-
Die vorliegende Erfindung betrifft ein System und Verfahren zur selektiven Freischaltung von Fahrzeugfunktionen.
-
Bei der Entwicklung von Neufahrzeugen liegt ein Hauptaugenmerk darin, die Sicherheit der Fahrzeuge gleichermaßen für Fahrzeuginsassen sowie andere Verkehrsteilnehmer zu verbessern. Bestimmte Sicherheitssysteme werden vom Gesetzgeber vorgeschrieben (z.B. StVZO, EU-Verordnungen, etc.), andere hingegen werden auf freiwilliger Basis bereitgestellt. Die Sicherheit von Neufahrzeugen über die gesetzlichen Vorschriften hinaus wird häufig durch nationale und internationale Neuwagenbewertungsprogramme wie z.B. Euro NCAP (European New Car Assessment Programme), US (United States) NCAP, GNCAP (Global NCAP), etc. bewertet. Zur Erhöhung der Sicherheit insbesondere im Bereich von Fahrerassistenzsystemen werden in der Regel zusätzliche technische Systeme bzw. Module im Fahrzeug benötigt und entsprechend bereitgestellt. Für den Anwendungsfall des eCalls werden beispielsweise Sensoren benötigt, die einen Verkehrsunfall zuverlässig erkennen können und im Notfall über ein im Fahrzeug integriertes Kommunikationsmodul (z.B. SIM-Karte) einen Notrufdatensatz an eine (Notruf)-Zentrale senden und/oder eine Kommunikationsverbindung zwischen dem Fahrzeug und der (Notruf)-Zentrale aufzubauen. Aufgrund der zunehmenden Anzahl an technischen Systemen bzw. Modulen im Fahrzeug kommt es zunehmend dazu, dass Fahrzeuge technisch in der Lage wären, neben z.B. den Sicherheitsfunktionen, die sie realisieren sollen, auch weitere - beispielsweise dem Komfort oder der Information von Fahrzeuginsassen dienende Funktionen - bereitzustellen. Diese Befähigung kann beispielsweise erst im Nachhinein erkannt werden (z.B. wird die zusätzliche technische Funktion erst später relevant) oder nicht vom Käufer des Fahrzeugs gewünscht werden (der Käufer möchte die zusätzliche Fahrzeugfunktion nicht im Fahrzeug haben). Eine Nachrüstung des Fahrzeugs mit Fahrzeugfunktionen wird heutzutage über einen nachträglichen Einbau der benötigten technischen Systeme bzw. Module realisiert. Dies ist für den Fahrzeugbesitzer (z.B. Zweitkäufer) bei theoretisch bereits vorhandenen technischen Möglichkeiten im Fahrzeug redundant und mit hohen Kosten verbunden.
-
Die Aufgabe der Erfindung besteht darin, die vorstehend genannten Nachteile zu vermeiden und eine Lösung zu schaffen, die nachträglich eine sichere, selektive Freischaltung von Fahrzeugfunktionen ermöglicht.
-
Diese Aufgabe wird erfindungsgemäß durch die Merkmale der unabhängigen Ansprüche gelöst. Bevorzugte Ausführungsformen sind Gegenstand der abhängigen Ansprüche.
-
Gemäß einem ersten Aspekt der Erfindung wird ein System zur selektiven Freischaltung von Fahrzeugfunktionen in einem Fahrzeug bereitgestellt, umfassend:
- ein Nutzer-Identifikationsmodul, das ausgebildet ist, den Nutzer des Fahrzeugs zu identifizieren;
- ein Steuermodul, das ausgebildet ist, für den identifizierten Nutzer die Freischaltung von zumindest einer Fahrzeugfunktion anzufordern;
- ein Kommunikationsmodul, das ausgebildet ist, bei erfolgter Anforderung der Freischaltung der Fahrzeugfunktion einen Freischalt-Request an einen Backend-Server zu senden und eine Freischalt-Response vom Backend-Server zu empfangen; und
- wobei, wenn die Freischalt-Response zumindest einen Freischalt-Code umfasst, das Steuermodul zumindest ein Fahrzeugmodul, auf dem die angefragte Fahrzeugfunktion realisiert ist, derart steuert, dass die zumindest eine Fahrzeugfunktion freigeschaltet wird.
-
Das Identifizieren des Nutzers des Fahrzeugs über das Nutzer-Identifikationsmodul kann erfolgen durch:
- - eine PIN-Eingabe durch den Nutzer;
- - eine Identifikation mithilfe einer Kamera;
- - den Besitz eines zum Fahrzeug registrierten Fahrzeugschlüssels;
- - den Besitz eines mit dem Fahrzeug verknüpften mobilen Endgeräts; und/oder
- - Erfassung biometrischer Merkmale des Nutzers.
-
Beispielsweise kann vor jeder Freischaltung von Fahrzeugfunktionen durch den Nutzer des Fahrzeugs eine einmalige Anmeldung bzw. Registrierung über eine Ein- und Ausgabeeinheit des Fahrzeugs und/oder eines mit dem Fahrzeug verknüpften mobilen Endgeräts (siehe unten) erforderlich sein. Bei dieser Registrierung können:
- - eine persönliche Identifikationsnummer (PIN) des Nutzers des Fahrzeugs; und/oder
- - persönliche Merkmale, die einen eindeutige Erkennung des Nutzers des Fahrzeugs durch eine Kamera ermöglichen (beispielsweise Iris-Erkennung, Gesichtserkennung); und/oder
- - eine Registrierung eines zum Fahrzeug gehörigen, dem Nutzer des Fahrzeugs zugeteilten Fahrzeugschlüssels mit einer eindeutigen Kennung (z.B. elektronischer Schlüssel); und/oder
- - eine Registrierung eines mit dem Fahrzeug verknüpften mobilen Endgeräts, das dem Nutzer des Fahrzeugs (z.B. Seriennummer des mobilen Endgeräts);
festgelegt werden.
-
Vor jeder Freischaltung einer Fahrzeugfunktion und/oder vor jedem Aufbau einer Kommunikationsverbindung des Kommunikationsmoduls mit dem Backend-Server kann das Nutzer-Identifikationsmodul ein oder mehrere der oben genannten, festgelegten eindeutigen Kennungen überprüfen, um die Identität des Nutzers festzustellen. Das Nutzer-Identifikationsmodul kann Daten mit Bezug auf den Nutzer des Fahrzeugs erheben (z.B. PIN-Eingabe anfordern, Iris-Erkennung/Gesichtserkennung mit einer im Fahrzeug befindlichen Kamera durchführen, etc.) und diese Daten mit den bei der Registrierung festgelegten Daten, die in einer Speichereinheit im Fahrzeug hinterlegt sein können, vergleichen, um die Identität des Nutzers des Fahrzeugs festzustellen. In einem anderen Beispiel kann das Nutzer-Identifikationsmodul die erhobenen Daten mit Bezug auf den Nutzer des Fahrzeugs über das Kommunikationsmodul (beispielsweise zusammen mit dem Freischalt-Request) an den Backend-Server senden. Dieser kann dann die erhobenen Daten mit Bezug auf den Nutzer des Fahrzeugs mit den beim der Registrierung festgelegten Daten, die in einer Datenbank hinterlegt sind, vergleichen und die Identität des Nutzers feststellen.
-
Bei positiver Feststellung der Identität des Nutzers durch das Nutzer-Identifikationsmodul kann dann das Senden des Freischalt-Requests durch das Kommunikationsmodul an den Backend-Server vom Nutzer-Identifikations-Modul freigeschaltet werden. In dem Fall, in dem die erhobenen Nutzerdaten bereits mit dem Freischalt-Request an den Backend-Server gesendet werden, kann der Backend-Server bei positiver Feststellung der Identität des Nutzers mit der Bearbeitung der Freischaltung der zumindest einen Fahrzeugfunktion fortfahren.
-
Bei negativer Feststellung der Identität des Nutzers (durch das Nutzer-Identifikationsmodul bzw. durch den Backend-Server) kann die Freischaltung der Fahrzeugfunktion verweigert werden. Dem Nutzer des Fahrzeugs kann eine entsprechende Nachricht über eine Ein- und Ausgabeeinheit im Fahrzeug und/oder auf einem mit dem Fahrzeug verknüpften mobilen Endgerät ausgegeben werden.
