-
[TECHNISCHES GEBIET]
-
Die vorliegende Erfindung betrifft ein Verfahren zur Validierung von Fahrzeug-zu-X Nachrichten zur Regelung des Verkehrsflusses sowie eine korrespondierende Vorrichtung.
-
[TECHNISCHER HINTERGRUND]
-
Derzeitig werden in der Forschung und Vorentwicklung einige ausgewählte Verkehrsregelanlagen, beispielsweise Ampelanlagen, in der Weise ausgestattet, dass diese mittels einer entsprechenden Sendeeinrichtung SPAT (Signal Phase and Timing) und MAP Nachrichten nach ETSI bzw. SAE versenden können. Fahrzeuge, die über eine geeignete Fahrzeug-zu-X (V2X) Schnittstelle verfügen, können die empfangenen Informationen aufbereiten und dem Fahrer zur Verfügung stellen. Dies betrifft unter anderem Informationen über die Spuren (MAP) und über die Ampelzustände bzw. -phasen und wann die Ampelzustände umschalten (SPAT).
-
Mangels einer wirksamen Absicherung im Sinne der funktionalen Sicherheit (Safety) gegenüber Falschnachrichten ist es bislang jedoch nicht möglich, diese Informationen zu nutzen, um bspw. ein ACC (Adaptive Cruise Control bzw. Abstandsregeltempomat) bereitzustellen, welches auf Grundlage der von einer Ampelanlage empfangenen Informationen die Ampelzustände kennt, auswertet und fahrerunabhängig Fahrdynamikeingriffe vorzunehmen im Stande ist.
-
Als Aufgabe der Erfindung kann es angesehen werden Mittel zur Verbesserung der funktionalen Sicherheit (Safety) für die Kommunikation zwischen Infrastruktur und Fahrzeug (V2I) bereitzustellen.
-
Diese Aufgabe wird durch die Gegenstände der unabhängigen Ansprüche gelöst. Vorteilhafte Ausgestaltungen können beispielsweise den Unteransprüchen entnommen werden. Der Inhalt der Ansprüche wird durch ausdrückliche Inbezugnahme zum Inhalt der Beschreibung gemacht.
-
Ein erster Aspekt der Offenlegung betrifft ein Verfahren zur Validierung von Fahrzeug-zu-X Nachrichten durch eine Recheneinrichtung eines Fahrzeugs, aufweisend die Schritte:
- - Empfangen zumindest einer Fahrzeug-zu-X Nachricht umfassend Informationen zur Regelung des Verkehrsflusses, und
- - Validieren der zumindest einen Nachricht, wobei im Rahmen der Validierung eine Prüfung wenigstens eines Teils des durch die zumindest eine Nachricht umfassten Nachrichteninhalts auf dessen Widerspruchsfreiheit erfolgt.
-
Durch das Verfahren kann eine Verbesserung der funktionalen Sicherheit eines Fahrzeugs bei Fahrzeug-zu-X Kommunikation erzielt werden und eine Einschätzung darüber gewonnen werden, wie vertrauenswürdig ein Sender ist. Der Nachrichteninhalt beschreibt hierbei insbesondere sämtliche durch eine Nachricht umfasste Informationen. Die Informationen zur Regelung des Verkehrsflusses stellen entsprechend zumindest einen Teil dieses Nachrichteninhalts dar. Die Fahrzeug-zu-X Nachricht und hiermit die Informationen zur Regelung des Verkehrsflusses werden insbesondere von einem Sender einer Infrastruktureinrichtung zur Regelung des Verkehrsflusses empfangen. Die Informationen zur Regelung des Verkehrsflusses stellen insbesondere Informationen dar, wie beispielsweise mittels MAP oder SPAT Nachrichten übermittelt werden.
-
Die Validierung der Nachricht erfolgt insbesondere auf Basis des durch die empfangene Nachricht umfassten Nachrichteninhalts, wobei unterschiedliche Kriterien alternativ und/oder zumindest teilweise kumulierend überprüft werden können, auf welche nachfolgend weiter eingegangen wird.
-
Entsprechend zumindest einer Ausführungsform wird, wenn keine Widerspruchsfreiheit des Nachrichteninhalts festgestellt ist, die Nachricht verworfen und/oder der Sender der Nachricht als nicht vertrauenswürdig eingestuft und/oder zumindest einen Teil des Nachrichteninhalts, beispielsweise eines Teils des Nachrichteninhalts der Widerspruchsfrei ist oder den gesamten Nachrichteninhalt, mit einer entsprechend niedrigen Vertrauensstufe markiert und weiter verarbeitet.
-
Grundsätzlich kann insbesondere für den Fall, dass keine Widerspruchsfreiheit einer oder mehrerer Nachrichten festgestellt wurde, vorgesehen sein, ein Warnsignal beispielsweise zur Warnung eines Fahrers des Fahrzeugs mittels einer Mensch-Maschine Schnittstelle oder zur Verarbeitung durch ein (semi)autonomes Fahrzeugsystem auszugeben. Auch können weitere Verkehrsteilnehmer und/oder eine externe zentrale Datenverarbeitungseinrichtung mittels einer drahtlosen Schnittstelle hierüber informiert werden.
