CN112106314A - 用于确定同步精度的方法、计算机程序、通信单元和机动车 - Google Patents

Abstract

本发明涉及一种用于确定第一通信单元（200）的时间同步的同步精度的方法（100）。经由通信信道（210）在对应的发送时间点将时间请求（320）从第一通信单元发送（110）给第二通信单元（220）。该方法包括：在第一通信单元处接收（120）时间应答（330），其中该时间应答提供第二通信单元的同步时间读数。基于发送时间点和接收时间点来确定（130）该同步精度。

Description

用于确定同步精度的方法、计算机程序、通信单元和机动车

技术领域

本发明涉及一种用于确定通信单元的同步精度的方法和计算机程序、一种通信单元和一种机动车。本发明还涉及一种通信单元，该通信单元被设计用于与通信信道连接。

背景技术

在通信或信息系统中可能需要：实现在相应的系统的分布式组件或者通信单元之间的值得信赖的时间同步，以便确保系统功能性。可能需要值得信赖地实现关于功能安全性或操纵安全性方面的时间同步。例如可能的是：利用通信信道实现可靠的或值得信赖的时间同步，该通信信道所具有的汽车安全完整性等级（英文：Automotive SafetyIntegrity Level，ASIL）至少为ASIL B（或者更高等级）。然而，通信系统的所使用的经由其来实现通信单元之间的时间同步的通信信道有可能不值得信赖地被实现，例如该通信信道不满足ASIL B要求。

通信系统比如可以被用在车辆中，例如被用于自动驾驶领域，该自动驾驶领域具有像传感器数据融合那样的相对应的子功能。进行时间同步的通信单元例如可以是车辆的控制设备或者传感器。

实现值得信赖的时间同步的可能性在于：一贯值得信赖地（比如按照ASIL B）实现通信单元之间的每个所使用的通信信道。然而，该可能性成本高昂并且可能不经济。对于一些应用领域来说，可能不存在适合于实现关于功能安全性方面值得信赖的通信信道的硬件组件。可信度低的通信信道例如可能在随机的时间点具有过高的时间延迟或等待时间，其中不可能进行值得信赖的时间同步。

在DE 10 2014 214 823 A1中提出了一种用于确定时间延迟的方法。第一组件向第二组件提供第一消息而第二组件向第一组件提供第二消息。第二组件还向第一组件提供第三消息，该第三消息包括第一时间信息，该第一时间信息基于第一消息的接收时间和第二消息的发送时间。第一组件基于第一消息的发送时间、第二消息的接收时间和第一时间信息来确定延迟。为了确定延迟，在这些组件之间发送三个消息。

从DE 10 2014 217 993 A1公知一种用于使接收方的时钟与发送方的时钟同步的方法，其中接收方和发送方经由通信网络来彼此连接。由发送方来产生和发送同步消息，并且借助于发送方的时钟来检测该同步消息在实际离开发送方时的准确的发送时间点。在发送方的后续消息中，将所检测到的同步消息的准确的发送时间点发送给接收方。为了进行同步，发送方将两个消息发送给接收方。

发明内容

本发明的任务是：提供用于经由通信信道来连接的通信单元之间的时间同步的经改善的设计。

该任务按照专利独立权利要求来被解决。本发明的有利的扩展方案在专利从属权利要求、如下描述以及附图中予以描述。

本发明的实施例涉及一种用于确定第一通信单元的时间同步的同步精度的方法。按照该方法，第一通信单元将时间请求发送给第二通信单元。该时间请求经由通信信道在对应的发送时间点被发送。在发送该时间请求之后，在第一通信单元处接收时间应答。该时间应答可以在第二通信单元获得了该时间请求之后由该第二通信单元来发送。该时间应答包括第二通信单元的同步时间读数。该时间应答在第一通信单元处在对应的接收时间点被接收。基于发送时间点和接收时间点来确定同步精度。

通信信道可以属于系统、比如通信系统，该通信系统具有多个通信单元。第一和第二通信单元（以及其它通信单元）可以与通信信道连接。例如，第一和第二通信单元被构造为共同实现系统功能，其中第一和第二通信单元必须时间同步。第一和第二通信单元分别具有本地计时器、例如本地时钟。计时器可以说明时间或者通过计数器来构造，该计数器以预先确定的频率输出单调升高的值。通过时间同步，可以使第一通信单元的计时器与第二通信单元的计时器适配。为了确保系统的功能性，可能需要具有预先确定的精度的时间同步。在一些情况下，预先确定的精度比如可能由于在通信信道上传输消息时的时间延迟而未被达到。

所使用的通信信道可以被构造为使得相继进行的第一通信单元与第二通信单元的时间同步各具有不同的精度。换言之，通信信道可能造成同步精度的随机波动，比如因为该通信信道不值得信赖地被构造而造成同步精度的随机波动。例如，通信信道没有提供关于该通信信道是否值得信赖以及该通信信道是否可能会由于时间延迟而限制同步精度的信息。例如，在不值得信赖的通信信道上，延迟时间以及因此同步精度可能根据第一通信单元不知道的该通信信道的负载或者当前使用而发生变化。

借助于所提出的方法，能够确定以怎样的精度来实现同步。因此，可得到如下优点：即使在不值得信赖的通信信道上也可识别出在同步时达到了怎样的同步精度。该方法比如可以被用于确定是否达到了预先确定的同步精度。在此，所介绍的方法的优点可能是效率高，因为仅须发送两个消息来确定同步精度。另一优点可能是操纵安全性提高，因为所发送的消息比如可以安全地被加密和/或被配备数字签名和/或安全的识别特征，使得仅仅使用为此所规定的消息来进行时间同步。

