DE4418069C1 - Sicherungseinrichtung mit elektronisch codierter Zugangsberechtigung für ein Fahrzeug - Google Patents

Description

Die Erfindung bezieht sich auf eine Sicherungseinrichtung mit elektronisch codierter Zugangsberechtigung für ein Fahrzeug, das mehrere für den Betrieb des Fahrzeugs unerläßliche Geräte­ einheiten besitzt, nach dem Oberbegriff des Patentanspruches 1.

Sicherungseinrichtungen, bei denen vor jedem Fahrzeugstart zu­ nächst die Zugangsberechtigung durch Senden einer Benutzercode­ information von einer benutzerseitigen Einheit zum Fahrzeug und Auswerten dieser Information im Fahrzeug geprüft wird, sind in Form sogenannter elektronischer Wegfahrsperren bekannt. Gegen­ über ebenfalls gebräuchlichen Sicherungseinrichtungen mit uni­ direktionaler Informationsübertragung nur vom benutzerseitigen zum fahrzeugseitigen Systemteil sowie auch gegenüber bestimmten andersartigen Einrichtungen mit bidirektionalem Informations­ austausch zwischen benutzerseitigem und fahrzeugseitigem Sy­ stemteil, die deterministisch und/oder mit einer im Fahrzeug gespeicherten geheimen Information arbeiten, hat die hier be­ trachtete Art von Sicherungseinrichtung den Vorteil, daß die jeweils von der benutzerseitigen Einheit gesendete Benutzer­ codeinformation von einer zuvor vom Fahrzeug gesendeten Zu­ fallszahlinformation abhängt. Diese Unvorhersagbarkeit der nächsten gesendeten Codeinformation macht es einem Unberechtig­ ten unmöglich, das Fahrzeug nach Abhören einer oder mehrerer gesendeter Codeinformationen bzw. Informationsaustauschvorgänge anschließend in einfacher Weise ohne Besitz der benutzerseiti­ gen Einheit nur durch Ausnutzen der abgehörten Informationen betreiben zu können.

Eine gattungsgemäße Sicherungseinrichtung ist in der Offenle­ gungsschrift EP 0 521 547 A1 offenbart. Dort beinhaltet ein fahrzeugseitiges, zentrales Steuergerät einen Zufallscodegene­ rator, den Sender zum Senden dieser Zufallscodeinformation und die Benutzercodeauswertemittel, welche die Benutzercodeinforma­ tion von der benutzerseitigen Einheit empfangen und auf Zu­ gangsberechtigung prüfen sowie bei erkannter Zugangsberechti­ gung eine Fahrzeugbetriebsfreigabeinformation erzeugt, welche die zuvor aktivierte Wegfahrsperre aufhebt, die in bekannter Weise eine oder mehrere betriebsrelevante Geräteeinheiten des Fahrzeugs inaktiv hält.

In der Patentschrift US 5.146.215 ist eine Sicherungseinrich­ tung mit unidirektionaler Codeinformationsübertragung vom be­ nutzerseitigen Schlüssel zu einem fahrzeugseitigen Empfänger mit nachgeschalteter Steuerungseinheit bekannt. Bei dieser Si­ cherungseinrichtung kann der benutzerseitige Schlüssel in einen Programmierbetrieb geschaltet werden, in welchem er eine Pro­ grammierinformation aussendet, die fahrzeugseitig dazu führt, daß die empfangene Benutzercodeinformation in der Steuerungs­ einheit als ein zulässiger Benutzercode abgespeichert wird. Dies dient dem Zweck, auf einfache Weise einen benutzerseitigen Schlüssel für ein Fahrzeug zugangsberechtigend machen zu können oder umgekehrt eine bislang vorhandene Zugangsberechtigung sperren zu können.

Aus der Offenlegungsschrift EP 0 098 437 A2 ist eine Schlüssel- Schloß-Schließeinrichtungskombination als eine gattungsgemäße Sicherungseinrichtung bekannt, bei der die Zufallscodeinforma­ tion aus einer Zufallszahleninformation besteht. Im fahrzeug­ seitigen Schloßteil ist ein einzelner Zufallszahlengenerator angeordnet, der während eines Zugangsberechtigungsprüfvorgangs eine oder bevorzugt mehrere Zufallszahlen hintereinander er­ zeugt. Aus der einen oder den mehreren Zufallszahlen wird dann parallel im benutzerseitigen Schlüssel und im fahrzeugseitigen Schloß durch eine vorgegebene Verschlüsselungsfunktion eine verschlüsselte Information generiert, die anschließend wahlwei­ se vom Schlüssel zum Schloß oder umgekehrt gesendet wird, wo die beiden parallel erzeugten Verschlüsselungsinformationen auf Übereinstimmung verglichen werden.

