EP2460147B1

EP2460147B1 - Elektronische schliesseinrichtung

Info

Publication number: EP2460147B1
Application number: EP10735178.5A
Authority: EP
Inventors: William Zogg
Original assignee: Dormakaba Schweiz AG
Current assignee: Dormakaba Schweiz AG
Priority date: 2009-07-29
Filing date: 2010-07-16
Publication date: 2019-08-21
Anticipated expiration: 2030-07-16
Also published as: WO2011011897A1; CH701503A2; ES2755477T3; EP2460147A1

Description

Die Erfindung betrifft eine elektronische Schliesseinrichtung, insbesondere für Türen.
Bei solchen an sich bekannten elektronischen Schliesseinrichtungen - auch "mechatronische Schliesseinrichtungen genannt, weil elektronisch gesteuert eine Schliessmechanik betätigt wird - werden elektromechanische Kupplungs- und/oder Sperrmittel elektronisch gesteuert betätigt, um ein Schloss freizugeben oder zu sperren. Zu diesem Zweck empfängt eine elektronische Schaltung ein Signal von einem entsprechenden elektronischen Schlüssel (einem Zugangsmedium, z.B. einem Transponder). Das Signal wird durch die elektronische Schaltung ausgewertet, und abhängig von Resultat der Auswertung werden die elektromechanischen Kupplungs- und/oder Sperrmittel angesteuert, um die Freigabe oder Sperrung zu bewirken.
Je nach Anwendung stellt sich dabei die Frage der Sicherheit. Erstens sollte die Kommunikation zwischen dem elektronischen Schlüssel (Medium) und der auswertenden Elektronik genügend sicher sein, um einer Manipulation durch eine Abhörattacke oder dergleichen vorzubeugen. Zweitens muss aber auch die Kommunikation zwischen den Elementen der Schliesseinrichtung gesichert sein, damit nicht bspw. die elektromechanischen Mittel direkt und unter Umgehung der Auswerteelektronik angesteuert werden können.
Auf dem Markt sind elektronische Schliesseinrichtungen, nämlich Schliesszylinder bekannt, welche durch einen Türknauf zu betätigen sind. Dabei sind eine Sende- und Empfangseinrichtung (bspw. Antenne oder Hardwareschnittstelle für die berührungsbehaftete Kommunikation), eine Batterie und auch die Auswerteelektronik im Türknauf angeordnet. Diese an sich technisch elegante Lösung hat den gravierenden Nachteil, dass die sicherheitsrelevanten Elemente (inklusive Auswerteelektronik) im gut zugänglichen Knauf und damit im wenig sicheren Bereich angeordnet sind. Für eine Manipulation muss lediglich dort ein Steuersignal für die im Schliesszylindergehäuse angeordnete direkt auf die dafür vorgesehenen, in den Knauf hinein verlaufenden elektrischen Leitungen gegeben werden.
Unter anderem aus der DE 198 51 065 ist ein Schliesszylinder bekannt, bei welchem die Elektronik im Innenknauf angebracht ist. Solche Systeme haben jedoch den Nachteil, dass sie nicht für sogenannte Halbzylinder geeignet und bei der Montage relativ umständlich sind.
Die DE 10 2005 034 618 und die EP 1 739 631 zeigen elektronische Schliesseinrichtungen, bei denen im Türknauf nebst einer Antenne für die berührungslose Kommunikation oder einem anderen Sensor zum Empfangen von Signalen auch eine Leseelektronik vorhanden ist. An einem anderen Ort - bspw. in einer Rosette oder dem Zylindergehäuse - ist eine Auswerteelektronik vorhanden, die mit der Leseelektronik in einer Kommunikationsverbindung steht. Durch die Leseelektronik wird ein Signal des elektronischen Schlüssels ausgewertet und gegebenenfalls ein von einer Auswerteelektronik auswertbares Zugangssignal erzeugt. Die Auswerteelektronik prüft dann die Richtigkeit des Zugangssignals und bewirkt gegebenenfalls eine Freigabe oder Sperrung. Diese Lösung hat einen sicherheitsrelevanten Nachteil: Jemand, der die Zugangsberechtigung zu einem bestimmten ersten Zylinder hat, kann den Türknauf eines anderen, zweiten Zylinders gegen den Türknauf des ersten Zylinders austauschen und sich damit Zugang auch zum zweiten Zylinder verschaffen. Als Abhilfe für dieses Problem wird in der EP 1 739 631 vorgeschlagen, durch die Leseelektronik zum Zugangscode einen Knauf-spezifischen Identifikationscode addieren zu lassen. Dies ist jedoch der Modularität hinderlich, denn jeder Zylinder muss dann individuell auf den Türknauf zugeschnitten programmierbar sein; ein an sich autorisiertes Austauschen des Türknaufs durch den Benutzer selbst ist dann beispielsweise nicht möglich.
Es ist eine Aufgabe der Erfindung, eine elektronischen Schliesseinrichtung zur Verfügung zu stellen, welche Nachteile des Standes der Technik überwindet und insbesondere hohen Sicherheitsanforderungen genügt und dabei trotzdem flexibel ist.
Diese Aufgabe wird durch die Erfindung gelöst, wie sie in den Patenansprüchen definiert ist.
