DE4447822B4

DE4447822B4 - Diebstahlsicherungssystem für ein Kraftfahrzeug

Info

Publication number: DE4447822B4
Application number: DE4447822A
Authority: DE
Inventors: Hiroshi Chigasaki Udoh; Hirosi Zama Funakosi
Original assignee: Nissan Motor Co Ltd
Current assignee: Nissan Motor Co Ltd
Priority date: 1993-12-27
Filing date: 1994-12-23
Publication date: 2004-07-01
Anticipated expiration: 2014-12-24

Abstract

Diebstahlsicherungssystem für ein Kraftfahrzeug umfassend:
ein elektronisches Motorsteuerungssystem „ECCS" (1) mit einer Steuereinheit „ECU" (2) zur Steuerung der Kraftstoffeinspritzung und zur Unterdrückung eines Motorstarts sowie mit einem lösch- und veränderbaren Speicher zur Speicherung eines zufallsgenerierten Codes;
ein Motorstartverhinderungssteuersystem „ESICS" (11) mit einer eigenen Steuereinheit „ECU" und einem lösch- und veränderbaren Speicher zur Speicherung eines zufallsgenerierten Codes;
eine Kommunikationsverbindung zwischen den Steuereinheiten des „ECCS" und „ESICS" zur Übertragung der Codes in beiden Richtungen;
wobei Mittel zur Abgabe eines „EIN"-Signals vorgesehen sind, wenn ein Zündschließzylinder von einer „AUS"-Stellung in eine „EIN"-Stellung gedreht wird; und eine dritte Steuereinheit (15), die nach Erfassung des „EIN"-Signals feststellt, ob eine der ersten oder zweiten Steuereinheiten ausgetauscht wurde, und bei einer solchen Feststellung ein Initialisierungsauftragssignal generiert,
wobei Mittel vorgesehen sind, die in der ersten und zweiten Steuereinheit die Speicherung des gleichen Codes bewirken.

Description

Die Erfindung betrifft das Gebiet der Diebstahlsicherungssysteme für Kraftfahrzeuge, die in die Motorelektronik eingreifen.

Heutzutage werden viele Kraftfahrzeuge von elektronisch gesteuerten Verbrennungsmotoren angetrieben. Ein solcher Motor ist beispielsweise aus der JP 55-151133 A bekannt. Dieser Motor wird durch ein zentrales, elektronisches Motorsteuerungssystem „ECCS" gesteuert. Dieses Motorsteuerungssystem weist eine elektronische Steuereinheit „ECU" auf, die einen Mikrocomputer umfaßt.

Beim Drehen eines Zündschließzylinders in die START-Stellung wird der Motor durch einen Anlasser angetrieben. Gleichzeitig wird eine kontrollierte Menge Kraftstoff in den Motor eingespritzt, so daß der Motor startet. Nach dem Drehen des Zündschließzylinders in die START-Stellung berechnet die elektronische Steuereinheit „ECU" die Impulsbreite eines Steuerimpulssignals, das bei dem Start des Motors an die Kraftstoffeinspritzventile abgegeben wird. Die Impulsbreite stellt dabei die Öffnungszeit eines Einspritzventils dar, so daß die dem Motor zugeführte Kraftstoffmenge der Impulsbreite entspricht.

Ein solcher Motor kann durch eine Überbrückung im Motorstartkreis kurzgeschlossen, d.h. ohne die Verwendung eines Fahrzeugschlüssels angelassen werden. Die Sicherheit gegen Diebstahl durch einen technisch versierten Dieb ist damit gering.

Zur Erhöhung der Diebstahlsicherheit ist es bekannt, die Steuereinheit eines elektronischen Motorsteuerungssystems zu codieren ( EP 0 275 789 B1 ). Zusätzlich ist fahrerseitig eine Tastatur vorgesehen, mittels derer der Fahrer vor dem Start einen Erkennungscode eingeben kann. Ein Motorstart wird hierbei nur dann zugelassen, wenn der von dem Fahrer eingegebene Erkennungscode mit dem Code der Steuereinheit identisch ist.

Ferner wurde bereits eine Steuerungsvorrichtung für ein Fahrzeugdiebstahlsicherungssystem vorgeschlagen, die eine Steuereinheit aufweist, um einen Motorstart zu ermögli chen oder zu verhindern, je nachdem, ob ein übermittelter Code mit einem gespeicherten Code übereinstimmt oder nicht ( EP 637 528 A1 ).

Aus der DE 42 13 141 A1 ist ein Verfahren zur Erzeugung und Übertragung von verschlüsselten Funksignalen und insbesondere zur Sicherung eines Abhörens des übertragenden Funksignals bekannt.

Aus der GB 2 051 442 A ist ein Sicherheitssystem für ein Kraftfahrzeug mit einer Steuerungsvorrichtung, die an dem Fahrzeug installiert ist, und einen Schlüssel, der ein erstes Signal von der Steuerungsvorrichtung empfangen und ein zweites Signal zurücksenden kann, bekannt. Bei einer Nicht-Übereinstimmung der Signale wird ein Zugriff auf das Fahrzeug verhindert.

US 5 254 842 betrifft ein Sicherungssystem, das einen direkten unerlaubten Eingriff auf einen Motor eines Fahrzeuges dadurch verhindert, daß die durch eine Vorrichtung codierten Signalleitungen unterbrochen werden.

Der Erfindung liegt demgegenüber die Aufgabe zugrunde, ein Diebstahlsicherungssystem für Kraftfahrzeuge zu schaffen, das einerseits eine höhere Diebstahlsicherheit aufweist, andererseits den technischen Aufwand bei einem Verlust des dem Diebstahlsicherungssystem von außen zuzuführenden Codes gering hält, um das gesicherte Fahrzeug wieder gangbar zu machen.

Diese Aufgabe wird durch ein Diebstahlsicherungssystem für ein Kraftfahrzeug mit den Merkmalen des Patentanspruches 1 sowie weiterhin durch ein Diebstahlsicherungssystem für ein Kraftfahrzeug mit den Merkmalen des Anspruches 2 gelöst.

Weitere vorteilhafte Ausgestaltungen der Erfindung sind in den Unteransprüchen angegeben.

Im folgenden wird die Erfindung anhand der in den Figuren dargestellten Ausführungsbeispiele näher erläutert, woraus sich weitere Ausgestaltungsmöglichkeiten und Vorteile der Erfindung ergeben.

