BESCHREIBUNG:

Die Erfindung betrifft ein Verfahren zum anonymisierten Übermitteln von Sensordaten eines Fahrzeugs an eine fahrzeugexterne Empfangseinheit sowie ein Anonymisierungssystem, eine fahrzeugexterne Empfangseinheit und ein Kraftfahrzeug.

Für eine Fahrzeugvernetzung ist es vorteilhaft, wenn Sensordaten, die von einem Fahrzeug ermittelt werden, anderen Fahrzeugen zur Verfügung ge stellt werden. Um einen Datenschutz für einen Fahrer zu gewährleisten ist es jedoch notwendig, einen Rückschluss auf das sendende Fahrzeug zu ver meiden. Durch eine Anonymisierung kann ein Personenbezug von Daten vermieden werden.

Aus der DE 10 2015 226 650 A1 ist ein Verfahren zum anonymisierten Übermitteln eines ersten Werts zumindest eines Fahrparameters eines Fahr zeugs an eine externe Datenempfangseinheit bekannt. Bei dem Verfahren wird der erste Wert für den Fahrparameter des Fahrzeugs ermittelt. Es wer den weitere Werte für den Fahrparameter, welche von weiteren Fahrzeugen an das Fahrzeug übermittelt werden, von dem Fahrzeug empfangen. Aus dem ersten Wert und den weiteren Werten wird ein zweiter Wert für den Fahrparameter so berechnet, dass der erste Wert von der externen Daten empfangseinheit nicht rekonstruierbar ist. Der zweite Wert wird an die exter ne Datenempfangseinheit übermittelt. Aus der DE 10 2010 003 247 A1 ist ein Verfahren zum Anzeigen mindestens eines Effizienzparameters eines Fahrzeugs bekannt, wobei der mindestens eine Effizienzparameter für eine vorbestimmte Fahrstrecke bestimmt wird und der mindestens eine Effizienzparameter in Beziehung zu mindestens einem Referenzwert angezeigt wird, wobei der mindestens eine Referenz wert dieser vorbestimmten Fahrstrecke zugeordnet ist.

Aus der DE 10 2016 211 352 A1 ist ein Verfahren zum Konfigurieren von mobilen Online-Diensten für die Nutzung mit einem Fahrzeug bekannt. Es ist vorgesehen, dass das Verfahren die folgenden Schritte umfasst: Bereitstel len eines Konfigurationssystems, welches Dateninhalte einer Datenfreigabe klasse von mehreren Datenfreigabeklassen zuordnet, Bereitstellen einer Auswahlmöglichkeit für einen Nutzer durch das Konfigurationssystem, durch welche der Nutzer einem oder mehreren mobilen Online-Diensten jeweils die Nutzung der Dateninhalte einer Datenfreigabeklasse erlauben kann, Aus wahlen jeweils einer Datenfreigabeklasse für den einen oder die mehreren mobilen Online-Dienste, und Freigeben der Dateninhalte der ausgewählten Datenfreigabeklasse zur Nutzung durch den jeweiligen mobilen Online- Dienst durch das Konfigurationssystem.

Nachteilig bei derzeitigen Verfahren ist es, dass nicht die Auswirkungen der Anonymisierungsverfahren, sondern die Anonymisierungsmaßnahmen be wertet werden. Da keine Informationen über die Umgebung vorhanden sind, kann die Anonymisierungsmaßnahme nicht dahingehend bewertet werden, mit welcher Wahrscheinlichkeit die Anonymisierung erfolgreich ist.

Der Erfindung liegt die Aufgabe zugrunde, ein Anonymisierungsverfahren für ein Fahrzeug bereitzustellen.

Die Aufgabe wird durch die Gegenstände der unabhängigen Patentansprü che gelöst. Vorteilhafte Weiterbildungen der Erfindung sind durch die abhän gigen Patentansprüche, die folgende Beschreibung sowie die Figuren offen bart. Die Erfindung basiert auf der Erkenntnis, dass Sensordaten, die von zwei verschiedenen Sendern kommen können, nicht mehr eindeutig einem Sen der zugeordnet werden können.

Durch die Erfindung ist ein Verfahren zum anonymisierten Übermitteln von Sensordaten eines Fahrzeugs an eine fahrzeugexterne Empfangseinheit bereitgestellt, wobei die Sensordaten mit einer Messzeitpunktangabe und/oder mit einer Messortsangabe übermittelt werden. Mit anderen Worten umfassen Sensordaten (zusätzlich zu den eigentlichen Messdaten) die Zeit und/oder den Ort, an der und/oder an dem diese gemessen wurden. Sensor daten können von zumindest einem Sensor aufgenommen werden, der sich in dem Fahrzeug befinden kann. Beispielsweise kann der zumindest eine Sensor zumindest einen elektrischen, optischen und/oder mechanischen Sensor umfassen, insbesondere eine Fahrzeugkamera, ein Fahrzeugradar, Lasersensoren, wie beispielsweise ein Lidar, und/oder druckempfindliche Sensoren in den Stoßdämpfern, die eine Straßenbeschaffenheit detektieren können. Die fahrzeugexterne Empfangseinheit kann ein Server sein, der Strecken Informationen mehrerer Fahrzeuge sammeln kann, um diese aus zuwerten und allen Fahrzeugen zur Verfügung zu stellen.

