EP4747874A1 - Verfahren zur anonymisierung von bewegungsdaten eines fahrzeugs und fahrzeug - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zur Anonymisierung von Bewegungsdaten eines Fahrzeugs (1), wobei das Fahrzeug (1) die Bewegungsdaten zur Analyse an eine zentrale Recheneinrichtung (4) übermittelt, und wobei vor der Analyse der Bewegungsdaten durch die zentrale Recheneinrichtung (4) zumindest einem Aufenthaltsort und/oder Zeitpunkt in den Bewegungsdaten eine künstliche Unschärfe aufgeprägt wird. Das erfindungsgemäße Verfahren ist gekennzeichnet durch die folgenden Verfahrensschritte: Bestimmen von Startort und Startzeitpunkt; Absolvieren der Fahrt; Bestimmen von Zielort und Zielzeitpunkt; Abgleichen der Bewegungsdaten des Fahrzeugs (1) mit Flottendaten; und Aufprägen den Bewegungsdaten am Startort und Zielort eines zeitlichen und/oder örtlichen Unschärfeintervalls in Abhängigkeit einer aus den Flottendaten ermittelten Fahrzeugdichte am Startort und Zielort zu einem jeweiligen zeitlichen Abfahrtsintervall und Ankunftsintervall.

Description

Verfahren zur Anonymisierung von Bewegungsdaten eines Fahrzeugs und Fahrzeug

Die Erfindung betrifft ein Verfahren zur Anonymisierung von Bewegungsdaten eines Fahrzeugs nach der im Oberbegriff von Anspruch 1 näher definierten Art sowie ein Fahrzeug zur Durchführung des Verfahrens.

Das Thema Big Data ist von immer bedeutenderer Rolle. So lassen sich Metadaten auf vielfältige Art und Weise verarbeiten und daraus gewonnene Schlüsse nutzbringend verwerten. Das Generieren und Auswerten von Metadaten ist nicht nur für Internetkonzerne relevant, sondern auch für Fahrzeughersteller. So können Fahrzeughersteller aus dem Nutzungsverhalten ihrer Fahrzeuge Erkenntnisse gewinnen, die zur Weiterentwicklung der Fahrzeuge genutzt werden können. Hierbei gilt es jedoch die Privatsphäre der Nutzer zu wahren und dem Datenschutz gerecht zu werden. So handelt es sich insbesondere bei den mit einem Fahrzeug gewonnen Bewegungsdaten, also den Orten, die mit einem Fahrzeug aufgesucht werden, und die Routen, die bei den jeweiligen Fahrten genommen werden, um besonders sensible personenbezogene Daten, die deshalb gesondert zu schützen sind.

Typischerweise überträgt ein Fahrzeug beim Übermitteln sogenannter Ursprungs-Ziel- Profile, auch als „Origin Destination Profile“ bezeichnet, den Startort und den Zielort einer Fahrt sowie die Fahrzeugidentifikationsnummer des Fahrzeugs. Zur Anonymisierung entsprechender Profile reicht es dabei nicht aus, die Fahrzeugidentifikationsnummer zu löschen, da die Ursprungs-Ziel-Profile immer noch ein hohes Risiko der Re-Identifikation beinhalten.

Ein Verfahren zur Anonymisierung von Bewegungsdaten ist auch aus der DE 10 2021 006 526 B4 bekannt. Die Druckschrift beschreibt, dass Fahrzeuge einer Fahrzeugflotte während der Fahrt Bewegungsdaten in Form von einzelnen zeit- und positionsbezogenen Datensätzen sammeln. Die entsprechenden Datensätze werden unter mehreren Fahrzeugen ausgetauscht und hierdurch vermischt. Danach werden die Datensätze an eine zentrale Recheneinrichtung zur Analyse übermittelt. Vor der Übertragung an die zentrale Recheneinrichtung, werden die Positionsdaten und Zeitdaten verrauscht. Dies bedeutet, dass vom jeweiligen tatsächlichen Wert ein geringer Betrag abgezogen oder hinzuaddiert wird, also beispielsweise plus 5 Minuten oder 123 Meter nach Nord. Die Art und die Stärke des Rauschens wird in Abstimmung zwischen den am Datenaustausch beteiligten Fahrzeugen ermittelt. Das Austauschen der Bewegungsdaten unter den Fahrzeugen sowie das Aufprägen des Verrauschens auf die jeweiligen Datensätze erschwert es der zentralen Recheneinrichtung eine Zuordnung zu treffen, welche Navigationsrouten von welchem Fahrzeug genau zurückgelegt wurden. Nachteilig ist dabei jedoch, dass es zur Anonymisierung der Bewegungsdaten erforderlich ist, dass Datensätze zwischen Fahrzeugen ausgetauscht werden. Dies erfordert es entsprechend, dass die jeweiligen Fahrzeuge in Kommunikationsreichweite zueinander sind. Wird kein entsprechendes Fahrzeug angetroffen, so können auch keine Bewegungsdaten ausgetauscht und damit anonymisiert werden.

In der DE 102015213 393 A1 wird ein Verfahren zur Anonymisierung von Bewegungsdaten eines Fahrzeugs beschrieben, um mittels Hinzufügens von zusätzlichen, künstlich generierten Streckenabschnitten zu den originalen Streckendaten, um eine Verschleierung der tatsächlichen Bewegungsdaten zu bewirken. Dabei können die zusätzlichen Streckendaten in einer Zentraleinheit generiert und hinzugefügt werden, an die die originalen Bewegungsdaten zuvor übermittelt wurden.

Die DE 102016225287 A1 offenbart ein Verfahren zur zeitlichen und örtlichen Verschleierung von von einem Fahrzeug empfangenen Daten in einem zentralen Empfangssystem mit dem Ziel, eine Gruppenanonymität mehrerer Fahrzeuge zu erreichen, bevor die Daten zur weiteren Verarbeitung weitergegeben werden.

Der vorliegenden Erfindung liegt die Aufgabe zugrunde ein verbessertes Verfahren zur Anonymisierung von Bewegungsdaten eines Fahrzeugs anzugeben, mit dessen Hilfe es möglich ist, Bewegungsdaten in einer größeren Anzahl an Situationen anonymisieren zu können.

Erfindungsgemäß wird diese Aufgabe durch ein Verfahren zur Anonymisierung von

Bewegungsdaten eines Fahrzeugs mit den Merkmalen des Anspruchs 1 gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sowie ein Fahrzeug zur Durchführung des Verfahrens ergeben sich aus den hiervon abhängigen Ansprüchen.

Ein gattungsgemäßes Verfahren zur Anonymisierung von Bewegungsdaten eines Fahrzeugs, welches einer Fahrt von einem Startort zu einem Zielort absolviert, wobei das Fahrzeug zumindest am Startort und am Zielort jeweils einen Bewegungsdatenpunkt generiert und in die Bewegungsdaten inkludiert, wobei ein jeweiliger Bewegungsdatenpunkt den aktuellen Aufenthaltsort des Fahrzeugs zum aktuellen Zeitpunkt beschreibt, wobei das Fahrzeug die Bewegungsdaten zur Analyse an eine zentrale Recheneinrichtung übermittelt, und wobei vor der Analyse der Bewegungsdaten durch die zentrale Recheneinrichtung zumindest einem Aufenthaltsort und/oder Zeitpunkt in den Bewegungsdaten eine künstliche Unschärfe aufgeprägt wird, wird erfindungsgemäß durch die folgenden Verfahrensschritte weitergebildet:

A) Bestimmen, durch das Fahrzeug, des Aufenthaltsorts und des Startzeitpunkts am Startort;

B) Absolvieren der Fahrt, durch das Fahrzeug;

C) Bestimmen, durch das Fahrzeug, des Aufenthaltsorts und des Zielzeitpunkts am Zielort;

D) Auslesen von der zentralen Recheneinrichtung verwalteter Flottendaten, wobei die Flottendaten in anonymisierter Form die Bewegungsdaten einer Vielzahl an Flottenfahrzeugen umfassen, und Abgleichen der Bewegungsdaten des Fahrzeugs mit den Flottendaten, wobei:

