WEGSTRECKENDATEN

Die vorliegende Erfindung betrifft ein Verfahren und eine Vorrichtung zum Speichern von Wegstreckendaten, die eine zurückgelegte Wegstrecke eines Fahrzeugs, ins- besondere Kraftfahrzeugs, kennzeichnen, sowie ein Fahrzeug mit einer solchen Vorrichtung.

Für gewöhnlich sind Fahrzeuge, insbesondere Kraftfahrzeuge, mit einem Wegstre- ckenzähler (etwa Kilometerstandszähler oder Meilenzähler) ausgestattet, der einge- richtet ist, die vom Fahrzeug seit Inbetriebnahme zurückgelegte Gesamtwegstrecke zu bestimmen. In der Regel weisen solche Wegstreckenzähler eine Zähleinrichtung auf, welche vom Fahrzeug ermittelte Messgrößen erfasst und gegebenenfalls auf- summiert, um die zurückgelegte Wegstrecke, etwa in Kilometern, zu bestimmen. Beispielsweise können die Umdrehungen eines Rads des Fahrzeugs erfasst und aufsummiert werden. Eine präzise und verlässliche Anzeige der zurückgelegten Gesamtwegstrecke hat in mehrfacher Hinsicht Bedeutung, da insbesondere Wartungen am Fahrzeug in Ab- hängigkeit der zurückgelegten Gesamtwegstrecke vorgenommen werden sollten und die Bestimmung des ökonomischen Werts des Fahrzeugs, etwa beim Verkauf, in der Regel unter anderem auf Grundlage der zurückgelegten Gesamtwegstrecke bestimmt wird.

Typischerweise wird die aktuelle zurückgelegte Gesamtwegstrecke in einem Steu- ergerät abgelegt, d.h. gespeichert, und in einem Kombiinstrument des Fahrzeugs angezeigt. Es sind verschiedene Ansätze bekannt, die abgelegte Gesamtwegstre- cke vor Manipulationen zu schützen, etwa indem die zurückgelegte Gesamtweg- strecke verschlüsselt im Steuergerät vorgehalten wird.

Es ist eine Aufgabe der Erfindung, einen weiter verbesserten Schutz eines Weg- streckenzählers für ein Fahrzeug anzugeben. Die Lösung dieser Aufgabe wird gemäß der Lehre der unabhängigen Ansprüche erreicht. Verschiedene Ausführungsformen und Weiterbildungen der Erfindung sind Gegenstand der Unteransprüche.

Ein Aspekt der Erfindung betrifft ein Verfahren zum Speichern von Wegstreckenda- ten, die eine zurückgelegte Gesamtwegstrecke eines Fahrzeugs, insbesondere Kraftfahrzeugs, kennzeichnen, in einer Speichereinrichtung, wobei das Verfahren aufweist: (i) Speichern von Wegstreckendaten, welche eine auf Grundlage von vom Fahrzeug ermittelten Fahrzeugdaten ermittelte zurückgelegte Gesamtwegstrecke des Fahrzeugs kennzeichnen, in einem nichtflüchtigen ersten Speicherbereich der Speichereinrichtung, wenn dadurch eine Erhöhung der in ihm mittels entsprechen- der Wegstreckendaten bereits zuvor gespeicherten Gesamtwegstrecke verbunden ist, wobei der erste Speicherbereich eingerichtet ist, keine Änderung, insbesondere kein Überschreiben, der in ihm bereits gespeicherten Wegstreckendaten zuzulas- sen, soweit diese Änderung zu einer Verringerung der entsprechenden Gesamt- Wegstrecke korrespondiert; (ii) Vergleichen einer ersten Referenzgesamtwegstre- cke, die mittels entsprechender erster Referenzwegstreckendaten in einem vom ersten Speicherbereich verschiedenen zweiten Speicherbereich der Speicherein- richtung gespeichert ist, mit der gegenwärtig im ersten Speicherbereich mittels der Wegstreckendaten gespeicherten Gesamtwegstrecke im Rahmen eines ersten Ver- gleichs; und (iii) falls gemäß dem Ergebnis des ersten Vergleichs sich die Gesamt- wegstrecke gegenüber der ersten Referenzgesamtwegstrecke gemäß einem vorbe- stimmten ersten Kriterium erhöht hat, verschlüsseltes Speichern von aktualisierten ersten Referenzwegstreckendaten, die der Gesamtwegstrecke entsprechen, im zweiten Speicherbereich. Die Fahrzeugdaten können insbesondere in einer Nachricht enthalten sein, die über einen Fahrzeugbus, z.B. einen CAN-Bus, von wenigstens einer Fahrzeugkompo- nente, etwa einem Steuergerät, gesendet wird. Die Fahrzeugdaten können die ak- tuelle zurückgelegte Gesamtwegstrecke als numerischen Wert in digitaler Form, etwa in Form von Sensordaten, oder in Form von anderen Signalen enthalten, an- hand der die aktuelle zurückgelegte Gesamtwegstrecke ermittelt, insbesondere ab- geleitet oder ausgelesen, werden kann. Unter einem Speichern von Wegstreckendaten und/oder Referenzwegstreckenda- ten ist im Sinne der Erfindung insbesondere ein Schreiben derselben in einen Spei- cherbereich, vorzugsweise eines nicht-flüchtigen Datenspeichers, zu verstehen. Die Wegstrecken- und/oder Referenzwegstreckendaten können dabei vorzugsweise auf einem bereits mit zu einem früheren Zeitpunkt gespeicherten Wegstrecken- bzw. Referenzwegstreckendaten belegten Speicherplatz des Speicherbereichs abgelegt werden, wobei diese bereits zuvor gespeicherten Daten ersetzt, insbesondere über- schrieben, werden. Alternativ können die Wegstrecken- und/oder Referenzwegstre- ckendaten auf einem noch nicht belegten Speicherplatz des Speicherbereichs abge- legt, d.h. zusätzlich zu diesen bereits zuvor gespeicherten Daten in den Speicherbe- reich geschrieben werden. Auch Mischformen dieser beiden Alternativen sind denk- bar.

Der erste Speicherbereich dient vorzugsweise als primäre Ablage der zurückgeleg- ten Gesamtwegstrecke und ist vorzugsweise in einem Kombiinstrument des Fahr- zeugs vorgesehen bzw. wird von diesem gebildet. Ein Anzeigen der zurückgelegten Gesamtwegstrecke durch das Kombiinstrument basiert somit vorzugsweise auf den im ersten Speicherbereich gespeicherten Wegstreckendaten.

Die Speichereinrichtung kann dabei einen oder mehrere, insbesondere separate, insbesondere nicht-flüchtige, Datenspeicher aufweisen. Der eine oder jeder der mehreren Datenspeicher kann dabei einen oder mehrere Speicherbereiche aufwei- sen. Beispielsweise kann ein Datenspeicher als EEPROM mit dem ersten und zwei- ten Speicherbereich ausgebildet sein.

