DE102012218488A1

DE102012218488A1 - Verfahren und Vorrichtung zum Betreiben einer Anwendung eines Fahrzeugs

Info

Publication number: DE102012218488A1
Application number: DE102012218488.0A
Authority: DE
Inventors: Stefan Götz; Ulrich Stählin
Original assignee: Continental Automotive GmbH
Current assignee: Continental Automotive GmbH
Priority date: 2012-10-10
Filing date: 2012-10-10
Publication date: 2014-06-12
Also published as: WO2014056731A1; US9736170B2; US20150271185A1; CN104704792B; CN104704792A; EP2907288A1

Abstract

Hierbei wird eine jeweilige empfangene Fahrzeug-zu-X-Nachricht (N) abhängig von einer vorgegebenen Information der Fahrzeug-zu-X-Nachricht (N) zumindest teilweise an zumindest eine Anwendung (30) eines Fahrzeugs weitergeleitet. Die Fahrzeug-zu-X-Nachricht (N) umfasst hierbei eine digitale Signatur. Abhängig von einem Entscheidungssignal (D), das in Antwort auf die Weiterleitung der Fahrzeug-zu-X-Nachrichten (N) an die zumindest eine Anwendung (30) bereitgestellt wird und das eine Aussage repräsentiert darüber, ob die Fahrzeug-zu-X-Nachrichten (N) Daten umfassen, die eine Ausführung einer vorgegebenen Aktion der Anwendung (30) auslösen, werden die digitalen Signaturen der Fahrzeug-zu-X-Nachrichten (N_rel) validiert, die entscheidungsrelevant sind dafür, dass die Aktion ausgeführt werden soll. Ferner wird ein Signal (S) bereitgestellt abhängig von einem Ergebnis der Validierung der digitalen Signaturen, das repräsentativ ist für eine Zuverlässigkeit der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel).

Description

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum Betreiben einer Anwendung eines Fahrzeugs und ein Fahrzeugsystem, das die Vorrichtung und die Anwendung umfasst.
Bei der Fahrzeug-zu-Fahrzeug-Kommunikation und der Fahrzeugzu-Infrastruktur-Kommunikation kommunizieren Fahrzeuge mit weiteren Fahrzeugen oder Fahrzeuge mit Infrastruktureinrichtungen. Diese Kommunikation wird insgesamt auch als Fahrzeug-zu-X-Kommunikation (V2X-Kommunikation) bezeichnet. Derartige V2X-Systeme dienen insbesondere zum Austausch von Daten zur Anwendung in einem Fahrassistenzsystem und/oder einem Sicherheitssystem von Fahrzeugen. Ein Problem stellt das Sicherstellen der notwendigen Datenauthentizität der übermittelten Fahrzeug-zu-X-Informationen dar, da diese Informationen auch als Grundlage für Eingriffe in die Fahrzeugsteuerung genutzt werden können. Eine falsche oder schlimmstenfalls sogar gefälschte Fahrzeug-zu-X-Information kann daher schwerwiegende Folgen haben und muss zuverlässig als nicht vertrauenswürdig erkannt werden.
Die Aufgabe, die der Erfindung zu Grunde liegt, ist es, ein Verfahren und eine korrespondierende Vorrichtung zum Betreiben einer Anwendung für ein Fahrzeug sowie ein Fahrzeugsystem zu schaffen, die einen Beitrag dazu leisten, eine Effizienz und/oder Zuverlässigkeit einer Ausführung der Anwendung im Fahrzeug zu erhöhen.
Die Aufgabe wird gelöst durch die Merkmale der unabhängigen Patentansprüche. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen gekennzeichnet.
Gemäß einem ersten und zweiten Aspekt zeichnet sich die Erfindung aus durch ein Verfahren und eine korrespondierende Vorrichtung zum Betreiben zumindest einer Anwendung für ein Fahrzeug. Hierbei wird eine jeweilige empfangene Fahrzeug-zu-X-Nachricht abhängig von einer vorgegebenen Information der Fahrzeug-zu-X-Nachricht zumindest teilweise an die zumindest eine Anwendung weitergeleitet. Die Fahrzeug-zu-X-Nachricht umfasst hierbei eine digitale Signatur. Abhängig von einem Entscheidungssignal, das in Antwort auf die Weiterleitung der Fahrzeug-zu-X-Nachrichten an die zumindest eine Anwendung bereitgestellt wird und das eine Aussage repräsentiert darüber, ob die Fahrzeug-zu-X-Nachrichten Daten umfassen, die eine Ausführung einer vorgegebenen Aktion der Anwendung auslösen, werden die digitalen Signaturen der Fahrzeug-zu-X-Nachrichten validiert, die entscheidungsrelevant sind dafür, dass die Aktion ausgeführt werden soll. Ferner wird ein Signal bereitgestellt abhängig von einem Ergebnis der Validierung der digitalen Signaturen, das repräsentativ ist für eine Zuverlässigkeit der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten.
