DE69822708T2

DE69822708T2 - Hochfrequenz-Diebstahlverhinderungssystem und Verfahren

Info

Publication number: DE69822708T2
Application number: DE1998622708
Authority: DE
Inventors: Christopher Edward Noblesville Peel; William Martin Sharpsville Ray; Thomas Andrew Noblesville Wright; Bruce D. Kokomo Rohn
Original assignee: Delphi Technologies Inc
Current assignee: Delphi Technologies Inc
Priority date: 1997-06-23
Filing date: 1998-05-15
Publication date: 2004-08-12
Anticipated expiration: 2018-05-16
Also published as: EP0887497B1; EP0887497A2; DE69822708D1; EP0887497A3

Description

Technisches Gebiet
Die Erfindung betrifft ein Diebstahlsicherungsverfahren und -system auf Hochfrequenzbasis und insbesondere die Sicherheit von elektronischen Modulen in Fahrzeugen.
Hintergrund der Erfindung
Tragbare Fernbedienungssender werden weithin verwendet, um ein praktisches Verfahren für das Verriegeln oder Entriegeln von Fahrzeugen und /oder für das ferngesteuerte Scharfschalten oder Deaktivieren von Fahrzeugdiebstahlsicherungen bereitzustellen. Sie werden auch verwendet, um Heim-/Betriebssicherheitssysteme und Garagentoröffner zu steuern.
Nachrichtenauthentifizierung mittels kryptographischer Techniken ist ein gutes Verfahren, um Irreführungs- und Wiedergabe-Angriffe (spoofing and playback attacks) zu verhindern. Das US-Patent 5,506,905, erteilt an Markowski et al mit dem Titel "AUTHENTICATION METHOD FOR KEY-LESS ENTRY SYSTEM" (Authentifizierungsverfahren für eine schlüssellose Zentralverriegelung), welches durch Verweis hierin aufgenommen ist, ist ein Beispiel für ein verbessertes System dieses Typs, welches sehr sichere, authentifizierte Nachrichten erzeugt und eine kurze Übertragungszeit benötigt, um die Lebensdauer der Batterie in einem persönlichen Sender auszunützen. Solch eine schlüssellose Zentralverriegelung für ein Kraftfahrzeug, wie in 1 dargestellt, umfasst eine Anzahl tragbarer Fernbedienungen oder Anhänger 10, die klein genug sind, um in einer Tasche oder an einer Schlüsselkette getragen zu werden. Jeder der Anhänger 10 weist Tasten 12 für die manuelle Auswahl gewünschter Funktionen, welche in dem Fahrzeug ausgeführt werden sollen, einen Mikroprozessor 14, der in Ansprechen auf eine Betätigung der Tasten eine Befehlsnachricht mit einem Authentifikatorcode und einem Funktionscode, welcher die gewünschte Funktion, die ausgeführt werden soll, identifiziert, formuliert, sowie einen Hochfrequenz-Sender 16 zum Übertragen der Nachricht, auf. Die Funktionen des Anhängers 10 werden von einer Miniaturbatterie 17, die eine Lebensdauer von mehreren Jahren aufweisen sollte, unterstützt. In dem Fahrzeug empfängt ein Empfänger 18 die übertragene Nachricht, wenn das Fahrzeug sich innerhalb der Übertragungsreichweite befindet, und ein Mikroprozessor 20 reagiert auf Daten in der empfangenen Nachricht, um zu bestimmen, ob der Authentifikatorcode gültig ist und, wenn dies der Fall ist, die gewünschte Funktion durchzuführen. Der Empfänger und der Mikroprozessor sind Teil eines Fernauslösers 24 (remote function actuator = RFA), welcher in Ansprechen auf die Nachricht Türen verriegelt oder entriegelt, den Kofferraum öffnet, etc.
