DE10331874A1

DE10331874A1 - Fernprogrammieren eines programmgesteuerten Geräts

Info

Publication number: DE10331874A1
Application number: DE10331874A
Authority: DE
Inventors: Holger Ceskutti; Thomas Sonnenrein; Gerrit De Boer; Norbert Bauer; Peter Engel
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2003-07-14
Filing date: 2003-07-14
Publication date: 2005-03-03
Also published as: US8060873B2; WO2005008612A3; CN1842765A; WO2005008612A2; CN1842765B; JP2007524149A; EP1646992A2; US20060220900A1

Abstract

Es werden Verfahren zum Fernprogrammieren eines programmgesteuerten Geräts (3) sowie eine Anordnung mit einer Schnittstelle (4) zum Empfangen von Programmdaten und einer Legitimation und einem fernprogrammierbaren, programmgesteuerten Gerät (3), das einen Prozessor (12) und einen Programmspeicher (8) umfasst, beschrieben. Bei den Verfahren werden Programmdaten von einer Kontrollstelle (9) zu einer Schnittstelle (4) fernübertragen und dort in einem Pufferspeicher (7) zwischengespeichert. Anschließend wird eine Legitimation von der Kontrollstelle (9) zur Schnittstelle (4) und von dieser zum Gerät (3) übertragen. Das Gerät (3) überprüft die Legitimation und übernimmt bei positivem Ergebnis die Programmdaten aus dem Pufferspeicher (7).

Description

Die vorliegende Erfindung betrifft Verfahren zum Fernprogrammieren eines programmgesteuerten Geräts sowie eine Anordnung mit einer Schnittstelle zum Empfangen von Programmdaten und einer Legitimation, und einem fernprogrammierbaren programmgesteuerten Gerät, das einen Prozessor und einen Programmspeicher umfasst.

In modernen Fahrzeugen werden zunehmend elektronische Steuereinheiten zur Steuerung und Regelung verschiedenster Funktionen des Fahrzeugs eingesetzt. Vor allem ein Betrieb von Fahrzeugmotoren wird mittels solcher Steuereinheiten gesteuert. Elektronische Steuereinheiten bedürfen zur Ausführung ihrer Funktion eines EDV-Programms. Häufig muss dieses EDV-Programm nachträglich abgeändert werden, weil nämlich Programmfehler entdeckt werden, oder aber vorgegebene Werte für Betriebsparameter einer von der Steuereinheit gesteuerten Vorrichtung aktualisiert oder Funktionen des EDV-Programms erweitert oder eingeschränkt werden sollen. Zu diesem Zweck verfügt die Steuereinheit über eine Schnittstelle, so dass entsprechende Modifika tionen des EDV-Programms in die Steuereinheit eingegeben und dort in einem Programmspeicher abgespeichert werden können. Das Fahrzeug muss dazu jedoch eine Werkstatt aufsuchen, wo mit einem sogenannten Werkstatttester die neuen Programmdaten in die Steuereinheit eingespielt werden. Da das Programm in der Regel vertraulicher Art ist und auch jegliche unbefugte Manipulation der Arbeitsweise der Steuereinheit – beispielsweise aus Gründen der Haftung und/oder der Betriebssicherheit des Fahrzeugs – verhindert werden muss, erfolgt die Übertragung der Programmdaten unter Verwendung von durch den Fahrzeughersteller spezifizierten Verschlüsselungsmechanismen oder Schlüsseln. Die geheimen Schlüssel werden vom Hersteller im Werkstatttester abgelegt und werden vom Werkstatttester vor der Neuprogrammierung der Steuereinheit als dessen Legitimation vor der Steuereinheit verwendet. Dabei ist die Steuereinheit vor einer direkten Manipulation geschützt, so dass es auch nicht möglich ist, durch unbefugten Zugriff auf die Steuereinheit an deren Erkennungsalgorithmen für die Legitimation zu gelangen und daraus die Legitimation abzuleiten. Um einen umständlichen und zeitraubenden Werkstattbesuch zu vermeiden, ist es wünschenswert, die Steuereinheit aus der Ferne programmieren zu können, ohne dabei jedoch Abstriche bei der Manipulationssicherheit in Kauf nehmen zu müssen.

