DE102021202188A1

DE102021202188A1 - Verfahren sowie Vorrichtung zur Zeitsynchronisation eines ersten Fahrzeuges und eines zweiten Fahrzeuges

Info

Publication number: DE102021202188A1
Application number: DE102021202188.3A
Authority: DE
Inventors: Felix Reinecke; Jorge Casal Santos; Michael Gilowski
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2021-03-08
Filing date: 2021-03-08
Publication date: 2022-09-08
Also published as: CN115052333A

Abstract

Es wird ein Verfahren (100) zur Zeitsynchronisation eines ersten Fahrzeuges und mindestens eines zweiten Fahrzeuges vorgeschlagen, das die folgenden Schritte umfasst:a) Aussenden (105) einer ersten Nachricht (27a) mittels des ersten Fahrzeuges (20)b) Bestimmen (103) eines ersten Zeitpunktes t1 des Aussendens in einer Low-Level-Schicht (25) des ersten Fahrzeuges (20), wobei sich der erste Zeitpunkt t1 auf ein Ende des Aussendens bezieht,c) Abspeichern (104) des ersten Zeitpunktes t1 zusammen mit einem Message Identifier der ersten Nachricht in einer High-Level-Schicht (22) des ersten Fahrzeuges (20),d) Empfangen (106) der ersten Nachricht (27a) mittels des zweiten Fahrzeuges (21),e) Bestimmen (107) eines zweiten Zeitpunktes t2 des Empfangs der ersten Nachricht (27a) in einer Low-Level-Schicht (25) des zweiten Fahrzeuges (21), wobei sich der zweite Zeitpunkt t2 auf ein Ende des Empfangens bezieht,f) Abspeichern (108) des zweiten Zeitpunktes t2 in einer High-Level-Schicht (22) des zweiten Fahrzeuges (21), wobei das Verfahreng) eine Übermittlung (110) des zweiten Zeitpunktes t2 zusammen mit dem Message Identifier der ersten Nachricht mittels einer zweiten Nachricht (27b) vom zweiten Fahrzeug (21) zum ersten Fahrzeug (20), undh) ein Bestimmen (111) eines zeitlichen Abstandes zwischen dem abgespeicherten ersten Zeitpunkt t1 und dem übermittelten zweiten Zeitpunkt t2 in der High-Level-Schicht (22) des ersten Fahrzeuges (20), und/oderi) eine Übermittlung des ersten Zeitpunktes t1 zusammen mit dem Message Identifier der ersten Nachricht mittels einer dritten Nachricht (27c) vom ersten Fahrzeug (20) zum zweiten Fahrzeug (21), undj) ein Bestimmen (113) eines zeitlichen Abstandes zwischen dem abgespeicherten zweiten Zeitpunkt t2 und dem übermittelten ersten Zeitpunkt t1 in der High-Level-Schicht (22) des zweiten Fahrzeuges (21) umfasst,wobei das Verfahren (100) einen Vergleich (114) des zeitlichen Abstandes mit einem ersten Toleranzwert umfasst,wobei der erste Toleranzwert festgelegt wird,wobei bei einem Unterschreiten des ersten Toleranzwertes eine Zeitsynchronisation festgestellt wird,und wobei bei einem Überschreiten des ersten Toleranzwertes eine Anpassung (115) einer internen Uhr des ersten Fahrzeuges (20) und/oder einer internen Uhr des zweiten Fahrzeuges (21) erfolgt und die Zeitsynchronisation hergestellt wird.

Description

Die vorliegende Erfindung betrifft ein Verfahren sowie eine Vorrichtung zur Zeitsynchronisation zwischen einem ersten Fahrzeug und mindestens einem zweiten Fahrzeug nach den unabhängigen Ansprüchen.
Stand der Technik
Gerade im Bereich des teilautonomen beziehungsweise autonomen Fahrens wird aus sicherheitstechnischen Gründen eine präzise Synchronisation zwischen den internen Zeiten der beteiligten Fahrzeuge immer wichtiger. Als Folge werden die entsprechenden notwendigen funktionalen Sicherheitsanforderungsstufen (ASIL) für die Zeitsynchronisation erhöht. Üblicherweise basiert die Zeitsynchronisation auf externen Quellen, wie beispielsweise einem globalen Navigationssatellitensystem (GNSS) oder einem Mobilfunknetz mit einem Referenzzeitserver. Beide Optionen sind jedoch nur limitiert verwendbar. In Bezug auf GNSS kann zum Beispiel in Tunneln oder komplexen urbanen Szenarien die Erreichbarkeit reduziert sein. Ferner beeinflusst die Latenz im Falle von mobilfunkbasierten Systemen die Genauigkeit der empfangenen Zeitsignale und somit der Zeitsynchronisation.
Die US 2020064859 A1 beschreibt eine Synchronisation zwischen einem Fahrzeug und einem GPS-Sensor, wobei die Zeitstempel allerdings nicht in einer Low-Level-Schicht ermittelt werden. Gleiches gilt für die US 2019/271989 A1 , die die drahtlose Kommunikation in Fahrzeugkommunikationsnetzen und insbesondere die Taktsynchronisation der Fahrzeuge betrifft.
Offenbarung der Erfindung
Der vorliegenden Erfindung liegt somit die Aufgabe zugrunde, ein Verfahren zur Zeitsynchronisation zwischen verschiedenen Fahrzeugen derart weiterzuentwickeln, dass die Präzision erhöht wird und somit die Leistung sicherheitsrelevanter automatisierter Fahrfunktionen erhöht wird, während gleichzeitig eine hohe funktionale Sicherheitsanforderungsstufe erreicht wird. Insgesamt soll die Sicherheit der beteiligten Fahrzeuge erhöht werden.
Gelöst wird die vorgenannte Aufgabe durch ein Verfahren zur Zeitsynchronisation eines ersten Fahrzeuges und eines zweiten Fahrzeuges.