-
Entsprechend zumindest einer Ausführungsform wird, wenn eine Widerspruchsfreiheit des Nachrichteninhalts festgestellt ist, die Nachricht weiter verarbeitet und/oder der Sender der Nachricht als vertrauenswürdig eingestuft und/oder zumindest einen Teil des Nachrichteninhalts mit einer entsprechend hohen Vertrauensstufe markiert und weiter verarbeitet.
-
Die Verbesserung der funktionalen Sicherheit beruht dabei auf der Überprüfung der Konsistenz der durch eine einzelne empfangene Nachricht umfassten Informationen, als auch der durch mehrere aufeinanderfolgenden empfangenen Nachrichten umfassten Informationen.
-
Im Falle der Überprüfung aufeinanderfolgender empfangener Nachrichten desselben Senders, müssen diese dabei nicht notwendigerweise unmittelbar aufeinanderfolgend empfangen werden. Es kann auch vorkommen, dass Nachrichten anderer Sender zwischen den zeitlich aufeinanderfolgenden Nachrichten des Senders, deren Nachrichten betrachtet werden, empfangen werden. Die zeitlich aufeinanderfolgenden Nachrichten desselben Senders können, müssen jedoch nicht zeitlich in der Weise aufeinanderfolgend sein, dass diese von dem Sender auch zeitlich unmittelbar aufeinanderfolgend ausgesandt wurden bzw. zeitlich unmittelbar aufeinanderfolgend bezüglich dieses Senders empfangen wurden. Es kann durch den Sender auch zumindest eine Nachricht zwischen diesen Nachrichten ausgesandt worden sein.
-
Dadurch können durch einen Verkehrsteilnehmer empfangene V2X Nachrichten validiert werden, um die Vertrauenswürdigkeit eines Senders zu bewerten und damit die funktionale Sicherheit aus Sicht des empfangenden Fahrzeugs zu verbessern. Insbesondere können Falschnachrichten erkannt werden, deren Inhalte gegebenenfalls die Verkehrssicherheit gefährden könnten, wenn deren Wahrhaftigkeit uneingeschränkt angenommen würde. Unter einer Falschnachricht in diesem Sinne sei insbesondere eine Nachricht verstanden, welche vorgibt von einer jeweiligen Verkehrsregeleinrichtung ausgesandt worden zu sein und/oder manipulierte Informationen umfasst. Manipulierte Informationen können sich auch als Folge eines Fremdzugriffs (Hackerangriffs) auf die Verkehrsregelanlage und/oder weitere Sender ergeben. Unter einem als vertrauenswürdig eingestuften Sender sei somit insbesondere ein Sender verstanden, der als authentisch bewertet wurde und keine Falschnachrichten, beispielsweise Nachrichten mit fehlerhaften Inhalten, aussendet. Grundsätzlich kann auch davon ausgegangen werden, dass auch im Falle einer Vielzahl an Falschnachrichten, über einen betrachteten Zeitraum, zumindest eine nicht-Falschnachricht insbesondere einer Verkehrsregeleinrichtung empfangen wird. Anhand des gesamten Kontextes der Nachrichten kann nunmehr versucht werden, die nicht-Falschnachricht zu identifizieren.
-
Somit kann also auch die funktionale Sicherheit des gesamten kommunizierenden Systems aus Verkehrsregelanlage(n) und Verkehrsteilnehmer(n) verbessert werden.
-
Entsprechend zumindest einer Ausführungsform wird eine Empfangsrate von zumindest zwei aufeinanderfolgend empfangenen Nachrichten, deren umfasste Informationen denselben Sender anzeigen, ermittelt und die Empfangsrate wird anschließend mit einem Grenzwert verglichen. Insbesondere wird überprüft, ob die Empfangsrate der zumindest zwei Nachrichten kleiner oder gleich einem vorgegebenen Grenzwert der Empfangsrate ist. Für eine im Ergebnis positive Validierung bezüglich dieses Kriteriums der zumindest einen Nachricht, sollte die Empfangsrate der zumindest zwei Nachrichten kleiner oder gleich dem vorgegebenen Grenzwert der Empfangsrate sein. Der Grenzwert kann beispielsweise derart festgelegt sein, dass eine spezifikationsgemäße Senderate für einen speziellen Nachrichtentyp abgebildet wird, wobei diese Nachrichten desselben Nachrichtentyps nicht notwendigerweise unmittelbar aufeinanderfolgend empfangen worden sein müssen, und/oder grundsätzlich eine maximale Senderate eines Senders. Auf diese Weise können Täuschungen erkannt werden.
-
Die empfangene Nachricht weist insbesondere Informationen und/oder einen Nachrichtentyp auf, welche(r) üblicherweise durch eine Verkehrsregeleinrichtung, wie beispielsweise eine Ampelanlage, ausgesandt wird. Weiterbildungsgemäß beschreiben die Informationen einen Signalzustand einer Verkehrsregeleinrichtung und/oder eine verbleibende Signalzustandszeit und/oder eine topologische Definition von Fahrspuren, beispielsweise für eine Kreuzung oder ein Straßenabschnitt, und/oder Verbindungen zwischen Straßenabschnitten und/oder eine Art der Fahrspuren und/oder fahrspurbezogene Bewegungsbeschränkungen. Diesbezügliche Nachrichtentypen sind beispielsweise SPAT (Signal Phase and Timing) und/oder MAP Nachrichten nach ETSI bzw. SAE.
