-
Die
Erfindung geht aus von einem Verfahren und zugehörigem System zum fälschungssicheren Dokumentieren
von Kilometerstandsdaten eines Fahrzeugs, bei dem die mittels eines
Wegstreckenzählers
aktuell bei der Fahrt ermittelten Kilometerstandsdaten in einem
bordeigenen Speicher des Fahrzeugs gespeichert werden.
-
Die
meisten Fahrzeuge (PKW, und LKW) enthalten einen Tachometer mit
eingebautem Wegstreckenzähler.
Seit einigen Jahren sind die analogen Anzeigen der Wegstreckenzähler durch
digitale ersetzt worden. Damit geht einher, dass der aktuelle Kilometerstand
in irgendeiner Form digital in einem bordeigenen Speicher gespeichert
ist, um jederzeit während
des Betriebs des Fahrzeugs angezeigt werden zu können.
-
Dieses
Merkmal der digitalen und damit modernen Datenverarbeitung bietet
jedoch vielerorts gleichzeitig einen Ansatzpunkt für eine ungewünschte Tachometermanipulation.
Der Datenspeicher des Kilometerstands im Fahrzeug lässt sich
mit speziellen Geräten
oder Notebooks mit passenden Schnittstellenkabeln manipulieren,
indem der Kilometerstand des internen Speichers auf einen nahezu
beliebigen Wert gestellt werden kann, sobald ein Betrüger die
Schnittstelle zu dem Datenspeicher „geknackt" und Schreibzugriff auf den Speicher
erlangt hat.
-
Da
sich der Wert eines Gebrauchtfahrzeuges zu einem sehr großen Teil
an den gefahrenen Kilometern orientiert, ent steht durch eine solche
Manipulation wegen des hohen Betrugspotentials ein enormer wirtschaftlicher
Schaden. Es gibt bislang kein System, das nachhaltig und sicher
diese Manipulation verhindert oder das Vorliegen von Manipulation mehr
als nur durch Indizien beweist.
-
Es
gibt zahlreiche Veröffentlichungen
zu diesem Thema, in denen Verfahren gezeigt werden, wie man solche
sensiblen Daten am Fahrzeug verwalten kann; dennoch ergeben sich
zahlreiche Nachteile:
DE
10138703 C1 : Diese Veröffentlichung
hat den Nachteil, das die sensiblen Daten nicht ohne das Zutun einer
Person ausgelesen werden können.
Das Verfahren ist nicht fälschungssicher,
da man beispielsweise bei sechsstelliger Anzeige einen hohen Kilometerstand
von 999.999 km einstellen kann, und dann nur einen Kilometer fahren
muss, bis der Zähler auf „000.000" km umspringt. Dies
entspricht einem Neuwagen. Dann kann man den Zählerstand auf einen attraktiven
Gebrauchtwagenwert von beispielhaft 40.000 km erhöhen. Solche
Tricks können
realisiert werden, weil die bordeigene Logik mangels geeigneter
Rechnerresourcen nur spärlich
mit Plausibilitätsprüfungen ausstattbar
ist. Dies ist nicht verwunderlich, da solche knappen Rechenressourcen
bei solchen „embedded
systems" die Regel
sind.
-
DE 19821696 A1 :
Diese Veröffentlichung
hat den Nachteil, dass nur Impulse der neu hinzugekommenen Wegstrecke
gezählt
und übertragen
werden und dass nicht die absolute Zahl des Kilometerstandes übertragen
wird. Weiterhin fehlt die Verbindung mit einem Datum, so dass eine
Protokollierung nicht möglich
ist. Durch die Aufsummierung aller Impulse erhält man immer nur eine Gesamtzahl
und keine nachvollziehbaren Einzelschritte. Unregelmäßigkeiten
können
damit nur schwer erkannt werden. Außerdem werden bordeigene Speichermittel
verwendet, womit ein Betrug niemals auszuschalten ist.
-
DE 19923060 A1 :
Dieses Verfahren dient nicht originär der fälschungssicheren Erfassung
und Dokumentation der Kilometerstände, sondern zum automatischen
Führen
eines Fahrtenbuches. Es stellt daher ähnlich wie ein Fahrtenschreiber
sehr hohe Anforderungen an die Genauigkeit der Erfassung der gefahrenen
Kilometer. Zusätzlich
basiert es in Teilen auf einer Kopplung mit GPS Daten. Dies macht
diesen Ansatz kompliziert und relativ teuer. Weitere nachteilhafte
Aspekte sind wie folgt:
Es ist ein hoher Datenverkehr notwendig,
da die Daten relativ viele Informationen enthalten und häufiger übertragen
werden müssen,
wodurch das System recht teuer ist.
-
Weiter
ist eine Interaktion des Fahrers nötig, um Eingaben und Steuerung
der automatischen Erfassung über
ein Autoradio durchzuführen.
-
Es
weist keine Sicherheitsaspekte in der Datensammlung und Übertragung
auf. Die Authentizität der Übertragung
ist nicht gewährleistet,
da keine Verschlüsselung
der Sendungen und der Identifikation des Fahrzeugs vorhanden ist.
-
Eine
Protokollierung von Zugriffen auf, sowie Störungen in den Fahrzeugkomponenten
findet nicht statt.
-
Es
findet weite keine dauerhafte Protokollierung der Kilometerstände über ein
gesamtes Fahrzeugleben statt. Damit ist das System nicht fälschungssicher.
