DE4339004A1 - Einrichtung in einem Fahrzeug zur Abrechnung der Nutzung gebührenpflichtiger Wegstrecken - Google Patents

Description

Die Erfindung betrifft eine Einrichtung in einem Fahrzeug zur fahrzeuginternen elektronischen Abrechnung der Nutzung gebührenpflichtiger Wegstrecken durch das Fahrzeug gemäß dem Gattungsbegriff des Patentanspruchs 1.

Eine gattungsgemäße Einrichtung ist in der nicht vorveröffentlichten auf die Anmelderin zurückgehenden Patentanmeldung DE-P 43 10 099.6 beschrieben. Diese Einrichtung ist Teil eines elektronischen Abrechnungssystems und wird im jeweiligen Fahrzeug mitgeführt. Sie umfaßt eine Empfangseinrichtung, die fortlaufend von außen gesendete Daten zur Bestimmung der geographischen Fahrzeugposition empfängt (z. B. Satellitennavigation) und auswertet oder unmittelbar Positionsdaten empfängt (z. B. Funkpeilsystem). Wesentlicher Teil der Einrichtung ist eine Speichereinrichtung, die vorgegebene geographische Positionen (Identifizierungspunkte) gespeichert hat, welche eine eindeutige Charakterisierung der einzelnen gebührenpflichtigen Wegstrecken ermöglichen. Eine Recheneinrichtung vergleicht jeweils die aktuell ermittelten oder empfangenen Fahrzeugpositionsdaten mit den Positionsdaten der Identifizierungspunkte und kann durch einen Entscheidungsalgorithmus eindeutig ermitteln, ob eine gebührenpflichtige Wegstrecke vom Fahrzeug benutzt wird. Wenn eine gebührenpflichtige Streckennutzung ermittelt wird, nimmt die Einrichtung auf einem Speichermedium (z. B. Chip-Karte als Wertguthabenkarte) eine entsprechende Verbuchung vor, indem von einem in dem Speichermedium eingetragenen Gebührenguthaben der jeweilige Streckentarif abgezogen wird.

Dieses System zur fahrzeuginternen Nutzungsabrechnung gewährleistet einen optimalen Datenschutz, da die Buchungsvorgänge und die Erfassung der geographischen Fahrzeugposition nur im Fahrzeug selbst stattfinden. Es erfolgt keine externe Erfassung und Registrierung der von einem Fahrzeug zurückgelegten gebührenpflichtigen Wegstrecken, da keine Informationen über die Fahrstrecken und die Nutzungskosten das Fahrzeug verlassen. Eine "maschinelle"′ Kontrolle darüber, wie, wann und wo das z. B. über einen Automaten gekaufte Gebührenguthaben vom Fahrer verwendet wird, findet nicht statt. Die völlige Anonymität in der Gebührenabrechnung dieses Systems birgt selbstverständlich die Gefahr eines Mißbrauchs in sich, der insbesondere darin bestehen könnte, daß Manipulationen an den im Fahrzeug mitgeführten Gerätekomponenten oder an der eingesetzten Software oder den Daten (z. B. aktuelles Gebührenguthaben des Nutzers) vorgenommen werden, die einen ordnungsgemäßen Betrieb der Einrichtung nur vortäuschen und in Wirklichkeit zu einem völligen Unterbleiben der Entrichtung oder zu einer unberechtigten Verminderung der fälligen Nutzungsgebühren führen.

Aufgabe der Erfindung ist es daher, eine Einrichtung mit den Merkmalen des Oberbegriffs des Patentanspruchs 1 dahingehend weiterzuentwickeln, daß ein möglichst guter Schutz gegen derartige unautorisierte Manipulationen erreicht wird.

Gelöst wird diese Aufgabe erfindungsgemäß mit den kennzeichnenden Merkmalen des Patentanspruchs 1. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen 2 bis 9 angegeben.

