NL1035279C2 - Recording usage of product or service by user, e.g. for road pricing system, registers usage in association with timestamp or allows new declaration of usage only after certain period of time has lapsed - Google Patents

Abstract

To prevent or combat fraud, e.g. concerning the total costs and total mileage driven, the measured usage, e.g. costs and mileage driven, is registered in association with a timestamp, or a new declaration of usage can only be made after a predetermined amount of time has lapsed since the last declaration. In the vehicle, a trusted element such as a smart card (3) keeps track of the total costs and total mileage driven. At certain times such as during roadside spot-checks, the smart card sends the stored costs and mileage driven to a roadside enforcement system.

Description

55

WERKWIJZE EN SYSTEEM VOOR HET REGISTEREN VAN HET GEBRUIK VAN EEN PRODUCT OF DIENSTMETHOD AND SYSTEM FOR REGISTERING THE USE OF A PRODUCT OR SERVICE

De uitvinding heeft betrekking op een werkwijze voor het registeren voor het gebruik van een product of dienst door een gebruiker, omvattende de stappen van het meten van het gebruik in gebruikseenheden, het periodiek doorgeven van 10 een opgave van het gemeten aantal gebruikseenheden aan een vertrouwd orgaan en het periodiek doorgeven van een verzameling opgaven aan een registrerend orgaan, waarbij het opgegeven gebruik steekproefsgewijs gecontroleerd wordt door het ondervragen van het vertrouwd orgaan. Een dergelijke 15 werkwijze is reeds beschreven in het kader van het registreren en factureren van het gebruik van infrastructuur in "Systemen voor fraudebestendige en privacyvriendelijke kilometerheffing" van W. de Jonge, Divisie Wiskunde & Informatica, Vrije Universiteit, Amsterdam 20 (http://www.cs.vu.nl/~wiebren/TIP/files/IR487body.pdf).The invention relates to a method for registering a user's use of a product or service, comprising the steps of measuring usage in usage units, periodically passing on a statement of the measured number of usage units to a trusted member and periodically passing on a set of statements to a registering organ, wherein the specified use is sampled by questioning the trusted organ. Such a method has already been described in the context of registering and invoicing the use of infrastructure in "Systems for fraud-proof and privacy-friendly kilometer charging" by W. de Jonge, Division of Mathematics & Computer Science, VU University Amsterdam, Amsterdam 20 (http: // www.cs.vu.nl/~wiebren/TIP/files/IR487body.pdf).

Een probleem dat zich veelvuldig voordoet bij het registreren van het gebruik van producten of diensten is dat een afweging gemaakt moet worden tussen de belangen van de aanbieder van de producten of diensten enerzijds en de 25 afnemers anderzijds, immers, de aanbieder zal gebaat zijn bij een registratie die geen enkele ruimte laat voor fraude, terwijl het belang van de afnemers ligt bij een registratie die zo min mogelijk inspanning kost en zo min mogelijk inbreuk maakt op hun privacy. Deze tegenstrijdigheid speelt 30 op dit moment in het bijzonder bij de pogingen om te komen tot een concept voor het Anders Betalen voor Mobiliteit (hierna aan te duiden als AbvM) , in de volksmond ook wel bekend als de "kilometerheffing".A problem that frequently occurs when registering the use of products or services is that a trade-off must be made between the interests of the provider of the products or services on the one hand and the buyers on the other hand, after all, the supplier will benefit from a registration that leaves no room for fraud, while the interest of the customers lies with a registration that takes as little effort as possible and infringes their privacy as little as possible. This contradiction currently plays a role in particular in the attempts to arrive at a concept for Different Payment for Mobility (hereinafter referred to as AbvM), popularly known as the "kilometer charge".

1035279 21035279 2

Volgens het concept AbvM wordt het gebruik van in elk geval de meest drukke en filegevoelige delen van het wegennet aan de gebruikers in rekening gebracht. Daarbij kan nog een onderscheid gemaakt worden naar het moment van 5 gebruik, bijvoorbeeld in de spits of op rustige uren, en eventueel ook naar de mate waarin een gebruiker het milieu belast, bijvoorbeeld op basis van het zogeheten energielabel. In het concept wordt er vanuit gegaan dat het gebruik wordt gemeten of opgegeven, en dat aan de hand 10 daarvan - waarschijnlijk periodiek - een factuur wordt opgemaakt en verzonden aan de gebruiker. De werkzaamheden met betrekking tot het verzamelen en verwerken van de gebruiksgegevens, het heffen en innen van de gebruikskosten en eventuele verdere taken zoals klachtafhandeling kunnen 15 daarbij worden uitgevoerd door de overheid of door een private partij, een service provider of ABvM-organisatie.According to the AbvM concept, the use of at least the most crowded and congested areas of the road network is charged to users. A distinction can also be made here according to the time of use, for example during peak hours or during quiet hours, and possibly also to the extent to which a user is burdening the environment, for example on the basis of the so-called energy label. The concept assumes that usage is measured or specified, and that an invoice is drawn up and sent to the user on the basis of this - probably periodically. The work relating to the collection and processing of the user data, the levying and collection of the user costs and any further tasks such as complaint handling can thereby be carried out by the government or by a private party, a service provider or ABvM organization.

Een werkwijze voor het registreren van het gebruik voor toepassing in een dergelijk concept moet aan een aantal hoofdeisen voldoen. Naast het feit dat de voor de heffing 20 noodzakelijke gegevens op betrouwbare en efficiënte wijze moeten worden aangeleverd aan de service provider, moeten ook vier publieke taken worden ondersteund, te weten: - Handhaving: met een (geautomatiseerde) controle langs de kant van de weg moet kunnen worden vastgesteld of 25 de ABvM-deelnemer niet fraudeert; - Revenu Assurance: de overheid moet zekerheid hebben dat de verreden kilometers daadwerkelijk worden gefactureerd door de ABvM-organisatie en dat het gefactureerde bedrag ook wordt afgedragen aan de overheid; 30 - Beroep & Bezwaar: elke ABvM-deelnemer moet de factuur kunnen toetsen aan gereden trajecten en bij storingen moet er voldoende informatie beschikbaar zijn om klachtafhandeling mogelijk te maken; 3 - Informatieverstrekking: het moet mogelijk zijn informatie te verstrekken voor verkeersmanagement, prijsbeleid en statistische doeleinden.A method for registering the use for application in such a concept must satisfy a number of main requirements. In addition to the fact that the data required for the levy 20 must be supplied to the service provider in a reliable and efficient manner, four public tasks must also be supported, namely: - Enforcement: with an (automated) roadside check it must be possible to determine whether the ABvM participant is not fraudulent; - Assurance Revenue: the government must be sure that the kilometers driven are actually invoiced by the ABvM organization and that the invoiced amount is also paid to the government; 30 - Occupation & Objection: every ABvM participant must be able to test the invoice against the routes that have been driven and in the event of malfunctions, sufficient information must be available to enable complaint handling; 3 - Information provision: it must be possible to provide information for traffic management, pricing policy and statistical purposes.

Op dit moment worden voor het concept ABvM twee 5 hoofdstromingen onderzocht; registratie van positiegegevens of registratie van afgelegde afstanden.Two main trends are currently being investigated for the ABvM concept; registration of position data or registration of distance traveled.

Voor de registratie van positiegegevens zou het voldoende zijn wanneer aan boord van ieder voertuig een eenvoudige eenheid (een zogeheten "on board unit" of OBU) 10 aanwezig is, die de positie op ieder moment bepaalt, bijvoorbeeld door satellietnavigatie, en deze positie hetzij direct, hetzij periodiek doorgeeft aan een centraal ontvangstorgaan. Het centraal ontvangstorgaan berekent dan aan de hand van de ontvangen positiegegevens van welke delen 15 van de infrastructuur gebruik gemaakt is en stelt op basis daarvan een factuur op. Dit heeft het voordeel dat de investeringen relatief gering zijn, evenals de kans op fraude. Daar staat tegenover dat er aanzienlijke inspanningen nodig zijn om de privacy van gebruikers te 20 waarborgen, daar immers hun positie op elk moment bekend is bij, of althans herleid kan worden door het centraal ontvangstorgaan. Hoewel door het anonimiseren of pseudonimiseren van de gebruikers en het scheiden van de gegevens van de OBU van de voertuig- en persoonsgegevens een 25 behoorlijke mate van privacy kan worden bereikt, bestaat toch de indruk dat er onvoldoende maatschappelijk draagvlak zal zijn voor invoering van een systeem op basis van positieregistratie.For the registration of position data it would be sufficient if a simple unit (a so-called "on board unit" or OBU) is present on board each vehicle, which determines the position at any time, for example by satellite navigation, and this position either directly , or periodically transmits it to a central receiver. The central receiving member then calculates on the basis of the received positional data which parts of the infrastructure have been used and draws up an invoice on the basis thereof. This has the advantage that the investments are relatively small, as well as the risk of fraud. On the other hand, considerable efforts are needed to guarantee the privacy of users, since their position is known at any time by, or at least can be traced back by, the central receiving member. Although a sufficient degree of privacy can be achieved by anonymizing or pseudonymizing the users and separating the data from the OBU from the vehicle and personal data, there is still the impression that there will be insufficient social support for the introduction of a system based on position registration.

Het alternatief is het registreren van afgelegde 30 afstanden. Daarbij moet aan boord van ieder voertuig een uitgebreidere OBU aanwezig zijn, omdat deze niet slechts de positie van het voertuig moet bepalen, maar daaruit ook zelfstandig moet kunnen afleiden welke afstanden op de 4 verschillend beprijsde delen van de infrastructuur zijn afgelegd. De OBU moet daartoe voorzien zijn van een bestand met kaartinformatie over in elk geval die delen van het wegennet waarvan het gebruik extra betaald moet worden. Door 5 het vergelijken van de bepaalde positie met de kaartgegevens kan de OBU dan vaststellen of er een beprijsd traject is afgelegd, en kan deze informatie, dus het soort traject en de daarop afgelegde afstand, opslaan of direct doorleiden naar een centraal ontvangstorgaan. Doordat de OBU in dat 10 geval slechts geaggregeerde gebruiksgegevens doorgeeft, wordt de privacy van gebruikers beter gewaarborgd dan bij een systeem op basis van positieregistratie.The alternative is to record distances traveled. In addition, a more extensive OBU must be present on board each vehicle, because it must not only determine the position of the vehicle, but must also be able to independently derive from it the distances traveled on the 4 differently priced parts of the infrastructure. To that end, the OBU must be provided with a file with map information on at least those parts of the road network whose use must be paid extra. By comparing the determined position with the map data, the OBU can then determine whether a priced route has been traveled, and can store this information, i.e. the type of route and the distance traveled thereon, or direct it to a central receiver. Because the OBU in that case only transmits aggregated usage data, the privacy of users is better guaranteed than with a system based on position registration.