-
Daher
ist die Aufgabe der vorliegenden Erfindung, ein sichereres aber
dennoch einfach umsetzbares Verfahren nach dem Oberbegriff des Anspruchs
1 zu bieten.
-
Vorteile der Erfindung
-
Mit
den Maßnahmen
eines unabhängigen Anspruches
wird die Aufgabe gelöst,
den Kilometerstand eines Fahrzeugs fälschungssicher und dennoch
auf einfache Weise und damit für
den Kunden leicht akzeptabel zu dokumentieren.
-
In
den Unteransprüchen
sind vorteilhafte Ausgestaltungen Weiterbildungen und Verbesserungen
des jeweiligen Gegenstandes der Erfindung angegeben.
-
Die
Erfindung zeigt einen simplen, kostengünstigen und sicheren Weg auf,
wie Manipulationen an Kilometerstandsdaten wirksam verhindert werden können.
-
Gemäß dem allgemeinsten
Aspekt offenbart die vorliegende Erfindung ein Verfahren, das aus
ineinander greifenden Schrittfolgen besteht, die einerseits am Fahrzeug
und andererseits in einer Verwaltungszentrale eines vertrauenswürdigen Dritten durchgeführt werden.
Insoweit handelt es sich um eine „verteilte Erfindung", deren Struktur
sich in einer erhöhten
Anzahl von unabhängigen
Ansprüchen
widerspiegelt.
-
Am
Fahrzeug wird ein Verfahren zum fälschungssicheren Dokumentieren
von Kilometerstandsdaten eines Fahrzeugs offenbart, bei dem die mittels
eines Wegstreckenzählers
aktuell bei der Fahrt ermittelten Kilometerstandsdaten in einem bordeigenen
Speicher des Fahrzeugs gespeichert werden, das gekennzeichnet ist
durch die Schritte:
Prüfen,
ob eine vorgegebene Dokumentationsbedingung erfüllt ist, und falls erfüllt,
Auslesen
von Kilometerstandsdaten aus dem bordeigenen Speicher über eine
vorgegebene Schnittstelle zum Bordcomputer, Senden der Kilometerstandsdaten
zusammen mit einer Kennung des Verkehrsmittels in verschlüsselter
Form an eine unabhängige Einrichtung
außerhalb
des Fahrzeugs, zum Beispiel eine vertrauenswürdige Zertifizierungsstelle.
-
Das
Verfahren ist beispielsweise als Programmcode in einem Steuergerät mit Verbindungsschnittstellen
zum bordeigenen Fahrzeugcomputer, oder alternative komplett als
Software im Bordcomputer (BC) implementiert.
-
In
der oben erwähnten
unabhängigen
Einrichtung werden die Daten von vielen Sendungen gleicher Art von
vielen Fahrzeugen gesammelt. Insofern handelt es sich um eine Sammelstelle
für die
Daten.
-
Dabei
wird pro Sendung und Fahrzeug ein Verfahren zum fälschungssicheren
Dokumentieren von Kilometerstandsdaten eines Fahrzeugs ausgeführt das
durch die Schritte gekennzeichnet ist:
Empfangen einer verschlüsselten
Sendung enthaltend wenigstens Kilometerstandsdaten und eine Fahrzeugkennung,
Entschlüsseln
der Sendung,
Zuordnen des aktuellen Eingangsdatums für die Sendung,
Abspeichern der Kilometerstandsdaten zusammen mit dem Eingangsdatum
unter der Kennung,
Erstellen einer Kilometerstandshistorie.
-
Unter
der Historie wird hierin verstanden, dass ein neu empfangener Kilometerstand
zusammen mit dem Daten und den bereits gespeicherten Daten für dieses
Fahrzeug dazu gespeichert wird. Die vorhandenen Daten (Bestand)
werden also bewusst nicht überschrieben,
sondern dienen in ihrer Gesamtheit als Stütze für die Dokumentation eines „Fahrzeuglebens".
-
Gelegentlich
oder auf explizite Aufforderung werden die folgenden Schritte zusätzlich für einen Satz
fahrzeugbezogener Daten durchgeführt:
Durchführen einer
Plausibilitätsprüfung für die Kilometerstandshistorie,
Ausgeben
einer Warnmeldung, wenn ein unplausibles Prüfungsergebnis vorliegt.
-
Das
erfindungsgemäß vorgeschlagene
Verfahren offenbart damit einen Weg, eine einfache und damit kostengünstige aber
dennoch sichere Lösung zur
Beseitigung der oben genannten nachteile zu finden.
-
Das
Verfahren ist einfach, da es für
den Benutzer nur notwendig ist, das Steuergerät anzuschließen und
bei der Sammelstelle (B) zu registrieren.
-
Der
Benutzer hat nach persönlicher
Einwilligung der erfindungsgemäßen Behandlung
seiner Daten jederzeit Zugriff auf die gespeicherten Daten und Anspruch
auf ein Zertifikat, mag es gut (widerspruchsfrei) oder schlecht
(mit Widersprüchen
behaftet) ausfallen.
-
Das
Verfahren ist relativ preisgünstig
implementierbar, da die zu implementierende Technologie in Einzelteilen
bereits vorhanden ist. Als Massenprodukt ist es damit kostengünstig. Da
die bei einer Sendung vorhandenen Übertragungsdatenmengen sehr gering
sind (kleiner 10 kB pro Übertragung),
entstehen auch keine hohen Mobilfunkkosten.