Aus der DE 100 01 130 A1 sind eine Anordnung und ein Verfahren zum Fernprogrammieren einer einen Motor eines Fahrzeuges steuernden fernprogrammierbaren Steuereinheit bekannt. Zur Anordnung gehört eine Schnittstelle zum Empfangen von Programm daten von einer entfernten Kontrollstelle über eine drahtlose Fernverbindung. An die Steuereinheit des Fahrzeugs zu übertragende Programmdaten werden an der Schnittstelle in einem Pufferspeicher zwischengespeichert und anschließend in einen Programmspeicher der Steuereinheit übertragen. Die Pufferung der Programmdaten ist aufgrund der oftmals instabilen drahtlosen Fernverbindung notwendig, bei der es häufig zu Störungen wie zum Beispiel einer fehlerhaften Datenübertragung oder Unterbrechungen der Verbindung kommen kann. Erst wenn die Programmdaten vollständig empfangen worden sind, können sie in den Speicher der Steuereinheit eingegeben werden, da während des Vorganges der Eingabe der Programmdaten in den Speicher der Steuereinheit ein Betrieb des Fahrzeuges unterbrochen ist. Würden die Programmdaten, ohne sie zu puffern, direkt in den Speicher der Steuereinheit eingegeben werden, so wäre der Betrieb des Fahrzeuges während der gesamten für die Fernübertragung der Programmdaten von der Kontrollstelle in den Pufferspeicher benötigten Zeitdauer unterbrochen, was infolge von Störungen bei der Fernübertragung mitunter unverhältnismässig lange dauern kann.

Ein Problem ergibt sich hierbei aber hinsichtlich der Legitimation, die an die Steuereinheit übertragen werden muss, damit diese die Programmdaten, die vom Pufferspeicher an sie übertragen werden, akzeptiert. Es ist vom Hersteller nicht erwünscht, diese Legitimation im Fahrzeug selber dauerhaft physikalisch zu speichern, weil dem Hersteller dadurch eine Kontrolle über die Geheimhaltung bzw. die Verbreitung der Legitimation aus der Hand gegeben ist.

Vorteile der Erfindung

Durch die vorliegende Erfindung, wie in den Ansprüchen 1, 2 und 10 definiert, werden Verfahren zum Fernprogrammieren eines programmgesteuerten Geräts sowie eine Anordnung hierfür bereitgestellt, die eine Umprogrammierung des programmgesteuerten Geräts bei kürzestmöglicher Unterbrechung seines normalen Betriebs ermöglichen und bei denen die Geheimhaltung einer Legitimation gewährleistet ist.

Beim erfindungsgemäßen Verfahren nach Anspruch 1 wird eine unkontrollierte Verbreitung der geheimen Legitimation dadurch unterbunden, dass die von der Kontrollstelle an die Schnittstelle fernübertragene Legitimation von der Schnittstelle nicht wie die Programmdaten gepuffert sondern unverzüglich an das Gerät übertragen wird, wo sie auf ihre Gültigkeit geprüft wird. Ein physikalisches Speichern der Legitimation an der Schnittstelle wie im Fall der Programmdaten oder an einer anderen Stelle ist zum Funktionieren des Verfahrens nicht erforderlich. Damit ist die Legitimation zwischen Schnittstelle und Gerät zu keiner Zeit auf eine Weise präsent, die einen unbefugten Zugriff auf die Legitimation ermöglichen würde.

Beim erfindungsgemäßen Verfahren nach Anspruch 2 wird die Legitimation zwar wie die Programmdaten an der Schnittstelle gepuffert, jedoch ist ihre Gül tigkeitsdauer zeitlich begrenzt. Die Gültigkeitsdauer sollte dabei so kurz gewählt sein, dass sie bei einem unbefugten Zugriff auf die Legitimation abläuft, noch bevor mit der Legitimation eine unbefugte Programmierung des Geräts vorgenommen werden kann.

Besonders bevorzugt werden die Legitimation und/oder die Programmdaten über die Fernverbindung drahtlos übertragen. Dies erlaubt dem Gerät prinzipiell eine uneingeschränkte Mobilität. Um eine Auswirkung von während der drahtlosen Übertragung häufig auftretenden Störungen zu minimieren, wird das Verfahren bei Auftreten einer solchen Störung wiederholt, damit eine fehlerfreie Übertragung der Programmdaten gewährleistet ist.

