DE4411435A1

DE4411435A1 - Verfahren zum Steuern der Benutzung eines Kraftfahrzeugs mit Hilfe eines aus zwei Teilen bestehenden Codesignals

Info

Publication number: DE4411435A1
Application number: DE4411435A
Authority: DE
Inventors: Robert Griessbach
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 1994-03-31
Filing date: 1994-03-31
Publication date: 1995-10-05
Also published as: EP0675249B1; ES2159576T3; US5811885A; DE59509413D1; EP0675249A1

Description

Die Erfindung bezieht sich auf ein Verfahren nach dem Oberbegriff des Patentanspruchs 1.

Der Aufbau des Codesignals aus zwei Teilen ist grundsätz lich aus dem Deutschen Patent 29 28 913 bekannt. Dabei sind die beiden Teil-Codesignale in der Regel ohne beson dere Sicherheiten auslesbar. Dadurch ergibt sich das Problem, daß der Inhalt des Codesignals unberechtigter weise kopiert werden kann und damit für den Unberechtig ten die Möglichkeit besteht, das Kraftfahrzeug zu benut zen.

Zwar wird versucht, dieser Gefahr dadurch zu begegnen, daß zumindest ein Teil-Codesignal bei jeder Benutzung des Kraftfahrzeugs geändert wird und das Kopieren der für die letzte Benutzung des Kraftfahrzeugs maßgeblichen Codesig nals aufgrund des für den nächste Benutzung maßgeblichen geänderten Codesignals keine Möglichkeit eröffnet, das Kraftfahrzeug mit dem "alten" Codesignal zu benutzen. Diese Lösung ist jedoch einerseits aufwendig, da sie im Codespeicher und im Codevergleicher eine Synchronisation der Code-Änderung erfordert. Besteht beispielsweise die Möglichkeit, für den Codespeicher einen Benutzungsvorgang zu simulieren und entsprechend das Codesignal zu ändern, so können sich Probleme bei der Synchronisation ergeben.

Hinzu kommt die prinzipielle Möglichkeit, den für die Än derung des Codesignals in der Regel verwendeten Algorith mus in Erfahrung zu bringen und aus dem bei der letzten Benutzung gültigen Codesignal auf den für die nächste Benutzung erwarteten Code zu schließen.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren der eingangs genannten Art zu schaffen, das eine verbes serte Sicherheit bei der Benutzung des Kraftfahrzeugs mit einfachen Mitteln erreicht. Diese Aufgabe wird durch die kennzeichnenden Merkmale des Patentanspruchs 1 gelöst.

Von den beiden Teil-Codesignalen ist jeweils nur eines auslesbar. Auch dann, wenn der Codespeicher in die Hände eines Unberechtigten gerät, kann das zweite Teil-Codesig nal nicht ausgelesen werden, da dies nur mit Hilfe des Codevergleichers gesteuert möglich ist. Voraussetzung hierfür ist, daß der Codevergleicher die Übereinstimmung des ersten Teil-Codesignals erkennt. Da die beiden Teil- Codesignale voneinander unabhängig sind, läßt sich aus der Kenntnis nur eines Teil-Codesignals keinerlei Aussage über das andere Teil-Codesignal treffen. Damit aber ist ein wirksamer Schutz vor einem Kopieren des gesamten Co designals erzielt.

Verbesserungen und weitere Ausgestaltungen der Erfindung sind Gegenstand der Patentansprüche 2 bis 5. Die erziel ten Vorteile und Verbesserungen bestehen für den Pa tentanspruch
2 in der Möglichkeit, mit Hilfe von mehreren Codespei chern das Kraftfahrzeug zu benutzen,
3 darin, auch dann, wenn es gelingen sollte, die durch die Zugangskontrolleinrichtung gegebene Sicherheit aufzu brechen und die beiden Teil-Codesignale auszulesen, für das Kraftfahrzeug anschließend an eine Benutzung durch den berechtigten Benutzer die Benutzung durch den Unberechtigten zu verhindern,
4 darin, die Änderung des zweiten Teil-Codesignals mit großer Variationsbreite vornehmen zu können - die Verwen dung eines Änderungs-Algorithmus ist dabei nicht erfor derlich -, es genügt vielmehr die Eingabe einer Zufalls zahl, und
5 die Absicherung des dann geänderten zweiten Teilcodes während und nach der Änderung des Codespeicherinhalts.

