DE19606552B4

DE19606552B4 - Verfahren zum Bereitstellen von Daten eines Fahrzeuggeräts

Info

Publication number: DE19606552B4
Application number: DE1996106552
Authority: DE
Inventors: Jochen Dipl.-Phys. Dr. Hertle
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1996-02-22
Filing date: 1996-02-22
Publication date: 2008-04-10
Anticipated expiration: 2016-02-23
Also published as: IT1290231B1; ITMI970191A1; GB9703080D0; GB2310523A; DE19606552A1; GB2310523B; CH691715A5

Abstract

Verfahren zur Bereitstellung von Daten eines Fahrzeuggeräts (1), insbesondere zwischen stationären Kommunikationsanlagen an Verkehrswegen und dem Fahrzeuggerät (1), in das sich ändernde Daten, insbesondere Gebührenguthaben bzw. -kredit, mittels eines transportablen Datenträgers (5), insbesondere einer Chipkarte, eingegeben werden, dadurch gekennzeichnet, daß ein Teil der Daten (2), der auf das Fahrzeug bezogen ist, mit Hilfe einer speziellen Fahrzeuggerät-Konfigurationsstation in verschlüsselter oder durch einen Schlüssel ergänzter Form in das Fahrzeuggerät (1) eingegeben wird, daß der andere Teil der Daten (6) auf dem transportablen Datenträger (5) gespeichert wird und daß der transportable Datenträger (5) mit einem Entschlüsselungscode (7) für die Fahrzeugdaten in der Fahrzeuggeräte-Konfigurationsstation versehen wird, so daß beim Zusammenwirken des transportablen Datenträgers (5) mit dem Fahrzeuggerät (1) die verschlüsselten Fahrzeuggerätdaten in den transportablen Datenträger (5) übertragen und entschlüsselt bereitgestellt werden.

