DE102020210876A1

DE102020210876A1 - Verfahren zur Gewährleistung der Integrität von Daten zur Sicherstellung der Betriebssicherheit und Fahrzeug-zu-X Vorrichtung

Info

Publication number: DE102020210876A1
Application number: DE102020210876.5A
Authority: DE
Inventors: Marc Menzel; Ulrich Stählin
Original assignee: Continental Teves AG and Co OHG; Continental Automotive Systems Inc
Current assignee: Continental Automotive Technologies GmbH; Continental Automotive Systems Inc
Priority date: 2019-09-18
Filing date: 2020-08-28
Publication date: 2021-03-18
Anticipated expiration: 2040-08-29
Also published as: US20210081571A1; US11599678B2; DE102020210876B4; CN112533173B; CN112533173A

Abstract

Die Erfindung betrifft ein Verfahren zur Gewährleistung der Integrität von durch eine V2X Kommunikationsvorrichtung eines Fahrzeugs an ein Steuerungsmodul des Fahrzeugs übermittelten Daten zur Sicherstellung der Betriebssicherheit, welches folgende Schritte aufweist:- Empfangen von mittels Fahrzeug-zu-X Kommunikation übertragenen Daten durch eine erste Recheneinrichtung der V2X Kommunikationsvorrichtung,- Speichern der Daten in einem Datenspeicher,- Weiterleiten der Daten an eine zweite Recheneinrichtung,- Empfangen der Daten durch die zweite Recheneinrichtung,- Ermitteln für die Daten, ob eine Aktion ausgelöst werden soll und ansprechend darauf, dass eine Aktion ausgelöst werden soll,- Senden der Daten an eine Vergleichseinrichtung,- Ausführen einer Vergleichsprüfung für die von der zweiten Recheneinrichtung bereitgestellten Daten mit den in dem Datenspeicher gespeicherten Daten und ansprechend auf ein Bestehen der Vergleichsprüfung,- Aussenden der Daten und/oder einer Steuerungsanweisung und/oder einer Warnmitteilung durch die V2X Kommunikationsvorrichtung an ein Steuerungsmodul. Weiterhin betrifft die Erfindung eine korrespondierende Fahrzeug-zu-X Vorrichtung und die Verwendung der Vorrichtung in einem Fahrzeug.

Description

Die Erfindung betrifft ein Verfahren zur Gewährleistung der Integrität von durch eine V2X Kommunikationsvorrichtung eines Fahrzeugs an ein Steuerungsmodul des Fahrzeugs übermittelten Daten zur Sicherstellung der Betriebssicherheit, eine korrespondierende V2X Kommunikationsvorrichtung und deren Verwendung.
Fahrzeug-zu-X (V2X) Kommunikation ist Stand der Forschung bzw. Vorentwicklung und befindet sich zurzeit in der Standardisierung. Die relevanten Standards sind IEEE802.11(p), IEEE1609, SAE 2735, SAE 2945 und ETSI ITS-G5. Zusätzlich werden gerade neue Standards bei 3GPP für C-V2X bzw. LTE-V2X bzw. 5G V2X erstellt. Funktionale Sicherheit wird im Standard ISO 26262 für die Autoindustrie beschrieben.
Insbesondere interne Fehler einer V2X Kommunikationsvorrichtung zur V2X Kommunikation können zu problem- bzw. fehlerbehafteten V2X Informationen führen, welche mittels eines Datenbusses an die betreffenden die Informationen heranziehenden Fahrzeugsysteme übertragen werden. Es kann zu Beispiel vorkommen, dass durch eine V2X Kommunikationsvorrichtung an andere Fahrzeugsysteme mittels eines Datenbusses übertragene V2X Informationen korrumpiert, beschädigt oder veraltet sind. Hierdurch kann insbesondere die Betriebssicherheit eines Fahrzeugs negativ beeinflusst bzw. sicherheitskritische Situationen hervorgerufen werden oder es werden keine angemessenen Maßnahmen zur Begegnung potentiell sicherheitskritischer Situationen ausgelöst.
Aufgabe der Erfindung ist es ein Mittel zur Sicherstellung der Sicherheit („Safety“) bei möglichst geringem Ressourceneinsatz bereitzustellen.
Diese Aufgabe wird durch die Gegenstände der unabhängigen Ansprüche gelöst. Vorteilhafte Ausgestaltungen können beispielsweise den Unteransprüchen entnommen werden. Der Inhalt der Ansprüche wird durch ausdrückliche Inbezugnahme zum Inhalt der Beschreibung gemacht.
Die Erfindung betrifft ein Verfahren zur Gewährleistung der Integrität von durch eine V2X Kommunikationsvorrichtung eines Fahrzeugs an ein Steuerungsmodul des Fahrzeugs übermittelten Daten zur Sicherstellung der Betriebssicherheit (Safety), welches folgende Schritte aufweist:

- Empfangen von mittels Fahrzeug-zu-X Kommunikation übertragenen Daten durch eine erste Recheneinrichtung der V2X Kommunikationsvorrichtung,
- Speichern der Daten in einem Datenspeicher,
- Weiterleiten der Daten an eine zweite Recheneinrichtung,
- Empfangen der Daten durch die zweite Recheneinrichtung,
- Ermitteln für die Daten, ob eine Aktion ausgelöst werden soll und ansprechend darauf, dass eine Aktion ausgelöst werden soll,
- Senden der Daten an eine Vergleichseinrichtung,
- Ausführen einer Vergleichsprüfung für die von der zweiten Recheneinrichtung bereitgestellten Daten mit den in dem Datenspeicher gespeicherten Daten und ansprechend auf ein Bestehen der Vergleichsprüfung,
- Aussenden der Daten und/oder einer Steuerungsanweisung und/oder einer Warnmitteilung durch die V2X Kommunikationsvorrichtung an das Steuerungsmodul.

Durch die Erfindung kann festgestellt werden, ob die Daten durch die Verarbeitung mittels der zweiten Recheneinheit verändert wurden, was anhand des Vergleichs mit den in dem Datenspeicher gespeicherten ursprünglichen Daten feststellbar ist. Somit kann die Integrität, der durch die V2X Kommunikationsvorrichtung an das Steuerungsmodul übermittelten Daten gewährleistet werden, was wesentlich zur Sicherstellung der Betriebssicherheit des Fahrzeugs beitragen kann. Die Prüfung ist hierbei bedarfsorientiert ausgestaltet, wobei die zweite Recheneinrichtung konfiguriert ist zu prüfen, ob eine Aktion ausgelöst werden soll. Bei der Ausführung der Vergleichsprüfung muss nicht notwendigerweise eine vollständige Übereinstimmung der Daten vorliegen. Veränderungen, welche sich notwendigerweise aus einer Verarbeitung durch die zweite Recheneinheit ergeben, können Berücksichtigung finden und somit dennoch ein positives (bestandenes) Ergebnis anzeigen.
Liegt ein Fall vor, bei dem für die Ausgabe an das Steuerungsmodul Datensätze unterschiedlicher V2X Nachrichten herangezogen werden, werden weiterbildungsgemäß vor Ausgabe an das Steuerungsmodul sämtliche diesbezüglichen Datensätze geprüft, wobei die Ausgabe insbesondere lediglich dann erfolgt, wenn die Vergleichsprüfung für alle Datensätze als bestanden gilt.
Eine erste Recheneinrichtung ist typischerweise ein Modul, bei welchem eingehende bzw. empfangene Fahrzeug-zu-X-Nachrichten zuerst bzw. in einem sehr frühen Stadium der Verarbeitung vorliegen, insbesondere um eine Vor-Filterung bzw. eine Verifizierung der empfangenen V2X Nachrichten vorzunehmen. Entsprechend kann die erste Recheneinrichtung konfiguriert sein ein Verfahren zur Vor-Filterung zur Reduktion der Verarbeitungsbelastung und/oder Verifizierung empfangener V2X Nachrichten auszuführen. Insbesondere ist es bei einem Empfang von Fahrzeug-zu-X-Nachrichten typischerweise der zweiten Recheneinrichtung vorgeschaltet.
Eine zweite Recheneinrichtung ist typischerweise ein Modul, welches konfiguriert ist einen Protokollstapel (bzw. Protokoll- oder Kommunikationsstack) zur Verarbeitung der eingehenden bzw. empfangenen Fahrzeug-zu-X Nachrichten zu realisieren. Weiterhin kann die zweite Recheneinrichtung zur Ausführung von insbesondere V2X Kommunikation bezüglichen Softwareapplikationen konfiguriert sein. Diese Softwareapplikationen haben Informationen als Ausgang, die an einen Fahrzeugbus weitergegeben werden können bzw. sollen.