1 ist ein Blockdiagramm eines zentralisierten, elektronischen Steuerungssystems zur Steuerung des Betriebes eines Fahrzeugverbrennungsmotors;
2 ist ein Blockdiagramm eines Systems zum Schutz vor Autodiebstahl nach der vorliegenden Erfindung;
3 bis 6 sind Flußdiagramme, die die Programmausführungsschritte zeigen, welche in einem Mikrocomputer ausgeführt werden, der in einer ersten bevorzugten Ausführungsform der vorliegenden Erfindung benutzt wird;
7 bis 13 sind Flußdiagramme, die die Programmausführungsschritte zeigen, welche in einem Mikrocomputer ausgeführt werden, der in einer zweiten bevorzugten Ausführungsform der vorliegenden Erfindung benutzt wird;
14 ist eine Tabelle, die die Befehle darstellt, die zwischen einem zentralisierten, elektronischen Steuerungssystem (ECCS) und einem Motorstartverhinderungssystem (ESICS) in der zweiten Ausführungsform übertragen werden; und
15 ist eine Tabelle, die die Protokollformate der Kommunikation zwischen ECCS und ESICS zeigt.
Ausführliche Beschreibung der Erfindung
Mit Bezug auf die 1 der Zeichnungen wird ein zentralisiertes, elektronischen Steuerungssystem 1 (,das anschließend zur Erleichterung der Beschreibung als "ECCS" bezeichnet wird,) zur Steuerung eines Verbrennungsmotors gezeigt. Das ECCS 1 enthält im Allgemeinen verschiedene Sensoren, wie etwa einen Zündschalter 1A, einen Kurbelwellenwinkelsensor 1B, einen Luftstömungsmesser 1C, usw., eine elektronische Steuereinheit 2 (,die anschließend mit "ECU" bezeichnet wird,) die Informationssignale von den Sensoren und verschiedenen, (nicht gezeigten) Stellgliedern empfängt, welche in Obereinstimmung mit den Steuersignalen von der ECU 2 betrieben werden.
Die ECU 2 wurde entworfen, um verschiedene Elemente zu steuern, wie etwa Menge der Kraftstoffeinspritzung, Zündzeitpunkt, Leerlaufdrehzahl, Menge des zirkulierenden Gases, und Ähnliches. Jedoch sind in 1 nur zwei Elemente gezeigt, nämlich Menge der Kraftstoffeinspritzung und Zündzeitpunkt. Durch einen Mikrocomputer 2A der ECU, der die digitale Steuerung durchführt, wird sowohl die Menge des in den Motor durch die Einspritzventile eingespritzten Kraftstoffs, als auch der Zeitpunkt zur Zündung des brennbaren Gemisches in den Verbrennungskammern gesteuert. Die Kraftstoffeinspritzventile sind in konventioneller Weise am Einlaßkrümmer montiert, und ein transistorisiertes Zündsystem wird zur Zündung des brennbaren Gemisches benutzt.
Wie aus der Zeichnung (1) erkannt werden kann, schaltet ein Leistungstransistor 2B für ein Kraftstoffeinspritzventil nach Empfang eines "EIN"-Signals vom Mikrocomputer 2A auf "EIN", und erregt damit eine Elektromagnetspule 3, wodurch das Ventil voll geöffnet wird. Nach Empfang eines "AUS"-Signals schaltet der Leistungstransistor 2B auf "AUS", und deaktiviert damit die Elektromagnetspule 3, wodurch das Ventil voll geschlossen wird. Während des geöffneten Zustands des Ventils wird Kraftstoff mit einem bestimmten Druck in den Einlaßkrümmer eingespritzt. Entsprechend ist die Menge des in die Verbrennungskammer eingespritzten Kraftstoffs proportional zur Öffnungszeitspanne des Kraftstoffeinspritzventils.
Nach Empfang eines "EIN"-Signals vom Mikrocomputer 2A schaltet darüber hinaus ein Leistungstransistor 4A für das Zündsystem 4 auf "EIN", wodurch eine Primärspule 4B erregt wird, und nach Empfang eines "AUS"-Signals schaltet der Leistungstransistor 4A auf "AUS", und deaktiviert damit die Primärspule 4B. Mit Wiederholung dieses EIN-AUS-Vorgangs der Primärspule 4B, wird eine hochgespannte elektrische Leistung durch eine Sekundärspule erzeugt, was einen Zündfunken an einer Zündkerze 4D bewirkt. Wie bekannt, wird der Zündzeitpunkt durch Einstellung des Zeitpunktes gesteuert, zu dem der Leistungstransistor vom "EIN"-Zustand in den "AUS"-Zustand geschaltet wird. Beim Kaltstart des Motors wird der Zündzeitpunkt verzögert. Damit wird die Auspufftemperatur schnell erhöht, und das Erwärmen des Motors wird gefördert.
Die ECU 2 wird in einer einzigen Einheit installiert. Bei Ausfällen wird die Einheit in Gänze durch eine neue ersetzt. Wie später beschrieben wird, wird auch die elektronische Steuereinheit "ECU" für "ESICS" in einer einzigen Einheit installiert.
Wie aus 2 erkannt werden kann, wird ferner zusätzlich zur oben erwähnten ECCS 1 ein Motorstartverhinderungssteuersystem 11 verwendet (,das zur Erleichterung der Beschreibung anschließend mit "ESICS" bezeichnet wird). Das "ESICS" enthält eine elektronische Steuereinheit mit einem Mikrocomputer. Die "ECU" 2 des ECCS und die "ECU" des "ESICS" 11 sind miteinander durch eine interaktive Kommunikationsleitung 12 verbunden.
Die "ECU" 2 des "ECCS" stellt eine erste Steuereinheit dar, während die "ECU" des "ESICS" eine zweite Steuereinheit darstellt.
Das "ESICS" hat eine Funktion zur Kommunikation mit einem Transponder 13, der in einem Motorstartschlüssel installiert ist. Wie bekannt, ist der Transponder 13 ein Sender-Empfänger, der in der Lage ist, den Aufruf einer Abfrageeinrichtung aufzunehmen, und automatisch eine passende Antwort zurückzusenden. Der Schlüssel ist mit einem Sender ausgerüstet, zur Übermittlung eines vom Transponder bereitgestellten Codesignals. Das "ESICS" 11 empfängt das Codesignal über eine Antenne 11A, und vergleicht. es mit einem bei sich gehaltenen Codesignal, um zu prüfen, ob die Kombination des Schlüssels (bzw. des Transponders 13) und des "ESICS" passend ist oder nicht. Selbst wenn ein ähnlicher Motorstartschlüssel vorbereitet wurde, wird die Kombination solange nicht als passend beurteilt, als nicht der selbe Transponder 13 im Schlüssel installiert wurde.
Im Folgenden wird eine erste Ausführungsform der vorliegenden Erfindung beschrieben.
In der ersten Ausführungsform findet die interactive Aktion zwischen dem "ECCS" 1 und dem "ESICS" 11 im Allgemeinen zweimal statt, einmal zum Zeitpunkt (A), wenn der Zündschließzylinder von der "AUS"-Position in die "EIN"-Position gedreht wird, und zum zweiten Mal zum Zeitpunkt (B), wenn der Zündschließzylinder von der "EIN"-Position in die "AUS"-Position gedreht wird.
(A) Interactive Aktion zum Zeitpunkt, zu dem der Zündschließzylinder von der "AUS"-Position in die "EIN"-Position gedreht wird.

(a) Eine Beurteilung wird durchgeführt, ob zur Starterlaubnis des Motors durch "ECCS" 1 eine Kommunikationsbedingung zwischen dem "ECCS" 1 und dem "ESICS" 11 eingerichtet wurde oder nicht. Für die Einrichtung sollten das durch das "ESICS" bereitgehaltene Codesignal und das durch den Transponder 13 (oder Schlüssel) gelieferte miteinander übereinstimmen.
(b) Wenn die Kommunikationsbedingung eingerichtet wurde, wird die Kommunikation zwischen dem "ESICS" und dem "ECCS" durchgeführt. D.h., ein vom "ESICS" gesandter, rollender Code und ein in einem löschbaren und veränderbaren ROM des "ECCS" gespeicherter, rollender Code werden miteinander verglichen.
(c) Bei Übereinstimmung dieser rollenden Codes wird die Motorstarterlaubnis aufrecht erhalten. Bei Nicht-Übereinstimmung dieser Codes wird die Motorstarterlaubnis widerrufen.

(B) Interactive Aktion zum Zeitpunkt, zu dem der Zündschließzylinder von der "EIN"-Position in die "AUS"-Position gedreht wird.

(a) Das "ECCS" sendet einen weiteren, rollenden Code, der in seinem löschbaren und veränderbaren ROM gespeichert wurde, zum "ESICS".
(b) Nach Empfang dieses weiteren, rollenden Codes speichert das "ESICS" ihn in seinem löschbaren und veränderbaren ROM, und sendet denselben Code zurück zu dem "ECCS".
(c) Nach Empfang des zurückgesandten, rollenden Codes vergleicht das "ECCS" ihn mit dem weiteren, rollenden Code, den das "ECCS" zum "ESICS" ausgesandt hat, zur Absicherung, ob die zwei Codes übereinstimmen.