Die Erfindung sieht vor, die im Fahrzeug mitgeführte Einrichtung mit einer zusätzlichen Gerätekomponente auszustatten, die eine Selbstüberwachung auf unautorisierte Manipulationen an den einzelnen Gerätekomponenten vornimmt und funktional auch durch eine bereits vorhandene Gerätekomponente realisiert werden kann. Wenn durch die Selbstüberwachung eine derartige Manipulation festgestellt wird, wird dies mit entsprechenden diagnostizierenden Daten (z. B. Art und Zeitpunkt der Manipulation, betroffene Gerätekomponente) auf einem Fehlerspeicher, der vorzugsweise mit einem als Chip-Karte (insbesondere Smart-Karte) ausgebildeten Wertguthabenspeicher des jeweiligen Nutzers identisch ist, wenn dieser zum Betrieb des Systems zwingend erforderlich ist. Dies soll eine zuverlässige Beweisführung bei der Verfolgung solcher Manipulationen erlauben. Darüber hinaus ist vorgesehen, damit überhaupt ein Mißbrauch von außen erkannt werden kann, daß eine Signaleinrichtung ein Signal nach außen sendet, das Aufschluß über den ordnungsgemäßen oder im Mißbrauchsfall über den manipulierten Betrieb (Nicht-In-Ordnung-Signal) der Einrichtung gibt. In letzterem Fall wird außerdem die Funktion der Einrichtung automatisch gesperrt, es erfolgt also keine weitere Gebührenabrechnung mehr. Die "Aussendung" des Nicht-In-Ordnung-Signals kann selbstverständlich auch darin bestehen, daß lediglich die Aussendung eines sonst in regelmäßigen Zeitabständen oder auch auf entsprechende drahtlose Anfrage eines außerhalb des jeweiligen Fahrzeugs befindlichen Kontrollgeräts abgegebenen In-Ordnung-Signals unterbleibt.

Um die Selbstüberwachung der Einrichtung zu erleichtern, sollten die benötigten Gerätekomponenten, also Empfangseinrichtung, Recheneinrichtung, Speichereinrichtung, Signaleinrichtung und selbstverständlich auch die Gerätekomponente zur Selbstüberwachung eingehaust sein, wobei es besonders bevorzugt ist, möglichst alle wesentlichen Komponenten in einem einzigen Gehäuse unterzubringen. Es versteht sich von selbst, daß dies kaum vollständig gelingen kann, weil beispielsweise eine Antenne zum Empfang der Informationen zur Fahrzeugpositionserkennung zweckmäßigerweise außen am Fahrzeug angebracht wird. Ein wesentlicher Schutz kann bereits dadurch erreicht werden, daß das oder die Gehäuse der Einrichtung verplombt werden. Dabei ist allerdings vorgesehen, daß der Draht für die Verplombung mit einem elektrischen Leiter und/oder einem Lichtwellenleiter versehen ist, dessen Leitungsdurchgang geprüft und zur automatischen Erkennung einer unautorisierten Manipulation genutzt werden kann. Zusätzlich oder alternativ können das oder die Gehäuse auch mit vorzugsweise berührungslos arbeitenden (z. B. induktiv, kapazitiv, optisch, magnetisch) Sensoren ausgestattet werden, die eine unveränderte Position bestimmter Gehäuseteile und/oder der Gerätekomponenten zueinander überwachen und somit ein Öffnen des Gehäuses erkennbar machen.

Eine wesentliche Erhöhung der Schutzwirkung gegen Manipulationen läßt sich dadurch erreichen, daß die einzelnen Gerätekomponenten und möglichst auch die verwendeten Softwarekomponenten in der Einrichtung mit geheimen Datenkennungen versehen werden, die während des Betriebs gegenseitig oder von einer zentralen Einrichtung abgefragt und überprüft werden. Hierdurch kann sofort erkannt werden, daß z. B. ein unberechtigter Austausch einer Gerätekomponente gegen eine manipulierte Komponente erfolgt ist, selbst wenn die Überwachung bezüglich eines Öffnens des Gehäuses erfolgreich umgangen wurde. Darüber hinaus sollte gewährleistet sein, daß alle softwaremäßigen Komponenten einschließlich der benötigten Datenbasis stets nur in verschlüsselter Form eingesetzt werden.

Das Nicht-In-Ordnung-Signal bzw. das (im Manipulationsfall unterbleibende) In-Ordnung-Signal, das außerhalb des Fahrzeugs empfangen werden kann, sollte möglichst einfach und sicher übermittelbar und möglichst auch maschinell verarbeitbar sein. Daher empfiehlt sich insbesondere eine Sendeeinrichtung für HF-, RF-, Ultraschall- oder Infrarot-Signale. Aber auch eine Signalübermittlung im Bereich des sichtbaren Lichts ist denkbar.

