AT507032A1 - Verfahren und system zur erstellung von kraftfahrzeug-ferndiagnosen - Google Patents

Description

1

Die Erfindung betrifft allgemein das Auslesen von Daten aus Sensoren oder aus dem Speicher fahrzeugseigener Systeme über eine herstellerdefinierte Schnittstelle zur Durchführung einer Fahrzeugdiagnose, beispielsweise zur Ermittlung und Ausnutzung der maximal noch möglichen Kilometerreichweite bis zum nächsten Serviceaufenthalt .

Mehr im Einzelnen bezieht sich die Erfindung auf ein Verfahren sowie ein System zur Erstellung von Kraftfahrzeug-Ferndiagnosen gemäß den einleitenden Teilen der unabhängigen Ansprüche.

Die rasant zunehmende Komplexität von Antriebs- und Steuerungssystemen in Kraftfahrzeugen treibt Aufwendungen und Kosten für Ausbildung, Technologie und Ausrüstung von Werkstätten permanent in die Höhe, mit dem Resultat, dass sich bestimmte Dienstleistungen auf immer weniger entsprechend ausgerüstete Service-Stützpunkte konzentrieren. Das wiederum hat längere Anfahrtswege und damit zusätzliche Kosten sowie erhöhte logistische Anforderungen nicht nur für z.B. einen Spediteur zur Folge: Insbesondere in strukturschwachen Regionen erhöht sich auch das Risiko von Nutzungsausfällen, wenn innerhalb der ohnehin erheblich erweiterten Service-Intervalle Störungen auftreten, insbesondere solche, die allein schon zur Diagnose eine Spezialausrüstung erfordern. Dieser Problematik abzuhelfen, ist ein Anliegen der vorliegenden Erfindung.

Heutige Antriebsstränge und Steuerungen in Kraftfahrzeugen verfügen über eine erhebliche Anzahl von Sensoren, die zum einen der optimalen, dynamischen Einstellung aller regelbaren Parameter für Antrieb und Kraftübertragung dienen, zum anderen aber auch für den Anschluss aufwendiger Diagnosetechnik Verwendung finden, insbesondere dann, wenn die dabei anfallenden Datenmengen die im Kraftfahrzeug (Kfz) verfügbaren Speicher-, Übertra-gungs- und Verarbeitungskapazitäten überschreiten würden. Dies sind insbesondere Daten, die je Motorumdrehung anfallen und bei eingehender Analyse Aufschluss über den Verschleißzustand a) von Betriebsmitteln (wie Motoröl, Filter, etc.), b) des Motors selbst und seiner Aggregate und c) der sich anschließenden Kraftübertragung geben können. Diese Daten werden für Diagnosezwecke über einen entsprechenden als Diagnosedaten-Schnittstelle 2 vorgesehenen Steckverbinder zugänglich gemacht, über den Werkstätten ihre Diagnoseeinrichtungen anschließen können.

In DE 10 2004 052 782 Al ist ein Diagnoseportal beschrieben, das es Werkstätten erlaubt, ohne die Anschaffung von teuren Diagnosegeräten Fahrzeugdiagnose als Dienstleistung anzubieten. Dies wird durch eine die Sensoren direkt auslesende Diagnoseeinrichtung in der Werkstatt ermöglicht, die ihrerseits über eine breitbandige Internetverbindung, wie z.B. DSL, mit dem Diagnoseportal verbunden ist. Das Diagnoseportal übernimmt dann seinerseits die eigentliche Ausführung der Diagnose. Auch Systempflege und Wartung sowie Update-Service lassen sich so ohne großen Aufwand gestalten.

Die US 2005/0060070 Al beschreibt ein Netzwerk von Diensten, das u.a. mit einem während des (teilweise eingeschränkten) Fahrzeugbetriebs erforderlichen direkten Zugriff auf fahrzeugbezogene Daten über entsprechende Bussysteme des Fahrzeuges, die z.B. direkt mit der Motor- oder/und Getriebesteuerung verbunden sind, eine automatische und vom Fahrer unabhängige Erkennung von Störungen und Service-Erfordernissen ermöglichen soll. Dabei ist insbesondere ein Applikations-Service vorgesehen, der es grundsätzlich einer großen Typenvielfalt erlaubt, zentral und auf einheitliche Weise behandelt zu werden.

Unter der Bezeichnung E-TRIP wurde weiters im Jahr 2003 ein On-board-Gerät für den nordamerikanischen Markt zugelassen und vertrieben, das u.a. über den bei SAE standardisierten Bus J1708 fahrzeugspezifische Daten über Position (GPS), Geschwindigkeit, Drehzahl, Kühlwassertemperatur, Öldruck, Öltemperatur, Kraftstoffverbrauch, etc. ausliest und mit aktuellen GPS-Daten und Uhrzeit korreliert. Diese Daten können zur Auswertung je nach Anforderung über Satellit, GSM oder eine kostenneutrale PSRR-Verbindung (2.4 GHz) zu einem stationären Server „sicher" übertragen werden, der auch Arbeitszeitdaten mittels Fahrerkarten zu erfassen und Flottenmanagement zu erledigen in der Lage ist.

In der nicht vorveröffentlichten PCT/EP2007/010161 sind ein Verfahren und ein System zum gesicherten Downloaden von daten-schutzrechtlich sensiblen Daten, z.B. betreffend Position, Maut 3 etc., aus einem mobilen Gerät beschrieben. Um einen Daten-Down-load realisieren zu können, ist eine Authentifizierung als Fer-nauthentifizierung über eine entsprechend gesicherte Verbindung auszuführen, die zweifelsfrei feststellen können muss, dass die jeweiligen Kommunikationspartner mit absoluter Sicherheit auch diejenigen sind, die sie vorgeben zu sein.

