DE4441001A1 - Rechner zur Überwachung der Benutzung eines Kraftfahrzeugs - Google Patents

Description

Die Erfindung betrifft einen Rechner zur Überwachung der Benutzung eines eine Gruppe von Betriebsorganen, insbeson­ dere einen Motor, aufweisenden Kraftfahrzeugs, umfassend für die Steuerung des Betriebs wenigstens eines der Be­ triebsorgane, einen Prozessor, Mittel zum Lesen von tragba­ ren Kontrollmitteln und Mittel zum Empfangen von wenigstens einer Kontrollinformation von den Kontrollmitteln, um die Steuerung des betreffenden Organs durch den Prozessor zuzu­ lassen.

Die Überwachung der Benutzung eines Kraftfahrzeugs besteht darin, daß nachgeprüft wird, ob eine Person die Befugnis zum Fahren dieses Fahrzeugs hat. Diese Befugnis kann die materielle Form eines mechanischen Schlüssels haben, der die Freigabe einer Diebstahlsicherungsvorrichtung gestat­ tet; dieser Schlüssel ist jedoch leicht nachzumachen.

Es ist auch bekannt, einen elektronischen Schlüssel zu ver­ wenden. In diesem Fall gestattet eine Tastatur des Arma­ turenbretts des Fahrzeugs dem Benutzer, einen vertraulichen Code einzugeben, der nach Nachprüfung durch eine der Tasta­ tur zugeordnete elektronische Schaltung in ein Kontrollsi­ gnal umgewandelt wird, das den Betrieb einer Vorrichtung zur Steuerung eines wesentlichen Organs des Fahrzeugs zu­ läßt, und zwar beispielsweise ein Signal in Form einer Kon­ trollinformation eines Rechners, der eine Vorrichtung zum Zünden der Zündkerzen des Motors steuert. Zusätzlich zur Tastatur ist es auch bekannt, einen Chipkartenleser vorzu­ sehen, was den Schutz erhöht, da man hierbei gleichzeitig den Code und die Karte zur Verfügung haben muß. Die Kon­ trollinformation ist jedoch im allgemeinen eine einfache Polarität, die auf einem Leiter übertragen wird, so daß die Kontrollvorrichtung, die aus dem Leser und der Chipkarte besteht, leicht zu umgehen ist, da lediglich der Leiter am Ausgang zu lösen ist und hier die gewünschte Polarität an­ zulegen ist, damit der Rechner zur Steuerung des Organs des Fahrzeugs arbeiten kann.

Ziel der Erfindung ist es, jede direkte mißbräuchliche Ein­ wirkung auf den Steuerrechner unwirksam zu machen, die den Zweck hätte, die Kontrollinformation zu simulieren, die von einer einen elektronischen Schlüssel aufweisenden Vorrich­ tung zur Überwachung der Benutzung eines Kraftfahrzeugs kommt.

Zu diesem Zweck betrifft die Erfindung einen Rechner vom oben genannten Typ, der dadurch gekennzeichnet ist, daß die Empfangsmittel Entwirrungsmittel umfassen und der Prozessor so ausgelegt ist, daß er wenigstens eine Information zur Zulassung der von ihm vorgenommenen Steuerung des Organs auf die Verwirrungsmittel umfassenden Kontrollmittel über­ tragen kann, wobei die Empfangsmittel so ausgelegt sind, daß sie die zuvor durch die Kontrollmittel verwirrte Infor­ mation entwirren können und sie mit der auf die Kontroll­ mittel übertragenen Information vergleichen können, um die Steuerung des gesteuerten Organs zuzulassen.

So wird eine Schleife gebildet, die die tragbaren Kontroll­ mittel, beispielsweise eine Chipkarte, umfaßt, und, wenn diese nicht die vorgesehenen sind, entsprechen die vom Rechner zurückerhaltenen Informationen nicht den erwarteten Antwortinformationen, so daß die Benutzung des Fahrzeugs unmöglich ist. Insbesondere kann die mißbräuchliche Tren­ nung der Empfangsschaltung der Lesemittel und ihre An­ schließung an eine beliebige Polarität die erwartete ver­ wirrte Information nicht simulieren.

Vorteilhafterweise umfassen die Empfangsmittel einen Gene­ rator zur Erzeugung von Pseudozufallssequenzen.

