(57)【要約】  本発明は、第１のモジュール（１）と第２のモジュール（２）との間でデータ（Ｄ）を伝送する方法に関する。この場合、第２のモジュール（２）のデータメモリ（４）からデータ（Ｄ）が第１のモジュール（１）へ、保護されてまたは保護されずに伝送可能である。これまで認証プロセス（ＩＶ）はときおり著しく長い時間がかかっていた。本発明によれば、最初に第１のデータ（Ｄ）を保護せずに伝送し、ついでこれを保護して伝送し、このデータは第１のモジュール（１）のプロセッサ（ＣＰＵ）を用いて第１のプロセス（ＩＩＩ）のために利用される。その後、保護されずに伝送されたデータ（Ｄ）が保護されて伝送されたデータ（Ｄ）と比較され、両者に差があれば第１のプロセス（ＩＩＩ）の結果が破棄される。さらに本発明は、上述の方法を実施するための装置にも関する。
2008541588.tif 000002
【特許請求の範囲】
【請求項１】
第１のモジュール（１）と第２のモジュール（２）との間で、たとえば走行記録計（ＤＴＣＯ）と該走行記録計（ＤＴＣＯ）と接続可能なデータ記録媒体（３）との間で、データ（Ｄ）を伝送する方法において、
前記第２のモジュール（２）はデータメモリ（４）を有しており、該データメモリ（４）から前記第１のモジュール（１）へ、認証プロセスを経て保護されて、または保護されずにデータ（Ｄ）が伝送され、
前記第２のモジュール（２）が前記第１のモジュール（１）に接続された後、最初にデータ（Ｄ）が保護されずに伝送され、該データ（Ｄ）は前記第１のモジュール（１）のプロセッサ（ＣＰＵ）によって第１のプロセス（ＩＩＩ）のために利用され、
保護されない伝送の開始後、前記第２のモジュール（２）から前記第１のモジュール（１）へデータ（Ｄ）が保護されて伝送され、
ついで保護されずに伝送されたデータ（Ｄ）が保護されて伝送されたデータ（Ｄ）と比較され、保護されて伝送されたデータ（Ｄ）と保護されずに伝送されたデータ（Ｄ）との間に差が生じたならば、前記第１のプロセス（ＩＩＩ）の結果が破棄されることを特徴とする、
データ（Ｄ）を伝送する方法。
【請求項２】
請求項１記載の方法において、
保護されずに伝送されたデータ（Ｄ）は付加的な入力データ（１０）の入力のため、第３のモジュール（入力装置９）によって前記第１のプロセス（ＩＩＩ）中に利用されることを特徴とする方法。
【請求項３】
請求項２記載の方法において、
前記第３のモジュールは入力装置（９）として構成されており、該入力装置（９）においてユーザ（５）が入力可能であることを特徴とする方法。
【請求項４】
請求項１記載の方法において、
前記データ（Ｄ）は前記第２のモジュール（２）のデータメモリ（４）に暗号化されずに格納されており、該データは前記第１のモジュール（１）により読み出し可能であることを特徴とする方法。
【請求項５】
請求項１記載の方法において、
保護されずに伝送されたデータ（Ｄ）は、前記第１のモジュール（１）の第１の領域に格納されることを特徴とする方法。
【請求項６】
請求項１記載の方法において、
保護された伝送のために認証プロセス（ＩＶ）中、保護されたデータ伝送のためのキー（１１）が生成され、該キーを関与させて、伝送されたデータ（Ｄ）から前記第２のモジュール（２）により少なくとも１つのコントロールデータ（ＣＳ）が生成され、前記第１のモジュール（１）は該コントロールデータ（ＣＳ）と伝送されたデータ（Ｄ）の評価により該データ（Ｄ）の信頼性を確認することを特徴とする方法。
【請求項７】
請求項６記載の方法において、
保護されたデータ伝送のための前記キー（１１）は前記第１のモジュール（１）から生成されることを特徴とする方法。
【請求項８】
請求項１記載の方法において、
認証プロセス（ＩＶ）はバックグラウンドのプロセスとして実行されることを特徴とする方法。
【請求項９】
請求項１記載の方法において、
保護された伝送および伝送されたデータ（Ｄ）の信頼性の確認はバックグラウンドのプロセスとして実行されることを特徴とする方法。
