JPH09503979A - 車両安全装置 - Google Patents

Abstract

(57)【要約】 少なくとも１つの機能制御装置、例えば機関制御装置とのデータ交換を、その作動準備状態を制御するために実施する盗難防止制御装置を備え、その際データ交換は少なくとも盗難防止制御装置および機能制御装置を接続するデータ線路を介して行われる。データ線路（１）には選択的に、制御装置（２，３，３′，３″）の少なくとも１つとデータ交換するように構成されている外部装置（４）が接続可能である。データ線路は、車両に既存の線路、例えばＩＳＯ規格９１４１に従ったＫおよび／またはＬ線路である。データ交換を制御するために、データ線路（１）を介して接続されている制御装置（２，３）の１つが、監視ユニットの機能を引き受ける。データ線路（１，１′）に外部装置（４）が接続されているとき、この外部装置がデータ交換を監視する制御装置（２，３）から、データ線路（１）を介して接続されている制御装置（２，３，３′，３″）とのデータ交換を実施するために、監視ユニットの機能を引き受ける。

Description

【発明の詳細な説明】 車両安全装置 従来の技術 本発明は、請求項１の上位概念に記載の安全装置から出発している。この形式 の公知の装置（ＷＯ９３／０５９８７）は、コード担体を備えた始動装置と、コ ード担体を読み取るための装置と、該装置に接続されているデータバスと、該デ ータバスに接続されている、車両機能を制御するための複数のユニットとから成 っている。これら複数のユニットを作動準備状態に移行させるために、読み取り ユニットがこれらユニットにコード信号を送出する。このコード信号を各ユニッ トは予め記憶された基準コードと比較する。少なくとも１つの機能制御装置にお いて読み取りユニットから受信されたコードと予め記憶されている基準コードと が一致しないとき、当該装置はデータバスを介してエラー信号を送出する。この エラー信号によって、車両機能に対する当該装置の意味に従って車両は停止され ることなる。泥棒がこの公知の装置を独自の読み取りユニットおよび独自の機能 制御装置を用いてあしらおうとするとき、泥棒は既存のユニットすべてを交換し なければならない。このことに結び付いた大きなコストのため、公知の装置は車 両の盗難防止に対して大き な成果を上げている。しかし既述の装置を実現するために、すべての電子構成要 素を検出する車両バスが前提となっていた。この形式のバスは殊に現在市販され ている車両ではまだ使用可能でない。この種のバスは接続されているユニットの 診断のためには制限されてしか適していない。その理由は、すべての診断メッセ ージの評価の際に常に、バス自体が正常であることが前提でなければならない。 バス状態の診断自体は設定されていない。 本発明の課題は、許可されていない利用に対して同程度の防護が保証されてい て、出来るだけ簡単なハードウェア構成を有しかつ全体として容易にまたは存在 する車両における既存の安全装置を改良するために後から組み込み可能である車 両の安全装置を提供することである。 この課題は、それぞれ独立請求項１、１０または１２の特徴部分に記載の構成 を有する装置によって解決される。請求項１の特徴部分に記載の構成を有する安 全装置は、それがその規定の、車両の安全用という用途の他に、別の目的のため にも利用可能であるという利点を有している。この種の目的は例えば、外部の機 関テスタを用いた車両診断またはアプリケーション装置を用いた、機能制御装置 における新しいソフトウェアの具体化実現である。これらの目的のために存在す る別個の線路システムは本発明により多重利用によっ て省略することができる。 請求項８の特徴部分に記載の構成を有する安全装置によれば、ソフトウェア改 竄に対する一層改善された防護が提供される。正当性検査のための提案されたデ ータ交換において有利なのは、殊に、受信装置が得られた基本コードから導出さ れるコードを形成する際に則る規則を任意に予め決めることができることである 。その際規則はそれ自体、例えば基本コードに依存して可変とすることもできる 。 更に、安全装置を請求項１３に記載の特徴を有するように構成すると有利であ る。これにより、車両は、例えばその前に正しくアンロック（鎖錠解除）された 時は、例えば盗難防止制御装置に欠陥がありかつそれ故にアンロックがもはや可 能でないときでもなお作動状態にすることができる。 特別有利なのは、請求項１および／または請求項１０および／または請求項２ ３に記載の構成を組み合わされた安全装置である。この装置は、個々のデータ線 路システムの有利な多重使用の際に車両の許容されない利用に対する高度な安全 性を発揮するが、所定の障害発生時にも適正な利用を許容する。 本発明の安全装置の有利な実施例および効果的な構成は、従属請求項に記載さ れている。 請求項２に記載のように構成された安全装置は、数多くの車両において、診断 目的のためにデータ線路シ ステムがいずれにせよ存在しているという事実が利用される。本発明によれば、 この存在している線路システムは、それが診断目的のために使用されないとき、 今や車両安全のために使用される。ほんの僅かな付加的なハードウェアコストし か必要としないので、この種のシステムは、それが存在している車両に容易に後 から組み込み可能であるという利点を有する。このために必要な組立コストは僅 かであり、殊に、付加的な線路の敷設は省略される。 正常な車両作動の期間、盗難防止装置におけるデータ線路システムを介する監 視が行われる。択一的に、監視は、機能制御装置においても行われる。このこと はとりわけ、唯一の機能制御装置、殊に機関制御装置しか車両安全の機能に組み 込まれておらず、別の制御装置は組み込まれていないときに、有利である。 外部の装置、殊に機関テスタが診断目的のために線路システムに接続されると き、この装置が、データ線路におけるデータ交信を介する監視を引き受ける。デ ータ線路システムは、外部の装置が接続された場合でも変化すべきではない規定 のインピーダンスを有している。それ故に、走行作動と診断作動との間の切換は 有利には、盗難防止制御装置に設けられているスイッチを用いて行われ、このス イッチは、外部装置が線路システムへ接続されたことを検出した後、盗難防止制 御装置に設けられている低抵抗の、線路システムと作 動電圧との間の制御接続を可能にする。 交信衝突を回避するために、外部装置と機能制御装置ないし盗難防止制御装置 との間の制限されないデータ交換は、制御装置すべてがその前に所定の方法で正 しくアンロックされたときにのみ行われる。 