用于去除在机动车中的用户特定的且/或行驶特定的用户数据的方法以及相关的机动车

技术领域

本发明涉及一种用于去除用户特定的且/或行驶特定的用户数据的方法，所述用户数据在机动车中分开地、即分散地存储到多个控制器上。本发明同样包括一种可执行根据本发明的方法的机动车。

背景技术

在机动车中人们可对此感兴趣，即使得数据在控制器中的存储对于用户而言可受控制。在欧洲DSGVO(数据保护基本条例)的范畴中，例如可为有兴趣的是，对于用户而言能够实现，删除涉及用户的在机动车中被存储在一个或多个控制器中的用户特定的数据。同样地，行驶相关的数据、例如关于不同路段的摩擦系数的数据可允许推断出用户可能的停留地点，因此用户同样可对这样的数据的删除感兴趣。

迄今为止，数据的重置仅在各个媒体或辅助相关的设备、例如信息娱乐资讯系统(信息-娱乐系统)中或在智能手机中已知，以便于在那里例如删除接收的电话和/或拨打的电话的电话号码。与之相反为了在机动车中删除所有人员相关的且/或行驶相关的用户数据，车间检修(Werkstattaufenthalt)是必要的，以便于在每个在机动车的运行期间获取和存储数据的控制器中借助于重新初始化清除这些数据。

然而作为替代，人们想要给予驾驶员自身或通常地给予机动车的用户或持有者如下可能性，即，在没有车间检修的情形下将其机动车的所有控制器例如重置到出厂设置，从而因此当例如机动车被转交给任意其它人，以为了例如借出或出售该机动车时，使得机动车的用户保持对其用户数据和/或行驶数据的完全控制。

由US 2015/0277942 A1已知一种远程信息处理系统，在其中用户可重置其用户设置。

由US 2015/0288636 A1描述了在如下方面下相同的系统，即，多个机动车的远程信息处理系统可同时被供应以远程控制指令。

在US 2015/0281374 A1中描述了，如果机动车的点火装置被关闭，在上述远程信息处理系统中同样可重置用户设置。为此使用唤醒信号。

由现有技术已知的解决方案相应地涉及单个控制器(即远程信息处理系统)，在其中用户数据被集中管理。

发明内容

本发明基于如下目的，即，在机动车中使用户获得对分开地存储到多个控制器上的用户数据的控制。

该目的通过独立专利权利要求的对象来实现。本发明的有利的实施形式通过从属专利权利要求、下面的说明以及附图来描述。

在该方法的情形中，在机动车中提供一种触发装置，其检查是否触发条件被满足。如果触发条件被满足，通过触发装置经由机动车的数据总线将经预先确定的共同的删除指令发出到机动车的多个控制器处。换而言之如下被确保，即，用户数据被分布到其上的多个控制器均对相同的删除指令起反应，因此该删除指令被称作“共同的删除指令”。因此，通过将作为所谓的广播指令(Broadcastbefehl)的删除指令经由数据总线发送到控制器处可实现如下，即，所有这些控制器可利用仅一个唯一的删除指令来操控。控制器中的每个在其从数据总线中接收到删除指令的情况中执行经预先确定的删除程序，通过该删除程序覆盖且/或删除被存储在相应的控制器中的用户数据。本发明的另一方面于是设置成，在控制器中的每个中提供删除程序。通过使每个控制器对来自数据总线的删除指令起反应且在每个控制器中提供删除程序，于是在机动车中仅须负责：上述触发条件被满足且因此然后在机动车中在控制器的每个中通过用户数据的覆盖和/或删除来删除关于用户的信息。在本发明的意义中，用户数据可例如是：至少一个电话号码和/或至少一个旅行目的地和/或座椅位置和/或后视镜和/或外后视镜的镜子设定和/或在至少一个驾驶员辅助系统中的行驶进程信息。优选地设置成，借助于该方法所有在机动车的运行期间存储数据(尤其用户特定的且/或行驶特定的用户数据)的控制器借助于删除指令来操控且准备好相应的删除程序。