Die im ersten Speicherbereich mittels der Wegstreckendaten gespeicherte zurück- gelegte Gesamtwegstreckeninformation ist vor einer Manipulation, insbesondere vor einem Zurücksetzen, gesichert, da bei beim Speichern der Gesamtwegstrecke, etwa durch eine Änderung, insbesondere Aktualisierung, von bereits im ersten Speicher- bereich gespeicherten Wegstreckendaten die dadurch repräsentierte Gesamtweg- strecke nur, insbesondere inkrementeil, erhöht werden kann. Vorzugsweise ist der erste Speicherbereich zu diesem Zweck, etwa in einem EEPROM, physikalisch in der Weise konfiguriert, dass nur solche Änderungen der im ersten Speicherbereich gespeicherten Wegstreckendaten möglich sind, die einer Erhöhung der durch sie repräsentierten Gesamtwegstrecke entsprechen. Dadurch kann eine Manipulation der Wegstreckendaten in der Weise, dass die manipulierten Wegstreckendaten ei- ner verkürzten Gesamtwegstrecke entsprechen, verhindert oder zumindest deutlich erschwert werden.

Der erste Vergleich der aktuell zurückgelegten Gesamtwegstrecke mit der ersten Referenzgesamtwegstrecke kann vorzugsweise von einer dazu eingerichteten Re- cheneinrichtung, insbesondere des Kombiinstruments, ausgeführt werden. Die Re- cheneinrichtung ist dazu vorzugsweise an den Fahrzeugbus, den ersten Speicher- bereich und/oder den zweiten Speicherbereich gekoppelt.

Dadurch, dass die Wegstreckendaten im ersten Speicherbereich immer, insbeson- dere zyklisch in einem vorgegebenen Verfahrenstakt, gespeichert werden, die ers- ten Referenzwegstreckendaten im zweiten Speicherbereich jedoch nur gespeichert werden, wenn ein bestimmtes Ergebnis des ersten Vergleichs vorliegt, ergeben sich für die Speichervorgänge im ersten und zweiten Speicherbereich in der Regel un- terschiedliche Speichertakte, wobei die ersten Referenzwegstreckendaten im zwei- ten Speicherbereich seltener gespeichert werden als die Wegstreckendaten im ers- ten Speicherbereich. Dadurch können die Speicherbereiche unterschiedlich ausge- legt sein. Insbesondere kann der erste Speicherbereich für besonders kurze Zu- griffszeiten optimiert sein, während der zweite Speicherbereich zur Speicherung besonders großer Datenmengen ausgelegt sein kann.

Die im zweiten Speicherbereich mittels der ersten Referenzwegstreckendaten ge- speicherte erste Referenzgesamtwegstrecke ist vor einer Manipulation, insbesonde- re vor einem Zurücksetzen, geschützt, da die ersten Referenzwegstreckendaten bei der Speicherung kryptographisch verschlüsselt werden. Vorzugsweise werden die ersten Referenzwegstreckendaten dabei mit einem symmetrischen Verschlüsse- lungsverfahren, insbesondere mit AES-128, bevorzugt mit AES-192, besonders be- vorzugt mit AES-256 oder mit einem vergleichbaren Standard, verschlüsselt. Der dabei verwendete kryptographische Schlüssel kann im zweiten Speicherbereich abgelegt sein, auf den die Steuereinrichtung zur Ver- bzw. Entschlüsselung der Re- ferenzwegstreckendaten zugreifen kann. Alternativ kann der kryptographische Schlüssel aber auch außerhalb des zweiten Speicherbereichs, etwa in einem sepa- raten Speicherbereich auf einem separaten Hardwaremodul, abgelegt sein. Die redundante Speicherung der zurückgelegten Gesamtwegstrecke im ersten und zweiten Speicherbereich mittels der entsprechenden Wegstreckendaten bzw. Refe- renzwegstreckendaten ermöglicht daher einen besonders zuverlässigen Manipulati- onsschutz der in ihnen abgelegten zurückgelegten Gesamtwegstrecke. Die sog. inkrementeile Speicherung im ersten Speicherbereich, der, vorzugsweise bauartbe- dingt, ausschließlich eine Erhöhung der durch die in ihm gespeicherten Wegstre- ckendaten repräsentierten Gesamtwegstrecke zulässt, sichert die Gesamtwegstre- cke auf eine zur verschlüsselten Speicherung der ersten Referenzgesamtwegstre- cke im zweiten Speicherbereich komplementären Weise. Der Aufwand für eine Ma- nipulation wird dadurch in besonderem Maße erhöht.

Insgesamt ermöglicht die Erfindung daher einen verbesserten Schutz einer im Fahr- zeug abgelegten zurückgelegten Gesamtwegstrecke.

In einer bevorzugten Ausführungsform ist der zweite Speicherbereich größer als der erste Speicherbereich, d.h. der zweite Speicherbereich weist mehr Speicherplatz auf als der erste Speicherbereich. Insbesondere ist der erste Speicherbereich einge- richtet, nur eine erste Menge an Wegstreckendaten zu speichern, durch die eine einzige Gesamtwegstrecke gekennzeichnet werden kann. Alternativ oder zusätzlich ist der zweite Speicherbereich eingerichtet, eine zweite Menge an ersten Referenz- wegstreckendaten zu speichern, durch die mehrere erste Referenzgesamtwegstre- cken gekennzeichnet werden können. Dadurch kann die zurückgelegte Gesamt- wegstrecke in Form der Wegstreckendaten im ersten Speicherbereich hochfrequent, d.h. mit einem schnellen Verfahrenstakt in kleinen Inkrementen, gespeichert wer- den, während im zweiten Speicherbereich eine Historie der zurückgelegten Ge- samtwegstrecke speicherbar ist. Solche kleinen Inkremente sind insbesondere kur- ze räumliche Strecken, etwa 5 km oder darunter, vorzugsweise 2 km oder darunter, insbesondere 1 km oder darunter. Dabei kann die niederfrequente Speicherung der ersten Referenzwegstreckendaten ein Überlaufen des zweiten Speicherbereichs verhindern.

In einer weiteren bevorzugten Ausführungsform werden, falls sich die Gesamtweg- strecke gegenüber der ersten Referenzgesamtwegstrecke gemäß dem Ergebnis des ersten Vergleichs und gemäß einem vorbestimmten Kriterium verringert hat, die im ersten Speicherbereich gespeicherten Wegstreckendaten so aktualisiert, dass sie nun zur ersten Referenzgesamtwegstrecke korrespondieren. Dadurch kann bzw. können eine Fehlfunktion des ersten Speicherbereichs und/oder fehlerhafte Fahr- zeugdaten zuverlässig kompensiert werden. Insbesondere ist durch den ersten Ver- gleich eine Manipulation der im ersten Speicherbereich gespeicherten Wegstre- ckendaten bzw. der durch sie repräsentierten zurückgelegten Gesamtwegstrecke erkennbar, wobei die Manipulation durch die vorstehend beschriebene Aktualisie- rung der Wegstreckendaten vereitelt bzw. rückgängig gemacht werden kann.