-
Beispielsweise werden in dem spezifizierten Nachrichtenformat SPAT die Zustände und verbleibende Zustandszeit einer vollständigen Verkehrsregelanlage auf einmal abgebildet, in der Weise, dass nicht nur die für einen Verkehrsteilnehmer unmittelbar relevanten Informationen bezogen auf den befahrenen Fahrstreifen empfangen werden, sondern auch für alle anderen durch die Verkehrsregelanlage zu regelnden Fahrwege.
-
Entsprechend zumindest einer Ausführungsform umfasst der Nachrichteninhalt Signalzustandsinformation zur Beschreibung einer Fahrberechtigung für eine Mehrzahl an Fahrspuren einer Fahrbahn, wobei das das Verfahren ausführende Fahrzeug insbesondere eine Fahrspur der Mehrzahl an Fahrspuren befährt, und wobei eine Widerspruchsfreiheit der Signalzustandsinformationen zumindest eines Teils der Mehrzahl an Fahrspuren überprüft wird. Damit wird es für den empfangenden Verkehrsteilnehmer möglich, zusammen mit den bspw. von einer MAP Nachricht umfassten Informationen, eine Validierung des Verkehrsregelsignals für den durch das Fahrzeug befahrenen Fahrstreifen im Falle eines empfangenen Fahrerlaubnissignals, bspw. grüner Ampelstatus, im Vergleich zu weiteren Fahrstreifen durchzuführen, wobei die Verkehrsregelanlage beispielsweise für alle anderen Fahrstreifen, welche den eigenen Fahrweg kreuzen oder durch welche sich eine Kollision mit anderen Verkehrsteilnehmern ergeben könnte, in Folge des Fahrerlaubnissignals für das Fahrzeug, kein Fahrerlaubnissignal bzw. ein Stoppsignal ausgegeben sein sollte.
-
Entsprechend zumindest einer Ausführungsform umfasst der Nachrichteninhalt Signalzustandsinformation zur Beschreibung einer Fahrberechtigung, wobei die Signalzustandsinformationen mit einem Lichtdetektionssystem, bspw. mit Hilfe zumindest einer Fahrzeugkamera, des Fahrzeugs überprüft werden. Beispielsweise im Falle einer Ampelanlage liegt eine positive Fahrberechtigung bei einem Grünzeichen vor und eine negative Fahrberechtigung bei einem Rotzeichen, welche mittels der Fahrzeugkamera erfassbar sind und entsprechend für die Prüfung des Nachrichteninhalts herangezogen werden können.
-
Weiterbildungsgemäß kann somit vorgesehen sein, die durch eine empfangene SPAT Nachricht umfasste Signalzustandsinformation mit einem Lichtdetektionssystem des Fahrzeugs, bspw. mit Hilfe zumindest einer Fahrzeugkamera, zu verifizieren.
-
Entsprechend zumindest einer Ausführungsform umfasst der Nachrichteninhalt topologische Definitionen von Fahrspuren, wobei eine Widerspruchsfreiheit der topologischen Definitionen der Fahrspuren mit durch Umfeldsensoren des Fahrzeugs erfassten Merkmalen der Infrastruktur überprüft wird. Beispiele für überprüfbare Merkmale der Infrastruktur sind hierbei eine Anzahl der Fahrstreifen, Abbiegespuren, Anzahl an Ampelsignalgruppen, Krümmung der Fahrbahn, Breite der Fahrbahn bzw. des Fahrstreifens.
-
Entsprechend zumindest einer Ausführungsform werden die von einer empfangenen MAP Nachricht umfassten Informationen validiert, indem ein Vergleich der durch die von der MAP Nachricht umfassten Informationen beschriebenen Merkmale der Infrastruktur mit durch Umfeldsensoren des Fahrzeugs erfassten Merkmalen der Infrastruktur vorgenommen wird.
-
Toleranzen, in denen Abweichungen zwischen den durch die topologische Definitionen der Fahrspuren des Nachrichteninhalts beschriebenen Merkmale der Infrastruktur und den mittels der Umfeldsensoren des Fahrzeugs erfassten Merkmale der Infrastruktur für den Vergleich als akzeptabel anzusehen sind, hängen insbesondere von den verwendeten Fahrzeugsensoren bzw. deren Erfassungsgenauigkeit unter Berücksichtigung situativer Umgebungsbedingungen ab. Beispielsweise können sich Abhängigkeiten durch das physikalische Messprinzip des jeweiligen Sensors, das Wetter, die Verkehrsdichte etc. ergeben. Die Toleranzen können grundsätzlich fest vorgegeben und/oder adaptierbar ausgebildet sein.
-
Des Weiteren kann bei der Überprüfung berücksichtigt werden, dass lediglich ein Teil der durch die Informationen beispielsweise der empfangenen MAP Nachricht beschriebenen Merkmale der Infrastruktur überprüfbar sind, da durch die Sensoren des Fahrzeugs nicht sämtliche durch die Informationen der empfangenen MAP Nachricht beschriebenen Merkmale der Infrastruktur erfassbar sind.