Aufgabe der vorliegenden Erfindung ist es nun, ein Verfahren bzw. ein System wie eingangs angeführt vorzusehen, mit dem es möglich ist, einem potentiellen Fahrzeugkunden jeden mobil nutzbaren bzw. in Anspruch nehmbaren Service zukommen zu lassen, der dabei hilft, die Service-Intervalle soweit es geht auszudehnen, oder aber Störungen innerhalb der Service-Intervalle mit Hilfe einer umfassenden Diagnosetechnik, die normalerweise nur stationär verfügbar ist, deutlich vor einer Ausfälle verursachenden Offensichtlichkeit anzuzeigen und im Rahmen einer normalen logistischen Planung zu beheben. Dabei sollen weiters analog zum normalen Kundenverkehr einer Werkstatt für alle in diesem Rahmen erbrachten Dienstleistungen digitale Verträge mittels M2M-Inter-faces (machine to machine) geschlossen werden können, die für spätere Nachprüfungen aller beteiligten Seiten mit Authentifizierungen und Signaturen versehen sind.

Zur Lösung dieser Aufgabe sieht die Erfindung ein Verfahren bzw. ein System wie in den unabhängigen Ansprüchen angegeben vor. Vorteilhafte Ausführungsformen und Weiterbildungen sind in den abhängigen Ansprüchen definiert.

Bei der vorliegenden Technik wird eine authentifizierte und autorisierte Verbindung zwischen dem Fahrzeuggerät und dem - zentralen - Service-System aufgebaut, bevor mit der für die Diagnose notwendigen, von verschiedenen Sensoren im Fahrzeug stammenden Daten, nachstehend kurz Diagnosedaten genannt, begonnen wird. Diese Diagnosedaten werden vom Fahrzeuggerät der Dia-gnosedaten-Schnittstelle entnommen und über das Fahrzeuggerät unmittelbar zum zentralen Service-System übertragen, nachdem die Authentifizierung und Autorisierung auf Basis einer früher im Service-System eingelesenen Unternehmenskarte gesichert wurde. Hierfür kann ein auf der Unternehmenskarte gespeicherter Schlüssel verwendet werden, und zwischen den Fahrzeuggerät und dem - 4 -

Service-System wird eine VPN-Verbindung aufgebaut, wobei danach dem Fahrzeuggerät durch eine im Service-System eingerichtete Un-ternehmenskarten-Verwaltung das lokale Stecken (und Auslesen) einer Unternehmenskarte - im Fahrzeuggerät - simuliert wird.

Nach Prüfung der Authentizität des Fahrzeuggeräts und der Unternehmenskarte kann weiters überprüft werden, ob auf der Unternehmenskarte gespeicherte Unternehmensdaten mit im Fahrzeuggerät gespeicherten entsprechenden Unternehmensdaten übereinstimmen, bevor die Diagnosedaten vom Fahrzeuggerät zum Service-System übertragen werden.

Es ist nicht unbedingt notwendig, dass das zentrale Service-System selbst eine Diagnoseeinrichtung enthält, die üblicherweise durch einen Rechner mit entsprechender Datenbank zur Durchführung der entsprechenden Vergleiche und Berechnungen sowie zur Ausgabe von Ermittlungsergebnissen gebildet ist, sondern es kann diese Diagnoseeinrichtung auch in einer Werkstatt, insbesondere in einer von mehreren Werkstätten, vorliegen, und in diesem Fall wird zwecks Erstellung der Ferndiagnose vom Service-System zur Werkstatt, z.B. auf Basis einer Werkstattkarte, unter Berechtigungsprüfung eine authentifizierte Verbindung für die Übertragung von Diagnosedaten zur Werkstatt und von Ergebnisdaten von der Werkstatt zurück zum Service-System aufgebaut. Dabei kann ebenfalls vom Service-System vor der Daten-Übertragung ein Schlüssel zur Werkstatt übertragen werden, um eine sichere Verbindung vorzusehen sowie eine spätere Generierung und Überprüfung von Signaturen zu ermöglichen.

Das fahrzeugseitige System ist bevorzugt mit einem als Fahrtenschreiber ausgeführten Fahrzeuggerät versehen, das seinerseits eine breitbandige Kommunikationseinrichtung aufweist, und das mit der Diagnose-Schnittstelle im Fahrzeug derart verbunden ist, dass eine vollständige Übertragung aller für eine reguläre (normalerweise stationäre Maximal-)Diagnose erforderlichen Daten möglich wird und auf Anforderung des zentralen Service-Systems nach einer Authentifizierung eine (zyklische) Diagnose anhand der jeweils vollständig übertragenen Datensequenzen erfolgen kann. Es ist hier besonders wichtig, dass der Übertragungsweg in der Lage ist, die aus den unterschiedlichsten Sensoren ausgelesenen Daten simultan und unterbrechungsfrei zu übertragen, da ··· ·· · ·♦« ♦ *♦

5 eine Zwischenspeicherung in den fahrzeugeigenen Steuergeräten auf Grund der hohen Datenmengen Probleme bereiten würde. Dabei ist es nicht relevant, ob sich das Fahrzeug auf der Straße befindet, oder ob diese Dienstleistung im Rahmen eines Werkstattaufenthaltes irgendwo in Anspruch genommen wird. Das Fahrzeug muss sich für diesen Service aber in jedem Fall in Betrieb befinden.

Das zentrale Service-System kann mit verteilten Komponenten aufgebaut sein, und das Fahrzeug und das zentrale Service-System sind durch eine drahtlose, ausreichend breitbandige Kommunikation derart verbunden, dass sowohl eine permanente als auch eine durch die Verwendung von Unternehmenskarten gesicherte und authentifizierte Verbindung hergestellt werden kann. Demgemäß haben das Fahrzeug und das zentrale Service-System jeweils Einrichtungen sowohl zur drahtlosen Kommunikation als auch zum Sichern der Verbindung und zum Authentifizieren; weiters sind -ausschließlich dem zentralen Service-System - Diagnoseeinrichtungen zugeordnet.

