DE10021811A1 - Ausbausicherung für elektronische Komponenten bei einem Kraftfahrzeug - Google Patents

Abstract

Die Erfindung betrifft eine Ausbausicherung für elektronische Komponenten eines in ein Kraftfahrzeug eingebauten elektronischen Betriebssystems zum Betrieb des Kraftfahrzeuges. Die im Kraftfahrzeug eingebauten Komponenten sind über wenigstens eine Datenleitung miteinander verbunden, wobei jede Komponente herstellerseitig zum Betrieb in einem bestimmten Betriebssystem berechtigt ist, wobei jede Komponente in einem Speicher einen für dieses bestimmte Betriebssystem individualisierten Identifikations-Code enthält. Zumindest für eine Inbetriebnahme des Fahrzeuges erfolgt ein Vergleich der Identifikations-Codes der Komponenten, wobei jede Komponente Identifikations-Signale, die mit ihrem Identifikations-Code korrelieren, an die anderen Komponenten sendet und/oder Identifikations-Signale der anderen Komponenten empfängt. Das Betriebssystem ist dabei so ausgebildet, daß es nur dann, wenn alle Komponenten denselben Identifikations-Code besitzen, einen ordnungsgemäßen Betrieb des Fahrzeugs ermöglicht.

Description

Die Erfindung betrifft eine Ausbausicherung für elektronische Komponenten eines in einem Kraftfahrzeug eingebauten elektronischen Betriebssystems zum Betrieb des Kraftfahrzeuges.

Moderne Kraftfahrzeuge besitzen ein Betriebssystem, das aus einer Vielzahl elektronischer Komponenten aufgebaut ist, die über entsprechende Datenleitungen miteinander verbunden sind. Als Komponenten dieses Betriebssystems kommen grundsätzlich alle elektronischen Steuergeräte des Fahrzeuges in Frage, wie z. B. ein Steuergerät zum Betrieb eines Motors des Fahrzeuges, ein Steuergerät einer Audioanlage, ein Steuergerät einer Telefonanlage, ein Steuergerät einer Klimaanlage, ein Steuergerät einer Bremsanlage, ein Steuergerät einer Stabilisierungseinrichtung, ein Steuergerät für eine Instrumententafel, ein Steuergerät für eine funkgesteuerte Schließanlage, ein Steuergerät für eine Alarmanlage, ein Steuergerät für ein elektronisches Zündschloß.

Wenn aus einem ersten Fahrzeug unbefugt eine Komponente des Betriebssystems ausgebaut und in das Betriebssystem eines zweiten Fahrzeuges eingebaut wird, kann es bei unsachgemäßer Montage zu einer Beschädigung des Fahrzeuges bzw. zu einer Gefährdung der Fahrzeuginsassen kommen. Beispielsweise können die Fahrzeugtypen verwechselt werden, so daß das Motorsteuergerät des einen Fahrzeugtyps den Motor des anderen Fahrzeugtyps falsch belastet und beschädigt. Es besteht daher das Bestreben, einen unbefugten Ausbau und Einbau von Komponenten eines Betriebssystems zu verhindern. Zu diesem Zweck werden Ausbausicherungen verwendet, die z. B. die jeweilige Komponente bei ihrem Ausbau unbrauchbar machen. Wenn beispielsweise ein so gesichertes Autoradio oder ein so gesichertes elektronisches Zündschloß aus einem ersten Fahrzeug ausgebaut wird, ist diese Komponente in einem zweiten Fahrzeug nicht mehr verwendbar, wodurch einerseits ein unsachgemäßer Betrieb verhindert wird, während andererseits auch ein Diebstahl der Komponente unattraktiv wird.

Aus der EP 0 342 378 A2 ist eine Diebstahlsicherung für ein versenkt in einem Einbauschacht angeordnetes Einbaugerät, z. B. Autoradio, bekannt. Dabei kann das Einbaugerät wenigstens auf einer mechanisch durch einen bewegbaren Sicherungsanschlag begrenzbaren Strecke aus dem Einbauschacht herausgezogen werden. Innerhalb dieser Strecke wird jedoch durch die Relativbewegung zwischen dem Einbaugerät und dem Einbauschacht ein elektrischer Diebstahlsicherungskontakt alarmauslösend betätigt. Durch die Alarmauslösung wird ein unsachgemäßer Ausbau des Gerätes verhindert, wodurch auch ein unbefugter Einbau in einem anderen Fahrzeug unterbleibt.

