DE19753730B4

DE19753730B4 - Vorrichtung zum Steuern einer Brennkraftmaschine

Info

Publication number: DE19753730B4
Application number: DE1997153730
Authority: DE
Inventors: Heiko Auer; Carsten Franz; Udo Schulz; Eric Schmidt
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1997-12-04
Filing date: 1997-12-04
Publication date: 2009-04-16
Anticipated expiration: 2017-12-05
Also published as: DE19753730A1; JP4308349B2; JPH11249890A

Abstract

Vorrichtung zum Steuern einer Brennkraftmaschine, mit wenigstens einem Mikroprozessor (110), wenigstens einem programmierbaren Speicher (116) und einem wiederbeschreibbaren Speicher (114), wobei in dem wiederbeschreibbaren Speicher (114) Programme abgelegt sind, die von dem Mikroprozessor (110) verarbeitet werden, wobei die Programme erst nach einer Prüfung abgearbeitet werden, dadurch gekennzeichnet, daß Mittel vorgesehen sind, die den Inhalt wenigstens einer Speicherzelle des programmierbaren Speichers (116) überprüfen, die das Programm ohne weitere Prüfung abarbeiten, wenn ein Inhalt der Speicherzelle des programmierbaren Speichers (116) einen ersten Wert annimmt, und andernfalls eine weitere Prüfung durchführen und in Abhängigkeit von der Prüfung die Abarbeitung des Programms zugelassen oder nicht, wobei der programmierbare Speicher (116) so ausgebildet ist, dass eine Änderung seines Inhalts ohne weiteres von außen zu erkennen ist.

