DE102017204212A1

DE102017204212A1 - Method and device for managing applications for vehicles

Info

Publication number: DE102017204212A1
Application number: DE102017204212.5A
Authority: DE
Inventors: Gafur Zymeri; Susanna Maria Hepp; Michael Ernst Doering; Marco Andreas Wagner; Klaus Schneider
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2017-03-14
Filing date: 2017-03-14
Publication date: 2018-09-20

Abstract

Verfahren (10) zum Verwalten von Applikationen (12) für Fahrzeuge, gekennzeichnet durch folgende Merkmale:- Ressourcenangebote der Fahrzeuge werden auf dem Back-End hinterlegt (1),- Anforderungsprofile (9) der Applikationen (12) werden auf dem Back-End hinterlegt (2),- auf dem Back-End wird ein Fahrzeug unter den hinterlegten Fahrzeugen identifiziert (3),- auf dem Back-End wird ein erster Abgleich (4) der Ressourcenangebote des Fahrzeuges gegen die Anforderungsprofile (9) durchgeführt und- eine anhand des ersten Abgleiches (4) unter den Applikationen (12) ausgewählte Applikation (5) wird vom Back-End an das Fahrzeug übertragen.Method (10) for managing applications (12) for vehicles, characterized by the following features: - resource offers of the vehicles are stored on the back-end (1), - requirement profiles (9) of the applications (12) are on the back-end deposited (2), - on the back-end a vehicle is identified among the deposited vehicles (3), - on the back-end a first comparison (4) of the resource offers of the vehicle against the requirement profiles (9) is carried out and- The application (5) selected on the basis of the first adjustment (4) under the applications (12) is transmitted from the back-end to the vehicle.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Verwalten von Applikationen für Fahrzeuge. Die vorliegende Erfindung betrifft darüber hinaus eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium.The present invention relates to a method for managing applications for vehicles. The present invention also relates to a corresponding device, a corresponding computer program and a corresponding storage medium.

Stand der TechnikState of the art

Bekannt sind Verfahren zum Verteilen oder Aktualisieren von Software (SW) über eine - mitunter als „Luftschnittstelle“ (over the air, OTA) bezeichnete - drahtlose Datenschnittstelle. Gattungsmäßige Verfahren finden Anwendung sowohl auf Anwendungssoftware (SOTA) als auch auf eingebettete Systemsoftware (firmware, FOTA). Sofern im Folgenden die Abkürzung „SOTA“ verwendet wird, bezieht diese sich vorrangig auf Anwendungssoftware im engeren Sinn.Methods are known for distributing or updating software (SW) via a wireless data interface, sometimes referred to as an over the air (OTA). Generic methods apply to both application software (SOTA) and embedded system software (firmware, FOTA). If the abbreviation "SOTA" is used in the following, this primarily refers to application software in the narrower sense.

DE102015203766A1 offenbart ein Teilsystem für ein Fahrzeug mit einem über eine Luftschnittstelle mit einem Gerätemanagement-Server des Backends verbundenen Gerätemanagement-Client zum Austauschen von Geräte-, Fahrzeug- und von Diagnose- sowie Softwareupdateinformationen, einem über die Luftschnittstelle mit einem Download-Server des Backends verbundenen Download-Client zum Herunterladen eines Softwareupdates von dem Backend in das Fahrzeug, mit dem Download-Client verbundenen Softwareupdate-Clients zum Anwenden des Softwareupdates und einen mit dem Download-Client und den Softwareupdate-Clients verbundenen Fahrzeugupdate-Client zum Koordinieren des Softwareupdates. DE102015203766A1 discloses a subsystem for a vehicle having a device management client connected via an air interface to a device management server of the backend for exchanging device, vehicle and diagnostic and software update information to a download connected via the air interface to a download server of the backend Client for downloading a software update from the backend to the vehicle, software update clients associated with the download client for applying the software update, and a vehicle update client associated with the download client and software update clients for coordinating the software update.

Offenbarung der ErfindungDisclosure of the invention

Die Erfindung stellt ein Verfahren zum Verwalten von Applikationen für Fahrzeuge, eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium gemäß den unabhängigen Ansprüchen bereit.The invention provides a method for managing applications for vehicles, a corresponding device, a corresponding computer program and a corresponding storage medium according to the independent claims.

Der vorgeschlagene Ansatz fußt hierbei auf der Erkenntnis, dass Fahrzeugnetzwerke strengen Anforderungen an die Dienstgüte (quality of service, QoS) beispielsweise hinsichtlich Latenz oder Laufzeitvarianz (jitter) unterliegen. Nach dem Stand der Technik erfolgt in der Regel eine lediglich statische Kommunikationsplanung innerhalb von Fahrzeugen, um diese Anforderungen zu befriedigen: Kommunikationspfade und Netzwerkzugriff werden statisch zur Entwicklungszeit ausgeplant und dementsprechend in die Kommunikationssoftware der beteiligten Steuergeräte einprogrammiert. Das Einbringen dynamischen Netzwerkverkehrs könnte diese statische Planung und damit die geforderte Dienstgüte gefährden.The proposed approach is based on the recognition that vehicle networks are subject to strict quality of service (QoS) requirements, for example with regard to latency or runtime variance (jitter). According to the state of the art, only static communication planning within vehicles generally takes place in order to satisfy these requirements: communication paths and network access are statically planned out at the time of development and accordingly programmed into the communication software of the control units involved. The introduction of dynamic network traffic could endanger this static planning and thus the required quality of service.