Der rollende Code ist ein Codesignal, das zufallsgesteuert jedesmal verändert wird, wenn der zugeordnete Motor startet. Jedoch mag das dazu führen, daß, falls wegen eines Ausfalls der "ECU" eines der "ECCS" oder "ESICS" durch ein neues ersetzt wurde, der Motorstart wegen Nichtübereinstimmung der rollenden Codes nicht erlaubt wird.
Um mit dieser Angelegenheit zurechtzukommen, wird eine Initialisierung des rollenden Codes bei beiden bewirkt, nämlich der neuen "ECU" (zum Beispiel, der neuen, kürzlich in dem "ECCS" installierten "ECU") und der verbliebenen "ECU" (zum Beispiel, der in dem "ESICS" behaltenen "ECU"), unter der Bedingung, daß die ersetzte "ECU" neu ist.
Zu diesem Zweck hat jedes der "ECCS" und "ESICS" im löschbaren und veränderbaren ROM einen Merker, der darstellen kann, daß die "ECU" neu ist. D.h., der Merker wird in der Fabrik der elektronischen Steuereinheiten (ECU) passend gesetzt.
Das Betriebsprogramm für die "ECU" von jedem der "ECCS" und "ESICS" hat keinen Programmschritt, um den Merker auf den Wert für einen neuen Artikel zu setzen. Dieses ist deswegen, weil die Ausführung der Initialisierung nur erlaubt werden sollte, wenn eine der "ECU" von "ECCS" und "ESICS" durch eine neue ersetzt wird. D.h., wenn der Merker frei vom Programm behandelt wird, wird unbekannt sein, ob die "ECU" neu ist oder nicht.
Wenn die "ECU" von irgendeinem der "ECCS" und "ESICS" durch eine neue ersetzt wird, findet die interaktive Aktion zwischen dem "ECCS" und dem "ESICS" zweimal statt, einmal zum Zeitpunkt (C), wenn der Zündschließzylinder von der "AUS"-Position in die "EIN"-Position gedreht wird, und zum zweiten Mal zum Zeitpunkt (D), wenn der Zündschließzylinder von der "EIN"-Position in die "AUS"-Position gedreht wird.
(C) Interactive Aktion zum Zeitpunkt, zu dem der Zündschließzylinder von der "AUS"-Position in die "EIN"-Position gedreht wird.

(a) Eine Beurteilung wird durchgeführt, ob zur Starterlaubnis des Motors durch "ECCS" 1 eine Kommunikationsbedingung zwischen dem "ECCS" 1 und dem "ESICS" 11 eingerichtet wurde oder nicht. Für die Einrichtung sollten das durch das "ESICS" bereitgehaltene Codesignal und das durch den Transponder 13 gelieferte miteinander übereinstimmen.
(b) Wenn die Kommunikationsbedingung eingerichtet wurde, wird eine Beurteilung durchgeführt, welche von den "ECU" von dem "ESICS" und dem "ECCS" bezüglich der Zustände der in ihnen gespeicherten Merker neu ist.
(c) Wenn die Beurteilung ergeben hat, daß die "ECU" des "ESICS" neu ist, dann wird ein Initialisierungsauftragssignal an eine dritte elektronische Steuereinheit 15 (siehe 2) abgegeben. Dann wird der Merker des "ESICS" zurückgesetzt.
(d) Nach Abgabe des Code-Initialisierungsauftrags von der dritten elektronischen Steuerungseinheit 15 beliefert die "ECU" des "ECCS" das "ESICS" mit sowohl einem Startsignal zur Initialisierung des rollenden Codes, als auch einem Initialisierungscode für den rollenden Code. Dann wird der Merker des "ECCS", der auf dem einen neuen Artikel bezeichnenden Wert gehalten wurde, zurückgesetzt oder gelöscht.
(e) Nach Speicherung des vom "ECCS" gesendeten Initialisierungscode für den rollenden Codes in seinem löschbaren und veränderbaren ROM schickt die "ECU" des "ESICS" den selben Code zurück zum "ECCS".
(f) Die "ECU" des "ECCS" vergleicht den zurückgesendeten Code mit den im löschbaren und veränderbaren ROM des "ECCS" gespeicherten Initialisierungscode.
(g) Bei Übereinstimmung dieser zwei Initialisierungscodes wird die Motorstarterlaubnis aufrecht erhalten. Bei Nicht-Übereinstimmung dieser Codes wird die Motorstarterlaubnis widerrufen.

(D) Interactive Aktion zum Zeitpunkt, zu dem der Zündschließzylinder von der "EIN"-Position in die "AUS"-Position gedreht wird.

(a) Das "ECCS" sendet einen weiteren, rollenden Code, der in seinem löschbaren und veränderbaren ROM gespeichert wurde, zum "ESICS" .
(b) Nach Empfang dieses weiteren, rollenden Codes speichert das "ESICS" ihn in seinem löschbaren und veränderbaren ROM, und sendet denselben Code zurück zu dem "ECCS".
(c) Nach Empfang des zurückgesandten, rollenden Codes vergleicht das "ECCS" ihn mit dem weiteren, rollenden Code, den das "ECCS" zum "ESICS" ausgesandt hat, zur Absicherung, ob die zwei Codes übereinstimmen.