E) innerhalb eines zeitlichen Ermittlungsintervalls um den Startzeitpunkt und eines örtlichen Ermittlungsintervalls um den Startort geprüft wird, wie viele Flottenfahrzeuge innerhalb des Ermittlungsintervalls eine Fahrt begonnen haben, wobei, wenn die Anzahl an Flottenfahrzeugen größer ist als eine kritische Fahrzeuganzahl, dem Bewegungsdatenpunkt am Startort ein zeitliches und/oder örtliches Unschärfeintervall aufgeprägt wird und ansonsten das Verfahren beendet wird; und

F) innerhalb eines zeitlichen Ermittlungsintervalls um den Endzeitpunkt und eines örtlichen Ermittlungsintervalls um den Zielort geprüft wird, wie viele Flottenfahrzeuge innerhalb des Ermittlungsintervalls eine Fahrt beendet haben, wobei, wenn die Anzahl an Flottenfahrzeugen kleiner ist als eine kritische Fahrzeuganzahl, dem Bewegungsdatenpunkt am Zielort ein zeitliches und örtliches Unschärfeintervall aufgeprägt wird und ansonsten dem Bewegungsdatenpunkt am Zielort ein zeitliches Unschärfeintervall aufgeprägt wird. Das erfindungsgemäße Verfahren erlaubt das zuverlässige und effiziente Anonymisieren von Bewegungsdaten. Dabei ist es nicht erforderlich, dass Datensätze zwischen zwei Fahrzeugen ausgetauscht werden. So handelt es sich um ein vergleichsweise zufälliges Ereignis, wenn zwei Fahrzeuge zum Anonymisieren ihrer Bewegungsdaten aneinander vorbeifahren. Durch Auswählen eines ausreichend großen zeitlichen Ermittlungsintervalls um den Startzeitpunkt und örtlichen Ermittlungsintervalls um den Startort, lassen sich im Bezug hierzu häufiger Situationen antreffen, die generell das Erzeugen anonymisierter Bewegungsdatensätze erlauben.

Es gibt dabei zwei alternative Ausführungsformen, wie die Verfahrensschritte D) bis F) genau durchgeführt werden können.

Gemäß einer ersten, bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens bezieht das Fahrzeug im Schritt D) die Flottendaten von der zentralen Recheneinrichtung, führt danach die Schritte E) und F) selbst aus und übermittelt in einem Schritt G) mittels der künstlichen Unschärfe anonymisierte Bewegungsdaten an die zentrale Recheneinrichtung zur Analyse. Dies erfordert zwar einen Datenaustausch zwischen der zentralen Recheneinrichtung und dem Fahrzeug, um die Flottendaten an das Fahrzeug zu übermitteln, es ist jedoch nicht erforderlich, unanonymisierte Bewegungsdaten an die zentrale Recheneinrichtung zu übermitteln. Somit lässt sich der Datenschutz noch effektiver wahren, da beispielsweise bei einer Kompromittierung der zentralen Recheneinrichtung durch einen Angreifer somit nicht auf unanonymisierte Datensätze zugegriffen kann.

Eine alternative Ausführungsform des erfindungsgemäßen Verfahrens sieht hingegen vor, dass das Fahrzeug vor dem Schritt D) unanonymisierte Bewegungsdaten an die zentrale Recheneinrichtung übermittelt, die zentrale Recheneinrichtung die Schritte D) bis F) ausführt und in einem Schritt G) die unanonymisierten Bewegungsdaten löscht und anschließend die durch die Schritte D) bis F) anonymisierten Bewegungsdaten analysiert. Der Vorteil liegt hierbei darin, dass kein Datenaustausch zwischen Fahrzeug und zentraler Recheneinrichtung erforderlich ist, um die Flottendaten in das Fahrzeug einzubringen. Somit ist ein Datenaustausch weniger zur Durchführung des erfindungsgemäßen Verfahrens erforderlich. Wie bereits erwähnt werden dabei jedoch temporär anonymisierte Bewegungsdaten der zentralen Recheneinrichtung zugänglich gemacht, was generell das Risiko erhöht, dass der Datenschutz ausgehebelt werden könnte.

Die durch die Buchstaben A) bis G) angedeutete Reihenfolge der Verfahrensschritte muss dabei nicht zwangsweise genau eingehalten werden. So können auch Teilaufgaben früher oder später ausgeführt werden. So kann das Fahrzeug beispielsweise noch während der Fahrt vom Startort zum Zielort den Verfahrensschritt D) und den Verfahrensschritt E) ausführen. Hierzu kann das Fahrzeug beispielsweise auf die zentrale Recheneinrichtung zugreifen, für den aktuellen Zeitpunkt aktuelle Flottendaten beziehen und überprüfen, ob für das jeweilige zeitliche Ermittlungsintervall und örtliche Ermittlungsintervall am Startort die kritische Fahrzeuganzahl übertroffen wird oder nicht. Analog könnte das Fahrzeug noch beim Durchführen der Fahrt entsprechende unanonymisierte Bewegungsdaten an die zentrale Recheneinrichtung übermitteln, woraufhin die zentrale Recheneinrichtung aktuelle Flottendaten ausliest und den Verfahrensschritt E) durchführt, bevor das Fahrzeug am Zielort angelangt ist.

Das Fahrzeug kann unterschiedliche Positionsbestimmungsmittel aufweisen, um einen aktuellen Aufenthaltsort zu bestimmen. Besonders bevorzugt nutzt hierzu ein jeweiliges Fahrzeug ein fahrzeuginternes Navigationssystem oder ein mit dem Fahrzeug gekoppeltes mobiles Navigationssystem, beispielsweise ausgeführt auf einem mobilen Endgerät wie einem Smartphone. Das Fahrzeug ist somit dazu in der Lage, unter Berücksichtigung eines von einem globalen Navigationssatelittensystem bereitgestellten Positionssignals eine Geoposition zu ermitteln. Durch Abgleich der Geoposition mit einer digitalen Straßenkarte kann dann der vergleichsweise genaue Aufenthaltsort des Fahrzeugs ermittelt werden. Der Aufenthaltsort des Fahrzeugs kann auch durch das kamerabasierte Erkennen charakteristischer Umgebungsmerkmale bestimmt werden oder durch Triangulation, beispielsweise durch Analyse der Mobilfunksignalstärke von zumindest drei in Reichweite befindlichen Mobilfunknetzwerkbasisstationen.

Zur Kommunikation mit der zentralen Recheneinrichtung kann das Fahrzeug dedizierte Kommunikationsmittel wie eine Telekommunikationseinheit, auch als Telematikeinheit bezeichnet, aufweisen. Eine solche Telekommunikationseinheit ermöglicht das Austauschen von Daten per Funk, beispielsweise per Mobilfunk und/oder Wi-Fi. Bei der zentralen Recheneinrichtung handelt es sich um einen Server oder Serververbund. Der entsprechende Server bzw. Serververbund kann an das Internet angeschlossen sein und somit auch als Cloud-Umgebung bezeichnet werden. Entsprechend kann das Fahrzeug die zentrale Recheneinrichtung über das Internet kontaktieren.

Bei der den entsprechenden Zeitpunkten und Ortsangaben aufgeprägten künstlichen Unschärfe handelt es sich um eine Verschmierung der jeweiligen exakten Werte. Handelt es sich bei einem Zeitpunkt beispielsweise um „15.13 Uhr“, so kann ein entsprechend mit einer Unschärfe versehener Zeitpunkt ein Zeitintervall ausbilden, beispielsweise „15 bis 16 Uhr“. Analog trifft dies auf eine Ortsangabe zu. So kann beispielsweise eine exakte Geopositionskoordinate, beispielsweise definiert durch einen Breitengrad und einen Längengrad, durch Hinzuaddieren oder Abziehen einiger Nachkommastellen verfälscht werden. Dabei existieren bestimmte Grenzen innerhalb derer verfälscht werden darf, sodass der tatsächliche Aufenthaltsort beispielsweise in einem Kreis mit einem Radius wie 200 Metern um die übermittelte Ortskoordinate liegt. Zum Verschmieren einer Ortsangabe kann auch die Genauigkeit übermittelter Geopositionskoordinaten, also beispielsweise eines Breitengrads und eines Längengrads, reduziert werden. So können beispielsweise die Nachkommastellen weggelassen werden. Es wäre auch möglich anstelle einer genauen Ortsangabe einen Ortsbereich zu übermitteln, beispielsweise einen durch einen sogenannten Geozaun definierten Bereich. Ein solcher Bereich kann eine beliebige Gestalt aufweisen, beispielsweise eine kreisförmige, quadratische, sternförmige oder beliebig polygonale Gestalt.

