-
Die Erfindung bezieht sich auf ein Verfahren zum Übertragen eines Datensatzes zwischen einem digitalen Tachografen und einem elektronischen Steuergerät, wobei der Tachograf und das Steuergerät zumindest temporär zur Übertragung des Datensatzes mittels einer Datenverbindung verbunden sind. Außerdem bezieht sich die Erfindung auf ein Datenübertragungssystem zum Ausführen eines vorgenannten Verfahrens sowie auf einen digitalen Tachografen für ein solches Datenübertragungssystem und ein Kraftfahrzeug mit einem Tachografen.
-
Ein eingangs genanntes Verfahren ist beispielsweise im Zusammenhang mit einen digitalen Fahrtschreiber, auch als digitaler Tachograf bezeichnet, eines Kraftfahrzeuges bekannt. In dem Fahrtschreiber werden unter anderem Fahrerfahrtdaten, wie z. B. Lenk- und Ruhezeiten eines Fahrer des Kraftfahrzeuges, und auch fahrzeugbezogene Daten aufgrund gesetzlicher Vorschriften gespeichert und verarbeitet.
-
Über eine Datenschnittstelle des Fahrtschreibers können diese gesetzlich vorgeschriebenen Daten aus dem Fahrtschreiber ausgelesen und z. B. auf einem Zentralrechner oder einem lokalen Auswertegerät ausgewertet und/oder weiterverarbeitet werden. Zur Bezeugung einer Integrität der aus dem Fahrtschreiber ausgelesenen Daten ist es bekannt, diese mit einer digitalen Signatur zu versehen. Ein entsprechendes digitales Signaturverfahren wird bei einem bekannten Auslesen der gesetzlich vorgeschriebenen Daten aus dem Fahrtschreiber automatisch ausgeführt.
-
Der Erfindung liegt die Aufgabe zugrunde, in dem Fahrtschreiber vorliegende, insbesondere auch nicht auf gesetzlichen Vorschriften beruhende, Daten in einem einfachen, an individuelle Erfordernisse anpassbaren Verfahren, das eine einfache Möglichkeit einer Überprüfung der Integrität der Daten ermöglicht, einem externen Gerät zur Verfügung zu stellen.
-
Die Aufgabe wird erfindungsgemäß mit einem Verfahren der eingangs Art und dadurch gelöst, dass das Verfahren die Schritte umfasst:
- - Sammeln und/oder Berechnen von Daten als Tachografendaten in dem Tachografen;
- - Entscheiden, ob von dem Steuergerät bei dem Tachografen zum Übertragen anzufragende spezifizierte Daten der Tachografendaten eines Integritätsschutzes bedürfen; wenn für die spezifizierten Daten ein Integritätsschutz erforderlich ist, dann:
- - Anfragen der spezifizierten Daten aus der Menge der Tachografendaten und Anfragen des Integritätsschutzes für die spezifizierten Daten von dem Steuergerät bei dem Tachografen;
- - Zusammenstellen der angefragten spezifizierten Daten als Rohdaten durch den Tachografen;
- - Erzeugen des Integritätsschutzes für die zusammengestellten Rohdaten durch den Tachografen, wobei der Integritätsschutz erzeugt wird aus einer von dem Tachografen erstellten Sendungskennung und einem eindeutigen Zählwert, welcher von dem Tachografen vergeben wird, und einer die zusammengestellten Rohdaten einschließlich der Sendungskennung und des Zählwerts erfassenden, von dem Tachografen erstellten kryptographischen Signatur;
- - Erstellen des Datensatzes durch Anfügen des Integritätsschutzes an die zusammengestellten Rohdaten;
- - Senden des Datensatzes von dem Tachografen an das Steuergerät.
