DE102019220220A1

DE102019220220A1 - Method for storing operating data of a motor vehicle

Info

Publication number: DE102019220220A1
Application number: DE102019220220.9A
Authority: DE
Inventors: Sebastian Hoffmann; Jens Breitbart
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2019-12-19
Filing date: 2019-12-19
Publication date: 2021-06-24

Abstract

Verfahren zur Speicherung von Betriebsdaten, die während eines Betriebs des Kraftfahrzeuges (1) mit einem Fahrzeugführer entstehen, wobei die Betriebsdaten bei der Speicherung derart verschlüsselt werden, dass zum Entschlüsseln der Betriebsdaten eine Mitwirkung des Fahrzeugführers des Kraftfahrzeugs (1) erforderlich ist.Method for storing operating data that arise during operation of the motor vehicle (1) with a vehicle driver, the operating data being encrypted during storage in such a way that the driver of the motor vehicle (1) must cooperate in order to decrypt the operating data.

Description

Stand der TechnikState of the art

Betriebsdatenrekorder zum Speichern von Betriebsdaten des Betriebs eines Kraftfahrzeuges sind an sich bekannt. Es ist auch bekannt Fotos oder Kameraaufnahmen, die während oder nach einem Unfall eines Kraftfahrzeuges entstanden sind, zu speichern. Betriebsdaten und insbesondere derartige Fotos oder Kameraaufnahmen sind für Versicherungsfirmen außerordentlich interessant, um den Schuldigen eines Unfalles zu ermitteln. Mit derartigen Daten kann der Hergang eines Unfalls gegebenenfalls rekonstruiert werden.Operating data recorders for storing operating data relating to the operation of a motor vehicle are known per se. It is also known to store photos or camera recordings that were taken during or after an accident in a motor vehicle. Operating data and in particular such photos or camera recordings are extremely interesting for insurance companies in order to determine who is responsible for an accident. The course of an accident can possibly be reconstructed with such data.

Die Idee Betriebsdaten und insbesondere Fotos oder Kameraaufnahmen zu verschlüsseln, um sie vor unberechtigten Zugriffen zu schützen ist ebenfalls bekannt. Ein erhebliches Problem im Zusammenhang mit der Speicherung derartiger Daten sind Datenschutzbestimmungen und Datenschutzinteressen des Kraftfahrzeugbetreibers, des Kraftfahrzeugherstellers und des Fahrzeugführers des Kraftfahrzeuges. Datenschutzbestimmungen sind in verschiedenen Ländern zusätzlich noch verschieden, sodass sehr unterschiedliche Regulierung in diesem Zusammenhang eingehalten werden müssen, wenn ein universell einsetzbares Speichersystem für Betriebsdaten bereitgestellt werden soll.The idea of encrypting operating data and in particular photos or camera recordings in order to protect them from unauthorized access is also known. A considerable problem in connection with the storage of such data are data protection provisions and data protection interests of the motor vehicle operator, the motor vehicle manufacturer and the vehicle driver of the motor vehicle. Data protection regulations are also different in different countries, so that very different regulations have to be complied with in this context if a universally applicable storage system for operational data is to be provided.

In besonderer Weise problematisch ist es, wenn derartige Daten in der Sphäre eines Kraftfahrzeugherstellers gespeichert werden und dadurch nur der Kraftfahrzeughersteller über die Herausgabe derartiger Daten entscheiden kann. Insbesondere im Zusammenhang mit den autonom fahrenden Fahrzeugen liegt die Verantwortung für Verkehrsunfälle regelmäßig entweder beim Fahrzeugführer des Kraftfahrzeuges oder beim Hersteller des Kraftfahrzeuges, je nachdem welcher Fehler wann und wie eingetreten ist und für den Verkehrsunfall ursächlich war. In derartigen Situationen ist es für den Fahrzeugführer eines Kraftfahrzeuges extrem schwierig, seine Interessen zu vertreten, weil die notwendigen Daten zur Aufklärung der Verantwortung eines Unfalls vom Hersteller zurückgehalten werden könnten.It is particularly problematic if such data are stored in the sphere of a motor vehicle manufacturer and only the motor vehicle manufacturer can therefore decide whether to publish such data. Particularly in connection with autonomous vehicles, the responsibility for traffic accidents regularly lies either with the driver of the vehicle or with the manufacturer of the vehicle, depending on which error occurred when and how and was the cause of the traffic accident. In such situations it is extremely difficult for the driver of a motor vehicle to represent his interests because the manufacturer could withhold the necessary data for clarifying the responsibility of an accident.

Bei Unfällen mit autonom betreibbaren Kraftfahrzeugen ist beispielsweise oft zu klären, ob der Fahrzeugführer in einer Gefahrensituation rechtzeitig die Kontrolle über das Fahrzeug übernommen hat oder sich in unzulässiger Art und Weise auf den autonomen Betrieb des Fahrzeuges verlassen hat. In einer derartigen Situation sind umfangreiche aufgezeichnete Betriebsdaten extrem hilfreich.In the case of accidents with autonomously operated motor vehicles, for example, it is often necessary to clarify whether the vehicle driver has taken control of the vehicle in a timely manner in a dangerous situation or has relied on the autonomous operation of the vehicle in an inadmissible manner. In such a situation, extensive recorded operational data is extremely helpful.

Offenbarung der ErfindungDisclosure of the invention

Ausgehend von dieser Situation soll hier ein Verfahren zur Speicherung von Betriebsdaten eines Kraftfahrzeugs beschrieben werden, welches dazu geeignet ist, einen Zugriff auf Daten im Bedarfsfall zu ermöglichen, Manipulationssicherheit der Daten zu gewährleisten und gleichzeitig kompatibel zu geltenden Vertraulichkeitsinteressen, Vertraulichkeitsbestimmungen und Datenschutzbestimmungen zu sein.Based on this situation, a method for storing operating data of a motor vehicle is to be described here, which is suitable for enabling access to data if necessary, ensuring data manipulation security and at the same time being compatible with applicable confidentiality interests, confidentiality provisions and data protection provisions.