在发送时间请求之后，第一通信单元可以接收第二通信单元的时间应答，该时间应答具有第二通信单元关于该时间应答的发送时间点的时间读数。时间请求的发送时间点和对应的时间应答的接收时间点比如可以由第一通信单元来确定或者在第一通信单元处被确定。例如，所有在第一通信单元处接收的消息的接收时间点都可以在接收到时直接被确定，而且与第二通信单元的时间应答对应的那个接收时间点可以在读取时间应答之后被分配给该时间应答。在此，时间应答包含同步时间读数、例如第二通信单元的本地时钟时间。第一通信单元可以根据时间应答来确定该同步时间读数，并且使第一通信单元的本地时钟时间与该同步时间读数适配。

在此，根据发送时间点和接收时间点，第一通信单元例如可以确定同步精度、例如第一通信单元的本地时钟时间在同步之后可能与第二通信单元的本地时钟时间偏差的最大误差。

按照实施例，为了确定同步精度，根据发送时间点和接收时间点来确定往返时间（英文：round trip time）。往返时间总共根据经由通信信道来传送时间请求的时长、在第二通信单元处接收到时间请求与发送时间应答之间的时长以及经由通信信道来传送时间应答的时长而得到。在此，往返时间表明了可能的最大同步误差，并且同步精度可以基于该最大同步误差来被确定，例如通过该最大同步误差与第一通信单元的计时器的时间分辨率之比来被确定。通过确定同步误差，可能的是：比如通过针对在第一通信单元处基于同步时间读数的时间确定或时间计算而减去该同步误差，将该同步误差用于时间同步。如果将同步误差用于时间确定，则第一通信单元的计时器相对于第二通信单元的计时器落后零至最多该同步误差的范围。相反，在不使用同步误差的情况下，公知的是：第一通信单元的计时器相对于第二通信单元的计时器领先零至最多该同步误差的范围。优点可在于：同步误差可以被用于时间确定，并且因此公知最大偏差的范围（时间领先或时间落后）。

该方法的优点可在于：在使用为了进行同步而已经被提供的消息的情况下，可以确定在第一通信单元处的时间读数在同步之后可能与第二通信单元的时间读数最大偏差了怎样的数值。因此，通信信道的对于同步来说重要的特性、比如当前的时间延迟可以被监控，而且通信信道的故障或当前的不可靠性可以被识别。同时，可以是可能的是：通过将密码签名嵌入到时间请求和时间应答中来防止对时间同步的可能的操纵。

例如，可以在车辆中提供具有至少一个第一通信单元和至少一个第二通信单元的通信系统。这些通信单元可以经由车辆的通信信道、CAN（Controller Area Network（控制器局域网络），德文：Steuergerätenetz）总线或者以太网网络来连接。这些通信单元可以是车辆的控制设备、车辆的传感器或者车辆的执行器。例如，车辆的传感器可以与车辆的控制设备进行时间同步，以便控制设备可以使用传感器的传感器数据来实施功能。

按照该方法的一个扩展方案，使用第二通信单元的同步时间读数，用于根据所确定的同步精度来实施第一通信单元的功能。为了可靠地实施功能，可能需要达到预先确定的同步精度。如果往返时间小于预先确定的最大时长（例如小于5ms、小于1ms、小于0.5ms或小于0.1ms），则可以达到预先确定的同步精度。这些通信单元的计时器具有有限的时间分辨率。可能的是：如果往返时间小于第一通信单元的计时器的时间分辨率或者最大对应于该时间分辨率的2倍、5倍或10倍，则达到预先确定的同步精度。

按照该扩展方案，例如可能的是：只有在已经以预先确定的同步精度进行了同步之后，才实施功能。例如，如果未达到预先确定的同步精度，则阻止对功能的实施。在此可得到的优点是：例如，如果不确保可靠的时间同步，则可以阻止对功能的实施。可能的是：在第一次充分利用通信信道时未达到预先确定的同步精度，而在第二次充分利用通信信道时可以达到预先确定的同步精度。

按照该方法的一个扩展方案，比如如果同步精度小于对于所要实施的功能来说所需的同步精度，则由于未达到预先确定的同步精度而可以发送新的时间请求。第一通信单元可以经由通信信道例如一直发送至少一个第二时间请求或者其它时间请求，直至达到预先确定的同步精度。例如，在接下来的同步过程中可能在通信信道上存在第二次充分利用，使得可以达到预先确定的同步精度。根据该接下来的同步过程所确定的同步时间读数可以被第一通信单元用于使计时器同步，并且功能可以在该接下来的同步过程之后被实施。

因此，可得到如下优点：需要预先确定的同步精度用于对功能的可靠实施的功能即使在经由例如关于传输时间延迟方面有波动的通信信道或不可靠的通信信道来进行的同步之后也可以可靠地被实施。例如在多次执行同步之后，一旦达到预先确定的同步精度（这按照实施方式来被检查），就能够实现这一点。因此，所提出的方法的优点可在于：关于可靠的功能性方面的可靠性要求或品质要求未被转移到通信信道。优点可在于：在使用不值得信赖的通信信道时能够实现值得信赖的时间同步，比如在使用该方法查明了足够高的同步精度的情况下能够实现值得信赖的时间同步。由此可以节省成本，因为可以省去对值得信赖的通信信道的成本高的实现。

在该方法的一个扩展方案中规定：对于时间同步来说，根据所要实施的功能来考虑根据同步精度所确定的同步误差。例如，第一通信单元的计时器可以按照同步时间读数来被调整，使得该计时器相对于第二通信单元的计数器最多落后该同步误差（例如所确定的往返时间）。替选地，第一通信单元的计时器可以按照同步时间读数加上所确定的同步误差（例如往返时间）来被调整，使得该计时器相对于第二通信单元的计数器最多领先该同步误差。替选地，例如可以将所确定的同步误差的一半加到同步时间读数，以便例如提高第一通信单元的时间读数与第二通信单元的时间读数偏差尽可能小的数值的概率。