Das Verfahren umfasst das Aussenden einer ersten Nachricht mittels des ersten Fahrzeuges. Dabei handelt es sich insbesondere um eine Vehicle-to-everything-Kommunikationsnachricht, die vorzugsweise aus mehreren Bits besteht. Ferner kann die erste Nachricht einen Message Identifier (z. B. Message Counter) umfassen, der zur Identifikation der Nachricht dient. Der Message Identifier wird insbesondere jeder folgenden Schicht nach der Low-Level-Schicht zusammen mit der Nachricht bereitgestellt, sodass jegliche Schichten die entsprechende Nachricht identifizieren können.
Vor dem Aussenden der ersten Nachricht wird insbesondere ein erster Zeitpunkt des Aussendens in einer Low-Level-Schicht des ersten Fahrzeuges bestimmt. Der erste Zeitpunkt definiert den Aussendezeitpunkt. Im Detail bezeichnet der erste Zeitpunkt das Ende des Aussendens der ersten Nachricht. Dies geschieht vorzugsweise in Echtzeit. Ferner wird der erste Zeitpunkt zusammen mit dem Message Identifier der ersten Nachricht in einer High-Level-Schicht des ersten Fahrzeuges abgespeichert.
Das Verfahren umfasst ferner das Empfangen der ersten Nachricht mittels des zweiten Fahrzeuges und das Bestimmen eines zweiten Zeitpunktes des Empfangs in einer Low-Level-Schicht des zweiten Fahrzeuges. Erneut wird der zweite Zeitpunkt in der High-Level-Schicht des zweiten Fahrzeuges abgespeichert. Während der erste Zeitpunkt somit den Aussendezeitpunkt seitens des ersten Fahrzeuges beschreibt, spezifiziert der zweite Zeitpunkt den Empfangszeitpunkt seitens des zweiten Fahrzeuges. Der zweite Zeitpunkt wird durch das Ende des Empfanges der ersten Nachricht definiert.
Das Verfahren umfasst nach einer ersten Alternative die Übermittlung des zweiten Zeitpunktes zusammen mit dem Message Identifier der ersten Nachricht mittels einer zweiten Nachricht vom zweiten Fahrzeug zum ersten Fahrzeug. Ferner umfasst das Verfahren ein Bestimmen eines zeitlichen Abstandes zwischen dem abgespeicherten ersten Zeitpunkt und dem übermittelten zweiten Zeitpunkt in der High-Level-Schicht des ersten Fahrzeuges.
Gemäß einer zweiten Alternative kann das Verfahren eine Übermittlung des ersten Zeitpunktes zusammen mit dem Message Identifier der ersten Nachricht mittels einer dritten Nachricht vom ersten Fahrzeug zum zweiten Fahrzeug umfassen, wobei dann ein zeitlicher Abstand zwischen dem abgespeicherten zweiten Zeitpunkt und dem übermittelten ersten Zeitpunkt in der High-Level-Schicht des zweiten Fahrzeuges bestimmt wird.
Vorzugsweise werden sowohl die zweite als auch die dritte Nachricht ausgetauscht, und das Bestimmen des zeitlichen Abstandes findet beidseitig statt, obwohl für die Nutzbarkeit des Verfahrens ein einseitiges Bestimmen ausreicht, weil durch einen bevorzugten regelmäßigen Austausch von Nachrichten zwischen den beiden Fahrzeugen jedes Fahrzeug einmal die Rolle des Senders und einmal die Rolle des Empfängers erhält.
Das Verfahren kann vor allem als computerimplementiertes Verfahren verstanden werden. Es kann insbesondere von einem Prozessor des ersten Fahrzeuges und einem Prozessor des zweiten Fahrzeuges ausgeführt werden.
Die Begriffe Low-Level-Schicht und High-Level-Schicht orientieren sich vor allem am ISO-Schichtenmodell. Unter dem Begriff Low-Level-Schicht ist insbesondere eine grundlegende, unterste Schicht zu verstehen, in anderen Worten kann dies eine untere Hardwareschicht oder eine untere Softwareschicht sein, die hardwarenah ist bzw. der Hardware direkt übergeordnet ist. Beispielsweise kann es sich bei dieser um eine Übertragungsschicht handeln, mittels derer beispielsweise Bits übertragen und/oder empfangen werden. Die Low-Level-Schicht empfängt somit als erstes eine externe Nachricht. Vorzugsweise kann die Low-Level-Schicht eine Hardware-Access Layer sein. Die Low-Level-Schicht kann auch ein GeoNetwork oder ein OS (operating system)-Service sein.
Bei der High-Level-Schicht handelt es sich insbesondere nicht um eine Low-Level-Schicht, sondern um eine höhere Softwareschicht, in der beispielsweise Informationen aus einer Nachricht erst nach einer gewissen Zeit eintreffen, da sie zunächst in der Low-Level-Schicht empfangen werden, gegebenenfalls noch weitere Schichten durchlaufen, bis sie die High-Level-Schicht erreichen. Insbesondere handelt es sich bei der High-Level-Schicht um eine Applikationsschicht.
Bei der ersten Nachricht und der zweiten Nachricht, sowie vorzugsweise sämtlichen zwischen den beiden Fahrzeugen ausgetauschten Nachrichten, handelt es sich vorzugsweise um V2X-Nachrichten, in anderen Worten Car2X Nachrichten, vor allem Car2Car Nachrichten.
Die Nachrichten werden insbesondere über die jeweilige Antenne des Fahrzeuges über Radiowellen ausgesandt. Dabei ist die Low-Level-Schicht grundsätzlich viel näher an der Antenne angeordnet. Durch Bestimmen des ersten Zeitpunktes und des zweiten Zeitpunktes in der Low-Level-Schicht wird somit die Latenz wesentlich reduziert, da die bestimmten Zeitpunkte möglichst nah an den tatsächlichen Zeitpunkten des Aussendens und des Empfanges liegen.
Insbesondere weisen beide Fahrzeuge ein Modul für die Synchronisation mit einer externen Zeitquelle auf, bspw. GNSS oder einem Zeitserver. Als externe Zeitquelle ist eine Zeitquelle zu verstehen, die nicht einem Fahrzeug zugeordnet ist. Das Modul ist zum Empfang von Nachrichten der Zeitquelle zur Synchronisation ausgebildet. Beide Fahrzeuge werden somit normalerweise über die externe Zeitquelle synchronisiert. Das vorliegende Verfahren ermöglicht eine sichere Überprüfung der Synchronisation, bspw. für den Fall, dass kein ausreichender GNSS Empfang möglich ist, und für den Fall, dass die Synchronisation mit der externen Zeitquelle die erforderliche Sicherheitsanforderungsstufe nicht erfüllt.
