CN114846752A - 用于检查以太网车载网络的传感器数据有效性的方法 - Google Patents

Abstract

一种用于检查机动车辆中的以太网车载网络的传感器数据的有效性的方法，其中，执行以下步骤：‑确定在以太网车载网络的第一控制单元与以太网车载网络的第二控制单元之间的第一连接路径上的第一信号的传播时间；‑基于该传播时间来确定第一连接路径的最大速度；以及‑基于该最大速度来确定第一连接路径(6)的传输介质的类型，其中，执行以下步骤：至少识别以太网车载网络的第一控制单元；至少同步以太网车载网络的第一控制单元；确定同步间隔；确定第一控制单元的定时器的漂移；确定第一控制单元的时间戳；读取时间戳或查询该第一控制单元的时间；将该时间戳与以太网车载网络的参考时钟进行比较；执行传播时间测量；确定相关联的时钟发生器的速度；确定该同步间隔的时间差；确定末次的同步。

Description

用于检查以太网车载网络的传感器数据有效性的方法

技术领域

本发明涉及一种用于检查传感器数据有效性的方法

背景技术

汽车制造商(OEM)和汽车行业的1级供应商正在为车辆控制器或电子控制设备/控制单元ECU的下一代架构做准备。一种发展是所谓的“面向区域的架构”，其中，控制设备被分组到例如是右前门区域等区域中。与以前架构的不同之处在于，控制器位于特定的物理位置或空间位置，以便从定位在那里的传感器最佳地捕获数据。因此，例如，可以将从右前门的传感器收集数据的控制单元定位在右前门区域中。

还考虑将用于特征和应用的软件执行本地化或分发至其他控制器和处理器。这种本地化或分发可以是优化的一部分，并且还可以在发生(例如，控制设备的)错误或故障的情况下使用。这种本地化或分发被称为动态迁移或简称为迁移。预计很快就能实现将软件动态迁移至车辆内的其他控制设备/处理器的大规模生产。

以太网可以是用于连接网络中的控制设备的首选网络。以太网技术在车辆和供应商产品的电气系统中变得日益普及。以太网技术的使用需要有效的同步概念。

现有的以太网系统可以使用时间同步标准IEEE 802.1AS的实施方式。已经引起特别注意的两种变体是802.1AS-Rev的选择和802.1AS-Rev的时域，后者是前者的强制性要求。物理传输标准之外的其他协议是以太网AVB及其后续版本以太网TSN。以太网AVB已被引入汽车的大规模生产中。以太网TSN和AVB的重要子标准是时间同步标准IEEE802.1AS，该时间同步标准依赖于用于更高层LAN协议(桥接)的主要标准IEEE 802.1。这两种标准都使用IEEE 1588精确时间协议(PTP)来在以太网网络中建立公共时基。

在OSI层模型的第3层，以太网连接支持大量的交换协议，以用于在发射器与接收器之间传输数据分组。在更高的协议层中，将数据流分割成分组，在通信的系统之间进行进程通信，将数据转换为与系统无关的形式，并且最后为应用提供功能。

在车辆中使用的几乎所有以太网通信网络都使用与时间同步有关的协议，该协议提供了在所有网络设备中同步的全局网络时基。预计时间同步网络设备的普及率在未来将持续增加。

IEEE 802.1AS标准提供了这样一种与时间同步有关的协议。基于网络中所谓的“最佳时钟”(也称为最高级计时装置或最高级时钟)，建立了主从时钟层次结构。最高级计时装置为网络提供时基，网络中的所有其他网络设备都与该时基同步。最高级计时装置是通过所谓的最佳主时钟算法(BMCA)来确定的，并在网络内宣告。为此，IEEE 802.1AS兼容的网络设备将包含关于其内部时钟的信息的Announce(宣告)消息发送至直接连接的其他网络设备。关于内部时钟的信息提供了对相应时钟的准确性、其基准或时间基准以及可以用来确定网络中的最佳时钟的其他性质的指示。这种Announce消息的接收方将接收到的信息与自己的内部时钟的特征进行比较并将已经从另一个端口接收到的任何消息与同其他网络设备的时钟有关的信息进行比较，并在另一个网络设备中的时钟具有更好的时钟参数时接受该时钟。在短时间内，网络中的最佳时钟被确定下来，该最佳时钟然后成为网络中的最高级计时装置。基于最高级计时装置，通过网络广播与时间同步有关的消息。接收与时间同步有关的消息的网络设备不仅仅是转发该消息，而是针对连接(该网络设备通过该连接从直接连接的网络设备接收与时间同步有关的消息)上的先前确定的传播时间以及内部处理时间来校正时间信息，然后网络设备重新传输与时间同步有关的消息和校正的时间信息。

在根据IEEE 802.1AS和其中定义的广义精确时间协议(gPTP)的时钟层次结构的情况下，仅单个网络设备总是提供网络中的最佳时钟。因此，这个网络设备控制并调节车辆的整个时间。网络中的网络设备中的所有其他时钟都仅仅由这一个时钟管控。一些车辆制造商甚至通过这个以太网时间主控器来同步其他标准的网络(例如CAN)，这意味着车辆中的几乎所有网络设备都由提供最高级计时装置的网络设备告知系统时间。因此，单个网络设备被定义为网络或车辆中的单个故障点，该设备的故障或操纵可能会对车辆的操作安全性产生严重影响。因此，例如在具有通过适当的系统实现的高度驾驶员辅助或具有(半)自主驾驶系统的车辆中，必须一起处理在窄时间窗内捕获的大量传感器数据，以便为车辆中的致动器得出适当的控制信号。出于文档记录目的，例如当存储在可以被分析以便重现失灵或操作错误的日志文件中时，传感器数据的最准确的可能时间登记也可能是非常重要的。保险公司和执法机构对重现错误操作尤其感兴趣。因此，时间信息的安全、同步提供是至关重要的。

根据EP 2 759 174 A1，基于时间戳和差错计算单元来确定接收的节点的计数器与接收节点的计数器之间的差。差错值是根据两个计数器值(绝对值)之间的差或使用两个计数器值的漂移之间的差来计算的。

EP 2 490 357 A2描述了一种用于将网络中的接收节点的全局网络时间的局部估计值与来自网络中的至少第一传输节点和第二传输节点之一的全局网络时间基准同步的方法。时钟同步方法允许确定航空电子网络中的自由运行节点，以检测节点是否已同步。在检测到的情况下，建议设置同步标志。