Das erfindungsgemäße Verfahren umfasst ein Ermitteln der Sensordaten an einem Messort des Fahrzeugs zu einem Messzeitpunkt, ein Ermitteln einer Verkehrsdichte in einer Umgebung des Messorts und ein Ermitteln eines anonymisierten Zeitpunkts, der innerhalb eines vorgegebenen Zeitintervalls oder einer vorgegebenen Zeit um den Messzeitpunkt liegt, und/oder Ermit teln eines anonymisierten Aufenthaltsorts, der innerhalb einer vorgegebenen Distanz um den Messort liegt. Mit anderen Worten werden zu einem Mess zeitpunkt und einem Messort Sensordaten aufgenommen (wodurch die ei gentlichen Messdaten entstehen) und zusätzlich wird die Verkehrsdichte in einer Umgebung des Messorts ermittelt. Die Verkehrsdichte kann hierbei beispielsweise von Verkehrsinformationen eines Navigationssystems stam men, die dem Fahrzeug beziehungsweise dem Navigationsgerät bereitge stellt werden. Die Umgebung kann beispielsweise eine Straße sein auf der sich das Fahrzeug befindet oder ein Ortsteil. Anschließend kann innerhalb der vorgegebenen Zeit um den Messzeitpunkt ein zufälliger anonymisierter Zeitpunkt festgelegt werden, und/oder es kann innerhalb einer vorgegebenen Distanz um den Messort ein zuverlässiger anonymisierter Aufenthaltsort festgelegt werden.

Das Verfahren umfasst ferner ein Berechnen einer Anonymisierungswahr scheinlichkeit des Fahrzeugs auf Basis der Verkehrsdichte und der vorgege benen Zeit einerseits und/oder auf Basis der Verkehrsdichte und der vorge gebenen Distanz andererseits. Aufgrund der bekannten Verkehrsdichte lässt sich ermitteln, wie wahrscheinlich es ist, dass ein anderes Fahrzeug die Sensordaten zu der anonymisierten Zeit und/oder an den anonymisierten Aufenthaltsort erzeugt haben könnte. Entsprechend erfolgt ein Bestimmen, ob die Anonymisierungswahrscheinlichkeit eine vorgegebene Anonymisie rungsbedingung erfüllt, und falls die Anonymisierungsbedingung erfüllt ist, ein Übermitteln der Sensordaten an die externe Empfangseinheit, wobei als die Messzeitpunktangabe, nicht der wahre Messzeitpunkt, sondern der ano nymisierte Zeitpunkt angegeben wird und/oder als die Messortsangabe nicht der wahre Messort, sondern der anonymisierte Aufenthaltsort angegeben wird. Mit anderen Worten wird zunächst eine Anonymisierungswahrschein lichkeit mittels der Verkehrsdichte, das heißt der Fahrzeuge pro Zeit, und der vorgegebenen Zeit um den Messzeitpunkt berechnet. Die vorgegebene Zeit kann beispielsweise ein Zeitintervall sein, das eine Länge von 1 Minute bis 24 Stunden aufweisen kann. Alternativ oder zusätzlich kann auch die Ano nymisierungswahrscheinlichkeit auf Basis der Verkehrsdichte und der vorge gebenen Distanz um den Messort berechnet werden. Die Distanz kann ein radialer Raumbereich sein, der einen Radius in einem Bereich von 1 Meter bis 2 Kilometern um den Messort liegen kann, oder es kann eine entspre chende Distanz auf der Straße sein, auf der sich das Fahrzeug befindet. Die Anonymisierungswahrscheinlichkeit kann mittels eines statistischen Verfah rens bestimmt werden und/oder eine prozentuale Wahrscheinlichkeit ange ben, von wie vielen andere Fahrzeug jeweils als potentieller Sender der Sensordaten kommen könnten, weil sie sich gemäß der Verkehrsdichte in der Umgebung ebenfalls aufhielten. Anschließend kann der Wert der Ano nymisierungswahrscheinlichkeit mit einer vorgegebenen Anonymisierungs- bedingung verglichen werden und bestimmt werden, ob die Anonymisie rungswahrscheinlichkeit die vorgegebene Anonymisierungsbedingung erfüllt. Die vorgegebene Anonymisierungsbedingung kann beispielsweise ein Wahr scheinlichkeitswert dafür sein, dass mindestens eine vorbestimmte Anzahl an Fahrzeugen als potentielle Sender gegenwärtig waren, und die Bedin gung kann erfüllt sein, wenn die Anonymisierungswahrscheinlichkeit über diesem Wahrscheinlichkeitswert liegt. Insbesondere kann die vorgegebene Anonymisierungsbedingung erfüllt sein, wenn die Sensordaten mit mindes tens dem besagten Wahrscheinlichkeitswert von größer oder gleich zwei verschiedenen Fahrzeugen kommen können.

