-
Die Erfindung betrifft ein Verfahren zum Entfernen von benutzerspezifischen und/oder fahrtenspezifischen Benutzerdaten, welche in einem Kraftfahrzeug auf mehrere Steuergeräte verteilt, also dezentral gespeichert sind. Zu der Erfindung gehört auch ein Kraftfahrzeug, welches das erfindungsgemäße Verfahren durchführen kann.
-
In einem Kraftfahrzeug kann man daran interessiert sein, die Speicherung von Daten in Steuergeräten für einen Benutzer kontrollierbar zu machen. Im Rahmen der europäischen DSGVO (Datenschutz-Grundverordnung) kann es beispielsweise von Interesse sein, einem Benutzer zu ermöglichen, die ihn betreffenden, im Kraftfahrzeug in einem oder mehreren Steuergeräten gespeicherten benutzerspezifischen Daten zu löschen. Auch fahrtenbezogene Daten, beispielsweise Daten betreffend Reibkoeffizienten unterschiedlicher Straßenabschnitte, können einen Rückschluss auf einen möglichen Aufenthaltsort eines Benutzers erlauben, weshalb ein Benutzer auch an einer Löschung solcher Daten interessiert sein kann.
-
Bisher ist das Zurücksetzen von Daten nur in einzelnen, medien- oder assistenzbezogenen Geräten, wie beispielsweise einem Infotainmentsystem (Informations-Unterhaltungssystem), oder in Smartphones bekannt, um dort beispielsweise die Telefonnummern von eingegangenen Anrufen und/oder getätigten Anrufen zu löschen. Um dagegen in einem Kraftfahrzeug sämtliche personenbezogenen und/oder fahrtenbezogenen Benutzerdaten zu löschen, wäre ein Werkstattaufenthalt notwendig, um in jedem Steuergerät, welches während des Betriebs des Kraftfahrzeugs Daten erfasst und gespeichert hat, mittels einer Neuinitialisierung von diesen zu befreien.
-
Stattdessen möchte man aber dem Fahrer selbst oder allgemein einem Benutzer oder Halter eines Kraftfahrzeugs die Möglichkeit geben, ohne Werkstattaufenthalt alle Steuergeräte seines Kraftfahrzeugs beispielsweise auf eine Werkseinstellung zurückzusetzen, sodass also ein Benutzer des Kraftfahrzeugs die volle Kontrolle über seine Benutzerdaten und/oder Fahrtendaten behält, wenn beispielsweise das Kraftfahrzeug an jemanden anderen weitergegeben wird, um das Kraftfahrzeug beispielsweise zu verleihen oder zu verkaufen.
-
Aus der
US 2015/0277942 A1 ist ein Telematiksystem bekannt, in welchem ein Benutzer seine Benutzereinstellungen zurücksetzen kann.
-
Aus der
US 2015/0288636 A1 ist dasselbe System unter dem Aspekt beschrieben, dass die Telematiksysteme mehrerer Kraftfahrzeuge zugleich mit Fernsteuerbefehlen versorgt werden können.
-
In der
US 2015/0281374 A1 ist beschrieben, dass in dem besagten Telematiksystem auch dann die Benutzereinstellungen zurückgesetzt werden können, falls eine Zündung des Kraftfahrzeugs ausgeschaltet ist. Hierzu wird ein Aufwecksignal verwendet.
-
Die aus dem Stand der Technik bekannten Lösungen beziehen sich jeweils auf ein einzelnes Steuergerät, nämlich ein Telemetriesystem, in welchem Benutzerdaten zentral verwaltet werden.
-
Der Erfindung liegt die Aufgabe zugrunde, in einem Kraftfahrzeug einem Benutzer die Kontrolle über Benutzerdaten zu verschaffen, die auf mehrere Steuergeräte aufgeteilt gespeichert sind.
-
Die Aufgabe wird durch die Gegenstände der unabhängigen Patentansprüche gelöst. Vorteilhafte Ausführungsformen der Erfindung sind durch die abhängigen Patentansprüche, die folgende Beschreibung sowie die Figur beschrieben.
-
Durch die Erfindung ist ein Verfahren zum Entfernen von benutzerspezifischen und/oder fahrtenspezifischen Benutzerdaten bereitgestellt. Das Verfahren geht davon aus, dass diese Benutzerdaten in einem Kraftfahrzeug auf mehrere Steuergeräte aufgeteilt gespeichert sind. Während benutzerspezifische Benutzerdaten direkt einem Benutzer oder einer Benutzeridentität oder Benutzergruppe zugeordnet sind, ist mit fahrtenspezifischen Benutzerdaten gemeint, dass ein indirekter Rückschluss auf zumindest eine Person ermöglicht ist, da die Fahrtendaten einen Verlauf zumindest einer Fahrt beschreiben und anhand der Kenntnis über den jeweiligen Fahrer und/oder Fahrzeuginsassen während der Fahrt ebenfalls eine Information über den Aufenthalt zumindest einer Person gegeben ist.