-
Durch die Feststellung der Identität des Nutzers kann vorteilhafter Weise eine unberechtigte Freischaltung einer Fahrzeugfunktion im Fahrzeug verhindert werden. Gleichzeitig kann die Freischaltung der Fahrzeugfunktion an dessen Identität verknüpft werden. Dies ist besonders vorteilhaft, wenn der Nutzer des Fahrzeugs eine Vielzahl verschiedener Fahrzeuge, beispielsweise einer Fahrzeugflotte (z.B. Dienstwagen, Car-Sharing, Autovermietungen etc.) bewegt, da die Verknüpfung der Freischaltung der Fahrzeugfunktion an die Identität des Nutzers eine Fahrzeugübergreifende Freischaltung der Fahrzeugfunktion ermöglicht. Mit anderen Worten kann die Freischaltung der Fahrzeugfunktion spezifisch für den Nutzer für eine Vielzahl von Fahrzeugen erfolgen. Gleichzeitig kann sichergestellt werden, dass für Nutzer der Fahrzeugflotten, die keine Freischaltung der entsprechenden Fahrzeugfunktion wünschen, diese auch nicht freigeschaltet wird.
-
Darüber hinaus oder alternativ dazu kann über die Ein- und Ausgabeeinheit des Fahrzeugs und/oder eines mobilen Endgeräts einmalig mithilfe der Ein- und Ausgabeeinheit und des Kommunikationsmoduls eine Registrierung des Nutzers am Backend-Server (oder einem anderen geeigneten Server, der diese Funktionalität bereitstellt) erforderlich sein, bevor eine Freischaltung einer Fahrzeugfunktion für das Fahrzeug möglich ist. Ein mobiles Endgerät ist ein Gerät, welches in der Lage ist, in einem mobilen Netzwerk über lokale Netzwerke bzw. Local Area Networks (LANs), wie z.B. Wireless LAN (WiFi/WLAN), oder über Weitverkehrsnetze bzw. Wide Area Networks (WANs) wie z.B. Global System for Mobile Communication (GSM), General Package Radio Service (GPRS), Enhanced Data Rates for Global Evolution (EDGE), Universal Mobile Telecommunications System (UMTS), High Speed Downlink/Uplink Packet Access (HSDPA, HSUPA), Long-Term Evolution (LTE), oder World Wide Interoperability for Microwave Access (WIMAX) drahtlos zu kommunizieren. Eine Kommunikation über weitere gängige oder künftige Kommunikationstechnologien, z.B. 5G-Mobildunksysteme, ist möglich. Der Begriff mobiles Endgerät umfasst insbesondere Smartphones, aber auch andere mobile Telefone bzw. Handys, Personal Digital Assistants (PDAs), Tablet PCs, Notebooks, Smart Watches sowie alle gängigen sowie künftigen elektronischen Geräte, welche mit einer Technologie zum Laden und Ausführen von Apps ausgestattet sind.
-
Der Nutzer des Fahrzeugs kann dessen Besitzer und/oder berechtigter Fahrer des Fahrzeugs sein. Der Nutzer des Fahrzeugs kann beispielsweise eine Fahrberechtigung für vorbestimmte Fahrzeuge einer Fahrzeugflotte (z.B. Car Sharing-Flotte, Dienstfahrzeug-Flotte, Mietwagen-Flotte, etc.) besitzen.
-
Bei der Fahrzeugfunktion kann es sich um eine Fahrzeugfunktion handeln, die einerseits bereits im Fahrzeug vorhanden bzw. durch das Fahrzeug technisch realisierbar ist, andererseits dem Nutzer des Fahrzeugs nicht zur Nutzung im Fahrzeug zur Verfügung steht. Beispielsweise kann im Fahrzeug als Fahrzeugfunktion ein Navigationssystem bzw. ein navigationsfähiges System integriert sein, um dem Fahrer Hinweise zur erlaubten Höchstgeschwindigkeit auf einer momentan befahrenen Strecke im Bordcomputer und/oder Infotainmentsystem des Fahrzeugs anzuzeigen. Gleichzeitig kann sich der Käufer des Fahrzeugs entschieden haben, keine Navigationsfunktion über das im Fahrzeug integrierte Navigationssystem bzw. ein navigationsfähiges System nutzen zu wollen. In diesem Fall ist das Fahrzeug technisch in der Lage, eine Fahrzeugfunktion, nämlich die Navigationsfunktion, durchzuführen. Allerdings ist diese Navigationsfunktion nicht freigeschaltet. Darüber hinaus oder alternativ dazu kann es sich bei nicht freigeschaltete Fahrzeugfunktionen um eine Vielzahl von Fahrzeugfunktionen handeln, wie z.B.
- - zusätzliche Motorleistung (z.B. Freischaltung zusätzlicher PS bei einer Abriegelung des Fahrzeugs ab Werk);
- - eine höheren Akkuleistung bei BEVs (Battery Electric Vehicles bzw. Elektrofahrzeugen) und/oder PHEVs (Plug-in Hybrid Electric Vehicles bzw. Kraftfahrzeugen mit Hybridantrieb);
- - Fahrerassistenz-Funktionen wie beispielsweise ein Ampel-Assistent, ein Spurhalteassistent im Fahrzeug, etc.;
- - Fahrdynamikfunktionen;
- - Lichtfunktionen;
- - Massagesitzfunktionen; etc.
-
Das Kommunikationsmodul kann ein im Fahrzeug angeordnetes Kommunikationsmodul sein. Zudem oder alternativ dazu kann das Kommunikationsmodul Teil des mobilen Endgeräts sein.
-
Somit umfasst das Fahrzeug und/oder das mobile Endgerät ein Kommunikationsmodul, welches in der Lage ist, eine Kommunikationsverbindung mit anderen Kommunikationsteilnehmern, beispielsweise mit dem Backend-Server, aufzubauen. Solche Kommunikationsmodule umfassen zumindest ein Teilnehmeridentitätsmodul bzw. ein Subscriber Identity Module bzw. eine SIM-Karte, welches dazu dient, eine Kommunikationsverbindung über ein Mobilfunksystem aufbauen zu können. Das Teilnehmeridentitätsmodul identifiziert dabei das Kommunikationsmodul eindeutig im Mobilfunknetz. Bei der Kommunikationsverbindung kann es sich um eine Datenverbindung (z.B. Paketvermittlung) und/oder um eine leitungsgebundene Kommunikationsverbindung (z.B. Leitungsvermittlung) handeln.
-
Das Identifikationsmodul und optional die Ein- und Ausgabeeinheit des Fahrzeugs können elektrisch mit dem Kommunikationsmodul verbunden sein. Das Identifikationsmodul und optional die Ein- und Ausgabeeinheit des mobilen Endgeräts können kommunikativ (z.B. via Bluetooth, etc.) mit dem Kommunikationsmodul des Fahrzeugs verbunden sein und können elektrisch mit dem Kommunikationsmodul des mobilen Endgeräts verbunden sein. Dadurch können vorteilhafter Weise das Identifikationsmodul und optional die Ein- und Ausgabeeinheit des mobilen Endgeräts mit dem Kommunikationsmodul des Fahrzeugs kommunizieren.
