JP2023506908A - イーサネット車載ネットワークの時刻同期を安全にする方法 - Google Patents

Abstract

本発明は、自動車（１）のイーサネット車載ネットワーク（２）の時刻同期を安全にする方法であって、イーサネット車載ネットワーク（２）の第１の制御ユニット（３）と、イーサネット車載ネットワーク（２）の第２の制御ユニット（４）との間の第１の接続経路（６）上の第１の信号（１０）の遅延時間（９）を決定するステップと、遅延時間（９）に基づいて、第１の接続経路（６）の最大速度（１１）を決定するステップと、最大速度（１１）に基づいて、第１の接続経路（６）の伝送媒体（１２）のタイプを決定するステップと、が実行される。第１の信号（１０）の遅延時間（９）と、第１の接続経路（６）の最大速度（１１）と、第１の接続経路（６）の伝送媒体（１２）のタイプとを決定することにより、第１の接続経路（６）用の少なくとも１つの動的鍵（２８）を確かめるために使用されるエントロピーソースが形成され、前記鍵は第１の接続経路（６）の時刻同期メッセージを暗号化するために使用される。

Description

本発明は、互いに同期したネットワークデバイスを含む通信ネットワークに関する。

自動車メーカー（ＯＥＭ）及び自動車産業のティア１サプライヤーは、車両コントローラ又は電子制御デバイス／制御ユニット（ＥＣＵ）の次世代アーキテクチャを準備している。開発の１つは、いわゆる「ゾーン指向型アーキテクチャ」であり、このアーキテクチャでは、制御デバイスが、例えばフロント右ドアゾーンなどのゾーンにグループ化される。以前のアーキテクチャとの違いは、特定の物理的又は空間的位置に位置付けられたセンサからデータを最適に捕捉するために、コントローラが、その特定の物理的又は空間的位置に配置される点である。そのため、例えば、フロント右ドアのセンサからデータを収集する制御ユニットは、フロント右ドアゾーンに位置付けられ得る。

他のコントローラ及びプロセッサに対する、フィーチャ及びアプリケーションのソフトウェア実行の局所化又は分散も検討中である。このような局所化又は分散は、最適化の一部であり得、例えば制御デバイスのエラー又は障害時にも使用され得る。この局所化又は分散は、動的マイグレーション又は単にマイグレーションとして知られる。車両内の他の制御デバイス／プロセッサに対するソフトウェアの動的マイグレーションの大量生産がまもなく期待される。

イーサネットは、ネットワーク内の制御デバイスを接続するためによく使用されるネットワークであり得る。イーサネット技術は、車両及びサプライヤー製品の電気システムにとって、ますます人気となっている。イーサネット技術の使用には、効果的な同期概念を必要とする。

既存のイーサネットシステムは、時刻同期規格ＩＥＥＥ８０２．１ＡＳの実装を使用し得る。特に注目を集めた２つのバリアントは、８０２．１ＡＳ－Ｒｅｖの選択及び８０２．１ＡＳ－Ｒｅｖの時間領域であり、後者は、前者の必須要件である。物理的伝送規格を除く他のプロトコルは、イーサネットＡＶＢ及びその後継規格であるイーサネットＴＳＮである。イーサネットＡＶＢは、大量生産の自動車に既に導入されている。イーサネットＴＳＮ及びＡＶＢにとって必須のサブ規格は、時刻同期規格ＩＥＥＥ８０２．１ＡＳであり、これは、上位レイヤＬＡＮプロトコル（ブリッジング）のためにメイン規格ＩＥＥＥ８０２．１に依存する。両規格は、イーサネットネットワークにおいて共通の時間軸を確立するために、ＩＥＥＥ１５８８のＰｒｅｃｉｓｉｏｎ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ（ＰＴＰ）を使用する。

ＯＳＩレイヤモデルのレイヤ３では、イーサネット接続は、送信機と受信機との間のデータパケットの伝送のために多数のスイッチングプロトコルをサポートする。より上位のプロトコルレイヤでは、データストリームのパケットへのセグメント化、通信システム間のプロセス通信、システム非依存形式へのデータの翻訳、及び最後にアプリケーションに関する機能の提供が生じる。

車両で使用されるほとんど全てのイーサネット通信ネットワークは、全てのネットワークデバイスで同期するグローバルネットワーク時間軸を提供する時刻同期に関連するプロトコルを使用する。時刻同期ネットワークデバイスの普及は、今後増加し続けることが予期される。

ＩＥＥＥ８０２．１ＡＳ規格は、このような時刻同期に関連したプロトコルを提供する。ネットワーク内のいわゆる「ベストクロック」（グランドマスター又はグランドマスタークロックとしても知られる）に基づいて、マスター／スレーブクロック階層が設定される。グランドマスターは、ネットワーク内の全ての他のネットワークデバイスが同期するネットワークの時間軸を提供する。グランドマスターは、いわゆるＢＭＣＡ（Ｂｅｓｔ Ｍａｓｔｅｒ Ｃｌｏｃｋ Ａｌｇｏｒｉｔｈｍ）を使用して決定され、ネットワーク内でアナウンスされる。これを行うために、ＩＥＥＥ８０２．１ＡＳ準拠ネットワークデバイスは、直接接続された他のネットワークデバイスに対して、内部クロックに関する情報を含むＡｎｎｏｕｎｃｅメッセージを送信する。内部クロックに関する情報は、各クロックの精度の表示、その基準又は時間基準、及びネットワーク内のベストクロックを決定するために使用され得る他の特性を提供する。このようなＡｎｎｏｕｎｃｅメッセージの受け手は、受信した情報をそれ自体の内部クロックの特徴及び他のネットワークデバイスのクロックに関連する情報を有する別のポートから既に受信されたメッセージと比較し、別のネットワークデバイスのクロックがより良いクロックパラメータを有する場合は、それを受け入れる。まもなく、ネットワーク内のベストクロックが確かめられ、その後、ネットワーク内のグランドマスターとなる。このグランドマスターに基づいて、時刻同期に関連するメッセージがネットワーク上でブロードキャストされる。時刻同期に関連するメッセージを受信したネットワークデバイスは、単にそのメッセージを転送するのではなく、それが、直接接続されたネットワークデバイスから時刻同期に関連するメッセージを受信するために使用する接続上の前に確かめられた遅延時間に関する時間情報、及び内部処理時間に関する時間情報も訂正した後に、訂正された時間情報と共に時刻同期に関連するメッセージを再送信する。