Die zentrale Recheneinrichtung verwaltet die Flottendaten. Hierzu übersenden die Fahrzeuge einer Fahrzeugflotte regelmäßig entsprechende Bewegungsdaten an die zentrale Recheneinrichtung. Es handelt sich hierbei um diejenigen Bewegungsdaten, die das jeweilige Fahrzeug zur Analyse an die zentrale Recheneinrichtung übermittelt. Die Flottendaten werden somit permanent aktuell gehalten. Die zentrale Recheneinrichtung kann auch veraltete Flottendaten vorhalten, welche auch als historische Flottendaten bezeichnet werden können. Dies ermöglicht es nachzuvollziehen, welche Bewegungsprofile die Fahrzeuge der Fahrzeugflotte in der Vergangenheit zutage gelegt haben. Das zeitliche Ermittlungsintervall und das örtliche Ermittlungsintervall können am Startort und am Zielort gleich oder unterschiedlich sein. Ein jeweiliges zeitliches und/oder örtliches Ermittlungsintervall kann kleiner, gleichgroß oder größer sein, als ein jeweiliges zeitliches und/oder örtliches Unschärfeintervall. Die Größe eines jeweiligen Intervalls kann beispielsweise von der Art des jeweiligen Orts abhängig sein, beispielsweise ob es sich um einen Ort in einer Stadt, auf dem Land, oder in der Nähe eines sogenannten Point-of- Interest (POI) handelt, wie beispielsweise ein Einkaufszentrum, ein Strandparkplatz, eine Tankstelle oder dergleichen. Beispielsweise beträgt das zeitliche Ermittlungsintervall die letzte Stunde, startend zum Startzeitpunkt, und beträgt das örtliche Ermittlungsintervall einem Kreis mit dem Mittelpunkt am Startort mit einem Radius von beispielsweise 500 Metern. Das örtliche Ermittlungsintervall kann auch eine beliebige Form aufweisen, also anstelle einer Kreisform beispielsweise eine elliptische Form, polygonale Form, beispielsweise eine Dreiecksform, Vierecksform, Fünfecksform oder dergleichen aufweisen. Ein örtliches Ermittlungsintervall muss dabei nicht zwangsweise symmetrisch sein, sondern kann eine beliebige polygonale Gestalt annehmen. Besonders bevorzugt fallen die Grenzen des örtlichen Ermittlungsintervalls und/oder auch eines örtlichen Unschärfeintervalls mit Merkmalen einer digitalen Straßenkarte zusammen, wie beispielsweise einem Straßenverlauf, dem Vorliegen bestimmter Kartenmerkmale wie Parkplätze, Tiefgaragen, Arztpraxen, Supermärkte, Krankenhäusern und dergleichen. So ist schließlich ein Aufenthalt des Fahrzeugs auf einer Straße oder einem Parkplatz ein plausibler Aufenthaltspunkt gegenüber beispielsweise dem Aufenthalt des Fahrzeugs auf einem Feld oder im Wald.

Durch das ständige Aktualisieren der Flottendaten, enthalten die Flottendaten Informationen welche beschreiben, wie viele Fahrzeuge der Fahrzeugflotte sich innerhalb des zeitlichen Ermittlungsintervalls und des örtlichen Ermittlungsintervalls am Startort aufgehalten haben, insbesondere selbst dort eine Fahrt begonnen haben. Entsprechendes trifft auch auf das Beenden der Fahrt am jeweiligen Zielort mit den jeweiligen Ermittlungsintervallen zu.

Das Verfahren wird beendet, wenn am Startort eine zu geringe Fahrzeugdichte vorliegt, also weniger als die kritische Fahrzeuganzahl an Fahrzeugen innerhalb des zeitlichen Ermittlungsintervalls um den Startzeitpunkt und des örtlichen Ermittlungsintervalls um den Startort dort eine Fahrt begonnen haben. Entsprechend werden keine anonymisierten Bewegungsdaten erzeugt. So ist nämlich bei einer zu geringen Anzahl an weiteren Fahrzeugen mit einer hohen Wahrscheinlichkeit eine Zuordnung der tatsächlichen Bewegungsdaten zum Fahrzeug möglich, was den Datenschutz gefährden würde. Ist jedoch die Fahrzeugdichte ausreichend hoch, also haben entsprechend viele Fahrzeuge innerhalb des jeweiligen Ermittlungsintervalls am Startort und Startzeitpunkt eine Fahrt begonnen, so ist es für die zentrale Recheneinrichtung schwer oder gar nicht möglich, die einzelnen Bewegungsdatenpunkte dem konkreten Fahrzeug zuzuordnen. Somit ist der Datenschutz und die Privatsphäre effektiv geschützt.

Da bereits hierdurch eine Anonymisierung möglich ist, müssen die entsprechenden Bewegungsdatenpunkte am Zielort nicht verworfen werden, wenn hier die Fahrzeugdichte gering ist. So reicht es am Zielort bei einer geringen Fahrzeugdichte aus, dass hier sowohl ein zeitliches und ein örtliches Unschärfeintervall den entsprechenden Bewegungsdatenpunkt aufgeprägt werden. Ist hingegen am Zielort zum Zielzeitpunkt eine hohe Fahrzeugdichte vorhanden, beenden also entsprechend viele weitere Fahrzeuge innerhalb des zeitlichen Ermittlungsintervalls um den Endzeitpunkt und des örtlichen Ermittlungsintervalls um den Zielort eine Fahrt, so reicht es aus, wenn dem entsprechenden Bewegungsdatenpunkt des Fahrzeugs lediglich ein zeitliches Unschärfeintervall aufgeprägt wird, um für eine ausreichende Anonymisierung zu sorgen.

Eine vorteilhafte Weiterbildung des erfindungsgemäßen Verfahrens sieht ferner vor, dass das Fahrzeug gemeinsam mit anonymisierten oder unanonymisierten Bewegungsdaten einen eindeutigen Fahrzeugidentifikator an die zentrale Recheneinrichtung übermittelt. Bei dem eindeutigen Fahrzeugidentifikator handelt es sich beispielsweise um einen charakteristischen Namen oder eine charakteristische Nummer wie die Fahrzeugidentifikationsnummer, auch als Vehicle Identification Number (VI N) bezeichnet. Dies ermöglicht eine eindeutige Zuordnung der Bewegungsdaten zu einem jeweiligen Fahrzeug. Der eindeutige Fahrzeugidentifikator kann dabei im Klartext oder auch verschlüsselt, beispielsweise als gehashter Wert, übertragen werden. Besonders bevorzugt erfolgt die Kommunikation zwischen den jeweiligen Fahrzeugen der Fahrzeugflotte und der zentralen Recheneinrichtung kryptografisch abgesichert. Hierzu kommen bewährte Kryptografieverfahren zum Einsatz, wie asymmetrische

Schlüsselaustauschverfahren sowie das Unterzeichnen von Signaturen. Generell wird der Datenschutz durch das Übermitteln des Fahrzeugidentifikators geschwächt. Da jedoch durch das Vorsehen der zeitlichen und/oder örtlichen Unschärfe das genaue Bewegungsprofil des Fahrzeugs nicht ermittelt werden kann, ist der Datenschutz trotzdem ausreichend gewahrt. Für den Fahrzeughersteller kann es notwendig sein, Bewegungsdaten Fahrzeugen eindeutig zuordnen zu müssen, um bestimmte Erkenntnisse gewinnen zu können. Dies ist somit mit Hilfe des erfindungsgemäßen Verfahrens ebenfalls möglich.