-
Bei dem Verfahren wird in dem Kraftfahrzeug eine Auslöseeinrichtung bereitgestellt, die überprüft, ob eine Auslösebedingung erfüllt ist. Falls die Auslösebedingung erfüllt ist. wird durch die Auslöseeinrichtung über einen Datenbus des Kraftfahrzeugs ein vorbestimmter gemeinsamer Löschbefehl an die mehreren Steuergeräte des Kraftfahrzeugs ausgesendet. Mit anderen Worten wird sichergestellt, dass die mehreren Steuergeräte, auf welche die Benutzerdaten verteilt sind, alle auf denselben Löschbefehl reagieren, weshalb dieser als „gemeinsamer Löschbefehl“ bezeichnet ist. Somit kann durch Versenden des Löschbefehls als sogenannter Broadcastbefehl an die Steuergeräte über den Datenbus erreicht werden, dass alle diese Steuergeräte mit nur einem einzigen Löschbefehl angesteuert werden können. Jedes der Steuergeräte führt in dem Fall, dass es den Löschbefehl aus dem Datenbus empfängt, eine vorbestimmte Löschroutine durch, durch welche die in dem jeweiligen Steuergerät gespeicherten Benutzerdaten überschrieben und/oder gelöscht werden. Ein weiterer Aspekt der Erfindung sieht also vor, dass in jedem der Steuergeräte die Löschroutine bereitgestellt wird. Indem jedes Steuergerät auf den Löschbefehl aus dem Datenbus reagiert und in jedem Steuergerät eine Löschroutine bereitgestellt ist, muss also in dem Kraftfahrzeug nur dafür gesorgt werden, dass die besagte Auslösebedingung erfüllt ist und infolgedessen wird dann in dem Kraftfahrzeug in jedem der Steuergeräte durch Überschreiben und/oder Löschen der Benutzerdaten die Information über den Benutzer gelöscht. Benutzerdaten können im Sinne der Erfindung beispielsweise sein: zumindest eine Telefonnummer und/oder zumindest ein Reiseziel und/oder eine Sitzposition und/oder eine Spiegeleinstellung eines Rückspiegels und/oder Außenspiegels und/oder Fahrtverlaufsinformationen in zumindest einem Fahrerassistenzsystem. Bevorzugt ist vorgesehen, dass mittels des Verfahrens alle Steuergeräte, die während eines Betriebs des Kraftfahrzeugs Daten speichern, insbesondere benutzerspezifische und/oder fahrtenspezifische Benutzerdaten, mittels des Löschbefehls angesteuert werden und die entsprechende Löschroutine bereit halten.
-
Durch die Erfindung ergibt sich der Vorteil, dass durch Einstellen oder Herbeiführen der Auslösebedingung in dem Kraftfahrzeug überall dort, wo Benutzerdaten in dem Kraftfahrzeug entstanden und/oder gespeichert sind, diese entfernt werden. Durch besagte Überschreiben der Benutzerdaten kann sichergestellt werden, dass ein Vorhandensein der Benutzerdaten kaschiert oder versteckt wird. Durch Löschen der Benutzerdaten kann zumindest sichergestellt werden, dass diese nicht mehr rekonstruierbar sind.
-
Die Erfindung umfasst auch Ausführungsformen, durch die sich zusätzliche Vorteile ergeben.
-
In einer Ausführungsform wird durch die Löschroutine in einem oder einigen oder jedem der Steuergeräte jeweils ein Werkszustand wieder hergestellt. Mit anderen Worten wird in dem jeweiligen Datenspeicher, in welchem die Benutzerdaten gespeichert sind, jeweils ein Datenzustand oder ein Dateninhalt wieder hergestellt, wie er bei Auslieferung oder ab Werk in dem jeweiligen Steuergerät vorlag. Hierdurch ergibt sich der Vorteil, dass sich das Kraftfahrzeug in einem Auslieferzustand befindet und somit auch keine indirekten Rückschlüsse auf den jeweiligen Gerätezustand des jeweiligen Steuergeräts möglich sind. Das jeweilige Steuergerät enthält nur die Informationen, die es unmittelbar nach der Herstellung und Initialisierung beim Hersteller enthielt.