In einer weiteren bevorzugten Ausführungsform wird zusätzlich zur Aktualisierung der Wegstreckendaten im ersten Speicherbereich eine Indikatorinformation über das Auftreten des Vergleichsergebnisses, insbesondere eine Manipulationswarnung, gespeichert oder an einer Schnittstelle ausgegeben, falls sich die Gesamtwegstre- cke gegenüber der ersten Referenzgesamtwegstrecke gemäß dem Ergebnis des ersten Vergleichs gemäß dem vorbestimmten Kriterium verringert hat. Durch die Speicherung der Indikatorinformation ist es, etwa für weitere Fahrzeugkomponenten oder in einer Werkstatt, leicht und schnell erkennbar, dass eine Manipulation statt gefunden haben könnte. Die Indikatorinformation kann über die Schnittstelle bei- spielsweise an eine entsprechende Behörde, einer Werkstatt und/oder den Fahr- zeughersteller übermittelt oder zugreifbar gemacht werden, wodurch zuverlässig geeignete Maßnahmen in Bezug auf Strafverfolgung und/oder Vereitelung des Ma- nipulationsversuchen ergriffen werden können.

In einer weiteren bevorzugten Ausführungsform werden die im ersten Speicherbe- reich gespeicherten Wegstreckendaten im zweiten Speicherbereich als erste Refe- renzwegstreckendaten gespeichert, falls beim ersten Vergleich festgestellt wird, dass der zweite Speicherbereich keine ersten Referenzwegstreckendaten enthält. Dadurch kann das erfindungsgemäße Verfahren auch im Falle einer erstmaligen Initialisierung oder eines sog. Resets, d.h. eines Zurücksetzens, des zweiten Spei- cherbereiches, etwa bei einem Austausch eines dem zweiten Speicherbereich zu- geordneten nicht-flüchtigen Datenspeichers, zuverlässig und fehlerfrei ausgeführt werden. Im Rahmen des ersten Vergleichs werden vorzugsweise Identifikationsdaten der Speicherbereiche, insbesondere der ihnen zugeordneten Datenspeicher, mit bei- spielsweise in der Recheneinrichtung abgelegten Identifikationsdaten verglichen, so dass, etwa bei mangelnder Übereinstimmung der entsprechenden Identifikationsda- ten, auf eine Änderung wenigstens eines der Speicherbereiche, insbesondere bei einem Austausch oder einer Reparatur des entsprechenden Datenspeichers, ge- schlossen werden kann. Die Daten in den geänderten Speicherbereichen können daraufhin auf Grundlage der in einem nicht geänderten Speicherbereich gespeicher- ten Wegstreckendaten bzw. ersten Referenzwegstreckendaten wiederhergestellt werden. Somit kann ein hardwarebasierter Manipulationsversuch der zurückgeleg- ten Gesamtwegstrecke verhindert oder zumindest erschwert werden.

In einer weiteren bevorzugten Ausführungsform weist das Verfahren des Weiteren auf: (i) Vergleichen der mittels der Wegstreckendaten im ersten Speicherbereich gespeicherte Gesamtwegstrecke mit einer zweiten Referenzgesamtwegstrecke, die mittels zweiter Referenzwegstreckendaten in einem weiteren Speicherbereich ge- speichert ist, im Rahmen eines zweiten Vergleichs; und (ii) falls gemäß dem Ergeb- nis des zweiten Vergleichs sich die Gesamtwegstrecke gegenüber der zweiten Re- ferenzgesamtwegstrecke gemäß einem vorbestimmten zweiten Kriterium erhöht hat, verschlüsseltes Speichern von aktualisierten zweiten Referenzwegstreckendaten, die der Gesamtwegstrecke entsprechen, im weiteren Speicherbereich. Dadurch wird eine weitere Absicherung der zurückgelegten Gesamtwegstrecke, insbesondere eine weitere redundante Speicherung der Gesamtwegstrecke in Form von zweiten Referenzwegstreckendaten, ermöglicht und somit die Sicherheit in Bezug auf Mani- pulationsversuche erhöht.

In einer weiteren bevorzugten Ausführungsform ist das erste Kriterium und/oder das zweite Kriterium so definiert, dass es erfüllt wird, wenn die Gesamtwegstrecke, wie sie durch die im ersten Speicherbereich gespeicherten Wegstreckendaten gekenn- zeichnet ist, um mehr als 10 km, vorzugsweise um mehr als 100 km, insbesondere um mehr als 1000 km größer ist als die erste Referenzwegstrecke bzw. die zweite Referenzwegstrecke. Die durch im ersten Speicherbereich gespeicherte Wegstre- ckendaten gekennzeichnete Gesamtwegstrecke wird dabei vorzugsweise in kleinen Inkrementen erhöht, insbesondere indem die Wegstreckendaten im ersten Spei- cherbereich entsprechend überschrieben oder geändert werden. Die durch im zwei- ten bzw. weiteren Speicherbereich gespeicherten Referenzwegstreckendaten ge- kennzeichnete Gesamtwegstrecke wird dabei vorzugsweise in größeren Inkremen- ten erhöht, insbesondere indem die Referenzwegstreckendaten zusätzlich zu be- reits vorhandenen Referenzwegstreckendaten in den zweiten bzw. weiteren Spei- cherbereich geschrieben werden. Durch die vorstehende Definition des ersten und/oder zweiten Kriteriums kann somit ein Überlaufen des zweiten und/oder weite- ren Speicherbereichs zuverlässig vermieden werden, auch wenn im ersten Spei- cherbereich eine im Wesentlichen kontinuierliche oder zumindest hochfrequente Speicherung von Wegstreckendaten stattfindet.

In einer weiteren bevorzugten Ausführungsform wird beim Vergleichen im Rahmen des ersten Vergleichs und/oder des zweiten Vergleichs ein aus den Fahrzeugdaten abgeleiteter gegenwärtiger Kraftstoffgesamtverbrauch des Fahrzeugs berücksich- tigt. Die Absicherung der zurückgelegten Gesamtwegstrecke, insbesondere gegen eine Manipulation, wird dadurch weiter verbessert, da für eine erfolgreiche Manipu- lation nun auch eine Anpassung des Kraftstoffgesamtverbrauchs, die bezüglich der zurückgelegten Gesamtwegstrecke plausibel ist, ausgeführt werden müsste. Insbe- sondere kann eine im Rahmen des ersten Vergleichs ermittelte Erhöhung der zu- rückgelegten Gesamtwegstrecke anhand der Prüfung des Kraftstoffgesamtver- brauchs, insbesondere ob und gegebenenfalls wie stark sich der gegenwärtige Kraftstoffgesamtverbrauch gegenüber einem Kraftstoffgesamtverbrauch zu einem früheren Zeitpunkt erhöht hat, auf Plausibilität geprüft werden.