Falls diese Anonymisierungsbedingung erfüllt ist, können die Sensordaten an die externe Empfangseinheit übermittelt werden, wobei in den Sensordaten als die Messzeitpunktangabe der anonymisierte Zeitpunkt angegeben wird und/oder als die Messortsangabe der anonymisierte Aufenthaltsort angege ben wird. Falls die Anonymisierungsbedingung nicht erfüllt ist, kann es vor gesehen sein, dass die Sensordaten nicht gesendet werden und z.B. verwor fen werden oder es kann vorgesehen sein, dass die Sensordaten zu einem späteren Zeitpunkt mit erneuter Anonymisierung gesendet werden sollen, falls dann die Anonymisierungsbedingung erfüllt ist.

Durch die Erfindung ergibt sich der Vorteil, dass Sensordaten nicht mehr einem bestimmten Fahrzeug zugeordnet werden können, was die Anonymi sierung verbessert. Des Weiteren erhält man durch das Verfahren eine In formation, mit welcher Wahrscheinlichkeit die Anonymisierung erreicht wur de, und kann so eine Aussage über die Auswirkung des Anonymisierungs verfahrens treffen.

Zu der Erfindung gehören auch Ausführungsformen, durch die sich zusätzli che Vorteile ergeben.

Eine Ausführungsform sieht vor, dass das Ermitteln des anonymisierten Zeitpunkts auf Basis eines Zufallsgenerators durchgeführt wird, wobei der Zufallsgenerator mittels einer Gleichverteilung einen Wert generiert, der innerhalb der vorgegebenen Zeit liegt und/oder wobei das Ermitteln des anonymisierten Aufenthaltsorts auf Basis des Zufallsgenerators durchgeführt wird, wobei der Zufallsgenerator mittels einer Gleichverteilung einen Wert generiert, der innerhalb der vorgegebenen Distanz liegt. Das heißt, dass der anonymisierte Zeitpunkt und/oder der anonymisierte Aufenthaltsort mittels eines Zufallsgenerators zufällig bestimmt wird, wobei der Zufallsgenerator innerhalb der vorgegebenen Zeit um den Messzeitpunkt und/oder innerhalb der vorgegebenen Distanz um den Messort einen gleichverteilten zufälligen Wert generieren kann. Der Zufallsgenerator kann als Programm oder Funkti on in einem Fahrzeugrechner vorgesehen sein. Diese Ausführungsform hat den Vorteil, dass hierdurch der anonymisierte Wert mit einer gleichverteilten Wahrscheinlichkeit ermittelt werden kann, wodurch ein Rückschluss auf das sendende Fahrzeug erschwert werden kann und somit die Anonymisierung verbessert werden kann.

Eine weitere Ausführungsform sieht vor, dass die Anonymisierungsbedin gung erfüllt wird, wenn die Anonymisierungswahrscheinlichkeit, dass die Sensordaten aufgrund der Verkehrsdichte auch von einem anderen als dem eigenen Fahrzeug stammen, größer als ein Schwellenwert ist. Das heißt, dass Sensordaten, die von zwei oder mehr Fahrzeugen stammen können nicht mehr einem Fahrzeug zuzuordnen sind und die Anonymisierungsbe dingung erfüllt wird, wenn die Wahrscheinlichkeit für diesen Fall größer als ein Schwellenwert ist. Beispielsweise kann der Schwellenwert, dass die Sensordaten von mindestens zwei verschiedenen Fahrzeugen stammen, eine Wahrscheinlichkeit von größer gleich 99,9 % betragen. Flierdurch kann sichergestellt werden, dass eine Mindestanzahl an potentiellen Sendern vorhanden ist. Durch diese Ausführungsform ergibt sich der Vorteil, dass eine Anonymisierung verbessert und sichergestellt werden kann.

Eine weitere Ausführungsform sieht vor, dass das Berechnen der Anonymi sierungswahrscheinlichkeit mittels einer Poisson-Verteilung durchgeführt wird. Mit anderen Worten wird für die Berechnung der Anonymisierungs wahrscheinlichkeit eine Poisson-Verteilung angenommen, mit der die Anzahl von Ereignissen, das heißt von Fahrzeugen, die sich innerhalb der vorgege- benen Zeit und/oder innerhalb der vorgegebenen Distanz befinden oder in diese eintreten können, modelliert werden kann. Beispielsweise kann über die Poisson-Verteilung die Wahrscheinlichkeit bestimmt werden, dass Sens ordaten von mindestens zwei Fahrzeugen stammen können, die sich inner halb der vorgegebenen Distanz und/der der vorgegebenen Zeit aufhalten. Hierdurch ergibt sich der Vorteil, dass eine Wahrscheinlichkeit, insbesondere die Anonymisierungswahrscheinlichkeit, mit der die Sensordaten von min destens zwei verschiedenen Fahrzeugen kommen können, besser berechnet werden kann und somit die Anonymisierung verbessert werden kann.