Ferner umfasst das Verfahren vorzugsweise das Empfangen der zweiten Nachricht mittels des ersten Fahrzeuges und ein Bestimmen eines vierten Zeitpunktes des Empfangs der zweiten Nachricht in der Low-Level-Schicht des ersten Fahrzeuges. Der vierte Zeitpunkt bezieht sich erneut auf das Ende des Empfangens. Mittels der dritten Nachricht kann auch der vierte Zeitpunkt und der Message Identifier der zweiten Nachricht übertragen werden. Dabei ist die Reihenfolge der zweiten und dritten Nachricht beliebig, d.h. die „Folgenachricht“ vom zweiten Fahrzeug zum ersten Fahrzeug kann auch nach der Folgenachricht vom ersten zum zweiten Fahrzeug übertragen werden. Auch kann die erste Nachricht bereits eine Folgenachricht sein, sodass bereits vorher Nachrichten ausgetauscht wurden.
Es wird somit vorzugsweise in jedem Fahrzeug jeweils unabhängig voneinander der zeitliche Abstand zwischen dem ersten Zeitpunkt und dem zweiten Zeitpunkt bestimmt. Es kann somit durch den Austausch von Aussende- und Empfangszeiten, in anderen Worten Zeitstempeln des Empfangs und des Aussendens von Nachrichten, eine Zeitsynchronisation zwischen zwei Fahrzeugen festgestellt oder hergestellt werden.
Es findet ein Vergleich des zeitlichen Abstandes zwischen dem ersten Zeitpunkt und dem zweiten Zeitpunkt mit einem ersten Toleranzwert statt. Der erste Toleranzwert ist insbesondere so gewählt, dass er eine mögliche Flugzeit der Nachrichten umfasst. Bspw. kann der erste Toleranzwert 0,8 ms, vorzugsweise 0,5 ms, am meisten bevorzugt 0,4 ms, betragen. Die Flugzeit muss somit nicht berücksichtigt werden, da sie vom ersten Toleranzwert umfasst ist. Ferner umfasst das Verfahren eine Anpassung einer internen Uhr, insbesondere einer internen zentralen Uhr, des ersten Fahrzeuges und/oder des zweiten Fahrzeuges, wenn der erste Toleranzwert überschritten wird.
Bspw. könnten eine interne Uhr jeweils basierend auf einem Mittelwert zwischen dem ersten Zeitpunkt und dem zweiten Zeitpunkt angepasst werden. In diesem Fall werden die internen Uhren entsprechend dem Mittelwert angepasst. Ferner könnte ein Fahrzeug als „Master“ festgelegt werden, sodass bei einem Überschreiten des ersten Toleranzwerts die interne Uhr des anderen Fahrzeuges angepasst wird.
Bei der internen Uhr handelt es sich insbesondere um eine zentrale Uhr, wobei bei einer Anpassung der Zeit der zentralen Uhr auch sämtliche anderen Uhren des entsprechenden Fahrzeuges intern mit dieser zentralen Uhr synchronisiert werden können. Insbesondere sind die in der Low-Level-Schicht verwendete Zeit und die zentrale Uhr miteinander synchronisiert, sofern die Zeit der Low-Level-Schicht nicht schon selbst die zentrale Uhr darstellt.
Es findet eine Anpassung nur dann statt, wenn der zeitliche Abstand einen ersten Toleranzwert überschreitet. In diesem Fall wird somit die Zeitsynchronisation hergestellt.
Bei einer Unterschreitung kann eine Zeitsynchronisation festgestellt werden. In anderen Worten wird festgestellt, dass die internen Uhren der Fahrzeuge ausreichend synchronisiert sind und keine Anpassung notwendig ist. Es handelt sich somit vorzugsweise insgesamt um ein Verfahren zur Zeitsynchronisation.
Ferner kann festlegt sein, dass eine Anpassung nur nach einer Überprüfung mittels mindestens eines Sicherheitsmechanismus stattfindet. In anderen Worten wird nur angepasst, wenn Sicherheitsmechanismen, die die Messung der Zeiten kontrollieren, keine Auffälligkeit festgestellt haben. Die Sicherheitsmechanismen können bspw. Plausibilitätschecks für die bestimmten Zeiten vorzugsweise anhand von vergangenen Messungen umfassen. So werden Anpassungen auf Basis von Fehlmessungen ausgeschlossen.
Der erste Toleranzwert wird festgelegt. Insbesondere kann der erste Toleranzwert als feste Größe definiert werden oder dieser wird dynamisch festgelegt.
Vorzugsweise ist der erste Toleranzwert abhängig von der Genauigkeit, die eine gewünschte automatisierte Fahrfunktion erfordert, und/oder den Anforderungen an die Verfügbarkeit der gewünschten Fahrfunktion und/oder von der aktuellen Verkehrssituation und/oder der Qualität der Nachrichtenübertragung und/oder der vorzugsweise durch Test oder Berechnung bestimmten Latenz des Bestimmens des ersten Zeitpunktes und des zweiten Zeitpunktes.
Hinsichtlich der Anpassung einer internen Uhr der Fahrzeuge können auch externe Zeitquellen berücksichtigt werden. Beispielsweise kann, sobald wieder ein GNSS Empfang möglich ist, dessen Zeit zur Anpassung berücksichtigt werden. Hier kann ein Kalman-Filter benutzt werden. Insbesondere kann dann der erste Toleranzwert, mit dem der zeitliche Abstand verglichen wurde, sowie ein Konfidenzwert der anderen externen Zeitquelle berücksichtigt werden. Die Sicherheitsmechanismen können ferner einen Plausibilitätscheck der bestimmten Zeiten basierend auf der Zeit der externen Zeitquellen, bspw. des GNSS Signals, umfassen.