-
Das
Verfahren ist sicher, weil jede Form von Zugriff auf die Komponenten
im Fahrzeug extern vom Fahrzeug protokolliert und extern gespeichert
wird. Selbst wenn keinerlei Daten übertragen werden können, ist
dies feststellbar, und gibt Grund zur Annahme, dass dies auch nicht
gewollt war, selbst wenn man keine Betrugsabsicht beim Fahrzeughalter
unterstellen braucht. Gibt es keine Eintragungen im Protokoll, so
ist die Authentizität
des km-Standes nicht gewährleistet.
Im Umkehrschluss ist jedes Kilometerstandszertifikat authentisch.
-
Erfindungsgemäß und in
Abgrenzung zu
DE 19923060
A1 ist es nicht nötig,
den Kilometerstand jederzeit auf den Kilometer genau zu protokollieren. Für den Wertnachweis
eines Fahrzeuges ist es eher wichtig, den Kilometerstand auf z.B.
200 bis 500 km genau zu erfassen. Eine kilometergenaue Erfassung ist
ebenso nicht notwendig, wie eine Erfassung auf die Minute genau.
Daher reicht es, die Kilometerstandsdaten in regelmäßigen Abständen zu
protokollieren. Wann dies geschieht, ist frei festlegbar, und hierin
als Dokumentationsbedingung verstanden. Beispielsweise täglich, bei
Mietwagen, oder im Leasingbereich alle 14 Tage, im Privatbereich
jeden Monat, oder alle 3 Monate. Gleichwohl kann auch ein anderes
Ereignis al Kriterium hierfür
verwendet werden, etwa wenn der Wegstreckenzähler um eine vorgegebene Distanz
hochgezählt
hat, beispielsweise alle 500 km, oder alle 2000 km.
-
Wenn
das Senden der Dokumentationsdaten über eine sowieso benutzte,
elektronische Verbindung während
eines bargeldlosen Bezahlvorgangs erfolgt und von dem Empfänger an
einen Empfangsserver der unabhängigen
Einrichtung weitergeleitet wird, dann ergibt sich eine praktische
Alternative zu der vorerwähnten
Mobilfunkschnittstelle.
-
Zeichnungen
-
Es
zeigen:
-
1 eine
schematische Systemdarstellung mit den wesentlichen strukturellen
Komponenten im Fahrzeug (oberer Teil A) und an der zentralen Sammelstelle
(unterer Teil B),
-
2A:
Ein Ablaufdiagramm mit den wichtigsten Programmschritten, die erfindungsgemäß in einem
bevorzugten Ausführungsbeispiel
am Fahrzeug durchgeführt
werden;
-
2B:
Ein Ablaufdiagramm gem. 2A mit
den wesentlichen Schritten, die an der Sammelstelle durchgeführt werden.
-
Beschreibung
von Ausführungsbeispielen
-
In
den Figuren bezeichnen gleiche Bezugszeichen gleiche oder funktionsgleiche
Komponenten.
-
Anhand
der Zeichnungen werden Ausführungsbeispiele
der Erfindung erläutert.
In 1 ist ein Beispiel mit extern vom Bordcomputer
des Fahrzeugs vorhandenem Steuergerät 6, das die wesentlichen
Programmschritte automatisch durchführt.
-
Dabei
gilt folgende Bezugszeichenliste:
-
A Komponenten im Fahrzeug:
- 1
- Bordcomputer 1 (BC)
des Fahrzeuges
- 0
- Weitere
nicht relevante Bestandteile 0 des BC
- 2
- Speicherort 2 des
Kilometerstandes im Bordcomputer
- 3a
- Uhrzeit-
und Datumsrechner 3a des BC 1 (falls vorhanden)
- 3b
- Uhrzeit-
und Datumsrechner 3b der Einheit 6 (falls nicht
im BC vorhanden)
- 4
- Die
werkseitige Schnittstelle 4 zum BC wird durch die Übertragungseinheit 6 durchgeschleift,
dabei jedoch vom Prozessor 8 überwacht;
- 5a
- Werkseitige
Schnittstelle 5a zum BC (z.B. Diagnoseport);
- 5b
- Durchgeschleifte
Schnittstelle 5b, funktioniert nun als Diagnoseport
- 6
- Zentrale
Steuer- und Übertragungseinheit 6;
- 7
- Überwachungssensor 7,
gibt Signal, wenn die Einheit 6 geöffnet wird;
- 8
- Prozessor 8,
steuert alle Vorgänge
der Einheit 6, und initiiert Übertragungszyklen, überwacht
die durchgeschleifte Diagnoseleitung, überwacht das Öffnen des
Gehäuses,
verarbeitet einkommende Mobilfunkdaten;
- 9
- Speicher 9 enthält ein Duplikat
des Kilometerstandspeichers 2. Die Daten werden regelmäßig aktualisiert,
wenn keine Verbindung zu Schnittstelle 5b besteht;
- 10a
- Nicht-flüchtiger
Speicher 10a zur Aufbewahrung der Steuerprogramme, zum
Ablegen von Empfangsquittungen der zentralen Sammelstelle und für fluktuierende
Codewörter zum
Verschlüsseln
der Daten, die durch die Sammelstelle vergeben werden.