Daar staat tegenover dat een dergelijk systeem gevoeliger is voor fraude, omdat immers niet de 15 daadwerkelijke positie van de gebruikers wordt doorgegeven, maar wordt afgegaan op door de gebruikers zelf gegenereerde en doorgegeven gegevens. De mogelijkheid van fraude bergt het risico in zich dat de opbrengsten van het betalen voor het gebruik van het wegennet zullen tegenvallen, waardoor 20 budgettaire problemen kunnen ontstaan, die slechts door verhoging van tarieven kunnen worden opgelost. Daarnaast kan, wanneer duidelijk wordt dat een heffingsysteem fraudegevoelig is, waardoor goedwillenden in feite "meebetalen" voor fraudeurs, het maatschappelijk draagvlak 25 voor toepassing van een dergelijk systeem wegvallen.On the other hand, such a system is more susceptible to fraud, since the actual position of the users is not passed on, but relies on data generated and transmitted by the users themselves. The possibility of fraud entails the risk that the proceeds from paying for the use of the road network will be disappointing, as a result of which 20 budgetary problems can arise, which can only be solved by increasing rates. In addition, when it becomes clear that a charging system is susceptible to fraud, as a result of which benevolent persons actually "co-pay" for fraudsters, the social support for applying such a system can be lost.

Desondanks is de verwachting dat een systeem waarbij het gebruik wordt gefactureerd op basis van een eigen opgave door gebruikers een breder draagvlak zal hebben en derhalve een grotere kans op realisatie biedt dan een systeem op 30 basis van positieregistratie.Nevertheless, it is expected that a system where the use will be invoiced on the basis of a user's own statement will have a broader base of support and therefore offers a greater chance of realization than a system based on position registration.

Er is al voorgesteld om bij een dergelijke wijze van registreren van gebruik fraude tegen te gaan door middel van regelmatige, niet altijd vooraf aangekondigde controles 5 langs de beprijsde delen van het wegennet. Daarbij kan gedacht worden aan het van afstand ondervragen en uitlezen van de OBU. In geval een OBU geen antwoord geeft of een onjuiste positie doorgeeft kan dan een opname van het 5 voertuig gemaakt worden, ongeveer op de wijze zoals nu bij snelheidscontroles wordt gedaan.With such a method of registering use, it has already been proposed to prevent fraud by means of regular, not always pre-announced checks along the priced parts of the road network. This may include interrogating and reading the OBU remotely. In the event that an OBU does not provide an answer or reports an incorrect position, a recording of the vehicle can then be made, approximately in the way that is now done during speed checks.

De uitvinding heeft nu tot doel een werkwijze van de hiervoor beschreven soort zodanig te beveiligen, dat fraude niet of nauwelijks mogelijk is, en de pakkans bij frauduleus 10 handelen aanzienlijk is. Volgens de uitvinding wordt dit bereikt, doordat tijdens de stap van het doorgeven van het gebruik aan het vertrouwd orgaan een onjuiste opgave wordt verhinderd of bemoeilijkt. De uitvinding berust op het inzicht dat het nagenoeg ondoenlijk is om de meting van het 15 gebruik zelf, die plaatsvindt in een OBU, volledig tegen fraude te beveiligen, maar dat het volstaat om fraude eenvoudig aantoonbaar te maken. Het vertrouwd orgaan fungeert daarbij in feite als een vooruitgeschoven post van de AbvM-organisatie, die erop toeziet dat de aangifte naar 2 0 waarheid geschiedt. Door het vergroten van de pakkans wordt frauduleus handelen, zelfs wanneer dit relatief eenvoudig mogelijk zou worden, zodanig onaantrekkelijk dat het percentage fraudeurs beperkt blijft. Daardoor wordt gewaarborgd dat het heffingsysteem voldoende opbrengt en 25 maatschappelijk aanvaard wordt.The invention now has for its object to protect a method of the above-described type in such a way that fraud is hardly possible, if at all, and the risk of being caught is fraudulent. According to the invention, this is achieved in that an incorrect statement is prevented or made more difficult during the step of passing on the use to the trusted member. The invention is based on the insight that it is virtually impossible to completely protect the measurement of the use itself, which takes place in an OBU, against fraud, but that it is sufficient to make fraud easily detectable. The trusted body in fact acts as an advanced post of the AbvM organization, which ensures that the declaration is made truthfully. Increasing the chance of being caught makes fraudulent behavior, even if this would be relatively simple, so unattractive that the percentage of fraudsters remains limited. This ensures that the tax system yields sufficient income and is socially accepted.

Bij een eerste variant van de werkwijze volgens de uitvinding wordt een onjuiste opgave verhinderd doordat het vertrouwd orgaan bij ontvangst van een opgave van het gemeten gebruik een ontvangsttijd registreert en deze 30 verbindt met de opgave. Doordat het vertrouwd orgaan elke opgave voorziet van een ontvangsttijd, is het niet mogelijk om in geval van een controle nog ongemerkt aangepaste opgaven aan het vertrouwd orgaan aan te bieden, omdat deze 6 immers niet geantidateerd kunnen worden. Zo zullen dus onjuiste opgaven onherroepelijk aan het licht komen.In a first variant of the method according to the invention, an incorrect statement is prevented because the trusted member registers a receipt time upon receipt of a statement of the measured use and connects it to the statement. Because the trusted body provides each statement with a reception time, it is not possible in the event of an inspection to offer unnoticed modified statements to the trusted body, since these 6 cannot be antidated. Thus, incorrect statements will irrevocably come to light.

Bij een andere variant van de werkwijze volgens de uitvinding wordt een onjuiste opgave bemoeilijkt doordat het 5 vertrouwd orgaan na ontvangst van een opgave van het gemeten gebruik gedurende een bepaalde wachttijd geen verdere opgave accepteert. Op deze wijze wordt voorkomen dat een gebruiker in geval van een controle nog snel de meest recente opgaven wijzigt; hiervoor is dan zoveel tijd nodig dat deelname aan 10 het verkeer bij een voldoende controledichtheid praktisch niet mogelijk is.In another variant of the method according to the invention, an incorrect statement is made more difficult because the trusted member does not accept any further statement after receiving a statement of the measured use during a certain waiting period. In this way it is prevented that a user changes the most recent statements quickly in the event of a check; this requires so much time that participation in traffic with a sufficient control density is practically impossible.

Omdat op deze wijze fraude weliswaar bemoeilijkt wordt, maar nog niet onmogelijk gemaakt, verdient het de voorkeur dat het vertrouwd orgaan elke ontvangen opgave 15 controleert op onregelmatigheden, en bij het vaststellen van een onregelmatigheid gedurende een bepaalde periode een waarschuwing afgeeft. Door deze waarschuwing wordt de kans om op fraude betrapt te worden zo groot dat dit geen aantrekkelijke optie meer is.Because fraud is made more difficult in this way, but not yet made impossible, it is preferable that the trusted body checks every notification received for irregularities and issues a warning for a certain period when an irregularity is detected. Because of this warning, the chance of getting caught is so great that it is no longer an attractive option.

20 Daarbij kan met voordeel de bepaalde periode gedurende welke de waarschuwing wordt afgegeven enkele orden van grootte langer zijn dan de wachttijd. Zo wordt het praktisch onmogelijk gemaakt om bij onregelmatigheden met een voertuig gebruik te maken van het wegennet, daar bij 25 elke controle de waarschuwing opgemerkt zal worden.Advantageously, the determined period during which the warning is issued can be several orders of magnitude longer than the waiting time. Thus it is made practically impossible to make use of the road network in case of irregularities with a vehicle, since the warning will be noticed during each check.

In beginsel is de werkwijze volgens de uitvinding toe te passen in elke situatie waarin het wenselijk is fraude bij de opgave van een gemeten gebruik van een goed tegen te gaan of althans kenbaar te maken. Voorbeelden 30 waaraan gedacht kan worden zijn het gebruik van goederen of diensten die via een openbaar netwerk worden aangeboden, zoals de levering van energie of water, televisiebeelden of toegang tot het internet. Desondanks leent de werkwijze zich 7 met name voor het registreren van gebruik, van infrastructuur, waarbij de gebruikseenheden afstanden tussen opeenvolgende meetpunten in een wegennet zijn en het vertrouwd orgaan opgenomen is in een voertuig.In principle, the method according to the invention can be applied in any situation in which it is desirable to prevent or at least disclose fraud in the statement of a measured use of a good. Examples that can be considered are the use of goods or services offered via a public network, such as the supply of energy or water, television images or access to the internet. Nevertheless, the method 7 lends itself particularly to the registration of use of infrastructure, wherein the use units are distances between successive measuring points in a road network and the familiar device is incorporated in a vehicle.

5 In dat geval kan een onregelmatigheid op eenvoudige wijze worden vastgesteld wanneer de afstand tussen twee meetpunten een bepaalde grenswaarde overschrijdt. Zo kan de aandacht worden gevestigd op een gebruiker die, bijvoorbeeld in de verwachting dat hij of zij gecontroleerd zal worden, 10 alsnog waarden opgeeft die niet passen bij eerdere, onjuiste opgaven van het gebruik van goedkope delen van het wegennet.5 In that case, an irregularity can be easily determined if the distance between two measuring points exceeds a certain limit value. Attention can thus be drawn to a user who, for example in the expectation that he or she will be checked, still gives values that do not fit with earlier, incorrect statements of the use of inexpensive parts of the road network.

