JP2015523613A

JP2015523613A - フェイルサイレント同期メッセージを生成するための方法及びマスタークロック

Info

Publication number: JP2015523613A
Application number: JP2015504812A
Authority: JP
Inventors: ポレドナ、ステファン
Original assignee: エフテーエスコンピューターテヒニクゲゼルシャフトミットベシュレンクテルハフツング
Priority date: 2012-04-11
Filing date: 2013-04-09
Publication date: 2015-08-13
Anticipated expiration: 2033-04-09
Also published as: US9130661B2; AT512743A1; EP2803154B1; JP6113829B2; US20150098492A1; CN104365042A; EP2803154A1; WO2013152378A1

Abstract

本発明は、分散リアルタイムシステムにおいて、フェイルサイレント同期メッセージを生成する方法に関し、当該方法は、以下の機能ユニット、すなわち、航法衛星システムから時間信号（Ｓ−信号）を受信するための衛星受信機（１１０）、実際の時間信号（Ｒ−信号）を生成する精密参照クロック（１３０）、中央コンピューター（１４０）、モニター（１２０）、及び、コンフィギュレーションパラメーターを格納するためのデータブロック（２１０）を使用する。衛星受信機（１１０）は、定期的にＳ−信号を生成し、参照クロックは（１３０）は、定期的にＲ−信号を生成し、Ｒ−信号の公称周波数及び位相は、Ｓ−信号の周波数及び位相と一致し、公称と実際のＲ−信号との差を用いて、当該差を最小化する。衛星受信機（１１０）が障害状態にある場合は、中央コンピューター（１４０）によってコンフィギュレーションパラメーター（２１０）に従って生成されるべき定期的同期メッセージ（２２０）は、Ｒ−信号に基づいて生成され、モニター（１２０）は、同期メッセージに含まれる送信時間が実際の送信時間に合致するかどうか、及び、２つの連続する同期メッセージ（２２０）の間の間隔があらかじめ決められた許容間隔内にあるかどうか、をチェックする。これが当てはまらない場合、同期メッセージ（２２０）が誤ったものであると各受信機が認識できるように、同期メッセージ（２２０）を修正する。【選択図】図１

Description

本発明は、分散リアルタイムシステムにおいて、フェイルサイレント同期メッセージ(fail-silent synchronisation messages)を生成する方法に関する。

本発明は、さらに、そのような方法を実行するための装置に関する。

本発明は、コンピューター・テクノロジーの分野に属する。本発明は、ＴＴイーサネットのＳＡＥ規格ＡＳ６８０２及びＩＥＥＥ規格１５８８に適合する同期メッセージを、マスタークロックによって衛星信号から確実に生成する革新的な方法を提示するものである。

分散フォールトトレラントリアルタイムシステム(dispersed fault-tolerant real-time system)においては、複数のコンピューターが物理的プロセスを制御するが、すべてのコンピューターが、ＴＡＩ規格（非特許文献３）に適合するフォールトトレラントの物理的タイムベースを有する場合に有利である。このような時間基準は、定期的な同期メッセージを受信することによって確立することができ、同期メッセージは、フォールトトレラントのマスタークロックによって送信される。同期メッセージは、そのデータフィールド内に、マスタークロックによる送信時の瞬間時刻を含んでいる。

米国特許第５６９４５４２号 Kopetz, H．Time-triggered communication control unit and communication method.１９９７年１２月２日特許許可米国特許第７８３９８６８号 Kopetz, H．Communication method and system for the transmission of time-driven and event-driven Ethernet messages. ２０１０年１１月２３日特許許可米国特許第８０８９９９１号Ungermann． Network and method for clock synchronization of clusters in a time triggered network. ２０１２年１月３日特許許可米国特許第８０１８９５０号 Wu, et al． Systems and methods for distributing GPS clock to communications devices. ２０１１年９月１３日特許許可

