-
Die Erfindung betrifft einen digitalen Tachographen für Fahrzeuge, insbesondere Kraftfahrzeuge, mit mindestens zwei Sicherheitsprozessoren mit den Merkmalen des Patentanspruches 1.
-
In Kraftfahrzeugen und insbesondere in Lastkraftwagen oder Bussen sind Kontrollgeräte, wie z. B. Tachographen bzw. Fahrtenschreiber, vorgeschrieben. Somit müssen z. B. Lastkraftwagen Fahrtenschreiber aufweisen, welche die gefahrenen Kilometer erfassen, aber auch die Anzahl der Stunden, die der Fahrer bereits am Steuer des Lastkraftwagens gesessen hat, um die Ruhezeiten des Fahrers überprüfen zu können. Zur Erfassung dieser Daten und zur Speicherung besitzt ein jeder Fahrer eine Karte, die er mit dem Kontrollgerät verbinden muss, ehe er eine Fahrt antritt. Ein jeder Fahrer besitzt eine solche Karte, auf der seine Daten gespeichert sind.
-
Die Europäische Union schreibt vor, dass die gegenwärtig in der Europäischen Union vorgeschriebenen digitalen Tachographen die Möglichkeit aufweisen müssen, bei Kontrollen die Fahrtzeiten und die aufgezeichneten Daten auslesen und überprüfen zu können. Bei diesen zu überprüfenden Daten handelt es sich unter anderem um die vom Fahrer gefahrene Stundenzahl oder auch um Verstöße gegen gesetzliche Regelungen, wie z. B. die Überschreitung der zulässigen Höchstgeschwindigkeit oder Manipulationsversuche am Tachographen.
-
Digitale Tachographen sind in der Europäischen Union seit dem 01.05.2006 in neu zugelassenen Lastkraftwagen und Bussen vorgeschrieben. Vorteilhaft ist bei digitalen Tachographen, dass eine Manipulation nur erschwert möglich ist. Fahrzeugrelevante und fahrerrelevante Daten werden über einen bestimmten Zeitraum in einem Speicher des Kontrollgerätes gespeichert, bis sie vorschriftsmäßig ausgelesen worden sind oder ausgelesen werden müssen.
-
Aus
DE 10 2004 030 869 A1 ist eine Anordnung mit einem Tachographen bekannt, der fahrzeugrelevante Daten digital in einem ersten Speicher speichert. Der Tachograph ist mit einem mobilen externen Datenspeichergerät, das einen zweiten Speicher aufweist, verbunden. Eine externe erste Schnittstelle ist mit dem Tachographen und eine externe zweite Schnittstelle mit dem externen Datenspeichergerät verbunden. Die zweite externe Schnittstelle korrespondiert mit der ersten externen Schnittstelle, so dass Daten zwischen der ersten externen und der zweiten externen Schnittstelle übertragbar sind. Der in dieser Erfindung beschriebene Tachograph weist eine erste Verschlüsselungseinheit auf, welche der ersten externen Schnittstelle zugeordnet ist. Das externe Datenspeichergerät weist eine zweite Verschlüsselungseinheit auf, welche der zweiten externen Schnittstelle zugeordnet ist. Auf diese Weise können Daten zwischen der ersten externen Schnittstelle und der zweiten externen Schnittstelle verschlüsselt übertragen werden.
-
Aus
DE 10 2006 036 066 A1 sind ein Kontrollgerät für ein Fahrzeug sowie ein Verfahren zu dessen Betrieb bekannt. Das Kontrollgerät weist eine Verbindung zu einem verschlüsselten Impulsgeber auf, der vorzugsweise im Fahrzeugantriebsstrang angeordnet ist. Es ist eine elektronische Recheneinheit zur Bearbeitung und Verarbeitung und/oder Speicherung von Fahrzeuginformationen in Abhängigkeit von einer geräteinternen Zeitinformation vorhanden. Außerdem sind wenigstens ein Massenspeicher sowie wenigstens eine Mensch-Maschine-Schnittstelle und eine kombinierte Schreib-Leseeinheit für mobile Datenträger, insbesondere für personalisierte Datenspeicher oder Chipkarten vorhanden. Außerdem weist das Kontrollgerät mindestens eine zusätzliche verschlüsselte Verbindung zu einem zusätzlichen Geber auf. Das Kontrollgerät ist außerdem mit softwaregestützten Plausibilisierungsroutinen ausgestattet.
-
Aus
DE 10 2008 047 433 A1 ist ein Verfahren zum Freischalten von Funktionen eines Tachographen bekannt. Der Tachograph weist eine Steuerungseinheit und eine damit verbundene Schnittstelle auf, wobei die Steuerungseinheit programmtechnisch zur Ausführung einer Gruppe von Funktionen freigeschaltet ist. Es ist an den Tachographen ein externes Speichermedium über eine Schnittstelle anschließbar und im Falle einer Authentifizierung zwischen dem externen Speichermedium und der Speichereinheit können auf dem externen Speichermedium vorhandene Softwareroutinen überspielt und auf dem Tachographen freigeschaltet werden.
-
Aus
DE 10 2010 055 015 A1 sind ein Kartenlesegerät und eine Anordnung mit einem Fahrtenschreiber bekannt. Es ist eine Datenübertragungsverbindung beschrieben, mittels derer die Datenübertragung zwischen einem Kartenlesegerät und einer Fahrtenschreiberdatenverarbeitungsanlage ermöglicht wird. Zum Schutz von Fahrtenschreiberkarte und Datenübertragung ist vorgesehen, dass das Kartenlesegerät eine Sicherungsvorrichtung mit einem zur Entnahme der in das Kartengerät einführbaren Chipkarte entfernbaren Sicherheitsbaustein aufweist, wobei die Sicherheitsvorrichtung eine mechanische Entnahmesicherung für die in das Kartenlesegerät eingeführte Chipkarte aufweist.