Die Erfindung ist anhand der Zeichnung weiter erläutert. Diese zeigt nach Art eines Ablaufschemas den Dialog zwi schen einem tragbaren Codespeicher und einem fahrzeugfe sten Codevergleicher. Der in den Diagrammen a bis f dar gestellte Ablauf dieses Dialogs erfolgt vorzugsweise drahtlos.

Der Codespeicher S sitzt in einem tragbaren Gehäuse Z (svw. Zündschlüssel). Er besitzt eine Blockstruktur, wie sie im Prinzip aus der DE 42 05 567 A1 bekannt ist. Die mit Ziffern 1 bis 7 bezeichneten Blöcke sind im Rahmen der Erfindung nur hinsichtlich der Blöcke 1 bis 3 von In teresse. Der Block 1 ist Teil einer nicht im einzelnen dargestellten Zugangskontrolleinrichtung für die Blöcke 1 bis 7, die durch einen mit dem Speicher S zusammenwirken den Mikroprozessor (nicht dargestellt) im Gehäuse Z vor gesehen ist. Die Zugangskontrolleinrichtung wird ge steuert durch Anzeiger RFB für die Nummer des als erstes auslesbaren Speicherblocks und RLB für die Nummer des als letztes auslesbaren Speicherblocks. Der Zugang zu der Zu gangskontrolleinrichtung kann zusätzlich passwort geschützt sein. Wesentlich ist, daß die Zugangskontrolleinrichtung nur von einem im Kraftfahrzeug vorgesehenen oder enthaltenen Codevergleicher V gesteuert werden kann. Der Codevergleicher ist nicht im einzelnen dargestellt. Er sitzt im Kraftfahrzeug und nimmt die vom Speicher S auslesbaren Inhalte der Speicherblöcke auf.

Der im folgenden und anhand der Diagramme a bis f erläu terte Dialog soll beispielsweise bei Einführen und Betä tigen des mechanischen Zündschlüssels in einem Zündschloß erfolgen. Es ist aber genauso gut auch möglich, diesen Dialog ergänzend oder statt dessen bei Aufschließen des Kraftfahrzeugs vorzunehmen. Der Speicher S sitzt hierzu in einem Zündschlüssel Z, der in ein nicht dargestelltes Schloß eingeführt wird und dabei eine Abfrage durch den Codevergleicher V auslöst. Der Dialog erfolgt vorzugs weise drahtlos mit Hilfe einer Spule Sp, die durch ein Transmitter-IC gesteuert wird.

Als erstes (Diagramm a) wird das im Block 3 enthaltene erste Teil-Codesignal ausgelesen und über die Spule Sp in den Codevergleicher V eingegeben. Der Anzeiger RFB ent hält die Bezeichnung des ersten Blocks (3), der auslesbar ist. Dieses erste Teil-Codesignal enthält eine Informa tion, die speicher- bzw. schlüsselspezifisch indi vidualisiert ist und die nicht verändert wird. Damit wird es für den Codevergleicher V möglich, einen von mehreren berechtigten Benutzer anhand der im Block 3 enthaltenen Schlüsselidentifikation zu erkennen.

Stimmt das erste Teil-Codesignal mit dem im Vergleicher V vorhandenen und von diesem erwarteten Referenz-Teil-Code signal überein, so steuert der Vergleicher über das Transmitter-IC und die Spule Sp die Anzeiger RFB und RLB (Block 1) in der im Diagramm b dargestellten Weise. Die Information RFB′′2 und RLB′′2 bezeichnet damit nur den Block 2, der allein auslesbar ist.