Jeder der Mikroprozessoren 14 und 20 ist derart programmiert, dass er einen kryptographischen Algorithmus, welcher auf der Grundlage bestimmter gespeicherter und/oder übertragener Daten wie auch auf der Grundlage eines ausgewählten Funktionscodes arbeitet, ausführt, um einen Authentifikatorcode, der für jede Übertragung unterschiedlich ist, zu generieren und somit die erfolgreiche Wiedergabe einer zuvor übertragenen Nachricht zu verhindern. Der Authentifikatorcode ist ausreichend kurz, um auf wirtschaftliche Weise übertragen zu werden, aber der Generierungsvorgang weist eine Komplexität auf, die es für einen Angreifer undurchführbar gestaltet, auf Grundlage der Kenntnis zuvor übertragener Nachrichten den nächsten Code vorherzusagen. Das Verfahren für die Nachrichtenbestätigung besteht zuerst darin, die Sender-ID mit in dem Speicher des Empfängers gespeicherten IDs zu vergleichen, und dass dann, wenn eine ID-Übereinstimmung gefunden wird, der Algorithmus in dem Mikroprozessor an einer Kombination gemeinsamer geheimer Daten und übertragener Daten arbeitet, um Authentifikatorcodes zu erzeugen, und zu bestimmen, dass der Befehl gültig ist, wenn die Codes identisch sind.
Es werden zwei Mechanismen in Verbindung verwendet, um sicherzustellen, dass der Authentifikatorcode sich in einer nicht vorhersagbaren Weise ändert. Erstens arbeitet der Algorithmus auf Grundlage eines Saatcodes, der gemäß einem Regelsatz für jede Übertragung geändert wird. Auch wird mit jeder Übertragung eine Laufnummer schrittweise erhöht und ist in der Nachricht enthalten, sodass der Empfängeralgorithmus erkennt, wie viele Saatcodeänderungen auszuführen sind, um sich mit dem Sender wieder zu synchronisieren, da der Empfänger nicht notwendigerweise jede Übertragung empfängt. Zweitens wird der Authentifikatorcode als eine Funktion des Saatcodes und des Decodierschlüssels wie auch des gewünschten Funktionscodes generiert. Da für jede Übertragung der Funktionscode davon abhängt, welche Taste der Bediener wählt, wird der Generierung des Authentifikatorcodes ein weiteres Komplexitätsniveau hinzugefügt, um Versuche, ein vorhersagbares Fortschreiten des Codes zu bestimmen, zu vereiteln, wie alles in dem US-Patent 5,506,905 beschrieben.
Bei der Fertigung werden die Mikroprozessoren des Senders wie auch des Empfängers mit derselben kryptographischen Einheit ausgestattet, wodurch bei vorhandenen gemeinsamen Eingabeinformationen der selbe Authentifikator errechnet wird. Jeder Sender ist dauerhaft mit einem Decodierschlüssel, einem Ausgangssaatcode und einer ID-Nummer programmiert. Wenn ein Empfänger sich zum ersten Mal mit einem oder mehreren Sendern abgleicht, muss er diese drei Codes lernen. Dies wird erreicht, indem der Programmschalter 22 an dem Empfänger aktiviert wird und der Sender betätigt wird, um eine Programmnachricht, welche diese Codes enthält, zu senden. Üblicherweise wird der Sender in diesem Fall durch gleichzeitiges Drücken von zwei Tasten betätigt. Die Programmnachricht ist in 2 dargestellt. Sie umfasst eine Präambel, welche den Start einer Nachricht anzeigt, die Sender-ID, den Ausgangssaatcode, den Decodierschlüssel und einen CRC. Der zyklische Redudanzcode (cyclic redundancy code = CRC) wird aus allen anderen Felddaten berechnet.
