PROCEDIMIENTO PARA LA PROTECCION FRENTE A MANIPULACIONES EN UN APARATO DE CONTROL PARA UN COMPONENTE DE AUTOMOVIL, Y APARATO DE CONTROL.

Procedimiento para la protección contra manipulaciones en un aparato de control para al menos un componente de automóvil,

que comprende, al menos, un microordenador (µC) y al menos un módulo de memoria (2, 3), en el que el código necesario para el funcionamiento del aparato de control (1) se divide en, al menos, un código maestro (MC), que comprende informaciones esenciales para la función del aparato de control (1) y, al menos un sub-código (SC), que comprende otras informaciones para el funcionamiento del aparato de control (1), en el que al menos el código maestro (1) es depositado en una zona (11) del microordenador (µC), que solamente se puede escribir una vez y el código maestro (MC) supervisa la manipulación del sub-código (SC), caracterizado porque la zona (11) del microordenador (µC) que solamente se puede escribir una vez está configurada protegida contra lectura

Procedimiento para la protección frente a manipulaciones en un aparato de control para un componente de automóvil, y aparato de control.

La presente invención se refiere a un procedimiento para la protección de manipulaciones en un aparato de control para al menos un componente de automóvil así como a un aparato de control.

En automóviles se utilizan actualmente aparatos de control para el control de componentes individuales del automóvil, como por ejemplo el aparato de control del motor o el aparato de control de la caja de cambios. Las informaciones necesarias para el funcionamiento de tales aparatos de control, como por ejemplo programas y datos son depositadas codificadas o no codificadas en módulos de memoria (E²PROM, Flash y similares). El procedimiento de codificación está depositado en este caso de manera independiente de una combinación de hardware fijo de módulos y, en general, en un medio de memoria que se puede escribir de nuevo.

El inconveniente de tales aparatos de control y de los programas utilizados es que pueden sustituirse módulos individuales de memoria, o bien se pueden sobrescribir los datos en los módulos de memoria a través de una interfaz de diagnosis o a través de acceso directo al módulo de memoria. La sustitución de un módulo de memoria o la sobrescritura de los datos y programas memorizados en este módulo de memoria puede conducir a que el componente del automóvil trabaje con otros datos característicos. Esto se realiza, por ejemplo, durante la llamada sintonización del chip, en la que se sustituyen módulos de memoria, que están asociados al aparato de control del motor o bien se modifican programas y datos memorizados en estos módulos de memoria, como datos característicos. De esta manera, se puede conseguir, por ejemplo, una elevación de la potencia o del par motor del motor. Si se realiza esta manipulación sin adaptar los otros componentes del automóvil, como refrigerador de aceite, turboalimentador o frenos, entonces se pueden producir daños en estos componentes del automóvil y estados críticos para la seguridad.

El documento DE 197 23 332 A1 describe un procedimiento para la protección de un microordenador configurado como aparato de control para un automóvil contra manipulaciones de un programa, en el que el microordenador presenta una memoria sólo de lectura y una memoria que se puede escribir de nuevo. En este caso, en la memoria sólo de lectura están depositados programas de control para un motor del automóvil. Módulos adicionales del programa así como datos que comprenden parámetros del motor están registrados en la memoria que se puede escribir de nuevo. En la memoria sólo de lectura está previsto un programa de verificación, que está en condiciones de investigar un contenido de la memoria que se puede escribir de nuevo para detectar modificaciones inadmisibles, por ejemplo un intercambio de datos.

El programa de la presente invención es, por lo tanto, crear un aparato de control para componentes de automóviles y un procedimiento para la protección de manipulaciones en un aparato de control, en el que no es posible una sustitución de un módulo de memoria y la modificación de los datos en el módulo de memoria, sin influir en la capacidad funcional del aparato de control o diagnosticar al menos la modificación y, dado el caso, representarla.

Este problema se soluciona a través de un procedimiento con las características de la reivindicación 1 de la patente y a través de un aparato de control con las características de la reivindicación 4 de la patente.

La invención se basa en el reconocimiento de que este cometido se puede solucionar cuando los datos y programas necesarios para el funcionamiento del aparato de control son depositados en diferentes memorias.

El problema en que se basa la invención se soluciona, por lo tanto, a través de un procedimiento para la protección contra manipulaciones en un aparato de control para al menos un componente de automóvil, en el que el código necesario para el funcionamiento del aparato de control se divide en, al menos, un código maestro, que comprende informaciones esenciales para la función del aparato de control, y, al menos un sub-código, que comprende otras informaciones para el funcionamiento del aparato de control, en el que al menos el código maestro es depositado en una zona del microordenador protegida contra lectura, que solamente se puede escribir una vez y el código maestro supervisa la manipulación del sub-código.

A través de la división del código, que es necesario para el funcionamiento del aparato de control, se puede hacer accesible, por un lado, una parte que debe reprogramarse o bien actualizarse, por ejemplo, en caso de reparaciones, sin que debe ser accesible la parte, que contiene informaciones esenciales para el funcionamiento del aparato de control. Además, a través de la división del código es posible un registro del código en diferentes memoria, lo que implica una elevación de la seguridad contra manipulaciones. El código maestro puede representar, por ejemplo, el programa de control propiamente dicho, que comprende el cálculo de la carga del motor y el número de revoluciones y de las variables de ajuste y los valores de ajuste para el acceso a campos característicos y la generación de señales de control para actuadores conectados del aparato de control. En el sub-código puede estar contenido entonces el programa, por ejemplo, para medidas que mejora del escape de gases y la comodidad. Ambos códigos pueden contener adicional o alternativamente datos.