-
In einer Ausführungsform umfasst die besagte Auslöseeinrichtung eine für den Benutzer zugängliche oder zugänglich gehaltene Bedieneinrichtung und die Auslösebedingung, die durch diese Auslöseeinrichtung detektiert oder geprüft wird, umfasst dabei, dass über die Bedieneinrichtung eine vorbestimmte Bedienhandlung des Benutzers empfangen wird. Mit anderen Worten muss der Benutzer an der Bedieneinrichtung die vorbestimmte Bedienhandlung ausführen, wodurch dann die Auslösebedingung erfüllt ist, das heißt dass der Löschbefehl durch die Auslöseeinrichtung in den Datenbus ausgesendet wird. Somit kann ein Benutzer jederzeit durch Ausüben der Bedienhandlung sicherstellen, dass die Benutzerdaten in dem Kraftfahrzeug gelöscht werden.
-
Mehrere Ausführungsformen betreffen die Ausgestaltung der besagten Bedieneinrichtung. In einer Ausführungsform umfasst die Bedieneinrichtung einen mechanischen Schalter, beispielsweise einen Taster, oder ein Bedienelement einer grafischen Benutzeroberfläche, also beispielsweise einen Menüeintrag eines Bedienmenüs oder eine Tast- oder Bedienfläche. Eine grafische Benutzerschnittstelle, das heißt eine GUI (Graphical User Interface), kann beispielsweise auf einem Touchscreen des Kraftfahrzeugs angezeigt oder erzeugt werden. Eine Ausführungsform umfasst als Bedieneinrichtung einen Lenkstockschalter eines Lenkrads. Ein solcher Lenkstockschalter kann durch eine Multifunktionsanzeige (das heißt ein Kombiinstrument) überwacht oder abgefragt werden, um über den Lenkstockschalter eine vorbestimmte Bedienhandlung zu erkennen, beispielsweise eine vorbestimmte Bewegungsabfolge, die der Benutzer mit dem Lenkstockschalter durchführt. Eine Ausführungsform sieht vor, dass die Bedieneinrichtung ein Bedienelement umfasst, das mit zumindest einer von dem Auslösen des Löschbefehls (verschiedenen Bedienfunktion belegt ist, also zum Ausführen oder Auslösen zumindest einer anderen Bedienfunktion betätigt werden kann oder dient, und die besagte vorbestimmte Bedienhandlung eine vorbestimmte Abfolge von Bedienschritten umfasst, durch welche die zumindest eine Bedienfunktion unausgelöst bleibt. Mit anderen Worten kann also das Bedienelement zum Auslösen zumindest einer Bedienfunktion in dem Kraftfahrzeug bereitgestellt sein. Wird allerdings an diesem Bedienelement die vorbestimmte Abfolge von Bedienschritten durchgeführt, beispielsweise dreimal Drücken und/oder einmal für eine vorbestimmte Mindestzeitdauer gedrückt halten, so wird hierdurch nicht die zumindest eine Bedienfunktion ausgelöst oder angesteuert, sondern es wird die Auslösebedingung erfüllt, wodurch also der Löschbefehl ausgelöst oder erzeugt wird. Hierdurch kann ein und dasselbe Bedienelement sowohl für die zumindest eine Bedienfunktion als auch zum Auslösen des Löschbefehls genutzt werden. In einer Ausführungsform umfasst die Bedieneinrichtung ein Internetportal zum Bedienen des Kraftfahrzeugs von einem Internetzugang aus. Mit anderen Worten kann also der Benutzer über das Bedienportal von außerhalb des Kraftfahrzeugs den Löschbefehl auslösen. Von dem Internetportal aus kann beispielsweise ein Internetserver über eine Internetverbindung dann den Löschbefehl in dem Kraftfahrzeug auslösen. Das Kraftfahrzeug kann hierzu über eine Mobilfunkverbindung und/oder eine WLAN-Verbindung (WLAN - Wireless Local Area Network) mit dem Internet gekoppelt sein. Die Verwendung eines Internetportals weist den besonderen Vorteil auf, dass der Löschbefehl auch nachträglich, wenn der Benutzer das Kraftfahrzeug nicht mehr erreichen kann, weil er es beispielsweise bereits verkauft oder anderweitig weggegeben hat, noch in dem Kraftfahrzeug ausgelöst werden kann.
