Die Erfindung betrifft ein Verfahren gemäß dem Oberbegriff des Anspruchs 1 und eine Anlage gemäß dem Oberbegriff des An¬ spruchs 20.

Bei Identifikations-, Autorisierungs-, Ausweis- und Ver¬ rechnungssystemen mit einer Zentrale und dezentralen mobilen Identifikationsgeräten werden die Identifikationsgeräte übli- cherweise ohne Zuordnung zu einer Benutzeridentifikation herge¬ stellt und erst bei der Ausgabe mit der jeweiligen Benutzer¬ identifikation initialisiert und an den Benutzer übergeben. Die Initialisierung erfolgt dabei entweder an dezentralen oder zen¬ tralen InitialisierungsStationen. Der Nachteil bei der herkömmlichen Lösung ist, daß entwe¬ der an vielen Ausgabeorten Initialisierungsstationen mit einer Datenverbindung zu der zentralen Einrichtung errichtet werden müssen, oder es ist eine aufwendige Logistik zur Verteilung der initialisierten Identifikationsgeräte an den richtigen Benutzer notwendig.

Die Aufgabe der Erfindung ist es, eine sichere Personali¬ sierung bzw. benutzerspezifische Initialisierung eines Identi¬ fikationsgerätes ohne kostspielige dezentrale Initialisierungs¬ stationen und ohne den hohen logistischen Aufwand der Vertei- lung bereits initialisierter Identifikationsgeräte durchführen zu können.

Diese Aufgabe wird in einem ersten Aspekt der Erfindung mit einem Verfahren der einleitend genannten Art erreicht, das sich durch die kennzeichnenden Merkmale des Anspruchs 1 aus- zeichnet, und in einem zweiten Aspekt der Erfindung durch eine Anlage der eingangs genannte Art, die sich durch die kennzeich¬ nenden Merkmale des Anspruchs 20 auszeichnet.

Auf diese Weise kann ein Identifikationsgerät mit einer beliebigen Geräteidentifikation an den Benutzer ausgeliefert und von diesem vor Ort mittels des Initialisierungs-PIN perso-

nalisiert werden. Mit Hilfe des Initialisierungs-PIN wird veri¬ fiziert, ob die Zuordnung der eigenen Geräteidentifikation des Identifikationsgerätes mit der im Initialisierungs-PIN übermit¬ telten Information über die Geräteidentifikation übereinstimmt. Bei Übereinstimmung wird aus dem Initialisierungs-PIN die Be¬ nutzeridentifikation errechnet und diese wird am Identifikati¬ onsgerät angezeigt. Damit ist der Initialisierungsvorgang des Identifikationsgerätes abgeschlossen und z.B. ein Datenaus¬ tausch zwischen dem Identifikationsgerät und der zentralen Ein- richtung freigegeben. Durch die Übermittlung des Initialisie- rungs-PINs sind keine aufwendigen Initialisierungsstationen zur Initialisierung der Identifikationsgeräte notwendig.

In einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens wird zum Zurücksetzen des Identifikationsgerätes in den Auslieferzustand ein Deinitialisierungs-PIN generiert, der wie der Initialisierungs-PIN gehandhabt wird. Nach dem Deini¬ tialisieren ist das Identifikationsgerät wieder bereit für eine neuerliche Initialisierung.

In einer weiteren Ausführung kann die Geräteidentifikation des Identifikationsgerätes aus einem öffentlichen Teil und ei¬ nem privaten (geheimen) Teil bestehen. Der öffentliche Teil der Geräteidentifikation wird bei der Fertigung festgelegt und so¬ wohl auf das Gehäuse des Identifikationsgeräte gedruckt als auch im Identifikationsgerät gespeichert. Der private Teil der Geräteidentifikation wird auch bei der Fertigung festgelegt und im Identifikationsgerät gespeichert. Der private Teil der Gerä¬ teidentifikation kann eine Zufallszahl oder eine nach einem be¬ stimmten Algorithmus berechnete Zahl sein. Der öffentliche und der private Teil der Geräteidentifikation werden der zentralen Einrichtung vor Auslieferung bekanntgegeben.

In weiterer Ausbildung der Erfindung ist vorgesehen, daß aus Sicherheitsgründen bei der Generierung des Initialisie¬ rungs-PIN bzw. Deinitialisierungs-PIN ein Verschlüsselungsver¬ fahren angewendet wird, und im Identifikationsgerät wird der

Initialisierungs-PIN bzw. Deinitialisierungs-PIN entsprechend entschlüsselt.

Der Initialisierungs-PIN oder Deinitialisierungs-PIN kann dem Benutzer mitgeteilt und von diesem manuell mittels einer Tastatur am Identifikationsgerät eingegeben; alternativ kann er von der Zentrale, z.B. über eine Funkschnittstelle zum Identi¬ fikationsgerät, übermittelt werden.

