-
Die vorliegende Erfindung betrifft ein Verfahren zum Betrieb eines mobilen Netzknotens in einem drahtlosen Netzwerk, insbesondere eines fahrzeuggestützten Netzknotens in einem Ad-hoc-Netzwerk, in dem Netzknoten mehrerer Fahrzeuge miteinander und/oder mit stationären Netzknoten kommunizieren.
-
In einem solchen Netzwerk übertragene Datenpakete müssen die Bezeichnung eines absendenden Netzknotens enthalten, um den Empfängern eine Möglichkeit zu geben, zu überprüfen, wo ein empfangenes Datenpaket herrührt und ob es vertrauenswürdig ist. Genauso sollte einem Datenpaket, das nicht für sämtliche Knoten des Netzwerks bestimmt ist, die Bezeichnung desjenigen Knotens beigefügt sein, der das Datenpaket empfangen soll, damit die übrigen Netzknoten es ignorieren können.
-
Derartige drahtlose Netzwerke können für die Fahrer von Kraftfahrzeugen einen erheblichen Mehrwert bieten, z. B. indem ein Fahrzeug Informationen zur Verkehrslage auf einer von ihm befahrenen Straße sammelt und an nachfolgende Fahrzeuge weitergibt, um diesen ein vorausschauendes Reagieren zu ermöglichen.
-
Wenn jedoch ein mobiler Netzknoten eines Fahrzeugs immer dieselbe Bezeichnung verwendet und sich dabei nacheinander durch verschiedene Netze bewegt, dann besteht die Möglichkeit, anhand der von diesem Netzknoten gesendeten Datenpakete die Bewegung des Fahrzeugs nachzuverfolgen. Eine solche Nachverfolgung würde jedoch einen empfindlichen Eingriff in die Privatsphäre des Benutzers des Fahrzeugs darstellen. Daher ist es für die öffentliche Akzeptanz derartiger Netze und der von ihnen unterstützen Dienste wichtig, dass eine Nachverfolgung der Fahrzeugbewegung sicher ausgeschlossen ist.
-
Eine Möglichkeit, die Nachverfolgung zu erschweren, ist die Verwendung unterschiedlicher, wechselnder Pseudonyme anstelle einer unveränderlichen Bezeichnung durch einen mobilen Netzknoten. Wenn die Zahl der Knoten in einem Netz groß genug ist, ist die Wahrscheinlichkeit hoch, dass wenigstens zwei Netzknoten annähernd zur selben Zeit ihr Pseudonym wechseln, so dass für einen externen Beobachter anschließend nicht mehr sicher feststellbar ist, welches der neuen Pseudonyme zu welchem Netzknoten gehört.
-
Eine solche Koinzidenz ist jedoch umso unwahrscheinlicher, je kleiner die Zahl der Netzknoten ist und je häufiger diese senden. Darüber hinaus kann ein Beobachter, wenn er Ort und Bewegungsrichtung der Netzknoten vor und nach dem Pseudonymwechsel vergleicht, unter Umständen mit guter Sicherheit entscheiden, welches der neuen Pseudonyme zu welchem Knoten gehört.
-
Aufgabe der Erfindung ist, ein Betriebsverfahren für einen mobilen Netzknoten zu schaffen, welches die Rückverfolgung eines von dem Netzknoten zurückgelegten Weges wirksam erschwert.
-
Die Aufgabe wird gelöst durch ein Betriebsverfahren für einen mobilen Netzknoten in einem drahtlosen Netzwerk, dessen Netzknoten sich in der Kommunikation miteinander mittels Pseudonymen ausweisen, mit den Schritten:
- a) Auswählen wenigstens eines weiteren mobilen Netzknotens;
- b) Erfassen von dessen Bewegung;
- c) Abschätzen einer Abweichung zwischen der eigenen Bewegung des mobilen Netzknotens und der erfassten Bewegung des weiteren Netzknotens; und
- d) Wechseln des Pseudonyms zu einem Zeitpunkt, an dem die Abweichung einen Grenzwert unterschreitet.