Das zentrale Service-System informiert über den Zustand des jeweils servitierten Fahrzeugs den entsprechend auftraggebenden Eigentümer oder Halter des Fahrzeugs, der seinerseits anhand der mitgeteilten Empfehlungen für das Fahrzeug dann den plan- oder außerplanmäßigen Serviceaufenthalt in einer Werkstätte plant. Parallel zur Terminplanung der Werkstätten läuft die Beschaffung der erforderlichen Ersatzteile, die nun zum Plantermin bereits aus einem Zentrallager herbeigeschafft worden sein können, und zwar möglichst genau zum Plantermin, um auch hier eine teure Lagerhaltung oder aber unnötig lange Aufenthalte der Fahrzeuge, die für die Teilebeschaffung notwendig wären, zu vermeiden.

Ein weiterer Vorteil der Erfindung ergibt sich aus den nun nahezu unbegrenzten Nutzungsmöglichkeiten der teuren Diagnoseeinrichtungen, die immer dann in das „Remote"-System eingebunden bzw. deren Kapazität immer dann an das Remote-System vermietet werden kann, wenn im normalen Werkstattbetrieb kein Bedarf daran besteht. Auf diese Weise ist die Technik nahezu rund um die Uhr für die Früherkennung von Schäden und Fehlern von unterwegs befindlichen Fahrzeugen einsetzbar. 6

Die bereits erwähnte, vor der Datenübertragung notwendige Au-thentifizierung und Berechtigungsprüfung kann beispielhaft wie folgt ablaufen. Die von den zuständigen Behörden innerhalb der Europäischen Gemeinschaft ausgegebenen Karten (im Fall der vorliegenden Ferndiagnostik werden in erster Linie Unternehmenskarten verwendet) verfügen u.a. über von einem Master-Key abgeleitete Schlüssel zur sicheren Authentifizierung. Die Kartenleser in den Fahrzeuggeräten sind ihrerseits mit einem Sicherheitsmodul verbunden, welches ebenfalls über einen von diesem Master-Key abgeleiteten Schlüssel verfügt. Durch die mit dem VPN geschützte Verbindung zwischen dem Fahrzeuggerät und dem zentralen Service-System kann nun dem Fahrzeuggerät die Unternehmenskarte, anstatt sie direkt vor Ort stecken zu müssen, auch über die im zentralen Service-System vorhandene Unternehmenskar-ten-Verwaltung als gesteckt simuliert werden. Über einen Vorgang, den man als Key-Pairing bezeichnet, wird nun überprüft, ob Fahrzeuggerät und Unternehmenskarte jeweils „echt" sind, d.h. unmanipuliert und durch die o.g. Behörden ausgegeben bzw. überwacht. Ist dies der Fall, wird im nächsten Schritt überprüft, ob die in der Unternehmenskarte enthaltenen Unternehmensdaten mit denjenigen übereinstimmen, die im Fahrzeuggerät gespeichert sind. Erst durch eine Übereinstimmung an dieser Stelle wird sichergestellt, dass Auftraggeber (im zentralen Service-System) und Fahrzeughalter identisch sind, also hier Zugriffsrechte innehaben, und dass - was mindestens ebenso wichtig ist - die mit dem Zugriff einhergehende Dienstleistung dem richtigen Fahrzeughalter /Auf traggeber in Rechnung gestellt werden kann. Für den Verbindungsaufbau mit einer dezentralen Diagnoseeinrichtung kommt zur Sicherstellung von Authentizität und Zugriffsrechten wie erwähnt bevorzugt eine Werkstattkarte zum Einsatz. Über die von den zuständigen Behörden ausgegebene Werkstattkarte weist sich die Werkstatt als grundsätzlich berechtigt aus für Handlungen im Zusammenhang mit als Fahrtenschreiber ausgeführten Fahrzeuggeräten. Über die auf der Werkstattkarte ebenfalls vorhandenen personalisierten Daten der Werkstatt wird der Vertragszustand mit dem zentralen Service-System überprüfbar. Erst wenn alle diese Prüfungen positiv ausfallen, wird die Diagnose-Dienstleistung in Anspruch genommen bzw. sind die gegebenenfalls 7 ··#· erbrachten Dienstleistungen für die Werkstätten abrechenbar.

Die Erfindung wird nachfolgend anhand von bevorzugten Ausführungsbeispielen, auf die sie jedoch nicht beschränkt sein soll, und unter Bezugnahme auf die Zeichnung noch weiter erläutert. In der Zeichnung zeigen im Einzelnen:

Fig. 1 schematisch in der Art eines Blockschaltbildes ein System mit einem Fahrzeuggerät, das mit einer fahrzeugseitigen Diagno-sedaten-Schnittstelle verbunden ist, und mit einem zentralen Service-System;

Fig. 2 schematisch den Aufbau eines beispielhaften Fahrzeuggeräts ;

Fig. 3 schematisch eine als Fahrerkarte, Unternehmenskarte oder Werkstattkarte verwendbare Chipkarte mit den darin enthaltenen Modulen;

Fig. 4 schematisch in der Art eines Blockschaltbildes den Aufbau einer bevorzugten Ausführungsform des zentralen Service-Systems; und

Fig. 5 schematisch in Form eines Blockschaltbildes den Aufbau einer Werkstatteinrichtung mit Diagnoseeinrichtung als dezentrale (indirekte) Diagnosekapazität für das zentrale Service-System gemäß Fig. 4.

In Fig. 1 sind eine Kfz-Antriebseinheit 1 mit einem Sensorfeld la, ein Kraftübertragungs-Block 2 mit einem zugehörigen Sensorfeld 2a, zusammen auch als Antriebsstrang 3 bezeichnet, weiters eine Steuerung 4 für den Antriebsstrang 3 sowie ein Diagnose-Steckverbinder 5 als Diagnosedaten-Schnittstelle 5, zum Anschluss von Diagnosegeräten von Werkstätten, gezeigt. Über den Diagnose-Steckverbinder 5 ist ein Fahrzeuggerät 6 fest mit den Sensoren und Speichern der Komponenten 1, la, 2 und 2a verbunden .