3, 4 und 5 sind Flußdiagramme, die die programmierten Befehlsschritte zur Durchführung der oben erwähnten interaktiven Aktionen zeigen.
Wie bereits zuvor beschrieben, ist die Kommunikation zwischen der "ECU" des "ECCS" und der "ECU" des "ESICS" bidirektional. Um Kommandos und Daten vom "ECCS" zum "ESICS" zu schicken und dasselbe vom "ESICS" zum "ECCS" zurückzuschicken, ist es deshalb notwendig, zwei Kommunikationsmodes für eine derartige bidirektionale Kommunikation vorzusehen.
In den Flußdiagrammen von 3 wird im Schritt S-1 eine Beurteilung durchgeführt, ob der Zündschließzylinder von der "AUS"-Position zur "EIN"-Position gedreht wurde oder nicht. Falls NEIN, stoppt der Programmfluß. Falls JA, geht der Programmfluß zu Schritt S-2. In diesem Schritt werden verschiedene, zum Start der Kommunikation benötigte Operationen durchgeführt. Diese sind, zum Beispiel, (1) Befehle zur Kommunikation zwischen der "ECU" des "ECCS" und der des "ESICS", (2) Kommunizieren der Einrichtung der Übertragungsbedingung zur "ECU" des "ESICS" von der "ECU" des "ECCS", (3) Vergleich des von dem "ESICS" mit dem vom Transponder 13 gelieferten Codesignal, (4) Kommunizieren des Vergleichsergebnisss zur "ECU" des "ECCS". Falls der Vergleich eine Nichtübereinstimmung der zwei Codesignale aufzeigt, wird die Kommunikation beendet und der Motorstart unterdrückt.
Im Schritt S-3 wird eine Beurteilung durchgeführt, ob die "ECU" des "ECCS" neu ist oder nicht, d.h., ob ein im löschbaren und veränderbaren ROM der "ECU" des "ECCS" gespeicherter Merker auf den Wert gesetzt ist, der aussagt, daß die "ECU" neu ist. Falls JA, geht der Programmfluß zu Schritt S-4, in dem eine Beurteilung durchgeführt wird, ob die "ECU" des "ESICS" neu ist oder nicht, d.h., ob ein im löschbaren und veränderbaren ROM der "ECU" des "ESICS" gespeicherter Merker auf den Wert gesetzt ist, der aussagt, daß die "ECU" neu ist. Falls JA, geht der Programmfluß zu Schritt S-9, der später beschrieben werden wird. Falls NEIN, geht der Programmfluß zu Schritt S-6. In diesem Schritt wird ein Initialisierungsauftragssignal von der "ECU" des "ECCS" an die des "ESICS" abgegeben.
Bei JA im Schritt S-5 geht der Programmfluß zu Schritt S-7. In diesem Schritt wird ein Initialisierungssignal von der "ECU" des "ESICS" an die der "ECCS" abgegeben, und der Programmfluß geht zu Schritt S-8, in dem der Merker des "ESICS" gelöscht wird. Dann geht der Programmfluß zu Schritt S-9, in dem auf eine Initialisierungsbedingung für den rollenden Code gewartet wird. Im Schritt S-10 wird dann geprüft, ob ein Initialisierungsauftrag abgegeben wurde oder nicht. Falls NEIN, geht der Programmfluß zurück zu Schritt S-9, und falls JA, geht der Programmfluß zu Schritt S-11 des Flußdiagramms der 4.
Im Schritt S-11 wird ein im löschbaren und veränderbaren ROM des "ECCS" gespeicherter Initialisierungscode gelesen, und im Schritt S-12 wird dann der gelesene Initialisierungscode zur "ECU" des "ESICS" übertragen. Im Schritt S-13 wird dann der Initialisierungscode im löschbaren und veränderbaren ROM des "ESICS" gespeichert, und im Schritt S-14 wird dann ein zum gespeicherten Code identischer Initialisierungscode zur "ECU" des "ECCS" zurückgeschickt. Dann geht der Programmfluß zu Schritt S-15. In diesem Schritt wird eine Beurteilung durchgeführt, ob der zurückgesendete Initialisierungscode mit dem Initialisierungscode übereinstimmt, der im löschbaren und veränderbaren ROM des "ECCS" gespeichert wurde. Falls NEIN, geht der Programmfluß über einen Warteschritt S-16 zurück zu Schritt S-12, in der Annahme, daß irgendein Übertragungsfehler passiert ist. D.h., falls im Schritt S-16 erkannt wird, daß eine gegebene Zeitspanne noch nicht verstrichen ist, dann geht der Programmfluß zurück nach Schritt S-12, hingegen, falls erkannt wird, daß eine gegebene Zeitspanne verstrichen ist, dann geht der Programmfluß nach Schritt S-17, um die Kommunikation zu beenden.
Falls JA in Schritt S-15, geht der Programmfluß zu Schritt S-18, um den Merker des "ECCS" zu löschen oder zurückzusetzen, und dann geht der Programmfluß zu Schritt S-19. In diesem Schritt wird gewartet, bis der Schließzylinder von der "EIN"-Position zur "AUS"-Position gedreht wird.
Dann geht der Programmfluß durch Schritt S-31 zu Schritt S-32 des Flußdiagramms von 5. In diesem Schritt wird eine Beurteilung durchgeführt, ob der Zündschließzylinder von der "EIN"-Position zur "AUS"-Position gedreht wurde. Falls JA, geht der Programmfluß zu Schritt S-33. In diesem Schritt werden verschiedene, zum Start der Kommunikation benötigte Operationen durchgeführt. Diese sind, zum Beispiel, (1) Befehle zur Kommunikation zwischen der "ECU" des "ECCS" und der des "ESICS", (2) Kommunizieren der Einrichtung der Übertragungsbedingung zur "ECU" des "ESICS" von der "ECU" des "ECCS". Dann geht der Programmfluß zu den Schritten S-34, S-35, S-36, S-37, S-38, S-39 und S-40, die ähnlich sind wie die oben erwähnten Schritte S12 bis S-17. Jedoch ist der durch diese Schritte S-34 bis S-40 behandelte Code ein nachfolgender Code, der nach dem Initialisierungscode erscheint.
Mit Bezug zurück zum Flußdiagramm von 3, falls NEIN in Schritt S-5, geht der Programmfluß zu Schritt S-21 des Flußdiagramms von 4. In diesem Schritt wird der im löschbaren und veränderbaren ROM des "ESICS" gespeicherte rollende Code an die "ECU" des "ECCS" zurückgeschickt. Im Schritt S-22 wird dann eine Beurteilung durchgeführt, ob der zurückgesendete rollende Code mit dem rollenden Code übereinstimmt, der im löschbaren und veränderbaren ROM des "ECCS" gespeichert wurde. Falls NEIN, geht der Programmfluß über einen Warteschritt S-23 zurück zu Schritt S-21, in der Annahme, daß irgendein Übertragungsfehler passiert ist. D.h., falls im Schritt S-23 erkannt wird, daß eine gegebene Zeitspanne noch nicht verstrichen ist, dann geht der Programmfluß zurück nach Schritt S-21, hingegen, falls erkannt wird, daß eine gegebene Zeitspanne verstrichen ist, dann geht der Programmfluß zu Schritt S-24 und S-25. In diesen Schritten wird der Motorstart unterdrückt, bzw. um die Kommunikation beendet.
Falls JA in Schritt S-22 geht der Programmfluß zu Schritt S-26. In diesem Schritt wird die Motorstarterlaubnis aufrecht erhalten und der Programmfluß geht zu Schritt S-19.
6 zeigt ein Flußdiagramm der Programmschritte, die in der "ECU" des "ECCS" zur Steuerung der Kommunikation bei Motorstart durchgeführt werden.
D.h., im Schritt S-51 wird eine Beurteilung durchgeführt, ob der Zündschließzylinder zur der "START"-Position von der "AUS"-Position gedreht wurde. Falls JA, geht der Programmfluß zu Schritt S-52, um die Kommunikation zu stoppen, und der Programmfluß geht zu Schritt S-53. In diesem Schritt wird die Impulsbreite "Tst" eines Steuerimpulses berechnet, der jedem der Kraftstoffeinspritzventile bei Motorstart zuzuführen ist.
Die Impulsbreite wird nach folgender Gleichung berechnet: Tst = Tst0 × Csn × Kcs (1)wobei:
Tst0 : Basiswert
Csn : Rotationkorrekturrate
Kcs : Zeitkorrekturrate
Falls NEIN in Schritt S-51, geht der Programmfluß zu Schritt S-54. In diesem Schritt wird eine Beurteilung durchgeführt, ob der Zündschließzylinder von der "START"-Position zur der "EIN"-Position gedreht wurde. Falls JA, geht der Programmfluß zu Schritt S-55, um die Kommunikation zu starten oder erneut zu starten. Hingegen, falls NEIN, geht der Programmfluß zu Schritt S-56, um die Kommunikation fortzusetzen.
Im Folgenden wird die vorteilhafte Betriebsweise des Systems zum Schutz vor Autodiebstahl nach der ersten Ausführungsform der Erfindung kurz beschrieben.
Wenn zum Start des Motors der Zündschließzylinder von der "AUS"-Position zur "EIN"-Position gedreht wird, vergleicht das "ECCS" seinen eigenen rollenden Code mit einem rollenden Code, der vom "ESICS" zurückgesendet wurde, während es den Motorstart erlaubt. Wenn jedoch diese zwei rollende Codes nicht übereinstimmen, wird der Motorstart unterdrückt.
Wenn zum Stoppen des Motors der Zündschließzylinder von der "EIN"-Position zur "AUS"-Position gedreht wird, werden die in den "ECU" von "ECCS" und "ESICS" gespeicherten, rollenden Codes erneuert oder dem Rollen unterworfen. weil die Erneuerung des rollenden Codes nach Stoppen des Motors bewirkt wird, kann der Rollfehler der Codes minimiert werden.
In der "ECU" des "ESICS" wird das dort gespeicherte ' Codesignal mit dem vom Transponder 13 angelieferte Codesignal verglichen, um zu prüfen, ob der Motorstartschlüssel mit dem in ihm installierten Transponder 13 passend ist oder nicht. D.h., nur wenn diese zwei Codesignale übereinstimmen und damit beweisen, daß der Schlüssel passend ist, wird die Kommunikationsbedingung zwischen "ECCS" und "ESICS" eingerichtet. So ist eine passende und begrenzte Kombination zwischen dem Schlüssel und dem "ESICS" erforderlich, um den Motor praktisch zu starten.
Wenn das System zum Schutz vor Autodiebstahl wegen eines Ausfalls der "ECU" entweder von "ECCS" oder von "ESICS" im Betrieb versagt, ist es nur notwendig, die ausgefallene "ECU" durch eine neue zu ersetzen. D.h., in einem solchen Fall wird in der Erfindung der Initialisierungsprozeß in beiden, der neuen und der vorhandenen "ECU" von dem "ECCS" und dem "ESICS" ausgeführt. Solch ein Ersatz ist ökonomisch, verglichen mit einem Ersatz von beiden "ECU" von "ECCS" und "ESICS".
Folgend wird eine zweite Ausführungsform der vorliegenden Erfindung beschrieben.
Auch in dieser zweiten Ausführungsform findet die interaktive Aktion zwischen dem "ECCS" und dem "ESICS" im Allgemeinen zweimal statt, einmal zum Zeitpunkt (A), wenn der Zündschließzylinder von der "AUS"-Position in die "EIN"-Position gedreht wird, und zum zweiten Mal zum Zeitpunkt (B), wenn der Zündschließzylinder von der "EIN"-Position in die "AUS"-Position gedreht wird.
(A) Interactive Aktion zum Zeitpunkt, zu dem der Zündschließzylinder von der "AUS"-Position in die "EIN"-Position gedreht wird.