De acuerdo con la invención, se deposita el código maestro en una zona OTP (one-time-programmable) del microordenador protegida contra lectura, que solamente se puede escribir una vez. De esta manera se imposibilita, por una parte, una modificación no autorizada del código maestro y, por otra parte, se puede evitar una multiplicación del software, que es necesario para el funcionamiento del aparato de control.

El sub-código se puede depositar en una zona del microordenador que se puede escribir de nuevo o en una zona que se puede escribir de nuevo de un módulo de memoria externo. De esta manera se puede actualizar o reprogramar el sub-código. Pero a través de la función de supervisión contenida en el código maestro contra manipulación en el sub-código se puede evitar una modificación no permitida del sub-código.

Además, el problema en que se basa la invención se soluciona por medio de un aparato de control para un componente de automóvil, que comprende, al menos, un microordenador (µC) y, al menos, un módulo de memoria, en el que el código necesario para el funcionamiento del aparato de control está dividido en al menos un código maestro, que comprende informaciones esenciales para la función del aparato de control y al menos un sub-código, que comprende otras informaciones para el funcionamiento del aparato de control, y al menos el código maestro está depositado en una zona del microordenador protegida contra lectura, que solamente se puede escribir una vez y el código maestro contiene un módulo de función del software para la detección de la manipulación dentro del sub-código.

El módulo de función del software puede comprender, por ejemplo, una formación lineal de sumas de control o CRC, una formación de valor Hash o un procedimiento de codificación.

Con preferencia, al menos una parte del sub-código está depositada codificada en una zona que se puede escribir de nuevo y el código maestro sirve para la generación de una clave para la decodificación. La parte del sub-código, que está depositada codificada, puede representar, por ejemplo, una huella dactilar.

Las características y detalles, que se describen con relación al procedimiento según la invención, se aplican de manera correspondiente para el aparato de control según la invención y a la inversa.

A continuación se describirá la invención con la ayuda de los dibujos adjuntos, que se refieren a posibles ejemplos de realización de la invención. En este caso:

La figura 1 muestra una representación esquemática en bloques de una forma de realización del aparato de control según la invención; y

La figura 2 muestra una representación esquemática en bloques de otra forma de realización del aparato de control según la invención.

En la figura 1 se representa una forma de realización de un aparato de control de acuerdo con la invención. La estructura de aparatos de control, como por ejemplo aparatos de control de motor, se conoce desde hace...

1. Procedimiento para la protección contra manipulaciones en un aparato de control para al menos un componente de automóvil, que comprende, al menos, un microordenador (µC) y al menos un módulo de memoria (2, 3), en el que el código necesario para el funcionamiento del aparato de control (1) se divide en, al menos, un código maestro (MC), que comprende informaciones esenciales para la función del aparato de control (1) y, al menos un sub-código (SC), que comprende otras informaciones para el funcionamiento del aparato de control (1), en el que al menos el código maestro (1) es depositado en una zona (11) del microordenador (µC), que solamente se puede escribir una vez y el código maestro (MC) supervisa la manipulación del sub-código (SC), caracterizado porque la zona (11) del microordenador (µC) que solamente se puede escribir una vez está configurada protegida contra lectura.

2. Procedimiento de acuerdo con la reivindicación 1, caracterizado porque el sub-código (SC) es depositado en una zona del microordenador que se puede escribir de nuevo.

3. Procedimiento de acuerdo con la reivindicación 1, caracterizado porque el sub-código (SC) es depositado en una zona que se puede escribir de nuevo de al menos un módulo de memoria externo (2).

4. Aparato de control para un componente de automóvil, que comprende, al menos, un microordenador (µC) y, al menos, un módulo de memoria (2, 3), en el que el código necesario para el funcionamiento del aparato de control (1) está dividido en al menos un código maestro (MC), que comprende informaciones esenciales para la función del aparato de control (1) y al menos un sub-código (SC), que comprende otras informaciones para el funcionamiento del aparato de control (1), y al menos el código maestro (MC) está depositado en una zona (11) del microordenador (µC) protegida contra lectura, que solamente se puede escribir una vez y el código maestro (MC) contiene un módulo de función del software para la detección de la manipulación dentro del sub-código (SC).

5. Aparato de control de acuerdo con la reivindicación 4, caracterizado porque el sub-código (SC) está depositado en una zona del microordenador (µC) que se puede escribir de nuevo.

6. Aparato de control de acuerdo con la reivindicación 4, caracterizado porque el sub-código (SC) está depositado en una zona que se puede escribir de nuevo de al menos un módulo de memoria externo (2, 3).

7. Aparato de control de acuerdo con una de las reivindicaciones 4 a 6, caracterizado porque al menos una parte del sub-código (SC) está depositada codificada en una zona que se puede escribir de nuevo y el código maestro (MC) sirve para la generación de una clave para la decodificación.