Die EP 0 249 071 A1 zeigt eine Diebstahlsicherung für ein in einem Einbauschacht eines Kraftfahrzeuges eingebautes Phonogerät. Am Phonogerät, z. B. ein Autoradio, ist ein Kontaktelement angeordnet, das als Blattfeder ausgebildet ist. Dieses Kontaktelement ist einerseits über eine Isolierscheibe an der Gehäuseinnenseite befestigt und erstreckt sich mit einer als Betätigungsteil dienenden V-förmigen Auswölbung durch einen Gehäusedurchbruch, derart, daß die Spitze der Auswölbung in eine rechteckförmige Ausnehmung des Einbauschachtes eingreifen kann, deren Abmessung so dimensioniert ist, daß die Wandung der Ausnehmung gegenüber dem Betätigungsteil als Kulisse dient. Am anderen Ende des Kontaktelementes trägt dasselbe einen Kontakt, welche unter der Vorspannung des Kontaktelementes auf einem gehäuseinnenseitigen Massekontakt aufliegt. Dieser Kontakt ist seinerseits über eine elektrische Verbindung mit einem Eingang eines Diebmoduls verbunden, während an das andere Ende des Kontaktelementes über eine Anschlußfahne eine mit einer Einbruch-Diebstahl-Warnanlage verbundene elektrische Leitung angeschlossen ist. Beim Herausziehen des Radios aus dem Einbauschacht läuft das Betätigungsteil an der Wandung auf, wodurch dasselbe in Richtung Gehäuseinneres bewegt wird. Dabei hebt der Kontakt vom Massekontakt ab und unterbricht die Masseverbindung zum Gehäuse und somit auch den Masseanschluß der Einbruch-Diebstahl-Warnanlage, die dadurch ihren Alarm auslöst. Außerdem wird durch die unterbrochene Masseverbindung ein entsprechendes Signal am Diebmodul erzeugt, wodurch dieses aktiviert wird. Das Diebmodul schaltet somit das Radio funktionsunfähig und macht es für Unbefugte wertlos. Lediglich Befugte können durch geeignete Maßnahmen das Radio wieder funktionsfähig schalten.

Die vorliegende Erfindung beschäftigt sich mit dem Problem, für die Komponenten eines Fahrzeugbetriebssystems eine Möglichkeit anzugeben, die einen unbefugten Ausbau und Einbau der Komponenten verhindert.

Dieses Problem wird erfindungsgemäß durch eine Ausbausicherung mit den Merkmalen des Anspruchs 1 gelöst.

Die Erfindung beruht auf dem allgemeinen Gedanken, sämtliche miteinander verbundenen Komponenten des Betriebssystems fahrzeugspezifisch zu individualisieren, wobei das Betriebssystem nur dann ordnungsgemäß arbeitet, wenn sämtliche Komponenten des Betriebssystems für dasselbe Betriebssystem und somit für dasselbe Fahrzeug individualisiert sind. Jede Komponente enthält dadurch in Form eines Identifikations-Codes eine vom Fahrzeughersteller vorgegebene individuelle Zuordnung zu einem bestimmten Betriebssystem in einem bestimmten Fahrzeug. Wenn eine Komponente nun aus dem dafür vorgesehenen Betriebssystem ausgebaut wird und unbefugt in ein anderes Betriebssystem bei einem anderen Fahrzeug eingebaut wird, führt dies dazu, daß das Betriebssystem des anderen Fahrzeugs nicht mehr ordnungsgemäß arbeitet. Ein unautorisierter Einbau einer Komponente wird dadurch unwirtschaftlich, so daß beispielsweise der Diebstahl derartiger Komponenten unattraktiv ist. Bei einer entsprechenden Ausgestaltung der Ausbausicherung kann für den Fall, daß in das Betriebssystem eine Komponente unautorisiert eingebaut ist, z. B. der Fahrzeugbetrieb komplett lahmgelegt werden. Auf diese Weise kann eine Beschädigung des Fahrzeuges sowie eine Gefährdung der Insassen effektiv verhindert werden.

Die Individualisierung des Betriebssystems bzw. der Komponenten erfolgt z. B. bei ihrem Einbau im Rahmen der Herstellung des Fahrzeuges oder bei der ersten Inbetriebnahme des Fahrzeuges. Eine Anpassung bzw. Zulassung einer neuen, nachträglich eingebauten Komponenten für ein bereits installiertes Betriebssystem darf selbstverständlich nur über einen autorisierten Zugriff auf die Daten des installierten Betriebssystems bzw. des Fahrzeuges erfolgen. Dies ist beispielsweise bei einem Komponentenaustausch oder bei einer Nachrüstung einer zusätzlichen Komponente erforderlich.