ＩＥＥＥ８０２．１ＡＳ及びそこで定義されるｇＰＴＰ（ｇｅｎｅｒａｌｉｚｅｄ ｐｒｅｃｉｓｉｏｎ ｔｉｍｅ ｐｒｏｔｏｃｏｌ）によるクロック階層の場合、単一のネットワークデバイスのみが、常にネットワーク内のベストクロックを提供する。したがって、このネットワークデバイスが、車両の全時間の制御及び規制を行う。ネットワーク内のネットワークデバイスにおける他の全てのクロックは、この１つのクロックによってのみ支配される。一部の車両メーカーは、このイーサネット時刻マスターによって他の規格（例えば、ＣＡＮ）のネットワークさえも同期させ、これは、車両のほとんど全てのネットワークデバイスが、グランドマスターを提供するネットワークデバイスによってシステム時刻を知らされることを意味する。その結果、単一のネットワークデバイスが、ネットワーク又は車両における単一障害点と定義され、このデバイスの障害又は操作は、車両の運転安全性に深刻な影響を与え得る。そのため、例えば、適切なシステムによる高度なドライバーサポートを備えた車両、又は（半）自動運転用のシステムを備えた車両において、車両のアクチュエータ用に適切な制御信号を導出するために、狭い時間窓内で捕捉された大量のセンサデータが、一緒に処理されなければならない。センサデータの可能な限り最も正確な時刻登録は、例えば、誤動作又は動作エラーを再構成するために解析することができるログファイルに保存する際に、ドキュメンテーション目的でも非常に重要となり得る。後者は、特に保険会社及び法執行機関にとって非常に興味深い。したがって、安全で、同期された時間情報の提供は必須である。

このタイプの攻撃を検出するために、（特許文献１）は、通信ネットワーク内の時刻同期に関連するメッセージの遅延時間を監視することを提案する。メッセージを傍受し、及び転送する２つのネットワークデバイス間に接続されたさらなるネットワークデバイスは、転送されたメッセージが変更されない場合でも、メッセージの遅延時間を不可避的に変更する。

ＡＵＴＯＳＡＲを使用する例も考慮することによって、制御ユニット間でやり取りされるほとんど全てのデータは、ＩＰ、及びその結果としてＩＰレイヤを用いて伝送され、すなわち、ＩＰレイヤの全てのフィーチャ及びサービスが使用される。ここで、関心の対象は、ＩＰｓｅｃである。ＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙの略）は、ＩＰネットワーク上の安全な通信を可能にすることを目的とした一連のプロトコルである。その目標は、ネットワークレベルで暗号化に基づくセキュリティを提供することである。ＩＰｓｅｃは、コネクションレスインテグリティ、並びにデータのアクセス制御及び認証により、この可能性を提供する。加えて、ＩＰｓｅｃは、暗号化によるパケットシーケンスの機密性及び真正性を保証する。

ｇＰＴＰ又は８０２．１ＡＳの例から分かるように、時刻同期は、ＩＰレイヤを介して伝送されず、むしろ車両においてまだ保護されていない。ＩＰｓｅｃなどの同等なプロトコルは、自動車の下位レイヤにはまだ存在していないか、或いははるかに高いコストを招くだろう（例えば、ＭＡＣｓｅｃ）。一般に、メッセージは、イーサネットを用いて運ばれる。イーサネットは、ここでは、実際のトランスポートプロトコルであり、すなわち、メッセージは、ＩＰレイヤを介して運ばれない。そこで実装され、及び利用可能な保護機構は、使用することができない。

したがって、時刻同期に関連する現在の方法及びプロトコルは、保護のための簡単な選択肢を提供しない。各ネットワークデバイスは、ネットワーク内の複数又は全てのネットワークデバイスに対して単純なマルチキャストイーサネットフレームとして送信される時刻同期に関連するメッセージから、ネットワーク内のどのネットワークデバイスがグランドマスターであるかを簡単に推論することができる。ＩＰｓｅｃ又はＴＬＳなどの高位プロトコルレイヤの保護機構は、このレベルでは、まだ有効にすることができない。一方、時刻同期メッセージがＩＰを介して送信される場合、クロック同期又は実際のデータ融合の精度は失われる。例えば、センサ融合に関連するデータが変更され、及び例えば一緒には属さないカメラ及びレーダーからのデータが融合される場合は、操作は、深刻な影響を与え得る。

ネットワークの時刻同期を使用した通信ネットワークの構成又は構造の変化を検出するための数個の手法が、先行技術から知られている。例として、ネットワークの構成に対する不正変更は、攻撃に備えるためのネットワークデバイスの介入を含み、これは、解析のためにメッセージを傍受し、必要であれば、変更されたメッセージを再送信する。これは、安全且つ適切な動作を阻止するため又は少なくとも中断させるために使用され得る。

独国特許第１０ ２０１２ ２１６ ６８９ Ｂ４号明細書

したがって、本発明の目的は、時刻同期の保護の向上を保証する方法、その方法を実装する制御デバイス、及び搭載ネットワークを規定することである。

この目的は、請求項１に規定される方法及び請求項１１に規定される制御ユニットによって達成される。実施形態及びさらなる発展は、それぞれの従属請求項に規定される。

自動車１のイーサネット車載ネットワーク２の時刻同期を安全にする方法の一実施形態において、
イーサネット車載ネットワーク２の第１の制御ユニット３と、イーサネット車載ネットワーク２の第２の制御ユニット４との間の第１の接続経路６上の第１の信号１０の遅延時間９を決定するステップと、
遅延時間９に基づいて、第１の接続経路６の最大速度１１を決定するステップと、
最大速度１１に基づいて、第１の接続経路６の伝送媒体１２のタイプを決定するステップと、
が実行され、
第１の信号１０の遅延時間９の決定と、第１の接続経路６の最大速度１１の決定と、第１の接続経路６の伝送媒体１２のタイプの決定とが、第１の接続経路６の時刻同期メッセージを暗号化するために使用される第１の接続経路６用の少なくとも１つの動的鍵２８を確かめるために使用されるエントロピーソースの形成をもたらす。

本方法のさらなる実施形態では、第１の接続経路６用の動的鍵２８が、単位時間当たりで、及びリンクごとに、及びイーサネット車載ネットワーク２において固有のものであるように形成される。

本発明のさらなる実施形態は、第１の接続経路６用の動的鍵２８が、二地点間ライン遅延及びメッセージ周波数を組み合わせることによって生成される点で特徴付けられる。

本発明のさらなる実施形態は、伝送媒体１２のタイプが、イーサネット車載ネットワーク２のプログラム１３に伝えられ、プログラム１３の接続経路選択１４が、伝送媒体１２のタイプに応じて適応され、プログラム１３が、エントロピーソースの全情報を記録し、及び第１の接続経路６用の動的鍵２８が生成される点で特徴付けられる。