Die Erfindung betrifft ein Verfahren zur Speicherung von Betriebsdaten, die während eines Betriebs des Kraftfahrzeuges mit einem Fahrzeugführer entstehen, wobei die Betriebsdaten bei der Speicherung derart verschlüsselt werden, dass zum Entschlüsseln der Betriebsdaten eine Mitwirkung des Fahrzeugführers des Kraftfahrzeugs erforderlich ist.The invention relates to a method for storing operating data that arise during operation of the motor vehicle with a vehicle driver, the operating data being encrypted during storage in such a way that the driver of the motor vehicle must be involved in decrypting the operating data.

Dies bedeutet, dass die Betriebsdaten so verschlüsselt werden, dass ohne eine Mitwirkung des Fahrzeugführers des Kraftfahrzeugs keine Entschlüsselung der Betriebsdaten möglich ist. Ein Fahrzeugführer behält also trotz der Speicherung der Betriebsdaten die Kontrolle über die Verwertung der Betriebsdaten.This means that the operating data are encrypted in such a way that the operating data cannot be decrypted without the involvement of the driver of the motor vehicle. A vehicle driver thus retains control over the utilization of the operating data despite the storage of the operating data.

Die Erfindung betrifft ein Verfahren zur Speicherung von Betriebsdaten eines Kraftfahrzeuges aufweisend die folgenden Schritte:

a) Ermitteln eines ersten öffentlichen Schlüssels eines ersten Schlüsselpaars, dessen erster geheimer Schlüssel in einer ersten geschützten Sphäre einer für den technischen Betrieb des Kraftfahrzeugs verantwortlichen Stelle ist,
b) Ermitteln eines zweiten öffentlichen Schlüssels eines zweiten Schlüsselpaars, dessen geheimer Schlüssel in einer zweiten geschützten Sphäre eines Fahrzeugführers des Kraftfahrzeugs ist,
c) Akquirieren von Betriebsdaten des Kraftfahrzeuges während eines Betriebs des Kraftfahrzeuges,
d) Verschlüsseln der Betriebsdaten mit dem ersten öffentlichen Schlüssel und dem zweiten öffentlichen Schlüssel,
e) Ablegen der verschlüsselten Betriebsdaten auf einem Datenspeicher.

The invention relates to a method for storing operating data of a motor vehicle, having the following steps:

a) Determination of a first public key of a first key pair, the first secret key of which is in a first protected area of a body responsible for the technical operation of the motor vehicle,
b) determining a second public key of a second key pair, the secret key of which is in a second protected area of a driver of the motor vehicle,
c) Acquiring operating data of the motor vehicle while the motor vehicle is in operation,
d) Encrypting the operating data with the first public key and the second public key,
e) Storage of the encrypted operating data on a data memory.

Das erste Schlüsselpaar mit dem ersten öffentlichen Schlüssel und dem ersten geheimen Schlüssel sowie das zweite Schlüsselpaar mit dem zweiten öffentlichen Schlüssel und dem zweiten geheimen Schlüssel sind jeweils übliche Schlüsselpaare für ein asymmetrisches Verschlüsselungsverfahren. In solchen Verfahren ist es möglich, mit dem öffentlichen Schlüssel des jeweiligen Schlüsselpaars Daten zu verschlüsseln. Eine Entschlüsselung der Daten ist nur möglich, wenn auch der geheime Schlüssel des jeweiligen Schlüsselpaars zur Verfügung steht. Der geheime Schlüssel des jeweiligen Schlüsselpaars wird in einer geschützten Sphäre aufbewahrt.The first key pair with the first public key and the first secret key and the second key pair with the second public key and the second secret key are each common key pairs for an asymmetrical encryption method. In such a procedure it is possible to use the public key of the respective key pair Encrypt data. The data can only be decrypted if the secret key of the respective key pair is also available. The secret key of the respective key pair is kept in a protected area.

Die theoretische Grundlage für asymmetrische Verschlüsselungsverfahren sind Falltürfunktionen, also Funktionen, die leicht zu berechnen sind, aber ohne ein Geheimnis praktisch unmöglich zu invertieren sind. Der geheime Schlüssel ist dann eine Beschreibung der Funktion, der öffentliche Schlüssel ist die Falltür. Mit der Anwendung des öffentlichen Schlüssels auf die zu verschlüsselnden Daten, kann aus den zu verschlüsselnden Daten eine Menge an verschlüsselten Daten zu stehen, die ohne den geheimen Schlüssel wertlos sind. Eine Voraussetzung ist natürlich, dass der private Schlüssel aus dem öffentlichen nicht berechnet werden kann.The theoretical basis for asymmetric encryption methods are trapdoor functions, i.e. functions that are easy to calculate, but are practically impossible to invert without a secret. The secret key is then a description of the function, the public key is the trapdoor. With the application of the public key to the data to be encrypted, the data to be encrypted can result in a large amount of encrypted data which are worthless without the secret key. A prerequisite is of course that the private key cannot be calculated from the public one.