在一些功能的情况下，可以是有利的是：第一通信单元的计时器相对于第二通信单元的计时器领先，而在其它功能的情况下要优选相对于第二通信单元的时间落后。例如，第一通信单元可以是车辆的传感器，该传感器确定车辆向其移动的对象的距离。功能可以是在车辆与该对象相撞之前使该车辆制动。例如，如果第一通信单元的时间读数领先，则车辆不与该对象相撞，因为有可能确定比距对象的实际距离更大的距离并且可以使车辆在更大的距离内停下。该扩展方案的优点可在于：根据所要实施的功能来使用所确定的同步误差。

按照所提出的方法的一个扩展方案，为了确定同步精度，考虑在第二通信单元处接收到时间请求与发送时间应答之间的时长，该时长可以被称作停留时长。例如，第二通信单元确定时间请求的接收时间点。第二通信单元可以根据时间应答的所预期的或所计划的发送时间点来确定时长并且在时间应答中将该时长与同步时间读数共同发送到第一通信单元。例如，第二通信单元的功能安全性高，使得确保了时间应答（在计时器的时间分辨率之内）精确地在所计划的发送时间点被发送。可以将停留时长嵌入到时间应答中，以便比如有利地以简单的方式将该停留时长提供给第一通信单元。例如，替选地或附加地，可以将时间请求的接收时间点和时间应答的发送时间点嵌入到时间应答中，使得在第一通信单元处可以确定该停留时长。以这种方式，可以得到更快发送时间应答的优点。为了确定同步精度，第一通信单元可以确定并且使用该停留时长。同步误差最大对应于往返时间减去该停留时长。因此，有利地可以更精确地确定最大同步误差并且借此更精确地确定同步精度。

按照该方法的一个扩展方案，通过使用偏差率来补偿第一通信单元的计时器相对于第二通信单元的计时器而言的运转不精确（Gangungenauigkeit）。基于对时间请求的至少一次接下来的发送和对时间应答的至少一次对应的接下来的接收，确定偏差率。偏差率可以根据相应的时间应答的发送时间点与相应的时间应答的接收时间点之比来被确定。通过使用偏差率，可以使在第一通信单元处的时间确定的运转精度与第二通信单元适配。为了确定偏差率，可能的是：使用往返时间相同且停留时长相同的同步过程，例如往返时间和/或停留时长可彼此偏差得小于10%或者小于5%。其优点可在于：在通信单元之间以所确定的精度的同步可以维持更长时间，因为两个通信单元的时间读数没有由于不同的运转不精确而漂移或者至少减少了随时间的漂移。优点可在于：由此须频率降低地实施时间同步。

在该方法的一个扩展方案中，将多个时间请求从第一通信单元经由通信信道发送到相对应的多个通信单元，这些通信单元至少关于对时间应答的发送方面与第二通信单元相对应地被构造。换言之，第一通信单元可以确定不同通信单元的同步时间读数。例如，第一通信单元首先与第二通信单元一起来实施功能。例如，第二通信单元可能在某个时间点失灵。同样与通信信道连接的第三和第四通信单元可以冗余地被设计用于实施同一功能。例如，与第三通信单元的同步的同步精度小于用于实施功能的预先确定的同步精度，而在与第四通信单元进行同步时达到该同步精度。由于第一通信单元已经确定了第四通信单元的同步时间读数，在第二通信单元失灵之后可以由第一通信单元和第四通信单元立即实施该功能。优点可在于：通过在发生通信单元失灵时提供冗余的时间同步，能够立即切换到其它通信单元或者使用其它通信单元。

按照该方法的一个扩展方案，在第二通信单元的同步时间读数与第一通信单元的时间读数有偏差时，使第一通信单元的时间读数与同步时间读数逐渐适配。例如，第一通信单元的时间读数可能与同步时间读数偏差了第一通信单元的时间分辨率的数倍。通过与同步时间读数逐渐适配，可以防止第一通信单元的时间读数的不连续或突变。例如，该逐渐适配可以在预先确定的时长之内、比如在1ms之内、在5ms之内或者在1秒钟之内进行。例如，该逐渐适配的时长可以根据所确定的偏差来被选择。例如，该时长可以被选择为使得该逐渐适配直至下一个同步过程结束。时间读数的突变可能对一些功能有负面影响。在音频功能的情况下，时间读数中的突变比如可能使失真系数提高。通过该扩展方案，可得到如下优点：在同步时防止了时间读数的突变并且因此通过这种方式没有妨碍到对功能的实施。

在一个实施例中，给时间请求和时间应答添加相应的识别特征，通过该识别特征来将时间应答明确地分配给对应的时间请求。通过该识别特征，也可以提高该方法的操纵安全性。例如，识别特征可以有利地被密码加密，使得可以可靠地证实相应的消息的来源。例如，经由共享的通信信道，可以由多个通信单元发送多个时间请求和对应的时间应答。这些时间请求例如可以被所有连接到通信信道上的通信单元接收。通过识别特征，可能的是：只有应与其进行时间同步的那个通信单元发送时间应答。例如，所有通信单元都接收所发送的时间应答。通过识别特征，能够使发送了对应的时间请求的相应的通信单元确定所接收到的时间应答对应于之前所发送的时间请求。优点可在于：可以经由共享的通信信道使多个通信单元同步，其中能够实现对相应的同步消息的明确分配。

按照该方法的一个扩展方案，使用有线网络作为通信信道。有线网络包括至少一个组件，该组件具有如下功能安全性等级，该功能安全性等级低于第一通信单元的功能所要求的功能安全性等级。有线网络例如是车辆或机动车的CAN总线或以太网网络。可能的是：车辆的在两个通信单元之间的通信信道并不是一贯具有其中始终会确保以预先确定的同步精度的时间同步的功能安全性等级，即换言之该通信信道不值得信赖。优点可在于：按照该方法，可以确定在经由有线网络进行时间同步时例如是否存在所需的预先确定的同步精度。