-
Nach erfolgter Identifikation des Nutzers des Fahrzeugs kann ein Steuermodul das Kommunikationsmodul derart steuern, dass dieses einen Freischalt-Request bzw. eine Freischalt-Anfrage an einen Backend-Server sendet. Der Backend-Server kann einen entsprechenden Dienst bzw. Service bereitstellen, welcher Fahrzeugfunktionen und deren Freischaltung für bestimmte Fahrzeuge und/oder bestimmte Fahrzeugflotten mit Bezug auf deren Nutzer verwaltet und entsprechende Daten in einer Datenbank hinterlegt. Der Backend-Server kann den Freischalt-Request Empfangen und beispielsweise durch Abgleich mit in der Datenbank hinterlegten Daten bzw. Informationen ermitteln, ob die Fahrzeugfunktion für das Fahrzeug zur Verfügung steht und/oder ob die Fahrzeugfunktion für den Nutzer des Fahrzeugs zur Verfügung steht. Entsprechend kann der Backend-Server eine Freischalt-Response erstellen. Steht die Fahrzeugfunktion für das Fahrzeug und/oder für den Nutzer des Fahrzeugs zur Verfügung, kann die Freischalt-Response zumindest einen speziell für das Fahrzeug und/oder den Nutzer generierten bzw. hinterlegten Freischalt-Code (z.B. ein Freischalt-Code pro Fahrzeugfunktion) umfassen. Die Freischalt-Response kann von dem Backend-Server an das Kommunikationsmodul gesendet werden. Nach Empfangen der Freischalt-Response kann diese beispielsweise an das Steuermodul (oder ein anderes, die entsprechende Funktionalität bereitstellendes Steuermodul) weitergeleitet und dort verarbeitet werden. Enthält die Freischalt-Response zumindest einen Freischalt-Code, so kann das Steuermodul den Freischalt-Code verwenden, um die entsprechende Fahrzeugfunktion freizuschalten. Somit kann das Steuermodul die vom Kommunikationsmodul für den Nutzer des Fahrzeugs angeforderte Fahrzeugfunktion freischalten. Beispielsweise kann die entsprechende Fahrzeugfunktion auf einem Modul hinterlegt sein bzw. durch ein Modul realisiert sein. Das Steuermodul kann dieses Modul unter Verwendung des entsprechenden Freischaltcodes derart steuern, dass die Fahrzeugfunktion freigeschaltet wird. Vorteilhafter Weise kann so eine Fahrzeugfunktion im Fahrzeug selektiv für einen Nutzer des Fahrzeugs freigeschaltet werden, ohne dass eine nachträgliche Ausrüstung des Fahrzeugs erforderlich ist.
-
Vorzugsweise umfasst die Freischalt-Response des Backend-Servers zu dem zumindest einen Freischalt-Code eine Gültigkeitsdauer jedes Freischalt-Codes;
- wobei die Freischalt-Response des Backend-Servers im Fahrzeug mit Bezug auf den identifizierten Nutzer gespeichert wird;
- wobei das Steuermodul vor der Anforderung der Freischaltung von zumindest einer Fahrzeugfunktion im Fahrzeug zunächst überprüft, ob bereits zumindest ein Freischalt-Code mit Bezug auf den identifizierten Nutzer im Fahrzeug gespeichert ist; und
- wobei das Steuermodul für den identifizierten Nutzer die Freischaltung von zumindest einer Fahrzeugfunktion nur anfordert, falls kein Freischalt-Code mit Bezug auf den identifizierten Nutzer im Fahrzeug hinterlegt ist und/oder falls zumindest die Gültigkeitsdauer eines Freischalt-Codes abgelaufen ist; und
- ansonsten das Steuermodul das Fahrzeugmodul, auf dem die zumindest eine Fahrzeugfunktion realisiert ist, derart steuert, dass diese unter Verwendung des im Fahrzeug gespeicherten zumindest einen Freischalt-Codes freigeschaltet wird
-
Der Backend-Server kann zu jedem Freischalt-Code, den dieser mit einer Freischalt-Response versendet, eine Gültigkeitsdauer des Freischalt-Codes ermitteln (z.B. aus der Datenbank auslesen) und diese mit der Freischalt-Response an das Fahrzeug (bzw. dessen Kommunikationseinheit) senden. Der Freischalt-Code kann zusammen mit seiner Gültigkeitsdauer sowie mit Bezug auf den identifizierten Fahrer des Fahrzeugs in einer Speichereinheit im Fahrzeug hinterlegt werden.
-
Somit kann nach erfolgreicher Identifikation des Nutzers des Fahrzeugs beispielsweise das Steuermodul bzw. die Steuereinheit zunächst auf die Speichereinheit zugreifen und überprüfen, ob bereits ein gültiger Freischalt-Code mit Bezug auf den identifizierten Fahrer im Fahrzeug vorhanden ist. Ist dies der Fall, so kann das Steuermodul die dem Freischaltcode entsprechende Fahrzeugfunktion unter Verwendung dieses für den Nutzer freischalten. Nur, wenn die Gültigkeit zumindest eines mit dem identifizierten Fahrer verknüpften Freischalt-Codes abgelaufen ist und/oder wenn kein mit dem identifizierten Fahrer verknüpfter Freischalt-Code in der Speichereinheit hinterlegt ist, findet das Senden des Freischalt-Requests durch das Kommunikationsmodul an den Backend-Server statt (und das Empfangen der entsprechenden Freischalt-Response vom Server), so dass Fahrzeugfunktionen, die mit dem Nutzer des Fahrzeugs verknüpft wurden, freigeschaltet werden können.
-
Vorteilhafter Weise kann so die Freischaltung aller mit dem identifizierten Nutzer des Fahrzeugs verknüpften bzw. verfügbaren Fahrzeugfunktionen stattfinden, ohne dass es einer vorherigen, erneuten Kommunikation zwischen dem Kommunikationsmodul und dem Backend-Server bedarf. Dies ist besonders vorteilhaft, falls eine Kommunikationsverbindung des Fahrzeugs mit dem Backend-Server vorrübergehend nicht möglich ist (z.B. schlechtes Mobilfunknetz verfügbar, Fahrzeug steht in einer Tiefgarage, etc.) sowie wenn der identifizierte Fahrer häufig die Fahrzeuge beispielsweise einer Fahrzeugflotte wechselt, so dass in allen Fahrzeugen, in denen die zumindest eine mit dem Nutzer des Fahrzeugs verknüpfte Fahrzeugfunktion bereitgestellt werden kann und in denen die Fahrzeugfunktion bei einer vorherigen Fahrt angefordert wurde, die entsprechende zumindest eine Fahrzeugfunktion umgehend freigeschaltet werden kann.
-
Vorzugsweise ist der Backend-Server ausgebildet, das Fahrzeug zu benachrichtigen, wenn für den identifizierten Nutzer des Fahrzeugs zumindest ein neuer Freischaltcode vorliegt,
- wobei das Steuermodul eingerichtet ist, bei erfolgter Benachrichtigung durch den Backend-Server das Kommunikationsmodul derart zu steuern, dass dieses einen Freischalt-Request an einen Backend-Server senden und eine Freischalt-Response umfassend den neuen Freischaltcode vom Backend-Server empfangen kann; und
- wobei das Steuermodul zumindest ein Fahrzeugmodul, auf dem die Fahrzeugfunktion, die dem neuen Freischaltcode entspricht, realisiert ist, derart steuert, dass diese freigeschaltet wird.
-
Beispielsweise kann der identifizierte Nutzer des Fahrzeugs über ein externes Endgerät (siehe unten) eine weitere Freischaltung einer Fahrzeugfunktion über den Backend-Server angefordert haben. In diesem Fall kann der Backend-Server bei erfolgter Identifikation des Fahrers eine Nachricht an das Kommunikationsmodul des Fahrzeugs senden, dass für den identifizierten Nutzer ein neuer Freischalt-Code für eine Fahrzeugfunktion vorliegt. In diesem Fall kann das Steuermodul das Kommunikationsmodul derart steuern, dass dieses einen Freischalt-Request an den Backend-Server sendet und eine Freischalt-Response umfassend den neuen Freischalt-Code empfängt. Mithilfe dieses Freischalt-Codes kann nun das Fahrzeugmodul, auf dem die Fahrzeugfunktion, die dem neuen Freischalt-Code entspricht, durch das Steuermodul derart gesteuert werden, dass die Fahrzeugfunktion freigeschaltet wird.
-
Beispielsweise kann das Nutzer-Identifikationsmodul derart ausgestaltet sein, dass ein fahrzeugseitiges Profil des Nutzers mit einem Backendsystem („Fahrzeug Cloud“), beispielsweise realisiert über den Backend-Server, synchronisiert werden kann. Bei jeder Anmeldung des Nutzers im Fahrzeug kann das Nutzer-Identifikationsmodul das Profil des Nutzers mit dem im Backend gespeicherten Profil synchronisieren. Wird dabei erkannt, dass für den Nutzer weitere Freischaltcodes (als aktuell im Fahrzeug hinterlegt) vorhanden sind (z.B. durch zwischenzeitlichen Kauf in einem Backend Store, beispielsweise realisiert über den Backend-Server), kann das Backendsystem das Fahrzeug notifizieren bzw. auffordern, einen Freischalt-Request wie oben beschrieben an den Backend-Server zu senden.