-
Von besonderem Vorteil ist bei dem erfindungsgemäßen Verfahren, dass es eine Möglichkeit schafft, Daten mit einem vergleichsweise nur geringen Rechenaufwand gesichert bezüglich ihrer Integrität und Authentizität und geschützt gegen so genannte Replay-Attacken durch einen Tachografen zur Verfügung zu stellen. Außerdem ist es vorteilhaft nicht erforderlich, für alle von dem Tachografen zu versendenden Daten den Integritätsschutz vorzusehen, sondern nur für die Daten, für welche ein solcher Schutz nach Entscheidung des die Daten anfragenden Steuergeräts erforderlich ist. Damit kann nicht nur die Datenübertragung zwischen dem Tachografen und dem Steuergerät vereinfacht und beschleunigt werden, sondern es werden zudem auch nicht unnötig Kapazitäten des Tachografen gebunden, die dann nicht für andere auszuführende Tachografenaufgaben, z. B. eine Kommunikation mit weiteren Steuergeräten, zur Verfügung stehen. Das erfindungsgemäße Verfahren ermöglicht es in einfacher Weise, Tachografendaten, d. h. in dem Tachografen gesammelte und/oder berechnete Fahrzeugdaten, also Daten aus dem Kraftfahrzeug einschließlich beispielsweise fahrerbezogenen Daten eines das Kraftfahrzeug führenden Fahrers, in welches der Tachograf eingebaut ist, einem externen Steuergerät zur Verfügung zu stellen, wobei die derart zur Verfügung gestellten Daten glaubwürdig von vertrauenswürdiger Herkunft, nämlich dem Tachografen, sind. Integrität bedeutet, dass die tatsächliche Herkunft der Daten der erwarteten Herkunft, nämlich hier von dem Tachografen, entspricht und/oder dass die tatsächlich erhaltenen Daten den, beispielsweise bezogen auf den Dateninhalt (z. B. eine Geschwindigkeitsangabe), erwarteten Daten entsprechen.
-
Das elektronische Steuergerät ist ein externes Steuergerät, d. h. es ist nicht, insbesondere nicht integraler, Bestandteil des Tachografen. Das Steuergerät kann mit dem Tachografen zur Datenübertragung z. B. mittels einer Steckerverbindung oder einer Kabelverbindung oder drahtlos verbunden sein. Die Verbindung des Steuergerätes mit dem Tachografen kann grundsätzlich dauerhaft bestehen. Sie besteht aber zumindest temporär für die Übertragung der Daten von dem Tachografen zu dem Steuergerät. Das Steuergerät kann z. B. auch fest in das Kraftfahrzeug, in das der Tachograf eingebaut ist, eingebaut sein und z. B. über einen die Datenverbindung bildenden Datenbus mit dem Tachografen verbunden sein. Das Steuergerät kann sich grundsätzlich aber auch außerhalb des Kraftfahrzeugs befinden.
-
Der Tachograf ist mit einem Geschwindigkeitsgeber (beispielsweise auch als Drehzahlgeber oder z. B. Induktivgeber bezeichnet) eines Kraftfahrzeugs sowie gegebenenfalls mit weiteren Datenquellen des Kraftfahrzeugs verbunden. Eine solche Verbindung kann beispielsweise durch Einbindung des Tachografen in ein Fahrzeugdatennetz des Kraftfahrzeugs erfolgen. Von dem Geschwindigkeitsgeber und gegebenenfalls weiteren Datenquellen des Kraftfahrzeuges sammelt der Tachograf in Form von Rohdaten Informationen z. B. über das Kraftfahrzeug und/oder die Fahrt des Kraftfahrzeugs. Es ist auch denkbar, dass der Tachograf aus gesammelten Daten weitere Daten berechnet. Die gesammelten und/oder berechneten Daten können z. B. in einem Datenspeicher des Tachografen gespeichert werden. Die in dem Tachografen vorliegenden Daten, d. h. die von dem Tachografen gesammelten und/oder berechneten Daten, sind die Tachografendaten. Die Tachografdaten sind im Sinne vorliegender Erfindung Rohdaten, so dass die Tachografendaten eine Menge von Rohdaten darstellen.
-
Z. B. das Steuergerät oder beispielsweise ein mit dem Steuergerät verbundenes weiteres Gerät, z. B. ein Zentralrechner (auch als Server oder Back-End bezeichnet), welches über das Steuergerät bei dem Tachografen Daten anfragt, entscheidet, ob für diese Daten ein Integritätsschutz erforderlich ist. Diese Entscheidung hängt insbesondere davon ab, ob das Steuergerät beziehungsweise z. B. der Zentralrechner für die konkreten, spezifizierten Daten einen Integritätsschutz benötigt. Daraus ergibt sich, dass nicht pauschal alle Daten, sondern nur die konkret spezifizierten, d. h. bestimmten und vorgegebenen, Daten mit dem Integritätsschutz versehen werden.
