JP3779731B2 - 自動車のための盗難防止装置ならびに盗難防止方法 - Google Patents

Description

本発明は請求項１と請求項５の前言部分に記載されている方式の自動車の盗難防止装置ならびに盗難防止方法に関する。
内燃エンジンの作動をトランスポンダー（transponder）の所有者の正当なアクセスに応じて制御するためには、パーソナルトランスポンダーと自動車側のインモビライザー（immobilizer）とが使用される。制御はエンジン制御装置の機能に関与することによって実行される（オットーエンジンの場合も、ディーゼルエンジンの制御の場合も同様）。このような方法と装置は公知である。
ドイツ国特許第４３２０７７６号明細書にはトランスポンダーのコード化された信号が無線でインモビライザーに送られる装置が開示されている。このトランスポンダーの識別コードがインモビライザーによって正当である（許可されるべきものである）と認識されると、そのインモビライザーからエンジン制御装置に周波数コード（またはドイツ国特許第１９５１４０７４号明細書記載のごとき許可信号）が送られ、エンジン制御装置内に保存されている周波数コードと比較される。この比較の結果に応じて、エンジンの作動が解放または鎖錠される。しかし、トランスポンダー識別コードがインモビライザーに送信される時および周波数コードがエンジン制御装置に送られる時、それらコードをなんらかの方法でキャッチする可能性がまだ存在しており、これによって自動車が正当でない者によって運転されてしまうおそれがある。
別の盗難防止装置では、そのような可能性を排除する手段がとられる。すなわち、たとえば、トランスポンダー識別コードが”盗聴された”場合でも、そのコードを使用して後から不正に自動車を運転することができないようにされる。このためには、たとえば、きわめて多種多様な可変コード法が公知となっている。
トランスポンダーとインモビライザーとの間で一定の、したがってコピー可能な持続的コードの交信が行われることはなく、その代わりに、たとえば、エンジン制御装置に解放情報が伝送される。この情報は暗号に書き直し可能であるが、少なくとも１回の自動車の駆動は可能である。したがって、その自動車を多数回使用しようとすると大きな出費を要する。
欧州特許第０６８３２９３号明細書にはインモビライザー（読取装置）の暗号化された情報がトランスポンダーに送信される盗難防止装置が記載されている。その暗号情報をトランスポンダー固定コードと秘密に結合されることによって、１つの暗号テキストがつくられ、この暗号テキストがインモビライザー側に送信されるのである。インモビライザー側でも同様にしてインモビライザー暗号テキストがつくられており、トランスポンダーからの暗号テキストと比較される。両方の暗号テキストが一致した時に、盗難に対して保護されるべき制御装置が解放される。これらはコード化して行うことができる。トランスポンダーとインモビライザーの間の情報交換の秘密安全度は高い。しかしながら、この方法の場合でも、制御装置に送信される解放情報を探知することによって不当なアクセスが行われる可能性がある。示唆されているように、インモビライザーが制御装置の構成部分としてつくる場合でさえも、１つの（マニピュレーション可能な）インターフェースが存在しなければならない。このシステムの盗難安全性は高いけれども、しかし可変コード法の場合と同様に、その安全性が打ち破られることがある。
本発明の目的はできるだけ安い費用でつくることができ、しかも作動に信頼性のある盗難防止装置を提供することである。さらにまた、外部からの不当なマニピュレーションがまったく許容されず、システム全体を莫大な費用をかけて取り替えないかぎりその盗難防止システムを打ち破ることはできないような盗難防止方法を開発することである。
この目的を達成するため、請求項１の前言部分に記載された盗難防止装置において、請求項１の特徴部分記載の構成を有する盗難防止装置が提案される。本発明による盗難防止のための方法は請求項６に記載された特徴を有する。本発明の詳細な構成要素は請求項２乃至５ならびに請求項７乃至１１に記載されている。
公知の構成においては、トランスポンダーはイグニッションキーと組み合わせられておりそして送受信アンテナならびに電子計算ユニットと記憶ユニットを包含している。１つの特定の自動車の盗難防止のために複数のトランスポンダーが使用できる。たとえば、３個のトランスポンダーが一家族の中で分配されるか、あるいは、業者の自動車プールにおいては、一台の自動車に多数のトランスポンダーが存在することが必要とされる。好ましくは、それらトランスポンダーはバッテリーなしに、すなわち受動式に構成される。
自動車に従属するインモビライザーはイグニッションロックの領域内に配置された送受信アンテナからなる。そのアンテナを介して、イグニッションキーが差し込まている状態において、トランスポンダ−は励起可能でありそしてトランスポンダーとインモビライザーの間のデータ交信が可能である。