Gemäss einem Aspekt der Erfindung zeichnet sich eine elektronische Schliesseinrichtung durch ein erstes Modul und ein zweites Modul aus, wobei das erste Modul an einem für den Benutzer zugänglichen Ort - im Türknauf oder im Drücker zur Betätigung der Schließeinrichtung - vorhanden ist und eine Empfangseinheit zum Empfangen von Signalen von einem elektronischen Schlüssel (Zugangsmedium; und ggf. zum Senden von Signalen an das Zugangsmedium) aufweist. Die Empfangseinheit weist ein Empfangselement - Antenne oder dergleichen - zum Empfangen von Signalen vom elektronischen Schlüssel und ausserdem entsprechende Ansteuerungsmittel (im allgemeinen einen entsprechenden Prozessor, bspw. einen RFID-Chip) auf. Das zweite Modul ist in einem physisch geschützten Bereich - im Rotor des Schliesszylinders; auf jeden Fall hinter dem mechanischen Angriffsschutz - angeordnet und beinhaltet eine Auswerteeinheit zum Auswerten der Signale von der Empfangseinheit und Ansteuerungsmittel zum Ansteuern des elektromechanischen Antriebs (des Aktuators). Das bedeutet auch, dass im zweiten Modul die sequentielle Logik für das Fällen des Entscheids, ob eine Berechtigung vorliegt oder nicht, vorhanden ist. In Ausführungsformen, in denen bei erfolgreicher Authentifizierung ein entsprechendes Signal an den Benutzer geht - bspw. das Aufleuchten einer grünen LED - wird die entsprechende Information vom zweiten Modul ans erste Modul übertragen.
Im Unterschied zum Stand der Technik werden die empfangenen Signale im ersten Modul nicht im Sinne einer Entscheidung ausgewertet, sondern allenfalls höchstens übersetzt und/oder nach einem für die Empfangsmittel charakteristischen Protokoll entschlüsselt. Die ganze Entscheidungslogik ist als Teil der Auswerteelektronik im zweiten Modul angeordnet. Mit anderen Worten, die für die Freigabe vorausgesetzte Authentifizierung wird im zweiten Modul durchgeführt. Das erste Modul hat bloss die Funktion, vom elektronischen Schlüssel empfangene Signale weiterzugeben (ggf. übersetzt und auf gewünschte Art gesteuert); erst das zweite Modul interpretiert die Signale als Daten und wertet diese aus.
Das erste Modul kann also frei von jeglicher den Authentifizierungsprozess betreffender sequentieller Logik sein. Das erste Modul ist aber vorzugsweise dafür ausgerüstet, durch einen RFID-Chip oder dergleichen eine normgerechte Modulation/Demodulation auszuführen. Ganz allgemein wird durch das erste Modul eine Standardisierung und wenn nötig eine Entschlüsselung vorgenommen, so dass die je nach Norm verschieden ausgestalteten Signale in eine standardisierte Form gebracht und über eine kontaktbehaftete Verbindung ans zweite Modul weitergegeben werden.
In einem einfachen Fall - bspw. bei Verwendung des DESfire-Standards (ISO 14443-Medien) beschränkt sich Funktion der Empfangseinheit auf die normgerechte Modulation respektive Demodulation. In anderen Fällen, bspw. bei Verwendung von Mifare Classic oder Legic wird nebst der Modulation/Demodulation auch noch eine Ver- respektive Entschlüsselung des entschlüsselten Signals durch die Empfangseinheit vorgenommen.
Dadurch ist erstens eine sehr gute Kompatibilität mit bestehenden Systemen gewährleistet und zweitens kann das erste Modul zur Sicherheit des Gesamtsystems beitragen, ohne dass sich die einleitend diskutierten Sicherheitsprobleme betreffend das Auswechseln der ersten Module ergeben.
Diese Architektur hat erstens den Vorteil, dass die Modularität gewährleistet ist. Das erste Modul kann - bspw. mit dem Betätigungselement (Türknauf oder dergleichen), in dem es angeordnet ist - lösbar mit dem zweiten Modul (bspw. im Rotor des Schliesszylinders oder im Gehäuse) verbunden sein. Erste Module können ohne Weiteres, ohne Auswechseln oder Umprogrammieren des zweiten Moduls und ohne Sicherheitsrisiko gegeneinander ausgetauscht werden. Die Modularität ist in zweierlei Hinsicht gewährleistet: Einerseits können im zweiten Modul unterschiedliche wählbare Sicherheitstechnologien - in entsprechenden Sicherheitsklassen - und unterschiedliche Formfaktoren verwendet werden. Anderseits ggf. auch eine Unabhängigkeit vom gewählten Knauf mit seinen unterschiedlich wählbaren Technologien, Formen und Funktionen gegeben.
Als Empfangseinheit kann eine auf dem Markt erhältliche konventionelle Sende- und Empfangseinheit verwendet werden, beispielsweise ein RFID-Chip mit Antenne. Das für den Signalaustausch zwischen dem elektronischen Schlüssel und der Empfangseinheit verwendete Protokoll mit Verschlüsselung etc. kann ebenfalls ein Konventionelles sein (bspw. ,Mifare', die ,Legic'-Technologie etc.), und die Sicherheit der erfindungsgemässen Massnahmen hängt nicht von der Sicherheit dieses Protokolls ab. Innerhalb eines Sicherheitssystems mit einer Mehrzahl von Schliesseinrichtungen können unterschiedliche, auch proprietäre Signalaustausch-Technologien verwendet werden, und sogar die Verwendung unterschiedlicher physikalischer Kanäle ist möglich. Es kann bspw. innerhalb eines Sicherheitssystems oder in unterschiedlichen Sicherheitssystemen sowohl die RFID-Übertragung als auch die kapazitiv-resistive Kopplung zum Einsatz kommen - und trotzdem kann in jedem Fall ein typengleiches zweites Modul verwendet werden.