Warner, J． et． al． GPS Spoofing Countermeasures, Los Alamos National Laboratory． URL: http://lewisperdue.com/DieByWire/GPS-Vulnerability-LosAlamos.pdf Hofmann-Wellenhof, B． et al． GNSS - Global Navigation Satellite systems: GPS, GLONASS, Galileo, and more． Springer publishing house, 2007 Kopetz, H． Real-Time Systems, Design Principles for Distributed Embedded Applications. Springer publishing house. 2011. SAE Standard AS6802 von TT Ethernet. URL: http://standards.sae.org/as6802 IEEE 1588 Standard for a Precision Clock Synchronization Protocol for Network Measurement and Control Systems. URL: http://www.ieee1588.com/

ＴＴイーサーネットのＳＡＥ規格ＡＳ６８０２（非特許文献４）及びＩＥＥＥ規格１５８８（非特許文献５）に適合する確実な同期メッセージを生成するフォールトトレラントマスタークロックがどのように確立されるかについて説明しつつ、以下に一方法を述べる。

本明細書において用いられる用語を以下に説明する。イーサーネットメッセージは、ヘッダー、データフィールド、及び、冗長ＣＲＣフィールド(redundant CRC field)を含む。正しい「クローズド(closed)」メッセージにおいては、ＣＲＣフィールドは、メッセージの内容と一致する。一致するＣＲＣフィールドが存在しない場合、メッセージは「オープン」である。メッセージのデータフィールドにおいて修正を行おうとする場合、まずそのメッセージをオープンしなければならない。メッセージがオープンされると、クローズドメッセージの中身がＣＲＣフィールドと一致するかどうかがチェックされる。一致しない場合、当該メッセージは拒否される。オープンされたメッセージのデータフィールド内の修正を行った後、当該メッセージは再びクローズしなければならない。すなわち、このメッセージをさらに送信する前に、一致する新しいＣＲＣフィールドを算出しなければならない。オープンされたメッセージにおいて修正を行った場合、修正中に発生する過渡障害（例えば自然宇宙放射によるＳＥＵ（シングルイベントアップセット: single event upset））が、メッセージ内に障害を引き起こす場合があり、この障害はメッセージをクローズした後も残る。

コンピューターの信頼性の分野では、「障害封じ込めユニット(fault-containment unit)」（ＦＣＵ）が、重要な意義を持つ（非特許文献３、１３６ページ）。ＦＣＵは、分離されたサブシステムであり、１つの障害による直接の影響を、このサブシステム内にとどめるものであると理解されている。

リアルタイムクロックの質は、その精度によって決まる（非特許文献３）。２つのリアルタイムクロックを比較する場合、ステートの違いとタイミングレートの違いとを区別する。リアルタイムクロックのステートが定期的に基準クロックからずれる場合は、タイミングレートが異なることを意味し、これは、デジタルマイクロ／マクロチック変換ロジック(digital micro/macro tick transformation logic)によって修正することができる。

本発明の目的は、確実な同期メッセージ、特に、ＴＴイーサーネットのＳＡＥ規格ＡＳ６８０２(非特許文献４)及びＩＥＥＥ規格１５８８（非特許文献５）に適合する確実な同期メッセージを生成するための方法を提供することである。

当該目的は、本発明による方法によって達成される。当該方法は、以下の機能ユニット、すなわち、航法衛星システムから時間信号（Ｓ−信号）を受信するための衛星受信機、実際の時間信号（Ｒ−信号）を生成する精密参照クロック、中央コンピューター、モニター、及び、コンフィギュレーションパラメーターを格納するためのデータブロック、を使用し、衛星受信機は、定期的にＳ−信号を生成し、参照クロックは、定期的にＲ−信号を生成し、Ｒ−信号の公称周波数及び位相は、Ｓ−信号の周波数及び位相と一致し、公称Ｒ−信号と実際のＲ−信号との差を用いて、将来における差を最小化し、衛星受信機が正常状態にある場合、中央コンピューターによってコンフィギュレーションパラメーターに従って生成されるべき定期的同期メッセージは、Ｓ−信号に基づいて生成され、公称Ｒ−信号と実際のＲ−信号との差を用いて、（好ましくは短期的に）参照クロックのステート、及び、（好ましくは長期的に）参照クロックのタイミングレートを、Ｓ−信号に適合させ、衛星受信機がアノマリー状態にある場合、参照クロックのタイミングレートの適合化を中止し、衛星受信機が障害状態にある場合は、中央コンピューターによってコンフィギュレーションパラメーターに従って生成されるべき定期的同期メッセージは、Ｒ−信号に基づいて生成され、モニターは、同期メッセージに含まれる送信時間が実際の送信時間に合致するかどうか、及び、２つの連続する同期メッセージの間隔があらかじめ決められた許容間隔内にあるかどうか、をチェックし、これが当てはまらない場合、同期メッセージが誤ったものであると各受信機が認識できるように、同期メッセージを修正する。