Description

Stand der Technik
Die Erfindung betrifft eine Vorrichtung zum Steuern einer Brennkraftmaschine gemäß den Oberbegriffen der unabhängigen Ansprüche.
Ein Verfahren und eine Vorrichtung zum Steuern einer Brennkraftmaschine sind aus der DE 197 23 332 A1 bekannt. Dort werden ein Verfahren und eine Vorrichtung beschrieben, bei dem eine Steuereinrichtung für eine Brennkraftmaschine wenigstens einen Mikroprozessor, wenigstens einen programmierbaren Speicher und wenigstens einen wiederbeschreibbaren Speicher aufweist.
Ein solches Verfahren und eine Vorrichtung sind beispielsweise auch aus der JP 61-235994 A bekannt. Dort werden ein Verfahren und eine Vorrichtung beschrieben, bei dem Befehle in zwei Befehlsgruppen unterteilt sind und abhängig vom Zustand eines Initialisierungsflags entweder ein Befehl aus der einen Befehlsgruppe oder aus der anderen Befehlsgruppe gewählt wird.
In dem wiederbeschreibbaren Speicher sind Programme und/oder Daten abgelegt, die vom Mikroprozessor verarbeitet werden. Die in dem wiederbeschreibbaren Speicher abgelegten Programme werden nur dann von dem Mikroprozessor ausgeführt, wenn zuvor eine Prüfung erfolgt ist.
So ist beispielsweise vorgesehen, daß eine Checksummenprüfung erfolgt. Vor der Ausführung des Programms erfolgt ein Vergleich der Checksumme über den Speicher mit dem abgespeicherten Wert der Checksumme. So kann eine Veränderung der Daten sofort erkannt werden. Bei veränderten Daten wird das Programm nicht ausgeführt.
Desweiteren ist es möglich, daß die Befehle nur dann vom Mikroprozessor ausgeführt werden, wenn zuvor eine Zugriffsberechtigung durch ein Paßwort verifiziert wurde.
Problematisch ist es nun, wenn dem Kraftfahrzeughersteller, der die Steuergeräte in seine Kraftfahrzeuge einbaut, die Prüfmethoden, insbesondere die Paßwörter und die Checksummenbildung bekannt gegeben werden müssen. Dies ist insbesondere dann der Fall, wenn der Kraftfahrzeughersteller die Daten mit appliziert und in der Lage ist, Steuergeräte zu programmieren.
Insbesondere aus Gründen der Produkthaftung muß gewährleistet werden, daß alle Seriensteuergeräte, die in den Handel gelangen, nur mit einem vom Steuergerätehersteller freigegebenen Datensatz betrieben werden kann.
Aufgabe der Erfindung
Der Erfindung liegt die Aufgabe zugrunde, bei einer Vorrichtung zum Steuern einer Brennkraftmaschine zu verhindern, daß ein Datensatz, der veränderte Daten und/oder Programme enthält oder der nicht vom Steuergerätehersteller freigegeben wurde, auf einem Seriensteuergerät lauffähig ist. Gleichzeitig soll der Kraftfahrzeughersteller die Möglichkeit haben Steuergeräte zu applizieren, daß heißt Datensätze in einzelnen Steuergeräten zu ändern, ohne daß er Kenntnis von den Prüfungen hat.
Mit der erfindungsgemäßen Vorgehensweise ist es möglich, sicher zu verhindern, daß ein nicht vom Steuergerätehersteller autorisierter Datensatz auf einem Seriensteuergerät lauffähig ist.
Vorteilhafte und zweckmäßige Ausgestaltungen und Weiterbildungen der Erfindung sind in den Unteransprüchen gekennzeichnet.
Zeichnung
Die Erfindung wird nachstehend anhand einer Zeichnung dargestellt. 1 zeigt ein Blockdiagramm mit den wesentlichen Elementen eines Steuergeräts und 2 ein Flußdiagramm zur Verdeutlichung des Verfahrens.
Beschreibung der Ausführungsbeispiele
In der 1 ist ein Steuergerät 100 zur Steuerung einer Brennkraftmaschine und/oder eines Kraftfahrzeuges dargestellt. Das Steuergerät 100 verarbeitet Signale eines ersten Sensors 120, eines zweiten Sensors 125 sowie weiterer nicht dargestellter Sensoren. Diese Daten werden von einem Mikroprozessor 110 verarbeitet und in Ansteuersignale für einen ersten Steller 130 und einen zweiten Steller 135 sowie weiterer nicht dargestellter Steller verarbeitet.