Insbesondere wird jede Nachricht in der jeweiligen High-Level-Schicht mit sicherheitsrelevanten Inhalten versehen, wobei das Verfahren ferner ein Verschlüsseln jeder Nachricht vor dem Aussenden und vor dem Bestimmen des Zeitpunktes des Aussendens, beispielsweise hinsichtlich der ersten Nachricht vor dem Bestimmen des ersten Zeitpunktes, umfasst. Das Verschlüsseln findet insbesondere in einer Schicht zwischen der High-Level-Schicht und der Low-Level-Schicht statt. Dabei kann es sich um eine Applikationsschicht, eine Kommunikationsschicht oder eine V2X bzw. Car2X-Schicht handeln. Dadurch, dass das Bestimmen des ersten Zeitpunktes des Aussendens hinsichtlich der ersten Nachricht erst in der Low-Level-Schicht erfolgt, ist diese möglichst nah am tatsächlichen Aussendezeitpunkt, wodurch die Latenz, in anderen Worten die Verzögerung des Bestimmens des ersten Zeitpunktes, signifikant minimiert wird, da die Latenz neben der Lichtlaufzeit, in anderen Worten der Flugzeit, die Zeit umfasst, die zur Übertragung oder zum Empfang einer Nachricht notwendig ist. Findet dann noch intern eine Übertragung der Nachricht zu weiteren höheren Schichten statt, erhöht sich die Übertragungszeit und somit auch die Latenzzeit.
Auch auf der Empfangsseite kann nach dem Empfangen ein Entschlüsseln der ersten Nachricht sowie jeder weiteren Nachricht erfolgen, wobei das Entschlüsseln nach dem Bestimmen des zweiten Zeitpunktes erfolgt. Auch das Entschlüsseln erfolgt in einer Schicht zwischen der jeweiligen High-Level-Schicht und der Low-Level-Schicht, sodass erneut der Empfangszeitpunkt zeitlich möglichst nah am tatsächlichen Empfangszeitpunkt liegt und die Latenz auch auf der Empfangsseite reduziert wird. Insbesondere wird die Latenz der beiden Messungen auf der aussendenden und empfangenden Seite auf insgesamt weniger als 1 ms reduziert, sodass die Zeitsynchronisation mit einer sehr hohen Genauigkeit überprüft und ggfs. hergestellt werden kann. Die Zeitsynchronisation basierend auf dem Austausch der Nachrichten genügt somit sicherheitsrelevanten zeitkritischen automatisierten Fahrmanövern.
Insbesondere umfasst jede Nachricht einen Message Identifier zur Identifikation, wobei der Message Identifier insbesondere vom aussendenden Fahrzeug zur Nachricht hinzugeführt wird und vom empfangenden Fahrzeug ausgelesen und abgespeichert werden kann. Bei dem Message Identifier handelt es sich um eine Nachrichtidentifikation, in anderen Worten eine Kennzeichnung der Nachricht, die deren eindeutiger Identifikation dient.
Ferner kann das Verfahren einen Vergleich des zeitlichen Abstandes zwischen dem zweiten Zeitpunkt und dem ersten Zeitpunkt mit einem sicherheitsrelevanten zweiten Toleranzwert umfassen. Der sicherheitsrelevante zweite Toleranzwert kann sich insbesondere vom ersten Toleranzwert für die Uhrenanpassung unterscheiden oder auch gleich sein. Vorzugsweise ist der sicherheitsrelevante zweite Toleranzwert größer als der erste Toleranzwert für die Uhrenanpassung. Bei einem Überschreiten des sicherheitsrelevanten zweiten Toleranzwertes kann das Verfahren insbesondere das Einleiten von mindestens einer Sicherheitsmaßnahme umfassen. Eine Sicherheitsmaßnahme kann beispielsweise ein Erhöhen des Sicherheitsabstandes zu anderen Fahrzeugen oder ein Ablehnen von automatisierten Fahrmanövern umfassen. Dies kann vorzugsweise auf der Seite beider Fahrzeuge erfolgen. So kann eine besonders hohe Sicherheit der beteiligten Fahrzeuge erreicht werden.
Der zweite Toleranzwert wird ebenfalls festgelegt. Vorzugsweise kann dieser als feste Größe definiert werden oder dynamisch festgelegt werden. Der zweite Toleranzwert wird vorzugsweise in Abhängigkeit von der Genauigkeit, die eine gewünschte automatisierte Fahrfunktion erfordert, und/oder den Anforderungen an die Verfügbarkeit der gewünschten Fahrfunktion und/oder von der aktuellen Verkehrssituation und/oder der Qualität der Nachrichtenübertragung und/oder der vorzugsweise durch Test oder Berechnung bestimmten Latenz des Bestimmens des ersten Zeitpunktes und des zweiten Zeitpunktes festgelegt.
Auch hinsichtlich der weiteren, regelmäßig versendeten Nachrichten können sämtliche oben beschriebenen Schritte durchgeführt werden. Beispielsweise wird eine zweite Nachricht erzeugt und es werden die sicherheitsrelevanten Inhalte in der High-Level-Schicht des zweiten Fahrzeuges hinzugefügt. Die zweite Nachricht wird in einer Schicht zwischen der High-Level-Schicht und der Low-Level-Schicht verschlüsselt, während ein dritter Zeitpunkt des Aussendens in der Low-Level-Schicht des zweiten Fahrzeuges bestimmt wird. Der dritte Zeitpunkt bezieht sich erneut auf ein Ende des Aussendens. Dieser Zeitpunkt kann in der High-Level-Schicht abgespeichert werden. Wie oben beschrieben wird die zweite Nachricht ausgesandt und vom ersten Fahrzeug empfangen, wobei der vierte Empfangszeitpunkt in der Low-Level-Schicht bestimmt wird und erneut abgespeichert werden kann in der jeweiligen High-Level-Schicht des ersten Fahrzeuges. Zuvor kann die zweite Nachricht in einer Schicht zwischen der Low-Level-Schicht und der High-Level-Schicht entschlüsselt werden. Gleiches gilt für die Übermittlung der dritten Nachricht, wobei ein fünfter Zeitpunkt und ein sechster Zeitpunkt bestimmt und jeweils abgespeichert werden können Die Zeitpunkte beziehen sich wieder auf das Ende des Aussendens bzw. Empfangens.