-
Vorzugsweise umfasst das Kommunikationsmodul ein Sicherheitsmodul, wobei das Sicherheitsmodul ausgebildet ist, die Freischaltung der Fahrzeugfunktion durch Sicherheitsmaßnahmen abzusichern.
-
Vorzugsweise umfassen die Sicherheitsmaßnahmen:
- - Überprüfung zumindest eines Teils der Freischalt-Response mithilfe einer Public-Key-Infrastruktur, PKI;
- - Verschlüsselung der Kommunikationsverbindung zwischen dem Kommunikationsmodul und dem Backend-Server; und/oder
- - Gegenseitige Authentifizierung der Kommunikationsendpunkte;
- - Signatur und/oder Verschlüsselung des Freischaltcodes mit einem fahrzeugspezifischen und/oder steuergerätespezifischen und/oder applikationsspezifischen Schlüssel oder Zertifikat.
-
Das Sicherheitsmodul des Kommunikationsmoduls kann ausgestaltet sein, die Freischaltung von Fahrzeugfunktionen im Fahrzeug gegen Eingriffe von außen (beispielsweise Hackerangriffe) abzusichern. Beispielsweise kann das Sicherheitsmodul eingerichtet sein, eine verschlüsselte Kommunikationsverbindung zwischen dem Kommunikationsmodul und dem Backend-Server aufzubauen. Dazu kommen alle gängigen und künftigen Verschlüsselungsverfahren in Frage. Beispielsweise kann eine symmetrische (z.B. Stromverschlüsselung oder Blockverschlüsselung) Ende-zu-Ende-Verschlüsselung zwischen dem Kommunikationsmodul und dem Backend-Server realisiert werden. Vorteilhafter Weise kann somit die Geheimhaltung der übertragenen Daten sichergestellt werden. Somit können die übertragenen Daten gegenüber unbefugtem Zugriff geschützt werden.
-
Darüber hinaus oder alternativ dazu kann zur Absicherung der Kommunikationsverbindung eine Public-Key-Infrastruktur verwendet werden. Mithilfe eines asymmetrischen Krypto-Systems kann die Freischalt-Response oder zumindest der Freischalt-Code der Freischalt-Response über einen öffentlichen Schlüssel des Empfängers, also des Kommunikationsmoduls bzw. des Fahrzeugs verschlüsselt und/oder signiert werden. Somit kann eine Entschlüsselung nur mit einem entsprechend geheimen Schlüssel des Empfängers erfolgen. Darüber hinaus oder alternativ dazu kann die Freischalt-Response oder zumindest der Freischalt-Code mithilfe eines geheimen Schlüssels des Senders, also des Backend-Servers verschlüsselt werden. Dadurch kann das Sicherheitsmodul durch Entschlüsselung mit dem öffentlichen Schlüssel des Senders die Authentizität des Absenders (also des Backend-Servers) der Freischalt-Response oder zumindest des Freischalt-Codes überprüfen.
-
Auch eine gegenseitige Authentifizierung der Kommunikationsendpunkte, also des Backend-Servers und des Kommunikationsmoduls kann erfolgen. Darüber hinaus können zumindest die in der Freischalt-Response enthaltenen Freischalt-Codes mit einem fahrzeugspezifischen und/oder steuergerätespezifischen und/oder applikationsspezifischen Schlüssel und/oder Zertifikat abgesichert werden.
-
Vorzugsweise umfasst das System zudem eine Ein- und Ausgabeeinheit, über die ein Nutzer des Fahrzeugs eine Freischaltung einer Fahrzeugfunktion für das Fahrzeug anfordern kann.
-
Bei der Ein- und Ausgabeeinheit kann es sich kann es sich um das Infotainmentsystem des Fahrzeugs handeln. Zusätzlich oder alternativ dazu kann es sich bei der Ein- und Ausgabeeinheit um die Ein- und Ausgabeeinheit eines externen Geräts eines Nutzers des Fahrzeugs handeln. Bei dem externen Gerät kann es sich um ein stationäres Gerät (z.B. stationärer Personal Computer, PC) oder um ein mobiles Endgerät handeln.
-
Falls der Nutzer des Fahrzeugs zur Anforderung der Freischaltung der Fahrzeugfunktion das mobile Endgerät verwendet, kann über das mobile Endgerät eine entsprechende Web-Seite bzw. Webpage über einen Browser aufgerufen werden. In einem anderen Beispiel kann im Vorfeld einmalig eine geeignete App auf das mobile Endgerät geladen und von diesem ausgeführt werden. Darüber hinaus kann es erforderlich sein, dass der Nutzer des mobilen Endgeräts am Backend-Server (oder einem anderen geeigneten Server, der einen entsprechenden Dienst bereitstellt) eine einmalige Registrierung durchzuführen (z.B. einen geeigneten Account einzurichten) und das mobile Endgerät mit dem Fahrzeug zu verknüpfen (indem z.B. eine geeignete Fahrzeug-Identifikationsnummer eingegeben wird, die nur der Besitzer des Fahrzeugs kennen kann).
-
Gemäß einem zweiten Aspekt der vorliegenden Erfindung wird die zugrunde liegende Aufgabe durch ein Verfahren zur selektiven Freischaltung von Fahrzeugfunktionen in einem Fahrzeug gelöst, umfassend:
- Identifizieren eines Nutzers des Fahrzeugs;
- Senden eines Freischalt-Requests zur Freischaltung zumindest einer Fahrzeugfunktion für den identifizierten Nutzer, über ein Kommunikationsmodul, an einen Backend-Server;
- Empfangen, am Kommunikationsmodul einer Freischalt-Response vom Backend-Server; und
- Falls die Freischalt-Response zumindest einen Freischalt-Code mit Bezug auf den identifizierten Nutzerumfasst:
- Steuern zumindest eines Fahrzeugmoduls, auf dem die angefragte Fahrzeugfunktion realisiert ist, derart, dass die Fahrzeugfunktion freigeschaltet wird.
-
Vorzugsweise umfasst die Freischalt-Response des Backend-Servers zu jedem Freischalt-Code eine Gültigkeitsdauer jedes Freischalt-Codes umfasst;
- wobei die Freischalt-Response des Backend-Servers im Fahrzeug mit Bezug auf den identifizierten Nutzer gespeichert wird;
- wobei das Steuermodul vor der Anforderung der Freischaltung von zumindest einer Fahrzeugfunktion im Fahrzeug zunächst überprüft, ob bereits zumindest ein Freischalt-Code mit Bezug auf den identifizierten Nutzer im Fahrzeug gespeichert ist; und
- wobei das Steuermodul für den identifizierten Nutzer die Freischaltung von zumindest einer Fahrzeugfunktion nur anfordert, falls kein Freischalt-Code mit Bezug auf den identifizierten Nutzer im Fahrzeug hinterlegt ist und/oder falls zumindest die Gültigkeitsdauer eines Freischalt-Codes abgelaufen ist; und
ansonsten das Steuermodul das Fahrzeugmodul, auf dem die zumindest eine Fahrzeugfunktion realisiert ist, derart steuert, dass diese unter Verwendung des im Fahrzeug gespeicherten zumindest einen Freischalt-Codes freigeschaltet wird.
-
Vorzugsweise ist der Backend-Server ausgebildet, das Fahrzeug zu benachrichtigen, dass für den identifizierten Nutzer des Fahrzeugs zumindest ein neuer Freischaltcode vorliegt, wobei das Steuermodul eingerichtet ist, bei erfolgter Benachrichtigung durch den Backend-Server das Kommunikationsmodul derart zu steuern, dass dieses einen Freischalt-Request an den Backend-Server sendet und eine Freischalt-Response umfassend den neuen Freischaltcode vom Backend-Server empfängt; und
- wobei das Steuermodul zumindest ein Fahrzeugmodul, auf dem die Fahrzeugfunktion, die dem neuen Freischaltcode entspricht, realisiert ist, derart steuert, dass diese freigeschaltet wird.