Description

Die Erfindung betrifft ein Verfahren zum Bereitstellen von Daten eines Fahrzeuggeräts, insbesondere bei der Kommunikation zwischen stationären Kommunikationsanlagen an Verkehrswegen und dem Fahrzeuggerät, in das sich ändernde Daten, insbesondere Gebührenguthaben bzw. -kredit, mittels eines transportablen Datenträgers, insbesondere einer Chipkarte, eingegeben werden.
Insbesondere bei Systemen zur automatischen Gebührenerhebung kommen im Fahrzeug Fahrzeuggeräte zum Einsatz, die eine Chipkarte aufnehmen können. Die Chipkarte beherbergt empfindliche Daten. Hierzu gehören Gebührenguthaben bzw. -kredit, personenbezogene und geheime Daten, wie beispielsweise Schlüssel zur Verschlüsselung der ausgetauschten Nachrichten und zur gegenseitigen Authentifizierung mit der Abbuchungsstation. Die Chipkarte ist daher als "Trusted Device" ausgeführt, d.h. die Daten können nur von autorisierten Kommunikationspartnern ausgelesen bzw. geändert werden, insbesondere von Auf- und Abbuchungsstationen. Änderungen am Betriebssystem und an der Software der Chipkarte sind nicht möglich.
Für die automatische Gebührenerhebung können bereitgestellte Daten des Fahrzeuggeräts beispielsweise auf stationäre Kommunikationsanlagen an Verkehrswegen übertragen, aber alternativ auch im Fahrzeuggerät selbst verarbeitet werden. Für die automatische Gebührenerfassung spielen auch Daten eine Rolle, die nicht auf einer Chipkarte gespeichert werden sollten, da die Daten an ein bestimmtes Fahrzeug gebunden sind. Beispiele hierfür sind die ggfs. gebührenrelevante Kfz-Klasse oder die Information über den Halter des Fahrzeugs, was insbesondere bei einem Post Payment-Verfahren, in dem die Nutzungsgebühr später von einem Konto abgebucht wird, von Bedeutung ist.
Wollte man diese Daten direkt in dem Fahrzeuggerät ablegen, müßten sie vor Manipulationen geschützt werden, da die Daten unmittelbar Einfluß auf die Gebührenhöhe (z.B. Kfz-Klasse) haben können oder andere Mißbrauchsmöglichkeiten eröffnen (z.B. "freie Fahrt"-Kodierung in Polizei- und Rettungsfahrzeugen). Es wäre daher möglich, auch das Fahrzeuggerät als "Trusted Device" auszuführen, d.h. die mechanische Hülle und das Betriebssystem so auszulegen, daß Manipulationen oder Auslesen von bestimmten Daten nicht möglich ist. Dieses Verfahren wäre sehr teuer und unflexibel, da nach Änderungen immer eine neue Zertifizierung des Geräts erfolgen müßte.
Die der Erfindung zugrundeliegende Problemstellung besteht somit darin, die für eine automatische Gebührenerhebung erforderlichen Daten in Fahrzeuggeräten manipulationssicher ablegen zu können, ohne teure und unflexible Verfahren anwenden zu müssen.
Ausgehend von dieser Problemstellung ist ein Verfahren der eingangs erwähnten Art erfindungsgemäß dadurch gekennzeichnet, daß ein Teil der Daten, der auf das Fahrzeug bezogen ist, mit Hilfe einer speziellen Fahrzeuggerät-Konfigurationsstation in verschlüsselter oder durch einen Schlüssel ergänzter Form in das Fahrzeuggerät eingegeben wird, daß der andere Teil der Daten auf dem transportablen Datenträger gespeichert wird und daß der transportable Datenträger mit einem Entschlüsselungscode für die Fahrzeugdaten in der Fahrzeuggeräte-Konfigurationsstation versehen wird, so daß beim Zusammenwirken des transportablen Datenträgers mit dem Fahrzeuggerät die verschlüsselten Fahrzeuggerätdaten in den transportablen Datenträger übertragen und entschlüsselt bereitgestellt werden.
Das erfindungsgemäße Verfahren sieht somit eine Trennung der Daten vor, wobei die Ablage der auf das Fahrzeug bezogenen Daten im Fahrzeuggerät durch Fahrzeuggerät-Konfigurationsstationen in verschlüsselter Form mit einem geheimen Schlüssel erfolgen kann. Dies kann direkt durch die Fahrzeuggerät-Konfigurationsstation oder mit Hilfe von speziellen Konfigurationschipkarten geschehen. Die Fahrzeuggerätdaten können auch von dieser Station unter Verwendung eines geheimen Schlüssels mit einer elektronischen Unterschrift versehen werden, z.B. indem eine Checksumme über diese Daten gebildet wird und anschließend die Daten plus Checksumme verschlüsselt werden. Vertrauliche Daten werden ggfs. mit einem zweiten Schlüssel verschlüsselt.
Die transportablen Datenträger, die später mit den Fahrzeuggeräten zusammenwirken, erhalten bei ihrer Initialisierung den zum geheimen Schlüssel der Fahrzeuggeräte-Konfigurationsstation passenden Schlüssel. Die Ablage dieser Schlüssel erfolgt im geschützten Speicherbereich der transportablen Datenträger, insbesondere Chipkarten, ist also nicht manipulierbar.
Wenn der transportable Datenträger mit dem Fahrzeuggerät zusammenwirkt, beispielsweise die Chipkarte in das Fahrzeuggerät eingesteckt wird, werden die gesicherten Fahrzeuggerätedaten in den transportablen Datenträger transferiert. Zweckmäßigerweise wird eine Integritäts- und Authentizitätsprüfung vorgenommen. Sind die Daten gemäß dieser Prüfung nicht integer oder nicht authentisch, stammen sie also nicht von der Fahrzeuggeräte-Konfigurationsstation, wird das Fahrzeuggerät mit dem transportablen Datenträger nicht bzw. nicht voll funktionsfähig gemacht. Jede Applikation, die eine uneingeschränkte Beteiligung des transportablen Datenträgers erfordert, also insbesondere die automatische Gebührenerhebung, kann nicht mehr stattfinden. Das Prüfungsverfahren kann nicht durch Manipulationen umgangen werden, wenn – wie üblich – der transportable Datenträger ein "Trusted Device" ist.
Durch das erfindungsgemäße Verfahren sind die Fahrzeuggerätedaten gegen Manipulationen geschützt. Allerdings wäre es denkbar, die Fahrzeuggerätedaten zu kopieren, insbesondere solche Fahrzeuggerätedaten, die besondere Privilegien vermitteln, wie sie beispielsweise für Polizeifahrzeuge bestehen.
Vorzugsweise werden die verschlüsselten Fahrzeuggerätedaten daher mit einem eindeutigen Identifikationscode, beispielsweise in Form einer Identifikationsnummer oder einer aus dem Kraftfahrzeugkennzeichen abgeleiteten Prüfnummer, abgespeichert. Die von den stationären Kommunikationsanlagen an den Verkehrswegen aufgenommenen Identifikationscodes können dann jederzeit daraufhin überprüft werden, ob gleiche Identifikationscodes parallel auftreten oder die Prüfnummer zum vorzugsweise optoelektronisch erfaßten Kraftfahrzeugkennzeichen paßt, wodurch etwaige kopierte Fahrzeuggerätedaten entdeckt werden können. Die entsprechenden Identifikationscodes können durch die stationären Kommunikationsanlagen gesperrt oder manipuliert werden, so daß entweder die betreffenden Fahrzeuge oder die entsprechenden Chipkarten aufgespürt werden können.
Eine bespielhafte Konfiguration zur Durchführung des erfindungsgemäßen Verfahrens ist schematisch in der beigefügten Zeichnung dargestellt.
In ein Fahrzeuggerät (1) ist ein erster Teil von Applikationsdaten in einem ggf. geschützt ausgeführten Speicherbereich (2) in verschlüsselter Form eingegeben. Die Eingabe kann direkt in speziellen Fahrzeuggerät-Konfigurationsstationen erfolgt sein, ist aber auch mit speziellen transportablen Datenträgern, wie spezielle Konfigurationschipkarten, möglich. Das Fahrzeuggerät enthält ferner ein Anwendungsprogramm (3), mit dem eine Kommunikation zu einer externen Applikation (4) erfolgen kann. Die Kommunikation ist insbesondere mit stationären Kommunikationsanlagen an Verkehrwegen möglich. Es ist allerdings auch denkbar, eine Gebührenerhebung "autonom" im Fahrzeuggerät (1) vorzunehmen, indem mittels Satellitennavigation die Position des Fahrzeuggeräts (1) bestimmt und eine Zahlung ggf. unter Verwendung einer Chipkarte bewirkt wird. Die Quittungen werden zu einem späteren Zeitpunkt an eine entsprechende Infrastruktur weitergegeben. Das Anwendungsprogramm (3) besorgt in diesem Fall die Durchführung und Auswertung der Satellitenortung und die Ausgabe der Quittungen, während die externe Applikation (4) in diesem Fall sowohl für die Kommunikation mit dem Navigationssatelliten als auch für die erwähnte Infrastruktur steht.
Die Applikationsdaten (2) des Fahrzeuggeräts sind in der verschlüsselten Form allerdings nicht verwendbar. Ein funktionsfähiges Fahrzeuggerät (1) entsteht erfindungsgemäß erst dadurch, daß mit Hilfe eines beispielsweise als Chipkarte ausgeführten transportablen Datenträgers (5) ein zweiter Teil von Applikationsdaten (6) und ein Schüssel zur Entschlüsselung der in dem geschützten Bereich (2) des Fahrzeuggeräts (1) enthaltenen Teil-Applikationsdaten aufweist. Die Applikationsdaten (6) des transportablen Datenträgers (5) können insbesondere Gebührenguthaben bzw. Gebührenkredit enthalten, wenn die dargestellte Konfiguration für eine Gebührenerhebung verwendet werden soll.