US 2008 183 896 A1解释了当发现通信丢失持续时间过长时，接收服务器宣布其时间参数无效，该持续时间是预先为网络定义的，并且是服务器的时钟相对于该服务器的时钟源的时钟的最大漂移率的函数。

EP 2 191 300 A1披露了一种用于采集地震数据的传感器网络。为此，时钟更新周期是基于最大容许时间偏差和确定的(当前)频率漂移来确定的。

EP 2 382 829 A1披露了一种用于使基站收发器(BTS)的参考频率与基站控制器(BSC)的参考频率同步的方法，该方法包括一系列步骤，其中，同步分组被传输并且被提供有传输时间戳和接收时间戳。在观察周期结束之后对网络交付的评价进行评估。如果该评价足够高，则确定接收到的同步分组的置信度水平。只有当置信度水平高于阈值时，才会对基站收发器中的振荡器的参考频率进行校正。

多年来，汽车中的环境传感器系统的数量一直在不断增加。在2016年，除了现有的超声波传感器和雷达传感器之外，激光扫描仪也被用于大规模生产。尽管不同传感器系统在汽车中的使用方式几乎已准备好用于大规模生产，但在融合所获得的传感器数据方面仍然存在未解决的问题。数据融合可以用于弥补单个传感器系统的弱点，并且通过冗余保证更大的故障安全性(稳健性)。为了使ADAS系统的数据质量即使在交通拥堵或城市环境中也能保持稳定，需要监测同一视野的不同传感器系统来进行例如是紧急制动等安全性关键操作。术语传感器融合描述了来自不同传感器的数据的合并。传感器融合的目的是使融合结果的数据在任何方面都具有比从各个传感器获得的单独数据更高的质量。此外，在同构传感器网络与异构传感器网络之间进行了区分。在同构传感器网络中，所有传感器都使用相同的物理测量原理，并且因此受到相同的物理限制(例如范围、精度和对噪声的敏感度)。另一方面，在异构传感器网络中，使用了不同的测量技术，这意味着一个传感器的弱点有时可以由另一个传感器来补偿。这里，传感器融合被分为互补性、竞争性和合作性。

用于使用网络的时间同步来检测通信网络的配置或结构的变化的几种方法是现有技术中已知的。为了使用传感器融合的额外好处，有必要监测数据流以及所述数据流彼此之间的关联。未经授权的网络的配置变化可能会导致中断，这可能涉及准备攻击，该攻击会拦截消息以进行分析，并在必要时重新传输修改后的消息。这可能被用来阻止或至少中断安全和正确的操作。

目前还不存在验证时间戳的解决方案。如果期望融合单元融合两个分组但时间戳不匹配，那么该融合单元应该如何表现？当然，这并不一定意味着数据陈旧且无法使用，而是时间戳存在错误。还应该提到的是，所有分组实际上都很重要，并且通常不可能省去其中的任何一个。例如，在ADAS系统中，没有时间重新请求丢失的分组。由数据丢失引起的对驾驶安全至关重要的问题会产生严重后果，并可能导致对系统中致动器的不正确控制。

发明内容

因此，本发明的目的是提供一种方法，当时间戳被不正确地指派时，该方法检测到这一点，并且作为该检测的结果，检查指派的数据以知道数据是否归属在一起(因为它们具有不同的时间来源)，以便通过传感器融合的方式可靠地使用它们。

这个目的通过如权利要求1中所述的方法和如权利要求11中所述的控制单元来实现。在相应的从属权利要求中详细说明了实施例和进一步发展。

换言之，本发明的目的是安全地监测和确保车载网络中的时间同步。

时间可能因错误、温度或攻击而失真。尤其是在自动驾驶方面，时间控制的动作性能变得越来越重要，例如传感器(相机、激光雷达、雷达等)及其数据流的同步。特别是对于这些功能，需要进行似真性检查，以便检查例如车辆是否可以进行操作，或者驾驶员是否应该优选地继续驾驶。本发明的优点可以在用于验证和检查传感器消息的时间戳的有效性的机制和方法的规范中找到。

该方法可以用于识别时间戳是否被故意扭曲以及是否可能存在攻击。此外，该方法检测时间戳是否可能是无效的，即使尚未发生同步。例如由于所谓的比特旋转(这通过所描述的方法来检测)，时间戳也可能是错误的。如果上一次成功的同步是未知的，则这可以通过指定的方法来确定。该方法提高了以太网领域的安全性。

本发明的优点在于，网络中传感器数据的同步准确度以及因此的融合准确度得到了改进和保证，因为比如以太网或AUTOSAR等标准目前还没有提供任何汽车工具。这意味着通过所提出的考虑可以检测异常行为或可能的错误/攻击。通过实施这种机制和协议，可以省去任何额外的硬件和专有协议。这也意味着车辆中通信技术的数量不必进一步增加，或者不需要运行/连接额外的线路。

可以发现进一步的优点在于，该方法减少了车辆中数据总线上的负载。需要较少的同步，这也对μC资源、任何错误和功耗产生积极影响。本发明的主要优点还源于这一事实，即以太网可以执行时间控制的动作而无需另外的附加硬件部件，比如，例如温控晶体或安全模块。根据本发明的以太网车载网络在成本和可靠性方面得到了改进。

这种方法尤其可以以软件的形式实施，该软件可以作为对网络中订户的现有软件或固件的更新或升级来分发，并且在这方面是独立的解决方案。

该检测使得可以查明例如邻近的控制设备是否面临特定风险，比如温度过高或过低、错误或攻击。

检测网络中的修改为确保车载网络中的数据安全性和功能安全提供了另一种方法。例如，如果使用修改后的控制设备，则驾驶员和车间显然都没有真正意识到这一点——以太网车载网络和控制设备可以基于这些描述的方法识别错误。

本发明和由此产生的解决方案对汽车行业特别有意义，因为经由以太网的可靠性和安全性话题在汽车中非常重要的并且将变得越来越重要。在接下来的几年里，传感器(相机和雷达)也将经由以太网传输未压缩的数据。这种数据速率需要进一步的技术来使以太网系统更加安全和高性能。这种方法有助于促进这些应用。

目前存在的问题和任何新系统存在的问题是对通信接口的依赖以及对其的支持。这里描述的本发明允许进行更多的独立于平台的开发。本发明的实现使得实施的使用时间更长并且减少了必要的维护。