(a) Eine Beurteilung wird durchgeführt, ob eine Kommunikation zwischen dem "ESICS" 11 und dem Transponder 13 möglich ist oder nicht. Falls sie nicht möglich ist, d.h., falls die Kommunikation nicht innerhalb einer gegebenen Zeit erreicht werden kann, wird ein Befehlssignal zur Unterdrückung des Motorstarts erzeugt.
(b) Eine Beurteilung wird durchgeführt, ob zur Starterlaubnis des Motors durch "ECCS" 1 eine Kommunikationsbedingung zwischen dem "ECCS" 1 und dem "ESICS" 11 eingerichtet wurde oder nicht. Für die Einrichtung sollten das durch das "ESICS" bereitgehaltene Codesignal und das durch den Transponder 13 gelieferte Codesignal miteinander übereinstimmen.
(c) Wenn die Kommunikationsbedingung eingerichtet wurde, wird die Kommunikation zwischen dem "ESICS" 11 und dem "ECCS" 1 durchgeführt. D.h., ein vom "ESICS" 11 gesendeter Identifizierungscode und ein in einem löschbaren und veränderbaren ROM des "ECCS" 1 gespeicherter Identifizierungscode werden miteinander verglichen. Das ROM ist von der Art, daß es auf Befehl der CPU Daten ohne besondere Energiequelle speichern kann.
(d) Bei Obereinstimmung dieser Identifizierungscodes wird die Motorstarterlaubnis aufrecht erhalten. Hingegen wird bei Nicht-Übereinstimmung dieser Codes die Motorstarterlaubnis widerrufen.

(a) Das "ECCS" 1 sendet einen Identifizierungscodeerneuerungsauftrag zum "ESICS" 11.
(b) Nach Empfang dieses Auftrags wählt das "ESICS" 11 zufallsgesteuert einen neuen Identifizierungscode, und speichert ihn in seinem löschbaren und veränderbaren ROM, und sendet denselben Code zurück zu dem "ECCS" 1.
(c) Nach Empfang des zurückgesandten neuen Identifizierungscodes speichert das "ECCS" 1 ihn in seinem löschbaren und veränderbaren ROM.

So wird der Identifizierungscode jedesmal verändert, wenn der Zündschließzylinder von der "EIN"-Position in die "AUS"-Position gedreht wird. Jedoch kann dies dazu führen, daß, falls die "ECU" von einem der "ECCS" und "ESICS" wegen eines Ausfalls durch eine neue ersetzt wurde, der Motorstart wegen Nichtübereinstimmung der Identifizierungscodes nicht erlaubt wird.
Um mit dieser Angelegenheit zurechtzukommen, wird ein Initialisierungsprozeß bewirkt, um die Synchronisation des Identifizierungscodes zwischen der neuen "ECU" (zum Beispiel, der neuen, kürzlich in dem "ECCS" 1 installierten "ECU") und der. verbliebenen "ECU" (zum Beispiel, der in dem "ESICS" 11 behaltenen "ECU"). Dieser Initialisierungsprozeß wird in einer dritten elektronischen Steuereinheit 15, wie in 2 gezeigt, durchgeführt.
Zu diesem Zweck hat jedes der "ECCS" 1 und "ESICS" 11 im löschbaren und veränderbaren ROM einen Merker, der darstellen kann, daß die "ECU" neu ist. D.h., der Merker wird in der Fabrik der elektronischen Steuereinheiten (ECU) passend gesetzt.
Das Betriebsprogramm für die "ECU" von jedem der "ECCS" und "ESICS" hat keinen Programmschritt, um den Merker auf den Wert für einen neuen Artikel zu setzen. Dieses ist deswegen, weil die Ausführung der Initialisierung nur erlaubt werden sollte, wenn eine der "ECU" von "ECCS" 1 und "ESICS" 11 durch eine neue ersetzt wird. D.h., wenn der Merker frei vom Programm behandelt wird, wird unbekannt sein, ob die "ECU" neu ist oder nicht.
Wenn die "ECU" von irgendeinem des "ECCS" 1 und "ESICS" 11 durch eine neue ersetzt wird, findet die interaktive Aktion zwischen dem "ECCS" 1 und dem "ESICS" 11 zweimal statt, einmal zum Zeitpunkt (C), wenn der Zündschließzylinder von der "AUS"-Position in die "EIN"-Position gedreht wird, und zum zweiten Mal zum Zeitpunkt (D), wenn der Zündschließzylinder von der "EIN"-Position in die "AUS"-Position gedreht wird.
(C) Interactive Aktion zum Zeitpunkt, zu dem der Zündschließzylinder von der "AUS"-Position in die "EIN"-Position gedreht wird.

(a) Eine Beurteilung wird durchgeführt, ob eine Kommunikationsbedingung zwischen dem "ECCS" 1 und dem "ESICS" 11 eingerichtet wurde oder nicht. Für die Einrichtung sollten das durch das "ESICS" 11 bereitgehaltene Codesignal und das durch den Transponder 13 gelieferte Codesignal miteinander übereinstimmen.
(b) Wenn die Kommunikationsbedingung eingerichtet wurde, wird die Verbindung des "ESICS" 11 mit der dritten "ECU" 15 erlaubt unter der Bedingung, daß mindestens bei einer der "ECU" von "ECCS" 1 und "ESICS" 11 hat der Merker den Wert, der bezeichnet, daß die zugehörige "ECU" neu ist.
(c) Nach Herstellen der Verbindung wird ein Initialisierungsauftrag von der dritten elektronischen Steuereinheit 15 an das "ECCS" 1 abgegeben. Daraufhin gibt das "ECCS" 1 einen Initialisierungsauftrag an das "ESICS" 11 ab. Daraufhin wählt das "ESICS" 11 einen anfänglichen Identifizierungscode und speichert ihn in seinem löschbaren und veränderbaren ROM und sendet zur selben Zeit den Code an das "ECCS" 1.
(d) Nach Empfang des zurückgesandten anfänglichen Identifizierungscodes speichert das "ECCS" 1 ihn in seinem löschbaren und veränderbaren ROM.
(e) Der Merker im ROM des "ECCS" 1 oder des "ESICS" 11 wird gelöscht.

(a) Das "ECCS" 1 gibt einen Auftrag zur Erneuerung des Identifizierungscodes an das "ESICS" 11.
(b) Nach Empfang dieses Auftrags wählt das "ESICS" 11 zufallsbedingt einen neuen Identifizierungscode aus und speichert ihn in seinem löschbaren und veränderbaren ROM, und sendet denselben Code zurück zu dem "ECCS" 1.
(c) Nach Empfang des zurückgesandten Identifizierungscodes speichert das "ECCS" 1 ihn in seinem löschbaren und veränderbaren ROM.

