Verfahren und Einrichtung zur Fehlererkennung in einem Mautsystem

Beschreibung

[0001] Die Erfindung betrifft Verfahren und eine Einrichtung zur Fehlererkennung in einem Mautsystem gemäß den Oberbegriffen der unabhängigen Ansprüche.

[0002] Ein solches erfindungsgemäßes Mautsystem umfasst wenigstens eine zentrale Datenverarbeitungseinrichtung und wenigstens eine Vielzahl von dezentralen Datenverarbeitungseinrichtungen, von denen jede (i) von einem mautpflichtigen Fahrzeug mitgeführt wird, dem sie zugeordnet ist, sowie (ii) ausgebildet ist, Befahrungsdaten zu erfassen, die repräsentativ sind für die Befahrung von mautpflichtigen Streckenabschnitten eines Netzes von mautpflichtigen Streckenabschnitten durch das mautpflichtige Fahrzeug und (iii) eine dezentrale Funk-Kommunikationseinrichtung zumindest zur Versendung von Daten an die zentrale Datenverarbeitungseinrichtung aufweist oder zumindest zeitweise kommunikationstechnisch an eine solche gekoppelt ist, wobei wenigstens eine der Datenverarbeitungseinrichtungen ausgebildet ist, mittels eines Streckenabschnittserkennungsprogramms zur Verarbeitung der Befahrungsdaten die Befahrung der jeweiligen Streckenabschnitte a_i durch das jeweilige Fahrzeug zu erkennen und den jeweiligen Streckenabschnitten a_i entsprechende Streckenabschnittskennungen s_i in der zeitlichen Reihenfolge und/ oder jeweils verknüpft mit einem Zeitwert ihrer Befahrung durch das jeweilige Fahrzeug zu registrieren.

[0003] Beispielsweise ist die dezentrale Datenverarbeitungseinrichtung als stationär in das Fahrzeug eingebautes Fahrzeuggerät ausgebildet oder als lösbar im Fahrzeug befestigbares Mautgerät oder aber als Mobilfunkgerät mit den im Oberbegriff genannten Funktionen.

[0004] Beispiel für ein Fahrzeuggerät ist die sogenannte On-Board-Unit (OBU) der Toll Collect GmbH, mit der seit dem Jahr 2005 das Befahren von mautpflichtigen Streckenabschnitten im deutschen Autobahnnetz durch das jeweilige Fahrzeug, in dem die OBU installiert ist, erkannt wird.

[0005] Die Zuordnung der dezentralen Datenverarbeitungseinrichtung zum Fahrzeug ist datentechnisch in dem Sinne zu verstehen, dass im Mautsystem ein Datensatz vorliegt, der eine Gerätekennung der dezentralen Datenverarbeitungseinrichtung (z. B. eine OBU-ID oder eine Mobilfunknummer) umfasst und eine Fahrzeugkennung (z. B. das Fahrzeugkennzeichen) umfasst, wobei bei die Gerätekennung und die Fahrzeugkennung durch den Datensatz, in dem sie vorliegen, in eindeutiger Weise miteinander verknüpft sind. Ein solcher Initialisierungs-Datensatz kann in einem Datenspeicher der dezentralen Datenverarbeitungseinrichtung und/ oder in einem Datenspeicher der zentralen Datenverarbeitungseinrichtung gespeichert sein.

[0006] Typischerweise handelt es sich bei den Befahrungsdaten um Positionsdaten des Fahrzeugs, die durch eine von der dezentralen Datenverarbeitungseinrichtung umfasste oder an diese zumindest zeitweise kommunikationstechnisch gekoppelte und ebenfalls von dem Fahrzeug mitgeführte GNSS-Empfangseinrichtung in Folge des Empfangs und der Verarbeitung von GNSS-Daten aus GNSS-Signalen von Satelliten eines GNSS (Global Navigation Satellite System), zum Beispiel GPS, bereitgestellt werden. Ergänzt um Einrichtungen zur Koppelortung können Positionsdaten des Fahrzeugs auch bei zeitweise ausbleibendem GNSS-Signal-Empfang erhalten werden.

[0007] Das erfindungsgemäße Streckenabschnittserkennungsprogramm kann ausgebildet sein, die Übereinstimmung der Positionsdaten mit den geographischen Koordinaten von Geo-Objekten zu untersuchen, die jeweils einen bestimmten Streckenabschnitt repräsentieren und in diesem Sinne jeweils mit einer bestimmten Streckenabschnittskennung verknüpft sind. Die zutreffende Übereinstimmung der Positionsdaten des Fahrzeugs mit einem solchen Geo-Objekt interpretiert das Streckenabschnittserkennungsprogramm als Befahrung des betreffenden Streckenabschnitts und löst eine Registrierung der betreffenden Streckenabschnittskennung aus. Diese Registrierung kann beispielsweise durch Speicherung der betreffenden Streckenabschnittskennung in einem dedizierten Speicherbereich eines dezentralen Datenspeichers der dezentralen Datenverarbeitungseinrichtung und/ oder eines zentralen Datenspeichers der zentralen Datenverarbeitungseinrichtung - zugeordnet zur Gerätekennung und/ oder Fahrzeugkennung des Fahrzeugs, in dem die Befahrungsdaten erfasst wurden, die der Erkennung des betreffenden Streckenabschnitts zugrunde lagen - erfolgen.

[0008] Alternativ oder optional kann es sich bei den Befahrungsdaten um Daten handeln, die von einer straßenseitigen Einrichtung (RSE, Road-Side Equipment) mittels kurzreichweitiger DSRC (Dedicated Short-Range Communication) an die dezentrale Datenverarbeitungseinrichtung übertragen werden, welche dazu eine DSRC-Kommunikationseinrichtung umfasst oder an eine solche kommunikationstechnisch gekoppelt ist.

[0009] Das Streckenabschnittserkennungsprogramm ist in diesem Fall dazu ausgebildet, die RSE-Daten als Streckenabschnittskennungen zu interpretieren.

[0010] Das Streckenabschnittserkennungsprogramm kann durch einen dezentralen Prozessor der dezentralen Datenverarbeitungseinrichtung ausgeführt werden und/ oder durch einen zentralen Prozessor der zentralen Datenverarbeitungseinrichtung.
Im ersten Fall (dezentrale Erkennung) kann das Streckenabschnittserkennungsprogramm auf einem Fahrzeuggerät implementiert sein oder als sogenannte APP auf einem Mobiltelefon.
Im zweiten Fall (zentrale Erkennung) werden zur Erkennung die Befahrungsdaten mittels der dezentralen Funk-Kommunikationseinrichtung, insbesondere einer langreichweitigen Mobilfunk-Kommunikationseinrichtung (beispielsweise ein GSM-/ GPRS-/ UMTS- oder LTE-Modem eines Mobilfunkgerätes) an die zentrale Datenverarbeitungseinrichtung übertragen.

[0011] Die Erkennung befahrener Streckenabschnitte zieht verfahrenstechnisch die Erhebung einer dem Fahrzeug, dem Fahrzeuggerät und/ oder dem Nutzer/ Halter/ Eigentümer des Fahrzeugs zugeordneten Mautgebühr für die Nutzung des betreffenden Streckenabschnittes nach sich. Diese Erhebung kann dezentral durch Reduzierung eines in der dezentralen Datenverarbeitungseinrichtung gespeicherten pre-paid-Guthabens erfolgen oder durch die zentralseitig mittels der zentralen Datenverarbeitungseinrichtung ausgelöste Abbuchung von einem Konto des Nutzers/ Halters/ Eigentümers des Fahrzeugs (post-paid-Bezahlung).

[0012] Im Zuge der konsekutiven Befahrung von mehreren mautpflichtigen Streckenabschnitten des mautpflichtigen Straßennetzes kommt es zu einer konsekutiven Registrierung der entsprechenden Streckenabschnittskennungen.

[0013] Bei den gattungsgemäßen Mautsystemen besteht nun das Problem, zu erkennen, ob eine Sequenz von zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen eine Streckenabschnittslücke aufweist in dem Sinne, dass der Sequenz eine Streckenabschnittskennung oder eine Reihe von mehreren verschiedenen Streckenabschnittskennungen fehlt, die bei einer korrekten Funktion des Mautsystems hätte registriert werden müssen.

[0014] Im Falle der korrekten Funktion des Mautsystems entspräche eine solche lückenbehaftete Sequenz von Streckenabschnittskennungen dem Verlassen des Netzes von mautpflichtigen Streckenabschnitten durch das Fahrzeug nach dem Befahren eines Vorläufer-Streckenabschnittes der besagten Streckenabschnittslücke und dem Wiedereintreten in das Netz von mautpflichtigen Streckenabschnitten durch das Fahrzeug mit dem Befahren eines Nachfolger-Streckenabschnittes der besagten Streckenabschnittslücke, wobei im Netz von mautpflichtigen Streckenabschnitten der Nachfolger-Streckenabschnitt nicht unmittelbar an den Vorläufer-Streckenabschnitt anschließt, sondern von ihm durch eben den Streckenabschnitt oder eben die Reihe von Streckenabschnitten beabstandet ist, deren Kennungen die besagte Streckenabschnittslücke bilden. Eine solche Fahrt erfolgt dann tatsächlich im mautfreien Straßennetz und sollte hinsichtlich der gefahrenen Route im Interesse der Datenschutzbedürfnisse des Nutzers nicht überwacht werden.

[0015] Im Gegensatz dazu kann die besagte lückenbehaftete Sequenz auch das Resultat eines Fehlers im Mautsystem sein. Dieser Fehler kann darin begründet sein, dass (i) der oder von der dezentralen Datenverarbeitungseinrichtung keine repräsentativen - weil nicht vorhanden oder fehlerhaft - Befahrungsdaten vorliegen (im Folgenden als Erfassungsfehler bezeichnet), oder (ii) das Streckenabschnittserkennungsprogramm nicht in der Lage ist aufgrund der vorliegenden - möglicherweise ungenauen, jedoch korrekten - Befahrungsdaten die Befahrung eines Streckenabschnittes zu erkennen (im Folgenden als Erkennungsfehler bezeichnet). Dies lässt sich jedoch nicht ohne weiteres ermitteln, weil der Nutzer von einem korrekten Funktionieren des Mautsystems ausgehen darf und in der Regel nicht möchte , dass seine Route außerhalb des mautpflichtigen Streckennetzes nachverfolgt wird.

[0016] Eine Aufgabe der Erfindung ist es daher, Verfahren und Einrichtungen bereitzustellen, mit denen zuverlässig zwischen einer echten (fehlerlosen) Lückensequenz durch Fahrt außerhalb des mautpflichtigen Straßennetzes und einer unechten (fehlerhaften) Lückensequenz bei Fahrt innerhalb des mautpflichtigen Straßennetzes unterschieden werden kann, ohne dass eine absolute Position des Fahrzeugs außerhalb des mautpflichtigen Streckennetzes zur Unterscheidung erfasst oder herangezogen werden müsste.

[0017] Dazu sind für das erfindungsgemäße Verfahren die Verfahrensschritte des Oberbegriffs vorgesehen, mit denen (a) durch zumindest eine der Datenverarbeitungseinrichtungen wenigstens eine zu untersuchende Lückensequenz, die von wenigstens einer Sequenz von jeweils mehreren, einem bestimmten Fahrzeug zugeordneten, zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen umfasst ist, bereitgestellt wird, wobei die zu untersuchende Lückensequenz dadurch gekennzeichnet ist, dass sie wenigstens eine ausgewählte Streckenabschnittskennung oder wenigstens eine ausgewählte Reihe von mehreren verschiedenen Streckenabschnittskennungen an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten nicht enthält und eine Vorläufer-Streckenabschnittskennung enthält, die dem Vorläufer-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem ersten Streckenabschnitt der ausgewählten Reihe unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung enthält, die dem Nachfolger-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem letzten Streckenabschnitt der ausgewählten Reihe unmittelbar nachfolgt; (b) für die zu untersuchende Lückensequenz im Zuge wenigstens einer ersten Plausibilitätsprüfung durch zumindest eine der Datenverarbeitungseinrichtungen geprüft wird, ob wenigstens ein erster Fahrzeugbewegungsparameterwert, der aus wenigstens einem ersten Messwert der Fahrzeugbewegung, welcher im Zusammenhang mit den Befahrungsdaten von der dezentralen Datenverarbeitungseinrichtung erfasst wurde, gebildet oder abgeleitet ist und dem Vorläufer-Nachfolger-Paar an Vorläufer- und Nachfolger-Streckenabschnittskennungen von erkanntem Vorläufer-Streckenabschnitt und erkanntem Nachfolger-Streckenabschnitt zugeordnet wurde, wenigstens einer ersten Regel bezüglich wenigstens eines ersten Referenzparameterwertes für das Vorläufer-Nachfolger-Paar, der zumindest zeitweise in wenigstens einem zentralen Datenspeicher der zentralen Datenverarbeitungseinrichtung gespeichert ist oder war, genügt; wobei (c) wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung ein Fehler-Signal erzeugt wird, das auf einen möglichen Fehler hinweist; und (d) wenn die erste Plausibilitätsprüfung ein negatives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung kein Signal erzeugt wird oder ein Nicht-Fehler-Signal erzeugt wird, das auf keinen Fehler hinweist. Wann immer davon die Rede ist, dass ein Parameter größer oder kleiner als ein Referenzparameter ist, ist damit - sofern nicht explizit auf eine anders lautende Interpretation hingewiesen wird - gemeint, dass der Wert oder Betrag dieses Parameters größer beziehungsweise kleiner als der Wert oder Betrag des besagten Referenzparameters ist.

[0018] Durch den Vergleich des mit der zu untersuchenden Lückensequenz verknüpften, dezentral generierten Fahrzeugbewegungsparameterwertes mit dem bezüglich der zu untersuchenden Lückensequenz zentral hinterlegten Referenzparameterwert wird es vorteilhaft möglich, zwischen einer echten, realen und fehlerfreien Lückensequenz und einer unechten, weil fehlerhaft nur scheinbaren, Lückensequenz zu unterscheiden, indem das Fehler-Signal auf eine mögliche, unechte Lückensequenz hinweist und das ausbleibende Fehler-Signal oder das Nicht-Fehler-Signal auf eine echte Lückensequenz.

[0019] Aus der Offenlegungsschrift EP 1 659 550 A2 ist bekannt, Lückensequenzen auf Erfassungsfehler zu untersuchen, indem der Fahrzeugbewegungsparameter der Zeitdifferenz, der aus einem ersten Messwert des Zeitpunktes der Ausfahrt vom Vorläufer-Streckenabschnitt und einem zweiten Messwert des Zeitpunktes der Einfahrt auf den Nachläufer-Streckenabschnitt gewonnen wird, mit dem Referenzparameter der üblichen Fahrtdauer auf den in der Lückensequenz fehlenden Streckenabschnitten verglichen wird.

[0020] Nach der Erkennung der unechten, fehlerhaften Lückensequenz, stellt sich jedoch die Frage nach dem Fehlertyp des Fehlers, der in der Offenlegungsschrift EP 1 659 550 A2 allgemein als Erfassungsfehler bezeichnet wird. Denn für die Fehlerbehebung ist es unabdingbar, die Fehlerursache - und damit den Fehlertyp - zu bestimmen, der die unechte Fehlersequenz verursacht hat.

[0021] Es ist Aufgabe der Erfindung - sowohl des erfindungsgemäßem Verfahrens als auch der erfindungsgemäßen Einrichtungen -, das Auftreten einer unechten Lückensequenz einem bestimmten Fehlertyp zuzuordnen.
Dazu sind zunächst als Fehlertyp Softwarefehler von Hardwarefehlern zu unterscheiden.

[0022] Softwarefehler bestehen darin, dass das aktuelle Straßennetz nicht korrekt in Daten übersetzt wurde, die (a) zur Erkennung der Befahrung eines in der Lückensequenz fehlenden Streckenabschnitts dienen oder (b) zur Erkennung der Befahrung einer Alternativroute im mautfreien Straßennetz dienen. Der erste Fehler (a) bildet einen Erkennungsfehler im Streckenabschnittserkennungsprogramm, der zur fehlerhaften Nichterkennung eines tatsächlich befahrenen mautpflichtigen Streckenabschnitts führt; der zweite Fehler (a) bildet einen Referenzfehler des Referenzparameterwertes (Referenzparameterfehler), der sich auf die unterschiedlichen Eigenschaften mautpflichtiger und mautfreier Alternativrouten bezieht und zur Nichterkennung der Befahrung einer möglichen Alternativroute im mautfreien Straßennetz führt. Sofern das aktuelle Straßennetz sich nicht von dem bekannten Straßennetz unterscheidet, auf dessen Grundlage die Daten zur Erkennung erstellt wurden (man spricht hier auch von "Modellierung"), bleiben Softwarefehler aufgrund umfangreicher Tests vor der Verwendung dieser Daten in der Regel aus. Tritt jedoch eine Änderung im Straßennetz auf, die zu einem Aktualisierungszustand eines - fortan teilweise - unbekannten Straßennetzes führt, der sich vom Modellierungszustand des - ehemals bekannten - Straßennetzes unterscheidet, so können Softwarefehler dann auftreten, wenn die Änderungen im Straßennetz derart eklatant sind, dass sie die Erkennung beeinflussen und zu einem anderen Erkennungsergebnis führen. Ehemals fehlerfreie Software wird durch eine Änderung des Straßennetzes zu einer fehlerhaften Software.

[0023] Derartige Softwarefehler gilt es zu unterscheiden von den Hardwarefehlern, die dazu führen, dass das Streckenabschnittserkennungsprogramm mit fehlerhaften oder fehlenden Befahrungsdaten versorgt wird und eine korrekte Erkennung der Befahrung eines mautpflichtigen Streckenabschnitts damit nicht möglich ist. Diese als eigentliche Erfassungsfehler zu klassifizierenden Hardwarefehler können den zeitweisen Ausfall des Empfangs von GNSS-Signalen oder den zeitweisen Ausfall der GNSS-Empfangseinrichtung oder den ausbleibenden Empfang von ergänzenden Signalen eines Odometers oder eines Gyroskops zur Koppelortung zur Ursache haben. Treten derartige Fehler bei einer dezentralen Datenverarbeitungseinrichtung mehrfach auf, so ist von einem Defekt, sprich: einem Hardwarefehler, der dezentralen Datenverarbeitungseinrichtung auszugehen.

[0024] Mit diesen Ausführungen konkretisiert sich die Aufgabe der Erfindung dahingehend, Verfahren und Einrichtungen zu beschreiben, die Softwarefehler von Hardwarefehlern unterscheiden können. Darüber hinaus sollen Ausführungsformen der Erfindung auch Erkennungsfehler von Referenzfehlern unterscheiden können.

[0025] Diese Aufgabe wird gelöst durch Verfahren gemäß der Ansprüche 1 und 6 sowie eine Einrichtung gemäß Anspruch 12.
Die unabhängigen, aber zur selben Anspruchskategorie gehörenden Verfahrensansprüche stellen alternative Aspekte des erfindungsgemäßen Verfahrens bereit, die sich hinsichtlich der dezentralen und zentralen Ausführungsorte von bestimmten Verfahrensschritten unterscheiden.
Bevorzugte Ausführungsformen sind Gegenstand der Unteransprüche und werden in der Beschreibung genannt. Die zu einer Kategorie und ihren verschiedenen Ausführungsformen genannten Merkmale und Vorteile gelten dabei stets als übertragbar auf die jeweils anderen Ausführungsformen und andere Kategorie, soweit dies widerspruchsfrei technisch möglich ist.

[0026] Unabhängig davon, ob die erste Plausibilitätsprüfung dezentral oder zentral durchgeführt wird, sieht ein erster Aspekt des erfindungsgemäßen Verfahrens vor, dass die zentrale Datenverarbeitungseinrichtung von der Vielzahl von dezentralen Datenverarbeitungseinrichtungen eine Menge von Sequenzen von jeweils mehreren zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen oder Befahrungsdaten empfängt, aus denen die zentrale Datenverarbeitungseinrichtung mittels des Streckenabschnittserkennungsprogramms die Menge von besagten Sequenzen erlangt, und für wenigstens eine ausgewählte Streckenabschnittskennung oder wenigstens eine ausgewählte Reihe von mehreren Streckenabschnittskennungen an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten durch die zentrale Datenverarbeitungseinrichtung (i) diejenige Menge von ausgewählten Sequenzen aus der Menge der empfangenen Sequenzen bestimmt wird, die eine Vorläufer-Streckenabschnittskennung enthalten, die dem Vorläufer-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem ersten Streckenabschnitt der ausgewählten Reihe unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung enthalten, die dem Nachfolger-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem letzten Streckenabschnitt der ausgewählten Reihe unmittelbar nachfolgt, und (ii) diejenige Menge an ausgewählten außerordentlichen Lückensequenzen aus der Menge der ausgewählten Sequenzen bestimmt wird, die die ausgewählte Streckenabschnittskennung oder die ausgewählte Reihe an Streckenabschnittskennungen nicht enthalten und die das Fehler-Signal in der ersten Plausibilitätsprüfung ausgelöst haben, wobei ferner aus der Anzahl der ausgewählten außerordentlichen Lückensequenzen der Menge von ausgewählten außerordentlichen Lückensequenzen und der Anzahl von ausgewählten Sequenzen der Menge von ausgewählten Sequenzen ein außerordentlicher Lückenquotient gebildet wird, und wobei (e) wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, im Zuge einer zweiten Plausibilitätsprüfung durch eine der Datenverarbeitungseinrichtungen geprüft wird, ob der außerordentliche Lückenquotient wenigstens einen ersten Referenzlückenquotienten überschreitet; (f) wenn die zweite Plausibilitätsprüfung ein positives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung ein Software-Fehler-Signal erzeugt wird, das auf einen möglichen Softwarefehler hinweist; (g) wenn die zweite Plausibilitätsprüfung ein negatives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung ein Hardware-Fehler-Signal erzeugt wird, das auf einen möglichen Erfassungsfehler hinsichtlich der Erfassung der Befahrungsdaten durch die dezentrale Datenverarbeitungseinrichtung hinweist, von der die Befahrungsdaten stammen, die der untersuchten Lückensequenz zugrunde lagen.

[0027] Mit dem ersten Aspekt des erfindungsgemäßen Verfahrens kann vorteilhaft zuverlässig zwischen einem Hardwarefehler und einem Softwarefehler unterschieden werden.

[0028] Dabei sind die ausgewählten außerordentlichen Lückensequenzen, die das Fehler-Signal in der ersten Plausibilitätsprüfung ausgelöst haben, vorzugsweise in einem Datensatz, der die Lückensequenz umfasst, durch einen entsprechenden Fehler-Code im Datensatz gekennzeichnet.

[0029] Dabei versteht es sich, dass in dem weniger bevorzugten Fall, in dem die dezentrale Datenverarbeitungseinrichtung die zweite Plausibilitätsprüfung durchführt, die Anzahl an ausgewählten Sequenzen und die Anzahl an ausgewählten Lückensequenzen oder der Lückenquotient selbst von der zentralen Datenverarbeitungseinrichtung an die dezentrale Datenverarbeitungseinrichtung zu übertragen ist - vorzugsweise über ein Mobilfunknetz -, wobei der die dezentrale Datenverarbeitungseinrichtung ausgebildet ist, die Anzahl an ausgewählten Sequenzen und die Anzahl an ausgewählten Lückensequenzen oder den Lückenquotienten selbst mittels der dezentralen Funk-Kommunikationseinrichtung zu empfangen. Vorzugsweise empfängt die dezentrale Datenverarbeitungseinrichtung regelmäßig (z. B. einmal am Tag oder einmal pro Woche) oder zu bestimmten Anlässen (z. B. Einschalten der dezentralen Datenverarbeitungseinrichtung) eine Vielzahl an jeweils aktuellen Lückenquotienten, die für eine Vielzahl von Kombinationen an Vorläufer-Nachfolger-Paaren von Streckenabschnittskennungen in Zellen einer Lückenquotientenmatrix in Form einer Tabelle mit Vorläufer-Streckenabschnittskennungen als Spaltenwerten s_i und Nachfolger-Streckenabschnittskennungen s_j als Zeilenwerten - oder umgekehrt - enthält. Damit wird die dezentrale Datenverarbeitungseinrichtung in die Lage versetzt, für jede zu untersuchende Lückensequenz, die von ihr registriert wurde, sehr schnell eine Aussage auf einen entsprechenden Fehler zu treffen.

[0030] Zur Vermeidung eines hohen Datenvolumens in der Kommunikation wird die zweite Plausibilitätsprüfung jedoch vorzugsweise von der zentralen Datenverarbeitungseinrichtung durchgeführt.

[0031] Vorzugsweise ist der erste Referenzlückenquotient größer als 0,001 % und kleiner als 10 %. Besonders bevorzugt liegt er im Bereich von 0,01 % bis 1 %. In vielen Fällen wird ein Referenzlückenquotient von 0,1 % oder näherungsweise 0,1 % verwendet.

[0032] Vorzugsweise wird ein Lückenquotient nur dann gebildet und die zweite Plausibilitätsprüfung nur dann durchgeführt, wenn die Anzahl der ausgewählten Sequenzen nicht kleiner ist als eine vorgegebene Mindestanzahl und nicht größer ist als eine vorgegebene Maximalanzahl. Vorzugsweise ist die vorgegebene Mindestanzahl gleich 100 und die vorgegebene Maximalanzahl gleich 1.000.000. dies erzielt einerseits eine hinreichende statistische Aussagekraft des Lückenquotienten und andererseits eine hinreichende Empfindlichkeit, eine Erhöhung des Lückenquotienten schnell festzustellen.

[0033] Vorzugsweise werden innerhalb eines Zeitabschnittes, in dem die Anzahl an ausgewählten Sequenzen ansteigt, mehrmals Lückenquotienten gebildet. Damit liegt stets ein aktueller Wert des Lückenquotienten vor.

[0034] Vorzugsweise werden bei Hinzufügung von neu erlangten Sequenzen zur Menge der ausgewählten Sequenzen diejenigen Sequenzen aus der Menge der ausgewählten Sequenzen entfernt, die die ältesten sind. Damit wird die Aktualität des Lückenquotienten weiter erhöht und die Empfindlichkeit, eine Erhöhung des Lückenquotienten festzustellen, vergrößert, so dass eine solche Erhöhung noch schneller festgestellt werden kann.