-
Aus
DE 10 2007 043 262 A1 ist eine Datenverarbeitungsvorrichtung mit einem Security-Prozessor zur manipulationssicheren und/oder vertraulichen Verarbeitung von Daten bekannt. Es ist mindestens eine ASIC-Schaltung vorhanden, die über einen internen Bus mit dem Security-Prozessor verbunden ist, wobei die ASIC-Schaltung mehrere Schnittstellen zum Anschluss von Peripherieeinheiten aufweist und wobei der Security-Prozessor über die ASIC-Schaltung Daten mit den Peripherieeinheiten austauscht.
-
Aus
DE 10 2009 051 350 A1 ist ein Tachograph bekannt, der einen Applikationscontroller und einen Sicherheitscontroller aufweist. Dem Applikationscontroller und dem Sicherheitscontroller ist jeweils ein gesonderter Speicher zugeordnet.
-
Im Weiteren ist bekannt, dass sämtliche bisherigen Geräte jeweils nur für ein spezielles hoheitliches Gebiet zugelassen und einsetzbar sind. Es haben sich insoweit jeweils bei unterschiedlichen Staaten oder Staatengemeinschaften unterschiedliche Tachographensysteme entwickelt, so beispielsweise in der Europäischen Union und in der Russischen Förderation. Hieraus ergibt sich nun das Problem, dass ein Fahrzeug, das im Hoheitsgebiet beider Systeme unterwegs ist, beide unterschiedlichen Tachographensysteme an Board haben muss und darüber hinaus die unterschiedlichen weiteren Systemvoraussetzungen erfüllen muss. Neben der Ressourcen- und Platzverschwendung hat dies den Nachteil, dass ein Fahrer somit eine Manipulation vornehmen könnte, indem er einer Kontrollbehörde jeweils nur die Fahrerdaten und Fahrzeugdaten, die im System für das jeweilige Hoheitsgebiet gespeichert sind, zur Verfügung stellt. So könnte beispielsweise für den Fall der Europäischen Union und der Russischen Förderation ein Fahrer, der sich aus der Europäischen Union in die Russische Förderation begibt, im Grenzgebiet zur Europäischen Union lediglich die EU relevanten Daten und bei Überschreitung der Grenze lediglich die RU betreffenden Daten mit der Aufzeichnung der Lenkdaten der jeweiligen Kontrollbehörde zur Verfügung stellen. Seine entsprechenden Authentifizierungskarten, jeweils eine für die Europäische Union und eine für die Russische Förderation, könnte er damit unterschlagen und müsste diese nicht vorweisen.
-
Aufgabe der vorliegenden Erfindung ist es daher einen digitalen Tachographen für ein Fahrzeug aufzuzeigen, der in unterschiedlichen hoheitlichen Bereichen unterschiedlicher Staaten oder Staatengemeinschaften mit unterschiedlichen Tachographensystemen einsetzbar ist.
-
Diese Aufgabe wird anhand der Merkmale des Patentanspruches 1 gelöst.
-
Die vorliegende Erfindung schlägt vor, einen digitalen Tachographen zu verwenden, der für mehr als nur ein hoheitliches System personalisiert ist. Ein solcher digitaler Tachograph unterstützt mehrere Schlüsselhierarchien und kann somit Tachographenkarten des jeweiligen Systems verwenden und mit diesem kommunizieren. Gleichzeitig bleiben aber Lenkzeiten, die ein anderes Hoheitsgebiet betreffen und erfasst worden sind, im digitalen Tachographen erhalten und können somit für Kontrollbehörden des jeweiligen anderen Hoheitsgebietes transparent gemacht werden. Hierzu werden diese Daten in einer Speichereinheit im digitalen Tachographen gespeichert.
-
Vorteilhafte Ausgestaltungen der Erfindung ergeben sich anhand der weiteren Beschreibung, der abhängigen Patentansprüche sowie anhand der Figuren zu einem konkreten Ausführungsbeispiel und der zugehörigen Figurenbeschreibung.
-
Der erfindungsgemäße digitale Tachograph ist zum Einbau in ein Fahrzeug, insbesondere einen Lastkraftwagen, einen Omnibus oder ein Kraftfahrzeug, vorgesehen und dient zur Erfassung von fahrzeugrelevanten und/oder fahrerrelevanten Informationen. Der digitale Tachograph weist einen Hauptprozessor und mindestens zwei Sicherheitsprozessoren auf, wobei dem Hauptprozessor mindestens eine Speichereinheit und mindestens eine periphere Einheit zugeordnet sind und ein jeder der mindestens zwei Sicherheitsprozessoren jeweils auf eine hoheitliche Schlüsselhierarchie personalisiert ist.
-
In einer vorteilhaften Ausgestaltung der Erfindung sind der Hauptprozessor und/oder die Sicherheitsprozessoren als Mikrocomputer, Mikrocomputereinheit, Mikrocontroller, Mikrocontrollereinheit oder Mikroprozessoreinheit ausgeführt.