Ein Kraftstoffgesamtverbrauch des Fahrzeugs im Sinne der Erfindung ist insbeson- dere die seit Inbetriebnahme verbrauchte Menge an Kraftstoff, wie sie sich etwa annährend durch Multiplikation des durchschnittlichen Kraftstoffverbrauchs des Fahrzeugs mit der zurückgelegten Gesamtwegstrecke ergibt. Unter einem Kraft- stoffgesamtverbrauch kann neben dem Gesamtverbrauch traditioneller Flüssigkraft stoffe wie etwa Benzin, Diesel oder dergleichen auch der Gesamtverbrauch von elektrischer Energie, etwa in elektromotorisch betriebenen Fahrzeugen, verstanden werden. Dadurch kann eine im Rahmen des ersten Vergleichs ermittelte Erhöhung der zurückgelegten Gesamtstrecke auch für elektromotorisch betriebene Fahrzeuge auf Plausibilität geprüft werden.

In einer weiteren bevorzugten Ausführungsform werden die ersten Referenzweg- Streckendaten im zweiten Speicherbereich und/oder gegebenenfalls die zweiten Referenzwegstreckendaten im weiteren Speicherbereich gespeichert, wenn der gegenwärtige Kraftstoffgesamtverbrauch des Fahrzeugs um mehr als 100 Liter, vor- zugsweise mehr als 10 Liter, insbesondere mehr als 1 Liter, gegenüber einem Kraft- stoffgesamtverbrauch des Fahrzeugs zu einem früheren Zeitpunkt, insbesondere zu dem die letzte Speicherung von ersten und/oder zweiten Referenzwegstreckenda- ten erfolgt ist, gestiegen ist. Dadurch kann der Speichertakt, mit dem die zweiten und/oder weiteren Referenzwegstreckendaten im zweiten bzw. weiteren Speicher- bereich gespeichert werden, auch bei einer Manipulation der Fahrzeugdaten, auf Grundlage deren die Gesamtwegstrecke ermittelt wird, aufrechterhalten werden und die Manipulation durch eine Plausibilitätsprüfung von Kraftstoffgesamtverbrauch und zurückgelegter Gesamtwegstrecke festgestellt werden. In einer weiteren bevorzugten Ausführung werden die ersten Referenzwegstrecken- daten im zweiten Speicherbereich und/oder gegebenenfalls die zweiten Referenz- wegstreckendaten im weiteren Speicherbereich durch Zugriff auf zumindest einen kryptographischen Schlüssel, der in einem Schlüsselspeicher abgelegt ist, ver- und/ oder entschlüsselt. Der Schlüsselspeicher ist vorzugsweise separat vom ersten, zweiten und/oder weiteren Speicherbereich ausgebildet. Der Schlüsselspeicher kann insbesondere als Hardware-Sicherheitsmodul ausgebildet sein. Dadurch kann eine Manipulation der ersten und/oder zweiten Referenzgesamtwegstrecke bzw. der ersten und/der zweiten Referenzwegstreckendaten zuverlässig verhindert oder zu- mindest erschwert werden. In einer weiteren bevorzugten Ausführungsform wird im zweiten Speicherbereich und/oder im weiteren Speicherbereich eine Historie der zurückgelegten Gesamt- wegstrecke erzeugt, indem erste Referenzwegstreckendaten bzw. zweite Refe- renzwegstreckendaten neben bereits im zweiten bzw. weiteren Speicherbereich gespeicherten Referenzwegstreckendaten gespeichert werden. Vorzugsweise wird im Rahmen des ersten und/oder zweiten Vergleichs die im zweiten und/oder weite- ren Speicherbereich erzeugte Historie auf Plausibilität geprüft, insbesondere, ob die durch die ersten bzw. zweiten Referenzwegstreckendaten gekennzeichneten Ge- samtwegstrecken zunehmend größer werden. Dadurch wird der Schutz der im Fahrzeug abgelegten Gesamtwegstrecke weiter verbessert, da für eine Manipulati- on der Gesamtwegstrecke somit nicht nur die aktuelle Referenzgesamtwegstrecke, sondern die gesamte Historie der Gesamtwegstrecke angepasst werden müsste. In einer weiteren bevorzugten Ausführungsform werden die Wegstreckendaten in der Weise im ersten Speicherbereich gespeichert, dass sich die durch sie gekenn- zeichnete gegenwärtig zurückgelegte Gesamtwegstrecke gegenüber der zum frühe- ren Zeitpunkt zurückgelegten Gesamtwegstrecke um einen vorgegebenen Wert inkrementeil erhöht. Vorzugsweise werden die Wegstreckendaten in regelmäßigen, insbesondere räumlichen, Intervallen gespeichert, deren Breite durch den vorgege- benen Wert definiert ist. Insbesondere ergibt sich der vorgegebene Wert aus dem Verfahrenstakt, mit dem das Verfahren durchgeführt wird.

Der vorgegebene Wert kann etwa 100 m, vorzugsweise 500 m, insbesondere 1 km betragen, so dass die in Form von Wegstreckendaten im ersten Speicherbereich gespeicherte Gesamtwegstrecke bei einer durchschnittlichen Reisegeschwindigkeit des Fahrzeugs, etwa bei 50 km/h, in kurzen zeitlichen Abständen, etwa wenigstens alle 5 Minuten, vorzugsweise wenigstens alle 2 Minuten, insbesondere wenigstens jede Minute aktualisiert wird. Dadurch können die Wegstreckendaten aus dem ers- ten Speicherbereich zum zuverlässigen und präzisen Anzeigen der zurückgelegten Gesamtwegstrecke, etwa in einem Kombiinstrument des Fahrzeugs, verwendet werden.

Ein zweiter Aspekt der Erfindung betrifft eine Vorrichtung zum Speichern von Weg- streckendaten, die konfiguriert ist, das Verfahren nach dem ersten Aspekt der Erfin- düng auszuführen. Dadurch, dass eine Speicherung der Gesamtwegstrecke in zwei verschiedenen Speicherbereichen ausführbar ist, von denen einer zur gesicherten Speicherung, bei der ausschließlich eine Erhöhung der mittels Wegstreckendaten in ihm gespeicherten Gesamtwegstrecke erfolgen kann, und der andere zur verschlüs- selten Speicherung eingerichtet ist, ist ein besonders zuverlässiger Schutz der Ge- samtwegstrecke möglich.

In einer bevorzugten Ausführungsform weist die Vorrichtung eine Speichereinrich- tung mit zumindest zwei nicht-flüchtige Datenspeichern auf, die räumlich voneinan- der getrennt sind, wobei jeder der nicht-flüchtigen Datenspeicher mindestens einen der Speicherbereiche bereitstellt. Dadurch können der erste und zweite Speicherbe- reich effektiv auf die sog. inkrementeile Speicherung der Wegstreckendaten bzw. auf die verschlüsselte Speicherung der ersten Referenzwegstreckendaten ausgelegt sein. Der Schutz der abgelegten Gesamtwegstrecke kann somit weiter erhöht wer- den.

In einer weiteren bevorzugten Ausführungsform ist zumindest einer der nicht- flüchtigen Datenspeicher als eines der folgenden ausgebildet: (i) EEPROM, (ii) Flash-Speicher, oder (iii) fahrzeugexterne Referenzdatenbank. Auf einem EEPROM können die Wegstreckendaten etwa hochfrequent inkrementeil gespeichert werden. Auf einem Flash-Speicher können die Referenzwegstreckendaten etwa in großen Mengen und mit starker Verschlüsselung gespeichert werden. Durch das Speichern der Referenzwegstreckendaten in einer fahrzeugexternen Referenzdatenbank kann ein unerlaubter Zugriff auf die Referenzwegstreckendaten verhindert oder zumindest deutlich erschwert werden.