【請求項１０】
請求項１記載の方法において、
認証プロセス（ＩＶ）および伝送されたデータ（Ｄ）の信頼性の確認プロセスは、実行可能なプログラムとして可変の状態で少なくとも部分的に前記第１のモジュール（１）の記憶装置（６）に格納されていることを特徴とする方法。
【請求項１１】
請求項１記載の方法において、
データ（Ｄ）の保護されない伝送および該データ（Ｄ）の処理の間、保護されない伝送に起因する可能性のあるシステムの特定のエラーメッセージが抑圧されることを特徴とする方法。
【請求項１２】
第１のモジュール（１）と第２のモジュール（２）を備えた装置たとえば走行記録計（ＤＴＣＯ）と該走行記録計（ＤＴＣＯ）と接続可能なデータ記録媒体（３）を備えた装置において、
前記第１のモジュール（１）と前記第２のモジュール（２）との間でデータ（Ｄ）が伝送され、
前記第２のモジュール（２）はデータメモリ（４）を有しており、
前記第２のモジュール（２）から前記第１のモジュール（１）へ、認証プロセス（ＩＶ）を経て保護されて、または保護されずにデータ（Ｄ）が伝送され、
前記第２のモジュール（２）が前記第１のモジュール（１）に接続された後、最初にデータ（Ｄ）が保護されずに伝送され、該データ（Ｄ）は前記第１のモジュール（１）のプロセッサ（ＣＰＵ）によって第１のプロセス（ＩＩＩ）のために利用され、
保護されない伝送の開始後、前記第２のモジュール（２）から前記第１のモジュール（１）へデータ（Ｄ）が保護されて伝送され、
保護されずに伝送されたデータ（Ｄ）が保護されて伝送されたデータ（Ｄ）と比較され、保護されて伝送されたデータ（Ｄ）と保護されずに伝送されたデータ（Ｄ）との間に差が生じたならば、前記第１のプロセス（ＩＩＩ）の結果が破棄されることを特徴とする装置。
【請求項１３】
請求項１２記載の装置において、
保護されずに読み出されるデータ（Ｄ）により、第３のモジュール（入力装置９）による付加的なデータ（１０）の入力が第１のプロセス（ＩＩＩ）中、アシストされることを特徴とする装置。
【請求項１４】
請求項１３記載の装置において、
前記第３のモジュールは入力装置（９）として構成されており、該入力装置（９）においてユーザ（５）が入力可能であることを特徴とする装置。
【請求項１５】
請求項１２記載の装置において、
前記第２のモジュール（２）はデータメモリ（４）を有しており、該データメモリ（４）内にデータ（Ｄ）が暗号化されずに格納されており、該データ（Ｄ）は前記第１のモジュール（１）により読み出し可能であることを特徴とする装置。
【請求項１６】
請求項１２記載の装置において、
前記第１のモジュール（１）は第１の領域を備えた記憶装置（６）を有しており、該第１の領域内に保護されずに伝送されたデータ（Ｄ）が格納されることを特徴とする装置。
【請求項１７】
請求項１２記載の装置において、
保護された伝送のために認証プロセス（ＩＶ）中、保護されたデータ伝送のためのキー（１１）が前記第１のモジュール（１）により生成され、該キーを用いて前記第２のモジュール（２）は伝送されたデータ（Ｄ）から少なくとも１つのコントロールデータ（ＣＳ）を生成し、前記第１のモジュール（１）は該コントロールデータ（ＣＳ）と伝送されたデータ（Ｄ）の評価により該データ（Ｄ）の信頼性を求めることを特徴とする装置。
【請求項１８】
請求項１２記載の装置において、
認証がバックグラウンドのプロセスとして行われることを特徴とする装置。
【請求項１９】
請求項１２記載の装置において、
保護されない伝送および伝送されたデータ（Ｄ）の認証の確認がバックグラウンドのプロセスとして行われることを特徴とする装置。
【請求項２０】
請求項１２記載の装置において、
認証プロセスおよび伝送されたデータの信頼性の確認プロセスが実行可能なプログラムとして可変の状態で少なくとも部分的に前記第１のモジュール（１）の記憶装置（６）に格納されていることを特徴とする装置。
【請求項２１】
請求項１２記載の装置において、