Ein Schwachpunkt dieser bekannten Art von Sicherungseinrichtung mit von einem einzelnen fahrzeugseitigen Aggregat durchgeführ­ ter Zufallscodeinformationserzeugung besteht darin, daß folgen­ de Maßnahme eines Unberechtigten zu einer anschließenden uner­ wünschten Fremdnutzung des Fahrzeugs durch diesen führen kann. Der Unberechtigte hört wenigstens einmalig eine bidirektionale Datenkommunikation zwischen oder rechtmäßigen benutzerseitigen Einheit und dem Fahrzeug ab und verschafft sich zu irgendeinem späteren Zeitpunkt den Besitz des Fahrzeugs. Aus dem abgehörten Datenkommunikationsprotokoll kann er den jeweils verwendeten Zufallscode sowie die verschlüsselte Antwort hierzu als zuge­ hörige Benutzercodeinformation erkennen, ohne den Verschlüsse­ lungsalgorithmus selbst zu kennen. Nun wird das die Zufallszahl erzeugende Aggregat durch ein anderes mit ansonsten gleicher Funktion ersetzt, das lediglich anstelle des Zufallscodegenera­ tors einen Festcodespeicher enthält. Der abgehörte Zufallscode wird in das manipulierte Aggregat als Festcode eingespeichert, und für das Fahrzeug wird zukünftig ein falscher Schlüssel ver­ wendet, in den die entsprechende abgehörte Benutzercodeinforma­ tion eingespeichert ist. Auf diese Weise kann dann das Fahrzeug durch den so hergestellten elektronischen Nachschlüssel von ei­ nem Unberechtigten weiterbetrieben werden.

Der Erfindung liegt als technisches Problem die Bereitstellung einer Sicherungseinrichtung der eingangs genannten Art zugrun­ de, die eine unberechtigte Fremdnutzung des Fahrzeugs auch nach Abhören eines Zugangsberechtigungscodeaustauschs zwischen rechtmäßiger benutzerseitiger Einheit und Fahrzeug wesentlich erschwert.

Dieses Problem wird durch eine Sicherungseinrichtung mit den Merkmalen des Patentanspruchs 1 gelöst. Es wird hierzu insbe­ sondere vorgesehen, daß mehrere getrennte, unerläßliche Fahr­ zeuggeräteeinheiten einen jeweiligen Teil der gesamten Zufalls­ codeinformation erzeugen, wozu sich insbesondere teure und/oder großvolumige Einheiten, speziell solche, die nur mit großem Aufwand auszutauschen sind, eignen. Ein Ersatz der auf diese Weise auf verschiedene Fahrzeuggeräteeinheiten verteilten Zu­ fallscodeerzeugung durch einen Festcodegenerator im Anschluß an einen Abhörangriff der oben beschriebenen Art würde somit einen Ersatz aller dieser an der Zufallscodeerzeugung beteiligten Ge­ räteeinheiten bedeuten, was wiederum einen derart hohen Aufwand zur Folge hätte, daß er Versuche, das Fahrzeug zwecks unerlaub­ tem Weiterbetrieb an sich zu bringen, für Unbefugte uninteres­ sant erscheinen läßt. Ein Weiterbetrieb des Fahrzeugs unter er­ satzlosem Ausbau dieser Geräteeinheiten ist aufgrund von deren Fahrzeugbetriebsrelevanz nicht möglich.

In Ausgestaltung der Erfindung nach Anspruch 2 ist neben der verteilten Zufallscodeerzeugung auch eine in mehreren betriebs­ wichtigen Fahrzeuggeräteeinheiten parallel durchgeführte Aus­ wertung der an das Fahrzeug gesendeten Benutzercodeinformation vorgesehen, indem die entsprechenden Geräteeinheiten die zu diesem Zweck erforderlichen Decodierer und Vergleicher beinhal­ ten. Wenn hierbei eine derjenigen Geräteeinheiten mit einem De­ codierer bestückt ist, die auch einen Zufallscodeteilinforma­ tionsgenerator aufweist, so macht die Präparierung des Fahr­ zeugs für eine unberechtigte Benutzung nach einem Abhörangriff zusätzlich die Implementierung dieser Decoderfunktion in der Austauschgeräteeinheit erforderlich.

Bei einer Ausgestaltung der Erfindung nach Anspruch 3 wird die Richtigkeit der Zufallscodeinformation durch die einzelnen, zur Zufallscodeinformationserzeugung herangezogenen Geräteeinheiten verifiziert, indem diese ihre erzeugte Zufallscodeteilinforma­ tion mit dem jeweils zu ihr gehörigen Beitrag der an sie zu diesem Zweck rückübermittelten gesamten Zufallscodeinformation vergleichen.

In einer Ausgestaltung der Erfindung nach Anspruch 4 ist vorge­ sehen, daß wenigstens die mit einem Zufallscodeteilinforma­ tionsgenerator nebst entsprechendem Vergleicher bestückten Ge­ räteeinheiten auch mit der benutzercodeauswertenden Decoder- und Vergleichseinrichtung ausgerüstet sind, wobei die Ver­ gleichsergebnisse logisch UND-verknüpft werden. Das Aufheben oder Nichtaufheben der Wegfahrsperre kann in diesem Fall spezi­ fisch an das Ergebnis der jeweiligen UND-Verknüpfung in diesen Fahrzeuggeräteeinheiten gekoppelt werden.