举例来说，更精确的同步允许更安全且更可靠地执行对实时性要求更高的动作(传感器融合)。传感器数据融合的质量提高，这最终导致更好的环境模型和更好的轨迹。

另一方面，尤其是在ADAS领域中，为连接到网络的所有订户配备足以进行彻底加密通信的硬件通常是不经济的。所描述的方法需要显著更少的硬件资源并且可以使用现有实施方式来实行，并且因此显著提高安全级别，而这不必与网络或连接到其的设备的更高生产成本有联系。

在汽车中使用新引入的以太网协议需要利用了简单的技术和给定的技术性质的机制，以便能够在而无需昂贵的实施方式和另外的附加硬件的情况下实现。通过早期分析通信路径更早地检测到攻击和异常行为，从而允许在车辆交付之前识别出漏洞和错误。根据本发明的网络系统在成本和可靠性方面得到了改进。通过本发明更清楚地定义了系统的可测试性，并且这允许节省测试成本。另外，本发明提供透明的安全功能。

该方法可以在控制设备中实施，并且可以使用由不同的控制设备组成的车载网络，以确保改进对时间同步的保护。

这个目的通过如权利要求1中所述的方法和如权利要求11中所述的控制单元来实现。在相应的从属权利要求中详细说明了实施例和进一步发展。

在用于检查以太网车载网络的传感器数据的有效性的方法的一个实施例中，在机动车辆中执行以下步骤：

确定该以太网车载网络(2)的第一控制单元(3)与该以太网车载网络(2)的第二控制单元(4)之间的第一连接路径(6)上的第一信号(10)的传播时间(9)；

基于该传播时间(9)来确定该第一连接路径(6)的最大速度(11)；以及

基于该最大速度(11)来确定该第一连接路径(6)的传输介质的类型(12)。

此外，至少识别该以太网车载网络的第一控制单元(3)；至少同步该以太网车载网络的第一控制单元；确定同步间隔；确定该第一控制单元的定时器的漂移；确定该第一控制单元的时间戳；读取时间戳或查询该第一控制单元的时间；将该时间戳与该以太网车载网络的参考时钟进行比较；执行传播时间测量；确定相关联的时钟发生器的速度；确定该同步间隔的时间差；以及确定末次的同步。

此外，第一信号的传播时间的确定和该第一连接路径的最大速度的确定以及该第一连接路径的传输介质的类型的确定可以导致形成熵源，该熵源用于确定该连接路径的至少一个动态密钥，该至少一个动态密钥用于对连接路径6的时间同步消息进行加密。

在该方法的另一实施例中，通过IEEE 802.1AS协议来确定该定时器的漂移。

本发明的另一实施例的突出之处在于，该时间戳与该以太网车载网络(3)的参考时钟进行比较导致以T偏差＝T参考-T可疑的形式计算差值。

本发明的另一实施例的突出之处在于，通过PTP NRR(邻近速率比)方法来确定该时钟发生器的速度。

本发明的另一实施例的突出之处在于，该传输介质的类型以及该同步间隔的确定、该第一控制单元的定时器的漂移的确定、该第一控制单元的时间戳的确定、该相关联的时钟发生器的速度的确定、该同步间隔的时间差的确定、以及该末次的同步的确定被传送到该以太网车载网络中的程序，并且基于该传输介质的类型来适配该程序的连接路径选择。

本发明的另一实施例的突出之处在于，该传输介质的类型被确定为是光学的、铜的或无线的。

本发明的另一实施例的突出之处在于，基于该传输介质的类型(12)将传输安全性值(15)指派给该第一连接路径(6)，该传输安全性值描述了通过该第一连接路径(6)传输的数据的丢失概率。

本发明的另一实施例的突出之处在于，确定该第一连接路径上的多个信号的传播时间并选择该多个信号中的最快传播时间，该第一连接路径的最大速度是基于该最快传播时间来确定的。

本发明的另一实施例的突出之处在于，确定该第一控制单元与该第二控制单元之间的、不同于该第一连接路径的第二连接路径上的第二信号的传播时间，并确定该第二连接路径的最大速度，该第二连接路径(7)的传输介质的类型(19)是基于该第二连接路径(7)的最大速度(11)来确定的。

本发明的另一实施例的突出之处在于，在该第一控制单元(3)从正常操作模式变为节能模式和/或从该节能模式变为该正常操作模式之后执行该方法。

本发明的另一实施例的突出之处在于，使用该第一控制单元确定该第一信号的传播时间，并使用该以太网车载网络的第三控制单元确定该第二控制单元(4)与该第三控制单元(5)之间的、仅间接连接至该第一控制单元的第三连接路径上的第三信号的传播时间，对该第三信号的传播时间的确定由从该第一控制单元发送至该第三控制单元的服务消息触发。

用于以太网车载网络的控制单元(其采用第一控制单元的形式)的实施例允许：将信号发送至该以太网车载网络的第二控制单元并从该第二控制单元接收该信号；确定该信号在到该第二控制单元的连接路径上的传播时间；基于该传播时间来确定该连接路径的最大速度以及基于该最大速度来确定该连接路径的传输介质的类型，该控制单元包括至少一个微处理器、易失性存储器和非易失性存储器、至少两个通信接口、可同步定时器，该非易失性存储器包含程序指令，这些程序指令在由该微处理器执行时，能够实施并且能够执行权利要求1至10所述的方法的至少一个实施例。

用于机动车辆的以太网车载网络的另一实施例的突出之处在于，该第一控制单元和第二控制单元通过至少一个连接路径彼此连接，并且该第一控制单元采用如权利要求11所述的形式。

该以太网车载网络的另一个实施例的突出之处在于，该以太网车载网络包括第三控制单元，该第三控制单元仅间接连接至该第一控制单元并通过第三连接路径直接连接至该第二控制单元，其中，该第三控制单元被设计为确定该第三连接路径上的第三信号的传播时间，其中，该第一控制单元被设计为通过到该第三控制单元的服务消息来触发对该第三信号传播时间的确定。