-
Diese und andere Aufgaben, Merkmale und Vorteile der vorliegenden Erfindung werden aus dem Studium der folgenden detaillierten Beschreibung bevorzugter Ausführungsformen und der beiliegenden Figuren verdeutlicht. Es ist ersichtlich, dass - obwohl Ausführungsformen separat beschrieben werden - einzelne Merkmale daraus zu zusätzlichen Ausführungsformen kombiniert werden können.
- 1 zeigt ein beispielhaftes System zur selektiven Freischaltung von Fahrzeugfunktionen in einem Fahrzeug;
- 2 zeigt ein beispielhaftes Verfahren zur selektiven Freischaltung von Fahrzeugfunktionen in einem Fahrzeug.
-
1 zeigt ein beispielhaftes System 100 zur selektiven Freischaltung von Fahrzeugfunktionen 160A ... 160N in einem Fahrzeug 110. Das System 100 kann ein Kommunikationsmodul 120, 194 umfassen. Das Kommunikationsmodul 120, 194 kann ein im Fahrzeug 110 angeordnetes Kommunikationsmodul 120 sein. Zudem oder alternativ dazu kann das Kommunikationsmodul 194 Teil des mobilen Endgeräts 190 sein. Somit umfasst das Fahrzeug 110 und optional zudem das mobile Endgerät 190 ein Kommunikationsmodul 120, 194, welches in der Lage ist, eine Kommunikationsverbindung mit anderen Kommunikationsteilnehmern, beispielsweise mit dem Backend-Server 180, aufzubauen. Die Kommunikationsmodule 120, 194 umfassen zumindest ein Teilnehmeridentitätsmodul bzw. ein Subscriber Identity Module bzw. eine SIM-Karte (im Fahrzeug 110 als Telematikmodul 122 realisiert), welches dazu dient, eine Kommunikationsverbindung über ein Mobilfunksystem aufbauen zu können. Das Teilnehmeridentitätsmodul identifiziert dabei das Kommunikationsmodul 120, 194 eindeutig im Mobilfunknetz. Bei der Kommunikationsverbindung kann es sich um eine Datenverbindung (z.B. Paketvermittlung) und/oder um eine leitungsgebundene Kommunikationsverbindung (z.B. Leitungsvermittlung) handeln.
-
Das System 100 umfasst ein Nutzer-Identifikationsmodul 140, das ausgebildet ist, die Identität des Nutzers 198 des Fahrzeugs 110 festzustellen bzw. zu überprüfen. Das Nutzer-Identifikationsmodul 140, 196 kann kommunikativ und/oder elektrisch mit dem Kommunikationsmodul 120, 194 verbunden sein und kann im Fahrzeug 110 und/oder im mobilen Endgerät 190 integriert sein.
-
Die Feststellung der Identität des Nutzers 198 des Fahrzeugs 110 kann erfolgen durch:
- - eine PIN-Eingabe durch den Nutzer 198;
- - eine Identifikation des Nutzers 198 mithilfe einer im Fahrzeug 110 bzw. im mobilen Endgerät 190 integrierten Kamera (nicht gezeigt);
- - den Besitz eines zum Fahrzeug 110 registrierten Fahrzeugschlüssels;
- - den Besitz des mit dem Fahrzeug 110 verknüpften mobilen Endgeräts 190; und/oder
- - Erfassung weiterer biometrischer Merkmale des Nutzers 198.
-
Beispielsweise kann bevor eine Freischaltung von Fahrzeugfunktionen im Fahrzeug möglich ist, eine einmalige Anmeldung bzw. Registrierung durch den Nutzer 198 des Fahrzeugs 110, beispielsweise am Backend-Server 180 (oder einem anderen, die entsprechende Funktionalität bereitstellenden Server) erforderlich sein. Bei der Registrierung kann bzw. können eindeutige Kennungen des Nutzers 198 erfasst bzw. festgelegt werden, z.B.
- - eine persönliche Identifikationsnummer (PIN) des Nutzers 198; und/oder
- - persönliche Merkmale des Nutzers 198, die einen eindeutige Erkennung durch die Kamera ermöglichen (beispielsweise Iris-Erkennung, Gesichtserkennung); und/oder
- - eine Registrierung eines zum Fahrzeug 110 gehörigen Fahrzeugschlüssels mit einer eindeutigen Kennung (z.B. elektronischer Schlüssel); und/oder
- - eine Registrierung eines mit dem Fahrzeug 110 verknüpften mobilen Endgeräts 190 des Nutzers 198 (beispielsweise Seriennummer); und/oder
- - weitere biometrische Merkmale des Nutzers 198 (z.B. Fingerabdruck, Stimmbild, und/oder Handgeometrie, etc.).
-
Diese eindeutigen Kennungen können vorzugsweise in einer Speichereinheit im Fahrzeug 110 bzw. im mobilen Endgerät 190 (nicht gezeigt), auf die das Nutzer-Identifikationsmodul 140, 196 zugreifen kann und darüber hinaus optional in einer Datenbank (nicht gezeigt), auf die der Backend-Server 180 zugreifen kann, hinterlegt werden.
-
Vor jedem Aufbau einer Kommunikationsverbindung des Kommunikationsmoduls 120, 194 mit dem Backend-Server 180 kann das Nutzer-Identifikationsmodul 140, 196 ein oder mehrere der oben genannten, festgelegten eindeutigen Kennungen überprüfen, um die Identität des Nutzers 198 festzustellen. Das Nutzer-Identifikationsmodul 140, 196 kann Daten mit Bezug auf den Nutzer 198 des Fahrzeugs 110 erheben (z.B. PIN-Eingabe anfordern, Iris-Erkennung/Gesichtserkennung durchführen, etc., siehe oben) und diese Daten mit den bei der Registrierung festgelegten Daten, die in der Speichereinheit im Fahrzeug 110 hinterlegt sein können, vergleichen, um die Identität des Nutzers 198 des Fahrzeugs 110 festzustellen.
-
Bei positiver Feststellung der Identität des Nutzers 198 kann dann das Senden des Freischalt-Requests durch das Kommunikationsmodul 120, 194 an den Backend-Server 180 durch das Nutzer-Identifikations-Modul 140, 196 initiiert bzw. freigeschaltet werden. In dem Fall, in dem die erhobenen Nutzerdaten bereits mit dem Freischalt-Request an den Backend-Server 180 gesendet werden, kann der Backend-Server 180 bei positiver Feststellung der Identität des Nutzers 198 mit der Bearbeitung der Freischaltung der Fahrzeugfunktion (wie weiter unten beschrieben) fortfahren.
-
Bei negativer Feststellung der Identität des Nutzers 198 (durch das Nutzer-Identifikationsmodul 140, 196 bzw. durch den Backend-Server 180) kann die Freischaltung der Fahrzeugfunktion 160A...160N verweigert werden. Dem Nutzer 198 des Fahrzeugs 110 kann eine entsprechende Nachricht über die Ein- und Ausgabeeinheit 130, 192 ausgegeben werden.
-
Durch die Feststellung der Identität des Nutzers 198 kann vorteilhafter Weise eine unberechtigte Freischaltung einer Fahrzeugfunktion 160A...160N im Fahrzeug 110 verhindert werden. Gleichzeitig kann die Freischaltung der Fahrzeugfunktion 160A...160N an dessen Identität verknüpft werden. Dies ist besonders vorteilhaft, wenn der Nutzer 198 des Fahrzeugs 110 eine Vielzahl verschiedener Fahrzeuge, beispielsweise einer Fahrzeugflotte (z.B. Dienstwagen, Car-Sharing, Autovermietungen etc.) bewegt, da die Verknüpfung der Freischaltung der Fahrzeugfunktion 160A...160N and die Identität des Nutzers 198 eine fahrzeugübergreifende Freischaltung der Fahrzeugfunktion 160A...160N ermöglicht. Mit anderen Worten kann die Freischaltung der Fahrzeugfunktion 160A...160N spezifisch für den Nutzer 198 für eine Vielzahl von Fahrzeugen erfolgen. Gleichzeitig kann sichergestellt werden, dass für andere Nutzer der Fahrzeuge der entsprechenden Fahrzeugflotte, die keine Freischaltung der entsprechenden Fahrzeugfunktion wünschen, diese auch nicht freigeschaltet wird.