Daarnaast of in plaats daarvan verdient het aanbeveling dat een onregelmatigheid wordt vastgesteld indien de opeenvolgende meetpunten een cirkel of lus 15 bepalen. Op deze wijze wordt duidelijk wanneer een gebruiker voor een controle zijn voertuig virtueel vanaf een eerder opgegeven goedkoop deel van het wegennet laat terugrijden naar het daadwerkelijke punt van controle langs een duurder deel van het wegennet.In addition or instead, it is recommended that an irregularity is detected if the successive measurement points determine a circle or loop. In this way it becomes clear when a user for a check has his vehicle virtually driven back from a previously specified cheap part of the road network to the actual point of control along a more expensive part of the road network.

20 Teneinde voor de uiteindelijke facturatie een extra controle-mogelijkheid te creëren, verdient het de voorkeur dat bij de steekproefsgewijze controle het registrerend orgaan de doorgeven opgaven vergelijkt met opgaven uit andere bronnen. Dit kunnen bijvoorbeeld kilometerstanden 25 zijn die worden opgenomen tijdens een APK (Algemene Periodieke Keuring) van het voertuig.In order to create an additional check possibility for the final billing, it is preferable that during the random check the registering body compares the passed statements with statements from other sources. These may, for example, be mileage readings that are recorded during an APK (General Periodic Inspection) of the vehicle.

Volgens een ander aspect van de uitvinding maakt het vertrouwd orgaan van elke ontvangen opgave een gewaarmerkt afschrift ten behoeve van de gebruiker. Op deze wijze heeft 30 ook de gebruiker een overzicht van het gebruik, dat bijvoorbeeld van pas kan komen bij eventuele discussies over een factuur.According to another aspect of the invention, the trusted body makes a certified copy for the user of each received statement. In this way, the user also has an overview of the use, which may, for example, be useful in possible discussions about an invoice.

88

In dat geval kunnen met voordeel bij de steeksproefgewijze controle althans de meest recente afschriften worden opgevraagd. Zo fungeren de gewaarmerkte afschriften niet slechts voor de gebruiker maar ook voor de 5 AbvM-organisatie als controlemiddel.In that case, at least the most recent copies can be requested during the random check. The certified copies thus act not only as a means of control for the user but also for the 5 AbvM organization.

De uitvinding heeft ook betrekking op een systeem voor het uitvoeren van de hiervoor beschreven werkwijze. Een reeds eerder voorgesteld systeem voor het registeren van het gebruik van een product of dienst door een gebruiker, omvat 10 een inrichting voor het meten van het gebruik in gebruikseenheden, een met de meetinrichting verbonden vertrouwd orgaan, een op afstand van de meetinrichting en het vertrouwd orgaan geplaatst registrerend orgaan en een inrichting voor het steekproefsgewijs controleren van het 15 opgegeven gebruik, waarbij de meetinrichting ingericht is voor het periodiek doorgeven van een opgave van het gemeten aantal gebruikseenheden aan het vertrouwd orgaan, waarbij het vertrouwd orgaan ingericht is voor het verzamelen en periodiek aan het registrerend orgaan doorgeven van de 20 opgaven, en waarbij de controle-inrichting ingericht is voor het ondervragen van het vertrouwd orgaan. Het systeem volgens de onderhavige uitvinding onderscheidt zich van dit bekende systeem, doordat het vertrouwd orgaan ingericht is om een onjuiste opgave van het gebruik te verhinderen of 25 bemoeilijken.The invention also relates to a system for carrying out the method described above. A previously proposed system for registering the use of a product or service by a user comprises a device for measuring the use in usage units, a trusted device connected to the measuring device, a remote device from the measuring device and the trusted device recording device and a device for random checking of the specified use, the measuring device being adapted to periodically transmit a statement of the measured number of use units to the trusted device, the trusted device being arranged for collecting and periodically forwarding the statements to the recording device, and wherein the checking device is adapted to interrogate the trusted device. The system according to the present invention is distinguished from this known system in that the familiar device is arranged to prevent or complicate an incorrect specification of the use.

Voorkeursuitvoeringen van het systeem volgens de uitvinding zijn beschreven in de volgconclusies 12 tot 23.Preferred embodiments of the system according to the invention are described in the subclaims 12 to 23.

Tenslotte betreft de uitvinding nog een meetinrichting en een vertrouwd orgaan, die kennelijk 30 bedoeld zijn voor toepassing in een systeem als hiervoor beschreven. De uitvinding wordt nu toegelicht aan de hand van een voorbeeld, waarbij wordt verwezen naar de bijgevoegde tekening, waarin: 9Finally, the invention also relates to a measuring device and a familiar device, which are apparently intended for use in a system as described above. The invention will now be explained with reference to an example, with reference to the accompanying drawing, in which: 9

Fig. 1 een schematisch overzicht toont van het systeem volgens de uitvinding,FIG. 1 shows a schematic overview of the system according to the invention,

Fig. 2 een wegenkaart toont met een in segmenten of trajecten verdeelde afgelegde weg, 5 Fig. 3 een schematische weergave is van de verhouding tussen het maken van gewaarmerkte afschriften en het doen van aangifte,FIG. 2 shows a road map with a covered road divided into segments or sections, FIG. 3 is a schematic representation of the relationship between making certified copies and making a declaration,

Fig. 4 een schematische weergave is van een controle-inrichting voor toepassing in de werkwijze en het 10 systeem volgens de uitvinding,FIG. 4 is a schematic representation of a control device for use in the method and system according to the invention,

Fig. 5 een stroomdiagram is van een steekproefsgewijze controle van het gebruik, enFIG. 5 is a flow chart of a random check of usage, and

Fig. 6 een stroomdiagram is van het doorgeven van het gebruik aan een vertrouwd orgaan.FIG. 6 is a flow chart of passing the use to a trusted body.

15 Een systeem 1 (fig. 1) voor het registeren van het gebruik van een product of dienst door een gebruiker, in dit geval het registreren van het gebruik van delen van een wegennet door een automobilist omvat een inrichting 2 voor het meten van het gebruik in gebruikseenheden, een met de 20 meetinrichting 2 verbonden vertrouwd orgaan 3, en een inrichting 4 (fig. 4) voor het steekproefsgewijs controleren van het opgegeven gebruik. De meetinrichting 2 en het vertrouwd orgaan 3 zijn hier samengevoegd in een eenheid 5 aan boord van een voertuig 6, de zogeheten "on board unit" 25 of OBU. Het vertrouwd orgaan 3 is onlosmakelijk verbonden met de meetinrichting 2, bijvoorbeeld door middel van een (hier niet getoonde) verzegeling.A system 1 (Fig. 1) for registering the use of a product or service by a user, in this case registering the use of parts of a road network by a motorist, comprises a device 2 for measuring the use in usage units, a trusted member 3 connected to the measuring device 2, and a device 4 (Fig. 4) for random checking of the stated use. The measuring device 2 and the familiar device 3 are here combined in a unit 5 on board a vehicle 6, the so-called "on board unit" 25 or OBU. The familiar member 3 is inseparably connected to the measuring device 2, for example by means of a seal (not shown here).

De meetinrichting 2 omvat in het getoonde voorbeeld een navigatiemodule 7, die signalen ontvangt van 30 navigatiesatellieten 8 en van meters in het voertuig 6, in het bijzonder de snelheidsmeter 9 en de afstandsmeter 10. De meetinrichting 2 bevat verder een of meer bestanden met kaartinformatie, die opgeslagen kan zijn op een drager of in 10 een geheugen 11. Deze kaartinformatie omvat ondermeer een indeling van het wegennet in prijscategorieën, bijvoorbeeld aangeduid als goud, zilver en rood voor het nationale wegennet. Voor het gebruik van wegen in het buitenland hoeft 5 niet betaald te worden, althans niet via de nationale AbvM-organisatie.In the example shown, the measuring device 2 comprises a navigation module 7, which receives signals from navigation satellites 8 and from meters in the vehicle 6, in particular the speed meter 9 and the distance meter 10. The measuring device 2 further comprises one or more files with map information, which can be stored on a carrier or in a memory 11. This map information includes, among other things, a division of the road network into price categories, for example indicated as gold, silver and red for the national road network. There is no need to pay for the use of roads abroad, at least not via the national AbvM organization.

De OBU 6 is verder voorzien van communicatiemiddelen 12, bijvoorbeeld in de vorm van een GPRS- of UMTS-module die verbonden is met het vertrouwd orgaan 3. Hierdoor kan 10 periodiek contact gemaakt worden met een registrerend orgaan 13, bijvoorbeeld een vestiging van de AbvM-organisatie. In plaats van via het mobiele telefoonnetwerk zou de OBU 6 ook via het internet verbinding kunnen zoeken met het registrerend orgaan 13, bijvoorbeeld via WiFi bij 15 tankstations, waartoe een geschikte netwerkkaart aanwezig zou moeten zijn. Daarnaast is de OBU 6 voorzien van een handhaving-interface 14, waarmee communicatie met de controle-inrichting 4 mogelijk is, bijvoorbeeld een DSRC-(Dedicated Short Range Communication) of infrarood-20 interface. Tenslotte is de OBU 6 hier uitgerust met een gebruikers-interface 15, bijvoorbeeld een USB-aansluiting, waarmee een gebruiker gegevens uit de OBU 6 kan overbrengen naar een eigen computer 16. Ook langs deze weg kunnen de gegevens uiteindelijk worden doorgegeven aan de ABvM-25 instantie.The OBU 6 is further provided with communication means 12, for example in the form of a GPRS or UMTS module which is connected to the trusted member 3. This makes it possible to periodically make contact with a registering member 13, for example a branch of the AbvM -organization. Instead of via the mobile telephone network, the OBU 6 could also establish a connection with the registering device 13 via the internet, for example via WiFi at 15 filling stations, for which a suitable network card should be present. In addition, the OBU 6 is provided with a enforcement interface 14, with which communication with the control device 4 is possible, for example a DSRC (Dedicated Short Range Communication) or infrared interface. Finally, the OBU 6 is here equipped with a user interface 15, for example a USB connection, with which a user can transfer data from the OBU 6 to his own computer 16. Also via this way the data can ultimately be passed on to the ABvM 25 body.

In het vertrouwd orgaan 3 is een aantal tegen manipulatie beveiligde tellers 17 opgenomen, dat overeenkomt met het aantal prijscategorieën. Deze tellers 17 kunnen uitsluitend worden opgehoogd, en dan nog slechts bij een 30 bepaald soort aanroep. Daarnaast vertoont het vertrouwd orgaan 3 een voorziening 18 waarmee digitale handtekeningen kunnen worden gegenereerd, die verbonden kunnen worden met 11 telIerstanden wanneer die worden doorgegeven aan het registrerend orgaan 13.A number of counters 17, protected against manipulation, are included in the familiar device 3, which corresponds to the number of price categories. These counters 17 can only be increased, and then only with a certain type of call. In addition, the familiar device 3 has a provision 18 with which digital signatures can be generated, which can be connected to 11 remote positions when these are transmitted to the registering device 13.