Claims

Verfahren zur Bereitstellung von Daten eines Fahrzeuggeräts (1), insbesondere zwischen stationären Kommunikationsanlagen an Verkehrswegen und dem Fahrzeuggerät (1), in das sich ändernde Daten, insbesondere Gebührenguthaben bzw. -kredit, mittels eines transportablen Datenträgers (5), insbesondere einer Chipkarte, eingegeben werden, dadurch gekennzeichnet, daß ein Teil der Daten (2), der auf das Fahrzeug bezogen ist, mit Hilfe einer speziellen Fahrzeuggerät-Konfigurationsstation in verschlüsselter oder durch einen Schlüssel ergänzter Form in das Fahrzeuggerät (1) eingegeben wird, daß der andere Teil der Daten (6) auf dem transportablen Datenträger (5) gespeichert wird und daß der transportable Datenträger (5) mit einem Entschlüsselungscode (7) für die Fahrzeugdaten in der Fahrzeuggeräte-Konfigurationsstation versehen wird, so daß beim Zusammenwirken des transportablen Datenträgers (5) mit dem Fahrzeuggerät (1) die verschlüsselten Fahrzeuggerätdaten in den transportablen Datenträger (5) übertragen und entschlüsselt bereitgestellt werden.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß vor der Übernahme der verschlüsselten Daten von dem Fahrzeuggerät auf den transportablen Datenträger eine Integritäts- und Authentizitätsprüfung vorgenommen wird, deren negatives Ergebnis zur Funktionsunterbindung des Fahrzeuggeräts führt.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die verschlüsselten Fahrzeuggerätdaten mit einem eindeutigen Identifikationscode abgespeichert werden und daß eine Überprüfung auf parallel auftretende gleiche Identifikationscodes vorgenommen wird.
Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die verschlüsselten Fahrzeuggerätdaten (2) mit einem Identifikationscode abgespeichert werden, der mit einer aus dem Kraftfahrzeugkennzeichen abgeleiteten Prüfnummer ge bildet ist, und daß vor oder während der Kommunikation ein Vergleich von Prüfnummer und Kraftfahrzeugkennzeichen vorgenommen wird.
Fahrzeuggerät (1) zur Durchführung wenigstens eines der Verfahren nach den Ansprüchen 1 bis 4.