Die Erfindung wird nachfolgend anhand eines Ausführungsbeispiels, das in der einzigen Figur schematisch dargestellt ist, näher erläutert.

Die Einrichtung zur fahrzeuginternen Abrechnung von beispielsweise Autobahnbenutzungsgebühren ist im wesentlichen in einem einzigen geschlossenen Gehäuse 1 untergebracht. Kern der Einrichtung ist eine Recheneinrichtung 2, die mit einer Speichereinrichtung 6 und einer Kartenlese-/Schreibeinrichtung 5 datentechnisch verbunden ist. Weiterhin ist an die Recheneinrichtung 2 ein Empfänger 3 für den Empfang von Daten angeschlossen, die von einem Satellitennavigationssystem (z. B. GPS) gesendet werden und in der Recheneinrichtung 2 zur Ermittlung der aktuellen Fahrzeugposition herangezogen werden. In der Speichereinrichtung 6 sind neben geographischen Daten zur eindeutigen Identifizierung der gebührenpflichtigen Autobahnteilstrecken auch die aktuell gültigen Streckentarife abgelegt. Sobald die Recheneinheit das Einfahren in eine neue gebührenpflichtige Teilstrecke festgestellt hat, wird die Ermittlung der zugehörigen Benutzungsgebühr von der Recheneinheit 2 vorgenommen und auf einem Display 7 für den Fahrer des Fahrzeugs lesbar angezeigt. Außerdem erfolgt über die Kartenlese-/Schreibeinrichtung 5 eine entsprechende Verbuchung auf einer Wertspeicherkarte 8, die vorzugsweise als Smart-Karte ausgebildet ist und auf der das aktuelle Gebührenguthaben des Fahrers gespeichert ist. Nach Abbuchung der jeweiligen Nutzungsgebühr kann das noch verbleibende Wertguthaben dem Fahrer wiederum über das Display 7 angezeigt werden. Das Gehäuse 1, in dem fast alle benötigten Gerätekomponenten untergebracht sind, ist (nicht dargestellt) durch eine elektronisch überwachte Verplombung gegen unbefugtes Öffnen gesichert. Eine Verletzung der Verplombung würde sofort von der Recheneinheit 2, die mit einer entsprechenden Zusatzfunktion ausgestattet ist, erkannt werden und würde zu einer Speicherung der diesen Eingriff diagnostizierenden Daten zur Beweissicherung (z. B. Zeitpunkt und Fehlercode zur Kennzeichnung der Art der Manipulation) entweder auf der Speichereinrichtung 6 oder auf der Chip-Karte 8 führen. Zusätzlich wird das Gehäuse 1 durch berührungslos arbeitende Abstandssensoren 9 auf ein unberechtigtes öffnen überwacht. Entsprechende Eingriffe, die zu einer irgendwie gearteten Veränderungen der Gerätekonfiguration führen, würden wiederum sofort als Signal an die Recheneinrichtung 2 gemeldet. Darüber hinaus sind alle Gerätekomponenten mit einer geheimen Datenkennung versehen, die von der zentralen Recheneinrichtung 2 in kurzen Zeitabständen überprüft wird. Ein unberechtigter Komponentenaustausch würde sofort wiederum als Manipulation erkannt werden. Dies würde zu einer sofortigen Blockade der normalen Abrechnungsfunktionen der Einrichtung führen.

Um die Ordnungsmäßigkeit des Betriebs der Einrichtung jederzeit von außerhalb des Fahrzeugs überprüfen zu können, ist eine Signaleinrichtung 4 mit der Recheneinrichtung 2 verbunden. Diese Signaleinrichtung 4 ist beispielsweise als HF-Sende-/Empfangseinrichtung ausgebildet und kann auf eine entsprechende von außen kommende Anfrage signalisieren, ob ein ordnungsgemäßer Betriebszustand vorliegt oder nicht. Es kann aber auch vorgesehen sein, daß ein entsprechendes Nicht-In-Ordnung-Signal im Manipulationsfall fortlaufend, also ohne besondere Aufforderung abgegeben wird. Die Signaleinrichtung 4 könnte auch außerhalb des Gehäuses 1 untergebracht sein, müßte dann aber ebenso gegen Manipulationen geschützt sein.

