DE4405385A1 - Elektronische Vorrichtung zur Verhinderung der unbefugten Inbetriebnahme von Kraftfahrzeugen - Google Patents

Description

Die Erfindung betrifft eine elektronische Vorrichtung zur Verhinderung der unbefugten Inbetriebnahme von Kraftfahrzeugen, die insbesondere als Diebstahlschutzvorrichtung Verwendung findet.

Als Diebstahlschutzvorrichtung für Kraftfahrzeuge sind elektronische Vorrichtungen bekannt, die die Inbetriebnahme des Fahrzeugs durch unbefugte Personen verhindern sollen. Ihre Wirkungsweise besteht darin, daß sie das Starten des Kraftfahrzeugmotors unmöglich machen, wenn sie aktiviert sind. Vorrichtungen dieser Art werden als Wegfahrsperre bezeichnet. Bekannte Wegfahrsperren werden nach Verlassen des Fahrzeuges automatisch oder mit Hilfe eines als drahtloser Handsender ausgebildeten Funk- oder Infrarotfernbedienungssenders aktiviert. Dadurch werden betriebswichtige elektrische und/oder elektronische Komponenten des Fahrzeugs, wie etwa der Anlasser, die Kraftstoffpumpe oder die Zündanlage verriegelt, wodurch sie vorübergehend nicht mehr funktionsfähig sind. Das Fahrzeug kann dann nicht mehr in Gang gesetzt werden. Vor Inbetriebnahme des Fahrzeuges ist die Verriegelung mit dem Handsender wieder aufzuheben. Handelsübliche Wegfahrsperren wirken meist auf mehrere Betriebsmittel zugleich (beispielsweise auf Kraftstoffpumpe, Zündanlage und Anlasser), wodurch das Umgehen der Vorrichtung erschwert wird.

Ist eine Diebstahlschutzvorrichtung so ausgebildet, daß ein unverhältnismäßig hoher Aufwand zur Umgehung erforderlich wäre oder daß die Gefahr des Entdecktwerdens sehr hoch ist, wird der Dieb nach einem anderen Weg suchen, wenn er in den Besitz des Fahrzeuges gelangen will. Es findet daher insbesondere in den USA eine Verbrechensform zunehmende Verbreitung, bei der der Dieb das Fahrzeug nicht heimlich entwendet, sondern vom Fahrer unter Androhung von Waffengewalt die Herausgabe des Fahrzeuges nebst allen Mitteln zur Steuerung der Diebstahlschutzvorrichtung, etwa den besagten Handsender, fordert. Da geparkte Fahrzeuge immer effizienter gesichert werden können, ist mit einer weiteren Zunahme dieser Verbrechensform zu rechnen. Bei einer solchen Form von Fahrzeugdiebstahl sind Wegfahrsperren der beschriebenen Art wirkungslos, da der Dieb sie jetzt selbst entschärfen kann. Soll eine unbefugte Benutzung des Fahrzeuges durch Einschalten einer Wegfahrsperre auch noch nach erfolgtem Diebstahl verhindert werden, so sind insbesondere zur Aktivierung der Wegfahrsperre Mittel vorzusehen, die dem direkten Zugriff und damit der direkten Kontrolle durch Unbefugte entzogen sind. Dies wird dann erreicht, wenn die Diebstahlschutzvorrichtung über einen öffentlichen Funkdienst aktiviert wird und die Wegfahrsperre zugleich so ausgestaltet ist, daß das Fahrzeug nicht durch einfaches Entfernen der Vorrichtung wieder betriebsbereit gemacht werden kann.

Aus DE-OS 39 08 029 A1 ist eine "Anlage zur Sicherung von Fahrzeugen vor Diebstahl" bekannt, bei der die Inbetriebnahme des Kraftfahrzeuges erst dann erfolgen kann, wenn das Fahrzeug auf Anfrage bei einer Zentrale von dieser ein ausgesandtes Freigabesignal empfangen hat. Da die vorgeschlagene Anlage einen bidirektionalen Übertragungsweg, etwa einen Mobilfunkdienst, in Anspruch nimmt, erfordert sie im Fahrzeug eine kombinierte Sende- und Empfangseinrichtung. Außerhalb des Fahrzeuges erfordert sie eine ausreichende Zahl von ortsfesten, miteinander vernetzten Empfangsstellen, damit eine Funkverbindung zu einer Zentrale aufgebaut werden kann oder eine Vielzahl von Zentralen, und eine ausreichende Zahl von Sendern, die mit der Zentrale vernetzt sind. Es ist ferner aus DE G 91 12 010.1 bekannt, unter Inanspruchnahme eines öffentlichen Funkrufdienstes, beispielsweise Eurosignal oder Cityruf, "eine in einem Automobil eingebaute, elektronische Diebstahlsicherung durch einfachen Telefonanruf" zu aktivieren. Hierbei ist nur eine einseitig gerichtete Signalübertragung erforderlich.

Die Nachteile bekannter über öffentliche Funkdienste aktivierbarer Diebstahlschutzvorrichtungen der beschriebenen Art ergeben sich überwiegend aus den Nachteilen der Funkdienste. Zum einen sind in zahlreichen Ländern, etwa in Ländern Osteuropas, leistungsfähige öffentliche Funkdienste noch nicht verfügbar. Es besteht somit das Risiko, daß bei der (bevorzugten) Verschiebung eines Kraftfahrzeuges in das Ausland ein Funkruf zu spät abgesetzt wird, so daß das Fahrzeug die Rufzone des Funkdienstes bereits verlassen hat. Zum anderen fallen bei der Inanspruchnahme öffentlicher Funkdienste für den Fahrzeughalter laufende (monatliche) Gebühren an. Bei bestimmten Funkrufdiensten, etwa beim Cityruf der Deutschen Bundespost Telekom, sind die Gebühren umso höher, je größer die Rufzone ist, in der ein ausgestrahlter Ruf den Empfänger erreichen kann. Damit das Kraftfahrzeug mit großer Wahrscheinlichkeit erreicht werden kann, ist zur nachträglichen Aktivierung einer Diebstahlschutzvorrichtung die Rufzone groß zu wählen, was höhere Gebühren bedeutet. Nimmt eine Diebstahlschutzvorrichtung einen bidirektionalen Übertragungsweg, etwa einen Mobilfunkdienst, in Anspruch, fallen regelmäßig höhere Gebühren an als bei einseitig gerichteten Funkrufdiensten. Zudem ist der technische Aufwand für die im Fahrzeug angebrachte Vorrichtung höher als bei einem unidirektionalen Übertragungsweg. Dies bedingt höhere Bauteilkosten für Geräte, die sich eines Mobilfunkdienstes bedienen.

Der Erfindung liegt die Aufgabe zugrunde, bei einer über einen Funkdienst aktivierbaren Vorrichtung nach Oberbegriff des Patentanspruchs 1 eine Ausführungsform aufzuzeigen, die die geschilderten Nachteile bekannter Lösungen vermeidet. Insbesondere soll bei großer Rufzone und bei Gewährleistung einer hohen Sicherheit gegen Manipulation und Mißbrauch eine deutliche Senkung der Kosten, besonders der Gebühren für die Inanspruchnahme einer Funkstrecke, gegenüber bekannten Lösungen erreicht werden. Diese Aufgabe wird durch eine Vorrichtung gemäß Patentanspruch 1 gelöst. Vorteilhafte Weiterbildungen ergeben sich aus den Unteransprüchen.

Die Erfindung beruht demnach auf dem Gedanken, einen bestehenden Rundfunkdienst zur Aktivierung einer Wegfahrsperre zu verwenden, wobei die Aktivierung über binäre Daten erfolgt, die zusammen mit dem Rundfunkprogramm ausgestrahlt werden.