データ（Ｄ）の保護されない伝送および該データ（Ｄ）の処理の間、保護されない伝送に起因する可能性のあるシステムの特定のエラーメッセージが抑圧されることを特徴とする装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、第１のモジュールと第２のモジュールとの間のデータ伝送方法たとえば運行記録計とそれに接続可能なデータ記録媒体との間のデータ伝送方法に関する。この場合、第２のモジュールはデータ記憶装置を有しており、このデータ記憶装置から第１のモジュールへ、認証プロセスを経て保護されて、あるいは保護されずに、データを伝送可能である。さらに本発明は、第１のモジュールおよび第２のモジュールもしくは走行記録計およびそれに接続可能なデータ記録媒体を備えた装置に関する。この装置は上述の方法を実施するように構成されている。
【０００２】
本発明の有利な適用分野は走行記録計ないしはタコグラフのオペレーションであって、この場合、常に第１のモジュールないしは走行記録計が商用車に固定的に取り付けられており、第２のモジュールないしはたいていはデータカードとして構成されているデータ記録媒体が商用車のドライバに割り当てられており、データ伝送のためにこれを走行記録計と接続することができる。個人に係わるオペレーションデータは、データカードが走行記録計に差し込まれるとデータカードのメモリから部分的に読み出され、走行記録計により第１の評価が行われる。その際にたとえば、車両ドライバがドライブ時間中断の累積を考慮してどれぐらいの長さ運転してもよいのかが突き止められる。カードの挿入後ないしはデータ伝送のための接続が形成された後、業務記録のため走行記録計の入力装置へ車両ドライバが入力を行う必要がある。このような入力として挙げられるのはたとえば、現在位置の地域ないしは国およびカード所有者が意図している果たすべき業務などである。ＥＷＧ通達No. 3821/85に従って、第１のモジュールと第２のモジュールないしは走行記録計とデータカードとの間のデータ伝送を安全に実施しなければならない。このためデータ伝送の最初に認証が必要である一方、その間にセッションキーが生成され、このセッションキーによってデータの伝送が保護される。しかしながら完全な認証プロセスにかかる時間は、特定の状況においては常識的に許容できる期間を超えてしまう。
【０００３】
このような問題点から出発して本発明の課題は、第１のモジュールと第２のモジュールとの間のデータ伝送のための接続を形成する期間を、データ伝送の基礎となるプロセスの記録に至るまで何らかの操作に対するセキュリティを損なうことなく、妥当なところまで短縮することである。
【０００４】
本発明によればこの課題は、請求項１の特徴を備えた方法ならびに請求項１１の特徴を備えた装置によって解決される。従属請求項には本発明の有利な実施形態が示されている。
【０００５】
本発明の格別な利点は、第２のモジュールないしは走行記録計のデータカードから第１のモジュールもしくは走行記録計へデータが最初は保護されずに読み出されもしくは伝送されることに基づき、認証つまりはデータ伝送の保護に費やす時間をまえもって節約できることにある。本発明に従い伝送すべきデータが最初のプロセスのために利用される場合、このことは殊に有利である。つまりこのケースの場合、データ伝送は最初のプロセスないしはプロセス全体のスタートでは時間的にクリティカルである。走行記録計の具体的な例でいえば、車両ドライバは自身による入力を、認証プロセスの結果を待つ必要なくすでに早期に開始することができる。しかしながら何らかの操作に対するセキュリティが損なわれることはない。その理由は、認証ならびに保護されたデータ伝送があとから補われるかたちで行われ、保護されて伝送されたデータと保護されずに伝送されたデータとの比較が行われるからである。この比較の結果が否定であれば、つまり差が検出できたならば、第１のプロセスの結果が破棄される。走行記録計の具体的な例でいえば、破棄とは車両ドライバーの入力を破棄することである。