Titel

Verfahren und Vorrichtung zum Vorbereiten einer Betankung

Die vorliegende Erfindung betrifft ein Verfahren zur Vorbereitung einer Betankung. Die vorliegende Erfindung betrifft darüber hinaus eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium.

Stand der Technik

US2013139897A1 stellt ein System und ein Verfahren zum sicheren Befüllen von Wasserstoff unter Verwendung von Echtzeit-Wasserstofftank-Ausdehnungsdaten bereit. Das System umfasst eine Ausdehnungs-Messeinheit, eine fahrzeugseitige Steuereinheit, eine tankstellenseitige Steuereinheit und eine drahtlose Kommunikationseinheit. Die Ausdehnungs-Messeinheit ist auf einem Wasserstofftank des Fahrzeugs angeordnet und misst den Grad der Ausdehnung des Wasserstofftanks und erzeugt ein entsprechendes Ausgangssignal. Die fahrzeugseitige Steuereinheit wandelt das Ausgangssignal in ein drahtloses Ausgangssignal um. Die tankstellenseitige Steuereinheit stoppt das Wasserstoffnachfüllen durch eine Wasserstoff- Füllvorrichtung, wenn das drahtlose Ausgangssignal einen unsicheren Grad der Tankausdehnung anzeigt. Die drahtlose Kommunikationseinheit ist vorgesehen, um eine drahtlose Datenkommunikation zwischen der fahrzeugseitigen Steuereinheit und der tankstellenseitigen Steuereinheit durchzuführen.

US2020276909A1, US10800281B2 und US2020346554A1 beschreiben weitere Kommunikationssysteme und Verfahren zur Wasserstoffbetankung und Aufladung von Elektrofahrzeugen. Die in US20130091042A1 vorgeschlagene Methode und das darauf beruhende Sicherheitssystem bieten eine auf dem geografischen Standort basierende Sicherheit mit unterschiedlichen Zugriffsebenen und ermöglichen es dem Benutzer, zu schützende Einheiten auszuwählen, geografische Standorte, geografische Grenzen, Berechtigungen und Zugriffsebenen für bestimmte geografische Standorte und geografische Grenzen sowie Sicherheitswarnungen zu konfigurieren. Sie treffen anhand des aktuellen geografischen Standortes des Benutzers und dessen eigener Konfiguration für diesen geografischen Standort oder dessen Grenze die Entscheidung, Berechtigungen zu erteilen, zu verweigern oder eine bestimmte Zugriffsebene zuzuweisen, und senden Sicherheitswarnungen aus.

US2018213376A1 offenbart ein Verfahren zur Konfiguration sogenannter V2X-Kommunikation.

US5345599A beschreibt die gleichzeitige Nutzung einer Gruppenantenne {antenna array) aus mehreren Einzelantennen an Ein- und Ausgang eines Übertragungskanals zur drahtlosen Kommunikation. Derlei Übertragungssysteme sind in der Systemtheorie als Mehrgrößensysteme ( multiple input multiple output, MIMO) bekannt.

EP1952481B1 erörtert ein Strahlformungsnetz ( beamforming network, BFN) für eine Mehrstrahl-Gruppenantenne mit einer Mehrzahl von Antennenelementen.

Offenbarung der Erfindung

Die Erfindung stellt ein Verfahren zur Vorbereitung einer Betankung, eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes maschinenlesbares Speichermedium gemäß den unabhängigen Ansprüchen bereit.

Der erfindungsgemäße Ansatz fußt auf der Erkenntnis, dass das beschleunigte Tanken zum Beispiel von Wasserstoffgas die Thermodynamik des Betankungsvorgangs berücksichtigen und damit den Vorgang geschlossen regeln sollte. Dabei dürfen aus Gründen der (funktionalen und allgemeinen) Sicherheit die für den Tankbehälter festgelegten Werte für Maximaltemperatur und Maximaldruck zu keiner Zeit überschritten werden.