Das Verfahren kann insbesondere ein regelmäßiges Aussenden von entsprechenden Nachrichten umfassen, sodass in regelmäßigen zeitlichen Abständen die Zeitsynchronisation überprüft und ggfs. hergestellt werden kann. Insbesondere wird das Verfahren mit jeder empfangenen Nachricht eines anderen Fahrzeuges ausgelöst.
Vorzugsweise finden die folgenden Aktivitäten in der High-Level-Schicht statt, um eine erhöhte Sicherheitsanforderungsstufe zu erreichen:

a) Speichern des ersten Zeitpunktes im ersten Fahrzeug
b) Speichern des zweiten Zeitpunktes im zweiten Fahrzeug
c) End-To-End-Absicherung der Übertragung des ersten Zeitpunktes und des zweiten Zeitpunktes in der zweiten und dritten Nachricht
d) Bestimmen des zeitlichen Abstandes zwischen dem ersten Zeitpunkt und dem zweiten Zeitpunkt
e) Weitere Sicherheitsmechanismen
f) Auslösen von Sicherheitsmaßnahmen

Insgesamt kann das Verfahren insbesondere die Zeitsynchronisation einer Vielzahl von Fahrzeugen betreffen, wobei jeweils paarweise die oben beschriebenen Schritte zur Zeitsynchronisation stattfinden. Insbesondere kommunizieren sämtliche Fahrzeuge paarweise miteinander über Nachrichten. In anderen Worten können zwischen allen Fahrzeugen in Reichweite, vorzugsweise zwischen allen Fahrzeugen, die weniger als 1 km entfernt sind, entsprechende Nachrichten ausgetauscht werden. Die Nachrichten können neben dem Message Identifier auch eine Station ID umfassen, sodass die Nachrichten einem bestimmten Fahrzeug zugewiesen werden können. So kann auch ein „neues“ Fahrzeug der Vielzahl von Fahrzeugen beitreten, indem eine bisher unbekannte ID erkannt wird. Insgesamt wird somit eine Synchronisierung mit allen in Reichweite befindlichen Fahrzeugen möglich. Es kann insbesondere ein Mittelwert der Zeiten aller beteiligten Fahrzeuge errechnet werden, wenn ein schlechter beziehungsweise kein Empfang zur externen Zeitquelle möglich ist. Dieser kann zur Anpassung der internen Uhr eines Fahrzeuges mit schlechtem bzw. keinem Empfang zu einer externen Zeitquelle verwendet werden.
Das Verfahren kann auch ferner den Austausch von Nachrichten mit Road Side Units, in anderen Worten ortsfesten Einrichtungen, die an der Kommunikation über Nachrichten teilnehmen, umfassen. Somit kann auch eine Road Side Unit als externe Zeitquelle mit hoher Genauigkeit und hoher Sicherheitsanforderungsstufe verwendet werden.
Bei der Synchronisation mit mehreren Fahrzeugen und eventuell verfügbaren externen Zeitquellen kann die Qualität der jeweiligen Zeitquelle berücksichtigt werden, indem jeder Zeitquelle ein Konfidenzwert zugeordnet wird. Die Konfidenzwerte können bei der Berechnung des Mittelwertes, an den die interne Uhr angepasst wird, berücksichtigt werden, indem der Mittelwert als gewichtetes Mittel über alle verfügbaren Zeitquellen berechnet wird, wobei die Konfidenzwerte als Gewichtungsfaktoren dienen. $t_{0} + \sum (C_{i} \times Δ_{i}) / \sum C_{i}$
Dabei steht C für den Konfidenzwert der Zeit verschiedener Zeitquellen i. 0 steht für das erste Fahrzeug, für das das Verfahren durchgeführt wird. Der jeweilige Konfidenzwert kann aus den verfügbaren Zeitquellen ermittelt werden, z.B. GNSS, Mobilfunknetz oder andere Fahrzeuge. Der Konfidenzwert kann entweder von der Zeitquelle übermittelt werden oder kann aus dem empfangenen Signal berechnet werden (z. B. Qualität des GNSS-Satellitensignals im Vergleich zu anderen Satelliten oder Qualität des Internet Network Time Protocol (NTP) - Servers).
Beispielsweise kann einer internen Uhr des ersten Fahrzeuges ein Konfidenzwert zugeordnet sein, wobei den jeweiligen internen Uhren einer Vielzahl von anderen Fahrzeugen jeweils ein Konfidenzwert zugeordnet ist. In anderen Worten ist jeder internen Uhr der Vielzahl von Fahrzeugen jeweils ein Konfidenzwert zugeordnet. Das erste Fahrzeug empfängt, wie oben beschrieben, jeweils ein zweiter Zeitpunkt von jedem Fahrzeug der Vielzahl der Fahrzeuge und ermittelt einen Mittelwert dieser Zeiten. Das Verfahren umfasst ein Bestimmen eines zeitlichen Abstandes zwischen dem abgespeicherten ersten Zeitpunkt und dem Mittelwert der übermittelten zweiten Zeitpunkte in der High-Level-Schicht des ersten Fahrzeuges. Der Mittelwert ist vorzugsweise nach den Konfidenzwerten gewichtet. Es findet ein Vergleich des zeitlichen Abstandes mit dem ersten Toleranzwert statt.
Die interne Uhr des ersten Fahrzeuges wird vorzugsweise dann angepasst, falls der zeitliche Abstand größer ist als der erste Toleranzwert und die Konfidenzwerte der Zeiten der anderen Fahrzeuge jeweils größer sind als der Konfidenzwert des ersten Fahrzeuges. Bei Anpassung wird die interne Uhr des ersten Fahrzeuges mit dem Mittelwert synchronisiert.
Alternativ kann der erste Zeitpunkt einschließlich seines Konfidenzwerts in die Bestimmung des vorzugsweise gewichteten Mittelwertes einbezogen werden. Die interne Uhr des ersten Fahrzeugs wird dann angepasst, wenn deren zeitliche Abstand zum vorzugsweise gewichteten Mittelwert größer ist als der erste Toleranzwert.