Entsprechend einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens, wartet das Fahrzeug mit dem Beziehen der Flottendaten von der zentralen Recheneinrichtung oder dem Übermitteln unanonymisierter Bewegungsdaten an die zentrale Recheneinrichtung, bis der Endzeitpunkt des zeitlichen Ermittlungsintervalls am Zielort erreicht wurde. Hierdurch lässt sich ein besonders großes zeitliches Unschärfeintervall nutzen. Würde das Fahrzeug nämlich die Flottendaten von der zentralen Recheneinrichtung vor dem Endzeitpunkt des zeitlichen Ermittlungsintervalls am Zielort beziehen bzw. vorher die unanonymisierten Bewegungsdaten an die zentrale Recheneinrichtung übermitteln, so wüsste die zentrale Recheneinrichtung hierdurch bereits, bis zu welchem exakten Zeitpunkt spätestens das Fahrzeug in der durch das örtliche Unschärfeintervall beschriebenen Zielregionen eingetroffen ist. Geht das zeitliche Unschärfeintervall über diesen Zeitpunkt hinaus, so wäre es unplausibel, dass zu einem späteren Zeitpunkt innerhalb des zeitlichen Unschärfeintervalls das Fahrzeug am Zielort eingetroffen wäre, als derjenige Zeitpunkt, an dem das Fahrzeug die Flottendaten bezogen hat bzw. die unanonymisierten Bewegungsdaten übermittelt hat. Soll also ein entsprechend großes zeitliches Unschärfeintervall durch das Fahrzeug genutzt werden, so wartet das Fahrzeug wie im vorigen beschrieben.

Eine weitere vorteilhafte Ausgestaltung des erfindungsgemäßen Verfahrens sieht ferner vor, dass die kritische Fahrzeuganzahl 3 beträgt. Hierbei handelt es sich um einen Kompromiss, sodass in einer vielfältigen Anzahl an Situationen, also ausreichend häufig, Bewegungsdaten anonymisiert werden können, dabei jedoch das Aufprägen einer ausreichenden Unschärfe möglich ist, sodass die zentrale Recheneinrichtung keine exakte Zuordnung von Bewegungsdaten ausführen kann.

Entsprechend einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens, wird die Höhe eines zeitlichen und/oder örtlichen Unschärfeintervalls in Abhängigkeit der Anzahl der Fahrzeuge innerhalb des respektiven Ermittlungsintervalls gewählt. Das erfindungsgemäße Verfahren erlaubt es somit das jeweilige Unschärfeintervall adaptiv an die tatsächliche Anzahl der Fahrzeuge innerhalb der respektiven Ermittlungsintervalle anzupassen. Somit ist es möglich situationsbedingt die Genauigkeit der Bewegungsdaten bei gleichzeitiger Wahrung einer ausreichenden Anonymität zu verbessern.

Bevorzugt wird dabei mit steigender Anzahl an Fahrzeugen innerhalb eines respektiven Ermittlungsintervalls, ein kleineres zeitliches und/oder örtliches Unschärfeintervall gewählt. Je mehr Fahrzeuge innerhalb eines respektiven zeitlichen und örtlichen Ermittlungsintervalls eine entsprechende Fahrt beginnen bzw. beenden, desto mehr Möglichkeiten stehen generell zur Verfügung, welche Fahrt von welchem Fahrzeug absolviert wurde. Mit anderen Worten steigt die Ungewissheit, sodass es der zentralen Recheneinrichtung erschwert wird, entsprechende Bewegungsdaten eindeutig Fahrzeugen zuzuordnen. Entsprechend ist es möglich kleinere zeitliche und/oder örtliche Unschärfeintervalle zu wählen, da bereits eine ausreichende Anonymisierung möglich ist. Starten bzw. beenden hingegen weniger Fahrzeuge in einem respektiven Ermittlungsintervall ihre jeweilige Fahrt, so wird entsprechend ein größeres zeitliches und/oder örtliches Unschärfeintervall gewählt, um auf Kosten der Genauigkeit der Bewegungsdatenpunkte die Anonymität zu wahren.

Entsprechend einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens, speichert das Fahrzeug historische Flottendaten, überprüft vor dem Durchführen von Schritt B) in den historischen Flottendaten, ob innerhalb eines zeitlichen Ermittlungsintervalls um den Startzeitpunkt und eines örtlichen Ermittlungsintervalls um den Startort eine kritische Anzahl an Flottenfahrzeugen innerhalb des Ermittlungsintervalls eine historische Fahrt begonnen haben, und übermittelt keinerlei Bewegungsdaten an die zentrale Recheneinrichtung, wenn die Anzahl der Flottenfahrzeuge kleiner ist, als die kritische Anzahl. Mit anderen Worten überprüft das Fahrzeug zu Beginn der Fahrt, ob es sich generell in einer Region aufhält, in der allgemein eine ausreichend hohe Fahrzeugdichte vorliegt. Ist dies der Fall, so werden entsprechend die weiteren Verfahrensschritte ausgeführt, um gegebenenfalls anonymisierte Bewegungsdaten zu erzeugen. Ergeben die historischen Flottendaten jedoch, dass in der entsprechenden Aufenthaltsregion des Fahrzeugs historisch eine geringe Fahrzeugdichte vorliegt, also generell zu wenige Fahrzeuge eine respektive Fahrt beginnen, so wird auf das Durchführen der weiteren erfindungsgemäßen Verfahrensschritte verzichtet. Hierdurch wird die Effizienz des erfindungsgemäßen Verfahrens verbessert. So ist es nicht erforderlich, dass unanonymisierte Bewegungsdaten an die zentrale Recheneinrichtung übermittelt werden müssen bzw. aktuelle Flottendaten von der zentralen Recheneinrichtung an das Fahrzeug übertragen werden müssen und entsprechend ein Abgleich mit den aktuellen Flottendaten erfolgen muss, um erst festzustellen, dass die weiteren Verfahrensschritte ohnehin nicht durchgeführt werden sollen. Somit können die jeweiligen Rechenressourcen des Fahrzeugs bzw. der zentralen Recheneinrichtung für andere Aufgaben genutzt werden.

Ein analoges Vorgehen ist dabei nicht nur zu Beginn einer jeweiligen Fahrt des Fahrzeugs, sondern auch beim Beenden der Fahrt am Zielort möglich. So sieht eine weitere vorteilhafte Ausgestaltung des erfindungsgemäßen Verfahrens nämlich vor, dass das Fahrzeug historische Flottendaten speichert, nach dem Durchführen von Schritt C) in den historischen Flottendaten überprüft, ob innerhalb eines zeitlichen Ermittlungsintervalls um den Zielzeitpunkt und eines örtlichen Ermittlungsintervalls um den Zielort eine kritische Anzahl an Flottenfahrzeugen innerhalb des Ermittlungsintervalls eine historische Fahrt beendet haben, und bewirkt, dass jegliche Bewegungsdaten vor einer Analyse durch die zentrale Recheneinrichtung gelöscht werden, wenn die Anzahl der Flottenfahrzeuge kleiner ist, als die kritische Anzahl. Die beim Überprüfen der historischen Flottendaten herangezogene kritische Fahrzeuganzahl kann dabei gleich sein oder auch abweichen von der kritischen Fahrzeuganzahl, die beim Vergleich mit den aktuellen Flottendaten herangezogen wird.

Beispielsweise beschreiben die historischen Flottendaten die Bewegungsdaten der Flottenfahrzeuge innerhalb des letzten zurückliegenden Jahres. Es kann jedoch auch ein größeres oder kürzeres Zeitintervall, wie beispielsweise der letzte Monat, der Monat Juni, die letzte Woche, oder das Jahr 2021 verwendet werden.

Es werden dann die Bewegungsdaten des Fahrzeugs gelöscht, bevor diese anonymisiert an die zentrale Recheneinrichtung übermittelt werden, bzw. es werden unanonymisierte Bewegungsdaten auf der zentralen Recheneinrichtung gelöscht, bevor die zentrale Recheneinrichtung diese anonymisieren kann. Entsprechend endet das Verfahren.

