DE102019108276A1

DE102019108276A1 - Verfahren zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs, computerlesbares Medium, System, und Fahrzeug

Info

Publication number: DE102019108276A1
Application number: DE102019108276.5A
Authority: DE
Inventors: Karl Budweiser
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2019-03-29
Filing date: 2019-03-29
Publication date: 2020-10-01

Abstract

Die Erfindung betrifft ein Verfahren zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs, das Verfahren umfassend: Senden einer Sync-Nachricht von einer ersten Slave-Komponente an die Master-Komponente; Speichern einer ersten Zeit durch die erste Slave-Komponente; Empfangen der Sync-Nachricht von der ersten Slave-Komponente durch die Master-Komponente; Speichern einer zweiten Zeit durch die Master-Komponente; Senden einer Follow-Up-Nachricht von der ersten Slave-Komponente an die Master-Komponente; Empfangen der Follow-Up-Nachricht von der ersten Slave-Komponente durch die Master-Komponente; und Validieren der synchronisierten Zeit der ersten Slave-Komponente unter Verwendung der gespeicherten zweiten Zeit und der empfangenen Follow-Up-Nachricht durch die Master-Komponente.

Description

Die Erfindung betrifft ein Verfahren zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs. Die Erfindung betrifft ferner ein computerlesbares Medium, ein System, und ein Fahrzeugs umfassend das System zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs.
Der IEEE Standard 802.1AS beschreibt verschiedene Verfahren, um Netzwerkteilnehmer in einem Ethernet-Netzwerk zu synchronisieren. Beispielsweise schlägt der IEEE Standard 802.1AS vor, dass ein zentraler Grand Master eine Zeit unidirektional an alle Clients verteilen kann. Durch die unidirektionale Verteilung der Zeit ist es für den Grand Master jedoch nicht möglich herauszufinden, ob ein Client die Sync-Nachrichten des Grand Masters korrekt verarbeitet hat und ob die Synchronisation der Zeit erfolgreich war.
Es ist daher eine Aufgabe der Erfindung, die Sicherheit einer Zeitsynchronisation in einem Fahrzeug effizient zu verbessern. Insbesondere ist eine Aufgabe der Erfindung, eine synchronisierte Zeit einer Slave-Komponente eines Fahrzeugs effizient zu validieren.
Gelöst wird diese Aufgabe durch die Merkmale der unabhängigen Ansprüche. Vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung ergeben sich aus den abhängigen Ansprüchen.
Gemäß einem ersten Aspekt zeichnet sich die Erfindung aus durch ein Verfahren zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs. Die synchronisierte Zeit kann eine Zeit sein, die durch ein unidirektionales Zeitsynchronisationsverfahren synchronisiert wurde. Beispielsweise kann die synchronisierte Zeit durch ein unidirektionales Zeitsynchronisationsverfahren nach dem IEEE Standard 802.1AS ermittelt werden. Das Fahrzeug kann ein teil-, ein hoch-, oder ein vollautomatisiert fahrendes Fahrzeug sein. Das Verfahren umfasst ein Senden einer Sync-Nachricht von einer ersten Slave-Komponente an die Master-Komponente und ein Speichern einer ersten Zeit durch die erste Slave-Komponente. Das Verfahren umfasst ferner ein Empfangen der Sync-Nachricht von der ersten Slave-Komponente durch die Master-Komponente, und ein Speichern einer zweiten Zeit durch die Master-Komponente. Die Master-Komponente kann ein Grand-Master nach dem IEEE Standard 802.1AS sein. Die erste Slave-Komponente kann ein Client nach dem IEEE Standard 802.1AS sein. Weiter umfasst das Verfahren ein Senden einer Follow-Up-Nachricht von der ersten Slave-Komponente an die Master-Komponente, ein Empfangen der Follow-Up-Nachricht von der ersten Slave-Komponente durch die Master-Komponente, und ein Validieren der synchronisierten Zeit der ersten Slave-Komponente unter Verwendung der gespeicherten zweiten Zeit und der empfangenen Follow-Up-Nachricht durch die Master-Komponente.
Vorteilhafterweise kann die Master-Komponente validieren, dass jede Slave-Komponente eine korrekte, synchronisierte Zeit aufweist. Die Sicherheit, insbesondere die funktionale Sicherheit, der Master-Komponente und der Slave-Komponenten kann hiermit effizient verbessert werden. Anwendungen, die zeitabhängige Funktionen auf der Master-Komponenten und/oder den Slave-Komponenten ausführen, können davon ausgehen, dass die Zeit zwischen der Master-Komponenten und den Slave-Komponenten korrekt synchronisiert ist. Die Robustheit der Zeitsynchronisation und damit auch die Robustheit von Anwendungen, die eine synchronisierte Zeit benötigen, kann effizient verbessert werden.
Gemäß einer vorteilhaften Ausgestaltung der Erfindung kann die Sync-Nachricht die Identität der ersten Slave-Komponente umfassen, die eine synchronisierte Zeit aufweist. Hiermit kann die Master-Komponente die erste Slave-Komponente effizient identifizieren.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann die erste Zeit eine Sendezeit der Sync-Nachricht von ersten Slave-Komponente an die Master-Komponente sein. Hiermit kann die Sendezeit der Sync-Nachricht ermittelt werden.