-
Die Abschätzung der Abweichung und die darauf basierende Auswahl des Wechselzeitpunkts wirkt sich auf eine Nachverfolgung der Bewegung in zweifacher Hinsicht aus. Zum einen ist für einen externen Beobachter eine Zuordnung zwischen alten und neuen Pseudonymen von zwei Netzknoten erheblich erschwert, wenn sich die Bewegungen der zwei Netzknoten kaum unterscheiden, zum anderen kommen zwei Netzknoten, die unabhängig voneinander das erfindungsgemäße Verfahren ausführen und dabei ihre beiden Bewegungen miteinander vergleichen, in der Regel zur gleichen Beurteilung der Abweichung, so dass ein gleichzeitiger Wechsel des Pseudonyms bei beiden Netzknoten wahrscheinlich ist, ohne dass es dafür einer aufwendigen Synchronisierung zwischen den Netzknoten bedarf.
-
Bei der Abschätzung der Abweichung in Schritt c) sollte sowohl der Abstand zwischen Netzknoten als auch ein Unterschied zwischen ihren Bewegungsrichtungen, vorzugsweise auch zwischen ihren Geschwindigkeiten, berücksichtigt werden. Dies trägt der Tatsache Rechnung, dass, wenn zwei mit mobilen Netzknoten ausgestattete Fahrzeuge auf einer gleichen Straße in entgegengesetzte Richtungen fahren und im Moment des geringsten Abstands, wenn sie aneinander vorüberfahren, ihre Pseudonyme wechseln, anhand der unverändert bleibenden Fahrtrichtungen eine Zuordnung zwischen den neuen und alten Pseudonymen mit großer Sicherheit machbar bleibt, während bei zwei sich mit geringer Geschwindigkeitsdifferenz überholenden Fahrzeugen eine solche Zuordnung erheblich unsicherer ist.
-
Um einen Pseudonymwechsel rechtzeitig vorbereiten und zu einem geeigneten Zeitpunkt ausführen zu können, sollte die Abschätzung des Schritts c) zweckmäßigerweise auf der Grundlage von Prognosen der eigenen Bewegung des mobilen Netzknoten bzw. der erfassten Bewegung des ausgewählten weiteren Netzknotens erfolgen.
-
Für diese Prognose können Daten über den Verlauf von Straßen herangezogen werden, auf denen sich die Netzknoten befinden. Derartige Daten erlauben z. B. die Erkennung, ob sich ein Fahrzeug mit einem der Netzknoten auf einer Auffahrtspur zu einer Autobahn oder einer Schnellstraße befindet und deshalb in absehbarer Zeit seine Spur wechseln muss. In einem solchen Fall kann der Netzknoten eines bereits auf der Autobahn befindlichen Fahrzeugs ideal geeignet sein, um gleichzeitig mit ihm das Pseudonym zu wechseln.
-
Wenn zwei Netzknoten gleichzeitig ihr Pseudonym wechseln, dann ist es umso schwieriger, eine sichere Zuordnung zwischen alten und neuen Pseudonymen zu treffen, je länger jeweils eine Unterbrechung zwischen dem letzten mit einem alten Pseudonym gesendeten Datenpaket und dem ersten mit einem neuen Pseudonym gesendeten ist, da das Ausmaß, in dem sich Bewegungsrichtung, Geschwindigkeit und Ort der Netzknoten zwischen zwei Datenpaketen ändern können, umso größer ist, je größer der Zeitabstand zwischen den Datenpaketen ist.
-
Um einerseits keine unnötig langen Unterbrechungen des Datenverkehrs zu erzwingen, andererseits aber ein hohes Maß an nicht Rückverfolgbarkeit bei jedem Pseudonymwechsel zu erzielen, ist vorzugsweise bei einem Pseudonymwechsel die Unterbrechung der Datenübertragung umso länger, je größer die Abweichung zwischen den Bewegungen der beteiligten Netzknoten ist.
-
Um nicht unnötig viel Bandbreite des Netzwerks mit Pseudonymwechseln zu belegen, kann vorgesehen werden, dass der oben definierte Schritt d) nur durchgeführt wird, wenn seit einem vorhergehenden Pseudonymwechsel eine erste Wartezeit verstrichen ist.
-
Findet sich jedoch keine Gelegenheit zur Durchführung des Schritts d), weil kein geeigneter weiterer mobiler Netzknoten gefunden wird, dann kann ein unbedingter Pseudonymwechsel durchgeführt werden, wenn seit einem vorhergehenden Pseudonymwechsel eine zweite Wartezeit verstrichen ist. Diese sollte länger sein als die oben erwähnte erste Wartezeit.