In einer Ausgestaltung der Erfindung nach Anspruch 5 sind sämt­ liche Fahrzeuggeräteeinheiten, in denen ein Zufallscodeteilin­ formationsvergleich und/oder ein benutzercodeüberprüfender Ver­ gleich durchgeführt wird, zwecks Datenaustausch miteinander verbunden, wobei jede dieser Geräteeinheiten ihr resultierendes Vergleichsergebnis an alle übrigen dieser Geräteeinheiten sen­ det. In jeder dieser Geräteeinheiten wiederum ist eine logische UND-Verknüpfung aller dieser resultierenden Vergleichsergebnis­ se vorgesehen. Dies macht es möglich, die z. B. durch Abziehen des Zündschlüssels geschärfte Wegfahrsperre dezentral dadurch zu realisieren, daß alle diese Geräteeinheiten bezüglich ihrer eigentlichen Funktion im Fahrzeug inaktiv gehalten werden, wo­ bei jede solche Geräteeinheit nur dann in ihrer Funktion aktiv wird, wenn nicht nur für diese Geräteeinheit, sondern auch für alle anderen entsprechenden Geräteeinheiten ein positives Ver­ gleichsresultat vorliegt, wodurch dann die Wegfahrsperre auf­ grund der in allen diesen Geräteeinheiten erzeugten Fahrzeugbe­ triebsfreigabeinformation insgesamt und gleichzeitig in allen Geräteeinheiten aufgehoben wird.

Eine bevorzugte Ausführungsform der Erfindung ist in den Zeich­ nungen dargestellt und wird nachfolgend beschrieben.

Die einzige Figur zeigt ein Blockschaltbild einer Sicherungs­ einrichtung mit elektronisch codierter Zugangsberechtigung für ein Fahrzeug.

Die dargestellte Sicherheitseinrichtung mit elektronisch co­ dierter Zugangsberechtigung macht fahrzeugseitig von einer An­ zahl n von Steuergeräten (G₁, . . . , G_n), mit n größer als eins, Gebrauch, die separate, für den Fahrbetrieb unerläßliche Gerä­ teeinheiten der elektrischen Anlage des Fahrzeugs darstellen. Neben diesen für die Sicherungseinrichtung benutzten Steuerge­ räten kann das Fahrzeug selbstverständlich weitere Steuergeräte enthalten. Zur Erläuterung der Erfindung ist das willkürlich herausgegriffene i-te für die Sicherungseinrichtung verwendete Steuergerät (G_i) in seinem Schaltungsaufbau detaillierter dar­ gestellt, soweit dieser sich auf erfindungswesentliche Funktio­ nen hinsichtlich der Sicherungseinrichtung bezieht, während die Darstellung der eigentlichen Funktion dieses Steuergerätes (G_i) für den Fahrzeugbetrieb der Übersichtlichkeit halber nicht ge­ zeigt ist. Der schaltungstechnische Aufbau aller übrigen, für die Sicherungseinrichtung herangezogenen Fahrzeuggeräteeinhei­ ten (G₁, . . . , G_i-1, G_i+1, . . . , G_n) entspricht demjenigen des i-ten Steuergerätes (G_i), soweit er sich auf den sicherungsein­ richtungstechnischen Funktionsteil bezieht.

Die für die Sicherungseinrichtung herangezogenen Steuergeräte (G₁, . . . , G_n) sind über einen CAN-Bus (2) untereinander sowie mit weiteren Einheiten der Sicherungseinrichtung zwecks Infor­ mationsaustausch verbunden. Diese weiteren, an den CAN-Bus (2) angeschlossenen Einheiten sind ein fahrzeugseitiger Infrarot­ signalempfänger (5) und eine in ihrer Funktion weiter unten näher beschriebene Zufallszahlteilinformations-Verknüpfungsein­ heit (3). An die Zufallszahlteilinformations-Verknüpfungsein­ heit (3) ist andererseits ein fahrzeugseitig angeordneter In­ frarotsignalsender (4) angeschlossen.

Mit dem oben beschriebenen fahrzeugseitigen Teil der Siche­ rungseinrichtung kommuniziert bidirektional über den fahrzeug­ seitigen Sender (4) und den fahrzeugseitigen Empfänger (5) und die zugehörige Infrarotsignalübertragungsstrecke der benutzer­ seitige Teil der Sicherungseinrichtung in Form eines benutzer­ seitigen elektronischen Schlüssels (20). Der Schlüssel (20) enthält einen Codierer (21) sowie an diesen eingangsseitig an­ geschlossen einen Infrarotsignalempfänger (22) sowie ausgangs­ seitig angeschlossen einen Infrarotsignalsender (23).

Nachfolgend wird die Funktionsweise der solchermaßen aufgebau­ ten Sicherungseinrichtung anhand der Beschreibung der Funktion der einzelnen Komponenten im Detail erläutert, wobei steuerge­ räteseitig beispielhaft jeweils auf den explizit dargestellten Schaltungsaufbau des i-ten Steuergerätes (G_i) Bezug genommen wird.

Als Ausgangspunkt sei ohne Beschränkung der Allgemeinheit das abgestellte Fahrzeug gewählt, das von einem Benutzer in Betrieb gesetzt werden soll. In diesem abgestellten Zustand des Fahr­ zeugs ist eine Wegfahrsperre aktiviert, die darin besteht, daß die eigentlichen Fahrzeugfunktionen der in die Sicherungsein­ richtung einbezogenen Steuergeräte (G₁ bis G_n) deaktiviert ge­ halten sind, wobei diese Schärfung der Wegfahrsperre durch das vorangegangene Abziehen des Zündschlüssels erfolgte. Sobald der Benutzer das Fahrzeug betreiben will, wird zunächst die Siche­ rungseinrichtung durch einen entsprechenden Startimpuls akti­ viert. Dieser Startimpuls ist an die Betätigung einer zusätz­ lich am elektronischen Schlüssel (20) in nicht gezeigter Weise vorgesehenen Fahrzeugentriegelungstaste gekoppelt, mit welcher der Benutzer das mechanische Fahrzeugtürschloßsystem in her­ kömmlicher Weise ferngesteuert unter Benutzung eines berechti­ genden Entriegelungscodes entriegeln kann. Alternativ ist der Startimpuls auch anders erzeugbar, z. B. durch Betätigen einer separaten Schlüsseltaste oder automatisch durch das Einstecken des gleichzeitig als Zündschlüssel dienenden elektronischen Schlüssels (20) in das Zündschloß.

