DE102014206545A1

DE102014206545A1 - Verfahren, Kommunikationssystem und Daten-Zugangsknoten zur Übermittlung von Daten

Info

Publication number: DE102014206545A1
Application number: DE102014206545.3A
Authority: DE
Inventors: Jochen Hechler; Hans Gregor Molter; Peter Säger
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Teves AG and Co OHG
Priority date: 2014-04-04
Filing date: 2014-04-04
Publication date: 2015-10-08

Abstract

Die Erfindung beschreibt ein Verfahren zur Übermittlung von Daten zwischen zumindest einem Daten-Zugangsknoten (3), insbesondere einer Fahrzeugantenne, eines Kraftfahrzeugs und wenigstens einer fahrzeugexternen Endstelle, wobei von dem Kraftfahrzeug zu sendende Daten zumindest teilweise anonymisiert werden. Weiterhin beschreibt die Erfindung ein Kommunikationssystem und ein Daten-Zugangsknoten zur Übermittlung von Daten.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Übertragen von Daten gemäß Oberbegriff von Anspruch 1, ein Kommunikationssystem gemäß Oberbegriff von Anspruch 7 sowie ein Daten-Zugangsknoten gemäß Oberbegriff von Anspruch 12.
Zukünftig ist eine zunehmende Vernetzung von Fahrzeugen mit Backend-Servern, Infrastruktur sowie anderen Fahrzeugen (Fahrzeug-zu-X Kommunikation) und/oder allgemeinen Internet-Diensten zu erwarten. Damit soll einerseits eine höhere Sicherheit für alle Verkehrsteilnehmer erzielt und weiterhin die Versorgung mit externen Diensten, wie Stauinformationen und multimedialen Inhalten, kontinuierlich verbessert werden.
Die DE 10 2011 106 295 A1 beschreibt ein Verfahren zum bidirektionalen Übertragen von Daten zwischen Kraftfahrzeugen und einem Dienstanbieter, wobei den Kraftfahrzeugen von dem Dienstanbieter Informationsdaten mittels einer Dateninfrastrukturwolke bereitgestellt werden. Von den Kraftfahrzeugen werden dem Dienstanbieter, über eine von einem Sicherheitsbetreiber betriebene Backend-Servervorrichtung, einen Verkehrszustand beschreibende Verkehrsdaten bereitgestellt. In einer möglichen Variante kann ein Nutzer beziehungsweise Fahrzeughalter eines Kraftfahrzeugs auf diese Einstellungen Einfluss nehmen, wobei dieser beispielsweise festlegt, ob er alle Fahrtinformationen oder gegebenenfalls nur Autobahninformationen weitergeben will.
Durch einen Informationsaustausch mit einer Vielzahl von Endstellen wird ein Zugriff von Dritten auf personen- und/oder fahrzeugindividuelle Informationen wahrscheinlicher, wodurch der Datenschutz zunehmend in Frage gestellt wird, die Privatrechte von Haltern der Fahrzeuge, Fahrzeuginsassen und/oder von weiteren Verkehrsteilnehmern in hohem Maße gefährdet sein können und weshalb die allgemeine Akzeptanz gegenüber einer weiteren Vernetzung von Fahrzeugen negativ beeinflusst ist.
Aufgabe der Erfindung ist es, ein Verfahren und ein Kommunikationssystem bereitzustellen, mittels der der Datenschutz bei Benutzung vernetzter Fahrzeuge verbessert werden kann.
Diese Aufgabe wird durch ein Verfahren gemäß Anspruch 1, ein Kommunikationssystem gemäß Anspruch 7 sowie ein Daten-Zugangsknoten gemäß Anspruch 12 gelöst.