[0035] Das Erfassungs-Fehler-Signal kann beim erstmaligen Auftreten eines Erfassungsfehlers oder aber erst nach mehrmaligen Auftreten eines Erfassungsfehlers von der zentralen Datenverarbeitungseinrichtung, in der es erzeugt wurde, in Form eines Erfassungs-Fehler-Codes an die betreffende dezentrale Datenverarbeitungseinrichtung gesendet werden, von der dezentralen Datenverarbeitungseinrichtung empfangen werden und der Fehler in Form eines Warnsignals mittels einer optischen Anzeigevorrichtung der dezentralen Datenverarbeitungseinrichtung, beispielsweise in Form einer LED, von der dezentralen Datenverarbeitungseinrichtung zur Anzeige gebracht werden.
Alternativ oder optional kann beim erstmaligen Auftreten eines Erfassungsfehlers oder aber erst nach mehrmaligen Auftreten eines Erfassungsfehlers ein Hinweistext auf einer optischen Anzeigevorrichtung den Nutzer darauf hinweisen, dass er die dezentrale Datenverarbeitungseinrichtung innerhalb einer bestimmten Frist auszutauschen hat. Dabei kann die dezentrale Datenverarbeitungseinrichtung ausgebildet sein, nach Ablauf dieser Frist in einen Passiv-Modus zu wechseln, in dem die dezentrale Datenverarbeitungseinrichtung die Erfassung von Befahrungsdaten und/ oder die Erkennung von Streckenabschnitten unterlässt.

[0036] Das mehrmalige Auftreten eines Erfassungsfehlers kann zentralseitig oder dezentralseitig erkannt werden, in dem die dezentrale Datenverarbeitungseinrichtung die Anzahl der Erfassungs-FehlerMeldungen kumuliert und/ oder die zentrale Datenverarbeitungseinrichtung die Erfassungsfehler zugeordnet zur Kennung der dezentralen Datenverarbeitungseinrichtung sammelt.

[0037] In diesem Sinne kann auch erst das mehrmalige Auftreten eines möglichen Erfassungsfehlers die zentrale oder dezentrale Datenverarbeitungseinrichtung dazu veranlassen festzustellen, dass es sich bei den möglichen Erfassungsfehlern um einen tatsächlichen Erfassungsfehler der besagten dezentralen Datenverarbeitungseinrichtung handelt.

[0038] Mit der zweiten Plausibilitätsprüfung kann das erfindungsgemäße Fehlererkennungsverfahren abgeschlossen sein, wobei es in der Folge des Software-Fehler-Signals in der Zentrale dem Sachverstand eines Sachbearbeiters obliegt, anhand weiterer Analysen festzustellen, ob es sich bei dem Softwarefehler um einen Erkennungsfehler oder um einen Referenzparameterfehler handelt.

[0039] Alternativ kann das erfindungsgemäße Fehlererkennungsverfahren mit der zweiten Plausibilitätsprüfung auch deswegen abgeschlossen sein, weil die zentrale Datenverarbeitungseinrichtung allgemein oder nur für bestimmte Lückensequenzen das Software-Fehler-Signal ohne weitere Prüfung ausschließlich entweder als Referenzfehler oder als Erkennungsfehler interpretiert.

[0040] Keine von beiden Varianten ist jedoch zwingend. Mit einer (h) dritten Plausibilitätsprüfung, in der vorzugsweise durch die zentrale Datenverarbeitungseinrichtung geprüft wird, ob der Lückenquotient einen vorgegebenen zweiten Referenzlückenquotienten überschreitet, der größer ist als der erste Referenzlückenquotient, kann schließlich bestimmt werden, ob ein Erkennungsfehler oder ein Referenzparameterfehler vorliegt:

Wenn (i) die dritte Plausibilitätsprüfung ein positives Ergebnis erbringt, wird durch die zentrale Datenverarbeitungseinrichtung ein Erkennungs-Fehler-Signal erzeugt, das auf einen tatsächlichen Erkennungsfehler des Streckenabschnittserkennungsprogramms hinweist.

[0041] Wenn (j) die dritte Plausibilitätsprüfung ein negatives Ergebnis erbringt, erzeugt die zentrale Datenverarbeitungseinrichtung bei positivem Ergebnis der zweiten Plausibilitätsprüfung ein Referenz-Fehler-Signal, das auf einen tatsächlichen Referenzfehler des Referenzparameterwertes hinweist. Vorzugsweise liegt der zweite Referenzlückenquotient im Bereich von 10 % bis 99 %. Besonders bevorzugt liegt er im Bereich von 30 % bis 90 %. In vielen Fällen wird ein Referenzlückenquotient von 50 % oder näherungsweise 50 % verwendet.

[0042] Es versteht sich, dass das Erkennungs-Fehler-Signal, das Referenz-Fehler-Signal und das Erfassungs-Fehler-Signal auch bereits in der zweiten Plausibilitätsprüfung erhalten werden können, wenn diese dahingehend geändert wird, dass mit ihr der Lückenquotient auf das Überschreiten des ersten und des zweiten Referenzlückenquotienten geprüft wird: Liegt der Wert des Lückenquotienten unterhalb des Wertes des ersten Referenzlückenquotienten, so wird ein Erfassungs-Fehler-Signal erzeugt; liegt der Wert des Lückenquotienten zwischen dem Wert des ersten Referenzlückenquotienten und dem Wert des zweiten Referenzlückenquotienten, so wird ein Referenz-Fehler-Signal erzeugt; liegt der Wert des Lückenquotienten oberhalb des Wertes des zweiten Referenzlückenquotienten, so wird ein Erkennungs-Fehler-Signal erzeugt.

[0043] Erfindungswesentlich für die Erkennung entweder eines Referenzfehlers oder eines Erkennungsfehlers ist im Allgemeinen der Umstand, dass die zweite Plausibilitätsprüfung allein oder in Kombination mit der dritten Plausibilitätsprüfung ein Referenz-Fehler-Signal oder ein Erkennungs-Fehler-Signal auslöst.

[0044] Ein solches Fehlersignal kann darin bestehen, dass in einem Datensatz, der eine Kennung der dezentralen Datenverarbeitungseinrichtung und/ oder eine Kennung des Fahrzeugs, dem die dezentrale Datenverarbeitungseinrichtung zugeordnet ist, und die Streckenabschnittskennungen der Lückensequenz sowie wenigstens den der Lückensequenz zugeordneten Wert des Fahrzeugbewegungsparameters umfasst, ein den jeweiligen Fehler repräsentierendes Fehlerbit von einem Nicht-Fehler-Zustand (beispielsweise Null) auf einen Fehler-Zustand (beispielsweise Eins) gesetzt wird. Alternativ oder optional kann ein solches Fehlersignal in der optischen Anzeige (LED, Text einer Fehlernachricht) durch eine Anzeigevorrichtung bestehen.

[0045] Vorzugsweise wird in den erfindungsgemäßen Verfahren, in denen in Folge der zweiten Plausibilitätsprüfung (dies schließt eine mögliche dritte Plausibilitätsprüfung ein) vorzugsweise durch die zentrale Datenverarbeitungseinrichtung ein Referenzfehler ermittelt beziehungsweise ein Referenz-Fehler-Signal ausgelöst wurde, mittels der zentralen Datenverarbeitungseinrichtung der fehlerhafte Referenzparameterwert im zentralen Datenspeicher durch einen geänderten Referenzparameterwert ersetzt wird, der so weit von dem fehlerhaften Referenzparameter abweicht, dass der erste Fahrzeugbewegungsparameterwert, bezüglich dessen die erste Plausibilitätsprüfung ein positives Ergebnis erbracht hatte, in einer erneuten ersten Plausibilitätsprüfung gemäß der ersten Regel bezüglich des geänderten Referenzparameterwertes eine negatives Ergebnis bringen würde.

[0046] Vorzugsweise wird der geänderte Referenzparameterwert mittels eines Referenzparameterbestimmungsprogramms, das durch die zentrale Datenverarbeitungseinrichtung ausgeführt wird, gebildet, das mehrere Fahrzeugbewegungsparameter verschiedener Fahrzeuge oder verschiedener dezentraler Datenverarbeitungseinrichtungen der Menge von ausgewählten Lückensequenzen einbezieht.

[0047] Vorzugsweise werden diejenigen Fahrzeugbewegungsparameter, deren Werte der ersten Regel zur Ermittlung eines Fehlers entsprechen (das sind diejenigen Werte von Fahrzeugbewegungsparametern, die zu einem positiven Ergebnis der ersten Plausibilitätsprüfung geführt haben) mittels des Referenzparameterbestimmungsprogramms zu einer Gruppe zusammengefasst, soweit sie nicht von einem Mittelwert dieser oder einer Auswahl dieser Fahrzeugbewegungsparameter um mehr als einen vorgegeben Betrag oder Anteil abweichen. Die Auswahl kann eine vorgegebene Anzahl (beispielsweise drei oder mehr als drei oder beispielsweise einhundert oder weniger als einhundert) derjenigen Werte der besagten Fahrzeugbewegungsparameter kennzeichnen, die am engsten beieinander liegen. Anschließend wird mittels des zentralen Referenzparameterbestimmungsprogramms aus dieser Gruppe derjenige maßgebliche Fahrzeugparameterwert ausgewählt, der sowohl am weitesten von diesem Mittelwert als auch am weitesten von dem fehlerhaften Referenzparameterwert abweicht, und der fehlerhafte Referenzparameterwert durch den maßgeblichen Fahrzeugparameterwert zur Bildung des geänderten Referenzparameterwertes ersetzt.

[0048] In einem zweiten Aspekt ist das erfindungsgemäße Verfahren dadurch gekennzeichnet, dass die Datenverarbeitungseinrichtung, die die erste Plausibilitätsprüfung durchführt, wenigstens eine dezentrale Datenverarbeitungseinrichtung ist, wobei jeweils eine Kopie des Referenzparameterwertes in jeweils wenigstens einem dezentralen Datenspeicher in jeder der dezentralen Datenverarbeitungseinrichtungen abgelegt ist, eine allfällige Änderung des Referenzparameterwertes im zentralen Datenspeicher durch die zentrale Datenverarbeitungseinrichtung detektiert und/ oder bewirkt wird, und die zentrale Datenverarbeitungseinrichtung ausgebildet ist, eine Übertragung des geänderten Referenzparameterwertes an jede der dezentralen Datenverarbeitungseinrichtungen auszulösen, und wobei wenigstens das Fehler-Signal der dezentralen Datenverarbeitungseinrichtung mittels der dezentralen Funk-Kommunikationseinrichtung an die zentrale Datenverarbeitungseinrichtung versandt wird, wobei zusammen mit dem Fehler-Signal oder als Fehler-Signal der erste Fahrzeugbewegungsparameter und das betreffenden Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen mittels der dezentralen Funk-Kommunikationseinrichtung an die zentrale Datenverarbeitungseinrichtung übermittelt wird und die zentrale Datenverarbeitungseinrichtung ausgebildet ist, Fehler-Signale, die es zu dem betreffenden Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen in wenigstens einem vorgegebenen Zeitintervall empfängt, zu zählen, und die Fehleranzahl der gezählten Fehler-Signale oder einen Fehlerquotienten, der gebildet wird aus der Fehleranzahl der gezählten Fehler-Signale und der Gesamtanzahl der Sequenzen, die das betreffende Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen umfassen und die die zentrale Datenverarbeitungsanlage im vorgegebenen Zeitintervall von der Vielzahl an dezentralen Datenverarbeitungseinrichtungen empfangen hat, (e) einer zweiten Plausibilitätsprüfung zu unterwerfen, mit der geprüft wird, ob die Fehleranzahl der Fehler-Signale eine vorgegebene erste Referenzfehleranzahl oder der Fehlerquotient einen vorgegebenen ersten Referenzfehlerquotienten überschreitet; wobei (f) wenn die zweite Plausibilitätsprüfung ein positives Ergebnis erbringt, durch die zentrale Datenverarbeitungseinrichtung ein Software-Fehler-Signal erzeugt wird, das auf einen möglichen Softwarefehler hinweist; und (g) wenn die zweite Plausibilitätsprüfung ein negatives Ergebnis erbringt, durch die zentrale Datenverarbeitungseinrichtung ein Hardware-Fehler-Signal erzeugt wird, das auf einen möglichen Erfassungsfehler hinsichtlich der Erfassung der Befahrungsdaten durch die dezentrale Datenverarbeitungseinrichtung hinweist, von der die Befahrungsdaten stammen, die der untersuchten Lückensequenz zugrunde lagen.

[0049] Damit wird eine effiziente und zuverlässige Möglichkeit zur Durchführung der ersten Plausibilitätsprüfung in einer dezentralen Datenverarbeitungseinrichtung geschaffen. Vorteilhaft sind die Referenzparameterwerte, die von der dezentralen Datenverarbeitungseinrichtung für die erste Plausibilitätsprüfung verwendet werden, immer auf dem neuesten Stand, weil geänderte Referenzparameterwerte von der zentralen Datenverarbeitungseinrichtung an die dezentralen Datenverarbeitungseinrichtungen verteilt werden.

[0050] Auch mit dem zweiten Aspekt des erfindungsgemäßen Verfahrens kann vorteilhaft zuverlässig zwischen einem Hardwarefehler und einem Softwarefehler unterschieden werden.

[0051] Dabei können die Sequenzen, die das betreffende Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen umfassen, Sequenzen sein, die - lückenlos - die ausgewählte Streckenabschnittskennung oder die ausgewählte Reihe von mehreren Streckenabschnittskennungen umfassen und/ oder Sequenzen sein, die die ausgewählte Streckenabschnittskennung oder die ausgewählte Reihe von mehreren Streckenabschnittskennungen - lückenbehaftet - nicht umfassen, und zwar sowohl mit oder ohne Fehlermeldung.

[0052] Vorzugsweise ist liegt das Zeitintervall im Bereich von einer Stunde bis zu einem Monat.

[0053] Vorzugsweise liegt die erste Referenzfehleranzahl im Bereich von 3 bis 10 für das Zeitintervall von einer Stunde bis zu 100 bis 10000 für das Zeitintervall von einem Monat. Im Wesentlichen hängt dieser Wert von der durchschnittlichen Verkehrsdichte auf den Streckenabschnitten der Lückensequenz ab.

[0054] Vorzugsweise liegt der erste Referenzfehlerquotient im Bereich von 0,001 % bis 10 %. Besonders bevorzugt liegt er im Bereich von 0,01 % bis 1 %. In vielen Fällen wird ein Referenzfehlerquotient von 0,1 % oder näherungsweise 0,1 % verwendet.

[0055] Die erfinderische Lösung macht sich die Erkenntnis der Erfinder zu Nutze, dass bei einer hohen Qualität der Hardware der dezentralen Einrichtungen zur Erfassung und Verarbeitung der Befahrungsdaten und bei einer hohen Qualität der Software des Streckenabschnittserkennungsprogramms und der Referenzparameterwerte selten auftretende Lückensequenzen auf einen Hardwarefehler zurückzuführen sein müssen, während häufig auftretende Lückensequenzen auf eine Änderung des Straßennetzes zurückzuführen sein müssen, wobei die Software bezüglich dieser Änderung zumindest teilweise nicht mehr verwendungsfähig ist und einer Aktualisierung bedarf, um wieder fehlerfrei zu sein.

[0056] Das Erfassungs-Fehler-Signal kann von der zentralen Datenverarbeitungseinrichtung, in der es erzeugt wurde, in Form eines Erfassungs-Fehler-Codes an die betreffende dezentrale Datenverarbeitungseinrichtung gesendet werden, von der dezentralen Datenverarbeitungseinrichtung empfangen werden und der Fehler in Form eines Warnsignals mittels einer optischen Anzeigevorrichtung der dezentralen Datenverarbeitungseinrichtung, beispielsweise in Form einer LED, von der dezentralen Datenverarbeitungseinrichtung zur Anzeige gebracht werden.
Alternativ oder optional kann ein Hinweistext auf einer optischen Anzeigevorrichtung den Nutzer bereits beim erstmaligen Auftreten eines Erfassungsfehlers oder aber erst nach mehrmaligen Auftreten eines Erfassungsfehlers darauf hinweisen, dass er die dezentrale Datenverarbeitungseinrichtung innerhalb einer bestimmten Frist auszutauschen hat. Dabei kann die dezentrale Datenverarbeitungseinrichtung ausgebildet sein, nach Ablauf dieser Frist in einen Passiv-Modus zu wechseln, in dem die dezentrale Datenverarbeitungseinrichtung die Erfassung von Befahrungsdaten und/ oder die Erkennung von Streckenabschnitten unterlässt.

[0057] Mit der zweiten Plausibilitätsprüfung kann das erfindungsgemäße Fehlererkennungsverfahren abgeschlossen sein, wobei es in der Folge des Software-Fehler-Signals in der Zentrale dem Sachverstand eines Sachbearbeiters obliegt, anhand weiterer Analysen festzustellen, ob es sich bei dem Softwarefehler um einen Erkennungsfehler oder um einen Referenzparameterfehler handelt.

[0058] Dies ist jedoch nicht zwingend. Mit einer (h) dritten Plausibilitätsprüfung, in der geprüft wird, ob die Fehleranzahl der Fehler-Signale eine vorgegebene zweite Referenzfehleranzahl überschreitet, die größer ist als die erste Referenzfehleranzahl, oder der Fehlerquotient einen vorgegebenen zweiten Referenzfehlerquotienten überschreitet, der größer ist als der erste Referenzfehlerquotient, kann schließlich durch die zentrale Datenverarbeitungseinrichtung bestimmt werden, ob ein Erkennungsfehler oder ein Referenzparameterfehler vorliegt:

Wenn (i) die dritte Plausibilitätsprüfung ein positives Ergebnis erbringt, wird durch die zentrale Datenverarbeitungseinrichtung ein Erkennungs-Fehler-Signal erzeugt, das auf einen tatsächlichen Erkennungsfehler des Streckenabschnittserkennungsprogramms hinweist.

[0059] Wenn (j) die dritte Plausibilitätsprüfung ein negatives Ergebnis erbringt, erzeugt die zentrale Datenverarbeitungseinrichtung ein Referenz-Fehler-Signal, das auf einen tatsächlichen Referenzfehler des Referenzparameterwertes hinweist.

[0060] Vorzugsweise liegt die zweite Referenzfehleranzahl im Bereich von 10 bis 1000 für das Zeitintervall von einer Stunde bis zu 10.000 bis 1.000.000 für das Zeitintervall von einem Monat. Im Wesentlichen hängt dieser Wert von der durchschnittlichen Verkehrsdichte auf den Streckenabschnitten der Lückensequenz ab.

[0061] Vorzugsweise liegt der zweite Referenzfehlerquotient im Bereich von 10 % bis 99 %. Besonders bevorzugt liegt er im Bereich von 30 % bis 90 %. In vielen Fällen wird ein Referenzfehlerquotient von 50 % oder näherungsweise 50 % verwendet.

[0062] Es versteht sich, dass das Erkennungs-Fehler-Signal, das Referenz-Fehler-Signal und das Erfassungs-Fehler-Signal auch bereits in der zweiten Plausibilitätsprüfung erhalten werden können, wenn diese dahingehend geändert wird, dass mit ihr die Fehleranzahl und/ oder der Fehlerquotient auf das Überschreiten des ersten und des zweiten Referenzwertes geprüft werden: Liegt ein Fehlerwert (Fehleranzahl oder Fehlerquotient) unterhalb des ersten Referenzwertes (erste Referenzfehleranzahl oder erster Referenzfehlerquotient), so wird ein Erfassungs-Fehler-Signal erzeugt; liegt ein Fehlerwert zwischen dem des ersten Referenzwert und dem zweiten Referenzwert (zweite Referenzfehleranzahl oder zweiter Referenzfehlerquotient), so wird ein Referenz-Fehler-Signal erzeugt; liegt ein Fehlerwert oberhalb des zweiten Referenzwertes, so wird ein Erkennungs-Fehler-Signal erzeugt;
Die erste Plausibilitätsprüfung des zweiten Aspektes kann durch eine dezentrale Datenverarbeitungseinrichtung eines Mautsystems, das wenigstens eine zentrale Datenverarbeitungseinrichtung umfasst, wobei die dezentrale Datenverarbeitungsvorrichtung zur Mitführung in einem mautpflichtigen Fahrzeug, dem sie zugeordnet ist, vorgesehen ist durchgeführt werden, wenn diese ausgebildet ist, Befahrungsdaten zu erfassen, die repräsentativ sind für die Befahrung von mautpflichtigen Streckenabschnitten eines Netzes von mautpflichtigen Streckenabschnitten durch das mautpflichtige Fahrzeug, und eine dezentrale Funk-Kommunikationseinrichtung zumindest zur Versendung von Daten an die zentrale Datenverarbeitungseinrichtung aufweist oder zumindest zeitweise kommunikationstechnisch an eine solche gekoppelt ist, wobei die dezentrale Datenverarbeitungseinrichtung eingerichtet ist, mittels wenigstens eines Prozessors ein Streckenabschnittserkennungsprogramms zur Verarbeitung der Befahrungsdaten auszuführen mit dem Ergebnis, die Befahrung der jeweiligen Streckenabschnitte durch das Fahrzeug zu erkennen, und den jeweiligen Streckenabschnitten entsprechende Streckenabschnittskennungen in der zeitlichen Reihenfolge und/ oder jeweils verknüpft mit einem Zeitwert ihrer Befahrung durch das Fahrzeug in einem Datenspeicher zu registrieren, dadurch gekennzeichnet, dass die dezentrale Datenverarbeitungseinrichtung eingerichtet ist, (a) wenigstens eine zu untersuchende Lückensequenz von jeweils mehreren, dem mautpflichtigen Fahrzeug zugeordneten, zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen bereitzustellen, wobei die Lückensequenz dadurch gekennzeichnet ist, dass sie wenigstens eine ausgewählte Streckenabschnittskennung oder wenigstens eine ausgewählte Reihe von mehreren verschiedenen Streckenabschnittskennungen an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten nicht enthält und eine Vorläufer-Streckenabschnittskennung enthält, die dem Vorläufer-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem ersten Streckenabschnitt der ausgewählten Reihe unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung enthält, die dem Nachfolger-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem letzten Streckenabschnitt der ausgewählten Reihe unmittelbar nachfolgt; (b) für die zu untersuchende Lückensequenz im Zuge wenigstens einer ersten Plausibilitätsprüfung zu prüfen, ob wenigstens ein erster Fahrzeugbewegungsparameterwert, der aus wenigstens einem ersten Messwert der Fahrzeugbewegung, welcher im Zusammenhang mit den Befahrungsdaten von der dezentralen Datenverarbeitungseinrichtung erfasst wurde, gebildet oder abgeleitet ist und dem Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen von erkanntem Vorläufer-Streckenabschnitt und erkanntem Nachfolger-Streckenabschnitt zugeordnet wurde, wenigstens einer ersten Regel bezüglich wenigstens eines ersten Referenzparameterwertes für das Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen, der zumindest zeitweise in wenigstens einem dezentralen Datenspeicher der dezentralen Datenverarbeitungseinrichtung gespeichert ist oder war, genügt; (c) wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, in einer Fehler-Nachricht den ersten Fahrzeugbewegungsparameter und das betreffende Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen mittels der dezentralen Funk-Kommunikationseinrichtung an die zentrale Datenverarbeitungseinrichtung zu senden; und (d) wenn die erste Plausibilitätsprüfung ein negatives Ergebnis erbringt, keine Fehler-Nachricht mittels der dezentralen Funk-Kommunikationseinrichtung an die zentrale Datenverarbeitungseinrichtung zu senden oder in einer Nicht-Fehler-Nachricht das betreffende Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen ohne den ersten Fahrzeugbewegungsparameter mittels der dezentralen Funk-Kommunikationseinrichtung an die zentrale Datenverarbeitungseinrichtung zu senden.

[0063] Damit kann die dezentrale Datenverarbeitungseinrichtung die zentrale Datenverarbeitungseinrichtung treffend und vorteilhaft über das Vorliegen eines möglichen Fehlers informieren.

[0064] Vorzugsweise weist die erfindungsgemäße dezentrale Datenverarbeitungseinrichtung einen dezentralen Datenspeicher auf, in dem eine Vielzahl von Referenzparameterwerten, die für eine Vielzahl von Kombinationen an Vorläufer-Nachfolger-Paaren von Streckenabschnittskennungen in Zellen einer Referenzparametermatrix in Form einer Tabelle mit Vorläufer-Streckenabschnittskennungen als Spaltenwerten und Nachfolger-Streckenabschnittskennungen als Zeilenwerten - oder umgekehrt-zumindest zeitweise gespeichert sind.

[0065] Vorzugsweise ist eine solche erfindungsgemäße dezentrale Datenverarbeitungseinrichtung ausgebildet, wenigstens einen geänderten Referenzparameterwert für ein bestimmtes Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen von der zentralen Datenverarbeitungseinrichtung zu empfangen, und den bis dahin im dezentralen Datenspeicher für das bestimmte Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen gespeicherten Referenzparameterwert durch den geänderten Referenzparameterwert zu ersetzen.

[0066] Der Empfang des geänderten Referenzparameterwertes kann mittels der dezentralen Funk-Kommunikationseinrichtung der dezentralen Datenverarbeitungseinrichtung erfolgen.

[0067] Als Alternative oder Ergänzung zur dezentralen ersten Plausibilitätsprüfung kann eine Ausführungsform des erfindungsgemäßen Verfahrens dadurch gekennzeichnet sein, dass die prüfende Datenverarbeitungseinrichtung die zentrale Datenverarbeitungseinrichtung ist, wobei die zentrale Datenverarbeitungseinrichtung Befahrungsdaten und/ oder wenigstens eine Sequenz von mehreren zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen zusammen mit wenigstens dem ersten Messwert und/ oder wenigstens dem ersten Fahrzeugbewegungsparameterwert von der dezentralen Datenverarbeitungseinrichtung empfängt.

[0068] Damit wird ein Verfahren zur Durchführung einer zentralen ersten Plausibilitätsprüfung bereitgestellt.

[0069] Vorteilhaft sind in bestimmten Ausführungsformen des erfindungsgemäßen Verfahrens zur Erlangung des Prüfungsergebnisses keine Befahrungsdaten aus dem mautfreien Straßennetz nötig. Insbesondere müssen keine Positionsdaten des Fahrzeugs auf seiner Fahrt im mautfreien Straßennetz erfasst, verarbeitet oder gar an die zentrale Datenverarbeitungsvorrichtung übertragen werden.