Ein Grundgedanke der nachfolgend erörterten Lösung ist es, SOTA für Fahrzeugapplikationen hoher funktionaler Sicherheitsintegritätsstufe (automotive safety integrity level, ASIL), etwa Fahrerassistenzsysteme zu ermöglichen. Hierbei gilt es sicherzustellen, dass eine neue Applikation entwickelt, freigegeben und in das bestehende Fahrzeugkommunikationsnetzwerk integriert werden kann, ohne sich selbst oder andere, bereits installierte Applikationen negativ (im Sinne ihrer Funktionssicherheit gemäß ISO 26262) zu beeinflussen. Eine angesichts steigender Komplexität zunehmende Systemmodularisierung (Hardwareabstraktion, Einsatz von Middleware usw.) in der Fahrzeugtechnik sowie neue Geschäfts- und Software-Zuliefermodelle lassen eine derartige Lösung wünschenswert erscheinen.A basic idea of the solution discussed below is to enable SOTA for automotive safety integrity level (ASIL) vehicle applications, such as driver assistance systems. It is important to ensure that a new application can be developed, released and integrated into the existing vehicle communication network without adversely affecting itself or other already installed applications (in the sense of their functional reliability according to ISO 26262). Increasing system modularization (hardware abstraction, use of middleware, etc.) in automotive engineering as well as new business and software delivery models make such a solution desirable.

Ein Vorzug des vorgestellten Konzeptes liegt in der Schaffung eines Systems zur Verwaltung von Ressourcen und Anwendungsanforderungen in Fahrzeugnetzen. „Ressourcen“ in diesem Sinne sind beispielsweise benötigte oder bereitgestellte Softwaredienste bestimmter Ausprägung, benötigte Rechenleistung zum Betrieb der jeweiligen Anwendung, frei verfügbare Rechenleistung des Fahrzeugs, benötigter statischer und dynamischer Speicher der Anwendung oder des Fahrzeugs sowie benötigte Kommunikationskanäle mit bestimmten Eigenschaften (z. B. Bandbreite oder ASIL).An advantage of the concept presented is the creation of a system for managing resources and application requirements in vehicle networks. "Resources" in this sense are, for example, required or provided software services of specific character, required computing power for operating the respective application, freely available computing power of the vehicle, required static and dynamic memory of the application or the vehicle, and required communication channels with certain characteristics (eg. Bandwidth or ASIL).

Hierzu werden Anforderungsprofile der entsprechenden Applikationen definiert, welche via SOTA ins Fahrzeug eingebracht werden sollen. Können diese Anforderungen nicht befriedigt werden, so kann die betreffende Applikation nicht geladen oder gestartet werden. Vorteilhaft ist es, diesen Zustand vor einem etwaigen Download zu identifizieren und letzteren somit erst gar nicht anzubieten.For this purpose, requirement profiles of the corresponding applications are defined, which are to be introduced into the vehicle via SOTA. If these requirements can not be satisfied, then the relevant application can not be loaded or started. It is advantageous to identify this state before a possible download and thus not even offer the latter.

Besagten Anforderungsprofilen stehen Ressourcenangebote des Fahrzeugs bzw. seiner Fahrzeugcomputer gegenüber, z. B. die auf verschiedenen Fahrzeugcomputern frei verfügbare Rechenkapazität oder die Verfügbarkeit von Softwarediensten in bestimmter Qualität hinsichtlich Auflösung, maximaler Aktualisierungsfrequenz etc.Said requirement profiles face resource offers of the vehicle or its vehicle computer, z. As the freely available computing capacity on different vehicle computers or the availability of software services in certain quality in terms of resolution, maximum update frequency, etc.

Das vorgeschlagene System setzt sich aus den folgenden Bestandteilen zusammen:The proposed system is composed of the following components:

Durch ein Erstellsystem werden die benötigten Ressourcen beschrieben und mit den entsprechenden Instanzen („Apps“) in Zusammenhang gebracht. Es empfiehlt sich dabei, zur Beschreibung Profile zu nutzen.An authoring system describes the required resources and associates them with the corresponding instances ("apps"). It is advisable to use profiles for the description.

Ein Prüfsystem überprüft, ob die zu ladende App auch im Fahrzeugkontext installations- und lauffähig ist. Dies wird durch die Auswertung aller Profile erreicht. Dieses Prüfsystem ist vorzugsweise nicht nur im Fahrzeug, sondern auch im Back-End vorhanden. A test system checks whether the app to be loaded can also be installed and run in the vehicle context. This is achieved by evaluating all profiles. This test system is preferably not only in the vehicle, but also in the back-end available.