Eine weitere Ausführungsform sieht vor, dass die vorgegebene Zeit und/oder die vorgegebene Distanz in Abhängigkeit von den Sensordaten und/oder einem Datentyp der Sensordaten gewählt wird. Mit anderen Worten kann die vorgegebene Zeit und/oder die vorgegebene Distanz, mit der der anonymi sierte Zeitpunkt und der anonymisierte Aufenthaltsort des Fahrzeugs ermittelt wird, davon abhängig sein, von welchem Sensor die Sensordaten kommen oder welches Ereignis von dem Sensor aufgenommen wird. Beispielsweise kann eine Fahrzeugkamera ein Ereignis, wie einen Unfall, aufzeichnen, bei dem die Messortsangabe vorzugsweise mit dem Messort übereinstimmen kann. In diesem Beispiel kann die vorgegebene Distanz, mit der die Daten anonymisiert werden sollen, Null sein und die vorgegebene Zeit einen Wert ungleich Null annehmen, wie beispielsweise ein Zeitintervall von 10 Minuten. Hierdurch kann eine Ortsangabe beibehalten werden und zusätzlich eine Anonymisierung gewährleistet werden, indem die Messzeit anonymisiert wird Es kann also nicht mehr rekonstruiert werden wann das Fahrzeug am Mess ort war. Es kann jedoch auch vorgesehen sein, dass von einem Sensor Sen sordaten aufgenommen werden, deren zeitliche Komponente beibehalten werden soll und die unabhängig von dem aktuellen Ort sein kann, wie bei spielsweise eine aktuelle Helligkeit zu einer bestimmten Tageszeit. In diesem Fall kann beispielsweise nur die vorgegebene Distanz zur Anonymisierung verwendet werden. Es kann jedoch auch sein, dass die Sensordaten weder zeit- noch ortskritisch sind und somit sowohl die vorgegebene Zeit als auch die vorgegebene Distanz zur Anonymisierung verwendet werden können. Je nach Datentyp kann die vorgegebene Zeit sich beispielsweise im Bereich von Sekunden, Minuten oder Stunden befinden und die vorgegebene Distanz im Bereich von Metern oder Kilometern. Durch diese Ausführungsform ergibt sich der Vorteil, dass wichtige Parameter in den Sensordaten erhalten wer den können und dennoch eine Anonymisierung der Sensordaten stattfinden kann. Dadurch kann die Anonymisierung verbessert werden.

Eine Ausführungsform sieht vor, dass das Verfahren ferner ein Empfangen der Sensordaten durch die externe Empfangseinheit und ein Entfernen von Übertragungsinformationen, welche einen Rückschluss auf einen Sender zulassen, aus den Sensordaten umfasst. Mit anderen Worten können die Sensordaten durch die externe Empfangseinheit empfangen werden, und anschließend kann eine Übertragungsinformation, mit der ein Sender identi fiziert werden kann, aus den Sensordaten entfernt werden. Die Übertra gungsinformationen können beispielsweise eine Fahrzeugidentifikations nummer, eine IP-Adresse des Fahrzeugs und/oder eine MAC-Adresse sein. Durch diese Ausführungsform ergibt sich der Vorteil, dass auch mittels der Übertragungsinformationen kein Rückschluss mehr auf das sendende Fahr zeug vorgenommen werden kann, was zu einer verbesserten Anonymisie rung der Sensordaten führt. Die so anonymisierten Daten können dann bei spielsweise einem externen Anbieter für eine Weiterverarbeitung der Sens ordaten zur Verfügung gestellt werden, ohne dass dieser Rückschlüsse auf das Fahrzeug erhält von dem die Daten stammen.

Eine weitere Ausführungsform sieht vor, dass das Verfahren ferner folgende Schritte umfasst: ein Bestimmen durch die externe Empfangseinheit, ob mindestens zwei Sätze von Sensordaten für die Umgebung vorhanden sind und falls das Bestimmen bejaht wird, ein Bereitstellen der beiden Sätze von Sensordaten. Mit anderen Worten kann durch die externe Empfangseinheit bestimmt werden, ob für die Umgebung des Messorts, in der auch die Ver kehrsdichte ermittelt wird, mindestens zwei Datensätze von Sensordaten bei der externen Sensoreinheit vorhanden sind und, falls dies der Fall ist, eine weitere Bearbeitung der Sätze von Sensordaten zugelassen wird. Das heißt, dass die externe Empfangseinheit eine Art Zwischenspeicher umfassen kann, der die Sensordaten erst freigibt, wenn mindestens zwei Datensätze vorhanden sind. Falls nur ein Satz von Sensordaten vorhanden ist, kann es vorgesehen sein, dass die externe Empfangseinheit einen vorbestimmten Zeitraum auf weitere Datensätze wartet, und wenn in diesem vorbestimmten Zeitraum keine weiteren Datensätze eintreffen, kann die externe Empfangs einheit den einzelnen Satz von Sensordaten verwerfen. Der vorbestimmte Zeitraum kann beispielsweise eine Stunde oder ein Tag sein. Durch diese Ausführungsform ergibt sich der Vorteil, dass eine eindeutige Zuordnung zu einem Sender erschwert werden kann.