-
In einer Ausführungsform umfasst das Auslösekriterium, dass eine vorbestimmte Nutzungsdauer des Kraftfahrzeugs endet und/oder ein durch eine Fahrzeugsicherungseinrichtung signalisierter Ablauf einer Nutzungsberechtigung des Kraftfahrzeugs vorliegt. Die Nutzungsdauer kann beispielsweise in der Auslöseeinrichtung gespeichert sein, indem beispielsweise Nutzungsdauerdaten gespeichert sind. Wird das Kraftfahrzeug beispielsweise als Mietfahrzeug vermietet, so kann die Mietdauer als Nutzungsdauer vorgegeben sein. Eine Fahrzeugsicherungseinrichtung kann beispielsweise in der Form bereitgestellt sein, dass Berechtigungsdaten eines Fahrzeugschlüssels, insbesondere eines digitalen Fahrzeugschlüssels, auf ihre Gültigkeit geprüft werden. Ist ein Fahrzeugschlüssel ungültig, weil beispielsweise der Fahrzeugschlüssel nur für eine vorbestimmte Nutzungsdauer freigeschaltet ist und/oder ein Sperrbefehl für den Nutzungsschlüssel empfangen worden ist, so kann die Fahrzeugsicherungseinrichtung bei weiterer Verwendung des Fahrzeugschlüssels signalisieren, dass die Nutzungsberechtigung für das Kraftfahrzeug abgelaufen ist und entsprechend alle Benutzerdaten zu löschen sind. Die Fahrzeugsicherungseinrichtung kann beispielsweise durch ein Schließsystem des Kraftfahrzeugs bereitgestellt sein.
-
In einer Ausführungsform sind die Benutzerdaten jeweils einer aus mehreren vorbestimmten Sicherheitsstufen zugeordnet. Auch die Auslösebedingung ist gestuft ausgestaltet, das heißt die Auslösebedingung definiert mehrere unterschiedliche Löschstufen, die jeweils angeben, für welche Sicherheitsstufe die Löschroutine durchgeführt werden soll. Jede Löschstufe gibt also an, für welche Sicherheitsstufe die Löschroutine durchgeführt werden soll. Durch die Löschroutine in den Steuergeräten werden dann alle Benutzerdaten der durch die Löschstufe ausgewählten Benutzerdaten gelöscht, also die Benutzerdaten der zugehörigen Sicherheitsstufe und jeder niedrigeren Sicherheitsstufe. Mit anderen Worten wird für den Fall, dass die Auslösebedingung erfüllt ist, durch die Auslöseeinrichtung auch ermittelt, für welche Löschstufe die Auslösebedingung erfüllt ist. Es kann beispielsweise eine Löschstufe für das Verlassen des Kraftfahrzeugs geben, sodass die Benutzerdaten dieser Löschstufe bereits gelöscht werden, wenn der Benutzer das Kraftfahrzeug nur temporär verlässt (beispielsweise nach Erreichen des Arbeitsplatzes oder nach Erreichen der Wohnung). Eine höhere Löschstufe kann vorsehen, dass Benutzerdaten gelöscht werden, weil die Auslösebedingung angibt, dass der Benutzer das Kraftfahrzeug für einen vorbestimmten längeren Zeitraum, beispielsweise für einen Tag oder eine Woche, verlässt und/oder an eine andere Person verleiht. Eine weitere, höhere Löschstufe kann angeben, dass der Benutzer das Kraftfahrzeug dauerhaft abgibt und somit alle Benutzerdaten zu löschen sind. Somit kann zwischen unterschiedlichen Sicherheitsgraden oder Dringlichkeitsgraden für das Löschen der Benutzerdaten unterschieden werden.
-
In einer Ausführungsform wird der Löschbefehl mehrfach ausgesendet. Hierdurch kann sichergestellt werden, dass ein Steuergerät, welches beispielsweise aufgrund eines Neustarts des Steuergeräts und/oder einer verspäteten Empfangsbereitschaft den ersten Löschbefehl nicht empfängt oder nicht verarbeitet, dennoch zuverlässig den Löschbefehl erhält.