Gemäß einer weiteren, vorteilhaften Ausgestaltung kann die zweite Zeit eine Empfangszeit der Sync-Nachricht von der ersten Slave-Komponenten an die Master-Komponente sein. Hiermit kann die Empfangszeit der Sync-Nachricht ermittelt werden.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann die Follow-Up-Nachricht die Identität der ersten Slave-Komponente umfassen, die eine synchronisierte Zeit aufweist, und/oder kann die Follow-Up-Nachricht eine synchronisierte Sendezeit der Sync-Nachricht von der ersten Slave-Komponente an die Master-Komponente umfassen. Hiermit kann die Master-Komponente die erste Slave-Komponente effizient validieren.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann das Validieren der synchronisierten Zeit der ersten Slave-Komponente ein Vergleichen einer synchronisierten, ersten Zeit der Follow-Up-Nachricht der ersten Slave-Komponente mit der gespeicherten, zweiten Zeit abzüglich eines pDelay-Werts zum Validieren der synchronisierten Zeit der Slave-Komponente umfassen. Hiermit kann die Master-Komponente die erste Slave-Komponente effizient validieren.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann das Validieren der synchronisierten Zeit der ersten Slave-Komponente ein Speichern eines Ergebnisses des Vergleichens in einer Datenbank auf der Master-Komponente umfassen. Hiermit kann die Master-Komponente die erste Slave-Komponente effizient valideren.
Gemäße einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann das Verfahren für jede synchronisierte Zeit der ein oder mehreren Slave-Komponenten ausgeführt werden. Hiermit kann die Master-Komponente alle Slave-Komponenten effizient valideren.
Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung kann das Verfahren weiterhin ein Prüfen, ob die synchronisierte Zeit für jede Slave-Komponente der einen oder mehreren Slave-Komponenten durch die Master-Komponente validiert wurde, umfassen. Falls die synchronisierte Zeit einer Slave-Komponente nicht validiert wurde, kann das Verfahren eine Zeitsynchronisation für die nicht validierte Slave-Komponente durch die Master-Komponente initiieren. Hiermit kann die Zeitsynchronisation durch die Master-Komponente effizient verbessert werden.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein computerlesbares Medium zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs, wobei das computerlesbare Medium Instruktionen umfasst, die, wenn ausgeführt auf einem Rechner oder einem Steuergerät des Fahrzeugs, das oben beschriebene Verfahren ausführen.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein System zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs, wobei das System dazu eingerichtet ist, das oben beschriebene Verfahren auszuführen.
Gemäß einem weiteren Aspekt zeichnet sich die Erfindung aus durch ein Fahrzeug umfassend das oben beschriebene System zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs.
Weitere Merkmale der Erfindung ergeben sich aus den Ansprüchen, den Figuren und der Figurenbeschreibung. Alle vorstehend in der Beschreibung genannten Merkmale und Merkmalskombinationen sowie die nachfolgend in der Figurenbeschreibung genannten und/oder in den Figuren allein gezeigten Merkmale und Merkmalskombinationen sind nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder aber in Alleinstellung verwendbar.
Im Folgenden wird anhand der beigefügten Zeichnungen ein bevorzugtes Ausführungsbeispiel der Erfindung beschrieben. Daraus ergeben sich weitere Details, bevorzugte Ausgestaltungen und Weiterbildungen der Erfindung. Im Einzelnen zeigt schematisch 1 ein beispielhaftes Sequenzdiagramm eines Verfahrens zum Validieren einer synchronisierten Zeit.
Im Detail zeigt 1 ein beispielhaftes Sequenzdiagramm 100 eines Verfahrens zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten, beispielsweise eine erste Slave-Komponente 102, durch eine Master-Komponente 104 eines Fahrzeugs. Die Master-Komponente 104 kann eine Follow-Up-Nachricht 106 an die erste Slave-Komponente 102 zu einem Zeitpunkt t3 senden. Die erste Slave-Komponente 102 kann die Follow-Up-Nachricht 106 der Master-Komponente 104 zu einem Zeitpunkt T4 empfangen. Die erste Slave-Komponente 102 kann unter Verwendung der Follow-Up-Nachricht 106 und einer zu einem früheren Zeitpunkt empfangenen Sync-Nachricht (nicht in 1 gezeigt) die synchronisierte Zeit ermitteln. Für das Ermitteln der synchronisierten Zeit der ersten Slave-Komponente 102 können bekannte Zeitsynchronisationsverfahren verwendet werden.
Das Verfahren kann die synchronisierte Zeit der ersten Slave-Komponente 102 valideren. Dazu kann die erste Slave-Komponente 102 eine Sync-Nachricht 108 an die Master-Komponente 104 senden und eine erste Zeit T5 als Sendezeit der Sync-Nachricht speichern. Die Sync-Nachricht 108 kann eine Identität id' der ersten Slave-Komponente umfassen. Die Master-Komponente 104 kann die Sync-Nachricht 108 empfangen und eine zweite Zeit t6 als Empfangszeit der Sync-Nachricht speichern.
Die erste Slave-Komponente 102 kann eine Follow-Up-Nachricht 110 zu einer dritten Zeit T7 an die Master-Komponente 104 senden. Die Follow-Up-Nachricht 110 kann die Identität id' der ersten Slave-Komponente und eine synchronisierte Zeit t'(T5) der ersten Zeit T5 umfassen. Für die synchronisierte Zeit t'(T5) der ersten Zeit T5 der ersten Slave-Komponente gilt: $t' (T 5) = T 5 - dS = t 5,$
wobei