Die Verwirrung und die Entwirrung werden gemäß diesen Se­ quenzen ausgeführt, und eine eventuelle Simulierung einer gültigen verwirrten Information ist so quasi unmöglich, und zwar auch dann, wenn die verwirrten Informationen zuvor bei zugelassenen Benutzungen beobachtet wurden.

Vorteilhafterweise sind ferner Mittel zur Speicherung der Identifizierungsdaten des Rechners vorgesehen, um sie mit zugeordneten Daten der tragbaren Kontrollmittel zu verglei­ chen.

Auf diese Weise kann man jeden der Rechner einer Herstel­ lungsserie einzeln identifizieren und beispielsweise die Identifizierungsdaten auf die Kontrollmittel übertragen, damit diese sie mit diesen selben örtlich gespeicherten Da­ ten vergleichen, um eine korrekte Verwirrung der Kontroll­ daten zuzulassen oder nicht.

Um die Schwierigkeit der Bestimmung eines dem Pseudozu­ fallssequenzengenerator dienenden Verwirrungsschlüssels durch eine Beobachtung der ausgetauschten Daten zu erhöhen, ist es vorzuziehen, daß dieser am Eingang eine Initialisie­ rungsschaltung besitzt, die so ausgelegt ist, daß sie die Ausgänge des Generators in einen bestimmten Zustand zwingt.

Zum besseren Verständnis der Erfindung dient die folgende Beschreibung der bevorzugten Ausführungsform des erfin­ dungsgemäßen Überwachungsrechners unter Bezugnahme auf die beiliegende Figur, die ein Blockschaltbild dieses Rechners zeigt.

Der Rechner 1 zur Überwachung der Benutzung eines Kraft­ fahrzeugs ist hierbei in einem Fahrzeug untergebracht, um Betriebsorgane zu steuern, und zwar insbesondere bei diesem Beispiel die Zündung der Zündkarten des Motors 40. Unter Betriebsorgan ist jedes bei der Bewegung des Fahrzeugs er­ forderliche Organ wie Motor, Lenksystem, Bremsen, zu ver­ stehen, dessen unkorrekter Betrieb oder Blockierung die Verwendung des Fahrzeugs verhindert.

Der Rechner 1 besitzt einen Prozessor 2, der die oben ge­ nannte Steuerung der Zündung des Motors 40 gewährleistet und mit einem Speicher 3 verbunden ist, der eine Zulas­ sungsinformation für die Verwendung des Fahrzeugs enthält. Ein Bus 4 verbindet den Prozessor 2 mit einem Leser 5, der so ausgelegt ist, daß er eine Chipkarte 30 aufnehmen kann und mit dieser Daten austauschen kann. Ein Bus 6 verbindet den Leser 5 mit einer Empfangsschaltung 10 des Rechners 1, von der ein Ausgang dem Prozessor 2 ein Signal 11 zur Zu­ lassung der Steuerung des Motors 40 liefert. Die Busse 4 und 6 können auch ein einziger Zweirichtungsbus sein.

Die Empfangsschaltung 10 besitzt einen Vergleicher 12 und eine Datenentwirrungseinheit 13, die einen Vergleicher 14 besitzt, im vorliegenden Fall ein logisches Exklusiv-ODER- Gatter, dessen Ausgang mit dem Vergleicher 12 verbunden ist und dessen Eingänge mit dem Bus 6 sowie mit einem Ausgang eines Generators 15 zur Erzeugung von pseudozufälligen zy­ klischen Bitsequenzen verbunden sind. Ferner ist in diesem Fall eine Schaltung 16 zur Initialisierung des Generators 15 vorgesehen, um dessen Ausgänge zwangsweise in einen Zu­ stand zu bringen, der durch eine im vorliegenden Fall vom Prozessor 2 kommende Zahl bestimmt wird. Der Generator 15 ist ein Zähler mit einer großen Anzahl Stufen, dem logi­ sche Gatter zugeordnet sind, die durch den Ausgang von man­ chen der Stufen gesteuert sind, um in einer Rückführung Si­ gnale an parallele Erzwingungseingänge von vorhergehenden Stufen anzulegen und so eine pseudozufällige Zählung zu er­ zeugen. Die Initialisierungsschaltung 16 wurde zum besseren Verständnis der Beschreibung getrennt vom Generator 15 ge­ zeichnet, besteht jedoch tatsächlich bei diesem Ausfüh­ rungsbeispiel aus den Schaltungen mit parallelem Eingang oder zur Erzwingung jeder der oben genannten Stufen sowie einer Zeitgeberschaltung, die die Aktivierung dieser Schal­ tungen mit parallelem Eingang bewirkt. Der Vergleicher 12 ist auch an seinem Eingang mit einem Speicher 17 verbunden, der eine dritte Information enthält, die der im Speicher 3 enthaltenen Zulassungsinformation zugeordnet ist.