-
Entsprechend zumindest einer Ausführungsform erfolgt für die Prüfung eine Ermittlung einer Empfangsrichtung des die empfangene Nachricht übermittelnden Signals und überprüft wird, ob die ermittelte Empfangsrichtung von durch den Nachrichteninhalt umfassten Positionsinformationen zur Beschreibung einer Position des Senders im Widerspruch steht. Bei Zugrundelegung der Position des Senders und unter Berücksichtigung einer ermittelten Eigenposition des die Nachricht empfangenden Fahrzeugs, beispielsweise mittels eines GNSS-Empfängers des Fahrzeugs, kann somit überprüft werden, ob das die Nachricht übertragende Signal aus der Richtung eintrifft, welche bezüglich der Position des Senders zu erwarten wäre. Wird hierbei festgestellt, dass eine über eine Toleranz hinausgehende Abweichung zwischen ermittelter Empfangsrichtung und ermittelter erwarteter Empfangsrichtung besteht, kann gegebenenfalls ein Täuschungsversuch vorliegen. Die Toleranz kann grundsätzlich fest vorgegeben und/oder adaptierbar ausgebildet sein. Die Ermittlung der Empfangsrichtung kann beispielweise durch Erfassung einer Differenz der Signalleistung und/oder Phasenlage des die Nachricht übertragenden Signals bei Empfang durch zumindest zwei Antennen des Fahrzeugs erfolgen. Als Empfangseinrichtung des Fahrzeugs kann insbesondere zumindest ein Antennenarray mit zumindest zwei Elementen und/oder können zumindest zwei Antennen vorgesehen sein.
-
Entsprechend zumindest einer Ausführungsform wird eine Empfangsleistung (RSSI) des die empfangene Nachricht übertragenden Signals ermittelt und überprüft wird, ob die ermittelte Empfangsleistung von durch den Nachrichteninhalt umfassten Positionsinformationen zur Beschreibung einer Position des Senders im Widerspruch steht. Bei Zugrundelegung der Position des Senders und unter Berücksichtigung einer ermittelten Eigenposition des die Nachricht empfangenden Fahrzeugs, beispielsweise mittels eines GNSS-Empfängers des Fahrzeugs, kann überprüft werden, ob das die empfangene Nachricht übertragende Signal eine Empfangsleistung aufweist, welche bezüglich der Position des Senders zu erwarten wäre. Somit ist eine Validierung möglich, ob eine Übereinstimmung der ermittelte Empfangsleistung zu der berechneten Entfernung zwischen dem Sender und Empfänger vorliegt. Wird hierbei festgestellt, dass eine über eine Toleranz hinausgehende Abweichung besteht, kann gegebenenfalls ein Täuschungsversuch vorliegen. Die Toleranz kann grundsätzlich fest vorgegeben und/oder adaptierbar ausgebildet sein.
-
Entsprechend zumindest einer Ausführungsform wird auf Grundlage der ermittelten Empfangsleistung eine Sendeleistung ermittelt, mit welcher das die empfangene Nachricht übertragende Signal durch den Sender ausgesandt wurde, und überprüft, ob die ermittelte Sendeleistung im Widerspruch zu einer spezifikationsgemäße Sendeleistung steht. Die Sendeleistung wird insbesondere unter Heranziehung von durch die empfangene Nachricht umfassten Positionsinformationen zur Beschreibung einer Position des Senders und/oder insbesondere unter Heranziehung einer ermittelten Eigenposition des die Nachricht empfangenden Fahrzeugs bestimmt. Weiterhin wird insbesondere eine ermittelte Empfangsleistung des die empfangene Nachricht übertragenden Signals für die Bestimmung der Sendeleistung zugrunde gelegt. Für die Ermittlung der Sendeleistung kann ein vereinfachtes Kanalmodell berechnet werden. Zur Validierung, ob eine spezifikationsgemäße Sendeleistung gegeben ist, wird die ermittelte Sendeleistung weiterbildungsgemäß mit einer maximalen Sendeleistung (EIRP) insbesondere eines verwendeten Kanals verglichen, welcher zur Übertragung des die empfangene Nachricht übertragenden Signals genutzt wird, und wenn die ermittelte Sendeleistung kleiner oder gleich der maximalen Sendeleistung und/oder größer oder gleich einer minimalen Sendeleistung ist, ist eine spezifikationsgemäße Sendeleistung gegeben. Weicht die ermittelte Sendeleistung von einer spezifikationsgemäßen Sendeleistung ab, dann ist keine spezifikationsgemäße Sendeleistung gegeben, wobei in diesem Fall möglicherweise ein Täuschungsversuch vorliegt. Eine zugrunde gelegte Spezifikation kann beispielsweise eine die Sendeleistung definierende Spezifikation eines betreffenden Fahrzeug-zu-X Kommunikationsstandards sein.
-
Zur Vornahme der Berechnungen der Empfangsleistung und/oder Sendeleistung kann die Antennencharakteristik der Empfangsantenne(n) in einem Datenspeicher hinterlegt sein und für die Berechnungen herangezogen werden.
-
Weiterbildungsgemäß können Objekte, wie beispielsweise Gebäude, welche die Empfangsleistung des die empfangene Nachricht übertragenden Signals beeinflussen können, bei der Ermittlung der Sendeleistung Berücksichtigung finden. Informationen zur Beschreibung der Objekte können in zumindest einem digitalen Datenspeicher bzw. einer digitalen Karte hinterlegt sein, wobei der oder die Datenspeicher durch das Fahrzeug und/oder eine fahrzeugexterne Datenverarbeitungseinrichtung umfasst sein kann.