Eine weitere Ausführung der Erfindung ist, daß das erfin¬ dungsgemäße Verfahren in der automatischen Registrierung der Fahrtstrecken oder Fahrtrouten von Fahrzeugen eingesetzt wird, um daraus Mautgebühren zu berechnen und verkehrstelematische Daten zur Analyse der Verkehrsströme zu generieren. Dabei wird jedem Fahrzeug ein Fahrzeuggerät (Onboard-Unit, OBU) zugeordnet, das über eine Geräteidentifikation und eine zugeordnete Benutzeridentifikation, z.B. Kfz-Kennzeichen, verfügt. Diese Fahrzeuggeräte werden an verteilten Vertriebsstellen z.B. Tankstellen, Zollämtern, Häfen usw., ausgegeben, und dem Benutzer wird nach dem erfindungsgemäßen Verfahren der Initialisierungs-PIN mitgeteilt. Nach der Eingabe des Initialisierungs-PIN in das Identifikationsgerät ist dieses bereit, die Fahrtstrecken sowie die verkehrstelematischen Daten zu registrieren und an die zentrale Einrichtung zu übermitteln. Der Initialisierungs-PIN kann auch von der zentralen Einrichtung an das Identifikationsgerät gesendet werden und die Initialisierung erfolgt entweder vollautomatisch oder halbautomatisch. Bei der automatischen Initialisierung wird dem Benutzer angezeigt, daß die Initialisierung erfolgt ist. Bei der halbautomatischen Initialisierung wird die Benutzeridentifikation angezeigt, und es müssen die Initiali- sierung und die Benutzeridentifikation vom Benutzer quittiert werden.

Gemäß einer weiteren Variante der Erfindung kann nach der Initialisierung das Identifikationsgerät deaktiviert und wieder aktiviert werden, z.B. wenn das mautpflichtige Fahrzeug die mautpflichtige Region verläßt. Nach der Deaktivierung bleiben

alle Daten der Initialisierung im Identifikationsgerät erhal¬ ten, jedoch wird die Aufzeichnung der Fahrtstrecke und der ver- kehrstelematischen Daten unterbrochen. Die Aktivierung und De¬ aktivierung kann wie bei der Initialisierung manuell, halbauto- matisch oder automatisch mittels eines Aktivierungs-PINs bzw. Deaktivierungs-PIN erfolgen.

Ein weiteres Merkmal der Erfindung besteht darin, daß in dem Initialisierungs-PIN auch benutzerspezifische, funktionale Berechtigungen und Daten enthalten sind, wie z.B. Schadstoff- klasse des Fahrzeugs, Achsanzahl oder höchstzulässiges Gesamt¬ gewicht. Die benutzerspezifischen Berechtigungen und Daten kön¬ nen im Identifikationsgerät ferner mittels eines Berechtigungs- PINs geändert werden.

Das Identifikationsgerät sendet nach der Initialisierung Daten an die zentrale Einrichtung und der Empfang der Daten wird mit einem Quittierungs-PIN bestätigt.

Die Generierung des Aktivierungs-PINs, Deaktivierungs- PINs, Berechtigungs-PINs bzw. Quittierungs-PINs erfolgt nach dem erfindungsgemäßen Verfahren wie bei der Initialisierung. In einer weiteren Ausbildung der Erfindung kann die ab¬ schnittsweise Funkverbindung zwischen dem mobilen Identifikati¬ onsgerät und einer stationären Funkstation ein Mikrowellen- Funkkanal; Dedicated Short Range Communication (DSRC) ; ein Funkkanal oder ein Mobilfunkkanal, z.B. GSM, UMTS oder eine Wi- reless-Datenverbindung, z.B. WLAN, WiMAX, sein.

Die Beschreibung eines Ausführungsbeispiels des Verfahrens und der Anlage der Erfindung erfolgt anhand der folgenden Figu¬ ren:

Fig. 1: schematischer Aufbau des Systems Fig. 2: schematischer Ablauf der Initialisierung

Fig. 3: Ablaufdiagramm der PIN-Generierung

Fig. 4: schematischer Ablauf der Aktivierung

In Fig. 1 ist die schematische Darstellung des Systems ge¬ zeigt. In diesem Ausführungsbeispiel wird auf ein Straßenmaut- System näher eingegangen. Die Erfindung ist aber nicht nur auf

diese Systeme beschränkt, sondern kann für alle Kommunikations- systeme eingesetzt werden, in denen dezentrale Geräte von einer Zentrale entweder automatisch oder manuell initialisiert werden und dabei eine eindeutige Benutzeridentifikation (z.B. in die- sem Ausführungsbeispiel das Kfz-Kennzeichen) mit einer Zuord¬ nung zu einer Geräteidentifikation (z.B. Seriennummer) eines dezentralen Identifikationsgeräts erfolgt.