Nach Aktivierung der Sicherungseinrichtung gibt das Fahrzeug über seinen Sender (4) eine Zufallszahlinformation (Z) als Zu­ fallscodeinformation ab, die diesem von der Zufallszahlteilin­ formations-Verknüpfungseinheit (3) zugeführt wird. Zur fahr­ zeugseitigen Erzeugung dieser Zufallszahlinformation (Z) ist in jedem in die Sicherungseinrichtung einbezogenen Steuergerät (G₁ bis G_n) ein Zufallszahlgenerator (10) angeordnet, der jeweils eine Zufallszahlteilinformation (Zi; i=1, . . . , n) erzeugt. Diese Zufallszahlteilinformationen (Z1 bis Zn) werden über den CAN- Bus (2) zu der Zufallszahlteilinformations-Verknüpfungseinheit (3) übertragen. Diese verknüpft die einzelnen Zufallszahlteil­ informationen (Z1 bis Zn) zu der vom Fahrzeug gesendeten Zu­ fallszahlinformation (Z), wobei die Verknüpfung darin besteht, daß die einzelnen Teilinformationen (Z1 bis Zn), die als Dual­ zahlen dargestellt und digital übertragen werden, bitstellen­ weise aneinandergereiht werden. Damit die Verknüpfungseinheit (3) diese Zusammenstellung der gesamten Zufallszahlinformation (Z) durchführen kann, wird von jedem zufallszahlteilinforma­ tionserzeugenden Steuergerät (G₁ bis G_n) mit der Zufallszahl­ teilinformation gleichzeitig eine Absenderidentifizierungsin­ formation übermittelt, die von der Verknüpfungseinheit (3) aus­ wertbar ist.

Die Verknüpfungseinheit (3) gibt dann die gewonnene Zufalls­ zahlinformation (Z) nicht nur an den angeschlossenen Infrarot­ signalsender (4), sondern auch an die angeschlossenen Steuerge­ räte (G₁ bis G_n) ab. Letzteres dient der Ermöglichung einer Überprüfung der Richtigkeit jedes Steuergerätebeitrags zur ge­ samten Zufallszahlinformation (Z). Hierzu besitzt jedes Steu­ ergerät (G₁ bis G_n) einen Zwischenspeicher (12), in welchem die von der Verknüpfungseinheit (3) gelieferte Zufallszahlinforma­ tion (Z) zwischenspeicherbar ist, sowie einen nachgeschalteten Vergleicher (11), dem neben dieser gesamten Zufallszahlinforma­ tion (Z) die von dem entsprechenden Steuergerät (G_i) zuvor er­ zeugte Zufallszahlteilinformation (Zi) eingangsseitig zugeführt wird. Der Vergleicher (11) ist steuergerätespezifisch so einge­ richtet, daß er den zu seinem jeweiligen Steuergerät (G_i) gehö­ rigen Teilbeitrag der rückübertragenen gesamten Zufallszahlin­ formation (Z) erkennt und mit der zuvor im zugehörigen Steuer­ gerät erzeugten Zufallszahlteilinformation (Zi) vergleicht. Das Ausgangssignal (V1) dieses Vergleichers (11) wird einem UND- Gatter (16) zugeführt, das eine weiter unten näher beschriebene logische UND-Verknüpfung durchführt, um eine jeweilige Ver­ gleichsergebnisinformation (Ii; i=1, . . . , n) zu erzeugen. Es sei hier bereits angemerkt, daß nur im Fall eines positiven Ver­ gleichsergebnisses im Vergleicher (11), d. h. einer Übereinstim­ mung der im Steuergerät (G_i) erzeugten Zufallszahlteilinforma­ tion (Zi) und des zugehörigen Beitrags der rückgemeldeten Ge­ samtzufallszahlinformation (Z), ein auf hohem Pegel, d. h. H-Pe­ gel, liegendes Vergleicherausgangssignal (V1) generiert wird und daß dieses H-Pegelsignal Voraussetzung dafür ist, daß auch das nachfolgende UND-Gatter (16) eine entsprechende Vergleichs­ ergebnisinformation (Ii) auf H-Pegel erzeugt, die wiederum eine Voraussetzung zum Aufheben der Wegfahrsperre darstellt.