通过本发明得出如下优点，即，通过触发条件的设定或达成在机动车中在用户数据在机动车中形成且/或存储的各处这些用户数据被去除。通过用户数据的上述覆盖可确保如下，即，用户数据的存在被掩盖或隐藏。通过删除用户数据可至少确保如下，即，这些用户数据不再可恢复。

本发明同样包括通过其得出额外的优点的实施形式。

在一种实施形式中，通过在控制器中的一个或一些或每个中的删除程序相应地恢复出厂状态。换而言之，在相应的在其中存储有用户数据的数据存储器中相应地恢复数据状态或数据内容，如其在交付时或在工厂交货后在相应的控制器中存在的那样。由此得出如下优点，即，机动车处在交付状态中且因此同样不能够间接推断相应的控制器的相应设备状态。相应的控制器仅包含其直接在生产商中的制造和初始化之后包含的信息。

在一种实施形式中，上述触发装置包括对于用户而言可接近的或保持可接近的操作装置以及通过该触发装置被探测或检验的触发条件在此包括，经由操作装置接收用户的经预先确定的操作动作。换而言之，用户须在操作装置处实施经预先确定的操作动作，由此于是触发条件被满足，这也就是说删除指令通过触发装置被发出到数据总线中。因此，用户可随时通过执行操作动作确保如下，即，在机动车中的用户数据被删除。

多种实施形式涉及上述操作装置的设计方案。在一种实施形式中，操作装置包括机械开关(例如按键)或图形用户界面的操作元件(即例如操作菜单的菜单输入或按键面或操作面)。图形用户接口、也就是说GUI(Graphical User Interface,即图形用户界面)可例如在机动车的触摸屏上被显示或产生。一种实施形式包括方向盘的转向柱开关作为操作装置。这样的转向柱开关可通过多功能显示器(也就是组合仪表)被监视或被查询，以便于经由转向柱开关识别出经预先确定的操作动作、例如用户利用转向柱开关执行的经预先确定的运动顺序。一种实施形式设置成，操作装置包括这样的操作元件，该操作元件占有不同于删除指令的触发的至少一个操作功能，即用于或可被操纵成实施或触发至少一个另外的操作功能，且上述经预先确定的操作动作包括操作步骤的经预先确定的顺序，通过其保持所述至少一个操作功能未触发。换而言之，于是操作元件可被提供用于触发在机动车中的至少一个操作功能。然而如果在该操作元件处执行操作步骤的经预先确定的顺序，例如三次按压和/或对于经预先确定的最小持续时间保持按压一次，则由此所述至少一个操作功能不被触发或操控，而是如果触发条件被满足，由此于是删除指令被触发或产生。由此同一操作元件不仅可被用于所述至少一个操作功能而且可被用于触发删除指令。在一种实施形式中，操作装置包括用于由互联网入口操作机动车的互联网门户。换而言之，用户于是可经由互联网门户从机动车外部触发删除指令。由互联网门户出发，例如互联网服务器可经由互联网连接然后触发在机动车中的删除指令。机动车为此可经由无线电连接和/或WLAN连接(WLAN-无线局域网)与互联网耦联。互联网门户的使用具有如下特别的优点，即，当用户不再可到达机动车(因为用户例如已出售或另外地给出了车辆)时，删除指令同样还可事后在机动车中被触发。

在一种实施形式中，触发标准包括如下，即，机动车的经预先确定的使用期限结束且/或发生机动车的使用权的通过车辆安全装置用信号通知的到期。使用期限可例如以如下方式存储在触发装置中，即，例如使用期限数据被存储。如果机动车例如作为租赁车辆被出租，则租赁期限可作为使用期限被预先给定。车辆安全装置可例如以如下形式被提供，即，车辆钥匙、尤其数字式车辆钥匙的授权数据被检验其有效性。如果车辆钥匙无效，因为例如车辆钥匙仅对于预先确定的使用期限被开启且/或接收到对于使用钥匙而言的禁用指令，则车辆安全装置在车辆钥匙的进一步使用的情形中发送用信号通知：对于机动车而言的使用授权到期且相应地应删除所有用户数据。车辆安全装置可例如通过机动车的锁闭系统来提供。