dS = T2-(t1-pDelay),
T2 eine Empfangszeit einer Sync-Nachricht einer Zeitsynchronisation von der Master-Komponente an die erste Slave-Komponente,
t1 eine Sendezeit der Sync-Nachricht der Zeitsynchronisation von der Master-Komponente an die erste Slave-Komponente, und
pDelay eine Nachrichtenverzögerung der Sync-Nachricht der Zeitsynchronisation von der Master-Komponente an die erste Slave-Komponente sind.

Die Master-Komponente 104 kann die Follow-Up-Nachricht 110 der ersten Slave-Komponente 102 zu einer vierten Zeit t8 empfangen. Die Master-Komponente 104 kann die synchronisierte Zeit t'(T5) mit der Zeit t6-pDelay vergleichen, wobei t6 die Empfangszeit der Sync-Nachricht 108 und pDelay die Nachrichtenverzögerung der Sync-Nachricht 108 von der ersten Slave-Komponente an die Master-Komponente sind. Durch das Vergleichen der synchronisierten Zeit t'(T5) mit der Zeit t6-pDelay kann die Master-Komponente die synchronisierte Zeit der ersten Slave-Komponente valideren. Ist die synchronisierte Zeit t'(T5) gleich der Zeit t6-pDelay wurde die Zeit der ersten Slave-Komponente 102 korrekt durch die Master-Komponente 104 synchronisiert. In anderen Worten hat die Master-Komponente 104 die synchronisierte Zeit der ersten Slave-Komponente 102 unter Verwendung der gespeicherten zweiten Zeit und der empfangenen Follow-Up-Nachricht validiert.
Jede Slave-Komponente, deren Zeit durch die Master-Komponente synchronisiert wurde, kann analog zu der ersten Slave-Komponente mit dem oben beschriebenen Verfahren durch die Master-Komponente validiert werden. Dadurch können schnell fehlerhafte oder nicht durchgeführte Zeitsynchronisationen mit Slave-Komponenten erkannt werden. Die Robustheit und Zuverlässigkeit der Zeitsynchronisation zwischen der Master-Komponente und den einen oder mehreren Slave-Komponenten kann somit effizient erhöht werden.
Bezugszeichenliste