Von der Schnittstelle werden die Programmdaten und/oder die Legitimation bevorzugterweise über eine verdrahtete Verbindung von der Schnittstelle zum Gerät übertragen. Eine verdrahtete Verbindung zwischen Schnittstelle und Gerät ist insbesondere dann sinnvoll, wenn Schnittstelle und Gerät beispielsweise beide in einer mobilen Vorrichtung wie z. B. einem Fahrzeug oder Roboter angeordnet sind.

Es ist möglich, vor Übertragung der Programmdaten von der Kontrollstelle zur Schnittstelle zweite Daten aus einem Speicher des Geräts, beispielsweise dem Programmspeicher, auszulesen und zur Kontrollstelle zu übertragen. Auf diese Weise wird die Kontrollstelle über einen aktuellen Stand der im Gerät vorliegenden Daten informiert. Auf der Grundlage dieses aktuellen Standes der zweiten Daten kann dann die Kontrollstelle die neuen Programmdaten entsprechend zusammenstellen. Beispielsweise brauchen Werte von Betriebsparametern oder Programmteile, die unverändert bleiben sollen, nicht unnötigerweise mit den Programmdaten von der Kontrollstelle zur Schnittstelle übertragen zu werden. Eine Datenmenge von zu übertragenden Programmdaten lässt sich auf diese Weise reduzieren, was die Fernübertragung der Programmdaten beschleunigt und dadurch eine Störungsanfälligkeit der Fernübertragung vermindert. Vor der Fernübertragung zur Kontrollstelle werden die zweiten Daten vorteilhafterweise an der Schnittstelle gepuffert. Die Pufferung erlaubt es, die zu übertragenden zweiten Daten zunächst mit niedrigster Priorität, d. h. ohne Beeinträchtigung von zeitgleich vom Gerät für dessen normalen Betrieb auszuführenden Aufgaben, bei der Schnittstelle zu sammeln und sie dann in kurzer Zeit kontinuierlich zu übertragen. So wird die Zeitspanne, in der der normale Betrieb des Geräts unterbrochen werden muss, weil kein gültiges Programm zum Steuern dieses Betriebs vorhanden ist, so kurz wie möglich gehalten.

Es ist von Vorteil, nach der Übernahme der Programmdaten in den Pufferspeicher einen Erfolg der Fernprogrammierung zu überprüfen und erst bei einem positiven Ergebnis der Überprüfung einen durch die Programmdaten gesteuerten Betrieb des Geräts aufzunehmen. Fehlerhafte Programmdaten werden dadurch frühzeitig erkannt und können korrigiert werden, bevor sie zu einem fehlerhaften Betrieb des fernprogrammierbaren Geräts führen können.

Bei dem Programmspeicher des fernprogrammierbaren programmgesteuerten Geräts der erfindungsgemäßen Anordnung kann es sich um einen beliebigen elektrisch überschreibbaren permanenten Speichertyp wie etwa ein EEPROM oder einen Flash-Speicher handeln. Da Flash-Speicher jeweils nur komplett überschreibbar sind, werden bei Verwendung eines solchen Speichers in dem oben betrachteten Fall, dass Teile der darin gespeicherten Programmdaten bei einer Umprogrammierung unverändert bleiben sollen und deshalb nicht von der Kontrollstelle an die Schnittstelle übertragen werden, diese Teile vom Flash-Speicher in den Puffer der Schnittstelle übertragen und anschließend zusammen mit den neuen Programmdaten in den Flash-Speicher rückgeschrieben.