Bekannte Verfahren zur Übertragung von Daten vom Fahrzeug zur Tanksäule weisen in dieser Hinsicht verschiedene Nachteile auf. So wird eine herkömmliche unidirektionale Infrarotverbindung des Fahrzeuges zur Tanksäule durch Kratzer auf der Sende- oder Empfangs-Optik sowie durch Eisbildung um den Tankrüssel oder -stutzen stark beeinträchtigt und ist deshalb in der Praxis von Ausfällen betroffen, was ein beschleunigtes Betanken vereitelt. Eine solche unidirektionale Verbindung sieht zudem keinen Rückkanal von der Tanksäule zum Fahrzeug vor, sodass kein Abruf der unterstützten Tankverfahren und somit keine Einigung auf ein für die vorliegende Kombination von Fahrzeug und Tanksäule optimales Verfahren stattfinden kann.

Die vorgeschlagene Methode trägt ferner dem Umstand Rechnung, dass metallische Kontakte, wie sie für eine drahtgebundene Kommunikation unerlässlich sind, im Rahmen einer Wasserstoffbetankung insbesondere in der Nähe der Tankkupplung zu vermeiden sind, weil hier ein etwaiger Funkenschlag das Wasserstoffgas explosiv entzünden könnte. Zum Schutz der Tankstelle vor Explosionen ist die drahtlose (funkbasierte) Kommunikation somit der drahtgebundenen vorzuziehen.

Die Anwendung von Funk birgt aufgrund der ungehinderten Ausbreitung der Funkwellen jedoch besondere Herausforderungen, die erfindungsgemäß bewältigt werden. So bedarf es eines auslösenden Ereignisses zur Aktivierung des Gesamtvorgangs. Ferner muss die Funkverbindung so zuverlässig Daten übertragen, dass die funktionale und allgemeine Sicherheit der Betankung garantiert werden kann. Insbesondere sollten Dritte, die sich in Funkreichweite von Fahrzeug oder Tanksäule befinden, den Ablauf weder - etwa durch Störsendung ( jamming ) oder Überlastungsangriffe (denial of Service, DoS) - beeinträchtigen noch manipulieren können. Schließlich ist zu bedenken, dass sämtliche Fahrzeuge und Tanksäulen innerhalb der Funkreichweite, die in der Regel eine gesamte Tankstelle erfasst, gegenseitige Funksignale empfangen.

Die im Rahmen einer einzelnen Betankung interagierenden Teilnehmer, also Fahrzeug und Tanksäule, müssen einander deshalb selbstständig finden und identifizieren.

Zusammenfassend muss die Funkverbindung folglich vor der Betankung informations- und betriebssicher sein. Das nachfolgend beschriebene Verfahren erreicht dieses Ziel unabhängig von der verwendeten Funktechnologie, Tankstellen-Infrastruktur und Hardware. Es ist ebenso unabhängig von der zur Standortbestimmung eingesetzten Technologie und kann für die Betankung beliebiger (gasförmiger oder flüssiger) Kraftstoffe sowie das Laden von Elektrofahrzeugen verwendet werden.

Ein Grundgedanke der vorgeschlagenen Lösung besteht hierbei darin, dass mehrere Antennen an Fahrzeug oder Tanksäule verschiedene Funksignale erzeugen bzw. ein Trägersignal modulieren und gezielt aussenden, sodass Daten zwischen Fahrzeug und Tanksäule digital übertragen bzw. Fahrzeug und zugehörige Tanksäule wechselseitig geortet werden können. Die Kommunikation kann prinzipiell in beide Richtungen erfolgen, wobei der jeweilige Funksender eine oder mehrere (Sende-)Antennen und der darauf abgestimmte Empfänger mehrere (Empfangs-)Antennen besitzt, mit welchen er den Sender orten kann. Ein Hauptvorteil dieser Verwendung eines Mehrantennensystems liegt darin, dass durch dessen mögliche Richtwirkung die Funksignale bei Bedarf ausschließlich auf den Empfänger gebündelt und vom Empfänger nur aus einer eng umrissenen Vorzugsrichtung detektiert werden können, was die Stör- und Abhörsicherheit erhöht.