Das erste Modul weist nebst der Empfangseinheit (bspw. dem RFID-Chip mit Antenne) auch einen Hilfsprozessor auf. Dieser ist programmiert, um den Signalübermittlungskanal zwischen der Empfangseinheit und der Auswerteeinheit zu öffnen; das beinhaltet ein Aufwecken der Auswerteeinheit. Ergänzend oder alternativ kann der Hilfsprozessor die Empfangseinheit im Normal-Betriebszustand ansteuern, zumindest solange kein Schreib- und/oder Lesevorgang im Gange ist. Bspw. kann der Hilfsprozessor der Empfangseinheit bspw. in regelmässigen Zeitabständen "Request"-Befehle senden und diese dadurch aktivieren, nach einem in seiner Reichweite befindlichen Medium zu suchen. Während dieser Zeit muss die Auswerteeinheit nicht aktiv sein.
Der Hilfsprozessor ist außerdem programmiert, die Signal-Art auszuwerten, d.h. zu erkennen, was für ein Medium (bspw. Mifare®, ISO 14443, Legic®, etc.) gerade mit der Empfangseinheit in Kommunikationsverbindung steht. Er ist weiter auch programmiert, zu erkennen, ob sich mehrere Medien gleichzeitig im Feld befinden (Antikollision). Nur bei korrekter Medium-Art und bei einem einzigen erkannten Medium weckt er dann die bis dahin passiven Elektronikkomponenten des zweiten Moduls auf. So kann der Gesamtenergieverbrauch reduziert werden.
Der Hilfsprozessor kann ausserdem die Funktion haben, mit fast beliebigen Erweiterungen zu kommunizieren, bspw. mit einem Funkmodul für die berührungslose Kommunikation mit einer Zentrale, zusätzliche Sicherheitseinrichtungen wie einen biometrischen Sensor, eine PIN-Eingabe, etc. Der Hilfsprozessor kann bspw. in speziellen Ausführungsformen den Signalaustauschkanal zwischen dem Empfangseinheit und der Auswerteeinheit nur dann öffnen, wenn gewisse Bedingungen erfüllt sind, welche von den Erweiterungen vorgegeben werden. Der Hilfsprozessor kann ausserdem die Signalisation für den Benutzer ansteuern; und/oder er kann ein Management der Energiequelle (i.A. einer Batterie, die ggf. ebenfalls im Knauf angeordnet ist) gehören.
Der Hilfsprozessor kann wie das zweite Modul auch unabhängig von der Beschaffenheit der Empfangseinheit und von eventuellen Erweiterungen immer gleich ausgestaltet sein; d.h. er kann standardisiert sein. Er bringt nebst der vorstehend angedeuteten Flexibilität auch den wichtigen Vorteil, dass verschiedene Empfangseinheits-Technologien auch dann in einem einzigen Sicherheitssystem integrierbar sind, wenn die Ausgabesignale unterschiedlicher Empfangseinheiten in verschiedenen Formaten/Codierungen anfallen.
Weiter kann das erste Modul auch die Energiequelle (im Allgemeinen eine Batterie) für die ganze Schliesseinrichtung und/oder Signalisationsmittel (verschiedenfarbige LEDs, Summer und/oder andere Mittel) aufweisen.
Das zweite Modul beinhaltet nebst den Auswertemitteln, den Ansteuerungsmitteln und dem elektromechanischen Antrieb vorzugsweise auch den System-Zeitgeber, welcher ebenfalls sicherheitsrelevant sein kann.
Gemäss einem bevorzugten Ausführungsform beinhalten die Auswerteeinheit zwei Prozessoren: einen ersten, als Umwandungs- und Kommunikationseinheit dienenden Auswerteeinheits-Prozessor und einen zweiten, als Sicherheitseinheit dienenden Auswerteeinheits-Prozessor. Der erste Prozessor bewirkt dabei die Kommunikation mit der Empfangseinheit, die Umwandlung der von dieser kommenden Signale in verarbeitbare Daten, die Verarbeitung von vom zweiten Prozessor erhaltenen entschlüsselten Daten sowie auch die Ansteuerung und Überwachung der Ansteuerungsmittel oder direkt des elektromechanischen Antriebs. Der zweite Prozessor kann als Sicherheitschip ausgebildet sein, welcher so implementiert ist, dass gewisse Daten - bspw. ein Quellenschlüssel ("site key") - unter keinen Umständen herausgegeben werden können. Er entschlüsselt die vom ersten Prozessor empfangenen Daten und wertet sie aus, führt den Authentifizierungsprozess durch und gibt gegebenenfalls entschlüsselte Daten an den ersten Prozessor zurück.
Gemäss einer besonderen Ausführungsform kann der zweite Prozessor als Sicherheitschip im Sinne der internationalen Patentanmeldung PCT/CH 2009/000108 (Offenlegungsnummer WO 2009/121197 ) ausgebildet sein, wie er in dieser Anmeldung als "dritter integrierter Schaltkreis" bezeichnet wird. Auf diese Anmeldung und die Beschreibung der Funktionsweise des dritten Integrierten Schaltkreises, wie sei beispielsweise anhand Figur 2 beschrieben wird, wird hier ausdrücklich Bezug genommen.
In einer alternativen Ausführungsform kann die Auswerteeinheit auch nur einen Prozessor oder mehr als zwei Prozessoren aufweisen. Beispielsweise können die Funktionen des Auswerteeinheits-Prozessors und des Sicherheitschips in einem einzigen Prozessor (bzw. Chip) integriert sein.
Die Kommunikation zwischen dem ersten Modul und dem zweiten Modul erfolgt bevorzugt kontaktbehaftet, d.h. über stromleitende Einrichtungen (Kabel, Leiterbahnen von Leiterplatten/Flexprints, Stecker- und Buchsenkontakte etc.) oder eventuell optisch, und nicht über eine elektromagnetische Fernwirkung; dadurch ist die Schliesseinrichtung abhörsicher. Zwischen dem ersten Modul und dem zweiten Modul ist bevorzugt eine Steckverbindung vorhanden.