In einem weiteren Aspekt betrifft die Erfindung eine Vorrichtung, die zur Durchführung des oben beschriebenen Verfahrens ausgebildet ist. Die Vorrichtung kann insbesondere eine Antenne zum Aussenden und/oder Empfangen der Nachrichten umfassen. Ferner umfasst die Vorrichtung vorzugsweise einen Prozessor mit einem Speicher, der zur Ausführung des Verfahrens ausgebildet ist. Der Prozessor kann eine Low-Level-Einheit und eine Sicherheitseinheit umfassen, in der die Schritte hinsichtlich der Low-Level-Schicht und der High-Level-Schicht durchgeführt werden. Ferner kann der Prozessor eine Applikationseinheit und eine V2X- bzw. Car2X-Einheit umfassen, in der die Schritte der jeweiligen Zwischenschichten durchgeführt werden.
Durch die vorliegende Erfindung kann eine Synchronisation mit einer höheren funktionalen Sicherheitsanforderungsstufe erreicht werden. Das Verfahren kann mit externen Zeitquellen wie GNSS kombiniert werden. Insbesondere wird erreicht, dass eine hohe Sicherheitsanforderungsstufe stets beibehalten werden kann, selbst wenn eine externe Zeitquelle wie GNSS ausfällt beziehungsweise nicht oder schlecht erreichbar ist. Es wird somit eine erhöhte Sicherheitsanforderungsstufe erreicht, als dies mit einer Lösung, die alleine auf eine externe Zeitquelle setzt, möglich ist.
Es zeigen rein schematisch:

1: ein Verfahrensschema eines erfindungsgemäßen Verfahrens;
2: eine Einbettung des Verfahrens der 1 in Kombination mit einer externen Zeitquelle; und
3: ein erfindungsgemäßes Verfahren in den verschiedenen Schichten in zeitlicher Abfolge.

1 zeigt ein Verfahrensschema eines erfindungsgemäßen Verfahrens 100. Das erfindungsgemäße Verfahren 100 umfasst das Erzeugen 101 einer ersten Nachricht 27a und das Hinzufügen sicherheitsrelevanter Inhalte in einer High-Level-Schicht eines ersten Fahrzeuges, das Verschlüsseln 102 der ersten Nachricht und das Bestimmen 103 eines ersten Zeitpunktes t1 des Aussendens in einer Low-Level-Schicht, bevor die erste Nachricht ausgesandt wird 105. Ferner kann der erste Zeitpunkt t1 zusammen mit dem Message Identifier der Nachricht abgespeichert werden 104.
Auf der Seite des zweiten Fahrzeuges wird die erste Nachricht empfangen 106 und der zweite Zeitpunkt t2 wird bestimmt 107. Der zweite Zeitpunkt t2 wird zusammen mit dem Message Identifier der ersten Nachricht in der High-Level-Schicht abgespeichert 108 und die erste Nachricht wird entschlüsselt 109.
Der zweite Zeitpunkt t2 mit dem Message Identifier der ersten Nachricht kann mittels einer zweiten Nachricht vom zweiten Fahrzeug zum ersten Fahrzeug übermittelt werden 110. Erneut können alle vorherigen Schritte stattfinden, wie das Bestimmen 110a eines dritten Zeitpunktes t3 des Aussendens in der Low-Level-Schicht und das Abspeichern des dritten Zeitpunktes t3, das Aussenden 110b der zweiten Nachricht, das Empfangen 110c der zweiten Nachricht seitens des ersten Fahrzeuges und das Bestimmen 110d eines vierten Zeitpunktes t4 des Empfangs der zweiten Nachricht in der Low-Level-Schicht des ersten Fahrzeuges.
Es erfolgt vorzugsweise ein Bestimmen 111 des zeitlichen Abstandes des abgespeicherten ersten Zeitpunktes t1 und der übermittelten zweiten Zeitpunkte t2 in der High-Level-Schicht des ersten Fahrzeuges.
Ferner kann alternativ oder zusätzlich zur zweiten Nachricht 26b mittels einer dritten Nachricht 26c vom ersten Fahrzeug zum zweiten Fahrzeug der erste Zeitpunkt t1 zusammen mit dem Message Identifier 26a der ersten Nachricht 27a übermittelt werden 112. Erneut kann dies das Bestimmen 112a eines fünften Zeitpunktes t5 des Aussendens in der Low-Level-Schicht, das tatsächliche Aussenden 112b der dritten Nachricht 27c, das Empfangen 112c der dritten Nachricht seitens des zweiten Fahrzeuges und das Bestimmen 112d eines sechsten Zeitpunktes t6 des Empfangs der dritten Nachricht umfassen. Dann kann ein Bestimmen 113 des zeitlichen Abstandes des abgespeicherten zweiten Zeitpunktes t2 und des übermittelten ersten Zeitpunktes t1 in der High-Level-Schicht des zweiten Fahrzeuges erfolgen.
Es wird der zeitliche Abstand zwischen dem zweiten Zeitpunkt t2 und dem ersten Zeitpunkt t1 mit einem ersten Toleranzwert verglichen 114 und bei Überschreiten des ersten Toleranzwertes eine interne Uhr des zweiten Fahrzeuges angepasst 115. Der erste Toleranzwert wird festgelegt.
Ferner kann der zeitliche Abstand mit einem zweiten Toleranzwert verglichen werden 116. Ferner kann eine Auswertung der aktuellen Ergebnisse der Sicherheitsmechanismen erfolgen. Beim Überschreiten des zweiten Toleranzwertes kann mindestens eine Sicherheitsmaßnahme eingeleitet werden 117, beispielsweise ein Erhöhen 118 des Sicherheitsabstandes zu anderen Fahrzeugen und/oder ein Ablehnen 119 von automatisieren Fahrmanövern.