-
Der Nutzer 198 des Fahrzeugs 110 kann dessen Besitzer und/oder dessen berechtigter Fahrer sein (z.B. Fahrberechtigung eines Fahrzeugs, das zu einer Fahrzeugflotte - beispielsweise einer Geschäftswagenflotte, einer Car-Sharing-Flotte, einer Mietwagen-Flotte - gehört).
-
Das System 100 kann darüber hinaus eine Ein- und Ausgabeeinheit 130, 192, über die ein Nutzer 198 des Fahrzeugs 110 eine Freischaltung einer Fahrzeugfunktion 160A...160N für das Fahrzeug 110 anfordern kann, umfassen. Bei der Ein- und Ausgabeeinheit 130 kann es sich kann es sich um das Infotainmentsystem (nicht gezeigt) des Fahrzeugs 110 handeln. Zusätzlich oder alternativ dazu kann es sich bei der Ein- und Ausgabeeinheit um die Ein- und Ausgabeeinheit eines Externen Geräts 190 des Nutzers 198 des Fahrzeugs 110 handeln. Bei dem externen Gerät 198 kann es sich um ein stationäres Gerät, z.B. stationärer PC (Personal Computer), bevorzugt aber um ein mobiles Endgerät 190 handeln. Der Nutzer 198 des Fahrzeugs 110 kann über die Ein- und Ausgabeeinheit 130, 192 eine Anforderung zur Freischaltung einer Fahrzeugfunktion 160A... 160N für das Fahrzeug 110 initiieren.
-
Bei der zumindest einen Fahrzeugfunktion 160A... 160N kann es sich um eine Fahrzeugfunktionen 160A ... 160N handeln, die einerseits bereits im Fahrzeug 110 vorhanden bzw. durch das Fahrzeug 110 technisch realisierbar ist, andererseits dem Nutzer 198 des Fahrzeugs 110 nicht zur Nutzung im Fahrzeug 110 zur Verfügung steht. Beispielsweise kann im Fahrzeug 110 als Fahrzeugfunktion ein Navigationssystem bzw. ein navigationsfähiges System (z.B. ein Navigationsmodul umfassend die entsprechenden technischen Erfordernisse) integriert sein, um dem Fahrer 198 Hinweise zur erlaubten Höchstgeschwindigkeit auf einer momentan befahrenen Strecke über en Bordcomputer und/oder das Infotainmentsystem des Fahrzeugs 110 bereitzustellen. Gleichzeitig kann sich der Käufer des Fahrzeugs 110 entschieden haben, dass dieser keine Navigationsfunktion im Fahrzeug 110 nutzen will. In diesem Fall ist das Fahrzeug 110 technisch in der Lage, die Fahrzeugfunktion, nämlich die Navigationsfunktion, zu realisieren. Allerdings ist diese Navigationsfunktion nicht freigeschaltet.
-
Darüber hinaus kann es sich bei den Fahrzeugfunktionen 160A ... 160N um beliebige Fahrzeugfunktionen handeln, wie z.B.
- - zusätzliche Motorleistung (z.B. Freischaltung zusätzlicher PS bei einer Abriegelung des Fahrzeugs ab Werk);
- - eine höheren Akkuleistung bei BEVs (Battery Electric Vehicles bzw. Elektrofahrzeugen) und/oder PHEVs (Plug-in Hybrid Electric Vehicles bzw. Kraftfahrzeugen mit Hybridantrieb);
- - Fahrerassistenz-Funktionen wie z.B. Ampelassistent, Spurhalteassistent, etc.;
- - Fahrdynamikfunktionen;
- - Lichtfunktionen;
- - Massagesitzfunktionen; etc.
-
Das System 100 kann zudem ein Steuermodul 150 umfassen, wobei, das Steuermodul das Kommunikationsmodul 120, 194 derart steuern kann, dass das Kommunikationsmodul 120, 194 bei erfolgreicher Nutzeridentifikation durch das Nutzer-Identifikationsmodul 140, 196 und optional auch bei erfolgter Anforderung der Freischaltung der Fahrzeugfunktion 160A...160N über die Ein- und Ausgabeeinheit 130, 192 einen Freischalt-Request an einen Backend-Server 180 zu senden und eine entsprechende Freischalt-Response vom Backend-Server 180 zu empfangen, wie weiter unten genauer beschrieben.
-
Das Nutzer-Identifikationsmodul 140, 196 und optional die Ein- und Ausgabeeinheit 130 im Fahrzeug 110 können elektrisch mit dem Kommunikationsmodul 120 verbunden sein. Das Nutzer-Identifikationsmodul 196 im mobilen Endgerät und optional die Ein- und Ausgabeeinheit 130 im mobilen Endgerät 190 können kommunikativ (z.B. via Bluetooth, etc.) mit dem Kommunikationsmodul 120 des Fahrzeugs 110 verbunden sein und können elektrisch mit dem Kommunikationsmodul 194 des mobilen Endgeräts 190 verbunden sein. Dadurch kann vorteilhafter Weise das Nutzer-Identifikationsmodul 196 und optional die Ein- und Ausgabeeinheit 192 des mobilen Endgeräts 190 mit dem Kommunikationsmodul 120 des Fahrzeugs 110 kommunizieren. Über die Kommunikationsverbindung, die das Kommunikationsmodul 120 des Fahrzeugs 110 (bzw. das Kommunikationsmodul 194 des mobilen Endgeräts 190) mit dem Backend-Server 180 aufbaut, kann das Kommunikationsmodul 120, 194 einen Freischalt-Request an den Backend-Server 180 senden und eine entsprechende Freischalt-Response vom Backend-Server 180 im Sinne des Client-Server-Paradigma empfangen. Es kann vorherbestimmt werden, ob die Freischaltung der Fahrzeugfunktion 160A...N nur über Komponenten des mobilen Endgeräts 190, nur über Komponenten des Fahrzeugs 110 oder durch beliebige Kombination der Komponenten im mobilen Endgerät 190 und im Fahrzeug 110 möglich ist.
-
Somit wird nach erfolgter Identifikation des Nutzers 198 des Fahrzeugs 110 und optional auch nach einer Anforderung einer Freischaltung einer Fahrzeugfunktion das Kommunikationsmodul 120, 194 beispielsweise durch das im Fahrzeug 110 angeordnete Steuermodul 150, derart gesteuert, dass dieses den Freischalt-Request bzw. die Freischalt-Anfrage an einen Backend-Server 180 sendet. Der Backend-Server 180 kann einen entsprechenden Dienst bzw. Service bereitstellen, welcher Fahrzeugfunktionen und deren Freischaltung für Fahrzeuge 110 mit Bezug auf die Identifikation des Nutzers beispielsweise unter Verwendung von Nutzer-IDs verwaltet und beispielsweise in einer Datenbank (nicht gezeigt) hinterlegt. Der Backend-Server 180 kann den Freischalt-Request Empfangen und beispielsweise durch Abgleich mit in der Datenbank hinterlegten Daten ermitteln, ob die Fahrzeugfunktion 160A...160N für das Fahrzeug 110 und/oder für den Nutzer 198 zur Verfügung steht. Entsprechend kann der Backend-Server 180 eine Freischalt-Response erstellen. Steht die Fahrzeugfunktion für das Fahrzeug 110 und/oder den Nutzer 198 zur Verfügung, kann die Freischalt-Response einen speziell für das Fahrzeug 110 und/oder für den Nutzer 198 des Fahrzeugs generierten bzw. hinterlegten Freischalt-Code umfassen. Die Freischalt-Response kann von dem Backend-Server 180 an das Kommunikationsmodul 120, 194 gesendet werden.
