-
Die Erfindung betrifft ein Verfahren zur anonymisierten Übertragung von kraftfahrzeugbezogenen Daten von einem Kraftfahrzeug auf einen Zentralrechner sowie ein entsprechendes Computerprogrammprodukt.
-
Durch die rasante Zunahme von internetbasierten Diensten werden zur Bereitstellung der Dienste Informationen über das Internet zu Zentralrechnern übertragen. Auch Kraftfahrzeuge sind heute oftmals mittels eines Kommunikationsmoduls mit einem Zentralrechner verbunden.
-
Zum Schutz der Anwender gibt es weltweit unterschiedliche, aber teilweise sehr strenge Datenschutzrichtlinien, die üblicherweise erfordern, dass personenbezogene Daten oder Daten, die auf einzelne Personen zurückführbar sind, nicht ohne Einwilligung der die Daten betreffenden Personen gespeichert werden dürfen. Dies stellt besondere Herausforderungen an die Vernetzung von Kraftfahrzeugen mit Zentralrechnern, sodass Dienstleistungen angeboten werden können, jedoch gängige Datenschutzbestimmungen eingehalten werden können.
-
Im Umfeld von Kraftfahrzeugkommunikation kann der Datenschutz beispielsweise dadurch eingehalten werden, dass sämtliche Daten, die auf eine entsprechende Person zurückführbar sind, gelöscht werden. Da ein Kraftfahrzeug stets zumindest einen Kraftfahrzeughalter hat, betreffen solche Daten zumindest den Halter des Kraftfahrzeuges. Dieser Umstand bedingt jedoch, dass den entsprechenden Benutzern bei technischen Problemen nicht mehr individuell auf der Grundlage der übermittelten Daten geholfen werden kann.
-
Die
DE 10 2012 106 081 A1 offenbart ein Verfahren zur verschlüsselten und anonymisierten Verwahrung und Verwaltung von personenbezogenen Daten, bei der die Daten an legitimierte Dritte weitergebbar sind, die sich mittels einer verschlüsselten und transaktionsbezogen übertragener Autorisierungsanforderung durch den Anwender für einzelne Transaktionen autorisieren lassen.
-
Aufgabe der Erfindung ist demgegenüber fahrzeugbezogene Daten eines Kraftfahrzeuges zu speichern und gleichzeitig eine grundsätzliche Überwachung eines Fahrzeugnutzers auszuschließen.
-
Die Aufgabe wird gelöst durch ein Verfahren gemäß Anspruch 1 sowie ein Computerprogrammprodukt gemäß dem nebengeordneten Anspruch 10. Weiterführende Ausgestaltungen des erfindungsgemäßen Verfahrens sind Gegenstand der abhängigen Ansprüche.
-
Ein erfindungsgemäßes Verfahren zur anonymisierten Übertragung von kraftfahrzeugbezogenen Daten von einem Kraftfahrzeug zu einem Zentralrechner sieht vor, dass kraftfahrzeugbezogene Daten in dem Kraftfahrzeug gesammelt, zum Zentralrechner übertragen und dort gespeichert werden. Das Sammeln kann kurz-, mittel- oder langfristig geschehen, sodass Daten unmittelbar nach der Generierung oder in zeitlichem Abstand dazu übertragen werden können. Die kraftfahrzeugbezogenen Daten weisen dabei einen Identifikator auf, der keinen Rückschluss auf das individuelle Kraftfahrzeug zulässt. ”Kraftfahrzeugbezogene Daten” können im Rahmen dieser Erfindung auch personenbezogene, unter anderem fahrerbezogene Daten sein.
-
Erfindungsgemäß ist vorgesehen, dass der Identifikator autark generiert wird. Autark bedeutet, dass auf dem Zentralrechner keine Zuordnung zwischen dem Identifikator und dem Kraftfahrzeug angelegt wird. Die Generierung des Identifikators kann durch das Kraftfahrzeug selbst, durch eine separate Instanz, z. B. einen anderen Rechner, oder durch den Zentralrechner erfolgen, allerdings ohne weitere Verknüpfungen zu dem Kraftfahrzeug herzustellen.
-
Zur Anonymisierung der Daten wird unabhängig von der Art der Generierung des Identifikators beim Ablegen der Daten auf den Zentralrechner keine Zuordnung von Identifikator zu dem individuellen Kraftfahrzeug angelegt.