-
Das Spezifizieren der Daten erfolgt mit und durch die Anfrage der Daten, d. h. das Steuergerät gibt mit der Anfrage der Daten eine entsprechende Information an den Tachografen, welche der Daten (gegebenenfalls alle oder nur ein Teil) mit Integritätsschutz zu versehen sind. Dadurch ist das erfindungsgemäße Verfahren schnell, und es ermöglicht z. B. eine Datenübertragung unter Echtzeitbedingungen oder zumindest nahe an Echtzeitbedingungen. Grundsätzlich kommuniziert das Steuergerät zur Datenanfrage mit dem Tachografen. Jedoch kann die Entscheidung, ob für die anzufragenden Daten der Integritätsschutz erforderlich ist oder nicht, sowohl von dem Steuergerät selbst als auch gegebenenfalls von z. B. dem, beispielsweise über Fernkommunikation mit dem Steuergerät verbundenen, Zentralrechner erfolgen. Grundsätzlich ist es auch möglich, dass die Entscheidung, ob von dem Steuergerät bei dem Tachografen zum Übertragen anzufragende Daten des Integritätsschutzes bedürfen, automatisch in Abhängigkeit von den Informationen, welche die anzufragenden Daten geben, beispielsweise eine Fahrgeschwindigkeit oder ein zurückgelegter Weg des Kraftfahrzeugs, getroffen wird. Zudem ist es auch denkbar, dass das Steuergerät derart eingestellt ist, dass alle bei dem Tachografen zum Übertragen anzufragenden Daten eines Integritätsschutzes bedürfen, d. h. dass die Entscheidung bezüglich einer Erfordernis des Integritätsschutzes immer „Ja“ ist.
-
Der Integritätsschutz für die zusammengestellten Rohdaten wird durch den Tachografen selbst erzeugt. Dabei weist der Integritätsschutz zum einen die von dem Tachografen erstellte Sendungskennung auf. Die Sendungskennung kann insbesondere von dem Tachografen vergeben oder dem Datensatz zugeordnet werden. Sie kann insbesondere eine Inhalts- und/oder Herkunftskennung aufweisen. Somit kann die Sendungskennung vorzugsweise eine Aussage über einen Dateninhalt und/oder eine Datenherkunft der zusammengestellten Rohdaten des Datensatzes beinhalten. Die Sendungskennung kann beispielsweise auch eine Verwendungskennung aufweisen, wobei die Verwendungskennung eine Aussage über eine vorgesehene weitere Datenverwendung der zusammengestellten Rohdaten des Datensatzes beinhalten kann. Außerdem weist der Integritätsschutz den von dem Tachografen vergebenen, d. h. insbesondere erzeugten, Zählwert auf. Wichtig ist, dass der Zählwert eindeutig, insbesondere unikal, also nur einmal vorkommend, ist. Vorteilhaft kann damit ein Schutz vor Replay-Attacken geboten werden. Der Zählwert kann z. B. mittels eines Zählers des Tachografen hochgezählt sein. Anstelle eines solchen Hochzählens ist aber beispielsweise auch ein Herunterzählen des Zählwerts grundsätzlich denkbar. Darüber hinaus weist der Integritätsschutz die von dem Tachografen erstellte kryptographische Signatur auf, welche sowohl die zusammengestellten Rohdaten des Datensatzes als auch die Sendungskennung und den Zählwert erfasst.
-
Der Tachograf sendet den durch Anfügen des speziellen Integritätsschutzes an die zusammengestellten Rohdaten erstellten Datensatz an das Steuergerät und gegebenenfalls an weitere potentielle Empfänger, z. B. weitere mit dem Tachografen zumindest temporär mittels einer Datenverbindung verbundene Steuergeräte. Das Steuergerät kann den von dem Tachografen gesendeten Datensatz dann empfangen und gegebenenfalls überprüfen.
-
Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen angegeben.
-
Man könnte sich z. B. vorstellen, dass das erfindungsgemäße Verfahren einmalig (beispielsweise auf eine Diagnoseanfrage des Steuergeräts hin) gestartet wird. Eine gezielte, regelmäßige Datenübertragung kann hingegen erreicht werden, wenn gemäß einer vorteilhaften Weiterbildung der Erfindung das Anfragen der spezifizierten Daten aus der Menge der Tachografendaten und des Integritätsschutzes von dem Steuergerät bei dem Tachografen einmalig erfolgt und wenn danach ausgelöst durch ein Zeitereignis und/oder durch ein Vorgangsereignis das Zusammenstellen der Daten, Erzeugen des Integritätsschutzes, Erstellen des Datensatzes und Senden des Datensatzes von dem Tachografen an das Steuergerät erfolgt. Das Zeitereignis kann z. B. ein bestimmter Zeitpunkt (beispielsweise eines Tages) sein oder beispielsweise nach Ablauf einer bestimmten Zeitspanne eintreten, somit zyklisch erfolgen. Das Vorgangsereignis kann z. B. durch eine Eingabe eines Bedieners in den Tachografen oder beispielsweise durch ein Signal, welches der Tachograf über ein Fahrzeugdatennetz, an das er angeschlossen ist, erhält, ausgelöst werden.