Bei einer bevorzugten Ausführungsform kann eine der Komponenten des Betriebssystems als Prüfeinheit ausgebildet sein, die für eine Inbetriebnahme des Kraftfahrzeuges eine Berechtigungsprüfung durchführt, bei der eine tragbare Identifikations-Einheit, z. B. ein elektronischer Schlüssel, eine elektronische Berechtigungskarte ("Keyless-Go-Karte") überprüft wird, wobei die Inbetriebnahme des Fahrzeuges nur dann ermöglicht wird, wenn die Identifikations-Einheit für das in das Fahrzeug eingebaute Betriebssystem individualisiert ist. Eine derartige Prüfeinheit kann beispielsweise durch das Steuergerät eines elektronischen Zündschlosses gebildet sein. Durch die Integration dieser Komponente in das Betriebssystem des Fahrzeuges kann ein gestohlenes Fahrzeug nicht dadurch in Betrieb genommen werden, daß ein neues elektronsiches Zündschloß als Ersatzteil eingebaut wird, da die übrigen Komponenten des Betriebssystems dann eine andere Individualisierung aufweisen als die neue Komponente.

Bei einer weiteren Ausgestaltung kann zumindest eine der Komponenten als Master-Komponente dienen und ein mit ihrem Identifikations-Code korrelierendes Identifikations-Signal an die anderen, als Slave-Komponenten ausgebildeten Komponenten senden, wobei jede Slave-Komponente den eigenen Identifikations-Code mit dem Identifikations-Code der Master- Komponente vergleicht und sich selbsttätig deaktiviert, wenn keine Übereinstimmung vorliegt. Bei dieser Ausführungsform ist jede Slave-Komponente autark und überprüft selbst ihre Zugehörigkeit zur Master-Komponente. Dementsprechend deaktiviert sich die Slave-Komponente selbsttätig, wenn sie nicht für die Master-Komponente individualisiert ist. Diese Ausführungsform ermöglicht eine Standardisierung bei der Software der Slave-Komponenten.

Gemäß einer anderen Ausführungsform kann zumindest eine der Komponenten als Master-Komponente dienen und die mit den Identifikation-Codes der anderen, als Slave-Komponenten ausgebildeten Komponenten korrelierten Identifikations-Signale empfangen und mit dem eigenen Identifikations-Code vergleichen. Bei dieser Ausführungsform obliegt es der Master- Komponente bei Vorliegen einer unbefugt montierten Komponente geeignete Maßnahmen zu ergreifen. Diese Maßnahmen können je nach Systemphylosophie ausgestaltet sein. Beispielsweise kann es, je nach dem welche Komponente unbefugt montiert ist, zweckmäßig sein, das Fahrzeug vollständig lahm zu legen oder lediglich eine Fehlermeldung in einem entsprechenden Speicher abzulegen, der bei der nächsten Inspektion einen entsprechenden Hinweis für das Wartungspersonal gibt.

Bei einer besonders vorteilhaften Ausführungsform kann das Betriebssystem entsprechend einer vorbestimmten Routine mindestens eine Komponente deaktivieren oder hinsichtlich ihrer Funktionen einschränken, wenn mindestens zwei Komponenten unterschiedliche Identifikations-Codes besitzen. Bei dieser Ausführungsform kann beispielsweise ein Autoradio, das bei einem ersten Fahrzeug ausgebaut wird und unbefugt in ein zweites Fahrzeug eingebaut wird zum Totalausfall des zweiten Fahrzeuges führen.

Außerdem kann es zweckmäßig sein, die Deaktivierung einer Komponente oder einer Funktion einer Komponente irreversibel auszubilden oder so auszugestalten, daß sie nur mittels eines speziellen Autorisierungssignals aufhebbar ist.

Bei einer anderen Ausführungsform kann das Betriebssystem ein Hinweissignal an eine Überwachungsstelle senden, wenn mindestens zwei Komponenten verschiedene Identifikations-Codes besitzen. Wenn beispielsweise bei einem vermißten Fahrzeug eine Komponente des Betriebssystems ausgetauscht wird, kann dies z. B. bei der nächsten Inbetriebnahme des Fahrzeuges von der Überwachungsstelle erkannt werden, wodurch z. B. eine Lokalisierung des Fahrzeuges möglich wird.