例えば、テスタを接続して行う車両検査の枠内で、例えば寒冷時スタートを記 録することができるようにするために、テスタが接続された場合に、利用者の権 限の検査なしに車両の少なくとも１回の作動を許容すると有利である。権限なし のこの種の始動を１回または２、３回に制限することによって、盗難する目的で のテスタを用いた車両の不正操作は中断される。 機能制御装置のアンロックは有利には、該機能制御装置がまず基本的に作動準 備状態にあり、かつ利用者の権限を指示するコードが生じなかった後初めてロッ ク（鎖錠）されるように行われる。これにより、利用者はスタート遅延なしに車 両を快適にスタートさせることができる。 有利には、車両作動の期間または制御装置の自己保持フェーズにおける点火の 遮断後に循環的に、中央制御ユニットと機能制御装置との間のデータ線路を監視 するために、データ交換が実施される。作動期間にエラーが発生したとき、有利 にもエラーメッセージが発生され、それは消去不能なメモリに後から読み出すた めに格納される。 車両の停止後データ線路が断線した場合に非常作動を可能にするために、その 前に正しいアンロックが行われている場合には、決めておくことができる数の後 続スタートに対する作動を再度のアンロックデータ交換なしに許容する、または 制御装置のアンロックを可能にするコードを、そのために設けられているコード 担体を介する手法とは別の手法で入力する、例えばアクセルペダルの操作によっ て入力する可能性を設定すると、有意義である。次に本発明の実施例を図面を用 いて詳細に説明する。 図面 第１図は車両安全装置のブロック回路図であり、第２図は外部装置を車両安全 装置に付加接続する回路技術的な実施例を示す図であり、第３図は中央盗難防止 の機能をフローチャートの形において示す図であり、第４図は機能制御装置の対 応する機能をフローチャートの形において示す図であり、第５図、第６図および 第７図は第３図ないし第４図に示された機能の変形を示す図である。 実施例の説明 第１図には、車両安全装置の主要構成部が示されている。 コード担体６、例えばコードカード、赤外線送光器またはトランスポンダを備 えたキーとコード読み取り装置５とが始動装置を形成している。これは通例、車 両の内室に設けられている。第１図では線路９を介して読み取り装置５に接続さ れているのは、車両安全装置の機能を制御しかつ監視するための中央盗難防止制 御装置２（Diebstahlschutzsteuergeraet＝ＤＳＳ）である。盗難防止制御装置 ２および読み取り装置５は有利には、制御モジュール７内に一緒に配設すること もできる。データ線路１を介して、機関または別の車両機能を制御するための複 数の機能制御装置３，３′，３″が盗難防止制御装置２に接続されている。すべ ての機能制御装置３，３′，３″並びに中央盗難防止装置２はそれぞれ、殊にマ イクロプロセッサまたはユーザ固有の集積回路（ＡＳＩＣ）の形の、データ信号 を処理する少なくとも１つの集積回路２９，３９，３９′，４９を使用すること ができる。マイクロプロセッサまたはユーザ固有の集積回路は、一方において、 盗難防止制御装置を含めて別の制御装置との交信を実施するために用いられ、か つ他方において、その都度、例えば機関制御装置の場合、噴射すべき燃料の量の 決定、点火の制御等のような装置固有の機能を実施する。この形式の別の制御装 置は、上述の機関制御装置の他に、例えば、変速機制御部３′またはロック防止 ／アンチスキッド制御システム３″である。第１図において仮定されているよう に、複数の制御装置が存在しているとき、有利にはそのうちの１つ、通例は機関 制御装置３が盗難防止制御装置２と交信し、一方デー タ線路１に接続されている別の制御装置３′，３″はこの交信に関与しない。別 の制御装置３′，３″の１つまたは複数を同様に、車両のアンロック／ロックの 枠内で盗難防止制御装置２と交信することも可能である。その際“マスタ機能” 、即ち交信を介する監視は有利には盗難防止制御装置２にある。しかし、以下に 仮定するように、車両の始動のための交信が盗難防止制御装置２と唯一の機能制 御装置３との間でのみ行われるとき、作動安全性を高めるために、機能制御装置 ３がマスタ機能を引き受けるようにしても効果的である。 以下、盗難防止装置と交信する制御装置は一括して機能制御装置３と表す。任 意の、有利には操作性の判断基準に従って選択された個所に、データ線路１は、 簡単な場合には外部装置４と接続するための差し込みコネクタの形のインタフェ ースを有している。この種の装置は殊に、制御装置２，３，３′，３″の診断の ためのテスタまたは制御装置２，３，３′，３″における新しいソフトウェアの 具体化実現のためのアプリケーション装置とすることができる。外部装置４は差 し込みコネクタ１０に有利にはデータ線路１′を介して接続されており、該デー タ線路は車両側のデータ線路１に続いている。車両側のデータ線路１として、特 別有利には、数多くの車両にいずれにせよ存在する、ＩＳＯ規格９１４１に従っ たデータ診断線路が用いら れる。物理的にはそれは、唯一の線路、所謂Ｋ線路、または線路対、Ｋ線路およ びＬ線路から成っている。ＩＳＯ規格９１４１に従った、存在するデータ診断線 路に付加的に盗難防止制御装置２が接続される。 第２図には、データ線路１として存在するＫ線路が利用される場合に、盗難防 止制御装置２と外部装置４との、データ線路１への同時の接続をどのように行う ことができるかが示されている。デジタル信号をデータ線路１に入力することが できるようにするために、盗難防止制御装置２も外部装置４もそれぞれ、第２図 においてＩＳＯ規格９１４１に従って５００Ωの値を有する抵抗２１ないし４１ と、通例トランジスタの形の切換手段２２ないし４２とから成る直列回路を有し ている。この直列回路は、車両作動電圧Ｕ_Bとアースとの間に配置されている。 切換手段２２，４２はそれぞれ、対応制御装置２，４に設けられている、デジタ ル信号処理回路２９，４９によって操作される。切換状態に応じて、データ線路 １，１′に、“ハイ”レベルまたは“ロー”レベルが加わる。盗難防止制御装置 ２において、直列回路２１，２２は付加的に更に、バッテリー電圧Ｕ_Bからの分 離を許容するスイッチ２３を有する。第２図に図示の電子構成は勿論、Ｋ診断線 路ないしＫおよびＬ診断線路の使用に基づいていないような具体例にも利用可能 である。 