-
Insbesondere erfolgt die Ermittlung der Sendeleistung für Nachrichtentypen, welche von einer spezifikationsgemäßen reduzierten Sendeleistung ausgenommen sind, z.B. Electronic Emergency Brake Light (EEBL) oder Auslösung eines Airbags. Eine spezifikationsgemäße maximale Sendeleistung wird nicht für alle Nachrichtentypen angewandt, sodass für von einer spezifikationsgemäßen reduzierten Sendeleistung ausgenommene Nachrichtentypen vergleichsweise gut festgestellt werden kann, ob die verwendete bzw. ermittelte Sendeleistung beispielsweise höher ist als die maximale spezifikationsgemäße Sendeleistung. Alternativ oder in Ergänzung erfolgt die Ermittlung der Sendeleistung, wenn das Fahrzeug sich in einem Gebiet befindet, in dem ein Aussenden von Nachrichten mit spezifikationsgemäßer, insbesondere maximaler, Sendeleistung nicht zugelassen ist. Diese Gebiete sind zum Beispiel Mautzonen, da es zu Interferenzen kommen kann. Die Gebiete können entweder in einer digitalen Karte hinterlegt sein und/oder durch eine Road Side Unit (RSU) mit einer CAM Nachricht verschickt werden. Nachrichtentypen, die von einer spezifikationsgemäß reduzierten Sendeleistung ausgenommen sind, sind beispielsweise in zumindest einer Spezifikation eines betreffenden Fahrzeug-zu-X Kommunikationsstandards festgehalten.
-
Entsprechend zumindest einer Ausführungsform umfasst der Nachrichteninhalt eine Information zur Beschreibung einer Sendeleistung des die Nachricht übermittelnden Signals, wobei überprüft wird, ob die ermittelte Empfangsleistung im Widerspruch zur vom Nachrichteninhalt umfassten Information zur Beschreibung der Sendeleistung steht und/oder, ob die ermittelte Sendeleistung im Widerspruch zur vom Nachrichteninhalt umfassten Information zur Beschreibung der Sendeleistung steht. Die Information zur Beschreibung der Sendeleistung wird dabei durch den Sender der Nachricht selbst hinzugefügt, wobei die Einfügung der Information in der Weise realisiert sein kann, dass eine Manipulation durch einen Fremdzugriff im Vergleich beispielsweise zu weiteren durch die Nachricht umfassten Informationen erschwert ist, wodurch die Informationssicherheit einerseits gesteigert wird und andererseits entsprechend dieser Ausführungsform die funktionale Sicherheit erhöht werden kann. Somit ist genauere Betrachtung der Übertragungsstrecke möglich, was die Sicherheit weiter verbessern hilft, wenn davon ausgegangen wird, dass die in der Nachricht angegebene Sendeleistung der tatsächlich verwendeten Sendeleistung entspricht. Die anhand dieser Information erhaltene Sendeleistung kann im Weiteren im Sinne der Validierung der Nachricht beispielsweise vergleichbar der anhand des Signals empfängerseitig bestimmten Sendeleistung verwandt werden. Weiterbildungsgemäß kann die von der empfangenen Nachricht umfasste Information zur Beschreibung der Sendeleistung für einen Vergleich mit der ermittelten Sendeleistung herangezogen werden. Eine wesentliche Differenz zwischen den Werten kann ihre Ursache einerseits in der Übertragungsstrecke und/oder in einer fehlerhaften Angabe der Sendeleistung in der empfangenen Nachricht haben, sodass, wenn die Übertragungsstrecke nicht ausreichend bekannt ist, nicht unmittelbar auf eine mögliche Täuschungsabsicht geschlossen werden kann. Dieser Umstand findet zweckmäßigerweise Berücksichtigung, wenn die in der Nachricht angegebene Sendeleistung für eine Validierung der Nachricht herangezogen werden soll.
-
Entsprechend zumindest einer Ausführungsform erfolgt die Prüfung des Nachrichteninhalts unter Heranziehung von Informationen zur Beschreibung von Merkmalen den Sender betreffend und die Informationen zur Beschreibung von Merkmalen den Sender betreffend sind in einem Datenspeicher des Fahrzeugs gespeichert und/oder werden durch eine nicht dem Fahrzeug zugehörige Datenverarbeitungseinrichtung bereitgestellt. Merkmale den Sender betreffend können hierbei beispielsweise dessen Position und/oder ein Identifikator sein. Weiterbildungsgemäß können die Informationen zur Beschreibung von Merkmalen den Sender betreffend durch eine digitale Karte umfasst sein. Die digitale Karte und/oder die Informationen zur Beschreibung von Merkmalen den Sender betreffend können dabei in einem Datenspeicher des Fahrzeugs gespeichert und/oder mittels kabelloser Datenübertragung beispielsweise durch eine zentrale/dezentrale Datenverarbeitungseinrichtung (Cloud Computing, Edge Computing) bereitgestellt werden. Die hiermit adressierten Informationen zur Beschreibung von Merkmalen den Sender betreffend werden dabei nicht durch den Sender selbst bereitgestellt. Die Position von Verkehrsregelanlagen ändert sich üblicherweise nicht und ist sehr genau bekannt und in einer Karte statisch oder zumindest temporär speicherbar, weshalb insbesondere Informationen Verkehrsregelanlagen betreffend in vorteilhafter Weise für die Validierung einer empfangenen Nachricht herangezogen werden können. Wird beispielsweise eine Nachricht von einem Sender empfangen, für welchen keine Informationen zur Beschreibung von Merkmalen den Sender betreffend in dem Datenspeicher bzw. der digitalen Karte hinterlegt sind und auch sonst keine Informationen von einer Datenverarbeitungseinrichtung, welche nicht der Sender ist empfangen werden, so kann dieser Sender für die weitere Verarbeitung der Nachricht und ggf. weiterer Nachrichten dieses Senders als nicht vertrauenswürdig angesehen werden.