- 10b
- Permanentspeicher 10b für dauerhaft
unveränderbare
Daten wie Fahrgestellnummer, Identifikation der mobilen Sende- und
Empfangseinheit (IMEI), Verschlüsselungscode,
- 11
- Rückkanalfähige Mobilfunkeinheit 11,
- 12
- Akku 12 zur
Stromversorgung, falls Steuereinheit 6 vom Bordnetz getrennt wird,
- 13
- Stromversorgung 13 der
Einheit 6 über
das Bordnetz des Fahrzeuges, falls dies nicht über den Bordcomputer 1 oder
den Diagnoseport 5a möglich
ist.
-
B Komponenten der zentralen
Sammelstelle
- 14
- Eingangsserver 14 für Mobilfunkübertragungen,
fügt den
Rohdaten Datum und Uhrzeit des Erhalts zu und versendet Eingangsbestätigung an
Einheit 6 wenn Einheit 16 (unten) dies frei gibt,
- 15
- Permanentspeicher 15 für die verschlüsselten Rohdaten
(redundantes System),
- 16
- Datenverarbeitungsanlage 16,
prüft die
ankommenden Daten auf Authentizität, decodiert die empfangenen
Rohdaten und bereitet die Kilometerstandsdaten und Zeitpunkte auf.
Sie protokolliert alle auflaufenden Daten. Bei Erhalt eines gültigen Datenpakets
wird eine Eingangsbestätigung
codiert und über
Server 14 an Steuereinheit 6 gesendet und in Speichern 10a und 10b gespeichert.
- 17
- Redundantes
System 17 liest die zu dokumentierenden Daten aus 16 aus
und speichert diese. Einheit 16 hat keinen Zugriff auf
System 17;
- 18
- Internet
Server 18, der eine Plattform zum Abfragen der protokollierten
Daten durch den Inhaber des Fahrzeuges bietet.
-
Mit
weiterem Bezug zu 2A und 2B wird
das Steuergerät 6 bei
der externen Lösung
-etwa als Nachrüstsatz
für bestehende
Fahrzeuge- in zentraler Nähe
zum Fahrzeugbordcomputer 1 verbaut. Alternativ als interne
Lösung
kann die Technologie (aus 6 auch direkt in den Bordcomputer
(BC) implementiert werden. Auch Bordcomputer, die schon vom Hersteller
mit einer Verbindung zu einer Mobilfunkmöglichkeit ausgerüstet werden,
sind mit gewissen Anforderungen an die Übertragung für das Verfahren
geeignet.
-
Gesetzt
den Fall, die voreingestellte Dokumentationsbedingung „2000 km
sind seit letzter Sendung zurückgelegt" wird in einem Schritt 400 geprüft und führt zum „JA" Ergebnis. Dann sollen
die Kilometerstandsdaten aus dem Speicher 9 oder 2 ausgelesen
werden, Schritt 410.
-
In
beiden Fällen
(extern/intern) beinhaltet das Steuergerät 6 eine Schnittstelle
zu der werksseitigen Schnittstelle 5a. Hierüber wird
die Verbindung zum Bordcomputer 1 hergestellt.
-
Die
Schnittstelle 5a zum Bordcomputer ist vorhanden, da Werkstätten dort
ihre speziellen Diagnosegeräte
anschließen
können.
Weiterhin werden diese Schnittstellen auch zur Manipulation der
Kilometerstände
benutzt. Das Steuergerät 6 wird
an die vorhandene Schnittstelle je nach Fahrzeugtyp anders) mit
einem Adapter angepasst.
-
Das
Gerät 6 enthält weiterhin
einen Prozessor 8, der die BC-Daten -hier den Kilometerstand- ausliest,
verwaltet, insbesondere mit zusätzlichen
Informationen wie Datum und gegebenenfalls weiteren Steuerdaten
wie Fahrzeugidentifikationsnummer, IMEI, Sicherheitsvariablen, Prüfsummen,
etc., versieht. Ein Datensatz wird erzeugt und enthält also eine
Fahrzeug ID und den Kilometerstand als wesentliche Komponenten.
Er wird verschlüsselt,
Schritt 420, nachdem der Prozessor ggf. den dazu notwendigen
Schlüssel
aus einem vorgegebenen Speicherbereich aus Speicher 10a oder 10b herausgelesen hat,
worauf weiter unten noch einmal Bezug genommen wird.
-
Ein
weiterer Bestandteil des Steuergeräts 6 ist eine mobile
Sendeeinheit 11, die den Datensatz über ein Mobilfunknetz (z.B.
per SMS, GPRS, UMTS, VPN...) an die zentrale Sammelstelle (B) – 1,
unterer Teil sendet. Dies kann auch unter Zwischenschaltung einer
Mobilfunkzentrale und eines Internet-Servers erfolgen.
-
Eine
weitere Systemkomponente ist der nichtflüchtige Speicher 10a,
der z.B. Bestätigungsnachrichten
für jeden
quittierten Versand einer Sendung eines Datensatzes speichert. In
der zentralen Sammelstelle (B) werden die Daten empfangen, Schritt 440,
mit einem Zeitstempel versehen, Schritt 450 entschlüsselt, Schritt 460 und
räumlich
und zeitlich vom Fahrzeug getrennt gesammelt und gespeichert, Schritt 470.
Dies geschieht zweckmäßig durch Einreihen
des frischen Datensatzes in den bereits existierenden Bestand von
Datensätzen,
die bereits für
ein spezielles Fahrzeug existieren. Die Zuordnung geschieht bevorzugt über die
Fahrzeug ID, die als Index in eine hierfür vorgesehene Tabelle dienen kann,
um den Zugriff zu beschleunigen.