次に、第１図および第２図に図示の装置の機能を説 明する。車両安全性のための交信は、盗難防止制御装置２と機能制御装置３、通 例は機関制御装置との間で行われる。場合により存在する、データ線路１に接続 されている別の制御装置３′，３″はこの実施例では、交信に関与していないも のとする。交信を介する監視は、盗難防止制御装置２において行われる。 提案された車両安全装置の本発明の使用のシーケンスが、第３図ないし第６図 にフローチャートの形において示されている。 安全保証すべき車両は最初休止位置にある。この位置から、コード担体６が読 み取り装置５に挿入され（ステップ１００）、読み取り装置はデータ線路９を介 して信号を盗難防止制御装置２に送出する。盗難防止制御装置は、これに基づい て規定の出発位置にリセットされる（ステップ１０２）。アンロック過程の開始 時におけるリセットによって、盗難防止制御装置において始動の前に適当な操作 によって正しいアンロックを指示する情報が発生されているときも、車両を作動 状態にすることができないことも保証される。変形例において、点火の投入後の 給電電圧の上昇によりリセットをトリガすることができる。リセットが行われた 後、盗難防止制御装置２は、有利には消去不能なＲＡＭまたはＥＥＰＲＯＭの形 の回路２９に存在する消去不能なメモリにおいて、車両安全装置が正常にアンロ ックされたことを指示するアンロック情報が存在する かどうかを検査する（ステップ１０４）。以下において、アンロック情報がアン ロックビットのセットによって生じていることを仮定する。しかしアンロックビ ットは通例セットされておらず、この場合は盗難防止制御装置２はステップ１０ ６において機関スタータをまず阻止する。引き続いて、ステップ１０８において 、盗難防止制御装置２は、コード担体６を扱う利用者の始動権限を検査する。こ のことは通例、コード担体６に設けられているコードと、読み取り装置５または 盗難防止制御装置に予め記憶されているコードとの比較によって行われる。始動 権限検査の結果が否定的であれば、盗難防止制御装置２は、有利には、ステップ １０７において、機能制御装置３のロックを来す信号を発生する。始動権限検査 の結果が肯定的であれば、盗難防止制御装置２は、ステップ１１０において、ロ ックを解除されかつ引き続いてスタータを始動させる（ステップ１１２）。 盗難防止制御装置２がステップ１０４において、アンロックビットがセットさ れていることを検出したとき、それはすぐにスタータを暫定的に始動させる（ス テップ１１２）。変形例において、スタータを、アンロックが完全に実行される ことができる遅延時間後に漸く始動させるようにすることができる。 スタータの暫定的な始動に、機関制御装置３のアンロックのためのデータ交換 が続く。このために、盗難 防止制御装置２はステップ１１４においてまず、有利にはランダム数の形のアン ロック基本コードＺを形成する。これから更に盗難防止制御装置は、有利には予 め記憶されているアルゴリズムの使用によってベースコードＺに基づいてアンロ ックコードＹを導出する。 更に、盗難防止制御装置２はステップ１１６において、点火が投入されたかが 、簡単には、点火接点が閉成されたかどうかの検査によって検査する。点火が投 入されたとき、盗難防止制御装置２はステップ１１８において、コードＺおよび Ｙを機能制御装置３に送出する。続くステップ１２０において、盗難防止制御装 置は外部装置４による刺激データが線路１上に存在するかどうかを検査する。通 例はこの種の信号は存在しない。それから盗難防止制御装置２はステップ１２２ において、機能制御装置３から、正しいアンロックを指示する確認応答信号が返 送されたかどうかを検査する。確認応答信号が存在するとき、盗難防止制御装置 ２はステップ１２４において、アンロックビットをセットする。これにより行わ れる、車両の正しい始動は利用者に有利には、例えばアンロックフェーズの期間 に発光する監視ランプを遮断することによって（ステップ１２６）、指示される 。 これにより釈放される車両作動の持続期間において、中央盗難防止制御装置２ は循環的に、外部装置４によるデータ線路１への刺激が存在するかどうかのステ ップ１２８を検査する。この種の信号が存在しなければ、盗難防止制御装置はス テップ１３０において、殊に利用者が点火を遮断したことによる、車両作動の終 了を指示する信号が存在するかを検査する。この検査の結果が否定的であれば、 即ち、車両作動を続行すべきであれば、ステップ１２４ないし１３０が循環的に 繰り返される。 ステップ１３０における検査結果が肯定的であれば、即ち車両作動の終了を指 示する信号が存在していれば、盗難防止制御装置２は、前以て決められた値まで の増分計数によって後経過時間ウィンドウを定める計数器をスタートさせる。そ の大きさは有利には約１ないし３ｓである。引き続いて盗難防止制御装置２はス テップ１３２において、点火が再び投入されたかどうかを検査する。結果が否定 的であれば、盗難防止制御装置はステップ１３４において、後経過時間、即ちそ の前にスタートした時間ウィンドウが既に経過したかどうかを検出する。そうで なければ、ステップ１３２および１３４が繰り返される。時間ウィンドウが経過 していれば、盗難防止制御装置２はステップ１３６においてロックされ、その際 アンロックビットはリセットされる。有利にはこの状態は利用者にこの場合も光 学的に、例えば、車両に配設されている、例えば緩慢に閃光する監視ランプによ って指示される。車両はこの場合規定に従って停止されかつロックされる。 例えば、点火が時間ウィンドウによって前以て決められた時間内に再び投入さ れたとき、殊に車両作動期間に電源電圧の短時間の消失が生じたときも起こるの だが、ステップ１３２における検査結果が肯定的であれば、盗難防止制御装置２ は続けてステップ１１８を繰り返す。 ステップ１１８における機能制御装置３への、コードＺおよびコードＹの送出 と同時に、盗難防止制御装置２は有利には５ないし２０ｓである別の時間ウィン ドウをスタートさせる。ステップ１２２において機能制御装置３からの確認応答 信号がまだ存在しなければ、盗難防止制御装置２は次のステップ１２３において 、ステップ１１８においてスタートした時間ウィンドウが既に経過したかどうか を検査する。ノーであれば、盗難防止制御装置はステップ１１８ないし１２３を 繰り返す。時間ウィンドウが経過していれば、盗難防止制御装置はこのことを利 用者にこの場合も有利には光学的に、例えば、車両に配設されている、例えば素 早く閃光する監視ランプによって指示する。