7, 8 und 9 sind Flußdiagramme, die die programmierten Befehlsschritte zur Durchführung der interaktiven Aktion (A) zeigen, 12 und 13 sind Flußdiagramme, die die programmierten Befehlsschritte zur Durchführung der interaktiven Aktion (B) zeigen, und 10 und 11 sind Flußdiagramme, die die programmierten Befehlsschritte zur Durchführung der interaktiven Aktion (C) zeigen.
In den Flußdiagrammen von 7 wird im Schritt S-1 eine Beurteilung durchgeführt, ob der Zündschließzylinder von der "AUS"-Position in die "EIN"-Position gedreht wurde oder nicht. Falls NEIN, hält der Programmfluß an. Falls JA, geht der Programmfluß zu Schritt S-2. In diesem Schritt wird eine Beurteilung durchgeführt, ob das "ECCS" neu ist oder nicht, d.h., ob das löschbare und veränderbare ROM des "ECCS" den Merker aufweist, der aussagt, daß die zugeordnete "ECU" neu ist. Falls JA, geht der Programmfluß zu dem in den Flußdiagrammen von 10 veranschaulichten Initialisierungsprozeß, der anschließend beschrieben wird.
Falls NEIN im Schritt S-2, geht der Programmfluß zu Schritt S-3, und ein Zeitglied beginnt die Zeit zu zählen. Dann geht der Programmfluß zu Schrit S-4 . In diesem Schritt wird ein Auftrag an das "ESICS" gerichtet, eine Testübertragung zu bewirken. Dann geht der Programmfluß zu Schritt S-5. In diesem Schritt wird eine Beurteilung durchgeführt, ob das "ESICS" die Testübertragung wirklich durchgeführt hat. Falls NEIN, d.h., falls das "ESICS" nicht zurückgerufen hat, oder falls die Prüfsumme einen Fehler zeigt, selbst wenn der Rückruf bewirkt wurde, dann geht der Programmfluß zu einem im Flußdiagramm von 8 dargestellten Prozeß. Wie weiter unter beschrieben werden wird, geht der Programmfluß nach Ausführung der Schritte des Flußdiagramms von 8 zurück zu Schritt S-4 von 7, oder geht zum Motorstartunterdrückungsprozeß von 9. Falls der Motorstartunterdrückungsprozeß eingerichtet wird, wird die Kraftstoffzufuhr zum Motor gestoppt.
Mit Bezug zurück zu dem Flußdiagramm von 7, falls JA in Schritt S-5, d.h., falls das "ESICS" den Rückruf bewirkt hat, geht der Programmfluß zu Schritt S-6. In diesem Schritt wird eine Beurteilung durchgeführt, ob das "ESICS" neu ist oder nicht, d.h., ob das löschbare und veränderbare ROM des "ESICS" den Merker aufweist, der aussagt, daß die zugeordnete "ECU" neu ist. Falls JA, geht der Programmfluß zum Initialisierungsprozeß von 10, der anschließend beschrieben wird. Falls NEIN, geht der Programmfluß zu Schritt S-7. In diesem Schritt wird eine Beurteilung durchgeführt, ob das vom Transponder 13 ausgeschickte Codesignal und das vom "ESICS" gelieferte Codesignal miteinander übereinstimmen oder nicht. Falls JA, geht der Programmfluß zu Schritt S-8. In diesem Schritt wird der vom Transponder 13 ausgeschickte Identifizierungscode mit dem vom "ESICS" gelieferten verglichen, um zu entscheiden, ob die beiden Codes miteinander übereinstimmen oder nicht. Für diesen Schritt beauftragt das "ECCS" das "ESICS", den Identifizierungscode an das "ECCS" zu schicken, und nach Empfang des Codes, vergleicht das "ECCS" den Code mit seinem eigenen Identifizierungscode. Falls JA in Schritt S-8, geht der Programmfluß zu Schritt S-9. In diesem Schritt wird ein Failsafe-Merker gesetzt, und dann wird im Schritt S-10 das Zeitglied initialisiert oder auf Null zurückgesetzt.
Unter normalen Bedingungen wird die Sicherung zum Schutz vor Autodiebstahl bei Motorstart in der oben beschriebenen Weise durchgeführt. So wird danach eine Wartebedingung erhalten, bis der Schließzylinder von der "EIN"-Position zur "AUS"-Position gedreht wird.
Falls NEIN in den Schritten S-5, S-7 oder S-8 vorliegt, geht der Programmfluß zum Prozeß von B. In diesem Prozeß wird zuerst (Schritt S-11) eine Beurteilung durchgeführt, ob die Fahrzeuggeschwindigkeit Null ist oder nicht. Falls NEIN, d.h., das Fahrzeug bewegt sich, geht der Programmfluß zu Schritt S-12. In diesem Schritt wird eine Beurteilung durchgeführt, ob der Gangschaltungshebel in eine der Fahrpositionen ist. Falls NEIN, d.h., falls der Gangschaltungshebel in einer Fahrposition ist (z.B. "D"-Position), geht der Programmfluß zu Schritt S-13. In diesem Schritt wird eine Beurteilung durchgeführt, ob die vom Zeitglied in Schritt S-3 gezählte Zeit eine gegebene Zeit überschreitet oder nicht. Falls NEIN, d.h., die gezählte Zeit ist innerhalb der gegebenen Zeit, geht der Programmfluß zu Schritt S-14. In diesem Schritt wird eine Beurteilung durchgeführt, ob die Zahl der Wiederholungen des Prozesses von 8 eine gegebene Zahl übersteigt. Falls NEIN, d.h., wenn die Wiederholungszahl innerhalb der gegebenen Zahl ist, geht der Programmfluß zurück zu Schritt S-4 des Flußdiagramms von 7.
Falls JA in den Schritten S-11, S-12, S-13 oder S-14 vorliegt, geht der Programmfluß zum Prozeß von 9. In diesem Prozeß wird zuerst (Schritt S-15) eine Beurteilung durchgeführt, ob der Failsafe-Merker gelöscht wurde oder nicht. Falls NEIN, d.h., der Failsafe-Merker ist gesetzt geblieben, führt der Programmfluß zu dem oben erwähnten Zustand, in dem das "ESICS" und das "ECCS" auf Befehle warten, bis der Schließzylinder von der "EIN"-Position zur "AUS"-Position gedreht wird. Falls JA, d.h., wenn der Failsafe-Merker gelöscht wurde, geht der Programmfluß zu Schritt S-16. In diesem Schritt wird das Zeitglied initialisiert oder auf Null zurückgesetzt. Dann geht der Programmfluß zu Schritt S-17 zur Unterdrückung des Motorstarts.
Es ist festzustellen, daß der Programmfluß, der von S-5, S-7 oder S-8 von 7 bis 5-15 von 9 einschließlich des Prozesses von 8 abzweigt, keinen Schritt zum Setzen des Failsafe-Merkers enthält. Deshalb erkennt der Schritt S-15 einen gelöschten Failsafe-Merker. Entsprechend findet die Motorstartunterdrückung sicher statt, wenn das "ESICS" keinen passenden Rückruf bewirkt (S-5), wenn ein Unterschied zwischen dem Codesignal vom Transponder 13 und dem vom "ESICS" (S-7) festgestellt wird oder ein Unterschied zwischen dem Identifizierungscode vom Transponder 13 und dem Code des "ECCS" festgestellt wird.
Es ist ferner festzustellen, daß der Schritt S-9 (d.h., Setzen des Failsafe-Merkers) vorsehen wird, damit die Prüfung zum Schutz vor Autodiebstahl nur bei Motorstart durchgeführt wird. Deshalb wird, selbst wenn wegen Computerproblemen der Prozeß von 7 während der Fahrt des Fahrzeugs ausgeführt wird, die Kraftstoffzufuhr zum Motor niemals unterbrochen. Der Failsafe-Merker wird im Schritt S-9 von 7 gesetzt, und im Schritt S-26 eines später beschriebenen Motorstopp-Prozesses von 12 gelöscht. D.h., der Failsafe-Merker wird nicht gesetzt, bevor die Prüfung zum Schutz vor Autodiebstahl bei Motorstart vollendet ist. Wenn die Prüfung zum Schutz vor Autodiebstahl während der Fahrt des Fahrzeugs durchgeführt wird, wird dementsprechend die Kraftstoffzufuhr solange nicht unterbrochen, wie Schritt S-15 erkennt, daß der Failsafe-Merker gesetzt wurde.
