Verfahren, Computerprogramm und Vorrichtung zur Verarbeitung von durch ein

Kraftfahrzeug erfassten Daten

Die vorliegende Erfindung betrifft ein Verfahren, ein Computerprogramm mit Instruktionen und eine Vorrichtung zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten Die Erfindung betrifft weiterhin ein Kraftfahrzeug sowie ein Backend, in denen ein

erfindungsgemäßes Verfahren oder eine erfindungsgemäße Vorrichtung eingesetzt wird.

In modernen Kraftfahrzeugen werden vielfältige Daten gesammelt. Im Zuge der

zunehmenden Fahrzeugvernetzung besteht ein Interesse daran, die vom Fahrzeug gesammelten Daten für eine weitergehende Auswertung zu nutzen. Zu diesem Zweck können Daten aus dem Kraftfahrzeug entnommen und einem Backend zugeführt werden. Beispielsweise können Daten von Fahrzeugsensoren orts-und zeitbezogen für

Anwendungen in Bezug auf Wetterprognosen, Parkplatzbelegungen oder auch

Verkehrsflussdaten extrahiert werden. Im Backend werden die Daten dann mit anderen Daten auf einer Karte kombiniert und den nutzenden Funktionen zurückgeführt.

Ein wichtiger Anwendungsfall für die Datenerhebung ist der Aufbau einer Datenbank für anonymisierte Schwarmdaten zur Forschung, Entwicklung und Absicherung automatischer Fahrfunktionen. Der Anspruch an hochautomatisierte Fahrzeuge ist es, dass diese eine Fülle an unterschiedlichen und teilweise komplexen Szenarien im Straßenverkehr unfallfrei bewältigen. Da die meisten dieser Szenarien nur selten auftreten, gestaltet sich das Testen im realen Straßenverkehr sowohl zeit- als auch kostenintensiv. Für die Entwicklung automatischer Fahrfunktionen bis hin zur Serienreife ist eine signifikante Datenbasis zur Absicherung der Algorithmen erforderlich, die nicht mehr durch klassische Testfahrten per Dauerlauf erreicht werden kann. Es bedarf daher eines Datenpools mit Daten aus möglichst vielfältigen anspruchsvollen Verkehrsszenarien, idealerweise gespeist aus Realfahrten, mit welchem die Algorithmen so trainiert und kontinuierlich verbessert werden, dass die

Fahrzeuge im Straßenverkehr unter allen Eventualitäten angemessene Entscheidungen treffen und sicher agieren können.

Die aus einem Fahrzeug entnommenen Daten lassen unter Umständen allerdings einen Rückschluss auf persönliche oder sachliche Verhältnisse einer bestimmten oder zumindest bestimmbaren natürlichen Person zu, beispielsweise über den Fahrer des Kraftfahrzeuges. Eine derartige Erhebung und Nutzung der Daten ist gemäß den jeweils geltenden

Datenschutzgesetzen in der Regel nur mit einer Einverständniserklärung der betroffenen Person möglich. Zwar sind Verbraucher in der heutigen Zeit insbesondere im Bereich der Software durchaus damit vertraut, Nutzungsbedingungen zu akzeptieren und Freigaben für die Datenauswertung zu erteilen, im Automobilbereich ist dies bisher jedoch nicht üblich. Eine Einverständniserklärung zur Nutzung der Daten zu erhalten, ist daher nicht immer einfach. Zudem muss im Rahmen von Softwareaktualisierungen gegebenenfalls eine neue Einverständniserklärung vom Nutzer eingeholt werden, was für den Nutzer auf Dauer ein Ärgernis sein kann.

Zur Gewährleistung des Datenschutzes können die Daten unterschiedlichen

Anonymisierungsverfahren zugeführt werden Ziel dieser Anonymisierungsverfahren ist es, die Identität des Datenerzeugers in einer Anonymisierungsgruppe zu verbergen.