Erfindungsgemäß ist auch ein Anonymisierungssystem zum anonymisierten Übermitteln von Sensordaten an eine fahrzeugexterne Empfangseinheit vorgesehen, umfassend die Empfangseinheit und zumindest ein Fahrzeug, wobei das zumindest eine Fahrzeug dazu eingerichtet ist, die Sensordaten mit einer Messzeitpunktangabe und/oder mit einer Messortsangabe zu übermitteln, wobei das Fahrzeug dazu eingerichtet ist, Sensordaten an ei nem Messort des Fahrzeugs zu einem Zeitpunkt zu ermitteln, eine Verkehrs dichte in einer Umgebung des Messorts zu ermitteln, einen anonymisierten Zeitpunkt, der innerhalb einer vorgegebenen Zeit um den Messzeitpunkt liegt und/oder einen anonymisierten Aufenthaltsort, der innerhalb einer vorgege benen Distanz um den Messort liegt, zu ermitteln. Das Fahrzeug ist ferner dazu eingerichtet, eine Anonymisierungswahrscheinlichkeit des Fahrzeugs auf Basis der Verkehrsdichte und der vorgegebenen Zeit einerseits und/oder auf Basis der Verkehrsdichte und der vorgegebenen Distanz andererseits zu berechnen und zu bestimmen, ob die Anonymisierungswahrscheinlichkeit eine vorgegebene Anonymisierungsbedingung erfüllt, und, falls diese erfüllt wird, die Sensordaten des Messzeitpunkts an die externe Empfangseinheit zu ermitteln, wobei als die Messzeitpunktangabe der anonymisierte Zeitpunkt angegeben wird und/oder als die Messortsangabe der anonymisierte Aufent haltsort angegeben wird. Hierbei ergeben sich gleiche Vorteile und Variati onsmöglichkeiten wie bei dem Verfahren.

Erfindungsgemäß ist auch ein Kraftfahrzeug mit einer Steuereinrichtung vorgesehen, die dazu ausgelegt ist, das Verfahren durchzuführen. Das Kraft- fahrzeug kann hierbei ein Personenkraftwagen, ein Lastkraftwagen, ein Per sonenbeförderungsbus und ein Motorrad sein.

Ein weiterer Aspekt der Erfindung betrifft eine fahrzeugexterne Empfangs- einheit, die dazu ausgelegt ist, Sensordaten zu empfangen, Übertragungsin formationen, welche einen Rückschluss auf einen Sender zulassen, zu ent fernen und zu bestimmen, ob mindestens zwei Sätze von Sensordaten für den Messort vorhanden sind, in diesem Fall die beiden Sätze von Sensorda ten anzunehmen und zu verarbeiten. Mit anderen Worten können von der externen Empfangseinheit Übertragungsinformationen von den empfange nen Sensordaten entfernt werden und die externe Empfangseinheit kann die Sensordaten erst annehmen und verarbeiten, wenn mindestens zwei Sätze von Sensordaten eingegangen sind, wobei die empfangenen Sensordaten einen Satz von Sensordaten bilden. Hierdurch ergibt sich der Vorteil, dass eine verbesserte Anonymisierung durchgeführt werden kann, indem die Übertragungsinformationen entfernt werden und mindestens zwei Sätze von Sensordaten vorhanden sind. Hierdurch kann eine eindeutige Zuordnung zu einem Sender vermieden werden.

Zu der Erfindung gehören auch Weiterbildungen des erfindungsgemäßen Verfahrens, die Merkmale aufweisen, wie sie bereits im Zusammenhang mit den Weiterbildungen des erfindungsgemäßen Kraftfahrzeugs beschrieben worden sind. Aus diesem Grund sind die entsprechenden Weiterbildungen des erfindungsgemäßen Verfahrens hier nicht noch einmal beschrieben.

Die Erfindung umfasst auch die Kombinationen der Merkmale der beschrie benen Ausführungsformen.