本方法のさらなる実施形態では、伝送媒体１２のタイプが、光学式、銅、又はワイヤレスとして決定される。

本発明のさらなる実施形態は、第１の接続経路６を介して伝送されるデータの損失の確率を表す伝送セキュリティ値１５が、伝送媒体１２のタイプに基づいて、第１の接続経路６に割り当てられる点で特徴付けられる。

本方法のさらなる実施形態は、第１の接続経路６上の複数の信号の遅延時間が決定され、複数の信号の最速遅延時間が選択され、最速遅延時間に基づいて、第１の接続経路６の最大速度１１が決定される点で特徴付けられる。

本方法のさらなる実施形態は、第１の制御ユニット３と第２の制御ユニット４との間の、第１の接続経路６とは異なる第２の接続経路７上の第２の信号１７の遅延時間１６が決定され、第２の接続経路７の最大速度１１が決定され、第２の接続経路７の伝送媒体１９のタイプが、第２の接続経路７の最大速度１１に基づいて決定される点で特徴付けられる。

本方法のさらなる実施形態は、第１の制御ユニット３が通常動作モードからエネルギー節約モードへと、及び／又はエネルギー節約モードから通常動作モードへと変更した後に、方法が行われる点で特徴付けられる。

さらなる実施形態では、第１の信号１０の遅延時間９が、第１の制御ユニット３を使用して決定され、第２の制御ユニット４とイーサネット車載ネットワーク２の第３の制御ユニット５との間の、第１の制御ユニット３に間接的にのみ接続された第３の接続経路８上の第３の信号２２の遅延時間２１が、第３の制御ユニット５を使用して決定され、第３の信号２２の遅延時間２１の決定が、第１の制御ユニット３から第３の制御ユニット５へ送信されたサービスメッセージ２０によってトリガされる。

イーサネット車載ネットワーク２用の制御ユニットであって、
イーサネット車載ネットワーク２の第２の制御ユニット４に信号１０を送信し、及び第２の制御ユニット４から信号１０を受信することと、
第２の制御ユニット４に対する接続経路６上の信号１０の遅延時間９を決定することと、
遅延時間９に基づいて、接続経路６の最大速度１１を決定することと、
最大速度１１に基づいて、接続経路６の伝送媒体１２のタイプを決定することと、
を行うように、第１の制御ユニット３として設計され、
この制御ユニット３が、
マイクロプロセッサ４０２と、
揮発性メモリ４０４及び不揮発性メモリ４０６と、
少なくとも２つの通信インタフェース４０８と、
同期可能タイマ４１０と、
を少なくとも含み、
不揮発性メモリ４０６が、マイクロプロセッサ４０２によって実行されると、請求項１～１０に記載された本発明による方法の少なくとも１つの実施形態を実装するプログラム命令を含み、エントロピーソースが、揮発性メモリ４０４及び／又は不揮発性メモリ４０６において形成され、接続経路６用の動的鍵２８を形成するために、前記エントロピーソースが使用される、制御ユニットの実施形態。

第１の制御ユニット３及び第２の制御ユニット４を有する、自動車１用のイーサネット車載ネットワーク２であって、制御ユニット３、４が、少なくとも１つの接続経路６、７を介して互いに接続され、第１の制御ユニット３が、請求項１１に記載されるように設計される、イーサネット車載ネットワーク２の実施形態。

イーサネット車載ネットワーク２の別の実施形態は、イーサネット車載ネットワーク２が、第１の制御ユニット３と間接的にのみ接続され、及び第３の接続経路８を介して第２の制御ユニット４と直接接続される第３の制御ユニット５を有し、第３の制御ユニット５が、第３の接続経路８上の第３の信号２２の遅延時間２１を決定するように設計され、第１の制御ユニット３が、第３の制御ユニット５へのサービスメッセージ２０によって、第３の信号２２の遅延時間２１の決定をトリガするように設計される点で特徴付けられる。

ある実施形態は、コンピュータプログラム製品によって示される。コンピュータプログラム製品は、コンピュータによってプログラムが実行されると、請求項１～１０の１つ又は複数に記載の方法を前記コンピュータに行わせる命令を含む。

ある実施形態は、請求項１４に記載のコンピュータプログラム製品が保存されるコンピュータ可読媒体において提供される。

ある実施形態は、イーサネット車載ネットワークを含む、請求項１３に記載の複数の制御ユニット３、４、５を有する車両において提供される。

本発明は、イーサネットのエリアにおけるセキュリティを向上させ、したがって、セキュリティの欠陥を補う。さらに、自動車用の車両内イーサネットの使用を容易にする規格化可能な手法が規定される。

本方法は、制御ユニットが、搭載ネットワークを介した第２の制御ユニットへのデータ転送の遅延時間を確かめることを含む。重要な要素は、遅延時間が、第１の制御ユニットから第２の制御ユニットへの伝送経路の実際の物理的状態に基づいて何らかの形態で確かめられること、すなわち、伝送経路の物理的状態又は特性が変化したときに、確かめられた遅延時間に変化をもたらす伝送経路の物理的状態又は特性が存在することである。個々の、及び絶えず変化する鍵は、ライン遅延及びメッセージ周波数に基づいて生成される。この鍵は、単位時間当たりで固有のものであり、また、リンクごとに異なり、ネットワークにおいて２度存在する鍵はない。

つまり、時刻同期メッセージは、エントロピーソースを形成する、接続パートナーに関連する個々のパラメータから導出することができる動的鍵を使用して暗号化される。

二地点間ライン遅延及び水晶振動子の周波数の組み合わせから鍵を生成することは、第１に、鍵が絶えず変化しており、第２に、車両ネットワークの各リンク上で鍵が異なるため、特に鍵を回避しようとする試みに対する耐性を鍵に持たせる。２つの値は、鍵を生成するために、直接組み合わせて使用されてもよく、或いは、例えばアドレスなどの他の静的値（これらは、両制御デバイス又は制御ユニットに知られている必要がある）によって拡張されてもよい。

この文脈では、前に確かめられた遅延時間及びメッセージ周波数の考慮は、セキュリティをさらに向上させるエントロピーソースである。コンピュータ用、特に埋め込みシステム又はネットワークコンポーネント用の一般的な乱数発生器は、例えば電子雑音又は放射性崩壊などの非決定性物理的プロセスがデジタル信号に変換されるという意味では、「真の」乱数発生器ではない。より正確に言えば、ここでは、疑似乱数発生器が使用される。初期化から開始して、これらの発生器は、数値シーケンスを決定性方法で発生させ、多くの場合、初期化のための疑似ランダムシステム事象にも依存する。