-
Insbesondere wenn mobile Netzknoten, die das erfindungsgemäße Verfahren ausführen, nicht jederzeit zu einem Pseudonymwechsel bereit sind, etwa weil während der ersten Wartezeit kein Pseudonymwechsel erfolgt, dann sollte Schritt a) vorzugsweise ferner den Schritt des Überprüfens umfassen, ob der ausgewählte weitere mobile Netzknoten überhaupt zu einem Pseudonymwechsel bereit ist, und bei Nichtbereitschaft sollte noch ein weiterer mobiler Netzknoten ausgewählt werden. Dieser Schritt kann beliebig wiederholt werden, bis, wenn überhaupt vorhanden, schließlich ein zum Pseudonymwechsel bereiter weiterer Netzknoten gefunden ist.
-
Ein Synchronisieren eines geplanten Zeitpunkts für den Pseudonymwechsel zwischen den beteiligten Netzknoten kann sinnvoll sein, wenn der Zeitabstand zwischen von einem gleichen Netzknoten nacheinander übertragenen Daten-Paketen kurz ist. Ein solcher kurzer Zeitabstand setzt eine entsprechend hohe Bandbreite des Netzwerks voraus, bei der es auf den Bandbreitenverbrauch für das Synchronisieren wenig ankommt.
-
Erfindungsgegenstand ist ferner ein Computerprogrammprodukt mit Programmcodemitteln, die einen Computer befähigen, das oben beschriebene Verfahren auszuführen.
-
Ein weiterer Erfindungsgegenstand ist ein Fahrzeug, insbesondere ein Kraftfahrzeug, mit einem zur Durchführung des oben beschriebenen Verfahrens geeigneten Netzknoten.
-
Weitere Merkmale und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen unter Bezugnahme auf die beigefügten Figuren. Es zeigen:
-
1 eine typische Verkehrssituation, in der das erfindungsgemäße Verfahren anwendbar ist; und
-
2 ein Flussdiagramm des Verfahrens.
-
1 zeigt eine Autobahnauffahrt in einer kartenähnlichen Darstellung. Die Autobahnauffahrt umfasst eine Auffahrspur 4 sowie durchgehende Fahrspuren 5, 6. Zwei Fahrzeuge A, B sind zu je drei verschiedenen Zeiten, mit A1, A2, A3 bzw. B1, B2, B3 bezeichnet, dargestellt. Zum frühesten Zeitpunkt befinden sich die Fahrzeuge A, B am linken Rand der Figur an den mit A1 bzw. B1 bezeichneten Positionen. Das Fahrzeug A ist bereits auf der Fahrspur 5, während sich das Fahrzeug B noch auf einer zu den Fahrspuren 5, 6 hinführenden Kurve der Auffahrspur 4 befindet. Kurz darauf, enstprechend den Positionen A2, B2, fahren die Fahrzeuge A, B nebeneinander her, und zuletzt hat das auf der Auffahrspur 4 hinzu stoßende Fahrzeug B auf die Fahrspur 5 eingefädelt und beide bewegen sich hintereinander, entsprechend den Positionen A3, B3.
-
Die Fahrzeuge A, B führen jeweils einen Bordcomputer mit sich, der als Netzknoten eines schnurlosen Ad-hoc-Netzwerks arbeiten kann. Die Bezugszeichen A, B werden im Folgenden der Einfachheit halber sowohl für die Fahrzeuge A, B als auch für deren Bordcomputer verwendet. In dem Ad-hoc-Netzwerk verbinden sich die Bordcomputer der Fahrzeuge A, B sowie ggf. ein ortsfester Netzknoten 7. Der Netzknoten 7 kann vorgesehen sein, um den Bordrechnern Zugang zum Internet zu vermitteln, um Informationen über die vor ihnen liegende Strecke an die vorbeifahrenden Fahrzeuge zu übermitteln etc. Solche Informationen können z. B. Hinweise auf ein demnächst erreichtes Stauende, Glatteis oder dergleichen sein.