一个实施例由计算机程序产品表示。该计算机程序产品包括指令，当该程序由计算机执行时，这些指令使所述计算机执行如权利要求1至10中的一项或多项所述的方法。

提供了计算机可读介质上一个实施例，该计算机可读介质上存储有如权利要求12所述的计算机程序产品。

根据本发明的计算机程序产品包含指令，这些指令在由计算机执行时使所述计算机执行上文描述的方法的一个或多个实施例和进一步发展。

该计算机程序产品可以存储在计算机可读介质或数据载体上。该数据载体在物理上可以体现为例如硬盘、CD、DVD、闪存等；然而，该数据载体或该介质也可以包括调制的电、电磁或光信号，该信号可以通过适当的接收器被计算机接收并且可以存储在该计算机的存储器中。

至少根据本发明的控制单元包括至少一个物理通信接口，除此之外还有微处理器以及非易失性存储器和易失性存储器、还有定时器。该控制单元的部件通过一个或多个数据线或数据总线彼此通信地连接。该控制单元的存储器包含计算机程序指令，这些计算机程序指令在由该微处理器执行时将该网络设备配置为实施上述方法的一个或多个实施例。

根据本发明的方法可以使用现有的网络设备来实施，其中，如果有必要的话，仅需要对用于接收和处理与时间同步有关的消息的软件或在状态机进行调整，以便仅使用与在初始化期间确定的最高级时钟的与时间同步有关的消息来同步时钟，但仍转发与时间同步有关的附加消息，而不是简单地删除它们。因此，实施过程仅产生了很低的附加成本(如果有的话)。即使是现有的系统也可以通过适当地改变软件而被配置为实施该方法。根据本发明的方法的另一优点在于，具体的底层硬件平台是无关的，只要该平台支持根据IEEE802.1AS标准的同步即可。

附图说明

将在下文中参考附图通过示例解释本发明。在附图中：

图1a示出了机动车辆的示意性平面图，该机动车辆具有根据本发明的以太网车载网络的示例性实施例；

图1b示出了以太网车载网络的示意性表示，该以太网车载网络具有第一控制单元、第二控制单元和第三控制单元，这些控制单元通过第一连接路径、第二连接路径和第三连接路径连接；

图2示出了该方法的完整序列以及对要检验的节点的当前时间及其时钟发生器性质的确定；

图3示出了用于对用于确定相应连接路径的传输介质的类型的时间同步消息进行加密的流程图；

图4示出了在时间同步成功时频率漂移的锯齿状模型的表示；

图5示出了计算异步周期的图形表示；

图6a示出了为传感器融合确定传感器偏移量的序列；

图6b示出了上一次成功同步的时间的确定；

图7示出了用于确定单个晶体频率的流程图；

图8示出了用于计算密钥并发送消息的流程图；

图9示出了用于随着时间的推移使用密钥的流程图；

图10示出了用于适配以太网车载网络中的程序的流程图；

图11示出了用于适配以太网车载网络中的程序的流程图；

图12示出了用于确定和存储信号的传播时间的流程图；

图13示出了用于说明性地适配以太网车载网络中的程序的流程图；

图14示出了用于说明性地适配以太网车载网络中的程序的流程图；

图15示出了用于基于上一次成功同步时间来评价对接收到的数据的使用的流程图；

图16示出了控制单元的设计；

图17示出了具有从控制单元的通信中生成的动态密钥的加密链路；

图18示出了数据融合的用例的表示；

图19示出了与数据记录器进行数据融合的用例的表示；

图20示出了数据融合的正确数据指派的表示；

图21示出了数据融合的错误数据指派的表示；

图22示出了如果同步时间超过极限值，则追溯擦除数据的序列。

在附图中，相同或相似的元素可以使用相同的附图标记来指代。

具体实施方式

图1a以平面图示出了机动车辆1。机动车辆1包括以太网车载网络2。根据示例性实施例，以太网车载网络2进而包括多个控制单元3、4、5，这些控制单元也可以被称为控制装置或控制设备。控制单元通过连接路径彼此连接。由于示例性实施例中以太网车载网络2的现有拓扑结构，控制单元之间存在多个并行的通信路径。例如，连接路径可以由不同的介质类型或材料形成。

例如，随着以太网变体的数量的增加，还将使用连接速度的动态变化。例如，这意味着速度可以在运行时改变。例如，可以将10Gbit/s的连接路径更改为100Mbit/s，从而节省能量。由于这是动态功能，因此可能发生这样的情况：例如，车载网络在交付之后或初始安装在机动车辆中之后的形式与软件更新之后或故障情况下的形式有所不同。

以太网车载网络2包括至少一个第一控制单元3、第二控制单元4、以及另外的第三控制单元5。第一控制单元3通过第一连接路径6连接至第二控制单元4。此外，根据示例性实施例，第一控制单元3还通过第二连接路径7连接至第二控制单元4。

例如，第一控制单元3、第二控制单元4和/或第三控制单元5可以采用控制设备或网络交换机的形式。第二控制单元4和第三控制单元5通过第三连接路径8彼此连接。

根据图1a中的示例性实施例，第一控制单元3和第二控制单元4通过第一连接路径6直接彼此连接，而第一控制单元3和第二控制单元4通过第二连接路径7仅间接连接，因为第二连接路径7被另一控制单元分成两部分。然而，根据另一个示例性实施例，第二连接路径7也可以将第一控制单元3和第二控制单元4直接彼此连接。

一般而言，该方法适用于检测同步中的错误。

如图2所示，可以计算或确定异步的持续时间，或者计算或确定正确执行同步的时间和上一次时间。基于现有的同步，该方法建议确定网络中的时钟的不准确度，例如“我的”邻居ECU或“邻居”CPU的时钟的不准确度，这些时钟可以位于同一ECU内。基于这些确定的数据，该部件的时间戳、连同“我的”自己的时钟或最高级计时装置的时钟、以及同步间隔可以用于计算自末次的同步以来已经过去了多少时间。因此可以确定上一次成功同步发生的时间。在也称为确定时间的时间，记录来自期望知道其是否仍处于同步状态的控制设备的ECU的时间戳。然后将一系列参数作为确定在多少个同步间隔内或从什么时间起该部件不再成功同步的基础，如图4中的示例所示。

因此该方法确定节点的上一次成功同步发生的时间并且因此还确定节点已经有多长时间不再同步了。这是判定传感器数据是否可信并因此是否可用的基础。

图4总体上展示了基于消息的时间同步的同步。在同步消息到达之后，调整内部时钟或偏移量。然后时钟继续以其自身的特性运行，直到下一次同步。

从图2可以看出，该方法开始于询问节点、或μC、或交换机、或整个ECU、或控制单元3、4、5的时间，或者开始于通过时间戳来读取该时间。该值被存储。然后该方法通过802.1AS协议(Pdelay查询)来确定定时器的频率漂移。以这种方式，实际上用于测量传播时间并且无论如何都会被传输的周期消息被用于计算该ECU/μC、或整个ECU、或控制单元3、4、5的时钟发生器的操作速度。

