Die Erfindung bezieht sich auf ein Verfahren nach dem Oberbegriff des Patentanspruchs 1.

Der Aufbau des Codesignals aus zwei Teilen ist grundsätzlich aus dem Deutschen Patent 29 28 913 bekannt. Dabei sind die beiden Teil-Codesignale in der Regel ohne besondere Sicherheiten auslesbar. Dadurch ergibt sich das Problem, daß der Inhalt des Codesignals unberechtigterweise kopiert werden kann und damit für den Unberechtigten die Möglichkeit besteht, das Kraftfahrzeug zu benutzen.

Zwar wird versucht, dieser Gefahr dadurch zu begegnen, daß zumindest ein Teil-Codesignal bei jeder Benutzung des Kraftfahrzeugs geändert wird und das Kopieren der für die letzte Benutzung des Kraftfahrzeugs maßgeblichen Codesignals aufgrund des für den nächste Benutzung maßgeblichen geänderten Codesignals keine Möglichkeit eröffnet, das Kraftfahrzeug mit dem "alten" Codesignal zu benutzen. Diese Lösung ist jedoch einerseits aufwendig, da sie im Codespeicher und im Codevergleicher eine Synchronisation der Code-Änderung erfordert. Besteht beispielsweise die Möglichkeit, für den Codespeicher einen Benutzungsvorgang zu simulieren und entsprechend das Codesignal zu ändern, so können sich Probleme bei der Synchronisation ergeben.

Hinzu kommt die prinzipielle Möglichkeit, den für die Änderung des Codesignals in der Regel verwendeten Algorithmus in Erfahrung zu bringen und aus dem bei der letzten Benutzung gültigen Codesignal auf den für die nächste Benutzung erwarteten Code zu schließen.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren der eingangs genannten Art zu schaffen, das eine verbesserte Sicherheit bei der Benutzung des Kraftfahrzeugs mit einfachen Mitteln erreicht. Diese Aufgabe wird durch die kennzeichnenden Merkmale des Patentanspruchs 1 gelöst.

Von den beiden Teil-Codesignalen ist jeweils nur eines auslesbar. Auch dann, wenn der Codespeicher in die Hände eines Unberechtigten gerät, kann das zweite Teil-Codesignal nicht ausgelesen werden, da dies nur mit Hilfe des Codevergleichers gesteuert möglich ist. Voraussetzung hierfür ist, daß der Codevergleicher die Übereinstimmung des ersten Teil-Codesignals erkennt. Da die beiden Teil-Codesignale voneinander unabhängig sind, läßt sich aus der Kenntnis nur eines Teil-Codesignals keinerlei Aussage über das andere Teil-Codesignal treffen. Damit aber ist ein wirksamer Schutz vor einem Kopieren des gesamten Codesignals erzielt.

Verbesserungen und weitere Ausgestaltungen der Erfindung sind Gegenstand der Patentansprüche 2 bis 5. Die erzielten Vorteile und Verbesserungen bestehen für den Patentanspruch

• 2 in der Möglichkeit, mit Hilfe von mehreren Codespeichern das Kraftfahrzeug zu benutzen,
• 3 darin, auch dann, wenn es gelingen sollte, die durch die Zugangskontrolleinrichtung gegebene Sicherheit aufzubrechen und die beiden Teil-Codesignale auszulesen, für das Kraftfahrzeug anschließend an eine Benutzung durch den berechtigten Benutzer die Benutzung durch den Unberechtigten zu verhindern,
• 4 darin, die Änderung des zweiten Teil-Codesignals mit großer Variationsbreite vornehmen zu können -die Verwendung eines Änderungs-Algorithmus ist dabei nicht erforderlich-, es genügt vielmehr die Eingabe einer Zufallszahl, und
• 5 die Absicherung des dann geänderten zweiten Teilcodes während und nach der Änderung des Codespeicherinhalts.

Die Erfindung ist anhand der Zeichnung weiter erläutert. Diese zeigt nach Art eines Ablaufschemas den Dialog zwischen einem tragbaren Codespeicher und einem fahrzeugfesten Codevergleicher. Der in den Diagrammen a bis f dargestellte Ablauf dieses Dialogs erfolgt vorzugsweise drahtlos.