しかも有利には、そのカードは走行記録計によって受け入れることができない。認証および比較は好適にはプロセッサにより制御されてバックグラウンドで実行されるので、マルチタスクという状況において装置は一方ではたとえばユーザの入力を許可し、走行記録計の具体的な事例では商用車の運行において変速機に配置されたセンサから伝達されるオペレーションデータの記録もこれといっしょに実行することができる。暫定的にもしくは保護されずに読み込まれたデータは、有効なかたちで第１のモジュールないしは走行記録計の記憶装置に格納され、保護されたデータ読み出し中ないしはその後で、読み出されたデータと比較される。
【０００６】
本発明の有利な実施形態によれば、保護されずに読み込まれたデータによって第３のモジュールもしくは走行記録計の入力装置による付加的なデータの入力が第１のプロセス中、アシストされる。たとえばこの場合、言語識別を第２のモジュールから読み出すことができ、これによれば第１のモジュールの表示ユニットに文字ないしは平文テキストを表示するためにどの言語が用いられるのかが表される。
【０００７】
第２のモジュールのデータメモリ内にデータを暗号化せずに格納し、それを第１のモジュールから読み出すことができれば、本発明による方法もしくは本発明による装置の使用により得られる時間の節約がきわめて大きなものとなる。このプロセスないしは装置のこのような構成はセキュリティを損なうことを意味するものではない。つまりこの場合、保護された伝送のために認証プロセス中、保護されたデータ伝送のためのキーが第１のモジュールにより生成され、これを関与させることで、伝送されたデータから第２のモジュールにより少なくとも１つのコントロールデータが生成され、それによって第１のモジュールは伝達すべきデータとともにいっしょに送られたコントロールデータと伝送されたデータの評価に基づき、伝送されたデータの信頼性ないしは信憑性を確認することができるようになる。コントロールデータが一方では生成された秘密鍵に依存し他方では伝送されたその他のデータに依存することで、気づかずに行われた操作ないしは改ざんが確実に排除される。
【０００８】
本発明によれば、認証のみまたは保護された伝送のみをプロセッサにより制御してバックグラウンドで行うことができ、このことですでに時間が著しく節約されることになる。認証も伝送もバックグラウンドで行うと、本発明による利点が格別大きくなる。
【０００９】
本発明による保護された伝送および伝送されたデータの信頼性の確認をハードウェアコンポーネントとして構成することで、計算の煩雑さがかなり僅かになるし、ソフトウェアによる代替よりもオペレーションにおいて時間がかからなくなるけれども、認証および伝送されたデータの信頼性確認のプロセスを、可変の状態で少なくとも部分的に第１のモジュールの記憶装置に格納された実行可能なプログラムとして実装すると、コスト的な理由から有利なものとすることができる。この場合、データ伝送プロセスの冒頭で行われる本発明による加速の利点が殊に効果を発揮する。通常動作中の保護されていない伝送が気づかずに普通の状態になってしまわないようにするために有用であるのは、システムがこの状態を通常はエラーとして通報することである。有利には、保護されていないデータオペレーションおよびこのデータの処理中、たとえば第１のモジュールを第２のモジュールに接続する期間中もしくは走行記録計とデータ記録媒体との間のデータ伝送の開始時点で、このようなエラーメッセージを抑圧することができる。
【００１０】
次に、１つの特別な実施例に基づき本発明について詳しく説明する。
【００１１】
図１には、本発明による装置によって実施される本発明によるデータ伝送方法のステップ１〜６までが描かれている。
【００１２】