Der Vergleicher 12 ist hier ein paralleler Vergleicher, dem ein Serien/Parallelpufferspeicher (nicht dargestellt) zum Speichern der vom Vergleicher 14 kommenden Bits vorhergeht und auf den ein das Signal 11 speichernder Kippkreis folgt. Der Vergleicher 12 könnte auch ein Serienvergleicher wie ein logisches Exklusiv-ODER-Gatter sein, auf das ein Se­ rien/Parallelspeicher zur Aufnahme des Ergebnisses des Ver­ gleichs jedes der Bits der entwirrten Information folgt, wobei das Exklusiv-ODER-Gatter 12 im Fall der Nichtüberein­ stimmung der beiden am Eingang angelegten Bits den vorüber­ gehenden Übergang seines Ausgangs auf einen Sperrzustand erzeugt, der anschließend im Speicher am Ausgang erfaßt wird, um das Signal 11 in einem Zustand zu halten oder in einen Zustand übergehen zu lassen, der die Steuerung des Motors 40 durch den Prozessor 2 sperrt.

Bei diesem Ausführungsbeispiel ist eine Einheit 20 zur Kon­ trolle der Identität des Rechners 1 vorgesehen. Die Einheit 20 besitzt einen Festspeicher 21, der ein spezifisches, dem Rechner 1 eigenes Identitätscodewort enthält, das an einen Vergleicher 22, hier ein Exklusiv-ODER-Gatter angelegt wird, dessen Eingang mit dem Bus 6 verbunden ist und dessen Ausgang in einem Kippkreis 23 gespeichert wird, der ein Si­ gnal 24 zur Identitätsvalidierung liefert. Das Signal 24 kontrolliert den Betrieb der Steuerung des Motors 40 durch den Prozessor 2, indem es im vorliegenden Fall an einen Verriegelungseingang des Generators 15 angelegt wird.

Die Chipkarte 30 besitzt eine Schaltung 31 zur Verwirrung von Daten, die einen ähnlichen Aufbau wie die Entwirrungs­ einheit 13 besitzt, und einen Speicher 32, der auch das spezifische Codewort des Speichers 21 enthält.

Aus Gründen der Anschaulichkeit sind die für die Sendung und den Empfang von Daten erforderlichen Pufferspeicher so­ wie die zugeordneten Zeitgebersynchronisierungsschaltungen nicht dargestellt. Ebenso ist das Übertragungsprotokoll zur Bestimmung beispielsweise der Lage oder der Adresse der Zielschaltung der übertragenen Daten und ihre Beschaffen­ heit, beispielsweise die Verwendung einer Markierung oder einer Zugriffsberechtigung, dem Fachmann bekannt und wird hier nicht dargelegt.

Nun wird die Arbeitsweise des Rechners 1 erläutert.

Bei Fehlen der Chipkarte 30 im Leser 5 verhindert das Si­ gnal 11 zur Zulassung der Steuerung jede Steuerung der Zün­ dung 40 durch den Prozessor 2. Bei diesem Beispiel ist nicht vorgesehen, die Einführung der Chipkarte 30 in den Leser 5 materiell zu erfassen, so daß die im Speicher 3 enthaltene Zulassungsinformation durch den Prozessor 2 zy­ klisch auf den Bus 4 übertragen wird, um eine Abfrage durchzuführen und im Fall des Vorhandenseins der Chipkarte 30 eine Antwort darauf auf dem Bus 6 zu erfassen. In diesem Fall erhält die Verwirrungsschaltung 31 der Chipkarte 30 die Zulassungsinformation und nimmt an ihr eine Umwandlung durch Verwirrung vor, bevor sie sie in verwirrter Form über den Bus 6 der Empfangsschaltung 10 zusendet.