在一种实施形式中，用户数据关联有从多个经预先确定的安全等级中的各一个。同样地，触发条件被分级地设计，这也就是说触发条件定义了多个不同的删除等级，其相应地指明对于哪个安全等级应执行删除程序。每个删除等级于是指明对于哪个安全等级应执行删除程序。通过在控制器中的删除程序，于是通过删除等级所选择的用户数据中的所有用户数据，即相关联的安全等级和任意更低安全等级的用户数据被删除。换而言之，对于触发条件被满足的情况而言，通过触发装置同样确定对于哪个删除等级而言触发条件被满足。其可例如给定对于离开机动车而言的删除等级，从而使得当用户仅临时离开机动车(例如在到达工作地点之后或在到达住所之后)时，该删除等级的用户数据已经被删除。更高的删除等级可设置成，用户数据被删除，因为触发条件指明用户离开机动车且/或借出给另一人员达预先确定的较长的时间段(例如达一天或一周)。进一步更高的删除等级可指明，用户长期交出机动车且因此应删除所有用户数据。因此，在不同安全等级或紧迫性等级之间可针对用户数据的删除区分。

在一种实施形式中，删除指令被多次地发出。由此可确保如下，即，例如由于控制器的重启和/或延迟的接收准备未接收或未处理最初的删除指令的控制器仍然可靠地获得删除指令。

在一种实施形式中，如果删除指令被接收到且/或删除程序被执行，通过控制器中的每个将确认消息发出到数据总线中。触发装置或经预先确定的计算单元借助经由数据总线所接收的确认消息和控制器的列表检查是否控制器中的每个已发出其确认消息。在控制器中的至少一个的确认消息缺少的情形中，提示信号被发出给用户。因此，如果不是所有控制器确认删除指令和/或删除程序的执行，以有利的方式用户获得警告。因此，用户被告知如下，即，用户数据保留在机动车中。已在删除指令的接收的情形中产生确认消息具有如下优点，即，以较小的时间延迟可判定是否所有删除设备已接收到删除指令。确认消息在执行删除程序之后才触发具有如下优点，即，利用确认消息确认用户数据的成功消除。可被提供用于检查确认消息的计算单元可例如通过机动车的信息娱乐资讯系统构成。该计算单元可操控屏幕，以便于给用户显示用于告知用户的提示消息。

在一种实施形式中，数据总线的至少一个网关给删除指令规定路线(routet)到多个不同的总线支路中。由此得出如下优点，即，在不同总线技术上例如对于CAN(ControllerArea Network,即控制器局域网) 和以太网(Ethernet)和LIN(Local InterconnectNetwork,即局域互连网络)而言同样可将相同的删除指令传输到控制器处。

根据一个方面，本发明同样包括带有多个控制器的机动车，所述控制器相应地被设立用于在机动车的运行期间产生和存储人员相关的且/或行驶相关的用户数据。在此，控制器经由有线连接的数据总线与触发装置耦联。数据总线可基于一种或多种总线技术，其可包括如下总线技术中的至少一种：CAN, Ethernet, LIN, MOST (Media OrientedSystems Transport,即媒体导向系统传输)。触发装置可例如基于一个控制器或一个电子电路或多个控制器和/或电子电路的联合来实现。触发装置可为了所描述的触发条件的检查例如设置有处理器，其与数据存储器耦联，在数据存储器中存储有可计算机读取的命令，其在实施时通过处理器检查触发条件且引起删除指令的产生。总而言之，在机动车中控制器(带有其删除程序)和触发装置被设立用于执行根据本发明的方法的一种实施形式。控制器可例如基于带有与其耦联的数据存储器的处理器实现删除程序，其中，在数据存储器中可存储可计算机读取的命令，其在实施时通过控制器的处理器执行删除程序，即例如以经预先确定的其它数据覆盖用户数据且/或删除用户数据，尤其恢复出厂设置。此外，在控制器中其接收过滤器(所述接收过滤器将总线消息从数据总线中过滤出)可被如此地扩展或匹配，即，接收过滤器从数据总线中接收删除指令且传送到控制器的处理器处。