Im elektronischen Schlüssel (20) wird eine vom Fahrzeug gesen­ dete Zufallszahlinformation (Z′′) vom Empfänger (22) empfangen und an den Codierer (21) weitergeleitet. Dieser Codierer (21) enthält mit seinem in ihm abgelegten Codierungsalgorithmus die geheime Information der Sicherungseinrichtung. Durch diesen Co­ dierungsalgorithmus wird aus der empfangenen Zufallszahlinfor­ mation (Z′′) eine Benutzercodeinformation (C′′) erzeugt, welche die Zufallszahlinformation (Z′′) in verschlüsselter Form sowie zusätzliche Codeinformationen, z. B. über die Identität des elektronischen Schlüssels (20), beinhaltet. Diese Benutzercode­ information (Z′′) wird vom Codierer (21) an den Sender (23) des elektronischen Schlüssels (20) abgegeben und von diesem an das Fahrzeug gesendet.

Eine vom Fahrzeug über dessen Empfänger (5) empfangene Benut­ zercodeinformation (C′) wird von letzterem auf den CAN-Bus (2) gegeben, von wo aus sie zu den einzelnen, in die Sicherungsein­ richtung einbezogenen Steuergeräten (G₁ bis G_n) gelangt. Dort wird die Benutzercodeinformation (C′) einem in jedem dieser Steuergeräte (G₁ bis G_n) vorgesehenen Decodierer (13) zugeführt, der aus dieser Eingangsinformation (C′) die verschlüsselten In­ formationen rückgewinnt. Dabei prüft er zunächst den Schlüssel­ identifikationscodeanteil und stellt so sicher, daß das zuge­ führte Codesignal von einem berechtigten Schlüssel (20) erzeugt wurde. Wenn er dies erkannt hat, extrahiert er des weiteren aus der Benutzercodeinformation (C′) die darin enthaltene Zufalls­ zahlinformation (Z′) und gibt diese an einen nachgeschalteten weiteren Vergleicher (15) des jeweiligen Steuergerätes ab. Die­ sem Vergleicher (15) wird außerdem die zuvor vom Fahrzeug ge­ sendete und gleichzeitig von der Verknüpfungseinheit (3) an die Steuergeräte (G₁ bis G_n) rückübertragene und dort im jeweiligen Speicher (12) zwischengespeicherte Zufallszahlinformation (Z) zugeführt. Durch Vergleich dieser beiden Eingangsinformationen (Z, Z′) prüft der Vergleicher (15), ob die vom elektronischen Schlüssel (20) gesendete und vom Decodierer (13) decodierte Zu­ fallszahlinformation (Z′) tatsächlich derjenigen entspricht, die sich aus der Codierung der vom Fahrzeug gesendeten Zufalls­ zahlinformation (Z) im Codierer (21) des berechtigten elektro­ nischen Schlüssels (20) ergibt. Das Vergleichsergebnis ist als Ausgangssignal (V2) dem zweiten Eingang des UND-Gatters (16) zugeführt. Das Ausgangssignal (Ii) des jeweiligen UND-Gatters (16) eines jeden Steuergerätes (G_i) befindet sich folglich nur dann auf H-Pegel, wenn beide Vergleicherausgangssignale (V1, V2) auf H-Pegel liegen, d. h. wenn beide Vergleichsresultate Übereinstimmung der Eingangsinformationen signalisieren. Das Ausgangssignal (Ii) dieses UND-Gatters (16) repräsentiert hier­ bei je nach Pegelzustand eine zunächst auf das jeweilige Steu­ ergerät (G_i) beschränkte Information über das Vorliegen oder Nichtvorliegen einer berechtigten Fahrzeugnutzungsanforderung.

Um aus diesen steuergerätespezifischen Zugangsberechtigungsin­ formationen (I1, . . . , In) eine zum Aufheben oder Nichtaufheben der Wegfahrsperre insgesamt führende Fahrzeugbetriebsfreigabe­ information (B) zu bilden, die in jedem der in die Wegfahrsper­ re und damit in die Sicherungseinrichtung einbezogenen Steuer­ geräte (G₁ bis G_n) zur Verfügung steht, wird das jeweilige Aus­ gangssignal (Ii) des UND-Gatters (16) über eine Sendereinheit (25) auf den CAN-Bus (2) gegeben und von dort zu den übrigen Steuergeräten übertragen. Alle diese gerätespezifischen Ver­ gleichsergebnisinformationen (I1 bis In) sind in jedem Steuer­ gerät (G₁ bis G_n) einer in der Figur im Steuergerät (G_i) ge­ strichelt umrahmten UND-Verknüpfungsstufe (24) zugeführt, wobei zunächst die Informationen (Ij; j ungleich i) der anderen Steu­ ergeräte (Gj) in einer ersten UND-Verknüpfungseinheit (14) lo­ gisch verknüpft werden, deren Ausgangssignal (Ui) einem Eingang eines nachfolgenden UND-Gatters (17) zugeführt ist, dessen an­ derem Eingang die Information (Ii) desselben Steuergerätes (G_i) zugeführt ist. Das nachgeschaltete UND-Gatter (17) verknüpft dann diese beiden Eingangssignale zur Bereitstellung der Fahr­ zeugbetriebsfreigabeinformation (B), die in jedem dieser Steu­ ergeräte (G₁ bis G_n) in gleicher Weise durch die logische UND- Verknüpfung aller gerätespezifischen Vergleichsergebnisinforma­ tionen (I1 bis In) erzeugt wird und damit in jedem Steuergerät (G₁ bis G_n) in identischer Form vorliegt.