ステップ１２７において、盗難防止 制御装置２は、点火が遮断されたかどうかを検査する。この検査の結果が否定的 であれば、即ち点火が変わらず投入されていれば、盗難防止制御装置はステップ １２５および１２７を、点火が遮断されるまでの間、繰り返す。その後、盗難防 止制御装置はステップ１２においてロックされる。 次に、以下にそれは機関テスタであると仮定する外部装置４がデータ線路１に 接続されている場合の車両安全装置の機能について説明する。 物理的に、機関テスタ４の接続は、盗難防止制御装置２に存在する並列な低抵 抗の、バッテリー電圧Ｕ_Bへのデータ線路１，１′の接続形成を意味する。この ことは、データ線路１，１′においてそこで行われている交信に関して定義され ない信号、ひいては誤機能を招来する可能性がある。従って、外部装置によるデ ータ線路１，１′を介する監視機能を引き受ける前に、アンロック交信は完了し ていなければならない。盗難防止制御装置２がステップ１２０における検査の際 に、まだ機能制御装置３からの確認応答信号を受信する前に、外部装置４がデー タ線路１，１′に接続されかつデータ線路１，１′に刺激信号が発生されたこと を検出したとき、盗難防止制御装置は抵抗２１をスイッチ２３を用いて作動電圧 Ｕ_Bから分離し、機能制御装置３との交信を打ち切りかつ監視機能をデータ線路 １を介して機関テスタ４に引き渡す（ステップ１４０）。しかしこの場合アンロ ックは規定通りには完了していないので、盗難防止制御装置２の機能性は有利に は、例えばエラーメモリの読み出しに制限されてしか使用することができない（ ステップ１４４）。正しくなく完了したアンロックのために引き続き、ステップ １２５ないし１２が実行される。 データ線路１，１′における誤機能および／またはメッセージ衝突を回避する ために、外部装置４は有利にはデータ線路１との接続後直ちに、データ線路１に おける交信に関する監視の引き受けを始める。このために外部装置は、刺激をデ ータ線路１に入力し、それは盗難防止制御装置２および機能制御装置３によって 検出される。 データ線路はＫ線路からのみ成りかつＩＳＯ規格９１４１に従ったデータ線路 １，１′を介するデータ交換で十分であるとき、刺激信号は有利には、５ボー（ Baud）を有する刺激に相応して、２００ｍｓの長さのローレベルの信号である。 データ線路１がＩＳＯ規格９１４１に従ったＫ線路およびＬ線路から成ってい るとき、両線路上での刺激が行われる。その場合盗難防止制御装置２は、Ｌ線路 において、外部装置４による刺激を検出しかつ後続のステップを実行する。 盗難防止制御装置２が規定通り完了した、機能制御装置３との交信形成後に漸 く、ステップ１２８において、機関テスタないし別の外部装置４による刺激が存 在することを検出したときは、盗難防止制御装置はステップ１５２においてスイ ッチ２３を用いて抵抗２１をバッテリー電圧Ｕ_Bから分離しかつデータ線路１， １′を介するデータ交換の監視を機関テスタ４に引き渡す（ステップ１５４）。 テスタ刺激は今や正しいアンロック後に行われたので、すべてのテスタ機能を 使用することができる（ステップ１５６）。テスタ作動の機関、盗難防止制御装 置２は、続いてステップ１５８において、点火が遮断されたかどうかを検査する （ステップ１５８）。点火は遮断されたという結果が得られれば、盗難防止制御 装置２はステップ１６０において、正当性検査なしに車両の１回または制限され た複数回、例えば３回の始動を可能にするために、アンロックビットをセットす る。このことは例えば、工場において始動過程を検査すべきであるときに必要で あり、その際点火の投入の時点から、信号は機関テスタ４を介して読み出される 。アンロックビットのセットは運転者に、ステップ１６２においてこの場合も有 利には光学的に、有利にはライトによって指示される。 第４図は、盗難防止制御装置２におけるシーケンスに対応する、機能制御装置 ３におけるシーケンスを同じくフローチャートの形において示す。 普通、接点の閉成によって実現される、点火の投入によって、機能制御装置３ に相応の信号が到来する。機能制御装置３はこれに基づいてステップ２００にお いてまず前以て決められた出発状態にリセットされる。ステップ２０２において 機関制御機能、例えば噴射制御機能が暫定的に釈放する。続くステップ２０４に おいて、この場合も有利には消去可能なＲＡＭまたは ＥＥＰＲＯＭとして構成されている消去不能なメモリに、アンロックビットがセ ットされているかどうかが検査される。このことは通例ノーである。これに基づ いて次のステップ２０６において、盗難防止制御装置２から、ステップ１１４に おいて形成されたコードＺおよびＹから成るアンロックコードが受信されたかど うかの検査が行われる。設定されているコード担体６による正しいアンロックの 場合に生じるのだが、アンロックコードが受信されたとき、まずチェック和検査 によって（ステップ２０８）、その正しい伝送が防護され、引き続いてコードは その内容の正しさについて検査される（ステップ２１０）。機能制御装置３はこ のために、送出された基本コードＺから、盗難防止制御装置２の場合と同じ方法 で、即ち有利には盗難防止制御装置２において使用されたアルゴリズムを用いて 導出されるコードＹ′を形成し、機能制御装置をそれを送出された基本コードＹ と比較する。２つのコードＹ，Ｙ′が一致すれば、車両始動が許容される。この 場合機能制御装置３はステップ２１２においてアンロックされかつステップ２１ ４において確認応答信号を盗難防止制御装置２に送出する。同時に機関制御装置 はアンロック状態を指示する情報を有利には冗長的に、機能制御装置３に存在す る消去不能なメモリに記憶する。実施例に対しては、このために、ステップ１２ ４における盗難防止制御装置と類似して、ステップ２ １４においてアンロックビットがセットされたものと仮定する。そこで車両は通 常機能において作動される（ステップ２１６）。車両は規定に従ってアンロック された。 ステップ２０６における検査と同時に、機能制御装置３は、前以て決められた 数までの増分計数によって時間ウィンドウを定める計数器をスタートさせる。計 数器スタートはもっと早い時点で、例えばステップ２０２において行うようにす ることもできる。時間ウィンドウの目的は、権限のない利用者が安全装置の操作 のために十分な時間を与えられることを妨げることである。 