-
Wenn die Freischalt-Response einen Freischalt-Code umfasst, kann das Steuermodul 150 ein Fahrzeugmodul, auf dem die angefragte Fahrzeugfunktion realisiert ist (z.B. benötigte Hardware mit entsprechend benötigter Software), derart steuert, dass die Fahrzeugfunktion 160A...160N unter Verwendung des Freischalt-Codes freigeschaltet wird. Nach Empfangen der Freischalt-Response durch das Kommunikationsmodul 120, 194 kann diese an das Steuermodul 150 weitergeleitet und dort verarbeitet werden. Enthält die Freischalt-Response einen Freischalt-Code, so kann dieser verwendet werden, um die Fahrzeugfunktion freizuschalten. Der Freischalt-Code kann ein eindeutiger, mit dem Fahrzeug 110 und/oder dem Nutzer 198 des Fahrzeugs 110 verknüpfter Freischalt-Code sein. Entsprechend kann das Steuermodul150 die der Nutzer-ID des identifizierten Nutzers entsprechenden Fahrzeugfunktionen und/oder die vom Nutzer 198 des Fahrzeugs 110 angeforderte Freischaltfunktion freischalten. Beispielsweise kann die entsprechende Fahrzeugfunktion auf einem Modul hinterlegt sein, welches die für die angeforderte Fahrzeugfunktion benötigte Hardware und/oder Software umfasst. Das Steuermodul 150 kann dieses Modul derart steuern, dass die Fahrzeugfunktion freigeschaltet wird. Vorteilhafter Weise kann so eine Fahrzeugfunktion im Fahrzeug 110 selektiv (bei Verknüpfung mit der Identität des Nutzers 198 sogar nutzerselektiv) freigeschaltet werden, ohne dass eine nachträgliche Ausrüstung des Fahrzeugs 110 erforderlich ist.
-
Das Kommunikationsmodul 120, 194 kann ein Sicherheitsmodul 124, 195 umfassen. Das Sicherheitsmodul 124, 195 kann ausgebildet sein, die Freischaltung der Fahrzeugfunktion 160A...160N durch Sicherheitsmaßnahmen abzusichern. Insbesondere kann das Sicherheitsmodul 124, 195 des Kommunikationsmoduls 120, 195 ausgestaltet sein, die Freischaltung von Fahrzeugfunktionen 160A...160N im Fahrzeug 110 gegen Eingriffe von außen (beispielsweise Hackerangriffe) abzusichern. Beispielsweise kann das Sicherheitsmodul 124, 195 eingerichtet sein, die Kommunikationsverbindung zwischen dem Kommunikationsmodul 120, 194 und dem Backend-Server 180 verschlüsselt durchzuführen. Dazu kommen alle gängigen und künftigen Verschlüsselungs- und/oder Signaturverfahren in Frage. Beispielsweise kann eine symmetrische (z.B. Stromverschlüsselung oder Blockverschlüsselung) Ende-zu-Ende-Verschlüsselung zwischen dem Kommunikationsmodul 120, 194 und dem Backend-Server 180 realisiert werden. Vorteilhafter Weise kann somit die Geheimhaltung der übertragenen Daten sichergestellt werden. Somit können die übertragenen Daten gegenüber unbefugtem Zugriff geschützt werden.
-
Darüber hinaus oder alternativ dazu kann sich das Sicherheitsmodul 124, 195 zur Absicherung der Kommunikationsverbindung einer Public-Key-Infrastruktur bedienen. Mithilfe eines asymmetrischen Krypto-Systems kann beispielsweise die Freischalt-Response des Backend-Servers 180 oder zumindest der Freischalt-Code (der bei positiver Freischaltung in der Freischalt-Response enthalten ist) über einen öffentlichen Schlüssel des Empfängers, also des Kommunikationsmoduls 120 bzw. des Fahrzeugs 110 verschlüsselt werden. Somit kann eine Entschlüsselung nur mit einem entsprechend geheimen Schlüssel des Empfängers erfolgen. Darüber hinaus oder alternativ dazu kann die Freischalt-Response oder zumindest der Freischalt-Code mithilfe eines geheimen Schlüssels des Senders (also des Backend-Servers 180) verschlüsselt werden. Dadurch kann das Sicherheitsmodul 124, 195 durch Entschlüsselung der Freischalt-Response bzw. des Freischalt-Codes mit dem öffentlichen Schlüssel des Backend-Servers 180 die Authentizität des Absenders (also des Backend-Servers 180) der Freischalt-Response bzw. des Freischalt-Codes überprüfen. Darüber hinaus oder alternativ dazu ist es möglich, dass auch der Freischalt-Request durch das Sicherheitsmodul 124, 195 mit dem öffentlichen Schlüssel des Backend-Servers 180 verschlüsselt wird, so dass der Freischalt-Request lediglich durch den Backend-Server 180 mit dessen privaten bzw. geheimen Schlüssel entschlüsselt werden kann. Zudem oder alternativ dazu kann der Freischalt-Request mit dem privaten Schlüssel des Fahrzeugs 110, der im Sicherheitsmodul 124, 195 sicher hinterlegt sein kann, verschlüsselt werden (Signatur). Dadurch kann der Backend-Server 180 mit dem öffentlichen Schlüssel des Fahrzeugs 110 die Authentizität des Absenders (also des Fahrzeugs 110) überprüfen.
-
Die Freischalt-Response des Backend-Servers 180 kann zu jedem Freischalt-Code (z.B. ein Freischalt-Code pro mit dem identifizierten Nutzer 198 verknüpften Fahrzeugfunktion 160A ... 160N) eine Gültigkeitsdauer jedes Freischalt-Codes umfassen. Die Freischalt-Response des Backend-Servers 180 kann im Fahrzeug 110 - z.B. in einer Speichereinheit (nicht gezeigt) - mit Bezug auf den identifizierten Nutzer 198 gespeichert werden. Das Steuermodul 150 kann nach einer nächsten erfolgter Nutzer-Identifikation durch das Nutzer-Identifikationsmodul 140, 196 vor der Anforderung der Freischaltung durch das Kommunikationsmodul 120, 194 von mit dem Nutzer 198 verknüpften Fahrzeugfunktion 160A ... 160N im Fahrzeug 110 zunächst überprüfen, ob bereits zumindest ein Freischalt-Code mit Bezug auf den identifizierten Nutzer 198 im Fahrzeug 110 - z.B. in der Speichereinheit - gespeichert ist.
-
Dementsprechend kann das Steuermodul 150 für den identifizierten Nutzer 198 die Freischaltung von zumindest einer Fahrzeugfunktion nur anfordern, falls
- - kein Freischalt-Code mit Bezug auf den identifizierten Nutzer 198 im Fahrzeug 110 - beispielsweise der Speichereinheit - hinterlegt ist; und/oder
- - die Gültigkeitsdauer zumindest eines mit dem Nutzer 198 verknüpften Freischalt-Codes abgelaufen ist.
-
Ansonsten kann das Steuermodul 150 das Fahrzeugmodul, auf dem die zumindest eine Fahrzeugfunktion 160A ... 160N realisiert ist, derart steuern, dass diese unter Verwendung des im Fahrzeug 110 gespeicherten zumindest einen Freischalt-Codes freigeschaltet wird. Vorteilhafter Weise kann so die Freischaltung aller mit dem identifizierten Nutzer 198 des Fahrzeugs 110 verknüpften bzw. verfügbaren Fahrzeugfunktionen 160A ... 160N stattfinden, ohne dass es einer erneuten vorherigen Kommunikation zwischen dem Kommunikationsmodul 120, 194 und dem Backend-Server 180 bedarf. Dies ist besonders vorteilhaft, falls eine Kommunikationsverbindung des Fahrzeugs 110 mit dem Backend-Server 180 vorrübergehend nicht möglich ist (z.B. schlechtes Mobilfunknetz, Fahrzeug steht in einer Tiefgarage, etc.), sowie wenn der identifizierte Nutzer 198 häufig die Fahrzeuge 110 beispielsweise einer Fahrzeugflotte wechselt, so dass in allen Fahrzeugen 110, in denen die zumindest eine mit dem Nutzer 198 des Fahrzeugs 110 verknüpfte Fahrzeugfunktion 160A ... 160N bereitgestellt werden kann und in denen die Fahrzeugfunktion 160A ... 160N hinterlegt ist, die entsprechende zumindest eine Fahrzeugfunktion 160A ... 160N umgehend freigeschaltet werden kann.