Auch ein Einstellsystem ist im Fahrzeug angeordnet und stellt die gewünschte Fahrzeug-Konfiguration (Netzwerke, Routing, Firewalls, etc.) ein. Somit ist die neue App lauffähig und kann letztlich gestartet werden.An adjustment system is also arranged in the vehicle and sets the desired vehicle configuration (networks, routing, firewalls, etc.). Thus, the new app is executable and can ultimately be launched.

Ein ebenfalls im Fahrzeug angeordnetes Überwachungssystem prüft die Einhaltung der in den Profilen der Applikationen bezüglich der Ressourcennutzung getroffenen Aussagen. Verletzt eine Applikation diese Randbedingung, so können Maßnahmen eingeleitet werden.A monitoring system, also located in the vehicle, checks the compliance with the statements made in the profiles of the applications regarding the use of resources. If an application violates this boundary condition, measures can be taken.

Wichtige Aspekte bilden die Beschreibung des Fahrzeugs und der Systemleistung der Fahrzeugcomputer („Angebote“), die Beschreibung aller erforderlichen Ressourcen, um im Fahrzeug eine vollständige Einstellung der Kommunikationskanäle vornehmen zu können sowie das Einstellsystem, welches die fahrzeugrelevanten Ressourcen (FlexRay, CAN und Ethernet) und Gateways entsprechend einstellen kann. Dieses Einstellsystem kann auch die ASIL-relevante Kommunikation konfigurieren, indem es z. B. bei Bedarf doppelte Kommunikationskanäle anlegt.Important aspects are the description of the vehicle and the system performance of the vehicle computers ("offers"), the description of all resources required to be able to make a complete adjustment of the communication channels in the vehicle and the adjustment system, which the vehicle-relevant resources (FlexRay, CAN and Ethernet) and gateways can set accordingly. This adjustment system can also configure the ASIL-relevant communication by, for. B. creates duplicate communication channels as needed.

Ein weiterer Vorteil dieses Systems ist seine Eignung für ASIL-relevante Applikationen.Another advantage of this system is its suitability for ASIL-relevant applications.

Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen des im unabhängigen Anspruch angegebenen Grundgedankens möglich.The measures listed in the dependent claims advantageous refinements and improvements of the independent claim basic idea are possible.

Figurenlistelist of figures

Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:

1 einen Systemüberblick.
2 einen möglichen Ablauf für das Anlegen eines neuen Kommunikationspfades als Flussdiagramm.
3 den möglichen Ablauf für das Anlegen eines neuen Kommunikationspfades als Sequenzdiagramm.
4 die durchgehende Architektur eines exemplarischen Fahrzeugs.
5 eine vereinfachte Darstellung der Software-Architektur eines Steuergerätes (electronic control unit, ECU).
6 eine Neukonfiguration der Fahrzeugkommunikation.
Figur 7 mögliche Profile einer Applikation oder eines anderweitigen Softwarepakets.

Embodiments of the invention are illustrated in the drawings and explained in more detail in the following description. It shows:

1 a system overview.
2 a possible procedure for creating a new communication path as a flowchart.
3 the possible procedure for creating a new communication path as a sequence diagram.
4 the continuous architecture of an exemplary vehicle.
5 a simplified representation of the software architecture of an electronic control unit (ECU).
6 a reconfiguration of the vehicle communication.
Figure 7 possible profiles of an application or other software package.

Ausführungsformen der ErfindungEmbodiments of the invention

Ein Aspekt ist die dynamische Planung und Konfiguration von Kommunikationspfaden zur Laufzeit des Systems. Hierdurch wird es ermöglicht, Netzwerkverkehr zur Laufzeit zu- oder abzuschalten und gleichzeitig die Einhaltung der Dienstgüte zu garantieren. Unter Dienstgüte sind alle Eigenschaften zu verstehen, welche die Qualität einer Kommunikationsbeziehung bestimmen, insbesondere deren Datenrate, Informations- und Funktionssicherheit, Latenz und Verhalten bei Übertragungsfehlern (z. B. Korrekturen oder Wiederholung der Übertragung).One aspect is the dynamic planning and configuration of communication paths during the runtime of the system. This allows network traffic to be switched on or off at runtime while guaranteeing quality of service. Quality of service is understood to mean all properties which determine the quality of a communication relationship, in particular its data rate, information and functional reliability, latency and behavior in the case of transmission errors (eg corrections or repetition of the transmission).