Ein dritter Aspekt der Erfindung betrifft ein Fahrzeug, insbesondere Kraftfahrzeug, mit einer Vorrichtung nach dem zweiten Aspekt der Erfindung.

Die in Bezug auf den ersten Aspekt der Erfindung und dessen vorteilhafte Ausge- staltung beschriebenen Merkmale und Vorteile gelten, zumindest wo technisch sinnvoll, auch für den zweiten und dritten Aspekt der Erfindung und dessen vorteil- hafte Ausgestaltung sowie umgekehrt.

Weitere Merkmale, Vorteile und Anwendungsmöglichkeiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung im Zusammenhang mit den Figuren, in denen durchgängig dieselben Bezugszeichen für dieselben oder einander entspre- chende Elemente der Erfindung verwendet werden. Es zeigen wenigstens teilweise schematisch:

Fig. 1 ein Ausführungsbeispiel des erfindungsgemäßen Verfahrens; und

Fig. 2 ein Ausführungsbeispiel einer erfindungsgemäßen Vorrichtung. Fig. 1 zeigt ein Ausführungsbeispiel des erfindungsgemäßen Verfahrens 100 zum Speichern von Wegstreckendaten, die eine zurückgelegte Gesamtwegstrecke eines Fahrzeugs, insbesondere Kraftfahrzeugs, kennzeichnen. In einem Verfahrensschritt S1 wird eine zurückgelegte Gesamtwegstrecke, die das Fahrzeug zum gegenwärtigen Zeitpunkt zurückgelegt hat, anhand von bereitgestell- ten Fahrzeugdaten ermittelt. Diese Fahrzeugdaten sind vorzugsweise in einer Bus- nachricht enthalten, die über einen Fahrzeugbus des Fahrzeugs, etwa einen CAN- Bus, versendet und von einer Vorrichtung, die insbesondere zum Ausführen des Verfahrens 100 eingerichtet ist, empfangen wird. Diese Vorrichtung kann etwa eine Steuereinrichtung aufweisen, welche zur Ermittlung der gegenwärtig zurückgelegten Gesamtwegstrecke eingerichtet ist, insbesondere indem die Gesamtwegstrecke aus den Fahrzeugdaten, in bevorzugter Weise aus darin enthaltenen Sensordaten, ab- geleitet oder die Gesamtwegstrecke aus den Fahrzeugdaten, etwa als numerischer Wert, ausgelesen wird.

In einem weiteren Verfahrensschritt S2 werden Wegstreckendaten, welche die er- mittelte gegenwärtig zurückgelegte Gesamtwegstrecke kennzeichnen, in einem ers- ten Speicherbereich 1 eines ersten nicht-flüchtigen Datenspeichers 2, etwa eines EEPROMs, gespeichert. Dabei enthält der erste Speicherbereich 1 in der Regel bereits Wegstreckendaten, die zu einem ersten früheren Zeitpunkt im ersten Spei- cherbereich 1 gespeichert wurden und eine zum ersten früheren Zeitpunkt zurück- gelegte Gesamtwegstrecke des Fahrzeugs kennzeichnen. Diese bereits im ersten Speicherbereich 1 abgelegten Wegstreckendaten werden in Verfahrensschritt S2, d.h. beim Speichern der aktuellen Wegstreckendaten, vorzugsweise derart geändert oder aktualisiert, dass die im Speicherbereich 1 gespeicherten Wegstreckendaten nach dieser Änderung die gegenwärtig zurückgelegte Gesamtwegstrecke kenn- zeichnen. Alternativ werden die bereits im ersten Speicherbereich 1 abgelegten Wegstreckendaten in Verfahrensschritt S2 durch die aktuellen Wegstreckendaten, welche die gegenwärtig zurückgelegte Gesamtwegstrecke kennzeichnen, ersetzt. In jedem Fall findet durch den Speichervorgang eine Erhöhung der zurückgelegten Gesamtwegstrecke, wie sie durch die im ersten Speicherbereich 1 abgelegten Weg- streckendaten gekennzeichnet ist, statt.

Der nicht-flüchtige erste Datenspeicher 2, insbesondere der erste Speicherbe- reich 1 , ist dabei vorzugsweise derart eingerichtet, dass, insbesondere im ersten Speicherbereich 1 , nur eine solche Gesamtwegstrecke mittels Wegstreckendaten speicherbar ist, die größer ist als eine zum ersten früheren Zeitpunkt zurückgelegte Gesamtwegstrecke. Insbesondere kann der nicht-flüchtige erste Datenspeicher 2, insbesondere der erste Speicherbereich 1 , eingerichtet sein, keine Änderungen der in ihm bereits gespeicherten Wegstreckendaten zuzulassen, soweit diese Änderun- gen zu einer Verringerung der entsprechenden Gesamtwegstrecke korrespondieren. Ein derart eingerichteter nicht-flüchtiger erster Datenspeicher 2, insbesondere erster Speicherbereich 1 , wird auch als inkrementeller Speicher bezeichnet, in dem die Gesamtwegstrecke mittels Wegstreckendaten gesichert speicherbar ist.

In einem weiteren Verfahrensschritt S3 wird eine erste Referenzgesamtwegstrecke, die durch in einem zweiten Speicherbereich 3 zu einem zweiten früheren Zeitpunkt gespeicherte erste Referenzwegstreckendaten gekennzeichnet ist, mit der gegen- wärtig zurückgelegten Gesamtwegstrecke, wie sie durch die im ersten Speicherbe- reich 1 gespeicherten Wegstreckendaten gekennzeichnet ist, im Rahmen eines ers- ten Vergleichs verglichen. In der Regel liegt der zweite frühere Zeitpunkt dabei wei- ter in der Vergangenheit als der erste frühere Zeitpunkt.

Falls gemäß dem Ergebnis des ersten Vergleichs ein vorbestimmtes erstes Kriteri- um erfüllt ist, beispielsweise dass die gegenwärtig zurückgelegte Gesamtwegstre- cke mindestens um einen vorgegebenen Wert, insbesondere um mindestens 10 km, größer ist als die erste Referenzgesamtwegstrecke, werden die im ersten Speicher- bereich 1 gespeicherten Wegstreckendaten als aktuelle erste Referenzwegstre- ckendaten in Verfahrensschritt S4 im zweiten Speicherbereich 3 gespeichert. Insbe- sondere können die im ersten Speicherbereich 1 abgelegten Wegstreckendaten, welche die gegenwärtig zurückgelegte Gesamtwegstrecke kennzeichnen, aus dem ersten Speicherbereich 1 in den zweiten Speicherbereich 3 kopiert werden, wo sie die aktualisierten ersten Referenzwegstreckendaten bilden.