Asymmetrische Verschlüsselungsverfahren bzw. Falltürfunktionen können beispielsweise auf einem der folgenden mathematischen Verfahren basieren:

- elliptische Kurven,
- RSA-Verfahren,
- PGP-Verfahren

Asymmetrical encryption methods or trapdoor functions can, for example, be based on one of the following mathematical methods:

- elliptic curves,
- RSA method,
- PGP procedure

Wie weiter oben beschrieben, ist der erste geheime Schlüssel in einer geschützten Sphäre eines für den technischen Betrieb des Kraftfahrzeugs Verantwortlichen aufbewahrt. Ein solcher für den technischen Betrieb des Kraftfahrzeuges Verantwortlicher kann beispielsweise der Hersteller des Kraftfahrzeuges sein, welcher für die korrekte Funktionsweise des Kraftfahrzeuges und insbesondere der Systeme des Kraftfahrzeuges zum autonomen Fahren verantwortlich ist und gegebenenfalls auch haftbar gemacht werden kann, wenn bestimmte Funktionen des Kraftfahrzeuges nicht ordnungsgemäß funktionieren. Ein solcher für den technischen Betrieb des Kraftfahrzeuges Verantwortlicher kann aber auch eine andere Stelle sein, die zumindest gegenüber dem Fahrzeugführer des Kraftfahrzeuges eine gewisse Verantwortung für die Betriebssicherheit des Kraftfahrzeuges und seiner Systeme aufweist. Ein Beispiel für so jemanden ist doppelt? (s. Satzanfang) ein Mietwagenbetreiber oder eine ähnliche Stelle. Für die Durchführung des beschriebenen Verfahrens wird der erste geheime Schlüssel nicht benötigt bzw. der erste geheime Schlüssel muss für die Durchführung des beschriebenen Verfahrens nicht vorliegen. Die geschützte Sphäre kann daher vollkommen unabhängig von dem Kraftfahrzeug selbst sein. Bevorzugt ist dies auch tatsächlich so eingerichtet. Bei der geschützten Sphäre kann es sich beispielsweise um einen Computerserver beim Hersteller des Kraftfahrzeuges oder bei einem Mietwagenbetreiber handeln.As described above, the first secret key is stored in a protected sphere of a person responsible for the technical operation of the motor vehicle. Such a person responsible for the technical operation of the motor vehicle can be, for example, the manufacturer of the motor vehicle, who is responsible for the correct functioning of the motor vehicle and in particular the systems of the motor vehicle for autonomous driving and, if necessary, can also be held liable if certain functions of the motor vehicle do not function properly function. Such a person responsible for the technical operation of the motor vehicle can, however, also be another body that has a certain responsibility for the operational safety of the motor vehicle and its systems, at least towards the driver of the motor vehicle. An example for someone like that is double? (see beginning of sentence) a rental car operator or a similar body. The first secret key is not required to carry out the method described, or the first secret key does not have to be available to carry out the method described. The protected sphere can therefore be completely independent of the motor vehicle itself. Preferably, this is actually set up in this way. The protected sphere can be, for example, a computer server at the manufacturer of the motor vehicle or at a rental car operator.

Wie weiter oben beschrieben, ist der zweite geheime Schlüssel in einer zweiten geschützten Sphäre eines Fahrzeugführers des Kraftfahrzeuges aufbewahrt. Eine zweite geschützte Sphäre des Fahrzeugführers des Kraftfahrzeugs kann beispielsweise ein Mobiltelefon im Besitz des Fahrzeugführers des Kraftfahrzeuges oder gegebenenfalls auch eine elektronische Signaturkarte des Fahrzeugführers des Kraftfahrzeuges oder ein ähnliches Gerät sein. Es ist auch möglich, dass die zweite geschützte Sphäre des Fahrzeugführers ein Computer oder ein Netzwerkspeicher oder eine ähnliche Komponente ist, welche unter der Kontrolle des Fahrzeugführers steht. Für die Durchführung des beschriebenen Verfahrens ist es regelmäßig nicht erforderlich, dass der zweite geheime Schlüssel während der Durchführung des Verfahrens vorliegt. Daher kann die zweite Sphäre auch vollkommen losgelöst von dem Kraftfahrzeug sein. Es ist nicht erforderlich, dass die technische Einheit, die die zweite geschützte Sphäre bildet, sich in dem Kraftfahrzeug selbst befindet. In vielen Fällen ist dies aber auch nicht schädlich. Beispielsweise ist dies bei einem Mobiltelefon oder einer Signaturkarte möglich, welche die zweite geschützte Sphäre bereitstellen kann und die ein Fahrzeugführer des Kraftfahrzeuges in das Kraftfahrzeug mitnehmen kann. Es ist technisch möglich, beispielsweise in ein Mobiltelefon oder einer Signaturkarte einen geheimen Schlüssel für das beschriebene Verfahren sicher zu lagern, wenn das Mobiltelefon hardwaretechnisch und/oder softwaretechnisch entsprechend eingerichtet ist.As described above, the second secret key is stored in a second protected area of a driver of the motor vehicle. A second protected sphere of the vehicle driver of the motor vehicle can be, for example, a mobile phone in the possession of the vehicle driver of the motor vehicle or possibly also an electronic signature card of the vehicle driver of the motor vehicle or a similar device. It is also possible that the second protected sphere of the vehicle driver is a computer or a network memory or a similar component which is under the control of the vehicle driver. In order to carry out the method described, it is generally not necessary for the second secret key to be available while the method is being carried out. The second sphere can therefore also be completely detached from the motor vehicle. It is not necessary for the technical unit that forms the second protected sphere to be located in the motor vehicle itself. In many cases, however, this is not harmful either. For example, this is possible in the case of a mobile phone or a signature card which can provide the second protected sphere and which a driver of the motor vehicle can take with him into the motor vehicle. It is technically possible to securely store a secret key for the described method, for example in a mobile phone or a signature card, if the mobile phone is set up accordingly in terms of hardware and / or software.

Das Ermitteln des ersten öffentlichen Schlüssels in Schritt a) und des zweiten öffentlichen Schlüssels in Schritt b) kann das Auslesen des jeweiligen Schlüssels aus einem Speicher umfassen. Es können allerdings auch weitere Unterschritte zum Ermitteln des Schlüssels aus externen Quellen ausgeführt werden. Hierzu werden später detailliertere Varianten ausgeführt.Determining the first public key in step a) and the second public key in step b) can include reading out the respective key from a memory. However, further substeps for determining the key from external sources can also be carried out. More detailed versions of this will be given later.