-
Auf diese Weise sind die Daten, die von dem Kraftfahrzeug auf den Zentralrechner übertragen werden, durch den Identifikator aus der Masse an gespeicherten Daten extrahierbar und bei Kenntnis des Identifikators zuordenbar. Da eine solche Zuordnungmöglichkeit auf dem Zentralrechner jedoch nicht vorhanden ist, sind die Daten für den Diensteanbieter, der den Zentralrechner betreibt, quasi anonym. Eine Zuordnung ohne den Identifikator zu einem Kraftfahrzeug ist nicht möglich. Erst wenn ein Nutzer des betreffenden Kraftfahrzeugs den Identifikator mitteilt, was beispielsweise im Servicefall sinnvoll sein kann, können die dem Fahrzeug zugehörigen Daten vom Zentralrechner anhand des Identifikators identifiziert und abgerufen sowie anschließend ausgewertet werden.
-
Gemäß einer ersten möglichen weiteren Ausgestaltung des erfindungsgemäßen Verfahrens kann der Identifikator eine Funktion eines Kraftfahrzeug-Identifikationscodes, häufig auch VIN („Vehicle Identification Number”) genannt, sein. Somit lässt sich eine Auslesung der entsprechenden Daten nur dann verwirklichen, wenn der Identifikator bekannt ist.
-
Hierzu kann gemäß einer weiteren möglichen Ausgestaltung des erfindungsgemäßen Verfahrens eine Einweg-Hash-Funktion verwendet werden. Diese Funktion verhindert eine Rückrechnung der VIN aus dem Identifikator.
-
In einer weiteren möglichen Ausgestaltung der Erfindung ist vorgesehen, dass der Identifikator beim Benutzer oder im Kraftfahrzeug hinterlegt wird. Somit kann eine Zuordnung der auf dem Server gespeicherten Daten zu einem Fahrzeug dann stattfinden, wenn diese Daten vom Benutzer vorgelegt werden.
-
Gemäß einer weiteren möglichen Ausgestaltung der Erfindung kann vorgesehen werden, dass der Identifikator nach einer von einem Benutzer des Kraftfahrzeugs autorisierten Zuordnung gewechselt wird. Auf diese Weise wird gewährleistet, dass nachfolgende Daten, die von dem Kraftfahrzeug an den Zentralrechner gesandt werden, durch Verwendung eines anderen Identifikators nicht mehr zuordenbar sind. Der neue Identifikator kann beispielsweise von dem Kraftfahrzeug generiert werden.
-
In einer weiteren möglichen Ausgestaltung des erfindungsgemäßen Verfahrens kann die Anonymisierung durch einen Benutzer des Kraftfahrzeugs aufgehoben werden. Dies kann beispielsweise durch Zustimmung zur Speicherung der kraftfahrzeugbezogenen Daten in zuordenbarer Weise erfolgen, z. B. unter Verwendung der VIN.
-
Gemäß einer weiteren Ausgestaltung der Erfindung kann vorgesehen sein, dass die Aufhebung der Anonymisierung zeitlich beschränkt erfolgt. Die zeitliche Beschränkung kann durch einen festen Zeitraum definiert sein oder kann durch den Benutzer des Kraftfahrzeugs definiert werden, beispielsweise kann diese beim Verkauf des Kraftfahrzeugs aufgehoben werden.
-
Gemäß einer weiteren möglichen Weiterbildung des erfindungsgemäßen Verfahrens kann vorgesehen sein, dass vor der Übermittlung der Daten an den Zentralrechner oder auf dem Zentralrechner ein Kraftfahrzeug-Identifikationscode durch den Identifikator ausgetauscht wird. Ein solcher Austausch kann im Kraftfahrzeug oder auf dem Zentralrechner selbst erfolgen und stellt sicher, dass der Kraftfahrzeug-Identifikationscode nicht ohne Willen des Benutzers des Kraftfahrzeuges versandt wird, wodurch das Risiko minimiert wird, dass der Kraftfahrzeug-Identifikationscode abgefangen wird. Der Austausch des Kraftfahrzeug-Identifikationscodes gegen den Identifikator erfolgt insbesondere bevor fahrzeug- bzw. personenbezogene Daten gespeichert oder angezeigt werden.