Vor diesem Hintergrund beschreibt DE 10 2011 106 295 A1 ein Verfahren zum

bidirektionalen Übertragen von Daten zwischen Kraftfahrzeugen und einem Dienstanbieter. Bei dem Verfahren werden Verkehrsdaten, die einen Verkehrszustand beschreiben und von den Kraftfahrzeugen stammen, an einen Dienstanbieter bereitgestellt. Dies erfolgt ausschließlich über eine von einem Sicherheitsbetreiber betriebene Backend- Servervorrichtung. Mittels der Backend-Servervorrichtung werden die Verkehrsdaten vor dem Übertragen an den Dienstanbieter anonymisiert.

Ein weiteres Verfahren zum anonymen Bereitstellen von Fahrzeugdaten beschreibt DE 10 2015 213 393 A1. Bei dem Verfahren werden Original-Fahrzeugdaten bereitgestellt, die befahrene Streckenabschnitte einer von einem Kraftfahrzeug gefahrenen Fahrstrecke und den Zeitbereich des Befahrens der Streckenabschnitte angeben. Zusätzlich werden künstliche Fahrzeugdaten generiert, die mindestens eine weitere künstliche Fahrstrecke angeben. Bei der künstlichen Fahrstrecke kann es sich um eine zeitliche verschobene Version eines tatsächlich befahrenen Streckenabschnitts handeln. Die Original- Fahrzeugdaten und die künstlichen Fahrzeugdaten werden schließlich übermittelt.

Bei einem weiteren Ansatz zur Anonymisierung werden die Daten segmentiert. Hierbei werden die Daten eines Fahrzeugs während der Fahrt in unterschiedliche Segmente geteilt. Auf diese Weise wird sichergestellt, dass mögliche Datennutzer nicht den vollständigen Datensatz der Fahrt des Fahrzeugs ermitteln können. Der Gesamtweg wird in der Regel nur von sehr wenigen, ggf. auch nur einem einzigen Fahrzeug durchfahren. Die einzelnen Segmente werden jedoch von vielen Fahrzeugen durchfahren. Bei einem anderen Ansatz zur Anonymisierung werden die Daten hinsichtlich Ort oder Zeit verschleiert. Hierbei werden die Daten im Raum oder in der Zeit zufällig additiv verschoben. Auf diese Weise ist eine Identifikation des ursprünglichen Fahrzeugs nur noch in Bezug auf eine Gruppe von Fahrzeugen möglich.

In diesem Zusammenhang beschreibt DE 10 2016 225 287 A1 ein Verfahren zur

Verarbeitung von durch ein Kraftfahrzeug erfassten Daten In einem ersten Schritt wird ein von einem Kraftfahrzeug erfasstes Datum empfangen. Anschließend wird eine örtliche oder zeitliche Verschleierung auf das empfangene Datum angewendet. Das verschleierte Datum wird schließlich zur Auswertung weitergegeben. Die Verschleierung des empfangenen Datums kann dabei innerhalb des Kraftfahrzeugs oder in einem mit dem Kraftfahrzeug in Verbindung stehenden Empfangssystem erfolgen.

DE 10 2018 006 281 L1 beschreibt ein Verfahren zum Betrieb eines Assistenzsystems eines Fahrzeuges Bei dem Verfahren werden Objekte in einer Umgebung des Fahrzeuges detektiert. In Bezug auf ein erfasstes Objekt wird eine Systemaktion ausgelöst, wenn in einer Datenbank ein Eintrag zu dem Objekt enthalten ist, welcher die Systemaktion als berechtigt markiert. Eine Anonymisierung der Daten erfolgt dahingehend, dass Identifizierungsdaten entfernt und eine räumliche Verschleierung durchgeführt wird.

Zwar sind Verfahren zur zeitlichen Verschleierung gut geeignet, um die Identität des

Datenerzeugers innerhalb einer Anonymisierungsgruppe zu verbergen, allerdings verursacht ihre Nutzung eine gewisse Entwertung von Daten zu Verkehrsbewegungen. Bei der Analyse von Verkehrsbewegungen sollte die Tageszeit erhalten bleiben, da viele Phänomene tageszeitabhängig sind. Beispiele dafür sind die Verkehrsbewegungen zur Hauptverkehrszeit oder der Pendlerverkehr.

Es ist eine Aufgabe der Erfindung, Lösungen zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten bereitzustellen, bei denen eine durch eine zeitliche Verschleierung der Daten verursachte Entwertung der Daten reduziert ist.