Das Akquirieren von Betriebsdaten des Kraftfahrzeuges in Schritt c) umfasst insbesondere das Empfangen von verschiedenen Sensordaten von verschiedenen Sensoren in dem Kraftfahrzeug über eine Datenschnittstelle eines Betriebsdatenrekorders.The acquisition of operating data of the motor vehicle in step c) includes in particular receiving various sensor data from various sensors in the motor vehicle via a data interface of an operating data recorder.

Die in Schritt c) akquirierten Betriebsdaten werden anschließend in Schritt d) sowohl mit dem ersten öffentlichen Schlüssel als auch mit dem zweiten öffentlichen Schlüssel verschlüsselt. Bevorzugt umfasst dies die Durchführung von zwei aufeinanderfolgenden Verschlüsselungsschritten, wobei zunächst mit dem ersten öffentlichen Schlüssel oder dem zweiten öffentlichen Schlüssel und anschließend mit dem jeweils anderen Schlüssel die Verschlüsselung erfolgt. Das Ergebnis dieses Prozesses sind doppelt verschlüsselte Betriebsdaten. Die Reihenfolge der Verschlüsselung (zunächst die Verschlüsselung mit dem ersten öffentlichen Schlüssel oder zunächst die Verschlüsselung mit dem zweiten öffentlichen Schlüssel) spielt für das hier beschriebene Verfahren keine entscheidende Rolle. Vielmehr entscheidend ist, dass das Verschlüsseln mit beiden öffentlichen Schlüsseln so durchgeführt wird, dass hinterher auch beide geheime Schlüssel benötigt werden, um eine Entschlüsselung der Daten durchzuführen. Es sind auch Kryptographieverfahren denkbar, bei welchen die Betriebsdaten jeweils abschnittsweise hintereinander mit dem ersten öffentlichen Schlüssel und dem zweiten öffentlichen Schlüssel verschlüsselt werden oder aber auch eine Verschlüsselung gleichzeitig mit beiden öffentlichen Schlüsseln erfolgt. Bei solchen Verfahren kann beispielsweise immer eine geringe Teildatenmenge der Betriebsdaten zunächst mit dem ersten öffentlichen Schlüssel und dann mit dem zweiten öffentlichen Schlüssel verschlüsselt werden. Gegebenenfalls kann die Reihenfolge der Verschlüsselung mit dem ersten öffentlichen Schlüssel und dem zweiten öffentlichen Schlüssel während des Betriebs regelmäßig geändert werden.The operating data acquired in step c) are then encrypted in step d) both with the first public key and with the second public key. This preferably includes the implementation of two successive encryption steps, the encryption taking place first with the first public key or the second public key and then with the other key in each case. The result of this process is operational data that is double-encrypted. The order of encryption (first the Encryption with the first public key or initially encryption with the second public key) does not play a decisive role for the method described here. Rather, it is crucial that the encryption is carried out with both public keys in such a way that both secret keys are required afterwards in order to decrypt the data. Cryptography methods are also conceivable in which the operating data are encrypted in sections one after the other with the first public key and the second public key, or encryption is also carried out simultaneously with both public keys. In such methods, for example, a small part of the operating data can always be encrypted first with the first public key and then with the second public key. If necessary, the order of the encryption with the first public key and the second public key can be changed regularly during operation.

Das Ablegen der verschlüsselten Betriebsdaten auf einem Datenspeicher in Schritt e) erfolgt bevorzugt so, dass ein Zugriff auf diese Betriebsdaten möglich ist, wenn dieser Zugriff vorteilhaft und/oder erforderlich ist. Dies kann beispielsweise in dem Fall sein, wenn ein Unfall des Kraftfahrzeuges eingetreten ist und die Betriebsdaten zur Aufklärung dieses Unfalls verwendet werden sollen. Gegebenenfalls können die Betriebsdaten auch an mehreren Stellen abgelegt werden. Denkbar ist, dass sowohl ein Ablegen auf einem Speicher des Fahrzeugführers als auch ein Ablegen auf einem Speicher des für den technischen Betrieb des Kraftfahrzeugs Verantwortlichen erfolgt.The storage of the encrypted operating data on a data memory in step e) is preferably carried out in such a way that access to this operating data is possible if this access is advantageous and / or necessary. This can be the case, for example, when an accident has occurred in the motor vehicle and the operating data are to be used to investigate this accident. If necessary, the operating data can also be stored in several places. It is conceivable that both storage in a memory of the vehicle driver and storage in a memory of the person responsible for the technical operation of the motor vehicle take place.

Das Verfahren ist besonders vorteilhaft, wenn die Betriebsdaten zumindest eine der folgenden Arten von Daten umfassen:

- Sensordaten von Sensoren zur Überwachung des Umfeldes des Kraftfahrzeugs,
- Sensordaten von Sensoren zur Überwachung des Innenraums des Kraftfahrzeugs,
- Messdaten, zur Überwachung von Insassen des Kraftfahrzeugs, und
- Kameraaufnahmen.

The method is particularly advantageous if the operating data include at least one of the following types of data:

- Sensor data from sensors for monitoring the surroundings of the motor vehicle,
- Sensor data from sensors for monitoring the interior of the motor vehicle,
- Measurement data for monitoring occupants of the motor vehicle, and
- camera recordings.

Die beschriebenen Arten von Betriebsdaten sind hier nicht abschließend. Es ist möglich, dass weitere Arten von Betriebsdaten aufgezeichnet werden. Insbesondere ist bevorzugt, dass mindestens zwei oder sogar mindestens drei verschiedene Arten von Betriebsdaten aufgezeichnet werden. Insbesondere im Zusammenhang mit Kameraaufnahmen und Messdaten zur Überwachung von Insassen des Fahrzeuges ist es erforderlich, dass Datenschutzbestimmungen eingehalten werden. Durch das beschriebene Verfahren und die Verschlüsselung mit dem zweiten öffentlichen Schlüssel ist sichergestellt, dass nur im Falle der Zustimmung des Fahrzeugführers des Kraftfahrzeuges ein Zugriff auf die Daten möglich ist.The types of operating data described are not exhaustive here. It is possible that other types of operational data may be recorded. In particular, it is preferred that at least two or even at least three different types of operating data are recorded. Particularly in connection with camera recordings and measurement data for monitoring occupants of the vehicle, it is necessary that data protection regulations are complied with. The method described and the encryption with the second public key ensure that access to the data is only possible if the vehicle driver of the motor vehicle agrees.