Im Folgenden sind Ausführungsbeispiele der Erfindung beschrieben. Hierzu zeigt:

Fig. 1 eine schematische Darstellung eines Anonymisierungssystems gemäß einer Ausführungsform; Fig. 2a eine schematische Darstellung einer Bestimmung einer Ano nymisierungswahrscheinlichkeit gemäß einer Ausführungsform mit anonymisierten Zeitpunkt; Fig. 2b eine schematische Darstellung einer Bestimmung einer Ano nymisierungswahrscheinlichkeit gemäß der Ausführungsform von Fig. 2a mit zusätzlich anonymisierten Aufenthaltsort;

Fig. 3 ein schematische Verfahrensdiagramm gemäß einer Ausfüh rungsform.

Bei den im Folgenden erläuterten Ausführungsbeispielen handelt es sich um bevorzugte Ausführungsformen der Erfindung. Bei den Ausführungsbeispie len stellen die beschriebenen Komponenten der Ausführungsformen jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden. Daher soll die Offenbarung auch andere als die dargestellten Kombinationen der Merkmale der Ausführungsformen umfassen. Des Weiteren sind die beschriebenen Ausführungsformen auch durch weitere der bereits beschrie- benen Merkmale der Erfindung ergänzbar.

In den Figuren bezeichnen gleiche Bezugszeichen jeweils funktionsgleiche Elemente.

In Fig. 1 ist eine schematische Darstellung eines Anonymisierungssys tems 10 gemäß einer bevorzugten Ausführungsform dargestellt. Fig. 1 zeigt ein Fahrzeug 12, das sich auf einer Straße mit einer Mehrzahl anderer Fahr zeugen 13 befinden kann. Dem in Fig. 1 gezeigten Ausführungsbeispiel kann folgende Situation bei spielhaft zugrunde liegen. Das Fahrzeug 12 ist auf der Straße unterwegs, und ein Sensor des Fahrzeugs 12, der beispielsweise eine Kamera eines Fahrerassistenzsystems sein kann, kann ein Ereignis messen, wie in diesem Ausführungsbeispiel ein neues Verkehrsschild 14, das beispielsweise eine neue Geschwindigkeitsbegrenzung anzeigen kann. Die Messung des Ver kehrsschilds 14 kann dem Fahrzeug 12 von der Kamera in Form von Sens ordaten 16 bereitgestellt werden, wobei die Sensordaten 16 mit einer Mess zeitpunktangabe to und einer Messortsangabe xo aufgenommen werden können.

Es kann vorgesehen sein, dass die Sensordaten 16 des neuen Verkehrs schilds 14 auch anderen Fahrzeugen 13 bereitgestellt werden sollen. Es soll jedoch nicht bestimmt werden können, von welchem Fahrzeug die Sensorda ten 16 stammen. Um die Sensordaten 16 zu anonymisieren, kann in dem Fahrzeug 12 eine Steuereinrichtung 18 vorgesehen sein, die die Sensorda ten 16 vor dem Übermitteln anonymisiert.

Die Steuereinrichtung 18 kann dazu eine Verkehrsdichte in einer Umgebung des Messorts xo bestimmen, die beispielsweise von einer Verkehrsinformati on des Navigationssystems stammen kann, und eine Dichte von Fahrzeugen pro Minute oder pro Stunde angeben kann, die sich auf der gleichen Straße befinden. Zusätzlich kann die Steuereinrichtung 18 einen anonymisierten Aufenthaltsort x _a ermitteln, der innerhalb einer vorgegebenen Distanz 20 um den Messort xo liegen kann. Es kann jedoch alternativ oder zusätzlich ein anonymisierter Zeitpunkt t _a ermittelt werden, der innerhalb einer vorgegebe nen Zeit (in dieser Figur nicht dargestellt) um den Messzeitpunkt to liegen kann.

Die vorgegebene Distanz 20 und die vorgegebene Zeit können je nach Art der Sensordaten und/oder des Datentyps der Sensordaten durchgeführt werden. Beispielweise kann bei einer aktuellen Temperaturmessung eine größere vorgegebene Distanz 20 und eine längere vorgegebene Zeit ver wendet werden, wodurch eine Anonymisierung wahrscheinlicher wird. Es kann auch vorgesehen sein, dass zum Beispiel bei Sensordaten 16, die von einer Kamera stammen, der Messort xo wichtiger sein kann als die Messzeit to. Dann kann vorgesehen sein, dass die vorgegebene Distanz 20 null Meter beträgt und der anonymisierte Aufenthaltsort x _a mit dem Messort xo zusam menfällt und nur die Zeit anonymisiert wird. In dem in Fig. 1 gezeigten Aus- führungsbeispiel ist wegen der besseren Veranschaulichung jedoch nur eine Anonymisierung des Aufenthaltsortes x _a dargestellt.