インモビライザーは自動車の運転にかかわる制御装置、特に内燃エンジン（オットーエンジンまたはディーゼルエンジン）の作動を制御する装置と電気的に接続されている。その制御装置の正常な作動、したがって、内燃エンジンの正常な駆動はトランスポンダー所有者のアクセスの正当性がチェックされ確認された後でのみ可能である。
公知の盗難防止装置に比較して、本発明におけるインモビライザーの機能は実質的に変更されている。本インモビライザーはもっぱら初期化の段階においてトランスポンダーとエンジン制御装置とを結びつけそしてこれによって両装置間のデータ交信を可能にすることを役目としている。アクセスの正当性のチェックはもはやインモビライザーによって行われず、直接制御装置内部で行われる。これによって１つのエラー源と１つのマニピュレーションの可能性が排除されることになる。アクセスの正当性の正確なチェックはトランスポンダーとエンジン制御装置の間の通信によって行われる。本装置では、インモビライザーがこの通信を可能にする役目を持ち、そして、場合によっては、さらにわずかな関連する機能を制御する役目を持つ。たとえば、１つの公知のトランスポンダー（その自動車に従属しているトランポンダーの１つ）により、このインモビライザーから盗難警報装置をオン・オフすることができる。あるいは、そのインモビライザーを通じて、個々の使用者の自動車車庫入れが実施可能である。
以上のごとく構成された本発明の盗難防止装置は、好ましくは、次のような方法で作動される：
ある一定の個数のトランスポンダーがその自動車に付属され、それらトランスポンダーの記憶装置には特定のコード情報が保存されている。保存されている情報はセキュリティーコードとトランスポンダー識別コードとからなる。その自動車に属するトランスポンダーの識別コードはインモビライザー側の、かつ場合によってはエンジン制御装置側の記憶装置にも保存される。この場合、エンジン制御装置側にはセキュリティーコードも保存される。
イグニションキーを自動車のイグニションロックに差し込んだ後、トランスポンダーはインモビライザーにより，それぞれのアンテナを介して，励起されそしてトランスポンダー識別コードがインモビライザーに送信される。ここで、最初のチェックがなされ、通信がその自動車に属するトランスポンダーの１つによって行われたものであるか否かが判定される。Yesの場合は、エンジン制御装置への通信が解放される。その他の場合にはエンジン制御装置への入力は相応的に処理される。
イグニションキーを使用してエンジンがスタートされると、エンジン制御装置は１つの出力信号（たとえばエンジンコントローラ照明出力）を通じてトランスポンダーとの通信開始を知らせる。情報、特に一定でない、エンジン制御装置内でその時実際に形成されたランダム情報がトランスポンダーに送られる。そのトランスポンダー内では、このランダム情報とトランスポンダー識別コードと秘密情報とが秘密の演算操作によって１つのコードに結合され、このコードがエンジン制御装置に送られる。エンジン制御装置内では同様な秘密の演算操作が実行されて参照コードを形成される。このために必要な、現在実際に通信可能状態にあるトランスポンダーのトランスポンダー識別コードはインモビライザーからエンジン制御装置に送られる。あるいはまた、エンジン制御装置内で、承認されているすべての個々のトランスポンダーの識別コードを使用して多数の参照コードを算出することもできる。この場合、トランスポンダー内で算出されたコードはそれら参照コードの少なくとも１つと一致する。このように両コードが一致した場合には、エンジンの駆動は正常にエンジン制御装置によって制御される。一致しない場合には、エンジンの作動は防止される。
以下、本発明を添付図面を参照してさらに詳細に説明する。添付図面は本発明による盗難防止装置の１つの実施例を図式的に示している。
本盗難防止装置は少なくとも１つの、イグニションキー１と組み合わされた受動式（バッテリーなし）のトランスポンダー２を含む。インモビライザー３が自動車のイグニションロック４のすぐ近くに配置されている。さらに図面には簡単にエンジン制御装置５ならびに診断装置６が示されている。
トランスポンダー２とインモビライザー３とはそれぞれ１つの送受信アンテナ７、８を有しており、このアンテナを介してトランスポンダー２はエネルギーの供給を受けそしてデータの交信がなされる。トランスポンダー２はさらに電子記憶装置９と演算装置１０を含有している。インモビライザー３も同じく記憶装置１１と演算装置１２を含有し、そしてさらにインターフェース１３および開閉装置１４によって制御される切替スイッチ１５（図面には初期化段階における位置で示されている）を含む。エンジン制御装置５は一般に公知の構造であり、インターフェース１６、マイクロプロセッサー１７、記憶装置１８の他に、ここでは関心のないその他の構成要素も包含している。
本盗難防止装置は次のようにして作動される。なお、この動作の説明が本発明による盗難防止方法の説明となる。