図１には、本発明による方法のステップＩ〜ＶＩが描かれている。図１には、第１のモジュール１もしくは走行記録計ＤＴＣＯが第２のモジュール２もしくはデータカードとして構成されたデータ記録媒体３と共働する様子が描かれている。第２のモジュール２はデータメモリ４を有しており、これはユーザ５について個人に係わるオペレーションデータを記憶する。走行記録計ＤＴＣＯはプロセッサＣＰＵを有しており、これはデータ伝送のため走行記録計ＤＴＣＯのデータ記憶装置６と接続されている。このほかプロセッサＣＰＵは制御の目的でディスプレイ７、２つのデータカード収容部８ならびに入力装置９と接続されている。図示のステップＩに従いデータ記録媒体３がデータカード収容部８に挿入され、それによってデータ記録媒体３は外部からアクセスできないようになる。データ記録媒体３が走行記録計ＤＴＣＯ内でそれとデータ伝送のために接続された状態（参照符号１２）におかれると、データＤがデータ記録媒体３からデータ記憶装置６へ保護されずに伝送される。
【００１３】
次に描かれているステップＩＩＩにおいて、ユーザは入力装置９を用いディスプレイ７にアシストされながら入力データ１０を入力する。この場合、ディスプレイ７には、ステップＩＩにおいて伝送されたデータＤを利用して入力のためのデフォルトが表示される。この最初のプロセス（ＩＩＩ）は、データ記憶装置６へのアクセスによってプロセッサＣＰＵにより制御される。
【００１４】
この具体的な実施例では入力データ１０を入力することによって、ユーザ５は自身の仕事を開始することができ、もしくは運転業務に入ることができ、走行記録計ＤＴＣＯはオペレーションデータの記録を各個人固有に開始することができる。
【００１５】
ステップＩＶで表されているステップは認証プロセスであり、このプロセス中、走行記録計ＤＴＣＯとデータ記録媒体３との間のデータ伝送を保護するためのキー１１が生成される。このプロセスは後続のプロセスと同様、マルチタスク対応の走行記録計ＤＴＣＯのバックグラウンドで実行される。次のステップＶにおいて、キー１１により保護されてデータ記録媒体３から走行記録計ＤＴＣＯへのデータ伝送が行われる。この場合、暗号化されていないデータＤがコントロールデータＣＳといっしょに伝送され、その際にコントロールデータＣＳがキー１１にもデータＤにも依存して生成されるようにして、伝送の保護が行われる。キー１１とデータＤとを考慮して走行記録計ＤＴＣＯによりコントロールデータＣＳが評価されることで、伝達されたデータＤが認証されているか何らかの操作が行われているかが表される。認証すなわち信憑性が肯定されれば、データＤの保護されたデータが成功したとみなされる。これに続くステップＶＩにおいて、うまく保護されて伝送されたデータＤが走行記録計ＤＴＣＯの記憶装置６に一時的に格納されていた保護されずに伝送されたデータＤと比較される。差Δが検出されると入力データ１０が破棄され、データ記録媒体ないしはデータカードが拒否される。
【図面の簡単な説明】
【００１６】
【図１】本発明による装置によって実施される本発明によるデータ伝送方法のステップ１〜６を示す図
【図１】
2008541588.tif 000003
【手続補正書】
【提出日】平成18年10月23日(2006.10.23)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
本発明は、第１のモジュールと第２のモジュールとの間のデータ伝送方法たとえば運行記録計とそれに接続可能なデータ担体との間のデータ伝送方法に関する。この場合、第２のモジュールはデータ記憶装置を有しており、このデータ記憶装置から第１のモジュールへ、認証プロセスを経て保護されて、あるいは保護されずに、データを伝送可能である。さらに本発明は、第１のモジュールおよび第２のモジュールもしくは走行記録計およびそれに接続可能なデータ担体を備えた装置に関する。この装置は上述の方法を実施するように構成されている。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００２
【補正方法】変更
【補正の内容】
【０００２】