Diese Aufgabe wird durch ein Verfahren mit den Merkmalen des Anspruchs 1 , durch ein Computerprogramm mit Instruktionen gemäß Anspruch 7 und durch eine Vorrichtung mit den Merkmalen des Anspruchs 8 gelöst. Bevorzugte Ausgestaltungen der Erfindung sind

Gegenstand der abhängigen Ansprüche. Gemäß einem ersten Aspekt der Erfindung umfasst ein Verfahren zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten die Schritte:

- Empfangen eines von einem Kraftfahrzeug erfassten Datums;

- Anwenden einer zeitlichen Verschleierung auf das empfangene Datum, wobei für die zeitliche Verschleierung ein zeitlich segmentiertes Verschleierungsintervall verwendet wird; und

- Weitergeben des verschleierten Datums zur weiteren Verarbeitung

Gemäß einem weiteren Aspekt der Erfindung enthält ein Computerprogramm Instruktionen, die bei Ausführung durch einen Computer den Computer zur Ausführung der folgenden Schritte zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten veranlassen:

- Empfangen eines von einem Kraftfahrzeug erfassten Datums;

- Anwenden einer zeitlichen Verschleierung auf das empfangene Datum, wobei für die zeitliche Verschleierung ein zeitlich segmentiertes Verschleierungsintervall verwendet wird; und

- Weitergeben des verschleierten Datums zur weiteren Verarbeitung.

Der Begriff Computer ist dabei breit zu verstehen. Insbesondere umfasst er auch

Steuergeräte, Workstations und andere prozessorbasierte Datenverarbeitungsvorrichtungen.

Das Computerprogramm kann beispielsweise für einen elektronischen Abruf bereitgestellt werden oder auf einem computerlesbaren Speichermedium gespeichert sein.

Gemäß einem weiteren Aspekt der Erfindung weist eine Vorrichtung zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten auf:

- einen Eingang zum Empfangen eines von einem Kraftfahrzeug erfassten Datums;

- eine Anonymisierungseinheit zum Anwenden einer zeitlichen Verschleierung auf das empfangene Datum, wobei für die zeitliche Verschleierung ein zeitlich segmentiertes

Verschleierungsintervall verwendet wird; und

- einen Ausgang zum Weitergeben des verschleierten Datums zur weiteren Verarbeitung.

Bei der erfindungsgemäßen Lösung wird das additive Rauschen für die zeitliche

Verschleierung so segmentiert und verteilt bzw die Messungen so verschoben, dass die Daten innerhalb eines gewünschten Intervalls stabil sind. Die Segmentierung des

Verschleierungsintervalls beruht auf der Beobachtung, dass sich das Verkehrsgeschehen oftmals periodisch wiederholt. Erfordert die zeitliche Verschleierung eine Verschiebung des Messzeitpunkts innerhalb eines Intervalls von z.B. 90 min, während seitens der Datenanforderungen eine zeitliche Verschiebung von nicht mehr als 30 min akzeptiert wird, so kann das 90-minütige Verschleierungsintervall in mehrere Segmente mit einer Länge von jeweils nicht mehr als 30 min unterteilt werden. Jedes dieser Segmente umfasst dabei eine der genannten periodischen Wiederholungen des Verkehrsgeschehens. Auf diese Weise ist es möglich, die an sich konträren Bedingungen der geforderten Verschleierung und der Vermeidung einer übermäßigen Datenentwertung in Einklang zu bringen. Erforderlich ist dazu lediglich ein Wissen über die Periodizität des Verkehrsgeschehens Beispiele für ein periodisches Verkehrsgeschehen sind der Berufsverkehr und der Pendlerverkehr, wobei hier durch einen Schichtbetrieb zumindest lokal auch mehrmals am Tag ein identisches oder sehr ähnliches Verkehrsgeschehen auftreten kann, der An- und Abreiseverkehr zu

wiederkehrenden Veranstaltungen, der Verkehr vor Abfahrt bzw. nach Ankunft einer Fähre oder eines Autoreisezuges, etc.