Die Vergleichseinrichtung und/oder der Datenspeicher können weiterbildungsgemäß durch die erste Recheneinrichtung umfasst sein.
Bei einem Steuerungsmodul handelt es sich typischerweise um ein Modul, insbesondere eines von der V2X Kommunikationsvorrichtung unterschiedlichen Fahrzeugsystems, welches die von empfangenen Fahrzeug-zu-X Nachrichten umfassten Inhalte im Rahmen von bestimmten Anwendungen verwendet, beispielsweise für Fahrassistenzsysteme oder für Sicherheitssysteme. Das Steuerungsmodul ist durch die V2X Kommunikationsvorrichtung somit insbesondere nicht umfasst. Die Datenbereitstellung an das Steuerungsmodul durch die V2X Kommunikationsvorrichtung erfolgt insbesondere mittels eines Datenbusses, beispielsweise CAN oder Ethernet.
Es sei verstanden, dass sowohl beim Speichern der mittels V2X Kommunikation empfangenen Daten wie auch beim Weiterleiten eine die Daten umfassende Fahrzeug-zu-X Nachricht sowohl vollständig gespeichert bzw. weitergeleitet werden kann wie auch nur teilweise gespeichert bzw. weitergeleitet werden kann.
Weiterbildungsgemäß ist die erste Recheneinrichtung mit einem durch die V2X Kommunikationsvorrichtung umfassten V2X Transceiver mittels eines SPI Datenbusses zur Datenübertragung geeignet verbunden.
Entsprechend einer Ausführungsform ist die zweite Recheneinrichtung zur Realisierung eines niedrigeren Sicherheitsintegritätslevel ausgebildet als die erste Recheneinrichtung. Die Vergleichseinrichtung und/oder der Datenspeicher sind weiterbildungsgemäß zur Realisierung eines mit der ersten Recheneinrichtung übereinstimmenden Sicherheitsintegritätslevels ausgebildet.
Entsprechend einer Ausführungsform ist die zweite Recheneinrichtung zur Realisierung eines ASIL QM Sicherheitsintegritätslevels und die erste Recheneinrichtung zur Realisierung eines ASIL B Sicherheitsintegritätslevels ausgebildet.
Entsprechend einer Ausführungsform sendet die zweite Recheneinrichtung gemeinsam mit den Daten eine Vergleichsaufforderung an die Vergleichseinrichtung.
Entsprechend einer Ausführungsform wird für die im Datenspeicher gespeicherten Daten eine Kennung zur Identifizierung dieser Daten abgespeichert, wobei die Vergleichsaufforderung eine jeweilige Kennung der zu vergleichenden Daten enthält.
Entsprechend einer Ausführungsform erfolgt die Aussendung der Daten an das Steuerungsmodul mittels der ersten Recheneinrichtung.
Entsprechend einer Ausführungsform ist der Datenspeicher als abgesicherter TCM („tightly coupled memory“) ausgebildet. Die Absicherung kann hierbei mittels eines Fehlerkorrekturverfahrens (Error Correcting Code; ECC) erfolgen.
Entsprechend einer Ausführungsform werden die Daten, ansprechend auf das Abschließen der Vergleichsprüfung, aus dem Datenspeicher gelöscht und/oder wird ein Ergebnis der Vergleichsprüfung an die zweite Recheneinrichtung übermittelt.
Entsprechend einer Ausführungsform wird ansprechend auf ein nicht Bestehen der Vergleichsprüfung eine oder mehrere der nachfolgenden Maßnahmen ausgeführt:

- Stoppen und/oder Neustarten und/oder Zurücksetzen einer durch die zweite Recheneinrichtung ausgeführte und die Daten verarbeitende Anwendung,
- Wechsel eines Speicherbereichs eines der zweiten Recheneinrichtung zugeordneten Datenspeichers und/oder eines die Daten heranziehenden Rechenkerns oder physischen Rechenbereichs und/oder
- Periodisches Zurücksetzen mit einer verkürzten Periodendauer einer die Daten heranziehenden Anwendung, wenn eine Wiederholung von fehlerhaften Vergleichsergebnissen nach ähnlichen Zeiten ermittelt wird.

Eine Zurückstellung kann evtl. schleichend korrupte Bereiche, welche insbesondere aus unerkannten Programmierfehlern resultieren, reduzieren. Hierdurch können Fehler vermieden werden, die erst im Verlauf der Zeit auftreten.
Sind die Fehler differenzierter erfasst und gespeichert, so können auch einzelne mittels der zweiten Recheneinrichtung ausgeführte Anwendungen unabhängig voneinander betrachtet werden.
Ein Wechsel der Rechenkerne bzw. physischen Rechenbereiche ist jedoch lediglich dann möglich, wenn weitere Rechenkerne bzw. physische Rechenbereiche zur Verfügung stehen. Als fehleranfällig erkannte Rechenkerne bzw. physische Rechenbereiche können als solche zur Durchführung einer Diagnose markiert werden.
Entsprechend einer Ausführungsform kann vorgesehen sein einen durch die zweite Recheneinrichtung ausgeführten Protokollstapel und/oder V2X Anwendung redundant durch einen oder bevorzugt mehreren Rechenkernen der zweiten Recheneinrichtung auszuführen. Mittels eines Vergleichs der Ergebnisse durch die zweite Recheneinrichtung lässt sich somit bereits ein Fehler erkennen und ggf. zuordnen. Um die Sicherheit zu gewährleisten, wird weiterbildungsgemäß dennoch ein Vergleich mit der Vergleichseinrichtung vorgenommen, insbesondere wenn die zweite Recheneinrichtung z.B. entsprechend ASIL QM und die erste Recheneinrichtung bzw. Vergleichseinrichtung entsprechend ASIL B ausgebildet ist. Als nachteilig an dem Redundanzkonzept könnte der höhere Ressourcenverbrauch gesehen werden Weiterhin ist nicht notwendigerweise sichergestellt, dass alle Fehler abgefangen werden können, wenn einige Hardwareeinheiten nicht doppelt vorhanden sind und es damit zu einer einzelnen Fehlerquelle kommt.
Entsprechend einer Ausführungsform ist die erste Recheneinrichtung konfiguriert eine Vorverarbeitung zur Filterung mittels der Fahrzeug-zu-X Kommunikation empfangener V2X Nachrichten vorzunehmen, wobei abhängig von der Vorverarbeitung nur ein Teil der V2X Nachrichten entsprechend der Erfindung weiterverarbeitet werden.
Entsprechend einer Ausführungsform können weiterbildungsgemäß Daten bezüglich des Fahrzeugs, wie beispielsweise die Ego-Position oder Ego-Geschwindigkeit, in dem Datenspeicher gespeichert werden welche insbesondere durch die zweite Recheneinrichtung verwendet werden. Die Daten können hierfür ebenfalls von der ersten Recheneinrichtung gespeichert sowie der zweiten Recheneinrichtung bereitgestellt und gemäß einer Ausführungsform der Erfindung weiterverarbeitet werden. Hierdurch kann die Sicherheit weiter erhöht werden.
Entsprechend einer Ausführungsform wird die Anzahl der im Ergebnis erfolgreichen und/oder fehlerhaften Vergleichsprüfungen ermittelt. Weiterhin kann die Art der auftretenden Fehler ermittelt werden. Diesbezügliche Informationen können für weitere Diagnosen hinsichtlich der Fehlerursachen zweckmäßig sein.
Weiterbildungsgemäß kann die ermittelte Anzahl der im Ergebnis erfolgreichen und/oder im Ergebnis fehlerhaften Vergleichsprüfungen gemäß einer oder mehrerer der nachfolgenden Ausführungen herangezogen werden:

- Überschreitet die Anzahl an im Ergebnis fehlerhaften Vergleichsprüfungen und/oder ein Verhältnis der Anzahl der im Ergebnis fehlerhaften Vergleichsprüfungen zu den im Ergebnis erfolgreichen Vergleichsprüfungen einen Schwellwert, wird die V2X Kommunikation ausgesetzt und/oder ein Fehler im Fehlerspeicher hinterlegt und/oder ein Fahrzeuginsasse des Fahrzeugs, insbesondere der Fahrer, entsprechend informiert.

Die Erfindung betrifft weiterhin eine Fahrzeug-zu-X Kommunikationsvorrichtung, umfassend:

- eine erste Recheneinrichtung zur Datenverarbeitung,
- eine zweite Recheneinrichtung zur Datenverarbeitung,
- eine Empfangseinrichtung zum Empfang von Fahrzeug-zu-X Nachrichten mittels einer Antenne,
- eine Sendeeinrichtung zum Senden von Daten an ein Steuerungsmodul und
- eine Vergleichseinrichtung, insbesondere umfasst durch die erste Recheneinrichtung, wobei
- die erste Recheneinrichtung konfiguriert ist mittels der Empfangseinrichtung empfangene Daten in einem Datenspeicher, insbesondere umfasst von der ersten Recheneinrichtung, zu speichern und die Daten an die zweite Recheneinrichtung weiterzuleiten, wobei
- die zweite Recheneinrichtung konfiguriert ist für die Daten zu ermitteln, ob eine Aktion ausgelöst werden soll und ansprechend darauf, dass eine Aktion ausgelöst werden soll, die Daten an die Vergleichseinrichtung zu senden, wobei
- die Vergleichseinrichtung konfiguriert ist eine Vergleichsprüfung für die von der zweiten Recheneinrichtung bereitgestellten Daten mit den in dem Datenspeicher gespeicherten Daten vorzunehmen und ansprechend auf ein Bestehen der Vergleichsprüfung ein das Ergebnis anzeigendes Signal auszugeben, und wobei
- die V2X Kommunikationsvorrichtung konfiguriert ist die Daten und/oder eine Steuerungsanweisung und/oder eine Warnmitteilung ansprechend auf das Signal zur Bereitstellung mittels der Sendeeinrichtung an das Steuerungsmodul auszusenden.