-
In einer vorteilhaften Ausgestaltung der Erfindung ist jeder der Sicherheitsprozessoren auf jeweils eine hoheitliche Schlüsselhierarchie personalisiert und ist nur in der Lage, diese hoheitliche Schlüsselhierarchie und deren Daten zu verarbeiten und oder zur Ausgabe an eine anschließbare Einheit auszugeben und/oder verschlüsselt die von dem digitalen Tachographen in einem Hoheitsgebiet erfassten Daten zu speichern, und zwar signiert mit einem für das jeweilige Hoheitsgebiet vorgegebenen Schlüssel.
-
In einer vorteilhaften Ausgestaltung der Erfindung ist vorgesehen, dass die Speichereinheit ein Flash-Speicher ist.
-
In einer weiteren vorteilhaften Ausgestaltung der Erfindung ist vorgesehen, dass die Speichereinheit nicht separat vorhanden ist, sondern als Teil des Hauptprozessors ausgeführt oder Bestandteil des Hauptprozessors ist.
-
In einer vorteilhaften Ausgestaltung der Erfindung ist vorgesehen, dass die periphere Einheit eine Aufnahmeeinheit für elektronische Karten ist.
-
In einer vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 2 ist vorgesehen, dass der digitale Tachograph mit physikalisch getrennten, mindestens zwei Sicherheitsprozessoren ausgestattet ist. Durch die physikalische Trennung der Sicherheitsprozessoren ist eine einfachere Zulassung des digitalen Tachographen in einem Hoheitsgebiet möglich, da ein Sicherheitsprozessor jeweils nur die Daten für ein Hoheitsgebiet be- und verarbeitet.
-
Es ist in einer weiteren vorteilhaften Ausgestaltung der Erfindung vorgesehen, dass die Sicherheitsprozessoren nicht physikalisch getrennt sind, sondern in Form einer getrennten Softwareroutine realisiert sind, die als Softwareroutine auf einem Mikrocomputer initialisiert ist, in vorteilhafter Ausgestaltung der Erfindung in Form eines Embedded Systems.
-
In der vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 3 sind die mindestens zwei Sicherheitsprozessoren miteinander gepaart und somit ist ein gemeinsamer Signaturschlüssel zusätzlich zu den individuellen Signaturschlüsseln bestimmt.
-
In der vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 4 erfolgt die Paarung der mindestens zwei Sicherheitsprozessoren mittels eines verallgemeinerten Diffie-Hellmann-Verfahrens oder eines anderen Schlüsseleinigungsverfahrens oder eines Schlüsselaustauschverfahrens.
-
In einer vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 5 ist vorgesehen, dass die Personalisierung eines jeden der mindestens zwei Sicherheitsprozessoren mit den jeweiligen zugeordneten Schlüsseln und Zertifikaten einer Schlüsselhierarchie anhand eines jeweiligen zugehörigen hoheitlichen Kontrollsystems bzw. Tachographensystems erfolgt. Auf diese Weise wird ein jeder Sicherheitsprozessor exakt auf eine Schlüsselhierarchie personalisiert. Durch diese Personalisierung eines jeden Sicherheitsprozessors auf eine Schlüsselhierarchie eines Hoheitsgebietes erfüllt der digitale Tachograph die Voraussetzungen zur Zulassung für ein Hoheitsgebiet, der digitale Tachograph ist aber in der Lage, in mehreren Hoheitsgebieten die Funktion für das jeweilige Hoheitsgebiet zu erfüllen, da für jedes Hoheitsgebiet ein Sicherheitsprozessor, personalisiert auf das Hoheitsgebiet, vorhanden ist.
-
In einer vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 6 ist vorgesehen, dass die mindestens eine periphere Einheit zur Aufnahme und/oder Kontaktierung der Karten dient und als Kartenlesegerät für die Karten und als Gerät zum Schreiben von Daten auf die Karten ausgeführt ist, wobei das Schreiben auf die Karten nur in dafür vorgesehene Speicherbereiche der Karten erfolgt. Mittels einer solchen Karte identifiziert sich ein Nutzer. Anhand der auf der Karte gespeicherten Daten und der Erkennung des Hoheitsgebiets, in dem sich der digitale Tachograph aktuell befindet, aktiviert der Hauptprozessor einen der mindestens zwei Sicherheitsprozessoren als zuständigen Sicherheitsprozessor. Zur Erkennung des Hoheitsgebiets verwendet der digitale Tachograph von Peripherieeinheiten oder anderen in Kontakt stehenden Geräten, wie etwa GPS-Einheiten oder Navigationsgeräten, empfangene Daten. Optional empfängt der digitale Tachograph Daten von einem Mautsystem, das in dem Hoheitsgebiet installiert ist und erkennt anhand dieser Daten das Hoheitsgebiet.
-
In einer vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 7 ist vorgesehen, dass die Karten elektrische bzw. elektronische Karten sind, insbesondere SD-Karten, Mini-SD-Karten, MMI-Karten, Speicherkarten oder Mikrocomputer integriert in einer Karte, personalisierte Datenspeicher oder Chipkarten.
-
In einer vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 8 ist vorgesehen, dass der Hauptprozessor einen der mindestens zwei Sicherheitsprozessoren als Defaultcontroller aktiviert, wenn keine Karte von der mindestens einen peripheren Einheit aufgenommen oder kontaktiert ist. Somit kann der digitale Tachograph bereits im Betriebszustand anhand weiterer Peripherieeinheiten, z. B. GPS-Einheiten oder Navigationsgeräten ermitteln, in welchem Hoheitsgebiet er sich befindet. Außerdem ist der digitale Tachograph betriebsbereit und funktionsfähig, auch wenn sich keine Karte in mindestens einer der peripheren Einheiten befindet.