Die Anlage gemäß Fig. 1 besteht aus einer zentralen Ein¬ richtung 1 zum Sammeln der Daten der Identifikationsgeräte 4 und zur Vorverarbeitung und Weiterleitung zu einem nicht ge¬ zeigten Verrechnungszentrum. Die zentrale Einrichtung ist über ein öffentliches Datennetzwerk 2 mit regional angeordneten sta¬ tionären Funkstationen 3 verbunden. Die Funkstationen 3 können Baken zur Mikrowellen- oder DSRC-Kommunikation mit den Identi- fikationsgeräten 4 sein, Basisstationen eines Mobilfunknetzwer¬ kes oder Zugangsknoten eines WLAN oder einer WiMAX-Internetan- bindung. Auch eine Kombination dieser Technologien zur bidirek¬ tionalen Datenübertragung zwischen Identifikationsgeräten 4 und stationären Funkstationen 3 ist möglich. Die Identifikationsgeräte werden an Verteillager ausgelie¬ fert. Bei Bedarf schließt ein Benutzer (z.B. ein Frachter) ei¬ nen Vertrag 101 (Fig. 2) mit einem Betreiber der zentralen Ein¬ richtung (z.B. ein Straßenmautbetreiber) ab, und es wird ihm ein Identifikationsgerät 4 mit einer einmaligen Geräteidentifi- kation 103 zugeordnet. Gleichzeitig werden diese und die Benut¬ zeridentifikation 104 (z.B. das Kfz-Kennzeichen des Fahrzeuges) über einen in Fig. 1 nicht dargestellten Kommunikationsweg der zentralen Einrichtung 1 übermittelt. Die zentrale Einrichtung 1 generiert aus der Geräteidentifikation 103 und der Benutzer- Identifikation 104 einen Initialisierungs-PIN 102, in dem die beiden Identifikationen und optional weitere Berechtigungen enthalten sind. Solche Berechtigungen können in diesem Anwen¬ dungsbeispiel neben anderen die Umweltklasse des Fahrzeuges oder auch die Anzahl seiner Achsen sein.

Der Initialisierungs-PIN wird dem Benutzer übermittelt, z.B. über ein Datennetz oder durch ein Telephonat, und von die¬ sem in das Identifikationsgerät 4 eingegeben. Alternativ kann der Initialisierungs-PIN direkt von der zentralen Einrichtung 1 an das Identifikationsgerät gesendet werden.

Bei Übereinstimmung der eigenen Geräteidentifikation des Identifikationsgerätes mit der im Initialisierungs-PIN übermit¬ telten Geräteidentifikation wird das Identifikationsgerät be¬ nutzerspezifisch initialisiert bzw. personalisiert und damit für den vorgesehenen Betrieb freigeschaltet. Während des Be¬ triebs sammelt das Identifikationsgerät Daten, z.B. Fahrtstrek- ken, und übermittelt diese über die Funkschnittstelle 5, eine stationäre Funkstation 3 und das Datennetz 2 an die zentrale Einrichtung zur weiteren Auswertung. In Fig. 3 wird anhand des Anwendungsbeispiels der Straßen¬ maut auf die Generierung des Initialisierungs-PINs 401 einge¬ gangen. Die OBU-ID 402 entspricht der Geräteidentifikation des Identifikationsgerätes und in der in Fig. 3 nicht weiter darge¬ stellten Ausführung kann die Geräteidentifikation 103 aus einem öffentlichen Teil und einem privaten Teil bestehen. Der öffent¬ liche Teil der Geräteidentifikation wird bei der Fertigung des Identifikationsgerätes festgelegt und z.B. sowohl auf das Ge¬ häuse des Identifikationsgerätes gedruckt als auch im Identifi¬ kationsgerät gespeichert. Der private Teil der Geräteidentifi- kation 402 wird ebenfalls bei der Fertigung festgelegt und im Identifikationsgerät gespeichert. Der private Teil der Geräte¬ identifikation kann eine Zufallszahl oder eine nach einem be¬ stimmten Algorithmus berechnete Zahl sein. Der öffentliche und der private Teil der Geräteidentifikation werden an die zen- trale Einrichtung 1 vor Auslieferung des Identifikationsgerätes bekannt gegeben. In diesem Ausführungsbeispiel wird bei einem Vertragsabschluß, d.h. der Zuordnung eines Benutzers mit seiner Benutzeridentifikation zu einem Identifikationsgerät mit einer Geräteidentifikation, nur der öffentliche Teil der Geräteiden- tifikation an die zentrale Einrichtung 1 weitergegeben und

diese ergänzt den privaten Teil der Geräteidentifikation zur Berechnung des Initialisierungs-PINs.