Het vertrouwd orgaan 3 wordt gevormd door een soort (contact) "smart card" met enige additionele functionaliteit 5 die eenvoudig inpasbaar moet zijn in bestaande "smart card"-technologie. De fysieke beveiliging van het vertrouwd orgaan 3, bijvoorbeeld ter voorkoming van het herleiden van de private sleutel of aanpassing van tellers 17 is van fundamenteel belang voor de betrouwbaarheid binnen de 10 werkwijze en het systeem volgens de uitvinding, in het getoonde voorbeeld is uitgegaan van een intelligent vertrouwd orgaan 3 - bijvoorbeeld in de vorm van een Java card - met daarin een public/private sleutelpaar gebonden in een digitaal (X.509) certificaat. Met dit sleutelpaar is het 15 vertrouwd orgaan 3 in staat digitale handtekeningen te plaatsen op berichten. De werkwijze en het systeem volgens de uitvinding maken verder gebruik van standaard mechanismen rond de geldigheid van certificaten (CRLs, OCSP, enz.). Het certificaat is gekoppeld aan een voertuig en diens 20 milieutype, mogelijk zelfs door middel van een veld in het certificaat. Daarbij kan eventueel gebruik gemaakt worden van een Elektronische Voertuig Identificatie (EVI). Het vertrouwd orgaan 3 is zodanig beschermd dat de cryptografische sleutels niet uit het vertrouwd orgaan 3 25 kunnen worden verkregen (niet exportable sleutels, bescherming tegen side-channel aanvallen) en heeft een zogeheten "Common Criteria / ITSEC" evaluatie ondergaan tegen een relevant "Protection Profile" met een hoog "assurance level", bijvoorbeeld EAL 5+.The familiar member 3 is formed by a kind of (contact) "smart card" with some additional functionality 5 that must be easily applicable to existing "smart card" technology. The physical protection of the familiar device 3, for example to prevent the private key from being converted or to adjust counters 17, is of fundamental importance for the reliability within the method and the system according to the invention, the example shown is based on a intelligently trusted body 3 - for example in the form of a Java card - containing a public / private key pair bound in a digital (X.509) certificate. With this key pair the trusted member 3 is able to place digital signatures on messages. The method and system according to the invention further use standard mechanisms concerning the validity of certificates (CRLs, OCSP, etc.). The certificate is linked to a vehicle and its environmental type, possibly even by means of a field in the certificate. An Electronic Vehicle Identification (EVI) may be used for this. The trusted body 3 is protected such that the cryptographic keys cannot be obtained from the trusted body 3 (non-exportable keys, protection against side-channel attacks) and has undergone a so-called "Common Criteria / ITSEC" evaluation against a relevant "Protection Profile "with a high" assurance level ", for example EAL 5+.

30 De meet inrichting 2 is ingericht om periodiek het gebruik, uitgedrukt in gebruikseenheden, door te geven aan het vertrouwd orgaan 3. Deze gebruikseenheden kunnen afgelegde afstanden of trajecten 19 tussen opeenvolgende 12 meetpunten 20 in het wegennet zijn (fig. 2), verdeeld naar prijscategorieën. Bij een wijdmazige trajectopbouw zou de A2 tussen Amsterdam en Maastricht één traject kunnen zijn, terwijl bij een bijzonder fijnmazige opbouw elk segment 5 tussen twee hectometerpalen langs de snelweg een traject zou kunnen zijn. In zijn algemeenheid geldt dat de fijnmazigheid van de trajecten zodanig moet zijn dat een effectieve prijsberekening mogelijk is.The measuring device 2 is adapted to periodically communicate the use, expressed in units of use, to the trusted member 3. These units of use can be traveled distances or trajectories 19 between consecutive 12 measuring points 20 in the road network (Fig. 2), divided into price categories. With a wide-meshed route structure, the A2 between Amsterdam and Maastricht could be one route, while with a particularly fine-meshed structure, each segment 5 could be a route between two hectometre posts along the highway. In general, the fineness of the trajectories must be such that an effective price calculation is possible.

De trajecten 19 kunnen statisch of dynamisch zijn.The trajectories 19 can be static or dynamic.

10 Van statische trajecten is sprake wanneer de ABvM- organisatie het wegennet vooraf in stukken (de trajecten) verdeelt en de meetinrichting 2 registreert welke van deze trajecten zijn verreden. Een mogelijk probleem bij deze opzet zijn nieuwe en buitenlandse wegen. Van dynamische 15 trajecten is sprake wanneer de meetinrichting 2 zelf op regelmatige tijds- of afstandintervallen, waarvan de minimale en maximale periodiciteit is voorgeschreven, de GPS-positie bepaalt en op basis van de vorige GPS-meting een roadmapping uitvoert, dat wil zeggen bepaalt welk stuk weg 20 (het traject) in het afgelopen interval gereden. Daarbij is het denkbaar dat in bijzondere gevallen een dergelijk traject bestaat uit verschillende (prijs)typen wegen (een stuk stadsweg en een stuk snelweg). De meetinrichting 2 zal dan het gemeten traject kunnen verdelen in twee of meer 25 stukken.Static routes are involved when the ABvM organization divides the road network in advance into sections (the routes) and the measuring device 2 registers which of these routes have been driven. New and foreign roads are a possible problem with this set-up. Dynamic trajectories exist when the measuring device 2 itself determines the GPS position at regular time or distance intervals, the minimum and maximum periodicity of which is prescribed, and performs a road mapping on the basis of the previous GPS measurement, i.e. determines which stretched road 20 (the route) in the past interval. In addition, it is conceivable that in special cases such a route consists of different (price) road types (a piece of city road and a piece of highway). The measuring device 2 will then be able to divide the measured range into two or more pieces.

Telkens wanneer de meetinrichting 2 het vertrouwd orgaan 3 aanroept, bijvoorbeeld elke minuut of elke kilometer, stuurt het een verzoek om de verreden trajecten vast te leggen in een gewaarmerkt afschrift, een zogeheten 30 traject-transcript. Hierbij worden in ieder geval voldoende gegevens vastgelegd om te voorzien in de mogelijkheid van controle van gebruikers achteraf. Een dergelijk traject-transcript kan bijvoorbeeld de volgende gegevens bevatten: 13 - de huidige en de vorige positie van het voertuig en eventueel de GPS-nauwkeurigheid waarmee gemeten is, - de huidige tijdmeting en de vorige tijdmeting, - een specificatie van de weg (A2, A4, enz.); 5 daarbij moeten de trajecten zodanig fijnmazig zijn dat de wegspecificatie eenduidig mogelijk is, - de tellerstanden aan het begin en het eind van het traject, - de door het voertuig afgelegde afstand, 10 - de prijscategorie: goud, zilver, rood, buitenland, enz.Every time the measuring device 2 calls on the familiar device 3, for example every minute or every kilometer, it sends a request to record the journeys made in a certified copy, a so-called trajectory transcript. In this case, sufficient data is in any case recorded to provide for the possibility of checking users afterwards. Such a trajectory transcript may contain, for example, the following data: 13 - the current and previous position of the vehicle and possibly the GPS accuracy with which measurements were made, - the current time measurement and the previous time measurement, - a specification of the road (A2 , A4, etc.); 5 the trajectories must be so narrow that the road specification is clearly possible, - the meter readings at the start and end of the trajectory, - the distance traveled by the vehicle, - the price category: gold, silver, red, abroad, etc. .

Na ontvangst van de traject-aanroep met deze parameters wordt door de interne logica van het vertrouwd orgaan 3 de teller 17 van het betreffende wegtype opgehoogd. 15 Omdat de meetinrichting 2 in beginsel gemanipuleerd zou kunnen zijn, hoeven de gegevens in de aanroep niet correct te zijn. De onderhavige uitvinding is gebaseerd op het paradigma dat de meetinrichting 2 mag 'liegen', maar dat dit 'liegen' altijd uit kan komen. Om de controle daarop 20 mogelijk te maken verstrekt het vertrouwd orgaan 3 na de traject-aanroep een gewaarmerkt afschrift of 'transcript', bestaande uit de opgegeven parameters en getekend met de private sleutel in het vertrouwd orgaan 3. Een onderdeel van het gewaarmerkt afschrift is ook een opvolgend serienummer 25 dat onder controle staat van het vertrouwd orgaan 3 (de eerste transcript heeft nummer 1, de tweede 2, enz.). Met deze transcript legt de gebruiker zich vast en kan deze tegen de lamp lopen bij een handhaving-controle.After receiving the route call with these parameters, the internal logic of the trusted device 3 increments the counter 17 of the relevant road type. Because the measuring device 2 could in principle be manipulated, the data in the call need not be correct. The present invention is based on the paradigm that the measuring device 2 may 'lie', but that this 'lying' can always come true. To enable verification thereof, after the path call, the trusted body 3 issues a certified copy or "transcript" consisting of the specified parameters and signed with the private key in the trusted body 3. A part of the certified copy is also a subsequent serial number 25 which is under the control of the trusted body 3 (the first transcript has number 1, the second 2, etc.). With this transcript, the user commits himself and can run into a lamp during a enforcement check.

De OBU 6 is nog voorzien van een opslageenheid 21 30 die met het vertrouwd orgaan 3 verbonden is en waarin de traject-transcripts bewaard kunnen worden, bijvoorbeeld voor het geval de gebruiker zijn reisgedrag wil analyseren. De opslageenheid 21 is overschrijfbaar, en kan bijvoorbeeld een 14 harde schijf of een geheugenkaart omvatten. De OBU 6 is ingericht om in elk geval telkens de meest recente traject-transcripts in de opslageenheid 21 te bewaren voor handhaving-controles. Door het gebruik van de serienummers 5 kan snel worden vastgesteld of de opgeslagen transcripts aansluitend zijn.The OBU 6 is further provided with a storage unit 21 which is connected to the familiar device 3 and in which the trajectory transcripts can be stored, for example in case the user wants to analyze his travel behavior. The storage unit 21 is writable, and may, for example, comprise a hard disk or a memory card. The OBU 6 is arranged in each case to store in each case the most recent trajectory transcripts in the storage unit 21 for enforcement checks. By using the serial numbers 5, it can be quickly determined whether the stored transcripts are contiguous.