Die Erfindung betrifft des Weiteren ein Recheneinrichtung, welches dazu konfiguriert ist, ein Verfahren wie weiter oben mit Bezug auf ein in einem Recheneinrichtung auszuführendes Verfahren beschrieben auszuführen. Die Erfindung betrifft des Weiteren ein Steuerungsmodul, welches dazu konfiguriert ist, ein Verfahren wie weiter oben mit Bezug auf ein in einem Steuerungsmodul auszuführendes Verfahren beschrieben auszuführen. Hinsichtlich der jeweiligen Verfahren kann auf alle hierin beschriebenen Ausführungen und Varianten zurückgegriffen werden.
Eine Recheneinrichtung kann jedwede Einrichtung sein, die ausgebildet ist, um zumindest eines der genannten Signale zu verarbeiten. Beispielsweise kann die Recheneinrichtung ein Prozessor, ein ASIC, ein FPGA, ein digitaler Signalprozessor, ein Hauptprozessor (CPU von engl.: „Central Processing Unit“), ein Multizweckprozessor (MPP von engl.: „Multi Purpose Prozessor“) oder Ähnliches sein. Entsprechend einer Ausführungsform findet als zweite Recheneinrichtung ein sogenannter ARM Cortex A35 Kern und als erste Recheneinrichtung ein sogenannter ARM M4 Kern Verwendung.
In einer Weiterbildung der angegebenen Vorrichtung weist die angegebene Vorrichtung einen Speicher und einen Prozessor auf. Dabei ist das angegebene Verfahren in Form eines Computerprogramms in dem Speicher hinterlegt und der Prozessor zur Ausführung des Verfahrens vorgesehen, wenn das Computerprogramm aus dem Speicher in den Prozessor geladen ist.
Gemäß einem weiteren Aspekt der Erfindung umfasst ein Computerprogramm Programmcodemittel, um alle Schritte eines der angegebenen Verfahren durchzuführen, wenn das Computerprogramm auf einem Computer oder einer der angegebenen Vorrichtungen ausgeführt wird.
Gemäß einem weiteren Aspekt der Erfindung enthält ein Computerprogrammprodukt einen Programmcode, der auf einem computerlesbaren Datenträger gespeichert ist und der, wenn er auf einer Datenverarbeitungseinrichtung ausgeführt wird, eines der angegebenen Verfahren durchführt.
Die Erfindung betrifft weiter die Verwendung einer Ausführungsform der V2X Kommunikationsvorrichtung gemäß der Erfindung in einem Fahrzeug.
Ein Fahrzeug kann ein Kraftfahrzeug, insbesondere ein Personenkraftfahrzeug, ein Lastkraftfahrzeug, ein Motorrad, ein Elektrokraftfahrzeug oder ein Hybridkraftfahrzeug, ein Wasserfahrzeug oder ein Luftfahrzeug sein.
Weitere Merkmale und Vorteile wird der Fachmann dem nachfolgend mit Bezug auf die beigefügte Zeichnung beschriebenen Ausführungsbeispiel entnehmen. In schematischer Darstellung zeigen:

1: eine beispielsgemäße Ausführungsform des Verfahrens gemäß der Erfindung und
2: eine beispielsgemäße Ausführungsform der Fahrzeug-zu-X Kommunikationsvorrichtung gemäß der Erfindung.