-
In einer Ausführungsform wird durch jedes der Steuergeräte eine Quittiernachricht in den Datenbus ausgesendet, falls der Löschbefehl empfangen wurde und/oder die Löschroutine durchgeführt wurde. Die Auslöseeinrichtung oder eine vorbestimmte Rechnereinheit überprüft anhand von über den Datenbus empfangenen Quittiernachrichten und einer Liste der Steuergeräte, ob jedes der Steuergeräte seine Quittiernachricht ausgesendet hat. Bei Fehlen der Quittiernachricht zumindest eines der Steuergeräte wird ein Hinweissignal an den Benutzer ausgegeben. Somit erhält der Benutzer in vorteilhafter Weise eine Warnung, falls nicht alle Steuergeräte den Löschbefehl und/oder das Durchführen der Löschroutine quittieren. Damit ist der Benutzer informiert, dass Benutzerdaten im Kraftfahrzeug verblieben sind. Das Erzeugen der Quittiernachricht bereits bei Empfangen des Löschbefehls weist den Vorteil auf, dass mit geringer Zeitverzögerung entschieden werden kann, ob alle Löschgeräte den Löschbefehl empfangen haben. Das Auslösen der Quittiernachricht erst nach Durchführen der Löschroutine weist den Vorteil auf, dass mit der Quittiernachricht das erfolgreiche Beseitigen der Benutzerdaten quittiert wird. Die Rechnereinheit, die zum Überprüfen der Quittiernachrichten bereitgestellt sein kann, kann beispielsweise durch das Infotainmentsystem des Kraftfahrzeugs gebildet sein. Die Rechnereinheit kann einen Bildschirm ansteuern, um einem Benutzer eine Hinweisnachricht zum Informieren des Benutzers anzuzeigen.
-
In einer Ausführungsform routet zumindest ein Gateway des Datenbusses den Löschbefehl in mehrere unterschiedliche Buszweige hinein. Hierdurch ergibt sich der Vorteil, dass auch über unterschiedliche Bustechnologien hinweg, beispielsweise für CAN (Controller Area Network) und Ethernet und LIN (Local Interconnect Network) derselbe Löschbefehl an Steuergeräte übermittelt werden kann.
-
Die Erfindung umfasst auch gemäß einem Aspekt das Kraftfahrzeug mit den mehreren Steuergeräten, die jeweils dazu eingerichtet sind, während eines Betriebs des Kraftfahrzeugs personenbezogene und/oder fahrtenbezogene Benutzerdaten zu erzeugen und zu speichern. Die Steuergeräte sind dabei über einen drahtgebundenen Datenbus mit einer Auslöseeinrichtung gekoppelt. Der Datenbus kann auf einer oder mehreren Bustechnologien beruhen, die zumindest eine der folgenden Bustechnologien umfassen können: CAN, Ethernet, LIN, MOST (Media Oriented Systems Transport). Die Auslöseeinrichtung kann beispielsweise auf der Grundlage eines Steuergeräts oder einer elektronischen Schaltung oder eines Verbunds mehrerer Steuergeräte und/oder elektronischer Schaltungen realisiert sein. Die Auslöseeinrichtung kann für die Überprüfung der beschriebenen Auslösebedingung beispielsweise einen Prozessor vorsehen, der mit einem Datenspeicher gekoppelt ist, in welchem computerlesbare Instruktionen gespeichert sind, die bei Ausführen durch den Prozessor die Auslösebedingung überprüfen und das Erzeugen des Löschbefehls bewirken. Insgesamt sind in dem Kraftfahrzeug die Steuergeräte (mit ihrer Löschroutine) und die Auslöseeinrichtung dazu eingerichtet, eine Ausführungsform des erfindungsgemäßen Verfahrens durchzuführen. Die Steuergeräte können die Löschroutine beispielsweise auf der Grundlage eines Prozessors mit damit gekoppeltem Datenspeicher realisieren, wobei in dem Datenspeicher computerlesbare Instruktionen gespeichert sein können, die bei Ausführen durch den Prozessor des Steuergeräts die Löschroutine durchführen, also beispielsweise die Benutzerdaten mit vorbestimmten anderen Daten überschreiben und/oder die Benutzerdaten löschen, insbesondere eine Werkseinstellung wieder herstellen. Des Weiteren können in den Steuergeräten deren Akzeptanzfilter, welche Busnachrichten aus dem Datenbus filtern, dahingehend erweitert oder angepasst sein, dass die Akzeptanzfilter den Löschbefehl aus dem Datenbus empfangen und an den Prozessor des Steuergeräts weiterleitet.
-
Das erfindungsgemäße Kraftfahrzeug ist bevorzugt als Kraftwagen, insbesondere als Personenkraftwagen oder Lastkraftwagen, oder als Motorrad ausgestaltet.
-
Im Folgenden sind Ausführungsbeispiele der Erfindung beschrieben. Hierzu zeigt:
- 1 eine schematische Darstellung einer Ausführungsform des erfindungsgemäßen Kraftfahrzeugs; und
- 2 ein Flussschaudiagramm zur Veranschaulichung einer Ausführungsform des erfindungsgemäßen Verfahrens.