FR 2 697 929 A1には、伝送装置と携帯型物体との間の保護されたデータ伝送のためのプロトコルたとえば通行料金システムのプロトコルについて開示されている。携帯型物体はたとえばデータメモリとマイクロプロセッサを備えたカードである。この場合、有効データが対応する署名とともに携帯型物体から伝送装置へ伝送される。伝送装置は署名に基づき伝送された有効データをチェックし、有効データおよび署名を更新する。更新された有効データおよび更新された署名は暗号化されて携帯型物体へ伝送され、そこにおいて復号されてチェックされる。
US 2004/0093507 A1には、組み込まれたプロセッサにより実行可能なソフトウェアコードの完全性に対するチェックについて開示されている。この場合、ソフトウェアコードは認証コードまたは署名とともに外部のデータ記憶装置に格納されている。ソフトウェアコードの完全性チェックのため、ソフトウェアコードおよび対応する認証コードまたは対応する署名が読み出される。ソフトウェアコードは組み込まれたプロセッサにより実行され、これと並行して別個の回路において、ソフトウェアコードの完全性が認証コードまたは署名に基づきチェックされる。
FR 2 861 202 A1には、車両情報のためのコントロールシステムについて開示されている。この場合、カードに記憶されているデータおよび対応する署名が検出装置により読み出される。署名は暗号化されたデータのハッシュコードである。データは暗号化されずにまたは暗号化されて検出装置へ伝送される。署名および必要に応じてデータは検出装置により復号され、復号されたデータに対しハッシュコードが生成され、チェックのためこれが復号された署名と比較される。
GB 2 404 065 Aには、バイオメトリックデータおよびその他のデータを保護する方法について開示されている。これによればバイオメトリックデータおよびその他のデータがディジタル署名および公開鍵を含むディジタル証明書とともに、携行可能な機器に識別の目的で記憶され、読み出し装置により読み出される。読み出されたバイオメトリックデータおよびその他のデータに対し、ハッシュコードが求められる。そしてこのハッシュコードが、ディジタル署名から求められたハッシュコードと比較される。
本発明の有利な適用分野は走行記録計ないしはタコグラフのオペレーションであって、この場合、常に第１のモジュールないしは走行記録計が商用車に固定的に取り付けられており、第２のモジュールないしはたいていはデータカードとして構成されているデータ担体が商用車のドライバに割り当てられており、データ伝送のためにこれを走行記録計と接続することができる。個人に係わるオペレーションデータは、データカードが走行記録計に差し込まれるとデータカードのメモリから部分的に読み出され、走行記録計により第１の評価が行われる。その際にたとえば、車両ドライバがドライブ時間中断の累積を考慮してどれぐらいの長さ運転してもよいのかが突き止められる。カードの挿入後ないしはデータ伝送のための接続が形成された後、業務記録のため走行記録計の入力装置へ車両ドライバが入力を行う必要がある。このような入力として挙げられるのはたとえば、現在位置の地域ないしは国およびカード所有者が意図している果たすべき業務などである。EWG-Verordnung Nr. ＥＷＧ通達No. 3821/85に従って、第１のモジュールと第２のモジュールないしは走行記録計とデータカードとの間のデータ伝送を安全に実施しなければならない。このためデータ伝送の最初に認証が必要である一方、その間にセッションキーが生成され、このセッションキーによってデータの伝送が保護される。しかしながら完全な認証プロセスにかかる時間は、特定の状況においては常識的に許容できる期間を超えてしまう。
【国際調査報告】
2008541588.tif 000004
2008541588.tif 000005
2008541588.tif 000006
2008541588.tif 000007
2008541588.tif 000008
2008541588.tif 000009