[0070] Dem Datenschutzbedürfnis der potentiell nicht mautpflichtigen Fahrer wird insbesondere dadurch Rechnung getragen, dass vorzugsweise nur ein solcher erster Messwert zur Bestimmung des ersten Fahrzeugbewegungsparameters einfließt, der im Zusammenhang mit der Erkennung der Befahrung eines mautpflichtigen Vorläufer-Streckenabschnittes erfasst wurde und ein solcher zweiter Messwert in die Bestimmung des ersten Fahrzeugbewegungsparameters einfließt, der im Zusammenhang mit der Erkennung der Befahrung eines mautpflichtigen Nachfolger-Streckenabschnittes erfasst wurde. Andererseits können dennoch datenschutzgerecht auch Befahrungsdaten aus dem mautfreien Straßennetz erfasst werden, so lange sie nur relative Positionsdaten und keine absoluten Positionsdaten enthalten. Relative Positionsdaten können Kilometerstandsangaben des Tachometers sein und/oder die ab Erkennung des Vorläufer-Streckenabschnittes gefahrene Distanz. Auch Geschwindigkeitswerte des Tachometers oder des GNSS-Empfängers und/ oder Zeitwerte einer Uhr können erfasst werden, wobei nur Zeitdifferenzen gesammelt und übermittelt werden, zu denen eine Grenzgeschwindigkeit überschritten war, die nicht offensichtlich einem Verstoß gegen eine Geschwindigkeitsbegrenzung entspricht. Ohne die dafür nötigen absoluten Positionsangaben ist das möglich für Grenzgeschwindigkeiten zwischen 0 km/h (Stillstand im Rahmen der Messgenauigkeit) und 40 km/h, wobei 50 km/h einer regelmäßigen Geschwindigkeitsbegrenzung innerhalb geschlossener Ortschaften entspricht.

[0071] Bevorzugte Ausführungsformen des erfindungsgemäßen Verfahrens sind dadurch gekennzeichnet, dass der wenigstens erste Fahrzeugbewegungsparameterwert durch diejenige Datenverarbeitungseinrichtung dem Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen von erkannten Streckenabschnitten zugeordnet wurde, die die zu untersuchende Lückensequenz bereitgestellt hat. Damit wird eine zuverlässige Verknüpfung des Fahrzeugbewegungsparameterwertes mit der zu untersuchenden Lückensequenz gewährleistet.

[0072] Im Falle dezentraler Erkennung kann der erste Fahrzeugbewegungsparameterwert zusammen mit der Lückensequenz mittels der dezentralen Funk-Kommunikationseinrichtung an die zentrale Datenverarbeitungseinrichtung übertragen werden.

[0073] Alternativ ist es möglich, von der dezentralen Datenverarbeitungseinrichtung einzelne Streckenabschnittskennungen oder Gruppen einzelner Streckenabschnittskennungen verknüpft mit jeweils dem ersten Messwert der Fahrzeugbewegung mittels der dezentralen Funk-Kommunikationseinrichtung an die zentrale Datenverarbeitungseinrichtung zu übertragen. Mittels der zentralen Datenverarbeitungseinrichtung werden anschließend die einzelnen Streckenabschnittskennungen oder Gruppen von Streckenabschnittskennungen fahrzeugspezifisch zu einer Sequenz von Streckenabschnittskennungen zusammengefasst und im Falle einer vorhandenen Lücke wird eine solche Sequenz als Lückensequenz identifiziert. Für das von dieser Lückensequenz umfasste vor Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen wird aus dem ersten Messwert der Fahrzeugbewegung der Fahrzeugbewegungsparameterwert gebildet oder abgeleitet.

[0074] Vorzugsweise umfasst die Bereitstellung der zu untersuchenden Lückensequenz die Identifizierung einer Sequenz von Streckenabschnittskennungen als Lückensequenz. Dabei werden eine oder mehrere Sequenzen von Streckenabschnittskennungen durch die dezentrale und/ oder zentrale Datenverarbeitungseinrichtung auf das Vorhandensein einer möglichen Lücke analysiert.

[0075] In einer derartigen Analyse wird jedes Paar von unmittelbar aufeinander folgend registrierten Streckenabschnittskennungen (Vorläufer-Nachfolger-Paar) auf Übereinstimmung mir einer Repräsentation des Netzes von mautpflichtigen Streckenabschnitten - beispielsweise als Graph - verglichen. Das Netz mautpflichtiger Streckenabschnitte, zum Beispiel ein Autobahnnetz, kann nämlich mathematisch als Graph dargestellt werden mit den Auf- und Abfahrten als Knoten und den Streckenabschnitten als Kanten. Findet sich ein solches durch Knoten und/ oder Kanten repräsentiertes Paar von Streckenabschnitten in der Repräsentation des Graphs wieder, so liegt mit diesem Paar keine Lückensequenz vor; fehlt dieses Paar, so repräsentiert es eine Lückensequenz. Repräsentationen des Graphs können als Adjazenz-Matrix (Nachbarschaftsmatrix) oder als Inzidenzmatrix (Knoten-Kanten-Matrix) vorliegen. Alternativ kann ein Vergleich mit einer Lückenmatrix in Form einer Tabelle mit Vorläufer-Streckenabschnittskennungen als Spaltenwerten und Nachfolger-Streckenabschnittskennungen als Zeilenwerten erfolgen, die für eine Vielzahl von Kombinationen an Vorläufer-Nachfolger-Paaren von Streckenabschnittskennungen in ihren Zellen eine ausgewählte Streckenabschnittskennung oder eine ausgewählte Reihe von mehreren verschiedenen Streckenabschnittskennungen in den Fällen enthält, in denen das Vorläufer-Nachfolger-Paar von Streckenabschnittskennungen eine durch die ausgewählte Streckenabschnittskennung oder die ausgewählte Reihe von mehreren verschiedenen Streckenabschnittskennungen gebildete Lücke enthält, und in den Fällen, in denen die Lückenmatrix keine Streckenabschnittskennung enthält, das Vorläufer-Nachfolger-Paar von Streckenabschnittskennungen lückenfrei ist, sprich: einem Paar von Streckenabschnittskennungen entspricht, dessen Streckenabschnitte im Straßennetz unmittelbar aneinander anschließen.

[0076] Im Falle zentraler Erkennung empfängt die zentrale Datenverarbeitungseinrichtung Befahrungsdaten, denen jeweils ein erster Messwert zugeordnet ist, zusammen mit diesen ersten Messwerten, die von der dezentralen Datenverarbeitungseinrichtung erfasst und mittels der dezentralen Funk-Kommunikationseinrichtung versandt wurden. Aus den Befahrungsdaten erkennt die zentrale Datenverarbeitungseinrichtung mittels des Streckenabschnittserkennungsprogramms die befahrenen Streckenabschnitte und bildet aus den zugehörigen Streckenabschnittskennungen eine Sequenz von befahrenen Streckenabschnitten. Zumindest für den Fall des Vorliegens einer Lücke von Streckenabschnitten in dieser Sequenz bestimmt die zentrale Datenverarbeitungseinrichtung aus dem ersten Messwert oder mehreren ersten Messwerten den Fahrzeugbewegungsparameterwert, den sie dem von der Sequenz umfassten Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen zuordnet.

[0077] Bevorzugte Ausführungsformen des erfindungsgemäßen Verfahrens sind dadurch gekennzeichnet, dass wenigstens der erste Referenzparameterwert ein Referenzparameterwert von einer Vielzahl von Referenzparameterwerten ist, die für eine Vielzahl von Kombinationen an Vorläufer-Nachfolger-Paaren von Streckenabschnittskennungen in Zellen einer Referenzparametermatrix in Form einer Tabelle mit Vorläufer-Streckenabschnittskennungen als Spaltenwerten und Nachfolger-Streckenabschnittskennungen als Zeilenwerten - oder umgekehrt - in wenigstens einem zentralen Datenspeicher der zentralen Datenverarbeitungseinrichtung zumindest zeitweise gespeichert sind oder waren. Mit einer solchen Referenzparametermatrix wird eine effiziente Zuordnung des für die Prüfung zu verwendenden Referenzparameterwertes zu der zu untersuchenden Lückensequenz möglich. Dabei wird vorzugsweise das Original dieser Referenzparametermatrix zentralseitig gespeichert. Das bedeutet nicht zwingend, dass deswegen die Prüfung nur zentralseitig erfolgen kann. Die Prüfung kann alternativ oder kumulativ auch dezentralseitig durch die dezentrale Datenverarbeitungseinrichtung erfolgen, wenn der dezentralen Datenverarbeitungseinrichtung eine Kopie der Referenzparametermatrix vorliegt. Dazu wird eine Kopie der Referenzparametermatrix von der zentralen Datenverarbeitungseinrichtung an alle dezentralen Datenverarbeitungseinrichtungen der Vielzahl von dezentralen Datenverarbeitungseinrichtungen drahtlos übermittelt und vorzugsweise mittels der jeweiligen dezentralen Funk-Kommunikationseinrichtung von der jeweiligen dezentralen Datenverarbeitungseinrichtung empfangen. Auf diese Weise können auch allfällige Aktualisierungen der Referenzparametermatrix von der zentralen Datenverarbeitungseinrichtung an die dezentralen Datenverarbeitungseinrichtungen übermittelt werden.

[0078] Beispielsweise kann der Referenzparameterwert einem Wert des Fahrzeugbewegungsparameters entsprechen, der der Fahrzeugbewegung auf einer Fahrt außerhalb des mautpflichten Streckennetzes zwischen dem Vorläufer-Streckenabschnitt und dem Nachfolger-Streckenabschnitt entspricht. Andererseits kann der Referenzparameterwert auch dem Wert eines Fahrzeugbewegungsparameters entsprechen, der der Fahrzeugbewegung auf einer Fahrt innerhalb des mautpflichten Streckennetzes zwischen dem Vorläufer-Streckenabschnitt und dem Nachfolger-Streckenabschnitt entspricht.

[0079] Die bevorzugte Wahl des Referenzparameterwertes hängt von dem Referenzparameter selbst ab, den zur Verfügung stehenden Alternativrouten von Fahrten außerhalb des mautpflichtigen Streckennetzes sowie insbesondere von der ersten Regel, deren Erfüllung in der ersten Plausibilitätsprüfung geprüft wird.

[0080] So muss für eine Regel, die auf Übereinstimmung des Fahrzeugbewegungsparameterwertes mit einem Referenzparameterwert lautet, der Referenzparameterwert dem einer Fahrzeugbewegung auf einer vorzugsweise bestimmten Fahrtroute innerhalb des mautpflichtigen Streckennetzes entsprechen, wenn die Erfüllung der Regel in der Plausibilitätsprüfung im Sinne eines positiven Ergebnisses auf einen möglichen Fehler hinweisen soll, und für eine Regel, die auf Abweichung des Fahrzeugbewegungsparameterwertes von einem Referenzparameterwert lautet, der Referenzparameterwert dem einer Fahrzeugbewegung auf einer vorzugsweise bestimmten Fahrtroute außerhalb des mautpflichtigen Streckennetzes entsprechen, wenn die Erfüllung der Regel in der Plausibilitätsprüfung im Sinne eines positiven Ergebnisses auf einen möglichen Fehler hinweisen soll, weil ja die mangelnde Erkennung der Fahrt innerhalb des mautpflichtigen Streckennetzes der Fehler ist, den es zu detektieren gilt.

[0081] In diesem Sinne sieht das erfindungsgemäße Verfahren bevorzugt vor, dass der erste Fahrzeugbewegungsparameter einer der folgenden Parameter ist: (i) eine Zeitdifferenz, die abhängig ist von einem ersten Zeitwert als erstem Messwert, der der Vorläufer-Streckenabschnittskennung zugeordnet ist, und zumindest einem zweiten Zeitwert als einem zweiten Messwert, der der Nachfolger-Streckenabschnittskennung zugeordnet ist; (ii) eine Distanz, die abhängig ist von einem ersten Streckenwert als erstem Messwert, der der Vorläufer-Streckenabschnittskennung zugeordnet ist, und zumindest einem zweiten Streckenwert als einem zweiten Messwert, der der Nachfolger-Streckenabschnittskennung zugeordnet ist; (iii) eine mittlere fiktive Fahrzeuggeschwindigkeit, die durch die Division einer Referenzdistanz für das Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen durch die Zeitdifferenz von Ziffer (i) erhalten wurde; (iv) eine Grenzgeschwindigkeitsdauer als Summe von Teildauern, während denen die Fahrzeuggeschwindigkeit als erstem Messwert eine Grenzgeschwindigkeit überschreitet; (v) ein Grenzgeschwindigkeitsdauerverhältnis, das durch die Division der Grenzgeschwindigkeitsdauer von Ziffer (iv) durch die Zeitdifferenz von Ziffer (i) erhalten wurde; (vi) eine Grenzgeschwindigkeitsstrecke als Summe von Teilstrecken, auf denen die Fahrzeuggeschwindigkeit als erstem Messwert eine Grenzgeschwindigkeit überschreitet; (vii) ein Grenzgeschwindigkeitsstreckenverhältnis, das durch die Division der Grenzgeschwindigkeitsstrecke von Ziffer (vi) durch die Distanz von Ziffer (ii) gebildet wurde;
wobei im jeweiligen Falle (i) der erste Referenzparameter eine Referenzzeitdifferenz ist und die erste Regel das Unterschreiten des Referenzzeitdifferenzwertes durch den Zeitdifferenzwert ist; (ii) der erste Referenzparameter eine Referenzdistanz ist und die erste Regel die Übereinstimmung des Distanzwertes mit dem Referenzdistanzwert im Rahmen einer vorgegebenen, maximal zulässigen Abweichung des Distanzwertes von dem Referenzdistanzwert ist; (iii) der erste Referenzparameter eine Referenzgeschwindigkeit ist und die erste Regel das Überschreiten des Referenzgeschwindigkeitswertes durch den Wert der mittleren fiktiven Fahrzeuggeschwindigkeit ist; (iv) der erste Referenzparameter eine Referenzgrenzgeschwindigkeitsdauer ist und die erste Regel das Unterschreiten oder Überschreiten des Referenzgrenzgeschwindigkeitsdauerwertes durch den Grenzgeschwindigkeitsdauerwert ist; (v) der erste Referenzparameter ein Referenzgrenzgeschwindigkeitsdauerverhältnis ist und die erste Regel das Überschreiten des Referenzgrenzgeschwindigkeitsdauerverhältniswertes durch den Grenzgeschwindigkeitsdauerverhältniswert ist; (vi) der erste Referenzparameter eine Referenzgrenzgeschwindigkeitsstrecke ist und die erste Regel das Überschreiten des Referenzgrenzgeschwindigkeitsstreckenwertes durch den Grenzgeschwindigkeitsstreckenwert ist; und (vii) der erste Referenzparameter ein Referenzgrenzgeschwindigkeitsstreckenverhältnis ist und die erste Regel das Überschreiten des Referenzgrenzgeschwindigkeitsstreckenverhältniswertes durch den Grenzgeschwindigkeitsstreckenverhältniswert ist.

[0082] Erwähnt sei, dass die erste Plausibilitätsprüfung auch durch mehrere erste Teilprüfungen auf das Genügen von Werten mehrerer verschiedener Fahrzeugbewegungsparameter hinsichtlich erster Teilregeln bezüglich der Werte der mehreren entsprechend verschiedenen ersten Referenzparameter erfolgen kann. Die erste Plausibilitätsprüfung gilt in manchen Kombinationen von Plausibilitäts-Teilprüfungen und/ oder manchen Kombinationen von Vorläufer-Nachfolger-Streckenabschnitts-Paaren nur dann als fehler-positiv abgeschlossen, wenn alle Teilprüfungen fehler-positiv enden. Die erste Plausibilitätsprüfung gilt dann als fehler-negativ abgeschlossen, wenn wenigstens eine Teilprüfung fehler-negativ endet.
Beispielsweise kann die Fahrstrecke einer mautfreien Route im mautfeien Straßennetz (von beispielsweise Bundes-, Landes-, Kreis- und/ oder Gemeindestraßen) kürzer sein als die Referenzdistanz der Fahrt auf der mautpflichtigen Route im mautpflichtigen Straßennetz (von beispielsweise Autobahnen), wobei die kürzeste Fahrtdauer auf der kürzesten mautfreien Route in der Regel genauso groß ist wie die Fahrtdauer auf der mautpflichtigen Route. Somit ist das fehlerhafte Unterschreiten einer als kürzeste Fahrtdauer festgelegten Referenzzeitdifferenz (auch: Referenzdauer) durch keine Fahrt in irgendeinem der beiden Netze möglich (in diesem Fall wäre das ein fehler-negatives Ergebnis der ersten Teilprüfung). Jedoch ist das Abweichen von der Referenzdistanz durch eine kürzere oder eine längere Fahrstrecke im mautpflichtigen Straßennetz möglich (fehler-negatives Ergebnis der zweiten Teilprüfung). Allerdings existieren im mautfreien Straßennetz auch Routen, deren Länge mit der Referenzdistanz übereinstimmen (fehler-positives Ergebnis der zweiten Teilprüfung). Deswegen wird als Referenzdauer für die Fahrt im mautfreien Streckennetz diejenige gewählt, die der zeitschnellsten Route im mautfreien Straßennetz entspricht, deren Länge gleich der Referenzdistanz der Fahrt im mautpflichtigen Straßennetz ist. Wird nun diese Referenzdauer unterschritten (fehlerpositives Ergebnis), so ist das bei fehler-positivem Ergebnis der Distanzprüfung (Distanz entspricht Autobahnroute) nur möglich, wenn die Autobahn benutzt wurde. Da hierfür jedoch die entsprechende Lücke in der Lückensequenz vorhanden ist, ist dies als eine mögliche unechte Lückensequenz und als ein möglicher Fehler des Mautsystems zu werten. Ein fehler-positives Ergebnis der Zeitdifferenzprüfung (schnellere Fahrt) führt für sich allein genommen noch nicht zu einem fehler-positiven Ergebnis der Plausibilitätsprüfung insgesamt, weil dieses ja auch (in diesem Falle fehlerfrei) auf einer kürzeren Fahrtroute im mautfreien Straßennetz (fehler-negatives Ergebnis der Distanzprüfung) erlangt werden kann. Umgekehrt führt, wie schon oben angedeutet, ein fehler-positives Ergebnis der Distanzprüfung (Distanz entspricht einer Fahrt im mautpflichtigen Straßennetz) für sich allein genommen noch nicht zu einem fehler-positiven Ergebnis der Plausibilitätsprüfung insgesamt, weil diese Distanz ja auch (in diesem Falle fehlerfrei) auf einer langsameren Route im mautfreien Straßennetz zurückgelegt werden konnte.
In anderen Kombinationen von Plausibilitäts-Teilprüfungen und/ oder anderen Kombinationen von Vorläufer-Nachfolger-Streckenabschnitts-Paaren gilt die erste Plausibilitätsprüfung bereits dann als fehler-positiv abgeschlossen, wenn wenigstens eine Teilprüfung fehler-positiv endet. Die erste Plausibilitätsprüfung gilt dann als fehler-negativ abgeschlossen, wenn alle Teilprüfungen fehler-negativ enden.

[0083] Ein Beispiel für eine erfindungsgemäße Einrichtung wird durch eine zentrale Datenverarbeitungseinrichtung eines Mautsystems bereitgestellt, das eine Vielzahl von dezentralen Datenverarbeitungseinrichtungen umfasst, von denen jede von einem mautpflichtigen Fahrzeug mitgeführt wird, dem sie zugeordnet ist, sowie ausgebildet ist, Befahrungsdaten zu erfassen, die repräsentativ sind für die Befahrung von mautpflichtigen Streckenabschnitten eines Netzes von mautpflichtigen Streckenabschnitten durch das mautpflichtige Fahrzeug und eine dezentrale Funk-Kommunikationseinrichtung zumindest zur Versendung von Daten an die zentrale Datenverarbeitungseinrichtung aufweist oder zumindest zeitweise kommunikationstechnisch an eine solche gekoppelt ist, wobei wenigstens eine der Datenverarbeitungseinrichtungen ausgebildet ist, mittels eines Streckenabschnittserkennungsprogramms zur Verarbeitung der Befahrungsdaten die Befahrung der jeweiligen Streckenabschnitte durch das jeweilige Fahrzeug zu erkennen und den jeweiligen Streckenabschnitten entsprechende Streckenabschnittskennungen in der zeitlichen Reihenfolge und/ oder jeweils verknüpft mit einem Zeitwert ihrer Befahrung durch das jeweilige Fahrzeug zu registrieren, dadurch gekennzeichnet, dass die zentrale Datenverarbeitungseinrichtung ausgebildet ist, Befahrungsdaten und/ oder zeitlich geordnete Streckenabschnittkennungen von jeder der Vielzahl von dezentralen Datenverarbeitungseinrichtungen zu empfangen, und die zentrale Datenverarbeitungseinrichtung einen zentralen Datenspeicher aufweist oder zumindest zeitweise kommunikationstechnisch an einen solchen gekoppelt ist, in dem zumindest zeitweise eine Menge von Sequenzen von jeweils mehreren zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen; die jeweils einer von der Vielzahl von dezentralen Datenverarbeitungseinrichtungen zugeordnet sind, gespeichert und zur Verarbeitung an der zentralen Datenverarbeitungseinrichtung bereitgestellt sind, wobei die zentrale Datenverarbeitungseinrichtung ausgebildet ist, (a) für wenigstens eine ausgewählte Streckenabschnittskennung oder wenigstens eine ausgewählte Reihe von mehreren verschiedenen Streckenabschnittskennungen an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten diejenige Menge von ausgewählten Sequenzen aus der Menge der bereitgestellten Sequenzen zu bestimmen, die eine Vorläufer-Streckenabschnittskennung enthalten, die dem Vorläufer-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem ersten Streckenabschnitt der ausgewählten Reihe unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung enthalten, die dem Nachfolger-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem letzten Streckenabschnitt der ausgewählten Reihe unmittelbar nachfolgt, und (ii) diejenige Menge an ausgewählten Lückensequenzen aus der Menge der ausgewählten Sequenzen zu bestimmen, die die ausgewählte Streckenabschnittskennung oder die ausgewählte Reihe an Streckenabschnittskennungen nicht enthalten; (b) für zumindest eine zu untersuchende Lückensequenz der Menge an ausgewählten Lückensequenzen im Zuge wenigstens einer ersten Plausibilitätsprüfung zu prüfen, ob wenigstens ein erster Fahrzeugbewegungsparameterwert, der aus wenigstens einem ersten Messwert der Fahrzeugbewegung, welcher im Zusammenhang mit den Befahrungsdaten von derjenigen dezentralen Datenverarbeitungseinrichtung erfasst wurde, der die zu untersuchende Lückensequenz zugeordnet ist, gebildet oder abgeleitet ist und dem Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen von erkanntem Vorläufer-Streckenabschnitt und erkanntem Nachfolger-Streckenabschnitt zugeordnet wurde, wenigstens einer ersten Regel bezüglich wenigstens eines ersten Referenzparameterwertes für das Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen, der zumindest zeitweise in wenigstens einem zentralen Datenspeicher der zentralen Datenverarbeitungseinrichtung gespeichert ist oder war, genügt; (c) wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, ein Fehler-Signal zu erzeugen wird, das auf einen möglichen Fehler hinweist; und (d) wenn die erste Plausibilitätsprüfung ein negatives Ergebnis erbringt, kein Signal zu erzeugen oder ein Nicht-Fehler-Signal zu erzeugen, das auf keinen Fehler hinweist wobei die zentrale Datenverarbeitungseinrichtung ausgebildet ist, für wenigstens eine ausgewählte Streckenabschnittskennung oder wenigstens eine ausgewählte Reihe von mehreren Streckenabschnittskennungen oder an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten durch die zentrale Datenverarbeitungseinrichtung diejenige Menge von ausgewählten Sequenzen aus der Menge der empfangenen Sequenzen zu bestimmen, die eine Vorläufer-Streckenabschnittskennung enthalten, die dem Vorläufer-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem ersten Streckenabschnitt der ausgewählten Reihe unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung enthalten, die dem Nachfolger-Streckenabschnitt entspricht, der im Netz dem Streckenabschnitt der ausgewählten Streckenabschnittskennung oder dem letzten Streckenabschnitt der ausgewählten Reihe unmittelbar nachfolgt, und diejenige Menge an ausgewählten außerordentlichen Lückensequenzen aus der Menge der ausgewählten Sequenzen zu bestimmen, die die ausgewählte Streckenabschnittskennung oder die ausgewählte Reihe an Streckenabschnittskennungen oder nicht enthalten und die das Fehler-Signal in der ersten Plausibilitätsprüfung ausgelöst haben, wobei die zentrale Datenverarbeitungseinrichtung ferner ausgebildet ist, aus der Anzahl der ausgewählten außerordentlichen Lückensequenzen der Menge von ausgewählten außerordentlichen Lückensequenzen und der Anzahl von ausgewählten Sequenzen der Menge von ausgewählten Sequenzen einen außerordentlichen Lückenquotient zu bilden, und wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, im Zuge einer zweiten Plausibilitätsprüfung zu prüfen, ob der außerordentliche Lückenquotient wenigstens einen ersten Referenzlückenquotienten überschreitet, wenn die zweite Plausibilitätsprüfung ein positives Ergebnis erbringt, durch ein Software-Fehler-Signal zu erzeugen, das auf einen möglichen Softwarefehler hinweist, wenn die zweite Plausibilitätsprüfung ein negatives Ergebnis erbringt, ein Hardware-Fehler-Signal zu erzeugen, das auf einen möglichen Erfassungsfehler hinsichtlich der Erfassung der Befahrungsdaten durch die dezentrale Datenverarbeitungseinrichtung hinweist, von der die Befahrungsdaten stammen, die der untersuchten Lückensequenz zugrunde lagen.

[0084] Vorzugsweise ist das Streckenabschnittserkennungsprogramm in einem jeweiligen Datenspeicher jeder der Vielzahl von dezentralen Datenverarbeitungseinrichtungen gespeichert und die dezentralen Datenverarbeitungseinrichtungen sind jeweils ausgebildet, das Streckenabschnittserkennungsprogramm durch einen jeweiligen dezentralen Prozessor, der von jeder der Vielzahl von dezentralen Datenverarbeitungseinrichtungen umfasst ist, auszuführen.