Dies hat den Vorteil, dass für die Fahrzeug-zu-X-Kommunikation eine Public-Key-Infrastruktur (PKI) genutzt werden kann. Es können kryptografische Alogrithmen genutzt werden.
Die Fahrzeug-zu-X-Nachrichten weisen jeweils eine digitale Signatur auf. Besonders vorteilhaft ist, dass die jeweiligen Anwendungen entscheiden, ob eine Fahrzeug-zu-X-Nachricht genutzt wird und abhängig davon, ob die empfangene Fahrzeug-zu-X-Nachricht tatsächlich relevant für das Fahrzeug ist, kann die Fahrzeug-zu-Nachricht validiert werden. Dies hat den Vorteil, dass nicht die digitalen Signaturen sämtlicher empfangener Fahrzeug-zu-X-Nachrichten validiert werden müssen. Dadurch kann Rechenleistung eingespart werden und Herstellkosten für eine Sicherheitseinrichtung, die ausgebildet ist, die Validierung der digitalen Signaturen durchzuführen, gesenkt werden. Ferner kann dies einen Beitrag leisten, eine Zuverlässigkeit des Erkennens der Vertrauenswürdigkeit der Fahrzeug-zu-X-Nachrichten zu erhöhen, da mehr Rechenleistung darauf verwendet werden kann, schneller und/oder genauer zu prüfen.
Die jeweilige Anwendung des Fahrzeugs kann ein Fahrassistenzsystem und/oder ein Sicherheitssystem und/oder ein Komfortsystem des Fahrzeugs umfassen. Die jeweilige Aktion kann hierbei insbesondere eine jeweilige Fahrzeugfunktion umfassen, die für einen Fahrzeugnutzer erkennbar ist, beispielsweise eine Informationssignalisierung für einen Fahrer, eine Warnsignalsignalisierung, einen Eingriff in die Fahrdynamik des Fahrzeugs und so weiter.
In einer vorteilhaften Ausgestaltung des ersten und zweiten Aspekts werden die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten validiert und das Signal bereitgestellt vor einer Ausführung der vorgegebenen Aktion der Anwendung, und abhängig von dem Signal wird die Ausführung der vorgegebenen Aktion der Anwendung gestartet. Vorteilhafterweise ermöglicht dies, die Validierung, und damit die Überprüfung der Vertrauenswürdigkeit der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten, vor der Ausführung der vorgegebenen Aktion durchzuführen. Dies kann vorteilhaft genutzt werden für Aktionen, die insbesondere die Sicherheit des Fahrzeugs betreffen.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten und zweiten Aspekt werden die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten validiert und das Signal bereitgestellt während der Ausführung der vorgegebenen Aktion und abhängig von dem bereitgestellten Signal wird die Ausführung der zumindest einen vorgegebenen Aktion der Anwendung gestoppt. Vorteilhafterweise ermöglicht dies, die Validierung, und damit die Überprüfung der Vertrauenswürdigkeit der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten, bereits während der Ausführung der vorgegebenen Aktion durchzuführen. Dies kann vorteilhaft genutzt werden für Aktionen, die sehr zeitkritisch sind und eine schnelle Reaktion erfordern.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten und zweiten Aspekt ist der vorgegebenen Aktion eine Dringlichkeit zugeordnet und abhängig von der Dringlichkeit der Aktion werden die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten validiert und das Signal erzeugt, entweder bevor die vorgegebene Aktion der Anwendung gestartet wird oder während die vorgegebene Aktion der Anwendung ausgeführt wird. Mit der Zuordnung der Dringlichkeit kann einfach vorgegeben werden, welche der Aktionen sehr zeitkritisch sind und welche eher nicht. Dies ermöglicht eine einfache Entscheidung, ob die Validierung vor der Ausführung der jeweiligen Aktion oder während der Ausführung der Aktion zu erfolgen hat.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten und zweiten Aspekt ist die Dringlichkeit vorgegeben. Dies ermöglicht eine einfache Auswertung der jeweiligen Dringlichkeit für die jeweilige Aktion und damit eine sehr schnelle Entscheidung, ob die Validierung vor der Ausführung der jeweiligen Aktion oder während der Ausführung der Aktion zu erfolgen hat.