Die Aufhebung der Wegfahrsperre besteht nun darin, daß in jedem in die Sicherungseinrichtung einbezogenen Steuergerät (G₁ bis G_n) die Sperrung seiner eigentlichen Fahrzeugbetriebsfunktion aufgehoben wird, wenn das Fahrzeugbetriebsfreigabesignal (B) auf H-Pegel liegt, d. h. wenn in sämtlichen dieser Steuergeräte (G₁ bis G_n) sowohl eine fehlerfreie Bildung der gesamten Zu­ fallszahlinformation (Z) aus den einzelnen Beiträgen (Zi) der einbezogenen Steuergeräte (G_i) als auch eine fehlerfreie Codie­ rung und Decodierung dieser gesendeten Zufallszahlinformation, welche auf das Vorhandensein eines berechtigenden elektroni­ schen Schlüssels (20) schließen läßt, erkannt wurde. Die auf­ grund einer korrekt erkannten Zugangsberechtigung bewirkte Auf­ hebung der Wegfahrsperre erfolgt durch das Fahrzeugbetriebs­ freigabesignal (B) auf H-Pegel in jedem Steuergerät (G₁ bis G_n) separat, jedoch in allen diesen Steuergeräten (G₁ bis G_n) gleichzeitig, da es in allen Steuergeräten (G₁ bis G_n) in iden­ tischer Weise erzeugt wird. Wenn hingegen in einem oder mehre­ ren der in die Sicherungseinrichtung einbezogenen Steuergeräte (G₁ bis G_n) ein negatives Vergleichsergebnis (V1) und/oder (V2) und damit ein unstatthafter Fahrzeuginbetriebnahmeversuch er­ kannt wird, wird diese Information als gerätespezifisches Ver­ gleichsergebnissignal (Ii) auf niedrigem, d. h. L-Pegel, an alle anderen Steuergeräte weitergeleitet, und das Fahrzeugbetriebs­ freigabesignal (B) nimmt in allen diesen Steuergeräten (G₁ bis G_n) L-Pegel ein, was bedeutet, daß alle Steuergeräte (G₁ bis G_n) bezüglich ihrer eigentlichen Fahrzeugbetriebsfunktion inak­ tiv bleiben, so daß die Wegfahrsperre vollständig aufrechter­ halten wird.

Ersichtlich erfordert daher eine Präparation des Fahrzeuges durch einen Unberechtigten, der einen einmaligen Datencodeaus­ tausch zwischen Fahrzeug und elektronischem Schlüssel (20) ab­ gehört hat, zur Erzielung einer Fahrbereitschaft desselben mit diesem abgehörten Protokoll den Austausch sämtlicher in die Sicherungseinrichtung einbezogener Steuergeräte (G₁ bis G_n). Denn wenn auch nur eines dieser Steuergeräte nicht ausgetauscht würde, würde jedenfalls dieses den Manipulationsversuch mittels seiner internen Vergleiche erkennen und durch entsprechend wei­ ter aufrechterhaltene Sperrung seiner eigentlichen Fahrzeugbe­ triebsfunktion die Wegfahrsperrfunktion für das Fahrzeug weiter aufrechterhalten. So würde aufgrund der über alle diese Steuer­ geräte (G₁ bis G_n) verteilt erfolgenden Erzeugung der Zufalls­ zahlinformation (Z) ein nicht ausgetauschtes Steuergerät bei­ spielsweise sofort den Ersatz der Zufallszahlteilinformations- Verknüpfungseinheit (3) durch eine Festcodeeinheit, in der eine einmal abgehörte Zufallszahlinformation abgespeichert wurde, dadurch erkennen, daß, falls eine solche Festcodeeinheit über­ haupt eine Zufallszahlinformationsrückmeldung besitzt, deren zu diesem Steuergerät gehöriger Teilinformationsbeitrag jedenfalls nicht mehr mit der vom Zufallszahlgenerator (10) dieses Steuer­ gerätes erzeugten Teilinformation übereinstimmt. Außerdem müß­ ten alle Austauschsteuergeräte mit dem oben beschriebenen sicherheitseinrichtungsbezogenen Teil des Schaltungsaufbaus versehen sein, da ansonsten ein nicht ausgetauschtes Steuerge­ rät das Fehlen der betreffenden Vergleichsergebnisinformationen von den anderen Steuergeräten erkennen würde. Mithin ist es für einen Unberechtigten zum Zwecke eines Weiterbetriebs des Fahr­ zeuges mit einem abgehörten Sende- und Empfangsprotokoll zwi­ schen elektronischem Schlüssel und Fahrzeug erforderlich, sämt­ liche in die Sicherungseinrichtung einbezogenen Steuergeräte auszutauschen. Letztere sind jedoch so ausgewählt, daß ihr Aus­ tausch insgesamt einen so hohen Manipulations-, Zeit- und Ko­ stenaufwand bedeutet, daß er uninteressant wird, wodurch das Fahrzeug vor unberechtigter Fremdnutzung sehr zuverlässig ge­ schützt ist.