Die 1 zeigt eine beispielhafte Ausführungsform des Verfahrens zur Gewährleistung der Integrität von durch eine V2X Kommunikationsvorrichtung eines Fahrzeugs an ein Steuerungsmodul des Fahrzeugs übermittelten Daten zur Sicherstellung der Betriebssicherheit (Safety) gemäß der Erfindung. In einem Schritt 1.1 werden mittels Fahrzeug-zu-X Kommunikation übertragene Daten durch eine erste Recheneinrichtung der V2X Kommunikationsvorrichtung empfangen und in einem Schritt 1.2 in einem Datenspeicher gespeichert. In einem Schritt 1.3 leitet die erste Recheneinrichtung die Daten an eine zweite Recheneinrichtung weiter, welche die Daten empfängt. Die zweite Recheneinrichtung ermittelt in einem Schritt 1.4 für die empfangen Daten, ob eine Aktion ausgelöst werden soll und ansprechend darauf, dass eine Aktion ausgelöst werden soll, Senden der Daten an eine Vergleichseinrichtung in der ersten Recheneinrichtung. Die Vergleichseinrichtung in der ersten Recheneinrichtung führt in einem Schritt 1.5 eine Vergleichsprüfung für die von der zweiten Recheneinrichtung bereitgestellten Daten mit den in dem Datenspeicher gespeicherten Daten durch, wobei in einem Schritt 1.6, ansprechend auf ein Bestehen der Vergleichsprüfung, die Daten und/oder einer Steuerungsanweisung und/oder einer Warnmitteilung durch die V2X Kommunikationsvorrichtung an das Steuerungsmodul ausgesandt werden.
Die 1 zeigt eine beispielhafte Ausführungsform der Fahrzeug-zu-X (V2X) Kommunikationsvorrichtung 2, umfassend eine erste Recheneinrichtung 2.1 zur Datenverarbeitung sowie eine zweite Recheneinrichtung 2.2 zur Datenverarbeitung. Weiterhin weist die V2X Kommunikationsvorrichtung 2 eine Empfangseinrichtung 2.3 zum Empfang von Fahrzeug-zu-X Nachrichten mittels einer Antenne 2.4 auf.
Die erste Recheneinrichtung 2.1 ist dabei konfiguriert mittels der Empfangseinrichtung 2.3 empfangene Daten in einem Datenspeicher 2.1.1 der ersten Recheneinheit 2.1 zu speichern und die Daten an die zweite Recheneinrichtung 2.2 weiterzuleiten. Die zweite Recheneinrichtung 2.2 ist konfiguriert für die Daten zu ermitteln, ob eine Aktion ausgelöst werden soll und ansprechend darauf, dass eine Aktion ausgelöst werden soll, die Daten an eine Vergleichseinrichtung 2.1.2 der ersten Recheneinheit 2.1 zu senden, wobei die Vergleichseinrichtung 2.1.2 konfiguriert ist eine Vergleichsprüfung für die von der zweiten Recheneinrichtung 2.2 bereitgestellten Daten mit den in dem Datenspeicher 2.1.1 gespeicherten Daten vorzunehmen und ansprechend auf ein Bestehen der Vergleichsprüfung ein das Ergebnis anzeigendes Signal auszugeben. Die erste Recheneinrichtung 2.1 ist weiterhin insbesondere konfiguriert ansprechend auf das Signal die Daten und/oder eine Steuerungsanweisung und/oder eine Warnmitteilung direkt an die Sendeeinrichtung 2.5 und/oder an die zweite Recheneinrichtung 2.2 auszugeben, wobei auch die zweite Recheneinrichtung 2.2 eine Ausgabe an die Sendeeinrichtung 2.5 vornehmen kann. Die V2X Kommunikationsvorrichtung 2 ist konfiguriert mittels der Sendeeinrichtung 2.5 die Daten und/oder die Steuerungsanweisung und/oder die Warnmitteilung beispielsgemäß mittels eines Datenbusses 2.6 an ein Steuerungsmodul 3 auszusenden.