Die dabei gespeicherten ersten Referenzwegstreckendaten kennzeichnen daher eine aktualisierte erste Referenzgesamtwegstrecke, die in zukünftigen Vergleichen mit einer zukünftig ermittelten Gesamtwegstrecke verglichen werden kann.

Vorzugsweise werden die ersten Referenzwegstreckendaten in Verfahrensschritt S4 zusätzlich zu den bereits im zweiten Speicherbereich 3 gespeicherten ersten Refe- renzwegstreckendaten, welche die bisherige erste Referenzwegstrecke gekenn- zeichnet haben, gespeichert, so dass der zweite Speicherbereich 3 eine Historie der zurückgelegten Gesamtwegstrecke enthält. Die ersten Referenzwegstreckendaten werden in Verfahrensschritt S4 vorzugsweise in verschlüsselter Form im zweiten Speicherbereich 3 gespeichert. Dazu wird, bei- spielsweise von der Steuereinrichtung, auf einen kryptographischen Schlüssel zu- gegriffen, mittels dessen die Verschlüsselung in bevorzugter Weise mit einem sym- metrischen Verschlüsselungsverfahren, etwa mit dem AES-128, bevorzugt mit dem AES-196, insbesondere mit dem AES-256, durchführbar ist. Der kryptographische Schlüssel kann dabei, wie im vorliegenden Ausführungsbeispiel gezeigt, im zweiten Speicherbereich 3 oder in einem anderen Speicherbereich des nicht-flüchtigen ers- ten Datenspeichers 2 abgelegt sein. Alternativ kann der kryptographische Schlüssel aber auch in einem anderen Speicherbereich eines anderen nicht-flüchtigen Daten- speichers abgelegt sein (nicht dargestellt).

Falls sich die Gesamtwegstrecke gemäß dem Ergebnis des ersten Vergleichs in Verfahrensschritt S3 dagegen nicht gemäß dem ersten Kriterium gegenüber der ersten Referenzgesamtwegstrecke erhöht hat, wird in einem weiteren Verfahrens- schritt S5 geprüft, ob ein gegenwärtiger Kraftstoffgesamtverbrauch des Fahrzeugs, der vorzugsweise ebenfalls anhand der Fahrzeugdaten ermittelt wird, mindestens um einen vorgegebenen Wert größer ist als ein Kraftstoffgesamtverbrauch zum zweiten früheren Zeitpunkt.

Der Kraftstoffgesamtverbrauch des Fahrzeugs zum zweiten früheren Zeitpunkt ist vorzugsweise im zweiten Speicherbereich 3 des nicht-flüchtigen ersten Datenspei- chers 2 in Form von Verbrauchsdaten zusätzlich zu den ersten Referenzwegstre- ckendaten gespeichert, und kann für die Prüfung in Verfahrensschritt S5 ausgelesen werden.

Ergibt die Prüfung, dass der gegenwärtige Kraftstoffgesamtverbrauch mindestens um den vorgegebenen Wert, etwa um einen Liter, größer ist, wird das Verfahren 100 in Verfahrensschritt S4 fortgeführt. Dabei wird neben den ersten Referenzwegstre- ckendaten in Verfahrensschritt S4 vorzugsweise auch der gegenwärtige Kraftstoff- gesamtverbrauch des Fahrzeugs in Form von Verbrauchsdaten im zweiten Spei- cherbereich 3 gespeichert, um für zukünftige Prüfungen zur Verfügung zu stehen. Ergibt die in Verfahrensschritt S5 durchgeführte Prüfung jedoch, dass der gegen- wärtige Kraftstoffgesamtverbrauch nicht mindestens um den vorgegebenen Wert größer ist als der Kraftstoffgesamtverbrauch zum zweiten früheren Zeitpunkt, wird das Verfahren 100 mit einem weiteren Verfahrensschritt S9 fortgeführt.

Vorzugsweise gleichzeitig zum, insbesondere unabhängig vom, Verfahrens- schritt S3 wird in einem weiteren Verfahrensschritt S6 eine zweite Referenzgesamt- Wegstrecke, die durch in einem weiteren Speicherbereich 4 zu einem dritten frühe- ren Zeitpunkt gespeicherte zweite Referenzwegstreckendaten gekennzeichnet ist, mit der gegenwärtig zurückgelegten Gesamtwegstrecke, wie sie durch die im ersten Speicherbereich 1 gespeicherten Wegstreckendaten gekennzeichnet ist, im Rah- men eines zweiten Vergleichs verglichen. In der Regel liegt der dritte frühere Zeit- punkt dabei weiter in der Vergangenheit als der zweite und/oder erste frühere Zeit punkt.

Falls gemäß dem Ergebnis des zweiten Vergleichs ein vorbestimmtes zweites Krite- rium erfüllt ist, beispielsweise dass die gegenwärtig zurückgelegte Gesamtwegstre- cke mindestens um einen zweiten vorgegebenen Wert, insbesondere um mindes- tens 100 km, größer ist als die zweite Referenzgesamtwegstrecke, werden die im ersten Speicherbereich 1 gespeicherten Wegstreckendaten als aktuelle zweite Re- ferenzwegstreckendaten in Verfahrensschritt S7 im weiteren Speicherbereich 4 ge- speichert. Insbesondere können die im ersten Speicherbereich 1 abgelegten Weg- streckendaten, welche die gegenwärtig zurückgelegte Gesamtwegstrecke kenn- zeichnen, aus dem ersten Speicherbereich 1 in den weiteren Speicherbereich 4 kopiert werden, wo sie die aktualisierten zweiten Referenzwegstreckendaten bilden.

Die dabei gespeicherten zweiten Referenzwegstreckendaten kennzeichnen daher eine aktualisierte zweite Referenzgesamtwegstrecke, die in zukünftigen Vergleichen mit einer zukünftig ermittelten Gesamtwegstrecke verglichen werden kann. Dabei ist der nicht-flüchtige zweite Datenspeicher 5 vorzugsweise räumlich getrennt vom nicht-flüchtigen ersten Datenspeicher 2 angeordnet und beispielsweise als Flash-Speicher ausgebildet.

Vorzugsweise werden die zweiten Referenzwegstreckendaten in Verfahrens- schritt S7 zusätzlich zu den bereits im weiteren Speicherbereich 4 gespeicherten zweiten Referenzwegstreckendaten, welche die bisherige zweite Referenzwegstre- cke gekennzeichnet haben, gespeichert, so dass auch der weitere Speicherbe- reich 4 eine Historie der zurückgelegten Gesamtwegstrecke enthält.

Die zweiten Referenzwegstreckendaten werden in Verfahrensschritt S7 vorzugswei- se in verschlüsselter Form im weiteren Speicherbereich 4 gespeichert. Dazu wird, beispielsweise von der Steuereinrichtung, auf einen kryptographischen Schlüssel zugegriffen, mittels dessen die Verschlüsselung in bevorzugter Weise mit einem symmetrischen Verschlüsselungsverfahren, etwa mit AES-128, bevorzugt mit AES- 196, insbesondere mit AES-256, durchführbar ist. Der kryptographische Schlüssel kann dabei, wie im vorliegenden Ausführungsbeispiel gezeigt, in einem, insbeson- dere separatem, Hardware-Sicherheitsmodul 9 abgelegt sein, auf das die Steuerein- richtung zugreifen kann.