Die Erfindung beschreibt ein Verfahren zur Übermittlung von Daten zwischen einem Kraftfahrzeug, welches zumindest einen Daten-Zugangsknoten umfasst, und wenigstens einer fahrzeugexternen Endstelle, wobei von dem Kraftfahrzeug zu sendende Daten zumindest teilweise anonymisiert werden. Anonymisierte Daten sind dabei Daten, welche in der Weise verändert sind, dass im Wesentlichen keine (ggf. lediglich mit erheblichem Aufwand) oder nur in begrenztem Maße Rückschlüsse auf insbesondere personen- und/oder fahrzeugbezogene Informationen möglich sind. Vorteilhafterweise kann der Datenschutz bei Benutzung vernetzter Fahrzeuge somit wesentlich verbessert werden.
Gemäß einer bevorzugten Ausführungsform der Erfindung erfolgt die Anonymisierung, bezogen auf einen Datenfluss des Kommunikationssystems, zwischen dem Daten-Zugangsknoten und einer letzten Endstelle fahrzeuginterner Daten. Ein Vorteil der dadurch erzielt wird ist, dass eine möglichst umfangreiche Anonymisierung der Daten realisiert und die Gefahr eines Fremdzugriffs auf Daten vermindert wird.
Bevorzugt sind zumindest zwei Betriebsmodi vorgesehen, wobei in einem ersten Betriebsmodus eine teilweise Anonymisierung erfolgt und in einem zweiten Betriebsmodus eine im Wesentlichen vollständige Anonymisierung der zu sendenden Daten vorgenommen wird. In dem ersten Betriebsmodus werden fahrzeugseitig, insbesondere abgesehen von Authentifizierungsdaten, bevorzugt im Wesentlichen keine privaten Daten und in dem zweiten Betriebsmodus keine Daten gesendet. Private Daten sind bevorzugt Daten welche insbesondere durch einen Nutzer des Fahrzeugs, den Fahrzeughalter und/oder Fahrzeughersteller vorher als solche definiert wurden. Dies können beispielsweise Daten sein, welche unmittelbar einen Rückschluss auf den oder die Nutzer des Fahrzeugs zulassen würden. Gemäß einem dritten Betriebsmodus wird bevorzugt keine Anonymisierung vorgenommen und erfolgt ein im Wesentlichen freier Austausch von Daten.
Bevorzugt erfolgt zumindest in dem ersten und in dem zweiten Betriebsmodus ein Empfang von Daten. Dadurch ist es in vorteilhafter Weise möglich weiterhin Informationen, wie beispielsweise über Verkehrsmeldungen, zu erhalten.
Eine Auswahl des jeweiligen Betriebsmodus wird vorzugsweise mittels wenigstens einer Mensch-Maschine-Schnittstelle vorgenommen. Nutzer eines Fahrzeugs können in vorteilhafter Weise somit Einfluss darauf nehmen, welche insbesondere personen- und/oder fahrzeugbezogenen Informationen vom Fahrzeug gesendet werden dürfen. Damit lässt sich auch die Privatsphäre im Rahmen personenindividueller Auffassung anpassen und die Akzeptanz von Fahrzeugkommunikation, beispielsweise von Internet-Diensten, Backend-Servern und/oder Fahrzeug-zu-X Kommunikation, kann unter Umständen erhöht werden.
Entsprechend einer bevorzugten Ausführungsform der Erfindung ist unabhängig von dem jeweiligen Betriebsmodus, im Falle des Auslösens eines Fahrzeug-Notrufsystems (eCall), ein Senden entsprechend notwendiger Daten möglich. In vorteilhafter Weise werden sicherheitsrelevante Maßnahmen somit nicht blockiert.
Weiterhin beschreibt die Erfindung ein Kommunikationssystem eines Kraftfahrzeugs, welches zur Übermittlung von Daten zwischen dem Kraftfahrzeug und wenigstens einer fahrzeugexternen Endstelle geeignet ist und zumindest einen Daten-Zugangsknoten umfasst, wobei wenigstens ein Anonymisierungsmittel vorgesehen ist, welches derart ausgestaltet ist, dass von dem Kraftfahrzeug zu sendende Daten zumindest teilweise anonymisiert werden. Bevorzugt handelt es sich bei dem Daten-Zugangsknoten um eine Fahrzeugantenne.