Bei der erfindungsgemäßen Anordnung ist die Schnittstelle mittels einer drahtlosen Fernverbindung mit einer Kontrollstelle verbindbar. Bei der drahtlosen Fernverbindung kann es sich beispielsweise um eine zellulare Mobilfunkverbindung handeln. Dabei empfängt das fernprogrammierbare Gerät an der Schnittstelle die Programmdaten und die Legitimation, bei der es sich um eine Legitimation mit einer befristeten Gültigkeitsdauer handeln kann, von der Kontrollstelle. Die Schnittstelle gibt die Legitimation entweder unverzüglich und ungepuffert an den Flash-Speicher weiter oder puffert sie bei befristeter Gültigkeit der Legitimation wie die Programmdaten in einem Pufferspeicher, bevor sie die Legitimation an den Flash-Speicher weitergibt. Auf diese Weise wird vermieden, dass ein Unbefugter an irgendeiner Stelle der Anordnung auf eine Legitimation zugreifen kann, mit der er zu ei nem späteren Zeitpunkt die Programmdaten manipulieren kann.

Bevorzugterweise handelt es sich bei dem Gerät um eine Steuereinheit, die eine Vorrichtung steuert. Dabei kann es sich bei der Vorrichtung beispielsweise um einen Motor oder ein anderes Teil eines Kraftfahrzeugs handeln.

Besonders bevorzugt ist die Anordnung in einem Fahrzeug angeordnet.