Die Ermittlung des anonymisierten Zeitpunkts und des anonymisierten Auf enthaltsorts kann durch einen Zufallsgenerator der Steuereinrichtung 18 durchgeführt werden, wobei der Zufallsgenerator aus einer Gleichverteilung von Ortswerten zufällig einen Wert generieren kann. Hierzu kann beispiels weise die vorgegebene Distanz 20 in Raumbereiche von beispielsweise einer Größe von einem Quadratmeter eingeteilt werden, aus denen mit einer gleichverteilten Wahrscheinlichkeit der anonymisierte Aufenthaltsort x _a gene riert werden kann. Alternativ kann die vorgegebene Zeit in Zeitintervalle auf geteilt werden, die beispielsweise im Bereich von Sekunden oder Minuten liegen kann, woraus der Zufallsgenerator mit gleicher Wahrscheinlichkeit ein Zeitintervall für den anonymisierten Zeitpunkt t _a generieren kann.

Anschließend kann auf Basis der Verkehrsdichte und der vorgegebenen Distanz 20 eine Anonymisierungswahrscheinlichkeit berechnet werden. Hier zu können statistische Verfahren angewendet werden, insbesondere die Modellierung einer Poisson-Verteilung, die die Wahrscheinlichkeit angeben kann, dass die Sensordaten 16 von mindestens zwei Fahrzeugen stammen können, die sich innerhalb der vorgegebenen Distanz 20 aufhalten. Alternativ oder zusätzlich kann die Anonymisierungswahrscheinlichkeit auch für die Verkehrsdichte und die vorgegebene Zeit bestimmt werden.

Die so erhaltene Anonymisierungswahrscheinlichkeit kann dann von der Steuereinrichtung 18 mit einer vorgegebenen Anonymisierungsbedingung verglichen werden, um zu bestimmen, ob die Anonymisierungsbedingung erfüllt wird. Dabei kann die Anonymisierungsbedingung beispielsweise ein vorgegebener Schwellenwert sein, der bei einem bestimmten Erwartungs wert der Poisson-Verteilung eine Wahrscheinlichkeit von beispielsweise über 99,9% angibt, dass mehr als zwei Fahrzeuge die Sensordaten 16 gesendet haben können. Falls die Anonymisierungsbedingung erfüllt ist, kann das Kraftfahrzeug 12, insbesondere eine Sendeeinheit des Kraftfahrzeugs 12, die beispielsweise Daten über Mobilfunk, W-LAN oder Bluetooth senden kann, die Sensordaten 16 an eine externe Empfangseinheit 22 übermitteln. Die Werte der Messzeit punktangabe und/oder der Messortsangabe in den Sensordaten 16 werden dabei vor dem Übermitteln durch den anonymisierten Zeitpunkt t _a und den anonymisierten Aufenthaltsort x _a ersetzt.

Die externe Empfangseinheit 22 kann die Sensordaten 16 empfangen und die für die Übertragung notwendigen Übertragungsinformationen, wie bei spielsweise eine Fahrzeugidentifikationsnummer und/oder eine IP-Adresse aus den Sensordaten 16 entfernen. Zusätzlich kann die externe Empfangs einheit 22 die Sensordaten 16 vor einer Weiterverarbeitung zurückhalten und zunächst bestimmen, ob mindestens zwei Sätze von Sensordaten für die Umgebung des Verkehrsschilds 14 eingetroffen sind. H ierbei können die Sensordaten 16 beispielsweise für einen vorgegebenen Zeitraum zwischen gespeichert werden und von der externen Empfangseinheit 22 abgewartet werden, ob innerhalb dieses vorgegebenen Zeitraums weitere Sensordaten eintreffen. Der vorgegebene Zeitraum kann beispielsweise ein Zeitraum im Minuten- oder Stundenbereich sein. Treffen innerhalb dieses Zeitraums kei ne weiteren Sensordaten ein, kann die externe Empfangseinheit 22 die Sen sordaten 16 verwerfen. Falls jedoch weitere Sensordaten empfangen wer den, können die mindestens zwei Sätze von Sensordaten zur weiteren Bear beitung bereitgestellt werden. Eine weitere Bearbeitung der Sensordaten 16 kann beispielsweise von einem externen Dienstleister durchgeführt werden, da dieser, nachdem die Sensordaten 16 durch das gezeigte Verfahren ano nymisiert wurden, keinen Rückschluss mehr auf das Fahrzeug 12 ziehen kann.

In Fig. 2a ist schematisch veranschaulicht, wie eine Anonymisierungswahr scheinlichkeit mit einem anonymisierten Zeitpunkt t _a realisiert werden kann. An einem Messort xo kann zu einem Messzeitpunkt to ein Fahrzeug 12 Sens ordaten 16 aufnehmen. Der Messzeitpunkt kann zufällig durch einen anony misierten Zeitpunkt t _a innerhalb der Sensordaten 16 ersetzt werden, wobei der anonymisierte Zeitpunkt t _a zufällig innerhalb einer vorgegebenen Zeit 21 generiert werden kann. Innerhalb dieser vorgegebenen Zeit 21 kann mit Hilfe der Verkehrsdichte eine Anzahl von Fahrzeugen beim Messort xo modelliert werden, die innerhalb der vorgegebenen Zeit 21 erwartet werden. Eine Mo dellierung über einen Poisson-Prozess kann dann ergeben, dass bei einem Erwartungswert von größer gleich zehn Fahrzeugen zu über 99,9% mehr als zwei Fahrzeuge vorhanden innerhalb des Zeitintervalls vorhanden waren, und die Sensordaten 16 somit auch von einem anderen Fahrzeug 13 stam men könnten.