Gemäss Ausführungsformen der Erfindung weist die elektronische Schliesseinrichtung einen Beschleunigungs- Rotations- oder Orientierungssensor auf, welcher eigenständig - also ohne Berührungskontakte oder dergleichen - ermitteln kann, ob eine Türe oder ein Fensterflügel bewegt (geöffnet, geschlossen) wird, in der sich die Schliesseinrichtung befindet, oder in welcher Orientierung sie sich befindet. Auch das Beschleunigungs- bzw. Rotationssignal kann letztendlich dazu verwendet werden, den Türzustand/die Türposition zu erkennen, bspw. durch Integration des Signals.
In grösseren Anlagen - bspw. Industrie- und Gewerbebauten, öffentlichen Gebäuden, Spitälern etc. - ist die Überwachung des Zustandes von Türen erstens oft wichtig und zweitens eine emstzunehmende Herausforderung. Gemäss dem Stand der Technik werden die Türen mit Kontaktschaltern, Reed-Kontakten oder eventuell optischen Sensoren oder dergleichen überwacht. Dies bedingt einen beträchtlichen Installationsaufwand mit eigener Energiequelle oder. Verbindung zum Stromnetz. Oft ist auch die Optik oder die Zuverlässigkeit solcher Systeme nicht befriedigend.
Gemäss diesen Ausführungsformen wird also in der elektronischen Schliesseinrichtung - d.h. mindestens in Kommunikationsverbindung mit anderen Komponenten der Schliesseinrichtung - ein Beschleunigungs- Rotations- oder Orientierungssensor angebracht, und die Schliesseinrichtung weist entsprechende Auswertemittel auf oder überträgt eventuell die Signale des Beschleunigungs-Rotations- oder Orientierungssensors unverarbeitet oder nur vorverarbeitet an externe Auswertemittel. Die Energieversorgung des Sensors erfolgt im Allgemeinen ganz selbstverständlich über die Energieversorgung des Schliesssystems, auch wenn eine eigenständige Energieversorgung (Batterie) nur für den Sensor und dessen Auswertemittel nicht grundsätzlich ausgeschlossen ist.
Die Schliesseinrichtung kann darüber hinaus Mittel für die drahtlose Informationsübertragung - oder eventuell auch für die Informationsübertragung über Kabel - aufweisen, mit denen eine Zentrale selbsttätig oder auf Abruf von dieser hin entweder über Öffnungs- und Schliessprozesse oder über den ermittelten Schliesszustand informiert wird, oder über den eventuell die unverarbeiteten oder nur vorverarbeiteten Signale des Sensors zur Verarbeitung in der Zentrale übermittelt werden. Insbesondere bei Verwendung der drahtlosen Übermittlung können in an sich bekannter Art auch Relaisstationen, Verstärkermodule oder dergleichen verwendet werden, wenn die Reichweite für eine direkte Übertragung von der Schliesseinrichtung an die Zentrale nicht ausreicht. Es können gängige oder proprietäre Protokolle für die Übermittlung verwendet werden, wobei auch an den Sicherheitsstandard angepasste Verschlüsselungsmassnahmen etc. vorgesehen sein können.
Unter Umständen im Unterschied zum Auslesen des elektronischen Schlüssels - welcher meist als passiver Transponder ausgebildet sein wird - wird die Informationsübertragung von der Schliesseinrichtung an die Zentrale aktiv sein; auch dafür kann die Energiequelle der Schliesseinrichtung verwendet werden.
Ganz besonders bevorzugt ist die Verwendung von Beschleunigungssensoren. Beschleunigungssensoren sind inzwischen in stark miniaturisierter Form bspw. als mikro-elektro-mechanische Systeme (MEMS) in vergleichsweise kostengünstigen integrierten Schaltungen erhältlich, dabei jedoch zuverlässig und robust. Auch piezoelektrische Beschleunigungssensoren und andere Beschleunigungssensoren sind miniaturisiert erhältlich. Die Verwendung von Beschleunigungssensoren beruht nun auf der ebenso einfachen wie überraschenden Erkenntnis, dass beim Schliessen und auch beim Öffnen von Türen oder dergleichen ein sehr charakteristisches Beschleunigungsmuster entsteht, und zwar auch dann, wenn unterschiedliche Personen eine Tür auf unterschiedliche Art - bspw. mit oder ohne Wucht; mit halten am Drücker oder diesen loslassend, etc. - schliessen bzw. öffnen. Dieses ermöglicht eine eindeutige Bestimmung des Schliesszustandes durch Auswertung des Beschleunigungssignals. Ausserdem muss der Beschleunigungssensor im Unterschied zu gegenwärtig erhältlichen Rotationssensoren oder Orientierungssensoren (bspw. Kompassen) nicht ständig mit Energie versorgt werden.
Als Rotationssensor kommt ein Gyroskop in Frage, als Orentierungssensor ein - ebenfalls miniaturisiert erhältlicher - Kompass.
Der Sensor kann als integraler Teil der Schliesseinrichtung oder als auch nachträglich anbringbares Modul vorhanden sein ist aber - zusammen mit den Mitteln für die drahtlose Informationsübertragung - vorzugsweise (aber nicht notwendigerweise) auch dann als Teil der Schliesseinrichtung zu verstehen in dem Sinn, dass er mit den übrigen Komponenten der Schliesseinrichtung in Verbindung steht, bspw. durch eine gemeinsame Energieversorgung. Das ist von grossem Vorteil, denn der Zusatzaufwand für den Sensor und dessen Auswertung ist dann sehr klein.
Aus all diesen Gründen ermöglicht dieses Vorgehen einen starken Effizienzgewinn und massive Kosteneinsparungen sowie auch einen Gewinn an Flexibilität im Vergleich zum Vorgehen gemäss dem Stand der Technik.