Gemäß einer bevorzugten Ausführungsform des Kommunikationssystems sind zumindest zwei Betriebsmodi vorgesehen, wobei diese in der Weise ausgestaltet sind, dass in einem ersten Betriebsmodus eine teilweise und in einem zweiten Betriebsmodus eine im Wesentlichen vollständige Anonymisierung der zu sendenden Daten erfolgt.
Das Anonymisierungsmittel ist, bezogen auf einen Datenfluss des Kommunikationssystems, besonders bevorzugt zwischen dem Daten-Zugangsknoten und einem letzten fahrzeuginternen Datenknoten vor dem Daten-Zugangsknoten angeordnet.
Vorzugsweise ist wenigstens eine Mensch-Maschine-Schnittstelle zur Auswahl des jeweiligen Betriebsmodus vorgesehen.
Gemäß einer bevorzugten Ausführungsform ist ein Umschalten zwischen den Anonymisierungsstufen und/oder ein Einschalten oder Ausschalten der Anonymisierung mittels der Mensch-Maschine-Schnittstelle (HMI), insbesondere mittels zumindest einem Fahrzeugschlüssel und/oder Umschalter, vorgesehen.
Besonders bevorzugt ist das Kommunikationssystem in der Weise ausgestaltet, dass dieses das erfindungsgemäße Verfahren ausführt.
Die Erfindung beschreibt weiterhin einen Daten-Zugangsknoten, insbesondere eine Kraftfahrzeugantenne, zur Übermittlung von Daten zwischen einem Kraftfahrzeug und wenigstens einer fahrzeugexternen Endstelle, welcher ausgestaltet ist das erfindungsgemäße Verfahren auszuführen.
Weitere bevorzugte Ausführungsformen ergeben sich aus der nachfolgenden Beschreibung eines Ausführungsbeispiels an Hand von 1.
In Prinzipdarstellung zeigt:
1 zwei bevorzugte Ausführungsbeispiele der Erfindung mit unterschiedlichen Anonymisierungspositionen.
Um eine kurze und einfache Beschreibung der Ausführungsbeispiele zu ermöglichen, werden gleiche Elemente mit den gleichen Bezugszeichen versehen.
Entsprechend der Erfindung hat ein Nutzer eines Fahrzeugs eine Möglichkeit der direkten Beeinflussung der mittels Kommunikationssystem 1 von einem Fahrzeug versendeten Daten, wodurch der Nutzer einen gewünschten Grad der Anonymisierung insbesondere personenbezogener Informationen selbst bestimmen kann. Die Auswahl erfolgt dabei mittels Mensch-Maschine-Schnittstelle 5, wie beispielsweise einem Umschalter im Fahrzeug oder am Fahrzeugschlüssel bzw. durch entsprechende Einstellung in einem Fahrzeugmenü.
Die 1a) zeigt eine Prinzipdarstellung eines Ausführungsbeispiels des erfindungsgemäßen Kommunikationssystems 1, bei dem mittels Anonymisierungsmittel 2 eine Anonymisierung der vom Fahrzeug zu versendenden Daten, bezogen auf den Datenfluss, unmittelbar vor dem zentralen Netzwerk-Zugangsknoten 3 (Endstelle), wie zum Beispiel einer Fahrzeugantenne, vorgenommen wird. Eine Umgehung von Anonymisierungsmittel 2 mittels des Fahrzeugkommunikationsnetzes (z.B. CAN-Netzwerk) von extern und/oder intern ist somit zumindest erschwert. Eine weitere Endstelle mit welcher die Kommunikation stattfindet, z.B. einen Netzwerk-Zugangsknoten eines Dienstanbieters, ist in 1 nicht dargestellt. Gemäß dem Ausführungsbeispiel der 1b) erfolgt die Anonymisierung zu sendender Daten mittels Anonymisierungsmittel 2 zwischen Zugangsknoten 3 und einem letzten fahrzeuginternen Datenknoten – im Beispiel Gateway 4. Für die Ausführungsbeispiele der 1 dient Gateway 