Es ist aus der Fernsehtechnik zwar ein Verfahren bekannt, wie einzelne Geräte, beispielsweise Teilnehmer am sogenannten "PAY-TV", adressiert werden können. Hierbei werden in Datenzeilen eines Videosignals digital codierte, individuelle "Geräteadressen" ausgestrahlt, die von einem Decoder erkannt werden können und die Funktionen der Empfangseinrichtung beeinflussen, indem sie sie beispielsweise zu- oder abschalten. Zur Lösung der der Erfindung zugrundeliegenden Aufgabe kommen bekannte Decoder jedoch nicht in Betracht, da sie zur fehlerfreien Decodierung einer nach bekannten Codierungsverfahren übertragenen Geräteadresse ein Eingangssignal erfordern, welches einen Signal-/Rauschabstand aufweist, der - außer bei unmittelbarer Nähe zu einem terrestrischen Fernsehsender - nur unter Verwendung einer Empfangsantenne mit Richtcharakteristik erzielbar ist. In bewegten Kraftfahrzeugen scheidet jedoch die Verwendung von Richtantennen aus. Es ist zudem bei dem beschriebenen Teilnehmeradressierungsverfahren nicht vorgesehen, durch Übertragung der Geräteadresse andere, vom Decoder abgesetzte und einem anderen Zweck als dem Empfang dienende Geräte im Sinne einer Fernsteuerung ein- oder auszuschalten. Die bekannte Ausstrahlung von Geräteadressen dient programmbezogenen Zwecken zum Schutz der ausgestrahlten Primärinformation vor unbefugtem Empfang.

Im folgenden ist detailliert ein bevorzugtes Ausführungsbeispiel der Diebstahlschutzvorrichtung beschrieben. Es zeigen:

Fig. 1 das Blockschaltbild der im Kraftfahrzeug angeordneten erfindungsgemäßen Vorrichtung mit ihrer Anbindung an die bestehende Fahrzeugelektronik,

Fig. 2 und Fig. 3 weitere Ausführungsbeispiele der Erfindung,

Fig. 4 eine schematische Darstellung der beim Radio-Daten- System (RDS) verwendeten Datenstruktur,

Fig. 5 Flußdiagramme, die die Reaktion der erfindungsgemäßen Vorrichtung auf bestimmte Ereignisse beschreiben,

Fig. 6 die senderseitig erforderlichen Einrichtungen, wenn die Diebstahlschutzvorrichtung über Zusatzdaten zu einem UKW-Hörfunkprogramm gesteuert wird.

Das Arbeitsprinzip der Vorrichtung ergibt sich wie folgt:
Der Rundfunkempfänger 1 ist auf einen beliebigen UKW- Hörfunksender abgestimmt, der als (unhörbaren) zusätzlichen Bestandteil eines Hörfunkprogramms binäre Daten nach bekannter Maßgabe des Radio-Daten-Systems (RDS-Daten) ausstrahlt. Der Decoder 2 trennt die RDS-Daten aus dem UKW- Multiplexsignal ab und liefert diese an seinem Ausgang als digitale Daten, die von einem angeschlossenen Mikroprozessor 10 weiterverarbeitet werden. Jedem Fahrzeug ist ein eigenes, individuelles Kennzeichen (Fahrzeugadresse) zugeordnet, das im nichtflüchtigen Speicher 5 abgelegt ist. Die Vergleichseinrichtung 6 überprüft kontinuierlich die mit den RDS-Daten empfangenen, durch besondere Kennzeichnung erkennbaren Fahrzeugadressen. Findet die Vergleichseinrichtung in den empfangenen Fahrzeugadressen die eigene Fahrzeugadresse, wird eine Wegfahrsperre aktiviert, das Fahrzeug also gesperrt. Als Sicherung gegen unbefugte Manipulationsversuche ist eine Datenüberwachungseinrichtung 3 realisiert, die die empfangenen Daten auf Einhaltung von Formatvorschriften überprüft, um beim Auftreten bestimmter Unregelmäßigkeiten ebenfalls die Wegfahrsperre zu aktivieren.

Da nach dem gegenwärtigen Stand der Technik kein Rundfunksender Daten ausstrahlt, die eine individuelle Adressierung von Fahrzeugen erlauben würden, sind vor einer detaillierten Erläuterung der erfindungsgemäßen Diebstahlschutzvorrichtung Betrachtungen grundsätzlicher Art zur Datenübertragung an die Vorrichtung durchzuführen. Als Datenübertragungsmedium dient exemplarisch das Radio-Daten- System, das speziell zur Übertragung digitaler Informationen an Rundfunkempfänger in Fahrzeugen dient und das sich somit besonders gut zur Informationsübertragung im Rahmen der Aufgabenstellung eignet. Prinzipiell sind unter Verwendung anderer codierungsverfahren und Decoder auch andere Datenübertragungsmedien denkbar, insbesondere eine Datenübertragung zugleich mit einem Videosignal. Hierbei wird anders als bei bekannten Verfahren für die Binärdaten ein Modulationsverfahren gewählt, das eine fehlerfreie Decodierung der Binärdaten auch bei schlechtem Signal- /Rauschabstand gewährleistet. Es ist auch eine Datenübertragung zugleich mit einem digital ausgestrahlten Hörfunksignal denkbar.

Datenübertragung an die Diebstahlschutzvorrichtung

Art und Umfang der über Rundfunk an die Diebstahlschutzvorrichtung zu übertragenden Daten werden primär durch sicherheitstechnische Überlegungen bestimmt. Da mit der drahtlosen Funkübertragung ein ungesicherter Übertragungskanal beansprucht wird, sind Vorkehrungen dafür zu treffen, daß die übertragenen Daten gegen Mißbrauch und die Vorrichtung gegen Manipulation geschützt sind. Bezogen auf die der Erfindung zugrundeliegende Aufgabe sind insbesondere folgende Versuche zu berücksichtigen:

• 1. Durch unbefugten Anschluß einer Simulationseinrichtung (etwa anstelle der Empfangsantenne) wird der Vorrichtung der Empfang eines gültigen Senders vorgetäuscht.
• 2. Durch unbefugtes Einschalten einer Manipulationseinrichtung zwischen RDS-Decoder und Auswerteeinheit werden alle empfangenen Fahrzeugadressen verfälscht, wodurch eine Übereinstimmung mit der eigenen Adresse nie gegeben ist.
• 3. Unter Verwendung eines Prüfsenders und eines RDS-Coders wird durch Aussenden von Fahrzeugadressen unbefugt versucht, ein Fahrzeug zu sperren.

Zur Sicherung gegen Fehlfunktion muß außerdem gewährleistet sein, daß ein wieder freigegebenes Fahrzeug nicht dadurch erneut gesperrt wird, daß die Daten, welche die erste Sperrung bewirkten, noch immer oder erneut ausgestrahlt werden.

Der Schutz gegen Manipulationsversuche auf dem Signalweg von Sender zu Auswerteeinheit, bevorzugt erfolgend an der Diebstahlschutzvorrichtung selbst, wird durch ein vorteilhaftes Datenformat und durch ein Datenprüfverfahren wie nachfolgend beschrieben erreicht. Funktional zusammengehörende, für die Diebstahlschutzvorrichtung bestimmte Daten werden theoretisch in Datenblöcke gruppiert (nachfolgend als "Datenblöcke B" bezeichnet), die nicht mit den beim RDS-Verfahren verwendeten Blöcken (welche jeweils aus 26 Bit bestehen) verwechselt werden dürfen. Ein (willkürlich numerierter) erster Datenblock B₁ werde gebildet aus einer Fahrzeugadresse F₁, aus einer aufzählbaren Menge S₁ von Sicherungsdaten und aus einer aufzählbaren Menge A₁ von Authentifizierungsdaten. Ist zum Zeitpunkt der Ausstrahlung kein Fahrzeug zu sperren, d. h. keine auszusendende Fahrzeugadresse bekannt, so ist zur Wahrung des Blockformates eine Adresse auszusenden, die speziell für diesen Fall vorgesehen und keinem Fahrzeug zugeordnet ist. Die Datenblöcke B werden senderseitig gebildet und in regelmäßigen Zeitabständen nacheinander ausgesandt, d. h. in die RDS-Datenstruktur eingefügt. Nach Aussendung des Datenblocks B₁ folgt in bestimmtem Zeitabstand ein (anderer) Datenblock B₂ (mit den Datenmengen F₂, S₂ und A₂), danach ein Block B₃ und so weiter. Die Überprüfung der Senderlegitimation, also die Beurteilung, ob die von der Vorrichtung empfangenen (RDS-) Daten tatsächlich von einer Quelle stammen, die prinzipiell zur gültigen Ausgabe jeder beliebigen Fahrzeugadresse in der Lage ist, erfolgt mit Hilfe der Authentifizierungsdaten wie nachstehend beschrieben: Aus den mit dem Datenblock B₁ empfangenen Authentifizierungsdaten A₁ werden von der Diebstahlschutzvorrichtung unter Verwendung eines der Öffentlichkeit nicht bekannten und in realistischem Zeitrahmen nicht ausspähbaren Algorithmus′ eine Menge A₂ neuer Daten errechnet. Es gilt also: {A_n+1} = f({A_n}). Unabhängig davon werden senderseitig nach demselben Algorithinus die Authentifizierungsdaten A₂ errechnet, die mit dem nächsten Datenblock B₂ ausgesandt werden. Stimmen beim nächsten empfangenen Datenblock die von der Diebstahlschutzvorrichtung errechneten Authentifizierungsdaten regelmäßig mit den empfangenen überein, kann davon ausgegangen werden, daß ein gültiger Sender empfangen wird.