2 zeigt die Einbettung des Verfahrens 100 der 1 in Kombination mit einer externen Zeitquelle 10 zur Ausgabe einer Zeitreferenz 12 mit einer hohen Sicherheitsanforderungsstufe. Ferner ist eine erfindungsgemäße Vorrichtung 19 gezeigt, mit der das Verfahren durchgeführt wird. Das zuvor unter 1 beschriebene erfindungsgemäße Verfahren 100 kann in Kombination mit der Synchronisation 13 mit einer externen Zeitquelle 10 erfolgen. Diese mithilfe der externen Zeitquelle 10 synchronisierte Zeit wird dann mittels des in 1 beschriebenen Verfahrens 100 mittels der Nachrichten 27 überprüft und ggfs. angepasst. Ferner können weitere Sicherheitsmechanismen 11 vorgesehen sein. Insgesamt wird somit eine Zeitreferenz 12 mit hoher Sicherheitsanforderungsstufe erreicht.
In 3 ist ein erfindungsgemäßes Verfahren 100 in den verschiedenen Schichten in zeitlicher Abfolge dargestellt. Die Zeit 40 nimmt in Pfeilrichtung zu. Ein erstes Fahrzeug 20 und ein zweites Fahrzeug 21 umfassen jeweils eine High-Level-Schicht 22, eine Applikationsschicht 23, eine V2X-Schicht 24 und eine Low-Level-Schicht 25. In der High-Level-Schicht 22 des ersten Fahrzeuges 20 wird eine Nachricht 27 generiert, und zwar die erste Nachricht 27a, die zusammen mit einem Message Identifier 26a über die Applikationsschicht 23 und die V2X-Schicht 24 an die Low-Level-Schicht 25 weitergegeben wird. In der V2X-Schicht 24 wird die erste Nachricht 27a verschlüsselt. In der Low-Level-Schicht 25 wird der erste Zeitpunkt t1 des Aussendens bestimmt. Der erste Zeitpunkt t1 wird zurück an die High-Level-Schicht 22 zusammen mit dem Message Identifier 26a gegeben. Dies dient einem späteren Bestimmen des zeitlichen Abstandes zu einem zweiten Zeitpunkt t2. Die erste Nachricht 27a wird versandt.
Die erste Nachricht 27a wird von der Low-Level-Schicht 25 des zweiten Fahrzeuges 21 empfangen. Es wird der zweite Zeitpunkt des Empfangs t2 in der Low-Level-Schicht bestimmt, dann wird die erste Nachricht 27a zusammen mit dem Message Identifier 26a und der zweite Zeitpunkt t2 der High-Level-Schicht 22 übergeben, wobei sie in den Schichten dazwischen beispielsweise entschlüsselt werden kann.
Es wird eine zweite Nachricht erzeugt. Es werden in der High-Level-Schicht 22 des zweiten Fahrzeuges 21 sicherheitsrelevante Inhalte der neuen Nachricht 27, und zwar der zweiten Nachricht 27b, hinzugefügt. Die zweite Nachricht 27b wird mittels der Low-Level-Schicht 25 ausgesandt. Zuvor wird der dritte Zeitpunkt des Aussendens t3 bestimmt. Mittels der zweiten Nachricht 27b wird t2 übertragen. Auch die zweite Nachricht 27b kann einen Message Identifier 26b enthalten. In der Low-Level-Schicht 25 des ersten Fahrzeuges 20 wird der Zeitpunkt des Empfangs t4 bestimmt. Der zweite Zeitpunkt t2 wird der High-Level-Schicht übergeben, sodass ein zeitlicher Abstand zwischen dem zweiten Zeitpunkt t2 und dem ersten Zeitpunkt t1 bestimmt werden kann 111.
Es kann eine dritte Nachricht erzeugt werden. Es können in der High-Level-Schicht 22 des ersten Fahrzeuges sicherheitsrelevante Inhalte der dritten Nachricht 27c hinzugefügt werden, vor deren Absenden t5 als Aussendezeitpunkt in der Low-Level-Schicht 25 festgestellt wird. Die dritte Nachricht 27c umfasst den Message Identifier 26c und der erste Zeitpunkt t1. Beim Empfang auf der Seite des zweiten Fahrzeuges 21 wird der sechste Zeitpunkt t6 des Empfangs bestimmt. Der erste Zeitpunkt t1 wird der High-Level-Schicht 22 zugeführt, wobei wieder der zeitliche Abstand zwischen dem ersten Zeitpunkt t1 und dem zweiten Zeitpunkt t2 bestimmt wird 113.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

US 2020064859 A1 [0003]
US 2019271989 A1 [0003]

Claims

Verfahren (100) zur Zeitsynchronisation eines ersten Fahrzeuges (20) und mindestens eines zweiten Fahrzeuges (21), dadurch gekennzeichnet, dass das Verfahren (100) die folgenden Schritte umfasst: a) Aussenden (105) einer ersten Nachricht (27a) mittels des ersten Fahrzeuges (20) b) Bestimmen (103) eines ersten Zeitpunktes t1 des Aussendens in einer Low-Level-Schicht (25) des ersten Fahrzeuges (20), wobei sich der erste Zeitpunkt t1 auf ein Ende des Aussendens bezieht, c) Abspeichern (104) des ersten Zeitpunktes t1 zusammen mit einem Message Identifier der ersten Nachricht in einer High-Level-Schicht (22) des ersten Fahrzeuges (20), d) Empfangen (106) der ersten Nachricht (27a) mittels des zweiten Fahrzeuges (21), e) Bestimmen (107) eines zweiten Zeitpunktes t2 des Empfangs der ersten Nachricht (27a) in einer Low-Level-Schicht (25) des zweiten Fahrzeuges (21), wobei sich der zweite Zeitpunkt t2 auf ein Ende des Empfangens bezieht, f) Abspeichern (108) des zweiten Zeitpunktes t2 in einer High-Level-Schicht (22) des zweiten Fahrzeuges (21), wobei das Verfahren g) eine Übermittlung (110) des zweiten Zeitpunktes t2 zusammen mit dem Message Identifier der ersten Nachricht mittels einer zweiten Nachricht (27b) vom zweiten Fahrzeug (21) zum ersten Fahrzeug (20), und h) ein Bestimmen (111) eines zeitlichen Abstandes zwischen dem abgespeicherten ersten Zeitpunkt t1 und dem übermittelten zweiten Zeitpunkt t2 in der High-Level-Schicht (22) des ersten Fahrzeuges (20), und/oder i) eine Übermittlung des ersten Zeitpunktes t1 zusammen mit dem Message Identifier der ersten Nachricht mittels einer dritten Nachricht (27c) vom ersten Fahrzeug (20) zum zweiten Fahrzeug (21), und j) ein Bestimmen (113) eines zeitlichen Abstandes zwischen dem abgespeicherten zweiten Zeitpunkt t2 und dem übermittelten ersten Zeitpunkt t1 in der High-Level-Schicht (22) des zweiten Fahrzeuges (21) umfasst, wobei das Verfahren (100) einen Vergleich (114) des zeitlichen Abstandes mit einem ersten Toleranzwert umfasst, wobei der erste Toleranzwert festgelegt wird, wobei bei einem Unterschreiten des ersten Toleranzwertes eine Zeitsynchronisation festgestellt wird, und wobei bei einem Überschreiten des ersten Toleranzwertes eine Anpassung (115) einer internen Uhr des ersten Fahrzeuges (20) und/oder einer internen Uhr des zweiten Fahrzeuges (21) erfolgt und die Zeitsynchronisation hergestellt wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der erste Toleranzwert in Abhängigkeit von einer Genauigkeit einer gewünschten automatisierten Fahrfunktion und/oder Anforderungen an die Verfügbarkeit der gewünschten Fahrfunktion und/oder einer aktuellen Verkehrssituation und/oder einer Qualität der Nachrichtenübertragung und/oder einer vorzugsweise durch Test oder Berechnung bestimmten Latenz des Bestimmens des ersten Zeitpunktes t1 und des zweiten Zeitpunktes t2 festgelegt wird.