-
Gemäß einer anderen vorteilhaften Weiterbildung der Erfindung wird die kryptographische Signatur anhand eines von dem Tachografen ausgewählten Schlüssels erstellt. Vorzugsweise ist der Schlüssel in einem geschützten Speicher des Tachografen abgelegt.
-
Für einen sicheren, aber einfachen Verfahrensablauf ist es von Vorteil, wenn gemäß einer Weiterbildung der Erfindung eine Schlüsselkennung des ausgewählten Schlüssels von dem Tachografen bei dem Erstellen der Sendungskennung zu der Sendungskennung hinzugefügt wird. Dadurch weist die Sendungskennung neben beispielsweise einer Inhalts- und/oder Herkunftskennung dann auch die Schlüsselkennung auf. Damit kann die Sendungskennung vorzugsweise eine Schlüsselkennung für einen Schlüssel, der von dem Tachografen zum Erstellen der kryptographischen Signatur verwendet wird, aufweisen.
-
Einer anderen vorteilhaften Weiterbildung der Erfindung gemäß wird eine Gerätekennung des Tachografen, beispielsweise eine individuelle Gerätenummer, von dem Tachografen bei dem Erstellen der Sendungskennung zu der Sendungskennung hinzugefügt. Die Gerätekennung des Tachografen ist somit bei dieser Weiterbildung Bestandteil der Sendungskennung. Auf diese Weise kann anhand des von dem Tachografen an das Steuergerät gesendeten Datensatzes unmittelbar und ohne Aufwand festgestellt werden, von welchem Tachografen genau und damit auch von welchem Kraftfahrzeug (in welches der Tachograf eingebaut ist) der Datensatz stammt.
-
Einer anderen vorteilhaften Weiterbildung der Erfindung gemäß wird nach dem Senden des Datensatzes der Zählwert von dem Tachografen erhöht. D. h. nach jedem Senden eines nach dem erfindungsgemäßen Verfahren erzeugten Datensatzes wird bei dieser Weiterbildung der Zählwert erhöht. Das Vornehmen einer solchen Erhöhung kann als Zählvorgang bezeichnet werden. Vorzugsweise kann der Zählwert um einen Wert „1“ erhöht werden, so dass der Tachograf, insbesondere ein Zähler des Tachografen, den Zählwert in einfacher Weise hochzählen kann. Grundsätzlich kann der Zählwert aber auch um einen von dem Wert „1“ abweichenden Wert erhöht werden. Es ist auch denkbar, dass sich der Wert der Erhöhung ändert, also nicht bei jedem Zählvorgang gleich ist. Grundsätzlich erforderlich für z. B. einen Schutz vor Replay-Attacken ist beispielsweise nicht, dass z. B. eine vollständige nachvollziehbare Sendeliste von Datensätzen mit beispielsweise fortlaufenden Zählwerten vorliegt, sondern dass bei der hier beschriebenen Weiterbildung der Erfindung der Zählwert eines nachfolgend gesendeten Datensatzes höher ist als der Zählwert des diesem Datensatz vorhergehend gesendeten Datensatzes.
-
Einer anderen vorteilhaften Weiterbildung der Erfindung gemäß erfolgt ein Überprüfen des Datensatzes durch das Steuergerät, wobei das Überprüfen ein Vergleichen des Zählwertes mit einem zuletzt als entsprechender Zählwert durch das Steuergerät empfangenen Zählwert umfasst. Das Steuergerät kann das Vergleichen vorzugsweise mittels eines Vergleichers des Steuergeräts vornehmen. Der zuletzt als entsprechender Zählwert durch das Steuergerät empfangene Zählwert ist ein von dem Tachografen gesendeter Zählwert, insbesondere ein mit einem vorhergehend von dem Tachografen an das Steuergerät gesendeten, gemäß dem erfindungsgemäßen Verfahren erstellten Datensatz gesendeter und durch das Steuergerät empfangener Zählwert. Dieser zuletzt als entsprechender Zählwert durch das Steuergerät empfangene Zählwert kann z. B. in einem Datenspeicher des Steuergeräts gespeichert sein. Grundsätzlich kann vorgesehen sein, dass das Steuergerät derart ausgebildet ist, dass es die mit erfindungsgemäß erstellten Datensätzen von dem Tachografen gesendeten Zählwerte jeweils in dem vorgenannten Datenspeicher des Steuergeräts speichert. Das Überprüfen des Datensatzes gemäß der hier beschriebenen Weiterbildung umfasst vorzugsweise ein Feststellen, ob der Zählwert unikal ist, d. h. sich von dem oder den vorher empfangenen Zählwerten unterscheidet, und/oder ob der Wert des Zählwerts größer ist als der zuletzt empfangene Zählwert. Ist das nicht der Fall, so besteht der Verdacht einer Integritätsverletzung des Datensatzes, und das Steuergerät kann z. B. ein Warnsignal erzeugen. Liegt dem Steuergerät kein früherer Zählwert zum Vergleich vor, z. B. im Falle eines erstmaligen Empfangs eines gemäß dem erfindungsgemäßen Verfahren erstellten Datensatzes, so kann z. B. ein Benutzer durch das Steuergerät aufgefordert werden, einen solchen Umstand zu bestätigen, um in einem solchen Fall nicht automatisch auf eine mögliche Integritätsverletzung des Datensatzes zu schließen.