-
Ein Beobachter-Netzknoten 8, der den Datenverkehr der Bordrechner der Fahrzeuge A, B untereinander und mit dem Netzknoten 7 mithört, ist wie diese neben der Fahrbahn angeordnet. Wenn solche Beobachter-Netzknoten flächendeckend eingesetzt werden, können sie den Weg eines Fahrzeugs verfolgen, sofern dieses ein Pseudonym, das es für die Kommunikation mit anderen Fahrzeugen oder dem Netzknoten 7 verwendet, nicht von Zeit zu Zeit in einer durch den Beobachter-Netzknoten 8 nicht zu erfassenden Weise auswechselt.
-
Ein Beispiel für ein Verfahren, mit dem das Pseudonym etwa des Fahrzeugs A in für den Beobachter-Netzknoten 8 nicht oder allenfalls mit sehr hohem technischen Aufwand nachverfolgbarer Weise ausgewechselt werden kann, wird mit Bezug auf das Flussdiagramm der 2 erläutert.
-
In Schritt S1 wird überprüft, ob seit dem letzten Wechsel des Pseudonyms eine erste Wartezeit T1 verstrichen ist. Ist dies nicht der Fall, dann setzt der Bordcomputer A die Kommunikation mit den übrigen Netzknoten unter Verwendung des aktuellen Pseudonyms fort, und der Schritt S1 wird nach kurzer Zeit wiederholt. Wenn dann festgestellt wird, dass die erste Wartezeit T1 abgelaufen ist, geht das Verfahren zu Schritt S2 oder, in einer einfacheren Ausgestaltung, zu Schritt S4 über.
-
In Schritt S2 wird überprüft, ob eine von einem anderen Netzknoten, etwa dem Bordrechner des Fahrzeugs B, eine Anfrage empfangen wurde, ob das Fahrzeug A bereit ist, sein Pseudonym zu wechseln, bzw. ob für das Fahrzeug A die Wartezeit T1 abgelaufen ist. Wenn ja, sendet das Fahrzeug A in Schritt S3 eine Bereitschaftsanzeige an das Fahrzeug B und geht dann zu Schritt S4 über.
-
In Schritt S4 wird geprüft, ob das schnurlose Netzwerk, dem der Bordrechner A angehört, außer ihm noch weiter mobile Netzknoten besitzt. Eine solche Überprüfung kann z. B. erfolgen, indem eine am Bordrechner A lokal gespeicherte Tabelle abgefragt wird, in der die Knoten des Netzes verzeichnet sind und die fortlaufend aktualisiert wird, wenn Knoten aus dem Netz ausscheiden oder hinzustoßen. Es wird ein Bordrechner eines anderen Fahrzeugs, hier der Einfachheit halber ebenfalls mit B bezeichnet, aus der Tabelle ausgewählt, und unter Verwendung seines ebenfalls in der Tabelle verzeichneten Pseudonyms wird in Schritt S5 eine Anfrage an den Bordrechner B gerichtet, ob er zu einem Wechsel des Pseudonyms bereit ist. Wenn der Bordrechner B ebenfalls das Verfahren der 2 ausübt, antwortet er auf die Anfrage nur, wenn er bereit ist. Wenn keine Antwort auf die Anfrage erfolgt, sei es weil für den Knoten B die Wartezeit T1 noch nicht vorbei ist, oder weil der Knoten B zwar antwortet, die Antwort vom Knoten A aber aufgrund schlechter Übertragungsbedingungen nicht wahrgenommen wird, dann kehrt das Verfahren zu Schritt S5 zurück, um einen weiteren Bordrechner auszuwählen. Bestätigt hingegen der angesprochene Bordrechner B seine Wechselbereitschaft, dann geht das Verfahren weiter zu Schritt S6.
-
Bei der oben erwähnten vereinfachten Ausgestaltung des Verfahrens, die die Schritte S2, S3 nicht umfasst, fehlt auch der Schritt S5, und das Verfahren springt nach der Auswahl des weiteren mobilen Netzknotens B in S4 direkt zu Schritt S6.