Während der Verwendung wird ein normaler Befehl durch Drücken einer Taste des Senders generiert, und eine Nachricht wird in der in 3 dargestellten Form mit einer Präambel, einem Funktionscode, der Sender-ID, einer Laufnummer, einem Authentifikator und einem CRC übertragen. Wenn die normale Nachricht des Senders einige Male übertragen wird, wenn der Empfänger sich außerhalb der Reichweite befindet, verliert der Empfänger die Synchronisation mit dem Sender, kann jedoch Schritt halten, indem er die Laufnummer verwendet, um sich wieder zu synchronisieren. Wenn der Empfänger in der Abfolge um einen gegebenen Betrag wie z. B. 264 Laufnummern nacheilt, kann er sich nicht automatisch resynchronisieren. Dann ist es erforderlich, einen Resynchronisierungsbefehl, der, abgesehen davon, dass eine zufällig ausgewählte Laufnummer verwendet wird, dem normalen Befehl der 3 gleich ist, zu übertragen. Wenn der Resynchronisierungsbefehl gegeben wird, wird der Ausgangssaatcode zusammen mit der neuen Laufnummer verwendet, um den Authentifikator sowohl in dem Sender als auch in dem Empfänger zu bestimmen.
Diese Diebstahlsicherung verriegelt die Fahrzeugtüren effektiv, wenn der Benutzer die Türen verriegelt. Bleibt eine Tür jedoch unverriegelt oder verschafft sich jemand gewaltsam Zugang, sind die elektronischen Komponenten wie ein Radio, Airbag-Module oder Motorsteuergeräte einem Diebstahl ausgesetzt. Hier wird vorgeschlagen, die Diebstahlsicherung auf einzelne Module auszuweiten.
Zusammenfassung der Erfindung
Es ist daher ein Ziel der Erfindung, den Diebstahl elektronischer Module aus Fahrzeugen durch die Verwendung von sicheren Nachrichten auf Hochfrequenzbasis für die Freigabe des Modulbetriebs zu verhindern. Dieses Ziel wird mit den Merkmalen, welche in den voneinander unabhängigen Ansprüchen 1 und 7 definiert sind, erreicht.
Ein Fernauslöser (RFA) ist über ein Hochfrequenz-Signal mit einem Fernsender oder Anhänger verbunden und ist auch mit einer seriellen Datenverbindung gekoppelt. Wenn der RFA bestimmt, dass ein gültiger Authentifikator- oder Chiffrewert von dem Sender empfangen wurde, übernimmt er den Chiffrewert zusammen mit der Laufnummer zur Datenverbindung. Die elektronischen Module eines Fahrzeugs, wie z. B. ein Radio, Motorsteuergerät (power train control module = PCM) und ein Erfassungsund Diagnosemodul (sensing and diagnostic module = SDM) für Airbags sind ebenfalls mit der Datenverbindung gekoppelt und sind für eine unabhängige Auswertung der Nachricht mit dem selben Codierungseinheitstyp wie der RFA ausgestattet. Somit muss der in jedem Modul gespeicherte Saatwert mit jenem des Senders und des RFA übereinstimmen, damit das Modul den Chiffrewert bestätigt. Üblicherweise liegt eine Übereinstimmung vor, wenn aber das Modul aus einem anderen Fahrzeug gestohlen wäre, würde der Saatwert anders sein, sodass das Modul den Chiffrewert nicht bestätigen könnte und einen Fehlercode setzen würde. Der Fehlercode kann verwendet werden, um das Modul zu deaktivieren, oder um eine Warnlampe zu aktivieren. eine Warnlampe zu aktivieren.
Kurzbeschreibung der Zeichnungen
Die vorliegende Erfindung wird nunmehr beispielhaft unter Bezugnahme auf die beiliegenden Zeichnungen beschrieben, in welchen:
1 ein Blockdiagramm einer schlüssellosen Zentralverriegelung nach dem Stand der Technik ist;
2 eine Veranschaulichung eines Nachrichtenaufbaus zur Programmierung nach dem Stand der Technik ist;
3 eine Veranschaulichung eines Nachrichtenaufbaus für normale Nachrichten nach dem Stand der Technik ist;
4 ein Blockdiagramm einer Diebstahlsicherung gemäß der Erfindung ist; und
5 und 6 Flussdiagramme sind, die den Betrieb des Systems gemäß der Erfindung darstellen.