本方法によって提供される効果、つまり、不正盗聴、通信のひずみ、及びデバイスのやり取りからの保護は、他のやり方で、及びさらに高いセキュリティレベルで（例えば、制御ユニット又は搭載ネットワークで用いられるハードウェア暗号化を使用することによって）達成することもできる。

一方、車両においては、ネットワークに接続された全ての加入者が、シームレスな暗号化通信に十分なハードウェア機器を装備することは、一般に不経済である。記載した方法は、必要とされるハードウェア資源がはるかに少なく、既存の実装を使用して実行に移すことができ、したがって、これが、搭載ネットワーク又は搭載ネットワークに接続されたデバイスに関する製造コストの増加に必ずしも結び付けられることなく、セキュリティレベルが大幅に向上する。

上記の通り、本方法の主要な利点は、追加のハードウェアさえ使用することなく、時刻暗号化のランダム生成のためのエントロピーのハードウェア関連の生成の手段として、第１の加入者から第２の加入者に到るラインを利用することができる点である。この方法は、特に、ネットワークにおける加入者の既存のソフトウェア又はファームウェアのアップデート又はアップグレードとして配布することができるソフトウェアの形態で実装されてもよく、この点で、独立したソリューションである。

ソフトウェアベースのアプリケーション（例えば、自動運転）の実行の品質は、特に追加の財政支出なしに、本発明によって有利に向上させることができる。本発明による車載ネットワークは、コスト及び信頼性の観点から改善される。その結果、後にメタ情報からより高いレベルの機能性を生じさせるように、ソフトウェアベースの方法を使用して、制御ユニット又は車載ネットワークからメタ情報を生成することができる。

有利に、本発明により、車両ネットワークのセキュリティを大幅に、且つ非常に簡単に向上させることが可能となる。自動車における新しく導入されたイーサネットプロトコルの使用は、高価な実装及びさらに追加のハードウェアなしに実施することができるためには、単純な技術及びテクノロジーの所定の特性を利用する機構を必要とする。通信経路の早期分析による攻撃及び異常な挙動の早期検出は、車両が納品される前に欠陥及びエラーが識別されることを可能にする。本発明による車載ネットワークは、コスト及び信頼性の観点から改善される。車載ネットワークの試験容易性は、本発明によってより明白に定義され、その結果、試験費用を節約することができる。本発明は、トランスペアレントなセキュリティ機能性も提供する。

提示された方法は、車両内のあらゆるリンク、ひいては世界中のあらゆる車両のあらゆるリンクが異なる暗号化を有することを保証する。したがって、この車載ネットワークは、鍵が絶えず変化しており、その上、安全なエントロピーソースに基づくため、同等のシステムよりもかなり安全である。

本発明は、例えばセンサ融合などの分散アプリケーションの品質の向上を可能にする。より良いクロックのアプリケーション特有の決定から得られる利点は、選択されたアプリケーションに関する時刻同期の向上である。これにより、このプロトコル又はたった１つのタイミングノードを有する類似のプロトコルから最大限の精度を実現することが可能となる。これにより、より正確な同期がもたらされ、このことは、より高価な水晶振動子及びコンポーネントなしで済ますことが可能であることを意味する。これは、それ以外の場合に必要とされるバッファストレージにも影響を与え得る（その場合、バッファストレージは、なしで済ませるか又は小さく作ることができる）。したがって、例えばカメラ及びレーダーなどの異なるデータの融合は、改善されること、及びより正確にされることが可能となる。さらに、データのロギングをさらに一層正確にすることができる。

本発明は、より高い品質のプラットフォームに依存しないソフトウェアを実現する。本方法は、ソフトウェアをより柔軟にすることを可能にし、及び基礎となるシステムからの情報が、事前にそれをソフトウェアに永久的にプログラムすることなく使用されることを有利に可能にする。本発明は、ソフトウェア開発者及びソフトウェア設計者が、より柔軟に、及びより正確にアプリケーションの要件に合わせることができるソフトウェア／アプリケーションを提供することを可能にする。前述の方法をソフトウェアに組み込むことにより、ケースごとに、又は制御デバイス内で最適化が生じることが可能となる。これは、ソフトウェアがよりプラットフォームに依存しないようになることを意味する。

本発明の利点は、通常のハードウェアを変更する必要がなく、既存のハードウェアを使用し続けることができる点である。この新しい方法は、既存のデバイス又は制御ユニットを損なうことなく、既存のネットワークに組み込むことができる。既存のプロトコルを使用することができるため、使用される規格に違反することはない。

選択されたネットワークデバイスは、初期化中に確かめられたグランドマスタークロックの固有のクロック識別が全てのネットワークデバイスに送信されるとすぐに、時刻同期に関連する暗号化メッセージを送信し始めることができる。しかしながら、ネットワーク内の全てのネットワークデバイスの最初の時刻同期の完了時にのみ、時刻同期に関連する暗号化メッセージの送信を開始することも可能である。

制御ユニットは、物理的インタフェースを介して互いに接続される。時刻同期に関連するメッセージは、インタフェースに関して定義された論理ポートを介して送信され、これは、物理的伝送媒体が共有される場合であっても、２つのネットワークデバイス間の時刻同期のために二地点間接続が存在することを意味する。本明細書では、インタフェースという用語は、文脈上他の意味を示す場合を除き、ポートという用語と同義に使用される。

本発明によるコンピュータプログラム製品は、コンピュータによって実行されると、１つ又は複数の実施形態及び上記の方法のさらなる発展を前記コンピュータに行わせる命令を含む。

コンピュータプログラム製品は、コンピュータ可読媒体又はデータ担体に保存され得る。データ担体は、物理的実施形態では、例えば、ハードディスク、ＣＤ、ＤＶＤ、フラッシュメモリなどのようなものでもよいが、データ担体又は媒体は、適切な受信機を用いてコンピュータによって受信されることが可能で、及びコンピュータのメモリに保存されることが可能な変調された電気、電磁、又は光信号も含み得る。

少なくとも本発明によれば、制御ユニットは、マイクロプロセッサ、不揮発性及び揮発性メモリ、並びにタイマに加えて、少なくとも１つの物理的通信インタフェースを含む。制御ユニットのコンポーネントは、１つ又は複数のデータライン又はデータバスによって、互いに通信可能に接続される。制御ユニットのメモリは、マイクロプロセッサによって実行されると、上記の方法の１つ又は複数の実施形態を実装するようにネットワークデバイスを構成するコンピュータプログラム命令を含む。