Eine weitere vorteilhafte Ausgestaltung des erfindungsgemäßen Verfahrens sieht ferner vor, dass das Fahrzeug wenigstens einen weiteren Bewegungsdatenpunkt zwischen dem Startort und dem Zielort an einem respektiven Zwischenort zu einem respektiven Zwischenzeitpunkt erhebt, innerhalb eines zeitlichen Ermittlungsintervalls um den Zwischenzeitpunkt und eines örtlichen Ermittlungsintervalls um den Zwischenort prüft, wie viele Flottenfahrzeuge innerhalb des Ermittlungsintervalls ebenfalls einen Bewegungsdatenpunkt erzeugen möchten oder erzeugt haben, wobei, wenn die Anzahl an Flottenfahrzeugen kleiner ist als eine kritische Fahrzeuganzahl, der Bewegungsdatenpunkt am Zwischenort verworfen wird oder dem Bewegungsdatenpunkt ein zeitliches und örtliches Unschärfeintervall aufgeprägt wird und ansonsten dem Bewegungsdatenpunkt am Zwischenort kein Unschärfeintervall oder lediglich ein zeitliches oder örtliches Unschärfeintervall aufgeprägt wird.

Bei den im vorigen gemachten Ausführungsformen wurden Bewegungsdatenpunkte lediglich am Startort und am Zielort generiert. Die zentrale Recheneinrichtung muss dann zum Rekonstruieren der vom Fahrzeug zurückgelegten Route die entsprechende Route zwischen dem Startort und dem Zielort neu berechnen. Hierzu kann derselbe Routenermittlungsalgorithmus eingesetzt werden, der auch im Fahrzeug implementiert ist.

Es ist jedoch auch erfindungsgemäß möglich, dass das Fahrzeug auf der entsprechenden Navigationsroute vom Startort zum Zielort weitere Bewegungsdatenpunkte generiert. Somit wird es der zentralen Recheneinrichtung zuverlässiger ermöglicht, die Navigationsroute nachzuvollziehen. Um auch hier für eine ausreichende Anonymisierung zu sorgen, können auch die weiteren Bewegungsdatenpunkte mit einer entsprechenden zeitlichen und/oder örtlichen Unschärfe versehen werden. Das Vorgehen ist analog zum Aufprägen der entsprechenden Unschärfe am Startort und Zielort. So überprüft das Fahrzeug in den Flottendaten, wie viele weitere Fahrzeuge innerhalb des zeitlichen Ermittlungsintervalls um den Zwischenzeitpunkt und des örtlichen Ermittlungsintervall um den Zwischenort ebenfalls auf einer Fahrt unterwegs sind und entsprechende Bewegungsdatenpunkte generieren. Sind ausreichend Fahrzeuge vorhanden, so ist es nicht erforderlich, ein zeitliches und/oder örtliches Unschärfeintervall dem Bewegungsdatenpunkt aufzuprägen. Es wäre jedoch auch möglich in diesem Fall lediglich ein zeitliches oder ein örtliches Unschärfeintervall aufzuprägen. Ist die Fahrzeugdichte hingegen zu klein, so muss zum Wahren der Anonymität sowohl ein zeitliches, als auch ein örtliches Unschärfeintervall aufgeprägt werden. Alternativ kann der entsprechende Bewegungsdatenpunkt auch verworfen werden. Das Festlegen entsprechend verschmierter Bewegungsdatenpunkte kann dabei bereits während der Fahrt erfolgen oder auch ebenfalls erst am Ende der Fahrt, insbesondere nach Verstreichen des Endzeitpunkts des zeitlichen Ermittlungsintervalls zum Zielzeitpunkt. Bevorzugt kommuniziert das Fahrzeug mit Flottenfahrzeugen, legt das Vorliegen eines respektiven Zwischenorts zu einem respektiven Zwischenzeitpunkt fest, wenn wenigstens so viele Flottenfahrzeuge wie die kritische Fahrzeuganzahl in Kommunikationsreichweite sind, woraufhin sich die Flottenfahrzeuge abstimmen und alle jeweils einen Bewegungsdatenpunkt erzeugen und diesem jeweils kein Unschärfeintervall aufprägen oder lediglich eines zeitliches oder örtliches Unschärfeintervall aufprägen. Das Fahrzeug kann über bewährte Schnittstellen mit weiteren Flottenfahrzeugen kommunizieren. Eine solche Schnittstelle wird auch als Fahrzeug-zu-Fahrzeug-Kommunikationsschnittstelle, oder Vehicle-to-Vehicle (V2V) Schnittstelle bezeichnet. So stellt sich generell die Frage, wann die Fahrzeuge der Fahrzeugflotte weitere Bewegungsdatenpunkte auf der Fahrt erzeugen sollen. Dies erfolgt vorteilhaft, wenn mehrere Fahrzeuge der Fahrzeugflotte in Kommunikationsreichweite zueinander sind. Somit können die Flottenfahrzeuge, bzw. das Fahrzeug, direkt erkennen, wann eine ausreichend hohe Fahrzeugdichte auf der Route vorliegt, sodass anonymisierbare Bewegungsdatenpunkte erzeugt werden können. Je nachdem, wie hoch die Fahrzeugdichte in einer solchen Situation ist, ist es dann sogar gar nicht erforderlich ein Unschärfeintervall aufzuprägen oder lediglich ein zeitliches oder ein örtliches Unschärfeintervall aufzuprägen. Zudem kann in Analogie zu den im vorigen beschriebenen vorteilhaften Ausführungsformen des erfindungsgemäßen Verfahrens dabei die Höhe eines jeweiligen aufzuprägenden zeitlichen oder örtlichen Unschärfeintervalls in Abhängigkeit der Fahrzeugdichte gewählt werden.

Besonders bevorzugt tauschen zumindest zwei in Kommunikationsreichweite befindliche Flottenfahrzeuge ihre bisher erzeugten Bewegungsdatenpunkte aus und nutzen die jeweils vom anderen Flottenfahrzeug erhaltenen bisherigen Bewegungsdatenpunkte zur Erzeugung der jeweils eigenen Bewegungsdaten. Hierdurch lässt sich der Anonymisierungsgrad noch weiter erhöhen und entsprechender Datenschutz noch weiter verbessern. Die zentrale Recheneinrichtung geht davon aus, dass die sich durch die Bewegungsdaten beschreibende Route eines Fahrzeugs vom Startort zum Zielort auch von dem jeweiligen Fahrzeug zurückgelegt wird. Durch den erfindungsgemäßen Austausch der Bewegungsdatenpunkte, welche vor dem Aufeinandertreffen der Fahrzeuge durch die jeweiligen Flottenfahrzeuge generiert wurden, ist es hingegen möglich, die jeweiligen Routenabschnitte auszutauschen. Die erste Teilroute eines ersten Fahrzeugs stammt somit von einem zweiten Fahrzeug und lediglich der darauffolgende Teilroutenabschnitt vom eigenen Fahrzeug. Dieser Austausch der bisherigen Bewegungsdatenpunkte ist beliebig oft während einer Fahrt durchführbar, sodass ein besonders hoher Durchmischungsgrad ermöglicht werden kann. Es können dabei immer nur die bisher erzeugten bzw. ausgetauschten Bewegungsdatenpunkte (erneut) ausgetauscht werden, da nur dies das Rekonstruieren plausibler Routen ermöglicht.

Bei einem erfindungsgemäßen Fahrzeug, umfassend eine interne Recheneinheit, Positionsbestimmungsmittel und Kommunikationsmittel, sind erfindungsgemäß die Recheneinheit, die Positionsbestimmungsmittel und die Kommunikationsmittel zur Durchführung eines im vorigen beschriebenen Verfahrens eingerichtet. Bei dem Fahrzeug kann es sich um ein beliebiges Fahrzeug wie einen Pkw, Lkw, Transporter, Bus oder dergleichen handeln. Bei der Recheneinheit kann es sich um einen zentralen Bordcomputer, ein Steuergerät eines Fahrzeuguntersystems oder dergleichen handeln. Als Kommunikationsmittel kann das Fahrzeug eine dedizierte Telekommunikationseinheit aufweisen. Es kann als Kommunikationsmittel auch ein mobiles Endgerät wie ein Smartphone genutzt werden, welches mit der Recheneinheit per Tethering gekoppelt ist. Als Positionsbestimmungsmittel kann das Fahrzeug bevorzugt über eine fahrzeuginterne Navigationseinheit wie ein GPS-basiertes Navigationssystem verfügen.