本発明の核心は、マスタークロックが、３つの独立したタイムソースを有し、これらタイムソースが、代わる代わる、（１）衛星受信機からの定期的な時間信号、（２）ローカル参照クロックの定期的な時間信号、（３）独立モニターの定期的タイムソース、をチェックし提供する点にある。正常状態では、衛星受信機の時間信号が、定期的同期メッセージを形成するための基礎として、マスタークロックの中央コンピューターによって使用され、ローカル参照クロックのタイミングレートが、衛星受信機のタイミングレートに合わせられる。アノマリーが起こった場合、すなわち、例えば衛星信号の電界強度が正常範囲から外れた場合、参照クロックのタイミングレートの修正が行われる。中央コンピューターによって衛星信号の欠陥または障害が確認された場合、参照クロックが、定期的同期メッセージ生成の基礎となる。中央コンピューターに平行して、独立モニターが、各同期メッセージの内容、及び、連続する同期メッセージの間隔を、同期メッセージをオープンすることなくチェックし、これによって、同期メッセージをクローズする前に起こった障害を特定する。モニターによって障害が特定された場合は、同期メッセージの出力を中止するか、あるいは、当該同期メッセージが誤ったものであると受信機が認識できるように、当該同期メッセージを修正する。従って、統語的に正しい同期メッセージは内容についても正しい、という状態が高い確率で保証される。一システムにおいて２つの独立したマスタークロックを用いた場合、当該システムにおける１つのマスタークロックの故障は許容される。

本発明の重大な革新は、定期的なフェイルサイレントイーサネット適合同期メッセージを生成するためのマスタークロックを確立したことに関し、当該マスタークロックは、分散リアルタイムシステムに、ＧＰＳシステムによって規定されるような物理的時間を提供し、ハードウェアの故障またはセキュリティーアタックによる障害を特定し、そうした障害を一部において許容する。このような独立マスタークロックを２つまたはそれ以上使用することによって、フォールトトレラントな同期を確立することができる。

同期メッセージを生成するための先行技術文献（特許文献３及び４）に記載された方法は、マスタークロックのセキュリティー及びフォールトトレランスに関する問題については、詳述していない。

本発明は、分散リアルタイムシステムにおいて信頼できる物理的タイムベースを確立するために、ＴＴイーサーネットのＳＡＥ規格ＡＳ６８０２及びＩＥＥＥ規格１５８８に適合する同期メッセージを確実に生成するための、革新的な方法及び装置を開示する。本発明によれば、フェイルサイレントマスタークロックは、３つの障害封じ込めユニット、すなわち、衛星受信機、参照クロックを有する中央コンピューター、及び、専用クロックを有する独立モニター、によって構成されている。正常状態では、同期メッセージは、衛星受信機の時間信号に基づいて生成され、参照クロックのタイミングレートが、衛星信号のタイミングレートに合わせられる。加えて、定期的な同期メッセージの正確な時間間隔が、独立モニターによって監視される。モニターが障害を確認した場合、出力されるクローズ同期メッセージは、当該同期メッセージが誤ったものであると受信機が認識できるように、修正される。衛星受信機によって生成される時間信号に障害が起こった場合は、参照クロックの時間信号が、同期メッセージ生成の基礎として用いられる。一の分散リアルタイムシステムにおいて、第２のフェイルサイレントマスタークロックを用いた場合、２つのマスタークロックのうちの１つの完全な故障を許容することができる。

本発明による方法のより好適な実施形態は、以下に記載されており、これらは互いに追加、代用、または組み合わせることによって実施することができる。すなわち：

モニターは、起動後に、２つの連続する同期メッセージの間隔を測定する初期段階に入り、これに続く動作段階では、測定された間隔を用いて、２つの連続する同期メッセージ間の間隔異常を特定する。