Weitere wichtige Merkmale und Vorteile der erfindungsgemäßen Vorrichtung ergeben sich aus den Unteransprüchen, aus den Zeichnungen und aus der zugehörigen Figurenbeschreibung anhand der Zeichnungen.

Es versteht sich, daß die vorstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

Ein bevorzugtes Ausführungsbeispiel der Erfindung ist in den Zeichnungen dargestellt und wird in der nachfolgenden Beschreibung näher erläutert.

Die einzige Fig. 1 zeigt eine stark vereinfachte Prinzipdarstellung eines elektronischen Betriebssystems nach der Erfindung.

Entsprechend Fig. 1 weist ein Betriebssystem 1 eines im übrigen nicht dargestellten Kraftfahrzeuges mehrere elektronische Komponenten 2, 3, 4, 5, 6, 7, 8 auf, die über einen Datenbus 9 miteinander verbunden sind. Anstelle eines einzigen Datenbusses kann auch ein Bussystem verwendet werden, ebenso ist die Verwendung anderer Datenleitungen zur Vernetzung der Komponenten 2 bis 8 möglich. Jede Komponente 2 bis 8 enthält einen Speicher 10, in dem ein Identifikations- Code gespeichert ist. Bei der Herstellung des Fahrzeuges wird dieser Identifikations-Code im Rahmen der Erstausstattung des Fahrzeuges in den Speicher 10 der jeweiligen Komponente 2 bis 8 eingelesen. Dabei wird der Identifikations-Code individuell auf das jeweilige Fahrzeug bzw. Betriebssystem abgestimmt. Ebenso ist bei einem nachträglichen Einbau einer solchen Komponente die fahrzeugspezifische Individualisierung möglich, um der jeweiligen Komponente den richtigen Identifikations- Code zu geben. Hierbei kann beispielsweise auf eine Datenbank des Fahrzeugherstellers zugegriffen werden, in der die Identifikations-Codes für jedes einzelne Fahrzeuggespeichert sind. Ein Zugriff auf diese Datenbank ist gesichert und kann nur bei einer entsprechenden Autorisation erfolgen.

Im vorliegenden Ausführungsbeispiel ist die Komponente 2 ein Steuergerät einer Bremsanlage des Fahrzeuges. Die Komponente 3 ist ein Steuergerät für den Betrieb eines Motors des Fahrzeuges. Die Komponente 4 kann ein Steuergerät zum Betrieb einer Klimaanlage des Fahrzeuges sein. Die Komponente 5 kann durch ein Phonogerät, z. B. ein Autoradio, gebildet sein, während die Komponente 6 das Steuergerät einer Instrumententafel des Fahrzeuges sein kann. Im vorliegenden Beispiel ist die Komponente 7 durch ein Steuergerät einer funkgesteuerten Schließanlage des Fahrzeuges gebildet. Die Komponente 8 ist als elektronisches Zündschloß ausgebildet, und dient als Prüfeinheit. Diese Prüfeinheit 8 führt für eine Inbetriebnahme des Kraftfahrzeuges eine Berechtigungsprüfung durch, bei der eine tragbare Identifikations-Einheit 11 oder 12 überprüft wird. Eine solche Identifikations-Einheit 11, 12 kann beispielsweise durch einen elektronischen Schlüssel 11 oder durch eine Berechtigungskarte 12, eine sogenannte "Keyless-Go-Karte" gebildet sein. Für die Berechtigungsprüfung wirkt die Identifikations-Einheit 11, 12 mit einer Schnittstelle 13, z. B. Zündschloß, der Prüfeinheit 8 zusammen. Zum Öffnen der Fahrzeugtüren kann die jeweilige Identifikations-Einheit 11, 12 mit der funkgesteuerten Fahrzeugschließanlage zusammenwirken, was hier durch schematisierte Wellen 14 symbolisiert ist.

Die erfindungsgemäße Ausbausicherung für die elektronischen Komponenten 2 bis 8 funktioniert wie folgt:

Zumindest für die Inbetriebnahme des Fahrzeuges erfolgt ein Vergleich der Identifikations-Codes der Komponenten 2 bis 8. Wenn das Betriebssystem 1 feststellt, daß alle Komponenten 2 bis 8 denselben Identifikations-Code besitzen, geht das Betriebssystem 1 davon aus, daß alle Komponenten 2 bis 8 ordnungsgemäß installiert sind. Das Betriebssystem 1 ermöglicht dann einen ordnungsgemäßen Fahrzeugbetrieb.