Die im Block 2 enthaltene Information stellt das zweite Teil-Codesignal dar, das nunmehr ausgelesen und im Ver gleicher V mit dem entsprechenden Referenz-Teil-Codesig nal verglichen wird. Liegt auch hier Übereinstimmung vor, d. h. ist das Gesamte aus den beiden Teil-Codesignalen ge bildete Codesignal identisch mit dem erwarteten Codesig nal, so schaltet der Vergleicher ein Antriebs-Steuergerät M frei.

Im Anschluß daran wird vom Vergleicher V ein neues zwei tes Teil-Codesignal zurückgeschrieben. Es kann sich dabei um eine Zufallszahl handeln. Diese gelangt auf dem durch einen Pfeil dargestellten Weg zum Speicher S und wird als neuer Wechselcode im Block 2 gespeichert. Dieser Vorgang ist im Diagramm d dargestellt.

Um sicherzustellen, daß der Wechselcode tatsächlich rich tig gespeichert wurde, wird er erneut ausgelesen und im Vergleicher mit dem in der vorangegangenen Verfahrens stufe (Diagramm d) ausgesandten Wechselcode verglichen (Diagramm e). Stimmt der Wechselcode überein, so wird durch den Vergleicher V der Inhalt des Blocks 1 wieder verändert und der ursprüngliche (Diagramm a) vorhandene Zustand eingestellt. Die Information im Feld RFB (= 3) bedeutet, daß jetzt wieder der Block 3 als erstes ausles bar ist, während der Inhalt des Blocks 2, d. h. der Wech selcode, zugriffsgeschützt ist.

Der Inhalt des Speichers S in der Stufe f unterscheidet sich von dem in der Stufe a somit hinsichtlich des In halts des Blocks 2. Dieser Inhalt ist nicht mehr ausles bar, er ist andererseits aber gegenüber dem zunächst (Diagramm a) vorliegenden Inhalt verändert. Damit wird der Wechselcode vor Auslesen geschützt. Andererseits ist auch dann, wenn es gelingen sollte, den Wechselcode trotzdem zu "knacken" sichergestellt, daß nach der näch sten Benutzung des Kraftfahrzeugs durch den dann wiederum geänderten Wechselcode ein Schutz vor einer mißbräuchli chen Benutzung des Kraftfahrzeugs erreicht ist.

Claims

1. Verfahren zum Steuern der Benutzung eines Kraftfahr zeugs mit Hilfe eines aus zwei Teilen bestehenden Co designals, das in einem vom Benutzer getragenen Code speicher enthalten ist, mit einem im Kraftfahrzeug enthaltenen Codevergleicher, in den das Codesignal eingegeben wird und der bei Übereinstimmung mit einem Referenz-Codesignal die Benutzung freigibt, dadurch gekennzeichnet, daß der Codespeicher eine Zugangskontrolleinrichtung besitzt, die (s. Ausfüh rungsbeispiel) vom Codevergleicher aus steuerbar ist und die nur jeweils ein Teil-Codesignal für einen Auslesevorgang freigibt und daß diese Freigabe nur dann vorgenommen wird, wenn das zuerst ausgelesene Teil-Codesignal mit dem entsprechenden Referenz-Teil- Codesignal übereinstimmt.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß das zuerst ausgelesene Teil-Codesignal speicher spezifisch individualisiert ist und nicht verändert wird.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekenn zeichnet, daß das zweite Teil-Codesignal bei jeder Benutzung des Kraftfahrzeugs verändert wird.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß das zweite Teil-Codesignal während einer vorange gangenen Benutzung des Kraftfahrzeugs eingeschrieben wird.

5. Verfahren nach Anspruch 3 oder 4, dadurch gekenn zeichnet, daß das zweite Teil-Codesignal nach dem Einschreiben erneut ausgelesen wird und daß bei Über einstimmung mit dem eingeschriebenen Teil-Codesignal durch die Zugangskontrolleinrichtung das erste Teil- Codesignal allein zum Lesen freigegeben wird.