[0085] Bevorzugte Weiterbildungen der erfindungsgemäßen zentralen Datenverarbeitungseinrichtung ergeben sich durch Ausbildungsmerkmale der erfindungsgemäßen zentralen Datenverarbeitungseinrichtung, die der Durchführung oben angeführter erfindungsgemäßer Verfahrensschritte dienen.

[0086] Nachfolgend wird die Erfindung anhand von zwei Ausführungsbeispielen näher erläutert. Dazu zeigen für beide Ausführungsbeispiele

Fig. 1

eine schematische Darstellung des erfindungsgemäßen Mautsystems,

Fig. 2a

eine schematische Darstellung eines ersten Straßennetzes,

Fig. 2b

eine schematische Darstellung eines gegenüber dem ersten Straßennetz geänderten zweiten Straßennetzes,

Fig. 2c

eine schematische Darstellung eines gegenüber dem ersten Straßennetz geänderten dritten Straßennetzes und

Fig. 3

eine Lückenmatrix für einen Ausschnitt des mautpflichtigen Streckennetzes des Straßennetzes der Fig. 2a, 2b und 2c.

[0087] Für beide Ausführungsbeispiele gilt folgendes:

[0088] Das in Figur 1 dargestellte Mautsystem 10 für ein Vielzahl 210 von N mautpflichtigen Fahrzeugen umfasst eine zentrale Datenverarbeitungseinrichtung 100 in Form einer zentralen Elektronischen Datenverarbeitungsanlage (EDV) in einer Zentrale 110 des Mautsystems 10 und eine Vielzahl 200 von N dezentralen Datenverarbeitungseinrichtungen 200_k von denen jede (200₁, 200₂, ..., 200_N) von einem mautpflichtigen Fahrzeug (210_k) mitgeführt wird, dem sie zugeordnet ist.

[0089] Jede der dezentralen Datenverarbeitungseinrichtungen 200_k ist in Form einer On-Board-Unit (OBU) 200_k ausgebildet, Befahrungsdaten in Form von Positionsdaten des Fahrzeugs 210_k zu erfassen, die repräsentativ sind für die Befahrung von mautpflichtigen Streckenabschnitten eines Netzes von mautpflichtigen Streckenabschnitten durch das mautpflichtige Fahrzeug 210_k. Dazu umfasst jede OBU 200_k eine nicht dargestellte GNSS-Positionsbestimmungseinrichtung in Form eines GPS-Gerätes, das aus GPS-Signalen von GPS-Satelliten, die es empfängt, die Position des Fahrzeugs bestimmen kann.

[0090] Jede OBU 200_k umfasst eine dezentrale Funk-Kommunikationseinrichtung 205_k in Form eines GSM-Moduls, mittels der sie Daten über Funk-Kommunikationswege 320_k eines Kommunikationsnetzwerkes 300, das über eine Kommunikationsleitung 310 mit einem Kommunikationsmodul 105 der Mautzentrale 10 verbunden ist, an die zentrale EDV 100 versenden kann, deren zentraler Prozessor 103 kommunikationstechnisch mit dem Kommunikationsmodul 105 verbunden ist.

[0091] In nicht dargestellten Varianten der beiden Ausführungsbeispiele ist die dezentrale Funkkommunikationseinrichtung 205_k in Form eines eigenständigen Mobiltelefons ausgebildet, das als solches nicht von der OBU umfasst ist, sondern in einer kurzreichweitigen Funkverbindung (beispielsweise einer Bluetooth-Verbindung) kommunikationstechnisch mit der OBU verbunden ist.

[0092] Jede OBU 200_k ist ausgebildet, mittels eines Streckenabschnittserkennungsprogramms, das in einem zweiten Datenspeicher 202_k der OBU 200_k abgespeichert ist und durch einen Prozessor 203_k der OBU ausgeführt wird, die Positionsdaten von dem GPS-Gerät durch den Vergleich mit geographischen Daten von Geo-Objekten, die in einer Datenbank des zweiten Datenspeichers 202 enthalten sind, zu verarbeiten mit dem Ergebnis, die Befahrung der jeweiligen mautpflichtigen Streckenabschnitte durch das Fahrzeug 210_k zu erkennen und den jeweiligen Streckenabschnitten entsprechende, jeweils mit den Geo-Objekten verknüpfte Streckenabschnittskennungen in der zeitlichen Reihenfolge ihrer Befahrung durch das jeweilige Fahrzeug 210_k durch Speichern im ersten Datenspeicher 201_k zu registrieren.

[0093] Zu vorgegebenen Bedingungen versendet jede OBU 200_k mittels des GSM-Moduls 205 k die registrierten Streckenabschnittskennungen einzeln, oder in Teilsequenzen von mehreren Streckenabschnittskennungen an die zentrale EDV, die aus den empfangen Streckenabschnittskennungen aller OBUs 200 der Vielzahl von OBUs eine Menge {Q} von Q Sequenzen von Streckenabschnittskennungen in der Reihenfolge ihrer Befahrung erstellt oder die empfangenen Teilsequenzen als solche in die Menge {Q} aufnimmt.

[0094] In nicht dargestellten Varianten der beiden Ausführungsbeispiele ist das Streckenabschnittserkennungsprogramm in einem Datenspeicher der zentralen EDV 100 abgespeichert und wird durch einen Prozessor der zentralen EDV 100 ausgeführt. Dazu empfängt die zentrale EDV 100 die Positionsdaten der OBUs 200_k auf dem Weg über das Kommunikationsnetz 300.

[0095] Figur 2a zeigt schematisch einen Ausschnitt des Straßennetzes, in dem sich die Vielzahl 210 der Fahrzeuge 210_k mit ihren OBUs 200_k bewegen. Das Straßennetz weist ein mautpflichtiges Autobahnnetz mit mautpflichtigen Streckenabschnitten a_i auf, die durch Auffahrten k_i und Abfahrten k_j gekennzeichnet sind. Im Streckenabschnittserkennungsprogramm sind die mautpflichtigen Streckenabschnitte a_i durch entsprechende Streckenabschnittskennungen s_i repräsentiert, die in Fig. 2a als Bezugszeichen der mautpflichtigen Streckenabschnitte dargestellt sind. Das Autobahnnetz kann mathematisch als Graph dargestellt werden mit den Auf- und Abfahrten k_i, k_j als Knoten und den Streckenabschnitten a_i als Kanten.

[0096] Das Straßennetz weist außerdem ein mautfreies Straßennetz von untergeordneten Bundes- und Landesstraßen auf, das an einigen Knoten des Autobahnnetzes an das mautpflichtige Autobahnnetz angeschlossen ist. Durch Auffahrt auf einen ersten mautpflichtigen Streckenabschnitt a_i verlässt das Fahrzeug das mautfreie Straßennetz. Das Streckenabschnittserkennungsprogramm ist ausgebildet zu erkennen, ob das Fahrzeug den ersten mautpflichtigen Streckenabschnitt a_i durch das Verlassen des mautfreien Streckennetzes befahren hat. In diesem Fall versieht es die registrierte Streckenabschnittskennung s_i mit einem Einfahrts-Zeitstempel der Uhrzeit T_i1 der Auffahrt auf den ersten mautpflichtigen Streckenabschnitt a i. Gleichzeitig registriert es einen ersten Streckenwert, zum Beispiel D_i1 = 0 km, ab der Auffahrt. Das Streckenabschnittserkennungsprogramm ist ferner ausgebildet, die ab der Auffahrt gefahrene Strecke durch einen Datenabgriff von dem Tachometer des Fahrzeugs zu erfassen oder durch Differenzbildung zu ermitteln. Es kann auch ausgebildet sein, kontinuierlich Positionsdaten von dem GPS-Gerät zu empfangen und durch wiederholte Differenzenbildung aufeinander folgender Positionsdaten Teilstrecken zu ermitteln und durch Addition der Teilstrecken eine ab der Auffahrt gefahrene Gesamtstrecke zu ermitteln.

[0097] Durch Abfahrt von dem mautpflichtigen Streckenabschnitt a_i kann das Fahrzeug das mautpflichtige Straßennetz wieder verlassen, es sei denn, es fährt auf dem unmittelbar folgenden mautpflichtigen Streckenabschnitt a_i+1 weiter.

[0098] Das Streckenabschnittserkennungsprogramm ist dazu ausgebildet zu erkennen, ob das mautpflichtige Autobahnnetz an einem Knoten k_i+1 zwischen einem ersten mautpflichtigen Streckenabschnitt a_i und einem zweiten, dem ersten mautpflichtigen Streckenabschnitt a_i unmittelbar nachfolgenden, mautpflichtigen Streckenabschnitt a_i+1 verlassen wurde. Ferner ist es ausgebildet alternativ zu erkennen, ob das Fahrzeug auf dem unmittelbar folgenden mautpflichtigen Streckenabschnitt a_i+1 im Autobahnnetz weiterfährt. Im Falle des Erkennens des Verlassens des Autobahnnetzes versieht das Streckenabschnittserkennungsprogramm die registrierte Streckenabschnittskennung s_i mit einem Abfahrts-Zeitstempel der Uhrzeit T_i2 der Abfahrt von dem ersten mautpflichtigen Streckenabschnitt a_i. Im Falle des Erkennens einer Weiterfahrt auf dem unmittelbar folgenden mautpflichtigen Streckenabschnitt a_i+1 unterbleibt eine Hinzufügung des Zeitstempels zu der Streckenabschnittskennung s_i+1.

[0099] Für den Fall, dass das Streckenabschnittserkennungsprogramm weder das Verlassen des Autobahnnetzes an der Abfahrt k_i+1 erkennen konnte noch die Weiterfahrt auf dem unmittelbar folgenden mautpflichtigen Streckenabschnitt a_i+1 des Autobahnnetzes erkennen konnte, führt das Streckenabschnittserkennungsprogramm die folgende Prozedur durch: Es ermittelt kontinuierlich die ab Auffahrt des Fahrzeugs auf den ersten mautpflichtigen Streckenabschnitt gefahrene Strecke durch Differenzenbildung kontinuierlich gemessener zweiter Streckenwerte D_ij. Sobald eine ermittelte gefahrene Strecke größer ist als ein erster Grenzstreckenwert D_i,max, der einer maximalen Länge des ersten Streckenabschnitts a_i entspricht, wird das Autobahnnetz als verlassen registriert und das Verlassen des Autobahnnetzes durch das Versehen der registrierten Streckenabschnittskennung s_i mit einem Abfahrts-Zeitstempel der Uhrzeit T_i2 der ersatzweise festgestellten Abfahrt von dem ersten mautpflichtigen Streckenabschnitt a_i durch das Streckenabschnittserkennungsprogramm durchgeführt. Damit erhält die Streckenabschnittskennung auch dann einen Abfahrts-Zeitstempel T_i2, wenn das Verlassen des Streckenabschnittes nicht durch Vergleich der Positionsdaten mit dem Geo-Objekt des Knotens k_i+1 durch das Streckenabschnittserkennungsprogramm ermittelt werden konnte.

ERSTES AUSFÜHRUNGSBEISPIEL: DEZENTRALE TEILPRÜFUNG

[0100] In der ersten Variante des ersten Ausführungsbeispiels wird eine erste Fahrt eines LKWs als Fahrzeug 210 im Straßennetz der Fig. 2a betrachtet, die über die mautpflichtigen Streckenabschnitte a₁₀₁ (k₁₀₁, k ₁₀₂) und a₁₀₂ (k₁₀₂, k₁₀₃) mit den Streckenabschnittskennungen s₁₀₁ und s₁₀₂ (kurz: Streckenabschnitte s₁₀₁ und s₁₀₂) und anschließend ein zweites Mal über den mautpflichtigen Streckenabschnitte a₁₀₂ (k ₁₀₂, k₁₀₃) mit der Streckenabschnittskennung s₁₀₂ (kurz: Streckenabschnitt s₁₀₂) auf einer Autobahn führt. Die mittels des durch den Prozessor 203 auf der OBU 200 ausgeführten Streckenabschnittserkennungsprogramms erkannte und im ersten Datenspeicher 201 der OBU 200 registrierte Sequenz von Streckenabschnitten lautet s₁₀₁, s₁₀₂, s₁₀₂.

[0101] Es bestehen zwei alternative Routen, auf denen es zu dieser Sequenz kommen kann: Erstens durch die Befahrung des Streckenabschnittes a₂₀₂ (k₁₀₃, k₁₀₂) mit der Streckenabschnittskennung s₂₀₂, die den Streckenabschnitt der Autobahn bezeichnet, der in Gegenrichtung zum Streckenabschnitt s₁₀₂ liegt; zweitens durch die Befahrung der mautfreien Landesstraßen L 1222 und L 1121 durch das Dorf. Aus Datenschutzgründen wird der Verlauf von Fahrten im mautfreien Streckennetz hinsichtlich der Position des Fahrzeugs nicht erfasst geschweige denn zentralseitig registriert.

[0102] Damit bleibt ohne Weiteres offen, ob der Autobahnabschnitt s₂₀₂ tatsächlich aufgrund der Fahrt im mautfreien Straßennetz nicht benutzt wurde, oder ob aufgrund eines Fehlers die Befahrung des Autobahnabschnittes s₂₀₂ nicht erkannt wurde.

[0103] Ein Lückenerkennungsprogramm, das durch den Prozessor 203 der OBU 200 ausgeführt wird, vergleicht das erste Vorläufer-Nachfolger-Paar an Streckenabschnitten s₁₀₁ und s₁₀₂ mit der im zweiten Datenspeicher 202 abgelegten Lückenmatrix von Fig. 3 und findet in der betreffenden Zelle keine Streckenabschnittsangaben. Damit qualifiziert das Lückenerkennungsprogramm das erste Vorläufer-Nachfolger-Paar an Streckenabschnitten s₁₀₁ und s₁₀₂ als lückenlos, so dass bezüglich dieses ersten Vorläufer-Nachfolger-Paares an Streckenabschnitten s₁₀₁ und s₁₀₂ keine weiteren Analysen durchgeführt werden.

[0104] Anschließend vergleicht das Lückenerkennungsprogramm das zweite Vorläufer-Nachfolger-Paar an Streckenabschnitten s₁₀₂ und s₁₀₂ mit der Lückenmatrix von Fig. 3 und findet in der betreffenden Zelle die Streckenabschnittskennung s₂₀₂. Damit qualifiziert das Lückenerkennungsprogramm das erste Vorläufer-Nachfolger-Paar an Streckenabschnitten s₁₀₂ und s₁₀₂ als lückenbehaftet mit dem Streckabschnitt a₂₀₂ und s1₀₂ als ausgewählter Streckenabschnittskennung und stellt diese zu untersuchende Lückensequenz s₁₀₂, s₁₀₂ für weitere Analysen durch ein erfindungsgemäßes dezentrales Fehlererkennungsprogramm bereit.

[0105] Mit der Abfahrt von dem Streckenabschnitt s₁₀₂ wurde ein erster Zeitwert T_1,102 von einer Funkuhr der OBU 200 erfasst und durch das Streckenabschnittserkennungsprogramm zusammen mit der Kennung des Vorläufer-Streckenabschnitts s₁₀₂ im ersten Datenspeicher 201 gespeichert. Mit der erneuten Auffahrt auf den Streckenabschnitt s₁₀₂ wurde ein zweiter Zeitwert T_2,102 von der Funkuhr der OBU erfasst und durch das Streckenabschnittserkennungsprogramm zusammen mit der Kennung des Nachfolger-Streckenabschnitts s₁₀₂ gespeichert.

[0106] Das dezentrale Fehlererkennungsprogramm, das durch den Prozessor 203 der OBU 200 ausgeführt wird, bildet aus dem ersten Zeitwert und dem zweiten Zeitwert einen Fahrzeugbewegungsparameter in Form einer Zeitdifferenz, die den Wert von 30 Minuten aufweist. Aus einer im zweiten Datenspeicher 202 abgelegten Distanzmatrix entnimmt das Fehlererkennungsprogramm für die zu untersuchende Lückensequenz einen Referenzdistanzwert von 20 km, der der Länge der Strecke für eine Fahrt auf den mautfreien Landesstraßen L 1222 und L 1121 durch das Dorf entspricht. Aus der Zeitdifferenz und dem Referenzdistanzwert berechnet das Fehlerkennungsprogramm eine Durchschnittsgeschwindigkeit für die Fahrt von der Abfahrt des Streckenabschnitts a₁₀₂ zur Auffahrt des Streckenabschnitts a₁₀₂, die 40 km/ h beträgt. Aus einer im zweiten Datenspeicher 202 abgelegten Geschwindigkeitsmatrix entnimmt das Fehlererkennungsprogramm für die zu untersuchende Lückensequenz einen Wert einer Referenzgrenzgeschwindigkeit von 60 km/h. Es prüft anschließend, ob der Wert der als Fahrzeugbewegungsparameter bereitgestellten Durchschnittsgeschwindigkeit der Regel des Überschreitens des Referenzgeschwindigkeitswertes entspricht. Da die festgestellte Durchschnittsgeschwindigkeit mit 40 km/h geringer ist als der Wert der Referenzgrenzgeschwindigkeit von 60 km/h, die auf der Autobahn in der Regel überschritten wird, auf der Fahrt auf den mautfreien Landesstraßen L 1222 und L 1121 durch das Dorf jedoch in der Regel nicht, ist das Prüfungsergebnis negativ mit der Folge, dass kein Fehler-Signal erzeugt wird. Infolgedessen sendet die OBU mittels ihres GSM-Moduls die Streckenabschnitts-Sequenz s₁₀₁, s₁₀₂, s₁₀₂ ohne eine Fehlermeldung an die Zentrale. Eine Übermittlung der erfassten Zeitwerte und ermittelten Fahrzeugbewegungsparameterwerte kann aufgrund des fehler-negativen Prüfergebnisses unterbleiben, so dass die Nutzung dieser Daten ganz im Sinne des Daterischutzes im Privatbereich der nutzereigenen OBU verbleibt.

[0107] Es wird im folgenden angenommen, das Fahrzeug habe anstatt der beschriebenen mautfreien Route tatsächlich den ausgewählten (nicht erkannten) Streckenabschnitt s₂₀₂ befahren, weil sich an diesem Streckenabschnitt eine Tankstelle befindet, die er aufsuchen musste. Durch die mit dem Tanken verbundene Pause ergibt sich dieselbe Zeitdifferenz von 30 min, so dass die vorgenannte Plausibilitätsprüfung fälschlicherweise ein fehler-negatives Ergebnis liefern würde. Ein solches fehlerhaftes Ergebnis kann durch alternative oder zusätzliche Plausibilitätsprüfungen vermieden werden.

[0108] In einer solchen alternativen Plausibilitätsprüfung werden nur die Zeitabschnitte ab Abfahrt von dem Streckenabschnitt s₁₀₂ zur Bildung der Zeitdifferenz berücksichtigt, in denen das Fahrzeug schneller als eine Grenzgeschwindigkeit von 10 km/h fährt. Stillstände des Fahrzeugs an Tankstellen, Rastplätzen oder im Stau können somit von der Betrachtung ausgeschlossen werden. Abzüglich der Stillstandszeit von 24 Minuten an der Tankstelle ergibt sich für eine solche Grenzgeschwindigkeitsdauer der Zeitdifferenzwert von 6 Minuten und bezüglich der Referenzdistanz von 20 km eine Durchschnittsgeschwindigkeit von 200 km/h, die untypisch für einen LKW ist, der auf den mautfreien Landesstraßen L 1222 und L 1121 durch das Dorf fährt. Auf dem Streckenabschnitt s₂₀₂ hingegen, der eine Länge von 7 km besitzt, wäre eine pausenfreie Durchschnittgeschwindigkeit von 70 km/ h plausibel. Insofern ergibt die Regel, die Durchschnittsgeschwindigkeit müsse die pausenfreie Grenzgeschwindigkeit von 60 km/h überschreiten, ein fehlerpositives Ergebnis, das auf einen möglichen Software-Fehler oder einen möglichen Hardware-Fehler schließen lässt, der Ursache für dieses Ergebnis ist.

[0109] In einer zur ersten ursprünglichen Plausibilitätsprüfung zusätzlich durchgeführten Plausibilitätsprüfung können gemessene Streckenwerte verwendet werden:

Mit der Abfahrt von dem Streckenabschnitt s₁₀₂ wurde ein erster Streckenwert D_1,102 eines Tachometers erfasst, der kommunikationstechnisch an die OBU 200 angeschlossen ist, und durch das Streckenabschnittserkennungsprogramm zusammen mit der Kennung des Vorläufer-Streckenabschnitts s₁₀₂ im ersten Datenspeicher 201 gespeichert. Mit der erneuten Auffahrt auf den Streckenabschnitt s₁₀₂ wurde ein zweiter Streckenwert D_2,102 von dem Tachometer erfasst und durch das Streckenabschnittserkennungsprogramm zusammen mit der Kennung des Nachfolger-Streckenabschnitts s₁₀₂ gespeichert.

[0110] Das dezentrale Fehlererkennungsprogramm, das durch den Prozessor 203 der OBU 200 ausgeführt wird, bildet aus dem ersten Streckenwert und dem zweiten Streckenwert einen Fahrzeugbewegungsparameter in Form einer Länge der gefahrenen Strecke, die den Wert von 7,4 Kilometern aufweist. Aus der im zweiten Datenspeicher 202 abgelegten Distanzmatrix entnimmt das Fehlererkennungsprogramm für die zu untersuchende Lückensequenz einen Referenzdistanzwert von 7,0 km, der der Länge des Streckenabschnitts s₂₀₂ entspricht.

[0111] Anschließend prüft es, ob der Wert der als Fahrzeugbewegungsparameter bereitgestellten Länge der gefahrenen Strecke der Regel der Übereinstimmung mit dem Wert der Referenzdistanz von 7,0 bei einer maximalen Abweichung von betragsmäßig 1 km entspricht. Das Ergebnis dieser zusätzlichen Plausibilitätsprüfung ist fehler-positiv, nachdem die ursprüngliche Plausibilitätsprüfung fehler-negativ ausgefallen war. In diesem Fall reicht das fehler-positive Ergebnis der Distanz-Teilprüfung aus, unabhängig von dem fehler-negativen Ergebnis der Zeitdifferenz-/ Durchschnittsgeschwindigkeits-Teilprüfung ein fehler-positives Gesamtresultat der Plausibilitätsprüfung zu erbringen.

[0112] Das vom dezentralen Fehlererkennungsprogramm infolgedessen erzeugte Fehler-Signal besteht in einer Nachricht, die mittels des von der OBU umfassten GSM-Moduls nebst der Kennung der OBU an die zentrale Datenverarbeitungseinrichtung 100 übermittelt wird und zusätzlich zu den Streckenabschnittskennungen s₁₀₂, s₁₀₂ der fehlerhaften (und damit außerordentlichen) Lückensequenz den gemessen Wert der Länge der gefahrenen Strecke enthält oder einen Fehler-Code, der auf die fehler-positive Teilprüfung bezüglich der Referenzdistanz verweist.

[0113] In der zentralen Datenverarbeitungseinrichtung der zentralen EDV 100 werden in einem ersten zentralen Datenspeicher 101 alle Fehlernachrichten zugeordnet zu ihren außerordentlichen Lückensequenzen als Fehler-Signale gespeichert. Zusätzlich werden im ersten zentralen Datenspeicher 101 alle Streckenabschnittssequenzen, die die Sequenz aus Vorläufer-Nachfolger-Paar der Streckenabschnitte s₁₀₂, s₁₀₂ mit oder ohne Lücke, sprich: fehlerhaft oder fehlerfrei mit oder ohne den ausgewählten Streckenabschnitt s₂₀₂, enthalten, gespeichert. Basierend auf einer Menge von 200 derartiger ausgewählter Sequenzen, die über einen Zeitraum von einem Monat empfangen wurden, bildet ein zentrales Fehlererkennungsprogramm, das durch den zentralen Prozessor 103 ausgeführt wird, einen außerordentlichen Lückenquotienten in Form eines Fehlerquotienten aus der Anzahl aller ausgewählten außerordentlichen Lückensequenzen, die den ausgewählten Streckenabschnitt der Lücke s₂₀₂ gemäß der vorangegangenen ersten Plausibilitätsprüfung fehlerhaft nicht enthalten, und der Anzahl aller 200 ausgewählten Sequenzen. Zu den ausgewählten außerordentlichen Lückensequenzen zählt neben der ausgewählten Lückensequenz des LKWs 210 auch eine ältere, ebenfalls gemäß einer vorangegangenen ersten Plausibilitätsprüfung als fehlerhaft qualifizierte Lückensequenz eines anderen LKWs. Die Menge aller ausgewählten Sequenzen mit einem Vorläufer-Streckenabschnitt s₁₀₂ und einem Nachfolger-Streckenabschnitt s₁₀₂ enthält sowohl alle Sequenzen mit dem dazwischen liegenden Strecken abschnitt s₂₀₂, und zwar jeweils in der Reihenfolge s₁₀₂, s₂₀₂, s₁₀₂ in Konformität mit der Lückenmatrix von Fig. 3 als auch alle Lückensequenzen ohne den Streckenabschnitt s₂₀₂, und zwar sowohl die fehlerlosen, für die die vorangegangene erste Plausibilitätsprüfung an der Sequenz s₁₀₂, s₁₀₂ keine Fehlernachricht erzeugt hatte, als auch die zwei fehlerbehafteten des LKWs 210 und des anderen LKWs. Dieser außerordentliche Lückenquotient beläuft sich daher auf 1 %. Der für diese Anzahl 200 der Menge von ausgewählten Sequenzen gültige Referenzlückenquotient beträgt 3 %. Ein Vergleich des ermittelten außerordentlichen Lückenquotienten mit dem Referenzlückenquotienten auf eine Überschreitung des letzteren durch die zentrale EDV ergibt ein negatives Ergebnis dieser zweiten Plausibilitätsprüfung, was auf einen Erfassungsfehler durch die OBU 200 des LKWs 210 hinweist. Dieser Erfassungsfehler wird in einer Datenbank, die Erfassungsfehler aller OBUs protokolliert, zugeordnet zur Kennung der OBU abgespeichert.

[0114] Das Fehlererkennungsprogramm entnimmt dieser Fehlerdatenbank, dass dieser Erfassungsfehler der zehnte Erfassungsfehler dieser OBU binnen eines Monats war. Damit wurde ein Fehlergrenzwert überschritten, der das Senden einer Fehler-Nachricht an die OBU 200 auslöst, die einen Hinweis auf einer Anzeigevorrichtung der OBU zur Anzeige bringt, mit der der Nutzer aufgefordert wird, die OBU 200 binnen einer Woche gegen eine neue OBU auszutauschen.