-
Bei dem im Folgenden erläuterten Ausführungsbeispiel handelt es sich um eine bevorzugte Ausführungsform der Erfindung. Bei dem Ausführungsbeispiel stellen die beschriebenen Komponenten der Ausführungsform jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden und damit auch einzeln oder in einer anderen als der gezeigten Kombination als Bestandteil der Erfindung anzusehen sind. Des Weiteren ist die beschriebene Ausführungsform auch durch weitere der bereits beschriebenen Merkmale der Erfindung ergänzbar.
-
In den Figuren sind funktionsgleiche Elemente jeweils mit denselben Bezugszeichen versehen.
-
1 zeigt ein Kraftfahrzeug 10, bei dem es sich um einen Kraftwagen, insbesondere einen Personenkraftwagen oder Lastkraftwagen, oder einen Personenbus oder ein Motorrad handeln kann. In dem Kraftfahrzeug 10 kann ein Datenbus 11 bereitgestellt sein, über welchen mehrere Steuergeräte 12 mit einer Auslöseeinrichtung 13 gekoppelt sein können. Der Datenbus 11 kann mehrere unterschiedliche Datenbustechnologien umfassen (beispielsweise CAN, Ethernet, LIN und/oder MOST), die über ein Gateway 14 gekoppelt sein können. Auslassungspunkte symbolisieren in 1, dass der Datenbus 11 mehr als die gezeigten Steuergeräte oder auch weniger umfassen kann.
-
In den Steuergeräten 12 können z.B. durch die Steuergeräte 12 selbst während eines Betriebs des Kraftfahrzeugs 10 Benutzerdaten 15 erzeugt und gespeichert werden. Beispielsweise kann ein Steuergerät 12 ein Medienwiedergabegerät sein, welches Abspiellisten und/oder Wunschlisten eines Benutzers speichern kann. Ein Steuergerät 12 kann ein Fahrerassistenzsystem sein, welches zu Fahrstrecken, die mittels des Kraftfahrzeugs 10 regelmäßig oder wiederholt zurückgelegt werden, Fahrverlaufsdaten als Benutzerdaten 15 speichert. Ein Steuergerät 12 kann für eine Telefonieanwendung vorgesehen sein und als Benutzerdaten 15 beispielsweise Telefonnummern und/oder ein digitales Adressbuch speichern. Dies sind nur Beispiele für mögliche Steuergeräte 12, welche Benutzerdaten 15 erzeugen und speichern können. Die Benutzerdaten 15 können personenbezogen und/oder fahrtenbezogen sein.
-
Bei dem Kraftfahrzeug 10 ist es einem Benutzer ermöglicht, ohne Werkstattaufenthalt selbsttätig sicherzustellen, dass die Benutzerdaten 15 gelöscht werden. Dies kann er ohne Werkstattaufenthalt selbst auslösen oder durchführen. Hierzu ist die Auslöseeinrichtung 13 vorgesehen, die eine Auslösebedingung 16 überwachen kann. Ist die Auslösebedingung 16 erfüllt, so kann die Auslöseeinrichtung 13 einen Löschbefehl 17 über den Datenbus 11 an alle Steuergeräte 12 aussenden. In den Steuergeräten 12 kann jeweils eine Löschroutine 18 bereitgestellt sein, die von dem jeweiligen Steuergerät 12 ausgeführt wird, falls über den Datenbus 11 der Löschbefehl 17 empfangen wird. Durch die Löschroutine 18 wird bei deren Ausführung in den Steuergeräten 12 das Löschen und/oder Überschreiben der Benutzerdaten 15 bewirkt. Damit kann durch Erfüllen einer einzelnen Auslösebedingung 16 sichergestellt werden, dass im gesamten Kraftfahrzeug 10 alle gespeicherten Benutzerdaten 15 in den Steuergeräten 12 gelöscht werden. Die Löschroutine 18 kann beispielsweise hierzu vorsehen, dass das jeweilige Steuergerät 12 in einen Werkszustand oder Auslieferungszustand zurückversetzt wird.
-
2 veranschaulicht hierzu ein mögliches Verfahren, wie es in dem Kraftfahrzeug 10 durch die Steuergeräte 12 und die Auslöseeinrichtung 13 durchgeführt werden kann. In einem Schritt S10 kann die Auslöseeinrichtung überprüfen, ob die Auslösebedingung 16 erfüllt ist. Falls die Auslösebedingung 16 erfüllt ist, kann in einem Schritt S11 über den Datenbus 11 des Kraftfahrzeugs 10 ein Löschbefehl 17 ausgesendet werden, der für alle Steuergeräte 12 gilt. Jedes der Steuergeräte 12 führt in einem Schritt S12 in dem Fall, dass es den Löschbefehl 17 aus dem Datenbus 11 empfängt, eine vorbestimmte Löschroutine 18 durch, durch welche die in dem jeweiligen Steuergerät 12 gespeicherten Benutzerdaten 15 gelöscht und/oder überschrieben werden.