-
In einer vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 9 ist vorgesehen, dass der Hauptprozessor im Falle der Aufnahme und/oder Kontaktierung von mehr als einer Karte unterschiedlicher Schlüsselhierarchien über die mindestens eine periphere Einheit jede der Karten zurückweist und einen Kartenkonfliktfehler über eine Ausgabeneinheit meldet.
-
In einer vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 10 ist vorgesehen, dass der Hauptprozessor anhand eines Bewegungssensors, der im Getriebe des Fahrzeugs angeordnet ist, Bewegungsimpulse ermittelt.
-
In einer vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 11 ist vorgesehen, dass der Bewegungssensor eine kryptographische Ausprägung für mehrere Tachographensysteme aufweist und
- lit a) bei der Paarung eines Sicherheitsprozessors des digitalen Tachographen mit dem Bewegungssensor der Bewegungssensor einen jeden der im Bewegungssensor gespeicherten Paarungsschlüssel nacheinander verwendet, bis die Paarung erfolgt ist, und der daraus resultierende Authentisierungsschlüssel entsprechend im Bewegungssensor und im Sicherheitsprozessor gespeichert wird oder
- lit b) bei Beginn der Paarung der Sicherheitsprozessor an den Bewegungssensor eine Initialisierungsmeldung sendet und der Bewegungssensor anhand dieser Meldung den Paarungsschlüssel auswählt und zur Paarung verwendet, und der daraus resultierende Authentisierungs-Schlüssel entsprechend im Bewegungssensor und im Sicherheitsprozessor gespeichert wird und
- lit c) der Bewegungssensor nach der Paarung in regelmäßigen Abständen durch einen der Sicherheitsprozessoren zur Authentisierung aufgefordert wird und der Bewegungssensor anhand der Aufforderung den geeigneten Authentisierungs-Schlüssel wählt und mit dem Authentisierungs-Schlüssel authentifizierte Bewegungsimpulse an den digitalen Tachographen sendet und
- lit d) der Tachograph diese vom Bewegungssensor gesendeten Bewegungsimpulse und/oder daraus abgeleitete Daten (z. B. Geschwindigkeit) in der Speichereinheit speichert.
-
In einer vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 12 ist vorgesehen, dass der zuständige Sicherheitsprozessor die in der Speichereinheit gespeicherten Bewegungsimpulse anhand des zur Schlüsselhierarchie des Sicherheitsprozessors zugehörigen Schlüssels signiert.
-
In einer weiteren vorteilhaften Ausgestaltung der Erfindung nach Patentanspruch 12 ist vorgesehen, dass der zuständige Sicherheitsprozessor die in der Speichereinheit gespeicherten Bewegungsimpulse anhand des im ersten Personalisierungsschritt bestimmten, allen Sicherheitsprozessoren gemeinsamen, Schlüssels signiert und andere Sicherheitsprozessoren diese so verifizieren können.
-
Die Erfindung wird nachfolgend anhand der in den Zeichnungen dargestellten Ausführungsbeispiele näher erläutert.
-
In der nachfolgenden Beschreibung werden weitere Merkmale und Einzelheiten der Erfindung im Zusammenhang mit den beigefügten Zeichnungen anhand von konkreten Ausführungsbeispielen näher erläutert. Dabei sind in den einzelnen Varianten beschriebene Merkmale und Zusammenhänge grundsätzlich auf alle Ausführungsbeispiele übertragbar. Es erfolgt keine Einschränkung der Erfindung auf eines der nachfolgenden Ausführungsbeispiele bzw. das nachfolgende Ausführungsbeispiel. Es werden in der Figurenbeschreibung in allen Figuren für gleiche Elemente gleiche Bezugszeichen verwendet. Dies dient der besseren Verständlichkeit der Erfindung.
-
Es zeigen:
-
1 einen schematischen Aufbau eines digitalen Tachographen,
-
2 einen schematischen Aufbau eines digitalen Tachographen mit der Vorgehensweise der Bestimmung eines gemeinsamen Schlüssels,
-
3 einen schematischen Aufbau eines digitalen Tachographen mit der Vorgehensweise der Personalisierung,
-
4 einen schematischen Aufbau eines digitalen Tachographen mit der Vorgehensweise des Auswählens eines Sicherheitsprozessors,
-
5 einen schematischen Aufbau eines digitalen Tachographen mit der Vorgehensweise der Paarung mit einem Sensor,
-
6 einen schematischen Aufbau eines digitalen Tachographen mit der Vorgehensweise der Authentifizierung von Bewegungsimpulsen und
-
7 einen schematischen Aufbau eines digitalen Tachographen mit der Vorgehensweise bei Aufzeichnungen mit zwei unterschiedlichen Signaturen.
-
In 1 ist der schematische Aufbau eines erfindungsgemäßen digitalen Tachographen 1 dargestellt. Der digitale Tachograph 1 beinhaltet einen Hauptprozessor 2 und mehrere mit dem Hauptprozessor 2 in Verbindung stehende Sicherheitsprozessoren 3-1, 3-2, ..., 3-n. Der digitale Tachograph 1 kann mit einer großen Anzahl von Sicherheitsprozessoren 3-1, 3-2, ..., 3-n ausgestattet werden. Im Falle des Einsatzes von zwei Sicherheitsprozessoren kann der digitale Tachograph 1 z. B. für zwei unterschiedliche hoheitliche Bereiche mit unterschiedlichen Systemanforderungen eingesetzt werden.
-
Der Hauptprozessor 2 ist mit einer Speichereinheit 5 verbunden, wobei es sich bei der Speichereinheit 5 um einen löschbaren Speicher handelt, wobei vorzugsweise ein elektrisch löschbarer Speicher zum Einsatz kommt, wie z. B. ein Flash-Speicher.