Bei den Sensoren handelt es sich vorzugsweise um Sensoren zur Erfassung von Betriebskenngrößen der Brennkraftmaschine und/oder des Kraftfahrzeugs. Bei den Stellern handelt es sich beispielsweise um einen Steller zur Beeinflussung der Leistungsabgabe der Brennkraftmaschine wie beispielsweise der Drosselklappe, der einzuspritzenden Kraftstoffmenge oder anderer Größen. Die Anzahl der Sensoren und der Steller ist nur beispielhaft angegeben. Es können auch mehr oder weniger Steller und/oder Sensoren eingesetzt werden.
Entsprechende Steuergeräte sind auch einsetzbar zur Steuerung eines Getriebes, eines ABS-Systems oder anderer Systeme in einem Kraftfahrzeug.
Das Steuergerät umfaßt neben dem Mikrorechner 110 verschiedene Speicher 112, 114 und 116. Es handelt sich vorzugsweise bei dem Speicher 112 um einen nur-Lesespeicher (ROM), bei dem Speicher 114 um einen wiederbeschreibbaren Speicher (RAM) und bei dem Speicher 116 um einen programmierbaren Speicher (EEPROM).
In den Speichern 112 und 114 sind Progammbefehle und/oder Daten gespeichert, die von dem Mikroprozessor 110 verarbeitet werden. Dabei sind je nach der Art des Speichers unterschiedliche Daten oder Programme abgelegt.
Der nur-Lesespeicher 112 enthält ein fest gespeichertes Programm, welches nur durch Herstellung eines neuen Speicherbausteins geändert werden kann. In diesem Speicher ist in der Regel ein Minimalprogramm abgelegt, welches den Mikroprozessor 110 in die Lage versetzt, Befehle zu verarbeiten, die in anderen Speichermedien, insbesondere dem wiederbeschreibbaren Speicher 114 gespeichert sind.
Der wieder beschreibbare Speicher 114, der beispielsweise als EPROM oder als FLASH-EPROM ausgebildet ist, enthält Programme oder Daten, die im gewissen Rahmen veränderbar sind.
Im Rahmen der Applikation werden die Daten, die im wiederbeschreibbaren Speicher 114 abgelegt sind, ermittelt und eingeschrieben. Die im Rahmen der Applikation ermittelten Daten werden in die Seriensteuergeräte insbesondere im Anschluß an die Fertigung in den wiederbeschreibbaren Speicher 114 eingeschrieben. Dieses Einschreiben kann auch vom Fahrzeughersteller erfolgen.
Insbesondere aus Gründen der Produkthaftung dürfen in Seriensteuergeräte nur Datensätze lauffähig sein, die vom Steuergerätehersteller autorisiert sind. Dies ist einfach zu realisieren, wenn lediglich der Steuergerätehersteller im Rahmen der Applikation Daten ermittelt und diese in den Speicher 114 einschreibt. So ist in diesem Fall vorgesehen, daß das Programm erst dann abgearbeitet werden kann, wenn wenigstens eine Prüfung ergeben hat, daß ein autorisierter Datensatz im Speicher abgelegt ist.
Problematisch ist es, wenn der Kraftfahrzeughersteller ebenfalls im Rahmen der Applikation Daten ermittelt. Hierzu benötigt der Kraftfahrzeughersteller Kenntnis der Prüfungen, wie beispielsweise die Paßwörter oder des Verfahrens zur Checksummenbildung, um das Steuergerät mit dem geänderten Datensatz im Rahmen der Applikation betreiben zu können. Ohne die Kenntnis des Prüfverfahrens ist es nicht möglich, das Steuergerät mit geänderten Daten zu betreiben.
Die Weitergabe dieser Information insbesondere der Paßwörter und des Verfahrens zur Checksummenbildung sind problematisch. Kennt der Kraftfahrzeughersteller die Prüfverfahren, so kann er nicht freigegebene und autorisierte Datensätze abspeichern. Ferner ist eine Weitergabe der Prüfverfahren an Dritte nicht auszuschließen, wodurch es möglich wird, daß in Steuergeräten Datensätze wird im programmierbaren Speicher eine Speicherzelle verwendet, die anzeigt, ob es sich bei dem vorliegenden Steuergerät um ein Applikationssteuergerät oder um ein Seriensteuergerät handelt.
Zeigt die Speicherzelle an, daß es sich um ein Seriensteuergerät handelt, so ist das Programm und die Daten des Speichers 114 nur dann lauffähig, wenn die übliche Prüfung, das heißt die Checksummenbildung oder die Paßworteingabe fehlerfrei abgearbeitet wurde.