Gemäß einem Aspekt der Erfindung liegen Segmente des zeitlich segmentierten

Verschleierungsintervalls in verschiedenen Tagen. Beispielsweise kann davon ausgegangen werden, dass sich das Verkehrsgeschehen täglich wiederholt, insbesondere der

Berufsverkehr oder der Pendlerverkehr, so dass die Situationen über die Tage identisch oder zumindest sehr ähnlich sind. Die verschiedenen Tage müssen nicht notwendigerweise aufeinanderfolgen, es können auch Tage unberücksichtigt bleiben. Dabei kann auch vorgesehen sein, dass die Segmente jeweils im gleichen Wochentag liegen, d.h. um eine Woche auseinanderliegen. Dies verzögert allerdings die Bereitstellung der Daten um einen entsprechenden Zeitraum.

Gemäß einem Aspekt der Erfindung werden bei einer Verteilung der Segmente des zeitlich segmentierten Verschleierungsintervalls auf verschiedene Tage Wochenenden, Feiertage oder wiederkehrende Ereignisse berücksichtigt. Bei der Verteilung der Segmente kann berücksichtig werden, dass die gesuchten Phänomene nur z.B. an Wochentagen auftreten. Bei einer Verteilung der Segmente können entsprechend Feiertage, Wochenenden, etc von der Verteilung der Segmente und somit von Messungen ausgelassen werden. Eine weitere Möglichkeit ist es, bei der Beobachtung von Effekten, welche mit besonderen Ereignissen Zusammenhängen, hier nur Tage auszuwählen, an denen die Ereignisse oder vergleichbare Ereignisse stattfinden. Sollten beispielweise Effekte mit einem sportlichen Großerlebnis Zusammenhängen, z.B. einem Fußballspiel, lassen sich alle Messungen auf die Daten der Ereignisse reduzieren, z.B. auf alle Heimspiele der Mannschaft

Gemäß einem Aspekt der Erfindung haben die Segmente des zeitlich segmentierten

Verschleierungsintervalls einen gleichen Startzeitpunkt. Bei der Verteilung des Verschleierungsintervalls auf mehrere Tage können die einzelnen Segmente tageszeitrichtig ausgestaltet sein, d.h. alle zu einem identischen Zeitpunkt beginnen. Dies sorgt für eine größere Wahrscheinlichkeit, dass das Verkehrsgeschehen tatsächlich identisch oder sehr ähnlich ist. Die Verwendung eines gleichen Startzeitpunktes ist aber nicht zwingend.

Beispielsweise kann berücksichtigt werden, dass der Nachmittagsberufsverkehr am Freitag üblicherweise früher stattfindet als an den anderen Werktagen, sodass ein früherer

Startzeitpunkt für das entsprechende Segment genutzt werden kann. Sollen die Segmente einen vollständig identischen Zeitraum abdecken, haben die Segmente des zeitlich segmentierten Verschleierungsintervalls zusätzlich zum gleichen Startzeitpunkt auch eine gleiche Länge.

Gemäß einem Aspekt der Erfindung haben Segmente des zeitlich segmentierten

Verschleierungsintervalls in Summe eine Länge, die durch eine zu erreichende

Gruppenanonymität bestimmt ist. Die zu erreichende Gruppenanonymität bestimmt, wie viele Fahrzeuge erforderlich sind, die eine Messung analog zum betrachteten Fahrzeug durchführen. Sind z.B. für das Erreichen einer Gruppenanonymität 100 Fahrzeuge erforderlich, so ist das Verschleierungsintervall so gewählt, dass diese 100 Fahrzeuge innerhalb des Intervalls erfasst werden. Bei einer Aufteilung des Verschleierungsintervalls in Segmente muss nun gewährleistet sein, dass in Summe in den Segmenten ebenfalls diese 100 Fahrzeuge erfasst werden. Unter der Annahme einer jeweils identischen Verkehrsdichte bedeutet dies, dass die Länge der Segmente in Summe der Länge des ursprünglichen Verschleierungsintervalls entspricht.