Das Verfahren ist besonders vorteilhaft, wenn das Verfahren in einem Betriebsdatenrekorder des Kraftfahrzeuges durchgeführt wird.The method is particularly advantageous if the method is carried out in an operating data recorder of the motor vehicle.

Ein solcher Betriebsdatenrekorder ist üblicherweise nach Art eines Steuergerätes aufgebaut. Ein solcher Betriebsdatenrekorder kann auch als virtuellere Komponente in einem Hardware-Steuergerät realisiert sein, in welchem weitere Komponente realisiert sind. Das Hardware-Steuergerät stellt dann eine Virtualisierungsumgebung bereit, in der Hardware-Steuergeräte abgelegt und betreibbar sind.Such an operating data recorder is usually constructed in the manner of a control device. Such an operating data recorder can also be implemented as a more virtual component in a hardware control device in which further components are implemented. The hardware control device then provides a virtualization environment in which hardware control devices are stored and can be operated.

Das Verfahren ist besonders vorteilhaft, wenn der Datenspeicher in dem Betriebsdatenrekorder des Kraftfahrzeugs angeordnet ist.The method is particularly advantageous if the data memory is arranged in the operating data recorder of the motor vehicle.

Der Datenspeicher ist insbesondere in einem nicht volatilen Speicher in dem Betriebsdatenrekorder realisiert. Bevorzugt sind die Daten in dem Betriebsdatenrekorder so abgelegt, dass eine Zerstörung der Daten durch einen Unfall vollständig oder zumindest weitestgehend verhindert ist. Der Aufbau des Betriebsdatenrekorders ist in diesem Zusammenhang bevorzugt ähnlich einer Blackbox ausgeführt.The data memory is implemented in particular in a non-volatile memory in the operating data recorder. The data are preferably stored in the operating data recorder in such a way that destruction of the data by an accident is completely or at least largely prevented. In this context, the construction of the operating data recorder is preferably designed similar to a black box.

Das Verfahren ist besonders vorteilhaft, wenn der Datenspeicher in einem von dem Kraftfahrzeug separaten elektronischen Gerät angeordnet ist.The method is particularly advantageous if the data memory is arranged in an electronic device that is separate from the motor vehicle.

Das Verfahren ist besonders vorteilhaft, wenn das elektronische Gerät ein mobiles Endgerät des Fahrzeugführers des Kraftfahrzeugs ist.The method is particularly advantageous if the electronic device is a mobile terminal of the vehicle driver of the motor vehicle.

Der Datenspeicher kann insbesondere in einem transportablen elektronischen Gerät angeordnet sein, beispielsweise in einem Chip eines mobilen Endgerätes des Fahrzeugführers des Kraftfahrzeuges oder auch in einer Cloud. So kann der Fahrzeugführer des Kraftfahrzeuges die verschlüsselten Betriebsdaten unproblematisch sichern.The data memory can in particular be arranged in a portable electronic device, for example in a chip of a mobile terminal of the vehicle driver of the motor vehicle or also in a cloud. In this way, the driver of the motor vehicle can secure the encrypted operating data without any problems.

Mobile Endgeräte sind beispielsweise Mobiltelefone, Tablets oder ähnliche Komponenten. Die für das beschriebene Verfahren erforderlichen Funktionalitäten in einer Sphäre des Fahrzeugführers des Kraftfahrzeuges können mit derartigen mobilen Endgeräten einfach realisiert werden.Mobile devices are, for example, cell phones, tablets or similar components. The functionalities required for the described method in a sphere of the vehicle driver of the motor vehicle can be easily implemented with such mobile terminals.

Verfahren nach einem der vorhergehenden Ansprüche, wobei der erste öffentliche Schlüssel des ersten Schlüsselpaars in Schritt a) aus einem nicht volatilen Speicher in dem Kraftfahrzeug ermittelt wird.Method according to one of the preceding claims, wherein the first public key of the first key pair is determined in step a) from a non-volatile memory in the motor vehicle.

Ein nicht volatiler Speicher ist ein Speicher, aus dem dort einmal eingebrachte Daten nicht so einfach gelöscht werden können. Ein solcher nicht volatiler Speicher hat bevorzugt besondere Schutzmaßnahmen zur Vermeidung der Manipulation oder des Verlusts von dort eingebrachten Daten. Der erste öffentliche Schlüssel ist in dem Kraftfahrzeug bevorzugt fest hinterlegt. Der erste öffentliche Schlüssel kann beispielsweise bereits bei der Herstellung des Kraftfahrzeuges fest für dieses Kraftfahrzeug, in dem nicht volatilen Speicher in dem Kraftfahrzeug, hinterlegt sein. Der nicht volatile Speicher kann beispielsweise Bestandteil des Betriebsdatenrekorders sein. Der zugehörige erste geheime Schlüssel des ersten Schlüsselpaars wird bei der Herstellung des ersten öffentlichen Schlüssels vorzugsweise in der geschützten Sphäre des für den technischen Betrieb des Kraftfahrzeuges Verantwortlichen (beispielsweise in der Sphäre des Kraftfahrzeugherstellers) abgelegt.A non-volatile memory is a memory from which data, once brought in, cannot be easily deleted. Such a non-volatile memory preferably has special protective measures to avoid manipulation or the loss of data introduced there. The first public key is preferably permanently stored in the motor vehicle. The first public key can, for example, already be permanently stored for this motor vehicle in the non-volatile memory in the motor vehicle when the motor vehicle is manufactured. The non-volatile memory can, for example, be part of the operating data recorder. When the first public key is produced, the associated first secret key of the first key pair is preferably stored in the protected sphere of the person responsible for the technical operation of the motor vehicle (for example in the sphere of the motor vehicle manufacturer).