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten und zweiten Aspekt wird die Dringlichkeit abhängig von zumindest einer der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten ermittelt. Dies hat den Vorteil, dass die Dringlichkeit zeitnah bestimmt werden kann. Die jeweilige entscheidungsrelevante Fahrzeug-zu-X-Nachricht kann Nutzdaten umfassen, die eine mögliche Reaktionszeit für die Ausführung der vorgegebenen Aktion vorgeben, beispielsweise Nutzdaten, die eine Zeitdauer bis zu einer Kollision (Time-to-Collision, TTC) repräsentieren.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten und zweiten Aspekt gilt die Validierung als abgeschlossen und das Signal wird bereitgestellt, sobald eine der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten als unzuverlässig klassifiziert wird. Vorteilhafterweise kann dies eine Zeitdauer für die Validierung gering halten. Sobald eine der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten als nicht vertrauenswürdig und damit als nicht zuverlässig klassifiziert wird, kann die Validierung abgebrochen werden und die Ausführung der jeweiligen Aktion wird nicht gestartet beziehungsweise gestoppt.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten und zweiten Aspekt werden, wenn eine Gesamtanzahl der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten einen oberen Grenzwert überschreitet, die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten stichprobenartig validiert. Vorteilhafterweise ermöglicht dies eine schnelle Validierung der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten. Dies kann besonders vorteilhaft genutzt werden, wenn die Gesamtzahl der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten sehr groß ist, beispielsweise bei einer Stauwarnung, die von einer Vielzahl von Fahrzeugen versendet wird.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten und zweiten Aspekt werden abhängig von einer Anzahl von Fahrzeug-zu-X-Nachrichten, die in einer vorgegebenen Zeitspanne empfangen werden, die digitale Signatur einer oder mehrerer spezifischer Fahrzeug-zu-X-Nachrichten validiert, bevor sie jeweils der zumindest einen Anwendung zugeordnet werden, wobei die jeweilige Fahrzeug-zu-X-Nachricht als spezifische Fahrzeug-zu-X-Nachricht klassifiziert wird abhängig von zumindest einem vorgegebenen Kriterium. Dies kann vorteilhaft genutzt werden, wenn eine Rechenkapazität der Sicherheitseinrichtung, die ausgebildet ist, die Validierung der digitalen Signaturen durchzuführen, nicht vollständig oder nicht sehr stark ausgelastet ist. In diesem Fall können die digitalen Signaturen dieser spezifischen Fahrzeug-zu-X-Nachrichten bereits validiert werden, bevor sie einer jeweiligen Anwendung zugeordnet werden und bevor sie als entscheidungsrelevant klassifiziert sind. Dies ermöglicht, dass die jeweilige spezifische Fahrzeug-zu-X-Nachricht nicht mehr validiert werden muss, wenn sie für eine Entscheidung, ob die jeweilige vorgegebene Aktion ausgeführt wird, genutzt wird.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten und zweiten Aspekt wird, wenn mehrere Entscheidungssignale gleichzeitig oder innerhalb einer vorgegebenen Zeitspanne bereitgestellt werden, jeweils eine Aktionspriorität ermittelt für die jeweiligen Aktionen, abhängig von vorgegebenen Regeln und abhängig von den jeweils ermittelten Aktionsprioritäten werden die jeweiligen entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten der Aktionen validiert. Vorteilhafterweise ermöglich dies, wenn mehrere Anwendungen gleichzeitig oder nahezu gleichzeitig entscheiden, dass eine vorgegebene Anwendung auszuführen ist, abhängig von den jeweiligen Aktionsprioritäten ermittelt werden kann, welche der Aktionen überhaupt ausgeführt werden sollen und/oder in welcher Reihenfolge die jeweiligen Aktionen ausgeführt werden.