Besonders vorteilhaft ist, wenn die Authentifizierungsdaten ein zusätzliches Merkmal aufweisen, das es der in der Diebstahlschutzvorrichtung enthaltenen Auswerteeinheit auf einfache Weise erlaubt, festzustellen, ob eine Menge A von Authentifizierungsdaten schon einmal empfangen wurde. Dadurch fällt sofort auf, wenn in die Diebstahlschutzvorrichtung eine Datenaufzeichnung eingespeist wird. Dieses Merkmal wird beispielsweise dadurch erreicht, daß die Menge von Authentifizierungsdaten Informationen darüber enthält, zu welchem Zeitpunkt sie verwendet wurde, etwa indem man die einzelnen Mengen A durchnumeriert. Dazu fügt man den Authentifizierungsdaten einen Zähler hinzu, der bei jeder Menge A inkrementiert wird und der sinnvollerweise in die Berechnung der übrigen Authentifizierungsdaten mit einbezogen wird, wie in nachfolgendem einfachen Beispiel verdeutlicht. Die Menge A₁ der Authentifizierungsdaten eines ersten Datenblocks B₁ möge lauten A₁= {1, 107, 72, 204}. Der Zähler wird in diesem Beispiel vom ersten Mengenelement gebildet und steht auf eins. Die Berechnungsvorschrift {A_n+1} = f({A_n}) bestehe in diesem Beispiel darin, zu jedem Element der Menge A₁ den Wert (10 + neuen Zählerstand) hinzuzuaddieren. Für die Authentifizierungsdaten A₂ des zweiten Datenblocks B₂ ergibt sich so die Menge A₂= {2, 119, 84, 216}. Wird der Zählerstand gespeichert, ist ohne weiteres festzustellen, ob die erhaltenen Authentifizierungsdaten tatsächlich noch nie verwendet wurden, dadurch, daß geprüft wird, ob der übertragene Zählerstand (in diesem Beispiel 2) größer ist als der gespeicherte (in diesem Beispiel 1). Zusätzlich kann anhand des Zählermerkmals festgestellt werden, ob mehrere Datenblöcke B lückenlos empfangen wurden. Die Authentifizierungsdaten werden sinnvollerweise nur dann als gültig erachtet, wenn sie an sich richtig sind (d. h. die Bedingung {A_n+1}= f({A_n}) einhalten) und zugleich bisher noch nie verwendet wurden.

Werden von verschiedenen, voneinander unabhängigen Sendern Authentifizierungsdaten ausgestrahlt, ist es vorteilhaft, deren Zählerstände zu synchronisieren, so daß senderunabhängig zu einem gegebenen Zeitpunkt stets derselbe Zählerstand ausgestrahlt wird. Dadurch kann auch beim Umschalten zwischen verschiedenen Sendern ohne Unterbrechung das Erkennungsmerkmal mehrfacher Verwendung geprüft werden. Diese Synchronisation erfolgt vorteilhaft mit Hilfe eines Zeitzeichens, derart, daß jeder Uhrzeit ein bestimmter Zählerstand zugeordnet ist.

Die Prüfung einer empfangenen Fahrzeugadresse auf Gültigkeit erfolgt mittels Sicherungsdaten, die der Fahrzeugadresse nach Art einer Prüfsumme hinzugefügt werden, wobei die Rechenvorschrift zum Bilden der Sicherungsdaten geheimgehalten wird. Bei fehlender Übereinstimmung zwischen Fahrzeugadresse und Sicherungsdaten wird die empfangene Adresse als ungültig betrachtet. Um zu verhindern, daß durch absichtliche Verfälschung von Sicherungsdaten oder Fahrzeugadresse jede empfangene Adresse als ungültig erkannt wird, ist ein empfangener Datenblock nur dann als fehlerfrei zu betrachten, wenn im selben Datenblock neben den Authentifizierungsdaten auch die Fahrzeugadressen regelmäßig korrekt vorliegen. In die Berechnung der Authentifizierungsdaten A werden daher vorteilhaft auch Fahrzeugadresse F und Sicherungsdaten S einbezogen, so daß in Erweiterung der obigen Berechnungsvorschrift für die Authentifizierungsdaten eines Datenblocks gilt:

{A_n+1} = f({A_n, F_n, S_n}).

Jede in einem Datenblock B ausgesandte Fahrzeugadresse F setzt sich zusammen aus einer Adreßkonstante und einem Sperrantragszähler. Umfaßt die gesamte Fahrzeugadresse F beispielsweise acht Bytes F.7 bis F.0, so bilden sieben Bytes die Adreßkonstante und ein Byte den Sperrantragszähler. Die Adreßkonstante ist die ein Fahrzeug adressierende Information. Der Sperrantragszähler wird beginnend bei eins mit jeder neu angeforderten Sperrung des der Adresse zugeordneten Fahrzeuges inkrementiert. Beantragt der Fahrzeughalter die Sperrung seines Fahrzeuges zum ersten Mal, so hat bei der Ausstrahlung der diesem Fahrzeug zugeordneten Adresse der Sperrantragszähler den Wert eins, so daß die gesamte Fahrzeugadresse die Form (Adreßkonstante) 001 aufweist. Wird - etwa nach erfolgter Wiederfreigabe des Fahrzeuges - eine zweite Sperrung beantragt, hat die Fahrzeugadresse die Form (Adreßkonstante) 002 und so weiter. Die Adreßkonstante bleibt dabei stets unverändert.

Es kann vorgesehen sein, zugleich mit der Fahrzeugadresse eine weitere Adresse auszusenden, die dem Fahrzeug nach erfolgter Fahrzeugsperrung automatisch zugewiesen wird. Der gesamte Datenblock besteht dann aus den Informationen F (bisherige Fahrzeugadresse), N (neue Fahrzeugadresse nach erfolgter Sperrung), S (Sicherungsdaten aus F und N), A (Authentifizierungsdaten). Es kann ferner vorgesehen sein, zur Erzielung erhöhter Datensicherheit Fahrzeugadressen (F, N, oder beide) nicht im Klartext zu übertragen, d. h. in der Form, wie sie auch im nichtflüchtigen Speicher des Fahrzeuges abgelegt sind, sondern in einer verschlüsselten Form.

Da das RDS die individuelle Adressierung von Empfängern nicht vorsieht, sind die zur Steuerung der Diebstahlschutzvorrichtung erforderlichen Datenblöcke B kompatibel in die bestehende RDS-Datenstruktur einzufügen. Dies kann vorteilhaft dadurch erfolgen, daß die Daten über den beim RDS bereits vorgesehenen "transparenten Datenkanal" übertragen werden. Ein beschriebener Datenblock B kann beispielsweise durch nachstehende Sequenz gebildet werden, die über den transparenten Datenkanal übertragen wird:

[ESC], [DLE1, [F.7] . . . [F.0), [S.3] . . . [S.0], [A.7] . . . [A.0], [ETB]

Hierbei bedeuten:
ESC DLE: Steuerwort Blockbeginn (ASCII 27 und ASCII 16) (Kennzeichen, daß nachfolgende im transparenten Datenkanal übertragenen Daten bis zum Zeichen ETB einen für die Diebstahlschutzvorrichtung bestimmten Datenblock B bilden),

• F.7-F.0: 8 Byte Fahrzeugadresse,
• 5.3-S.0: 4 Byte Sicherungsdaten,
• A.7-A.0: 8 Byte Authentifizierungsdaten,
• ETB: Steuerwort Blockende (ASCII 23)

Dadurch, daß die für die Diebstahlschutzvorrichtung bestimmten Daten in die Steuerworte ESC-DLE und ETB eingebettet sind, läßt sich der transparente Datenkanal auch noch zur Übertragung anderer Daten verwenden.