根据图3的序列的过程被用于测量传播时间。一个端口(发起方)通过相与其连接的连接的端口(响应方)发送Delay_request消息并生成离开时间戳t1来开始测量。该离开时间戳表示在离开以太网收发器时尽可能晚地写入的硬件时间戳。当该分组到达时，响应方生成时间戳t2。作为响应，响应方发送Delay_Response消息。在该消息中，响应方传输Delay_Request消息的接收时间戳t2。当该消息离开响应方时，响应方进而生成时间戳t3，该时间戳在紧随其后的Delay_Response_Follow_Up消息中被发送出去。当发起方接收到Delay_Response消息时，发起方生成时间戳t4。发起方可以使用t1至t4这四个时间戳来计算所覆盖的路线的平均传播时间。

PTP以网络内具有最佳时钟的方式定义了主/从时钟层次结构。从该时钟(最高级计时装置)得到该网络中的节点的时基。使用最佳主时钟算法(BMCA)来确定该时钟类型，并且在网络中宣告该信息。IEEE802.1AS兼容系统周期性地向其相邻节点发送带有关于云中的最佳时钟的信息的Announce消息。这种消息的接收方将该信息与其时钟的特征和已经从另一个端口接收到的任何消息进行比较。基于这些消息来建立时间同步生成树。在该过程中，为每个端口指派四种端口状态之一。到最高级计时装置的路径比到其链路伙伴的路径更短的端口被设置有“主端口”状态。当该节点处的其他端口还没有“从”状态时，指派此状态。由不能完全支持PTP协议的端口选择禁用。如果其他三种状态都不适用，则选择“被动”状态。

最后，通过Sync_Follow_Up机制交换时间信息。主端口周期性地向相邻的链路伙伴发送Sync消息和Follow_Up消息。当Sync消息离开主端口时，生成立即在后续Follow_Up消息中传输的时间戳。该时间戳对应于在发送sync消息时最高级计时装置的当前时间。源自最高级计时装置的消息不会被转发，而是在每个节点(包括交换机)中重新生成。

如图6a所示，时钟发生器的速度可以使用PTP NRR(邻近速率比)方法来确定或计算。周期PDelay消息被用于计算时钟发生器相对于参考时钟的速度(偏移量)。读取的或查询的时间(T可疑)被指派给当前系统时间(T参考)，因此该时间是受信任的时间，无论是最高级计时装置还是数据重要的时间。如果要检验的部件是传感器，则可以使用传感器融合时间作为参考。这意味着首先确定两个时间之间的差。

T偏差＝T参考–T可疑

同步频率可以首先用于计算T偏差至多应该有多大：在以太网的情况下，在PHY(收发器)与MAC之间的接口是用于记录时间信息的明确接口。该接口(xMII)的时钟频率为25MHz的标称频率f。用于汽车以太网AVB/TSN兼容实施方式的晶体不得超过±100ppm的最大不准确度fo。因此，根据以下公式，与接口的连接的最差可能晶体会导致相对于标称频率f的频率偏差为5kHz：

df＝(f*fo)/10^6

在最大频率(25002500Hz)与最小频率(24997500Hz)之间的周期变化是40ns的周期持续时间内的8ps。这意味着在40ns内，两个晶体(以及因此两个ECU)在+25C时的最大时间差为8ps。在125ms的标准同步间隔内，正好可以有3125000个周期、每个周期40ns，这对应于25μs的最大偏差。

根据IEEE 802.1AS规范，同步间隔可以在31.25ms至32秒之间。这意味着对于最小间隔，最坏情况偏差为6.25μs，对于最大间隔，最坏情况偏差为6.4ms。

图6b示意性地指示该方法如何使用前述公式通过确定时钟发生器的速度和同步间隔T偏差的知识来计算末次的同步发生的时间。

在图1b所示的以太网车载网络2的示例性实施例中具有第一控制单元3、第二控制单元4和第三控制单元5。此外，以太网车载网络2还具有第一连接路径6、第二连接路径7和第三连接路径8。根据示例性实施例，确定第一连接路径6上的第一信号10的传播时间9。传播时间9描述了第一信号10经由第一连接路径6从第一控制单元3中转到第二控制单元4(或反之亦然)的时间长度。基于第一信号10的传播时间9来确定第一连接路径6的最大速度11。例如，在这种情况下，第一连接路径6的最大速度11根据电缆的长度、传输速度和/或介质类型、或传输介质类型而变化。基于最大速度11来确定第一连接路径6的传输介质的类型12。

根据该示例性实施例，传输介质的类型12被确定为是光学的、铜的或无线的。在光学的情况下，第一连接路径6例如采用光纤连接的形式。在铜的情况下，第一连接路径例如由具有双绞线的电缆形成，例如非屏蔽双绞线(UTP)电缆。在无线的情况下，第一连接路径6基本上采用无线电链路的形式，并且第一控制单元3和/或第二控制单元4具有无线电接收器和/或无线电发射器或连接至无线电接收器和/或无线电发射器。

控制单元3确定经由车载网络向控制单元4进行数据传送的传播时间。重要因素在于，传播时间是基于从第一控制单元3到控制单元4的传输路径的实际物理条件以某种形式确定的，也就是说，传输路径存在物理条件或性质，当其改变时会导致所确定的传播时间改变。

在这种情况下，控制单元3确定经由网络向控制单元4进行数据传送的传播时间。这可以以替代方式完成。例如，传播时间可以例如根据时间同步标准IEEE 802.1AS和其中包含的PTP协议在第一订户与第二订户之间的时间同步的过程中发生。例如，在该协议的范围内实施的“延迟请求”消息和“对等延迟”消息因此可以用作数据分组。然而，该方法不限于此。重要因素仅在于，传播时间是基于从第一订户/控制单元3到第二订户/控制单元4的传输路径的实际物理条件以某种形式确定的，也就是说，传输路径存在物理条件或性质，当其改变时会导致所确定的传播时间变化。

此外，第一控制单元3确定另一边的控制单元4的消息频率，该消息频率原则上是从PLL和晶体的速度得到的。控制单元3从由于温度、老化等而不断变化的这两个值得到用于对这些时间消息进行加密的密钥。