-
In Schritt S6 werden der aktuelle Ort r und der aktuelle Geschwindigkeitsvektor v des Fahrzeugs A sowie Ort r' und Geschwindigkeitsvektor v' des Fahrzeugs B für den gegenwärtigen Zeitpunkt t = 0 ermittelt. Basierend auf diesen Daten wird in Schritt S7 die weitere Bewegung der beteiligten Fahrzeuge prognostiziert. Im einfachsten Fall kann eine solche Prognose auf der Annahme basieren, dass während des Prognosezeitraums Δt die Geschwindigkeitsvektoren v, v' unverändert bleiben. Verfeinerte Prognosetechniken können Daten über den Verlauf von Straßen wie etwa der Fahrspuren 4 bis 6 aus 1, auf denen sich das Verfahren ausführende Fahrzeug A bzw. das in Schritt S4 ausgewählte Fahrzeug B bewegen, heranziehen, um Richtungswechsel der Fahrzeuge A, B zu prognostizieren. Derartige Daten können von einer im Fahrzeug A mitgeführten, auf die vor dem Fahrzeug liegende Fahrbahn ausgerichteten Kamera geliefert werden; vorzugsweise werden sie von einem Navigationssystem bereitgestellt, das in an sich bekannter Weise den Ort des Fahrzeugs A anhand von Satellitensignalen ermittelt und diesen für eine genaue Ortsbestimmung des Fahrzeugs A mit mitgeführten Kartendaten abgleicht.
-
Es sind diese Kartendaten, die im vorliegenden Verfahren auch für die Wegprognose des Schritts S7 herangezogen werden können.
-
Anhand der prognostizierten Bewegungen wird im anschließenden Schritt S8 die Abweichung zwischen den Bewegungen der Fahrzeuge A, B während des Prognosezeitraums Δt beurteilt. Eine solche Beurteilung kann insbesondere darauf basieren, dass die zeitliche Entwicklung eines Abweichungsmaßes δ(t) während des Prognosezeitraums 0 ≤ t ≤ Δt ermittelt wird und der Zeitpunkt, an dem das Abweichungsmaß δ einen vorgegebenen Grenzwert unterschreitet, oder, nach Unterschreitung des Grenzwerts, ein zeitweiliges Minimum des Abweichungsmaßes δ als geeigneter Zeitpunkt für einen Pseudonymwechsel identifiziert wird.
-
Das Abweichungsmaß δ kann z. B. eine gewichtete Summe der vektoriellen Differenzen der Orte r, r' und Geschwindigkeiten v, v' der Fahrzeuge A, B sein: δ(t) = c1|r →(t)| – r →'(t)| + c2|v →(t) – v →'(t)|.
-
Stellt sich in Schritt S9 heraus, dass die Bewegungen der Fahrzeuge A, B zu verschieden sind, um die Rückverfolgung eines Pseudonymwechsels durch den Beobachter-Netzknoten
8 zu verhindern, weil δ(t) im Prognosezeitraum niemals unter einen vorgegebenen Grenzwert
fällt, dann kehrt das Verfahren zu Schritt S4 zurück. Nur wenn die Abweichung zwischen den Bewegungen der Fahrzeuge A, B zu irgendeinem Zeitpunkt t* des Prognosezeitraums unter dem Grenzwert
liegt, wird zu diesem Zeitpunkt t* der Pseudonymwechsel ausgeführt.
-
Wenn zeitgleich auch das Fahrzeug B das oben beschriebene Verfahren ausgeführt hat dann ist die Wahrscheinlich hoch, dass dieses in Schritt S4 das Fahrzeug A ausgewählt und anschließend zu derselben Bewegungsprognose wie das Fahrzeug A gelangt ist und den gleichen Zeitpunkt t* wie dieses als für einen Pseudonymwechsel geeignet identifiziert hat. Folglich wechseln beide Fahrzeuge gleichzeitig ihr Pseudonym, ohne sich vorher miteinander über einen geeigneten Zeitpunkt für den Wechsel verständigen zu müssen.
-
Für eine Gleichzeitigkeit des Pseudonymwechsels ist es nicht notwendig, dass beide Fahrzeuge A, B gleichzeitig zum Zeitpunkt t* eine Umschaltung vornehmen; es genügt, wenn beide Fahrzeuge ihr letztes Datenpaket unter dem alten Pseudonym vor und das erste Datenpaket mit neuem Pseudonym nach dem Zeitpunkt t* senden.
