisch der­ art gekoppelt (durch die gestrichelte Linie dargestellt), daß er bei sich öffnendem Mikroschalter 18 ebenfalls in die Of­ fenstellung geschleppt wird. Diese mechanische Kopplung funk­ tioniert allerdings nur bezüglich der Öffnungsbewegung, beim Schließen des Mikroschalters 18 wird der Schalter 22 nicht in seine Schließstellung gebracht. Letzteres ist nur durch Akti­ vierung des Elektromagneten 21 erreichbar. Da der Mikroschal­ ter 18 beim Ausbau des Steuergeräts 17 zwangsweise öffnet (der Mikroschalter ist wie üblich in die Öffnungsstellung fe­ dervorgespannt), wird hierdurch auch der Schalter 22 in die Öffnungsstellung gebracht. Bei einem nachfolgenden Wiederein­ bau des Steuergeräts 17 wird zwar der Mikroschalter 18 wieder geschlossen, jedoch bleibt der Schalter 22 offen, da keine Erregung des Elektromagneten 21 erfolgt. Damit bleibt das Steuergerät 17 gesperrt. Nur eine autorisierte Werkstätte kann durch Neuinitialisierung des Steuergeräts 20 nach dessen ordnungsgemäßem Einbau erreichen, daß der Elektromagnet 21 wieder kurzzeitig bestromt wird und damit den Schalter 22 in die Schließstellung schaltet, so daß das Steuergerät 17 an­ schließend wieder ordnungsgemäß funktioniert. Selbstverständ­ lich kann die vom Schalter 22 zum ordnungsgemäßen Arbeiten des Steuergeräts einzunehmende Position auch die Ausschalt­ stellung sein, in die er durch Erregung des Elektromagneten 21 gebracht wird. Die mechanische Kopplung mit dem Mi­ kroschalter 18 ist dann so vertauscht, daß der Schalter 22 beim Öffnen des Mikroschalters 18 in die Einschaltstellung gedrückt wird.

Bei den vorliegenden Ausführungsbeispielen ist das Steuerge­ rät 8, 11, 17 jeweils das Hauptsteuergerät der Wegfahrsper­ reneinrichtung. Es kann sich jedoch auch um eine andere aus­ baubare Komponente der Wegfahrsperreneinrichtung handeln. Al­ ternativ kann das ausbaugeschützte Steuergerät auch Teil ei­ nes anderen Steuersystems, insbesondere eines Zugangskon­ trollsystems oder eines sonstigen, für den ordnungsgemäßen Fahrzeugbetrieb wichtigen Steuersystems sein.

Claims (10)

1. Kraftfahrzeug-Steuersystem, insbesondere Wegfahrsperrensy­ stem oder Zugangskontrollsystem, mit einem Steuergerät (8; 11; 17) zum Steuern einer Kraftfahrzeug-Funktion, gekenn­ zeichnet durch einen Ausbaudetektor (5; 12; 22) zum Erfassen eines Ausbaus des Steuergeräts (8; 11; 17) von sei­ ner auslegungsgemäß vorgegebenen Position im Kraftfahrzeug, wobei das Steuergerät so ausgelegt ist, daß nach Erfassen ei­ nes Ausbauvorgangs eine nachfolgende ordnungsgemäße Wiederin­ betriebnahme des Steuergeräts verhindert ist.

2. Kraftfahrzeug-Steuersystem nach Anspruch 1, dadurch ge­ kennzeichnet, daß der Ausbaudetektor (5) eine vom Steuergerät (8) auf Vorhandensein überprüfte Verbindung zwi­ schen zwei Elementen, insbesondere Kontaktstiften (4) eines Verbindungssteckers (1) enthält, und daß das Steuergerät bei Erfassung einer Änderung des Verbindungszustands der über­ prüften Verbindung eine Deaktivierungsmaßnahme zum Sperren einer nachfolgenden ordnungsgemäßen Inbetriebnahme ausführt.

3. Kraftfahrzeug-Steuersystem nach Anspruch 2, dadurch ge­ kennzeichnet, daß die Deaktivierungsmaßnahme das Löschen von betriebsnotwendigen Daten und/oder Programmen in einem Speicher (9), das permanente Setzen einer bei einem späteren Wiederinbetriebnahmeversuch abgefragten Kennung, das dauerhafte Umschalten eines Schalters, dessen Schaltzustand bei einem späteren Wiederinbetriebnahmeversuch abgefragt wird, oder das Durchschmelzen einer Sicherung oder eines Wi­ derstands umfaßt.