Verfahren (100) nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, dass das Verfahren (100) ein Empfangen der zweiten Nachricht (27b) mittels des ersten Fahrzeuges (20) und ein Bestimmen eines vierten Zeitpunktes t4 des Empfangs der zweiten Nachricht (27b) in der Low-Level-Schicht (25) des ersten Fahrzeuges (20) umfasst, wobei sich der vierte Zeitpunkt t4 auf ein Ende des Empfangens bezieht, wobei mittels der dritten Nachricht auch der vierte Zeitpunkt t4 übermittelt wird.
Verfahren (100) nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das Verfahren (100) ein Verschlüsseln (102) der ersten Nachricht (27a) vor dem Aussenden (105) und vor dem Bestimmen (103) des ersten Zeitpunktes t1 umfasst.
Verfahren (100) nach Anspruch 4, dadurch gekennzeichnet, dass das Verfahren (100) nach dem Empfangen (106) ein Entschlüsseln (109) der ersten Nachricht (27a) umfasst, wobei das Entschlüsseln (109) nach dem Bestimmen (107) des zweiten Zeitpunktes t2 erfolgt.
Verfahren (100) nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das Verfahren (100) einen Vergleich (116) des zeitlichen Abstandes zwischen dem zweiten Zeitpunkt t2 und dem ersten Zeitpunkt t1 mit einem zweiten Toleranzwert umfasst.
Verfahren (100) nach Anspruch 6, dadurch gekennzeichnet, dass das Verfahren (100) ein Einleiten (117) von mindestens einer Sicherheitsmaßnahme bei einem Überschreiten des zweiten Toleranzwertes umfasst.
Verfahren (100) nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das Verfahren (100) einen Austausch von Nachrichten zwischen dem ersten Fahrzeug (20) und einer Vielzahl anderer Fahrzeuge umfasst, wobei der internen Uhr des ersten Fahrzeuges (20) ein Konfidenzwert zugeordnet ist, wobei den jeweiligen internen Uhren der Vielzahl der Fahrzeuge jeweils ein Konfidenzwert zugeordnet ist, wobei das erste Fahrzeug (20) jeweils einen zweiten Zeitpunkt t2 von jedem Fahrzeug der Vielzahl der Fahrzeuge empfängt, wobei das Verfahren ein Bestimmen eines zeitlichen Abstandes zwischen dem abgespeicherten ersten Zeitpunkt t1 und einem Mittelwert der übermittelten zweiten Zeitpunkte t2 in der High-Level-Schicht (22) des ersten Fahrzeuges (20) umfasst, wobei das Verfahren (100) einen Vergleich des zeitlichen Abstandes mit dem ersten Toleranzwert und eine Anpassung der internen Uhr des ersten Fahrzeuges (20) umfasst, wenn der zeitliche Abstand den ersten Toleranzwert überschreitet und die Konfidenzwerte der internen Uhren der anderen Fahrzeuge jeweils größer sind als der Konfidenzwert des ersten Fahrzeuges.
Verfahren (100) nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass das Verfahren (100) einen Austausch von Nachrichten zwischen dem ersten Fahrzeug (20) und einer Vielzahl anderer Fahrzeuge umfasst, wobei der internen Uhr des ersten Fahrzeuges (20) ein Konfidenzwert zugeordnet ist, wobei den jeweiligen internen Uhren der Vielzahl der Fahrzeuge jeweils ein Konfidenzwert zugeordnet ist, wobei das erste Fahrzeug (20) jeweils einen zweiten Zeitpunkt t2 von jedem Fahrzeug der Vielzahl der Fahrzeuge empfängt, wobei das Verfahren ein Bestimmen eines zeitlichen Abstandes zwischen dem abgespeicherten ersten Zeitpunkt t1 und einem Mittelwert aus dem ersten Zeitpunkt t1 und den übermittelten zweiten Zeitpunkten t2 in der High-Level-Schicht (22) des ersten Fahrzeuges (20) umfasst, wobei das Verfahren (100) einen Vergleich des zeitlichen Abstandes mit dem ersten Toleranzwert und eine Anpassung der internen Uhr des ersten Fahrzeuges (20) umfasst, wenn der zeitliche Abstand den ersten Toleranzwert überschreitet.
Vorrichtung (19) zur Zeitsynchronisation eines ersten Fahrzeuges (20) und eines zweiten Fahrzeuges (21), dadurch gekennzeichnet, dass die Vorrichtung (10) zur Durchführung eines Verfahrens (100) nach einem der Ansprüche 1 bis 9 ausgebildet ist.