Gemäß einem dritten Aspekt zeichnet sich die Erfindung aus durch ein Fahrzeugsystem, das eine Vorrichtung gemäß dem zweiten Aspekt umfasst und eine vorgegebene Anwendung des Fahrzeugs, wobei die Anwendung ausgebildet ist, abhängig von den an die Anwendung zumindest teilweise weitergeleiteten Fahrzeug-zu-X-Nachrichten zu entscheiden, ob zumindest eine vorgegebene Aktion der Anwendung auszuführen ist. Ferner ist die Anwendung ausgebildet, das Entscheidungssignal, das repräsentativ ist dafür, dass die Fahrzeug-zu-X-Nachrichten Daten umfassen, die eine Ausführung einer vorgegebenen Aktion der Anwendung auslösen, für die Vorrichtung bereitzustellen. Ferner ist die Anwendung ausgebildet, abhängig von dem von der Vorrichtung erzeugten Signal, das repräsentativ ist für die Zuverlässigkeit der entscheidungsrelevanten Fahrzeug-zu-X-Nachricht, die Ausführung der zumindest einen vorgegebenen Aktion zu steuern.
Vorteilhafte Ausgestaltungen des ersten und zweiten Aspekts gelten hierbei auch für den dritten Aspekt.
Ausführungsbeispiele der Erfindung sind im Folgenden anhand der schematischen Zeichnungen erläutert. Es zeigen:
1 ein Blockschaltbild für ein Fahrzeugsystem,
2 ein beispielhaftes Ablaufdiagramm für ein erstes Programm zum Betreiben einer Anwendung und
3 ein beispielhaftes Ablaufdiagramm für ein zweites Programm zum Betreiben der Anwendung.
Elemente gleicher Konstruktion oder Funktion sind figurenübergreifend mit den gleichen Bezugszeichen versehen.
1 zeigt ein Ausführungsbeispiel für ein Fahrzeugsystem 10.
Das Fahrzeugsystem 10 umfasst eine Anwendung 30 für ein Fahrzeug und eine Vorrichtung 20 zum Betreiben der Anwendung 30. Der Vorrichtung 20 ist in diesem Ausführungsbeispiel eine Kommunikationseinrichtung 22 zugeordnet. Alternativ kann die Vorrichtung 20 die Kommunikationseinrichtung 22 umfassen.
Die Vorrichtung 20 kann eine spezifische Steuervorrichtung des Fahrzeugs umfassen oder eine zentrale Recheneinheit des Fahrzeugs. Die Vorrichtung 20 ist mit der Kommunikationseinrichtung 22 signaltechnisch gekoppelt. Die Kommunikationseinrichtung 22 ist ausgebildet, vorgegebene Fahrzeug-zu-X-Nachrichten N von anderen Fahrzeugen und/oder Infrastruktureinrichtungen, die sich in einer vorgegebenen Umgebung des Fahrzeugs befinden, zu empfangen. Die Fahrzeug-zu-X-Nach-richten N umfassen Nutzdaten und Sicherheitsdaten. Die Fahrzeug-zu-X-Nachrichten N umfassen eine digitale Signatur. Dies ermöglicht eine Vertrauenswürdigkeit der Fahrzeug-zu-X-Nach-richt N zu prüfen. Eine Berechnung der digitalen Signatur kann beispielsweise auf einem Elliptische-Kurven-Kryptogra-phie-Algorithmus basieren.
Die Anwendung 30 umfasst beispielsweise ein Fahrerassistenzsystem. Alternativ oder zusätzlich kann die Anwendung 30 ein Sicherheitssystem des Fahrzeugs und/oder ein Komfortsystem des Fahrzeugs umfassen. Die Anwendung 30 ist ausgebildet, abhängig von der an die Anwendung 30 zumindest teilweise weitergeleiteten Fahrzeug-zu-X-Nachrichten N zu entscheiden, ob zumindest eine vorgegebene Aktion der Anwendung 30 auszuführen ist. Ferner ist die Anwendung 30 ausgebildet, ein Entscheidungssignal D, das repräsentativ ist dafür, dass die Fahrzeug-zu-X-Nachrichten N Daten umfassen, die eine Ausführung einer vorgegebenen Aktion der Anwendung 30 auslösen, für die Vorrichtung 20 bereitzustellen. Ferner ist die Anwendung 30 ausgebildet, abhängig von dem von der Vorrichtung 20 erzeugten Signal S, das repräsentativ ist für die Zuverlässigkeit der entscheidungsrelevanten Fahrzeug-zu-X-Nachricht N_rel, die Ausführung der zumindest einen vorgegebenen Aktion zu steuern.