[0115] In einer zweiten Variante des ersten Ausführungsbeispiels fährt der LKW 210 an der Abfahrt k 104 von dem Streckenabschnitt s₁₀₃ ab und über die Landesstraßenabschnitte L 1423, L 1124, L 1424 und den Bundesstraßenabschnitt B 132 durch die Stadt zu dem Knoten k₃₁₄, an dem der LKW auf den Streckenabschnitt s₃₁₄ des Autobahnnetzes auffährt. Das Vorläufer-Nachfolger-Streckenabschnitts-Paar dieser Lückensequenz lautet s₁₀₃, s₃₁₄. Die ausgewählte Reihe an Streckenabschnittskennungen, die die Lücke für dieses Paar bildet, lautet s₁₀₄, s₁₀₅, s₁₀₆, s₃₁₂, s₃₁₃.

[0116] Im mautfreien Streckennetz existiert nun eine Strecke über die Bundesstraßenabschnitte B 131 und B 132, deren Länge mit insgesamt 35 km kürzer ist als die Gesamtlänge der mautpflichtigen Strecke von 50 km über die ausgewählte Reihe an Lücken-Abschnitten. Die Fahrzeit ist auf beiden Routen jedoch im Idealfall identisch. Eine auf der Zeitdifferenz zwischen beiden Knoten k₁₀₄ und k₃₁₄ basierende erste Plausibilitäts-Teilprüfung würde daher für diese räumliche Abkürzungsroute im mautfreien Netz fehler-positiv sein. Eine auf der Distanz zwischen beiden Knoten k₁₀₄ und k₃₁₄ basierende zweite Plausibilitäts-Teilprüfung würde daher für diese Abkürzungsroute im mautfreien Netz richtigerweise fehler-negativ sein, weil die Bundesstraßenroute hinsichtlich ihrer Länge signifikant von Autobahnroute mit einer Referenzdistanz von 50 km abweicht.

[0117] Im Falle einer solchen räumlichen Abkürzung und insbesondere zeitlichen Abkürzung einer Fahrt im mautfreien Straßennetz reicht es für ein insgesamt fehler-positives Ergebnis der Plausibilitätsprüfung nicht aus, wenn nur eine Teilprüfung ein fehler-positives Ergebnis ergibt.

[0118] Umgekehrt gilt für die beschriebene Strecke über die Landesstraßen, deren Länge (ebenso wie die mautpflichtige Strecke) 50 km beträgt, dass eine auf der Distanz zwischen beiden Knoten k₁₀₄ und k₃₁₄ basierende zweite Plausibilitäts-Teilprüfung für diese Route im mautfreien Netz fehler-positiv sein würde, wobei aufgrund der längeren Fahrzeit die auf der Zeitdifferenz zwischen beiden Knoten k₁₀₄ und k₃₁₄ basierende erste Plausibilitäts-Teilprüfung ein fehler-negatives Ergebnis ergeben würde.

[0119] Nur in dem Fall, in dem die Zeitdauer der gefahrenen Strecke kürzer ist als die Referenzzeitdifferenz der gleichlangen Alternativroute im mautfreien Straßennetz (fehler-positives Ergebnis der ersten Teilprüfung) und die Länge der gefahrenen Strecke vergleichbar ist mit der Referenzdistanz auf den mautpflichtigen Streckenabschnitten (fehler-positives Ergebnis der zweiten Teilprüfung), ergibt sich ein insgesamt fehler-positives Ergebnis der Gesamt-Prüfung.

ZWEITES AUSFÜHRUNGSBEISPIEL: VOLLSTÄNDIGE ZENTRALE PRÜFUNG

[0120] Die zentrale EDV 100 empfängt Streckenabschnittskennungen s_i von jeder OBU 200_k, die von jedem LKW 210_k, der das Straßennetz, von dem in Fig. 3a, 3b und 3c jeweils ein Teil dargestellt ist, befährt, mitgeführt wird. Die entsprechenden Streckenabschnitte a_i wurden von dem Streckenabschnittserkennungsprogramm der OBU 200 k als befahren erkannt und registriert. Die Streckenabschnittskennungen s_i der erkannten Streckenabschnitte a_i werden mittels des von jeder OBU 200_k umfassten GSM-Moduls über das Mobilfunk-Kommunikations-Netz 300 an die zentrale EDV zusammen mit einer Kennung der OBU 200_k und Messwerten der Zeit von einer Funkuhr und Messwerten der Strecke von einem Tachometer übertragen, die zusammen mit der Auffahrt auf einen Streckenabschnitt a_m und der Abfahrt von einem Streckenabschnitt a_n durch die OBU 200_k erfasst wurden, die an die Funkuhr und das Tachometer gekoppelt ist.

[0121] Die zentrale EDV bildet aus den empfangenen Streckenabschnitten s_i eine Menge {Q} von Q Sequenzen von jeweils mehreren zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen (s_i, ...,s_j).

[0122] Im Kontext eines Fehlerdurchsuchungsprogramms wählt die zentrale EDV eine Streckenabschnittskennung s_m aus, für die die Q Sequenzen, die diese Streckenabschnittskennung nicht enthalten, auf Fehler untersucht werden sollen. Im Kontext eines Fehlerdurchsuchungsprogramms wählt die zentrale EDV auch eine Reihe R_mn von mehreren zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen (s_m, s_n) oder (s_m, ..., s_n) aus, für die die Q Sequenzen, die diese Reihe R_mn an Streckenabschnittskennungen nicht enthalten, auf Fehler untersucht werden sollen.

[0123] Mittels eines Lückenerkennungsprogramms, das dem des ersten Ausführungsbeispiels entspricht, bestimmt die zentrale EDV zunächst diejenige Menge {Q_mn} von Q_mn ausgewählten Sequenzen aus der Menge {Q} der empfangenen Sequenzen, die eine Vorläufer-Streckenabschnittskennung s_m-1 enthalten, die dem Vorläufer-Streckenabschnitt a_m-1 entspricht, der im Netz dem Streckenabschnitt a_m der ausgewählten Streckenabschnittskennung s_m oder dem ersten Streckenabschnitt a_m der ausgewählten Reihe R_mn unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung s_m+1 oder s_n+1 enthalten, die dem Nachfolger-Streckenabschnitt a_m+1 oder a_n+1 entspricht, der im Netz dem Streckenabschnitt a_m der ausgewählten Streckenabschnittskennung s _m oder dem letzten Streckenabschnitt a_n der ausgewählten Reihe R_mn unmittelbar nachfolgt. Anschließend bestimmt die zentrale EDV diejenige Menge {Q0_mn} an Q0_mn ausgewählten Lückensequenzen aus der Menge {Q_nm} der Q_mn ausgewählten Sequenzen, die die ausgewählte Streckenabschnittskennung s_m oder die ausgewählte Reihe R_nm an Streckenabschnittskennungen (s_m, s_n) oder (s_m, ..., s_n) nicht enthalten. Für diese Q_mn ausgewählten Sequenzen führt die zentrale EDV eine erste Plausibilitätsprüfung durch, indem sie aus den Zeitmesswerten des Vorläufer- und des Nachfolger-Streckenabschnitts eine Zeitdifferenz bildet und aus den Streckenmesswerten des Vorläufer- und des Nachfolger-Streckenabschnitts eine Distanz bildet und in einer ersten Teilprüfung das Unterschreiten einer unter den Streckenabschnittskennungen des Vorläufer-Nachfolger-Paars aus einer Zeitdifferenzmatrix entnommenen Referenzzeitdifferenz durch die gemessene Zeitdifferenz prüft und in einer zweiten Teilprüfung die Übereinstimmung einer unter den Streckenabschnittskennungen des Vorläufer-Nachfolger-Paars aus einer Distanzmatrix entnommenen Referenzdistanz mit der gemessenen Distanz prüft. Die Datensätze aller ausgewählten Lückensequenzen, für die die Gesamtheit von Teilprüfungen entsprechend den Ausführungen zum ersten Ausführungsbeispiel ein fehler-positives Ergebnis der ersten Plausibilitätsprüfung ergibt, werden durch die zentrale EDV mit einem Fehler-Code versehen. Diese, mit einem solchen Fehler-Code versehenen, ausgewählten Lückensequenzen werden von der zentralen EDV als ausgewählte außerordentliche Lückensequenzen erkannt.

[0124] Anschließend wird durch die zentrale EDV aus der Anzahl Q0_mn^(f) der ausgewählten außerordentlichen Lückensequenzen der Menge {Q_0mn^(f)} von ausgewählten außerordentlichen Lückensequenzen und der Anzahl Q_mn von ausgewählten Sequenzen der Menge {Q_mn} von ausgewählten Sequenzen ein außerordentlicher Lückenquotient q0_mn^(f) = Q0_mn^(f)/Q_mn gebildet. Dabei werden alle Lückensequenzen der Menge {Q} berücksichtigt, die innerhalb eines vorgegebenen Zeitraumes von einem Monat von der zentralen EDV empfangen wurden.

[0125] Die Durchführung der zweiten Plausibilitätsprüfung durch die zentrale EDV wird anhand von zwei verschiedenen Fahrtrouten durch das Straßennetz der Fig. 2a, 2b und 2c erläutert:

Die erste Fahrtroute folgt dem Verlauf der Autobahn, wobei die Fahrzeuge 210_k die Streckenabschnitte s₁₀₂, s₁₀₃ und s₁₀₄ befahren. Die ausgewählte Streckenabschnittskennung ist s₁₀₃, der Vorläufer-Streckenabschnitt ist s₁₀₂ und der Nachfolger-Streckenabschnitt ist s₁₀₄. Die ausgewählten Sequenzen von Streckenabschnitten lauten (s₁₀₂, s₁₀₃, s₁₀₄) und (s₁₀₂, s₁₀₄); die ausgewählte Lückensequenz lautet (s₁₀₂, s₁₀₄): Von der Menge {Q0_mn} an Q0_mn dieser ausgewählten Lückensequenzen wird jede Lückensequenz mittels der ersten Plausibilitätsprüfung auf einen möglichen Fehler untersucht. Über einen ersten vorgegebenen Zeitraum von einem Monat bis zu einem ersten Eingangsdatum der neuesten ausgewählten Lückensequenz werden im Falle dieses Ausführungsbeispieles durch die erste Plausibilitätsprüfung nur drei Fehler-Signale erzeugt, die diese ausgewählten Lückensequenzen als außerordentlich kennzeichnen. Im Gegenzug umfasst die Menge an Sequenzen - sprich: die Menge an Fahrten -, die das Vorläufer-Nachfolger-Paar s₁₀₂, s₁₀₄ mit oder ohne den Streckenabschnitt enthalten, einhunderttausend (100.000). Der außerordentliche Lückenquotient beträgt somit 0,003 %. Mit der zweiten Plausibilitätsprüfung wird geprüft, ob dieser außerordentliche Lückenquotient einen ersten Referenzlückenquotient von 0,1 % überschreitet. Das Ergebnis dieser zweiten Plausibilitätsprüfung ist negativ, was zur Erzeugung eines Hardware-Fehler-Signals führt, das auf einen Erfassungsfehler der betreffenden OBUs hinweist, von der die ausgewählten außerordentlichen Lückensequenzen stammen. Über einen zweiten vorgegebenen Zeitraum von einem Monat bis zu einem zweiten Eingangsdatum der neuesten ausgewählten Lückensequenz, das später liegt als das erste Eingangsdatum, erbringt die erste Plausibilitätsprüfung nun 1000 Fehler-Signale bei einer gleichbleibenden Gesamtanzahl von 100.000 Fahrten. In der zweiten Plausibilitätsprüfung wird nun fehler-positiv festgestellt, dass der erste Referenzlückenquotient von 0,1 % durch den außerordentlichen Lückenquotienten des zweiten Zeitraums von 1 % überschritten wurde. Daraufhin gibt die zentrale EDV ein Software-Fehler-Signal aus. Gleichzeitig stellt die zentrale EDV fest, dass der außerordentliche Lückenquotient im Vergleich mit früheren Ergebnissen der zweiten Plausibilitätsprüfung kontinuierlich ansteigt.

[0126] Die zentrale EDV ist ausgebildet, den vorgegebenen Zeitraum der zweiten Plausibilitätsprüfung zu verkürzen in den Fällen, in denen die zweite Plausibilitätsprüfung ein fehler-positives Ergebnis bringt. Für einen dritten vorgegebenen Zeitraum von 24 Stunden bis zum minutengenauen zweiten Eingangsdatum stellt das Fehlererkennungsprogramm fest, dass 900 Fehler-Signale auf eine Gesamtheit von 3000 Fahrten kommen. Dies entspricht einem außerordentlichen Lückenquotienten von 30%. In einer dritten Plausibilitätsprüfung stellt die zentrale EDV fest, dass dieser außerordentliche Lückenquotient einen zweiten Referenzlückenquotienten von 10% überschreitet. Infolgedessen gibt die zentrale EDV ein Erkennungs-Fehler-Signal aus, das auf einen Erkennungsfehler für den Streckenabschnitt s₁₀₄ hinweist. Mit einer Überprüfung vor Ort an dem Knoten k₁₀₃, den das Fahrzeug passieren muss, um vom Vorläufer-Streckenabschnitt auf den Lücken-Streckenabschnitt zu gelangen, wird festgestellt, dass die Straßenführung im Bereich dieses Knotens k₁₀₃ geändert wurde, was durch die quadratische Darstellung dieses Knotens k₁₀₃ in der Fig. 2b, die das Straßennetz der Fig. 2a zu einem späteren Zeitpunkt darstellt, veranschaulicht ist.

[0127] Diese Veränderung der Straßenführung im Bereich des Knotens k₁₀₃ hat dazu geführt, dass das Streckenabschnittserkennungsprogramm die Befahrung des Lücken-Streckenabschnitts s₁₀₃ nicht mehr zuverlässig erkennt.

[0128] Die zweite Fahrtroute umfasst die Streckenabschnitte s₁₀₁ auf der Autobahn und die Streckenabschnitte L 1121, L 1122, L 1123, L 1124 und L 1125 sowie den Autobahnabschnitt s₃₁₅ gemäß Fig. 2a.

[0129] Die ausgewählte Reihe von Streckenabschnittskennungen lautet s102, s₁₀₃, s₁₀₄, s₁₀₅, s₁₀₆, s₃₁₂, s₃₁₃, s ₃₁₄; der Vorläufer-Streckenabschnitt ist s₁₀₁ und der Nachfolger-Streckenabschnitt ist s₃₁₅. Die ausgewählten Sequenzen von Streckenabschnitten lauten (s₁₀₁, s₁₀₂, s₁₀₃, s₁₀₄, s₁₀₅, s₁₀₆, s₃₁₂, s₃₁₃, s ₃₁₄, s₃₁₅) und (s₁₀₁, s₃₁₅); die ausgewählte Lückensequenz lautet (s₁₀₁, s₃₁₅): Von der Menge {Q0_mn} an Q0_mn dieser ausgewählten Lückensequenzen wird jede Lückensequenz mittels der ersten Plausibilitätsprüfung auf einen möglichen Fehler untersucht.

[0130] Dabei beruht die erste Plausibilitätsprüfung auf einer Prüfung daraufhin, ob die gemessene Zeitdifferenz für die Fahrt von dem Vorläufer-Streckenabschnitt s₁₀₁ zu dem Nachfolger-Streckenabschnitt s₃₁₄ kleiner ist als eine Referenzzeitdifferenz, die der schnellsten Fahrtzeit von 60 Minuten über die besagte Route im mautfreien Straßennetz durch die Stadt entspricht. Über einen ersten vorgegebenen Zeitraum von einem Monat bis zu einem ersten Eingangsdatum der neuesten ausgewählten Lückensequenz wird durch die erste Plausibilitätsprüfung nur ein Fehler-Signal erzeugt, das eine der untersuchten ausgewählten Lückensequenzen als außerordentlich kennzeichnet. Im Gegenzug umfasst die Menge an Sequenzen - sprich: die Menge an Fahrten - , die das Vorläufer-Nachfolger-Paar (s ₁₀₁, s₃₁₅) mit oder ohne den Streckenabschnitt enthalten, zehntausend (10.000). Der außerordentliche Lückenquotient beträgt somit 0,01 %. Mit der zweiten Plausibilitätsprüfung wird geprüft, ob dieser außerordentliche Lückenquotient einen ersten Referenzlückenquotient von 0,1 % überschreitet. Das Ergebnis dieser zweiten Plausibilitätsprüfung ist negativ, was zur Erzeugung eines Hardware-Fehler-Signals führt, das auf einen Erfassungsfehler der betreffenden OBU hinweist, von der die ausgewählte außerordentliche Lückensequenz stammt.

[0131] Über einen zweiten vorgegebenen Zeitraum von einem Monat bis zu einem zweiten Eingangsdatum der neuesten ausgewählten Lückensequenz, das später liegt als das erste Eingangsdatum, erbringt die erste Plausibilitätsprüfung nun 30 Fehler-Signale bei einer gleichbleibenden Gesamtanzahl von 10.000 Fahrten. Dabei wurde in der ersten Plausibilitätsprüfung festgestellt, dass die gemessene Zeitdifferenz in allen Fehlerfällen weniger als 60 Minuten beträgt.

[0132] In der zweiten Plausibilitätsprüfung wird nun fehler-positiv festgestellt, dass der erste Referenzlückenquotient von 0,1 % durch den außerordentlichen Lückenquotienten des zweiten Zeitraums von 0,3 % überschritten wurde. Daraufhin gibt die zentrale EDV ein Software-Fehler-Signal aus. Gleichzeitig stellt die zentrale EDV fest, dass der außerordentliche Lückenquotient im Vergleich mit früheren Ergebnissen der zweiten Plausibilitätsprüfung konstant geblieben ist. Dies nimmt die zentrale EDV zum Anlass, festzustellen, dass zunächst nicht mit einem Überschreiten des zweiten Referenzlückenquotienten zu rechnen ist.

[0133] Infolgedessen gibt die zentrale EDV ein Referenz-Fehler-Signal aus, das auf einen Referenzfehler für Lücken der oben genannten Reihe beziehungsweise für Vorläufer-Nachfolger-Paare von Streckenabschnitten (s₁₀₁, s₃₁₅) hinweist. Mit einer Überprüfung der mautfreien Strecke vor Ort wird festgestellt, dass die Straßenführung im Bereich der Stadt geändert wurde, indem die Stadt - wie in Fig. 2c dargestellt, eine Ortsumfahrung U 11234 erhalten hat, auf der die Landesstraßenabschnitte L 1123 und L 1124 - und mit ihnen die Stadt - umfahren werden können. Auf dieser Alternativroute ergibt sich eine wesentlich kürzere Fahrzeit als durch die Stadt. Die gemessenen Zeitdifferenzen, die zu dem Fehler-Signal der ersten Plausibilitätsprüfung führten liegen im Bereich von 45 Minuten bis 50 Minuten mit einem Mittelwert bei 48 Minuten. Die zentrale EDV ist ausgebildet, aufgrund des Referenz-Fehler-Signals den Wert der Referenzzeitdifferenz für das besagte Vorläufer-Nachfolger-Paar von Streckenabschnitten (s₁₀₁, s₃₁₅) in der Zeitdifferenz-Matrix zu ändern. Dabei wird durch das mittels des zentralen Prozessors ausgeführten Fehlererkennungsprogramms der im zweiten zentralen Datenspeicher gespeicherte Wert der Referenzzeitdifferenz für das besagte Vorläufer-Nachfolger-Paar von Streckenabschnitten (s₁₀₁, s₃₁₅) durch einen geänderten Wert der Referenzzeitdifferenz ersetzt. Dieser geänderte Werte entspricht dem ermittelten Mittelwert abzüglich des Doppelten der maximalen Abweichung eines gemessen Zeitdifferenzwertes, der nicht um mehr als 10 % geringer ist als der Mittelwert selbst. Diese maximale Abweichung beträgt 3 Minuten, so dass der geänderte Wert der Referenzzeit 42 Minuten beträgt.

[0134] Für den Fall, in dem das Mautsystem ausgebildet ist, die erste Plausibilitätsprüfung - wie im ersten Ausführungsbeispiel beschrieben - durch die OBU durchführen zu lassen, ist die zentrale EDV ausgebildet, den geänderten Wert der Referenzzeitdifferenz über das Mobilfunknetz an jede OBU der Vielzahl 200 von OBUs zu übermitteln, die ihrerseits ausgebildet sind, den in ihrem zweiten Datenspeicher gespeicherten Wert der Referenzzeitdifferenz durch den geänderten Wert der Referenzzeitdifferenz zu überschreiben.

Ansprüche

1. Verfahren zur Fehlererkennung in einem Mautsystem, das
wenigstens eine zentrale Datenverarbeitungseinrichtung (100) und
wenigstens eine Vielzahl von dezentralen Datenverarbeitungseinrichtungen (200) umfasst,
von denen jede (200_k)

i) von einem mautpflichtigen Fahrzeug (210_k) mitgeführt wird, dem sie zugeordnet ist, sowie

ii) ausgebildet ist, Befahrungsdaten zu erfassen, die repräsentativ sind für die Befahrung von mautpflichtigen Streckenabschnitten (a_i) eines Netzes von mautpflichtigen Streckenabschnitten durch das mautpflichtige Fahrzeug (210_k) und

iii) eine dezentrale Funk-Kommunikationseinrichtung (205_k) zumindest zur Versendung von Daten an die zentrale Datenverarbeitungseinrichtung (100) aufweist oder zumindest zeitweise kommunikationstechnisch an eine solche gekoppelt ist,

wobei
wenigstens eine der Datenverarbeitungseinrichtungen (100/200_k) ausgebildet ist,
mittels eines Streckenabschnittserkennungsprogramms zur Verarbeitung der Befahrungsdaten die Befahrung der jeweiligen Streckenabschnitte (a_i) durch das jeweilige Fahrzeug (210 k) zu erkennen und den jeweiligen Streckenabschnitten (a i) entsprechende Streckenabschnittskennungen (s_i) in der zeitlichen Reihenfolge und/ oder jeweils verknüpft mit einem Zeitwert ihrer Befahrung durch das jeweilige Fahrzeug (210_k) zu registrieren,
wobei

a) durch zumindest eine der Datenverarbeitungseinrichtungen (100/200_k) wenigstens eine zu untersuchende Lückensequenz (Q0_mn^(u)), die von wenigstens einer Sequenz von jeweils mehreren, einem bestimmten Fahrzeug (210_k) zugeordneten, zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen (s_i, ... ,s_j) umfasst ist, bereitgestellt wird,
wobei die zu untersuchende Lückensequenz (Q0_mn^(u)) dadurch gekennzeichnet ist, dass sie wenigstens eine ausgewählte Streckenabschnittskennung (s_m) oder wenigstens eine ausgewählte Reihe (R_mn) von mehreren verschiedenen Streckenabschnittskennungen (s_m, s_n oder s_m, ..., s_n) an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten (a_m, a oder a_m, ..., a_n) nicht enthält und
eine Vorläufer-Streckenabschnittskennung (s_m-1) enthält, die dem Vorläufer-Streckenabschnitt (a_m-1) entspricht, der im Netz dem Streckenabschnitt (a_m) der ausgewählten Streckenabschnittskennung (s_m) oder dem ersten Streckenabschnitt (a_m) der ausgewählten Reihe (R_m) unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung (s_m+1 oder s_n+1) enthält, die dem Nachfolger-Streckenabschnitt (a_m+1 oder a_n+1) entspricht, der im Netz dem Streckenabschnitt (a_m) der ausgewählten Streckenabschnittskennung (s_m) oder dem letzten Streckenabschnitt (a_n) der ausgewählten Reihe (R_mn) unmittelbar nachfolgt;

b) für die zu untersuchende Lückensequenz (Q0_mn^(u)) im Zuge wenigstens einer ersten Plausibilitätsprüfung durch zumindest eine der Datenverarbeitungseinrichtungen (100/200_k) geprüft wird, ob
wenigstens ein erster Fahrzeugbewegungsparameterwert,
der aus wenigstens einem ersten Messwert der Fahrzeugbewegung, welcher im Zusammenhang mit den Befahrungsdaten von der dezentralen Datenverarbeitungseinrichtung (200_k) erfasst wurde, gebildet oder abgeleitet ist
und dem Vorläufer-Nachfolger-Paar an Vorläufen- und Nachfolger-Streckenabschnittskennungen (s_m-1, s_m+1 oder s_n+1) von erkanntem Vorläufer-Streckenabschnitt (a_m-1) und erkanntem Nachfolger-Streckenabschnitt (a_m+1 oder a_n+1) zugeordnet wurde,
wenigstens einer ersten Regel bezüglich wenigstens eines ersten Referenzparameterwertes für das Vorläufer-Nachfolger-Paar (s_m-1, s_m+1 oder s_n+1),
der zumindest zeitweise in wenigstens einem zentralen Datenspeicher (101) der zentralen Datenverarbeitungseinrichtung (100) gespeichert ist oder war,
genügt;
wobei

c) wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung (100/200_k) ein Fehler-Signal erzeugt wird, das auf einen möglichen Fehler hinweist;
und

d) wenn die erste Plausibilitätsprüfung ein negatives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung (100/200_k) kein Signal erzeugt wird oder ein Nicht-Fehler-Signal erzeugt wird, das auf keinen Fehler hinweist;
dadurch gekennzeichnet, dass
die zentrale Datenverarbeitungseinrichtung (100) von der Vielzahl von dezentralen Datenverarbeitungseinrichtungen (200)

- eine Menge ({Q}) von (Q) Sequenzen von jeweils mehreren zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen (s_i, ... ,s_j)
oder

- Befahrungsdaten empfängt, aus denen die zentrale Datenverarbeitungseinrichtung mittels des Streckenabschnittserkennungsprogramms die Menge ({Q}) von (Q) besagten Sequenzen erlangt, und
für wenigstens eine ausgewählte Streckenabschnittskennung s_m oder wenigstens eine ausgewählte Reihe (R_mn) von mehreren Streckenabschnittskennungen (s_m, s_n) oder (s_m, ..., s_n) an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten (a_m, a_n oder a_n, ..., a _m) durch die zentrale Datenverarbeitungseinrichtung (100)

- diejenige Menge ({Q_mn}) von (Q_mn) ausgewählten Sequenzen aus der Menge ({Q}) der empfangenen Sequenzen bestimmt wird, die eine Vorläufer-Streckenabschnittskennung (s_m-1) enthalten, die dem Vorläufer-Streckenabschnitt (a_m-1) entspricht, der im Netz dem Streckenabschnitt (a_m) der ausgewählten Streckenabschnittskennung (s_m) oder dem ersten Streckenabschnitt (a_m) der ausgewählten Reihe (R_mn) unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung (s_m+1 oder s_n+1) enthalten, die dem Nachfolger-Streckenabschnitt (a_m+1 oder a_n+1) entspricht, der im Netz dem Streckenabschnitt (a_m) der ausgewählten Streckenabschnittskennung (s_m) oder dem letzten Streckenabschnitt (a_n) der ausgewählten Reihe (R_mn) unmittelbar nachfolgt,
und

- diejenige Menge ({Q0_mn^(f)}) an (Q0_mn^(f)) ausgewählten außerordentlichen Lückensequenzen aus der Menge ({Q_nm}) der ausgewählten Sequenzen bestimmt wird, die die ausgewählte Streckenabschnittskennung (s_m) oder die ausgewählte Reihe (R_nm) an Streckenabschnittskennungen (s_m, s_n oder s_m, ..., s_n) nicht enthalten und die das Fehler-Signal in der ersten Plausibilitätsprüfung ausgelöst haben,

wobei
ferner aus der Anzahl (Q0_mn^(f)) der ausgewählten außerordentlichen Lückensequenzen der Menge ({Q0_mn^(f)}) von ausgewählten außerordentlichen Lückensequenzen und der Anzahl (Q_mn) von ausgewählten Sequenzen der Menge ({Q_mn}) von ausgewählten Sequenzen ein außerordentlicher Lückenquotient (q0_mn^(f) = Q0_mn^(f)/Q_mn) gebildet wird, und wobei

e) wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, im Zuge einer zweiten Plausibilitätsprüfung durch eine der Datenverarbeitungseinrichtungen (100/ 200_k) geprüft wird, ob der außerordentliche Lückenquotient (q0_mn^(f)= Q0_mn/Q_mn) wenigstens einen ersten Referenzlückenquotienten überschreitet;

f) wenn die zweite Plausibilitätsprüfung ein positives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung (100/200_k) ein Software-Fehler-Signal erzeugt wird, das auf einen möglichen Softwarefehler hinweist;

g) wenn die zweite Plausibilitätsprüfung ein negatives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung (100/200_k) ein Hardware-Fehler-Signal erzeugt wird, das auf einen möglichen Erfassungsfehler hinsichtlich der Erfassung der Befahrungsdaten durch die dezentrale Datenverarbeitungseinrichtung (200_k) hinweist, von der die Befahrungsdaten stammen, die der untersuchten Lückensequenz zugrunde lagen.

