CH691715A5 - Verfahren zur Bereitstellung von Daten eines Fahrzeuggeräts. - Google Patents

Description

  



  Die Erfindung betrifft ein Verfahren zur Bereitstellung von Daten eines Fahrzeuggeräts, insbesondere bei der Kommunikation zwischen stationären Kommunikationsanlagen an Verkehrswegen und dem Fahrzeuggerät, in das sich ändernde Daten, insbesondere Gebührenguthaben bzw. -kredit, mittels eines transportablen Datenträgers, insbesondere einer Chipkarte, eingegeben werden. 



  Insbesondere bei Systemen zur automatischen Gebührenerhebung kommen im Fahrzeug Fahrzeuggeräte zum Einsatz, die eine Chipkarte aufnehmen können. Die Chipkarte beherbergt empfindliche Daten. Hierzu gehören Gebührenguthaben bzw.     -kredit, Personen bezogene und geheime Daten, wie beispielsweise Schlüssel zur Verschlüsselung der ausgetauschten Nachrichten und zur gegenseitigen Authentifizierung mit der Abbuchungsstation. Die Chipkarte ist daher als "Trusted Device" ausgeführt, d.h. die Daten können nur von autorisierten Kommunikationspartnern ausgelesen bzw. geändert werden, insbesondere von Auf- und Abbuchungsstationen. Änderungen am Betriebssystem und an der Software der Chipkarte sind nicht möglich. 



  Für die automatische Gebührenerhebung können bereitgestellte Daten des Fahrzeuggeräts beispielsweise auf stationäre Kommunikationsanlagen an Verkehrswegen übertragen, aber alternativ auch im Fahrzeuggerät selbst verarbeitet werden. Für die automatische Gebührenerfassung spielen auch Daten eine Rolle, die nicht auf einer Chipkarte gespeichert werden sollten, da die Daten an ein bestimmtes Fahrzeug gebunden sind. Beispiele hierfür sind die ggfs. gebührenrelevante Kfz-Klasse oder die Information über den Halter des Fahrzeugs, was insbesondere bei einem Post Payment-Verfahren, in dem die Nutzungsgebühr später von einem Konto abgebucht wird, von Bedeutung ist. 



  Wollte man diese Daten direkt in dem Fahrzeuggerät ablegen, müssten sie vor Manipulationen geschützt werden, da die Daten unmittelbar Einfluss auf die Gebührenhöhe (z.B. Kfz-Klasse) haben können oder andere Missbrauchsmöglichkeiten eröffnen (z.B. "freie Fahrt"-Kodierung in Polizei- und Rettungsfahrzeugen). Es wäre daher möglich, auch das Fahrzeuggerät als "Trusted Device" auszuführen, d.h. die mechanische Hülle und das Betriebssystem so auszulegen, dass Manipulationen oder Auslesen von bestimmten Daten nicht möglich ist. Dieses Verfahren wäre sehr teuer und unflexibel, da nach Änderungen immer eine neue Zertifizierung des Geräts erfolgen müsste. 



  Die der Erfindung zu Grunde liegende Problemstellung besteht somit darin, die für eine automatische Gebührenerhebung erforderlichen Daten in Fahrzeuggeräten manipulationssicher ablegen zu können, ohne teure und unflexible Verfahren anwenden zu müssen. 



  Ausgehend von dieser Problemstellung ist ein Verfahren der eingangs erwähnten Art erfindungsgemäss dadurch gekennzeichnet, dass ein Teil der Daten, der auf das Fahrzeug bezogen ist, mithilfe einer speziellen Fahrzeuggerät-Konfigurationsstation in verschlüsselter oder durch einen Schlüssel ergänzter Form in das Fahrzeuggerät eingegeben wird, dass der andere Teil der Daten auf dem transportablen Datenträger gespeichert wird und dass der transportable Datenträger mit einem Entschlüsselungscode für die Fahrzeugdaten in der Fahrzeuggerät-Konfigurationsstation versehen wird, sodass beim Zusammenwirken des transportablen Datenträgers mit dem Fanrzeuggerät die verschlüsselten Fahrzeugdaten in den transportablen Datenträger übertragen und entschlüsselt bereitgestellt werden. 