Sofern sich im Laufe des Verfahrens herausstellt, dass ein Merkmal oder eine Gruppe von Merkmalen nicht zwingend nötig ist, so wird anmelderseitig bereits jetzt eine Formulierung zumindest eines unabhängigen Anspruchs angestrebt, welcher das Merkmal oder die Gruppe von Merkmalen nicht mehr aufweist. Hierbei kann es sich beispielsweise um eine Unterkombination eines am Anmeldetag vorliegenden Anspruchs oder um eine durch weitere Merkmale eingeschränkte Unterkombination eines am Anmeldetag vorliegenden Anspruchs handeln. Derartige neu zu formulierende Ansprüche oder Merkmalskombinationen sind als von der Offenbarung dieser Anmeldung mit abgedeckt zu verstehen.
Es sei ferner darauf hingewiesen, dass Ausgestaltungen, Merkmale und Varianten der Erfindung, welche in den verschiedenen Ausführungen oder Ausführungsbeispielen beschriebenen und/oder in den Figuren gezeigt sind, beliebig untereinander kombinierbar sind. Einzelne oder mehrere Merkmale sind beliebig gegeneinander austauschbar. Hieraus entstehende Merkmalskombinationen sind als von der Offenbarung dieser Anmeldung mit abgedeckt zu verstehen.
Rückbezüge in abhängigen Ansprüchen sind nicht als ein Verzicht auf die Erzielung eines selbständigen, gegenständlichen Schutzes für die Merkmale der rückbezogenen Unteransprüche zu verstehen. Diese Merkmale können auch beliebig mit anderen Merkmalen kombiniert werden.
Merkmale, die lediglich in der Beschreibung offenbart sind oder Merkmale, welche in der Beschreibung oder in einem Anspruch nur in Verbindung mit anderen Merkmalen offenbart sind, können grundsätzlich von eigenständiger erfindungswesentlicher Bedeutung sein. Sie können deshalb auch einzeln zur Abgrenzung vom Stand der Technik in Ansprüche aufgenommen werden.
Allgemein sei darauf hingewiesen, dass unter Fahrzeug-zu-X Kommunikation insbesondere eine direkte Kommunikation zwischen Fahrzeugen und/oder zwischen Fahrzeugen und Infrastruktureinrichtungen verstanden wird. Beispielsweise kann es sich also um Fahrzeug-zu-Fahrzeug Kommunikation oder um Fahrzeug-zu-Infrastruktur Kommunikation handeln. Sofern im Rahmen dieser Anmeldung auf eine Kommunikation zwischen Fahrzeugen Bezug genommen wird, so kann diese grundsätzlich beispielsweise im Rahmen einer Fahrzeug-zu-Fahrzeug Kommunikation erfolgen, welche typischerweise ohne Vermittlung durch ein Mobilfunknetz oder eine ähnliche externe Infrastruktur erfolgt und welche deshalb von anderen Lösungen, welche beispielsweise auf ein Mobilfunknetz aufbauen, abzugrenzen ist. Beispielsweise kann eine Fahrzeug-zu-X Kommunikation unter Verwendung der Standards IEEE 802.11p oder IEEE 1609.4 oder 4G oder 5G, insbesondere auch PC5 oder sidelink, erfolgen. Eine Fahrzeug-zu-X Kommunikation kann auch als C2X-Kommunikation oder V2X-Kommunikation bezeichnet werden. Die Teilbereiche können als C2C (Carto-Car), V2V (Vehicle-to-Vehicle) oder C2I (Car-to-Infrastructure), V2I (Vehicle-to-Infrastrukture) bezeichnet werden. Die Erfindung schließt Fahrzeug-zu-X Kommunikation mit Vermittlung beispielsweise über ein Mobilfunknetz, sog. Cellular-V2X bzw. C-V2X, ausdrücklich mit ein.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