-
Von besonderem Vorteil für einen einfachen, schnellen und sicheren Verfahrensablauf ist es, wenn gemäß einer anderen Weiterbildung der Erfindung die Sendungskennung die Schlüsselkennung aufweist und wenn das Überprüfen des Datensatzes durch das Steuergerät ein Prüfen der kryptographischen Signatur mittels eines anhand der Schlüsselkennung ausgewählten Schlüssels umfasst. Der Schlüssel selbst kann vorzugsweise in einem geschützten Speicher des Steuergeräts abgelegt sein.
-
Einer anderen vorteilhaften Weiterbildung der Erfindung gemäß weist die Sendungskennung eine Dateninhaltskennung auf und das Überprüfen des Datensatzes durch das Steuergerät umfasst ein Prüfen der Dateninhaltskennung gegenüber den Rohdaten. Diese Rohdaten sind die durch den Tachografen zusammengestellten spezifizierten Daten des von dem Tachografen an das Steuergerät gesendeten Datensatzes. Mittels der Dateninhaltskennung kann beim Überprüfen in einfacher Weise eine Plausibilitätsprüfung für die Daten vorgenommen werden. Werden bei dem Überprüfen von dem Steuergerät Unstimmigkeiten festgestellt, so ist das ein Hinweis auf eine mögliche Integritätsverletzung des Datensatzes.
-
Es wird ferner ein Datenübertragungssystem angegeben. Das Datenübertragungssystem umfasst einen digitalen Tachografen und ein elektronisches Steuergerät. Das Datenübertragungssystem ist dazu eingerichtet, mittels des Tachografen und des Steuergeräts ein erfindungsgemäßes Verfahren zum Übertragen eines Datensatzes zwischen dem Tachografen und dem Steuergerät auszuführen.
-
Außerdem wird ein digitaler Tachograf angegeben. Der Tachograf ist dazu eingerichtet, in einem vorgenannten Datenübertragungssystem als der digitale Tachograf zu funktionieren. Der Tachograf stellt somit den digitalen Tachografen des Datenübertragungssystems dar.
-
Weiterhin wird ein Kraftfahrzeug, insbesondere Nutzfahrzeug, mit einem vorgenannten digitalen Tachografen angegeben. Vorzugsweise kann das Kraftfahrzeug ein vorgenanntes Datenübertragungssystem aufweisen.
-
Zu der Erfindung gehören auch Weiterbildungen des Datenübertragungssystems und/oder des digitalen Tachografen und/oder des Kraftfahrzeugs, die Merkmale aufweisen, wie sie bereits im Zusammenhang mit den Weiterbildungen des erfindungsgemäßen Verfahrens beschrieben worden sind. Aus diesem Grund sind die entsprechenden Weiterbildungen des Datenübertragungssystems, des digitalen Tachografen und des Kraftfahrzeuges hier nicht noch einmal beschrieben. Die Erfindung umfasst auch nicht einzeln aufgeführte Kombinationen der Merkmale der beschriebenen Ausführungsformen und Weiterbildungen.
-
Ausführungsbeispiele der Erfindung sind in der Zeichnung skizzenhaft und schematisiert dargestellt und werden im Folgenden anhand der Figuren näher beschrieben.
-
Es zeigen
- 1: ein Datenübertragungssystem mit einem Tachografen und mit einem Steuergerät,
- 2: eine grafische Darstellung eines Verfahrens zum Übertragen eines Datensatzes,
- 3: eine grafische Darstellung eines weiteren Verfahrens zum Übertragen eines Datensatzes und
- 4: eine Übersichtsgrafik eines Verfahrens zum Übertragen eines Datensatzes.