De transcripts, die informatie bevatten waaruit de verplaatsingen van de gebruiker te herleiden zijn, zijn in beginsel voorbehouden aan de gebruiker. Slechts bij 10 handhaving-controles, wanneer de positie van het voertuig 6 van de gebruiker toch al bekend is, mag een beperkt aantal recente transcripts worden uitgelezen door een geauthenticeerde lezer. De gebruiker kan de transcripts vanuit de opslageenheid 21 via de gebruiker-interface 15 15 overbrengen naar zijn eigen computer 16, en daar bijvoorbeeld opslaan of afdrukken. Daartoe is de gebruiker-interface 15 voorzien van een knop 52 waarmee een kopieer-functie wordt geactiveerd. De transcripts kunnen gebruikt worden om de factuur te controleren, en kunnen in geval van 20 bezwaar of beroep als bewijs gelden.The transcripts, which contain information from which the movements of the user can be traced, are in principle reserved for the user. Only during enforcement checks, when the position of the user's vehicle 6 is already known, may a limited number of recent transcripts be read by an authenticated reader. The user can transfer the transcripts from the storage unit 21 via the user interface 15 to his own computer 16, and store or print there, for example. To that end, the user interface 15 is provided with a button 52 with which a copy function is activated. The transcripts can be used to check the invoice, and can serve as proof in the event of an objection or appeal.

Omdat de transcripts privacy-gevoelig zijn, vertoont de gebruiker-interface 15 ook een knop 53 waarmee de transcripts uit de opslageenheid 21 gewist kunnen worden, om het uitlezen door derden te voorkomen. Tenslotte is nog een 25 knop 54 aanwezig waarmee een repliceer-functie wordt geactiveerd; de tellers 17 in het vertrouwd orgaan 3 worden dan op verzoek van de gebruiker uitgelezen. Deze functie is met name bedoeld voor gebruik op het moment dat een voertuig 6 van eigenaar wisselt, opdat de AbvM-organisatie een 30 eindafrekening kan opstellen voor de oude eigenaar.Because the transcripts are privacy sensitive, the user interface 15 also has a button 53 with which the transcripts can be deleted from the storage unit 21, to prevent third-party reading. Finally a further button 54 is present with which a replicate function is activated; the counters 17 in the trusted device 3 are then read out at the request of the user. This function is intended in particular for use at the moment that a vehicle 6 changes ownership, so that the AbvM organization can prepare a final settlement for the old owner.

Zoals gezegd worden de gebruiksgegevens vanuit de OBU 6 periodiek doorgegeven aan de ABvM-organisatie. Hierbij doet de OBU 6 een tellerstand-aanroep aan het vertrouwd 15 orgaan 3, waarna het vertrouwd orgaan 3 de tellerstanden per prijscategorie opgeeft in een bericht dat digitaal getekend wordt. Dit bericht wordt daarnaast voorzien van een serienummer - om te voorkomen dat de OBU 6 steeds hetzelfde 5 bericht verzendt - en kan om redenen van redundantie ook de vorige tellerstanden bevatten. Het bericht wordt via de communicatiemiddelen 12 naar de ABvM-organisatie gestuurd, waarna de ABvM-organisatie een factuur kan genereren. De integriteit van de tellerstanden kan door de AbvM-10 organisatie worden gecontroleerd aan de hand van de digitale handtekening. Ook kan in de getekende tellerstanden een zogeheten 'secure hash' van alle tussengelegen transcripts - de transcripts die aangemaakt zijn sinds de voorgaande opgave van de tellerstand - worden opgenomen. Doordat een 15 'secure hash' interactief werkt vergt dit slechts één extra parameter in het vertrouwd orgaan 3. Hiermee heeft het registrerend orgaan, dus de ABvM-organisatie, extra mogelijkheden om de ontvangen opgaven op juistheid te controleren.As stated, the usage data from the OBU 6 are periodically passed on to the ABvM organization. The OBU 6 hereby makes a counter position call to the trusted member 3, whereafter the trusted member 3 specifies the counter readings per price category in a message that is digitally signed. This message is also provided with a serial number - to prevent the OBU 6 from always sending the same message - and may also contain the previous counter readings for reasons of redundancy. The message is sent via the communication means 12 to the ABvM organization, after which the ABvM organization can generate an invoice. The integrity of the meter readings can be checked by the AbvM-10 organization on the basis of the digital signature. Also in the signed counter positions a so-called 'secure hash' of all intermediate transcripts - the transcripts that have been created since the previous statement of the counter position - can be included. Because a 'secure hash' works interactively, this only requires one additional parameter in the trusted body 3. This means that the registering body, ie the ABvM organization, has additional options for checking that the statements received are correct.

20 Naast de periodieke opgave, die aangestuurd kan worden vanuit de ABvM-organisatie, kan de OBU 6 ook op initiatief van de gebruiker een opgave verzorgen. Overigens moet er binnen de ABvM-organisatie wel een automatisch proces zijn waardoor wordt gewaarborgd dat alle gebruikers 25 regelmatig aangifte doen van hun gebruik. Gebruikers die te lang geen aangifte hebben gedaan kunnen worden herinnerd of eventueel aan een controle worden onderworpen.20 In addition to the periodic statement that can be controlled from the ABvM organization, the OBU 6 can also provide a statement at the user's initiative. Incidentally, there must be an automatic process within the ABvM organization that guarantees that all users regularly report their use. Users who have not made a declaration for too long can be reminded or possibly subjected to a check.

Overigens kan het vertrouwd orgaan 3 de tellerstanden ook weer herleiden uit de doorlopend 30 genummerde transcripts die zich in de opslageenheid 21 bevinden. Het vertrouwd orgaan 3 kan deze transcripts opvragen, de digitale handtekeningen controleren en ze vervolgens uitlezen. Dan kunnen de totaalstanden worden 16 berekend, digitaal ondertekend en weer worden verzonden aan de ABvM-organisatie.Incidentally, the trusted device 3 can again derive the counter readings from the continuously numbered transcripts that are located in the storage unit 21. The trusted body 3 can request these transcripts, check the digital signatures and then read them out. The total levels can then be calculated, digitally signed and sent to the ABvM organization.

De relatie tussen het genereren van traject-transcripts en de periodieke aangifte van de tellerstanden 5 is weergegeven in fig. 3. In de opslageenheid 21 van de OBU 6 wordt na elke aanroep van het vertrouwd orgaan 3 door de OBU 6 een door het vertrouwd orgaan 3 gegenereerde en ondertekende traject-transcript opgeslagen. Deze transcripts zijn aangegeven met Tl, T2, T3, enz. Op gezette tijden, in 10 het getoonde voorbeeld na het opslaan van de derde, negende en zeventiende transcript, worden op verzoek van de OBU 6 door het vertrouwd orgaan 3 ondertekende berichten 22 met de tellerstanden per prijscategorie gegenereerd en verstuurd aan het registrerend orgaan 13.The relationship between the generation of trajectory transcripts and the periodic declaration of the counter positions 5 is shown in Fig. 3. In the storage unit 21 of the OBU 6, after each call to the trusted device 3 by the OBU 6, a call is made by the trusted device. 3 generated and signed trajectory transcript saved. These transcripts are indicated by T1, T2, T3, etc. At set times, in the example shown after storing the third, ninth and seventeenth transcripts, at the request of the OBU 6, messages 22 signed by the trusted body 3 are sent with the meter readings per price category generated and sent to the registering body 13.

15 Teneinde tussentijds te kunnen controleren of het door een gebruiker opgegeven gebruik overeenkomt met de werkelijkheid omvat het systeem 1 volgens de uitvinding een of meer controle-inrichtingen 4. Deze controle-inrichtingen 4 kunnen opgezet zijn op de wijze die bekend is van 20 snelheidscontroles, dat wil zeggen mobiele controle- inrichtingen 4 die op steeds wisselende locaties verdekt opgesteld worden langs de weg, of vaste controle-inrichtingen 4 die op een aantal bij de gebruikers bekende locaties zijn opgesteld, bijvoorbeeld in portalen 23 die 25 zich over de weg 24 uitstrekken (fig. 4).In order to be able to check in the meantime whether the use indicated by a user corresponds to reality, the system 1 according to the invention comprises one or more control devices 4. These control devices 4 can be set up in the manner known from speed controls, that is, mobile control devices 4 which are arranged concealed along the road at constantly changing locations, or fixed control devices 4 which are arranged at a number of locations known to users, for example in portals 23 extending over the road 24 (fig. 4).

Bij deze controle wordt gebruik gemaakt van de handhaving-interface 14. Het vertrouwd orgaan 3 zal zorg dragen voor de authenticatie van deze handhaving-interface 14. De handhaving-controle begint met het maken van een 30 opname van een passerend voertuig 6 (fig. 5, blok 25).This check uses the enforcement interface 14. The trusted device 3 will ensure the authentication of this enforcement interface 14. The enforcement check starts with recording of a passing vehicle 6 (fig. 5, block 25).

Vervolgens tracht de controle-inrichting 4 via de interface 14 contact te maken met de OBU 6, om vast te stellen of deze aanstaat (blok 26). Als dat niet het geval is, wordt 17 vastgesteld dat er sprake is van een overtreding (blok 27) en volgen maatregelen die hierna worden besproken. Wanneer de OBU 6 wel reageert wordt eerst vastgesteld of deze wellicht een waarschuwing afgeeft wegens een anomalie (blok 5 28). Als er geen sprake is van een waarschuwing worden vervolgens de laatste H transcripts uitgelezen. Hierbij staat de parameter H voor 'Historie' en is een nader te bepalen aantal, bijvoorbeeld 60. Dit aantal uit te lezen transcripts wordt eerst in blok 41 verhoogd tot bijvoorbeeld 10 2*H of 3*H wanneer er wel sprake was van een waarschuwing.Subsequently, the control device 4 attempts to make contact with the OBU 6 via the interface 14, in order to determine whether it is switched on (block 26). If this is not the case, it is determined 17 that there has been a violation (block 27) and measures will be discussed below. When the OBU 6 does respond, it is first determined whether it may issue a warning due to an anomaly (block 5 28). If there is no warning, the last H transcripts are then read out. The parameter H stands for 'History' and a number to be determined, for example 60. This number of transcripts to be read out is first increased in block 41 to, for example, 10 * * H or 3 * H if there was a warning. .