Nachfolgend wird die Erfindung unter Zuhilfenahme von Zeichnungen näher erläutert.
Es zeigen:
1 eine schematische Darstellung eines fernprogrammierbaren Gerätes;
2 ein Flussdiagramm eines ersten erfindungsgemäßen Verfahrens; und
3 ein Flussdiagramm eines zweiten erfindungsgemäßen Verfahrens.
1 zeigt schematisch ein fernprogrammierbares Gerät 1, bei dem es sich um ein Fahrzeug handelt. Das Fahrzeug 1 umfasst einen Motor 2, eine Steuereinheit 3, eine Schnittstelle 4, eine Antenne 5 sowie eine verdrahtete Verbindung 6 zwischen der Steuereinheit 3 und der Schnittstelle 4. Die Schnittstelle 4 weist einen Pufferspeicher 7 auf, während die Steuereinheit 3 über einen Flash- Speicher 8 und einen Prozessor 12 verfügt. Über die Antenne 5 ist das Fahrzeug 1 mit einer Kontrollstelle 9 drahtlos verbindbar. Die Kontrollstelle 9 weist im Wesentlichen einen Computer 10 sowie eine Antenne 11 auf. Beim Computer 10 kann es sich um einen stationären Rechner wie beispielsweise einen PersonalComputer handeln oder aber um ein mobiles Gerät, wie zum Beispiel ein Laptop.
Im Betrieb des Fahrzeuges 1 wird dessen Motor 2 von der Steuereinheit 3 gesteuert. Dazu sind im Flash-Speicher 8 der Steuereinheit 3 EDV-Programme zur Steuerung sowie vorgegebene Werte für Betriebsparameter des Motors 2 abgelegt. Diese EDV-Programme und Betriebsparameter müssen von Zeit zu Zeit modifiziert werden. Dies geschieht über die Kontrollstelle 9. Hierzu wird mittels der Antennen 5, 11 eine drahtlose Verbindung zwischen dem Fahrzeug 1 und der Kontrollstelle 9 hergestellt. Über diese drahtlose Verbindung werden neue Programmdaten von der Kontrollstelle 9 an das Fahrzeug 1 übertragen und im Pufferspeicher 7 der Schnittstelle 4 zwischengespeichert. Anschließend überträgt die Kontrollstelle 9 eine Legitimation zur Schnittstelle 4 und von dieser an die Steuereinheit 3. Nach positiver Überprüfung der Legitimation durch den Prozessor 12 der Steuereinheit 3 übernimmt der Flash-Speicher 8 die im Pufferspeicher 7 zwischengespeicherten Programmdaten. Während dieser kurzen Zeit ist das Fahrzeug 1 außer Betrieb. Für die Fernprogrammierung des Flash-Speichers 8 werden zwei Verfahren bevorzugt, die im Folgenden mit Hilfe von jeweils einem Flussdiagramm näher erläutert werden.
2 zeigt ein Flussdiagramm des ersten bevorzugten erfindungsgemäßen Verfahrens. Zunächst wird in einem ersten Schritt 13 eine drahtlose Verbindung über die Antennen 5, 11 zwischen der Kontrollstelle 9 und dem Fahrzeug 1 hergestellt. Nach Herstellen der Verbindung werden im Schritt 14 Daten aus dem Flash-Speicher 8 ausgelesen und über die Verbindung 6 zum Pufferspeicher 7 übertragen, wo sie gepuffert werden. Im darauffolgenden Schritt 15 werden diese Daten vom Pufferspeicher 7 über die Schnittstelle 4 und die drahtlose Verbindung zwischen den Antennen 5, 11 vom Fahrzeug 1 zur Kontrollstelle 9 fernübertragen. Die Daten umfassen neben den eigentlichen Programmdaten eine oder mehrere aus den Programmdaten berechnete Prüfsummen, anhand deren ein Erfolg dieser Fernübertragung in Schritt 16 vom Computer 10 der Kontrollstelle 9 geprüft wird.
Sofern während der Fernübertragung der Daten Störungen aufgetreten sind, weil die Fernübertragung zum Beispiel unterbrochen wurde oder fehlerhaft erfolgt ist, werden die Schritte 15 und 16 wiederholt. War die Fernübertragung erfolgreich, so erstellt die Kontrollstelle 9 im Schritt 17 mit dem Computer 10 auf Grundlage der erhaltenen Daten neue in den Flash-Speicher 8 zu programmierende Programmdaten. Insbesondere prüft der Computer 10, welche Betriebsparameter geändert werden müssen oder ob das EDV-Programm des Flash-Speichers 8 erweitert oder korrigiert werden muss.
Nach Erstellen der neuen Programmdaten werden diese sowie daraus berechnete Prüfsummen über die drahtlose Verbindung zwischen den Antennen 5, 11 von der Kontrollstelle 9 in Schritt 18 an die Schnittstelle 4 des Fahrzeuges 1 übertragen. Dort werden die Programmdaten und Prüfsummen im Pufferspeicher 7 in Schritt 19 zwischengespeichert.
Die Schnittstelle 4 überprüft in Schritt 20 anhand der Prüfsummen die Unversehrtheit der übertragenen Programmdaten. Wenn sie einen Fehler in den Programmdaten feststellt, kehrt sie zu Schritt 18 zurück, um eine erneute Übertragung zu veranlassen.