2. Verfahren nach Anspruch 1 dadurch gekennzeichnet, dass

h) in einer dritten Plausibilitätsprüfung geprüft wird, ob der Lückenquotient einen vorgegebenen zweiten Referenzlückenquotienten überschreitet, der größer ist als der erste Referenzlückenquotient,
wobei

i) wenn die dritte Plausibilitätsprüfung ein positives Ergebnis erbringt, durch die zentrale Datenverarbeitungseinrichtung ein Erkennungs-Fehler-Signal erzeugt wird, das auf einen tatsächlichen Erkennungsfehler des Streckenabschnittserkennungsprogramms hinweist
und

j) wenn die dritte Plausibilitätsprüfung ein negatives Ergebnis erbringt, die zentrale Datenverarbeitungseinrichtung bei positivem Ergebnis der zweiten Plausibilitätsprüfung ein Referenz-Fehler-Signal erzeugt, das auf einen tatsächlichen Referenzfehler des Referenzparameterwertes hinweist.

3. Verfahren nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, dass die prüfende Datenverarbeitungseinrichtung die zentrale Datenverarbeitungseinrichtung (100) ist, wobei
die zentrale Datenverarbeitungseinrichtung (100) Befahrungsdaten und/ oder wenigstens eine Sequenz (Q^(k)) von mehreren zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen (s_i, ... ,s_j) zusammen mit wenigstens dem ersten Messwert und/ oder wenigstens dem ersten Fahrzeugbewegungsparameterwert von der dezentralen Datenverarbeitungseinrichtung (200_k) empfängt.

4. Verfahren nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, dass ein Lückenquotient (q0_mn) nur dann gebildet und die zweite Plausibilitätsprüfung nur dann durchgeführt wird, wenn die Anzahl (Q_mn) der ausgewählten Sequenzen nicht kleiner ist als eine vorgegebene Mindestanzahl (Q_mn^(min)) und nicht größer ist als eine vorgegebene Maximalanzahl (Q_mn^(max)), wobei die vorgegebene Mindestanzahl (Q_mn^(min)) gleich 100 und die vorgegebene Maximalanzahl (Q_mn^(max)) gleich 1.000.000 ist.

5. Verfahren nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, dass ausgelöst durch das Referenz-Fehler-Signal mittels der zentralen Datenverarbeitungseinrichtung (100) der fehlerhafte Referenzparameterwert im zentralen Datenspeicher (101) durch einen geänderten Referenzparameterwert ersetzt wird, der so weit von dem fehlerhaften Referenzparameter abweicht, dass der erste Fahrzeugbewegungsparameterwert, bezüglich dessen die erste Plausibilitätsprüfung ein positives Ergebnis erbracht hatte, in einer erneuten ersten Plausibilitätsprüfung gemäß der ersten Regel bezüglich des geänderten Referenzparameterwertes eine negatives Ergebnis bringen würde.

6. Verfahren zur Fehlererkennung in einem Mautsystem, das
wenigstens eine zentrale Datenverarbeitungseinrichtung (100) und
wenigstens eine Vielzahl von dezentralen Datenverarbeitungseinrichtungen (200) umfasst,
von denen jede (200_k)

i) von einem mautpflichtigen Fahrzeug (210_k) mitgeführt wird, dem sie zugeordnet ist, sowie

ii) ausgebildet ist, Befahrungsdaten zu erfassen, die repräsentativ sind für die Befahrung von mautpflichtigen Streckenabschnitten a_i eines Netzes von mautpflichtigen Streckenabschnitten durch das mautpflichtigen Fahrzeug (210_k) und

iii) eine dezentrale Funk-Kommunikationseinrichtung (205_k) zumindest zur Versendung von Daten an die zentrale Datenverarbeitungseinrichtung (100) aufweist oder zumindest zeitweise kommunikationstechnisch an eine solche gekoppelt ist,

wobei
wenigstens eine der Datenverarbeitungseinrichtungen (100/200_k) ausgebildet ist,
mittels eines Streckenabschnittserkennungsprogramms zur Verarbeitung der Befahrungsdaten die Befahrung der jeweiligen Streckenabschnitte (a_i) durch das jeweilige Fahrzeug (210_k) zu erkennen und den jeweiligen Streckenabschnitten (a_i) entsprechende Streckenabschnittskennungen (s_i) in der zeitlichen Reihenfolge und/ oder jeweils verknüpft mit einem Zeitwert ihrer Befahrung durch das jeweilige Fahrzeug (210_k) zu registrieren,
wobei

a) durch zumindest eine der Datenverarbeitungseinrichtungen (100/200_k) wenigstens eine zu untersuchende Lückensequenz (Q0_mn^(u)), die von wenigstens einer Sequenz von jeweils mehreren, einem bestimmten Fahrzeug (210 k) zugeordneten, zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen (s_i, ... ,s_j) umfasst ist, bereitgestellt wird,
wobei die zu untersuchende Lückensequenz (Q0_mn^(u)) dadurch gekennzeichnet ist, dass sie wenigstens eine ausgewählte Streckenabschnittskennung (s_m) oder wenigstens eine ausgewählte Reihe (R_mn) von mehreren verschiedenen Streckenabschnittskennungen (s_m, s_n oder s_m, ..., s_n) an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten (a_m, a_n oder a_m, ..., a_n) nicht enthält und
eine Vorläufer-Streckenabschnittskennung (s_m-1) enthält, die dem Vorläufer-Streckenabschnitt (a_m-1) entspricht, der im Netz dem Streckenabschnitt a_m der ausgewählten Streckenabschnittskennung (s_m) oder dem ersten Streckenabschnitt (a_m) der ausgewählten Reihe (R_mn) unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung (s_m+1 oder s_n+1) enthält, die dem Nachfolger-Streckenabschnitt (a_m+1 oder a_n+1) entspricht, der im Netz dem Streckenabschnitt (a _m) der ausgewählten Streckenabschnittskennung (s_m) oder dem letzten Streckenabschnitt (a_n) der ausgewählten Reihe (R_mn) unmittelbar nachfolgt;

b) für die zu untersuchende Lückensequenz (Q0_mn^(u)) im Zuge wenigstens einer ersten Plausibilitätsprüfung durch zumindest eine der Datenverarbeitungseinrichtungen (100/200_k) geprüft wird, ob
wenigstens ein erster Fahrzeugbewegungsparameterwert,
der aus wenigstens einem ersten Messwert der Fahrzeugbewegung, welcher im Zusammenhang mit den Befahrungsdaten von der dezentralen Datenverarbeitungseinrichtung (200_k) erfasst wurde, gebildet oder abgeleitet ist
und dem Vorläufer-Nachfolger-Paar an Vorläufen- und Nachfolger-Streckenabschnittskennungen (s_m-1, s_m+1 oder s_n+1) von erkanntem Vorläufer-Streckenabschnitt (a_m-1) und erkanntem Nachfolger-Streckenabschnitt (a_m+1 oder a_n+1) zugeordnet wurde,
wenigstens einer ersten Regel bezüglich wenigstens eines ersten Referenzparameterwertes für das Vorläufer-Nachfolger-Paar (s_m-1, s_m+1 oder s_n+1),
der zumindest zeitweise in wenigstens einem zentralen Datenspeicher (101) der zentralen Datenverarbeitungseinrichtung (100) gespeichert ist oder war,
genügt;
wobei

c) wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung (100/200_k) ein Fehler-Signal erzeugt wird, das auf einen möglichen Fehler hinweist;
und

d) wenn die erste Plausibilitätsprüfung ein negatives Ergebnis erbringt, durch die prüfende Datenverarbeitungseinrichtung (100/200_k) kein Signal erzeugt wird oder ein Nicht-Fehler-Signal erzeugt wird, das auf keinen Fehler hinweist;
dadurch gekennzeichnet, dass
die die erste Plausibilitätsprüfung durchführende Datenverarbeitungseinrichtung wenigstens eine dezentrale Datenverarbeitungseinrichtung (200_k) ist,
wobei
jeweils eine Kopie des Referenzparameterwertes in jeweils wenigstens einem dezentralen Datenspeicher (201_k) in jeder der dezentralen Datenverarbeitungseinrichtungen (200_k) abgelegt ist, eine allfällige Änderung des Referenzparameterwertes im zentralen Datenspeicher (101) durch die zentrale Datenverarbeitungseinrichtung (100) detektiert und/ oder bewirkt wird, und
die zentrale Datenverarbeitungseinrichtung (100) ausgebildet ist, eine Übertragung des geänderten Referenzparameterwertes an jede der dezentralen Datenverarbeitungseinrichtungen (200_k) auszulösen,
wobei
wenigstens das Fehler-Signal der dezentralen Datenverarbeitungseinrichtung (200_k) mittels der dezentralen Funk-Kommunikationseinrichtung (205_k) an die zentrale Datenverarbeitungseinrichtung (100) versandt wird,
wobei
zusammen mit dem Fehler-Signal oder als Fehler-Signal der erste Fahrzeugbewegungsparameter und das betreffenden Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen (s_m-1, s_m+1 oder s_n+1) mittels der dezentralen Funk-Kommunikationseinrichtung (205_k) an die zentrale Datenverarbeitungseinrichtung (100) übermittelt wird
und
die zentrale Datenverarbeitungseinrichtung (100) ausgebildet ist, Fehler-Signale, die es zu dem betreffenden Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen (s_m-1, s_m+1 oder s_n+1) in wenigstens einem vorgegebenen Zeitintervall empfängt, zu zählen, und
die Fehleranzahl der gezählten Fehler-Signale
oder
einen Fehlerquotienten, der gebildet wird aus der Fehleranzahl der gezählten Fehler-Signale und der Gesamtanzahl der Sequenzen, die das betreffende Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen (s_m-1, s_m+1 oder s_n+1) umfassen und die die zentrale Datenverarbeitungsanlage im vorgegebenen Zeitintervall von der Vielzahl an dezentralen Datenverarbeitungseinrichtungen empfangen hat,

e) einer zweiten Plausibilitätsprüfung zu unterwerfen, mit der geprüft wird, ob die Fehleranzahl der Fehler-Signale eine vorgegebene erste Referenzfehleranzahl oder der Fehlerquotient einen vorgegebenen ersten Referenzfehlerquotienten überschreitet;
wobei

f) wenn die zweite Plausibilitätsprüfung ein positives Ergebnis erbringt, durch die zentrale Datenverarbeitungseinrichtung (100) ein Software-Fehler-Signal erzeugt wird, das auf einen möglichen Softwarefehler hinweist; und

g) wenn die zweite Plausibilitätsprüfung ein negatives Ergebnis erbringt, durch die zentrale Datenverarbeitungseinrichtung (100) ein Hardware-Fehler-Signal erzeugt wird, das auf einen möglichen Erfassungsfehler hinsichtlich der Erfassung der Befahrungsdaten durch die dezentrale Datenverarbeitungseinrichtung (200_k) hinweist, von der die Befahrungsdaten stammen, die der untersuchten Lückensequenz zugrunde lagen.

7. Verfahren nach Anspruch 6 dadurch gekennzeichnet, dass in einer

h) dritten Plausibilitätsprüfung geprüft wird, ob die Fehleranzahl der Fehler-Signale eine vorgegebene zweite Referenzfehleranzahl überschreitet, die größer ist als die erste Referenzfehleranzahl, oder der Fehlerquotient einen vorgegebenen zweiten Referenzfehlerquotienten überschreitet, der größer ist als der erste Referenzfehlerquotient, wobei

i) wenn die dritte Plausibilitätsprüfung ein positives Ergebnis erbringt, durch die zentrale Datenverarbeitungseinrichtung ein Erkennungs-Fehler-Signal erzeugt wird, das auf einen tatsächlichen Erkennungsfehler des Streckenabschnittserkennungsprogramms hinweist
und

j) wenn die dritte Plausibilitätsprüfung ein negatives Ergebnis erbringt, die zentrale Datenverarbeitungseinrichtung ein Referenz-Fehler-Signal erzeugt, das auf einen tatsächlichen Referenzfehler des Referenzparameterwertes hinweist.

8. Verfahren nach Anspruch 6 oder 7 dadurch gekennzeichnet, dass
die erste Referenzfehleranzahl im Bereich von 3 bis 10 für das Zeitintervall von einer Stunde bis zu 100 bis 10000 für das Zeitintervall von einem Monat liegt.

9. Verfahren nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, dass wenigstens der erste Referenzparameterwert ein Referenzparameterwert von einer Vielzahl von Referenzparameterwerten ist, die für eine Vielzahl von Kombinationen an Vorläufer-Nachfolger-Paaren von Streckenabschnittskennungen (s_i, s_j) in Zellen einer Referenzparametermatrix in Form einer Tabelle mit Vorläufer-Streckenabschnittskennungen (s_i) als Spaltenwerten und Nachfolger-Streckenabschnittskennungen (s_j) als Zeilenwerten - oder umgekehrt- in wenigstens einem zentralen Datenspeicher (101) der zentralen Datenverarbeitungseinrichtung (100) zumindest zeitweise gespeichert sind oder waren.

10. Verfahren nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, dass der erste Fahrzeugbewegungsparameter einer der folgenden Parameter ist:

i) eine Zeitdifferenz, die abhängig ist von einem ersten Zeitwert (T_m-1) als erstem Messwert, der der Vorläufer-Streckenabschnittskennung (s_m-1) zugeordnet ist, und zumindest einem zweiten Zeitwert (T_m+1 oder T_n+1) als einem zweiten Messwert, der der Nachfolger-Streckenabschnittskennung (s_m+1 oder s_n+1) zugeordnet ist;

ii) eine Distanz, die abhängig ist von einem ersten Streckenwert (D_m-1) als erstem Messwert, der der Vorläufer-Streckenabschnittskennung (s_m-1) zugeordnet ist, und zumindest einem zweiten Streckenwert (D_m+1 oder D_n+1) als einem zweiten Messwert, der der Nachfolger-Streckenabschnittskennung (s_m+1 oder s_n+1) zugeordnet ist;

iii) eine mittlere fiktive Fahrzeuggeschwindigkeit, die durch die Division einer Referenzdistanz für das Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen (s_m-1, s_m+1 oder s_n+1) durch die Zeitdifferenz von Ziffer i) erhalten wurde;

iv) eine Grenzgeschwindigkeitsdauer als Summe von Teildauern, während denen die Fahrzeuggeschwindigkeit als erstem Messwert eine Grenzgeschwindigkeit überschreitet;

v) ein Grenzgeschwindigkeitsdauerverhältnis, das durch die Division der Grenzgeschwindigkeitsdauer von Ziffer iv) durch die Zeitdifferenz von Ziffer i) erhalten wurde;

vi) eine Grenzgeschwindigkeitsstrecke als Summe von Teilstrecken, auf denen die Fahrzeuggeschwindigkeit als erstem Messwert eine Grenzgeschwindigkeit überschreitet;

vii) ein Grenzgeschwindigkeitsstreckenverhältnis, das durch die Division der Grenzgeschwindigkeitsstrecke von Ziffer vi) durch die Distanz von Ziffer ii) gebildet wurde;

wobei im jeweiligen Falle

i) der erste Referenzparameter eine Referenzzeitdifferenz ist und die erste Regel das Unterschreiten des Referenzzeitdifferenzwertes durch den Zeitdifferenzwert ist;

ii) der erste Referenzparämeter eine Referenzdistanz ist und die erste Regel die Übereinstimmung des Distanzwertes mit dem Referenzdistanzwert im Rahmen einer vorgegebenen, maximal zulässigen Abweichung des Distanzwertes von dem Referenzdistanzwert ist;

iii) der erste Referenzparameter eine Referenzgeschwindigkeit ist und die erste Regel das Überschreiten des Referenzgeschwindigkeitswertes durch den Wert der mittleren fiktiven Fahrzeuggeschwindigkeit ist;

iv) der erste Referenzparameter eine Referenzgrenzgeschwindigkeitsdauer ist und die erste Regel das Unterschreiten oder Überschreiten des Referenzgrenzgeschwindigkeitsdauerwertes durch den Grenzgeschwindigkeitsdauerwert ist;

v) der erste Referenzparameter ein Referenzgrenzgeschwindigkeitsdauerverhältnis ist und die erste Regel das Überschreiten des Referenzgrenzgeschwindigkeitsdauerverhältniswertes durch den Grenzgeschwindigkeitsdauerverhältniswert ist;

vi) der erste Referenzparameter eine Referenzgrenzgeschwindigkeitsstrecke ist und die erste Regel das Überschreiten des Referenzgrenzgeschwindigkeitsstreckenwertes durch den Grenzgeschwindigkeitsstreckenwert ist;

vii) der erste Referenzparameter ein Referenzgrenzgeschwindigkeitsstreckenverhältnis ist und die erste Regel das Überschreiten des Referenzgrenzgeschwindigkeitsstreckenverhältniswertes durch den Grenzgeschwindigkeitsstreckenverhältniswert ist.

11. Verfahren nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, dass der erste Referenzlückenquotient größer als 0,001 % und kleiner als 10 % ist.

12. Zentrale Datenverarbeitungseinrichtung (100) eines Mautsystems,
das eine Vielzahl von dezentralen Datenverarbeitungseinrichtungen (200) umfasst,
von denen jede (200_k)

i) von einem mautpflichtigen Fahrzeug (210_k) mitgeführt wird, dem sie zugeordnet ist, sowie

ii) ausgebildet ist, Befahrungsdaten zu erfassen, die repräsentativ sind für die Befahrung von mautpflichtigen Streckenabschnitten a_i eines Netzes von mautpflichtigen Streckenabschnitten durch das mautpflichtige Fahrzeug (210_k) und

iii) eine dezentrale Funk-Kommunikationseinrichtung (205_k) zumindest zur Versendung von Daten an die zentrale Datenverarbeitungseinrichtung (100) aufweist oder zumindest zeitweise kommunikationstechnisch an eine solche gekoppelt ist,

wobei
wenigstens eine der Datenverarbeitungseinrichtungen (100/ 200_k) ausgebildet ist,
mittels eines Streckenabschnittserkennungsprogramms zur Verarbeitung der Befahrungsdaten die Befahrung der jeweiligen Streckenabschnitte a_i durch das jeweilige Fahrzeug (210_k) zu erkennen und den jeweiligen Streckenabschnitten a_i entsprechende Streckenabschnittskennungen s_i in der zeitlichen Reihenfolge und/ oder jeweils verknüpft mit einem Zeitwert ihrer Befahrung durch das jeweilige Fahrzeug (210_k) zu registrieren,
wobei
die zentrale Datenverarbeitungseinrichtung (100) ausgebildet ist, Befahrungsdaten und/oder zeitlich geordnete Streckenabschnittkennungen (s_i) von jeder der Vielzahl von dezentralen Datenverarbeitungseinrichtungen (200) zu empfangen, und
die zentrale Datenverarbeitungseinrichtung (100) einen zentralen Datenspeicher (101) aufweist oder zumindest zeitweise kommunikationstechnisch an einen solchen gekoppelt ist, in dem zumindest zeitweise eine Menge ({Q}) von (Q) Sequenzen von jeweils mehreren zeitlich aufeinanderfolgend registrierten Streckenabschnittskennungen (s_i, ... ,s_j), die jeweils einer von der Vielzahl von dezentralen Datenverarbeitungseinrichtungen (200) zugeordnet sind, gespeichert und zur Verarbeitung an der zentralen Datenverarbeitungseinrichtung bereitgestellt sind,
wobei die zentrale Datenverarbeitungseinrichtung ausgebildet ist,

a) für wenigstens eine ausgewählte Streckenabschnittskennung s_m oder wenigstens eine ausgewählte Reihe (R_mn) von mehreren verschiedenen Streckenabschnittskennungen (s_m, s_n oder s_m, ..., s_n) an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten (a_m, a_n oder a_n, ..., a_m)

i) diejenige Menge ({Q_mn}) von (Q_mn) ausgewählten Sequenzen aus der Menge ({Q}) der bereitgestellten Sequenzen zu bestimmen, die eine Vorläufer-Streckenabschnittskennung (s_m-1) enthalten, die dem Vorläufer-Streckenabschnitt (a_m-1) entspricht, der im Netz dem Streckenabschnitt (a_m) der ausgewählten Streckenabschnittskennung (s_m) oder dem ersten Streckenabschnitt (a_m) der ausgewählten Reihe (R_mn) unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung (s_m+1 oder s_n+1) enthalten, die dem Nachfolger-Streckenabschnitt (a_m+1 oder a_n+1) entspricht, der im Netz dem Streckenabschnitt (a_m) der ausgewählten Streckenabschnittskennung (s_m) oder dem letzten Streckenabschnitt (a_n) der ausgewählten Reihe (R_mn) unmittelbar nachfolgt, und

ii) diejenige Menge ({Q0_mn}) an (Q0_mn) ausgewählten Lückensequenzen aus der Menge ({Q_nm}) der ausgewählten Sequenzen zu bestimmen, die die ausgewählte Streckenabschnittskennung (s_m) oder die ausgewählte Reihe (R_nm) an Streckenabschnittskennungen (s_m, s_n oder s_m, ..., s_n) nicht enthalten;

b) für zumindest eine zu untersuchende Lückensequenz (Q0_mn^(u)) der Menge ({Q0_mn}) an ausgewählten Lückensequenzen im Zuge wenigstens einer ersten Plausibilitätsprüfung zu prüfen, ob
wenigstens ein erster Fahrzeugbewegungsparameterwert,
der aus wenigstens einem ersten Messwert der Fahrzeugbewegung, welcher im Zusammenhang mit den Befahrungsdaten von derjenigen dezentralen Datenverarbeitungseinrichtung (200_k) erfasst wurde, der die zu untersuchende Lückensequenz (Q0_mn^(u)) zugeordnet ist, gebildet oder abgeleitet ist
und dem Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen (s_m-1, s_m+1 oder s_n+1) von erkanntem Vorläufer-Streckenabschnitt (a_m-1) und erkanntem Nachfolger-Streckenabschnitt (a_m+1 oder a_n+1) zugeordnet wurde,
wenigstens einer ersten Regel bezüglich wenigstens eines ersten Referenzparameterwertes für das Vorläufer-Nachfolger-Paar an Streckenabschnittskennungen (s_m-1, s_m+1 oder s_n+1),
der zumindest zeitweise in wenigstens einem zentralen Datenspeicher (101) der zentralen Datenverarbeitungseinrichtung (100) gespeichert ist oder war,
genügt;

c) wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, ein Fehler-Signal zu erzeugen wird, das auf einen möglichen Fehler hinweist;
und

d) wenn die erste Plausibilitätsprüfung ein negatives Ergebnis erbringt, kein Signal zu erzeugen oder ein Nicht-Fehler-Signal zu erzeugen, das auf keinen Fehler hinweist.
dadurch gekennzeichnet, dass
die zentrale Datenverarbeitungseinrichtung (100) ausgebildet ist,
für wenigstens eine ausgewählte Streckenabschnittskennung s_m oder wenigstens eine ausgewählte Reihe (R_mn) von mehreren Streckenabschnittskennungen (s_m, s_n oder s_m, ..., s_n) an im Streckenabschnittsnetz unmittelbar aufeinander folgenden Streckenabschnitten (a_m, a_n oder a_n, ..., a _m) durch die zentrale Datenverarbeitungseinrichtung (100)

- diejenige Menge ({Q_mn}) von (Q_mn) ausgewählten Sequenzen aus der Menge ({Q}) der empfangenen Sequenzen zu bestimmen, die eine Vorläufer-Streckenabschnittskennung (s_m-1) enthalten, die dem Vorläufer-Streckenabschnitt (a_m-1) entspricht, der im Netz dem Streckenabschnitt (a_m) der ausgewählten Streckenabschnittskennung (s_m) oder dem ersten Streckenabschnitt (a_m) der ausgewählten Reihe (R_mn) unmittelbar vorangeht, und eine Nachfolger-Streckenabschnittskennung (s_m+1 oder s_n+1) enthalten, die dem Nachfolger-Streckenabschnitt (a_m+1 oder a_n+1) entspricht, der im Netz dem Streckenabschnitt (a_m) der ausgewählten Streckenabschnittskennung (s_m) oder dem letzten Streckenabschnitt (a_n) der ausgewählten Reihe (R_mn) unmittelbar nachfolgt,
und

- diejenige Menge ({Q0_mn^(f)}) an (Q0_mn^(f)) ausgewählten außerordentlichen Lückensequenzen aus der Menge ({Q_nm}) der ausgewählten Sequenzen zu bestimmen, die die ausgewählte Streckenabschnittskennung (s_m) oder die ausgewählte Reihe (R_nm) an Streckenabschnittskennungen (s_m, s_n oder s_m, ..., s_n) nicht enthalten und die das Fehler-Signal in der ersten Plausibilitätsprüfung ausgelöst haben,

wobei die zentrale Datenverarbeitungseinrichtung (100) ferner ausgebildet ist,
aus der Anzahl (Q0_mn^(f)) der ausgewählten außerordentlichen Lückensequenzen der Menge ({Q0_mn^(f)}) von ausgewählten außerordentlichen Lückensequenzen und der Anzahl (Q_mn) von ausgewählten Sequenzen der Menge ({Q_mn}) von ausgewählten Sequenzen einen außerordentlichen Lückenquotienten (q0_mn^(f) = Q0_mn^(f)/Q_mn) zu bilden,
und

e) wenn die erste Plausibilitätsprüfung ein positives Ergebnis erbringt, im Zuge einer zweiten Plausibilitätsprüfung zu prüfen, ob der außerordentliche Lückenquotient (q0_mn^(f) = Q0_mn /Q_mn) wenigstens einen ersten Referenzlückenquotienten überschreitet;

f) wenn die zweite Plausibilitätsprüfung ein positives Ergebnis erbringt, ein Software-Fehler-Signal zu erzeugen, das auf einen möglichen Softwarefehler hinweist;

g) wenn die zweite Plausibilitätsprüfung ein negatives Ergebnis erbringt, ein Hardware-Fehler-Signal zu erzeugen, das auf einen möglichen Erfassungsfehler hinsichtlich der Erfassung der Befahrungsdaten durch die dezentrale Datenverarbeitungseinrichtung (200_k) hinweist, von der die Befahrungsdaten stammen, die der untersuchten Lückensequenz zugrunde lagen.