Das Fahrzeuggerät 6 verfügt über zwei Kartenleser 6a und 6b zum • ·· · ···· • · ···· ···· ····

8

Aufnehmen und Auslesen von z.B. Fahrerkarten, und es ist über ein Kommunikationsmodem mit einer Antenne 6c mit einem heterogenen, IP-basierten Kommunikationsnetzwerk 7 verbunden. Ebenfalls mit diesem Kommunikationsnetzwerk 7 über ein Kommunikationsmodul 8 verbunden ist ein zentrales Service-System 9, das über eine Unternehmenskarten-Verwaltung 10 und über zugeordnete Diagnoseeinrichtungen 11 verfügt.

Fig. 2 zeigt einen beispielhaften Aufbau des Fahrzeuggeräts 6 nach IS016844, mit u.a. den Kartenlesern 6a und 6b, mit einem Kommunikationsmodem 12 mit der Antenne 6c, und mit einem Sicherheitsmodul 13 zur Einrichtung sicherer und authentischer Kommunikationsverbindungen, sowie zur gesicherten und signierten Ablage von Daten in einem Speicher 14, der einer CPU 15 des Fahrzeuggerätes 6 zugeordnet ist. Das Sicherheitsmodul 13 des Fahrzeuggerätes 6 ist analog zu einer in Fig. 3 gezeigten Chipkarte 21 aufgebaut und enthält ähnlich wie diese Schlüssel für die Authentifizierung und gesicherte Kommunikation. Über die Normausstattung gemäß IS016844 hinaus verfügt das Fahrzeuggerät 6 über eine Sensorbox 16, die selbst eine Reihe unterschiedlicher Sensoren, z.B. zur Erfassung der aktuellen Position auch bei GPS-Ausfall, etwa mit Hilfe von Beschleunigungssensoren und/ oder Drehwinkelgebern und/oder Magnetsensoren, wobei letztere aus Gründen der Beeinflussung durch das Metall der Fahrerkabine auch außerhalb angebracht sein können. Der Sensorbox 16 ist ein Interface 16a zum Anschluss weiterer, externer Sensoren zugeordnet. Darüber hinaus, aber zur Normausstattung gemäß IS016844 gehörend, enthält das Fahrzeuggerät 6 ein Bediener-Interface 17. Das Fahrzeuggerät 6 verfügt beispielsweise über eine EAL4+ Sicherheitszulassung nach ISO/IEC 15408.

In Fig. 3 ist eine Chipkarte 21 gezeigt, die eine Unternehmenskarte, Werkstattkarte oder eine Fahrerkarte gemäß IS016844 sein kann. Diese Chipkarte 21 enthält ein Kontaktfeld 22, über das sie mit den Kartenlesern 6a oder 6b des Fahrzeuggerätes 6 oder aber der Unternehmenskarten-Verwaltung 10 des zentralen Service-Systems 9 verbunden werden kann. Weiterhin ist diese Chipkarte 21 mit einem Prozessor 23 und einem sicheren Speicher 24 ausgestattet. Im sicheren Speicher 24 werden Schlüssel 25 aufbewahrt, die für symmetrische und asymmetrische Verschlüsselungen zur

Realisierung einer gesicherten Kommunikation und zur Authentifi-zierung jeweils herzustellender Verbindungen verwendet werden. Darüber hinaus werden im sicheren Speicher 24 Daten der Persona-lisierung 26 aufbewahrt. Die Chipkarte 21 verfügt über eine EAL4 + Sicherheitszulassung nach ISO/IEC 15408.

Das zentrale Service-System 9 ist in Fig. 4 näher gezeigt, wobei das Kommunikationsmodul 8, die Unternehmenskarten-Verwaltung 10 zur Aufnahme diverser Chipkarten 21, ferner die - reale oder virtuelle - Diagnosekapazität 11 sowie eine Recheneinheit 33, mit einer CPU 31 und einem zugeordneten Speicher 32 sowie diverser Peripherie 33a zum Anschluss der zum zentralen Service-System 9 zugehörigen Komponenten, ersichtlich sind. Darüber hinaus gehören eine zentrale Datenbank 34 sowie ein Provider-Interface 35 zum zentralen Service-System 9. Das Provider-Interface 35 verfügt über eine Reihe von Schnittstellen bzw. Zugängen 36, 37, 38, über die Kunden, wie z.B. Flottenbetreiber (Zugang 36) oder Autovermietungen (Zugang 37) etc., oder aber Dienstleister als Unterauftragnehmer (Zugang 38), z.B. Vermieter von Diagnosekapazität 11, mit dem zentralen Service-System 9 verbunden sind. Die vom zentralen Service-System 9 beispielsweise nur virtuell zur Verfügung gestellte Diagnosekapazität 11 wird physikalisch ebenso über das Kommunikationsmodul 8 bereitgestellt, wie auch die eigentlichen Dienstleistungen, die über die Zugänge 36 und 37 präsentiert werden.

In Fig. 5 ist die Ausrüstung einer Werkstatt 40 gezeigt, mit einer entsprechenden Kommunikationseinrichtung 8' für den Zugang zum öffentlichen, IP-basierten, heterogenen Netzwerk 7, einem Umsetzer 41 zur Rücktransformation der für die physikalische Diagnoseeinrichtung 42 bestimmten Messdaten der Fahrzeuge, die in einem speziellen, für den Transport über das öffentliche Netz 7 geeigneten Format empfangen werden. Der Umsetzer 41 enthält darüber hinaus noch eine Signatureinrichtung 41a, die eindeutige Rückschlüsse auf die Werkstatt 40 zulässt, deren Diagnosegerät 42 für die in Anspruch genommene Dienstleistung Verwendung gefunden hat. Die Personalisierung dieser Signatureinrichtung 41a kann beispielsweise über eine vorhandene Werkstattkarte erfolgen, die ebenfalls eine durch eine entsprechende Behörde offiziell ausgegebene Chipkarte 21 sein kann. Für die Personalisierung 10 ···· • •M ···· ···· ···· • · ·· ···· • · ···* ·· ·· t ? i- verfügt die Signatureinrichtung über einen zugeordneten Kartenleser 41b.