-
Sich jeweils entsprechende Elemente sind in allen Figuren mit gleichen Bezugszeichen versehen.
-
1 zeigt in skizzenhafter und schematisierter Darstellung ein Datenübertragungssystem 1 mit einem digitalen Tachografen 2 und mit einem elektronischen Steuergerät 4. Der Tachograf 2 und das Steuergerät 4 sind zumindest temporär zur Übertragung eines Datensatzes mittels einer Datenverbindung 6 verbunden. Über die Datenverbindung 6 wird der Datensatz, z. B. aus einem Datenspeicher 8 des Tachografen 2, von dem Tachografen 2 an das Steuergerät 4 gesendet. Das Steuergerät 4 empfängt den Datensatz. Es kann vorgesehen sein, dass das Steuergerät 4 den Datensatz, z. B. auf Integrität des Datensatzes, überprüft.
-
In seinem bestimmungsgemäßen Gebrauch ist der Tachograf 2 in ein hier nicht dargestelltes Kraftfahrzeug, insbesondere Nutzfahrzeug, beispielsweise Lastkraftwagen, eingebaut. Das elektronische Steuergerät 4 kann ebenfalls in dem Kraftfahrzeug angeordnet sein. Das Steuergerät 4 kann sich aber auch außerhalb des Kraftfahrzeugs befinden. Die Datenverbindung 6 kann beispielsweise eine drahtlose Datenverbindung sein. Bei der Datenverbindung 6 kann es sich aber auch um eine kabelgebundene Datenverbindung handeln. Z. B. kann die Datenverbindung 6 auch in eine mögliche Steckerverbindung zwischen Steuergerät 4 und Tachograf 2 integriert sein. Allgemein kann die Datenverbindung 6 Bestandteil eines Datennetzwerks sein.
-
Der Tachograf 2 empfängt z. B. über ein hier nicht im Einzelnen dargestelltes Fahrzeugdatennetzwerk 9 des Kraftfahrzeugs, an welches Fahrzeugdatennetzwerk 9 der Tachograf 2 in diesem Ausführungsbeispiel angeschlossen ist, Daten von verschiedenen Datenquellen des Kraftfahrzeugs, z. B. verschiedenen Fahrzeugsensoren und/oder verschiedenen Fahrzeugsteuergeräten des Kraftfahrzeugs. Diese von Datenquellen des Kraftfahrzeugs empfangenen Daten sammelt der Tachograf 2 und führt auf Basis der gesammelten Daten gegebenenfalls zusätzlich Berechnungen durch. Die von dem Tachografen 2 gesammelten und/oder berechneten Daten werden in diesem Ausführungsbeispiel als Tachografendaten in dem Datenspeicher 8 abgelegt.
-
Für die Datenverbindung 6 zum Übertragen des Datensatzes zwischen dem Tachografen 2 und dem Steuergerät 4 weist der digitale Tachograf 2 eine Datenschnittstelle 10 auf. Korrespondierend mit dieser Datenschnittstelle 10 des Tachografen 2 weist das elektronische Steuergerät 4 für die Datenverbindung 6 mit dem Tachografen 2 eine erste Datenschnittstelle 12 auf. In dem hier gezeigten Ausführungsbeispiel weist das Steuergerät 4 außerdem eine zweite Datenschnittstelle 14 für eine Datenfernübertragung z. B. zu einem Zentralrechner oder beispielsweise einem so genannten Back-End auf.
-
Das Steuergerät 4 ist beispielsweise ein Telematikgerät. Das Steuergerät 4 kann aber auch ein beliebiges anderes - z. B. auch ein fest in das Kraftfahrzeug eingebautes und gegebenenfalls an das Fahrzeugdatennetzwerk 9 angeschlossenes - Steuergerät sein, das zum Empfang eines Datensatzes von dem Tachografen 2 ausgebildet ist.
-
In den 2, 3 sind jeweils Ausführungsbeispiele von Verfahren zum Übertragen eines Datensatzes zwischen einem digitalen Tachografen 2 und einem elektronischen Steuergerät 4 auszugsweise grafisch dargestellt.
-
2 zeigt ein elektronisches Steuergerät 4 und einen digitalen Tachografen 2, der einen Datenspeicher aufweist, in welchem Tachografendaten abgelegt sind. Die Tachografendaten hat der Tachograf 2 durch Sammeln und/oder Berechnen von Fahrzeug- und/oder Fahrerdaten eines Kraftfahrzeugs, in das der Tachograf 2 eingebaut ist, gewonnen.