  Das erfindungsgemässe Verfahren sieht somit eine Trennung der Daten vor, wobei die Ablage der auf das Fahrzeug bezogenen Fahrzeugdaten im Fahrzeuggerät durch Fahrzeuggerät-Konfigurationsstationen in verschlüsselter Form mit einem geheimen Schlüssel erfolgen kann. Dies kann direkt durch die Fahrzeuggerät-Konfigurationsstation oder mithilfe von speziellen Konfigurationschipkarten geschehen. Die Fahrzeuggerätdaten können auch von dieser Station unter Verwendung eines geheimen Schlüssels mit einer elektronischen Unterschrift versehen werden, z.B. indem eine Checksumme über diese Fahrzeugdaten gebildet wird und anschliessend die Fahrzeugdaten plus Checksumme verschlüsselt werden. Vertrauliche Daten werden ggfs. mit einem zweiten Schlüssel verschlüsselt. 



  Die transportablen Datenträger, die später mit den Fahrzeuggeräten zusammenwirken, erhalten bei ihrer Initialisierung den zum geheimen Schlüssel der Fahrzeuggeräte-Konfigurationsstation passenden Schlüssel. Die Ablage dieser Schlüssel erfolgt im geschützten Speicherbereich der transportablen Datenträger, insbesondere Chipkarten, ist also nicht manipulierbar. 



  Wenn der transportable Datenträger mit dem Fahrzeuggerät zusammenwirkt, beispielsweise die Chipkarte in das Fahrzeuggerät eingesteckt wird, werden die gesicherten Fahrzeugdaten in den transportablen Datenträger transferiert. Zweckmässigerweise wird eine Integritäts- und Authentizitätsprüfung vorgenommen. Sind die Fahrzeugdaten gemäss dieser Prüfung nicht integer oder nicht authentisch, stammen sie also nicht von der Fahrzeuggerät-Konfigurationsstation, wird das Fahrzeuggerät mit dem transportablen Datenträger nicht bzw. nicht voll funktionsfähig gemacht. Jede Applikation, die eine uneingeschränkte Beteiligung des transportablen Datenträgers erfordert, also insbesondere die automatische Gebührenerhebung, kann nicht mehr stattfinden.

   Das Prüfungsverfahren kann nicht durch Manipulationen umgangen werden, wenn - wie üblich - der transportable Datenträger ein "Trusted Device" ist. 



  Durch das erfindungsgemässe Verfahren sind die Fahrzeugdaten gegen Manipulationen geschützt. Allerdings wäre es denkbar, die Fahrzeugdaten zu kopieren, insbesondere solche Fahrzeuggerätedaten, die besondere Privilegien vermitteln, wie sie beispielsweise für Polizeifahrzeuge bestehen. 



  Vorzugsweise werden die verschlüsselten Fahrzeuggerätedaten daher mit einem eindeutigen Identifikationscode, beispielsweise in Form einer Identifikationsnummer oder einer aus dem Kraftfahrzeugkennzeichen abgeleiteten Prüfnummer, abgespeichert. Die von den stationären Kommunikationsanlagen an den Verkehrswegen aufgenommenen Identifikationscodes können dann jederzeit daraufhin überprüft werden, ob gleiche Identifikationscodes parallel auftreten oder die Prüfnummer zum vorzugsweise optoelektronisch erfassten Kraftfahrzeugkennzeichen passt, wodurch etwaige kopierte Fahrzeuggerätedaten entdeckt werden können. Die entsprechenden Identifikationscodes können durch die stationären Kommunikationsanlagen gesperrt oder manipuliert werden, sodass entweder die betreffenden Fahrzeuge oder die entsprechenden Chipkarten aufgespürt werden können. 



  Eine beispielhafte Konfiguration zur Durchführung des erfindungsgemässen Verfahrens ist schematisch in der beigefügten einzigen Figur der Zeichnung dargestellt. 