本発明による方法は、既存のネットワークデバイスを使用して実装することができ、必要であれば、クロックを同期させるための初期化中に確かめられたグランドマスタークロックに由来する時刻同期に関連するメッセージを使用するだけでなく、時刻同期に関連するさらなるメッセージを単に削除するのではなく転送するために、ソフトウェアにおける、又は時刻同期に関連するメッセージの受信及び処理に使用される状態機械における調整のみが必要とされる。その結果、実装のために、たとえあったとしても低い追加コストのみが生じる。既存のシステムさえも、適切に変更されたソフトウェアを用いて、本方法を実装するように構成することができる。本発明による方法の別の利点は、特定の基礎となるハードウェアプラットフォームが、それがＩＥＥＥ８０２．１ＡＳ規格による同期をサポートする限り無関係である点である。

本発明は、図面を参照して、例として以下に説明される。

本発明によるイーサネット車載ネットワークの例示的実施形態を有する自動車の概略平面図を示す。 第１の接続経路、第２の接続経路、及び第３の接続経路を介して接続された第１の制御ユニット、第２の制御ユニット、及び第３の制御ユニットを有するイーサネット車載ネットワークの概略図を示す。 各接続経路の伝送媒体のタイプを決定するための時刻同期メッセージの暗号化のためのフローチャートを示す。 ２つの接続された制御デバイスのリンク遅延及びメッセージ周波数の測定の図を示す。 新しい鍵が反復的に生成されるフローチャートを示す。 鍵の第１のパラメータを形成する遅延の測定に関するフローチャートを示す。 鍵の第２のパラメータを形成する個々の水晶振動子の周波数の決定に関するフローチャートを示す。 鍵の計算及びメッセージの送信に関するフローチャートを示す。 経時的な鍵の使用に関するフローチャートを示す。 各接続経路の伝送媒体のタイプの決定に関するフローチャートを示す。 イーサネット車載ネットワークにおけるプログラムの適応に関するフローチャートを示す。 信号の遅延時間の決定及び保存に関するフローチャートを示す。 遅延時間の基準値リストの作成に関するフローチャートを示す。 イーサネット車載ネットワークにおけるプログラムの実例的適応に関するフローチャートを示す。 制御ユニットの通信からの生成された動的鍵を使用した暗号化リンクを示す。 制御ユニットの設計を示す。 復号のためのシーケンスを示す。

図面において、同じ参照符号を使用して、同一又は類似の要素が参照され得る。

図１は、自動車１の平面図を示す。自動車１は、イーサネット車載ネットワーク２を有する。更には、イーサネット車載ネットワーク２は、例示的実施形態によれば、複数の制御ユニット３、４、５を有し、これらは、制御装置又は制御デバイスと呼ばれることもある。この場合、制御ユニットは、接続経路を介して互いに接続される。この例示的実施形態におけるイーサネット車載ネットワーク２の既存のトポロジーのために、制御ユニット間に複数の並列通信経路が存在する。接続経路は、例えば、異なる媒体のタイプ又は材料から形成され得る。

イーサネットバリアントの数が増加するにつれて、例えば、接続速度の動的変化も使用される。これは、例えば、速度が実行時に変更され得ることを意味する。例えば、１０Ｇｂｉｔ／ｓの接続経路は、エネルギーが節約されるように、１００Ｍｂｉｔ／ｓに変更され得る。これは動的機能であるため、車載ネットワークは、例えば、ソフトウェアアップデート後又は故障状態時と比較して、納品後又は自動車における初期導入後で異なる形態であり得る。

イーサネット車載ネットワーク２は、少なくとも１つの第１の制御ユニット３、第２の制御ユニット４、及びさらに第３の制御ユニット５を有する。第１の制御ユニット３は、第１の接続経路６によって第２の制御ユニット４に接続される。さらに、この例示的実施形態による第１の制御ユニット３は、第２の接続経路７によっても、第２の制御ユニット４に接続される。

第１の制御ユニット３、第２の制御ユニット４、及び／又は第３の制御ユニット５は、例えば、制御デバイス又はネットワークスイッチの形態でもよい。第２の制御ユニット４及び第３の制御ユニット５は、第３の接続経路８によって互いに接続される。

図１の例示的実施形態によれば、第１の制御ユニット３及び第２の制御ユニット４は、第１の接続経路６を介して互いに直接接続される一方で、第１の制御ユニット３及び第２の制御ユニット４は、第２の接続経路７がさらなる制御ユニットによって２つの部分に分けられるため、第２の接続経路７を介して間接的にのみ接続される。しかしながら、別の例示的実施形態によれば、第２の接続経路７は、第１の制御ユニット３及び第２の制御ユニット４を互いに直接接続することもできる。

図２は、イーサネット車載ネットワーク２のさらなる例示的実施形態を示す。イーサネット車載ネットワーク２は、第１の制御ユニット３、第２の制御ユニット４、及び第３の制御ユニット５を有する。さらに、イーサネット車載ネットワーク２は、第１の接続経路６、第２の接続経路７、及び第３の接続経路８も有する。この例示的実施形態によれば、第１の接続経路６上の第１の信号１０の遅延時間９が決定される。遅延時間９は、第１の信号１０が第１の接続経路６を通って第１の制御ユニット３から第２の制御ユニット４へと（又はその逆も同様）移動中の時間の長さを表す。第１の接続経路６の最大速度１１は、第１の信号１０の遅延時間９に基づいて決定される。第１の接続経路６の最大速度１１は、この場合、例えば、ケーブルの長さ、伝送速度及び／又は媒体のタイプ、又は伝送媒体のタイプに応じて異なる。第１の接続経路６の伝送媒体１２のタイプは、最大速度１１に基づいて決定される。

この例示的実施形態によれば、伝送媒体１２のタイプは、光学式、銅、又はワイヤレスと定義される。光学式の場合、第１の接続経路６は、例えば、光ファイバ接続の形態である。銅の場合、第１の接続経路は、例えば、ツイストペア線を有するケーブル（例えば、非シールドツイストペア（ＵＴＰ）ケーブル）によって形成される。ワイヤレスの場合、第１の接続経路６は、実質的に無線リンクの形態であり、第１の制御ユニット３及び／又は第２の制御ユニット４は、無線受信機及び／又は無線送信機を有し、又は無線受信機及び／又は無線送信機に接続される。