-
Entsprechend zumindest einer Ausführungsform werden die Nachrichteninhalte von zumindest zwei denselben Sender anzeigenden empfangenen Nachrichten für die Prüfung zumindest einer dieser Nachrichteninhalten der zumindest zwei empfangenen Nachrichten herangezogen. Weiterbildungsgemäß umfassen die Nachrichteninhalte der zumindest zwei empfangenen Nachrichten Verkehrsregelsignale, welche in ihrer zeitlichen Abfolge und/oder zeitlichen Einteilung auf Widersprüche überprüft werden. Für eine im Ergebnis positive Validierung bezüglich dieses Kriteriums der zumindest der zumindest einen validierten Nachricht dürfen die durch die Informationen der zumindest zwei Nachrichten beschriebenen Verkehrsregelsignale in ihrer zeitlichen Abfolge und/oder zeitlichen Einteilung keine Inkonsistenzen aufweisen.
-
Für eine positive Validierung einer Nachricht muss somit insbesondere zumindest eine der folgenden Voraussetzungen gegeben sein:
- • Die Zustände der Verkehrsregelsignale, beispielsweise Ampelzustände, dürfen keine Inkonsistenzen aufweisen, z.B. nicht schnell oszillierend sein. Diesbezüglich kann Voraussetzung sein, dass ein Zustand eines Verkehrsregelsignals zumindest beispielsweise 3s bestehen bleiben muss.
- • Die Zeiteinteilung von Verkehrsregelsignalzuständen, beispielsweise Ampelzuständen, sollte nur in bestimmten Fällen von der Zeiteinteilung vorheriger Verkehrsregelsignalzuständen, welche ebenfalls mittels empfangener Nachrichten ermittelbar sind, abweichen. Mit anderen Worten sollte die Dauer der Zustände der Verkehrsregelsignale üblicherweise konsistent sein bzw. keine Inkonsistenzen aufweisen. Bestimmte zu berücksichtigende Fälle, in denen keine Inkonsistenz in diesem Sinne vorliegt, sind zum Beispiel Fußgängeranforderungen zur Überquerung einer Fahrbahn, wobei auch bei diesen bestimmten Fällen keine sonstigen Inkonsistenzen der Verkehrsregelsignale, wie eine gleichzeitige Fahrgenehmigung für das Fahrzeug und Überquerungsanzeige für den Fußgänger für dieselbe Fahrbahn vorliegen dürfen. Beispielsweise könnte eine solche Voraussetzung erfordern, dass 2s vor einem Signalzustandswechsel keine Aktualisierung der Signalzustände mehr stattgefunden haben darf.
- • Die Empfangsrate von denselben Sender anzeigenden Nachrichten (und somit mutmaßlich die Senderate desselben Senders) darf einen vorgegebenen Grenzwert nicht überschreiten. Wenn beispielsweise Nachrichten desselben Senders aufgrund einer über einem Grenzwert liegenden Empfangsrate das Empfangen von Nachrichten anderer Sender quasi blockiert, kann vorgesehen sein die Nachrichten dieses Senders im wesentlichen ohne weitere Verarbeitung zu verwerfen, da es sich hierbei insbesondere um einen Störsender handeln kann.
-
Diese Validierung ist grundsätzlich nicht nur relevant für den Fall, dass Nachrichten durch eine Verkehrsregeleinrichtung ausgesandt wurden, sondern insbesondere auch für die Kommunikation von Verkehrsteilnehmer zu Verkehrsteilnehmer bzw. Fahrzeug zu Fahrzeug.
-
Ein weiterer Aspekt der Offenbarung betrifft eine Vorrichtung konfiguriert, ein Verfahren nach wenigstens einem der vorstehenden Ausführungsformen durchzuführen. Die Vorrichtung kann insbesondere in einem Fahrzeug Verwendung finden.
-
Das Fahrzeug kann ein Kraftfahrzeug, insbesondere ein Personenkraftfahrzeug, ein Lastkraftfahrzeug, ein Motorrad, ein Elektrokraftfahrzeug oder ein Hybridkraftfahrzeug, ein Wasserfahrzeug oder ein Luftfahrzeug sein.
-
Die Vorrichtung kann beispielsweise eine Recheneinrichtung oder eine elektronisches Kontrolleinheit sein. Eine Recheneinrichtung kann jedwede Einrichtung sein, die ausgebildet ist, um zumindest eines der genannten Signale zu verarbeiten. Insbesondere kann die Recheneinrichtung ein Prozessor, beispielsweise ein ASIC, ein FPGA, ein digitaler Signalprozessor, ein Hauptprozessor (CPU von engl.: „Central Processing Unit“), ein Multizweckprozessor (MPP von engl.: „Multi Purpose Prozessor“) oder Ähnliches sein.