Beschreibung der bevorzugten Ausführungsform
Die nachfolgende Beschreibung betrifft ein/e Diebstahlsicherung und Verfahren auf der Grundlage des in dem vorstehend gekennzeichneten US-Patent 5,506,905 beschriebenen wechselcode-kryptographischen Algorithmus. Eine Variante dieses Algorithmus besteht darin, dass der Funktionscode nicht bei der Berechnung des Authentifikator- oder Chiffrewerts verwendet wird. Es ist einzusehen, dass die Erfindung gleicher maßen gut für Systeme, die jede Form des Algorithmus verwenden, und, was dies betrifft, auch für andere Verschlüsselungsalgorithmen zutrifft.
Unter Bezugnahme auf 4 umfasst die Diebstahlsicherung einen RFA 24 und einen Schlüsselanhängersender wie jenen von 1, sowie einen seriellen Datenbus 26, welcher mit dem RFA 24, einem PCM 28, einem Radio 30 und einem SDM 32 gekoppelt ist. Das SDM 32 ist seinerseits über eine Datenverbindung 34 mit einem Airbag-Modul 36 verbunden. Batterieenergie ist mit dem RFA, dem PCM, dem SDM und dem Radio entweder direkt oder über eine Zündungsleitung verbunden. Dort, wo keine direkte Verbindung zu entweder der Batterie oder der Zündung besteht, können Informationen über den Zündungsstatus oder darüber, ob die Batterie getrennt wurde, durch den RFA über die Datenverbindung geliefert werden. Die Module 24–32 beinhalten jeweils einen Mikroprozessor 20, der den selben Codierungseinheitstyp wie der Sender umfasst, sodass übertragene Nachrichten von jeder Einheit auf dieselbe Weise interpretiert werden können.
In Betrieb bestätigt der RFA, wenn er eine gesendete Nachricht mit einer Laufnummer und einem Authentifikator- oder Chiffrewert empfängt, dass der Chiffrewert richtig ist, und sendet ihn mit der Laufnummer über den Datenbus 26 zu dem PCM, dem Radio und dem SDM. Normalerweise bestätigt jede der letzteren Einheiten unabhängig, dass der Chiffrewert richtig ist und gibt den normalen Betrieb des jeweiligen Moduls frei. Wenn festgestellt wird, dass der Chiffrewert nicht richtig ist, würde dieses Modul deaktiviert oder eine Warnlampe leuchtet auf.
Die Flussdiagramme der 5 und 6 veranschaulichen die Arbeitsweise. Neben der Funktionsbeschreibung jedes Blocks in den Diagrammen befindet sich eine Nummer in gewinkelten Klammern <nn>, welche der Bezugsziffer des Blocks entspricht. Der Ablauf ist derselbe für das Radio und den PCM und ist in 5 dargestellt. Der Mikroprozessor 20 überprüft periodisch den Status der Zündung und der Batterieverbindung. Wenn die Zündung eingeschaltet ist <40>, und die Batterieenergie getrennt wurde <42> , wird ein Fehlercode gesetzt <44>. Als Nächstes wird bestimmt, ob der Chiffrewert und die Laufnummer empfangen wurden <46>. Die Daten werden von der Codierungseinheit ausgewertet, und wenn sie als richtig bestätigt werden <48>, werden die Saatwerte und die Laufnummer in dem Speicher des Mikroprozessors aktualisiert <50> und der Fehlercode wird entfernt <52>. Wenn die Daten nicht bestätigt werden, bleibt der Fehlercode wirksam. Der Fehlercode kann verwendet werden, um die Einheit zu deaktivieren oder eine Warnlampe zu erleuchten, um ein Problem anzuzeigen.