-
Das Grundkonzept sieht somit vor, dass ein zentraler Löschbefehl generiert wird, der von einem Steuergerät, welches die Auslöseeinrichtung darstellt, auf allen Fahrzeugnetzwerken gesendet werden kann. Damit können ohne detaillierte Kenntnis der gespeicherten personenbezogenen Benutzerdaten diese dezentral in jedem Steuergerät (Speicherort) gelöscht werden.
-
Es geht um einen Löschbefehl für personenbezogene Daten. So kann vorgesehen sein, dass ein Diagnoseinterface für den Datenbus (z.B. das Gateway) nach einer vorbestimmten Bedienhandlung oder aufgrund eines vorher festgelegten Auslöseereignisses hin den zentralen Löschbefehl 17 für alle personenbezogenen Benutzerdaten an alle Steuergeräte aussenden.
-
Der entsprechende Löschbefehl 17 ist bevorzugt Bestandteil einer bereits vorhandenen zyklischen Botschaft (beispielsweise 10 mal aktiv gesetztes Bit), die auf allen Fahrzeugnetzwerken (CAN, FlexRay, Ethernet) gesendet wird, was in 1 durch den Datenbus 11 repräsentiert ist. Die Position der Signale kann aus der entsprechenden Datenfestlegung entnommen werden.
-
Ein Steuergerät 12, in dem personenbezogene Benutzerdaten 15 gespeichert sind, löscht diese nach Empfang des Löschbefehls 17 selbständig, ohne eine Bestätigung zu senden, der Empfang der Botschaft wird jedoch bevorzugt mittels einer Quittiernachricht 19 quittiert.
-
Die aktuell eingestellte Konfiguration wird durch den Empfang eines Löschbefehls gemäß einer Ausführungsform nicht verändert. D.h. es werden nur Benutzerdaten, aber keine Konfigurations- oder Einstellungsdaten verändert.
-
Die Generierung des Löschbefehls 17 kann wie folgt vorgesehen sein. Ein Löschbefehl 17 für personenbezogene Benutzerdaten wird bevorzugt nur bei Klemme 15 ein' (Zündung ein) akzeptiert. Der Löschbefehl 17 wird bevorzugt nach dem Einschalten der ,Klemme 15' frühestens nach 30 Sekunden gesendet, damit die Empfänger aktiv sind. Zur Aktivierung des Löschbefehls stehen je nach Fahrzeugvariante die folgenden Varianten zur Verfügung:
- a) Explizite Bedienhandlung:
- Eine speziell dafür definierte Bedienhandlung (gleichzeitiges Drücken verschiedener Tasten oder eine separate Taste) wird als zentraler Löschbefehl für personenbezogene Daten interpretiert und vom Gateway auf allen Netzwerken ausgesendet.
- b) Menüeintrag:
- Ein neu zu definierender Menüeintrag im MIB/HMI enthält ein Auswahlmenü zur Löschung personenbezogener Daten, das der Kunde per Checkbox aktivieren kann. Nach Auswahl dieser Checkbox wird der Löschbefehl gesendet.
- c) Automatisches Löschen:
- Nach Beendigung der Nutzungsdauer (z.B. berechtigte Mietwagennutzung) werden automatisch die personenbezogenen Daten gelöscht. Dazu wird das Gateway von der Fahrberechtigung bzw. Zutrittsberechtigung über das Ende der Nutzungsdauer informiert.
- d) Diagnosebefehl:
- Ein in der Diagnose definierter und dem Steuergerät über Diagnosebefehle mitgeteilter „RESET-Zustand“ führt zum Löschen personenbezogener Daten. In Fahrzeugen mit Onboardtester-Funktionalität wird dieser Befehl auch vom Onboardtester versendet.