ステップ２０６または２０８における検査が、コードが受信されなかったこと ないしチェック和が誤っていることを検出すると、機能制御装置３はステップ２ ０５において、機関テスタ４による刺激が生じているかどうかを検査する。ノー であれば、それはステップ２０７において、機関が前以て決められた回転数しき い値を上回ったかどうかを検査する。回転数しきい値は有利には所謂スタート終 了回転数、即ちスタートフェーズの終了時に機関が達しているはずである特性回 転数に相応する。その際機関制御装置３は同時に、前以て決められた数までの増 分計数により第２の時間ウィンドウを定める別の計数器をスタートさせる。その 長さは、例えば１ｓ、即ち権限のない利用者が車両を スタートの操作によって大きな距離を介して移動させることができないような選 択されている。機関が回転数しきい値に達したとき、機能制御装置３はステップ ２０９において、第２の、ステップ２０７においてスタートされた時間ウィンド ウが経過したかどうかを検査する。ノーであれば、ステップ２０６，２０５，２ ０７および２０９が繰り返される。機関スタート期間に障害が発生しかつこれに より機関が回転数しきい値に達しなかったならば、停止している機関において、 第１の、例えば３ｓという比較的大きな時間ウィンドウが経過したかどうかが検 査される（ステップ２１１）。ノーであれば、ステップ２０６，２０５，２０７ および２１１が繰り返される。ステップ２０９および２１１において、計数器に より２つの時間ウィンドウを実現する手法は、機関回転数が値０を有する限り、 第１の時間ウィンドウのみを進ませる点にある。回転数が０より大きければ、ま たは搭載電源電圧に所定の変化が検出されれば、計数器はその都度新たにスター トされる。 ステップ２０５における検査で、機関テスタ４による刺激が存在することが明 らかになれば、機能制御装置３はその機能を全部または部分的に遮断し（ステッ プ２３２）、その結果機関制御機能も場合により制限されてしか働かない（ステ ップ２３４）。更にステップ２３６において機能制御装置はアンロックビットを リセットし、かつ消去不能なメモリに、例えば機関テスタを介して読み出すこと ができる相応のステータスメッセージを記憶する。 ステップ２３２ないし２３６の実施によって同様に、ステップ２０９または２ １１における検査が、ステップ２０５においてセットされた時間ウィンドウの１ つが経過しかことを検出したとき、またはステップ２１０において誤ったコード が存在したとき、機能制御装置３は応動する。これらの場合、権限のない利用が 試みられたことから出発すべきであり、有利にはこの場合の相応のステータスメ ッセージが消去不能なメモリに書き込まれる。 機能制御装置３がステップ２１８において、機関テスタによる刺激がデータ線 路１，１′に加わっていることを検出したとき、機能制御装置は、盗難防止制御 装置２によって実行されるステップ１５４ないし１５８に相応するステップ２４ ０ないし２４４を実行する。ステップ２４４において機能制御装置が、点火が遮 断されたことを検出すると、それはステップ１６０に類似して、アンロックビッ トをセットし（ステップ２４６）、このビットにより、正当性検査なしの車両の １回または前以て決められた数の複数回の始動が許容される。ステップ２０４に おける検査によりアンロックビットがセットされていることが明らかになると、 機能制御装置３は直接ステップ２１４を実行しかつ確 認応答信号を盗難防止装置２に送出する。通常作動を終了するために、第３図に おけるステップ１３０ないし１３６に相応するステップ２２０、２２２、２２４ および２２６が続く。その際制御装置３がステップ２２２において、例えば２ｓ の大きさを有する前以て決められた時間ウィンドウ内で点火が再び投入されたこ とを検出したとき、機能制御装置は、ステップ２２３において、盗難防止制御装 置２からのアンロックコードが存在するかどうかを検出する。ノーであれば、機 能制御装置はステップ２２４を続行しかつ、時間ウィンドウが経過したかどうか を検出する。これに応じてロックされるか（ステップ２２６）、またはステップ ２２２が繰り返される。これに対してアンロックビットが存在していれば、機能 制御装置はステップ２０８を続ける。 付加的に、走行作動期間に障害によりロックが行われることがないように保証 するために、ステップ２３２の実行の前に更に、機関回転数が前以て決められた 限界値を下回っているかどうかの検査を設定することができる。限界値以下であ るときにだけ、ロックは実施され、その他の場合は機能は維持される。 第３図および第４図に基づいて説明した装置の有利な実施例によれば、第３図 におけるステップ１３２，１３４，１３６ないし第４図におけるステップ２２２ ないし２２６による遮断ルーチンはデータ線路１の診 断のための手段によって補足される。この種の補足は第５図において盗難防止制 御装置２の側に対して示されており、第６図には機能制御装置３の側に対して示 されている。 第５図から明らかであるように、盗難防止制御装置２は線路診断のために、ス テップ１３０における点火は遮断されたかの検査に続いて直接、線路検査信号を 機能制御装置に送出する（ステップ３００）。引き続いて盗難防止制御装置は、 ステップ３０２において、機関制御装置３から応答確認信号が到来しているかど うかを検査する。イエスであれば、ステップ３０４において、データ線路１が正 常であることを指示する線路ビットがセットされる。それから盗難防止制御装置 はステップ３０６において、ステップ１０３でセットされた時間ウィンドウが既 に経過終了したかどうかを検査し、かつノーであれば、ステップ３００ないし３ ０６を繰り返す。 ステップ３０６における検査の結果が、時間ウィンドウが経過したというもの であれば、次のステップ３０８において、データ線路１の状態を指示する線路ビ ットがセットされたかどうかが検査される。イエスであれば、盗難防止制御装置 ２はステップ３１０においてロック信号を機能制御装置３に送出しかつ次のステ ップ３１２にいて、機能制御装置から確認応答信号が到来したかどうかを検査す る。この検査の結果が肯定 的であれば、ステップ１３６において、アンロックビットのリセットによって車 両作動の終了および車両に配置されているランプによる光学指示が続く。 盗難防止制御装置２がステップ３０２において、線路検査信号に基づく確認応 答信号が存在していないことを検出すると、それは次にステップ３０３において 、ステップ３００における線路検査信号の送信によってスタートした時間ウィン ドウが経過したかどうかを検査する。