-
Wird in Schritt S4 kein weiterer Bordrechner B gefunden, sei es weil keiner existiert oder weil bereits alle erfolglos durchprobiert worden sind, dann wird in Schritt S11 überprüft, ob seit dem letzten Pseudonymwechsel eine Wartezeit T2 verstrichen ist. Ist dies nicht der Fall, das kehrt das Verfahren nach kurzer Verzögerung zu Schritt S2 (oder, je nach Ausgestaltung, direkt zu Schritt S4 zurück), und es wird erneut die Liste der Netzknoten darauf durchgeprüft, ob darunter ein Bordrechner B ist, dessen Bewegung derjenigen des Fahrzeugs A ähnlich genug ist.
-
Ist auch diese Wartezeit T2 ergebnislos verstrichen, dann wird in Schritt S12 ein bedingungsloser Pseudonymwechsel durchgeführt.
-
Einer Weiterbildung des Verfahrens zufolge wird, wenn in S8 eine Unterschreitung des Grenzwerts
festgestellt wurde, der Zeitpunkt berechnet, an dem δ(t) ein Minimum
durchläuft, und der Pseudonymwechsel wird zu diesem Zeitpunkt vollzogen. Dieser Zeitpunkt ist der für einen vom Beobachter-Netzknoten nicht nachvollziehbaren Pseudonymwechsel best geeignete.
-
Die Tatsache, dass
noch deutlich kleiner als
sein kann, kann noch einer Weiterbildung des Verfahrens zufolge ausgenutzt werden, um die mit einem Pseudonymwechsel verbundene Kommunikationsunterbrechung zu minimieren: Je länger die Zeitspanne zwischen dem letzen mit alter Pseudonym gesendetem Datenblock und dem ersten mit neuem Pseudonym gesendeten Datenblock ist, um so weiter kann sich das Fahrzeug A in dieser Zeitspanne bewegt haben und um so stärker kann sich seine Fahrtrichtung und Geschwindigkeit geändert haben. Daher kann eine Verfolgung des Pseudonymwechsels durch den Beobachter-Netzknoten
8 trotz einer deutlichen Abweichung zwischen den Bewegungen der Fahrzeuge A, B erheblich erschwert werden, wenn nur beide die Kommunikation lang genug unterbrechen. Sind jedoch die Bewegungen einander so ähnlich, dass eine lange Unterbrechung keinen wesentlichen Zugewinn an Sicherheit mehr bringt, dann kann die Kommunikation bereits nach einer kurzen Unterbrechung wieder aufgenommen werden. Die Dauer der Kommunikationsunterbrechung kann demnach vorteilhaft als – diskrete oder kontinuierliche – Funktion der Abweichung zum Zeitpunkt des Pseudonymwechsels
oder
gewählt werden.
-
Um sicherzustellen, dass die Bewegung des Fahrzeugs A nicht verfolgt werden kann, ist es nicht notwendig, dass der Beobachter-Netzknoten keinerlei Anhaltspunkte bekommt, anhand derer er mutmaßen könnte, welches neue zu welchem alten Pseudonym gehört. Es genügt, wenn eine solche Mutmaßung ein ausreichendes Maß an Unsicherheit aufweist. Selbst wenn der Beobachter-Netzknoten mit 80%iger Sicherheit alte und neue Pseudonyme einander richtig zuordnen könnte, genügen vier Pseudonymwechsel, um eine Fehlerquote von 75% bei der Verfolgung des Weges des Fahrzeugs A zu gewährleisten.
-
Ist der Verkehr hinreichend dicht, dann ist die Wahrscheinlichkeit hoch, dass bei Anwendung des oben beschriebenen Verfahrens drei oder mehr Fahrzeuge gleichzeitig ihr Pseudonym wechseln; in einem solchen Fall ist die Zuordnung alter zu neuen Pseudonymen noch um ein Vielfaches fehlerträchtiger.
-
Bezugszeichenliste
-
- A
- Fahrzeug
- A1, A2, A3
- Positionen des Fahrzeugs A
- B
- Fahrzeug
- B1, B2, B3
- Positionen des Fahrzeugs B
- 4
- Auffahrspur
- 5
- Fahrspur
- 6
- Fahrspur
- 7
- Netzknoten
- 8
- Netzknoten