Das erfindungsgemäße Verfahren kann vorteilhaft mit einer ortsabhängigen Autorisierung des Gegenübers kombiniert werden. Auf diese Weise lassen sich die IT-Sicherheit und die funktionale Sicherheit kostengünstig erhöhen, da die erforderlichen Komponenten in großer Vielfalt am Markt verfügbar und in Tankstellen bzw. Fahrzeugen teilweise bereits vorgesehen sind, sodass sie im Rahmen des Verfahrens ohne nennenswerten konstruktiven Mehraufwand wiederverwendet werden können.

Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen des im unabhängigen Anspruch angegebenen Grundgedankens möglich. So kann vorgesehen sein, dass ein Fahrzeug die es versorgende Tankstelle oder Ladesäule finden und eindeutig sowie betriebs- und informationssicher identifizieren kann und umgekehrt. Die sich aus einer Mehrzahl anwesender Fahrzeuge und Tanksäulen ergebende Mehrdeutigkeit kann auf diesem Wege aufgelöst und erhöhte Anforderungen an die funktionale Sicherheit erfüllt werden.

Gemäß weiteren Aspekten kann vorgesehen sein, dass Fahrzeug und Tanksäule sich gegenseitig authentifizieren und für den Betankungsvorgang autorisieren. Dies wiederum ermöglicht automatisierte Betankungsvorgänge und Abrechnungen. Auf diese Weise kann ferner sichergestellt werden, dass Fahrzeug und Tanksäule zueinander kompatibel sind, weil sie beiderseits gestellte und durch die Kommunikation nachgewiesene Anforderungen an die funktionale Sicherheit erfüllen.

Schließlich kann vorgesehen sein, dass Fahrzeug und Tanksäule ihre Funkkommunikation - zum Beispiel durch den Austausch eines kryptografischen Schlüssels - im Hinblick auf mögliche Abhör- oder Manipulationsversuche und anderweitige Angriffe durch Dritte absichern, trotz eines Jamming- oder Denial- of-Service-Angriffs weiterhin rudimentär miteinander kommunizieren und einen behelfsmäßigen Systembetrieb aufrechterhalten oder ein Signal übertragen können, um funktionale Sicherheitsanforderungen zu erfüllen, z. B. ein Totmann oder sogenanntes Keepalive-Signal.

Kurze Beschreibung der Zeichnungen

Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:

Figur 1 die Vorbereitung und Initialisierungsphase einer Betankung gemäß einer ersten Ausführungsform.

Figur 2 schematisch ein Steuergerät gemäß einer zweiten Ausführungsform. Ausführungsformen der Erfindung

Exemplarisch wird ein Betankungsszenario an einer Tankstelle betrachtet, an der beispielsweise ein Brennstoffzellenfahrzeug mit gasförmigem Wasserstoff betankt werden soll. Das Verfahren ist jedoch auf alle Arten von Kraftstoffen (gasförmig, flüssig, kryogen etc.) sowie auf das Laden von Elektrofahrzeugen anwendbar. Außerdem ist es unerheblich, ob die Betankung manuell oder automatisch erfolgt bzw. abgerechnet wird oder ein konventionelles, (teil- )automatisiertes oder autonomes Fahrzeug betrifft. In Betracht kommt ferner, dass ein herkömmliches, teilautomatisiertes oder autonomes Betankungsfahrzeug zum zu betankenden Fahrzeug fährt und dieses betankt. Schließlich kann das Verfahren mit beliebigen anderen Verfahren der IT- Sicherheit oder der funktionalen Sicherheit kombiniert werden.

Erfindungsgemäß werden vor, während oder nach dem Betankungsvorgang über eine Funktechnologie Ausprägungen von Sicherheitsmerkmalen übertragen, beispielsweise die Werte für Druck und Temperatur im Tankbehälter. Denkbar ist, dass zumindest ein Teil dieser Datenübertragung erhöhte Anforderungen an IT-Sicherheit und funktionale Sicherheit erfüllen muss.

Figur 1 zeigt das erfindungsgemäße Verfahren (10) zur Vorbereitung einer solchen Betankung. In dieser Phase wird beiderseits - an der Tankstelle und am Fahrzeug - durch übereinstimmende oder unterschiedliche Ereignisse (11, 12) der Kommunikationsbeginn ausgelöst. Seitens der Tanksäule kommen beispielsweise die Entnahme (11) der Zapfpistole aus ihrer Halterung, das Überfahren eines Kontakts durch das Fahrzeug oder die Auslösung einer Lichtschranke, seitens des Fahrzeuges indes etwa eine Befehlseingabe oder das Öffnen (12) des Tankdeckels in Betracht.