Die Übertragung eines Datenblocks B ist nachfolgend anhand Fig. 4 erläutert. Fig. 4a zeigt das RDS-Datenformat nach dem Stand der Technik. Es ist ersichtlich, daß RDS-Daten als kontinuierliche Folge einzelner Gruppen G, welche wiederum aus jeweils vier RDS-Datenblöcken RB1 bis RB4 mit je 26 Bit gebildet werden, in Form eines seriellen Bitstroms gesendet werden. Fig. 4b zeigt die RDS-Datenstruktur nach Fig. 4a, in der bestimmte Gruppen G₁₀ von allen übrigen Gruppen G_x unterschieden sind. Diese Gruppen G₁₀ sind von der RDS- Spezifikation zur Übertragung des transparenten Datenkanals vorgesehen und stellen dazu pro Gruppe jeweils 37 Bit zur Verfügung. In Fig. 4b ist verdeutlicht, wie der Datenblock B, der nach obigem Codierungsbeispiel 23 Bytes, also 184 Bit umfaßt, auf mehrere Gruppen des Typs G₁₀ aufzuteilen ist, die dann wie in der RDS-Spezifikation vorgesehen zwischen die übrigen Gruppen G_x eingereiht werden. Die empfängerseitige Auswerteeinrichtung erkennt die Gruppen G₁₀ und fügt die Teilblöcke von B wieder zu einem Block zusammen. Senderseitig kann die Verarbeitung der RDS-Daten beispielsweise ein Personal-Computer mit zugehörigem Programm wahrnehmen, der in bekannter Weise an einen RDS- Coder die auszusendenden Informationen übergibt.

Im Fahrzeug angeordnete Vorrichtung

Fig. 1 zeigt das Blockschaltbild einer bevorzugten Ausführungsform der erfindungsgemäßen Vorrichtung. Zum Empfang des Rundfunkdienstes ist die Antenne 20 vorhanden, für die vorzugsweise eine Bauform gewählt wird, die gegen mechanische Einflüsse geschützt ist, beispielsweise ein an der Innenseite der Windschutzscheibe angebrachter Leiter. Der UKW-Empfänger 1 besteht in bekannter Weise aus Tuner und Demodulator und verfügt über einen automatischen Sendersuchlauf, der über die Steuerleitung T in Gang gesetzt werden kann. Das nach dem FM-Demodulator anstehende Multiplexsignal wird dem RDS-Decoder 2 zugeführt, der in bekannter Weise, beispielsweise mit der integrierten Schaltung SAA7579T, aufgebaut ist. Ist der Tuner auf einen Sender abgestimmt, der RDS-Daten ausstrahlt, stehen diese am Ausgang des Decoders 2 zur Verfügung. Da der Decoder gleichzeitig eine Beurteilung der RDS-Signalqualität leistet, ist ein Regelkreis realisiert, durch den der Tuner automatisch auf einen mit ausreichender Güte empfangbaren RDS-Sender abgestimmt wird. Dazu besitzt der RDS-Decoder die Möglichkeit, über einen Eingang des ODER-Gatters den Sendersuchlauf des Tuners 1 zu aktivieren.

Die vom Decoder 2 gelieferten RDS-Daten werden der Datenüberwachungseinrichtung 3 zugeführt, die vier Hauptaufgaben wahrnimmt:

• 1. Rückgängigmachung der Segmentierung der für die Diebstahlschutzvorrichtung bestimmten Datenblöcke B, d. h. Einlesen eines Datenblocks B aus den einzelnen RDS- Gruppen G₁₀; Überprüfung auf Übertragungsfehler anhand der RDS-Prüfworte und eventuelle Fehlerkorrektur,
• 2. Überprüfung der Einhaltung von Formatvorschriften für den Datenblock B (insbesondere Überprüfung von Authentifizierungsdaten und Sicherungsdaten) und Mitteilen des Empfangs fehlerhafter Daten über einen Ausgang M an andere Komponenten der Diebstahlschutzvorrichtung,
• 3. kontinuierliche Bestimmung einer integralen RDS- Signalqualität dadurch, daß über einen längeren Zeitraum für alle RDS-Daten die mittlere Fehlerhäufigkeit errechnet wird,
• 4. Isolieren korrekt empfangener Fahrzeugadressen aus dem Datenblock B und Weitergeben derselben über einen Ausgang

Die Vorgehensweise der Datenüberwachungseinrichtung 3 bei der Überprüfung eines Datenblocks B ist nachstehend anhand des Flußdiagramms aus Fig. 5a beschrieben.

Nachdem ein Datenblock Bn aus den Daten einzelner RDS- Gruppen G₁₀ zusammengesetzt wurde, überprüft die Datenüberwachungseinrichtung, ob der Datenblock vollständig und fehlerlos, d. h. übereinstimmend mit den RDS-Prüfsummen empfangen wurde. Ist dies nicht der Fall oder sind überhaupt keine Datenblöcke B zu finden, wird ein Markierungsbit M gesetzt. Das gesetzte Markierungsbit M signalisiert, daß die empfangenen Datenblöcke Fehler aufweisen und kennzeichnet daher einen empfangenen Sender (verdachtsweise) als ungültig. Zugleich wird regelmäßig beim Setzen des Markierungsbits ein Zähler K auf Null gesetzt, der die Zahl der aufeinanderfolgend als richtig erkannten Datenblöcke B beinhaltet. Aus Fig. 5a ist ersichtlich, daß das Markierungsbit M erst dann wieder zurückgesetzt wird, wenn der Zähler K den Wert fünf besitzt, also nachdem fünf korrekte Datenblöcke B in Folge empfangen wurden. Der Status des Markierungsbits wird wie aus Fig. 1 ersichtlich über einen Ausgang M der Datenüberwachungseinrichtung 3 anderen Komponenten der Diebstahlschutzvorrichtung mitgeteilt. Sofern die erste Prüfung des Datenblocks B_n auf Übertragungsfehler und Vollständigkeit Fehler anzeigte, wird anhand der integralen RDS-Signalqualität geprüft, ob alle RDS-Daten schlecht zu empfangen sind. Sofern die integrale RDS-Signalqualität schlechter als ein vorgegebener Grenzwert ist, wird dies (neben anderen Betriebszuständen) optisch über die Signaleinrichtung 21 angezeigt und wird versucht, auf einen anderen Sender zu wechseln. Hierzu besitzt die Datenüberwachungseinrichtung 3, wie aus Fig. 1 ersichtlich, die Möglichkeit, über das ODER-Gatter ein Steuersignal auf die Leitung T des UKW-Empfängers zu geben, um so den Sendersuchlaufin Gang zu setzen. Auf einen anderen Sender wird ebenfalls versucht zu wechseln, wenn trotz guter integraler RDS-Signalqualität die Datenblöcke B nicht detektiert wurden. Es kann dann davon ausgegangen werden, daß ein Sender empfangen wird, der zwar RDS-Daten, jedoch keine für die Diebstahlschutzvorrichtung bestimmten Datenblöcke B ausstrahlt. Wurden bei der ersten Prüfung des empfangenen Datenblocks keine Fehler entdeckt, so erfolgt anschließend die Überprüfung der (gemäß obiger Beschreibung mit einem Zähler versehenen) Authentifizierungsdaten des Datenblocks B_n auf deren erstmalige Verwendung. Dazu liest die Datenüberwachungseinrichtung 3 aus dem RAM-Speicher 4 den mit den Authentifizierungsdaten des zuletzt fehlerfrei empfangenen Datenblocks übertragenen Zählerstand. Ist der neue, also der mit den Authentifizierungsdaten des Blocks B_n übertragene Zählerstand größer als der im RAM-Speicher 4 abgelegte, werden die empfangenen Authentifizierungsdaten als neu erkannt, worauf die Datenüberwachungseinrichtung den neuen Zählerstand in den RAM-Speicher 4 einträgt. Der RAM- Speicher 4 ist vorzugsweise in Form eines NVRAMS mit einem EEPROM kombiniert, damit der zuletzt empfangene Zählerstand nicht durch einfaches Abschalten der Versorgungsspannung gelöscht werden kann.