-
Der Hauptprozessor 2 ist in einer besonderen Ausführungsform als Mikrocomputereinheit bzw. Mikrocomputer ausgestaltet.
-
An dem Hauptprozessor 2 sind in der Ausführung nach dem Ausführungsbeispiel zwei Peripherieeinheiten 6 und 7 angeordnet. Die Peripherieeinheiten 6, 7 dienen dazu, Karten, die einen Nutzer bzw. Fahrer identifizieren, mit dem digitalen Tachographen 1 zu verbinden. Es hat sich als vorteilhaft erwiesen, die Peripherieeinheiten 6, 7 als Aufnahmeslots für Speicherkarten oder aber als Kartenlesegeräte jeglicher Art auszugestalten. Durch den Einsatz von mehreren Sicherheitsprozessoren 3-1, 3-2, ..., 3-n ist es möglich, den digitalen Tachographen 1 zum Einsatz in bzw. für mehrere Schlüsselhierarchien mehrerer Hoheitsgebiete vorzusehen.
-
In der weiteren Ausführung zu den Ausführungsbeispielen wird davon ausgegangen, dass der digitale Tachograph 1 zum Einsatz in der Europäischen Union und der Russischen Föderation vorgesehen ist. Daher sind mindestens zwei Sicherheitsprozessoren 3-1, 3-2, ..., 3-n notwendigerweise vorhanden, ein Sicherheitsprozessor 3-1 ist ausgelegt für das Gebiet der Europäischen Union, der zweite Sicherheitsprozessor 3-2 für das Gebiet der Russischen Föderation. In der Europäischen Union wie in der Russischen Förderation sind jeweils unterschiedliche Tachographensysteme vorhanden. Die Sicherheitsprozessoren 3-1, 3-2 dienen nunmehr dazu, um die Vorschriften der jeweiligen Länder zu erfüllen. Im vorliegenden Fall ist der erste Sicherheitsprozessor 3-1 dazu konfiguriert, um im Gebiet der Europäischen Union seine Aufgabe zu erfüllen, der zweite Sicherheitsprozessor 3-2 ist für das Gebiet der Russischen Förderation initialisiert. Ein Fahrer, der mit seinem Fahrzeug, das mit einem digitalen Tachographen 1 ausgestattet ist, in der Europäischen Union fährt, muss hierzu seine Fahrerkarte, die auf ihn personalisiert ist, in eine der Peripherieeinheiten 6, 7, die Kartenlesegeräte sind, einführen. Der Kartenleser entnimmt die Daten zum Fahrer. Ist das Fahrzeug in der Europäischen Union unterwegs, so wird der erste Sicherheitsprozessor 3-1 verwendet, ist das Fahrzeug in der Russischen Förderation unterwegs, der zweite Sicherheitsprozessor 3-2. Die Kommunikation zwischen den Peripherieeinheiten 6, 7, der Speichereinheit 5 und den Sicherheitsprozessoren 3-1, 3-2, ..., 3-n erfolgt jeweils über den Hauptprozessor 2.
-
Der erfindungsgemäße digitale Tachograph 1 unterstützt mehrere Schlüsselhierarchien und kann Tachographenkarten der jeweils unterstützten Systeme verwenden und mit diesen kommunizieren. Die Lenkzeiten und die Fahrtstrecken, die mit dem Fahrzeug, in dem der digitale Tachograph 1 initialisiert ist, zurückgelegt werden, können von Kontrollbehörden des jeweiligen Landes transparent eingesehen werden. Hierzu ist in einer der Peripherieeinheiten 6, 7, eventuell im Austausch gegen die Fahrerkarte, eine Unternehmens-, Kontroll- oder Werkstattkarte einzusetzen, so dass dann auf die von dem digitalen Tachographen erfassten Daten, unabhängig vom Tachographensystem, zugegriffen werden kann.
-
In 2 ist ein schematischer Aufbau eines digitalen Tachographen dargestellt. In 2 ist außerdem die Vorgehensweise der Bestimmung eines gemeinsamen Schlüssels dargestellt. Der digitale Tachograph 1 beinhaltet einen Hauptprozessor 2 und mehrere mit dem Hauptprozessor 2 in Verbindung stehende Sicherheitsprozessoren 3-1, 3-2, ..., 3-n sowie eine Speichereinheit 5. Peripherieeinheiten sind in 2 nicht dargestellt.
-
Nach der Fertigung des digitalen Tachographen 1 wird im Werk vor Ort ein Personalisierungsschritt vorgenommen, indem die Sicherheitsprozessoren 3-1, 3-2, ..., 3-n miteinander gepaart werden. Diese Paarung erfolgt beispielsweise auf Basis eines verallgemeinerten Diffie-Hellman-Verfahrens, wie dies z. B. bei Wikipedia beschrieben ist, oder eines anderen Schlüsseleinigungs- oder Schlüsselaustauschverfahrens. Einem jeden Sicherheitsprozessor 3-1, 3-2, ..., 3-n wird ein Schlüsselanteil Y-1, Y-2 ... Y-n zugewiesen oder von diesem erzeugt. Nach Durchführung dieses Verfahrens zur Paarung haben die Sicherheitsprozessoren 3-1, 3-2, ..., 3-n zusätzlich zu den jeweils eigenen Datensignaturschlüsseln Z-1, Z-2 bis Z-n einen gemeinsamen Datensignaturschlüssel KY, auf Basis dessen sie die im Speicher 5 des digitalen Tachographen 1 abgelegten Daten wechselseitig authentifizieren können. Im Ausführungsbeispiel werden die Schlüsselanteile Y-1, Y-2 bis Y-n und die eigenen Datensignaturschlüssel Z-1, Z-2 bis Z-n, welche jeweils einem der Sicherheitsprozessoren 3-1, 3-2, ..., 3-n zu gewiesen sind oder von diesem erzeugt worden sind, im jeweiligen Sicherheitsprozessor 3-1, 3-2, ..., 3-n gespeichert.