Zeigt der Speicherinhalt an, daß es sich um ein Applikationssteuergerät handelt, so folgt diese Prüfung nicht. Dies bedeutet, ein Applikations-Steuergerät ist auch mit einem veränderten Datensatz lauffähig. Zur Applikation erhält der Kraftfahrzeughersteller ein Applikations-Steuergerät. Die Anzahl dieser Applikations-Steuergeräte ist begrenzt. Somit ist gewährleistet, daß in Serienfahrzeugen lediglich Seriensteuergeräte zum Einsatz kommen, die mit freigegebenen und/oder autorisierten Datensätzen betrieben werden. Der Kraftfahrzeughersteller benötigt keinerlei Kenntnisse der Paßwörter oder des Verfahrens zur Checksummenbildung.
In 2 ist das Verfahren anhand eines Flußdiagrammes dargestellt. Zu Beginn der Programmabarbeitung wird in einem Schritt 200 der Inhalt der Speicherzelle des programmierbaren Speichers 116 ausgelesen. Die sich anschließende Abfrage 210 überprüft, ob der Inhalt dieser Speicherzelle anzeigt, daß ein Applikationssteuergerät vorliegt. Nimmt der Inhalt der Speicherzelle einen ersten Wert an, so wird davon ausgegangen, daß ein Applikationssteuergerät vorliegt. In diesem Fall wird in Schritt 220 das abgespeicherte Programm und die Daten des Speichers 114 ohne weitere Prüfungen dieser Speicherzelle anzeigt, daß ein Applikationssteuergerät vorliegt. Nimmt der Inhalt der Speicherzelle einen ersten Wert an, so wird davon ausgegangen, daß ein Applikationssteuergerät vorliegt. In diesem Fall wird in Schritt 220 das abgespeicherte Programm und die Daten des Speichers 114 ohne weitere Prüfungen abgearbeitet. Der Fahrzeughersteller benötigt keinerlei Kenntnisse der Prüfverfahren.
Erkennt die Abfrage 210 dagegen, daß ein zweiter Wert vorliegt, der anzeigt, daß ein Seriensteuergerät vorliegt, so folgt in Schritt 230 wenigstens eine weitere Prüfung. Bei der weiteren Prüfung wird überprüft, ob im wiederbeschreibbaren Speicher ein autorisierter Datensatz abgelegt ist. Es wird beispielsweise eine Checksummenbildung vorgenommen oder es erfolgt eine Paßwortabfrage. Die sich anschließende Abfrage 240 überprüft, ob bei der Prüfung in Schritt 230 ein Fehler aufgetreten ist, beispielsweise daß die Checksumme nicht den richtigen Wert annimmt. Ist dies der Fall, so endet das Programm in Schritt 250. In dem Schritt 250 wird das Steuergerät in einen sicheren Betriebszustand gebracht. Es wird beispielsweise über den ersten Steller ein Mengensignal ausgegeben, daß einer Einspritzmenge von 0 entspricht. Erkennt die Abfrage 240, daß kein Fehler vorliegt, so wird ab Schritt 260 der normale Programmablauf abgearbeitet.
Zur Erhöhung der Sicherheit ist vorgesehen, daß der programmierbare Speicher so ausgebildet ist, daß eine Änderung seines Inhaltes ohne weiteres von außen erkennbar ist. Dies kann beispielsweise dadurch erzielt werden, daß ein EEPROM verwendet wird, der nun nach Ausbau aus dem Steuergerät neu programmiert werden kann. Durch geeignete Maßnahmen wie einer Versiegelung und/oder fest eingelöteter Bauteile kann ein solcher Ausbau des Speichers 116 sofort erkannt werden.

Claims

Vorrichtung zum Steuern einer Brennkraftmaschine, mit wenigstens einem Mikroprozessor (110), wenigstens einem programmierbaren Speicher (116) und einem wiederbeschreibbaren Speicher (114), wobei in dem wiederbeschreibbaren Speicher (114) Programme abgelegt sind, die von dem Mikroprozessor (110) verarbeitet werden, wobei die Programme erst nach einer Prüfung abgearbeitet werden, dadurch gekennzeichnet, daß Mittel vorgesehen sind, die den Inhalt wenigstens einer Speicherzelle des programmierbaren Speichers (116) überprüfen, die das Programm ohne weitere Prüfung abarbeiten, wenn ein Inhalt der Speicherzelle des programmierbaren Speichers (116) einen ersten Wert annimmt, und andernfalls eine weitere Prüfung durchführen und in Abhängigkeit von der Prüfung die Abarbeitung des Programms zugelassen oder nicht, wobei der programmierbare Speicher (116) so ausgebildet ist, dass eine Änderung seines Inhalts ohne weiteres von außen zu erkennen ist.
Vorrichtung nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß der programmierbare Speicher als EEPROM ausgebildet ist.