Der Beschleunigungssensor und die Informationsübertragungsmittel sind ggf. vorzugsweise als Erweiterungen im ersten Modul (und/oder eventuell auch im zweiten Modul) vorhanden und werden bspw. durch den Hilfsprozessor angesteuert und kommunizieren über diesen. Der Hilfsprozessor kann optional auch die Mittel zur Auswertung der Signale vom Beschleunigungssensor enthalten.
Nachfolgend werden Ausführungsformen der Erfindung anhand von Figuren beschrieben. In den Figuren bezeichnen gleiche Bezugszeichen gleiche oder analoge Elemente. Es zeigen:

Figur 1 ein Schema einer Schliesseinrichtung gemäss der Erfindung;
Figuren 2 und 3 schematisch Schliesseinrichtungen gemäss der Erfindung; und
Figur 4 ein Schema von Komponenten gemäss Ausführungsformen der Erfindung.

Die Schliesseinrichtung gemäss Figur 1 weist ein erstes Modul 1 und ein zweites Modul 2 auf. Das erste Modul befindet sich an einem relativ gut zugänglichen Ort, bspw. im Innern eines Türknaufs.
Das erste Modul weist eine beispielsweise an sich konventionelle Empfangseinheit 4 mit RFID-Chip und Antenne A auf. Die Empfangseinheit 4 kann als Mifare Classic-Empfangseinheit, als Legic-Empfangseinheit, als Empfangseinheit für die kapazitiv-resistive Informationsübertragung (siehe bspw. WO 2007/112609 ) oder auch in anderer an sich bekannter Art oder neuartig ausgebildet sein. Die Signalübertragung zwischen einem elektronischen Schlüssel bzw. Zugangsmedium (nicht gezeichnet) und der Empfangseinheit ist nicht Gegenstand der vorliegenden Erfindung und wird hier nicht näher erläutert.
Die Empfangseinheit 4 steht in Verbindung mit einem Hilfsprozessor AUX sowie hier in einer direkten Verbindung mit der Auswerteeinheit 5 des zweiten Moduls.
Weiter weist das erste Modul auch eine Energiequelle (Batterie) BATT, eine Batterieschutzeinheit PROT und einen Spannungswandler DC/DC auf, die hier je mit dem Hilfsprozessor AUX in Verbindung stehen. Es wäre auch denkbar, dass die Batterieschutzeinheit ein autonomes System bildet, welches das Batteriemanagement (insbesondere bei mehreren Batterien) steuert. Auch Signalisationsmittel SIG - bspw. eine LED, mehrere bspw. verschiedenfarbige LEDs und/oder ein Summer sind in Kommunikationsverbindung mit dem Hilfsprozessor und werden durch diesen angesteuert.
Zusätzlich ermöglicht der Hilfsprozessor auch das Einbinden von möglichen Erweiterungen. Im dargestellten Ausführungsbeispiel sind zwei Erweiterungen EXT1 und EXT2 dargestellt. Solche Erweiterungen können beispielsweise Komminikationsmodule (GSM, Funk, etc.), Sensoren, zusätzliche Sicherheitsmodule, besipielsweise mit PIN-Eingabe, Sensormodul für biometrische Merkmale, etc. sein; das Einbinden in die Schliesseinrichtung kann unabhängig von der konkreten Beschaffenheit erfolgen.
Zwischen dem ersten Modul und dem zweiten Modul gibt es ein definiertes Interface, welches bspw. eine Steckverbindung beinhaltet. Entsprechende Kontakte sind durch die schwarzen Kreise symbolisiert. Das erste Modul kann daher entfernt und ausgetauscht werden, und/oder der die Schliesseinrichtung installierende Monteur kann zwischen einer Mehrzahl von ersten Modulen und die ersten Module beinhaltenden Gehäusen (bspw. Türknäufen), ab Stange' wählen.
Das zweite Modul 2 ist vom ersten Modul 1 aus gesehen hinter einem mechanischen Angriffsschutz, nämlich einem Bohrschutz 3 angeordnet und also mit den üblichen Sicherheitsvorkehrungen vor Angriffen geschützt. Besonders bevorzugt ist es, sofern die Schliesseinrichtung ein Schliesszylinder ist, im Rotor des Schliesszylinders angeordnet. Es weist eine Aktuatoranordnung mit einem Motor M und einer Motoransteuerung DRIV auf, die durch die Auswerteeinheit 5 aktivierbar ist. Mit STATE wird in der Figur eine optionale Zustandsüberwachung des Motors bezeichnet, die zur Funktionskontrolle desselben dient - bspw. zum erfassen der effektiven Umdrehungen - und dient als Feedback-Element der Aktuatoranordnung, zur Überwachung des elektromechanischen Antriebs.
Die Aktuatoranordnung kann in an sich bekannter Art ein Kupplungselement bewegen, welches wahlweise und je nach Schaltzustand den Rotor mit einem Abtriebselement kuppelt, den Rotor gegenüber einem Stator (Gehäuse) versperrt, und/oder einen mit dem Betätigungselement gekoppelten Teil des Rotors mit einem anderen Teil des Rotors koppelt. Durch eine Drehbewegung des Abtriebselements kann das Schloss betätigt und die Türe oder der Fensterflügel geöffnet werden, etc.