Vorzugsweise wird ein erfindungsgemäßes Verfahren oder eine erfindungsgemäße

Vorrichtung in einem autonom oder manuell gesteuerten Fahrzeug, insbesondere einem Kraftfahrzeug, eingesetzt Alternativ kann die erfindungsgemäße Lösung auch in einem Backend genutzt werden, an das die Daten vom Fahrzeug übermittelt werden.

Weitere Merkmale der vorliegenden Erfindung werden aus der nachfolgenden Beschreibung und den angehängten Ansprüchen in Verbindung mit den Figuren ersichtlich.

Fig 1 zeigt schematisch ein Verfahren zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten;

Fig. 2 zeigt eine erste Ausführungsform einer Vorrichtung zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten; Fig 3 zeigt eine zweite Ausführungsform einer Vorrichtung zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten;

Fig 4 stellt schematisch ein Kraftfahrzeug dar, in dem eine erfindungsgemäße Lösung realisiert ist; und

Fig. 5 illustriert eine zeitliche Segmentierung eines Verschleierungsintervalls.

Zum besseren Verständnis der Prinzipien der vorliegenden Erfindung werden nachfolgend Ausführungsformen der Erfindung anhand der Figuren detaillierter erläutert. Es versteht sich, dass sich die Erfindung nicht auf diese Ausführungsformen beschränkt und dass die beschriebenen Merkmale auch kombiniert oder modifiziert werden können, ohne den

Schutzbereich der Erfindung zu verlassen, wie er in den angehängten Ansprüchen definiert ist

Fig. 1 zeigt schematisch ein Verfahren zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten. In einem ersten Schritt wird ein von einem Kraftfahrzeug erfasstes Datum empfangen 10. Anschließend wird eine zeitliche Verschleierung auf das empfangene Datum angewendet 11. Für die zeitliche Verschleierung wird dabei ein zeitlich segmentiertes Verschleierungsintervall verwendet. Das verschleierte Datum wird schließlich zur weiteren Verarbeitung weitergegeben 12 Die Segmente des zeitlich segmentierten

Verschleierungsintervalls können in gleichen oder in verschiedenen Tagen liegen. Bei einer Verteilung der Segmente auf verschiedene Tage werden dabei vorzugsweise Wochenenden, Feiertage oder wiederkehrende Ereignisse berücksichtigt. Die Segmente können einen gleichen Startzeitpunkt und/oder eine gleiche Länge haben. Vorzugsweise haben die

Segmente in Summe eine Länge, die durch eine zu erreichende Gruppenanonymität bestimmt ist.

Fig. 2 zeigt eine vereinfachte schematische Darstellung einer ersten Ausführungsform einer Vorrichtung 20 zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten Die

Vorrichtung 20 hat einen Eingang 21 zum Empfangen eines vom Kraftfahrzeug erfassten Datums D Eine Anonymisierungseinheit 23 wendet eine zeitliche Verschleierung auf das empfangene Datum an. Die für die zeitliche Verschleierung notwendigen Parameter werden von einer Datenverarbeitungseinheit 22 bestimmt und bereitgestellt. Das verschleierte Datum VD wird schließlich über einen Ausgang 25 zur weiteren Verarbeitung weitergegeben. Die Segmente des zeitlich segmentierten Verschleierungsintervalls können in gleichen oder in verschiedenen Tagen liegen. Bei einer Verteilung der Segmente auf verschiedene Tage werden dabei vorzugsweise Wochenenden, Feiertage oder wiederkehrende Ereignisse berücksichtigt. Die Segmente können einen gleichen Startzeitpunkt und/oder eine gleiche Länge haben. Vorzugsweise haben die Segmente in Summe eine Länge, die durch eine zu erreichende Gruppenanonymität bestimmt ist.