Eine Ausführungsform wird anhand von 1 erläutert und umfasst acht Schritte:

1. Beispielsweise von einem Erstausrüster (original equipment manufacturer, OEM) bereitgestellte Fahrzeugprofile (13) und Fahrzeugrechnerprofile (14) beschreiben die Möglichkeiten und Angebote des Fahrzeuges bzw. seiner Rechnersysteme. Die Gesamtmenge aller Beschreibungen - bezogen auf ein konkretes Fahrzeug - bestimmt dann die Menge an verfügbaren Ressourcen und ihrer Attribute, aus denen SW-Applikationen (12) und sonstige Artefakte sich gleichsam „bedienen“ können. Diese Ressourcenangebote werden in einem Back-End auf einem App-Marktplatz (app store 11) für Fahrzeuganwendungen bereitgestellt.
2. Der Bedarf der SW-Applikationen (12) wird nun in entsprechender Weise beschrieben. Hierzu bedarf es einer Festlegung darauf, welche Ressource mit welcher Mindest-Qualität benutzt werden soll. Auch diese Anforderungsprofile (9) werden im Back-End bereitgestellt.
3. Das Fahrzeug verbindet sich mit dem Back-End und liefert Informationen über Identität und bereits installierte SW-Applikationen (12).
4. Im Zuge eines ersten Abgleiches prüft das Back-End nun, welche der angebotenen SW-Applikationen (12) - einschließlich der bereits im Fahrzeug verfügbaren Anwendungen - im Rahmen des Ressourcenangebotes des Fahrzeuges oder seiner Computer installiert werden könnten. Diese Menge an SW-Applikationen (12) steht nun (z. B. dem Fahrer) zum Download ins Fahrzeug zur Verfügung.
5. Eine hierzu Berechtigte Instanz (Fahrer, Computersystem o. ä.) wählt nun eine SW-Applikation aus und lädt diese ins Fahrzeug herunter; deren Anforderungsprofil (9) ist als Metadatum verfügbar. Die SW-Applikation oder eine berechtigte SW-Instanz für die SW-Applikation (ein sog. SOTA-Client) im Fahrzeug verbindet sich mit einer Middleware, welche den weiteren Registrierungsprozess bereitstellt.
6. Die Middleware legt das neue Anforderungsprofil (9) einem zweiten Abgleich zugrunde, um die tatsächliche Verfügbarkeit der angeforderten Ressourcen zu prüfen. Dieser zweite Abgleich innerhalb des Fahrzeuges ist wünschenswert, da - etwa zum Schutz des Fahrzeuges - Änderungen zwischen Download- und Installations-Zeitpunkt denkbar sind. Die Funktion wird beispielsweise durch softwaredefinierte Vernetzung (software-defined networking, SDN) mittels eines entsprechenden Controllers realisiert. Dieser berechnet nun aufgrund des Zustandes des Fahrzeuges und der gewünschten Änderung eine mögliche neue Konfiguration und reserviert diese.
7. Nach positiver Rückmeldung wird nun die Middleware die eigentliche Konfigurationsänderung durchführen; auch diese Funktion ist beispielsweise durch einen SDN-Controller abgedeckt. Die vorab reservierte neue Konfiguration wird aktiviert - ab diesem Zeitpunkt ist die neue Applikation (5) in die Fahrzeugkommunikation eingebunden.
8. Parallel zur Nutzung der neuen Applikation (5) sorgt ein Überwachungssystem dafür, dass das tatsächliche Kommunikationsverhalten der SW-Applikation (5) nicht die definierten Grenzen übersteigt. Kommt es dennoch dazu, können Maßnahmen wie das Abschalten der Applikation (5) oder Begrenzen von Bandbreiten erfolgen.

An embodiment is based on 1 explains and includes eight steps:

1. Vehicle profiles provided, for example, by an original equipment manufacturer (OEM) ( 13 ) and vehicle computer profiles ( 14 ) describe the possibilities and offers of the vehicle or its computer systems. The total amount of all descriptions - related to a specific vehicle - then determines the amount of available resources and their attributes from which SW applications ( 12 ) and other artifacts can "serve" as it were. These resource offerings are provided in a backend on an app marketplace (app store 11) for vehicle applications.
2. The need of software applications ( 12 ) will now be described in a similar manner. This requires a determination of which resource should be used with which minimum quality. These requirements profiles ( 9 ) are provided in the backend.
3. The vehicle connects to the back end and provides information about identity and already installed software applications ( 12 ).
4. In the course of an initial comparison, the backend now checks which of the software applications ( 12 ) - including applications already available in the vehicle - could be installed as part of the resource offer of the vehicle or its computers. This amount of SW applications ( 12 ) is now available (eg to the driver) for download into the vehicle.
5. An authorized entity (driver, computer system or similar) now selects a SW application and downloads it to the vehicle; their requirement profile ( 9 ) is called Metadatum available. The SW application or an authorized SW instance for the SW application (a so-called SOTA client) in the vehicle connects to a middleware, which provides the further registration process.
6. The middleware sets the new requirement profile ( 9 ) is based on a second reconciliation to check the actual availability of the requested resources. This second adjustment within the vehicle is desirable because - for example, to protect the vehicle - changes between download and installation time are conceivable. The function is implemented, for example, by software-defined networking (SDN) using a corresponding controller. This now calculates a possible new configuration and reserves it based on the state of the vehicle and the desired change.
7. After a positive response, the middleware will now carry out the actual configuration change; This function is also covered by an SDN controller, for example. The previously reserved new configuration is activated - from this point on the new application ( 5 ) integrated in the vehicle communication.
8. Parallel to the use of the new application ( 5 ), a monitoring system ensures that the actual communication behavior of the SW application ( 5 ) does not exceed the defined limits. If this happens nevertheless, measures such as switching off the application ( 5 ) or limiting bandwidths.