-
In einer Weiterbildung der angegebenen Vorrichtung weist die angegebene Vorrichtung einen Speicher auf. Dabei ist das angegebene Verfahren in Form eines Computerprogramms in dem Speicher hinterlegt und die Recheneinrichtung zur Ausführung des Verfahrens vorgesehen, wenn das Computerprogramm aus dem Speicher in die Recheneinrichtung geladen ist.
-
Gemäß einem weiteren Aspekt der Erfindung umfasst ein Computerprogramm Programmcodemittel, um alle Schritte eines der angegebenen Verfahren durchzuführen, wenn das Computerprogramm auf einem Computer oder einer der angegebenen Vorrichtungen ausgeführt wird.
-
Gemäß einem weiteren Aspekt der Erfindung enthält ein Computerprogrammprodukt einen Programmcode, der auf einem computerlesbaren Datenträger gespeichert ist und der, wenn er auf einer Datenverarbeitungseinrichtung ausgeführt wird, eines der angegebenen Verfahren durchführt.
-
Figurenliste
-
Einige besonders vorteilhafte Ausgestaltungen der Erfindung sind in den Unteransprüchen angegeben. Weitere bevorzugte Ausführungsformen ergeben sich auch aus der nachfolgenden Beschreibung von Ausführungsbeispielen an Hand von Figuren.
-
In schematischer Darstellung zeigen:
- 1 eine Ausführungsform eines Verfahrens zur Validierung von Fahrzeug-zu-X Nachrichten gemäß dieser Offenbarung, und
- 2 eine Ausführungsform der Vorrichtung gemäß dieser Offenbarung.
-
[DETAILLIERTE BESCHREIBUNG DER FIGUREN]
-
Die 1 zeigt eine Ausführungsform des Verfahrens 100 zur Validierung von Fahrzeug-zu-X Nachrichten durch eine Recheneinrichtung eines Fahrzeugs, wobei in einem Schritt 102 zumindest eine Fahrzeug-zu-X Nachricht umfassend Informationen zur Regelung eines Verkehrsflusses empfangen wird und in einem Schritt 104 die zumindest eine Nachricht validiert wird, wobei im Rahmen der Validierung eine Prüfung wenigstens eines Teils des durch die zumindest eine Nachricht umfassten Nachrichteninhalts auf dessen Widerspruchsfreiheit erfolgt.
-
Die 2 zeigt eine beispielhafte Ausführungsform eine elektronische Kontrolleinheit 200 zur Validierung von Fahrzeug-zu-X Nachrichten, konfiguriert die Schritte gemäß zumindest einer Ausführungsform des beschriebenen Verfahrens auszuführen. Die elektronische Kontrolleinheit wird durch ein Fahrzeug 230 mitgeführt bzw. ist in diesem montiert.
-
In dieser Ausführungsform der elektronischen Kontrolleinheit 200 weist die angegebene Vorrichtung einen Prozessor 202 und einen Speicher 204 auf. Dabei ist das angegebene Verfahren in Form eines Computerprogramms in dem Speicher 204 hinterlegt und die Vorrichtung 200 zur Ausführung des Verfahrens vorgesehen, wenn das Computerprogramm aus dem Speicher in den Prozessor 202 geladen ist.
-
Die elektronische Kontrolleinheit ist dabei konfiguriert zumindest eine Fahrzeug-zu-X Nachricht 212, welche Informationen zur Regelung eines Verkehrsflusses umfasst, mittels einer Fahrzeug-zu-X (V2X) Kommunikationsvorrichtung 210 zu empfangen und die zumindest eine Nachricht mittels einer Validierungseinrichtung 206 zu validieren, wobei im Rahmen der Validierung eine Prüfung wenigstens eines Teils des durch die zumindest eine Nachricht 212 umfassten Nachrichteninhalts auf dessen Widerspruchsfreiheit erfolgt. Die V2X Kommunikationsvorrichtung 210 kann beispielsweise als Antennenvorrichtung zum Empfang von V2X Nachrichten ausgebildet sein, wobei die Verarbeitung der Nachrichten bzw. Nachrichteninhalte durch die elektronische Kontrolleinheit 200 erfolgt. Die Prüfung der Widerspruchsfreiheit erfolgt entsprechend zumindest einer Ausführungsform unter Heranziehung von Sensordaten 216 zumindest eines Sensors 214 des Fahrzeugs 230.
-
Entsprechend zumindest einer Ausführungsform wird, wenn keine Widerspruchsfreiheit des Nachrichteninhalts festgestellt ist, die empfangene Nachricht bzw. deren Nachrichteninhalt verworfen und/oder der Sender der Nachricht als nicht vertrauenswürdig eingestuft und/oder zumindest einen Teil des Nachrichteninhalts, beispielsweise ein Teil des Nachrichteninhalts der Widerspruchsfrei ist oder der gesamte Nachrichteninhalt, mit einer entsprechend niedrigen Vertrauensstufe markiert und an eine Auswerteeinrichtung 218 ausgegeben, welche die Vertrauensstufe entsprechend berücksichtigt.