中央コンピューターは、先行する期間中のシステム全体の動作状態及びアノマリーまたは障害が含まれるかどうかを判断するための診断メッセージを定期的に生成する。

コンフィギュレーションデータブロックに格納されたデータは、障害特定コードで保護されている。

コンフィギュレーションデータブロックに格納されたデータは、障害修正コードで保護されている。

コンフィギュレーションデータブロックに格納されたパラメーターは、外部入力装置と中央コンピューターとの物理的接続が存在する時にのみ変更することができる。

コンフィギュレーションデータブロックに格納されたパラメーターは、インターネットを介して、暗号で保護されたプロトコルで変更することができる。

衛星受信機は、衛星信号の電界強度を測定し中央コンピューターと通信することによって、衛星信号のアノマリーを特定することができる。

同期メッセージは、電子署名によって保護されている。

同期メッセージの統語的構造は、ＳＡＥ規格ＡＳ６８０２に対応している。

同期メッセージの統語的構造は、ＩＥＥＥ規格１５８８に対応している。

Ｓ−信号は、ＧＰＳシステムによる衛星信号に基づいて生成される、及び／又は、Ｓ−信号は、ガリレオシステムによる衛星信号に基づいて生成される、及び／又は、Ｓ−信号は、ＧＬＡＮＯＳＳシステムによる衛星信号に基づいて生成される。

衛星受信機の障害が終了した後は、参照クロックによって生成されたＲ−信号が、あらかじめ決められた最大タイミングレート差で、再び提供されたＳ−信号にガイドされることによって、障害期間中に蓄積されたＲ−信号とＳ−信号とのクロックステート差が解消される。

本発明は、導入部分で言及したタイプの装置、特に、本発明による方法を実行するためのマスタークロックによって実行されるであろう。

好ましくは、当該装置における参照クロックのＲ−信号は、温度補償クオーツに又は原子時計に由来する。

本発明を、以下の図面に基づいて、例を用いて説明する。
唯一の図であり、フェイルサイレントマスタークロックの内部構造を示す。

図１は、フェイルサイレントマスタークロック(fail-silent master clock)の構成図である。当該マスタークロックは、３つの障害封じ込めユニット（ＦＣＵ: fault-containment unit）、すなわち、（１）衛星受信機１１０、（２）参照クロック１３０を有する中央コンピューター１４０、及び、（３）モニター１２０を含んで構成されている。マスタークロックの正確な機能を規定するパラメーターは、コンフィギュレーションデータブロック(configuration data block)２１０に格納されている。コンフィギュレーションデータブロック２１０に格納されているデータは、障害特定コード又は障害修正コードによって保護することができる。パラメーターは、入力装置とマスタークロックとの物理的接続によって、コンフィギュレーションデータブロック２１０にロードされており、これによってインターネットを介したセキュリティー攻撃を防ぐ。これに代えて、インターネットを介して、暗号で保護されたプロトコルを用いて、コンフィギュレーションデータブロックにロードすることもできる。

衛星受信機１１０は、定期的な時間信号、すなわちＳ−信号を、中央コンピューター１４０に送信する。これに平行して、独立参照クロック１３０が、定期的な時間信号、すなわちＲ−信号を中央コンピューター１４０に送信する。障害が無い状態では、Ｓ−信号と公称Ｒ−信号(nominal R-signal)とは、タイミングレート(timing rate)及び位相が同一となる。

参照クロックには、例えば温度補償発振器や原子時計などの精密なクロックが設けられている。この精密クロックによって生成された一次信号が、参照クロック１３０内のデジタルマイクロ／マクロチック変換部(micro/macro-tick tranformation unit)によってＲ−信号に変換され、これが中央コンピュータ１４０にインタフェースにて入力される。このデジタルマイクロ／マクロチック変換部は、中央コンピュータによってパラメータ化することができ、これによって、参照クロック１３０によるＲ−信号出力のステート(state)及びタイミングレート(timing rate)をデジタル化することができる。正常状態では、衛星受信機１１０からの時間信号、すなわちＳ−信号と、参照クロック１３０からの実際の時間信号、すなわちＲ−信号との差が、中央コンピュータ１４０によって測定され、参照クロック１３０からの実際のＲ−信号が公称Ｒ−信号（衛星受信機のＳ−信号によってあらかじめ規定されている）に適合するように、マイクロ／マクロチック変換部がパラメータ化される。この適合化は２つの方法で行われる。すなわち、短期的には、Ｒ−信号のステートが、Ｓ−信号のステートに合わされる。長期的には、Ｒ−信号のタイミングレートが、Ｓ−信号のタイミングレートに合わされる。このように、参照クロック１３０のタイミングレートを、衛星システムによってあらかじめ規定されたＳ−信号に合わせた結果、Ｒ−信号のドリフトの精度を、２桁まで改善することができる[非特許文献３、p．７２]。