図３に示されるシーケンスに関連して、制御ユニット３は、搭載ネットワークを介した制御ユニット４へのデータ転送の遅延時間を平均する。重要な要素は、遅延時間が、第１の制御ユニット３から制御ユニット４への伝送経路の実際の物理的状態に基づいて何らかの形態で確かめられること、すなわち、伝送経路の物理的状態又は特性が変化したときに、確かめられた遅延時間に変化をもたらす伝送経路の物理的状態又は特性が存在することである。

この提示された方法は、１つの制御ユニット３が、ネットワークを介した制御ユニット４へのデータ転送の遅延時間を確かめることを含む。これは、任意の所望のやり方で実行され得る。例えば、遅延時間は、例えば時刻同期規格ＩＥＥＥ８０２．１ＡＳ及びそれに含まれるＰＴＰプロトコルに従った、第１の加入者と第２の加入者との間の時刻同期の過程で生じ得る。そのため、例えば、このプロトコルの一部として実装される「遅延要求（Ｄｅｌａｙ Ｒｅｑｕｅｓｔ）」及び「ピア遅延（Ｐｅｅｒ Ｄｅｌａｙ）」メッセージが、図３に示されるように、データパケットとして使用され得る。しかしながら、この方法は、これに限定されない。重要な要素は、遅延時間が、第１の加入者／制御ユニット３から第２の加入者／制御ユニット４への伝送経路の実際の物理的状態に基づいて何らかの形態で確かめられること、すなわち、伝送経路の物理的状態又は特性が変化したときに、確かめられた遅延時間に変化をもたらす伝送経路の物理的状態又は特性が存在することのみである。

さらに、第１の制御ユニット３は、反対側の制御ユニット４のメッセージ周波数（これは、原理上は、ＰＬＬ及び水晶振動子の速度から導出される）を確かめる。温度、経年劣化などにより絶えず変化するこれら２つの値から、制御ユニット３は、これらの時刻メッセージを暗号化するための鍵を導出する。

時刻同期メッセージは、生成された動的鍵（これは、一般的に言えば、接続パートナーに関連する個々のパラメータから導出することができる）を使用して暗号化される。

個々の、及び絶えず変化する鍵は、ライン遅延２２１及びメッセージ周波数２１３に基づいて生成される。この鍵は、単位時間当たりで固有のものであり、また、リンクごとに異なる。この手法の結果、図１５に示されるように、ネットワークにおいて２度存在する鍵はない。二地点間ライン遅延及び水晶振動子の周波数の組み合わせから鍵を生成することは、第１に、鍵が絶えず変化しており、第２に、車両ネットワークの各リンク上で鍵が異なるため、特に鍵を回避しようとする試みに対する耐性を鍵に持たせる。

２つの値は、鍵を生成するために、直接組み合わせて使用されてもよく、或いは、例えばアドレスなどの他の静的値（これらは、両制御デバイスに知られている必要がある）によって拡張されてもよい。

暗号化のための個々の鍵（この鍵は、短い時間だけ有効である）を取得するために、各制御ユニット、両制御ユニットに対して実行することができる方法、又は加入者／リンクパートナーは、そこから乱数値を確かめる。図３に示されるように、鍵は、前の測定に基づいて、反復的に変化し、これは、それらが時刻同期に使用されるため、さらなる努力を意味するものではない。

伝送媒体１２のタイプは、イーサネット車載ネットワーク２のプログラム１３に伝えられる。プログラム１３は、例えば、第１の制御ユニット３、第２の制御ユニット４、又は第３の制御ユニット５、又はイーサネット車載ネットワーク２のさらなる制御ユニットに存在してもよい。伝送媒体１２のタイプは、接続経路選択１４を適応させるための根拠と見なされる。そのため、プログラム１３は、例えば、接続経路選択の前とは異なる接続経路を介してデータを送るために、接続経路選択１４を使用することができる。しかしながら、プログラム１３は、例えば、接続経路選択１４によってデータの送信を中断することもでき、及びそれを後に再開することができる。

この例示的実施形態によれば、伝送セキュリティ値１５が、伝送媒体１２のタイプに基づいて第１の接続経路６に割り当てられる。伝送セキュリティ値は、接続経路を介して伝送されるデータの損失の確率を表す。すなわち、伝送セキュリティ値１５は、どの程度確実にデータを第１の接続経路を介して伝送することができるかに関するステートメントを可能にする。これは、エントロピーソース２００に提供される。例えばセキュリティ限界値に到達せず、及びデータが不確実に伝送され得るのみである場合は、データが目的地に遅延して到達すること、又はデータが最新であることを求める要件のためにデータを再び送る価値がない場合は、目的地に全く到達しないことが予期されなければならない。

さらなる例示的実施形態によれば、第１の接続経路６上の複数の信号の遅延時間が決定され、複数の信号の最速遅延時間が選択される。次に、最速遅延時間に基づいて、第１の接続経路６の最大速度１１が決定される。

制御ユニットは、遅延測定を開始し、リンクパートナーメッセージの受信を待つ。ＰＴＰ例を使用したメッセージの受信に基づいて、図６に示されるように、ライン遅延を測定することができる。一方のリンクパートナーが遅延測定を開始すると、他方のリンクパートナーは、必然的にこれに気付き、２つの測定が図３に示されるように関連測定値も生成することができるように、同様に測定を開始すべきである。