Der Codespeicher S sitzt in einem tragbaren Gehäuse Z (svw. Zündschlüssel). Er besitzt eine Blockstruktur, wie sie im Prinzip aus der DE 42 05 567 A1 bekannt ist. Die mit Ziffern 1 bis 7 bezeichneten Blöcke sind im Rahmen der Erfindung nur hinsichtlich der Blöcke 1 bis 3 von Interesse. Der Block 1 ist Teil einer nicht im einzelnen dargestellten Zugangskontrolleinrichtung für die Blöcke 1 bis 7, die durch einen mit dem Speicher S zusammenwirkenden Mikroprozessor (nicht dargestellt) im Gehäuse Z vorgesehen ist. Die Zugangskontrolleinrichtung wird gesteuert durch Anzeiger RFB für die Nummer des als erstes auslesbaren Speicherblocks und RLB für die Nummer des als letztes auslesbaren Speicherblocks. Der Zugang zu der Zugangskontrolleinrichtung kann zusätzlich passwortgeschützt sein. Wesentlich ist, daß die Zugangskontrolleinrichtung nur von einem im Kraftfahrzeug vorgesehenen oder enthaltenen Codevergleicher V gesteuert werden kann. Der Codevergleicher ist nicht im einzelnen dargestellt. Er sitzt im Kraftfahrzeug und nimmt die vom Speicher S auslesbaren Inhalte der Speicherblöcke auf.

Der im folgenden und anhand der Diagramme a bis f erläuterte Dialog soll beispielsweise bei Einführen und Betätigen des mechanischen Zündschlüssels in einem Zündschloß erfolgen. Es ist aber genauso gut auch möglich, diesen Dialog ergänzend oder stattdessen bei Aufschließen des Kraftfahrzeugs vorzunehmen. Der Speicher S sitzt hierzu in einem Zündschlüssel Z, der in ein nicht dargestelltes Schloß eingeführt wird und dabei eine Abfrage durch den Codevergleicher V auslöst. Der Dialog erfolgt vorzugsweise drahtlos mit Hilfe einer Spule Sp, die durch ein Transmitter-IC gesteuert wird.

Als erstes (Diagramm a) wird das im Block 3 enthaltene erste Teil-Codesignal ausgelesen und über die Spule Sp in den Codevergleicher V eingegeben. Der Anzeiger RFB enthält die Bezeichnung des ersten Blocks (3), der auslesbar ist. Dieses erste Teil-Codesignal enthält eine Information, die speicher- bzw. schlüsselspezifisch individualisiert ist und die nicht verändert wird. Damit wird es für den Codevergleicher V möglich, einen von mehreren berechtigten Benutzer anhand der im Block 3 enthaltenen Schlüsselidentifikation zu erkennen.

Stimmt das erste Teil-Codesignal mit dem im Vergleicher V vorhandenen und von diesem erwarteten Referenz-Teil-Codesignal überein, so steuert der Vergleicher über das Transmitter-IC und die Spule Sp die Anzeiger RFB und RLB (Block 1) in der im Diagramm b dargestellten Weise. Die Information RFB''2 und RLB''2 bezeichnet damit nur den Block 2, der allein auslesbar ist.

Die im Block 2 enthaltene Information stellt das zweite Teil-Codesignal dar, das nunmehr ausgelesen und im Vergleicher V mit dem entsprechenden Referenz-Teil-Codesignal verglichen wird. Liegt auch hier Übereinstimmung vor, d.h. ist das Gesamte aus den beiden Teil-Codesignalen gebildete Codesignal identisch mit dem erwarteten Codesignal, so schaltet der Vergleicher ein Antriebs-Steuergerät M frei.

Im Anschluß daran wird vom Vergleicher V ein neues zweites Teil-Codesignal zurückgeschrieben. Es kann sich dabei um eine Zufallszahl handeln. Diese gelangt auf dem durch einen Pfeil dargestellten Weg zum Speicher S und wird als neuer Wechselcode im Block 2 gespeichert. Dieser Vorgang ist im Diagramm d dargestellt.

Um sicherzustellen, daß der Wechselcode tatsächlich richtig gespeichert wurde, wird er erneut ausgelesen und im Vergleicher mit dem in der vorangegangenen Verfahrensstufe (Diagramm d) ausgesandten Wechselcode verglichen (Diagramm e). Stimmt der Wechselcode überein, so wird durch den Vergleicher V der Inhalt des Blocks 1 wieder verändert und der ursprüngliche (Diagramm a) vorhandene Zustand eingestellt. Die Information im Feld RFB (= 3) bedeutet, daß jetzt wieder der Block 3 als erstes auslesbar ist, während der Inhalt des Blocks 2, d.h. der Wechselcode, zugriffsgeschützt ist.

Der Inhalt des Speichers S in der Stufe f unterscheidet sich von dem in der Stufe a somit hinsichtlich des Inhalts des Blocks 2. Dieser Inhalt ist nicht mehr auslesbar, er ist andererseits aber gegenüber dem zunächst (Diagramm a) vorliegenden Inhalt verändert. Damit wird der Wechselcode vor Auslesen geschützt. Andererseits ist auch dann, wenn es gelingen sollte, den Wechselcode trotzdem zu "knacken" sichergestellt, daß nach der nächsten Benutzung des Kraftfahrzeugs durch den dann wiederum geänderten Wechselcode ein Schutz vor einer mißbräuchlichen Benutzung des Kraftfahrzeugs erreicht ist.