Sobald die Programmdaten in dem Pufferspeicher 7 als fehlerfrei beurteilt worden sind, überträgt die Kontrollstelle 9 in Schritt 21 eine Legitimation über die drahtlose Verbindung der Antennen 5, 11 zur Schnittstelle 4. von der Schnittstelle 4 wird die Legitimation in Schritt 22 unverzüglich und ungepuffert über die verdrahtete Verbindung 6 zur Steuereinheit 3 übertragen. Nach Erhalt der Legitimation überprüft der Prozessor 12 der Steuereeinheit 3 in Schritt 23 die Legitimation auf ihre Gültigkeit. Die Legitimation wird an keiner Stelle länger gespeichert, als nötig ist, damit der Prozessor 12 über ihre Gültigkeit entscheiden kann. Ein unkontrollierter Zugriff auf die Legitimation wird dadurch verhindert.
Erweist sich die Legitimation in Schritt 23 als nicht gültig, so führt dies zu einem Abbruch 24 des Verfahrens. Wird die Gültigkeit der Legiti mation festgestellt, so übernimmt der Flash-Speicher 8 in Schritt 25 die im Pufferspeicher 7 zwischengespeicherten Programmdaten.
In Schritt 26 wird der normale Betrieb der Steuereinheit 3 anhand des nun im Flash-Speicher 8 gespeicherten aktualisierten Programms und damit des Fahrzeuges 1 wieder aufgenommen. Es erfolgt in Schritt 27 eine entsprechende Rückmeldung an die Kontrollstelle 9. Daraufhin wird in Schritt 28 die drahtlose Verbindung zwischen Fahrzeug 1 und Kontrollstelle 9 abgebrochen und das Verfahren beendet.
Ein weiteres erfindungsgemäßes Verfahren zur Fernprogrammierung des Flash-Speichers 8 ist im Flussdiagramm der 3 zu sehen. Dieses Verfahren wird wie das zuvor beschriebene Verfahren mit den gleichen Schritten 13 bis 21 eingeleitet, so dass an dieser Stelle zur Beschreibung der Verfahrensschritte 13 bis 21 in 3 auf die entsprechende Beschreibung der Verfahrensschritte 13 bis 21 in 2 verwiesen werden kann. Nach Übersenden der Legitimation von der Kontrollstelle 9 zur Schnittstelle 7 in Schritt 21 weicht das zweite Verfahren gemäß 3 im nachfolgenden Schritt 29 vom ersten Verfahren dahingehend ab, als in Schritt 29 die Legitimation im Pufferspeicher 7 gepuffert wird. D. h. die Schnittstelle 4 braucht nicht zwischen Programmdaten und Legitimation unterscheiden zu können; sie kann daher einfacher aufgebaut sein als im Fall der 2. Im Unterschied zum Verfahren der 2 handelt es sich beim Verfahren der 3 um eine Legitimation mit zeitlich begrenz ter Gültigkeitsdauer. Das bedeutet, dass die Legitimation vom Prozessor 12 der Steuereinheit 3 nur innerhalb eines bestimmten vorgegebenen Zeitintervalls als gültig anerkannt wird. Aus diesem Grund bedeutet auch das physikalische Zwischenspeichern der Legitimation im Pufferspeicher 7 keine signifikante Beeinträchtigung der Sicherheit vor Manipulation, denn wenn es einem Unbefugten gelingt, die Legitimation herauszufinden, wird er bei einem Manipulationsversuch dennoch daran scheitern, dass der Prozessor 12 die zwischenzeitlich abgelaufene Legitimation nicht mehr als gültig anerkennt.
In Schritt 30 wird die Legitimation von der Schnittstelle 4 zur Speichereinheit 3 übertragen und in Schritt 31 vom Prozessor 12 auf ihre Gültigkeit überprüft. Wie erwähnt umfasst diese Gültigkeitsüberprüfung auch eine Überprüfung hinsichtlich einer zeitlichen Gültigkeit der Legitimation. Fällt die Entscheidung die Gültigkeit der Legitimation negativ aus und wird die Legitimation als ungültig eingestuft, so folgt mit Schritt 24 ein Abbruch des Verfahrens. Wird die Legitimation als gültig anerkannt, so wird mit den Schritten 25 bis 28 fortgefahren, die den Schritten 25 bis 28 des Flussdiagramms der 2 entsprechen und zu deren Beschreibung an dieser Stelle wiederum auf die Beschreibung der 2 verwiesen wird.
Bei den vorgestellten Verfahren handelt es sich um besonders bevorzugte erfindungsgemäße Verfahren. Es sind darüber hinaus auch Variationen der Verfahren möglich, ohne den Erfindungsgedanken zu verlassen. Beispielsweise ist es möglich, beim zweiten Verfahren gemäß der 3 den Schritt 21 des Übertragens der Legitimation vor den Schritten 18 bis 20 der Übertragung der Programmdaten durchzuführen, so dass, wenn anschließend alle empfangenen Daten in der Reihenfolge ihres Empfangs durch die Schnittstelle an das Gerät übertragen werden, die Legitimation zuerst eintrifft und vom Prozessor 12 geprüft werden kann.
Eine zusätzliche Absicherung ist erreichbar, wenn jeweils zwischen die Schritte 25 der Übernahme der Programmdaten durch das Gerät und 26 der Wiederaufnahme des normalen Betriebs eine Prüfung von zusammen mit den Programmdaten an das Gerät übertragenen Prüfsummen durch den Prozessor 12 stattfindet und bei Feststellung eines Fehlers der Schritt 25 wiederholt wird.
Auch kann der Schnittstelle 4 eine eigene Legitimation zugeordnet werden, die bei jeder Neuprogrammierung des Geräts genauso wie die Legitimation der Kontrollstelle an das Gerät übertragen werden muss und geprüft wird, bevor das Gerät eine Neuprogrammierung zulässt.