Claims

1. A method for error recognition in a toll system which
comprises at least a central data processing facility (100) and
at least several local data processing facilities (200),
each (200_k) of which

i) is carried by a vehicle (210_k) liable to pay a toll, to which it is assigned, and also

ii) is configured to capture driving data which are representative of the driving that has taken place over route sections (a_i) liable to payment of a toll in a network of route sections liable to payment of tolls by the vehicle (210_k) liable to payment of a toll and

iii) has a local radio communications device (205_k) at least for transmitting data to the central data processing facility (100) or is coupled to a device of this kind for communications purposes at least intermittently,

wherein
at least one of the data processing facilities (100/200_k) is configured
to identify by means of a route section identification program for the processing of driving data when the vehicle concerned (210_k) has driven along the respective route sections (a_i) and to record route section codes (s_i) corresponding to the respective route sections (a_i) in the time sequence and/or linked in each case to a time value for when the respective vehicle (210_k) drove along it,
wherein

a) at least one of the data processing facilities (100/200_k) supplies
at least one gap sequence (Q0_mn^(u)) to be investigated, which comprises at least one sequence of several route section codes (s_i, ...,s_j) recorded in time sequence assigned to a given vehicle (210 k),
wherein the gap sequence (Q0_mn^(u)) to be investigated is characterized in that it does not contain at least one selected route section code (s_m) or at least one selected row (R_mn) of several different route section codes (s_m, s_n or s_m, ..., s_n) on route sections (a_m, a_n or a_m, ..., a_n) immediately following one another in the route section network and
it contains a predecessor route section code (s_m-1) which corresponds to the predecessor route section (a_m-1) which immediately precedes the route section (a_m) of the selected route section code (s_m) or the first route section (a_m) of the selected row (R_mn) in the network and contains a successor route section code (s_m+1 or s_n+1) which corresponds to the successor route section (a_m+1 or a_n+1) which immediately follows the route section (a_m) of the selected route section code (s_m) or the last route section (a_n) of the selected row (R_mn) in the network;

b) for the gap sequence (Q0_mn^(u)) to be investigated in the course of at least a first plausibility check by at least one of the data processing facilities (100/ 200_k), a check is made as to whether
at least a first vehicle movement parameter value,
which is created or derived from at least a first measurement value of the vehicle movement which was captured in connection with the driving data from the local data processing facility (200_k),
and was assigned to the predecessor/successor pair of predecessor and successor section codes (s_m-1, s_m+1 or s_n+1) of the identified predecessor route section (a_m-1) and the identified successor route section (a_m+1 or a_n+1),
satisfies at least a first rule in respect of at least a first reference parameter value for the predecessor/successor pair (s_m-1, s_m+1 or s_n+1),
which is or was stored at least temporarily in at least one central data memory (101) of the central data processing facility (100);
wherein

c) when the first plausibility check produces a positive result, an error signal is generated by the data processing facility (100/ 200_k) carrying out the check which indicates a possible error;
and

d) when the first plausibility check produces a negative result, no signal is generated by the data processing facility (100/ 200_k) carrying out the check or a no-error signal is generated which indicates no error;
characterized in that
the central data processing facility (100) receives from the several local data processing facilities (200)

- a set ({Q}) of (Q) sequences of several route section codes (s_i, ...,s_j) recorded in time sequence or

- driving data, from which the central data processing facility acquires the set ({Q}) of (Q) said sequences by means of the route section identification program
and determines
for at least a selected route section code (s_m) or at least a selected row (R_mn) of several different route section codes (s_m, s_n or s_m, ..., s_n) on route sections (a_m, a_n or a_n, ..., a_m) immediately following one another in the route section network

- that set ({Q_mn}) of (Q_mn) selected sequences from the set ({Q}) of sequences supplied which contain a predecessor route section code (s_m-1) which corresponds to the predecessor route section (a_m-1) immediately preceding the route section (a_m) of the selected route section code (s_m) or the first route section (a_m) of the selected row (R_mn) in the network and contain a successor route section code (s_m+1 or s_n+1) which corresponds to the successor route section (a_m+1 or a_n+1) which immediately follows the route section (a_m) of the selected route section code (s_m) or the last route section (a_n) of the selected row (R_mn) in the network
and

- that set ({Q0_mn^(f)}) of (Q0_mn^(f)) selected extraordinary gap sequences from the set ({Q_nm}) of selected sequences which do not contain the selected route section code (s_m) or the selected row (R_nm) of route section codes (s_m, s_n or s_m, ..., s_n) but having triggered the error signal during the first plausibility check,

wherein
furthermore, an extraordinary gap ratio (q0_mn^(f) = Q0_mn^(f)/Q_mn) is generated from the number (Q0_mn^(f)) of the selected extraordinary gap sequences of the set ({Q0_mn^(f)}) selected extraordinary gap sequences and the number (Q_mn) of selected sequences of the set ({Q_nm}) of selected sequences, and wherein

e) when the first plausibility check produces a positive result, in the course of a second plausibility check by one of the data processing facilities (100/ 200_k) a check is made as to whether the extraordinary gap ratio (q0_mn^(f) = Q0_mn^(f)/Q_mn) exceeds at least a first reference gap ratio;

f) when the second plausibility check produces a positive result, a software error signal is generated by the data processing facility (100/ 200_k) carrying out the check which indicates a possible software error;

g) when the second plausibility check produces a negative result, a hardware error signal is generated by the data processing facility (100/ 200_k) carrying out the check which indicates a possible capture error of that local data processing facility, from which originate the driving data taken as a basis of the investigated gap sequence.

2. The method according to claim 1, characterized in that

h) in a third plausibility check a check is made as to whether the gap ratio exceeds a predefined second reference gap ratio
wherein

i) when the third plausibility check produces a positive result, an identification error signal is generated by the central data processing facility which indicates a real identification error committed by the route section identification program;
and

j) when the third plausibility check produces a negative result, in the case of a positive result of the second plausibility check a reference error signal is generated by the central data processing facility which indicates a real reference error of the reference parameter value.

3. The method according to one of the preceding claims, characterized in that the central data processing facility (100) is the checking data processing facility
wherein
the central data processing facility (100) receives driving data and/ or a sequence (Q^(k)) of several route section codes (s_i, ...,s_j) recorded in time sequence together with at least the first measurement value and/ or the first vehicle movement parameter value.

4. The method according to one of the preceding claims, characterized in that a gap ratio (q0_mn) is generated and the second plausibility check is executed if and only if the number (Q_mn) of the selected sequences is not less than a predefined minimum number (Q_mn^(min)) and not more than a pretedermined maximum number (Q_mn^(max)), wherein the predefined minimum number (Q_mn^(min)) equals 100 and the predefined maximum number (Q_mn^(max)) equals 1.000.000.

5. The method according to one of the preceding claims, characterized in that the central data processing facility replaces the faulty reference parameter value in the central data memory (101) by a modified reference parameter value which deviates at least by such an amount from the faulty reference parameter value that the first vehicle movement parameter value, referred to which the first plausibility check produced a positive result, would produce a negative result in a renewed first plausibility check related to the modified reference parameter value according to the first rule.

6. A method for error recognition in a toll system which
comprises at least a central data processing facility (100) and
at least several local data processing facilities (200),
each (200_k) of which

i) is carried by a vehicle (210_k) liable to pay a toll, to which it is assigned, and also

ii) is configured to capture driving data which are representative of the driving that has taken place over route sections (a i) liable to payment of a toll in a network of route sections liable to payment of tolls by the vehicle (210_k) liable to payment of a toll and

iii) has a local radio communications device (205_k) at least for transmitting data to the central data processing facility (100) or is coupled to a device of this kind for communications purposes at least intermittently,

wherein
at least one of the data processing facilities (100/200_k) is configured
to identify by means of a route section identification program for the processing of driving data when the vehicle concerned (210_k) has driven along the respective route sections (a_i) and to record route section codes (s_i) corresponding to the respective route sections (a_i) in the time sequence and/or linked in each case to a time value for when the respective vehicle (210_k) drove along it,
wherein

a) at least one of the data processing facilities (100/200_k) supplies
at least one gap sequence (Q0_mn^(u)) to be investigated, which comprises at least one sequence of several route section codes (s_i, ...,s_j) recorded in time sequence assigned to a given vehicle (210 k),
wherein the gap sequence (Q0_mn^(u)) to be investigated is characterized in that it does not contain at least one selected route section code (s_m) or at least one selected row (R_mn) of several different route section codes (s_m, s_n or s_m, ..., s_n) on route sections (a_m, a_n or a_m, ..., a_n) immediately following one another in the route section network and
it contains a predecessor route section code (s_m-1) which corresponds to the predecessor route section (a_m-1) which immediately precedes the route section (a_m) of the selected route section code (s_m) or the first route section (a_m) of the selected row (R_mn) in the network and contains a successor route section code (s_m+1 or s_n+1) which corresponds to the successor route section (a_m+1 or a_n+1) which immediately follows the route section (a_m) of the selected route section code (s_m) or the last route section (a_n) of the selected row (R_mn) in the network;

b) for the gap sequence (Q0_mn^(u)) to be investigated in the course of at least a first plausibility check by at least one of the data processing facilities (100/200_k), a check is made as to whether
at least a first vehicle movement parameter value,
which is created or derived from at least a first measurement value of the vehicle movement which was captured in connection with the driving data from the local data processing facility (200_k),
and was assigned to the predecessor/successor pair of predecessor and successor section codes (s_m-1, s_m+1 or s_n+1) of the identified predecessor route section (a_m-1) and the identified successor route section (a_m+1 or a_n+1),
satisfies at least a first rule in respect of at least a first reference parameter value for the predecessor/successor pair (s_m-1, s_m+1 or s_n+1),
which is or was stored at least temporarily in at least one central data memory (101) of the central data processing facility (100);
wherein

c) when the first plausibility check produces a positive result, an error signal is generated by the data processing facility (100/200_k) carrying out the check which indicates a possible error;
and

d) when the first plausibility check produces a negative result, no signal is generated by the data processing facility (100/200_k) carrying out the check or a no-error signal is generated which indicates no error;
characterized in that
the first plausibility check is executed by at least one local data processing facility,
wherein
a respective copy of the reference parameter value is stored in each of at least one local data memory (201_k) in every local data processing facility (200_k),
a possibly required modification of the reference parameter value is detected or caused by the central data processing facility and
the central data processing facility is configured to trigger the transmission of the modified reference parameter value to every one of the local data processing facilities (200_k)
wherein
at least the error signal of the local data processing facility is sent by the local radio communications device (205_k) to the central data processing facility (100)
wherein
the first vehicle movement parameter and the related predecessor/successor pair of section codes (s_m-1, s_m+1 or s_n+1) are transmitted as the error signal or together with the error signal by the local radio communications device (205_k) to the central data processing facility (100),
and
the central data processing facility (100) is configured
to count error signals it receives concerning the related predecessor/successor pair of section codes (s _m-1, s_m+1 or s_n+1) during at least one predefined time interval and
to subject the number of errors of the counted error signals or an error ratio generated from the number of errors of the counted error signals and the total number of sequences comprising the related predecessor/successor pair of section codes (s_m-1, s_m+1 or s_n+1) and received by the central data processing facility during the predefined time interval from the several local data processing facilities,

e) to a second plausibility check by which a check is made as to whether the number of errors of the error signals exceeds at predefined first reference error count or the error ratio exceeds a predefined first reference error ratio;
wherein

f) when the second plausibility check produces a positive result, a software error signal is generated by the central data processing facility (100) which indicates a possible software error;
and

g) when the second plausibility check produces a negative result, a hardware error signal is generated by the central data processing facility (100) which indicates a possible capture error of that local data processing facility (200_k), from which originate the driving data taken as a basis of the investigated gap sequence.

7. The method according to claim 6, characterized in that

h) in a third plausibility check a check is made as to whether the number of errors of the error signals exceeds at predefined second reference error count which is bigger the first reference error count or the error ratio exceeds a predefined second reference error ratio which is bigger than the first reference error ratio
wherein

i) when the third plausibility check produces a positive result, an identification error signal is generated by the central data processing facility indicating a real identification error committed by the route section identification program;
and

j) when the third plausibility check produces a negative result, in the case of a positive result of the second plausibility check a reference error signal is generated by the central data processing facility indicating a real reference error of the reference parameter value.

8. The method according to claim 6 or 7, characterized in that
the first reference error count is in the range of 3 to 10 for the time interval of one hour up to 100 to 10000 for the time interval of one month.

9. The method according to one of the preceding claims, characterized in that at least the first reference parameter value is a reference parameter value of a plurality of reference parameter values which are or were stored, at least temporarily, for a plurality of combinations of predecessor/successor pairs of route section codes (s_i, s_j) in cells of a reference parameter matrix in the form of a table with predecessor route section codes (s_i) as column values and successor route section codes (s_j) as line values, or vice versa, in at least one central data memory (101) of the central data processing facility (100).

10. The method according to one of the preceding claims, characterized in that the first vehicle movement parameter is one of the following parameters:

i) a time difference which depends on a first time value (T_m-1) as the first measurement value, which is assigned to the predecessor route section code (s_m-1) and at least to a second time value (T_m+1 or T_n+1) as a second measurement value which is assigned to the successor route section code (s_m+1 or s_n+1);

ii) a distance which depends on a first route value (D_m-1) as the first measurement value which is assigned to the predecessor route section code (s_m-1) and at least a second route value (D_m+1 or D_n+1) as a second measurement value, which is assigned to the successor route section code (s_m+1 or s_n+1)

iii) a mean notional vehicle speed which was obtained by dividing a reference distance for the predecessor/successor pair of route section codes (s_m-1, s_m+1 or s_n+1) by the time difference in item i);

iv) a limit speed duration as the total of partial durations, during which the vehicle speeds exceeds a limit speed as the third measurement value;

v) a limit speed duration ratio which was obtained by dividing the limit speed duration in item iv) by the time difference in item i);

vi) a limit speed section as the total of partial sections over which the vehicle speed exceeds a limit speed as the further measurement;

vii) a limit speed route ratio which was generated by dividing the limit speed route in item vi) by the distance in item (ii);

wherein in each case

i) the first reference parameter is a reference time difference and the first rule is that the time difference value falls below the reference time difference value;

ii) the first reference parameter is a reference distance and the first rule is the agreement of the distance value with the reference distance value in the limits of a predefined, maximum permitted deviation of the distance value from the reference distance value;

iii) the first reference parameter is a reference speed and the first rule is that the value of the mean notional vehicle speed exceeds the reference speed value;

iv) the first reference parameter is a reference limit speed duration and the first rule is that the limit speed duration value falls below or exceeds the reference limit speed duration value;

v) the first reference parameter is a reference limit speed duration ratio and the first rule is that the limit speed duration ratio exceeds the reference limit speed duration ratio;

vi) the first reference parameter is a reference limit speed route and the first rule is that the limit speed route value exceeds the reference limit speed route value;

vii) the first reference parameter is a reference limit speed route ratio and the first rule is that the limit speed route ratio exceeds the reference limit speed route ratio.

11. The method according to one of the preceding claims, characterized in that the first reference gap ratio is bigger than 0,001 % and smaller than 10 %.

12. A central data processing facility (100) of a toll system,
which comprises a plurality of local data processing facilities (200),
each (200_k) of which

i) is carried in a vehicle (210_k) liable to pay a toll, to which it is assigned, and also

ii) is configured to capture driving data which are representative of the driving that has taken place over route sections (a_i) liable to payment of a toll in a network of route sections liable to payment of tolls by the vehicle (210 k) liable to payment of a toll and

iii) has a local radio communications device (205_k) at least for transmitting data to the central data processing facility (100) or is coupled to a device of this kind for communications purposes at least temporarily,

wherein
at least one of the data processing facilities (100/200_k) is configured
to identify by means of a route section identification program for the processing of driving data when the vehicle concerned (210_k) has driven along the respective route sections (a_i) and to record route section codes (s_i) corresponding to the respective route sections (a_i) in the time sequence and/or linked in each case to a time value for when the respective vehicle (210_k) drove along it,
wherein
the central data processing facility (100) is configured to receiving driving data and/or time-assigned route section codes (s_i) from each of the plurality of local data processing facilities (200) and
the central data processing facility (100) has a central data store (101) or is coupled to a device of this kind for communications purposes at least intermittently, in which at least temporarily a set ({Q}) of (Q) sequences of several route section codes (s_i, ... ,s_j) recorded in time sequence, which are each assigned to one of the plurality of local data processing facilities (200), are stored and supplied for processing to the central data processing facility,
wherein the central data processing facility is configured

a) for at least a selected route section code (s_m) or at least a selected row (R_mn) of several different route section codes (s_m, s_n or s_m, ..., s_n) on route sections (a_m, a_n or a_n, ..., a_m) immediately following one another in the route section network

i) to determine that set ({Q_mn}) of (Q_mn) selected sequences from the set ({Q}) of sequences supplied which contain a predecessor route section code (s_m-1) which corresponds to the predecessor route section (a_m-1) immediately preceding the route section (a_m) of the selected route section code (s_m) or the first route section (a_m) of the selected row (R_mn) in the network and contain a successor route section code (s_m+1 or s_n+1) which corresponds to the successor route section (a_m+1 or a_n+1) which immediately follows the route section (a_m) of the selected route section code (s_m) or the last route section (a_n) of the selected row (R_mn) in the network and

ii) to determine that set ({Q0_mn}) of (Q0_mn) selected gap sequences from the set ({Q_nm}) of selected sequences which do not contain the selected route section code (s_m) or the selected row (R_nm) of route section codes (s_m, s_n or s_m, ..., s_n);

b) to check for at least one gap sequence (Q0_mn^(u)) to be investigated of the set ({Q0_mn}) of selected gap sequences during the course of at least a first plausibility check, to see whether at least a first vehicle movement parameter value,
which is created or derived from at least a first measurement of the vehicle movement which was captured in connection with the driving data of that local data processing facility (200_k), which is assigned to the gap sequence (Q0_mn^(u)) to be investigated,
and was assigned to the predecessor/successor pair of route section codes (s_m-1, s_m+1 or s_n+1) of the identified predecessor route section (a_m-1) and the identified successor route section (a_m+1 or a_n+1),
satisfies at least a first rule in respect of at least a first reference parameter value for the predecessor/successor pair of route section codes (s_m-1, s_m+1 or s_n+1), which is or was stored at least temporarily in at least one central data store (101) of the central data processing facility (100);

c) when the first plausibility check produces a positive result, to generate an error signal which indicates a possible error;
and

d) when the first plausibility check produces a negative result, not to generate a signal or to
generate a no-error signal that indicates no error;
characterized in that
the central data processing facility is configured to determine
for at least a selected route section code (s_m) or at least a selected row (R_mn) of several different route section codes (s_m, s_n or s_m, ..., s_n) on route sections (a_m, a_n or a_n, ..., a_m) immediately following one another in the route section network

- that set ({Q_mn}) of (Q_mn) selected sequences from the set ({Q}) of sequences supplied which contain a predecessor route section code (s_m-1) which corresponds to the predecessor route section (a_m-1) immediately preceding the route section (a_m) of the selected route section code (s_m) or the first route section (a_m) of the selected row (R_mn) in the network and contain a successor route section code (s_m+1 or s_n+1) which corresponds to the successor route section (a_m+1 or a_n+1) which immediately follows the route section (a_m) of the selected route section code (s_m) or the last route section (a_n) of the selected row (R_mn) in the network
and

- that set ({Q0_mn^(f)) of (Q0_mn^(f)) selected extraordinary gap sequences from the set ({Q_nm}) of selected sequences which do not contain the selected route section code (s_m) or the selected row (R_nm) of route section codes (s_m, s_n or s_m, ..., s_n) but having triggered the error signal during the first plausibility check,

wherein the central data processing facility (100) is furthermore configured
to generate an extraordinary gap ratio (q0_mn^(f) = Q0_mn^(f)/Q_mn) from the number (Q0_mn^(f)) of the selected extraordinary gap sequences of the set ({Q0_mn^(f)}) selected extraordinary gap sequences and the number (Q_mn) of selected sequences of the set ({Q_nm}) of selected sequences,
and

e) when the first plausibility check produces a positive result, to check in the course of a second plausibility as to whether the extraordinary gap ratio (q0_mn^(f) = Q0_mn^(f)/Q_mn) exceeds at least a first reference gap ratio;

f) when the second plausibility check produces a positive result, to generate a software error signal which indicates a possible software error;

g) when the second plausibility check produces a negative result, to generate a hardware error signal which indicates a possible capture error of that local data processing facility, from which originate the driving data taken as a basis of the investigated gap sequence.