Falls sich die Gesamtwegstrecke gemäß dem Ergebnis des zweiten Vergleichs in Verfahrensschritt S6 dagegen nicht gemäß dem zweiten Kriterium gegenüber der zweiten Referenzgesamtwegstrecke erhöht hat, wird in einem weiteren Verfahrens- schritt S8 geprüft, ob der gegenwärtige Kraftstoffgesamtverbrauch des Fahrzeugs mindestens um einen weiteren vorgegebenen Wert größer ist als ein Kraftstoffge- samtverbrauch zum dritten früheren Zeitpunkt

Der Kraftstoffgesamtverbrauch des Fahrzeugs zum dritten früheren Zeitpunkt ist vorzugsweise im weiteren Speicherbereich 4 des nicht-flüchtigen zweiten Daten- Speichers 5 in Form von weiteren Verbrauchsdaten zusätzlich zu den zweiten Refe- renzwegstreckendaten gespeichert, und kann für die Prüfung in Verfahrens- schritt S8 ausgelesen werden.

Ergibt die Prüfung, dass der gegenwärtige Kraftstoffgesamtverbrauch mindestens um den weiteren vorgegebenen Wert, etwa um 10 Liter, größer ist, wird das Verfah- ren 100 in Verfahrensschritt S7 fortgeführt. Dabei wird neben den zweiten Refe- renzwegstreckendaten vorzugsweise auch der gegenwärtige Kraftstoffgesamtver- brauch des Fahrzeugs in Form von weiteren Verbrauchsdaten im dritten Speicher- bereich 4 gespeichert, um für zukünftige Prüfungen zur Verfügung zu stehen.

Ergibt die in Verfahrensschritt S8 durchgeführte Prüfung jedoch, dass der gegen- wärtige Kraftstoffverbrauch nicht mindestens um den weiteren vorgegebenen Wert größer ist als der Kraftstoffgesamtverbrauch zum dritten früheren Zeitpunkt, wird das Verfahren 100 mit einem weiteren Verfahrensschritt S9 fortgeführt.

Vorzugsweise wird das Verfahren 100 zyklisch mit einem vorgegebenen Verfahren- stakt ausgeführt, wobei der Verfahrensschritt S1 einen Taktzyklus beginnt und der Verfahrensschritt S9, gegebenenfalls nach Aktualisierung der Referenzwegstre- ckendaten in Verfahrensschritten S4 und/oder S7, diesen Taktzyklus beendet. Ins- besondere beginnt nach Verfahrensschritt S9 ein neuer Taktzyklus mit dem Verfah- rensschritt S1.

Der vorgegebene Verfahrenstakt kann ein zeitlicher Takt sein, wobei die Verfah- rensschritte S1 bis S9 in vorgegebenen zeitlichen Intervallen, etwa jede Sekunde, vorzugsweise alle 10 Sekunden, insbesondere alle 60 Sekunden, ausgeführt wer- den. Vorzugsweise ist der vorgegebene Verfahrenstakt jedoch ein räumlicher Takt, wobei die Verfahrensschritte S1 bis S9 in vorgegebenen räumlichen Intervallen, etwa mindestens alle 5 km, vorzugsweise mindestens alle 2 km, insbesondere min- destens jeden Kilometer, ausgeführt werden. Das räumliche Intervall des Verfahren- staktes entspricht in diesem Fall dem Inkrement, um das die im ersten Speicherbe- reich 1 in Form der Wegstreckendaten abgelegte Gesamtwegstrecke erhöht wird.

Mit anderen Worten werden die Wegstreckendaten, welche die ermittelte gegenwär- tig zurückgelegte Gesamtwegstrecke kennzeichnen, vorzugsweise im vorgegebe- nen Verfahrenstakt im ersten Speicherbereich 1 gespeichert. Der Speicherbereich 1 kann daher in bevorzugter Weise als primärer Wegstreckenzähler dienen, und eine Anzeige der zurückgelegten Gesamtwegstrecke, etwa in einem Kombiinstrument des Fahrzeugs, basiert vorzugsweise auf den im ersten Speicherbereich 1 gespei- cherten Wegstreckendaten. Da die ersten bzw. zweiten Referenzwegstreckendaten dagegen in Abhängigkeit der Prüfung hinsichtlich des Kraftstoffgesamtverbrauchs und/oder des Ergebnisses des Vergleichs der gegenwärtig zurückgelegten Gesamtwegstrecke mit der ersten bzw. zweiten Referenzgesamtwegstrecke gespeichert werden, ergibt sich für die Speicherung der ersten Referenzwegstreckendaten in Verfahrensschritt S4 sowie für die Speicherung der zweiten Referenzwegstreckendaten in Verfahrensschritt S7 jeweils ein Speichertakt, der sich vom vorgegebenen Verfahrenstakt unterscheidet. Insbesondere werden die ersten und/oder zweiten Referenzwegstreckendaten sel- tener im zweiten bzw. weiteren Speicherbereich 3, 4 gespeichert als die Wegstre- ckendaten im ersten Speicherbereich 1.

Daher ist der erste Speicherbereich 1 vorzugsweise eingerichtet, nur diejenigen Wegstreckendaten zu speichern, welche die gegenwärtig zurückgelegte Gesamt- wegstrecke kennzeichnen, während im zweiten und weiteren Speicherbereich 3, 4 jeweils mehrere erste bzw. zweite Referenzwegstreckendaten speicherbar sind, so dass jeweils eine Historie der zurückgelegten Gesamtwegstrecke gebildet werden kann. Zu diesem Zweck sind der zweite und weitere Speicherbereich 3, 4 vorzugs- weise auch eingerichtet, eine größere Datenmenge zu speichern als der erste Spei- cherbereich 1.

Fig. 2 zeigt ein Ausführungsbeispiel einer erfindungsgemäßen Vorrichtung 10 zum Speichern von Wegstreckendaten, die eine zurückgelegte Gesamtwegstrecke eines Fahrzeugs, insbesondere Kraftfahrzeugs, kennzeichnen. Die Vorrichtung 10 weist eine Steuereinrichtung 6 und einen nicht-flüchtigen ersten Datenspeicher 2 auf. Der nicht-flüchtige erste Datenspeicher 2 weist einen ersten Speicherbereich 1 und ei- nen zweiten Speicherbereich 3 auf.

Die Vorrichtung 10 ist mit einem oder mehreren Steuergeräten des Fahrzeugs über einen Fahrzeugbus 7, insbesondere einen CAN-Bus, verbunden, so dass über den Fahrzeugbus 7 gesendete Busnachrichten von der Vorrichtung 10 empfangen und insbesondere von der Steuereinrichtung 6 verarbeitet werden können. Die Steuer- einrichtung 6 ist vorzugsweise eingerichtet, eine gegenwärtige zurückgelegte Ge- samtwegstrecke des Fahrzeugs aus einer Busnachricht auszulesen, insbesondere aus den darin enthaltenen Fahrzeugdaten abzuleiten.