-
Aus der Menge der in dem Datenspeicher abgelegten Tachografendaten fragt das Steuergerät 4 spezifizierte Daten und einen Integritätsschutz für diese spezifizierten Daten an (RWIP). Der Tachograf 2 stellt daraufhin die angefragten spezifizierten Daten als Rohdaten zusammen (CRD). Danach erzeugt der Tachograf 2 den Integritätsschutz für die zusammengestellten Rohdaten (DTIB). Der Integritätsschutz wird dabei erzeugt aus einer von dem Tachografen 2 erstellten Sendungskennung für den Datensatz und einem eindeutigen Zählwert, welcher von dem Tachografen 2 vergeben und mittels eines Zählers des Tachografen 2 hochgezählt wird (ICN). Anhand eines von dem Tachografen 2 ausgewählten, in einem geschützten Speicher des Tachografen 2 abgelegten Schlüssels (SK) wird von dem Tachografen 2 eine kryptographische Signatur erstellt (CSWK), welche Signatur die zusammengestellten Rohdaten einschließlich der Sendungskennung und des Zählwerts erfasst. Eine Schlüsselkennung des ausgewählten Schlüssels ist vorzugsweise in der Sendungskennung enthalten. Durch Anfügen des Integritätsschutzes an die von dem Tachografen 2 zusammengestellten Rohdaten wird der zu sendende Datensatz erstellt (AIRD). Dieser Datensatz wird dann von dem Tachografen 2 an das Steuergerät 4 gesendet (RDIB).
-
Im Folgenden empfängt und überprüft das Steuergerät 4 in dem hier gezeigten Ausführungsbeispiel den von dem Tachografen 2 gesendeten Datensatz. Zunächst wird dabei von dem Steuergerät 4 anhand der in dem von dem Tachografen 2 gesendeten Datensatz angegebenen Schlüsselkennung der entsprechende geteilte, in einem geschützten Speicher des Steuergeräts 4 abgelegte Schlüssel ausgewählt (CISK). Danach erfolgt zum Überprüfen des Datensatzes ein Vergleichen des Zählwerts mit einem zuletzt als entsprechender Zählwert durch das Steuergerät 4 empfangenen Zählwert (CCTL). Daraufhin erfolgt ein Prüfen der kryptographischen Signatur mittels des anhand der Schlüsselkennung ausgewählten Schlüssels. Dazu wird mittels dieses Schlüssels die kryptographische Signatur berechnet (UKCS) und mit der in dem empfangenen, von dem Tachografen 2 gesendeten Datensatz enthaltenen, von dem Tachografen 2 erstellten Signatur verglichen (CSRS).
-
Ein dem in 2 gezeigten Verfahren ähnliches Verfahren ist in 3 dargestellt. Im Gegensatz zu einer spezifischen Anfrage von spezifizierten Daten durch ein Steuergerät 4 bei einem Tachografen 2 erfolgt bei dem Beispiel nach 3 ausgelöst durch ein Zeitereignis und/oder durch ein Vorgangsereignis (TOOE) ein Zusammenstellen der Daten, Erzeugen des Integritätsschutzes, Erstellen des Datensatzes und Senden des Datensatzes von dem Tachografen 2 an das Steuergerät 4. Hierfür ist zu einem früheren, im vorliegenden Ausführungsbeispiel nicht näher bestimmten Zeitpunkt ein Anfragen der spezifizierten Daten aus der Menge der Tachografendaten sowie des Integritätsschutzes von dem Steuergerät 4 bei dem Tachografen 2 einmalig erfolgt (OTIP). Das Zeitereignis, welches das Zusammenstelle der Daten, Erzeugen des Integritätsschutzes, Erstellen des Datensatzes und Senden des Datensatzes auslöst, kann ein zyklisches Zeitereignis sein. Ein derartig zyklisch erstellter, einen Integritätsschutz aufweisender Datensatz wird in diesem Ausführungsbeispiel von dem Tachografen 2 an das Steuergerät 4 gesendet (CDIB). Aufseiten des Steuergeräts 4 kann dann, entsprechend z. B. dem in 2 dargestellten Verfahren, ein Empfangen und Überprüfen des von dem Tachografen 2 gesendeten Datensatzes erfolgen.