Auf dieses auslösende Ereignis (11, 12) hin führen Tanksäule und Fahrzeug - letzteres vorzugsweise nach Aktivierung einer Wegfahrsperre (13) - unabhängig voneinander eine Leckage- Prüfung (14) des eigenen Systems durch. Bei bestandener Prüfung (14) wird das Verfahren (10) durch Freigabe (15) eines Tankventiles für die Betankung fortgesetzt. Anschließend koppeln (16) sich beide Systeme miteinander, um eine informationssichere (17) und betriebssichere (18) Verbindung aufzubauen.

Über die solchermaßen eingerichtete Verbindung tauschen sich die Teilnehmer über die jeweils angebotenen Dienste (19) aus und treffen eine geeignete Auswahl. Diese Auskunft kann die Abfrage einer Datenbank umfassen, welche lokal durch einen der Partner oder über eine Internetverbindung per Mobilfunk, Ethernet o. ä. durch einen entfernten Server verwaltet wird.

Nunmehr in Kenntnis des zu erbringenden Betankungsdienstes handeln Tanksäule und Fahrzeug ein einschlägiges Datenübertragungsprotokoll für die Nutzdaten des Betankungsvorganges aus (20) und legen fest, welches - ggf. standardisierte - thermodynamische Betankungsprotokoll und -verfahren Anwendung finden. Es folgt ein Austausch der Betankungsparameter (21), in dessen Rahmen zum Beispiel die Tankbehältertypen hinsichtlich ihres Werkstoffes, ihrer Form usw. auf Kompatibilität geprüft werden. Schließlich wird gemäß den Betankungsparametern ein Plan für die Betankung gefasst, über welchen die Teilnehmer einander mittels der eingerichteten Verbindung informieren (22).

Die Schritte (11-22) des Verfahrens (10) werden vorzugsweise durch Selbsttests und Plausibilitätsprüfungen auf erfolgreiche Ausführung überprüft. Verläuft die Überprüfung erfolgreich, so wird das Verfahren (10) mit dem jeweils nächsten Schritt fortgesetzt; andernfalls werden die Beteiligten - der Fahrer zum Beispiel durch eine Anzeige im Fahrzeug bzw. an der Tanksäule, das Tankstellenpersonal durch eine Monitoranzeige in der Tankstellenüberwachung - über den Fehler informiert, um diesen beheben zu können.

Im Zuge dieses Verfahrens (10) können die vorgeschlagenen Maßnahmen in verschiedenen Schritten verwendet werden, beispielsweise durch:

• Lokalisierung des Senders und Abgleich mit zulässigen Positionen.

Daten eines Senders außerhalb definierter, erlaubter Positionen werden verworfen. • Fokussierung der Empfangsrichtung (z. B. des Fahrzeugs oder der Tanksäule) des Empfangs-Antennen-Arrays auf zulässige Raumpositionen, sodass nur Signale, die von diesen Positionen gesendet werden, überhaupt vom Empfänger detektiert werden.

• Fokussierung der Senderichtung des Sende-Antennen-Arrays (z. B. des Fahrzeugs oder der Tanksäule) auf definierte Positionen, sodass Empfänger abseits der Hauptrichtung die Signale nicht empfangen.

Diese Maßnahmen werden durch die Nutzung von Gruppenantennen - vorzugsweise im Rahmen von MIMO-Systemen - erreicht. Die Lokalisierung kann z. B. dadurch erfolgen, dass der Sender spezielle Funksignale (Trainingsfolgen) aussendet. Der Empfänger detektiert die Laufzeit vom Sender zum Empfänger oder die Differenz der Laufzeiten zwischen mehreren entsprechenden Paaren und verwendet Multilateration oder -angulation zur Ortung des Senders relativ zum Empfänger. Alternativ können nach den o. g. Verfahren die Einfallswinkel der Funkwelle in den Empfänger bestimmt werden.