12 ist ein Flußdiagramm, das den Prozeß zeigt, der ausgeführt wird, wenn der Motor gestoppt wird. D.h., im Schritt 5-22 wird eine Beurteilung durchgeführt, ob der Zündschließzylinder von der "EIN"-Position zur "AUS"-Position gedreht wurde oder nicht. Falls JA, d.h., wenn der Schließzylinder zur "AUS"-Position gedreht wurde, geht der Programmfluß zu Schritt S-23. In diesem Schritt Gibt das "ECCS" einen Auftrag zur Erneuerung des Identifizierungscodes an das "ESICS" zusammen mit einem neuen Identifizierungscode ab. Dann geht der Programmfluß zu Schritt S-24. In diesem Schritt wird eine Beurteilung durchgeführt, ob das "ESICS" eine passende Rückantwort auf den Erneuerungsauftrag gegeben hat oder nicht. Falls NEIN, d.h., das "ESICS" hat die Rückantwort nicht bewirkt, geht der Programmfluß zu Schritt S-27 des Prozesses von 13. In diesem Schritt wird eine Beurteilung durchgeführt, ob die Zahl der Wiederholungen des Rückrufauftrags eine gegebene Zahl übersteigt. Falls NEIN, d.h., die Zahl der Wiederholungen ist innerhalb der Zahl, geht der Programmfluß zu Schritt S-23 von 12.
Falls JA im Schritt S-24, d.h., wenn das "ESICS" einen passenden Rückruf bewirkt hat, speichert das "ECCS" den neuen Identifizierungscode in seinem löschbaren und veränderbaren ROM (S-25). Dann wird im Schritt S-26 der Failsafe-Merker gelöscht und der Prozeß wird beendet.
Bei einem nachfolgenden Motorstart wird dementsprechend der erneuerte Identifizierungscode für den Schutz vor Autodiebstahl verwendet.
Im Folgenden wird mit Bezug auf die Flußdiagramme von 6 und 7 ein Initialisierungsprozeß beschrieben, der ausgeführt wird, wenn eines der "ECCS" und "ESICS" neu ist.
D.h., wenn JA in Schritt S-2 oder S-6 vorliegt, geht der Programmfluß zum Initialisierungsprozeß von 10. D.h., im Schritt S-18 gibt das "ECCS" einen Initialisierungsauftrag an das "ESICS" ab. Dieser Initialisierungsauftrag wird als Antwort auf einen Auftrag der dritten "ECU" 15 (siehe Fg. 2) an das "ECCS" gegeben. Nach Empfang des Initialisierungsauftrags von dem "ECCS" wählt das "ESICS" einen anfänglichen Initialisierungscode aus, und speichert ihn. Dann wird im Schritt S-19 eine Beurteilung durchgeführt, ob das "ESICS" einen passenden Rückruf an das "ECCS" bewirkt hat. Falls NEIN, d.h., wenn das "ESICS" den passenden Rückruf nicht bewirkt hat, geht der Programmfluß zu Schritt S-21 des Prozesses von 11. In diesem Schritt wird eine Beurteilung durchgeführt, ob die Zahl der Wiederholungen des Prozesses von 10 eine gegebene Zahl übersteigt. Falls NEIN, d.h., wenn die Wiederholungszahl innerhalb der gegebenen Zahl ist, geht der Programmfluß zurück zu Schritt S-18. Falls JA, d.h., die Zahl der Wiederholungen übersteigt die gegebene Zahl, wird der Prozeß beendet.
Falls Ja in Schritt S-19, d.h., wenn das "ESICS" den passenden Rückruf an das "ECCS" bewirkt hat, geht der Programmfluß zu Schritt S-20. In diesem Schritt speichert das "ECCS" den zurückgesendeten anfänglichen Initialisierungscode in seinem löschbaren und veränderbaren ROM. Der Prozeß von 10 hat keinen Schritt zum Vergleich der Identifizierungscodes. d.h., der Motorstart wird ohne Durchführung des Codevergleichs erlaubt.
Natürlich wird beim nachfolgenden Motorstart der Vergleich der Idenfizierungscodes durchgeführt.
14 ist eine Tabelle, die verschiedene, wirklich zwischen dem "ECCS" und dem "ESICS" übertragene Codes zeigt. Wie aus dieser Tabelle erkannt werden kann, ist jeder Code ein Acht-Bit-Binärcode.
15 ist eine Tabelle, die die Protokollformate zeigt, mittels denen die verschiedenen Codes übertragen werden. D.h., zum Beispiel wird der Vergleich der Identifizierungscodes folgendermaßen durchgeführt. Für die Übertragung von dem "ECCS" zum "ESICS" werden 24-Bit-Signale benutzt, die aus aus einem Acht-Bit-Code für den Codeerneuerungsauftrag (siehe 14), einem Acht-Bit-Code für einen festen Wert, und einem Acht-Bit-Code für eine Prüfsumme bestehen. Zur Erzeugung der Prüfsumme werden die Acht-Bit-Daten des Kommandos und jene des festen Wertes jeweils in verschiedene Ziffern geteilt und für jede Ziffer addiert. Durch Zusammenstellen der Prüfsumme können Übertragungsfehler erkannt werden. Für die Übertragung von dem "ESICS" zum "ECCS" werden 24-Bit-Signale benutzt, die aus aus einem Acht-Bit-Code für den Coderegistrierungsauftrag (siehe 14), einem Acht-Bit-Code für die Identifikation, und einem Acht-Bit-Code für eine Prüfsumme bestehen.
Im Folgenden wird der vorteilhafte Betrieb des Systems zum Schutz vor Autodiebstahl nach der zweiten Ausführungsform kurz beschrieben.
Wenn zum Starten des Motors der Zündschließzylinder von der "AUS"-Position zur "EIN"-Position gedreht wird, dann vergleicht das "ECCS" seinen eigenen Identifizierungscode mit einem Identifizierungscode, der vom "ESICS" an es zurückgeschickt wurde, während der Motorstart erlaubt wird. Wenn diese beiden Identifizierungscodes nicht übereinstimmen, wird der Motorstart unterdrückt.
Wenn zum Stoppen des Motors der Zündschließzylinder von der "EIN"-Position zur "AUS"-Position gedreht wird, dann werden die Identifizierungscodes des "ECCS" und des "ESICS" erneuert.
Deshalb wird jedesmal bei Motorstart die erneuerten Identifizierungscodes miteinander verglichen. Wenn die "ECU" des "ECCS" oder jene des "ESICS" durch eine unterschiedliche "ECU" ersetzt wird, die in einem anderen Fahrzeug benutzt worden ist, dann wird deshalb der Motorstart wegen unterschiedlichen Identifizierungscodes nicht erlaubt. Das bedeutet Schutz vor Autodiebstahl. Falls gewünscht, kann die Erneuerung der Identifizierungscodes des "ECCS" und des "ESICS" nach Motorstart bewirkt werden.
In der "ECU" des "ESICS" wird das dort gespeicherte Codesignal mit dem vom Transponder 13 gelieferten Codesignal verglichen, um zu beurteilen, ob der Motorstartschlüssel mit dem in ihm installierten Transponder 13 passend ist oder nicht. D.h., nur wenn diese zwei Codesignale übereinstimmen und damit beweisen, daß der Schlüssel passend ist, wird die Kommunikationsbedingung zwischen "ECCS" und "ESICS" eingerichtet. Deshalb ist eine passende und begrenzte Kombination zwischen dem Schlüssel und dem "ESICS" zum praktischen Start des Motors erforderlich.
Wenn das System zum Schutz vor Autodiebstahl wegen eines Ausfalls einer "ECU" eines der "ECCS" und "ESICS" versagt, ist es nur notwendig, die ausgefallenen "ECU" durch eine neue zu ersetzen. D.h., in einem solchen Fall wird nach der Erfindung ein Initialisierungsprozeß in beiden, der neuen und der verbliebenen "ECU" von "ECCS" und "ESICS" ausgeführt. Ein derartiger Ersatz ist ökonomisch verglichen mit dem Ersatz beider "ECU" von "ECCS" und "ESICS".
Wegen des Vorsehens von Schritt S-9 (d.h., Setzen des Failsafe-Merkers) unterbleibt unerwartetes Abbrechen der Zufuhr von Kraftstoff während der Fahrt.