Die Datenverarbeitungseinheit 22 und die Anonymisierungseinheit 23 können von einer Kontrolleinheit 24 gesteuert werden. Über eine Benutzerschnittstelle 27 können

gegebenenfalls Einstellungen der Datenverarbeitungseinheit 22, der Anonymisierungseinheit 23 oder der Kontrolleinheit 24 geändert werden. Die in der Vorrichtung 20 anfallenden Daten können bei Bedarf in einem Speicher 26 der Vorrichtung 20 abgelegt werden, beispielsweise für eine spätere Auswertung oder für eine Nutzung durch die Komponenten der Vorrichtung 20. Die Datenverarbeitungseinheit 22, die Anonymisierungseinheit 23 sowie die

Kontrolleinheit 24 können als dedizierte Hardware realisiert sein, beispielsweise als integrierte Schaltungen. Natürlich können sie aber auch teilweise oder vollständig kombiniert oder als Software implementiert werden, die auf einem geeigneten Prozessor läuft, beispielsweise auf einer GPU. Der Eingang 21 und der Ausgang 25 können als getrennte Schnittstellen oder als eine kombinierte bidirektionale Schnittstelle implementiert sein.

Fig. 3 zeigt eine vereinfachte schematische Darstellung einer zweiten Ausführungsform einer Vorrichtung 30 zur Verarbeitung von durch ein Kraftfahrzeug erfassten Daten Die

Vorrichtung 30 weist einen Prozessor 32 und einen Speicher 31 auf. Beispielsweise handelt es sich bei der Vorrichtung 30 um einen Computer, eine Workstation oder ein Steuergerät.

Im Speicher 31 sind Instruktionen abgelegt, die die Vorrichtung 30 bei Ausführung durch den Prozessor 32 veranlassen, die Schritte gemäß einem der beschriebenen Verfahren auszuführen. Die im Speicher 31 abgelegten Instruktionen verkörpern somit ein durch den Prozessor 32 ausführbares Programm, welches das erfindungsgemäße Verfahren realisiert. Die Vorrichtung hat einen Eingang 33 zum Empfangen von Informationen. Vom Prozessor 32 generierte Daten werden über einen Ausgang 34 bereitgestellt. Darüber hinaus können sie im Speicher 31 abgelegt werden. Der Eingang 33 und der Ausgang 34 können zu einer bidirektionalen Schnittstelle zusammengefasst sein.

Der Prozessor 32 kann eine oder mehrere Prozessoreinheiten umfassen, beispielsweise Mikroprozessoren, digitale Signalprozessoren oder Kombinationen daraus.

Die Speicher 26, 31 der beschriebenen Ausführungsformen können volatile und/oder nichtvolatile Speicherbereiche aufweisen und unterschiedlichste Speichergeräte und Speichermedien umfassen, beispielsweise Festplatten, optische Speichermedien oder Halbleiterspeicher.

Die beiden Ausführungsformen der Vorrichtung können in das Kraftfahrzeug integriert sein oder Bestandteil eines mit dem Kraftfahrzeug in Verbindung stehenden Backends sein.

Fig. 4 stellt schematisch ein Kraftfahrzeug 40 dar, in dem eine erfindungsgemäße Lösung realisiert ist. Das Kraftfahrzeug 40 weist ein Sensorsystem 41 auf, mit dem Daten D erfasst werden können, beispielsweise ein Verkehrsgeschehen. Weitere Bestandteile des

Kraftfahrzeugs 40 sind ein Navigationssystem 42, eine Datenübertragungseinheit 43 sowie eine Reihe von Assistenzsystemen 44, von denen eines exemplarisch dargestellt ist. Mittels der Datenübertragungseinheit 43 kann eine Verbindung zu einem Backend 50 aufgebaut werden, insbesondere zum Übermitteln von erfassten Daten. Eine Vorrichtung 20 zur Verarbeitung der erfassten Daten D sorgt in diesem Ausführungsbeispiel für eine zeitliche Verschleierung der Daten, sodass verschleierte Daten VD an das Backend 50 übermittelt werden. Alternativ kann die Verschleierung der Daten D auch erst im Backend 50 erfolgen, bevor sie von diesem einem Datennutzer zur Verfügung gestellt werden. Zur Speicherung von Daten ist ein Speicher 45 vorhanden. Der Datenaustausch zwischen den verschiedenen Komponenten des Kraftfahrzeugs 40 erfolgt über ein Netzwerk 46

Fig 5 illustriert eine zeitliche Segmentierung eines Verschleierungsintervalls V.