ノーであれば、次にステップ３０２および 引き続いて場合によりステップ３０３が繰り返される。 ステップ３０３における検査で時間ウィンドウが経過したことが分かれば、デ ータ線路１に障害が存在する。それ故に盗難防止制御装置２は線路ビットをリセ ットする。引き続いて盗難防止制御装置はステップ３０６を実行する。線路ビッ トがステップ３０６における時間ウィンドウの経過後もリセットされていれば、 盗難防止制御装置はステップ３０８に続いてステップ３１４においてロックされ る。障害のある線路状態を盗難防止制御装置は車両利用者に有利には光学的に指 示する。このことはこの場合も例えば車両に設けられている、前以て決められた 形式および方法において閃光するランプによって行うことができる。 第６図には、第５図において示されているフローチャートに対応するシーケン スが機能制御装置３の側に おいて示されている。ステップ２２０における点火の遮断後、機能制御装置はま ずステップ３２０において、線路検査信号が盗難防止制御装置２によって受信さ れたかどうかを検査する。イエスであれば、機能制御装置はステップ３２２にお いて確認応答信号を送出する。次のステップ３２４において機能制御装置は、ロ ック信号が盗難防止制御装置２によって受信されたかどうかを検査する。機能制 御装置はこのステップを、ステップ３２０における検査結果が否定的であるとき にも実行する。ロック信号が受信されていなければ、機能制御装置はステップ３ ２８において、ステップ２２０によってスタートとした、有利には１ないし３ｓ の持続時間を有する時間ウインドウが経過したかどうかを検査し、かつノーであ れば、ステップ３２０ないし３２８を繰り返す。ステップ３２８における検査結 果が肯定的であれば、線路障害が存在する。それ故にステップ３３０において噴 射制御装置３は前以て決められた回数、例えば３回の後続スタートなロックが解 除されて、利用者が少なくとも車両を暫定的に引き続き利用することができるよ うにする。 これに対してステップ３２４における検査の結果が、ロック信号が受信された というのもであれば、機能制御装置３はステップ３２６においてまず確認応答信 号を盗難防止制御装置２に送出しかつステップ２２６においてそれはロックされ る。 第３図および第４図に基づいて説明した装置の別の有利な実施例によれば、線 路診断は点火の遮断による通常作動の終了後のみならず、車両作動期間中も連続 的に実施される。このことは簡単な方法において例えば、盗難防止制御装置２が ステップ１３０に続いてその都度ステップ１１８および１２２を実行することに よって行うことができる。盗難防止制御装置がこの種の循環的な検査においてス テップ１２２において、応答確信信号がもはや存在していないことを検出すると 、盗難防止制御装置は、通常作動の期間中、データ線路１にまたは機能制御装置 ３に障害が発生したことから出発する。盗難防止制御装置２はこの場合、回路２ ９に存在する消去不能なメモリに相応のエラーメッセージを記憶するが、ロック されない。しかしその代わりに、盗難防止制御装置はエラーメッセージの記憶に 続いてステップ１２４を更に実行する。有利にはこの種のエラーメッセージの存 在は利用者に、この場合も光学的に、有利にはライトによって指示される。エラ ーメッセージの読み出しは殊に、外部装置４としてデータ線路１に接続される機 関テスタによって行うことができる。盗難防止制御装置２におけるステップ１１ ８および１２２の循環的な繰り返しに相応して、機能制御装置３は、通常作動の 期間、ステップ２２０に続いて、ステップ２０６ないし２１４を循環的に実行す る。しかしステップ２０６ないし２１０における検査 の１つで、障害が存在していることが明らかになれば、機能制御装置３のロック は行われない。その代わり、機能制御装置は、盗難防止制御装置２に相応して、 エラーメッセージを消去不能なメモリに記憶し、エラーメッセージは同様に例え ばデータ線路１に接続されている外部装置４として機関テスタを介して読み出し 可能である。ステップ３３０に対応して、機能制御装置は有利には、車両作動の 期間中先行する正しいアンロックの後に障害が検出された場合、例えば利用者が 車両を工場に持っていくことができるようにするために、制限された数の後続ス タートに対してアンロックされる。 これまで説明した車両安全装置の別の有利な実施例によれば、基本コードＺの 検出は、ランダム数の実施例において、盗難防止制御装置２ではなくて、機能制 御装置３において実行される。これにより、とりわけ、例えばしばしば試行によ って、導出されたコードＹの試験的な検出が、データ線路１に不正に接続されて いる盗難防止制御装置２を介して可能になることが妨げられる。この変形例のフ ローチャートが、第７図において、盗難防止装置に対しては左半部に、機能制御 装置に対しては右半部に図示されている。それぞれ第３図ないし第５図の一部が 図示されている。第３図および第４図に対して変形された機能性を有するこの種 の装置において、ステップ２０４に続いて機能制御装 置３から基本コードＺが盗難防止制御装置２に送出される（ステップ２０４１） 。この場合ステップ１１４は省略され、その代わりに、盗難防止制御装置はステ ップ１１６１において、基本コードＺが機能制御装置３によって受信されたかど うかを検査し、イエスの場合、引き続いてステップ１１４ａにおいて基本コード ＺからアンロックビットＹを形成しかつこれをステップ１１８に相応して機能制 御装置に返送する（ステップ１１８ａ）。基本コードが到来しないとき、ステッ プ１１６１における質問を簡単に繰り返すことができる。しかしこの場合同様に 、例えばステップ１１６１の制限された回数だけの繰り返しおよび引き続くロッ クのような一層煩雑な手段を設定することもできる。ステップ２０６ａにおいて 機能制御装置３は、盗難防止制御装置２からアンロックコードＹが到来したかど うかを検出する。このために機能制御装置は有利には自ら、盗難防止制御装置２ と同じ方法でアンロックコードＹ′を形成し（ステップ２０８１）、かつこれを 、ステップ２１０に相応して、得られたコードＹと比較する（ステップ２１０ａ ）。 盗難防止制御装置２を介する安全装置の不正操作を一層困難にするために、特 に、アンロックすべきであるのが機能制御装置３しかない場合更に、機能制御装 置が基本コード７の発生を実施するのみならず、一般にデータ線路１を介する監 視機能も実施するようにす れば、有利である。