4 dabei als Schnittstelle zwischen Zugangsknoten 3 und Mensch-Maschine-Schnittstelle 5. Im Allgemeinen stellt ein Gateway eine Schnittstelle zwischen unterschiedlichen Kommunikationsnetzen des Fahrzeugs dar, wobei unterschiedliche Netzwerkprotokolle zugrunde gelegt sein können. Kommunikationssystem 1 ist daher insbesondere durch Verwendung von Gateway 4 bevorzugt Teil eines Fahrzeugkommunikationssystems, wie beispielsweise eines CAN-Netzwerks (nicht dargestellt). Ausgehend von Gateway 4 kann eine Kommunikation, z.B. mit Mensch-Maschine-Schnittstelle 5, somit mittels des Fahrzeugkommunikationssystems erfolgen.
Alternativ dazu kann ein eigenständiges und im Wesentlichen lediglich auf diesen Zweck ausgerichtetes Kommunikationsmittel zur Realisierung der Erfindung vorgesehen sein, was insbesondere die Möglichkeit eines Fremdzugriffs (direkt und fern) auf die Funktionsfähigkeit der Anonymisierung einschränkt. Die erfindungsgemäße Funktion kann dabei sowohl durch ein dafür vorgesehenes Steuergerät und/oder als zusätzliche Implementierung des die Funktion von Zugangsknoten 3 ausführenden Geräts und/oder von Gateway 4 vorgenommen werden.
Bei der Anonymisierung wird beispielsgemäß zwischen zwei Betriebsarten unterschieden, wobei erfindungsgemäß weitere Abstufungen der Anonymisierung der Daten vorgesehen sein können. Diese sind jeweils in der Weise ausgestaltet, dass weitere Funktionen des Fahrzeugs so wenig wie möglich beeinträchtigt werden. Entsprechend einer weiteren Betriebsart von Kommunikationssystem 1 erfolgt keine Anonymisierung der Daten des Fahrzeugs.
Gemäß einer ersten Betriebsart erfolgt eine teilweise Anonymisierung der zu sendenden Daten, wobei ein Datenaustausch beispielsweise mit einem Backend-Server eines Dienstanbieters und/oder Sicherheitsbetreibers möglich ist, jedoch keine privaten Daten gesendet werden. Eine Ausnahme können bevorzugt Daten bilden, welche einer Authentifizierung der Netzwerkteilnehmer, z.B. des Fahrzeugs bzw. Dienstanbieters, dienen. Eine Definition, welche Daten als privat angesehen werden, kann dabei insbesondere durch einen Nutzer des Fahrzeugs und/oder durch Herstellervorgaben erfolgen.
Ein mögliche Anwendung für diese Anonymisierungsstufe ist eine Fahrt von einem Geldtransporter, bei welcher dieser zwar nicht geortet werden, trotzdem jedoch aktuelle Verkehrsdienste, wie z.B. Staumeldungen, über einen Back-End-Server beziehen soll.
Eine zweite Betriebsart ermöglicht eine möglichst vollständige Anonymisierung. Dabei sendet Zugangsknoten 3 keine Daten, kann diese jedoch weiterhin empfangen.
Ein Anwendungsbeispiel für diese zweite Betriebsart ist die Verfolgung eines Flüchtigen durch die Polizei, bei der es notwendig sein kann, dem Flüchtigen die technische Möglichkeit einer Ortung der Polizeikräfte zu erschweren oder zu blockieren.
Zur Realisierung der Anonymisierung und um zugleich ein Umgehen dieser durch interne Funktionen oder Fremdeinwirkung („Hacker-Angriff“) zu vermeiden, erfolgt eine Implementierung der diese Aufgabe ausführenden Funktion mit einer entsprechend sicheren Methodik. Die nachfolgend aufgeführten Implementierungsmöglichkeiten sind ohne Beschränkung auf diese beispielsgemäß zu verstehen und können diesbezüglich eigenständig und/oder in Kombination miteinander verwendet werden.