4. Kraftfahrzeug-Steuersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Aus­ baudetektor ein magnetisch löschbares Speicherelement (12) enthält, das bei einem Ausbauvorgang an einem stationär ange­ brachten Permanentmagnet (15) vorbeizubewegen ist und durch dessen Permanentmagnetfeld umgeschaltet oder gelöscht wird.

5. Kraftfahrzeug-Steuersystem nach Anspruch 4, dadurch ge­ kennzeichnet, daß das magnetisch löschbare Spei­ cherelement (12) ein bistabiler Reed-Sensor ist, daß das Steuergerät (11) einen Elektromagnet (14) enthält, der neben dem Reed-Sensor (12) angeordnet ist und bei der Initialisie­ rung des Steuergeräts erregt wird, so daß der Reed-Sensor (12) in den einen Zustand geschaltet wird, daß der Reed- Sensor (12) beim Ausbauvorgang durch den Permanentmagnet (15) in den anderen Zustand umgeschaltet wird, und daß der Prozes­ sor (13) den Zustand des Reed-Sensors bei einer Inbetriebnah­ me des Steuergeräts (11) oder zyklisch oder azyklisch abfragt und nur dann, wenn sich dieser in dem einen Zustand befindet, den ordnungsgemäßen Betrieb des Steuergeräts freigibt.

6. Kraftfahrzeug-Steuersystem nach einem der vorhergehenden Ansprüche, gekennzeichnet durch einen am Steuer­ gerät (17) nach außen vorstehend angebrachten Mikroschalter (18), der im eingebauten Zustand des Steuergeräts (17) betä­ tigt ist und beim Ausbauvorgang umschaltet, und durch einen mit dem Mikroschalter (18) mechanisch gekoppelten Schalter (22), der beim Öffnen des Mikroschalters (18) in einen be­ stimmten Schaltzustand umgeschaltet wird.

7. Kraftfahrzeug-Steuersystem nach Anspruch 6, dadurch ge­ kennzeichnet, daß der Schalter (22) magnetisch in den anderen Schaltzustand umschaltbar ist, daß ein Elektroma­ gnet (21) vorhanden ist, der von einem Prozessor (20) des Steuergeräts (17) bei dessen Initialisierung angesteuert wird und damit eine Umschaltung des Schalters (22) in dessen ande­ ren Schaltzustand bewirkt, und daß der Prozessor (20) den Schaltzustand des Schalters (22) wiederholt, insbesondere bei jeder Inbetriebnahme des Steuergeräts (17)abfragt und einen ordnungsgemäßen Betrieb sperrt, wenn sich der Schalter (22) in dem bestimmten Schaltzustand befindet.

6. Verfahren zum Schutz eines Kraftfahrzeugs gegen unberech­ tigte Benutzung, das mit einem Kraftfahrzeug-Steuersystem, insbesondere einem Wegfahrsperrensystem und/oder Zugangskon­ trollsystem, ausgestattet ist, bei dem ein Steuergerät (8; 11; 17) des Kraftfahrzeug-Steuersystems auf Ausbau überwacht wird und bei Erfassen eines Ausbaus das Steuergerät dauerhaft deaktiviert wird.

9. Verfahren nach Anspruch 8, dadurch gekennzeich­ net, daß das Steuergerät bei seiner Erstinitialisierung ein Speicher- oder Schaltelement (12; 22) in einen definierten Zustand versetzt und bei einem späteren Betrieb des Steuerge­ räts den Zustand des Speicher- oder Schaltelements (12; 22) wiederholt abfragt und nur dann, wenn sich dieses im defi­ nierten Zustand befindet, den ordnungsgemäßen Betrieb frei­ gibt.

10. Verfahren nach Anspruch 9, dadurch gekennzeich­ net, daß das Speicher- oder Schaltelement bei einem Ausbau­ vorgang magnetisch oder mechanisch aus dem definierten Zu­ stand in einen anderen Zustand umgeschaltet wird.