衛星受信機１１０は、航法衛星システム[非特許文献２]、例えば、ＧＰＳシステム、ＧＬＯＮＡＳＳシステム、または、将来はガリレオシステムから、ナビゲーション信号を受信し、これらの信号の電界強度を監視する。このように電界強度を監視することによって、例えばＧＰＳ−信号などの衛星信号に対するあらゆるセキュリティー攻撃を発見することができる。障害が無い状態では、ＧＰＳ信号の電界強度は、通常の範囲内である。この通常範囲は、長期にわたって、発生する電界強度を測定することによって決定される。これらの電界強度が意図せず急激に変化し、通常範囲外となった場合は、セキュリティ攻撃を意味する。原則として、衛星信号に対する２つのタイプのセキュリティー攻撃、すなわち、ブロッキング(blocking)とスプーフィング(spoofing)とを区別することができる[非特許文献１]。ブロッキングの場合には、ＧＰＳ信号が妨害され、衛星受信機が統語的に正しい(syntactically correct)メッセージを受信できないようになる。ブロッキング攻撃は、信号が実際に消滅するため、衛星受信機によって容易に特定することができる。スプーフィングの場合は、受信機を混乱させるために、統語的に正しい偽造信号が生成される。この偽造スプーフィング信号が本物のＧＰＳ信号にオーバーラップするため、スプーフィング信号の電界強度は、通常範囲から外れるはずである。通常電界強度と、スプーフィングによる明確に特定される障害状態との間には、中間領域が存在し、当該中間領域は、アノマリー(anomaly)と呼ばれる。アノマリーが特定されるとすぐに、参照クロックのタイミングレート補正を中止し、これによって、参照クロックのクロックタイミングレートが偽の衛星信号に誤って適合化されるのを防止する。

障害が無い状態においては、中央コンピューター１４０は、衛星受信機１１０からのＳ−信号に基づいて、定期的にイーサネット対応同期メッセージ２２０を生成する。この同期メッセージは、ＴＴイーサーネットのＳＡＥ規格ＡＳ６８０２又はＩＥＥＥ規格１５８８に適合するものである。このメッセージのパラメーター（周波数及び位相）は、コンフィギュレーションデータブロック２１０から取得される。必要であれば、この同期メッセージを電子署名[非特許文献３]によって保護することによって、メッセージの真正性を保証することができる。中央コンピュータ１４０は、ＣＲＣ多項式の算出及び付加によってクローズ同期メッセージ(closed synchronisation message)２２０を作成し、正確に当該メッセージに含まれる送信時刻に、指定された受信機に当該メッセージを送信する。

衛星受信機１１０と中央コンピューター１２０とのインターフェイスにおいてＳ−信号が消滅した場合、あるいは、衛星信号に対するスプーフィング攻撃が中央コンピューターによって判定された場合、中央コンピューター１４０は、参照クロック１３０からのＲ−信号に基づいて、同期メッセージ２２０を生成する。正しいＳ−信号が再び入手可能になるとすぐに、中央コンピューターは、Ｒ−信号とＳ−信号とのステートの違いを判定し、マイクロ／マクロチック変換部のパラメーターによって、Ｒ−信号が再びＳ−信号に合致するまで、参照クロック１３０のタイミングレートを変更する。ここで、衛星信号のタイミングレートに対する参照クロックのタイミングレートの偏差が、コンフィギュレーションデータブロック２２０に格納された所定の最大偏差を、超えないようにする。Ｒ−信号のステートがＳ−信号のステートに到達するとすぐに、中央コンピューター１４０は、Ｓ−信号に基づく同期メッセージを再び生成する