Das Verfahren ist besonders vorteilhaft, wenn der zweite öffentliche Schlüssel des zweiten Schlüsselpaars in Schritt b) von einem separaten elektronischen Gerät bereitgestellt wird.The method is particularly advantageous if the second public key of the second key pair is provided by a separate electronic device in step b).

Insbesondere erfolgt also auch die Bereitstellung des zweiten öffentlichen Schlüssels über ein separates elektronisches Gerät oder von einem separaten elektronischen Gerät, welches (wie weiter oben schon beschrieben) ein mobiles Endgerät eines Fahrzeugführers des Kraftfahrzeuges sein kann. Auf diese Art und Weise ist der Schlüssel einfach austauschbar, wenn ein anderer Fahrzeugführer das Kraftfahrzeug betreibt. Dann werden Betriebsdaten eines Kraftfahrzeugbetriebs, der von einem ersten Fahrzeugführer durchgeführt wird, mit dem zweiten öffentlichen Schlüssel des ersten Fahrzeugführers und die Betriebsdaten eines Kraftfahrzeugbetriebs, der von einem zweiten Fahrzeugführer durchgeführt wird, mit dem zweiten öffentlichen Schlüssel des zweiten Fahrzeugführers verschlüsselt.In particular, the second public key is also provided via a separate electronic device or from a separate electronic device, which (as already described above) can be a mobile terminal of a vehicle driver of the motor vehicle. In this way, the key can easily be exchanged when another driver is operating the motor vehicle. Then operating data of a motor vehicle operation carried out by a first vehicle driver is encrypted with the second public key of the first vehicle driver and the operating data of a motor vehicle operation carried out by a second vehicle driver is encrypted with the second public key of the second vehicle driver.

Das Verfahren ist besonders vorteilhaft, wenn der zweite öffentliche Schlüssel des zweiten Schlüsselpaars vor dem Start einer Betriebsphase des Kraftfahrzeugs in dem von dem Kraftfahrzeug separaten elektronischen Gerät generiert wird.The method is particularly advantageous if the second public key of the second key pair is generated in the electronic device separate from the motor vehicle before the start of an operating phase of the motor vehicle.

Bevorzugt befindet sich in dem separaten elektronischen Gerät eine Vorrichtung zur Generierung von öffentlichen Schlüsseln zu dem ersten geheimen Schlüssel. Auf diese Art und Weise ist eine individuelle Verschlüsselung einzelner Betriebsphasen (beispielsweise einzelner? Fahrten) des Kraftfahrzeugs möglich. Dies ermöglicht einen besonders sicheren Betrieb des beschriebenen Verfahrens. Insbesondere ist es möglich, dass Fahrzeugführer die geheimen Schlüssel ihres jeweiligen zweiten Schlüsselpaars nicht anderen Fahrzeugführern zur Verfügung stellen müssen.A device for generating public keys for the first secret key is preferably located in the separate electronic device. In this way, individual encryption of individual operating phases (for example individual trips) of the motor vehicle is possible. This enables particularly safe operation of the method described. In particular, it is possible that vehicle drivers do not have to make the secret keys of their respective second key pair available to other vehicle drivers.

Das Verfahren ist besonders vorteilhaft, wenn die Bereitstellung des zweiten öffentlichen Schlüssels des zweiten Schlüsselpaars über eine Schlüsselaustausch-Schnittstelle erfolgt.The method is particularly advantageous if the second public key of the second key pair is provided via a key exchange interface.

Die Schlüsselaustauschschnittstelle kann beispielsweise eine WLAN-Schnittstelle, eine Bluetooth-Schnittstelle oder eine andere kontaktlose Schnittstelle sein. Solche Schnittstellen sind bei üblichen mobilen Endgeräten grundsätzlich verfügbar und auch übliche Kraftfahrzeuge verfügen über solche Schnittstellen. Über solche Schnittstellen kann die Bereitstellung des zweiten öffentlichen Schlüssels für das Verfahren und für den Betriebsdatenrekorder einfach erfolgen. Insbesondere, wenn das separate elektronische Gerät ein Mobiltelefon des Fahrzeugführers des Kraftfahrzeuges ist und das Kraftfahrzeug beispielsweise eine Freisprecheinrichtung aufweist, erfolgt üblicherweise ein Verbinden des separaten elektronischen Gerätes und des Kraftfahrzeuges bei Inbetriebnahme des Kraftfahrzeuges bzw. der Freisprecheinrichtung.The key exchange interface can be, for example, a WLAN interface, a Bluetooth interface or another contactless interface. Such interfaces are basically available in conventional mobile terminals and conventional motor vehicles also have such interfaces. The second public key for the method and for the operating data recorder can be easily provided via such interfaces. In particular, if the separate electronic device is a mobile phone of the vehicle driver of the motor vehicle and the motor vehicle has, for example, a hands-free device, the separate electronic device and the motor vehicle are usually connected when the motor vehicle or the hands-free device is started up.

Das Verfahren ist besonders vorteilhaft, wenn die Bereitstellung des zweiten öffentlichen Schlüssels des zweiten Schlüsselpaars einen Fingerabdruckabgleich eines Fingerabdrucks des zweiten Schlüsselpaars umfasst.The method is particularly advantageous if the provision of the second public key of the second key pair includes a fingerprint comparison of a fingerprint of the second key pair.