Weitere vorteilhafte Ausgestaltungen des erfindungsgemäßen Verfahrens zur Anonymisierung von Bewegungsdaten ergeben sich auch aus den Ausführungsbeispielen, welche nachfolgend unter Bezugnahme auf die Figuren näher beschrieben werden.

Dabei zeigen:

Fig. 1 eine schematische Draufsicht auf ein erfindungsgemäßes Fahrzeug, welches eine Fahrt von einem Startort zu einem Zielort durchführt und ein erfindungsgemäßes Verfahren zur Anonymisierung dabei anfallender Bewegungsdaten durchführt;

Fig. 2 ein Ablaufdiagramm des erfindungsgemäßen Verfahrens; und

Fig. 3 eine schematische Draufsicht auf zwei erfindungsgemäße Fahrzeuge, deren Fahrtrouen sich schneiden, wobei die beiden Fahrzeuge den jeweils vor dem Schnittpunkt generierten Teil der Bewegungsdaten austauschen.

Figur 1 zeigt in einer idealisierten Draufsicht auf eine Straßenkarte ein erfindungsgemäßes Fahrzeug 1 , welches eine Fahrt von einem Startort 2 zu einem Zielort 3 absolviert. Das Fahrzeug 1 generiert zumindest am Startort 2 und am Zielort 3 jeweils einen Bewegungsdatenpunkt und inkludiert diesen in zu erzeugende Bewegungsdaten. Der jeweilige Bewegungsdatenpunkt beschreibt dabei den aktuellen Aufenthaltsort des Fahrzeugs 1 zum aktuellen Zeitpunkt. Das Fahrzeug 1 übermittelt die Bewegungsdaten zur Analyse an eine zentrale Recheneinrichtung 4. Vor der Analyse der Bewegungsdaten durch die zentrale Recheneinrichtung 4 wird zumindest einem Aufenthaltsort und/oder Zeitpunkt in den Bewegungsdaten eine künstliche Unschärfe aufgeprägt. Dies ermöglicht es die Bewegungsdaten zu anonymisieren.

Zuerst bestimmt das Fahrzeug 1 beim Beginn der Fahrt den jeweiligen Aufenthaltsort und Startzeitpunkt. Danach absolviert das Fahrzeug 1 seine Fahrt. Kommt das Fahrzeug 1 am Zielort 3 an, so bestimmt es ebenfalls erneut den Aufenthaltsort und den Zielzeitpunkt.

Eine Vielzahl an Flottenfahrzeugen 5 übermitteln entsprechende anonymisierte Bewegungsdaten an die zentrale Recheneinrichtung 4. Diese werden von der zentralen Recheneinrichtung 4 aggregiert und aktuell gehalten. Entsprechende aktuelle Flottendaten können dann für das weitere Verfahren entweder von der zentralen Recheneinrichtung 4 selbst ausgewertet werden oder zur Auswertung an das Fahrzeug 1 übermittelt werden. Das Fahrzeug 1 bzw. die zentrale Recheneinrichtung 4 gleicht dann die Bewegungsdaten des Fahrzeugs 1 in unanonymisierter Form mit den Flottendaten ab.

Es wird geprüft, wie viele Flottenfahrzeuge 5 innerhalb eines zeitlichen Ermittlungsintervalls um den Startzeitpunkt und eines örtlichen Ermittlungsintervalls 6 um den Startort 2 eine Fahrt begonnen haben, wobei, wenn die Anzahl an Flottenfahrzeugen 5 größer ist als eine kritische Fahrzeuganzahl, beispielsweise 3, das Fahrzeug 2 dem Bewegungsdatenpunkt am Startort 2 ein zeitliches und/oder örtliches 7 Unschärfeintervall aufprägt. Das jeweilige Unschärfeintervall kann entsprechend auch durch die zentrale Recheneinrichtung 4 aufgeprägt werden.

Beispielsweise startet das Fahrzeug 1 seine Fahrt am Startort 2 um 8 Uhr morgens. Das örtliche Ermittlungsintervall 6 entspricht beispielsweise einem Kreis mit dem Radius r, beispielsweise 500 Meter. Aus den Flottendaten wird dann ermittelt, welche Flottenfahrzeuge 5 innerhalb des zeitlichen Ermittlungsintervalls, beispielsweise ±30 Minuten, also von 7.30 Uhr bis 8.30 Uhr, innerhalb des örtlichen Ermittlungsintervalls 6 ebenfalls eine Fahrt begonnen haben. Dieser Schritt wird besonders bevorzugt nach 8.30 Uhr ausgeführt, da eine vorige Ausführung ein Indiz für die zentrale Recheneinrichtung 4 sein könnte, dass die Fahrt tatsächlich vor 8.30 Uhr begonnen wurde.

Da die Bewegungsdaten der Flottenfahrzeuge 5 ebenfalls anonymisiert sind, liegt der jeweils tatsächliche Startpunkt der jeweiligen Flottenfahrzeuge 5 innerhalb eines durch die jeweiligen Kreise 13 beschriebenen Bereichs. Mit anderen Worten nimmt die zentrale Recheneinrichtung 4 den Mittelpunkt eines jeweiligen Kreises 13 als Startpunkt 14 eines jeweiligen Flottenfahrzeugs 5 in den Flottendaten an, auch wenn der tatsächliche Startpunkt an einer beliebigen Stelle innerhalb eines jeweiligen Kreises 13 liegt.

Ist die Fahrzeugdichte hoch genug, sind also ausreichend Flottenfahrzeuge 5, beispielsweise drei Flottenfahrzeuge 5, innerhalb des zeitlichen Ermittlungsintervalls innerhalb des örtlichen Ermittlungsintervalls 6 anwesend und starten ihre jeweilige Fahrt, so ist auch das Fahrzeug 1 dazu in der Lage anonymisierte Bewegungsdaten zu generieren. So wird es nämlich der zentralen Recheneinrichtung 4 durch die Anwesenheit der weiteren Flottenfahrzeuge 5 erschwert nachzuverfolgen, welches Fahrzeug 1, 5 welche Fahrt genau durchgeführt hat. Zur weiteren Erhöhung des Anonymisierungsgrads, prägt das Fahrzeug 1 bzw. die zentrale Recheneinrichtung 4 dabei den genauen Startzeitpunkt und/oder den genauen Startort 2 des Fahrzeugs 1 eine zeitliche Unschärfe bzw. das örtliche Unschärfeintervall 7 auf. Das örtliche Unschärfeintervall 7 kann eine beliebige Form und eine beliebige Größe annehmen. Besonders bevorzugt werden die jeweilige Größen des zeitlichen und/oder örtlichen 7 Unschärfeintervalls in Abhängigkeit der Fahrzeugdichte ausgestaltet.

Das Vorgehen zum Anonymisieren der Bewegungsdaten bei Ankunft des Fahrzeugs 1 am Zielort 3 ist analog. So wird ebenfalls innerhalb der aktuellen Flottendaten überprüft, wie viele Flottenfahrzeuge 5 innerhalb eines örtlichen Ermittlungsintervalls 8 zu einem zeitlichen Ermittlungsintervall eine Fahrt beendet haben. Ist die Fahrzeugdichte hoch genug, so reicht es aus den entsprechenden Bewegungsdatenpunkt am Zielort 3 lediglich ein zeitliches Unschärfeintervall aufzuprägen. Ist die Fahrzeugdichte hingegen niedriger als eine kritische Grenze, beispielsweise ebenfalls drei Flottenfahrzeuge 5, so werden dem Bewegungsdatenpunkt am Zielort 3 sowohl ein zeitliches, als auch ein örtliches 9 Unschärfeintervall aufgeprägt. Das örtliche Unschärfeintervall 9 kann ebenfalls eine beliebige Ausdehnung und Gestalt aufweisen. Mit Hilfe des erfindungsgemäßen Verfahrens ist es zuverlässig möglich, zu besonders vielen Situationen anonymisierte Bewegungsdaten zu generieren und zur Analyse für die zentrale Recheneinrichtung 4 bereitzustellen.