Vervolgens moet een technische controle plaatsvinden van digitale handtekeningen op de transcripts. In blok 30 wordt gecontroleerd of de digitale handtekening in technische zin kloppen, waarna in blok 31 wordt 15 gecontroleerd of de bijbehorende certificaten nog geldig zijn, bijvoorbeeld door CA-sleutelvalidatie en/of CRL/OCSP toetsing. Wanneer bij een van deze controles een onregelmatigheid wordt vastgesteld is het voertuig 6 in overtreding (blok 27).A technical check must then be made of digital signatures on the transcripts. In block 30 it is checked whether the digital signature is correct in a technical sense, after which it is checked in block 31 whether the associated certificates are still valid, for example by CA key validation and / or CRL / OCSP testing. If an irregularity is found during one of these checks, the vehicle 6 is in violation (block 27).

20 Dan moeten controles plaatsvinden op de overeenstemming tussen het certificaat van het vertrouwd orgaan 3 en het voertuig 6. In blok 32 wordt bekeken of de certificaten zijn uitgegeven aan het motorvoertuig 6 dat waargenomen wordt. Als het kenteken opgenomen is in het 25 certificaat is dit een eenvoudige test. Verder wordt in blok 33 gecontroleerd of het milieutype overeenkomt met hetgeen waargenomen wordt. Ook dit kan een eenvoudige test zijn als het milieutype opgenomen is in het certificaat. Wederom geldt dat bij discrepanties of onregelmatigheden wordt 30 vastgesteld dat het voertuig 6 in overtreding is (blok 27).Then checks must be made for the correspondence between the certificate of the trusted body 3 and the vehicle 6. In block 32 it is checked whether the certificates have been issued to the motor vehicle 6 being observed. If the license plate is included in the certificate, this is a simple test. Furthermore, it is checked in block 33 whether the environmental type corresponds to what is observed. This can also be a simple test if the environmental type is included in the certificate. Again, in the case of discrepancies or irregularities, it is determined that the vehicle 6 is in violation (block 27).

Tot slot moet gecontroleerd worden of de trajecten in de H uitgelezen transcripts een samenhangend geheel vormen en stroken met de locatie waar de controle 18 plaatsvindt. In blok 34 wordt gecontroleerd of de trajecten allemaal op elkaar aansluiten. Vervolgens wordt in blok 35 vastgesteld of de trajecten in lijn zijn met de controle-locatie. Tenslotte wordt in blok 36 een controle uitgevoerd 5 om te zien of de opgegeven prijscategorieën correct zijn.Finally, it must be checked whether the trajectories in the H read transcripts form a coherent whole and are consistent with the location where the check 18 takes place. In block 34 it is checked whether the routes all connect to each other. It is then determined in block 35 whether the routes are in line with the control location. Finally, a check is performed in block 36 to see whether the specified price categories are correct.

Ook hier geldt dat bij discrepanties of onregelmatigheden in blok 27 wordt vastgesteld dat het voertuig 6 in overtreding is.Here too it holds that in the event of discrepancies or irregularities in block 27, it is determined that the vehicle 6 is in violation.

Mocht uit de controles blijken dat alles in orde is, 10 dan wordt de aan het begin gemaakte opname gewist of vernietigd.If the checks reveal that everything is in order, 10 the recording made at the beginning will be deleted or destroyed.

Wanneer in blok 27 is vastgesteld dat het voertuig 6 in overtreding is wordt de gemaakte opname opgeslagen voor verdere verwerking (blok 38). Uit deze opname wordt 15 vervolgens de identiteit van het voertuig 6 en daarmee van de gebruiker vastgesteld (blok 39), waarna de gebruiker een naheffingsaanslag of een uitnodiging voor verdere controle kan worden gezonden (blok 40). Overigens is het ook denkbaar dat geen opnames gemaakt worden van de gecontroleerde 20 voertuigen 6, maar dat deze direct staande gehouden worden voor nader onderzoek wanneer een onregelmatigheid wordt geconstateerd.When it is determined in block 27 that the vehicle 6 is in violation, the recording made is stored for further processing (block 38). From this recording, the identity of the vehicle 6 and thus of the user is subsequently determined (block 39), whereafter the user can be sent an additional assessment or an invitation for further verification (block 40). Incidentally, it is also conceivable that recordings are not made of the checked vehicles 6, but that these are immediately held up for further investigation if an irregularity is found.

De ervaring leert dat bij ieder heffingstelsel een deel van de gebruikers zal proberen te frauderen. Dit kan 25 bijvoorbeeld door de OBU 6 onklaar te maken of uit te schakelen, maar dat wordt direct waargenomen bij een controle (fig. 5, blok 26). Meer geavanceerde wijzen van fraude zijn het manipuleren van de ingangssignalen van de meetinrichting 2 - mogelijk omdat het GPS-signaal geen 30 authenticatie van de satelliet 8 bevat - of het manipuleren van de uitgangssignalen van de meetinrichting 2 - mogelijk omdat de OBU 6 fysiek nooit volledig te beveiligen zal zijn.Experience shows that with every tax system, some users will try to commit fraud. This is possible, for example, by disabling or disabling the OBU 6, but this is immediately observed at a check (Fig. 5, block 26). More advanced means of fraud are manipulating the input signals from the measuring device 2 - possibly because the GPS signal does not contain authentication of the satellite 8 - or manipulating the output signals from the measuring device 2 - possible because the OBU 6 is never physically complete to be secure.

1919

De verwachting is dat frauderende gebruikers zullen proberen om, wanneer zij een controle langs de weg naderen, nog snel het gevraagde aantal transcripts aan te maken met de juiste parameters. Om dit te voorkomen is het vertrouwd 5 orgaan 3 volgens de uitvinding ingericht om een onjuiste opgave van het gebruik te verhinderen of bemoeilijken.The expectation is that fraudulent users will attempt to quickly generate the requested number of transcripts with the correct parameters when they approach a roadside check. To prevent this, the familiar device 3 according to the invention is arranged to prevent or complicate an incorrect specification of the use.

Volgens een eerste aspect van de uitvinding wordt een onjuiste opgave verhinderd doordat het vertrouwd orgaan 3 bij ontvangst van een opgave van het gemeten gebruik 10 vanuit de meetinrichting 2 een ontvangsttijd registreert en deze verbindt met de opgave. Het vertrouwd orgaan 3 heeft dus een vertrouwde absolute tijdreferentie, waardoor het kan vaststellen of de interne tijd overeenkomt met de echte, externe tijd. Het vertrouwd orgaan 3 houdt dus bij wat de 15 laatst opgegeven tijd is en verstrekt geen getekende transcript als de tijd die in de aanroep opgegeven wordt eerder is dan die in de vorige aanroep. Met andere woorden, het vertrouwd orgaan 3 weigert effectief een transcript te antidateren, omdat de absolute tijdsreferentie vertrouwd en 20 uniform oplopend is.According to a first aspect of the invention, an incorrect statement is prevented by the familiar member 3 registering a receipt time from the measuring device 2 upon receipt of a statement of the measured use and connecting it to the statement. The trusted member 3 thus has a trusted absolute time reference, through which it can determine whether the internal time corresponds to the real, external time. The trusted body 3 thus keeps track of the last time specified and does not provide a signed transcript if the time specified in the call is earlier than the time specified in the previous call. In other words, the trusted organ 3 effectively refuses to predate a transcript because the absolute time reference is familiar and uniformly ascending.

Overigens vormt het GPS-signaal dat de meetinrichting 2 ontvangt een uitstekende bron voor nauwkeurige tijdwaarneming, dus als de gebruiker niet probeert de OBU 6 te manipuleren zal de opgegeven tijd 25 zelden veel afwijken van de 'ware' tijd.Incidentally, the GPS signal received by the measuring device 2 is an excellent source for accurate time observation, so if the user does not attempt to manipulate the OBU 6, the specified time will rarely deviate much from the 'real' time.

Volgens een ander aspect van de uitvinding wordt een onjuiste opgave bemoeilijkt doordat het vertrouwd orgaan 3 na ontvangst van een opgave van het gemeten gebruik gedurende een bepaalde wachttijd geen verdere opgave 30 accepteert. In de praktijk hanteert het vertrouwd orgaan 3 een vertraging voordat een transactie wordt ondertekend. Wanneer wordt aangenomen dat de vertraging X seconden is en het berekenen van de digitale handtekening Y seconden duurt, 20 waarbij verondersteld wordt dat Y << X, dan bedraagt de wachttijd W = X + Y. De implementatie van deze maatregel in het vertrouwd orgaan 3 is hier zodanig, dat na het opstarten het vertrouwd orgaan 3 eerst X seconden wacht voordat de 5 eerste digitale handtekening kan worden geplaatst.According to another aspect of the invention, an incorrect statement is made more difficult because the trusted member 3 does not accept any further statement 30 after receiving a statement of the measured use during a certain waiting time. In practice, the trusted body 3 applies a delay before a transaction is signed. If it is assumed that the delay is X seconds and the calculation of the digital signature takes Y seconds, assuming that Y << X, then the waiting time is W = X + Y. The implementation of this measure in the familiar device 3 is such that after the start-up, the trusted device 3 first waits for X seconds before the first digital signature can be placed.

Vervolgens wordt na het plaatsen van een digitale handtekening weer X seconden gewacht. Zo kan deze beveiligingsmaatregel dus niet worden omzeild door het herhaald in- en uitschakelen van de OBU 6.After placing a digital signature, X seconds is waited again. This security measure can therefore not be circumvented by repeatedly switching the OBU 6 on and off.