Der Fingerabdruckabgleich kann dazu dienen, zu erkennen, ob in dem Betriebsdatenrekorder für die Durchführung des beschriebenen Verfahrens tatsächlich der gewünschte, üblicherweise gerade bereitgestellte zweite öffentliche Schlüssel des Fahrzeugführers angelangt ist. Über den Fingerabdruck kann ein falscher Schlüssel sehr schnell identifiziert werden. Als Fingerabdruck kann beispielsweise ein aus dem zweiten öffentlichen Schlüssel generierter Hashwert verwendet werden. Der Fingerabdruckabgleich kann beispielsweise auch teilautomatisch oder ganz automatisch erfolgen, so dass der Fahrzeugführer keine manuelle Aktion mehr durchführen muss, um den Fingerabdruckabgleich durchzuführen. Eine Möglichkeit zum teilautomatisierten Fingerabdruckabgleich ist, dass bei einem Display in dem Kraftfahrzeug ein QR-Code angezeigt wird, auf welchem eine Kamera eines mobilen Endgerätes gerichtet wird. In dem QR-Code kann der Hashwert bzw. der Fingerabdruck des Schlüssels enthalten sein. Durch die Kamera des Mobiltelefons wird der Hashwert bzw. der Fingerabdruck übertragen. So kann das mobile Endgerät bzw. das separate elektronische Gerät erkennen, ob der jeweils richtige zweite öffentliche Schlüssel verwendet wird.The fingerprint comparison can serve to recognize whether the desired, usually just provided second public key of the vehicle driver has actually arrived in the operating data recorder for carrying out the described method. A wrong key can be identified very quickly using the fingerprint. For example, a hash value generated from the second public key can be used as the fingerprint. The fingerprint comparison can also take place partially or fully automatically, for example, so that the vehicle driver no longer has to carry out any manual action in order to carry out the fingerprint comparison. One possibility for partially automated fingerprint comparison is that a QR code is displayed on a display in the motor vehicle, at which a camera of a mobile terminal device is pointed. The hash value or the fingerprint of the key can be contained in the QR code. The hash value or fingerprint is transmitted through the camera of the mobile phone. In this way, the mobile terminal or the separate electronic device can recognize whether the correct second public key is being used.

Hier auch beschrieben werden soll ein Betriebsdatenrekorder für ein Kraftfahrzeug, der zur Durchführung des beschriebenen Verfahrens eingerichtet ist.An operating data recorder for a motor vehicle which is set up to carry out the method described is also intended to be described here.

Außerdem beschrieben werden soll ein Computerprogrammprodukt, eingerichtet zur Durchführung des beschriebenen Verfahrens.A computer program product set up to carry out the described method is also to be described.

Darüber hinaus beschrieben werden soll ein maschinenlesbares Speichermedium, auf dem ein solches Computerprogrammprodukt gespeichert ist.A machine-readable storage medium on which such a computer program product is stored is also to be described.

Das hier beschriebene Verfahren wird nachfolgend anhand der Figuren näher erläutert.The method described here is explained in more detail below with reference to the figures.

Es zeigen:

1: ein Kraftfahrzeug eingerichtet zur Durchführung des beschriebenen Verfahrens,
2: einen Entschlüsselungsvorgang zur Entschlüsselung von mit dem beschriebenen Verfahren verschlüsselten Betriebsdaten.

Show it:

1 : a motor vehicle set up to carry out the described method,
2 : a decryption process for decrypting operating data encrypted with the method described.

1 zeigt ein Kraftfahrzeug 1 mit einem Betriebsdatenrekorder 6. Der Betriebsdatenrekorder 6 hat eine Datenschnittstelle 16 über welche Sensordaten von Sensoren 5 als Betriebsdaten dem Betriebsdatenrekorder 6 zur Verfügung gestellt werden. In dem Betriebsdatenrekorder 6 ist ein volatiler Speicher 9 sowie ein nicht volatiler Speicher 8 vorgesehen. Diese Aufteilung auf einen volatilen Speicher 9 und einen nicht volatilen Speicher 8 ist nicht zwangsläufig und kann im Bedarfsfall auch anders gewählt werden. 1 shows a motor vehicle 1 with a production data recorder 6th . The operating data recorder 6th has a data interface 16 about which sensor data from sensors 5 as operating data to the operating data recorder 6th to provide. In the operating data recorder 6th is a volatile memory 9 as well as a non-volatile memory 8th intended. This allocation to a volatile memory 9 and a non-volatile memory 8th is not necessary and can be chosen differently if necessary.

Ein erster öffentlicher Schlüssel 2a wird aus dem nicht volatilen Speicher 8 entnommen. Dies entspricht Schritt a) des beschriebenen Verfahrens, ein zweiter öffentlicher Schlüssel 3a wird von einem separaten elektronischen Gerät 7 bereitgestellt. Dies geschieht über eine Schlüsselaustauschschnittstelle 10, wobei bevorzugt auch ein Fingerabdruckabgleich 11 erfolgt, um die Echtheit des zweiten öffentlichen Schlüssels 3a zu verifizieren. Dies entspricht Schritt b) des beschriebenen Verfahrens.A first public key 2a becomes from the non-volatile memory 8th taken. This corresponds to step a) of the procedure described, a second public key 3a is operated by a separate electronic device 7th provided. This is done via a key exchange interface 10 , preferably also a fingerprint comparison 11 takes place to verify the authenticity of the second public key 3a to verify. This corresponds to step b) of the procedure described.