Als Grundlage jeglicher Handlung schließt der Betreiber des zentralen Service-Systems 9, nachfolgend Dienstleister genannt, mit seinen Kunden, also z.B. Flottenbetreibern, Autovermietern oder Fuhrunternehmern, einen Dienstleistungsvertrag, in dessen Abschlussverlauf der Kunde dem Dienstleister seine Unternehmenskarte, also Chipkarte 21, aushändigt. Diese Unternehmenskarte 21 ist von der ausgebenden Behörde mit den Daten des jeweiligen Unternehmens personalisiert und wird für den vertragsgemäßen Gebrauch im zentralen Service-System 9 in die Unternehmenskartenverwaltung 10 eingesteckt. Inhalt der Dienstleistung unter diesem Vertrag ist die maximale Bereitstellung von Mobilität für alle darunter erfassten Fahrzeuge.

Die Fahrzeuge des Unternehmers (Kunden), zumindest diejenigen, die für den gewerblichen Güterverkehr eingesetzt werden, sind gemäß der geltenden EU-Richtlinie EWG 1360/2002 mit einem als Fahrtenschreiber arbeitenden Fahrzeuggerät 6 ausgerüstet, das hier zusätzlich, wie in Fig. 1 gezeigt, mit der Steuerung 4 des Antriebsstrangs 3 verbunden ist und über eine Kommunikationseinrichtung 12 (Fig. 2) verfügt, die als ganz normaler Teilnehmer im öffentlich zugänglichen Netz erreichbar ist.

Der Dienstleister schließt darüber hinaus Subunternehmer-Verträge mit Werkstätten 40 (Fig. 5) über die Nutzung von dort verfügbarer Diagnosekapazität 42 ab. Im Rahmen dieser Verträge werden die Werkstätten 40 mit den benötigten Kommunikationseinrichtungen 8' und den zugehörigen Umsetzern 41 ausgerüstet. Alternativ dazu kann der Dienstleister aber auch eigene physikalische Diagnoseeinrichtungen 11 mit entsprechender Ausrüstung betreiben, so dass dann keine Werkstatt 40 benötigt wird.

Bevor der Dienstleister die Diagnosekapazität 42 einer Werkstatt 40 verwenden kann, wird diese mit dem Vorgang der Personalisie- · rung in das zentrale Service-System 9 integriert. Dazu wird erstmals nach Auslieferung der Werkstattausrüstung eine Werk- stattkarte 21 der Werkstatt 40 in den Kartenleser 41b des Umset- i zers 41 eingesteckt. Die Daten der Werkstatt 40 werden daraus ;=

- 11 - ausgelesen und nach einem Verbindungsaufbau zum zentralen Service-System 9 übertragen. Dort werden sie mit den Daten des vorliegenden Vertrages verglichen. Stimmen diese überein, überträgt das zentrale Service-System 9 entsprechend vorbereitete Schlüssel an die Signatureinrichtung 41a der Werkstattausrüstung, die der Generierung und Überprüfung der Signaturen der später getauschten Daten dienen und zum Aufbau einer gesicherten Kommunikation mit dem zentralen Service-System 9 verwendet werden. Im Gegenzug sendet die Werkstattausrüstung nun die eindeutige ID (Identifikation) der Signatureinrichtung 41a, die dem zentralen Service-System 9 fortan zur Authentifizierung der genau dieser Werkstatt 40 zugeordneten Werkstattausrüstung dient. Damit ist die Einsatzbereitschaft hergestellt.

Zur Vertragserfüllung gegenüber seinen Kunden schaltet der Dienstleister nun zyklisch gemäß der vereinbarten Service-Level die Kundenfahrzeuge an die Diagnoseeinrichtungen 42 oder 10, um so die Grenznutzungsreichweiten für Betriebsstoffe und Verschleißteile für jedes Fahrzeug fortlaufend zu bestimmen oder aber außerplanmäßige Störungen und Fehler feststellen zu können. Im Einzelnen ist hier der Ablauf wie folgt:

Da die gesamte für die Leistungserbringung erforderliche Kommunikation über die Infrastruktur öffentlicher Netze 7 erfolgt, ist eine Reihe von Maßnahmen erforderlich, die sicherstellen, dass nur solche Zugriffe und Aktionen erfolgen, die ausdrücklich zur Vertragserfüllung notwendig sind, wobei aber andererseits alle anderen (unautorisierten) Aktionen definitiv ausgeschlossen sind. Dazu wird ausgehend von der Unternehmenskarten-Verwaltung 10 mit dem Sicherheitsmodul 13 des angesprochenen Fahrzeuggerätes 6 eine gesicherte Verbindung vom Typ VPN (Virtual Private Network - VPN) aufgebaut, über die eine Authentifizierung durchgeführt wird. Im Rahmen dieser Authentifizierung wird zum einen zweifelsfrei die Identität des jeweils anderen Kommunikationspartners festgestellt, zum anderen wird darüber hinaus festgestellt, ob der Dienstleister über die Unternehmenskarte 21 in der Unternehmenskarten-Verwaltung 10 die Berechtigung für den Datenzugriff über das Fahrzeuggerät 6 besitzt, da auch das Fahrzeuggerät 6 im Rahmen der Personalisierung mindestens einem Unternehmen zugeordnet ist. Ist dieser Authentifizierungsprozess • · ·· ·· ......Μ .. - 12 - erfolgreich abgeschlossen, schaltet das Fahrzeuggerät 6 die Verbindung bzw. den Zugriff auf die entsprechend angeforderten Datenquellen (über die Diagnosedaten-Schnittstelle 5) frei. Für die Ermittlung der Grenznutzungsreichweiten für Betriebsstoffe und Verschleißteile werden beispielsweise folgende Kfz-Daten ermittelt bzw. ausgelesen: - Motor: Ölschlamm, Schmierstoffpartikelkonzentration, Schmierstof fviskosität, Öldruck, Öltemperatur, Abgastemperatur, Abgaszusammensetzung & Konzentration, NH3 Konzentration, AdBlue Füllstand, Einspritzmengen, Einspritzzeitpunkte, Ausblasgasdruck, Klopfsensoren, akustische und Schwingungssensoren, Drehwinkelsensoren von Kurbel- & Nockenwelle, Wasser- & Partikelabscheider im KraftstoffSystem, ... - Getriebe/Abtrieb: Öldruck, Öltemperatur, Reifendruck, ... Für eine Reihe dieser Parameter können Verlaufskurven aus dem Speicher der Steuerung 4 ausgelesen werden, für die meisten dieser Parameter jedoch steht für Verlaufskurven nicht genügend Speicher in den Steuergeräten 4 zur Verfügung. Hier sind relativ kurze Ausleseintervalle von Vorteil, um so im zentralen Service-System 9 Verlaufskurven für jedes überwachte Fahrzeug anlegen zu können. Es werden somit bevorzugt diese Verlaufskurven, die den Verschleiß von Komponenten und/oder Betriebsstoffen wiedergeben, anhand von zyklisch abgefragten Sensoren erstellt.