10 Deze beide maatregelen zorgen ervoor dat het niet mogelijk is om ongemerkt te frauderen of frauduleuze opgaven alsnog aan te passen. Een gebruiker kan dus het vertrouwd orgaan 3 wel 'goedkopere' coördinaten laten tekenen, maar hij kan dit niet ongedaan maken. Immers, omdat het vertrouwd 15 orgaan 3 hier een absolute tijdsreferentie heeft is het niet mogelijk om al getekende transcripts opnieuw te laten tekenen en zo de controle te ontduiken, aangezien het vertrouwd orgaan 3 niet antidateert. En doordat het vertrouwd orgaan 3 20 een vertraging hanteert voordat een digitale handtekening wordt geplaatst, heeft een gebruiker niet voldoende tijd om nieuwe transcripts te laten tekenen. Als het vertrouwd orgaan 3 bijvoorbeeld elke twee seconden (W = 2) een transcript tekent en de laatste 60 transcripts (H = 60) 25 worden opgevraagd, dan moet een gebruiker voor een controle twee minuten stil staan om de laatste 60 transcripts te laten tekenen. Dit is praktisch erg lastig en hiervoor zijn nog aanvullende tegenmaatregelen te treffen.10 Both of these measures ensure that it is not possible to cheat unnoticed or to adjust fraudulent statements. A user can therefore have the trusted body 3 draw 'cheaper' coordinates, but he cannot undo this. After all, since the familiar organ 3 has an absolute time reference here, it is not possible to have already signed transcripts redrawn and thus evade control, since the trusted organ 3 does not predate. And because the trusted body 3 applies a delay before a digital signature is placed, a user does not have enough time to have new transcripts signed. For example, if the trusted device 3 signs a transcript every two seconds (W = 2) and the last 60 transcripts (H = 60) are requested, then a user must stand still for two minutes for a check to have the last 60 transcripts signed . This is practically very difficult and additional countermeasures can be taken for this.

Zoals hierboven aangegeven heeft de fysieke controle 30 tot doel om de laatste transcripts te relateren aan de fysieke wereld. Omdat het meetsysteem en de omgeving niet vertrouwd zijn, kan een gebruiker met voldoende tijd altijd de benodigde transcripts maken die voldoen aan de fysieke 21 eigenschappen van de controle. Om dit te voorkomen controleert het vertrouwd orgaan 3 elke opgave die ontvangen wordt op onregelmatigheden, en geeft bij het vaststellen van een onregelmatigheid gedurende een bepaalde periode D een 5 waarschuwing af. Deze bepaalde periode D is enkele orden van grootte langer dan de vertraging W die gehanteerd wordt bij het ondertekenen van de transcripts. Dit heeft tot gevolg dat deze waarschuwingsperiode D ook veel langer is dan de tijd die een gebruiker nodig zou hebben om de laatste H 10 transcripts opnieuw aan te laten maken: D >> H * W.As indicated above, the purpose of the physical control 30 is to relate the latest transcripts to the physical world. Because the measurement system and the environment are unfamiliar, a user can always create the necessary transcripts with sufficient time that meet the physical characteristics of the control. To prevent this, the trusted body 3 checks every report that is received for irregularities, and issues a warning during the detection of an irregularity during a certain period D. This specific period D is a few orders of magnitude longer than the delay W that is used when signing the transcripts. As a result, this warning period D is also much longer than the time that a user would need to recreate the last H 10 transcripts: D >> H * W.

Voorbeelden van onregelmatigheden die het vertrouwd element 3 kan vaststellen zijn onjuiste afstanden tussen GPS-coördinaten en de invoer van cirkelbewegingen. Zo mag de afstand tussen opeenvolgende GPS-coördinaten niet meer 15 bedragen dan een instelbare drempelwaarde die afhankelijk is van de snelheid van het voertuig. Hiermee wordt voorkomen dat een gebruiker de OBU 6 voedt met GPS-coördinaten van andere, goedkopere wegen op een andere plaats en deze onjuiste opgave dan voor een controle corrigeert. Daarnaast 20 is het vertrouwd orgaan 3 ingericht om cirkelbewegingen binnen een instelbare tijd te detecteren. Hiermee wordt voorkomen dat een gebruiker stil gaat staan aan de kant van de weg om de OBU 6 te voeden met GPS-coördinaten waardoor de gebruiker virtueel terug rijdt en daarna met de juiste 25 gegevens, dus over de beprijsde weg weer terug rijdt naar de huidige positie, om vervolgens ook daadwerkelijk door te rijden naar de fysieke controle.Examples of irregularities that the familiar element 3 can detect are incorrect distances between GPS coordinates and the input of circular movements. For example, the distance between consecutive GPS coordinates may not exceed 15 an adjustable threshold value that depends on the speed of the vehicle. This prevents a user from feeding the OBU 6 with GPS coordinates from other, cheaper roads in a different location and correcting this incorrect statement than for a check. In addition, the familiar member 3 is arranged to detect circular movements within an adjustable time. This prevents a user from standing still on the side of the road to feed the OBU 6 with GPS coordinates, so that the user drives back virtually and then returns with the correct data, so on the priced road back to the current one. position, to actually continue to the physical check.

De werking van het vertrouwd orgaan 3 in dit verband is weergegeven in het stroomdiagram van fig. 6. Nadat een 30 aanroep is ontvangen en de parameters zijn ingelezen (blok 42) wordt gecontroleerd of de opgegeven tijd later is dan die van een eerdere opgave (blok 43). Wanneer dit niet het geval is wordt een onregelmatigheid vastgesteld en wordt een 22 waarschuwing gegenereerd (blok 44). Deze waarschuwing wordt gedurende een relatief lange periode als uitgangssignaal aangeboden aan de verschillende interfaces 12, 14, 15 van de OBU 6 (blok 45). Als de opgegeven tijd correct lijkt te zijn 5 wordt gecontroleerd of de GPS-coördinaten niet te ver verwijderd zijn van eerder opgegeven coördinaten (blok 46). Mocht hier een onregelmatigheid blijken, dan wordt weer een waarschuwing gegenereerd (blok 44), terwijl anders in een volgende stap wordt vastgesteld of de opgegeven GPS-10 coördinaten een cirkel of lus vormen (blok 47). Ook hiervoor geldt weer dat het vaststellen van een onregelmatigheid leidt tot het opwekken van een waarschuwing in blok 44. Wanneer er geen onregelmatigheden zijn vastgesteld worden de tellers voor de verschillende prijscategorieën en de tijd 15 bijgewerkt (blok 48), waarna een transcript wordt gegenereerd (blok 49). Dan wordt gedurende een periode W gewacht (blok 50) alvorens de transcript wordt ondertekend (blok 51) en naar de opslageenheid 21 wordt verstuurd (blok 52) .The operation of the familiar device 3 in this regard is shown in the flow chart of Fig. 6. After a call has been received and the parameters have been read (block 42), it is checked whether the specified time is later than that of a previous statement ( block 43). If this is not the case, an irregularity is detected and a warning is generated (block 44). This warning is presented as an output signal to the different interfaces 12, 14, 15 of the OBU 6 (block 45) for a relatively long period of time. If the specified time appears to be correct, it is checked whether the GPS coordinates are not too far away from previously specified coordinates (block 46). If an irregularity is found here, another warning is generated (block 44), while otherwise it is determined in a next step whether the specified GPS-10 coordinates form a circle or loop (block 47). Again, the finding of an irregularity leads to the generation of a warning in block 44. If no irregularities have been established, the counters for the different price categories and time are updated (block 48), after which a transcript is generated ( block 49). Then, wait for a period W (block 50) before the transcript is signed (block 51) and sent to the storage unit 21 (block 52).

20 Naast de controles langs de weg kunnen gebruikers overigens ook gecontroleerd worden door hen te vragen een aantal transcripts over te leggen. Dit zal met name gedaan worden wanneer ernstige twijfels bestaan over de juistheid van de aangiften. Een verdere controle-mogelijkheid is nog 25 het vergelijken van kilometerstanden, die worden vastgelegd bij garagebezoek, met name bij de APK, met het opgegeven gebruik. Dit kan relatief eenvoudig worden gedaan door het koppelen van bepaalde bestanden. Wanneer uit deze controle grote afwijkingen aan het licht komen kan de gebruiker 30 worden gevraagd zijn transcripts te overleggen.In addition to roadside checks, users can also be checked by asking them to submit a number of transcripts. This will be done in particular when there are serious doubts about the correctness of the declarations. A further check possibility is the comparison of odometer readings, which are recorded during garage visits, in particular at the MOT, with the specified use. This can be done relatively easily by linking certain files. When large deviations come to light from this check, the user may be asked to submit his transcripts.

Zo bieden de werkwijze en het systeem als hiervoor beschreven de mogelijkheid om op eenvoudige en doelmatige wijze het gebruik van producten of diensten te registeren, 23 waarbij een goede balans wordt bereikt tussen het belang van de aanbieder bij een goede beveiliging tegen fraude en de belangen van de gebruikers bij een goede bescherming van hun privacy.For example, the method and system described above offer the possibility of registering the use of products or services in a simple and efficient manner, whereby a good balance is achieved between the interest of the provider in good protection against fraud and the interests of the users with good protection of their privacy.

5 Hoewel de uitvinding hiervoor is toegelicht aan de hand van een voorbeeld, zal het duidelijk zijn dat deze daartoe niet is beperkt, maar op velerlei wijze kan worden gevarieerd binnen het kader van de nu volgende conclusies.Although the invention has been explained above with reference to an example, it will be clear that it is not limited thereto, but can be varied in many ways within the scope of the following claims.