Im Zuge der weiteren Überprüfung des Datenblocks B werden die empfangenen Authentifizierungs- und Sicherungsdaten anhand deren (der Öffentlichkeit nicht bekannten) Bildungsgesetzen nachgerechnet und dadurch überprüft. Bei fehlerhaften Authentifizierungs- und/oder Sicherungsdaten wird das Markierungsbit M gesetzt. Es kann vorgesehen sein, auch bei wiederholter Detektierung fehlerhafter Authentifizierungs- und/oder Sicherungsdaten auf einen anderen Sender zu wechseln. Mit jedem als fehlerfrei erkannten Datenblock wird der Zähler K inkrementiert, dessen Zählerstand angibt, wie viele Datenblöcke aufeinanderfolgend fehlerfrei detektiert wurden.

Über den Ausgang F der Datenüberwachungseinrichtung 3 gelangen die aus dem empfangenen Datenblock B isolierten und als korrekt erkannten Fahrzeugadressen zur Vergleichseinrichtung 6, die jede erhaltene Adresse auf Übereinstimmung mit einer im nichtflüchtigen Speicher 5 abgelegten (eigenen) Fahrzeugadresse überprüft. Neben der dargestellten Übernahme der Fahrzeugadresse von der Datenüberwachungseinrichtung 3 ist es gleichwohl denkbar, daß die Vergleichseinrichtung direkt die am Ausgang des RDS- Decoders anliegenden Daten übernimmt, um in diesen nach der Fahrzeugadresse zu suchen. Im Fall einer verschlüsselten Übertragung der Fahrzeugadresse entschlüsselt die Vergleichseinrichtung 6 zusätzlich die empfangenen Adressen. Eine senderseitig angeforderte Fahrzeugsperrung (externe Fahrzeugsperranforderung) wird von der Vergleichseinrichtung 6 dadurch detektiert, daß sie (im Klartext oder verschlüsselt) eine Fahrzeugadresse übernimmt, die mit einer im nichtflüchtigen Speicher 5 abgelegten Adresse übereinstimmt. Zusätzlich zu der Fahrzeugadresse ist im nichtflüchtigen, als EEPROM ausgebildeten Speicher 5 der Stand eines Sperrzählers SZ abgelegt, der, beginnend bei eins, mit jeder externen Fahrzeugsperranforderung inkrementiert wird. Bei einem Fahrzeug, das noch nie gesperrt wurde, weist der Zähler den Wert eins auf. Bei einem einmal gesperrten Fahrzeug den Wert zwei, bei einem nach erfolgter erster Wiederfreigabe erneut gesperrten Fahrzeug den Wert drei und so weiter. Dieser Sperrzählerstand SZ wird, wie an späterer Stelle ausgeführt, unter anderem zum Erkennen ungültiger externer Fahrzeugsperranforderungen verwendet. Bei Ausgestaltung der Diebstahlschutzvorrichtung nach Unteranspruch 5 ist zusätzlich ein Hochfrequenzsender vorhanden, der im Fall einer detektierten Fahrzeugsperranforderung von der Vergleichseinrichtung 6 eingeschaltet wird, etwa zum Zweck der Fahrzeugortung oder vorzugsweise um dem Rundfunksender - unter Zwischenschaltung beispielsweise einer Polizeizentrale - mitzuteilen, daß die Fahrzeugsperranforderung erkannt wurde und daß somit die Ausstrahlung der bestimmten Fahrzeugadresse eingestellt werden kann.

Eine Fahrzeugsperranforderung wird von der Vergleichseinrichtung 6 an die Freigabeeinrichtung 7 weitergegeben. Diese erzeugt im normalen, nicht gesperrten Betriebszustand des Fahrzeuges unter Zuhilfenahme einer Chipkarte 23 kontinuierlich ein Freigabesignal E für die im Fahrzeug vorhandene zentrale Steuerung 11. Zentrale Steuerung 11 und somit die betriebswichtigen elektrischen und/oder elektronischen Komponenten des Fahrzeugs bleiben funktionsfähig, solange sie das Freigabesignal erhalten. Die Verhinderung der Inbetriebnahme des Fahrzeuges nach erfolgter Fahrzeugsperrung wird somit durch ein ausbleibendes oder falsches Freigabesignal bewirkt. Die Freigabeeinrichtung 7 tauscht mit der Chipkarte 23, die in bekannter Weise aus einem Mikroprozessor mit EEPROM besteht, wie von chipkartenbasierten Zugangskontrollsystemen bekannt kontinuierlich Daten aus. Hierbei übergibt die Freigabeeinrichtung an die Chipkarte Daten, die der karteninterne Mikroprozessor nach einem bestimmten Algorithmus verarbeitet, um damit eine Ausgabe zu liefern, die von der Freigabeeinrichtung entgegengenommen und zur Bildung des Freigabesignals E verwendet wird. Falls infolge andersgearteter Steuerung 11 bei einem anderen Fahrzeug ein anderes Freigabesignal E erforderlich wird, kann das neue Freigabesignal ohne Veränderung der Elektronik auf einfache Weise dadurch erzeugt werden, daß eine andere Chipkarte verwendet wird, die die übergebenen Daten nach einem anderen Algorithmus verarbeitet. Dies macht die erfindungsgemäße Vorrichtung flexibel für unterschiedliche Fahrzeugtypen. Im Sinne eines "elektronischen Zündschlüssels", kann zusätzlich vorgesehen sein, in den nichtflüchtigen Speicher 5 und übereinstimmend in den Speicher der Chipkarte 23 eine Seriennummer einzutragen, wobei von der Freigabeeinrichtung 7 die Übereinstimmung der beiden Nummern geprüft wird. In diesem Fall wäre es nicht möglich, das Fahrzeug mit einer Chipkarte zu starten, die eine falsche Seriennummer aufweist. Die in den Speicher der Chipkarte einzutragende Seriennummer ist vorteilhafterweise nur einem legitimierten Personenkreis zugänglich.

Im Fall einer Fahrzeugsperranforderung erhält die Chipkarte 23 von der Freigabeeinrichtung 7 einen Löschbefehl, auf den hin die Chipkarte 23 selbsttätig signifikante Daten irreversibel löscht oder modifiziert. Dadurch werden vom Mikroprozessor der Chipkarte die von der Freigabeeinrichtung übergebenen Daten anders als erforderlich bearbeitet, wodurch die zur Erzeugung des Freigabesignals E erforderlichen Informationen nicht mehr in der erwarteten Form von der Chipkarte ausgegeben werden. Die Ausführung des Löschbefehls an die Chipkarte 23 wird von der Freigabeeinrichtung 7 überwacht, wobei Unregelmäßigkeiten (etwa eine nicht ausgeführte Datenlöschung) ebenfalls zur Unterdrückung des Freigabesignals für die zentrale Steuerung 11 führen. Sofern in der Chipkarte wie beschrieben eine Seriennummer abgelegt ist, wird bei der Ausführung des Löschbefehls vorzugsweise auch diese gelöscht, um so die unbefugte Anfertigung einer Chipkarte zu erschweren. Die Wiederinbetriebnahme eines gesperrten Fahrzeuges erfolgt durch Erteilung einer neuen Chipkarte, in der die gelöschten Daten wiederhergestellt sind. Auf diese Weise ist eine bequeme Wiederinbetriebnahme möglich, ohne daß in die Elektronik der Diebstahlschutzvorrichtung eingegriffen werden muß. Anders als beim Austauschen eines Bauteils, wie etwa bei codegesicherten Autoradios, erlaubt diese Lösung, die Elektronik in einem speziellen Gehäuse völlig unzugänglich zu machen. Zusätzlich zu den beschriebenen Informationen ist im Speicher der Chipkarte 23 eine Kartenfolgenummer abgelegt, wobei die bei einem noch nie gesperrten Fahrzeug verwendete Chipkarte die Folgenummer eins aufweist. Ist nach erfolgter Fahrzeugsperrung die Verwendung einer neuen Chipkarte erforderlich, so wird bei der Erteilung der neuen Karte die Folgenummer der alten Karte ausgelesen, um eins erhöht und in den Speicher der neuen Karte geschrieben. Ein einmal gesperrtes Fahrzeug verwendet daher eine Chipkarte mit der Folgenummer zwei, ein zweimal gesperrtes Fahrzeug eine Chipkarte mit der Folgenummer drei und so weiter. Es kann zusätzlich vorgesehen sein, auch den Stand des Sperrzählers SZ im Speicher der Chipkarte abzulegen.