-
Der Backend-Server 180 kann zudem ausgebildet sein, das Fahrzeug 110 zu benachrichtigen, wenn für den identifizierten Nutzer 198 des Fahrzeugs 110 zumindest ein neuer Freischaltcode vorliegt. Beispielsweise kann der identifizierte Nutzer 198 des Fahrzeugs über die Ein- und Ausgabeeinheit des mobilen Endgeräts 198 eine weitere Freischaltung einer Fahrzeugfunktion 160A ... N über den Backend-Server 180 angefordert haben. In diesem Fall kann der Backend-Server 180 bei erfolgter Identifikation des Nutzers 198 durch das Nutzer-Identifikationsmodul 140, 196 eine Nachricht an das Kommunikationsmodul 120 des Fahrzeugs 110 senden, dass für den identifizierten Nutzer 198 ein neuer Freischalt-Code für eine Fahrzeugfunktion 160A ... 160N vorliegt, die noch nicht freigeschaltet wurde. Das Steuermodul 150 kann eingerichtet sein, bei erfolgter Benachrichtigung durch den Backend-Server 180 das Kommunikationsmodul 120 derart zu steuern, dass dieses einen Freischalt-Request an den Backend-Server 180 sendet und eine Freischalt-Response umfassend den neuen Freischaltcode vom Backend-Server 180 empfängt (wie oben beschrieben). In diesem Fall kann das Steuermodul 150 zumindest ein Fahrzeugmodul, auf dem die Fahrzeugfunktion 160A ... 160N , die dem neuen Freischaltcode entspricht, realisiert ist, derart steuern, dass diese freigeschaltet wird.
-
Alle beschriebenen Module können jeweils als separate Hardware-Module ausgestaltet sein, und die entsprechende Funktionalität bereitstellende Software umfassen. Die Module können aber auch als Software-Module ausgestaltet sein und in beliebiger Kombination auf einem Hardware-Modul zusammengefasst werden. Bei dem Steuermodul 150 zur Steuerung des Kommunikationsmoduls 120, 194 und dem Steuermodul 150 zur Steuerung der die angeforderten Fahrzeugfunktionen realisierenden Fahrzeugmodule können durch dasselbe Steuermodul 150 bzw. verschiedene Steuermodule über ein einziges elektronisches Steuergerät bzw. ECU bzw. auch über verschiedene elektronische Steuergeräte bzw. ECUs im Fahrzeug 110 realisiert werden.
-
2 zeigt ein beispielhaftes Verfahren 200 zur selektiven Freischaltung von Fahrzeugfunktionen 160A...160N in einem Fahrzeug 110. Die Realisierung der nachfolgenden Verfahrensschritte des Verfahrens 200 erfolgt wie oben mit Bezug auf 1 zum System 100 zur selektiven Freischaltung von Fahrzeugfunktionen 160A...160N in einem Fahrzeug 110 beschrieben.
-
Das Verfahren 200 kann folgende Verfahrensschritte umfassen:
- - Identifizieren 210 eines Nutzers 198 des Fahrzeugs 110;
- - Senden 220 eines Freischalt-Requests zur Freischaltung zumindest einer Fahrzeugfunktion 160A ... 160N für den identifizierten Nutzer (198), über ein Kommunikationsmodul 120, 194 an einen Backend-Server 180;
- - Empfangen 230, am Kommunikationsmodul, einer Freischalt-Response vom Backend-Server 180;
- - falls die Freischalt-Response zumindest einen Freischalt-Code mit Bezug auf den identifizierten Nutzer 198 umfasst:
- - Steuern 240 zumindest eines Fahrzeugmoduls derart, dass die Fahrzeugfunktion 160A... 160N freigeschaltet wird.
-
Die Freischalt-Response des Backend-Servers 180 kann zu jedem Freischalt-Code eine Gültigkeitsdauer jedes Freischalt-Codes umfassen, wobei die Freischalt-Response des Backend-Servers 180 im Fahrzeug 110 mit Bezug auf den identifizierten Nutzer 198 gespeichert wird. Das Steuermodul 150 kann vor der Anforderung der Freischaltung von zumindest einer Fahrzeugfunktion im Fahrzeug 160A ... 160N zunächst überprüfen, ob bereits zumindest ein Freischalt-Code mit Bezug auf den identifizierten Nutzer 198 im Fahrzeug 110 gespeichert ist. Das Steuermodul 150 bzw. das durch das Steuermodul 150 gesteuerte Kommunikationsmodul 120,194 kann für den identifizierten Nutzer 198 die Freischaltung von zumindest einer Fahrzeugfunktion 160A ... 160N durch einen Freischalt-Request nur dann anfordern, wenn
- - kein Freischalt-Code mit Bezug auf den identifizierten Nutzer 198 im Fahrzeug 110 (bzw. in der Speichereinheit des Fahrzeugs 110) hinterlegt ist; und/oder
- - die Gültigkeitsdauer zumindest eines Freischalt-Codes, das in der Speichereinheit des Fahrzeugs 110 hinterlegt ist, abgelaufen ist.
-
Ansonsten steuert das Steuermodul 150 das Fahrzeugmodul, auf dem die zumindest eine mit dem identifizierten Nutzer 198 des Fahrzeugs 110 verknüpften und Fahrzeugfunktion 160A ... 160N realisiert ist, derart, dass diese unter Verwendung des im Fahrzeug 110 mit Bezug auf den identifizierten Nutzer 198 gespeicherten zumindest einen Freischalt-Codes freigeschaltet wird.
-
Der Backend-Server 180 kann ausgebildet sein, das Fahrzeug 110 zu benachrichtigen, dass für den identifizierten Nutzer 198 des Fahrzeugs 110 zumindest ein neuer Freischaltcode vorliegt. In diesem Fall kann das Steuermodul 150 eingerichtet sein, bei erfolgter Benachrichtigung durch den Backend-Server 180 das Kommunikationsmodul 120, 194 derart zu steuern, dass dieses einen Freischalt-Request an den Backend-Server 180 sendet und eine Freischalt-Response umfassend den neuen Freischaltcode vom Backend-Server 180 empfängt. Das Steuermodul 150 kann zumindest ein Fahrzeugmodul, auf dem die Fahrzeugfunktion 160A ... 160N, die dem neuen Freischaltcode entspricht, realisiert ist, derart steuern, dass diese freigeschaltet wird.
-
Das Identifizieren 210 des Nutzers 198 des Fahrzeugs 110 kann über ein Nutzer-Identifikations-Modul 140, 196 erfolgen, wobei das Identifizieren 210 des Nutzers 198 des Fahrzeugs 110 umfassen kann:
- - eine PIN-Eingabe durch den Nutzer 198;
- - eine Identifikation mithilfe einer Kamera;
- - Besitz eines zum Fahrzeug 100 registrierten Fahrzeugschlüssels;
- - Besitz eines mit dem Fahrzeug 110 verknüpften mobilen Endgeräts 190; und/oder
- - Erfassung biometrischer Merkmale des Nutzers 198.
-
Darüber hinaus kann die Freischaltung der zumindest einen Fahrzeugfunktion 160A ... 160N durch ein Sicherheitsmodul 124, 195 abgesichert werden 235. Die Sicherheitsmaßnahmen zur Absicherung der Freischaltung durch das Sicherheitsmodul 124, 195 können umfassen:
- - Überprüfung zumindest eines Teils der Freischalt-Response mithilfe einer Public-Key-Infrastruktur, PKI;
- - Verschlüsselung der Kommunikationsverbindung zwischen dem Kommunikationsmodul 120, 194 und dem Backend-Server 180;
- - Gegenseitige Authentifizierung der Kommunikationsendpunkte (d.h. des Backend-Servers 180 und des Kommunikationsmoduls 120, 194); und/oder
- - Signatur und/oder Verschlüsselung zumindest des zumindest einen Freischalt-Codes der Freischalt-Response mit einem fahrzeugspezifischen und/oder steuergerätespezifischen und/oder applikationsspezifischen Schlüssel und/oder Zertifikat.