説明のために、ここで、ＰＴＰの例を使用してプロシージャのデモンストレーションを行う。ＰＴＰは、３つの機構を定義する：隣接ノード間のライン遅延の測定、ベストクロックの決定、及び時刻情報の交換。ピア遅延機構の目的は、２つの接続されたポート間の遅延を測定することである。測定された遅延時間は、ノードの時刻情報を訂正し、及びこの時刻を含めるために使用される。Ｄｅｌａｙ＿Ｒｅｑｕｅｓｔメッセージは、両通信パートナーによって、互いに独立して周期的に送信される。各ノードがＩＥＥＥ８０２．１ＡＳに準拠している場合、各ノードは、Ｄｅｌａｙ＿Ｒｅｓｐｏｎｓｅ及びＰｄｅｌａｙ＿Ｒｅｓｐ＿Ｆｏｌｌｏｗ＿Ｕｐメッセージで応答する。これらのメッセージは、到着次第、ハードウェアタイムスタンプを与えられ、ＰＴＰアプリケーションに転送される。これは、待ち時間及び隣接ポートに対する時間差の測定を可能にする。ポート（イニシエータ）は、それに接続されたポート（レスポンダ）に対してＤｅｌａｙ＿Ｒｅｑｕｅｓｔメッセージを送信し、及び出口タイムスタンプｔ１を生成することによって測定を開始する。この出口タイムスタンプは、イーサネット送受信機を離れる際に可能な限り遅く書き込まれるハードウェアタイムスタンプを示す。このパケットが到着すると、レスポンダは、タイムスタンプｔ２を生成する。それに応じて、レスポンダは、Ｄｅｌａｙ＿Ｒｅｓｐｏｎｓｅメッセージを送信する。このメッセージでは、レスポンダは、Ｄｅｌａｙ＿Ｒｅｑｕｅｓｔメッセージの受信タイムスタンプｔ２を伝送する。このメッセージがレスポンダを離れるときに、レスポンダは、今度はタイムスタンプｔ３を生成し、これは、すぐ後のＤｅｌａｙ＿Ｒｅｓｐｏｎｓｅ＿Ｆｏｌｌｏｗ＿Ｕｐメッセージで送信される。イニシエータがＤｅｌａｙ＿Ｒｅｓｐｏｎｓｅメッセージを受信するときに、イニシエータは、タイムスタンプｔ４を生成する。イニシエータは、４つのタイムスタンプｔ１～ｔ４を使用して、カバーされるルートの平均遅延時間を計算することができる。

ＰＴＰは、ＡＶＢネットワーク内のベストクロックを用いてマスター／スレーブクロック階層を定義する。このネットワーク内のノードの時間軸が、このクロック（グランドマスター）から導出される。ＢＭＣＡ（Ｂｅｓｔ Ｍａｓｔｅｒ Ｃｌｏｃｋ Ａｌｇｏｒｉｔｈｍ）を使用することによって、このクロックタイプが決定され、及びネットワークにおいてこの情報がアナウンスされる。ＩＥＥＥ８０２．１ＡＳ準拠システムは、ＡＶＢクラウド内のベストクロックに関する情報を用いて周期的Ａｎｎｏｕｎｃｅメッセージを隣接ノードに送信する。このようなメッセージの受け手は、この情報をそれのクロックの特徴及び別のポートから既に受信されたメッセージと比較する。これらのメッセージに基づいて、時刻同期スパニングツリーが設定される。この過程で、各ポートは、４つのポートステータスの１つを割り当てられる。リンクパートナーよりもグランドマスターまでの短い経路を有するポートは、「マスターポート」ステータスを与えられる。「スレーブ」ステータスは、このノードにおける他のポートがまだこのステータスを有していないときに割り当てられる。ＰＴＰプロトコルを完全にサポートすることができないポートによって無効が選択される。「パッシブ」ステータスは、他の３つのステータスの何れも当てはまらない場合に選択される。

時刻情報は、最後に、Ｓｙｎｃ＿Ｆｏｌｌｏｗ＿Ｕｐ機構により交換される。マスターポートは、周期的にＳｙｎｃ及びＦｏｌｌｏｗ＿Ｕｐメッセージを隣接するリンクパートナーに送信する。Ｓｙｎｃメッセージがマスターポートを離れるときに、後続のＦｏｌｌｏｗ＿Ｕｐメッセージにおいてすぐに伝送されるタイムスタンプが生成される。このタイムスタンプは、Ｓｙｎｃメッセージが送信される時点のグランドマスターの現在の時刻に対応する。グランドマスターから生じたメッセージは、転送されるのではなく、スイッチを含む各ノードで再生される。次に、メッセージ周波数から導出される個々の水晶振動子の周波数を決定するための測定を開始する。この周波数は、図３に示されるようなＰＴＰ例を使用したメッセージの受信に基づいて計算することができる。リンクパートナーも同時に周波数を測定していることは必ずしも明白であるとは限らず、このことは、周波数測定が絶えず実行されるべきである理由である。

第２の接続経路７及び／又は第３の接続経路８の伝送媒体１２のタイプも、上記の手法に類似して決定することができる。それぞれの記録値は、異なり、秘密のままであり、及び毎回制御デバイスに保存され、及びネットワーク上で伝送もされない（伝送されなければならないものでもない）。単なる試行による鍵の発見は、十分に起こりそうもないことである。個々の鍵は、２つの値を考慮することによって生成される。第１に、各水晶振動子の周波数が異なり、第２に、各リンクのライン遅延が異なる。ここでは、２つの変動値が合計されることにより、推測することがさらに難しい第３の値（鍵の値）が得られる。ライン遅延は、一般的に、５０～５００ナノ秒の範囲内であり得、周波数は、パラメータであり、及び＋／－ｐｐｍ単位で提供される。往復ライン遅延は、同じチャネルに基づき、これは、リンクの両側の計算値が同一である理由である。したがって、パラメータは交換される必要がない。

ＮＲＲは、このポートに接続された接続の他端におけるＴｉｍｅａｗａｒｅシステムのＬｏｃａｌＣｌｏｃｋユニットの周波数と、この時限システムのＬｏｃａｌＣｌｏｃｋユニットの周波数との間の測定比率を決定する。

Ｔｉｍｅ Ａｗａｒｅｎｅｓｓシステムは、ここでは、制御ユニットと同等と見なすことができる。

また、ＮＲＲは、それが交換される必要なしに、両パートナーが入手可能である。送信ノードは、メッセージが正確にいつ送信されたか（ハードウェアタイムスタンプ）を知っており、受信ノードは、前のライン測定から、このメッセージが正確にいつ送信されたかを知る。

これは、両パートナーが、鍵を生成するために同じ値をほとんど同時に有することを意味する。一方のリンクパートナーは、最後の測定から得られたこれら２つの値を使用して暗号化を行い、他方のリンクパートナーは、その最後の値を使用して復号を行う。

したがって、第２の接続経路７上の第２の信号１７の遅延時間１６が決定される規定も存在する。次に、第２の信号１７の遅延時間１６に基づいて、第２の接続経路７の最大速度１８が決定される。更には、第２の接続経路７の伝送媒体１９のタイプが、第２の接続経路７の最大速度１８に基づいて決定される。

図９に示唆されるように、新しいライン測定が実行されない限り、現在の鍵Ａ１を使用することが有益である。このようにして、リンクパートナーは、新しいライン測定が事前に開始されていなければ、どの鍵を使用すべきかを常に分かっている。新しい鍵は、周期的に（例えば、事前定義周波数）生成されるべきであり／生成することができ、又は必要に応じてトリガによって、若しくは常に重要なメッセージが送信される直前に開始されるべきである／開始することができる。