使用生成的动态密钥对时间同步消息进行加密，一般来说，该动态密钥可以从与连接伙伴有关的各个参数得到。

如图3所示，基于线路延迟221和消息频率213另外生成单独且不断变化的密钥。该密钥在每个单位时间内是唯一的并且对于每个链路也是不同的。由于这种方法，网络中不会存在两次密钥。通过点到点线路延迟和晶体频率的组合来生成密钥使密钥对视图绕过它的行为特别有抵抗力，因为首先密钥是不断变化的，并且其次在车辆网络中的每个链路上密钥将是不同的。

这两个值可以直接组合使用或者可以通过其他静态值扩展，以便生成密钥，这些静态值必须是两个控制设备都已知的(如例如地址)。相应的控制单元(该方法能够在这两个控制单元、或订户/链路伙伴上执行)从其中确定随机值，以便获得用于加密的单独密钥，该密钥仅在短时间内有效。密钥会基于先前的测量一次又一次地变化，这些测量并不表示任何附加工作，因为它们是用于时间同步的。

传输介质的类型12被传送到以太网车载网络2中的程序13。例如，程序13可以存在于第一控制单元3、第二控制单元4、或第三控制单元5、或以太网车载网络2的另一控制单元中。传输介质的类型12作为适配连接路径选择14的基础。因此，程序13可以使用连接路径选择14，以便例如通过与连接路径选择之前相比不同的连接路径来发送数据。然而，程序13也可以例如中断通过连接路径选择14来发送数据，并且可以在稍后的时间恢复。

根据示例性实施例，基于传输介质的类型12将传输安全性值15指派给第一连接路径6。传输安全性值描述了通过连接路径传输的数据的丢失概率。也就是说，传输安全性值15什么了可以通过第一连接路径传输数据的可靠程度。这被提供给熵源200。例如，如果未达到安全性极限值并且只能以不安全的方式传输数据，则必须预料到，数据将以一定延迟到达其目的地，或者在因为要求数据是最新的而不值得再次发送数据的情况下降根本不会到达其目的地。

根据另一示例性实施例，确定第一连接路径6上的多个信号的传播时间，并且选择该多个信号中的最快传播时间。然后基于最快传播时间来确定第一连接路径6的最大速度11。

控制单元开始对延迟进行测量并等待接收链路伙伴消息。基于使用PTP示例接收到消息，可以测量线路延迟。如果一个链路伙伴开始对延迟进行测量，则另一个链路伙伴将不可避免地注意到这一点并且也应该开始测量，以便这两个测量还可以生成相关的测量值。

第二连接路径7和/或第三连接路径8的传输介质的类型12也可以与上述方法类似地确定。

各个记录值是不同的，每次都保持机密并存储在控制设备中，并且也不通过网络传输——这些值也不必传输。仅通过反复试错来发现密钥完全不可能。通过考虑如下两个值来生成单独的密钥。第一，每个晶体的频率是不同的，并且第二，每个链路的线路延迟是不同的。这里，将两个波动值加在一起，给出了甚至更难猜测的第三值——密钥的值。线路延迟通常可能在50至500纳秒的范围内，并且频率是参数并以+/-ppm为单位给出。往返线路延迟基于同一个信道，这就是链路两侧的计算值相同的原因。因此，不必交换参数。这意味着这两个伙伴几乎同时具有相同的值来生成密钥。一个链路伙伴使用从上一次测量得到的这两个值进行加密，而另一个链路伙伴使用其上一次的值进行解密。

因此，还规定了确定第二连接路径7上的第二信号17的传播时间16。然后，基于第二信号17的传播时间16来确定第二连接路径7的最大速度18。进而基于第二连接路径7的最大速度18来确定第二连接路径7的传输介质的类型19。

只要不执行新的线路测量，使用当前密钥A1就是有利的。以这种方式，如果事先未发起新的线路测量，则链路伙伴总是知道使用哪个密钥。新密钥应该/可以周期性地生成(例如以预定义的频率)，或者根据需要由触发器启动或者总是紧接在重要消息发送之前启动。

第一控制单元3和第二控制单元4以及第三控制单元5均可以在正常操作模式或节能模式下操作。在节能模式下，相应的控制单元比在正常操作模式下的能耗更低。例如，在节能模式下，与正常操作模式下的速度相比，相应的控制单元的端口的速度可以降低。然后，降低的端口速度也会影响相应连接路径的相应最大速度。

根据另一示例性实施例，服务消息20可以从第一控制单元3发送到第三控制单元8。然后，由服务消息20触发对第三信号22的传播时间21的确定。在第二控制单元4与第三控制单元5之间发送第三信号22。根据示例性实施例，由第三控制单元5确定第三信号22的传播时间21。

图10提供了用于确定传播时间的方法的总体描述。在步骤S1中，确定第一信号10的传播时间9。在步骤S2中，确定传输介质的类型12。最后，在步骤S3中，适配程序13。在步骤S4中，确定第一信号10的传播时间9。因此，在步骤S5中，可以确定传输介质的类型12。传输介质的类型12进而可以包括以下参数：速度23、介质24、电缆长度25、电力传输26、误比特率27。最后，在步骤S6中，接下来是程序13的适配以及连接路径选择14。

根据该示例，提出了测量连接的控制单元或控制器之间的信号的传播时间。可以使用例如标准IEEE 1588或IEEE 802.1AS的方法来测量传播时间9、16和21。方法也可以由TTEthernet(时间触发以太网)提供，例如，以确定相应的传播时间9、16和21。

图12示出了相应的传播时间9、16和21的确定。描述了对传播时间的本地和非本地查询。程序13(其特别是在至少一个控制单元上执行的)优选地首先在本地确定本地传播时间，或者如果多于一个控制单元被直接连接则确定多个传播时间。然后，优选地通过面向服务的方法、例如SOME/IP(基于IP的可扩展的面向服务的中间件)来向其他控制单元查询它们到邻居的传播时间。这可以集中实施，也可以以分散方式实施。查询可以在系统启动时、定义时、或在软件更新之后执行一次，或者可以周期性地执行以检测动态变化。然后，首次存储和指派这些数据，特别地包括控制单元的地址。在步骤S7中，确定到直接连接的控制单元的相应传播时间。在步骤S8中，查询其他连接路径的相应传播时间。在步骤S9中，存储相应传播时间及其相关的连接伙伴。