-
In einer weiteren möglichen Ausgestaltung des erfindungsgemäßen Verfahrens kann vorgesehen sein, dass die übermittelnden Daten im Kraftfahrzeug mit dem Kraftfahrzeug-Identifikationscode abgelegt werden. Auf diese Weise lässt sich bei einem unmittelbaren Auslesen ohne Verwendung von Netzwerken und Zentralrechnern, beispielsweise in einer Werkstatt, wie gewohnt der Kraftfahrzeug-Identifikationscode verwenden.
-
Ein erster unabhängiger Gegenstand der Erfindung betrifft ein Computerprogrammprodukt mit einem computerlesbaren Speichermedium, auf dem Befehle eingebettet sind, die, wenn sie von einer Recheneinheit ausgeführt werden, bewirken, dass die Recheneinheit dazu eingerichtet ist, ein Verfahren nach einem der vorangegangenen Ansprüche auszuführen. Eine solche Recheneinheit kann in einem Kraftfahrzeug eingebaut sein, beispielsweise in Form einer Steuerung des Kraftfahrzeuges.
-
Die Erfindung wird anhand eines Ausführungsbeispiels erläutert. Dabei zeigen schematisch:
-
1 ein Kraftfahrzeug und einen Zentralrechner sowie
-
2 ein Ablaufdiagramm des erfindungsgemäßen Verfahrens.
-
1 zeigt ein Kraftfahrzeug 2, das mit einem Zentralrechner 4 kommuniziert.
-
Zur Herstellung der Kommunikation ist im Kraftfahrzeug 2 ein Kommunikationsmodul 6 vorgesehen. Das Kommunikationsmodul 6 kann einen Mobilfunkstandard verwenden. Das Kommunikationsmodul 6 ist mit einer Steuerung 8 verbunden. Die Steuerung 8 ist ihrerseits mit mehreren Aggregaten, beispielsweise einem Navigationssystem 10, einem Fehlerspeicher 12 sowie Crashsensoren 14 verbunden.
-
Abhängig von bestimmten Vorgaben und von Verfügbarkeit eines Netzwerks werden Daten 15 der vorgenannten Aggregate 10, 12, 14 über die Steuerung 12 empfangen, gesammelt, unter Umständen ausgewertet und mittels des Kommunikationsmoduls 6 an den Zentralrechner 4 gesendet.
-
Die Übermittlung der Daten 15 aus dem Kraftfahrzeug 2 erfolgt unter Verwendung eines Identifikators 16, der im Kraftfahrzeug vorliegt, beispielsweise, wie dargestellt, in ausgedruckter Form. Ein solcher Identifikator 16 kann beispielsweise als Beilage zu einem Bordhandbuch im Kraftfahrzeug 2 abgelegt sein.
-
In der Steuerung 8 kann ein Kraftfahrzeug-Identifikationscode, VIN, hinterlegt sein, der zur lokalen Speicherung der entsprechenden Daten in der Steuerung 8 verwendet wird. Vor dem Übertragen der entsprechenden Daten wird der Kraftfahrzeug-Identifikationscode, sofern den entsprechenden Informationen bereits zugeordnet, entfernt und durch den Identifikator 16 ersetzt.
-
Auf dem Zentralrechner 4 ist keine Zuordnung zwischen Identifikator 16 und dem Kraftfahrzeug 2 möglich, weder direkt, noch indirekt. Die Daten 15, die aus dem Kraftfahrzeug 2 und aus anderen Kraftfahrzeugen an den Zentralrechner 4 gesandt werden, werden zusammen mit dem jeweiligen Identifikator 16 gespeichert. Eine Zuordnung zu dem jeweiligen Kraftfahrzeug 2 ist nur dann möglich, wenn der Identifikator 16 bei der Abfrage vorgelegt wird.
-
2 zeigt ein Ablaufdiagramm des erfindungsgemäßen Verfahrens.
-
In einem ersten Schritt werden durch die Steuerung 8 Daten 15 unterschiedlicher Aggregate gesammelt. Die Daten können in manchen Ausgestaltungen in dem Kraftfahrzeug selbst gespeichert werden.
-
Sofern die Daten mit identifizierbaren Informationen versehen sind, beispielsweise mit einer VIN, werden diese Informationen entfernt. Anschließend wird ein Identifikator zugefügt. Der Identifikator kann eine Einweg-Hash-Funktion der Kraftfahrzeug-Identifikationsnummer sein.