In Kenntnis der Sendereichweite sowie des Umstandes, dass sich in bestimmter Entfernung unter einem erkannten Winkel der Tankstellenboden oder ein anderweitiger massiver Körper befindet, der als Sender ausscheidet, ist eine solche Lokalisierung praktikabel.

Die Entfernung zwischen Sender und Empfänger kann von letzterem auch durch Messung der Kanalimpulsantwort oder einer mathematischen Transformation wie der Übertragungsfunktion bestimmt werden. Ebenso kann die Entfernung aus der Empfangsfeldstärke {received Signal strength indicator, RSSI) oder anderweitigen Indikatoren für die Kanalqualität abgeleitet werden.

Ferner ist es möglich, Algorithmen aus dem Bereich des maschinellen Lernens ( machine learning) einzusetzen, um von den vorgenannten Größen oder ähnlichen Ausbreitungscharakteristiken auf die Entfernung zu schließen. Schließlich kommt eine beliebige Kombination der besagten Maßnahmen in Betracht, um die Gesamtgenauigkeit der Positionsbestimmung durch eine Fusion verschiedener Messgrößen zu erhöhen. Die Fokussierung der Sender- bzw. Empfangsrichtung erfolgt über komplexwertige, multiplikative Faktoren in den verschiedenen Sende- und Empfangszweigen zu bzw. von jeder Antenne im Wege der MIMO-Vorkodierung ( precoding ) bzw. -Detektion. Diese Multiplikation kann an unterschiedlicher Stelle auf dem Signalpfad digital oder analog erfolgen. Zu denken ist auch an eine Phasendrehung zur Strahlformung oder -Schwenkung ( beam steering), etwa durch eine phasengesteuerte Gruppenantenne {phased array).

Für diese Zwecke können auch ohnehin zur Datenübertragung genutzte Test oder Messsignale verwendet werden, um die zusätzliche Belastung des Übertragungskanales durch die besagten Maßnahmen zu minimieren.

Sowohl Tanksäule bzw. Tankstelle als auch Fahrzeug können als Sender oder Empfänger fungieren. Besonders zweckmäßig ist es, eine bidirektionale Verbindung aufzubauen, was voraussetzt, dass Fahrzeug und Tanksäule oder - stelle jeweils eine Sende- wie auch eine Empfangseinrichtung besitzen. Seitens der Tankstelle kann z. B. ein einziges MIMO-System mit 30 oder mehr Antennen im Mikrowellenbereich zum Einsatz kommen, welches - vorzugsweise gleichzeitig und im selben Frequenzband - alle Tankplätze individuell mit gesendeten Daten bedient, individuell davon empfängt und die jeweiligen Fahrzeugsender an den Tankplätzen lokalisiert. Dadurch ist für die gesamte Tankstelle nur ein einziges System notwendig, um die Sicherheit des Verfahrens zu gewährleisten.

Durch die Auswertung der Lokalisierungsinformation bzw. die Fokussierung des gleichzeitig zur Datenübertragung dienenden Funkstrahls wird eine höhere Sicherheit als bei der Verwendung von Rundstrahlern erreicht. Dabei genügt es oft, das Verfahren lediglich zur Vorbereitung gemäß Figur 1 oder regelmäßig während des Betankungsvorgangs zu verwenden. Außerhalb dieser Phasen kann bei Bedarf z. B. zur Reduktion des Energiebedarfs ungerichtet oder mit lediglich einer Antenne als Einantennensystem ( single input single output, SISO) kommuniziert werden. Insbesondere kommen folgende Anwendungsfälle oder deren Kombination in Betracht: 1) Die Tanksäule kann, solange sie frei ist, periodisch ein Signal senden, dessen Empfang durch das Fahrzeug als auslösendes Ereignis (11, 12) dient. Das Verfahren lässt sich auch mit vertauschten Rollen durchführen.

2) Fahrzeug und Tanksäule tauschen über die Funksignale eine gegenseitige Identifikationsnummer (ID) aus, mittels derer sie sich miteinander koppeln (16) und Funksignale an das jeweilige Gegenüber eindeutig identifizieren können.