その際アンロック状態を指示する情報、実施例においてはア ンロックビットが障害により消失した場合の装置の機能性を考慮した付加的な利 点が生じる。機能制御装置３はこの場合、アンロックビットを新たに発生するた めに、直ちに新たな合法性検査を要求する。 しかし数多くの別の公知の車両安全装置との関連においても有利に使用可能で ある、これまで説明してきたシステムの別の有利な実施例によれば、例えばステ ップ１２３において時間ウィンドウの経過後機能制御装置３から確認応答信号が まだ存在していないとき、盗難防止制御装置２を回避してアンロックコードを入 力する可能性が設定されている。この場合盗難防止制御装置２は利用者に、有利 にはライトまたはディスプレイを介して、機能制御装置３のアンロックのための コードを手動でデータ線路１を迂回して入力するように、信号報知する。このこ とは例えば、アクセルペダルの前以て決められた連続操作によって行うことがで き、その場合それを機能制御装置３は検出する。その際コードは、例えば車両固 有に、機能制御装置に存在している消去可能なメモリに格納および／または車両 所有者に、例えばコード担体６における刻印によってまたは車両文書への記入に よって手に入れることができる。続いて、機能制御装置３は、アンロックコード が正しく入力されたかどうかを検査する。イエスであ れば、機能制御装置はアンロックビットをセットしかつ引き続き通常作動の場合 と同じように作動する。これに対して機能制御装置が、アンロックコードが入力 されなかったかまたは誤って入力されたことを検出するとき、機能制御装置はス テップ２３２ないし２３６に従ってロックされる。手動のアンロックコード入力 の可能性により、データ線路１が盗難防止制御装置２と機能制御装置３との間で 損傷を受けているときでも、車両を作動させることが可能になる。しかしこれに より不正操作の危険も高められる。このことに対抗するために、データ線路１を 迂回するアンロックコードの入力を、その前に正常なアンロック後の作動状態に おいて線路診断の枠内で障害状態が検出されかつ相応の状態が記憶されていると きにだけ許可するようにすると有利である。今日、これまで説明してきた対象に とって関連あるＩＳＯ規格９１４１が修正される。それによれば、外部装置４が 監視機能を盗難防止制御装置２からそれ自体に移行させるようにする提案された 刺激信号として、２５ｍｓの長さのローレベル信号に２５ｍｓの長さのハイレベ ル信号が続き、データ交換のバンドレート（１０．４Ｋ Band）に相応するアド レッシグが行われる仕様が使用可能である。例えば別のアプリケーションプロト コルは、長いローレベル信号なしに始まっている。例えば相応に、例えば４０ｍ ｓ持続するローレベル信号および後続の１０ｍｓの長 さのハイレベル信号を有するアンロック交信が始められるとき、このことは、別 のプロトコル形式のすべてと明らかに相異している。 これまで説明してきた安全装置が基礎としている思想を維持しておいて、多数 の構成例が可能である。個別手段の多くは殊に、別の目的のために既存の線路が 車両の安全に係わるデータ交換を実施するためのデータ線路１として利用される 場合に制限されない。即ち、ステップ１０８ないし１２２に相応する合法性検査 の実施に基づいている安全装置において共通して、共通のデータ線路を介して接 続されている制御装置と外部装置との間の制限されないデータ交換が、制御装置 が合法性検査においてその前にアンロックされたときのみ可能であることを保証 することが望ましい。 監視機能を実施する制御装置２，３，３′，３″が基本コードＺおよびそこか ら導出されるアンロックコードＹを別の制御装置２，３，３′，３″に送出し、 該制御装置が送信側の制御装置と同じ方法で基本コードからアンロックコードＹ ′を発生しかつ引き続いて２つのコードＹ，Ｙ′を比較するという合法性検査を 実施するための提案された原理も、合法性検査のために２つの制御装置間のデー タ交換に基づいている数多くの別の安全装置に使用可能である。更に、車両作動 期間中の合法性検査の循環的な実施によるまたは点火の遮断（ステップ１３０） 後の後作動フェーズにおけ る、検査すべき線路に接続されている別の制御装置との線路検査信号の交換（ス テップ３００，３２２）による線路検査の提案された構想も、Ｋ線路および／ま たはＬ線路の利用に基づいていない別の公知の安全装置に有利に使用可能である 。

【手続補正書】特許法第１８４条の８ 【提出日】１９９５年９月２５日 【補正内容】 請求の範囲 １２．盗難防止制御装置（２）と機能制御装置（３，３′，３″）との間で誤 ったデータ交換が行われている場合、当該制御装置（３，３′，３″）のアンロ ックのためのコードを前記盗難防止制御装置（２）を迂回して手動で入力可能で ある 請求項１記載の回路装置。 １３．少なくとも１つの機能制御装置（３，３′，３″）とのデータ交換を、 その作動準備状態を制御するために実施する盗難防止制御装置と、少なくとも１ つの盗難防止制御装置および機能制御装置を、それを介してデータ交換を行うよ うに接続するデータ線路とを備え、ここにおいて盗難防止制御装置（２）と機能 制御装置（３，３′，３″）との間で誤ったデータ交換が行われている場合、当 該制御装置（３，３′，３″）のアンロックのためのコードを前記盗難防止制御 装置（２）を迂回して手動で入力可能である、車両用安全装置において、 前記盗難防止制御装置（３）を迂回するアンロックは、誤り状態の検出に、正常 なアンロックによって開始された作動状態が先行しかつ相応の情報が記憶された ときにのみ可能である ことを特徴とする車両用安全装置。 【手続補正書】特許法第１８４条の８ 【提出日】１９９５年１１月２０日 【補正内容】 請求の範囲 １．機能制御装置（３）とのデータ交換を、その作動準備状態を制御するため に実施する盗難防止制御装置（２）と、該盗難防止制御装置および前記機能制御 装置（３）を接続するデータ線路（１）とを備え、該データ線路を介してデータ 交換が行われ、かつ該データ線路を用いて別の制御装置（３′，３″）が前記機 能制御装置（３）および盗難防止装置（２）に接続可能であり、ここにおいて前 記データ線路（１）を介して接続されている制御装置（２，３，３′，３″）の １つが、前記データ線路（１）を介するデータ交換を統率するための管理ユニッ トを引き受ける、車両用安全装置において、 前記データ線路（１）に外部装置（４）が接続可能であり、該外部装置は前記デ ータ線路（１）を介して接続されている制御装置（３，３′，３″）とのデータ 交換するように構成されており、 データ交換を監視する前記制御装置（２，３，３′，３″）は車両の始動の際に 、外部装置（４）が前記データ線路（１）に接続されたかどうかを検査し、 前記データ交換を制御する制御装置（３，３′，３″）は外部装置（４）の存在 を検出した際に、前記データ線路（１）を介するデータ交換を統率するための監 視ユニットの機能を引き渡す ことを特徴とする車両用安全装置。