Claims

Diebstahlsicherungssystem für ein Kraftfahrzeug umfassend: ein elektronisches Motorsteuerungssystem „ECCS" (1) mit einer Steuereinheit „ECU" (2) zur Steuerung der Kraftstoffeinspritzung und zur Unterdrückung eines Motorstarts sowie mit einem lösch- und veränderbaren Speicher zur Speicherung eines zufallsgenerierten Codes; ein Motorstartverhinderungssteuersystem „ESICS" (11) mit einer eigenen Steuereinheit „ECU" und einem lösch- und veränderbaren Speicher zur Speicherung eines zufallsgenerierten Codes; eine Kommunikationsverbindung zwischen den Steuereinheiten des „ECCS" und „ESICS" zur Übertragung der Codes in beiden Richtungen; wobei Mittel zur Abgabe eines „EIN"-Signals vorgesehen sind, wenn ein Zündschließzylinder von einer „AUS"-Stellung in eine „EIN"-Stellung gedreht wird; und eine dritte Steuereinheit (15), die nach Erfassung des „EIN"-Signals feststellt, ob eine der ersten oder zweiten Steuereinheiten ausgetauscht wurde, und bei einer solchen Feststellung ein Initialisierungsauftragssignal generiert, wobei Mittel vorgesehen sind, die in der ersten und zweiten Steuereinheit die Speicherung des gleichen Codes bewirken.
Diebstahlsicherungssystem für ein Kraftfahrzeug umfassend: ein elektronisches Motorsteuerungssystem „ECCS" (1) mit einer Steuereinheit „ECU" (2) zur Steuerung der Kraftstoffeinspritzung und zur Unterdrückung eines Motorstarts sowie mit einem lösch- und veränderbaren Speicher zur Speicherung eines zufallsgenerierten Codes; ein Motorstartverhinderungssystem „ESICS" (11) mit einer eigenen Steuereinheit „ECU" und einem lösch- und veränderbaren Speicher zur Speicherung eines zufallsgenerierten Codes; eine Kommunikationsverbindung zwischen den Steuereinheiten des „ECCS" und „ESICS" zur Übertragung der Codes in beiden Richtungen; wobei Mittel zur Abgabe eines „EIN"-Signals vorgesehen sind, wenn ein Zündschließzylinder von einer „AUS"-Stellung in eine „EIN"-Stellung gedreht wird; und wobei eine Vergleichsvorrichtung (S8) zum Vergleich der in der ersten und zweiten Steuereinheit gespeicherten Identifizierungscodes vorgesehen ist, die bei einer Nicht-Übereinstimmung der Identifizierungscodes ein Nicht-Übereinstimmungssignalerzeugt und abgibt; wobei eine Motorstartunterdrückungsvorrichtung (S17) vorgesehen ist zur Unterdrückung eines Motorstarts nach Empfang des Nicht-Übereinstimmungssignals; wobei Mittel zur Erneuerung der Identifizierungscodes der ersten und zweiten Steuereinheit nach dem Starten des Motors vorgesehen sind.
Diebstahlsicherungssystem nach Anspruch 2, gekennzeichnet durch eine Vorrichtung (S4, S5) zur Erkennung eines Fehlers in der Kommunikationsverbindung (12) zwischen der ersten und zweiten Steuereinheit, wobei bei Feststellen eines Fehlers die Motorstartunterdrückungsvorrichtung (S17) aktiviert wird.
Diebstahlsicherungssystems nach Anspruch 2 oder 3, gekennzeichnet durch ein Zeiterfassungsmittel (S13) zur Abgabe eines Zeitablaufsignals nach Ablauf einer vorgegebenen Zeitspanne ab einer gegebenen Startzeit, und Mittel (S15) zur Erfassung, ob ein Vergleich zwischen den Identifizierungscodes der ersten und zweiten Steuereinheit ausgeführt worden ist oder nicht, wobei nach Abgabe des Zeitablaufsignals eine Motorstartunterdrückungsvorrichtung (S17) aktiviert wird, wenn der Vergleich der Identifizierungscodes noch nicht erfolgreich ausgeführt worden ist.
Diebstahlsicherungssystem nach einem der Ansprüche 2 bis 4, gekennzeichnet durch eine Leerlaufertassungsvorrichtung (S12) zur Abgabe eines Nicht-Leerlaufsignals, wenn sich das Getriebe des Fahrzeugs nicht im Leerlauf befindet, wobei bei Abgabe des Nicht-Leerlaufsignals eine Motorstartunterdrückungsvorrichtung (S17) aktiviert wird, wenn der Vergleich zwischen den Identifizierungscodes der ersten und zweiten Steuereinheit noch nicht erfolgreich ausgeführt worden ist.
Diebstahlsicherungssystem nach einem der Ansprüche 2 bis 5, gekennzeichnet durch einen Zündschlüssel mit Transponder (13), der mit der Steuereinheit des „ESICS" kommuniziert, und eine Vergleichsvorrichtung (S7), wobei ein Vergleich der Identifizierungscodes der ersten und zweiten Steuereinheit dann erfolgt, wenn bei dem Vergleich in der Vergleichsvorrichtung (S7) Übereinstimmung erkannt wurde.
Diebstahlsicherungssystem nach Anspruch 6, dadurch gekennzeichnet, daß bei Feststellung einer Nicht-Übereinstimmung in der Vergleichsvorrichtung (S7) die Motorstartunterdrückungsvorrichtung (S17) aktiviert wird, wenn ein Vergleich der Identifizierungscodes der ersten und zweiten Steuereinheit noch nicht ausgeführt worden ist (S15).
Diebstahlsicherungssystem nach Anspruch 6 oder 7, dadurch gekennzeichnet, daß die Motorstartunterdrückungsvorrichtung (S17) aktiviert wird, wenn der Vergleich in der Codevergleichsvorrichtung (S7) bisher noch nicht erfolgreich ausgeführt worden ist und zudem das Zeitablaufsignal von der Zeiterfassungsvorrichtung (S13) abgegeben wurde.
Diebstahlsicherungssystem nach einem der Ansprüche 4 bis 8, dadurch gekennzeichnet, daß die Zeitzählung mit dem Zeitpunkt beginnt, zu dem der Zündschließzylinder von der „AUS"-Stellung in die „EIN"-Stellung gedreht wird.
Diebstahlsicherungssystem nach einem der Ansprüche 4 bis 8, dadurch gekennzeichnet, daß die Zeitzählung mit dem Zeitpunkt beginnt, zu dem der tatsächliche Betrieb des Motors beginnt.
Diebstahlsicherungssystem nach einem der Ansprüche 4 bis 8, dadurch gekennzeichnet, daß die Zeitzählung mit dem Zeitpunkt beginnt, zu dem die Kommunikation zwischen der ersten und zweiten Steuereinheit über die Kommunikationsverbindung (12) beginnt.
Diebstahlsicherungssystem nach einem der Ansprüche 6 bis 11, dadurch gekennzeichnet, daß die Motorstartunterdrückungsvorrichtung (S17) aktiviert wird, wenn die Leerlaufertassungsvorrichtung (S12) das Nicht-Leerlaufsignal abgibt und die Code-Vergleichsvorrichtung (S7) den Vergleich zwischen den Identifizierungscode der zweiten Steuereinheit und dem von dem Transponder (13) zurückgesandten Code noch nicht erfolgreich ausgeführt hat.
Diebstahlsicherungssystem nach einem der Ansprüche 2 bis 12, gekennzeichnet durch Vorrichtungen zur Feststellung, ob in der „ECCS" (1) oder in der „ESICS" (11) sich eine neue Steuereinheit befindet (S2, S6), und eine Vorrichtung (S18 bis S20) zur Initialisierung der Identifizierungscodes der ersten und zweiten Steuereinheit bei Feststellung des Vorliegens einer neuen Steuereinheit.
Diebstahlsicherungssystem nach Anspruch 13, dadurch gekennzeichnet, daß die neue Steuereinheit einen Merken aufweist, anhand dessen die Steuereinheit-Erkennungsvorrichtung (S2, S6) eine neue Steuereinheit erkennt, wobei nach Speicherung des Identifizierungscodes in der neuen Steuereinheit der Merker gelöscht wird.
Diebstahlsicherungssystem nach einem der Ansprüche 2 bis 14, gekennzeichnet durch eine Vorrichtung (S9) zum Setzen eines Failsafe-Merkers nach Feststellung einer Übereinstimmung zwischen den Identifizierungscodes der ersten und zweiten Steuereinheit, eine Vorrichtung (S22) zur Abgabe eines „AUS"-Signals, wenn der Zündschließzylinder von der „EIN"-Stellung in die „AUS"-Stellung gedreht wird, und eine Vorrichtung (S26) zum Löschen des Failsafe-Merkers nach Empfang des „AUS"-Signals, wobei ein erneuter Motorstart unterdrückt wird, wenn festgestellt wird, daß der Failsafe-Merker gesetzt ist.