Hierbei ist es grundsätzlich möglich, daß eine oder mehrere der Komponenten 2 bis 8, vorzugsweise die Prüfeinheit 8, als Master-Komponente dienen. Wenn beispielsweise die Prüfeinheit 8 die Master-Komponente bildet, sendet die Master-Komponente 8 ein mit ihrem Identifikations-Code korreliertes Identifikations-Signal auf den Datenbus 9. Über den Datenbus 9 erhält jede andere Komponente 2 bis 7, die hier als Slave- Komponenten dienen, den Identifikations-Code der Master- Komponente 8. Jede Slave-Komponente 2 bis 7 führt dann selbständig für sich einen Vergleich zwischen dem eigenen Identifikations-Code und dem Identifikations-Code der Master- Komponente 8 durch. Falls die miteinander verglichenen Identifikations-Codes übereinstimmen, bleibt die jeweilige Slave-Komponente 2 bis 7 aktiv, falls die miteinander verglichenen Identifikations-Codes unterschiedlich sind, deaktiviert sich die jeweilige Slave-Komponente von selbst.

Bei einer anderen Ausführungsform kann wieder mindestens eine der Komponenten 2 bis 8 als Master-Komponente dienen und die gesendeten, mit den Identifikations-Codes der anderen, als Slave-Komponenten ausgebildeten Komponenten korrelierten Identifikations-Signale empfangen und mit dem eigenen Identifikations-Code vergleichen. Beispielsweise dient auch hier die Prüfeinheit 8 als Master-Komponente, die die Identifikations-Codes aller übrigen Slave-Komponenten 2 bis 7 überprüft. Sofern die Identifikations-Codes aller Slave- Komponenten 2 bis 7 mit dem Identifikations-Code der Master- Komponente 8 übereinstimmen, ermöglicht das Betriebssystem 1 einen ordnungsgemäßen Betrieb des Fahrzeuges. Wenn jedoch wenigstens eine Slave-Komponente 2 bis 7 einen anderen Identifikations-Code besitzt, kann die Master-Komponente 8 die jeweilige Slave-Komponente 2 bis 7 deaktivieren. Entsprechend einer besonderen Phylosophie kann das Betriebssystem 1 dabei auch so ausgebildet sein, daß unabhängig davon, welche der einzelnen Komponenten 2 bis 7 einen falschen Identifikations- Code aufweist, die Master-Komponente 8 auch das komplette Betriebssystem 1 ausschalten und somit das Fahrzeug insgesamt lahmlegen kann. Ebenfalls ist es möglich, nur gezielte Funktionen des Fahrzeuges bzw. gezielte Funktionen einzelner Komponenten 2 bis 8 auszuschalten oder einzelne Komponenten zu deaktivieren. Außerdem kann das Betriebssystem 1 so ausgebildet sein, daß die Maßnahme bei Vorliegen einer falschen Komponente davon abhängen, welche Komponente unbefugt montiert ist und nicht zum Betriebssystem 1 gehört. Beispielsweise kann einerseits bei einem falschen elektronischen Zündschloß 8 trotz zugehöriger Identifikations- Einheit 11, 12 das komplette Betriebssystem 1 deaktiviert werden. Wenn andererseits beispielsweise das Steuergerät 2 für die Bremsanlage unbefugt montiert ist, kann der Fahrzeugbetrieb insoweit eingeschränkt werden, daß beispielsweise nur noch eine stark verminderte Höchstgeschwindigkeit erreichbar ist. Schließlich kann vorgesehen sein, daß bei einem unbefugt montierten Phonogerät 5 dieses deaktiviert wird und eine entsprechende Alarmmeldung an der Instrumententafel des Fahrzeuges erkennbar ist.