本发明的一个方面涉及一种用于确定第一通信单元的时间同步的同步精度的方法，其中第一通信单元的时间请求在第二通信单元处在对应的接收时间点被接收。在接收到时间请求之后，第二通信单元可以在对应的发送时间点发送相对应的时间应答，其中时间应答包括关于接收时间点和发送时间点方面的信息。例如，关于接收时间点和发送时间点方面的信息是之前所描述的停留时长。因此可能的是：将时间应答例如与针对第一通信单元的同步时间读数和停留时长一起发送，使得第一通信单元可以在使用停留时长的情况下更精确地确定同步精度。发送时间应答的通信单元可以被设计为：在发送时间应答之前规定时间应答的发送时间点，并且准确地（例如关于通信单元的时间读数的时间分辨率方面准确地）在所规定的发送时间点将时间应答发送给第一通信单元。其优点可在于：通过提供停留时长的信息，可以更准确地确定同步精度。

在一个实施例中，给时间应答配备如下识别特征，该识别特征对应于时间请求的识别特征。换言之，所接收到的时间请求可包含识别特征，并且通信单元可以给时间应答配备对应的识别特征。通过对应的识别特征，可以是有利地可能的是：将该时间应答分配给该时间请求。

可选地，按照所提出的方法之一，通过使用至少一种密码方法来提高时间应答和/或时间请求的操纵安全性。相应的消息可以被加密，使得只有相应参与的通信单元可以读取这些消息的内容。这些消息比如可具有数字签名，这些数字签名能够仅仅使用被认证的通信单元的消息。例如，可以将时间请求发送给第二通信单元，其中时间请求也可能被其它单元接收。密码方法可以保证：只有第二通信单元的时间应答被用于同步，而比如其它单元的被操纵的时间应答可以被忽略。为此，可能的是：借助于对称或非对称加密方法来对时间应答进行加密。例如，为此第一通信单元和第二通信单元知道相应另一通信单元的相应的密码密钥，和/或在这些通信单元的相应的存储器上存储相应另一通信单元的相应的密码密钥。为了提高安全性，每个同步对都可以有利地使用专门被分派的密码密钥。可以给时间应答和/或时间请求添加数字签名，该数字签名比如是按照密码方法来被计算的。数字签名比如是消息验证码（Message Authentication Code）（德文：Nachrichtauthentifizierungscode）。例如，替选地或附加地，通过密码方法可以以相同的方式来提高时间请求的操纵安全性。

替选地或附加地，可以给时间请求和/或给时间应答添加校验和，例如使该校验和与相应的消息适配地来添加该校验和，借助于该校验和可以确定相应的时间请求或时间应答是否确实是由相应的通信单元发送的。在此的优点可在于：通过使用密码学，可以提高该方法的操纵安全性。

本发明的另一方面涉及一种用于执行上文或者下文所描述的方法之一的计算机程序。当该计算机程序例如在计算机、处理器或可编程硬件组件上运行时，可以通过该计算机程序来实施这种方法。

本发明同样包括按照上文或下文所描述的通信单元所述的通信单元。通信单元例如可以发送和/或接收时间请求，和/或可以发送和/或接收时间应答。通信单元被设计为与通信信道连接。通信单元具有至少一个计时器，并且还被设立为实施按照本发明的方法。通信单元例如可以是电子设备、移动设备、计算机或手机。通信单元也可以是车辆的传感器模块、控制设备、计算单元或车载计算机。例如，通信单元是车载电网的电子车辆模块。

本发明的一个方面包括具有至少一个通信信道的机动车，其中该机动车包括至少一个所提出的通信单元。机动车可以是就上文的描述而言的车辆。机动车可以是用于运输人员和/或货物的摩托化的移动交通装置，例如陆上交通工具。机动车例如是载客车、载货车或者摩托化两轮车。机动车尤其可以被构造为：比如在使用通过传感器和/或控制设备所构造的通信单元的情况下，能够实现自主和/或部分自主或者部分自动化驾驶。

按照本发明的通信单元和按照本发明的机动车的扩展方案也属于本发明，这些扩展方案具有如已经结合按照本发明的方法的扩展方案所描述的那样的一个或多个特征。出于该原因，按照本发明的通信单元和按照本发明的机动车的相对应的扩展方案这里并未再一次被描述，而是如所公开的那样适用于这些扩展方案。

附图说明

现在，在下文参考随附的附图进一步描述本发明的实施例。为此：

图1示出了方法的示意图；

图2示出了与通信信道连接的通信单元的示意图；

图3示出了从机与主机之间的同步的示例；

图4a、4b示出了在时间同步时的同步误差的示例；

图5a、5b示出了用于在使用停留时长的情况下确定同步精度的示例；以及

图6示出了在确定偏差率的情况下的方法的示例。

具体实施方式

在图1中，示出了用于确定第一通信单元的时间同步的同步精度的方法100的示例性流程图。方法100包括：经由通信信道在对应的发送时间点将时间请求从第一通信单元发送110给第二通信单元，并且在第一通信单元处在对应的接收时间点对应地接收120时间应答，其中时间应答包括第二通信单元的同步时间读数。方法100还包括：基于发送时间点和接收时间点来确定130同步精度。