Sind die Standard-Daten aus den Speichern und Sensoren la, 2a ausgelesen, erfolgt eine Simultandatenübertragung von denjenigen Sensoren zu den Diagnosegeräten, deren Datenmenge ein Zwischenspeichern nicht erlaubt. Für drehzahlabhängige Parameter ist üblicherweise eine Auslesefrequenz von 40..60 Hz erforderlich, dasselbe gilt ungefähr für die Rotationsgeschwindigkeit in der gesamten Kraftübertragung. Für akustische und Schwingungsanalysen hingegen sind Auslesefrequenzen von mehreren kHz erforderlich. Sollen über die Kommunikationseinrichtung 12 des Fahrzeuggerätes 6 parallel weitere Dienste abgewickelt werden, sind für die Datenübertragung Module erforderlich, die bevorzugt den EDGE-Standard oder noch höherratigere Standards bedienen.

Wurden diese Daten nun erfolgreich zum zentralen Service-System - 13 ·· ·· ·· ·« • · # · · · • · · ···· · « • · · · · · · • · · · · · · ·· ···· ·· «· 9 übertragen, so generiert und überträgt das Fahrzeuggerät 6 einen durch Funktionen des Sicherheitsmoduls 13 signierten Ser-vice-Acknowledge-Datensatz, der neben der Fahrzeuggeräte-ID, dem Datum, der Uhrzeit, ggf. der Fahrer-ID aus der Fahrerkarte, ggf. der GPS-Position, wenn eine entsprechende GPS-Einrichtung im System enthalten und am Fahrzeuggerät 6 angeschlossen ist, eine Charakteristik der übertragenen Daten enthält. Dieser signierte Service-Acknowledge-Datensatz dient dem Dienstleister als Abrechnungsnachweis und elektronische Unterschrift für die erbrachten Dienstleistungen am Fahrzeug. Für die Auswertung der Daten werden entweder Einrichtungen, Komponenten bzw. Software-Module (Diagnoseeinrichtungen 11) des zentralen Service-Systems 9 verwendet, oder aber es wird die angemietete Diagnosekapazität 42 von unter Vertrag stehenden Werkstätten 40 in Anspruch genommen.

Wird die Dienstleistung von solchen unter Vertrag stehenden Werkstätten 40 erbracht, wird während der Übertragung der Diagnoseergebnisse ebenfalls ein signierter Service-Acknowledge-Datensatz generiert, der zum einen eine korrekt erfolgte Auswertung durch die digitale Unterschrift anzeigt (s. Signatureinrichtung 41a), zum anderen dann auch die Grundlage für die Abrechnung der Leistungen des Subunternehmers (Werkstatt 40) ist. Darüber hinaus sind diese Datensätze auch eine Grundlage für die Regelung und Inanspruchnahme von Gewährleistungen, da auf diese Weise die Leistungserbringer (Werkstatt 40, gegebenenfalls zentrales Service-System 9) jeder Teilleistung zweifelsfrei identifizierbar bleiben.

Liegen die Daten schließlich ausgewertet im zentralen Service-System 9 vor, werden sie für den entsprechenden Kundenzugang 36, 37 in einer Art Formular aufbereitet und zur Verfügung gestellt. Neben einer Reihe von Zuständen zu verschiedenen, jeweils einem normalen Verschleiß unterworfenen Baugruppen oder Teilsystemen, gibt es eine nach Kilometern bemessene, aktuelle Grenznutzungsaussage bis zum nächsten Service mit Werkstattaufenthalt, die der Kunde jeweils aktuell in seine normale Tourenplanung einbauen kann, wenn er diese Daten zyklisch an seinem Zugang 36, 37 ausliest. Neben der Grenznutzungsaussage kann es eine Reihe von Empfehlungen für den Austausch von Komponenten bzw. weitere Grenznutzungsaussagen für Komponenten geben, deren Weiterbetrieb bis zum nächsten Serviceaufenthalt einem gewissen Risiko unterliegt. Wird das Fahrzeug z.B. in der Folgezeit in strukturschwachen Regionen eingesetzt, kann ein prophylaktischer Austausch dort dann zeitaufwendige Ausfälle verhindern helfen. Diese zusätzlichen Informationen kann der Kunde bei der Beauftragung der Werkstätten denselben direkt über den Zugang zugänglich machen, der selbst in der Lage ist, den Kunden bzw. letztendlich den Werkstätten vorgefertigte Auftragsformulare zu generieren und zur Verfügung zu stellen. Darüber hinaus ist es den Werkstätten möglich, bereits im Vorfeld die erforderlichen Ersatzteile herbeizuschaffen und den Servicefall ohne Überraschungen planmäßig abzuarbeiten. Für Kunden ergibt sich noch ein weiterer Vorteil: auch Werkstätten 40, insbesondere solche, die auf Grund ihrer regionalen Lage Sprachbarrieren „nützen" könnten, fällt es nun schwer, den Kunden überraschende Reparaturen zu präsentieren, da die üblicherweise erst in den Werkstätten erfolgenden und möglicherweise teure Reparaturen auslösenden Diagnosen bereits im Vorfeld unternommen wurden und deren Ergebnisse dem Fahrzeug-Halter jetzt bereits vorab bekannt sind.