Claims

Verfahren zum Fernprogrammieren eines programmgesteuerten Geräts (3) mit den Schritten (a) Fernübertragen von Programmdaten von einer Kontrollstelle (9) über eine Fernverbindung an eine mit dem Gerät (3) verbundene Schnittstelle (4); (b) Puffern der Programmdaten an der Schnittstelle (4); (c) Fernübertragen einer Legitimation von der Kontrollstelle (9) an die Schnittstelle (4); (d) ungepufferte Weitergabe der Legitimation an das Gerät (3); (e) Prüfen der Legitimation durch das Gerät (3); (f) bei positiver Legitimation Eintragen der Programmdaten in einen Programmspeicher (8) des Geräts (3).
Verfahren zum Fernprogrammieren eines programmgesteuerten Geräts (3) mit den Schritten (a) Fernübertragen von Programmdaten von einer Kontrollstelle (9) über eine Fernverbindung an eine mit dem Gerät (3) verbundene Schnittstelle (4); (b) Puffern der Programmdaten an der Schnittstelle (4); (c) Fernübertragen einer Legitimation von der Kontrollstelle (9) an die Schnittstelle (4); (d) Weitergabe der Legitimation an das Gerät (3); (e) Prüfen der Legitimation durch das Gerät (3), wobei die Prüfung ein Prüfen einer Gültigkeitsdauer der Legitimation umfasst; (f) bei positiver Legitimation Eintragen der Programmdaten in einen Programmspeicher (8) des Geräts (3).
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Legitimation und/oder die Programmdaten über die Fernverbindung drahtlos übertragen werden.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass das Verfahren bei Auftreten einer Störung der drahtlosen Übertragung wiederholt wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Programmdaten und/oder die Legitimation über eine verdrahtete Verbindung (6) von der Schnittstelle (4) zum Gerät (3) übertragen wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass vor der Übertragung der Programmdaten zur Schnittstelle (4) zweite Daten aus einem Speicher (8) des Geräts (3) ausgelesen und zur Kontrollstelle (9) übertragen werden.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass die zweiten Daten an der Schnittstelle (4) gepuffert werden, bevor sie zur Kontrollstelle (9) übertragen werden.
Verfahren nach einem der Ansprüche 6 oder 7, dadurch gekennzeichnet, dass die Kontrollstelle (9) die Programmdaten auf Grundlage der zweiten Daten zusammenstellt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass nach der Übernahme der Programmdaten in den Programmspeicher (8) ein Erfolg der Fernprogrammierung überprüft und bei einem positiven Ergebnis der Überprüfung ein durch die Programmdaten gesteuerter Betrieb des Geräts (3) aufgenommen wird.
Anordnung, insbesondere zur Ausführung eines Verfahrens nach einem der vorhergehenden Ansprüche, mit einer Schnittstelle (4) zum Empfangen von Programmdaten und einer Legitimation, und einem fernprogrammierbaren, programmgesteuerten Gerät (3), das einen Prozessor (12) und einen Programmspeicher (8) umfasst, dadurch gekennzeichnet, dass die Schnittstelle (4) eingerichtet ist, empfangene Programmdaten zu puffern, eine empfangene Legitimation an das Gerät (3) weiterzuleiten, und die gepufferten Programmdaten nach positiver Prüfung der Legitimation durch das Gerät (3) an das Gerät (3) zu übertragen.
Anordnung nach Anspruch 10, dadurch gekennzeichnet, dass der Programmspeicher (8) ein Flash-Speicher oder ein EEPROM ist.
Anordnung nach Anspruch 10 oder 11, dadurch gekennzeichnet, dass die Schnittstelle (4) mittels einer drahtlosen Fernverbindung mit einer Kontrollstelle (9) verbindbar ist.
Anordnung nach einem der Ansprüche 10 bis 12, dadurch gekennzeichnet, dass die Schnittstelle (4) die Legitimation von der Kontrollstelle (9) empfängt und ungepuffert an das Gerät (3) weitergibt.
Anordnung nach einem der Ansprüche 10 bis 13, dadurch gekennzeichnet, dass das Gerät (3) eine Steuereinheit ist, die eine Vorrichtung (2) steuert.
Anordnung nach Anspruch 14, dadurch gekennzeichnet, dass die Vorrichtung (2) ein Kraftfahrzeug oder ein Teil eines Kraftfahrzeugs oder eine als Teil eines Kraftfahrzeugs verwendbare Vorrichtung wie etwa ein Motor ist.
Kraftfahrzeug mit einer Anordnung nach einem der Ansprüche 10 bis 15.