Ausgangspunkt ist exemplarisch eine Messung zu einem Messzeitpunkt T _M . Im dargestellten Beispiel erfolgt die Messung an einem Dienstag um 15:00 Uhr. Durch die Verschleierung wird vorliegend eine Verschiebung des Messzeitpunkts innerhalb eines

Verschleierungsintervalls V mit einer Länge von 90 min gefordert, um eine hinreichende Anonymisierung sicherzustellen. Wird die Messung innerhalb eines Tages innerhalb dieses Verschleierungsintervalls V verschoben, so ist es lediglich wichtig, dass die Messung eine entsprechende zeitliche Unschärfe hat. Eine Verschiebung in einem Intervall von 14:15 Uhr bis 15:45 Uhr ist im Sinne der Anonymisierung genauso möglich wie eine Verschiebung in einem Intervall von 15:00 Uhr bis 16:30 Uhr. Allerdings wird aus technischer Sicht vorzugsweise nicht nur der Zeitstempel der Messung verschoben, sondern auch der reale Versandpunkt. Anders ausgedrückt, der Messwert wird an dem zufällig ermittelten Zeitpunkt ausgeliefert. Das ist allerdings nicht möglich, wenn dieser Zeitpunkt in der Vergangenheit liegt. Daher ist hier das Intervall von 15:00 Uhr bis 16:30 Uhr zu bevorzugen.

Wiederum exemplarisch wird seitens des Datennutzers die Anforderung gestellt, dass die Daten so zu verschleiern sind, dass sich der Zeitpunkt der Aufnahme innerhalb des Tages um nicht mehr als 30 min verschiebt, damit das Verkehrsgeschehen korrekt erfasst werden kann.

Es wird nun im vorliegenden Beispiel davon ausgegangen, dass sich das

Verkehrsgeschehen periodisch an jedem Werktag zur gleichen Zeit wiederholt. Das geforderte Verschleierungsintervall V wird daher in unterschiedliche Bereiche bzw.

Segmente V, geteilt und auf die entsprechenden Tage tageszeitrichtig verteilt. Die Summe der Längen DT, der einzelnen Segmente V, entspricht hierbei mindestens der Länge des ursprünglichen Verschleierungsintervalls V, wobei die verschiedenen Segmente V, nicht notwendigerweise die gleiche Länge haben müssen. Um die verschiedenen Anforderungen in Einklang zu bringen, wurde das Verschleierungsintervall V im dargestellten Beispiel in drei Segmente Vi , ₂ , V ₃ mit einer Länge DT ₁ , DΪ ₂ , DT ₃ von jeweils 30 min unterteilt. Die einzelnen Segmente V ₁ , V ₂ , V ₃ bzw. die Startzeitpunkte AVi , AV2, AV ₃ der Segmente V ₁ , V2, V ₃ sind relativ zueinander jeweils um 24 Stunden verschoben. Auf diese Weise lassen sich die entsprechenden tageszeitenabhängigen Phänomene analysieren, ohne die

Anonymisierung zu schwächen. Anstelle der in Fig. 5 gezeigten Unterteilung in drei

Segmente V ₁ , V ₂ , V ₃ ist natürlich bei den gegebenen Randbedingungen auch eine

Unterteilung in mehr als drei Segmente V ₁ , V ₂ , V ₃ möglich, die dann wiederum kürzer ausfallen können.

Bezugszeichenliste

10 Empfangen eines erfassten Datums

1 1 Anwenden einer zeitlichen Verschleierung auf das Datum

12 Weitergeben des verschleierten Datums zur weiteren Verarbeitung

20 Vorrichtung

21 Eingang

22 Datenverarbeitungseinheit

23 Anonymisierungseinheit

24 Kontrolleinheit

25 Ausgang

26 Speicher

27 Benutzerschnittstelle

30 Vorrichtung

31 Speicher

32 Prozessor

33 Eingang

34 Ausgang

40 Kraftfahrzeug

41 Sensorsystem

42 Navigationssystem

43 Datenübertragungseinheit

44 Assistenzsystem

45 Speicher

46 Netzwerk

50 Backend

AVi Startzeitpunkt

D Datum

DΊP Segmentlänge

T _M Messzeitpunkt

V Verschleierungsintervall

VD Verschleiertes Datum

Vi Segment