图13示出了用于基于参考测量来得到其他速度的另一方法。例如，如果当前温度非常高或使用的电缆较差，则预先存储的值可能会很不准确。因此提出了，应用或程序13本身在其自己的控制单元上执行测量，特别是根据其自己的参数以及然后可以由此得到并计算出的其他速度来执行测量。在步骤S10中，对每个本地以太网端口执行一次分析。在步骤S11中，执行关于是否知道信道参数的测试。如果不是这种情况，则接下来进行步骤S12，并且该方法结束。如果是这种情况，则接下来进行步骤S13，在该步骤中，确定相应的传播时间9、16和21。在步骤S14中进行存储，并且所确定的传播时间与信道参数有关。在步骤S15中，创建参考值列表。

图14示出了通过对传输介质的类型12、19的了解而进行的可能优化。在步骤S16中，判定传输介质的类型12、19是否是铜。如果是这种情况，则接下来进行步骤S17，在该步骤中，确认PoDL(数据线供电)(也就是说，经由以太网供电)是可能的。如果步骤S16中的判定是介质不是铜，则接下来进行步骤S18。在步骤S18中，执行用于确定传输介质的类型12是否是光学的检查。如果是这种情况，则接下来进行步骤S19。在步骤S19中，发现误比特率因此较低，并且该连接路径的可靠性因此较高。在步骤S20中，提供了如果不需要控制单元3、4、5的RX(接收单元)或TX(传输单元)则将其去激活的选项。

如果步骤S18中的判定是传输介质的介质或类型12不是光学的，则在步骤S21中假设相应的连接路径(作为相关连接路径)采用直接MII(介质无关接口)连接的形式。在这种情况下，相应的控制单元适用于例如IEEE 802.1CB(帧复制和冗余消除)。

另外的选项来自于对传输速度的了解。结合当前数据流，可以例如使用高带宽连接有意地传输数据，并且因此，可以去激活其他不需要的连接路径，从而可以节省能源。

此外，对于高带宽连接，存在使用冗余机制(例如IEEE 802.1CB)的选项。由于在这种情况下以冗余的方式连续传输数据，因此为此需要高带宽。还可以想到根据传输路径的速度来适配应用。例如，相机可以根据链路或连接路径6、7、8的速度来适配要传输的图像数据的分辨率。

除了微处理器402之外，图16中的控制单元3、4、5还包括易失性存储器404和非易失性存储器406、两个通信接口408以及可同步定时器410。网络设备的元件通过一个或多个数据连接或数据总线412彼此通信地连接。非易失性存储器406包含程序指令，这些程序指令在由微处理器402执行时实施根据本发明的方法的至少一个实施例，并且熵源形成在易失性存储器404和/或非易失性存储器406中，所述熵源然后用于形成连接路径6的动态密钥28。图17中示出了解密期间动态密钥的解码序列。

图15示出了如何基于其上一次成功的同步时间来评价对接收到的数据的使用。该序列可以用于确定将要存储的经检查的数据是否也适用于相应的用途。如果所述数据被存储在数据记录器上，则这是特别有利的。数据的内容是否也正确对数据记录器来说非常重要。例如，在发生事故时，相机是否检测到行人是重要的。如果记录了不正确的数据、或时间不正确的数据，则记录是无效的，并且没有该方法就不能检测到该记录。

查询部件对数据流及该数据流的发送方进行分析，如图22所示。该方法可以作为确定数据上一次受信任的时间的基础。标称极限值由功能、系统制造商或用例本身来确定。所述用例可能因每个ECU和每个用例而不同。基于该极限值，数据可以被分类为有效的、无效的或不可信的。

图18和图19示出了两个用例，在这些用例中时间同步至关重要并且使用了该方法。首先，需要融合来自不同传感器/控制设备的不同数据，所述数据基于时间信息而被包含在传感器消息中，并且其次，它们还可以被存储以便在发生错误时具有证据。

图20示出了数据中的时间戳被用作融合和存储数据的基础，以便可以将正确的数据指派给时间。

图21示出了不同传感器数据帧到达融合单元或例如到达数据记录器的情况。数据记录器不是根据数据到达的顺序来指派数据，而是根据数据的时间戳来指派数据，该时间戳是基于之前的时间同步的。由于网络中的数据必须采用不同长度的路径，因此通常基于这些传感器数据被记录时的创建进行排序。

图21示出了时间戳是不正确的，即在融合期间传感器数据出现不一致，导致时间同步是错误的，并且其中，没有使用这里提出的方法。该方法提高了时钟同步的精度和准确度，以实现以太网车载网络的实时能力。同步协议的质量的衡量标准首先是其可实现的同步准确度，该同步准确度可以作为附加信息从该方法中得到。

图22示出了如果同步时间超过极限值，则如何追溯擦除数据的序列。例如在数据记录器用例中，如果数据已经被存储(或即将被存储)，则也可以使用该方法。数据内容是否也正确对数据记录器来说非常重要——例如，在发生事故时，相机是否检测到行人是重要的。如果记录了不正确的数据、或时间不正确的数据，则记录是无效的。查询部件对数据流及该数据流的发送方进行分析，如图22所示。该方法可以作为确定数据上一次受信任的时间的基础。标称极限值由功能、系统制造商或用例本身来确定。所述用例可能因每个ECU和每个用例而不同。基于该极限值，数据可以被分类为有效的、无效的或不可信的。

查询部件可以是数据记录器、云存储单元，其想要检查关于检验部件的存储数据集(比如传感器数据流)的命令。例如，这可以通过检查地址、流或时间戳来完成。为此，检查上一次成功的同步，并且确定数据上一次有效的时间。检查存储器，并且拒绝不正确地同步的数据集。

附图标记列表

1 机动车辆

2 以太网车载网络

3 第一控制单元

4 第二控制单元

5 第三控制单元

6 第一连接路径

7 第二连接路径

8 第三连接路径

9 第一信号的传播时间

10 第一信号

11 第一连接路径的最大速度

12 第一连接路径的传输介质的类型

13 程序

14 连接路径选择

15 传输安全性值

16 第二信号的传播时间

17 第二信号

18 第二连接路径的最大速度

19 第二连接路径的传输介质的类型

20 服务消息

21 第三信号的传播时间

22 第三信号

23 速度

24 介质

25 电缆长度

26 电力传输

27 误比特率

28 动态密钥

29 时间同步消息

200 熵源

211 在时间t1发送

212 在时间t4接收

213 在时间t4接收

221 在时间t2接收

222 在时间t3发送

223 在时间t3延迟发送

300 在时间t5加密消息

400 控制单元

402 微处理器

404 RAM

406 ROM

408 通信接口

410 定时器

412 总线/通信接口

1001 接收加密消息

1002 开始线路延迟测量以及频率测量

1003 请求上一次的线路测量以及频率参数

1004 生成密钥

1005 对消息进行解密

Claims (17)