Die über die Datenschnittstelle 16 gewonnenen Daten stehen als Betriebsdaten 13 zur Verfügung. Das Einsammeln dieser Daten entspricht Schritt c) des beschriebenen Verfahrens. In dem Betriebsdatenrekorder 6 erfolgt nun die Verschlüsselung der Daten. Im hier vorliegenden Beispiel erfolgt zunächst ein zweiter Verschlüsselungsprozess 3d, sodass einfach verschlüsselte Daten 14 entstehen. Anschließend erfolgt ein erster Verschlüsselungsprozess 2d, so dass doppelt verschlüsselte Betriebsdaten 15 entstehen. Diese doppelt verschlüsselten Betriebsdaten 15 werden dann bereitgestellt (Schritt e). Die Bereitstellung dieser Daten umfasst ein Ablegen der Daten in dem nicht volatilen Speicher 8. Es sind andere Ablagemöglichkeiten der verschlüsselten Betriebsdaten 15 möglich, wie weiter vorne ausgeführt wurde. Beispielsweise eine Ablage der verschlüsselten Betriebsdaten 15 auch in dem separaten elektronischen Gerät 7. Die Durchführung der Verschlüsselungsvorgänge entspricht Schritt d) des beschriebenen Verfahrens.The via the data interface 16 Obtained data are available as operational data 13th to disposal. Collecting this data corresponds to step c) of the procedure described. In the operating data recorder 6th the data is now encrypted. In the present example, a second encryption process takes place first 3d so that data is simply encrypted 14th arise. A first encryption process then takes place 2d so that double-encrypted operational data 15th arise. This doubly encrypted operating data 15th are then provided (step e) . The provision of this data includes storing the data in the non-volatile memory 8th . There are other storage options for the encrypted operating data 15th possible, as stated earlier. For example, a storage of the encrypted operating data 15th also in the separate electronic device 7th . Carrying out the encryption processes corresponds to step d) of the procedure described.

2 zeigt wie die mit dem beschriebenen Verfahren gewonnenen Daten wieder entschlüsselt werden können. Hier zu erkennen sind schematisch der Betriebsdatenrekorder 6 sowie der nicht volatile Speicher 8 in welchem die doppelt verschlüsselten Daten 15 vorliegen. Die Entschlüsselung erfolgt bevorzugt in einer Entschlüsselungssphäre 12, die insbesondere dadurch gekennzeichnet ist, dass ihr die Inhaber beider geheimer Schlüssel, also sowohl die für den Betrieb des Kraftfahrzeugs verantwortliche Stelle als auch der Fahrzeugführer des Kraftfahrzeuges, vertrauen können. Dies kann beispielsweise in einem Verfahren zur Klärung des Ablaufs eines Unfalls sein. Hier erfolgt die Entschlüsselung mit dem ersten Geheimschlüssel 2b mit einem ersten Entschlüsselungsprozesss 2e und mit dem zweiten Geheimschlüssel 3b mit einem zweiten Entschlüsselungsprozess 3e in zur erfolgten Verschlüsselung umgekehrten Reihenfolge, so dass zunächst einfach verschlüsselte Daten 14 entstehen und anschließend wieder die Betriebsdaten 13 als Rohdaten entstehen. 2 shows how the data obtained with the described method can be decrypted again. The operating data recorder can be seen here schematically 6th as well as the non-volatile memory 8th in which the doubly encrypted data 15th are present. The decryption takes place preferably in a decryption sphere 12th which is particularly characterized by the fact that it can be trusted by the owners of both secret keys, i.e. both the body responsible for the operation of the motor vehicle and the driver of the motor vehicle. This can be, for example, in a procedure to clarify the course of an accident. Here the decryption takes place with the first secret key 2 B with an initial decryption process 2e and with the second secret key 3b with a second decryption process 3e in the reverse order to the encryption carried out, so that initially simply encrypted data 14th and then the operating data again 13th arise as raw data.

Claims

Method for storing operating data that arise during operation of the motor vehicle (1) with a vehicle driver, the operating data being encrypted during storage in such a way that the driver of the motor vehicle (1) must cooperate in order to decrypt the operating data.

Procedure according to Claim 1 , comprising the following steps: a) determining a first public key (2a) of a first key pair, the first secret key (2b) of which is in a first protected sphere (2c) of a body responsible for the technical operation of the motor vehicle (1), b ) Determining a second public key (3a) of a second pair of keys whose secret key (3b) is in a second protected sphere (3c) of a driver of the motor vehicle (1), c) acquiring operating data of the motor vehicle (1) during operation of the Motor vehicle (1), d) encrypting the operating data with the first public key (2a) and the second public key (3a), and e) storing the encrypted operating data in a data memory (4).

Procedure according to Claim 2 , operating data comprising at least one of the following types of data: - sensor data from sensors (5) for monitoring the surroundings of the motor vehicle (1), - sensor data from sensors (5) for monitoring the interior of the motor vehicle (1), - measurement data for Monitoring of occupants of the motor vehicle (1), and - camera recordings.

Procedure according to Claim 2 or 3 , the method being carried out in an operating data recorder (6) of the motor vehicle (1).

Procedure according to Claim 4 , wherein the data memory (4) is arranged in the operating data recorder (6) of the motor vehicle (1).

Procedure according to Claim 5 wherein the data memory (4) is arranged in an electronic device (7) which is separate from the motor vehicle (1).

Procedure according to Claim 6 , wherein the electronic device (7) is a mobile terminal of the driver of the motor vehicle (1).

Method according to one of the preceding claims, wherein the first public key (2a) of the first key pair is determined in step a) from a non-volatile memory (8) in the motor vehicle (1).

Method according to one of the preceding claims, wherein the second public key (3a) of the second key pair is provided in step b) by a separate electronic device (7).

Procedure according to Claim 9 , the second public key (3a) of the second key pair being generated in the electronic device (7) which is separate from the motor vehicle (1) before the start of an operating phase of the motor vehicle (1).

Procedure according to Claim 9 or 10 , the second public key (3a) of the second key pair being provided via a key exchange interface (10).

Method according to one of the Claims 9 to 11 wherein the provision of the second public key (3a) of the second key pair comprises a fingerprint comparison (11) of a fingerprint of the second key pair.

Operating data recorder (6) for a motor vehicle (1) which is used to carry out the method according to one of the Claims 1 to 12th is set up.

Computer program product set up to carry out the method according to one of the Claims 1 to 12th .

Machine-readable storage medium on which a computer program product is based Claim 13 is stored.