In Fig. 5b ist anhand eines Flußdiagramms dargestellt, wie die Kartenfolgenummer zusammen mit dem bei der Beschreibung der Vergleichseinrichtung 6 eingeführten Sperrzähler SZ vorteilhaft zum Erzielen einer erhöhten Sicherheit gegen Manipulation verwendet werden kann. Zu diesem Zweck überträgt die Freigabeeinrichtung 7 an die Vergleichseinrichtung 6 regelmäßig die Kartenfolgenummer der Chipkarte 23. Die Vergleichseinrichtung vergleicht die Kartenfolgenummer mit dem im nichtflüchtigen Speicher 5 abgelegten Stand des Sperrzählers SZ. Bei normalem Betriebszustand sind beide Werte gleich, d. h. eins bei einem noch nie gesperrten Fahrzeug, zwei bei einmalig erfolgter Sperrung und so weiter. Sind Sperrzählerstand und Kartenfolgenummer nicht gleich, so liegt ein unerlaubter Betriebszustand vor. Ist dabei der Sperrzählerstand SZ höher als die Kartenfolgenummer, bedeutet dies, daß die Vergleichseinrichtung 6 eine externe Fahrzeugsperranforderung registriert hat, auf die jedoch nicht das vorgeschriebene Erneuern der Chipkarte erfolgte. Es kann zur Auswertung eines solchen Betriebszustandes daher zusätzlich vorgesehen sein, auch den Stand des Sperrzählers SZ im Speicher der Chipkarte abzulegen. Ist die Kartenfolgenummer höher als der Sperrzählerstand, bedeutet dies, daß ohne den Anlaß einer externen Fahrzeugsperranforderung eine neue Chipkarte verwendet wird. Ein unerlaubter Betriebszustand führt wie in Fig. 5b dargestellt ebenfalls zu einer Fahrzeugsperranforderung. Im Gegensatz zur externen, d. h. vom Sender veranlaßten Sperranforderung liegt dann jedoch - da sie von der Diebstahlschutzvorrichtung selbst angefordert wird - eine interne Fahrzeugsperranforderung vor, deren Konsequenzen (Löschen der Chipkarte und dadurch Blockieren der Fahrzeuginbetriebnahme) sich nicht von denen der externen Fahrzeugsperranforderung unterscheiden.

Ebenfalls aus Fig. 5b ist ersichtlich, wie in die Auswertung einer empfangenen Fahrzeugadresse der zusammen mit der Adreßkonstante ausgestrahlte Sperrantragszähler einbezogen wird. Stellt die Vergleichseinrichtung 6 im erlaubten Betriebszustand, d. h. wenn die Voraussetzungen einer internen Fahrzeugsperranforderung nicht vorliegen, den Empfang der eigenen Fahrzeugadresse fest, so vergleicht sie den mit der Fahrzeugadresse ausgestrahlten Sperrantragszähler mit der Kartenfolgenummer. Eine externe Fahrzeugsperranforderung wird nur dann ausgeführt, wenn der Sperrantragszähler größer oder gleich der Kartenfolgenummer ist. Auf diese Weise wird verhindert, daß ein wieder freigegebenes Fahrzeug aufgrund noch bestehender oder wiederholter Ausstrahlung der Fahrzeugadresse unbeabsichtigt erneut gesperrt wird. Dies ist nachstehend verdeutlicht. Bei einem noch niemals gesperrten Fahrzeug weist die verwendete Chipkarte die Kartenfolgenummer eins auf. Soll dieses Fahrzeug gesperrt werden, wird seine Adresse ausgestrahlt, wobei der Sperrantragszähler wie vorstehend beschrieben den Wert eins besitzt. Da im adressierten Kraftfahrzeug beim Empfang der Fahrzeugadresse Kartenfolgenummer und Sperrantragszähler übereinstimmend den Wert eins aufweisen, wird die externe Fahrzeugsperranforderung ausgeführt. Zur Wiederinbetriebnahme des Fahrzeuges wird die Chipkarte 23 ausgetauscht, wodurch diese die Kartenfolgenummer zwei erhält. Sofern jetzt infolge noch andauernder Ausstrahlung die Fahrzeugadresse empfangen wird, erfolgt mit Sperrantragszählerstand eins keine Fahrzeugsperrung, da jetzt der Sperrantragszähler kleiner als die Kartenfolgenummer ist. Erst wenn die zweite oder eine weitere Sperrung des Fahrzeuges beantragt wird, weist der ausgestrahlte Sperrantragszähler den Wert zwei auf, wodurch die externe Fahrzeugsperranforderung wieder ausgeführt wird.

Da Rundfunkempfang in ausreichender Güte nicht an allen Orten gewährleistet ist (etwa in einer Tiefgarage oder in einem Straßentunnel), sind Vorkehrungen dafür zu treffen, daß das Fahrzeug nicht sofort gesperrt wird, wenn die Diebstahlschutzvorrichtung fehlerhafte oder ausbleibende Datenblöcke B detektiert. In diesem Fall, also wenn durch das in der Datenüberwachungseinrichtung 3 gesetzte Markierungsbit M Fehler der empfangenen Daten angezeigt werden, bleibt das Fahrzeug noch zum Zurücklegen eines bestimmten "Wegstreckenkredits" funktionsfähig. Es kann vorgesehen sein, Informationen über die Höhe des Wegstreckenkredits im Speicher der Chipkarte 23 abzulegen, um den Wegstreckenkredit ohne Eingriff in die Elektronik variabel zu machen. Zur Überwachung der zurückgelegten Wegstrecke dient wie aus Fig. 1 ersichtlich eine Wegstreckenüberwachungseinrichtung 9 in Kombination mit einem elektronischen Wegstreckenzähler 8. Im Fall einer Fahrzeugbewegung erhält bei Ausgestaltung der Diebstahlschutzvorrichtung nach Fig. 1 der Wegstreckenzähler 8 von der Steuerung 11 über die Leitung W periodisch Datenworte. Dazu bildet die Steuerung 11 aus Informationen der Sensoren 25 (etwa aus Meßwerten eines Sensors für die Drehschnelle des Rades, wie er bei Anti-Blockier-Systemen vorhanden ist) vorzugsweise verschlüsselte Datenworte. Der Wegstreckenzähler 8 errechnet aus den erhaltenen Datenworten die zurückgelegte Wegstrecke, summiert diese auf und stellt sie der Wegstreckenüberwachungseinrichtung 9 zur Verfügung. Die Einrichtung 9 prüft ständig den über den Ausgang M der Datenüberwachungseinrichtung 3 herausgeführten Status des Markierungsbits. Wird das Markierungsbit gesetzt, stellt sie den Wegstreckenzähler 8 auf Null und liest danach kontinuierlich die zurückgelegte Wegstrecke aus dem Wegstreckenzähler aus. Sofern das Fahrzeug bei konstant gesetztem Markierungsbit um eine Strecke größer als der Wegstreckenkredit bewegt wird, veranlaßt die Wegstreckenüberwachungseinrichtung 9 bei der Freigabeeinrichtung 7 eine interne Fahrzeugsperranforderung. Obgleich es prinzipiell möglich wäre, die Informationen für den Wegstreckenzähler 8 direkt an den Sensoren 25 abzugreifen, ist es bei Ausgestaltung der Diebstahlschutzvorrichtung nach Fig. 1 vorteilhafter, die Informationen aus der Steuerung 11 zu beziehen. Bei direktem Anschluß der Leitung W an die Sensoren 25 könnte die Verbindung zwischen Sensoren und Wegstreckenzähler vorsätzlich unterbrochen werden, um der Diebstahlschutzvorrichtung vorzutäuschen, daß das Fahrzeug nicht bewegt werde. Dies ist bei Ausgestaltung nach Fig. 1 nicht möglich, da eine Unterbrechung der Verbindung zwischen Sensoren 25 und Steuerung 11 den Ausfall des Fahrzeuges zur Folge hätte. Wenn - wie bei einigen modernen Kraftfahrzeugen bereits serienmäßig - in der Fahrzeugausstattung ein elektronischer Wegstreckenzähler vorhanden ist, kann auch vorgesehen sein, auf den Wegstreckenzähler 8 zu verzichten und die Informationen für die Wegstreckenüberwachungseinrichtung 9 aus dem serienmäßigen Wegstreckenzähler zu beziehen.