1.一种用于检查机动车辆(1)中的以太网车载网络(2)的传感器数据的有效性的方法，其中，执行以下步骤：

d)确定第一信号(10)在以太网车载网络(2)的第一控制单元(3)与以太网车载网络(2)的第二控制单元(4)之间的第一连接路径(6)上的传播时间(9)；

e)基于该传播时间(9)来确定第一连接路径(6)的最大速度(11)；以及

f)基于该最大速度(11)来确定第一连接路径(6)的传输介质的类型(12)，

其特征在于，执行以下步骤：

-识别以太网车载网络(2)的至少一个第一控制单元(3)；

-同步以太网车载网络(2)的至少一个第一控制单元(3)；

-确定同步间隔；

-确定该第一控制单元(3)的定时器(410)的漂移；

-确定该第一控制单元(3)的时间戳；

-读取第一控制单元(3)的时间戳或查询该第一控制单元(3)的时间；

-将该时间戳与以太网车载网络(3)的参考时钟进行比较；

-执行传播时间测量；

-确定相关联的时钟发生器的速度；

-确定该同步间隔的时间差；

-确定末次的同步。

2.根据权利要求1所述的方法，其特征在于，通过IEEE 802.1AS协议来确定定时器的漂移。

3.根据权利要求1或2所述的方法，其特征在于，时间戳与以太网车载网络(3)的参考时钟的比较实现以T偏差＝T参考-T可疑的形式计算差值。

4.根据权利要求1至3之一所述的方法，其特征在于，

通过PTP NRR方法(邻居速率比)来确定时钟发生器的速度。

5.根据权利要求1至4之一所述的方法，其特征在于，

将传输介质的类型(12)以及

-同步间隔的确定

-第一控制单元(3)的定时器(410)的漂移的确定

-第一控制单元(3)的时间戳的确定

-相关联的时钟发生器的速度的确定

-同步间隔的时间差的确定

-末次的同步的确定

传送到以太网车载网络(2)中的程序(13)，并且基于传输介质的类型(12)来适配程序(13)的连接路径选择(14)。

6.根据权利要求1至5之一所述的方法，其特征在于，传输介质(12)的类型被确定为是光学的、铜的或无线的。

7.根据前述权利要求之一所述的方法，其特征在于，基于传输介质的类型(12)将传输安全性值(15)指派给第一连接路径(6)，该传输安全性值描述了通过第一连接路径(6)传输的数据的丢失概率。

8.根据前述权利要求之一所述的方法，其特征在于，确定第一连接路径(6)上的多个信号的传播时间并选择该多个信号中的最快传播时间，该第一连接路径(6)的最大速度(11)是基于该最快传播时间来确定的。

9.根据前述权利要求之一所述的方法，其特征在于，确定第一控制单元(3)与第二控制单元(4)之间的、不同于第一连接路径(6)的第二连接路径(7)上的第二信号(17)的传播时间(16)，并确定第二连接路径(7)的最大速度(11)，第二连接路径(7)的传输介质的类型(19)是基于该第二连接路径(7)的最大速度(11)来确定的。

10.根据前述权利要求之一所述的方法，其特征在于，在第一控制单元(3)从正常操作模式变为节能模式和/或从节能模式变为正常操作模式之后执行该方法。

11.根据前述权利要求之一所述的方法，其特征在于，使用第一控制单元(3)确定第一信号(10)的传播时间(9)，使用以太网车载网络(2)的第三控制单元(5)确定在以太网车载网络(2)的第二控制单元(4)与第三控制单元(5)之间的、仅间接连接至第一控制单元(3)的第三连接路径(8)上的第三信号(22)的传播时间(21)，其中，对第三信号(22)的传播时间(21)的确定由从第一控制单元(3)发送至第三控制单元(5)的服务消息(20)触发。

12.一种用于以太网车载网络(2)的控制单元，该控制单元作为第一控制单元(3)被设计为：

-向以太网车载网络(2)的第二控制单元(4)发送信号(10)并从第二控制单元(4)接收信号(10)；

-确定信号(10)在通向第二控制单元(4)的连接路径(6)上的传播时间(9)；

-基于该传播时间(9)来确定连接路径(6)的最大速度(11)；以及

-基于该最大速度(11)来确定连接路径(6)的传输介质的类型(12)，

并且至少包括

-微处理器(402)，

-易失性存储器(404)和非易失性存储器(406)，

-至少两个通信接口(408)，

-可同步定时器(410)，

该非易失性存储器(406)包含程序指令，在由该微处理器(402)执行这些程序指令时，

其特征在于，能够实施并能够执行根据权利要求1至10所述的方法的至少一个实施方案。

13.一种用于机动车辆(1)的以太网车载网络(2)，以太网车载网络具有第一控制单元(3)和第二控制单元(4)，其中，这些控制单元(3，4)通过至少一个连接路径(6，7)彼此连接，并且该第一控制单元(3)根据权利要求11构造。

14.根据权利要求11所述的以太网车载网络，其特征在于，

以太网车载网络(2)包括第三控制单元(5)，该第三控制单元仅间接连接至第一控制单元(3)并通过第三连接路径(8)直接连接至第二控制单元(4)，其中，第三控制单元(5)被设计为确定第三信号(22)在第三连接路径(8)上的传播时间(21)，其中，第一控制单元(3)被设计为通过送向第三控制单元(5)的服务消息(20)来触发对第三信号(22)的传播时间(21)的确定。

15.一种计算机程序产品，其包括指令，当由计算机执行该程序时，这些指令使计算机执行根据权利要求1至10中的一项或多项所述的方法(200)。

16.一种计算机可读介质，在其上存储有根据权利要求14所述的计算机程序产品。

17.一种车辆，其包括具有多个根据权利要求12所述的控制单元(3，4，5)的以太网车载网络。

Images