Die Entwirrungsschaltung 13 nimmt eine zusätzliche Umwand­ lung an der verwirrten Information vor, durch die diese in eine entwirrte Information umgewandelt wird, die, wenn die Chipkarte 30 gültig ist, mit der im Speicher 17 enthaltenen dritten Information identisch ist. So kann die Empfangs­ schaltung 10 die entwirrte Information mit der vom Prozes­ sor 2 auf den Bus 4 übertragenen Zulassungsinformation über die der übertragenen Zulassungsinformation zugeordneten dritten Information vergleichen.

Die Verwendung von zwei Umwandlungen, die nicht einander entgegengesetzt sind, und von einem geheimen Zusammenhang zwischen der gesendeten Zulassungsinformation (3) und der als Antwort zurückerwarteten Information (17) gestattet es so, daß man über drei voneinander unabhängige Schlüssel verfügt, bei denen die Aufdeckung eines einzigen das Ge­ heimnis der beiden anderen unangetastet läßt. Man bemerkt, daß der Vergleich der Zulassungsinformation (3) mit der entwirrten Information hätte vorgenommen werden können, in­ dem man direkt diese beiden Informationen vergleicht, um eine Differenz zu bestimmen, die anschließend mit einer vorgesehenen gespeicherten Differenz (17) verglichen wird.

Es hätte jedoch vorgesehen sein können, eine Entwirrungsum­ wandlung vorzunehmen, die die Umkehrung von der Verwir­ rungsumwandlung ist, und in diesem Fall wäre der Speicher 17, der in Verbindung mit dem Speicher 3 den dritten Schlüssel bildet, unnötig, da der Vergleich der übertrage­ nen Information und der zurückerhaltenen Information eine einfache Suche nach Gleichheit durch Anlegen des Inhalts des Speichers 3 an den Vergleicher 12 gewesen wäre, wobei die oben genannte Differenz null wäre.

Die Initialisierungsschaltung 16 hat die Aufgabe, die pseu­ dozufällige zyklische Sequenz an einem bestimmten Punkt des Zyklus beginnen zu lassen. Dieser Punkt wird durch eine Zahl bestimmt, die von einer Verwendung der Chipkarte 30 zur anderen variabel ist. Diese Zahl, die auch die Verwir­ rungseinheit 31 initialisiert, hätte durch die Chipkarte 30 erzeugt werden können, wird jedoch hier durch den Prozessor 2 erzeugt und entspricht hier der Anzahl der Sekunden einer nicht dargestellten Zeitbasisschaltung des Rechners 1. Das hätte der Pseudozufallsgenerator 15 sein können oder ein anderer, der diese Zahl erzeugt. Diese Zahl wird von dem Prozessor 2 auf die Chipkarte 30 und auf den Eingang der Initialisierungsschaltung 16 übertragen. So variiert die verwirrte Information von einer Verwendung der Chipkarte 30 zur folgenden und macht so die Aufdeckung eines von der Verwirrungsschaltung 31 und der Entwirrungsschaltung 13 verwendeten Verwirrungs/Entwirrungs-Algorithmus oder -Schlüssels schwieriger.

Die Identitätskontrolleinheit 20 erhält über den Bus 6 das spezifische Codewort des Speichers 32 und vergleicht es mit dem des Speichers 21, um nachzuprüfen, ob der Rechner 1 zu der gewünschten Chipkarte 30 paßt. Man bemerkt, daß die relativen Stellungen der Einheit 20 und des Speichers 32 miteinander vertauscht werden könnten, da alle Kontrollele­ mente sich in einer Schleife 2, 4, 5, 30, 6, 10 befinden und jede logische Unterbrechung dieser Schleife das Signal 11 zur Zulassung der Steuerung unwirksam macht.

Es kann im übrigen vorgesehen sein, daß eine variable In­ formation in die Zulassungsinformation (3) eingeschlossen ist oder diese bildet. Dies kann ein Codewort sein, das von dem Pseudozufallsgenerator 15 oder einem anderen geliefert wird. Es kann auch eine Betriebsinformation für die Steue­ rung des von dem Prozessor 2 gesteuerten Organs 40 sein, wodurch man vermeidet, eine Zulassungsinformation speziell zu speichern, und was auch gestattet, daß man über eine va­ riable Zulassungsinformation verfügt, was die Schwierigkeit einer mißbräuchlichen Aufdeckung des Verwirrungs/Entwirrungs-Algorithmus noch erhöht. In diesem letzt­ genannten Fall könnte vorgesehen werden, die Steuerung des Motors 40 nicht durch das Signal 11 zu sperren und die Zündbefehle nach einem Durchgang durch die Kontrollschleife 4, 30, 6, 10 zu übertragen. Wenn die entwirrte Information unkorrekt ist, wäre die Steuerung der Zündung auch unkor­ rekt und würde praktisch die Benutzung des Fahrzeugs ver­ hindern.