• Implementierung in einem geschützten Speicherbereich mit entsprechender Zugriffskontrolle,
• Implementierung einer Firewall,
• Implementierung als gesonderter Sicherheitschip,
• Implementierung parallel zur normalen Steuergeräte-Applikation per Virtualisierung und/oder
• Implementierung mit Hilfe eines Hardware-Sicherheitsmoduls (HSM), z.B. „Secure Hardware Extension“ (SHE), „EVITA HSM“, „Trusted Platform Module“ (TPM), „Cloud Trusted Platform Module“ CTPM usw.

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102011106295 A1 [0003]

Claims

Verfahren zur Übermittlung von Daten zwischen einem- Kraftfahrzeug, welches zumindest einen Daten-Zugangsknoten (3) umfasst, und wenigstens einer fahrzeugexternen Endstelle, dadurch gekennzeichnet, dass von dem Kraftfahrzeug zu sendende Daten zumindest teilweise anonymisiert werden.
Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die Anonymisierung, bezogen auf einen Datenfluss des Kommunikationssystems (1), zwischen dem Daten-Zugangsknoten (3) und einer letzten Endstelle fahrzeuginterner Daten erfolgt.
Verfahren gemäß Anspruch 1 oder 2, dadurch gekennzeichnet, dass zumindest zwei Betriebsmodi vorgesehen sind, wobei in einem ersten Betriebsmodus eine teilweise Anonymisierung erfolgt und in einem zweiten Betriebsmodus eine im Wesentlichen vollständige Anonymisierung der zu sendenden Daten vorgenommen wird.
Verfahren gemäß Anspruch 3, dadurch gekennzeichnet, dass in dem ersten Betriebsmodus fahrzeugseitig, insbesondere abgesehen von Authentifizierungsdaten, im Wesentlichen keine privaten Daten und in dem zweiten Betriebsmodus keine Daten gesendet werden.
Verfahren gemäß Anspruch 3 oder 4, dadurch gekennzeichnet, dass zumindest in dem ersten und in dem zweiten Betriebsmodus ein Empfang von Daten erfolgt.
Verfahren gemäß einem der Ansprüche 3 bis 5, dadurch gekennzeichnet, dass eine Auswahl des jeweiligen Betriebsmodus mittels wenigstens einer Mensch-Maschine-Schnittstelle (5) vorgenommen wird.
Kommunikationssystem (1) eines Kraftfahrzeugs, welches zur Übermittlung von Daten zwischen dem Kraftfahrzeug und wenigstens einer fahrzeugexternen Endstelle geeignet ist und zumindest einen Daten-Zugangsknoten (3) umfasst, dadurch gekennzeichnet, dass wenigstens ein Anonymisierungsmittel (2) vorgesehen ist, welches derart ausgestaltet ist, dass von dem Kraftfahrzeug zu sendende Daten zumindest teilweise anonymisiert werden.
Kommunikationssystem (1) gemäß Anspruch 7, dadurch gekennzeichnet, dass zumindest zwei Betriebsmodi vorgesehen sind, wobei diese in der Weise ausgestaltet sind, dass in einem ersten Betriebsmodus eine teilweise und in einem zweiten Betriebsmodus eine im Wesentlichen vollständige Anonymisierung der zu sendenden Daten erfolgt.
Kommunikationssystem (1) gemäß Anspruch 7 oder 8, dadurch gekennzeichnet, dass das Anonymisierungsmittel (2), bezogen auf einen Datenfluss des Kommunikationssystems (1), zwischen dem Daten-Zugangsknoten (3) und einem letzten fahrzeuginternen Datenknoten (4) vor dem Daten-Zugangsknoten (3) angeordnet ist.
Kommunikationssystem (1) gemäß Anspruch 8 oder 9, dadurch gekennzeichnet, dass wenigstens eine Mensch-Maschine-Schnittstelle (5) zur Auswahl des jeweiligen Betriebsmodus vorgesehen ist.
Kommunikationssystem (1) gemäß einem der Ansprüche 7 bis 10, dadurch gekennzeichnet, dass dieses ein Verfahren gemäß einem der Ansprüche 1 bis 6 ausführt.
Daten-Zugangsknoten (3), insbesondere eine Kraftfahrzeugantenne, zur Übermittlung von Daten zwischen einem Kraftfahrzeug und wenigstens einer fahrzeugexternen Endstelle, dadurch gekennzeichnet, dass dieser ausgestaltet ist ein Verfahren gemäß einem der Ansprüche 1 bis 6 auszuführen.