In Fig. 2b ist die gleiche Situation wie in Fig. 2a dargestellt, jedoch ist hier das Intervall der vorgegebenen Zeit 21 zusätzlich durch ein Intervall der vorgegebenen Distanz 20 erweitert. Diese zufällige Ortsungenauigkeit kann das zeitliche Intervall der vorgegebenen Zeit 21 erweitern. Beispielsweise kann somit die durchschnittliche Aufenthaltsdauer in der Umgebung des Messorts xo von bereits vor Beginn der vorgegebenen Zeit 21 in die Umge bung des Messorts einfahrender Fahrzeuge mitberücksichtigt werden. Das heißt, dass bei einer bekannten Geschwindigkeit der Fahrzeuge, die sich innerhalb der vorgegebenen Distanz 20 befinden, bestimmt werden kann, wie viele Fahrzeuge noch in das Intervall der vorgegebenen Zeit 21 fahren werden. Somit kann bei der Modellierung der Anonymisierungswahrschein lichkeit eine höhere Genauigkeit erzielt werden.

In Fig. 3 ist ein schematisches Verfahrensdiagramm einer Ausführungsform dargestellt. In einem Schritt S10 werden Sensordaten 16 an einem Messort xo des Fahrzeugs 12 zu einem Messzeitpunkt to ermittelt.

In einem Schritt S11 wird in einer Umgebung des Messorts xo eine Verkehrs dichte ermittelt.

In einem Schritt S12 wird ein anonymisierter Zeitpunkt t _a ermittelt, der inner halb einer vorgegebenen Zeit 21 um den Messzeitpunkt to liegt, und/oder es wird ein anonymisierter Aufenthaltsort x _a ermittelt, der innerhalb einer vorge gebenen Distanz 20 um den Messort xo liegt. In einem Schritt S13 wird eine Anonymisierungswahrscheinlichkeit des Fahr zeugs 12 auf Basis der Verkehrsdichte und der vorgegebenen Zeit 21 be rechnet und/oder die Anonymisierungswahrscheinlichkeit wird auf Basis der Verkehrsdichte und der vorgegebenen Distanz 20 berechnet.

In einem Schritt S14 wird bestimmt, ob die Anonymisierungswahrscheinlich keit eine vorgegebene Anonymisierungsbedingung erfüllt, und falls diese Anonymisierungsbedingung erfüllt ist, werden in einem Schritt S15 die Sens ordaten 16 an eine externe Empfangseinheit 22 übermittelt, wobei der ano nymisierte Zeitpunkt ta und/oder der anonymisierte Aufenthaltsort xa als eine Messzeitpunktangabe und/oder eine Messortsangabe der Sensordaten 16 mit übermittelt werden.

In einem Schritt S16 können die Sensordaten 16 durch die externe Emp fangseinheit 22 empfangen werden, die in einem Schritt S17 Übertragungsin formationen, welche einen Rückschluss auf einen Sender zulassen, aus den Sensordaten 16 entfernen kann.

Die externe Empfangseinheit 22 kann in einem Schritt S18 ferner bestim men, ob mindestens zwei Sätze von Sensordaten für die Umgebung vorhan den sind und, falls das zutrifft, in einem Schritt S19 die beiden Sätze von Sensordaten zur weiteren Verwendung bereitstellen.

In einer anderen beispielhaften Ausführungsform besteht ein Aspekt darin, dass in einem Fahrzeug 12 ein Positionsverfremder zur Ermittlung eines anonymisierten Aufenthaltsorts x _a sowie ein Verfälscher für Zeitstempel zur Ermittlung eines anonymisierten Zeitpunkts t _a vorgehalten und umgesetzt werden, um diese Funktionen absichern zu können. Die externe Empfangs einheit 22 außerhalb des Fahrzeugs 12 nimmt die gesendeten Sensordaten 16 zu einer Messung erst an, wenn eine zweite Messung hierfür vorliegt, um eine eindeutige Zuordnung zu einem Sender zu vermeiden. Zusätzliche Maßnahmen der externen Empfangseinheit 22 können eine Identifikation des Fahrzeugs beim Übermitteln der Sensordaten 16 sowie ein ungewolltes Verknüpfen von Messorten zu einem durchgehenden Profil durch Entfernen von Übertragungsinformationen, welche einen Rückschluss auf den Sender zulassen, verhindern. Insgesamt zeigt das Beispiel, wie durch die Erfindung ein Verfahren zur Sicherstellung von Anonymität in Ort und Zeit bereits im Fahrzeug bereitge stellt werden kann.