-
Jede
neu ankommende Sendung enthält
einen neuen Datensatz. Dieser neue Datensatz überschreibt den/die vorher
exis tierenden NICHT, sondern wird der Datensammlung hinzugefügt. Bei
Bedarf lässt
sich so der aktuelle oder zumindest der zuletzt übertragene Kilometerstand des
Fahrzeuges nachvollziehen, bzw. eine Historie der erreichten Kilometerstandsmarken
erzeugen und abrufen.
-
Vorzugsweise
wird der Empfang des Datensatzes beim Dritten durch diesen mit einer
Empfangsquittungsnachricht quittiert, wobei diese Quittungsnachricht
gleich noch einen frisch erzeugten individuellen Schlüssel enthält der beim
Dritten erzeugt wurde und beim Fahrzeug als Schlüssel zum Verschlüsseln der
nächsten
Nachricht dienen sollte.
-
Eine
Manipulation wird z.B. in einer Plausibilitätsprüfung 490 erkannt,
wenn ein niedrigerer Kilometerstand übertragen wird, als bisher
gespeichert war. Die Manipulation ist damit durch einen unbeteiligten
Dritten dokumentiert. Im. Umkehrschluss wird die Authentizität eines
unmanipulierten Kilometerstandes nachgewiesen, indem die letzte Übertragung mit
der Anzeige im Fahrzeug verglichen wird. Hierbei können Differenzen
im Kilometerstand auftreten, wenn das Fahrzeug die nächste turnusmäßige Übertragung
noch nicht erreicht hat.
-
In
vorteilhafter Weise können
nun an zentraler Stelle ausgiebige Plausibilitätsprüfungen vorgenommen werden,
die das „embedded
System" am Fahrzeug
nicht belasten, indem beispielsweise das Tagesdatum des Eingangs
des Datensatzes beim Dritten, oder ggf. das – nicht allgemein als verlässliche
Information zu betrachtende Tagesdatum und die Uhrzeit aus dem Fahrzeug
mit in die Plausibilitätsprüfung 490 einfließt.
-
Die
zentrale Sammelstelle (B) ist daher in der Lage die gesammelten
Daten auszuwerten und dem Fahrzeugeigner in Form eines Zertifikates
oder nachschlagbar im Internet 18 zur Verfügung zu
stellen. Die zentrale Sammelstelle kann sich auch von unabhängigen Dritten,
etwa TÜV,
Dekra, Verkehrsministerien zertifizieren zu lassen.
-
Das
Steuergerät 6 hat
gemäß bevorzugter Ausführung noch
weiter Merkmale wie folgt:
Eine mobile Übertragungseinheit 11.
Hiermit können sowohl
Daten gesendet, als auch per Rückkanal empfangen
werden. Vorteilhaft hierbei ist die Rückkanalfähigkeit des Gerätes 6,
um eine Steuerung beispielsweise des Übertragungsintervalls oder
ein Auslösen
der Sendung des aktuellen Kilometerstandes in optionaler Weise direkt
von außen,
etwa von der Sammelstelle initiiert (B) vornehmen zu können.
-
Es
ist hierbei möglich,
verschiedene Intervalle zur turnusmäßigen Übertragung von (B) aus vorzugeben.
Zum Beispiel: „alle
500 km", „alle 24
h", „bei jedem
Motorstop" oder „jeden
Freitag".
-
Ein
weitere vorteilhafte Maßnahme
der Option „Rückkanal
verwenden" ist es,
Verschlüsselungscodes
im Fahrzeugspeicher 10b ablegen zu können, die in regelmäßigen Abständen von
(B) durch Senden eines neuen Schlüssels oder eines Hash-Codes für einen
alten Schlüssel
geändert
werden können. Dies
erhöht
die Sicherheit des übertragenen
Datensatzes.
-
Ein
Timer mit Zeit- und Datumsspeicher 3b ist ebenso in dem
Steuergerät 6 enthalten,
falls das Datum nicht aus dem Fahrzeugbordcomputer 3a ausgelesen
werden kann. Dieser Datumsspeicher kann von (B) aus über den
Rückkanal
geeicht werden.
-
Der
Zeitpunkt des Erreichens eines bestimmten Kilometerstandes wird
in bevorzugter Weise mit dem Kilometerstand übertragen. Bindend ist jedoch
der Eingangszeitpunkt in der Sammelstelle (B), da deren Zeit nicht
von außen
manipuliert werden kann.
-
Der
Rückkanal
befähigt
die Sammelstelle (B) ebenfalls dazu, einen Sendezyklus von außen zu initiieren.
Somit können
z.B. stichprobenartig die Daten im Kilometerstandsspeicher oder
im Zeitspeicher des Fahrzeuges überprüft werden.
Dadurch können
Unregelmäßigkeiten
aufgedeckt werden und die Sicherheit wird erhöht.
-
Weiterhin
ist ein Prozessor 8 vorgesehen zum Steuern des Gerätes 6,
zum Auslesen und Verschlüsseln
der Daten etc.. Zum Speichern von Empfangsquittungen ist ein Lese/Schreibspeicher 10a vorgesehen.
Eine unabhängige
Stromversorgung in Form eines Akkus 12 ist ebenfalls vorgesehen.
Die permanente Stromversorgung des Gerätes wird über eine Verbindung zum Bordnetz
des Fahrzeuges 13 oder die Verbindung zum BC 1 gewährleistet.
-
Bei
der oben genannten internen Lösung wird
die komplette Funktionsvielfalt des Steuergeräts 6 in den Bordcomputer 1 integriert.