-
Grundsätzlich kann insbesondere für den Fall, dass keine Widerspruchsfreiheit einer oder mehrerer Nachrichten festgestellt wurde, vorgesehen sein, ein Warnsignal 220 an eine Auswerteeinrichtung 218 auszugeben, beispielsweise um einen Fahrer des Fahrzeugs mittels einer Mensch-Maschine Schnittstelle zu warnen oder zur Verarbeitung durch ein (semi-)autonomes Fahrzeugsystem. Auch können weitere Verkehrsteilnehmer und/oder eine externe zentrale Datenverarbeitungseinrichtung mittels einer drahtlosen Schnittstelle, wie beispielsweise der V2X Kommunikationsvorrichtung 210 oder einer Telematik Schnittstelle, hierüber informiert werden.
-
Entsprechend zumindest einer Ausführungsform wird, wenn eine Widerspruchsfreiheit des Nachrichteninhalts festgestellt ist, der Nachrichteninhalt oder hierauf basierende Informationen 220 zumindest teilweise an eine Auswerteeinrichtung 218 ausgegeben und/oder der Sender der Nachricht als vertrauenswürdig eingestuft und/oder zumindest einen Teil des Nachrichteninhalts mit einer entsprechend hohen Vertrauensstufe markiert und unter Berücksichtigung der Vertrauensstufe weiter verarbeitet.
-
Sofern sich im Laufe des Verfahrens herausstellt, dass ein Merkmal oder eine Gruppe von Merkmalen nicht zwingend nötig ist, so wird anmelderseitig bereits jetzt eine Formulierung zumindest eines unabhängigen Anspruchs angestrebt, welcher das Merkmal oder die Gruppe von Merkmalen nicht mehr aufweist. Hierbei kann es sich beispielsweise um eine Unterkombination eines am Anmeldetag vorliegenden Anspruchs oder um eine durch weitere Merkmale eingeschränkte Unterkombination eines am Anmeldetag vorliegenden Anspruchs handeln. Derartige neu zu formulierende Ansprüche oder Merkmalskombinationen sind als von der Offenbarung dieser Anmeldung mit abgedeckt zu verstehen.
-
Es sei ferner darauf hingewiesen, dass Ausgestaltungen, Merkmale und Varianten der Erfindung, welche in den verschiedenen Ausführungen oder Ausführungsbeispielen beschriebenen und/oder in den Figuren gezeigt sind, beliebig untereinander kombinierbar sind. Einzelne oder mehrere Merkmale sind beliebig gegeneinander austauschbar. Hieraus entstehende Merkmalskombinationen sind als von der Offenbarung dieser Anmeldung mit abgedeckt zu verstehen.
-
Rückbezüge in abhängigen Ansprüchen sind nicht als ein Verzicht auf die Erzielung eines selbständigen, gegenständlichen Schutzes für die Merkmale der rückbezogenen Unteransprüche zu verstehen. Diese Merkmale können auch beliebig mit anderen Merkmalen kombiniert werden.
-
Merkmale, die lediglich in der Beschreibung offenbart sind oder Merkmale, welche in der Beschreibung oder in einem Anspruch nur in Verbindung mit anderen Merkmalen offenbart sind, können grundsätzlich von eigenständiger erfindungswesentlicher Bedeutung sein. Sie können deshalb auch einzeln zur Abgrenzung vom Stand der Technik in Ansprüche aufgenommen werden.
-
Allgemein sei darauf hingewiesen, dass unter Fahrzeug-zu-X Kommunikation insbesondere eine direkte Kommunikation zwischen Fahrzeugen und/oder zwischen Fahrzeugen und Infrastruktureinrichtungen verstanden wird, wobei durch den Begriff nicht die Richtung der Kommunikation impliziert sei, sodass bspw. eine Fahrzeug zu Infrastrukturkommunikation (V2I) als auch eine Infrastruktur zu Fahrzeugkommunikation (I2V) hierunter verstanden werden sollen. Beispielsweise kann es sich also um Fahrzeug-zu-Fahrzeug Kommunikation oder um Fahrzeug-zu-Infrastruktur Kommunikation handeln. Sofern im Rahmen dieser Anmeldung auf eine Kommunikation zwischen Fahrzeugen Bezug genommen wird, so kann diese grundsätzlich beispielsweise im Rahmen einer Fahrzeug-zu-Fahrzeug Kommunikation erfolgen, welche typischerweise ohne Vermittlung durch ein Mobilfunknetz oder eine ähnliche externe Infrastruktur erfolgt und welche deshalb von anderen Lösungen, welche beispielsweise auf ein Mobilfunknetz aufbauen, abzugrenzen ist. Beispielsweise kann eine Fahrzeug-zu-X Kommunikation unter Verwendung der Standards IEEE 802.11p oder IEEE 1609.4 erfolgen. Eine Fahrzeug-zu-X Kommunikation kann auch als C2X-Kommunikation oder V2X-Kommunikation bezeichnet werden. Die Teilbereiche können als C2C (Carto-Car), V2V (Vehicle-to-Vehicle) oder C2I (Car-to-Infrastructure), V2I (Vehicle-to-Infrastrukture) bezeichnet werden. Die Erfindung schließt jedoch Fahrzeug-zu-X Kommunikation mit Vermittlung beispielsweise über ein Mobilfunknetz explizit nicht aus.