方法100例如可以被用在车辆中。对于像自动化驾驶及其子功能（例如传感器数据融合）那样的车辆功能来说，可能需要将多个控制设备同步到相同的时基上。根据功能安全性和安全（Security）（德文：Sicherheit、例如Manipulationssicherheit（操纵安全性））的要求而得出：即使在所涉及到的控制设备之间的通信信道例如不能被视为值得信赖，该时间同步也必须值得信赖地被实现。这意味着：可能出现不可预测的变化或延迟。这要么可能由于在实现方案中的缺陷（例如没有按照ISO26262的支持ASIL的实现方案，ISO：国际标准化组织）而发生要么可能例如由于对车辆网络的攻击而故意地发生。

因此，就功能安全性而言可能存在如下要求：在预先给定的时间之内必须支持ASIL地识别值得信赖的同步的不可用；同步精度必须在预先给定的范围之内；并且只要情况不是如此，就必须例如能够以支持ASIL的品质识别出这一点。然而，这并不一定必须意味着可以或必须始终确保时间同步的可用性。

就安全（Security）而言可要求：时间同步为可信性和完整性的保护目标所决定。这例如意味着：可以识别在通信信道上由于有针对性的操纵而造成的故障。

方法100的优点可在于：安全性要求未被转移到通信信道。因此，通信信道可以不那么复杂和/或成本更低廉地被实现。作为替代，通信信道的关于传输时间和所传输的内容的造假方面的特性被监控，并且出现的故障可以被识别。还存在将这些被监控的特性转交给使用中的功能的可能性。

按照本发明的方法100例如基于主机（Master）-从机（Slave）原则。这可能意味着：存在角色分配，根据此，主机（例如第二通信单元）是时基的所有者，一个或多个从机（例如第一通信单元）被同步到该时基上。

图2示出了通信单元200的示意图，该通信单元与通信信道210连接，该通信信道在图2中局部地被示出。通信单元200例如是第一通信单元。可选地，第二通信单元220可以连接到通信信道210上。例如，可以使第一通信单元200与第二通信单元220进行时间同步。第一通信单元200例如可以作为从机来将其时间读数与主机的时间读数适配。

为此，图3示出了从机300与主机310之间的同步的示例。主机（比如车辆的控制设备）和从机（比如车辆的传感器）经由通信信道（未示出）来彼此连接。在此，通信信道可以由例如被切换的（德文：geschalteten）以太网网络、具有总线拓扑的CAN或以太网网络、开关（德文：Schaltern）、路由器（Router）、网关（Gateways）等等的任意组合所组成，其中链路中的一个或多个元件可能被归为不值得信赖。通信控制器（例如以太网MAC（Media AccessControl（媒体访问控制），德文Medienzugangskontrolle））例如被视为通信信道的部分，并且首先例如被归为不值得信赖。例如适用如下假定：每个主机和每个从机都拥有值得信赖（例如支持ASIL且防操纵）的本地时钟，该本地时钟例如严格单调升高，可具有在预先给定的范围内的时钟精度（例如+-100ppm），可具有比预先给定的值更精细的分辨率或者与预先给定的值相同的分辨率（例如1ns）和/或可具有比预先给定的值更大的读取精度或者与预先给定的值相同的读取精度（例如1ns）。例如还适用如下假定：在主机和从机中所需的软件值得信赖（支持ASIL且防操纵）地被实现。

方法100基于质询-应答（Challenge-Response）原则，根据该质询-响应原则，每个从机（例如从机300）都在预先给定的间隔内将时间请求320（或Request 320、德文：Anfrage）寄送给主机310，其中主机310利用时间应答330（或者Response 330，德文：Antwort）来对请求320进行应答。请求320可以在发送时间点TS1由从机300来发送，而应答330可以在接收时间点TS2在从机300处被接收。

所得到的应答330比如被构建为使得从机300可以（比如借助于识别特征）将该应答明确地分配给引起该应答的请求320。其原因在于：不能排除请求或应答在通信信道不值得信赖的情况下任意长时间地被延迟。这例如可通过如下方式来被实现：每个请求都包含标识符（识别特征），其中保证了该标识符对于每个从机来说在一个行驶周期之内（当方法100例如在车辆中应用时）只被使用一次，或者该标识符完全不可能被使用超过一次。主机可以将该标识符从请求转用到应答中并且附加地将与明确的单独值的“XOR”（异或（exklusives oder））运算应用于该应答，其中可以保证（必要时只有）这两个参与的成员知道该值。这例如预防了如下情况：由于通信信道的故障而意外地产生对请求的看似有效的应答。

此外，比如通过之前所描述的方法的扩展，可以确保主机310的可信性和/或消息、比如应答330的完整性。这通过如下方式来被实现：主机310借助于适当的密码方法通过应答330的完整内容来计算被添加给应答330的数字签名（例如消息验证码，德文：Nachrichtenauthentifizierungscode）。因为例如只有主机310知道底层机密并且视方法而定从机300也知道底层机密，所以从机300可以例如明确地将主机标识为应答的发送方，或可以识别出应答330在经由值得信赖的通信信道传输时是否故意被改变了。除了其它AES（Advanced Encryption Standard（先进加密标准），德文：erweiterter Verschlüsselungsstandard）-256之外，该方法的有利的实现方案可能会用作用于计算数字签名的密码方法。在使用对称密码方法时，可值得推荐的是：对于每个主机-从机对来说都使用单独的机密（密钥）。可选地，请求320的可信性和完整性可以根据同一方法来被保证。

有时，所使用的密码方法可能不适合于就功能安全性而言保证消息（例如时间应答和时间请求）的内容的真实性。接着，例如可以附加地计算关于这些消息的内容的CRC（cyclic redundancy check（循环冗余校验），德文：zyklische Redundanzprüfung）校验和并且将其添加给消息。只要完全没有使用数字签名，校验和的使用对于达到功能安全性的目标来说就可能不可靠。只要没有使用校验和，在请求中以及在应答中的字段“校验和”就可用信息“0x00”来被填充。只要没有使用数字签名，在请求中以及在应答中的字段“签名”就可用“0x00”来被填充。