イグニションキー１をイグニションロック４に差し込んだ後、トランスポンダー２のアンテナ７がインモビライザー３のアンテナ８から励起される。周波数または振幅の変調可能な電圧の伝送が起こる。記憶装置９に保存されているトランスポンダー識別コードが演算装置１０、およびアンテナ７、８を介してインモビライザー３の演算装置１２に送られる。インモビライザー３の記憶装置１１内にはその自動車に付属するすべてのトランスポンダー２の識別コードが保存されている。これらの識別コードがトランスポンダー２から送信された識別コードと比較される。承認されているトランスポンダー２のうちの１つがイグニションロック４の領域内で認識されると、インモビライザーの演算装置１２によって多くの機能の調整が可能となるが、しかし自動車の運転はまだ許容されない。他方、インターフェース１３の出力線１９、２０を通じて外部機能を制御することができる。たとえば、盗難警告装置の安全装置をはずしたり、または、他のスイッチング機能を作動させたりすることができる。この時点までに、インターフェース１３をエンジン制御装置５へ接続する接続ライン線２１が切替スイッチ１５によって形成されうる。ただし、この接続はそれより後の時点で初めて実施されるようにすることもできる。このことについては後で説明する。切替スイッチ１５は常態においてはエンジン制御装置５を診断装置６に接続する位置にあり、したがってこの状態では両装置間で対応するデータの交換が可能である。初期化の段階においては、エンジン制御装置５の入／出力へのこの接続ライン２１は、公知のごとく、別のデータの伝送のために使用される。イグニションキー１によって点火が行われると、エンジン制御装置５内では始動プログラムがスタートする。このことはエンジン制御装置５のエンジンコントローラ照明出力２２によりインモビライザー３にも最終的に信号で示される。遅くともこの信号の直後に切替スイッチ１５は診断装置６をエンジン制御装置５から切り離し、そのかわりに２つのインターフェース１３と１６を相互接続する。これはトランスポンダー２がチェック承認された後か、または、演算装置１２の信号によってスタート命令が発信された後で実行される。
いまや、インモビライザー３はもっぱら通過ステーションとしてのみ働く。トランスポンダー２とエンジン制御装置５との間の通信が可能な状態となる。そして最終的な識別プロセスがエンジン制御装置５とトランスポンダー２との間の交信によって行われる。
エンジン制御装置５はランダム機能に基づいてプロセッサー１７内で発生されるランダム情報を接続ライン２１ならびにアンテナ８、７を通じてトランスポンダー２に送る。トランスポンダー２の記憶装置９には秘密のアルゴリズムが保存されており、これによってランダム情報とトランスポンダー識別コードおよびトランスポンダー内部秘密コードとの結合が行われる。その結果として算出された１つのコードがエンジン制御装置５に送られる。エンジン制御装置内の記憶装置１８には（エンジン制御のための広範なデータとプログラムのほかに）同じく秘密情報と、場合によってはすべての確認されるべきトランスポンダーの識別コードならびに計算アルゴリズムが保存されている。そして、ランダム情報、秘密情報および各１つのトランスポンダー識別コードを使用して参照コードが算出される。ただし、現在実際にあるトランスポンダー２のトランスポンダー識別信号をエンジン制御装置５に送信し、それからただ１つの参照コードを決定することも可能である。最後に、トランスポンダー２から送られたコードがモーター制御装置５内部の少なくとも１つの参照コードと比較される。両者が一致した場合にエンジンの作動は解放される。もし一致しなかった場合には、エンジン制御装置５は不作動となる。そしてエンジンがすでに回転を始めていた場合はエンジンが停止される。
初期化段階が完了すると、インモビライザー３内の切替スイッチ１５が再び作動されて接続ライン２１は診断装置６側に切り替えられる。ある定められた時間の間エンジンが駆動されない場合は、盗難防止装置が自動的に”励起”される。すなわち、前記のチェック動作が繰り返され、エンジン制御装置が作動可能となる。
このように構成されているので、本盗難防止装置はきわめて簡単につくることができる。なぜならば、エンジン制御装置５の既存の構成要素が使用されるからである。インモビライザー３はトランスポンダー２とエンジン制御装置５とを接続するためにもっぱら使用されるが、しかしエンジン制御装置５固有のフリースイッチングの際にはもはやなんらの機能も持たない。トランスポンダー２とエンジン制御装置５の間で一定の”傍受可能な”データの交信が行われることはなくなる。すなわち、傍受されたデータによって本方法を追跡実行することを可能にするような交信は全くない。エンジン制御装置５からトランスポンダー２へ送信されるランダム情報は一回きりのものである。計算アルゴリズムと秘密情報は内部の記憶装置９、１８に保存されており、そこから不正に呼び出すことはできない。これらの情報の送信はまったく行われない。アクセスの正当性はエンジン制御装置５自体の内部でチェックされるから、解放情報がエンジン制御装置５に送信されるようなことはもはやない。したがって、解放情報がキャッチされる可能性は排除される。