Basierend auf der ermittelten gegenwärtig zurückgelegten Gesamtwegstrecke wer- den von der Steuereinrichtung 6 Wegstreckendaten, welche die Gesamtwegstrecke kennzeichnen, im ersten Speicherbereich 1 des nicht-flüchtigen ersten Datenspei- chers 2 gespeichert, etwa indem bereits im ersten Speicherbereich 1 abgelegte älte re Wegstreckendaten, die eine zu einem ersten früheren Zeitpunkt zurückgelegte Gesamtwegstrecke kennzeichnen, überschrieben oder derart geändert werden, dass sie nach der Änderung die gegenwärtig zurückgelegte Gesamtwegstrecke kennzeichnen.

Die Vorrichtung 10 ist vorzugsweise mit einer Anzeigeeinrichtung 8 verbunden, die zur Anzeige der gegenwärtig zurückgelegten Gesamtwegstrecke eingerichtet ist. Die entsprechenden Wegstreckendaten können etwa von der Steuereinrichtung 6 aus dem ersten Speicherbereich 1 , der vorzugsweise als primärer Wegstrecken- speicher dient, ausgelesen und an der Anzeigeeinrichtung 8 bereitgestellt werden.

Die Steuereinrichtung 6 ist zudem eingerichtet, einen Vergleich der gegenwärtig zurückgelegten Gesamtwegstrecke, wie sie durch die im ersten Speicherbereich 1 gespeicherten Wegstreckendaten gekennzeichnet ist, mit einer ersten Referenzge- samtwegstrecke, die durch im zweiten Speicherbereich 3 gespeicherte erste Refe- renzwegstreckendaten gekennzeichnet ist, zu vergleichen und - je nach Ergebnis des Vergleichs - die Wegstreckendaten aus dem ersten Speicherbereich 1 als aktu- alisierte, insbesondere zusätzliche, erste Referenzwegstreckendaten im zweiten Speicherbereich 3 zu speichern. Dabei werden die Wegstreckendaten aus dem ers- ten Speicherbereich 1 insbesondere dann als erste Referenzwegstreckendaten im zweiten Speicherbereich 3 gespeichert, wenn die durch die Wegstreckendaten ge- kennzeichnete Gesamtwegstrecke um einen vorgegebenen Wert, etwa 100 km, größer ist als die durch die ersten Referenzwegstreckendaten gekennzeichnete ers- te Referenzgesamtwegstrecke.

Dadurch wird die Gesamtwegstrecke im zweiten Speicherbereich 3 weniger häufig gespeichert als im ersten Speicherbereich 1. Vorzugsweise weist der erste Spei- cherbereich 1 deshalb kurze Zugriffs- bzw. Schreibzeiten und insbesondere nur Speicherplatz für eine einzige in Form von Wegstreckendaten gespeicherte Ge- samtwegstrecke auf, während der zweite Speicherbereich 3 vorzugsweise einen größeren Speicherplatz für mehrere in Form von ersten Referenzwegstreckendaten gespeicherte erste Referenzgesamtwegstrecken aufweist, so dass der zweite Spei- cherbereich 3 eine Historie der zurückgelegten Gesamtwegstrecke enthalten kann.

Dabei ist der erste Speicherbereich 1 insbesondere eingerichtet, nur solche Ge- samtwegstrecken in Form von Wegstreckendaten zu speichern, die größer sind als eine zum früheren ersten Zeitpunkt zurückgelegte Gesamtwegstrecke, die durch die bereits im ersten Speicherbereich 1 gespeicherten älteren Wegstreckendaten ge- kennzeichnet ist. Der erste Speicherbereich 1 kann insbesondere eingerichtet sein, ein von der Steuereinrichtung 6, insbesondere in einem vorgegebenen Verfahren- stakt, ausgegebenes Speichersignal aufzunehmen und daraufhin die in ihm gespei- cherten Wegstreckendaten so zu ändern oder zu ersetzen, dass die durch sie ge- kennzeichnete Gesamtwegstrecke hochgezählt wird. Durch diese„Aktivierung“ des ersten Speicherbereichs 1 mittels des Speichersignals wird die im ersten Speicher- bereich 1 in Form von Wegstreckendaten gespeicherte Gesamtwegstrecke inkre- mentell erhöht. Daher sind die im ersten Speicherbereich 1 gespeicherten Wegstre- ckendaten gesichert, d.h. gegen eine Manipulation durch Zurücksetzen der Ge- samtwegstrecke, geschützt.

Um den Schutz der in Form von Wegstreckendaten gespeicherten Gesamtwegstre- cke weiter zu erhöhen, werden die ersten Referenzwegstreckendaten vorzugsweise verschlüsselt im zweiten Speicherbereich 3 gespeichert. Mittels des von der Steuer- einrichtung 6 ausgeführten Vergleichs kann die im ersten Speicherbereich 1 in Form von Wegstreckendaten gespeicherte Gesamtwegstrecke auf Plausibilität geprüft und gegebenenfalls wiederhergestellt werden, indem die aktuellen ersten Refe- renzwegstreckendaten aus dem zweiten Speicherbereich 3 in den ersten Speicher- bereich 1 geschrieben werden. Die Kombination des gesicherten Speicherns der Wegstreckendaten im ersten Speicherbereich 1 mit dem verschlüsselten Speichern der ersten Referenzwegstre- ckendaten im zweiten Speicherbereich 3 ermöglicht daher einen besonders zuver- lässigen Schutz der in Form von Wegstreckendaten gespeicherten Gesamtwegstre- cke. Während vorausgehend wenigstens eine beispielhafte Ausführungsform beschrie- ben wurde, ist zu bemerken, dass eine große Anzahl von Variationen dazu existiert. Es ist dabei auch zu beachten, dass die beschriebenen beispielhaften Ausführungs- formen nur nichtlimitierende Beispiele darstellen, und es nicht beabsichtigt ist, dadurch den Umfang, die Anwendbarkeit oder die Konfiguration der hier beschrie- benen Vorrichtungen und Verfahren zu beschränken. Vielmehr wird die vorausge- hende Beschreibung dem Fachmann eine Anleitung zur Implementierung mindes- tens einer beispielhaften Ausführungsform liefern, wobei sich versteht, dass ver- schiedene Änderungen in der Funktionsweise und der Anordnung der in einer bei- spielhaften Ausführungsform beschriebenen Elemente vorgenommen werden kön- nen, ohne dass dabei von dem in den angehängten Ansprüchen jeweils festgeleg- ten Gegenstand sowie seinen rechtlichen Äquivalenten abgewichen wird.

Bezuqszeichenliste

1 erster Speicherbereich

2 erster nicht-flüchtiger Datenspeicher

3 zweiter Speicherbereich

4 weiterer Speicherbereich

5 zweiter nicht-flüchtiger Datenspeicher

6 Steuereinrichtung

7 Fahrzeugbus

8 Anzeigeeinrichtung

9 Hardware-Sicherheitsmodul

10 Vorrichtung

100 Verfahren

S1 - S9 Verfahrensschritte