-
In 3 ist ein schematischer Aufbau eines digitalen Tachographen 1 und eine Personalisierungseinheit 9 dargestellt. In 3 ist außerdem die Vorgehensweise der Personalisierung des digitalen Tachographen 1 dargestellt. Der digitale Tachograph 1 beinhaltet einen Hauptprozessor 2 und mehrere mit dem Hauptprozessor 2 in Verbindung stehende Sicherheitsprozessoren 3-1, 3-2, ..., 3-n sowie eine Speichereinheit 5. Peripherieeinheiten sind in 3 nicht dargestellt.
-
Es ist eine Personalisierungseinheit 9 anschließbar. Diese Personalisierungseinheit 9 kann über eine separate Schnittstelle am digitalen Tachographen 1 angeschlossen werden oder sie kann über eine der Peripherieeinheiten 6, 7 verbunden werden. Nach dem Anschließen einer entsprechenden Personalisierungseinheit 9 wertet der Hauptprozessor 2 die Daten der Personalisierungseinheit 9 aus und wählt anhand der auf der Personalisierungseinheit 9 vorhandenen Daten den zugehörigen Sicherheitsprozessor 3-2 aus und aktiviert diesen. Sodann wird dieser Sicherheitsprozessor 3-2 in Kommunikation mit der Personalisierungseinheit 9 entsprechend personalisiert.
-
Bei der Personalisierung erfolgt eine Individualisierung eines der Sicherheitsprozessoren 3-1; 3-2; ...; 3-n mit den Schlüsseln und Zertifikaten des jeweiligen Tachographensystems, für die der digitale Tachograph 1 eingesetzt werden soll durch die Personalisierungseinheit 9. Wahlweise kann der digitale Tachograph 1 auf diese Weise für den Einsatz in mehreren Tachographensystemen vorgesehen sein, maximal aber so viele, wie Sicherheitsprozessoren 3-1, 3-2, ..., 3-n im digitalen Tachographen 1 vorhanden sind.
-
Die physikalische Trennung der Sicherheitsprozessoren 3-1, 3-2, ..., 3-n vereinfacht die getrennte Sicherheitszulassung durch die jeweiligen Behörden eines Hoheitsbereiches. Der digitale Tachograph 1 kann für jeden Hoheitsbereich gesondert überprüft werden. Die Zulassungsbehörden können jeweils das für sie relevante Tachographensystem unabhängig testen und evaluieren.
-
In 4 sind ein schematischer Aufbau eines digitalen Tachographen 1 und die Vorgehensweise des Auswählens eines der im digitalen Tachographen 1 vorhandenen Sicherheitsprozessoren 3-1, 3-2, ..., 3-n anhand einer in eine Peripherieeinheit 6 eingesteckte Fahrerkarte 10 dargestellt. Der digitale Tachograph 1 beinhaltet einen Hauptprozessor 2 und mehrere mit dem Hauptprozessor 2 in Verbindung stehende Sicherheitsprozessoren 3-1, 3-2, ..., 3-n sowie eine Speichereinheit 5 und Peripherieeinheiten 6, 7, die als Kartenleseeinheiten ausgestaltet sind.
-
Im vorliegenden Ausführungsbeispiel handelt es sich bei der Fahrerkarte 10 um eine Karte für den hoheitlichen Bereich, für den der Sicherheitsprozessor 3-2 zuständig ist. Daher aktiviert der Hauptprozessor 2 den Sicherheitsprozessor 3-2. Danach steuert der Hauptprozessor 2, dass die Lenkzeiten und die jeweiligen weiteren Daten, welche erfasst werden, mit den jeweiligen Daten der Fahrerkarte 10 in die Speichereinheit 5 geschrieben und mit den Schlüsseln des aktiven Sicherheitsprozessors signiert werden und/oder auf die Fahrerkarte 10 geschrieben werden.
-
Für den Fall, dass keine Karte in einer der Peripherieeinheiten 6, 7 aktiviert ist, definiert der Hauptprozessor 2 einen der Sicherheitsprozessoren 3-1; 3-2; ...; 3-n als Defaultcontroller und aktiviert diesen. Sind gleichzeitig zwei oder mehrere Karten unterschiedlicher Schlüsselhierarchien mit den Peripherieeinheiten 6, 7 verbunden, so erkennt dies der Hauptprozessor 2, lässt dies nicht zu und weist dies als Kartenkonflikt zurück.
-
Im Falle eines Remotedownloads kann die Kartenhierarchie ausnahmsweise abweichen, hier sind mindestens zwei Karten unterschiedlicher Hierarchien aktiv, da hier der Zugriff nur lesend erfolgt. Es sind aber die Synchronisierungsmaßnahmen, z. B. über Semaphoren, sichergestellt, so dass stets nur vollständige Datensätze heruntergeladen werden. Ein Herunterladen im vorliegenden Sinn bedeutet, dass von einem Dritten, etwa einer Behörde oder einer zur Kontrolle autorisierten Person, die in der Speichereinheit 5 gespeicherten Daten ausgelesen werden können.