In einer weiteren Variante kann die Geräteidentifikation zur Vereinfachung der weiteren Schritte komprimiert werden (403) .

Bei der Generierung des Initialisierungs-PINs werden das Kfz-Kennzeichen 404, das in diesem Fall der Benutzeridentifika¬ tion entspricht, und die OBU-ID 403 miteinander verknüpft (405) und mittels eines Verschlüsselungsverfahrens 406 codiert. Zur Initialisierung des Identifikationsgerätes wird der Initiali- sierungs-PIN an den Benutzer (hier: Frachter) zur Eingabe in das Identifikationsgerät 407 übermittelt.

Nach dem gleichen Verfahren wird bei einer Vertragsauflö¬ sung ein Deinitialisierungs-PIN generiert, wobei der Schritt zur Übermittlung der Geräteidentifikation 103 des Identifikati¬ onsgeräts entfällt, da die Zuordnung der zentralen Einrichtung bereits bekannt ist. Die Deinitialisierung setzt im Identifika¬ tionsgerät alle Vertrags- bzw. benutzerspezifischen Daten zu¬ rück, sodaß das Identifikationsgerät für eine neuerliche In- itialisierung vorbereitet ist.

Für bestimmte Fälle ist es notwendig, daß das Identifika¬ tionsgerät deaktiviert wird, z.B. wenn das Fahrzeug aus dem mautpflichtigen Gebiet fährt und zu einem späteren Zeitpunkt bei der Rückkehr wieder aktiviert werden muß (siehe Fig. 4) . Zu diesem Zwecke erfolgt eine Anforderung 501 an die zentrale Ein¬ richtung 1, entweder automatisch über die Funkschnittstelle 5 und das Datennetz 2 bei der Ausfahrt aus dem mautpflichtigen Gebiet oder nach einer manuellen Anforderung, z.B. einem Te- lephonat mit dem Call-Center der zentralen Einrichtung 1. In jedem Fall wird von der zentralen Einrichtung ein Deaktivie- rungs-PIN 502 aus der Geräteidentifikation und Benutzeridenti¬ fikation erzeugt, wobei das gleiche Verfahren wie bei der Gene¬ rierung des Initialisierungs-PINs Anwendung findet. Entweder wird der Deaktivierungs-PIN 502 automatisch über das Datennetz 2 und die Funkschnittstelle 3 an das Identifikationsgerät 4 ge-

sendet und es erfolgt die automatische Deaktivierung der Iden¬ tifikationsgeräts 4, oder bei der manuellen Anforderung wird dem Benutzer der Deaktivierungs-PIN 502 mitgeteilt und dieser gibt ihn in das Identifikationsgerät 4 ein, um die Deaktivie- rung des Identifikationsgeräts 4 durchzuführen.

Eine neuerliche Aktivierung des Identifikationsgerätes 4 erfolgt nach dem gleichen Verfahren wie die Deaktivierung nach Fig. 4 mittels eines Aktivierungs-PINs.

Die Änderung von Berechtigungen des Identifikationsgerätes erfolgt ebenfalls nach dem Verfahren der Deaktivierung des Identifikationsgerätes nach Fig. 4 mittels eines Berechtigungs- PINs.

Die verkehrstelematischen Daten werden über die Funk¬ schnittstelle 3 und das Datennetz 2 an die zentrale Einrichtung 1 gesendet und es erfolgt von der zentralen Einrichtung 1 eine automatische Quittierung mittel eines Quittierungs-PINs. Sollte dieser ausbleiben, so ist es dem Benutzer möglich, den Quittie- rungs-PIN nach dem Verfahren nach Fig. 4 manuell anzufordern und nach dessen Erhalt die Quittierung durch Eingabe des Quit- tierungs-PINs manuell durchzuführen.

Die Erfindung ist selbstverständlich nicht auf das bei¬ spielhaft erörterte Einsatzgebiet der Straßenmautsysteme be¬ schränkt, sondern auf beliebige Arten von Identifikationsgerä¬ ten anwendbar, welche zwecks einfacher Massenfertigung, Bevor- ratung und manipulationssicherer Distribution in einem nicht- personalisierten Zustand ausgeliefert und vor Ort in einfacher, sicherer und transparenter Weise benutzerspezifisch initiali¬ siert bzw. personalisiert werden sollen, um für Identifizie- rungs- oder Autorisierungszwecke Gültigkeit zu erlangen. Bei- spiele solcher weiterer Anwendungen sind die Personalisierung von elektronischen Fahrzeug- oder Benutzerausweisen oder von Smart-Cards oder RFID-Tags zu Identifikations- und Ausweiszwek- ken.