主机310可以在它寄送应答330之前在最晚可能的时间点检测在它的计时器、比如本地值得信赖的时钟上的时间戳TM（比如作为同步时间读数），并且例如将该时间戳以适当的表示嵌入到应答330中（例如自启动以来的64位纳秒计数器）。可以保证：在考虑主机的本地时钟的分辨率和读取精度的情况下，时间戳TM的值例如处在发送应答的时间点之前。

对于时间同步来说可能需要：产生可被所有同步伙伴观测到的事件，其中主机310向从机300通知根据该主机的本地时钟该事件是在哪个时间发生的，并且从机300同样记录根据该从机的本地时钟该事件是在哪个时间点被观测到的。在经由通信信道来进行时间同步的情况下，该事件通常是对消息的传输，该消息在这种情况下是主机310的应答330。在此可能的是：从机300经由不值得信赖的通信信道延迟了未知的渡越时间340（ResponseNetwork Delay（响应网络延迟），德文Netzwerkverzögerung der Antwort）地觉察到事件（接收到应答）。响应网络延迟340是在发送应答与接收到应答之间的实际时长。

在通信信道不值得信赖的情况下的响应网络延迟理论上有可能变得任意大。响应网络延迟可能是同步误差的原因。响应网络延迟本身例如难以被从机300所确定。作为替代，从机在发送请求之前的最晚可能的时间点检测根据该从机的本地时钟的时间戳TS1，以及在接收到应答之后的最早可能的时间点检测时间戳TS2。从机根据时间戳TS2和TS1来计算往返时间（Round Trip Time）350（德文Rundlaufzeit）并且做出如下假定：响应网络延迟340始终小于或最多等于往返时间350。

图4a和4b示出了在时间同步时的同步误差的示例400、450，这些同步误差比如可能由于响应网络延迟340而出现。

借助于三个时间信息TS1、TS2和TM，从机300可以形成如下线性插值函数，该线性插值函数允许该从机在任意的时间点（ts、time Slave，德文Slave-Zeit（从机时间））按照它的本地时钟来计算根据主机的时钟的时间（tm，time Master，德文Master-Zeit（主机时间））：tm(ts)= (ts – TS2) + TM – RND。然而，从机在此不能做出关于TM在间隔TS1至TS2之内是在哪个时间点被检测到的结论，这在按照示例450的第一极端情况研究中导致如下假定：响应网络延迟340等于往返时间350。这意味着：TM是与TS1同时被检测的。按照示例400，另一可设想的极端情况会是：响应网络延迟（在那里未示出）取值0并且TM是与TS2同时被检测的。由此得到如下两个插值函数，这两个插值函数的结果相差往返时间（TS2-TS1），这同时也是最大偏差或最大同步误差、例如最坏情况误差（Worst Case Error）（德文Fehler im schlechtesten Fall）。按照示例450，可得到最大响应网络延迟（RND_MAX）等于往返时间（RTT）。按照示例400，可以得到最小响应网络延迟（RND_MIN）为0。因此，最坏情况误差对应于往返时间RTT。

理论上，从机300可以针对线性插值函数从间隔0至RTT中选择响应网络延迟（RND）的任何任意的值，并且由此例如可以（根据所要实施的功能）确定故障的位置。如果从机300使用值0，则这造成：该从机的被同步的时钟相对于主机310而言领先0至最多RTT。如果从机300替选地使用值RTT，则这造成：该从机的被同步的时钟相对于主机310而言落后0至最多RTT。根据使用时间同步的功能的要求，可能的是：适当地规定RND的值。为了以值得信赖的方式和方法达到所要求的同步精度，往返时间例如必须小于或等于预先给定的极限值RTT_MAX、例如5ms。只要往返时间超过RTT_MAX的值，就可以用信号通知使用中的功能：在给定的时间点的时间同步不能提供（关于精度方面）所要求的特性。替选地，使用中的功能的时间同步可以附加地提供以往返时间为形式的当前的同步精度（最坏情况误差）。由此，所得到的行为可以一并通过使用中的功能来被确定，其中不同的功能比如可实现不同的行为。在一个示例中，TS1可对应于10ms（从机300的时间读数），TS2可对应于12ms（从机300的时间读数），而TM可对应于16ms（主机310的时间读数）。从机300可以按如下地计算主机时间：tm(13ms) = (13 ms – 12 ms) + 16 ms – RND。在第一极端情况下，可以是tm(13 ms) = (13 ms– 12 ms) + 16 ms – 2 ms = 15 ms（在考虑最坏情况误差为2ms的情况下）。在第二极端情况下，可以是tm(13 ms) = (13 ms – 12 ms) + 16 ms – 0 ms = 17 ms。可能出现为2ms的不精确。

图5a和5b示出了用于在使用停留时长510的情况下确定同步精度的示例500、550。在该方法的一个可能的变型方案中，可以改善同步精度（例如减小最坏情况误差），其中主机310附加地在接收到请求320之后的最早可能的时间点记录时间戳TM_IN。主机将该时间戳TM_IM集成到该主机的应答330中，并且这样能够使从机确定停留时长510、比如主机停留时间（Master Residence Time）（MRT，德文Master-Verweilzeit），主机例如需要该停留时长作为针对请求330的处理时间。在此，可以是MRT = TM – TM_IN。