附图说明

根据本发明的机动车优选设计成汽车、尤其轿车或货车或摩托车。下面描述了本发明的实施例。对此：

图1显示了根据本发明的机动车的一种实施形式的示意性图示；且

图2显示了用于图解说明根据本发明的方法的一种实施形式的流程图。

具体实施方式

下面所说明的实施例是本发明的一种优选的实施形式。在该实施例的情形中，实施形式的所描述的部分相应地是本发明的各个应彼此独立考虑的特征，本发明相应同样彼此独立地改进所述特征且进而同样单独地或以不同于所显示的组合应被看作本发明的组成部分。此外所描述的实施形式同样可通过本发明的另外的已经描述的特征来补充。

在附图中，功能相同的元件相应地设有相同的附图标记。

图1显示了机动车10，其可为汽车、尤其轿车或货车或客车或摩托车。在机动车10中可提供数据总线11，多个控制器12经由其可与触发装置13耦联。数据总线11可包括多种不同的数据总线技术(例如CAN, Ethernet, LIN和/或MOST)，其可经由网关14耦联。省略号在图1中符号表示如下，即，数据总线11可包括多于所显示的控制器或同样可包括少于所显示的控制器。

在控制器12中，例如通过控制器12自身在机动车10的运行期间可产生和存储用户数据15。例如，控制器12可以是媒体播放设备，其可存储播放列表和/或用户的期望列表。控制器12可以是驾驶员辅助系统，其对于借助于机动车10定期地或重复地经过的行驶路径将行驶进程数据存储为用户数据15。控制器12可设置用于电话应用且作为用户数据15例如存储电话号码和/或数字地址簿。这仅是对于可产生和存储用户数据15的可能的控制器12而言的例子。用户数据15可以是个人相关的且/或行驶相关的。

在机动车10的情形中对于用户而言能够实现，在没有车间检修的情形下自主地确保用户数据15被删除。其可在没有车间检修的情形下自行触发或执行这。为此设置有触发装置13，其可监视触发条件16。如果触发条件16被满足，则触发装置13可将删除指令17经由数据总线11发出到所有控制器12处。如果经由数据总线11接收到删除指令17，则在控制器12中可相应地提供删除程序18，其由相应的控制器12来实施。通过删除程序18，在其在控制器12中实施的情形中引起用户数据15的删除和/或覆盖。因此，通过各个触发条件16的满足可确保如下，即，在整个机动车10中所有被存储的用户数据15在控制器12中被删除。删除程序18可例如为此设置成，相应的控制器12被重置到出厂状态或交付状态。

图2为此图解说明了一种可能的方法，它如何在机动车10中可通过控制器12和触发装置13被执行。在步骤S10中，触发装置可检查是否触发条件16被满足。如果触发条件16被满足，在步骤S11中可经由机动车10的数据总线11发出删除指令17，其适用于所有控制器12。控制器12中的每个在步骤S12中在其从数据总线11中接收到删除指令17的情况中执行经预先确定的删除程序18，通过其删除且/或覆盖在相应的控制器12中所存储的用户数据15。

因此，基础方案设置成，中央的删除指令被生成，该中央的删除指令可由为触发装置的控制器发送到所有车辆网络上。因此，在没有详细地知道所存储的人员相关的用户数据的情形下可分散地在每个控制器(存储位置)中删除这些用户数据。

其涉及针对人员相关的数据的删除指令。因此可设置成，用于数据总线(例如网关)的诊断接口在经事先确定的操作动作之后或基于经预先确定的触发事件将用于所有人员相关的用户数据的中央的删除指令17发出到所有控制器处。

相应的删除指令17优选是已存在的循环报文的组成部分(例如10个主动设置位)，其被发送到所有车辆网络(CAN, FlexRay(车载网络), Ethernet)上，这在图1中通过数据总线11来代表。信号的位置可从相应的数据定义中来得知。