正常動作では、出力される(outbound)クローズド同期メッセージ２２０は、モニター１２０によってカットスルー方式(cut through method)でチェックされる。ここで、２つの連続する同期メッセージ２２０の時間間隔がモニター１２０のクロックにより測定され、同期メッセージの内容がチェックされる。２つの連続する同期メッセージ２２０の時間間隔が、あらかじめ決められた許容間隔外である場合、あるいは、内容の障害が特定された場合、出力されるクローズド同期メッセージ２２０は修正される。この修正は、例えば、送信プロセスを早期に中断した結果、例えば、同期メッセージ２２０を受け取る各受信機が、当該同期メッセージを誤ったものであると認識することができるように、行われる。モニターは、さらに、障害の理由をと共に障害メッセージを中央コンピュータ１４０に送信する。

上記許容間隔は、２つの連続する同期メッセージ２２０の許容できる間隔を規定するものであり、モニター１２０によって一定量の同期メッセージの間隔を測定することによって、マスタークロックの初期化段階において決定される。これに代えて、この許容間隔の長さは、コンフィギュレーションデータブロック２１０内で指定してもよい。

中央コンピュータ１４０は、定期的に（その期間は、コンフィギュレーションデータブロック２１０で定められている）、指定された診断用コンピュータに診断メッセージを送信する。衛星信号の測定電界強度、実際のＲ−信号のタイミングレート及びステートの差、最終期間中に発生した障害メッセージ、などのすべての重要なパラメータは、この診断メッセージによって、診断用コンピュータに伝達される。

本発明の核心は、マスタークロックが、３つの独立したタイムソースを有し、これらタイムソースが、代わる代わる、（１）衛星受信機からの定期的な時間信号、（２）ローカル参照クロックの定期的な時間信号、（３）独立モニターの定期的タイムソース、をチェックし提供する点にある。正常状態では、衛星受信機の時間信号が、定期的同期メッセージを形成するための基礎として、マスタークロックの中央コンピューターによって使用され、ローカル参照クロックのタイミングレートが、衛星受信機のタイミングレートに合わせられる。アノマリーが起こった場合、すなわち、例えば衛星信号の電界強度が正常範囲から外れた場合、参照クロックのタイミングレートの修正が行われなくなる。中央コンピューターによって衛星信号の欠陥または障害が確認された場合、参照クロックが、定期的同期メッセージ生成の基礎となる。中央コンピューターに平行して、独立モニターが、各同期メッセージの内容、及び、連続する同期メッセージの間隔を、同期メッセージをオープンすることなくチェックし、これによって、同期メッセージをクローズする前に起こった障害を特定する。モニターによって障害が特定された場合は、同期メッセージの出力を中止するか、あるいは、当該同期メッセージが誤ったものであると受信機が認識できるように、当該同期メッセージを修正する。従って、統語的に正しい同期メッセージは内容についても正しい、という状態が高い確率で保証される。一システムにおいて２つの独立したマスタークロックを用いた場合、当該システムにおける１つのマスタークロックの故障は許容される。