Soll eine separat vorhandene Mobilfunkeinheit zum Übertragen
genutzt werden, so sollte sie gewisse Sicherheitsstandards erfüllen, wie
etwa eine Protokollierung des Zugriffs auf die vorgenannten Speicher,
eine Protokollierung der Interaktion mit dem Bordcomputer, insbesondere
betreffend die Übertragung
von Verschlüsselungscodes über den
Rückkanal.
-
Bei
der oben genannten externen Lösung wird
das Steuergerät 6 über die
Schnittstelle 5a mit dem BC 1 verbunden.
-
In
beiden Fällen
bleibt die Verbindungsmöglichkeit
des Bordcomputers 1 zu externen Diagnosegeräten erhalten.
Im Fall der externen Lösung
wird der Diagnoseanschluss 5a durch das Steuergerät 6 durchgeschleift
zur Schnittstelle 5b.
-
In
beiden Fällen,
so wie in allen Fällen
laut Stand der Technik, wäre
eine Manipulation durch entfernen, austauschen oder verändern des
Steuergerätes
oder durch externen Zugriff über
den Diagnosestecker möglich.
Um eine solche Manipulation auszuschließen wird erfindungsgemäß folgende
Sicherung verwendet:
Wird ein passender Stecker an das Steuergerät 6 angeschlossen,
so wird die Verbindung zum Bordcomputer erst nach erfolgreichem
Versenden des aktuellen Kilometerstandes frei gegeben. Dazu wir
bevorzugt wie folgt vorgegangen:
das Steuergerät 6 registriert
den Anschluss eines Gerätes
an 5b. Dies initiiert einen Vorgang, der automatisch abläuft und
den Kilometerstand ausliest und versendet, wie oben beschrieben.
-
Das
zentrale Verwaltungssystem (B) reagiert mit einer Eingangsbestätigung,
woraufhin der Zugriff auf den BC 1 von Steuergerät 6 freigegeben
wird. Durch die derzeit verfügbaren Übertragungsmöglichkeiten
entstehen dadurch Wartezeiten lediglich im Sekundenbereich. Nach
Beendigung der externen Diagnoseverbindung wird der Kilometerstand
erneut ausgelesen und gesendet. Ergibt sich eine Differenz, liegt
eine Manipulation des Kilometerstandes nahe. In jedem Fall ist der
Zugriff dokumentiert und protokolliert.
-
Sollte
es bei Anschluss eines externen Gerätes an 5b nicht möglich sein,
den Datensatz zu versenden (z.B. weil kein Mobilfunknetz vorhanden
ist, was zwar bei der heutigen Netzabdeckung nicht zu erwarten ist,
aber in entlegenen Regionen dennoch vorkommen, oder von Dritter
Seite bewusst herbeigeführt
werden kann, so wird der Sendezyklus nach einigen gescheiterten
Sendeversuchen unterbrochen. Der Zugriff bleibt dann gesperrt, bis
eine erfolgreiche Versendung der Daten stattgefunden hat. Die erfolglose
Versendung wird in 6 unter Angabe des Grundes für die Initiierung
des Sendezyklus (hier: Zugriff über
Schnittstelle 5b) und Grun des des Fehlschlagens (hier:
kein Netz) protokolliert und in 10 abgelegt.
-
Die
gleiche Prozedur wird auch bei der Abtrennung des Steuergeräts 6 vom
Bordcomputer 1 durchgeführt.
Sollte kein Kilometerstand mehr zum Auslesen vorliegen, so wird
mindestens ein „Notsignal" gesendet, das im
zentralen Verwaltungssystem eingeht und damit die unerlaubte Trennung
protokolliert. Wird die Box wieder angeschlossen, so wird der Kilometerstand
sofort protokolliert und versendet, unabhängig davon, ob eine turnusmäßige Übertragung anliegt
oder nicht.
-
Für den Fall,
dass das Steuergerät 6 in
einem Bereich ohne Mobilfunknetz vom BC 1 getrennt wird
und solange ohne Verbindung gehalten wird, bis der Akku 12 erschöpft ist,
so kann der Kilometerstand nicht übertragen und protokolliert
werden. Da das Steuergerät 6 zu
Beginn jedoch einmal registriert wurde, wird in der zentralen Sammelstelle
(B) ein Protokoll dafür
geführt.
Gehen dort jedoch keine Nachrichten ein, kann von einer Manipulation
ausgegangen werden.
-
Wie
der Fachmann erkennen wird, ist es für die Zwecke der Erfindung
nicht nötig,
den Kilometerstand jederzeit auf den Kilometer genau zu protokollieren.
Für den
Wertnachweis eines Fahrzeuges ist es vielmehr wichtig, den Kilometerstand
z.B. auf 200 bis 500 km genau zu erfassen, was über das turnusmäßige Dokumentationsintervall
gesteuert werden kann. Daher wird selbst bei der Übertragung
eines Notsignals im „worst
case" immer noch
ein wichtiger Beitrag zur Abwendung der oben genannten Nachteile
des Standes der Technik geleistet. Zum Zeitpunkt des Eintreffens
eines Notsignals liegt der letzte übertragene Kilometerstand im
System (B) vor. Anstelle einer weiteren Kilometerangabe wird nun
im Protokoll lediglich „unerlaubte
Trennung" gespeichert.