Figur 2 verdeutlicht dabei noch einmal den Verfahrensablauf. In einem Schritt 201 beginnt das Fahrzeug 1 seine Fahrt und bestimmt den Aufenthaltsort und den Startzeitpunkt am Startort 2.

Darauf folgt ein optionaler Verfahrensschritt 202, in welchem das Fahrzeug 1 überprüft, ob generell in seinem aktuellen Aufenthaltsbereich, insbesondere innerhalb des örtlichen Ermittlungsintervalls 6, eine ausreichend hohe Fahrzeugdichte vorliegt. Ist dies nicht der Fall, so wird das Verfahren beendet und die im Schritt 201 generierten Daten verworfen. Dies erfolgt im Schritt 203.

Durch diese „Vorabprüfung“ kann ein Aufwand zur Durchführung des erfindungsgemäßen Verfahrens reduziert werden, da nicht erst aktuelle Flottendaten an das Fahrzeug 1 übermittelt werden müssen bzw. unanonymisierte Bewegungsdaten vom Fahrzeug 1 an die zentrale Recheneinrichtung 4 übermittelt werden müssen.

Befindet sich das Fahrzeug 1 hingegen in einem Gebiet mit einer ausreichenden Fahrzeugdichte, so wird der Schritt 204 durchgeführt. Da die Verfahrensschritte 202 bzw. 203 optional sind, könnte sich der Verfahrensschritt 204 auch nahtlos an den Verfahrensschritt 201 anschließen. Im Schritt 204 wird überprüft, ob unter Analyse der Flottendaten festgestellt werden kann, ob innerhalb des zeitlichen Ermittlungsintervalls um den Startzeitpunkt und des örtlichen Ermittlungsintervalls 6 um den Startort 2 ausreichend Flottenfahrzeuge 5 eine jeweilige Fahrt begonnen haben. Ist dies der Fall, so wird dem Bewegungsdatenpunkt am Startort 2 ein zeitliches und/oder örtliches 7 Unschärfeintervall aufgeprägt. Ist dies hingegen nicht der Fall, so endet das Verfahren im Verfahrensschritt 205.

Der Verfahrensschritt 204 kann zu einem beliebigen Zeitpunkt nach dem Beginnen der Fahrt durchgeführt werden. In einem Verfahrensschritt 206 erreicht das Fahrzeug 1 den Zielort 3 und bestimmt den Aufenthaltsort und den Zielzeitpunkt am Zielort 3. Die Verfahrensschritte 206 und 204 könnten auch vertauscht sein.

Nun folgt ebenfalls ein optionaler Schritt 207. Das Fahrzeug 1 überprüft in historischen Flottendaten, ob im einem örtlichen historischen Ermittlungsintervall, beispielsweise überdeckend mit dem örtlichen Ermittlungsintervall 8, am Zielort 3 eine ausreichende historische Fahrzeugdichte vorliegt. Ist dies nicht der Fall, so endet das Verfahren im Schritt 208 und die bisher generierten Bewegungsdaten werden gelöscht.

Ist hingegen eine ausreichende historische Fahrzeugdichte vorhanden, so wird der Verfahrensschritt 209 durchgeführt. Der Verfahrensschritt 209 kann sich auch nahtlos an den Verfahrensschritt 206 anschließen. Im Verfahrensschritt 209 wird unter Berücksichtigung der aktuellen Flottendaten überprüft, ob innerhalb eines zeitlichen Ermittlungsintervalls um den Endzeitpunkt und eines örtlichen Ermittlungsintervalls 8 um den Zielort 3 ausreichend viele Flottenfahrzeuge 5 eine jeweilige Fahrt beendet haben. Ist dies der Fall, so wird dem Bewegungsdatenpunkt am Zielort 3 im Schritt 210 lediglich ein zeitliches Unschärfeintervall aufgeprägt. Ist dies hingegen nicht der Fall, so wird dem Bewegungsdatenpunkt am Zielort 3 im Schritt 211 sowohl ein zeitliches, als auch ein örtliches 9 Unschärfeinterfall aufgeprägt.

Figur 3 zeigt eine weitere alternative Ausführungsform des erfindungsgemäßen Verfahrens, bei dem mehrere Fahrzeuge 1 bzw. Flottenfahrzeuge 5 untereinander Bewegungsdatenpunkte austauschen. Figur 3 ist dabei in die vier Quadranten I., II., III. und IV. unterteilt. Im Quadranten I. ist die Fahrt eines ersten Fahrzeugs 1.1 von seinem jeweiligen Startpunkt 2 zu seinem jeweiligen Zielort 3 gezeigt. Im Quadranten II. ist die Fahrt eines zweiten Fahrzeugs 1.2 von seinem jeweiligen Startort 2 zum Zielort 3 gezeigt. Die jeweils zurückgelegte Strecke ist durch eine fettgedruckte Linie hervorgehoben. Die Fahrzeuge 1.1 und 1.2 treffen sich an einem Zwischenort 10. Über eine Fahrzeug-zu- Fahrzeug-Kommunikationsschnittstelle bauen die Fahrzeuge 1.1 und 1.2 eine Kommunikationsverbindung auf und tauschen jeweils bis zum Erreichen des Zwischenorts 10 generierte Bewegungsdatenpunkte aus. Die Fahrzeuge 1.1 und 1.2 müssen sich dabei nicht exakt am Zwischenort 10 treffen, sondern innerhalb eines örtlichen Ermittlungsintervalls 11. Durch den Datenaustausch wird die vom jeweiligen Fahrzeug 1.1 , 1.2 bisher zurückgelegte Route mit der Route des jeweiligen anderen Fahrzeugs 1.2, 1.1 ausgetauscht. Hierdurch wird der in den Quadranten III. und IV. gezeigte Routenverlauf der zentralen Recheneinrichtung 4 vorgegaukelt.

Zur weiteren Steigerung der Anonymität wird dabei der Zwischenort 10 nicht exakt beschrieben, sondern durch ein zeitliches und/oder örtliches 12 Unschärfeintervall. Das Vorgehen zum Bestimmen des zeitlichen und/oder örtlichen 12 Unschärfeintervalls ist analog zu dem bisher beschriebenen Verfahren. Insbesondere wird die Größe des jeweiligen zeitlichen und/oder örtlichen 12 Unschärfeintervalls in Abhängigkeit einer Fahrzeugdichte, der sich im jeweiligen zeitlichen Ermittlungsintervall im örtlichen Ermittlungsintervall 11 aufhaltenden Fahrzeuge ausgestaltet. Befinden sich also innerhalb des zeitlichen Ermittlungsintervalls, beispielsweise 30 Minuten, mehr Flottenfahrzeuge 5 innerhalb des örtlichen Ermittlungsintervalls 11 auf einer Fahrt, so kann ein kleineres zeitliches Unschärfeintervall und/oder ein kleineres örtliches Unschärfeintervall 12 gewählt werden.

Mit Hilfe des erfindungsgemäßen Verfahrens ist es möglich auf zuverlässige Art und Weise die Anonymisierung von Bewegungsdaten zu ermöglichen. Insbesondere ist es möglich mit einer hohen Häufigkeit im Vergleich zu bewährten Anonymisierungsverfahren Bewegungsdaten anonymisieren zu können.