Claims (11)

1. −イグニションキー（１）、送受信アンテナ（７）ならびに演算装置（１０）および記憶装置（９）と組み合わせられたトランスポンダー（２），
   −イグニションロック（４）の領域内に配置された、送受信アンテナ（８）を有するインモビライザー（３）、および
   −該インモビライザー（３）と電気的に接続されており、該トランスポンダーの所有者の正当なアクセスであることの証明に応じて自動車の内燃エンジンの作動を制御するためのエンジン制御装置（５）、
   を有する自動車のための盗難防止装置において、
   エンジン制御装置（５）自体がトランスポンダーの所有者の正当なアクセスをチェックするようになっておりそしてインモビライザー（３）はそれに関するデータをトランスポンダー（２）とエンジン制御装置（５）との間で交信するために役立てられるが、しかしエンジン解放情報または鎖錠情報を発生することはないことを特徴とする上記盗難防止装置。
2. イグニションキー（１）を使用してイグニションのスイッチを入れた後、インモビライザー（３）内でトランスポンダー（２）の識別コードが許可されるべきコードであると認められた場合に、トランスポンダー（２）とエンジン制御装置（５）との間の接続がなされ、その後ではじめてエンジン制御装置（５）とトランスポンダー（２）との間の通信が可能となることを特徴とする請求項１記載の盗難防止装置。
3. トランスポンダー（２）はアクセスの正当性をチェックしている段階の間のみインモビライザー（３）とエンジン制御装置（５）のインターフェース（１６）との間の電気的接続ライン（２１）を経由してエンジン制御装置（５）と通信し、そして該電気的接続ライン（２１）はエンジン運転中は診断装置に接続され、その切り替えはインモビライザー（３）によって制御されることを特徴とする請求項１および２記載の盗難防止装置。
4. エンジンスタート時にエンジン制御装置（５）の出力信号がインモビライザー（３）に送られ、該信号はアクセスの正当性をチェックするプロセスを初期化することを特徴とする請求項１乃至３のいずれかに記載の盗難防止装置。
5. 該エンジン制御装置（５）の出力信号がインモビライザー（３）にエンジン制御装置（５）のエンジンコントロール照明出力（２２）を介して伝送されることを特徴とする請求項４記載の盗難防止装置。
6. アクセスの正当性の判定に応じて自動車の内燃エンジンの作動が制御されれ、この際、アクセスの正当性は自動車側のインモビライザー（３）の介在のもとでの個人所有のトランスポンダー（２）とエンジン制御装置（５）との間の情報交換によって判定される、自動車の盗難防止のための方法において、
   −情報がエンジン制御装置（５）からトランスポンダー（２）に送られ，
   −該トランスポンダー（２）内で、保存されている情報と該エンジン制御装置（５）の情報から１つのコードが算出され、
   −該算出された情報コードがエンジン制御装置（５）に送られ、
   −該エンジン制御装置（５）内で、保存されている情報と該トランスポンダー（２）の情報から１つの参照コードが算出され、
   −上記コードと該参照コードとがエンジン制御装置内で比較され、そして
   −上記コードと該参照コードとが一致した場合にはエンジン駆動が解放されそして一致しない場合にはエンジン駆動が阻止されることを特徴とする方法。
7. エンジン制御装置（５）とトランスポンダー（２）との通信に先立って、インモビライザー（３）によりトランスポンダー識別コードが問い合わされそしてそれが容認されるべきものか否かがチェックされ、該トランスポンダー（２）が容認されるべきものと判定された場合にのみ真の通信が可能とされかつ、場合によっては、その他のスイッチング機能が実行されることを特徴とする請求項６記載の方法。
8. コードの算出のためエンジン制御装置（５）からトランスポンダー（２）へ送信される情報が該エンジン制御装置（５）内でつくられたランダム情報でありそしてエンジン制御装置（５）内で参照コードを算出するためのトランスポンダー（２）の情報がトランスポンダー識別信号であることを特徴とする請求項６および７記載の方法。
9. 該コードと参照コードがトランスポンダー（２）内部およびエンジン制御装置（５）内部に保存されている秘密情報と、トランスポンダー識別コードと、ランダム情報とから１つのアルゴリズムを使用して算出されることを特徴とする請求項６乃至８のいずれかに記載の方法。
10. すべての承認されているトランスポンダー識別コードがエンジン制御装置（５）内部に保存されておりそして対応する個数の参照コードが該エンジン制御装置（５）内で算出されてトランスポンダー（２）の識別コードと比較されることを特徴とする請求項６乃至９のいずれかに記載の方法。
11. インモビライザー（３）内で許可されるべきものと認識されたトランスポンダー識別コードがエンジン制御装置（５）に送信されそして該エンジン制御装置によって参照コード算出のために使用されることを特徴とする請求項６乃至９のいずれかに記載の方法。

Images