Die Vorrichtung 20 kann beispielsweise ausgebildet sein, eine jeweilige Kopie der Fahrzeug-zu-X-Nachricht N zwischenzuspeichern und zu kennzeichnen. Die Anwendung 30 kann ausgebildet sein, der Vorrichtung 20 zu signalisieren, welche Fahrzeugzu-X-Nachrichten N entscheidungsrelevant sind für die jeweilige Aktion, beispielsweise unter Nutzung dieser Kennzeichnung, sodass die Vorrichtung 20 die Validierung der Signaturen der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel für die jeweilige Aktion ausführen kann.
2 zeigt ein beispielhaftes Ablaufdiagramm für ein erstes Programm zum Betreiben einer Anwendung 30 eines Fahrzeugs. Die Vorrichtung 20 zum Betreiben der Anwendung 30 des Fahrzeugs umfasst beispielsweise eine Recheneinheit sowie einen Programmspeicher und ist ausgebildet, das erste Programm auszuführen.
In dem in 2 gezeigten Ablaufdiagramm wird in einem Schritt S10 das erste Programm gestartet. Das erste Programm kann beispielsweise mit einer Aktivierung des Fahrzeugs gestartet werden.
In einem Schritt S12 wird eine jeweilige vorgegebene Information der jeweils empfangenen Fahrzeug-zu-X-Nachricht N ausgewertet und abhängig von der vorgegebenen Information der Fahrzeug-zu-X-Nachricht N wird die Fahrzeug-zu-X-Nachricht N zumindest teilweise an die zumindest eine Anwendung 30 weitergeleitet. Die Fahrzeug-zu-X-Nachricht N umfasst hierbei eine digitale Signatur.
In einem Schritt S14 wird detektiert, ob von der zumindest einen Anwendung 30 ein Entscheidungssignal D bereitgestellt wird. Es können auch mehrere Entscheidungssignale D von mehreren Anwendungen 30 gleichzeitig oder näherungsweise gleichzeitig bereitgestellt beziehungsweise detektiert werden.
In einem Schritt S16 werden abhängig von dem jeweiligen Entscheidungssignal D, das in Antwort auf die Weiterleitung der Fahrzeug-zu-X-Nachrichten N an die zumindest eine Anwendung 30 bereitgestellt wird und das eine Aussage repräsentiert darüber, ob die Fahrzeug-zu-X-Nachrichten N Daten umfassen, die eine Ausführung einer vorgegebenen Aktion der Anwendung 30 auslösen, die digitale Signaturen der Fahrzeug-zu-X-Nachrichten N_rel validiert, die entscheidungsrelevant sind dafür, dass die Aktion ausgeführt werden soll.
Die Validierung umfasst hierbei insbesondere eine Überprüfung, ob die entscheidungsrelevante Fahrzeug-zu-X-Nachricht N_rel vertrauenswürdig ist abhängig von der digitalen Signatur.
Wird in dem Schritt S16 festgestellt, dass die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel vertrauenswürdig sind, wird beispielsweise in einem Schritt S18 ein Steuersignal erzeugt und ausgegeben, das einen ersten Zustand Z1 aufweist, wobei der erste Zustand repräsentativ ist dafür, dass die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel eine ausreichende Zuverlässigkeit aufweisen und dass die vorgegebene Aktion der Anwendung 30 ausgeführt werden kann.
Wird in dem Schritt S16 festgestellt, dass die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel nicht vertrauenswürdig sind, wird beispielsweise in dem Schritt S18 das Steuersignal erzeugt und ausgegeben, das einen zweiten Zustand Z2 aufweist, wobei der zweite Zustand repräsentativ ist dafür, dass die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel keine ausreichende Zuverlässigkeit aufweisen und dass die vorgegebene Aktion der Anwendung 30 nicht ausgeführt werden soll.
Vorzugweise wird das erste Programm nach dem Schritt S18 in dem Schritt S12 fortgesetzt. In einem Schritt S19 kann das Programm beendet werden.
Hierbei kann vorgesehen sein, dass der vorgegebenen Aktion eine Dringlichkeit zugeordnet ist und abhängig von der Dringlichkeit der Aktion wird die entscheidungsrelevante Fahrzeug-zu-X-Nachricht N_rel validiert und das Signal S erzeugt.