Die SDM- und Airbag-Module stellen einen Sonderfall dar. Da das SDM im Allgemeinen an einer Stelle installiert ist, an der es schwierig zu stehlen ist, wird es nicht durch einen Fehlercode deaktiviert, sondern dafür verwendet, um das ungeschützte Airbag-Modul zu schützen. Wenn das SDM einen richtigen Chiffrewert empfängt und bestätigt, speichert es den Chiffrewert und die Laufnummer und überträgt diese auch zu dem Airbag-Modul, wo sie gespeichert werden. Jedes Mal, wenn die Zündung aktiviert wird, werden die gespeicherten Nummern verglichen, um zu bestimmen, ob sie dieselben bleiben; ist dies nicht der Fall, wird das Airbag-Modul deaktiviert oder eine Warnlampe leuchtet auf. Darüber hinaus ist ein Aktualisieren auf neue Nummern nicht erlaubt, wenn die gespeicherten Nummern nicht übereinstimmen. Wie in 6 dargestellt [<54> .. Dann], bestimmt das SDM, ob die Laufnummer und der Chiffrewert empfangen wurden <56>, und, wenn dies der Fall ist, ob der Chiffrewert richtig ist <58>. Wenn er richtig ist, werden die Daten in dem SDM-Speicher gespeichert <60>. Danach fragt das SDM Nummern ab, welche zuvor in dem Airbag-Modul gespeichert wurden <62> und vergleicht diese mit Daten, welche zuvor in dem SDM gespeichert wurden <64>. Wenn sie übereinstimmen, wird die Aktualisierung der gespeicherten Nummern erlaubt, indem neue Daten an das Airbag-Modul zur Speicherung in dem Airbag-Speicher gesendet werden <66>. Wenn die Zündung aktiviert wird <68>, werden die zuvor in dem Airbag-Speicher gespeicherten Daten zu dem SDM übertragen und, wie in Schritt 64, mit den entsprechenden, zuvor in dem SDM gespeicherten Daten verglichen <70>. Stimmen die Daten nicht überein, wird ein Fehlercode gesetzt <72>.
Jedes Mal, wenn ein Fehlercode gesetzt wird, wird, je nach gewünschter Konstruktion, entweder das betroffene Modul deaktiviert oder eine Warnlampe leuchtet auf.
Es ist einzusehen, dass die Erfindung das Erkennen gestohlener Module gestattet, wenn versucht wird, diese in einem anderen Fahrzeug zu betreiben, wodurch ein solcher Diebstahl abgeschreckt wird. Das System erfordert eine Verbindung der Module und des RFA mit einem Datenbus (in manchen Fahrzeugen sind solche Module bereits mit einem Bus verbunden), und an den Mikroprozessoren, welche die Module steuern, müssen Softwareänderungen vorgenommen werden, um das Verfahren auszuführen.

Claims

Diebstahlsicherung für elektronische Module in einem Fahrzeug, umfassend: einen mit einer Datenverbindung gekoppelten Fernauslöser (remote function actuator = RFA); wobei der RFA eine Hochfrequenz-Verbindung mit einem tragbaren Sender aufweist und durch von dem Sender übertragene Daten, die einen Chiffrewert umfassen, aktiviert wird, um die Daten für die Datenverbindung zu übernehmen, wenn ein richtiger Chiffrewert empfangen wird; mindestens ein über die Datenverbindung mit dem RFA gekoppeltes elektronisches Modul, um die für die Datenverbindung übernommenen Daten zu empfangen und den Chiffrewert unabhängig zu bestätigen; und Mittel innerhalb eines jeden Moduls, die, wenn die Fahrzeugzündung aktiviert ist, wirksam sind, um den normalen Modulbetrieb freizugeben, wenn der Chiffrewert bestätigt wurde.
System nach Anspruch 1, wobei das Mittel innerhalb eines jeden Moduls einen Fehlercode erzeugt, wenn der von dem RFA ausgegebene Chiffrewert nicht von dem jeweiligen Modul bestätigt wurde.
System nach Anspruch 1, wobei der Sender, der RFA und die Module jeweils einen Mikroprozessor beinhalten, welcher programmiert ist, einen Wechselcodealgorithmus auszuführen, um auf der Grund lage einer Laufnummer in den übertragenen Daten und eines Saatwerts einen gültigen Chiffrewert zu bestimmen.
System nach Anspruch 3, wobei eines der Module ein Radio umfasst, und wobei: das Radio Mittel umfasst, welche den Radiobetrieh deaktivieren, wenn die Batterieenergie von dem Radio getrennt wird, und welche den Betrieb freigeben, wenn ein Chiffrewert und eine Laufnummer empfangen werden.