  In ein Fahrzeuggerät 1 ist ein erster Teil von Applikationsdaten in einem ggfs. geschützt ausgeführten Speicherbereich 2 in verschlüsselter Form eingegeben. Die Eingabe kann direkt in speziellen Fahrzeuggerät-Konfigurationsstationen erfolgt sein, ist aber auch mit speziellen transportablen Datenträgern, wie spezielle Konfigurationschipkarten, möglich. Das Fahrzeuggerät enthält ferner ein Anwendungsprogramm 3, mit dem eine Kommunikation zu einer externen Applikation 4 erfolgen kann. Die Kommunikation ist insbesondere mit stationären Kommunikationsanlagen an Verkehrswegen möglich. Es ist allerdings auch denkbar, eine Gebührenerhebung "autonom" im Fahrzeuggerät 1 vorzunehmen, indem mittels Satellitennavigation die Position des Fahrzeuggeräts 1 bestimmt und eine Zahlung ggf. unter Verwendung einer Chipkarte bewirkt wird.

   Die Quittungen werden zu einem späteren Zeitpunkt an eine entsprechende Infrastruktur weitergegeben. Das Anwendungsprogramm 3 besorgt in diesem Fall die Durchführung und Auswertung der Satellitenortung und die Ausgabe der Quittungen, während die externe Applikation 4 in diesem Fall sowohl für die Kommunikation mit dem Navigationssatelliten als auch für die erwähnte Infrastruktur steht. 



  Die Applikationsdaten 2 des Fahrzeuggeräts, d.h. die Fahrzeugdaten, sind in der verschlüsselten Form allerdings nicht verwendbar. Ein funktionsfähiges Fahrzeuggerät 1 entsteht erfindungsgemäss erst dadurch, dass mithilfe eines beispielsweise als Chipkarte ausgeführten transportablen Datenträgers 5 ein zweiter Teil von Applikationsdaten 6 und ein Schlüssel zur Entschlüsselung der in dem geschützten Bereich des Fahrzeuggeräts 1 enthaltenen Teil-Applikationsdaten aufweist. Die Applikationsdaten 6 des transportablen Datenträgers 5 können insbesondere Gebührenguthaben bzw. Gebührenkredit enthalten, wenn die dargestellte Konfiguration für eine Gebührenerhebung verwendet werden soll.

Claims (4)

1. Verfahren zur Bereitstellung von Daten eines Fahrzeuggeräts eines Fahrzeuges (1), insbesondere bei der Kommunikation zwischen stationären Kommunikationsanlagen an Verkehrswegen und dem Fahrzeuggerät (1), in das sich ändernde Daten, insbesondere Gebührenguthaben bzw. -kredit, mittels eines transportablen Datenträgers (5), insbesondere einer Chipkarte, eingegeben werden, dadurch gekennzeichnet, dass ein Teil der Daten (2) Fahrzeugdaten sind, die auf das Fahrzeug bezogen sind und mithilfe einer speziellen Fahrzeuggerät-Konfigurationsstation in verschlüsselter oder durch einen Schlüssel ergänzter Form in das Fahrzeuggerät (1) eingegeben werden, dass der andere Teil der Daten (6) auf dem transportablen Datenträger (5) gespeichert wird und dass der transportable Datenträger (5) mit einem Entschlüsselungscode (7)

für die Fahrzeugdaten in der Fahrzeuggerät-Konfigurationsstation versehen wird, sodass beim Zusammenwirken des transportablen Datenträgers (5) mit dem Fahrzeuggerät (1) die verschlüsselten Fahrzeugdaten in den transportablen Datenträger (5) übertragen und entschlüsselt bereitgestellt werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass vor der Übernahme der verschlüsselten Fahrzeugdaten von dem Fahrzeuggerät auf den transportablen Datenträger eine Integritäts- und Authentizitätsprüfung vorgenommen wird, deren negatives Ergebnis zur Funktionsunterbindung des Fahrzeuggeräts führt.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die verschlüsselten Fahrzeugdaten mit einem eindeutigen Identifikationscode abgespeichert werden, und dass eine Überprüfung auf parallel auftretende gleiche Identifikationscodes vorgenommen wird.

4.

Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass die verschlüsselten Fahrzeugdaten (2) mit einem Identifikationscode abgespeichert werden, der mit einer aus dem Kraftfahrzeugkennzeichen des Fahrzeuges abgeleiteten Prüfnummer ge bildet ist, und dass vor oder während der Kommunikation ein Vergleich von Prüfnummer und Kraftfahrzeugkennzeichen vorgenommen wird.