只要从机300知道主机停留时间510，该从机就可以针对响应网络延迟做出如下假定：响应网络延迟不可能大于RTT - MRT。该假定根据类似的极端情况研究而得出。由此，使对同步精度的确定改善值MRT。按照示例550，最大响应网络延迟520（RND_MAX） = RTT –MRT。按照示例500，最小响应网络延迟（RND_MIN） = 0。因此，最坏情况误差可以通过RTT350 – MRT 510来被确定。在一个示例中，在从机300处的TS1可为10ms而在从机300处的TS2可为12ms，并且在主机310处的TM_IN可为15ms而在主机310处的TM可为16ms。借此，从机300例如可以计算tm(13 ms) = (13 ms – 12 ms) + 16 ms – RND。对于MRT 510可适用：16 ms– 15 ms = 1 ms。按照示例550，会是tm(13 ms) = (13 ms – 12 ms) + 16 ms – 1 ms =16 ms。按照示例500，会是tm(13 ms) = (13 ms – 12 ms) + 16 ms – 0 ms = 17 ms。借此，最坏情况误差并且因此同步精度比如可以有利地被减小到1ms地来被确定。即，同步精度可以更精确地被确定。

图6示出了用于确定600偏差率的方法的示例。主机310和从机300中的时钟可以分别具有有限的时钟精度（例如100ppm）。可能希望从机中的时钟尽可能与主机中的时钟一样精确。为了实现这一点，从机可以首先确定它们自己的时钟与主机的时钟之间的差异。在第二步骤中，从机可以将它们自己的时钟与通过该差异所确定的主机的时钟进行适配。存在如下可能性：根据由两个同步间隔610、620构成的时间戳来在从机300中进行率适配。为此，从机可以根据如下公式来确定主机的时钟与该从机自己的时钟之比（率比（Rate Ratio）、RR，德文Raten-Verhältnis）：RR = (TM_2 – TM_1) / (TS2_2 – TS2_1)。率比可以由从机在同步时在线性插值函数中以如下方式和方法来被考虑：tm(ts) = (ts – TS2) * RR +TM – RND。为了将在检测时间戳时的绝对误差TM_*和TS*的影响减小到最低限度，可能的是：将同步间隔610、620之间的时间间隔选择得尽可能大。

原则上可能的是：在网络之内使成员之间的多个时基同步。这意味着：原则上可能存在多个主机，这些主机可以将它们自己的时基或时间读数提供给一个或多个从机。从机可以同时被同步到一个或多个主机的一个或多个时基上。不同的时基可以通过在请求320或应答330之内的字段“时基（Time Base）”来被标识。可以保证：在网络之内，这些时基的标识符是一一对应的。

对于某些功能来说，有可能不容许被同步的时钟不是严格单调升高。然而，将从机300中的时钟设定到由主机310预先给定的值（例如同步时间读数）上可能导致这种突变。因而，替代在获得应答之后对所要同步的时钟的突然修正，可以借助于率适配来实现对同步误差的逐渐的修正。为此，从机300在获得应答的情况下不仅可以根据上一个同步间隔根据线性插值函数来确定被同步的时钟的当前时间而且可以根据当前的同步间隔根据线性插值函数来确定被同步的时钟的当前时间。这两个值之差例如是所要修正的同步误差E，其中E = tm_2(ts) - tm_1(ts)。替代通过从tm_2(ts)减去tm_1(ts)来突然修正值E，可以求关于下一个同步时间点的期望，该下一个同步时间点预计可能在周期时间T_SYNC期满之后发生。从机可以追求如下目标：比如按照tm_2(ts) = (ts – TS2_2) + TM_2 – RND_2 - E *((ts – TS2_2) / T_SYNC)，消除直至该时间点所要修正的同步误差E。

本发明涉及一种用于经由不值得信赖的通信信道来实现值得信赖的时间同步的方法。

利用该方法，例如可以将对参与的网络组件的要求（例如功能安全性）从例如ASILB降低到QM，并且由此可以节省大量成本。优点可在于实现关于功能安全性（Safety）和安全（Security）方面的值得信赖的时间同步。

所介绍的方法是通用的，并且可以在需要值得信赖的时间同步的任何地方被使用。在该上下文中，值得信赖可以是指按照lSO26262支持ASIL B并且就安全而言相对于故意操纵而言安全。例如，在车辆中，可不必假定控制设备之间的通信信道可值得信赖地被实现。这例如适用于以太网网络，这些以太网网络的开关不支持ASIL地实现这些开关的功能性。所有参与的网络组件的支持ASIL B的实现方案都会兼有巨大的额外成本。因而，在某些情况下不研发例如根据ISO26262来认证的支持汽车的解决方案。此外，通信信道（线路、插头等等）的以值得信赖的品质的实现方案会花费很高且昂贵。

其它实施例是计算机程序，所述计算机程序用于当其在计算机、处理器或者可编程硬件组件上运行时执行在本文中所描述的方法之一。根据特定的实现要求，本发明的实施例可以以硬件或者以软件来实现。根据特定的实现要求，本发明的实施例可以以硬件或者以软件来实现。所述实现可以在使用数字存储介质（例如软盘（Floppy-Disk）、DVD、蓝光光碟（Blu-Ray Disc）、CD、ROM、PROM、EPROM、EEPROM或者闪速存储器、硬盘或者其它磁或者光学存储器的情况下被执行，以电子方式可读的控制信号被存储在该数字存储介质上，这些以电子方式可读的控制信号与可编程硬件组件共同起作用或者可以共同起作用，使得相应的方法被执行。

可编程硬件组件可以通过处理器、计算机处理器（CPU＝中央处理单元（CentralProcessing Unit））、图形处理器（GPU＝图形处理单元（Graphics Processing Unit））、计算机、计算机程序、专用集成电路（ASIC＝Application-Specific Integrated Circuit）、集成电路（IC＝Integrated Circuit）、芯片上系统（SOC＝System on Chip）、可编程的逻辑元件或者具有微处理器的现场可编程门阵列（FPGA＝Field Programmable Gate Array）来形成。