10352791035279

Claims (27)

1. Werkwijze voor het registeren van het gebruik van een product of dienst door een gebruiker, omvattende de 5 stappen van: - het meten van het gebruik in gebruikseenheden, - het periodiek doorgeven van een opgave van het gemeten aantal gebruikseenheden aan een vertrouwd orgaan, en - het periodiek doorgeven van een verzameling 10 opgaven aan een registrerend orgaan, waarbij het opgegeven gebruik steekproefsgewijs gecontroleerd wordt door het ondervragen van het vertrouwd orgaan, met het kenmerk, dat tijdens de stap van het doorgeven van het gebruik aan het vertrouwd orgaan een 15 onjuiste opgave wordt verhinderd of bemoeilijkt.Method for registering the use of a product or service by a user, comprising the steps of: - measuring the use in usage units, - periodically passing on a statement of the measured number of usage units to a trusted body, and - periodically passing on a set of 10 statements to a recording device, the specified use being checked on a random basis by interrogating the trusted device, characterized in that during the step of passing on the use to the trusted device incorrect statement is prevented or made more difficult. 2. Werkwijze volgens conclusie 1, met het kenmerk, dat een onjuiste opgave wordt verhinderd doordat het vertrouwd orgaan bij ontvangst van een opgave van het gemeten gebruik een ontvangsttijd registreert en deze 20 verbindt met de opgave.2. Method as claimed in claim 1, characterized in that an incorrect statement is prevented by the familiar body registering a receipt time upon receipt of a statement of the measured use and connecting it to the statement. 3. Werkwijze volgens conclusie 1, met het kenmerk, dat een onjuiste opgave wordt bemoeilijkt doordat het vertrouwd orgaan na ontvangst van een opgave van het gemeten gebruik gedurende een bepaalde wachttijd geen verdere opgave 25 accepteert.3. Method as claimed in claim 1, characterized in that an incorrect statement is made more difficult because the trusted member does not accept any further statement after receiving a statement of the measured use during a certain waiting period. 4. Werkwijze volgens conclusie 3, met het kenmerk, dat het vertrouwd orgaan elke ontvangen opgave controleert op onregelmatigheden, en bij het vaststellen van een onregelmatigheid gedurende een bepaalde periode een 30 waarschuwing afgeeft.4. Method as claimed in claim 3, characterized in that the trusted body checks every received statement for irregularities, and issues a warning during a certain period of time when an irregularity is detected. 5. Werkwijze volgens conclusie 4, met het kenmerk, dat de bepaalde periode gedurende welke de waarschuwing 1035279 wordt afgegeven enkele orden van grootte langer is dan de wachttijd.Method according to claim 4, characterized in that the determined period during which the warning 1035279 is issued is several orders of magnitude longer than the waiting time. 6. Werkwijze volgens één der voorgaande conclusies, met het kenmerk, dat de gebruikseenheden afstanden tussen 5 opeenvolgende meetpunten in een wegennet zijn en het vertrouwd orgaan opgenomen is in een voertuig.Method according to one of the preceding claims, characterized in that the units of use are distances between 5 consecutive measuring points in a road network and the familiar device is incorporated in a vehicle. 7. Werkwijze volgens conclusie 4 of 5 en 6, met het kenmerk, dat een onregelmatigheid wordt vastgesteld wanneer de afstand tussen twee meetpunten een bepaalde grenswaarde 10 overschrijdt.Method according to claim 4 or 5 and 6, characterized in that an irregularity is determined when the distance between two measuring points exceeds a certain limit value 10. 8. Werkwijze volgens conclusie 4 of 5 en 6 of 7, met het kenmerk, dat een onregelmatigheid wordt vastgesteld indien de opeenvolgende meetpunten een cirkel of lus bepalen.Method according to claim 4 or 5 and 6 or 7, characterized in that an irregularity is determined if the successive measuring points determine a circle or loop. 9. Werkwijze volgens één der voorgaande conclusies, met het kenmerk, dat bij de steekproefsgewijze controle het registrerend orgaan de opgegeven opgaven vergelijkt met opgaven uit andere bronnen.Method according to one of the preceding claims, characterized in that, during the random check, the recording body compares the specified statements with statements from other sources. 10. Werkwijze volgens één der voorgaande conclusies 20 of volgens de aanhef van conclusie 1, met het kenmerk, dat het vertrouwd orgaan van elke ontvangen opgave een gewaarmerkt afschrift maakt ten behoeve van de gebruiker.A method according to any one of the preceding claims 20 or according to the preamble of claim 1, characterized in that the trusted body makes a certified copy of each statement received for the benefit of the user. 11. Werkwijze volgens conclusie 10, met het kenmerk, dat bij de steeksproefgewijze controle althans de meest 25 recente afschriften worden opgevraagd.11. Method as claimed in claim 10, characterized in that at least the most recent statements are requested during the random check. 12. Systeem voor het registeren van het gebruik van een product of dienst door een gebruiker, omvattende: - een inrichting voor het meten van het gebruik in gebruikseenheden, 30. een met de meetinrichting verbonden vertrouwd orgaan, een op afstand van de meetinrichting en het vertrouwd orgaan geplaatst registrerend orgaan, en - een inrichting voor het steekproefsgewijs controleren van het opgegeven gebruik, - waarbij de meetinrichting ingericht is voor het periodiek doorgeven van een opgave van het gemeten aantal 5 gebruikseenheden aan het vertrouwd orgaan, waarbij het vertrouwd orgaan ingericht is voor het verzamelen en periodiek aan het registrerend orgaan doorgeven van de opgaven, en waarbij de controle-inrichting ingericht is voor het ondervragen van het vertrouwd orgaan, 10 met het kenmerk, dat het vertrouwd orgaan ingericht is om een onjuiste opgave van het gebruik te verhinderen of bemoeilijken.12. System for registering the use of a product or service by a user, comprising: - a device for measuring the use in usage units, 30. a trusted device connected to the measuring device, a remote device from the measuring device and the trusting device placed by a trusted device, and - a device for random checking of the stated use, - wherein the measuring device is adapted to periodically transmit a statement of the measured number of use units to the trusted device, the trusted device being arranged for collecting and periodically forwarding the statements to the recording device, and wherein the checking device is adapted to interrogate the trusted device, characterized in that the trusted device is arranged to prevent incorrect use specification, or complicate. 13. Systeem volgens conclusie 12, met het kenmerk, dat het vertrouwd orgaan een onjuiste opgave verhindert 15 doordat het ingericht is om bij ontvangst van een opgave van het gemeten gebruik een ontvangsttijd te registreren en deze te verbinden met de opgave.13. System as claimed in claim 12, characterized in that the trusted device prevents an incorrect statement in that it is adapted to record a receipt time upon receipt of a statement of the measured use and to connect it to the statement. 14. Systeem volgens conclusie 13, met het kenmerk, dat het vertrouwd orgaan een vertrouwde klok omvat.A system according to claim 13, characterized in that the trusted device comprises a trusted clock. 15. Systeem volgens conclusie 12, met het kenmerk, dat het vertrouwd orgaan een onjuiste opgave bemoeilijkt doordat het ingericht is om na ontvangst van een opgave van het gemeten gebruik gedurende een bepaalde wachttijd geen verdere opgave te accepteren.A system according to claim 12, characterized in that the trusted device makes an incorrect statement more difficult because it is arranged not to accept a further statement after receiving a statement of the measured use during a certain waiting period. 16. Systeem volgens conclusie 15, met het kenmerk, dat het vertrouwd orgaan ingericht is voor het controleren van elke ontvangen opgave op onregelmatigheden, en voor het gedurende een bepaalde periode afgeven van een waarschuwing bij het vaststellen van een onregelmatigheid.A system according to claim 15, characterized in that the trusted means is arranged for checking each received statement for irregularities, and for issuing a warning during a certain period of time when an irregularity is detected. 17. Systeem volgens conclusie 16, met het kenmerk, dat het vertrouwd orgaan ingericht is om de waarschuwing af te geven gedurende een bepaalde periode die enkele orden van grootte langer is dan de wachttijd.A system according to claim 16, characterized in that the trusted device is arranged to issue the warning during a certain period that is several orders of magnitude longer than the waiting time. 18. Systeem volgens één der conclusies 12-17, met het kenmerk, dat de meetinrichting en het vertrouwd orgaan opgenomen zijn in een voertuig, en de meetinrichting ingericht is voor het meten van afstanden tussen 5 opeenvolgende meetpunten in een wegennet.18. System as claimed in any of the claims 12-17, characterized in that the measuring device and the familiar device are included in a vehicle, and the measuring device is adapted to measure distances between 5 successive measuring points in a road network. 19. Systeem volgens conclusie 18, met het kenmerk, dat de meetinrichting een satelliet-navigatie-inrichting omvat.A system according to claim 18, characterized in that the measuring device comprises a satellite navigation device. 20. Systeem volgens conclusie 16 of 17 en 18 of 19, 10 met het kenmerk, dat het vertrouwd orgaan is ingericht om een onregelmatigheid vast te stellen wanneer de afstand tussen twee meetpunten een bepaalde grenswaarde overschrijdt.A system according to claim 16 or 17 and 18 or 19, 10, characterized in that the familiar device is arranged to detect an irregularity when the distance between two measuring points exceeds a certain limit value. 21. Systeem volgens conclusie 16 of 17 en 18, 19 of 15 20, met het kenmerk, dat het vertrouwd orgaan is ingericht om een onregelmatigheid vast te stellen indien de opeenvolgende meetpunten een cirkel of lus bepalen.A system according to claim 16 or 17 and 18, 19 or 15, characterized in that the familiar element is arranged to detect an irregularity if the successive measuring points determine a circle or loop. 22. Systeem volgens één der conclusies 12-21, met het kenmerk, dat het registrerend orgaan is ingericht om de 20 doorgegeven opgaven te vergelijken met opgaven uit andere bronnen.22. System as claimed in any of the claims 12-21, characterized in that the recording member is adapted to compare the transmitted statements with statements from other sources. 23. Systeem volgens één der conclusies 12-22 of volgens de aanhef van conclusie 12, met het kenmerk, dat het vertrouwd orgaan is ingericht om van elke ontvangen opgave 25 een gewaarmerkt afschrift te maken ten behoeve van de gebruiker.23. System as claimed in any of the claims 12-22 or according to the preamble of claim 12, characterized in that the trusted device is adapted to make a certified copy of each received statement for the benefit of the user. 24. Systeem volgens conclusie 23, met het kenmerk, dat het vertrouwd orgaan is ingericht om bij ondervraging door de controle-inrichting althans de meest recente 30 afschriften door te geven.24. System as claimed in claim 23, characterized in that the trusted member is adapted to transmit at least the most recent copies upon interrogation by the checking device. 25. Systeem volgens één der conclusies 12-24, met het kenmerk, dat het vertrouwd orgaan een zogeheten "smart card" is.A system according to any one of claims 12 to 24, characterized in that the trusted device is a so-called "smart card". 26. Meetinrichting, kennelijk bedoeld voor toepassing in een systeem volgens één der conclusies 12-25.26. Measuring device, apparently intended for use in a system according to one of claims 12-25. 27. Vertrouwd orgaan, kennelijk bedoeld voor toepassing in een systeem volgens één der conclusies 12-25. 5 1035279A trusted body, apparently intended for use in a system according to any one of claims 12-25. 5 1035279