Die Auswerteeinheit weist in der dargestellten Ausführungsform einen ersten Prozessor APPL auf, der als Umwandlungs- und Kommunikationseinheit dient und die von ersten Modul her empfangenen Signale in Daten umwandelt und an den zweiten Prozessor SEC weitergibt. Der zweite Prozessor ist als Sicherheitschip ausgestaltet, der so ausgebildet ist, dass er ganz unabhängig von der Ansteuerung gewisse sicherheitsrelevante Merkmale wie einen "site key" nicht unverschlüsselt oder gar nicht herausgeben kann. Der zweite Prozessor SEC führt den Authentifizierungsprozess durch und gibt bei Stimmigkeit dem ersten Prozessor erstens den Auftrag, die Aktuatoranordnung anzusteuern und zweitens vorzugsweise auch, die Freigabe entsprechend an den Hilfsprozessor AUX zu kommunizieren, damit bei erfolgter Freigabe ein entsprechendes Signal abgegeben werden kann.
In einer Variante weist die Auswerteeinheit einen Prozessor auf, der die Funktionen des ersten Prozessors APPL und des zweiten Prozessors SEC integriert und eine Entschlüsselungsfunktion aufweist und z.B. gleichzeitig auch für die Aktivierung der Motoransteuerung DRIV ausgerüstet ist.
Auch der System-Zeitgeber CLOCK ist als sicherheitsrelevante Komponente im zweiten Modul angeordnet.
Die Stromversorgung der Komponenten des zweiten Moduls erfolgt über die Batterie BATT, die auch die Komponenten des ersten Moduls speist.
Die Funktion des Hilfsprozessor ist - nebst der Ansteuerung der peripheren Elemente wie Signalisationsmittel, Batterieschutzeinheit, Spannungswandler und ggf. der Erweiterungen - die Regelung des Datenaustauschs zwischen der Empfangseinheit 4 und der Auswerteeinheit 5. Das kann wie folgt geschehen:
Der Hilfsprozessor gibt einen Abfragebefehl ("Request-Befehl) an die Empfangseinheit ("pollen"), welche den Befehl mit dem normierten Modulationsverfahren in ein entsprechendes HF Signal umwandelt und aussendet. Ist ein Medium in Reichweite, wird es aktiviert und antwortet mit einem definierten Antwortsignal welches durch die Empfangseinheit (den RFID-Chip mit Antenne) mit dem normierten Demodulationsverfahren demoduliert und an den Hilfsprozessor weitergegeben wird. Dieser prüft ob die Antwort dem erwarteten Format entspricht. Er erkennt anhand der Antwort um welche Art von Medium es sich handelt, wobei diese Prüfung der Antwort und Erkennung der Art des Mediums auch in zwei oder mehreren Schritten erfolgen kann - bspw. bei ISO 14443 mit der Abfrage von sogenannten SAK-Daten. Erfolgen mehrere Antworten von unterschiedlichen Medien - bspw. erkannt durch unterschiedliche spezifische Identifikationscodes -, wird die Kommunikation abgebrochen, da sich zu viele Medien im Feld befinden. Ansonsten wird durch den Hilfsprozessor die Auswerteeinheit aufgeweckt, und damit das ganze System gestartet. Der Hilfsprozessor öffnet einen direkten Kommunikationskanal zwischen der Empfangseinheit und der Auswerteeinheit, über den dann die Auswerteeinheit die für die Authentifizierung benötigten Signale direkt empfängt. Dies kann über das Betätigen eines internen Schalters geschehen, d.h. physisch können die Signale durch dem Hilfsprozessor laufen. Die nach dem Aufwecken der Auswerteeinheit stattfindende Kommunikation wird durch diese gesteuert und ausgewertet.
Gemäss einer Variante wird wie vorstehend beschrieben vorgegangen, aber der Hilfsprozessor übersetzt nach dem Aufwecken der Auswerteeinheit die Datensignale in ein für die Auswerteeinheit verwertbares Format; dabei trifft er jedoch keine die Authentifizierung betreffende Entscheidung und verarbeitet vorzugsweise die Signalen ganz ohne Entscheidungslogik, gegebenenfalls mit der Ausnahme einer anfänglich vorgenommenen Erkennung des Signalformats.
Gemäss noch einer Variante, die bspw. dann sinnvoll ist, wenn die Empfangseinheit nicht auf der RFID-Technologie beruht sondern bspw. eine Tastatur ist, kann auf die Ansteuerung der Empfangseinheit ("pollen") durch den Hilfsprozessor verzichtet werden, und die Empfangseinheit weckt den Hilfsprozessor auf.
In Figuren 2 und 3 sind noch sehr schematisch unterschiedliche Ausgestaltungen der erfindungsgemässen Schliesseinrichtung gezeichnet. Eine besonders vorteilhafte Eigenschaft der Schliesseinrichtung ist, dass sie ohne Weiteres sowohl als Halbzylinder als auch als Doppelzylinder implementierbar ist. Wenn die Schliesseinrichtung ein Schliesszylinder ist, kann sie bspw. aus drei Komponenten standardisierten Komponenten aufgebaut sein: einem Türknauf mit dem ersten Modul und mit einem Stecker-Interface, einem Schliesszylinder-Rotor mit dem zweiten Modul und einem mit dem Rotor-Stecker-Interface zusammenwirkenden Steckerinterface, und einem Schliesszylinder-Stator, welcher ein normiertes Profil haben kann, bspw. das Hahnprofil (DIN18252, auch Europrofil genannt) oder das US-Profil etc. Dabei können alle drei Bauteile (bis auf die Abstimmung der axialen Abmessung von Schiesszylinder-Rotor und Schliesszylinder-Stator) unabhängig voneinander ausgewählt werden, d.h. unabhängig vom gewählten Profil und von der Konfiguration (Halbzylinder, Doppelzylinder) können die wesentlichen Teile des Schliesszylinder-Rotors mit zweitem Modul immer identisch ausgebildet und der Knauf inklusive Empfangseinheit innerhalb eines Sortiments beliebig gewählt werden. All das ist ohne Sicherheitseinbussen und mit höchstens geringem zusätzlichem Anpassungs- und Programmieraufwand nur aufgrund des erfindungsgemässen Ansatzes möglich. Je nach Ausführungsform muss die Auswerteeinheit bei einer Anpassung gar nicht umprogrammiert werden, oder es muss bei einem Wechsel der Kommunikationstechnologie bspw. lediglich das erwartete Medienformat (Mifare, DESfire etc.) der Auswerteeinheit mitgeteilt werden; diese Konfiguration kann bspw. über einen Firmewarewechsel über einen Stecker einfach erfolgen.