100: Sequenzdiagramm
102: Slave-Komponente
104: Master-Komponete
106: Follow-Up-Nachricht
108: Sync-Nachricht
110: Follow-Up-Nachricht

Claims

Verfahren zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs, das Verfahren umfassend: Senden einer Sync-Nachricht von einer ersten Slave-Komponente an die Master-Komponente; Speichern einer ersten Zeit durch die erste Slave-Komponente; Empfangen der Sync-Nachricht von der ersten Slave-Komponente durch die Master-Komponente; Speichern einer zweiten Zeit durch die Master-Komponente; Senden einer Follow-Up-Nachricht von der ersten Slave-Komponente an die Master-Komponente; Empfangen der Follow-Up-Nachricht von der ersten Slave-Komponente durch die Master-Komponente; und Validieren der synchronisierten Zeit der ersten Slave-Komponente unter Verwendung der gespeicherten zweiten Zeit und der empfangenen Follow-Up-Nachricht durch die Master-Komponente.
Verfahren nach Anspruch 1, wobei die Sync-Nachricht die Identität der ersten Slave-Komponente umfasst, die eine synchronisierte Zeit aufweist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die erste Zeit eine Sendezeit der Sync-Nachricht von ersten Slave-Komponente an die Master-Komponente ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die zweite Zeit eine Empfangszeit der Sync-Nachricht von der ersten Slave-Komponenten an die Master-Komponente ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Follow-Up-Nachricht die Identität der ersten Slave-Komponente umfasst, die eine synchronisierte Zeit aufweist; und/oder wobei die Follow-Up-Nachricht eine synchronisierte Sendezeit der Sync-Nachricht von der ersten Slave-Komponente an die Master-Komponente umfasst.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Validieren der synchronisierten Zeit der ersten Slave-Komponente umfasst: Vergleichen einer synchronisierten, ersten Zeit der Follow-Up-Nachricht der ersten Slave-Komponente mit der gespeicherten, zweiten Zeit abzüglich eines pDelay-Werts zum Validieren der synchronisierten Zeit der Slave-Komponente.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Validieren der synchronisierten Zeit der ersten Slave-Komponente umfasst: Speichern eines Ergebnisses des Vergleichens in einer Datenbank auf der Master-Komponente.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Verfahren für jede synchronisierte Zeit der ein oder mehreren Slave-Komponenten ausgeführt wird.
Verfahren nach einem der vorhergehenden Ansprüche, das Verfahren weiterhin umfassend: Prüfen, ob die synchronisierte Zeit für jede Slave-Komponente der einen oder mehreren Slave-Komponenten durch die Master-Komponente validiert wurde; Falls die synchronisierte Zeit einer Slave-Komponente nicht validiert wurde: Initiieren einer Zeitsynchronisation für die nicht validierte Slave-Komponente durch die Master-Komponente.
Computerlesbares Medium zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs, wobei das computerlesbare Medium Instruktionen umfasst, die, wenn ausgeführt auf einem Rechner oder einem Steuergerät des Fahrzeugs, das Verfahren nach einem der Ansprüche 1 bis 9 ausführen.
System zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs, wobei das System dazu eingerichtet ist, das Verfahren nach einem der Ansprüche 1 bis 9 auszuführen.
Fahrzeug umfassend ein System zum Validieren einer synchronisierten Zeit einer oder mehrerer Slave-Komponenten durch eine Master-Komponente eines Fahrzeugs nach Anspruch 11.