3) Ist die ID universell eindeutig, so können - z. B. durch eine Datenbankabfrage - weitere Informationen über Fähigkeiten und andere Merkmale von Fahrzeug bzw. Tanksäule abgerufen werden.

4) Wenn bei der Funk-Übertragung ein kryptographisches Merkmal übermittelt wird, z. B. ein öffentlicher Schlüssel eines asymmetrischen Verschlüsselungsverfahrens, so können die Parteien sich anschließend per Funk gegenseitig authentifizieren und zu bestimmten Aktionen autorisieren.

5) Insbesondere kann für den Aufbau einer informationssicheren Funkverbindung (17) ein Sitzungsschlüssel ( session key) für ein symmetrisches Kryptosystem vereinbart werden.

6) Zum selben Zweck kann ein Anfangsschlüssel oder ein skalarer Initialisierungswert {seed) oder entsprechender Vektor übertragen werden, aus welchem unter Heranziehung eines weiteren, beiden Seiten bekannten Geheimnisses ein Schlüssel für ein symmetrisches Kryptosystem abgeleitet werden kann.

7) Unter Verwendung eines sogenannten Zero- Knowledge- Protokolls können die Partner sich z. B. durch Abfrage einer weiteren vertrauenswürdigen zentralen Datenbank gegenseitig beweisen, dass sie bestimmte für den Betankungsvorgang notwendige Kenntnisse besitzen, ohne letztere selbst preiszugeben. 8) Unter Verwendung von Zertifikaten, mithilfe derer Information erzeugt und auf dem Funkkanal übertragen wird, kann das Gegenüber den Nachweis erbringen, dass es bzw. sein System standardisierte Anforderungen an die Funktionssicherheit erfüllt.

9) Es kann ein herkömmliches Challenge- Response- Verfahren eingeleitet werden, wobei z. B. die Aufforderung ( challenge ) gerichtet und die Antwort ( response ) ungerichtet übertragen wird oder umgekehrt.

10) Es kann ein Keepalive-Mechanismus realisiert werden, indem mindestens eine Seite periodisch Funksignale mit gleicher oder variierender Periodendauer aussendet und die Gegenseite diese Signale jeweils überprüft und bei ihrem Ausbleiben oder Abweichung von einem gegebenen Referenzsignal in einen sicheren Zustand übergeht.

11) Sollte eine etwaige ungerichtete Funkkommunikation z. B. durch vorsätzliche oder unbeabsichtigte Störsendungen oder Überlastungsangriffe beeinträchtigt sein, so kann über die gerichteten Funksignale das Gegenüber über die Situation informiert und ein Ausweich- Funkkanal abgestimmt werden.

12) Die Identifikation oder weitere Statusinformation über den Ablauf können auf einem Display im Fahrzeug oder auf einer Anzeige an der Tanksäule angezeigt werden

13) Die vorgenannten Verfahren mögen mit weiteren Sensordaten kombiniert werden, z. B. einem zur Erfassung des Fahrzeugumfeldes aufgenommenen Videobild. Erkennt ein entsprechendes System eine Tanksäule, so kann es über einen auf diese ausgerichteten Funkstrahl in Verbindung treten.

Im Umfeld des beschriebenen Grundverfahrens (10) können weitere Maßnahmen umgesetzt werden. So lassen sich - insbesondere unter Nutzung der Raumdiversität {spatial diversity) der Antennen - Fahrzeuge unterschiedlicher Typen oder Hersteller, einzelne Fahrzeuge oder Antennen anhand bestimmter Hochfrequenz-Charakteristika unterscheiden. Diese Merkmale können gespeichert und verwendet werden, um Fahrzeuge bei einem erneuten Betankungsvorgang wiederzuerkennen und so die Kopplung (16) zu beschleunigen. Als sogenannte physikalisch unklonbare Funktion {physical unclonable function, PUF) ihres Trägers können sie zudem zur Kennzeichnung der Kommunikationspartner oder Ableitung kryptografischer Schlüssel dienen. Dieses Verfahren (10) kann beispielsweise in Software oder Hardware oder in einer Mischform aus Software und Hardware beispielsweise in einem Steuergerät (30) implementiert sein, wie die schematische Darstellung der Figur 2 verdeutlicht.