Figur 2 zeigt ein Schema, bei welchem die Schliesseinrichtung als Doppelzylinder mit Aussenknauf 11, Rotor 12, Stator (profiliertes Gehäuse) 13, Abtriebselement (Mitnehmer) 14 und Innenknauf 15 ausgebildet ist. Das erste Modul 1 ist im Aussenknauf angeordnet, und das zweite Modul 2 befindet sich hier als Ganzes - also inklusive Aktuator - im Rotor. Bei einer Freigabe nach erfolgter Authentifizierung kuppelt das zweite Modul 2 den Rotor, bzw. dessen fest mit dem Aussenknauf gekoppelten Komponenten, mit dem exzentrischen Abtriebselement 14, wodurch das Türschloss geöffnet werden kann. In der gezeichneten Ausführungsform ist der Innenknauf 15 über eine Permanentkupplung 16 fest mit dem Abtriebselement 14 gekoppelt, d.h. mit dem Innenknauf kann die Türe stets geöffnet werden.
In einer solchen Konfiguration kann die Batterie für die Stromversorgung beider Module auch im Innenknauf angeordnet sein. Der Aussenknauf 11 kann dann optional ebenfalls eine Batterie aufweisen, bspw. als Reserve für den Fall, dass die Batterie im Innenknauf ausfällt.
Figur 3 zeigt einen Halbzylinder mit (Aussen-)Knauf 11, Rotor 12, Stator 13 und Abtriebselement 14. Die Funktionsweise ist dieselbe wie bei der Ausführungsform gemäss Figur 2, ausser dass der Innenknauf fehlt und die Batterie im Aussenknauf angeordnet ist.
In beiden Ausführungsformen sind auch andere Anordnungen der Batterie, bspw. im Stator 13 möglich, wobei dann entsprechende Schleifkontakte zur Verfügung gestellt werden. Auch das zweite Modul kann optional im Stator hinter dem Bohrschutz 3 angeordnet sein.
Weiter kann die Schliesseinrichtung anstatt als Schliesszylinder auch in anderer Form vorliegen, bspw. in einer Anordnung mit Türdrücker. Das erste Modul kann dann an einem geeigneten Ort auf dem Türbeschlag vorliegen, und das zweite Modul - eventuell inklusive Batterien - im Gehäuse. Der im Gehäuse vorhandene Aktuator koppelt dann bei Freigabe den Türdrücker mit einem Abtriebselement; entsprechende Anordnungen mit einem sich vom Aktuator weg bewegenden Kupplungselement sind möglich und wurden andernorts schon beschrieben, beispielsweise in der WO 2004/057137 .
Anhand Figur 4 wird noch eine Ausführungsform beschrieben. Die Schliesseinrichtung weist einen Beschleunigungssensor 21 auf. Dieser kann beispielsweise ein integrierter MEMS-Sensor auf Siliziumbasis sein. Daneben sind Auswertemittel 22 vorhanden, die ein vom Beschleunigungssensor empfangenes Beschleunigungssignal auswerten und aus diesen darauf schliessen können, ob die Türe geöffnet oder geschlossen wurde. Gegebenenfalls können dazu zusätzlich noch die Daten eines optionalen Statusspeichers 23 verwertet werden, in welchem der aktuelle Status der Türe/des Fensters (offen/geschlossen) gespeichert ist. Dieser wird gegebenenfalls nach einem Öffnungs- oder Schliessvorgang aktualisiert. Eine Einrichtung für die drahtlose Kommunikation 24 ist dafür ausgerüstet, Informationen mit einer Zentrale 25 auszutauschen. Sie meldet beispielsweise eine Statusänderung proaktiv an die Zentrale 25. Es ist aber ergänzend oder alternativ auch möglich, dass die Zentrale via Kommunikationseinrichtung 24 den Statusspeicher periodisch oder in unregelmässigen Abständen nach dem Türstatus abfragt.
Folgende Varianten sind nebst vielen anderen möglich:

Die Auswertemittel 22 müssen nicht separat vorhanden sein, sondern können im Beschleunigungssensor oder einem anderen Bauteil, bspw. einem Hilfsprozessor, integriert sein.
Die Auswertemittel müssen nicht in der Schliesseinrichtung vorhanden sein, sondern können bei der Zentrale oder eventuell in einer Zwischenstation liegen; in diesem Fall werden die Signale vom Beschleunigungssensor im Wesentlichen unverarbeitet durch die Kommunikationseinrichtung 24 weitergegeben.
Auch eine Lösung, bei welcher Beschleunigungssensor und Kommunikationseinrichtung in einem einzigen Chip integriert sind, gegebenenfalls mit Auswerteeinheit, ist nicht auszuschliessen.
Falls die Schliesseinrichtung ohnehin verdrahtet ist oder in besonders sicherheitssensitiven Fällen kann auch eine nicht berührungslose Kommunikation mit der Zentrale erfolgen. Ganz besonders vorteilhaft ist es aufgrund der einfachen Montierbarkeit und der geringen Kosten jedoch, wenn der Aufwand für Extrainstallationen und eine Verdrahtung stark ins Gewicht fallen würde; in diesen Fällen ist die berührungslose Kommunikation klar bevorzugt.