Revendications

1. Procédé destiné à identifier les erreurs dans un système de péage, qui
comporte au moins un dispositif centralisé de traitement de données (100) et au moins une pluralité de dispositifs décentralisés de traitement de données (200)
dont chacun (200_k)

i) est embarqué dans un véhicule (210_k) assujetti au péage, auquel il est affecté et

ii) est conçu pour saisir de données de circulation qui sont représentatives pour la circulation sur des tronçons de parcours (a_i) assujettis au péage d'un réseau de tronçons de parcours assujettis au péage du véhicule (210_k) assujetti au péage et

iii) comporte un dispositif décentralisé de communication radio (205_k) destiné au moins à envoyer des données au dispositif centralisé de traitement de données (100) ou qui est relié au moins temporairement par technique de communication avec un tel,

lors duquel
au moins l'un des dispositifs de traitement de données (100/200_k) étant conçu pour identifier à l'aide d'un programme d'identification de tronçons de parcours destiné à traiter les données de circulation la circulation sur les tronçons de parcours (a_i) concernés du véhicule (210_k) concerné et pour enregistrer des identifications de tronçons de parcours (s_i) correspondant à des tronçons de parcours (a_i) concernés, dans l'ordre chronologique et/ou chaque fois en association avec une valeur de temps de la circulation sur ces derniers du véhicule (210_k) concerné,
lors duquel

a) par au moins l'un des systèmes de traitement de données (100/200_k)
il est mis à disposition au moins une séquence de lacune (Q0_mn^(u)) qui doit être examinée, qui est comprise dans au moins une séquence de chaque fois plusieurs identifications de tronçons de parcours (s_i, ...,s_j) affectées à un certain véhicule (210 k), enregistrées de manière successive dans le temps,
la séquence de lacune (Q0_mn^(u)) qui doit être examinée étant caractérisée en ce qu'elle ne contient pas au moins une identification de tronçon de parcours (s_m) sélectionnée ou au moins une suite (R_mn) sélectionnée de plusieurs différentes identifications de tronçons de parcours (s_m, s_n ou s_m, ..., s_n) de tronçons de parcours (a_m, a_n ou a_m, ..., a_n) directement successifs dans le réseau de tronçons de parcours et
qu'elle contient une identification précédente de tronçon de parcours (s_m-1) qui correspond au tronçon de parcours (a_m-1) précédent, qui dans le réseau précède directement le tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou le premier tronçon de parcours (a_m) de la suite (R_mn) sélectionnée et
qu'elle contient une identification suivante de tronçon de parcours (s_m+1 ou s_n+1) qui correspond au tronçon de parcours (a_m+1 ou a_n+1) suivant, qui dans le réseau fait directement suite au tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou au dernier tronçon de parcours (a_n) de la suite (R_mn) sélectionnée ;

b) pour la séquence de lacune (Q0_mn^(u)) qui doit être examinée, au cours d'au moins un premier contrôle de plausibilité par au moins l'un des dispositifs de traitement de données (100/200_k), il est vérifié si
au moins une première valeur de paramètre de déplacement du véhicule,
qui est formée ou dérivée d'au moins une première valeur de mesure du déplacement du véhicule, laquelle en relation avec les données de circulation a été collectée par le dispositif de traitement de données (200_k) décentralisé
et qui a été affectée à la paire précédente-suivante des identifications précédente et suivante de tronçons de parcours (s_m-1, s_m+1 ou s_n+1) du tronçon de parcours précédent (a_m-1) identifié et du tronçon de parcours suivant (a_m+1 ou a_n+1) identifié,
satisfait à au moins une première règle concernant au moins une première valeur de paramètre de référence pour la paire précédente-suivante (s_m-1, s_m+1 ou s_n+1),
qui est ou qui était mémorisée au moins temporairement dans au moins une mémoire de données (101) centralisée du dispositif de traitement de données (100) centralisé ;
sachant que

c) si le premier contrôle de plausibilité apporte une réponse positive, le dispositif de traitement de données (100/200_k) examinateur génère un signal d'erreur qui indique une erreur possible ;
et

d) si le premier contrôle de plausibilité apporte une réponse négative, le dispositif de traitement de données (100/200_k) examinateur ne génère aucun signal ou génère un signal d'absence d'erreur qui indique qu'il n'y a pas d'erreur ;
caractérisé en ce que
le dispositif centralisé de traitement de données (100) reçoit de la pluralité de dispositifs décentralisés de traitement de données (200)

- un ensemble ({Q}) de (Q) séquences d'identifications de tronçons de parcours (s_i,...., s_j) enregistrées dans l'ordre chronologique
ou

- des données de circulation, dont le dispositif centralisé de traitement de données (100) acquiert l'ensemble ({Q}) desdites (Q) séquences à l'aide du programme d'identification de tronçons de parcours destiné
et
détermine pour au moins une identification de tronçon de parcours (s_m) sélectionnée ou pour au moins une série (R_mn) sélectionnée de plusieurs différentes identifications de tronçons de parcours (s_m, s_n ou
s_m, ..., s_n) sur des tronçons de parcours (a_m, a_n ou a_n, ..., a_m) directement successifs dans le réseau de tronçons de parcours

- cet ensemble ({Q_mn}) de (Q_mn) séquences sélectionnées parmi l'ensemble ({Q}) des séquences reçues, qui contiennent une identification précédente de tronçon de parcours (s_m-1) qui correspond au tronçon de parcours précédent (a_m-1) qui dans le réseau précède directement le tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou au premier tronçon de parcours (a_m) de la série (R_mn) sélectionnée et qui contiennent une identification suivante de tronçon de parcours (s_m+1 ou s_n+1) qui correspond au tronçon de parcours suivant (a_m+1 ou a_n+1) qui dans le réseau fait directement suite au tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou au dernier tronçon de parcours (a_n) de la série (R_mn) sélectionnée et

- cet ensemble ({Q0_mn^(f)}) de (Q0_mn^(f)) séquences de lacune sélectionnées exceptionnelles parmi l'ensemble ({Q_nm}) des séquences sélectionnées, qui ne contiennent pas l'identification de tronçon de parcours (s_m) sélectionnée ou la série (R_nm) sélectionnée d'identifications de tronçons de parcours (s_m, s_n ou s_m, ..., s_n) mais ont déclenché le signal d'erreur lors du premier contrôle de plausibilité,

sachant

qu'en outre, un rapport de lacune exceptionnel (q0_mn^(f) = Q0_mn^(f)/Q_mn) est généré du nombre (Q0_mn ^(f)) de séquences de lacune sélectionnées exceptionnelles de l'ensemble ({Q0_mn^(f)}) de séquences de lacune sélectionnées exceptionnelles et du nombre (Q_mn) de séquences sélectionnées de l'ensemble ({Q_mn}) de séquences sélectionnées,
et sachant que

e) si le premier contrôle de plausibilité apporte une réponse positive, au cours d'au moins un deuxième contrôle de plausibilité par au moins l'un des dispositifs de traitement de données (100/ 200_k), il est vérifié si le rapport de lacune exceptionnel (q0_mn^(f) = Q0_mn^(f)/Q_mn) dépasse au moins un premier rapport de lacune de référence;

f) si le deuxième contrôle de plausibilité apporte une réponse positive, le dispositif de traitement de données (100/200_k) examinateur génère un signal d'erreur de logiciel qui indique une erreur possible du logiciel;

g) si le deuxième contrôle de plausibilité apporte une réponse négative, le dispositif de traitement de données (100/200_k) examinateur génère un signal d'erreur de matériel qui indique une erreur possible de saisie par rapport à la saisie de données de circulation par le dispositif décentralisé (200_k) duquel proviennent les données de circulation soumises à la séquence de lacune examinée.

2. Procédé selon la revendication 1 caractérisé en ce que

h) dans un troisième contrôle de plausibilité il est vérifié si le rapport de lacune dépasse au moins un deuxième rapport de lacune de référence qui soit plus grand que le premier rapport de lacune de référence,
sachant que

i) si le troisième contrôle de plausibilité apporte une réponse positive, le dispositif centralisé de traitement de données génère un signal d'erreur d'indentification qui indique une erreur réel d'identification du programme d'identification de tronçons de parcours destiné;
et

j) si le troisième contrôle de plausibilité apporte une réponse négative, le dispositif centralisé de traitement de données génère dans le cas où le deuxième contrôle de plausibilité apporte une réponse positive un signal d'erreur de référence qui indique une erreur réel de référence de la valeur de paramètre de référence.

3. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le dispositif de traitement de données examinateur est le dispositif centralisé de traitement de données (100),
sachant que
le dispositif centralisé de traitement de données (100) reçoit de données de circulation et/ ou au moins une séquence (Q^(k)) de plusieurs identifications de tronçons de parcours (s_i, ...,s_j) enregistrées de manière successive dans le temps en combinaison avec au moins la première valeur de mesure et/ ou au moins la première valeur de paramètre de déplacement du véhicule du dispositif décentralisé de traitement de données (200_k).

4. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'un rapport de lacune (q0_mn) n'est généré et le deuxième contrôle de plausibilité n'est effectué que si le nombre (Q_mn) de séquences sélectionnées n'est ni inférieur à un nombre minimum prédéfini (Q_mn^(min)) ni supérieur à un nombre maximum prédéfini (Q_mn^(max)), où le nombre minimum prédéfini (Q_mn^(min)) équivaut 100 et le nombre maximum prédéfini (Q_mn^(max)) équivaut 1.000.000.

5. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que, déclenché par le signal d'erreur de référence, la valeur de paramètre de référence fautive est remplacé dans la mémoire de données centralisée (101) au moyen du dispositif centralisé de traitement de données (100) par une valeur de paramètre de référence modifiée, qui diffère autant de la valeur de paramètre de référence fautive que la première valeur de paramètre de déplacement du véhicule, par rapport à laquelle le premier contrôle de plausibilité a apporté une réponse positive, apporterait une réponse négative dans un contrôle de plausibilité effectué de nouveau selon la première règle par rapport à la valeur de paramètre de référence modifiée.

6. Procédé destiné à identifier les erreurs dans un système de péage, qui
comporte au moins un dispositif centralisé de traitement de données (100) et au moins une pluralité de dispositifs décentralisés de traitement de données (200)
dont chacun (200_k)

i) est embarqué dans un véhicule (210_k) assujetti au péage, auquel il est affecté et

ii) est conçu pour saisir de données de circulation qui sont représentatives pour la circulation sur des tronçons de parcours (a_i) assujettis au péage d'un réseau de tronçons de parcours assujettis au péage du véhicule (210_k) assujetti au péage et

iii) comporte un dispositif décentralisé de communication radio (205_k) destiné au moins à envoyer des données au dispositif centralisé de traitement de données (100) ou qui est relié au moins temporairement par technique de communication avec un tel,

lors duquel
au moins l'un des dispositifs de traitement de données (100/200_k) étant conçu pour identifier à l'aide d'un programme d'identification de tronçons de parcours destiné à traiter les données de circulation la circulation sur les tronçons de parcours (a_i) concernés du véhicule (210_k) concerné et pour enregistrer des identifications de tronçons de parcours (s_i) correspondant à des tronçons de parcours (a_i) concernés, dans l'ordre chronologique et/ou chaque fois en association avec une valeur de temps de la circulation sur ces derniers du véhicule (210_k) concerné,
lors duquel

a) par au moins l'un des systèmes de traitement de données (100/200_k) il est mis à disposition au moins une séquence de lacune (Q0_mn^(u)) qui doit être examinée, qui est comprise dans au moins une séquence de chaque fois plusieurs identifications de tronçons de parcours (s_i, ...,s_j) affectées à un certain véhicule (210 k), enregistrées de manière successive dans le temps,
la séquence de lacune (Q0_mn^(u)) qui doit être examinée étant caractérisée en ce qu'elle ne contient pas au moins une identification de tronçon de parcours (s_m) sélectionnée ou au moins une suite (R_mn) sélectionnée de plusieurs différentes identifications de tronçons de parcours (s_m, s_n ou s_m, ..., s_n) de tronçons de parcours (a_m, a_n ou a_m, ..., a_n) directement successifs dans le réseau de tronçons de parcours et
qu'elle contient une identification précédente de tronçon de parcours (s_m-1) qui correspond au tronçon de parcours (a_m-1) précédent, qui dans le réseau précède directement le tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou le premier tronçon de parcours (a_m) de la suite (R_mn) sélectionnée et
qu'elle contient une identification suivante de tronçon de parcours (s_m+1 ou s_n+1) qui correspond au tronçon de parcours (a_m+1 ou a_n+1) suivant, qui dans le réseau fait directement suite au tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou au dernier tronçon de parcours (a_n) de la suite (R_mn) sélectionnée

b) pour la séquence de lacune (Q0_mn^(u)) qui doit être examinée, au cours d'au moins un premier contrôle de plausibilité par au moins l'un des dispositifs de traitement de données (100/200_k), il est vérifié si
au moins une première valeur de paramètre de déplacement du véhicule,
qui est formée ou dérivée d'au moins une première valeur de mesure du déplacement du véhicule, laquelle en relation avec les données de circulation a été collectée par le dispositif de traitement de données (200_k) décentralisé
et qui a été affectée à la paire précédente-suivante des identifications précédente et suivante de tronçons de parcours (s_m-1, s_m+1 ou s_n+1) du tronçon de parcours précédent (a_m-1) identifié et du tronçon de parcours suivant (a_m+1 ou a_n+1) identifié,
satisfait à au moins une première règle concernant au moins une première valeur de paramètre de référence pour la paire précédente-suivante (s_m-1, s_m+1 ou s_n+1),
qui est ou qui était mémorisée au moins temporairement dans au moins une mémoire de données (101) centralisée du dispositif de traitement de données (100) centralisé ;
sachant que

c) si le premier contrôle de plausibilité apporte une réponse positive, le dispositif de traitement de données (100/ 200_k) examinateur génère un signal d'erreur qui indique une erreur possible ;
et

d) si le premier contrôle de plausibilité apporte une réponse négative, le dispositif de traitement de données (100/ 200_k) examinateur ne génère aucun signal ou génère un signal d'absence d'erreur qui indique qu'il n'y a pas d'erreur;
caractérisé en ce que
le dispositif de traitement de données effectuant le premier contrôle de plausibilité est au moins un dispositif décentralisé (200 k),
sachant
qu'une copie respective de la valeur de paramètre de référence est mémorisée dans chaque d'au moins une mémoire de données (201_k) de chaque dispositif décentralisé de données,
qu'une modification éventuellement demandée de la valeur de paramètre de référence dans la mémoire de données centralisée (101) est détectée et/ ou effectuée par le dispositif centralisé de traitement de données (100) et
que le dispositif centralisé de traitement de données (100) étant conçu pour déclencher une transmission de la valeur de paramètre de référence modifiée a chacun des dispositifs décentralisés de traitement de données (200_k)
sachant
qu'au moins le signal d'erreur du dispositif décentralisé de traitement de données (200_k) est envoyé par le dispositif décentralisé de communication radio (205_k) au dispositif centralisé de traitement de données (100),
sachant
que la première valeur de paramètre de déplacement du véhicule et la paire précédente-suivante correspondante des identifications précédente et suivante de tronçons de parcours (s_m-1, s_m+1 ou s_n+1) sont transmises en tant que signal d'erreur ou en combinaison avec le signal d'erreur à l'aide du dispositif décentralisé de communication radio (205_k) au dispositif centralisé de traitement de données (100)
et
que le dispositif centralisé de traitement de données (100) étant conçu
pour compter les signaux d'erreur, qu'il reçoit par rapport à la paire précédente-suivante correspondante des identifications précédente et suivante de tronçons de parcours (s_m-1, s_m+1 ou s_n+1) dans un créneau temporel prédéfini et
pour soumettre le nombre d'erreurs des signaux d'erreur comptés ou un rapport d'erreur qui est généré de le nombre d'erreurs des signaux d'erreurs comptés et du nombre total de séquences qui comprennent la paire précédente-suivante correspondante des identifications précédente et suivante de tronçons de parcours (s_m-1, s_m+1 ou s_n+1) et que le dispositif centralisé de traitement de données a reçues dans créneau temporel prédéfini

e) à un deuxième contrôle de plausibilité, par lequel il est vérifié si le nombre d'erreurs des signaux d'erreur dépasse un premier nombre d'erreurs de référence prédéfini ou si le rapport d'erreur dépasse un premier rapport d'erreur de référence prédéfini;
sachant que

f) si le deuxième contrôle de plausibilité apporte une réponse positive, le dispositif centralisé de traitement de données (100) génère un signal d'erreur de logiciel qui indique une erreur possible du logiciel;

g) si le deuxième contrôle de plausibilité apporte une réponse négative, le dispositif centralisé de traitement de données (100) génère un signal d'erreur de matériel qui indique une erreur possible de saisie par rapport à la saisie de données de circulation par le dispositif décentralisé (200_k) duquel proviennent les données de circulation soumises à la séquence de lacune examinée.

7. Procédé selon la revendication 6 caractérisé en ce que

h) dans un troisième contrôle de plausibilité il est vérifié si le nombre d'erreurs des signaux d'erreurs dépasse au moins un deuxième rapport de lacune de référence qui soit plus grand que le premier rapport de lacune de référence,
sachant que

i) si le troisième contrôle de plausibilité apporte une réponse positive, le dispositif centralisé de traitement de données génère un signal d'erreur d'indentification qui indique une erreur réel d'identification du programme d'identification de tronçons de parcours destiné;
et

j) si le troisième contrôle de plausibilité apporte une réponse négative, le dispositif centralisé de traitement de données génère un signal d'erreur de référence qui indique une erreur réel de référence de la valeur de paramètre de référence.

8. Procédé selon la revendication 6 ou 7 caractérisé en ce que
le premier nombre d'erreurs de référence est contenu dans la gamme de 3 à 10 pour le créneau temporel d'une heure et dans la gamme de 100 à 10000 pour le créneau temporel d'un mois.

9. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce qu'au moins la première valeur de paramètre de référence est une valeur de paramètre de référence d'une pluralité de valeurs de paramètres de référence, qui sont ou qui ont été mémorisées au moins temporairement pour une pluralité d'associations de paires d'identifications précédente-suivante de tronçons de parcours (s_i, s_j) dans dès cellules d'une matrice de paramètres de référence, sous la forme d'un tableau avec des identifications précédents de tronçons de parcours (s_i) dans les colonnes et des identifications suivantes de tronçons de parcours (s_j) dans les lignes (ou inversement) dans au moins une mémoire de données (101) centralisée du dispositif de traitement de données (100) centralisé.

10. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le premier paramètre de déplacement du véhicule est l'un des paramètres suivants :

i) une différence de temps, qui en fonction d'une première valeur de temps (T_m-1) en tant que première valeur de mesure, qui est affectée à l'identification précédente de tronçon de parcours (s_m-1) et d'au moins une deuxième valeur de temps (T_m+1 ou T_n+1) en tant que deuxième valeur de mesure, qui est affectée à l'identification suivante de tronçon de parcours (s_m+1 ou s_n+1) ;

ii) une distance, qui dépend d'une première valeur de parcours (D_m-1) en tant que première valeur de mesure qui est affectée à l'identification précédente de tronçon de parcours (s_m-1) et d'au moins une deuxième valeur de parcours (D_m+1 ou D_n+1) en tant que deuxième valeur de mesure qui est affectée à l'identification suivante de tronçon de parcours (s_m+1 ou s_n+1)

iii) une valeur moyenne fictive de vitesse du véhicule qui a été obtenue par la division d'une distance de référence pour la paire précédente-suivante d'identifications de tronçons de parcours (s_m-1, s_m+1 ou s _n+1) par la différence de temps du chiffre i) ;

iv) une durée de vitesse limite, en tant que la somme de durées partielles pendant lesquelles la vitesse du véhicule en tant que troisième valeur mesurée dépasse une vitesse limite ;

v) un rapport de durée de vitesse limite qui a été obtenu par la division de la durée de vitesse limite du chiffre iv) par la différence de temps du chiffre i) ;

vi) un parcours à vitesse limite, en tant que la somme de parcours partiels sur lesquels la vitesse du véhicule en tant que valeur de mesure supplémentaire dépasse une vitesse limite ;

vii) un rapport de parcours à vitesse limite, qui a été généré par la division du parcours à vitesse limite du chiffre vi) par la distance du chiffre (ii) ;

sachant que dans le cas respectif :

i) le premier paramètre de référence est une différence de temps de référence et la première règle est la non-atteinte de la valeur de différence de temps de référence par la valeur de différence de temps;

ii) le premier paramètre de référence est une distance de référence et la première règle est la concordance de la valeur de distance avec la valeur de distance de référence dans le cadre d'un écart maximal admissible prédéfini entre la valeur de distance et la valeur de distance de référence;

iii) le premier paramètre de référence est une vitesse de référence et la première règle est le dépassement de la valeur de vitesse de référence par la valeur de la vitesse fictive moyenne du véhicule;

iv) le premier paramètre de référence est une durée à vitesse limite de référence et la première règle est la non-atteinte ou le dépassement de la valeur de durée à vitesse limite de référence par la valeur de durée à vitesse limite;

v) le premier paramètre de référence est un rapport de durée à vitesse limite de référence et la première règle est le dépassement de la valeur du rapport de durée à vitesse limite de référence par la valeur du rapport de durée à vitesse limite;

vi) le premier paramètre de référence est un parcours à vitesse limite de référence et la première règle est le dépassement de la valeur de parcours à vitesse limite de référence par la valeur de parcours à vitesse limite;

vii) la premier paramètre de référence est un rapport de parcours à vitesse limite de référence et la première règle est le dépassement de la valeur du rapport de parcours à vitesse limite de référence par la valeur du rapport de parcours à vitesse limite.

11. Procédé selon l'une quelconque des revendications précédentes, caractérisé en ce que le premier rapport de lacune de référence est plus grand que 0,001 % et plus petit que 10 %.

12. Dispositif de traitement de données (100) centralisé d'un système de péage,
qui comprend une pluralité de dispositifs de traitement de données (200) décentralisées,
dont chacun (200_k)

i) est embarqué dans un véhicule (210_k) assujetti au péage, auquel il est affecté et

ii) est conçu pour saisir de données de circulation qui sont représentatives pour la circulation sur des tronçons de parcours (a_i) assujettis au péage d'un réseau de tronçons de parcours assujettis au péage par le véhicule (210_k) assujetti au péage et

iii) comporte un dispositif décentralisé de communication radio (205_k) destiné au moins à envoyer des données au dispositif centralisé de traitement de données (100) ou qui est relié au moins temporairement par technique de communication avec un tel,

au moins l'un des dispositifs de traitement de données (100/200_k) étant conçu pour identifier à l'aide d'un programme d'identification de tronçons de parcours, destiné à traiter des données de circulation la circulation sur les tronçons de parcours a_i concernés du véhicule (210_k) concerné et pour enregistrer des identifications de tronçons de parcours s_i correspondant aux tronçons de parcours a_i concernés dans l'ordre chronologique et/ou chaque fois en association avec une valeur de temps de la circulation sur ces derniers du véhicule (210_k) concerné,
le dispositif de traitement de données (100) centralisé étant conçu pour réceptionner de la part de chacun de la pluralité de dispositifs de traitement de données (200) décentralisés des données de circulation et / ou des identifications de tronçons de parcours (s_i) classées dans le temps et
le dispositif de traitement de données (100) centralisé comportant une mémoire de données (101) centralisée ou étant relié au moins temporairement par technique de communication avec une telle, dans laquelle un ensemble ({Q}) de (Q) séquences de chaque fois plusieurs identifications de tronçons de parcours (s_i, ... ,s_j) enregistrés de manière successive dans le temps, qui sont chaque fois affectées à l'un parmi la pluralité de dispositifs de traitement de données (200) décentralisées est mémorisée au moins temporairement et mise à la disposition pour traitement du dispositif de traitement de données centralisé,
le dispositif de traitement de données centralisé étant conçu pour

a) déterminer pour au moins une identification de tronçon de parcours (s_m) sélectionnée ou pour au moins une série (R_mn) sélectionnée de plusieurs différentes identifications de tronçons de parcours (s_m, s_n ou s_m, ..., s_n) sur des tronçons de parcours (a_m, a_n ou a_n, ..., a_m) directement successifs dans le réseau de tronçons de parcours

i) set ensemble ({Q_mn}) de (Q_mn) séquences sélectionnées parmi la quantité ({Q}) des séquences mises à disposition, qui contiennent une identification précédente de tronçon de parcours (s_m-1) qui correspond au tronçon de parcours précédent (a_m-1) qui dans le réseau précède directement le tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou au premier tronçon de parcours (a_m) de la série (R_mn) sélectionnée et qui contiennent une identification suivante de tronçon de parcours (s_m+1 ou s_n+1) qui correspond au tronçon de parcours suivant (a_m+1 ou a_n+1) qui dans le réseau fait directement suite au tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou au dernier tronçon de parcours (a_n) de la série (R_mn) sélectionnée et pour déterminer

ii) cet ensemble ({Q0_mn}) de (Q0_mn) séquences de lacune sélectionnées parmi la quantité ({Q_{n m}}) des séquences sélectionnées, qui ne contiennent pas l'identification de tronçon de parcours (s_m) sélectionnée ou la série (R_nm) sélectionnée d'identifications de tronçons de parcours (s _m, S_n ou S_m, ..., S_n);

b) vérifier, pour au moins une séquence de lacune (Q0_mn^(u)) qui doit être examinée parmi l'ensemble ({Q0_mn}) de séquences de lacune sélectionnée, au cours d'au moins un premier contrôle de plausibilité si
au moins une valeur de paramètre de déplacement du véhicule qui est formée ou dérivée d'au moins une première valeur de mesure du déplacement du véhicule, laquelle a été collectée en relation avec des données de circulation par le dispositif de traitement de données (200 _k) auquel est affectée la séquence de lacune (Q0_mn^(u)) qui doit être examinée et qui a été affecté à la paire précédente-suivante d'identifications de tronçons de parcours (s_m-1, s_m+1 ou s_n+1) du tronçon de parcours précédent (a_m-1) identifié et du tronçon de parcours suivant (a_m+1 ou a_n+1) identifié satisfait au moins à une première règle en ce qui concerne au moins une première valeur de paramètre de référence pour la paire précédente-suivante d'identifications de tronçons de parcours (s_m-1, s_m+1 ou s_n+1),
qui est ou était mémorisée au moins temporairement dans au moins une mémoire de données centralisée (101) du dispositif de traitement de données (100) centralisé;

c) générer un signal d'erreur qui indique une erreur possible, si le premier contrôle de plausibilité
apporte un résultat positif;
et

d) pour né générer aucun signal ou pour générer un signal de non-erreur qui indique qu'il n'y a aucune erreur si le premier contrôle de plausibilité apporte un résultat négatif;
caractérisé en ce que
le dispositif de traitement de données centralisé étant conçu pour
déterminer pour au moins une identification de tronçon de parcours (s_m) sélectionnée ou pour au moins une série (R_mn) sélectionnée de plusieurs différentes identifications de tronçons de parcours (s_m, s_n ou s_m, ..., s_n) sur des tronçons de parcours (a_m, a_n ou a_n, ..., a_m) directement successifs dans le réseau de tronçons de parcours

- cet ensemble ({Q_mn}) de (Q_mn) séquences sélectionnées parmi l'ensemble ({Q}) des séquences reçues, qui contiennent une identification précédente de tronçon de parcours (s_m-1) qui correspond au tronçon de parcours précédent (a_m-1) qui dans le réseau précède directement le tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou au premier tronçon de parcours (a_m) de la série (R_mn) sélectionnée et qui contiennent une identification suivante de tronçon de parcours (s_m+1 ou s_n+1) qui correspond au tronçon de parcours suivant (a_m+1 ou a_n+1) qui dans le réseau fait directement suite au tronçon de parcours (a_m) de l'identification de tronçon de parcours (s_m) sélectionnée ou au dernier tronçon de parcours (a_n) de la série (R_mn) sélectionnée et

- cet ensemble ({Q0_mn^(f)}) de (Q0_mn^(f)) séquences de lacune sélectionnées exceptionnelles parmi l'ensemble ({Q_nm}) des séquences sélectionnées, qui ne contiennent pas l'identification de tronçon de parcours (s_m) sélectionnée ou la série (R_nm) sélectionnée d'identifications de tronçons de parcours (s_m, s_n ou s_m, ...., s_n) mais ont déclenché le signal d'erreur lors du premier contrôle de plausibilité,

le dispositif de traitement de données centralisé étant en outre conçu
pour générer un rapport de lacune exceptionnel (q0_mn^(f) = Q0_mn^(f)/Q_mn) du nombre (Q0_mn^(f)) de séquences de lacune sélectionnées exceptionnelles de l'ensemble ({Q0_mn^(f)}) de séquences de lacune sélectionnées exceptionnelles et du nombre (Q_mn) de séquences sélectionnées de l'ensemble ({Q_mn}) de séquences sélectionnées,
et

e) si le premier contrôle de plausibilité apporte une réponse positive, pour vérifier au cours d'au moins un deuxième contrôle de plausibilité, si le rapport de lacune exceptionnel (q0_mn^(f) = Q0_mn^(f)/Q_mn) dépasse au moins un premier rapport de lacune de référence;

f) si le deuxième contrôle de plausibilité apporte une réponse positive, pour générer un signal d'erreur de logiciel qui indique une erreur possible du logiciel;

g) si le deuxième contrôle de plausibilité apporte une réponse négative, pour générer un signal d'erreur de matériel qui indique une erreur possible de saisie par rapport à la saisie de données de circulation par le dispositif décentralisé (200_k) duquel proviennent les données de. circulation soumises à la séquence de lacune examinée.

Zeichnung