Ein Erstellsystem hat die Aufgabe, die nötigen Ressourcen zu beschreiben sowie insbesondere die für die Dienstgüte maßgeblichen Attribute zu definieren. Zudem muss eine Zuordnung einer solchen Beschreibung zu jedem SW-Artefakt und insbesondere den Applikationen (12) sowie zum Fahrzeug selbst und den als Zielsystemen vorgesehenen Fahrzeugcomputern erfolgen. Diese Beschreibung kann entweder manuell separat erstellt oder den SW-Artefakten teil- oder vollautomatisiert entnommen werden. Ein neuartiger Aspekt liegt darin, dass die Anforderungen als strukturierte Informationen zur dynamischen Ressourcenverwaltung von entsprechenden Systemkomponenten nach einem Mechanismus - z. B. unter Nutzung einer Anwendungsprogrammierschnittstelle (application programming interface, API) gemäß den nachfolgend erläuterten Aktivitätsdiagrammen und Zustandsmodellen - benutzt werden und nicht nur, dass die Anforderungen als strukturierte Informationen bereitstehen und in beliebiger Weise (JSON, XML, etc.) repräsentiert werden können.An authoring system has the task of describing the resources required and, in particular, of defining the attributes that determine the quality of service. In addition, an assignment of such a description to each SW artifact and in particular the applications ( 12 ) as well as the vehicle itself and the vehicle computers provided as target systems. This description can be either manually created separately or the SW artifacts partially or fully automatically removed. A novel aspect is that the requirements as structured information for dynamic resource management of corresponding system components according to a mechanism -. Using an application programming interface (API) in accordance with the activity diagrams and state models discussed below, and not only that the requests are available as structured information and can be represented in any manner (JSON, XML, etc.).

Die Inhalte der Anforderungsprofile (10), also die Anforderungen an die Eigenschaften einer Kommunikation, und somit die Anforderungsprofile (9) selbst werden automatisiert außerhalb des Fahrzeuges im Rahmen der Softwareerstellung (build) und -verteilung (deployment) generiert und entsprechen dem, was die SW-Applikationen (12) implementieren und zu ihrer sicheren Funktion an Ressourcen benötigt. Die Anforderungsprofile (9) sind entsprechend als strukturierte Informationen im Fahrzeug (API-konform) bearbeitbar und zur dynamischen Ressourcenverwaltung nutzbar.The contents of the requirement profiles ( 10 ), ie the requirements for the properties of a communication, and thus the requirement profiles ( 9 ) are automatically generated outside the vehicle as part of the software build and distribution and correspond to what the SW applications ( 12 ) and needed for their secure function on resources. The requirement profiles ( 9 ) can accordingly be processed as structured information in the vehicle (API-compliant) and used for dynamic resource management.

Die Funktionsweise des fahrzeugseitigen Prüf- und Einstellsystems (7) illustriert 2. Das Prüfsystem ist Bestandteil der Middleware und interagiert somit mit einer Applikation (5). Kern des Prüfsystems ist ein Kommunikations-Manager, der beispielsweise durch SDN-Technologie realisiert wird, die aktuelle Konfiguration der Kommunikation kennt und in der Lage ist, Änderungswünsche zu prüfen, zu reservieren (Schritt 22) und einzustellen. Ein wichtiger Aspekt liegt darin, das eine Applikation (5) über die Middleware zur Laufzeit Kommunikationspfade im Fahrzeug einrichten kann, welche eine vorgegebene Dienstgüte aufweisen und die diesbezüglichen Eigenschaften bestehender Kommunikationspfade nicht beeinflussen. Hierzu werden alle im Fahrzeug genutzten Kommunikationspfade vom SDN-Controller (41 - 4) zugewiesen und überwacht. Der SDN-Controller (41) nutzt hierzu Informationen, welche entweder extern zur Verfügung gestellt (siehe oben) oder durch Anwendung geeigneter Messmethoden erhoben wurden (Topologie-Erkennung, Buslastmessung etc.). Die nachzuladende SW-Applikation oder für die nachzuladende SW-Applikation berechtigte, nachfolgend als „SOTA-Client“ bezeichnete SW-Instanz (5) ist, wie in 5 dargestellt, Teil eines Steuergerätes (50) und verfügt über eine Schnittstelle zu der Middleware (52), welche physikalische Ressourcen wie beispielsweise Kommunikationshardware (51) abstrahiert.The functioning of the vehicle-mounted test and adjustment system ( 7 ) illustrated 2 , The test system is part of the middleware and thus interacts with an application ( 5 ). At the heart of the test system is a communication manager that is implemented, for example, by SDN technology, that knows the current configuration of the communication and is able to check, reserve (step 22 ) and adjust. An important aspect is that the one application ( 5 ) via the middleware at runtime communication paths in the vehicle can set up, which have a predetermined quality of service and do not affect the relevant properties of existing communication paths. For this purpose, all communication paths used in the vehicle are handled by the SDN controller ( 41 - 4 ) and monitored. The SDN controller ( 41 ) uses information that has either been provided externally (see above) or has been collected by applying suitable measuring methods (topology detection, bus load measurement, etc.). The SW application to be reloaded or the SW instance entitled subsequently to be reloaded (hereinafter referred to as "SOTA client") ( 5 ) is as in 5 represented, part of a control unit ( 50 ) and has an interface to the middleware ( 52 ), which physical resources such as communication hardware ( 51 ) abstracted.