Anstelle eines Beschleunigungssensors kann ein Rotationssensor (Gyroskop) oder ein Kompass verwendet werden.
Auch Kombinationen der vorstehend erwähnten Varianten sind möglich.

Der Beschleunigungssensor und die Kommunikationseinrichtung sind in die Schliesseinrichtung integriert in dem Sinn, dass sie über deren Stromversorgung gespeist werden und vorzugsweise auch physisch in ihr angeordnet sind. Bei einer - besonders vorteilhaften Ausführungsform sind der Beschleunigungssensor und die Kommunikationseinrichtung als Erweiterungen des ersten Moduls vorhanden; der Beschleunigungssensor und eventuell auch Komponenten der Kommunikationseinrichtung können physisch aber - bei ausreichenden Platzverhältnissen - auch im zweiten Modul angeordnet sein.

Claims

Elektronische Schliesseinrichtung mit einer Empfangseinheit zum Empfangen eines Berechtigungssignals von einem Zugangsmedium und einem Aktuator zum wahlweisen Koppeln oder Freigeben von gegeneinander bewegbaren Elementen der Schliesseinrichtung, wenn eine Authentifizierungsprüfung ergeben hat, dass eine Berechtigung vorliegt, und mit einem mechanischen Angriffsschutz (3) zur mechanischen Abschirmung des Aktuators, aufweisend ein erstes, vor dem mechanischen Angriffsschutz angeordnetes und die Empfangseinheit (4) aufweisendes Modul (1) sowie ein zweites, hinter dem mechanischen Angriffsschutz angeordnetes und den Aktuator aufweisendes Modul (2), wobei das zweite Modul (2) eine Auswerteeinheit (5) aufweist, wobei die Auswerteeinheit mit der Empfangseinheit (4) in Kommunikationsverbindung steht, und wobei die Auswerteeinheit zum Auswerten von der Empfangseinheit herausgegebenen Signalen und zum Durchführen eines Authentifizierungsprozesses ausgerüstet ist, derart, dass die Entscheidung über das Vorliegen der Berechtigung durch die Auswerteeinheit (5) des zweiten Moduls (2) getroffen wird, wobei das erste Modul einen Hilfsprozessor (AUX) aufweist, durch welchen die Kommunikationsverbindung zwischen der Empfangseinheit (4) und der Auswerteeinheit (5) hergestellt wird, und wobei das erste Modul in einem Knauf (11) oder Drücker zur Betätigung der Schließeinrichtung integriert ist, dadurch gekennzeichnet, dass der Hilfsprozessor (AUX) programmiert ist, die Auswerteeinheit aufzuwecken und die Auswerteeinheit nur dann aufzuwecken, wenn der Hilfsprozessor (AUX) genau ein Zugangsmedium einer korrekten Medien-Art erkennt, und dann einen direkten Signalübermittlungskanal zwischen der Empfangseinheit (4) und der Auswerteeinheit (5) zu öffnen, über welchen die Auswerteeinheit die für die Authentifizierung benötigten Signale direkt empfängt, wobei die Auswerteeinheit (5) ausgelegt ist, diese Kommunikation zwischen der Empfangseinheit (4) und der Auswerteeinheit (5) zu steuern und auszuwerten, und dass das zweite Modul in einem Rotor (12) der Schliesseinrichtung integriert ist.
Elektronische Schliesseinrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die Empfangseinrichtung (4) Mittel zur Abfrage von Berechtigungssignalen vom Zugangsmedium nach einem vorgegebenen Protokoll aufweist.
Elektronische Schliesseinrichtung nach Anspruch 2, dadurch gekennzeichnet, dass die Empfangseinrichtung einen RFID-Chip (RFID) aufweist.
Elektronische Schliesseinrichtung nach einem der vorangehenden Ansprüche, gekennzeichnet durch eine Steckverbindung zwischen dem ersten (1) und dem zweiten Modul (2).
Elektronische Schliesseinrichtung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Hilfsprozessor (AUX) Mittel zum Ansteuern einer Signalisationseinrichtung in Abhängigkeit von der Auswerteeinheit (5) empfangenden Befehlen aufweist.
Elektronische Schliesseinrichtung nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Hilfsprozessor (AUX) Mittel zum Ansteuern von Erweiterungen (EXT 1, EXT 2) aufweist.
Elektronische Schliesseinrichtung nach einem der vorangehenden Ansprüche, gekennzeichnet durch einen Beschleunigungs- Rotations- oder Orientierungssensor (21) zum Feststellen von Bewegungen oder der Orientierung der Türe oder des Fensters, in welchem die Schliesseinrichtung eingebaut ist.
Elektronische Schliesseinrichtung nach Anspruch 7, dadurch gekennzeichnet, dass der Sensor ein Beschleunigungssensor (21) ist.
Elektronische Schliesseinrichtung nach Anspruch 7 oder 8, gekennzeichnet durch eine Einrichtung für die drahtlose Kommunikation (24) zum Übermitteln einer Statusinformation an eine Zentrale (25).
Elektronische Schliesseinrichtung nach einem der Ansprüche 7-9, gekennzeichnet durch eine Auswerteeinheit (22) zum Bestimmen des Schliesszustandes der Türe oder des Fensters in Abhängigkeit von vom Beschleunigungs- Rotations- oder Orientierungssensor (21) empfangenen Signalen sowie einen Statusspeicher (23) zum Speichern des Schliesszustandes der Türe oder des Fensters.
Elektronische Schliesseinrichtung nach einem der Ansprüche 7-10, dadurch gekennzeichnet, dass der Beschleunigungs- Rotations- oder Orientierungssensor (21) als durch den Hilfsprozessor (AUX) ansteuerbare Erweiterung vorgesehen ist.