Weist beispielsweise die Aktion eine niedrige oder mittlere Dringlichkeit auf, kann die entscheidungsrelevante Fahrzeug-zu-X-Nachricht N_rel validiert und das Signal S bereitgestellt werden vor einer Ausführung der vorgegebenen Aktion der Anwendung 30. Abhängig von dem Signal S wird die Ausführung der vorgegebenen Aktion der Anwendung 30 gestartet oder nicht gestartet.
Weist dagegen die Aktion eine hohe Dringlichkeit auf, kann die entscheidungsrelevante Fahrzeug-zu-X-Nachricht N_rel validiert und das Signal S bereitgestellt werden während der Ausführung der vorgegebenen Aktion. Abhängig von dem bereitgestellten Signal S wird die Ausführung der zumindest einen vorgegebenen Aktion der Anwendung 30 entweder gestoppt oder weiter ausgeführt. Dies kann vorteilhaft genutzt werden für zeitkritische Aktionen, die eine möglichst schnelle Reaktion erfordern und nicht mehrere Millisekunden für die Validierung warten können. Solch eine zeitkritische Aktion kann beispielsweise eine Aktivierung einer Warnlampe und/oder ein Vorfüllen der Bremsen umfassen. Zeitgleich oder näherungsweise zeitgleich mit dem Beginn der Aktion wird die Validierung gestartet.
Die Dringlichkeit der jeweiligen vorgegebenen Aktion kann hierbei vorgegeben sein oder kann abhängig von zumindest einer der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel ermittelt werden.
Ferner kann vorgesehen sein, dass, insbesondere wenn die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel sukzessive und/oder der Reihe nach validiert werden, die Validierung bereits als abgeschlossen gilt und das Signal S bereitgestellt wird, sobald eine der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel als unzuverlässig klassifiziert wird.
Ferner kann vorgesehen sein, dass wenn sehr viele entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel für die jeweilige Aktion vorliegen, jeweils eine Stichprobe gezogen wird aus der Menge der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel für diese Aktion. Ist beispielsweise die Validierung der Stichprobe erfolgreich, so wird die Aktion durchgeführt. In einem vorgegebenen nächsten Zeitschritt wird die nächste Stichprobe verifiziert. Dieser Vorgang wird solange wiederholt, bis die Anwendung 30 die Aktion beendet hat oder die Anwendung 30 stoppt.
Des Weiteren kann vorgesehen sein, dass wenn mehrere Entscheidungssignale D gleichzeitig oder innerhalb einer vorgegebenen Zeitspanne bereitgestellt werden, jeweils eine Aktionspriorität ermittelt wird für die jeweilige Aktion, abhängig von vorgegebenen Regeln und abhängig von den jeweils ermittelten Aktionsprioritäten werden die jeweiligen entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten N_rel der Aktionen validiert.
3 zeigt ein beispielhaftes Ablaufdiagramm für ein zweites Programm zum Betreiben einer Anwendung 30 eines Fahrzeugs. Die Vorrichtung 20 ist ausgebildet, zusätzlich oder alternativ zu dem ersten Programm das zweite Programm auszuführen.
Die Programmschritte S20, S22, S24, S26, S28 und S29 des zweiten Programms entsprechen hierbei den Programmschritten S10 bis S19 des ersten Programms.
Im Unterschied zu dem ersten Programm erfolgt in dem zweiten Programm in einem Schritt S21 eine Abfrage, wie groß die Anzahl von empfangenen Fahrzeug-zu-X-Nachrichten N ist und einer damit verbundenen Überprüfung einer Rechenauslastung der Vorrichtung 20. Weist die Vorrichtung 20 ausreichend Rechenkapazität C auf, wird in einem Schritt S23 die digitale Signatur einer oder mehrer spezifischer Fahrzeug-zu-X-Nachrichten N_spe validiert, bevor sie jeweils der zumindest einen Anwendung 30 zugeordnet wird. Ergibt die Validierung der jeweiligen spezifischen Fahrzeug-zu-X-Nachricht N_spe, dass diese vertrauenswürdig ist, wird die jeweilige spezifische Fahrzeug-zu-X-Nachricht N_spe abhängig den vorgegebenen Information zumindest teilweise in einem Schritt S25 an die jeweilige Anwendung 30 weitergeleitet. Die Anwendung 30 ist in diesem Falle ausgebildet, diese vertrauenswürdige spezifische Fahrzeug-zu-X-Nachricht N_spe geeignet auszuwerten.