Ist das Steuergerät 6 wieder
in Betrieb, wird der nächste ver sendete
Kilometerstand wieder abgespeichert. Ebenso ist der exakte Zeitpunkt
des Erreichens des jeweiligen Kilometerstandes nicht von größter Wichtigkeit.
Eine Differenz von einigen Tagen zwischen Erreichen des Kilometerstandes
und Empfang der Daten in der Sammelstelle (z.B. verursacht durch Fehlen
eines Mobilfunknetzes ist ohne nennenswerte Nachteile hinnehmbar.
-
Für den Fall,
dass bei einer turnusmäßigen Übertragung
des Kilometerstandes kein Mobilfunknetz verfügbar ist, wird der Datensatz
bis zu einer erfolgreichen Versendung (bestätigt durch Eingangsbestätigung der
Sammelstelle) im internen Speicher 10 gehalten. Laufen
in der Zeit neue turnusmäßige Übertragungen
auf, werden diese alle nacheinander versendet, sobald ein Netz verfügbar ist.
-
Im
folgenden wird ein Beispiel zum Verarbeiten der Daten in dem Steuergerät 6 gegeben:
Um
eine eindeutige Identifikation der Daten zu sichern, kann die Fahrgestellnummer
FGN verwendet werden. Diese ist in jedem Fall einzigartig und ändert sich
auch bei Änderung
des Fahrzeughalters nicht. Weiterhin ist jede Mobilfunksendeeinheit
mit einer eindeutigen Identifikationsnummer versehen (IMEI). Diese
beiden Nummern ggf. zusammen mit einer Codierung (die z.B. in regelmäßigen Abständen von
der zentralen Sammelstelle (B) über
den Rückkanal
der Mobilfunkeinheit geändert
werden kann) bilden die Basis für
die Verschlüsselung
des Datensatzes.
-
Die
FGN (aus dem BC) und die IMEI der Mobilfunkeinheit sind von Anfang
an in der zentralen Sammelstelle miteinander verknüpft. Die
variable Codierung wird von der Sammelstelle mit einer bestimmten
Gültigkeit
vergeben und ist damit auch beiden Endgeräten und nur den beiden Endgeräten am Fahrzeug
und in der Sammelstelle bekannt. Selbst wenn die variable Codierung
entschlüsselt
werden sollte, so hat dies nicht lange Bestand, da ein neuer Code
jederzeit von (B) an Steuergerät 6 übertragen werden
kann.
-
Der
zu versendende Datensatz kann beispielsweise wie folgt aufgebaut
sein:
-
Unterstrichen
sind dabei verschlüsselte
Daten
-
[FGN, Datum, Übertragungsnummer,
Sendegrund, Sendeversuche, FGN, IMEI, Datum, Kilometerstand, Sicherheitsvariable,
Prüfsumme]
-
- • Die
FGN und das Datum dienen zum identifizieren der ankommenden Daten.
Damit wird von der zentralen Sammelstelle (B) der passende Schlüssel zum
decodieren ausgewählt.
- • Die Übertragungsnummer
wird bei der Quittierung der Sammelstelle (B) wieder zurückgesandt, damit
das Übertragungsprotokoll
eindeutig der Versendung zugeordnet werden kann.
- • Als
Sendegrund kommt z.B. in Frage:
„1" – das
Notsignal bei unerlaubter Trennung der Box in 5a
„2" – das Signal aufgrund von BC-Zugriff
(an 5b
„3" – reguläres, turnusmäßiges Signal
zur Datenerfassung Signal
„4" – Sendezyklus
nach Trennung der Verbindung an 5b
- • Es
kann sein, dass zu einer turnusmäßigen Versendung
der Daten kein Mobilfunknetz zur Verfügung steht. Das Datenpaket
wird in diesem Fall zu einem späteren
Zeitpunkt neu versendet. Bei jedem Sendeversuch wird dieser Zähler um
eins erhöht.
Dies hat keine Auswirkung auf die Sicherheit, erklärt jedoch
eventuelle Diskre panzen zwischen Versanddatum und Eingangsdatum
in der Sammelstelle.
- • Als
redundante Information werden FGN und Datum erneut verschlüsselt versendet.
- • Der
Kilometerstand ist die zentrale Information.
- • Eine
Sicherheitsvariable kann z.B. ein Wert sein, der regelmäßig vom
zentralen Verwaltungssystem geändert
wird und die Authentizität
der Übertragung
belegt.
- • Die
Prüfsumme
belegt Unregelmäßigkeiten
im Übertragungsweg.
-
Die Zentrale Sammelstelle
B:
-
Eingehende Übertragungen
werden sofort im Rohdatenformat mit Eingangsdatum auf einem externen
Medium 15 abgespeichert, siehe Schritt 450. Dies
dient zur Redundanz und Sicherheit bei Datenverlust.
-
Der
originale Rohdatensatz wird von einer zentralen Datenverarbeitungsanlage 16 mit
dem aktuellen Schlüssel
in den Klartext decodiert, Schritt 460.
-
Hier
findet auch die Zuordnung der Daten zum entsprechenden Eintrag des
Fahrzeuges in der Datenbank bei B statt. Hier werden alle ankommenden
Meldungen protokolliert. Eintreffende Kilometerstandsdaten werden
nicht aufsummiert, sonder der Integer-Wert des Kilometerstands (z.B.
56.708 km) abgespeichert.
-
Die
Datenbank wird redundant und ohne Möglichkeit des Zugriffs von
außen
parallel in System 17 geführt, Schritt 470.