Claims

Patentansprüche

1. Verfahren zur Anonymisierung von Bewegungsdaten eines Fahrzeugs (1), welches eine Fahrt von einem Startort (2) zu einem Zielort (3) absolviert, wobei das Fahrzeug (1) zumindest am Startort (2) und am Zielort (3) jeweils einen Bewegungsdatenpunkt generiert und in die Bewegungsdaten inkludiert, wobei ein jeweiliger Bewegungsdatenpunkt den aktuellen Aufenthaltsort des Fahrzeugs (1) zum aktuellen Zeitpunkt beschreibt, wobei das Fahrzeug (1) die Bewegungsdaten zur Analyse an eine zentrale Recheneinrichtung (4) übermittelt, und wobei vor der Analyse der Bewegungsdaten durch die zentrale Recheneinrichtung (4) zumindest einem Aufenthaltsort und/oder Zeitpunkt in den Bewegungsdaten eine künstliche Unschärfe aufgeprägt wird, gekennzeichnet durch die folgenden Verfahrensschritte:

A) Bestimmen, durch das Fahrzeug (1), des Aufenthaltsorts und des Startzeitpunkts am Startort (2);

B) Absolvieren der Fahrt, durch das Fahrzeug (1);

C) Bestimmen, durch das Fahrzeug (1), des Aufenthaltsorts und des Zielzeitpunkts am Zielort (3);

D) Auslesen von der zentralen Recheneinrichtung (4) verwalteter Flottendaten, wobei die Flottendaten in anonymisierter Form die Bewegungsdaten einer Vielzahl an Flottenfahrzeugen (5) umfassen, und Abgleichen der Bewegungsdaten des Fahrzeugs (1) mit den Flottendaten, wobei:

E) Innerhalb eines zeitlichen Ermittlungsintervalls um den Startzeitpunkt und eines örtlichen Ermittlungsintervalls (6) um den Startort (2) geprüft wird, wie viele Flottenfahrzeuge (5) innerhalb des Ermittlungsintervalls eine Fahrt begonnen haben, wobei, wenn die Anzahl an Flottenfahrzeugen (5) größer ist als eine kritische Fahrzeuganzahl, dem Bewegungsdatenpunkt am Startort (2) ein zeitliches und/oder örtliches (7) Unschärfeintervall aufgeprägt wird und ansonsten das Verfahren beendet wird; und

F) Innerhalb eines zeitlichen Ermittlungsintervalls um den Endzeitpunkt und eines örtlichen Ermittlungsintervalls (8) um den Zielort (3) geprüft wird, wie viele Flottenfahrzeuge (5) innerhalb des Ermittlungsintervalls eine Fahrt beendet haben, wobei, wenn die Anzahl an Flottenfahrzeugen (5) kleiner ist als eine kritische Fahrzeuganzahl, dem Bewegungsdatenpunkt am Zielort (3) ein zeitliches und örtliches (9) Unschärfeintervall aufgeprägt wird und ansonsten dem Bewegungsdatenpunkt am Zielort (3) ein zeitliches Unschärfeintervall aufgeprägt wird.

2. Verfahren nach Anspruch 1 , dadurch gekennzeichnet, dass das Fahrzeug (1) im Schritt D) die Flottendaten von der zentralen Recheneinrichtung (4) bezieht, danach die Schritte E) und F) selbst ausführt und in einem Schritt G) mittels der künstlichen Unschärfe anonymisierte Bewegungsdaten an die zentrale Recheneinrichtung (4) zur Analyse übermittelt.

3. Verfahren nach Anspruch 1 , dadurch gekennzeichnet, dass das Fahrzeug (1) vor dem Schritt D) unanonymisierte Bewegungsdaten an die zentrale Recheneinrichtung (4) übermittelt, die zentrale Recheneinrichtung (4) die Schritte D) bis F) ausführt und in einem Schritt G) die unanonymisierten Bewegungsdaten löscht und anschließend die durch die Schritte D) bis F) anonymisierten Bewegungsdaten analysiert.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass das Fahrzeug (1) gemeinsam mit anonymisierten oder unanonymisierten Bewegungsdaten einen eindeutigen Fahrzeugidentifikator an die zentrale Recheneinrichtung (4) übermittelt.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass das Fahrzeug (1) mit dem Beziehen der Flottendaten von der zentralen Recheneinrichtung (4) oder dem Übermitteln unanonymisierter Bewegungsdaten an die zentrale Recheneinrichtung (4) wartet, bis der Endzeitpunkt des zeitlichen Ermittlungsintervalls am Zielort (3) erreicht wurde.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass die kritische Fahrzeuganzahl 3 beträgt.

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass die Höhe eines zeitlichen und/oder örtlichen (7, 9) Unschärfeintervalls in Abhängigkeit der Anzahl der Fahrzeuge innerhalb des respektiven Ermittlungsintervalls gewählt wird.

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass mit steigender Anzahl an Fahrzeugen innerhalb eines respektiven Ermittlungsintervalls, ein kleineres zeitliches und/oder örtliches (7, 9) Unschärfeintervall gewählt wird.

9. Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass das Fahrzeug (1) historische Flottendaten speichert, vor dem Durchführen von Schritt B) in den historischen Flottendaten überprüft, ob innerhalb eines zeitlichen Ermittlungsintervalls um den Startzeitpunkt und eines örtlichen Ermittlungsintervalls um den Startort (2) eine kritische Anzahl an Flottenfahrzeugen innerhalb des Ermittlungsintervalls eine historische Fahrt begonnen haben, und keinerlei Bewegungsdaten an die zentrale Recheneinrichtung (4) übermittelt, wenn die Anzahl der Flottenfahrzeuge kleiner ist, als die kritische Anzahl.

10. Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass das Fahrzeug (1) historische Flottendaten speichert, nach dem Durchführen von Schritt C) in den historischen Flottendaten überprüft, ob innerhalb eines zeitlichen Ermittlungsintervalls um den Zielzeitpunkt und eines örtlichen Ermittlungsintervalls um den Zielort (3) eine kritische Anzahl an Flottenfahrzeugen innerhalb des Ermittlungsintervalls eine historische Fahrt beendet haben, und bewirkt, dass jegliche Bewegungsdaten vor einer Analyse durch die zentrale Recheneinrichtung (4) gelöscht werden, wenn die Anzahl der Flottenfahrzeuge kleiner ist, als die kritische Anzahl.

11. Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, dass das Fahrzeug (1) wenigstens einen weiteren Bewegungsdatenpunkt zwischen dem Startort (2) und dem Zielort (3) an einem respektiven Zwischenort (10) zu einem respektiven Zwischenzeitpunkt erhebt, innerhalb eines zeitlichen Ermittlungsintervalls um den Zwischenzeitpunkt und eines örtlichen Ermittlungsintervalls (11) um den Zwischenort (10) prüft, wie viele Flottenfahrzeuge innerhalb des Ermittlungsintervalls ebenfalls einen Bewegungsdatenpunkt erzeugen möchten oder erzeugt haben, wobei, wenn die Anzahl an Flottenfahrzeugen kleiner ist als eine kritische Fahrzeuganzahl, der Bewegungsdatenpunkt am Zwischenort (10) verworfen wird oder dem Bewegungsdatenpunk ein zeitliches und örtliches (12) Unschärfeintervall aufgeprägt wird und ansonsten dem Bewegungsdatenpunkt am Zwischenort (10) kein Unschärfeintervall oder lediglich ein zeitliches oder örtliches (12) Unschärfeintervall aufgeprägt wird.

12. Verfahren nach Anspruch 11, dadurch gekennzeichnet, dass das Fahrzeug (1) mit Flottenfahrzeugen kommuniziert, das Vorliegen eines respektiven Zwischenorts (10) zu einem respektiven Zwischenzeitpunkt festlegt, wenn wenigstens so viele Flottenfahrzeuge wie die kritische Fahrzeuganzahl in Kommunikationsreichweite sind, woraufhin sich die Flottenfahrzeuge abstimmen und alle jeweils einen Bewegungsdatenpunkt erzeugen und diesem jeweils kein Unschärfeintervall aufprägen oder lediglich eines zeitliches oder örtliches (12) Unschärfeintervall aufprägen.

13. Verfahren nach Anspruch 12, dadurch gekennzeichnet, dass zumindest zwei in Kommunikationsreichweite befindliche Flottenfahrzeuge ihre bisher erzeugten Bewegungsdatenpunkte austauschen und die jeweils vom anderen Flottenfahrzeug erhaltenen bisherigen Bewegungsdatenpunkte zur Erzeugung der jeweils eigenen Bewegungsdaten nutzen.

14. Fahrzeug (1), umfassend eine interne Recheneinheit, Positionsbestimmungsmittel und Kommunikationsmittel, dadurch gekennzeichnet, dass die Recheneinheit, die Positionsbestimmungsmittel und die Kommunikationsmittel zur Durchführung eines Verfahrens nach einem der Ansprüche 1 bis 13 eingerichtet sind.