Bei einer besonders bevorzugten Ausgestaltung der Erfindung sind die Komponenten 3 bis 9 vollständig innerhalb eines Einchip-Mikrocomputers 10 realisiert. Die Einrichtungen 3, 6, 7, 8 und 9 existieren dann mit Ausnahme von Hardware- Schnittstellen in Form von Algorithmen, die vom RDS-Decoder 2, von der Steuerung 11 und von der Chipkarte 23 Informationen entgegennehmen, diese verarbeiten und neue Informationen wie etwa das Freigabesignal für die Steuerung 11 ausgeben. Bei dieser Ausgestaltung ist der Datenaustausch zwischen allen Kontroll- und Sicherheitseinrichtungen der erfindungsgemäßen Diebstahlschutzvorrichtung nicht von außen zugänglich, wodurch die Sicherheit gegen unbefugte Manipulationen wesentlich erhöht wird.

Die Ausgestaltung nach Fig. 1 wird vorteilhaft dann angewandt, wenn die erfindungsgemäße Diebstahlschutzvorrichtung zu bereits vorhandenen Komponenten, insbesondere zu Steuerungen 11 von Fahrzeugen, hinzugefügt werden soll. Das Fahrzeug verfügt hierbei über eine handelsübliche, auf einem Mikroprozessor 12 basierende Steuerung 11 der Fahrzeugaktoren 24, etwa ein ABS- Steuergerät oder eine elektronische Einspritzanlage wie von Fahrzeugen mit geregeltem Abgaskatalysator bekannt. Eine derartige Steuerung findet sich in vielen Kraftfahrzeugen moderner Bauart. Für eine Diebstahlschutzvorrichtung besitzt sie den Vorteil, daß sich durch sie eine wirkungsvolle, mit einfachen Mitteln nicht zu umgehende Wegfahrsperre für das Fahrzeug realisieren läßt, wenn der enthaltene Mikroprozessor 12 seine bestimmungsgemäßen Aufgaben nicht (mehr) wahrnimmt. Bei Ausgestaltung der Diebstahlschutzvorrichtung nach Fig. 1 ist eine bekannte Steuerung 11 so modifiziert, daß sie nur dann bestimmungsgemäß arbeitet, wenn ihr von der Freigabeeinrichtung 7 über eine mit E bezeichnete Freigabeleitung kontinuierlich ein Freigabesignal in Form eines (nach einem der Öffentlichkeit nicht bekannten Bildungsgesetz errechneten) Datenstroms zugeführt werden. Für erhöhte Sicherheit gegen Manipulation kann ein bidirektionaler Datenverkehr auf der Freigabeleitung vorgesehen sein. Werden die übergebenen Freigabedaten bei deren Überprüfung in der Steuerung 11 als richtig erkannt, nimmt die Steuerung ihre Arbeit auf bzw. setzt sie fort. Durch ausbleibende oder fehlerhafte Freigabedaten wird daher die Verriegelung der betriebswichtigen elektrischen und/oder elektronischen Komponenten des Fahrzeuges bewirkt. Obgleich die Verriegelung auch durch konventionelle Maßnahmen (Unterbrechen der Stromzufuhr) erreicht werden könnte, ist dieses verhältnismäßig aufwendige Freigabeverfahren zur Wahrung des Grundgedankens der Erfindung erforderlich, da es gewährleistet, daß das gesperrte Fahrzeug nicht durch bloßes Entfernen einzelner Komponenten der Diebstahlschutzvorrichtung wieder funktionsfähig gemacht werden kann.

Die Modifikation einer bekannten Steuerung, so daß sie durch externe Freigabedaten gesteuert werden kann, erfolgt bei der in Fig. 1 dargestellten Steuerung 11 dadurch, daß dem vorhandenen Hauptprozessor 12 ein Hilfsprozessor 13 hinzugefügt wird, der die Freigabedaten überprüft und im Fall fehlerhafter oder ausbleibender Daten den Programmablauf des Hauptprozessors 12 über dessen vorhandenen HALT-Eingang H unterbricht. Um eine Gefährdung des Straßenverkehrs auszuschließen, erfolgt die Unterbrechung des Hauptprozessors nicht während der Bewegung des Fahrzeuges. Zusätzlich generiert der Hilfsprozessor 13 aus den Signalen der Sensoren 25 die periodisch über die Leitung W übertragenen Wegstrecken-Datenworte. Da die gesamte modifizierte Steuerung 11 in einem Gehäuse eingriffssicher untergebracht ist, bestehen keine Möglichkeiten zur äußeren Manipulation, wie etwa zur Unterbrechung des Halt-Signals von Hilfsprozessor 13 an Hauptprozessor 12.

Die in Fig. 2 dargestellte Modifikation der Erfindung ist bei gleichzeitig vereinfachter Elektronik zusätzlich mechanisch gegen unbefugte Eingriffe geschützt. Hierbei ist die gesamte Elektronik, bestehend aus Diebstahlschutzvorrichtung und Steuerung 11, in einem Gehäuse 26, das nur über die als Kreise dargestellten Schnittstellen verfügt, unzugänglich untergebracht. Dadurch kann die Verschlüsselung der über die Leitung W übertragenen Wegstreckeninformationen entfallen. Zugleich kann die Freigabeeinrichtung 7 jetzt direkt den HALT-Eingang des Hauptprozessors 12 ansteuern, wodurch das beschriebene Freigabeverfahren und der Hilfsprozessor 13 überflüssig werden. Es kann ebenfalls vorgesehen sein, die Bauteile der erfindungsgemäßen Diebstahlschutzvorrichtung und der Steuerung 11 auf einer einzigen Leiterplatte mit nur einem (gemeinsamen) Mikroprozessor anzuordnen.

Gemäß einem weiteren, in Fig. 3 dargestellten Ausführungsbeispiel der Erfindung läßt sich eine Einsparung von Baugruppen bei der erfindungsgemäßen Vorrichtung dadurch erreichen, daß Tuner und RDS-Decoder eines in das Fahrzeug eingebauten Autoradios 27 verwendet werden. Dazu verfügt das Autoradio 27 über einen Datenausgang, an dem die vom RDS- Decoder 2 gelieferten digitalen Daten anliegen. Dieser Ausgang ist mit dem Eingang der Datenüberwachungseinrichtung 3 verbunden.

Neben den dargelegten Ausführungsbeispielen sind weitere Ausgestaltungen denkbar. So kann vorgesehen sein, die Freigabedaten nicht in der Diebstahlschutzvorrichtung zu erzeugen, sondern senderseitig zu generieren und im Datenblock B zu übertragen, wobei im Fall einer Fahrzeugsperranforderung die Weitergabe der empfangenen Freigabedaten von der Diebstahlschutzvorrichtung unterdrückt wird. Daneben sind Ausführungsformen denkbar, bei denen die Freigabedaten nicht an eine Steuerung 11, sondern direkt an elektrische, aus der Patentliteratur bekannte Fahrzeugkomponenten (wie etwa Anlasser) gegeben werden, die eine eigene Entriegelungseinheit in Form eines unzugänglichen Mikrochips bereits eingebaut haben. Es sind ferner andersgeartete Wiederfreigabeverfahren für ein gesperrtes Fahrzeug denkbar. So kann die Wiederfreigabe auch durch Aussenden einer besonders gearteten Fahrzeugadresse erfolgen. Es kann ferner eine temporäre Fahrzeugsperrung vorgesehen sein, bei der die Wiederfreigabe automatisch nach Ablauf einer Wartezeit erfolgt.