-
Eine mögliche Signalzuordnung für eine Busnachricht kann wie folgt aussehen (Realisierungsvorschlag einer Botschaftsbelegung):
| Botschaft: | Systeminfo_01 |
| Identifier [hexadezimal]: | 0×585 |
| Identifier [dezimal]: | 1413 |
| Protokoll: | Classical/FD |
| Botschaftslänge: | 8 |
| Zykluszeit normal [ms]: | 1000 |
| Zykluszeit schnell [ms]: | [leer] |
| Inhibitzeit [ms]: | 10 |
| StartDelay [ms]: | 0 |
| Botschaftstyp: | Application |
| GenMsgSendType: | cyclic (zyklisch) |
| GenMsg N rOfRepetition: | [leer] |
| Signal: | Sl_xxx |
| StartByte: | 4 |
| StartBit: | 7 |
-
Zunächst setzt die Lösung das Vorhandensein eines Datennetzwerkes im Fahrzeug voraus, welches z.B. durch CAN, Ethernet oder LIN realisiert ist. Ein Löschbefehl stellt eine Busnachricht oder ein Datum dar, das auf dem gesamten Bussystem gesendet wird und von allen Steuergeräten empfangen wird, bewirkt das Zurücksetzen aller Steuergeräte in den Auslieferungszustand, d.h. alle Daten die nach der Auslieferung an den Käufer gespeichert werden, z.B. Telefonnummern, Reiseziele, Sitzpositionen (Memeorysitz). Spiegeleinstellungen (Memoryfunktion), werden in den Auslieferungszustand zurückgesetzt. Das heutige zurücksetzen auf Werkseinstellungen im Infotainment wirkt nur im Zentralrechner des Infotainmentsteuergerätes. Das Auslösen eines zentralen Löschbefehls mittels eines Werkstatttesters ist mit einem Werkstattbesuch verbunden. Es soll aber mit einer einzigen Bedienhandlung im Fahrzeug sicher gestellt werden, dass alle Steuergeräte des Fahrzeugs in den Werkszustand zurückgesetzt werden. Dazu kann entweder der Zentralrechner so erweitert werden, dass er einen Befehl auf einem Datenbus sendet, der in allen Steuergeräten das Zurücksetzen bewirkt, sobald der Menüpunkt aufgerufen wird. Eine weitere Möglichkeit besteht darin, dass man einen solchen Befehl in die Multifunktionsanzeige (Bordcomputer) aufnimmt und mittels der dafür vorgesehenen Bedienelemente wie Lenkstockschalter oder Lenkradschalter durch das Menü der Multifunktionsanzeige scrollt und dort diesen Befehl auswählt. Dies bewirkt dann das Senden des Löschbefehls 17 durch den Bordcomputer auf allen Bussystemen und eine entsprechendes Zurücksetzen aller Steuergeräte. Eine weitere Ausführung wäre eine eigens dafür geschaffene Bedienstelle, z.B. ein Taster, dessen Position von einem Steuergerät des Netzverbunds ausgelesen wird und der ebenfalls das Senden des Rücksetzbefehls bewirkt.
-
Folgende Elemente können dafür notwendig sein:
- 1. die Definition eines Rücksetzbefehls auf den Bussystemen
- 2. Die Akzeptanzfilter aller Steuergeräte müssen diesen Befehl empfangen und mittels einer geeigneten SW-Routine die notwendigen Daten löschen.
- 3. Ein ggf. vorhandenes Gatewaysteuergerät muss diesen Befehl auf alle Bussysteme durchrouten 4. einbringen einer Bedienstelle
-
Das Auslösen des Löschbefehls z.B. durch den Fahrer, dazu müssen nicht einzelne Steuergeräte ausgewählt werden. Eine zentrale Bedienung löst eine Löschung (Zurücksetzen in Werkszustand) aller persönlichen Daten in allen Steuergeräten aus.
-
Eine definierte Bedienhandlung oder ein Menüpunkt im zentralen Display oder im Infotainment löst den Löschbefehl aus. Ein automatisiertes Löschen nach Ende der Nutzung ist ebenfalls möglich.
-
Der Löschvorgang kann vom Fahrzeugnutzer selbstbestimmt ausgelöst werden.
-
Insgesamt zeigt das Beispiel, wie durch die Erfindung ein globaler (fahrzeugweiter) Reset aller Datenspeicher mit personenbezogenem Inhalt auf eine Werkseinstellung bereitgestellt werden kann.
-
Bezugszeichenliste
-
- 10
- Kraftfahrzeug
- 11
- Datenbus
- 12
- Steuergerät
- 13
- Auslöseeinrichtung
- 14
- Gateway
- 15
- Benutzerdaten
- 16
- Auslösebedingung
- 17
- Löschbefehl
- 18
- Löschroutine
- 19
- Quittiernachricht
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- US 2015/0277942 A1 [0005]
- US 2015/0288636 A1 [0006]
- US 2015/0281374 A1 [0007]