Sobald eine unbefugte Manipulation von der Selbstüberwachung der Einrichtung erkannt wird, löst sie ihre Selbstblockade aus, stellt also ihren normalen bestimmungsgemäßen Betrieb sofort ein. Wird nun von einer außerhalb des Fahrzeugs befindlichen Kontrolleinrichtung, die fest im Streckennetz installiert sein kann, zweckmäßigerweise aber als mobile Anlage konzipiert und z. B. in einem Kontrollfahrzeug untergebracht ist, ein unautorisierter Eingriff in die Einrichtung entdeckt, dann wird beispielsweise wie bei einer Radar-Geschwindigkeitsüberwachung automatisch von dem betroffenen Fahrzeug ein identifizierendes Foto gemacht und das Fahrzeug im Rahmen einer anschließenden Verkehrskontrolle angehalten. Durch Auslesen der auf der Chip-Karte und/oder der Speichereinrichtung 6 gespeicherten diagnostizierenden Daten über die Manipulation kann diese genau ermittelt und beweissichernd für eine strafrechtliche Verfolgung der Angelegenheit dokumentiert werden.

Claims (10)

1. Einrichtung in einem Fahrzeug zur fahrzeuginternen elektronischen Abrechnung der Nutzung von gebührenpflichtigen Wegstrecken, die von dem Fahrzeug zurückgelegt werden, wobei die Einrichtung Gerätekomponenten beinhaltet

• - zum drahtlosen Empfang von Informationen zur Erkennung der aktuellen geographischen Fahrzeugposition (Empfangseinrichtung 3),
• - zur Identifizierung der Benutzung gebührenpflichtiger Wegstrecken durch das Fahrzeug (Recheneinrichtung 2),
• - zur Verbuchung der Nutzungsgebühren (Speichereinrichtung 6, Chip-Karte 8) und
• - zur Aussendung eines Signals für die Erkennung eines ordnungsgemäßen Betriebszustands der Einrichtung (Signaleinrichtung 4),

dadurch gekennzeichnet, daß die Einrichtung eine zusätzliche Gerätekomponente zur Selbstüberwachung (9) auf unautorisierte Manipulationen an den Gerätekomponenten aufweist, wobei im Falle derartiger Manipulationen diagnostizierende Daten der Manipulation in einem Fehlerspeicher (Speichereinrichtung 6, Chip-Karte 8) festgehalten werden, ein Nicht-In-Ordnung-Signal von der Signaleinrichtung (4) abgegeben und eine Sperre bezüglich sonstiger Funktionen der Einrichtung ausgelöst wird.

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Gerätekomponenten in einem oder mehreren Gehäusen (1) untergebracht sind, die gegen ein Öffnen durch eine Verplombung, welche an einem elektrischen Draht oder einem Lichtwellenleiter angebracht ist, gesichert sind, wobei eine Verletzung der Verplombung automatisch ein Signal an die Selbstüberwachung gibt.

3. Einrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß zur Selbstüberwachung in dem/den Gehäuse(n) (1) der Gerätekomponenten nichtberührende Sensoren die Position bestimmter Gehäuseteile oder Gerätekomponenten zueinander überwachen.

4. Einrichtung nach Anspruch 3, dadurch gekennzeichnet, daß die Sensoren (9) induktiv oder kapazitiv oder optisch oder magnetisch arbeitend ausgebildet sind.

5. Einrichtung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Gerätekomponenten (2 bis 7, 9) in der Einrichtung mit geheimen Datenkennungen versehen sind, die während des Betriebs gegenseitig oder von einer zentralen Einrichtung abgefragt und überprüft werden.

6. Einrichtung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die in der Einrichtung eingesetzten softwaremäßigen Komponenten (Programme und Daten) in verschlüsselter Form eingesetzt sind.

7. Einrichtung nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß der Fehlerspeicher eine Chip-Karte (8) ist, die gleichzeitig als Wertguthabenkarte vom Nutzer des Fahrzeugs zum Betrieb der Einrichtung benötigt wird und auf der die angefallenen Nutzungsgebühren abgebucht werden.

8. Einrichtung nach Anspruch 7, dadurch gekennzeichnet, daß die Chip-Karte (8) als Smart-Karte ausgebildet ist.

9. Einrichtung nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, daß die Signaleinrichtung (4) zur Erkennung des ordnungsgemäßen Betriebszustandes HF-, RF-, Ultraschall-, Infrarot- oder optische Signale aussendet.