因而，数字存储介质可以是机器可读的或者可以是计算机可读的。因此，有些实施例包括数据载体，该数据载体具有以电子方式可读的控制信号，这些以电子方式可读的控制信号能够与可编程计算机系统或可编程硬件组件共同起作用，使得执行在本文中所描述的方法之一。因此，一个实施例是数据载体（或者数字存储介质或者计算机可读介质），在该数据载体上记录用于执行在本文中所描述的方法之一的程序。

一般来说，本发明的实施例可以被实现为具有程序代码的程序、固件、计算机程序或者计算机程序产品或者可以被实现为数据，其中如果程序在处理器或者可编程硬件组件上运行则所述程序代码或者所述数据有效地执行所述方法之一。所述程序代码或者所述数据例如也可以存储在机器可读载体或者数据载体上。所述程序代码或者所述数据尤其可以作为源代码、机器代码或者字节代码以及作为其它的中间代码存在。

上面所描述的实施例仅仅是对本发明的原理的阐明。易于理解的是：在本文中所描述的布置和细节的修改方案和变型方案将使其他的本领域技术人员明白（einleuchten）。因此所意图的是：本发明应仅仅通过下述专利权利要求书的保护范围来限制而不是通过已在本文中依据对实施例的描述和阐述来表现的特定的细节来限制。

附图标记列表

100 方法

110 发送时间请求

120 接收时间应答

130 确定同步精度

200 通信单元

210 通信信道

220 第二通信单元

300 从机

310 主机

320 时间请求

330 时间应答

340 响应网络延迟

350 往返时间

400 第一示例

450 第二示例

500 第一示例

510 停留时长

520 最大响应网络延迟

550 第二示例

600 确定偏差率

610 第一同步间隔

620 第二同步间隔。

Claims (15)

1.一种用于确定第一通信单元（200、300）的时间同步的同步精度的方法（100），所述方法（100）包括：

经由通信信道（210）在对应的发送时间点（TS1）将时间请求（320）从所述第一通信单元（200、300）发送（110）给第二通信单元（220、310）；

在对应的接收时间点（TS2）在所述第一通信单元（200、300）处接收（120）时间应答（330），其中所述时间应答（330）包括所述第二通信单元（220、310）的同步时间读数；并且

基于所述发送时间点（TS1）和所述接收时间点（TS2）来确定（130）所述同步精度。

2.根据权利要求1所述的方法（100），所述方法还包括：

使用所述第二通信单元（220、310）的同步时间读数，用于根据所述同步精度来实施所述第一通信单元（200、300）的功能。

3.根据权利要求2所述的方法（100），其中对于所述时间同步来说，根据所要实施的功能来考虑根据所述同步精度所确定的同步误差。

4.根据权利要求2或3所述的方法（100），其中如果所述同步精度小于对于所要实施的功能来说所需的同步精度，则发送新的时间请求（320）。

5.根据上述权利要求中任一项所述的方法（100），其中为了确定所述同步精度，还考虑在所述第二通信单元（220、310）处接收到所述时间请求与发送所述时间应答（330）之间的时长（510），所述时长作为停留时长被嵌入到所述时间应答中；和/或考虑所述时间请求的接收时间点和所述时间应答的发送时间点，所述接收时间点和所述发送时间点被嵌入到所述时间应答中。

6.根据上述权利要求中任一项所述的方法（100），其中通过使用偏差率来补偿所述第一通信单元（200、300）的计时器相对于所述第二通信单元（220、310）的计时器而言的运转不精确，其中所述偏差率基于对时间请求（320）的至少一次接下来的、有时间延迟的发送和对时间应答（330）的至少一次对应的接下来的接收来被确定。

7.根据上述权利要求中任一项所述的方法（100），其中将多个时间请求（320）从所述第一通信单元（200、300）经由所述通信信道（210）发送到相对应的多个通信单元（220、310），所述通信单元至少关于对所述时间应答（330）的发送方面与所述第二通信单元相对应地被构造。

8.根据上述权利要求中任一项所述的方法（100），其中在所述第二通信单元（220、310）的同步时间读数与所述第一通信单元（200、300）的时间读数有偏差时，使所述第一通信单元（200、300）的时间读数与所述同步时间读数逐渐适配。

9.根据上述权利要求中任一项所述的方法（100），其中给所述时间请求（320）和所述时间应答（330）添加相应的识别特征和/或校验和和/或签名，通过所述识别特征和/或校验和和/或签名来将时间应答（330）明确地分配给对应的时间请求（320）。

10.根据上述权利要求2至9中任一项所述的方法（100），其中使用有线网络作为通信信道（210），所述有线网络包括至少一个组件，所述组件具有如下功能安全性等级，所述功能安全性等级低于所述第一通信单元（200、300）的功能所要求的功能安全性等级。

11.一种用于确定第一通信单元（200、300）的时间同步的同步精度的方法，所述方法包括：

在对应的接收时间点在第二通信单元（210、310）处接收所述第一通信单元（200、300）的时间请求（320）；

由所述第二通信单元（210、310）在对应的发送时间点发送时间应答（330），其中所述时间应答（330）包括关于所述接收时间点（TM_IN）和所述发送时间点（TM）方面的信息。

12.根据上述权利要求中任一项所述的方法（100），其中通过使用至少一种密码方法来提高所述时间应答（330）和/或所述时间请求的操纵安全性，其中利用密码方法来对相应的消息进行签名。

13.一种计算机程序，用于当所述计算机程序在计算机、处理器或可编程硬件组件上运行时执行根据权利要求1至12中任一项所述的方法（100）。

14.一种用于与通信信道（210）连接的通信单元（200、220、300、310），其中所述通信单元（200、220、300、310）包括至少一个计时器并且还被设立为实施根据权利要求1至12中任一项所述的方法。

15.一种机动车，其具有至少一个通信信道（210），其中所述机动车包括至少一个根据权利要求14所述的通信单元（200）。

Images