-
In 5 sind ein schematischer Aufbau eines digitalen Tachographen 1 und die Vorgehensweise bei der Paarung des digitalen Tachographen 1 und einer der Sicherheitsprozessoren 3-1; 3-2; ...; 3-n mit einem Sensor dargestellt. Der digitale Tachograph 1 beinhaltet wiederum einen Hauptprozessor 2 und mehrere mit dem Hauptprozessor 2 in Verbindung stehende Sicherheitsprozessoren 3-1, 3-2, ..., 3-n, sowie eine Speichereinheit 5 und Peripherieeinheiten 6, 7, die als Kartenleseeinheiten ausgestaltet sind.
-
Es ist außerdem eine Werkstattkarte 11 eingesteckt, die für den hoheitlichen Bereich, für den der Sicherheitsprozessor 3-2 zuständig ist, gilt. Daher aktiviert der Hauptprozessor 2 den Sicherheitsprozessor 3-2. Es ist ein Bewegungssensor 8 vorhanden, der an den digitalen Tachographen 1 angeschlossen ist. Der Bewegungssensor 8 steht über den Hauptprozessor 2 mit dem digitalen Tachographen 1 in Verbindung. Der Bewegungssensor 8 ist beispielsweise im Getriebe des Fahrzeuges angeordnet. Der Bewegungssensor 8 dient zur Bestimmung von Bewegungsimpulsen des Fahrzeuges. Der Bewegungssensor 8 verfügt über die kryptografische Ausprägung für mehrere Tachographensysteme. Es ist eine Werkstattkarte 11 in die Peripherieeinheit 6 gesteckt, welche für das Gebiet, für das der Sicherheitsprozessor 3-2 personalisiert ist, die Berechtigung besitzt.
-
Der Bewegungssensor 8 ist mit den Sicherheitsprozessoren 3-1, 3-2, ..., 3-n zu paaren. Bei der Paarung zwischen den Sicherheitsprozessoren 3-1, 3-2, ..., 3-n und dem Bewegungssensor 8 verfolgt der Bewegungssensor 8 eine Strategie, um einen geeigneten Schlüssel auszuwählen. Alternativ kann aber die Strategieauswahl auch über den jeweils aktiven Sicherheitsprozessor 3-2 erfolgen.
-
Eine Möglichkeit der Schlüsselauswahl besteht darin, dass der Bewegungssensor 8 der Reihe nach alle Schlüssel probiert, bis eine Paarung erfolgreich erfolgt ist. Alternativ ist vorgesehen, dass zu Beginn der Paarung, d. h. bei der Initialisierung des Bewegungssensors 8, dieser eine Initialisierungsmitteilung versendet. Alternativ ist vorgesehen, dass der gerade aktive Sicherheitsprozessor 3-2 mittels und/oder über den Hauptprozessor 2 eine solche Initialisierungsnachricht an den Bewegungssensor 8 sendet. Dieser Nachricht werden mehrere Bytes oder ein Datenwort hinzugefügt, das an einer expliziten Stelle in der Nachricht eingebunden wird. Dieses Datenwort oder diese Bytes dienen dazu, die Schlüsselhierarchie festzulegen und auszuwählen. Für den Fall, dass keine Initialisierungsmeldung mit Zusatzbytes vorhanden ist, wählt der Bewegungssensor 8 ein Defaultsystem aus und probiert der Reihe nach beginnend mit dem Defaultsystem alle möglichen Paarungsschlüssel. Danach wird der aus der Paarung resultierende Authentisierungsschlüssel im Bewegungssensor 8 und im beteiligten Sicherheitsprozessor 3-2 gespeichert und die Bewegungsimpulse bei aktivem Sicherheitsprozessor 3-2 in regelmäßigen Abständen mit diesem Schlüssel authentisiert. Auf diese Weise können auch mehrere Paarungen für mehrere Systeme vorgenommen werden. Nach Aufforderung zur Authentifizierung durch den digitalen Tachographen 1 entschlüsselt der Bewegungssensor 8 für alle gepaarten Systeme die Aufforderungsmitteilung, bis diese korrekt ist. Alternativ kann/können allen Kommandos ein oder mehrere Bytes hinzugefügt werden, das/die die Schlüsselhierarchie identifiziert/identifizieren. Dieser Schlüssel wird bis zur nächsten Authentisierung beibehalten. Bei einem Wechsel des Sicherheitsprozessors 3-1; 3-2; ...; 3-n wird stets eine neue Authentisierungsmessage gesendet und vom Bewegungssensor 8 anhand der gespeicherten Authentisierungsschlüssel verifiziert, entweder durch Durchprobieren aller vorhandenen Authentisierungsschlüssel oder wie beschrieben, durch Hinzufügen eines oder mehrerer Bytes, die den zu wählenden Authentisierungsschlüssel identifizieren.
-
In 6 sind ein schematischer Aufbau eines digitalen Tachographen 1 und die Vorgehensweise bei der Authentisierung von Bewegungsimpulsen des Bewegungssensors 8 dargestellt. Der digitale Tachograph 1 beinhaltet wiederum einen Hauptprozessor 2 und mehrere mit dem Hauptprozessor 2 in Verbindung stehende Sicherheitsprozessoren 3-1, 3-2, ..., 3-n, sowie eine Speichereinheit 5 und Peripherieeinheiten 6, 7, die als Kartenleseeinheiten ausgestaltet sind. Es ist wiederum eine Fahrerkarte 10 eingesteckt, die für den hoheitlichen Bereich, für den der Sicherheitsprozessor 3-2 zuständig ist, gilt. Daher aktiviert der Hauptprozessor 2 den Sicherheitsprozessor 3-2. Der Bewegungssensor 8 ist bereits zuvor mit dem Sicherheitsprozessor 3-2 gepaart worden. Das Ergebnis dieser Paarung ergab den Schlüssel, der in 6 mit dem Bezugszeichen K2 bezeichnet ist.