Wie in 3 beispielhaft dargestellt fragt die SW-Applikation oder der SOTA-Client (5) hierzu den gewünschten Kommunikationspfad bei der Middleware (52) an (Schritt 20). Hierbei werden die Anforderungen an die Eigenschaften des Kommunikationspfades wie beispielsweise die maximale Latenz oder die Periodizität mit übergeben. Die Middleware (52) berechnet hieraus die notwendigen Kommunikationsressourcen wie beispielsweise die für den Kommunikationspfad notwendige Bandbreite (Schritt 21).As in 3 As an example, the SW application or the SOTA client asks ( 5 ) the desired communication path for the middleware ( 52 ) (step 20 ). In this case, the requirements for the properties of the communication path, such as the maximum latency or the periodicity, are also transferred. The middleware ( 52 ) calculates the necessary communication resources, such as the bandwidth required for the communication path (step 21 ).

Diese Kommunikationsressourcen werden beim SDN-Controller (41) zur Reservierung (22) angefragt. Der SDN-Controller (41) kennt die Topologie des Netzwerks sowie alle derzeit angelegten oder registrierten Kommunikationspfade und deren genutzte Kommunikationsressourcen. Der SDN-Controller (41) kennt ebenso die Kapazitäten der Netzwerkverbindungen und somit die Grenzen der möglichen Kommunikationsressourcen für durchgehende Kommunikationspfade (end-to-end limits). Der SDN-Controller (41) nutzt diese Information ebenfalls zur Reservierung (22) oder Registrierung (25) eines Kommunikationspfades oder von Kommunikationsressourcen.These communication resources are used by the SDN controller ( 41 ) for reservation ( 22 ) requested. The SDN controller ( 41 ) knows the topology of the network, as well as all currently established or registered communication paths and their used communication resources. The SDN Controller ( 41 ) also knows the capacities of the network connections and thus the limits of the possible communication resources for continuous communication paths (end-to-end limits). The SDN controller ( 41 ) also uses this information for reservation ( 22 ) or registration ( 25 ) of a communication path or communication resources.

Mit diesem Wissen prüft der SDN-Controller (41) wie folgt, ob die von der Middleware (52) angefragten Kommunikationsressourcen zur Verfügung stehen:

1. Der angefragte Kommunikationspfad wird zunächst in die einzelnen physikalischen Strecken aufgeteilt.
2. Anschließend wird für jede Teilstrecke sowie für jedes verbindende Gateway (42 - 4) geprüft, ob unter Betrachtung der Kommunikationskapazitäten (z. B. Bandbreite oder Latenz), der derzeitigen Auslastung und der zusätzlichen Belastung durch den angefragten neuen Pfad eine sichere Kommunikation weiterhin möglich wäre.
3. Ist dies der Fall, bestätigt der SDN-Controller (41) die Reservierung (22) gegenüber der Middleware (52), welche den Kommunikationspfad mit den geforderten Eigenschaften wiederum der SW-Applikation oder dem SOTA-Client (5) anbietet.
4. Die Applikation oder der SOTA-Client (5) kann das Angebot (24) in Anspruch nehmen, indem sie bzw. er den Kommunikationspfad bei der Middleware (52) analog zur Reservierung (22) endgültig registriert und somit neukonfiguriert (Schritt 25).

With this knowledge, the SDN controller ( 41 ) as follows, whether the middleware ( 52 ) available communication resources are available:

1. The requested communication path is first divided into the individual physical links.
2. Then, for each leg and each connecting gateway ( 42 - 4 ), whether, considering the communication capacities (eg bandwidth or latency), the current utilization and the additional burden of the requested new path, secure communication would still be possible.
3. If this is the case, the SDN controller confirms ( 41 ) the reservation ( 22 ) compared to the middleware ( 52 ), which determines the communication path with the required properties of the SW application or the SOTA client ( 5 ) offers.
4. The application or the SOTA client ( 5 ) the offer ( 24 ) by using the middleware communication path ( 52 ) analogous to the reservation ( 22 ) finally registered and thus reconfigured (step 25 ).

Diese Funktionsweise des Prüf- und Einstellsystems (7) ist 2 zu entnehmen.This operation of the test and adjustment system ( 7 ) 2 refer to.