Aus der Beschreibung des obigen Ausführungsbeispiels wird er­ sichtlich, daß der Fachmann weitere Ausführungsformen im Rahmen der durch die beigefügten Patentansprüche festgelegten Erfin­ dung vorzunehmen vermag. So sind selbstverständlich anstelle der Zufallszahlinformation auch andere auf Zufälligkeit beru­ hende Codeinformationen verwendbar. Selbstverständlich sind auch anstelle des beschriebenen asymmetrischen Codierablaufs, bei dem fahrzeugseitig eine Zufallszahl erzeugt, auf den Schlüssel übertragen, dort codiert und zum Fahrzeug zurücküber­ tragen und im Fahrzeug decodiert und mit der ausgegebenen Zu­ fallszahl verifiziert wird, andere Codierverfahren möglich. So kann beispielsweise auch ein symmetrischer Codierablauf gewählt werden, bei dem die Codierung einer vom Fahrzeug generierten Zufallszahl sowohl fahrzeug- als auch schlüsselseitig erfolgt und beide Codes fahrzeugseitig verifiziert werden. Des weiteren ist es möglich, in einem Teil der Steuergeräte nur das Verifi­ zieren der Richtigkeit der Codierung und Decodierung der Zu­ fallszahlinformation und nicht zusätzlich die Erzeugung einer eigenen gerätespezifischen Zufallszahl nebst entsprechendem Vergleich vorzusehen. In derartigen Steuergeräten entfallen dann der Zufallsgenerator (10), der zufallszahlteilinforma­ tionsvergleichende Vergleicher (11) und das anschließende UND- Gatter (16), und das Ausgangssignal (V2) des übrigbleibenden Vergleichers (15) wirkt direkt als gerätespezifisches Ver­ gleichsergebnissignal (Ii), wobei dieses Signal dann direkt dem UND-Gatter (17) und der Sendereinheit (25) zugeführt wird. Ana­ log ist es möglich, in einigen der in die Sicherungseinrichtung einbezogenen Steuergeräte nur die Verifikation der Richtigkeit des spezifischen Zufallszahlbeitrages ohne Verifizieren der Richtigkeit der vom elektronischen Schlüssel kommenden Zufalls­ zahlinformation vorzusehen, wozu in diesen Geräten unter Weg­ fall des Decoders (13) und des diesem nachgeordneten Verglei­ chers (15) sowie des wiederum an diesen anschließenden UND- Gatters (16) das Ausgangssignal (V1) des übrigbleibenden Ver­ gleichers (11) als gerätespezifisches Vergleichsergebnissignal (Ii) direkt der Sendereinheit (25) und dem nachgeordneten UND- Gatter (17) der UND- Verknüpfungsstufe (24) zugeführt wird. Des weiteren ist es - falls gewünscht - möglich, die gerätespezifi­ schen Vergleichsergebnisinformationen (I1 bis In) in einer einzigen, zentralen UND-Verknüpfungsstufe, die sich dann als eigene Einheit außerhalb der Steuergeräte befindet, zu verknüp­ fen und das erhaltene Resultat, d. h. die Fahrzeugbetriebsfrei­ gabeinformation (B), jeweils wieder den Steuergeräten zuzufüh­ ren. Das analoge Vorgehen ist auch bezüglich der Verifikation der vom elektronischen Schlüssel kommenden Zufallszahlinforma­ tion möglich, indem der Decoder samt anschließendem Vergleicher als außerhalb der Steuergeräte gelegene, zentrale Bauteile an­ geordnet werden, wobei dem Decoder eingangsseitig das Signal vom fahrzeugseitigen Empfänger (5) zugeführt und das Decoder­ ausgangssignal wiederum über den CAN-Bus den einzelnen Steuer­ geräten zugeleitet wird. Anstelle der beschriebenen Verwendung von Steuergeräten der fahrzeugelektrischen Anlage können selbstverständlich auch andere fahrbetriebswichtige Fahrzeug­ aggregate zur Bereitstellung der entsprechenden Funktion inner­ halb der Sicherungseinrichtung herangezogen werden. Selbstver­ ständlich können anstelle der beschriebenen bidirektionalen Infrarotübertragungsstrecke auch für eine der beiden oder für beide Strecken andere Übertragungsmedien wie z. B. Funk oder Induktiv oder Ultraschall verwendet werden. Ebenso können anstelle des beschriebenen CAN-Bussystems auch andere Bus­ systeme verwendet werden.

Allen möglichen Ausführungsformen ist stets gemeinsam, daß über mehrere Fahrzeugaggregate verteilt elektronische Einrichtungen vorhanden sind, die nur gemeinsam die Erzeugung einer Zufalls­ codeinformation bewerkstelligen können, welche an einen elek­ tronischen Schlüssel übertragen, in diesem gemäß dem verwende­ ten Codierungsalgorithmus codiert und wieder zum Fahrzeug zu­ rückübertragen sowie dort decodiert wird, um die Benutzerauten­ tifikation für das Fahrzeug mit hohem Schutz gegen unberechtig­ te Fremdnutzung zu ermöglichen.