Um die Verwendung des Fahrzeugs durch andere Chipkartenin­ haber als den Inhaber der Karte 30 zuzulassen, kann vorge­ sehen sein, daß mit der Karte 30 auf den Rechner 1 zuge­ griffen wird und dann in den Rechner 1 über Mensch-Maschi­ nen-Dateneingabemittel, wie einer mit dem Rechner 1 verbun­ denen Tastatur, die Identität (32) einer anderen Karte ge­ speichert wird, die die Verwendung des Wagens zuläßt.

Ferner können auch der einen oder der anderen Identität der Karte Daten zugeordnet werden, die die Verwendung des Fahr­ zeugs beispielsweise in ihrer Dauer oder in den Leistungen, beispielsweise durch Drosselung des Motors mit Hilfe des Prozessors 2, einschränken.

Claims (8)

1. Rechner zur Überwachung der Benutzung eines eine Gruppe von Betriebsorganen (40), insbesondere einen Motor, aufwei­ senden Kraftfahrzeugs, umfassend, für die Steuerung des Be­ triebs wenigstens eines der Betriebsorgane (40), einen Pro­ zessor (2), Mittel (5) zum Lesen von tragbaren Kontrollmit­ teln (30) und Mittel (10) zum Empfangen von wenigstens ei­ ner Kontrollinformation von den Kontrollmitteln (30), um die Steuerung des betreffenden Organs (40) durch den Pro­ zessor (2) zuzulassen, dadurch gekennzeichnet, daß die Emp­ fangsmittel (10) Entwirrungsmittel (13) umfassen und der Prozessor (2) so ausgelegt ist, daß er wenigstens eine In­ formation (3) zur Zulassung der von ihm vorgenommenen Steuerung des Organs (40) auf die Verwirrungsmittel (31) umfassenden Kontrollmittel (30) übertragen kann, wobei die Empfangsmittel (10) so ausgelegt sind, daß sie die zuvor durch die Kontrollmittel (30) verwirrte (31) Information entwirren können (13) und sie mit der auf die Kontrollmit­ tel (30) des gesteuerten Organs (40) übertragenen Informa­ tion (3) vergleichen können (12).

2. Rechner nach Anspruch 1, in dem diese Empfangsmittel (10) so ausgebildet sind (12), daß sie diese entwirrte In­ formation mit der von dem Prozessor (2) übertragenen Infor­ mation über eine der übertragenen Information (3) zugeord­ nete dritte Information (17) vergleichen können.

3. Rechner nach einem der Ansprüche 1 und 2, in dem die Empfangsmittel (10) einen Generator (15) zur Erzeugung von Pseudozufallssequenzen besitzt.

4. Rechner nach einem der Ansprüche 1 bis 3, in dem Mittel (21) zum Speichern von Identifizierungsinformationen des Rechners vorgesehen sind, um mit zugeordneten Informationen (32) der tragbaren Kontrollmittel (30) verglichen zu wer­ den.

5. Rechner nach Anspruch 1, in dem die Empfangsmittel (10) ein logisches Exklusiv-ODER-Gatter (12) zur Durchführung des Vergleichs der vom Prozessor (2) übertragenen Informa­ tion mit der entwirrten Information besitzen.

6. Rechner nach einem der Ansprüche 3 bis 5, in dem der Ge­ nerator (15) zur Erzeugung von Pseudozufallssequenzen am Eingang eine Initialisierungsschaltung (16) besitzt, die so ausgebildet ist, daß sie die Ausgänge des Generators (15) in einen bestimmten Zustand zwingt.

7. Rechner nach einem der Ansprüche 1 bis 6, der so ausge­ bildet ist, daß in die Zulassungsinformation (3) eine In­ formation zur Steuerung des gesteuerten Organs (40) einge­ schlossen ist.

8. Rechner nach einem der Ansprüche 1 bis 7, der zur Steue­ rung eines Zündorgans (40) des Motors ausgelegt ist.