Die jeweilige Fahrzeug-zu-X-Nachricht N wird hierbei als spezifische Fahrzeug-zu-X-Nachricht N_spe klassifiziert abhängig von zumindest einem vorgegebenen Kriterium. Die Klassifizierung als spezifische Fahrzeug-zu-X-Nachricht N_spe kann beispielsweise anhand folgender Kriterien erfolgen:

– Rangordnung, d. h. in einer Vorverarbeitung wird eine Rangordnung der Fahrzeug-zu-X-Nachrichten N ermittelt und abhängig von dieser Rangordnung werden die Fahrzeug-zu-X-Nachrichten N als spezifische Fahrzeug-zu-X-Nachricht N_spe klassifiziert;
– Abstand, d. h. die Fahrzeug-zu-X-Nachricht N, die den kleinsten Abstand des anderen Fahrzeugs zu dem Fahrzeug signalisiert, wird als spezifische Fahrzeug-zu-X-Nachricht N_spe klassifiziert;
– Zeit bis zur Kollision (TTC), d. h. die Fahrzeug-zu-X-Nachricht N, die die kleinste Zeit bis zur Kollision signalisiert, wird als spezifische Fahrzeug-zu-X-Nachricht N_spe klassifiziert;
– Historie, d. h. die Fahrzeug-zu-X-Nachrichten N, die periodisch versendet werden und die bei einem vorherigen Zyklus bereits interessant und/oder entscheidungsrelevant waren, werden als spezifische Fahrzeug-zu-X-Nachrichten N_spe klassifiziert;
– Flags, d. h. die Fahrzeug-zu-X-Nachrichten N, die eine besondere Kennzeichnung aufweisen, zum Beispiel Rettungswagen oder Notbremsung, werden als spezifische Fahrzeug-zu-X-Nachrichten N_spe klassifiziert;
– Nachrichtentyp, d. h. die Fahrzeug-zu-X-Nachrichten N werden abhängig von einem Nachrichtentyp, den sie aufweisen, als spezifische Fahrzeug-zu-X-Nachrichten N_spe klassifiziert; mögliche Nachrichtentypen sind hierbei SPaT (signal phase and timing), DENM (Decentralised Environmental Notification Message) und CAM (Cooperative Awareness Messages). Insbesondere kann abhängig von dem Nachrichtentyp auch eine Reihenfolge einer Auswertung vorgegeben werden.

Bezugszeichenliste

10: Fahrzeugsystem
20: Vorrichtung zum Betreiben einer Anwendung
22: Kommunikationseinrichtung
30: Anwendung eines Fahrzeugs
C: Rechenkapazität
D: Entscheidungssignal
N: Fahrzeug-zu-X-Nachricht
N_rel: entscheidungsrelevante Fahrzeug-zu-X-Nachricht
N_spe: spezifische Fahrzeug-zu-X-Nachricht
S: Signal
S10 ... S29: Programmschritte
Z1: erster Zustand
Z2: zweiter Zustand

Claims

Verfahren zum Betreiben zumindest einer Anwendung (30) für ein Fahrzeug, bei dem – eine jeweilige empfangene Fahrzeug-zu-X-Nachricht (N) abhängig von einer vorgegebenen Information der Fahrzeug-zu-X-Nachricht (N) zumindest teilweise an die zumindest eine Anwendung (30) weitergeleitet wird, wobei die Fahrzeug-zu-X-Nachricht (N) eine digitale Signatur umfasst, – abhängig von einem Entscheidungssignal (D), das in Antwort auf die Weiterleitung der Fahrzeug-zu-X-Nachrichten (N) an die zumindest eine Anwendung (30) bereitgestellt wird und das eine Aussage repräsentiert darüber, ob die Fahrzeug-zu-X-Nachrichten (N) Daten umfassen, die eine Ausführung einer vorgegebenen Aktion der Anwendung (30) auslösen, die digitale Signaturen der Fahrzeug-zu-X-Nachrichten (N_rel) validiert werden, die entscheidungsrelevant sind dafür, dass die Aktion ausgeführt werden soll, und – abhängig von einem Ergebnis der Validierung der digi talen Signaturen ein Signal (S) bereitgestellt wird, das repräsentativ ist für eine Zuverlässigkeit der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel).