人员相关的用户数据15被存储在其中的控制器12在删除指令17的接收之后自主地删除，而不发送确认，报文的接收然而优选借助于确认消息19来确认。

当前所设定的配置不通过根据一种实施形式的删除指令的接收被改变。这也就是说仅用户数据被改变，而配置数据或设定数据不被改变。

删除指令17的生成可如下面那样地设置。用于人员相关的用户数据的删除指令17优选仅在“接通端子15”(点火接通)的情形中被接收。删除指令17优选在“端子15”的接通之后最早在30秒之后被发送，从而接收器激活。为了激活删除指令，按照车辆变型方案下面的变型方案可供使用:

a)明确的操作动作：

特殊地为此所定义的操作动作(不同按键的同时按压或单独按键)被解释为用于人员相关的数据的中央的删除指令且由网关被发出到所有网络上。

b)菜单输入：

在MIB/HMI中重新待定义的菜单输入包含用于删除人员相关数据的选择菜单，用户可经由复选框(Checkbox)激活该选择菜单。在该复选框选择之后，删除指令被发送。

c)自动删除：

在结束使用期限(例如授权的租赁车辆使用)之后，人员相关的数据被自动删除。为此，网关由行驶授权装置或者访问授权装置告知使用期限的结束。

d)诊断指令：

在诊断中所定义的且经由诊断指令告知控制器的“RESET状态”引起删除人员相关的数据。在带有车载测试器功能的车辆中，该指令同样由车载测试器来发送。

对于总线消息的一种可能的信号分配(Signalzuordnung)可如下面那样呈现(报文配置的实现建议)：

报文：Systeminfo_01

识别符[十六进制]：0x585

识别符[十进制]：1413

协议：Classical/FD

报文长度：8

正常循环时间[ms]: 1000

快速循环时间[ms]: [空]

抑制时间[ms]: 10

起始延迟[ms]: 0

报文类型：应用

GenMsgSendType: cyclic (循环)

GenMsgNrOfRepetition: [空]

信号: Sl_xxx

起始字节: 4

起始位: 7

首先，该解决方案以数据网络在车辆中的存在为前提条件，其例如通过CAN、Ethernet或LIN实现。删除指令是在整个总线系统上被发送且被所有控制器接收的总线消息或数据，引起所有控制器到交付状态中的重置，也就是说所有在交付给顾客之后所存储的数据例如电话号码、旅行目的地、座椅位置(记忆座椅)。镜子设置(记忆功能)被重置到交付状态中。在信息娱乐资讯系统中到出厂设置的现今的重置仅在信息娱乐资讯控制器的中央计算机中起作用。中央的删除指令借助于车间测试员的触发与车间访问相联系。然而利用唯一的在车辆中的操作动作应确保车辆的所有控制器被重置到出厂状态中。为此，中央计算机可被如此地扩展，即使得其将指令发送在数据总线上，一旦菜单项目(Menüpunkt)被调用，该数据总线在所有控制器中引起重置。另一可行性方案在于，人们将这样的指令收入到多功能显示器(车载计算机)中且借助于为此设置的操作元件例如转向柱开关或方向盘开关通过多功能显示器的菜单来滚动且在该处选择该指令。这然后引起删除指令17通过车载计算机在所有总线系统上的发送且引起所有控制器的相应的重置。另一实施方案是特别为此创造的操作位置(例如按键)，其位置由网络连接的控制器被读取且其同样引起重置指令的发送。

如下元素可能对此是必要的：

1. 在总线系统上的重置指令的定义。

2. 所有控制器的接收过滤器须接收该指令且借助于合适的SW程序删除必要的数据。

3. 如有可能存在的网关控制器须给该指令规定路线(durchrouten)到所有总线系统上。

4. 操作位置的嵌入。

删除指令例如通过驾驶员的触发为此无须选出各个控制器。中央的操作触发在所有控制器中的所有个人数据的删除(重置到出厂状态中)。

定义的操作动作或在中央的显示器中或在信息娱乐资讯系统中的菜单项目触发删除指令。在使用结束之后的自动删除同样是可能的。

删除过程可由车辆用户自行确定地来触发。

总的来说，该例子示出了如何通过本发明可提供所有带有人员相关内容的数据存储器到出厂设置的全局的(车辆范围的)重置。

附图标记列表

10 机动车

11 数据总线

12 控制器

13 触发装置

14 网关

15 用户数据

16 触发条件

17 删除指令

18 删除程序

19 确认消息。