Senderseitige Einrichtungen

In Fig. 6 sind die senderseitigen (ortsfesten) Einrichtungen dargestellt, die zur Erzeugung und Übertragung der für die Diebstahlschutzvorrichtung bestimmten Daten erforderlich sind. Im folgenden Beispiel sind die Einrichtungen anhand der Sperrung eines mit der erfindungsgemäßen Vorrichtung ausgestatteten Fahrzeuges 30 erläutert. Durch Anruf bei einer Zentrale 31 wird unter Mitteilung einer dem Fahrzeughalter oder anderen befugten Personen bekannten Geheimkennung die Sperrung des Fahrzeuges beantragt. Mit Hilfe der Datei 32, in der die Zuordnungen von Geheimkennungen zu Fahrzeughaltern erfaßt sind, wird die mitgeteilte Kennung überprüft. Bei Übereinstimmung werden für das Fahrzeug 30 Fahrzeugadresse und aktueller Stand des Sperrantragszählers ebenfalls der Datei 32 entnommen und an den Sperrdatengenerator 33, der sich vorzugsweise bei den Rundfunkanstalten befindet, zur Aussendung übergeben. Die Übermittlung der auszusendenden Informationen an den Sperrdatengenerator erfolgt vorteilhaft über das für die Mitteilung von Verkehrsnachrichten an Rundfunkanstalten eingerichtete Informationsnetz. Der Sperrdatengenerator 33 bildet wie beschrieben die für die Diebstahlschutzvorrichtung bestimmten Datenblöcke B und fügt diese in dargestellter Weise in die konventionellen RDS- Daten 34 ein. In vorgegebenen Zeitabständen, die sich nach der Anzahl der auszusendenden Fahrzeugadressen bemessen, wird vom Sperrdatengenerator die Aussendung der Fahrzeugadresse wiederholt, solange, bis er von der Zentrale 31 den Befehl erhält, die Aussendung der Adresse einzustellen (Fahrzeug wiedergefunden) oder bis eine vorgegebene Zeitspanne verstrichen ist, nach der die Wiederbeschaffung des Fahrzeuges nicht mehr wahrscheinlich ist. Die RDS-Daten werden dem bekannten RDS-Coder 35 zugeführt und zusammen mit dem Tonsignal einer NF-Quelle 36 vom Rundfunksender 37 ausgestrahlt.

Für digital ausgestrahlte Rundfunkprogramme sind ähnlich geartete Ausführungsformen der Diebstahlschutzvorrichtung denkbar. In diesem Fall würde der Empfänger 1 ein digitales Ausgangssignal abgeben. Der Decoder 2 würde dann vorteilhaft von einem Mikroprozessor gebildet werden, wobei die Decodierung durch ein Programm erfolgt.

Die erfindungsgemäße Diebstahlschutzvorrichtung weist gegenüber bekannten Lösungen zur Aktivierung einer Wegfahrsperre über einen Funkdienst deutliche Kostenvorteile im Hinblick auf Geräteelektronik und anfallende laufende Gebühren auf. Wegen des einseitig gerichteten Signalflusses kann die Vorrichtung vergleichsweise einfach aufgebaut sein. Zum Empfang des Rundfunkdienstes können billige Serienbaugruppen, die aus der Technik der Rundfunk- und Fahrzeugempfänger bekannt sind, Verwendung finden. Zur Realisierung der übrigen Komponenten genügt im wesentlichen ein Einchip-Mikrocomputer. Die beim Empfang eines Rundfunkdienstes anfallenden Gebühren sind insbesondere bei Hörfunkdiensten wesentlich niedriger als die bei Inanspruchnahme öffentlicher Funkdienste anfallenden laufenden Gebühren. Nach zum Zeitpunkt der Anmeldung geltendem Recht entstehen dem Betreiber der Vorrichtung unter Umständen überhaupt keine zusätzlichen Gebührenkosten, dann, wenn für einen im Kraftfahrzeug mitgeführten Rundfunkempfänger bereits Gebühren entrichtet werden. Ein großer Vorteil des Rundfunkdienstes im Vergleich zu Funkruf- oder Mobilfunkdiensten ist zudem, daß die senderseitig erforderlichen Einrichtungen und Informationskanäle in der Hauptsache bereits flächendeckend auch in Osteuropa vorhanden sind. Noch fehlende Komponenten wie die Zentrale 31 oder der Sperrdatengenerator 33 lassen sich kurzfristig und mit vergleichsweise geringem Aufwand nachrüsten.

Bezugszeichenliste

1 UKW-Empfänger
2 RDS-Decoder
3 Datenüberwachungseinrichtung
4 RAM-Speicher
5 nichtflüchtiger Speicher
6 Vergleichseinrichtung
7 Freigabeeinrichtung
8 Wegstreckenzähler
9 Wegstreckenüberwachungseinrichtung
10 Einchip-Mikrocomputer
11 Fahrzeugsteuerung
12 Hauptprozessor der Fahrzeugsteuerung
13 Hilfsprozessor
20 Empfangsantenne
21 Signaleinrichtung
22 Schaltausgang
23 Chipkarte
24 Fahrzeugaktoren
25 Fahrzeugsensoren
26 Gehäuse
27 Autoradio
30 zu sperrendes Fahrzeug
31 Zentrale
32 Datei
33 Sperrdatengenerator
34 konventionelle RDS-Daten
35 RDS-Coder
36 NF-Quelle
37 Rundfunksender

Claims (7)

1. Elektronische Vorrichtung zur Verhinderung der unbefugten Inbetriebnahme von Kraftfahrzeugen mit einer Verriegelungseinheit für betriebswichtige elektrische und/oder elektronische Komponenten des Fahrzeuges, dadurch gekennzeichnet, daß sie folgende Merkmale aufweist, die zusammenwirkend in einem Fahrzeug angeordnet sind:

• - einen Empfänger (1) für einen drahtlos ausgestrahlten Rundfunkdienst,
• - einen Decoder (2), der binäre, mit einem Rundfunkdienst übertragene Daten an einem Ausgang ausgibt,
• - eine Datenüberwachungseinrichtung (3), die Daten vom Decoder (2) erhält und die Mittel zum Signalisieren des Erhalts fehlerhafter Daten aufweist,
• - einen nichtflüchtigen Speicher (5), der mindestens ein fahrzeugindividuelles Kennzeichen (Fahrzeugadresse) beinhaltet,
• - eine Vergleichseinrichtung (6), die mittelbar oder unmittelbar vom Decoder (2) erhaltene Daten auf Übereinstimmung mit einer im nichtflüchtigen Speicher (5) abgelegten Fahrzeugadresse prüft und die Mittel zum Signalisieren einer Übereinstimmung (externe Fahrzeugsperranforderung) aufweist.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß Datenüberwachungseinrichtung (3) und/oder Vergleichseinrichtung (6) in Programmform realisiert sind.

3. Vorrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß der Decoder (2) ein Decoder für das Radio-Daten-System ist.

4. Vorrichtung nach Anspruch 1, 2 oder 3, dadurch gekennzeichnet, daß der Decoder (2) in Programmform realisiert ist.

5. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß sie eine Hochfrequenzsendeeinrichtung aufweist, die bei einer externen oder internen Fahrzeugsperranforderung ein Signal aussendet.

6. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß sie eine Schnittstelle (22), insbesondere einen Schaltausgang zum Steuern akustischer und/oder optischer Meldeeinrichtungen aufweist, an der bei einer externen oder internen Fahrzeugsperranforderung eine Änderung der anliegenden Information stattfindet.

7. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß einzelne oder alle im kennzeichnenden Teil aufgeführten Merkmale zum Erzielen einer erhöhten Betriebssicherheit mehrfach vorhanden sind.