Claims (5)

1. Sicherungseinrichtung mit elektronisch codierter Zugangsbe­ rechtigung für ein Fahrzeug, das mehrere fahrzeugbetriebsrele­ vante Geräteeinheiten besitzt, mit

• - einem fahrzeugseitigen Sender (4) zum Senden einer fahr­ zeugseitig erzeugbaren Zufallscodeinformation (Z),
• - einer benutzerseitigen Einheit (20) zum Empfangen einer gesendeten Zufallscodeinformation, zum Erzeugen einer für die empfangene Zufallscodeinformation spezifischen Benut­ zercodeinformation sowie zum Senden der Benutzercodeinfor­ mation und
• - fahrzeugseitigen Benutzercodeauswertemitteln (5, 13, 15) zum Empfangen einer Benutzercodeinformation (C′), zum Ex­ trahieren der in der empfangenen Benutzercodeinformation enthaltenen Zufallscodeinformation (Z′) und Vergleichen derselben mit der zugehörigen fahrzeugseitig erzeugten Zu­ fallscodeinformation (Z) sowie zum Erzeugen einer fahr­ zeugbetriebsfreigebenden Information (B) nur bei positivem Vergleichsresultat (V2),
  dadurch gekennzeichnet, daß
• - die fahrzeugseitig erzeugbare Zufallscodeinformation (Z) aus mehreren Teilinformationen (Z1, . . . , Zn; n größer 1) besteht, die getrennt durch jeweils einen Zufallscodeteil­ informationsgenerator (10) in zugehörigen von den fahr­ zeugbetriebsrelevanten Geräteeinheiten (G_ib i=1, . . . , n) er­ zeugbar sind, und
• - eine Zufallscodeteilinformations-Verknüpfungseinheit (3) vorgesehen ist, welche eingangsseitig mit den zufallcode­ teilinformationserzeugenden Geräteeinheiten sowie aus­ gangsseitig mit dem fahrzeugseitigen Sender (4) gekoppelt ist und die in den angeschlossenen Geräteeinheiten erzeug­ ten Zufallscodeteilinformationen (Z1, . . . , Zn) in vorgege­ bener Weise zur Zufallscodeinformation (Z) verknüpft.

2. Sicherungseinrichtung nach Anspruch 1, weiter dadurch gekennzeichnet, daß

• - die fahrzeugseitigen Benutzercodeauswertemittel mehrere gleichartige Decodierer (13) zum Extrahieren der in einer Benutzercodeinformation (C′) enthaltenen Zufallscodeinfor­ mation (Z′) beinhalten, von denen sich jeweils einer in einer fahrzeugbetriebsrelevanten Geräteeinheit (G₁, . . . , G_n) befindet,
• - die Zufallscodeinformation (Z) von der Zufallscodeteilin­ formations-Verknüpfungseinheit (3) zu den mit einem Deco­ dierer bestückten Geräteeinheiten übertragbar ist und
• - die mit einem Decodierer bestückten Geräteeinheiten je­ weils einen Vergleicher (15) zum Vergleichen der von der Zufallscodeteilinformations-Verknüpfungseinheit übertrage­ nen Zufallscodeinformation (Z) mit der durch den Decodie­ rer gewonnenen Zufallscodeinformation (Z′) beinhalten, wo­ bei die Erzeugung der fahrzeugbetriebsfreigebenden Infor­ mation (B) nur bei positivem Vergleichsergebnis (V2) in allen diesen Geräteeinheiten erfolgt.

3. Sicherungseinrichtung nach Anspruch 1 oder 2, weiter dadurch gekennzeichnet, daß

• - die Zufallscodeinformation (Z) von der Zufallscodeteilin­ formations-Verknüpfungseinheit (3) zu den mit den Zufalls­ codeteilinformationsgeneratoren (10) bestückten betriebs­ relevanten Geräteeinheiten (G₁, . . . , G_n) übertragbar ist und
• - jede mit einem Zufallscodeteilinformationsgenerator be­ stückte Geräteeinheit einen Vergleicher (11) zum Verglei­ chen der in dieser Geräteeinheit erzeugten Zufallscode­ teilinformation (Z1, . . . , Zn) mit der aus der übertragenen Zufallscodeinformation (Z) als zu dieser Geräteeinheit ge­ hörig erkannten Zufallscodeteilinformation aufweist, wobei die Erzeugung der fahrzeugbetriebsfreigebenden Information (B) nur bei positivem Vergleichsergebnis (V1) in allen diesen Geräteeinheiten erfolgt.

4. Sicherungseinrichtung nach Anspruch 3, weiter dadurch gekennzeichnet, daß jede mit einem Zufallscodeteilinformationsgenerator (10) nebst zugehörigem Vergleicher (11) bestückte fahrzeugbetriebsrelevan­ te Geräteeinheit (G₁, . . . , G_n) auch mit einem Decodierer (13) nebst zugehörigem Vergleicher (15) ausgerüstet ist, wobei die Ausgänge der beiden Vergleicher mit den Eingängen einer nachge­ schalteten UND-Verknüpfungseinheit (16) verbunden sind.

5. Sicherungseinrichtung nach einem der Ansprüche 2 bis 4, weiter dadurch gekennzeichnet, daß die mit einem Zufallscodeteilinformationsgenerator (10) nebst diesbezüglichem Vergleicher (11) und/oder einem Decoder (13) nebst diesbezüglichem Vergleicher (15) bestückten fahrzeugbe­ triebsrelevanten Geräteeinheiten (G₁, . . . , G_n) untereinander zur Zuführung der Vergleichsergebnisinformation (I1, . . . , In) jeder Geräteeinheit an alle anderen Geräteeinheiten verbunden sind und jede dieser Geräteeinheiten eine UND-Verknüpfungsstufe (24) zur Erzeugung der fahrzeugbetriebsfreigebenden Information (B) beinhaltet, der eingangsseitig die Vergleichsergebnisinforma­ tionen (I1, . . . , In) aller dieser Geräteeinheiten zuführbar sind.