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ， ＤＫ，ＥＳ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，Ｍ Ｃ，ＮＬ，ＰＴ，ＳＥ)，ＡＵ，ＣＺ，ＪＰ，ＫＲ，Ｐ Ｌ，ＲＵ (72)発明者 ヴェルナー フィッシャー ドイツ連邦共和国 71296 ハイムスハイ ム ディッケンベルクシュトラーセ ９ ／１ (72)発明者 ヨハネス−ディーター ヴィヒテリッヒ ドイツ連邦共和国 75417 ミューラッカ ー ベートーヴェンシュトラーセ 36 (72)発明者 ヘルムート ランドル ドイツ連邦共和国 71665 ファイヒンゲ ン ウルメンヴェーク 27 (72)発明者 ヴィルフリート ブルガー ドイツ連邦共和国 71282 ヘミンゲン バーンホーフシュトラーセ 97 (72)発明者 マルティン ライヒンガー ドイツ連邦共和国 73061 エーバースバ ッハ イム ティーフェントーベル 11 (72)発明者 ラインハルト ガンテンバイン ドイツ連邦共和国 74372 ゼルスハイム ヤーンシュトラーセ 15 (72)発明者 ベルント ディーボルト ドイツ連邦共和国 77866 ライナウ ヴ ァーグナーヴェーク ２ (72)発明者 ミヒャエル トフターマン ドイツ連邦共和国 74379 インゲルスハ イム フリーデンシュトラーセ １

Claims (1)

1. 【特許請求の範囲】 １．少なくとも１つの機能制御装置、例えば機関制御装置とのデータ交換を、 その作動準備状態を制御するために実施する盗難防止制御装置と、少なくとも１ つの盗難防止制御装置および機能制御装置を、それらの間でデータ交換を行うよ うに接続するデータ線路とを備えた、車両用安全装置において、 前記データ線路（１）に選択的に外部装置（４）が接続可能であり、該外部装置 は前記盗難防止制御装置および／または機能制御装置（３，３′，３″）とのデ ータ交換のために構成されている ことを特徴とする車両用安全装置。 ２．データ線路（１）として、車両に既存の線路が用いられる 請求項１記載の安全装置。 ３．データ線路（１）を介して接続されている制御装置（２，３）の１つが、 データ交換の実施のための監視ユニットの機能を引き受ける 請求項１記載の安全装置。 ４．外部装置（４）は、データ交換を監視する制御装置（２，３）の接続され ている状態において、データ線路（１）を介して接続されている制御装置（２， ３，３′，３″）とのデータ交換を実施するために、監視ユニットの機能を引き 受ける 請求項１記載の安全装置。 ５．外部装置（４）は、制御装置（２，３，３′，３″）との制限されないデ ータ交換を、合法性検査のためのデータ交換の実施後（１０８ないし１２２）、 少なくとも１つの機能制御装置（３，３′，３″）がアンロックされているとき にだけ実施することができる 請求項１記載の安全装置。 ６．監視ユニットの機能を引き受ける制御装置（２，３，３′，３″）は、外 部装置（４）の存在を所定の刺激信号に基づいて検出し、該刺激信号は外部装置 （４）がデータ線路（１）との接続後該データ線路に入力したものである 請求項３記載の安全装置。 ７．盗難防止制御装置（２）はスイッチ（２３）を有し、該スイッチを用いて 、盗難防止制御装置は外部装置（４）からデータ線路（１）に入力された刺激信 号の検出後、データ線路（１）を介するデータ交換を制御するための装置（２１ ，２２）を切り離す請求項６記載の安全装置。 ８．盗難防止制御装置は、外部装置（４）の、データ線路（１）との接続の検 出後、信号を記憶し（１６０）、該信号に基づいて、合法性検査のためのデータ 交換の実施なしに車両の少なくと１回の後続の始動が可能である（１０８ないし １２２） 請求項１記載の安全装置。 ９．監視ユニットの機能を引き受ける制御装置（２，３，３′，３″）は、そ れが点火の遮断後（１３０）、線路監視信号を少なくとも１つの別の制御装置（ ２，３，３′，３″）に送出し（３００）、かつ確認応答信号の到来を検査する （３０２）ことによって、データ線路（１）の機能性を監視する 請求項３記載の安全装置。 １０．少なくとも１つの機能制御装置、例えば機関制御装置とのデータ交換を 、その作動準備状態を制御するために実施する盗難防止制御装置と、少なくとも １つの盗難防止制御装置および機能制御装置を、それらの間でデータ交換を行う ように接続するデータ線路とを備えた、車両用安全装置において、 盗難防止制御装置（２）および機能制御装置（３）は合法性検査のためのデータ 交換を次のようにして実施する、即ち前記装置（２，３）の一方の装置が他方の 装置（３，２）に基本コード（Ｚ）を送出し（１１８）、受信側の装置（３，２ ）が該基本コード（Ｚ）からアンロックコード（Ｙ）を導出しかつ送信側の装置 （２，３）に返送し、かつ送信側の装置（２，３）は、返送されてきたアンロッ クコード（Ｙ）が、該送信側の装置（２，３）それ自体が受信側の装置（３，２ ）と同じ方法で基本コード（Ｚ）から形成したアンロックコード（Ｙ′）と一致 しているかどうかを検査す る ことを特徴とする車両用安全装置。 １１．監視ユニットの機能を引き受ける制御装置（２，３，３′，３″）は、 該制御装置が車両作動の期間に循環的に合法性検査を実施することによって、信 号線路（１）を監視する 請求項１０記載の安全装置。 １２．少なくとも１つの機能制御装置、例えば機関制御装置とのデータ交換を 、その作動準備状態を制御するために実施する盗難防止制御装置と、少なくとも １つの盗難防止制御装置および機能制御装置を、それらの間でデータ交換を行う ように接続するデータ線路とを備えた、車両用安全装置において、 制御装置（３，３′，３″）のアンロックのためのコードは盗難防止制御装置（ ２）を迂回して、例えばアクセルペダルを介して入力可能である ことを特徴とする車両用安全装置。