Entscheidet sich das Prüfsystem für eine Registrierung (25), so übernimmt das Einstellsystem (7) das reservierte Angebot (24) und stellt sicher, dass diese Kommunikationsressourcen für die SW-Applikation (5) freigegeben sind und die SW-Applikation (5) auch nur die vom System freigegebenen Ressourcen verwenden kann (Schritt 26). Eine von der ursprünglichen Vereinbarung und Registrierung (25) abweichende Kommunikationspfad- und Kommunikationsressourcennutzung der Fahrzeugressourcen wird durch den sicheren Softwareanwendungsreservierungsprozess (60) und Softwareanwendungsregistrierungsprozess (61) verhindert bzw. nicht ermöglicht (6). Wichtig ist, dass das System anhand wohldefinierter Informationen aus den Anforderungsprofilen (9) arbeitet und diese auf Anfrage (20) zur Konfigurationsänderung von Kommunikationsressourcen verwendet. Die SW-Applikation (5) genügt hierzu nicht nur den APIs der Middleware (52), sondern entspricht auch den strukturierten und wohldefinierten Informationen ihres Anforderungsprofiles (10).If the test system decides to register ( 25 ), the adjustment system ( 7 ) the reserved offer ( 24 ) and ensures that these communication resources for the SW application ( 5 ) and the SW application ( 5 ) can only use the resources released by the system (step 26 ). One of the original agreement and registration ( 25 ) different communication path and communication resource usage of the vehicle resources is determined by the secure software application reservation process ( 60 ) and software application registration process ( 61 ) prevented or not possible ( 6 ). It is important that the system uses well-defined information from the requirement profiles ( 9 ) works and this on request ( 20 ) used to change the configuration of communication resources. The software application ( 5 ), this is not enough for the APIs of middleware ( 52 ), but also corresponds to the structured and well-defined information of their requirement profile ( 10 ).

Die Überwachung (62) zugewiesener und registrierter Kommunikationspfade und Kommunikationsressourcen kann -je nach genutzter Kommunikationstechnologie - bei Ethernet etwa durch Eingriffe in die sogenannten Forwarding-Tabellen der Switches (40 - 4) oder bei Bussystemen durch direkte Eingriffe in die Kommunikationstreiber (53) der beteiligten Steuergeräte erfolgen.The supervision ( 62 ) assigned and registered communication paths and communication resources can - depending on the communication technology used - in Ethernet, for example by interfering with the so-called forwarding tables of the switches ( 40 - 4 ) or in bus systems by direct intervention in the communication driver ( 53 ) of the control units involved.

Das Überwachungssystem (8) vergleicht permanent die aktuelle Kommunikation mit dem Anforderungsprofil (9) jeder Applikation (5) sowie dem Ressourcenangebot der Steuergeräte (50) und anderer Einheiten des Fahrzeuges und stellt sicher, dass ein fehlerhaftes Verhalten erkannt und darauf reagiert werden kann. Das Überwachungssystem (8) ist als fakultativ zu betrachten, sofern der Richtigkeit der Anforderungsprofile (9) vertraut werden kann.The monitoring system ( 8th ) constantly compares the current communication with the requirement profile ( 9 ) of each application ( 5 ) as well as the resource supply of the control devices ( 50 ) and other units of the vehicle and ensures that a faulty behavior can be detected and responded to. The monitoring system ( 8th ) is to be regarded as optional, provided that the correctness of the requirement profiles ( 9 ) can be trusted.

Eine Alternative zum besagten SDN-Controller (41) kann ein verteiltes System sein. Eine entsprechende Ausprägung ist vorteilhaft zur Erhöhung der Ausfallsicherheit. Mögliche Implementierungsvarianten reichen von zwei SDN-Controllern, die sich z. B. durch eine dedizierte Netzwerkverbindung (heartbeat) gegenseitig synchronisieren und überwachen, wobei der erste Controller (41) aktiv ist und der zweite als sofort einsetzbarer Ersatz (hot standby) bereitsteht, um beim Ausfall des ersten Controllers (41) dessen Aufgaben zu übernehmen bis hin zu drei oder mehr SDN-Controllern (41), die sich gegenseitig synchronisieren und überwachen und welche zudem per Stimmabgabe (voting) oder Plausibilitätskontrolle gegenseitig ihre Integrität prüfen. Letztere Variante ist vorteilhaft zur Erhöhung der Fehlertoleranz.An alternative to the said SDN controller ( 41 ) can be a distributed system. A corresponding characteristic is advantageous for increasing the reliability. Possible implementation variants range from two SDN controllers, which are z. B. by a dedicated network connection (heartbeat) synchronize and monitor each other, the first controller ( 41 ) is active and the second is ready to be used as an immediate replacement (hot standby) in order to prevent the failure of the first controller ( 41 ) to take over its tasks up to three or more SDN controllers ( 41 ), which synchronize and monitor each other and which also check their integrity by voting or plausibility check. The latter variant is advantageous for increasing the fault tolerance.

Eine sinnbildliche Umwandlung des Kommunikationspfades in Kommunikationsressourcen kann auch durch den SDN-Controller (41) oder ein anderes Element erfolgen, ohne den Rahmen der Erfindung zu verlassen.A symbolic transformation of the communication path into communication resources can also be performed by the SDN controller ( 41 ) or another element, without departing from the scope of the invention.