System nach Anspruch 1, wobei eines der Module: ein Erfassungs- und Diagnosemodul (sensing and diagnostic module = SDM) für einen Airbag umfasst, welches seinerseits über eine serielle Verbindung mit einem Airbag-Modul verbunden ist, und wobei: das SDM einen Mikroprozessor aufweist, welcher programmiert ist, um einen Chiffrewert unter Verwendung eines Wechselcodealgorithmus zu bestätigen und den bestätigten Chiffrewert zu speichern und den bestätigten Chiffrewert zu dem Airbag-Modul zu übertragen; das Airbag-Modul Mittel aufweist, welche den verifizierten Chiffrewert speichern und den verifizierten Chiffrewert zu dem SDM übertragen, wenn die Zündung aktiviert wird; und das SDM Mittel umfasst, welche einen Fehlercode setzen, wenn der in dem Airbag-Modul gespeicherte Chiffrewert nicht mit dem in dem SDM gespeicherten Chiffrewert übereinstimmt.
System nach Anspruch 1, wobei jedes Modul Mittel umfasst, welche einen Fehlercode setzen, wenn die Batterieenergie von dem Modul entfernt wird, und den Fehlercode entfernen, wenn ein gültiger Chiffrewert von dem Sender empfangen wird.
Verfahren, um Fahrzeuge mit einem Fernauslöser (RFA), welcher durch digitale Daten von einem tragbaren Funksender aktiviert wird und mit den Modulen über einen Datenbus gekoppelt ist, gegen Diebstahl elektronischer Module zu sichern, umfassend die Schritte, dass: der Sender, der RFA und die Module jeweils mit einem kryptographischen Algorithmus und mit für ein bestimmtes Fahrzeug spezifischen Saatwerten programmiert wird, um dem RFA und den Modulen zu ermöglichen, einen von dem Sender gesendeten Chiffrewert zu erkennen; ein Chiffrewert von dem Sender an den RFA gesendet wird; der Chiffrewert durch den RFA bestätigt wird und der Chiffrewert über den Datenbus an jedes Modul gesendet wird; der Chiffrewert durch jedes Modul bestätigt wird, wobei der Modulbetrieb aktiviert wird, wenn der Chiffrewert bestätigt wird, und ein Fehlercode gesetzt wird, wenn der Chiffrewert nicht bestätigt wird.
Verfahren nach Anspruch 7, umfassend die Schritte, dass: der Modulbetrieb deaktiviert wird, wenn ein Fehlercode gesetzt wird; und der Modulbetriebs freigegeben wird, wenn ein gültiger Chiffrewert empfangen wird.
Verfahren nach Anspruch 7, umfassend die Schritte, dass: in dem Modul ein Fehlercode gesetzt wird, wenn die Batterieenergie von einem Modul entfernt wird; und der Fehlercode entfernt wird, um den Modulbetrieb zu freizugeben, wenn ein gültiger Chiffrewert empfangen wird und die Batterieenergie wieder hergestellt ist.
Verfahren nach Anspruch 7, wobei eines der Module ein Erfassungs- und Diagnosemodul (SDM) für einen Airbag umfasst, welches seinerseits über eine serielle Verbindung mit einem Airbag-Modul verbunden ist, umfassend die Schritte, dass: der Chiffrewert in dem SDM bestätigt wird; der Chiffrewert in dem SDM gespeichert wird und der Chiffrewert an das Airbag-Modul gesendet wird; der Chiffrewert in dem Airbag-Modul gespeichert wird; der in dem Airbag-Modul gespeicherte Chiffrewert mit dem in dem SDM gespeicherten Wert verglichen wird, wenn die Fahrzeugzündung aktiviert wird; und ein Fehlercode gesetzt wird, wenn der in dem Airbag-Modul gespeicherte Chiffrewert nicht mit dem in dem SDM gespeicherten Chiffrewert übereinstimmt.