ISO 26262 [0002]

Claims

Verfahren zur Gewährleistung der Integrität von durch eine V2X Kommunikationsvorrichtung eines Fahrzeugs an ein Steuerungsmodul des Fahrzeugs übermittelten Daten zur Sicherstellung der Betriebssicherheit, welches folgende Schritte aufweist: - Empfangen von mittels Fahrzeug-zu-X Kommunikation übertragenen Daten durch eine erste Recheneinrichtung der V2X Kommunikationsvorrichtung, - Speichern der Daten in einem Datenspeicher, - Weiterleiten der Daten an eine zweite Recheneinrichtung, - Empfangen der Daten durch die zweite Recheneinrichtung, - Ermitteln für die Daten, ob eine Aktion ausgelöst werden soll und ansprechend darauf, dass eine Aktion ausgelöst werden soll, - Senden der Daten an eine Vergleichseinrichtung, - Ausführen einer Vergleichsprüfung für die von der zweiten Recheneinrichtung bereitgestellten Daten mit den in dem Datenspeicher gespeicherten Daten und ansprechend auf ein Bestehen der Vergleichsprüfung, - Aussenden der Daten und/oder einer Steuerungsanweisung und/oder einer Warnmitteilung durch die V2X Kommunikationsvorrichtung an ein Steuerungsmodul.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die zweite Recheneinrichtung zur Realisierung eines niedrigeren Sicherheitsintegritätslevel ausgebildet ist als die erste Recheneinrichtung.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die zweite Recheneinrichtung zur Realisierung eines ASIL QM Sicherheitsintegritätslevels ausgebildet ist und die erste Recheneinrichtung zur Realisierung eines ASIL B Sicherheitsintegritätslevels.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die zweite Recheneinrichtung gemeinsam mit den Daten eine Vergleichsaufforderung an die Vergleichseinrichtung sendet.
Verfahren nach Anspruch 4, wobei für die im Datenspeicher gespeicherten Daten eine Kennung zur Identifizierung dieser Daten abgespeichert wird, und wobei die Vergleichsaufforderung eine jeweilige Kennung der zu vergleichenden Daten enthält.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Aussendung der Daten an das Steuerungsmodul mittels der ersten Recheneinrichtung erfolgt.
Verfahren nach einem der vorhergehenden Ansprüche, wobei der Datenspeicher als abgesicherter TCM („tightly coupled memory“) ausgebildet ist.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Daten durch die erste Recheneinrichtung und/oder den Datenspeicher unter Verwendung eines Fehlerkorrekturverfahrens in dem Datenspeicher gespeichert werden.
Verfahren nach einem der vorhergehenden Ansprüche, wobei weiterhin Daten bezüglich des Fahrzeugs in dem Datenspeicher gespeichert und an die zweite Recheneinrichtung weitergeleitet werden.
Verfahren nach einem der vorhergehenden Ansprüche, wobei ansprechend auf das Abschließen der Vergleichsprüfung die Daten aus dem Datenspeicher gelöscht werden und/oder ein Ergebnis der Vergleichsprüfung an die zweite Recheneinrichtung übermittelt wird.
Verfahren nach einem der vorhergehenden Ansprüche, ansprechend auf ein nicht Bestehen der Vergleichsprüfung ein Ergebnis des nicht Bestehens an die zweite Recheneinrichtung übermittelt wird und weiterhin: - Stoppen und/oder Neustarten und/oder Zurücksetzen einer durch die zweite Recheneinrichtung ausgeführte und die Daten verarbeitende Anwendung, - Wechsel eines Speicherbereichs eines der zweiten Recheneinrichtung zugeordneten Datenspeichers und/oder eines die Daten heranziehenden Rechenkerns oder physischen Rechenbereichs und/oder - Periodisches Zurücksetzen mit einer verkürzten Periodendauer einer die Daten heranziehenden Anwendung, wenn eine Wiederholung von fehlerhaften Vergleichsergebnissen nach ähnlichen Zeiten ermittelt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei eine Anzahl der im Ergebnis erfolgreichen und/oder fehlerhaften Vergleichsprüfungen ermittelt wird, wobei die V2X Kommunikation ausgesetzt und/oder ein Fehler im Fehlerspeicher hinterlegt und/oder ein Fahrzeuginsasse des Fahrzeugs entsprechend informiert wird, wenn die Anzahl an im Ergebnis fehlerhaften Vergleichsprüfungen und/oder ein Verhältnis der Anzahl der im Ergebnis fehlerhaften Vergleichsprüfungen zu den im Ergebnis erfolgreichen Vergleichsprüfungen einen Schwellwert überschreitet.
Fahrzeug-zu-X (V2X) Kommunikationsvorrichtung, umfassend - eine erste Recheneinrichtung zur Datenverarbeitung, - eine zweite Recheneinrichtung zur Datenverarbeitung, - eine Empfangseinrichtung zum Empfang von Fahrzeug-zu-X Nachrichten mittels einer Antenne, - eine Sendeeinrichtung zum Senden von Daten an ein Steuerungsmodul und - eine Vergleichseinrichtung, wobei - die erste Recheneinrichtung konfiguriert ist mittels der Empfangseinrichtung empfangene Daten in einem Datenspeicher zu speichern und die Daten an die zweite Recheneinrichtung weiterzuleiten, wobei - die zweite Recheneinrichtung konfiguriert ist für die Daten zu ermitteln, ob eine Aktion ausgelöst werden soll und ansprechend darauf, dass eine Aktion ausgelöst werden soll, die Daten an die Vergleichseinrichtung zu senden, wobei - die Vergleichseinrichtung konfiguriert ist eine Vergleichsprüfung für die von der zweiten Recheneinrichtung bereitgestellten Daten mit den in dem Datenspeicher gespeicherten Daten vorzunehmen und ansprechend auf ein Bestehen der Vergleichsprüfung ein das Ergebnis anzeigendes Signal auszugeben, und wobei - die V2X Kommunikationsvorrichtung konfiguriert ist die Daten und/oder eine Steuerungsanweisung und/oder eine Warnmitteilung ansprechend auf das Signal zur Bereitstellung mittels der Sendeeinrichtung an das Steuerungsmodul auszusenden.
Fahrzeug-zu-X Kommunikationsvorrichtung gemäß Anspruch 13, konfiguriert ein Verfahren gemäß einem der Ansprüche 1 bis 12 auszuführen.
Verwendung der V2X Kommunikationsvorrichtung gemäß Anspruch 13 oder 14 in einem Fahrzeug.