-
Die
in der Sammelstelle (B) protokollierten Kilometerstandsdaten können jederzeit
von dem Fahrzeughalter über
das Internet abgerufen werden. Dies kann mittels einer Identifikation über die
FGN und eines PIN-Codes erfolgen.
-
Der
Halter gibt auf einer entsprechenden Internetplattform diese zwei
Datenfelder ein und erhält eine
Auflistung aller gesammelten Daten. Der PIN-Code könnte z.B.
auf dem Fahrzeugbrief vermerkt werden. Dadurch ergibt sich der Vorteil,
dass nur der Besitzer des Briefes Lesezugriff auf die Kilometerstandsdaten
hat.
-
Obwohl
die vorliegende Erfindung anhand eines bevorzugten Ausführungsbeispiels
vorstehend beschrieben wurde, ist sie darauf nicht beschränkt, sondern
auf vielfältige
Weise modifizierbar.
-
Alternativ
zur Übertragung
der Kilometerstandsdaten per Mobilfunk können andere Übertragungsmöglichkeiten
gewählt
werden:
Da sich jeder Fahrzeugfahrer in zeitlich mehr oder weniger
geringen Abständen
bei Tankstellen einfinden muss, um Kraftstoff zu tanken, und die
dort die zu begleichende Rechnung häufig mit elektronischen Zahlungsmitteln
beglichen wird, kann in bevorzugter Weise auch folgender Übertragungsweg
realisiert werden:
Auf dem elektronischen Zahlungsmittel wie
etwa einer EC-Karte,
einer Firmentankkarte, oder dergleichen kann auf dem Magnetfeld
ein zusätzlicher „privater" Speicherbereich
vorgesehen sein, dessen Inhalt das Geldinstitut der Karte nicht
interessiert.
-
Dieser
Speicherbereich wird vor dem Bezahlvorgang an der Tankstelle mittel
eines Kartenbeschreibungsgerätes
im Fahrzeug mit den verschlüsselten
Dokumentationsdaten beschrieben. Das in der Tankstelle sowieso vorhandene
Kartenlesegerät
liest neben den für
die Bezahlung benötigten
Finanzdaten zusätzlich
diese gespeicherten Kilometerstands-Dokumentationsdaten aus und überträgt diese
entweder eben falls an das bezogene Geldinstitut, das dann diese
Daten an die zentrale Sammelstelle weiterleitet, oder es wird in
der Tankstelle eine separate Verbindung zu der Sammelstelle aufgebaut.
In letzterem Falle kann auch eine separate Karte verwendet werden.
-
Das
Vorgehen für
den Benutzer ist wie folgt:
Zunächst erfolgt der Schritt des
Beschreibens des Zahlungsmittels mit der Zusatzinformation der Dokumentationsdaten
durch Einführen
der Karte in ein Schreibgerät
im Fahrzeug und Betätigen
einer Starttaste zum Triggern des Schreibvorgangs beim Erreichen
der Tankstelle oder kurz vorher während der Fahrt.
-
Dann
kann das Tanken wie gewohnt erfolgen.
-
Schließlich erfolgt
das Bezahlen der Tankrechnung elektronisch und die Übertragung
der Dokumentationsdaten über
den Transportweg des elektronischen Zahlungsmittels an die Sammelstelle ohne
Zutun des Benutzers.
-
Zu
den übertragenen
Dokumentationsdaten kann auch die aktuell getankte Menge Benzin
gehören.
Dies kann einer zusätzlichen
Verifikation der Kilometerstände
dienen.
-
Weiter
können
in vorteilhafter Weise zusätzliche
Dokumentationsdaten im Sinne der Erfindung vorsendet werden:
Der
Start einer Dokumentationsübertragung
kann beispielsweise auch durch spezielle fahrzeugspezifische Meldungen
aus dem Kontroll- und Wartungsmonitor des Fahrzeugs initiiert werden,
denn einige aussagekräftige
Daten werden dort im Fahrzeug generiert und laufen regelmäßig im BC
auf, wobei diese Daten unterschiedlich direkte oder indirekte Rückschlüsse auf
den Kilometerstand zulassen. Solche Daten sind etwa:
Eine Aufforderungsmeldung
zur Wartung in einer Werkstatt (Inspektionsintervalle),
Sensordaten,
von Sensoren, die die Bremsbeläge überwachender über eine
vorgegebene Zeit hinweg akkumulierte Benzinverbrauch,
Navigationsdaten
aus einem Navigationssystem, oder GPS-Koordinaten-Daten;
Diese Daten
oder weitere Daten bezüglich
anderer denkbarer Sonderereignisse können zur Übertragung der Daten dienen,
bzw. eine Übertragung
der Daten auch automatisch auslösen.
Dadurch kann die Plausibilität
der protokollierten Daten erhöht
werden.
-
Das
folgende Beispiel soll dies veranschaulichen:
Läuft das
Warnsignal „Bremsbeläge verschlissen" zusammen mit der
Information „Kilometerstand
= 10.000 km" auf,
dann kann von Unregelmäßigkeiten ausgegangen
werden.
-
Im
Umkehrschluss erscheint eine Information „Bremsen verschlissen" zusammen mit „Kilometerstand
= 50.000 km bis 80.000 km" als
einigermaßen
plausibel.
-
Schließlich können die
Merkmale der Unteransprüche
im wesentlichen frei miteinander und nicht durch die in den Ansprüchen vorliegende
Reihenfolge miteinander kombiniert werden, sofern sie unabhängig voneinander
sind.