Claims (11)

1. Ausbausicherung für elektronische Komponenten (2, 3, 4, 5, 6, 7, 8) eines in ein Kraftfahrzeug eingebauten elektronischen Betriebssystems (1) zum Betrieb des Kraftfahrzeuges, mit folgenden Merkmalen:

• - die im Kraftfahrzeug eingebauten Komponenten (2 bis 8) sind über wenigstens eine Datenleitung (9) miteinander verbunden,
• - jede Komponente (2 bis 8) ist herstellerseitig zum Betrieb in einem bestimmten Betriebssystem (1) berechtigt, wobei jede Komponente (2 bis 8) in einem Speicher (10) einen für dieses bestimmte Betriebssystem (1) individualisierten Identifikations-Code enthält,
• - zumindest für eine Inbetriebnahme des Fahrzeuges erfolgt ein Vergleich der Identifikations-Codes der Komponenten (2 bis 8), wobei jede Komponente (2 bis 8) Identifikations- Signale, die mit ihrem Identifikations-Code korrelieren, an die anderen Komponenten (2 bis 8) sendet und/oder Identifikations-Signale der anderen Komponenten (2 bis 8) empfängt,
• - das Betriebssystem (1) ist so ausgebildet, daß es nur dann, wenn alle Komponenten (2 bis 8) denselben Identifikations- Code besitzen, einen ordnungsgemäßen Betrieb des Fahrzeuges ermöglicht.

2. Ausbausicherung nach Anspruch 1, dadurch gekennzeichnet, daß eine der Komponenten (8) als Prüfeinheit ausgebildet ist, die für eine Inbetriebnahme des Kraftfahrzeuges eine Berechtigungsprüfung durchführt, bei der eine tragbare Identifikations-Einheit, z. B. elektronischer Schlüssel (11), Berechtigungskarte (12), überprüft wird, wobei die Inbetriebnahme des Fahrzeuges nur dann ermöglicht wird, wenn die Identifikations-Einheit (11, 12) für das in das Fahrzeug eingebaute Betriebssystem (1) individualisiert ist.

3. Ausbausicherung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß mindestens eine der Komponenten (2 bis 8) als Master- Komponente dient und das mit ihrem Identifikations-Code korrelierte Identifikations-Signal an die anderen, als Slave- Komponenten ausgebildeten Komponenten (2 bis 8) sendet, wobei jede Slave-Komponente den eigenen Identifikations-Code mit dem Identifikations-Code der Master-Komponente vergleicht und sich deaktiviert, wenn keine Übereinstimmung vorliegt.

4. Ausbausicherung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß mindestens eine der Komponenten (2 bis 8) als Master- Komponente dient und die mit den Identifikations-Codes der anderen, als Slave-Komponenten ausgebildeten Komponenten (2 bis 8) korrelierte Identifikations-Signale empfängt und mit dem eigenen Identifikations-Code vergleicht.

5. Ausbausicherung nach Anspruch 4, dadurch gekennzeichnet, daß eine Komponente (2 bis 8), deren Identifikations-Code vom Identifikations-Code der Master-Komponente abweicht, deaktiviert wird.

6. Ausbausicherung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß das Betriebssystem (1) entsprechend einer vorbestimmten Routine mindestens eine Komponente (2 bis 8) deaktiviert oder hinsichtlich ihrer Funktion einschränkt, wenn mindestens zwei Komponenten (2 bis 8) unterschiedliche Identifikations-Codes besitzen.

7. Ausbausicherung nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß die Deaktivierung einer Komponente (2 bis 8) oder einer Funktion einer Komponente (2 bis 8) irreversibel ist oder nur mittels eines speziellen Autorisierungssignals aufhebbar ist.

8. Ausbausicherung nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß die Komponenten (2 bis 8) durch ein Datenbussystem (9) miteinander verbunden sind.

9. Ausbausicherung nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, daß das Betriebssystem (1) ein Hinweissignal an eine Überwachungsstelle sendet, wenn mindestens zwei Komponenten (2 bis 8) verschiedene Identifikations-Codes besitzen.

10. Ausbausicherung nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, daß der Identifikations-Code im Speicher (10) der jeweiligen Komponente (2 bis 8) irreversibel gespeichert ist oder nur mittels eines speziellen Autorisierungssignals geändert werden kann.

11. Ausbausicherung nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, daß mindestens eine der Komponenten (2 bis 8) als Master- Komponente dient, die zumindest für die Inbetriebnahme des Fahrzeuges eine Abfrageroutine aufweist, die überprüft, ob alle Komponenten (2 bis 8) des Betriebssystems (1) vorhanden sind, wobei die Master-Komponente beim Fehlen einer Komponente (2 bis 8) wenigstens eine Komponente (2 bis 8) oder wenigstens eine Funktion einer Komponente (2 bis 8) deaktiviert.