Claims

分散リアルタイムシステムにおいて、フェイルサイレント同期メッセージを生成する方法であって、
前記方法は、以下の機能ユニット、すなわち、航法衛星システムから時間信号（Ｓ−信号）を受信するための衛星受信機（１１０）、実際の時間信号（Ｒ−信号）を生成する精密参照クロック（１３０）、中央コンピューター（１４０）、モニター（１２０）、及び、コンフィギュレーションパラメーターを格納するためのデータブロック（２１０）、を使用し、前記衛星受信機（１１０）は、定期的にＳ−信号を生成し、前記参照クロックは（１３０）は、定期的にＲ−信号を生成し、前記Ｒ−信号の公称周波数及び位相は、前記Ｓ−信号の周波数及び位相と一致し、前記公称のＲ−信号と実際のＲ−信号との差を用いて、将来における差を最小化し、前記衛星受信機（１１０）が正常状態にある場合、前記中央コンピューター（１４０）によってコンフィギュレーションパラメーター（２１０）に従って生成されるべき定期的同期メッセージ（２２０）は、Ｓ−信号に基づいて生成され、前記公称と実際のＲ−信号との差を用いて、（好ましくは短期的に）参照クロック（１３０）のステート、及び、（好ましくは長期的に）参照クロックのタイミングレートを、Ｓ−信号に適合させ、前記衛星受信機（１１０）がアノマリー状態にある場合、前記参照クロック（１２０）のタイミングレートの適合化を中止し、前記衛星受信機（１１０）が障害状態にある場合は、前記中央コンピューター（１４０）によってコンフィギュレーションパラメーター（２１０）に従って生成されるべき定期的同期メッセージ（２２０）は、Ｒ−信号に基づいて生成され、前記モニター（１２０）は、前記同期メッセージに含まれる送信時間が実際の送信時間に合致するかどうか、及び、２つの連続する同期メッセージ（２２０）の間の間隔があらかじめ決められた許容間隔内にあるかどうか、をチェックし、これが当てはまらない場合、前記同期メッセージ（２２０）が誤ったものであると各受信機が認識できるように、前記同期メッセージ（２２０）を修正する、方法。
前記モニター（１２０）は、起動後に、２つの連続する同期メッセージ（２２０）の間隔を測定する初期段階に入り、これに続く動作段階では、測定された間隔を用いて、２つの連続する同期メッセージ（２２０）間の間隔異常を特定する、請求項１に記載の方法。
前記中央コンピューター（１４０）は、先行する期間中のシステム全体の動作状態及びアノマリーまたは障害が含まれるかどうかを判断するための診断メッセージを定期的に生成する、請求項１に記載の方法。
前記コンフィギュレーションデータブロック（２１０）に格納されたデータは、障害特定コードで保護されている、請求項１〜３のいずれか１つに記載の方法。
前記コンフィギュレーションデータブロック（２１０）に格納されたデータは、障害修正コードで保護されている、請求項１〜４のいずれか１つに記載の方法。
前記コンフィギュレーションデータブロック（２１０）に格納されたパラメーターは、外部入力装置と中央コンピューター（１４０）との物理的接続が存在する時にのみ変更することができる、請求項１〜５のいずれか１つに記載の方法。
前記コンフィギュレーションデータブロック（２１０）に格納されたパラメーターは、インターネットを介して、暗号で保護されたプロトコルで変更することができる、請求項１〜６のいずれか１つに記載の方法。
前記衛星受信機（１１０）は、衛星信号の電界強度を測定し中央コンピューター（１４０）と通信することによって、衛星信号のアノマリーを特定することができる、請求項１〜７のいずれか１つに記載の方法。
前記同期メッセージ（２２０）は、電子署名によって保護されている、請求項１〜８のいずれか１つに記載の方法。
前記同期メッセージ（２２０）の統語的構造は、ＳＡＥ規格ＡＳ６８０２に対応している、請求項１〜９のいずれか１つに記載の方法。
前記同期メッセージ（２２０）の統語的構造は、ＩＥＥＥ規格１５８８に対応している、請求項１〜１０のいずれか１つに記載の方法。
前記Ｓ−信号は、ＧＰＳシステムによる衛星信号に基づいて生成される、請求項１〜１１のいずれか１つに記載の方法。
前記Ｓ−信号は、ガリレオシステムによる衛星信号に基づいて生成される、請求項１〜１２のいずれか１つに記載の方法。
前記Ｓ−信号は、ＧＬＯＮＡＳＳシステムによる衛星信号に基づいて生成される、請求項１〜１３のいずれか１つに記載の方法。
前記衛星受信機（１１０）の障害が終了した後は、前記参照クロック（１３０）によって生成されたＲ−信号が、あらかじめ決められた最大タイミングレート差で、再び提供されたＳ−信号にガイドされることによって、障害期間中に蓄積されたＲ−信号とＳ−信号とのクロックステート差が解消される、請求項１〜１４のいずれか１つに記載の方法。
請求項１〜１５のいずれか１つによる方法を実行するための装置。
前記参照クロック（１３０）のＲ−信号は、温度補償クオーツに由来している、請求項１６に記載の装置。
前記参照クロック（１３０）のＲ−信号は、原子時計に由来している、請求項１６に記載の装置。