-
In einem weiteren Schritt werden die Daten an den Zentralrechner gesendet. Die Daten werden auf dem Zentralrechner zusammen mit dem Identifikator gespeichert.
-
Sofern die Daten benötigt werden, beispielsweise zur Auswertung von bestimmten Problemen oder Defekten mit dem Kraftfahrzeug, werden die Daten unter Vorlage des Identifikators vom Server abgefragt. Im Anschluss daran wird ein neuer Identifikator vergeben und in der Steuerung 8 abgelegt. Danach beginnt das Verfahren von vorn.
-
Beispiel 1
-
Ein erstes Beispiel sieht vor, dass die VIN durch einen Identifikator ersetzt wird, den sogenannten Servicecode.
-
Der Servicecode ist Bestandteil der Logdateien und wird anstelle der VIN als Referenzierung abgespeichert. Der Servicecode erlaubt keinen Rückschluss auf die VIN.
-
Zudem wird der Servicecode dem Benutzer mitgeteilt. Dies kann bspw. per Brief erfolgen, oder mittels eines Service-Centers oder mittels einer Anzeige im Kraftfahrzeug oder einer Repräsentanz des Kraftfahrzeuges im Internet, einer sogenannten Vehicle Homepage.
-
Mittels der Logdateien kann nun nicht mehr auf ein Fahrzeug oder einen Benutzer geschlossen werden.
-
Auch die an anderer Stelle abgelegte Speicherung von Kunden und deren VINs kann nicht mehr zu einer Zuordnung zu Daten des Kunden genutzt werden.
-
Wenn nun der Kunde ein Problem meldet, so kann er mittels des Servicecodes die Anonymität der Daten bewusst aufheben.
-
Optional könnte nach Abschluss der Hilfe ein Wechsel des Servicecodes erfolgen, damit wieder Anonymität sichergestellt ist.
-
Beispiel 2
-
Eine anderes Verfahren besteht darin, dass Logdateien nicht oder nur anonymisiert gespeichert werden. Dem Kunden wird eine Möglichkeit bereitgestellt, die Anonymisierung zukünftig aufzuheben, jedoch nicht rückwirkend. Dies kann durch eine Interaktion mit der Werkstatt oder dem Service-Center oder mittels einer Funktion in dem Kraftfahrzeug oder der Vehicle Homepage erfolgen.
-
Falls nun ein Kunde ein Problem feststellt, so kann er die Anonymisierung aufheben und durch sein normales Benutzungsverhalten das Problem erneut provozieren. Durch die benutzergesteuerte Aufhebung der Anonymisierung werden die Logdateien inkl. aller notwendigen Daten abgelegt. Der Service kann nun zielgerichtet bspw. mittels der VIN analysieren.
-
Optional könnte die Aufhebung der Anonymisierung auch zeitbasiert erfolgen um zu verhindern, dass der Kunde mit einem einmaligen Problem für zu lange Zeit überwacht werden kann.
-
Beispiel 3
-
Ein anderes Verfahren besteht darin, dass Logdateien nicht mit der Klartext-VIN, sondern mit einer f(VIN), die aus einer Funktionsabbildung f stammt, abgespeichert werden. Diese Funktionsabbildung f ist eine Einweg-Hash-Funktion. Dadurch wird vermieden, dass aus den Logdateien eine VIN ermittelt werden kann.
-
Optional kann in einem Servicefall eine Funktion bspw. im Kraftfahrzeug oder auf der Vehicle Homepage ebenfalls die Funktion f(VIN) berechnen. Hierdurch wird sogar im Servicefall die Anonymität nicht aufgehoben, da der Kunde nicht mittels der VIN, sondern mittels der f(VIN) die Analyse seiner Probleme ermöglichen kann.
-
Bezugszeichenliste
-
- 2
- Kraftfahrzeug
- 4
- Zentralrechner
- 6
- Kommunikationsmodul
- 8
- Steuerung
- 10
- Navigationssystem
- 12
- Fehlerspeicher
- 14
- Crashsensoren
- 15
- Kraftfahrzeugbezogene Daten
- 16
- Identifikator
- VIN
- Kraftfahrzeugidentifikationsnummer
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102012106081 A1 [0005]