-
4 zeigt insbesondere, wie ein Datensatz 16, der einen Integritätsschutz 20 aufweist, erstellt werden kann. In einem eine Tachografenzentralsteuerung 3 aufweisenden Tachografen 2 werden Daten, z. B. unter anderem Geschwindigkeitsdaten eines Kraftfahrzeuges, in welches der Tachograf 2 eingebaut ist, gesammelt und/oder berechnet und in einem Datenspeicher 8 des Tachografen 2 abgelegt. Von einem eine Steuergerätzentraleinheit 5 aufweisenden elektronischen Steuergerät 4 werden spezifizierte Daten aus der Menge der Tachografendaten sowie ein Integritätsschutz für die spezifizierten Daten bei dem Tachografen 2 angefragt (RWIP).
-
Die angefragten spezifizierten Daten werden durch den Tachografen 2 als Rohdaten 18 (diese stehen in diesem Beispiel für eine Geschwindigkeit mit einem Wert von „42 km/h“) zusammengestellt. Für die zusammengestellten Rohdaten 18 wird durch den Tachografen 2 ein Integritätsschutz 20 erzeugt. Der Integritätsschutz 20 wird erzeugt aus einer von dem Tachografen 2 erstellten Sendungskennung 22 (in diesem Ausführungsbeispiel aufweisend eine Schlüsselkennung „Key1“ sowie eine Inhaltskennung „speed“) und einem eindeutigen Zählwert 24 (in diesem Beispiel „42“), der von einem Zähler 25 des Tachografen 2 hochgezählt wird (hier ist beispielhaft der bereits hochgezählte Wert „43“ für ein nächstes Senden eines zukünftigen Datensatzes angegeben), sowie einer die zusammengestellten Rohdaten 18 einschließlich der Sendungskennung 22 und des Zählwerts 24 erfassenden, von dem Tachografen 2 erstellten kryptographischen Signatur 26 (hier beispielhaft als „OAFF24E3DA5A“ angegeben). Das Erstellen des Datensatzes 16 endet in einem abschließenden Schritt mit einem Anfügen des Integritätsschutzes 20 an die zusammengestellten Rohdaten 18. Danach erfolgt ein Senden des Datensatzes 16 durch den Tachografen 2 an das Steuergerät 4 (RDIB).
-
Der Tachograf 2 und das Steuergerät 4 verfügen jeweils über einen geteilten Satz von Schlüsseln, die jeweils mit einer eindeutigen Schlüsselkennung versehen sind. Der Schlüsselsatz 28 mit den geteilten Schlüsseln 30, 30', 30'', 30''' ist in 4 nur einmal dargestellt. Er ist mit den jeweiligen Schlüsselkennungen einerseits in einem geschützten Speicher des Tachografen 2 und andererseits in einem geschützten Speicher des Steuergeräts 4 abgelegt.
-
Das Steuergerät 4 kann nach einem Empfangen des Datensatzes 16 diesen z. B. durch ein Vergleichen des Zählwerts 24 mit einem zuletzt als entsprechender Zählwert durch das Steuergerät 4 von dem Tachografen 2 empfangenen Zählwert mittels eines Vergleichers 32 prüfen (beispielhaft ist hier der zuletzt empfangene Zählwert „41“ angegeben). Wird keine mögliche Verletzung der Integrität des Datensatzes 16 festgestellt, so kann das Steuergerät 4 die von dem Tachografen 2 übermittelten Rohdaten 18 als vertrauenswürdiger Wert 34, in diesem Fall Geschwindigkeitswert, weiter verwenden (in diesem Beispiel Geschwindigkeit mit einem Wert von „42 km/h“). Eine mögliche Verletzung der Integrität des Datensatzes 16 könnte z. B. darin bestehen, dass der Zählwert 24 aus Sicht des Steuergeräts 4 nicht unikal ist und/oder dass der Zählwert nicht größer ist als der zuletzt als entsprechender Zählwert durch das Steuergerät 4 empfangene Zählwert.
-
Insgesamt zeigen die Ausführungsbeispiele, wie durch die Erfindung auf einfache und zuverlässige Weise in einem digitalen Tachografen vorhandene und zur Verfügung stehende Daten aus gegebenenfalls auch verschiedenen Datenquellen eines Kraftfahrzeugs in einem - bezogen auf den Tachografen externen - elektronischen Steuergerät als glaubwürdig von vertrauenswürdiger Herkunft zur Verfügung gestellt werden können. Dabei ist eine entsprechende Datenintegrität von wesentlicher Bedeutung, wohingegen eine Vertraulichkeit und Geheimhaltung der Daten nicht zwingend erforderlich ist. D. h. entscheidend für die Erfindung ist ein Integritätsschutz der Daten, wohingegen eine Datengeheimhaltung zwar vorgesehen sein kann, aber nicht vorgesehen sein muss.