In einer weiteren, vorteilhaften Ausgestaltung können mobile Werkstätten, d.h. Fahrzeuge mit entsprechender Werkstatt- und Ersatzteilausrüstung, an entsprechend geplanten Haltepunkten in Position gebracht werden, um dort die allfälligen Reparaturen oder Servicedienstleistungen zu erbringen, und zwar vorzugsweise in für den Fahrzeuglenker gesetzlich vorgeschriebenen Ruhepausen. Auf diese Weise ergeben sich für das Fahrzeug keine gesonderten Zeitaufwendungen für die Reparaturen. In diesen Ruhepausen kann der Fahrzeuglenker seine Ruhepause z.B. auch im Werkstatt-Fahrzeug verbringen, wenn an seinem eigenen Fahrzeug gearbeitet werden muss, um so eine tatsächliche Ruhe bzw. Erholung auch sicherstellen zu können.

Vorteilhafterweise lassen sich für das Werkstatt-Fahrzeug an einem einmal geplanten Standort auch gleich mehrere Wartungen und Reparaturen planen, wenn sich dies sinnvoll aus der Gesamtdaten- - 15 - ·· ·· ·· • · · · · • ··· · · • · · · · • · · · · ···· ·· ·· erfassung und deren Auswertung ergibt.

Je nach in Anspruch genommenem Service-Level und Vergütung können dem Kunden weitergehende Verschleiß-Verlaufskurven zur Verfügung gestellt werden, insbesondere z.B. solche, die direkt mit Lenkzeiten und bestimmten Fahrern in Korrelation gesetzt werden können, oder aber mit bestimmten Regionen, Jahreszeiten, Werkstätten, etc.

Die Abrechnung gegenüber Kunden und Subunternehmen erfolgt anhand der signierten Leistungsnachweise, die auf Grund der verwendeten Verfahren und der entsprechend sicherheitszertifizierten Komponenten als gerichtsfest fäl-schungs- und manipulationssicher gelten können.

Zur Vermeidung von Ressourcenkonflikten in den Werkstätten 40 ist es vorteilhaft, im zentralen Service-System 9 eine Ressourcenmanager-Software zu installieren, die eine rationelle, wirtschaftliche Verwendung der Diagnoseeinrichtungen 11 und 42 planen kann. Eine solche automatisierte Nutzungsplanung, mit einem „Zeitscheibenverfahren" („timeslicing"), bei deren Nutzungszeiten für die vorliegenden Ferndiagnosen-Erstellung einerseits und für Werkstatt-Diagnosen für sonstige Kunden zugeteilt werden, ermöglicht hohe Nutzungsraten.

Beispielsweise können in Subunternehmer-Verträgen der Werkstätten 40 u.a. Bedingungen für die Nutzung festgelegt werden, die sicherstellen sollen, dass während der normalen Dienstzeiten auch die Werkstatt 40 auf ihre Diagnoseeinrichtung 42 zurückgreifen kann. Dazu werden Regeln beispielsweise derart aufgestellt, dass zwischen 7.00 h und 18.00 h die Nutzungszeiten der Diagnoseeinrichtung 42 für das zentrale Service-System 9 grundsätzlich auf z.B. 50% beschränkt sind. Diese 50% können in z.B. 30 min-Blöcken vom zentralen Service-System 9 genutzt werden.

Die jeweilige Restnutzungsdauer wird dabei von der Einrichtung angezeigt, so dass sich das Werkstattpersonal entsprechend einrichten kann. Nach Ende eines solchen Blockes muss die Diagnoseeinrichtung 42 dann für weitere 30 min der Werkstatt zur Verfügung stehen.

Mit der bekannten Dauer eines Diagnosevorganges und der bereit- stehenden Kapazität kann nun der Ressourcenmanager den Ablauf und die Inanspruchnahme genau planen und ausführen.

Eine weitere vorteilhafte Möglichkeit besteht darin, eine „virtuelle" Unternehmenskarte und/oder Werkstattkarte vorzusehen: für die Authentifizierung werden diese Karten (21 in Fig.3) benötigt, und sie werden bei einer erstmaligen Verwendung durch ein Software-Modul ausgelesen, und die Daten, insbesondere die Sicherheitsmerkmale, werden gespeichert. Danach ist die physikalische Verfügbarkeit der Karte nicht mehr erforderlich, vielmehr werden die gespeicherten „virtuellen" Karten verwendet. Das SW-Modul hat insbesondere eine EAL4+-Sicherheitszulassung.

Claims (17)

1. Patentansprüche: 1. Verfahren zur Erstellung von Kraftfahrzeug-Ferndiagnosen, wobei im jeweiligen Kraftfahrzeug Diagnosedaten an zumindest einer Diagnosedaten-Schnittstelle, z.B. einem Diagnose-Steckverbinder (5) verfügbar sind, die zu einer automatischen Diagnoseeinrichtung (11; 42) übertragen und dort evaluiert werden, dadurch gekennzeichnet dass die Diagnosedaten drahtlos zu einem Service-System (9) mit direkter oder indirekter Diagnoseeinrichtung (11; 42) übertragen werden, wozu im Kraftfahrzeug die Diagnosedaten von einem mit einem Kommunikationsmodem (12) versehenen Fahrzeuggerät (6) an der Diagnosedaten-Schnittstelle (5) übernommen werden, nachdem zwischen dem Fahrzeuggerät (6) und dem Service-System (9) auf der Basis einer Unternehmenskarte (21) eine authentifizierte sichere Verbindung hergestellt wurde, wonach die Diagnosedaten ohne Zwischenspeicherung vom Fahrzeuggerät (6) zum Service-System (9) übertragen werden.
2. 2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass zur Authentifizierung der Verbindung und zur Autorisierung ein auf der Unternehmenskarte (21) gespeicherter Schlüssel (25) verwendet wird.
3. 3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass zwischen dem Fahrzeuggerät (6) und dem Service-System (9) eine VPN-(virtuelle private Netzwerks-)Verbindung aufgebaut wird.
4. 4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass dem Fahrzeuggerät (6) durch eine im Service-System (9) eingerichtete Unternehmenskarten-Verwaltung (10) das lokale Stecken und Auslesen einer Unternehmenskarte (21) simuliert wird.
5. 5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass nach Verifizierung der Authentizität des Fahrzeuggeräts (6) und der Unternehmenskarte (21) überprüft wird, ob vorgegebene Unternehmensdaten auf der Unternehmenskarte (21) mit jenen im Fahrzeuggerät (6) übereinstimmen, bevor die Diagnosedaten übertragen werden. ·· ·· ··