Alternativ erfolgt eine Kommunikation der Applikation (5) direkt mit dem SDN-Controller (41) ohne Middleware (52) oder anderweitigen Mittler.Alternatively, a communication of the application ( 5 ) directly to the SDN controller ( 41 ) without middleware ( 52 ) or other mediator.

Ferner können Feststellung oder Überwachung (62) der Topologie bzw. der Ressourcennutzung durch ein anderes Element als den SDN-Controller (41) erfolgen.In addition, detection or monitoring ( 62 ) of the topology or resource usage by any other element than the SDN controller ( 41 ) respectively.

Für den Fall, dass die angefragten Kommunikationsressourcen nicht vollständig angeboten werden können, kann der SDN-Controller (41) auch eine Ressourcenreservierung (22) unter Einschränkungen anbieten.In the event that the requested communication resources can not be offered in full, the SDN controller ( 41 ) also a resource reservation ( 22 ) under restrictions.

In Erweiterung des dargestellten Verfahrens kann das Überwachungssystem (8) genutzt werden, um einem Angriffserkennungssystem (intrusion detection system, IDS) Informationen zu liefern, da es ja fortlaufend die Applikation (5) bzgl. ihr Verhalten überwacht (62). Somit können diese Daten auch zum Erkennen von Unregelmäßigkeiten durch einen Angriff oder eine Softwarefehlfunktion („Anomalie“) - zum Beispiel anhand einer untypischen Ressourcennutzung - benutzt werden. Schließlich kann das Prüfsystem auch im App-Store (11) des Back-Ends verfügbar sein; somit können nur jene Applikationen (12) zum Download angezeigt und bereitgestellt werden, welche im Fahrzeug tatsächlich lauffähig sind.As an extension of the illustrated method, the monitoring system ( 8th ) can be used to provide information to an intrusion detection system (IDS) as it 5 ) with regard to their behavior ( 62 ). Thus, these data may also be used to detect irregularities due to an attack or software malfunction ("anomaly") - for example, due to atypical resource usage. Finally, the test system can also be found in the App Store ( 11 ) of the back-end; thus, only those applications ( 12 ) are displayed and made available for download, which are actually running in the vehicle.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

DE 102015203766 A1 [0003]

Claims

Method (10) for managing applications (12) for vehicles by means of a back-end, characterized by the following features: - resource offers of the vehicles are deposited on the back-end (1), - requirement profiles (9) of the applications (12) stored on the back-end (2), - on the back-end a vehicle is identified under the stored vehicles (3), - on the back-end is a first comparison (4) of the resource offers of the vehicle against the requirement profiles (9 ) and an application (5) selected from the applications (12) based on the first adjustment (4) is transmitted from the back-end to the vehicle.

Method (10) according to Claim 1 , characterized by the following features: - with the application (5) whose stored requirement profile (9) is transmitted, - in the vehicle, a second comparison (6) of the resource offer against the requirement profile (9) is performed and - based on the second comparison (6) the vehicle is adjusted by an adjustment system (7) on the application (5).

Method (10) according to Claim 2 characterized by the following features: - on the vehicle the application (5) is subject to monitoring on the basis of the requirement profile (9) by a monitoring system (8).

Method (10) according to Claim 2 or 3 , characterized in that the second adjustment (6) comprises the following features: - the application (5) provides a request (20) regarding a new communication path to a middleware (52) of the vehicle, - the middleware (52) determined on the basis of the communication path required communication resources from the resource supply (21), - the middleware (52) makes a reservation (22) of the communication resources for the application (5) by means of a controller (41) of the setting system (7), - the controller (41) issues the Middleware (52) has a response (23) regarding the reservation (22), - if the response (23) is positive, then the middleware (52) submits to the application (5) an offer (24) regarding a registration (25) of the communication path on the application (5), - the application (5) by an acceptance of the offer (24) in the middleware (52) before the registration (25), - the middleware (52) notifies the controller (41) a transfer e (26) the communication resources through the setting system (7), - the controller (41) gives the middleware (52) an acknowledgment (27) of the takeover (26), - the middleware (52) gives the application (5) the release (28) to a use (29) of the communication path and - the application (5) takes up the use (29).

Method (10) according to Claim 4 , characterized by the following features: - the controller (41) divides the communication path in partial sections into the request (20), - the controller (41) subjects the sections and gateways (42) between the sections of a capacity check and - the reservation (22) depends on the capacity check.

Method (10) according to one of Claims 2 to 5 characterized by at least one of the following features: - the adjustment system (7) engages a switch (40) of the vehicle or - the adjustment system (7) engages a communication driver (53) of a communication hardware (51) of at least one control unit (50) on the communication path.

Method (10) according to one of Claims 1 to 6 characterized by the following features: the request profiles (9) comprise a runtime profile (70), security profile (71), application profile (72) or communication profile (73) with requirements for the communication resources, and - the requests are in a predetermined data exchange format, in particular JSON , or a given markup language, in particular XML.

Computer program, which is arranged, the method (10) according to one of Claims 1 to 7 perform.

Machine-readable storage medium on which the computer program is based Claim 8 is stored.

Apparatus (50) arranged to perform the method (10) according to any one of Claims 1 to 7 perform.