-
Der Sicherheitsprozessor 3-2 verwendet den Schlüssel K2. Durch die Paarung mit dem Bewegungssensor 8 sendet der Bewegungssensor 8 seine Bewegungsdaten verschlüsselt mit dem Schlüssel K2 an den Sicherheitsprozessor 3-2 und dieser schreibt seine entsprechend autorisierten Daten über den Hauptprozessor 2 in die Speichereinheit 5 und/oder über die Peripherieeinheit 6 auf die Fahrerkarte 10. Die in der Speichereinheit 5 zwischengespeicherten Daten werden vom Sicherheitsprozessor 3-2 zusätzlich zur originären Signatur auf Basis des durch den vorbeschriebenen Personalisierungsschritt erstellten gemeinsamen Schlüssels KY signiert, so dass alle anderen Sicherheitsprozessoren 3-1, 3-2, ..., 3-n auf diese Daten zugreifen und diese verifizieren können.
-
In 7 sind ein schematischer Aufbau eines digitalen Tachographen 1 und die Vorgehensweise bei den Aufzeichnungen mit zwei unterschiedlichen Signaturen dargestellt. Der digitale Tachograph 1 beinhaltet wiederum einen Hauptprozessor 2 und mehrere mit dem Hauptprozessor 2 in Verbindung stehende Sicherheitsprozessoren 3-1, 3-2, ..., 3-n, sowie eine Speichereinheit 5 und Peripherieeinheiten 6, 7, die als Kartenleseeinheiten ausgestaltet sind. Es ist wiederum eine Fahrerkarte 10 eingesteckt, die für den hoheitlichen Bereich, für den der Sicherheitsprozessor 3-2 zuständig ist, gilt. Daher aktiviert der Hauptprozessor 2 den Sicherheitsprozessor 3-2. In der Speichereinheit 5 sind die Daten D der Sicherheitsprozessoren 3-1, 3-2, ..., 3-n gespeichert. Ein jeder Datensatz ist mit der Signatur der Schlüsselhierarchie auf Basis von Z-1, Z-2, ..., Z-n des zugehörigen Sicherheitsprozessors 3-1; 3-2; ...; 3-n signiert. Im vorliegenden Beispiel sind Datensätze mit der Signatur auf Basis des Schlüssels Z-2 des Sicherheitsprozessors 3-2 und mit der Signatur auf Basis des Schlüssels KY, der allen Sicherheitsprozessoren 3-1, 3-2, ..., 3-n gemeinsam ist – nach dem ersten Personalisierungsschritt kennen alle Sicherheitsprozessoren KY. Da der Sicherheitsprozessor 3-2 aktiv ist, kann dieser Daten in der Speichereinheit 5 abspeichern, die Sicherheitsprozessoren 3-1, ..., 3-n können aber die vom Sicherheitsprozessor 3-2 gleichfalls mit der Signatur auf Basis von KY versehenen und in der Speichereinheit 5 gespeicherten Daten zu einem späteren Zeitpunkt prüfen P, da alle den gleichen Schlüssel KY im ersten Personalisierungsschritt bestimmt haben.
-
Der Sicherheitsprozessor 3-n kann die Daten in der Speichereinheit 5 prüfen P und Lesezugriffe auf die Daten vornehmen. Wahlweise können somit die Sicherheitsprozessoren 3-1; 3-2; ...; 3-n zusätzlich zu den eigenen Daten in der Speichereinheit 5, die sie mit dem hoheitlichen Schlüssel signieren, weitere Daten zur Information hinzufügen, die von anderen Sicherheitsprozessoren 3-1; 3-2; ...; 3-n erfasst wurden. Diese können wahlweise z. B. bei Kontrollen in Downloads mit dem eigenen Schlüssel signiert oder unsigniert ausgegeben werden.
-
Damit können fahrerbezogen auch bei oder nach dem Überschreiten von hoheitlichen Grenzen und/oder Systemgrenzen die Daten aus anderen Hoheitsbereichen und/oder Systembereichen einem Fahrer zugeordnet werden.
-
Bezugszeichenliste
-
- 1
- Digitaler Tachograph
- 2
- Hauptprozessor
- 3-1
- Sicherheitsprozessor
- 3-2
- Sicherheitsprozessor
- 3-n
- Sicherheitsprozessor
- 5
- Speichereinheit
- 6, 7
- Peripherieeinheit
- 8
- Bewegungssensor
- 9
- Schlüssel- und Zertifizierungskarte
- 10
- Fahrerkarte
- 11
- Werkstattkarte
- S
- Schreiben
- P
- Prüfen
- D
- Daten
- Y-1
- Schlüsselanteil
- Y-2
- Schlüsselanteil
- Y-n
- Schlüsselanteil
- Z-1
- Datensignaturschlüssel
- Z-2
- Datensignaturschlüssel
- Z-n
- Datensignaturschlüssel
- KY
- gemeinsamer Schlüssel
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102004030869 A1 [0005]
- DE 102006036066 A1 [0006]
- DE 102008047433 A1 [0007]
- DE 102010055015 A1 [0008]
- DE 102007043262 A1 [0009]
- DE 102009051350 A1 [0010]