   • · • ··♦ • · « • · ♦ ·· ··

   - 18 -
6. 6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass im Fall einer indirekten, dezentralen Diagnoseeinrichtung (42), in einer Werkstatt (40), vom Service-System (9) zu dieser Werkstatt (40) auf Basis einer Werkstattkarte unter Berechtigungsprüfung eine authentifizierte Verbindung für die Übertragung von Daten zur Werkstatt (40) und von dieser zurück zum Service-System (9) aufgebaut wird.
7. 7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass vom Service-System (9) vor der Daten-Übertragung ein Schlüssel an die Werkstatt (40) übertragen wird, um eine sichere Verbindung sowie eine spätere Generierung und Überprüfung von Signaturen vorzusehen.
8. 8. Verfahren nach Anspruch 6 oder 7, dadurch gekennzeichnet, dass für die zentrale Diagnoseeinrichtung (42) eine automatisierte Nutzungsplanung, mit vorgegebenen Nutzungszeiten für die Ferndiagnose-Erstellung aufgrund der übertragenen Diagnosedaten und mit Nutzungszeiten für eigene Werkstatt-Diagnosen vorgesehen wird.
9. 9. Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass die Diagnosedaten zyklisch, in vorgegebenen Zeitintervallen, vom Fahrzeuggerät (6) zum Service-System (9) bzw. zur Diagnoseeinrichtung (11; 42) übertragen werden.
10. 10. Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass der Verschleiß von Komponenten und/oder Betriebsstoffen wiedergebende Verlaufskurven auf Basis von zyklisch übertragenen Sensorsignalen erstellt werden.
11. 11. Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, dass die Unternehmenskarte und/oder gegebenenfalls Werkstattkarte anfänglich ausgelesen wird und ihre Daten, vorzugsweise in einem Speichersystem mit Sicherheitszulassung, gespeichert werden, wonach die Karte als virtuelle Karte verwendet wird.
12. 12. System zur Erstellung von Kraftfahrzeug-Ferndiagnosen, wobei im jeweiligen Kraftfahrzeug Diagnosedaten an zumindest einer ·· tt • · · · • · · · • · · · ·· ·· ·· ·· ·· • · · ·· • · • · • ··* • 9 • • · · • 9 • • · · • · • · ···· ·· 9 9 - 19 - Diagnosedaten-Schnittstelle, z.B. einem Diagnose-Steckverbinder (5), verfügbar sind, die zu einer Diagnoseeinrichtung (11; 42) übertragen werden, dadurch gekennzeichnet, dass das Kraftfahrzeug mit einem ein Funk-Koramunikationsmodem (12) aufweisenden Fahrzeuggerät (6) ausgerüstet ist, das mit der Diagnosedaten-Schnittstelle (5) verbunden ist und weiters ein Sicherheitsmodul (13) mit einem Schlüssel für eine Authentifizierung und gesicherte Kommunikation enthält, und dass ein zentrales Service-System (9) mit einem entsprechenden Funk-Kommunikationsmodul (8) sowie mit einer Unternehmenskarten-Verwaltung (10) und einer Diagnoseeinrichtung (11) oder Verbindung zu einer externen Diagnoseeinrichtung (42) vorgesehen ist, welches Service-System (9) weiters eine Recheneinheit (33) aufweist, die zum Aufbau einer authentifizierten, sicheren Verbindung zum Fahrzeuggerät (6) auf Basis einer zugehörigen Unternehmenskarte (21) eingerichtet ist.
13. 13. System nach Anspruch 12, dadurch gekennzeichnet, dass die Unternehmenskarte eine Chipkarte (21) mit einem einen Schlüssel (25) speichernden sicheren Speicher (24) ist.
14. 14. System nach Anspruch 12 oder 13, dadurch gekennzeichnet, dass das Fahrzeuggerät (6) zumindest einen Kartenleser (6a, 6b) zum Auslesen einer Fahrerkarte, die vorzugsweise als Chipkarte (21) mit sicherem Speicher (24) ausgebildet ist, aufweist.
15. 15. System nach einem der Ansprüche 12 bis 14, dadurch gekennzeichnet, dass die Recheneinheit (33) im Service-System (9) eingerichtet ist, auf Basis der vom Fahrzeuggerät (6) empfangenen und in der Diagnoseeinrichtung (11;42) evaluierten Diagnosedaten die maximal mögliche Kilometerzahl bis zum notwendigen nächsten Serviceaufenthalt des Kraftfahrzeuges zu ermitteln.
16. 16. System nach einem der Ansprüche 12 bis 15, dadurch gekennzeichnet, dass das zentrale Service-System (9) Schnittstellen zu ihrer Verbindung, z.B. über Funk, mit Kunden, insbesondere Fahrzeugbetreibern, gegebenenfalls auch mit zumindest einer Werkstatt (40) mit Diagnoseeinrichtung (42), aufweist.
17. 17. System nach Anspruch 16, dadurch gekennzeichnet, dass die Werkstatt (40) eine Signatureinrichtung (41a) enthält. • t ·· • · • · • · • · ·· ·· • · • · • · • · ·#

    ·· ·· • · · · • ··· · · • · · · ···· ·· »· - 20 -18. System nach Anspruch 17, dadurch gekennzeichnet, dass zur Personalisierung der Signatureinrichtung (41a) eine Werkstattkarte vorgesehen ist, die vorzugsweise durch eine Chipkarte (21) mit sicherem Speicher (24) gebildet ist, wobei die Signatureinrichtung (41a) mit einem Kartenleser (41b) verbunden ist.