Verfahren nach Anspruch 1, bei dem die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel) validiert werden und das Signal (S) bereitgestellt wird vor einer Ausführung der vorgegebenen Aktion der Anwendung (30), und abhängig von dem Signal (S) die Ausführung der vorgegebenen Aktion der Anwendung (30) gestartet wird.
Verfahren nach Anspruch 1, bei dem die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel) validiert werden und das Signal (S) bereitgestellt wird während der Ausführung der vorgegebenen Aktion und abhängig von dem bereitgestellten Signal (S) die Ausführung der zumindest einen vorgegebenen Aktion der Anwendung (30) gestoppt wird.
Verfahren nach einem der Ansprüche 2 oder 3, bei dem der vorgegebenen Aktion eine Dringlichkeit zugeordnet ist und abhängig von der Dringlichkeit der Aktion die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel) validiert und das Signal (S) erzeugt wird, entweder bevor die vorgegebene Aktion der Anwendung (30) gestartet wird oder während die vorgegebene Aktion der Anwendung (30) ausgeführt wird.
Verfahren nach Anspruch 4, bei dem die Dringlichkeit vorgegeben ist.
Verfahren nach Anspruch 4, bei dem die Dringlichkeit abhängig von zumindest einer der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel) ermittelt wird.
Verfahren nach einem der vorstehenden Ansprüche, bei dem die Validierung als abgeschlossen gilt und das Signal (S) bereitgestellt wird, sobald eine der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel) als unzuverlässig klassifiziert wird.
Verfahren nach einem der vorstehenden Ansprüche, bei dem, wenn eine Gesamtanzahl der entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel) einen oberen Grenzwert überschreitet, die entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel) stichprobenartig validiert werden.
Verfahren nach einem der vorstehenden Ansprüche, bei dem abhängig von einer Anzahl von Fahrzeug-zu-X-Nachrichten (N), die in einer vorgegebenen Zeitspanne empfangen werden, die digitale Signatur einer oder mehrer spezifischer Fahrzeug-zu-X-Nachrichten (N_spe) validiert werden, bevor sie jeweils der zumindest einen Anwendung (30) zugeordnet werden, wobei die jeweilige Fahrzeug-zu-X-Nachricht (N) als spezifische Fahrzeug-zu-X-Nachricht (N_spe) klassifiziert wird abhängig von zumindest einem vorgegebenen Kriterium.
Verfahren nach einem der vorstehenden Ansprüche, bei dem, wenn mehrere Entscheidungssignale (D) gleichzeitig oder innerhalb einer vorgegebenen Zeitspanne bereitgestellt werden, – jeweils eine Aktionspriorität ermittelt wird für die jeweilige Aktion abhängig von vorgegebenen Regeln und – abhängig von den jeweils ermittelten Aktionsprioritä ten die jeweiligen entscheidungsrelevanten Fahrzeug-zu-X-Nachrichten (N_rel) der Aktionen validiert werden.
Vorrichtung (20) zum Betreiben einer Anwendung (30) für eine Anwendung (30), die ausgebildet ist, das Verfahren nach einem der Ansprüche 1 bis 10 auszuführen.
Fahrzeugsystem (10) aufweisend eine Vorrichtung (20) nach Anspruch 11 und eine vorgegebene Anwendung (30) des Fahrzeugs, wobei die Anwendung (30) ausgebildet ist, – abhängig von der an die Anwendung (30) zumindest teil weise weitergeleiteten Fahrzeug-zu-X-Nachrichten (N) zu entscheiden, ob zumindest eine vorgegebene Aktion der Anwendung (30) auszuführen ist, – das Entscheidungssignal (D), das repräsentativ ist da für, dass die Fahrzeug-zu-X-Nachrichten (N) Daten umfassen, die eine Ausführung einer vorgegebenen Aktion der Anwendung (30) auslösen für die Vorrichtung (20) bereitzustellen und – abhängig von dem von der Vorrichtung (20) erzeugten Signal (S), das repräsentativ ist für die Zuverlässigkeit der entscheidungsrelevanten Fahrzeug-zu-X-Nachricht (N_rel), die Ausführung der zumindest einen vorgegebenen Aktion zu steuern.