第１の制御ユニット３及び第２の制御ユニット４の両方、並びに第３の制御ユニット５も、通常動作モード又はエネルギー節約モードで動作することができる。エネルギー節約モードでは、各制御ユニットは、通常動作モードの場合よりも少ないエネルギーを消費する。例えば、エネルギー節約モードでは、各制御ユニットのポートの速度は、通常動作モードの速度と比較して低下させることができる。ポートの低下した速度は、次に、各接続経路の各最大速度にも影響を与える。

さらなる例示的実施形態によれば、サービスメッセージ２０が、第１の制御ユニット３から第３の制御ユニット５へと送信され得る。次に、第３の信号２２の遅延時間２１の決定が、サービスメッセージ２０によってトリガされる。第３の信号２２は、第２の制御ユニット４と第３の制御ユニット５との間で送信される。この例示的実施形態によれば、第３の信号２２の遅延時間２１は、第３の制御ユニット５によって決定される。

図７は、遅延時間を決定する方法の概要を提供する。ステップＳ１では、第１の信号１０の遅延時間９が決定される。ステップＳ２では、伝送媒体１２のタイプが決定される。最後に、ステップＳ３では、プログラム１３が適応される。

図８は、各パラメータ又は伝送媒体１２のタイプに割り当てられた各パラメータの計算に関するフローチャートを示す。ステップＳ４において、第１の信号１０の遅延時間９が決定される。その結果、ステップＳ５において、伝送媒体１２のタイプを決定することができる。更には、伝送媒体１２のタイプは、以下のパラメータ：速度２３、媒体２４、ケーブル長２５、送電２６、ビット誤り率２７を含み得る。最後に、ステップＳ６において、プログラム１３の適応及び接続経路選択１４が次に続く。

この例示的実施形態によれば、接続された制御ユニット又はコントローラ間の信号の遅延時間を測定することが提案される。例えば、規格ＩＥＥＥ１５８８又はＩＥＥＥ８０２．１ＡＳの方法を使用して、遅延時間９、１６、及び２１を測定することができる。方法は、各遅延時間９、１６、及び２１を決定するために、例えばＴＴＥｔｈｅｒｎｅｔ（ｔｉｍｅ ｔｒｉｇｇｅｒｅｄ Ｅｔｈｅｒｎｅｔ）によっても提供され得る。

図１２は、各遅延時間９、１６、及び２１の決定を示す。遅延時間の局所及び非局所問い合わせを説明する。特に少なくとも１つの制御ユニットで実行されるプログラム１３は、好ましくは、まず、局所遅延時間、又は２つ以上の制御ユニットが直接接続される場合は複数の遅延時間を局所的に決定する。次に、他の制御ユニットが、好ましくは、サービス指向型の方法（例えば、ＳＯＭＥ／ＩＰ（Ｓｃａｌａｂｌｅ Ｓｅｒｖｉｃｅ－Ｏｒｉｅｎｔｅｄ Ｍｉｄｄｌｅｗａｒｅ ｏｖｅｒ ＩＰ））によって、隣接制御ユニットに対する遅延時間を問い合わせされる。これは、一元的に、又は分散して実装され得る。問い合わせは、システム起動時、システム定義時、又はソフトウェアアップデート後に一度実行されてもよく、又は動的変化を検出するために周期的に行われてもよい。次に、これらのデータは、初めて保存され、及び割り当てが行われる（特に制御ユニットのアドレスを含む）。

ステップＳ７において、直接接続された制御ユニットに対する各遅延時間が決定される。ステップＳ８において、他の接続経路の各遅延時間が問い合わせされる。ステップＳ９において、各遅延時間及びそれらの関連接続パートナーが保存される。

図１３は、基準測定に基づいて、他の速度を導出するさらなる方法を示す。例えば、現在の温度が非常に高く、又は不十分なケーブルが使用されている場合、事前に保存された値は、場合によっては不正確過ぎる場合がある。したがって、アプリケーション又はプログラム１３自体が、特に、それ自体のパラメータ、及び次にそれらから導出及び計算することができる他の速度を考慮して、それ自体の制御ユニットで測定を実行することが提案される。

ステップＳ１０において、局所イーサネットポートごとに１つの解析が実行される。ステップＳ１１において、チャネルパラメータが既知であるか否かの試験が行われる。既知でなければ、ステップＳ１２が後に続き、本方法は終了する。既知であれば、ステップＳ１３が後に続き、ステップＳ１３において、各遅延時間９、１６、及び２１が決定される。ステップＳ１４において、保存が行われ、決定された遅延時間は、チャネルパラメータに関連付けられる。ステップＳ１５において、基準値のリストが作成される。

図１４は、伝送媒体１２、１９のタイプの知識を用いた可能な最適化を示す。ステップＳ１６において、伝送媒体１２、１９のタイプが銅であるか否かの決定が行われる。銅であれば、ステップＳ１７が後に続き、ステップＳ１７において、ＰｏＤＬ（Ｐｏｗｅｒ ｏｖｅｒ Ｄａｔａ Ｌｉｎｅｓ）、すなわちイーサネットを通した電力の供給が可能であることが確認される。ステップＳ１６の決定が、媒体が銅ではないということであれば、ステップＳ１８が後に続く。ステップＳ１８において、伝送媒体１２のタイプが光学式であるか否かを確かめるための検査が行われる。光学式である場合は、ステップＳ１９が後に続く。ステップＳ１９では、結果としてビット誤り率がより低く、及びこの接続経路の信頼性が結果としてより高いことが分かる。ステップＳ２０において、必要とされない場合は、制御ユニット３、４、５のＲＸ（受信ユニット）又はＴＸ（送信ユニット）の動作を停止させるオプションが提供される。

ステップＳ１８の決定が、伝送媒体１２の媒体又はタイプが光学式ではないということであれば、ステップＳ２１において、関連接続経路としての各接続経路が、直接ＭＩＩ（Ｍｅｄｉａ Ｉｎｄｅｐｅｎｄｅｎｔ Ｉｎｔｅｒｆａｃｅ）接続の形態であると仮定される。この場合、各制御ユニットは、例えばＩＥＥＥ Ｐ８０２．１ＣＢ（Ｆｒａｍｅ Ｒｅｐｌｉｃａｔｉｏｎ ａｎｄ Ｅｌｉｍｉｎａｔｉｏｎ ｆｏｒ Ｒｅｄｕｎｄａｎｃｙ）に適している。

伝送速度の知識から、さらなるオプションが生じる。現在のデータストリームと組み合わせて、データは、例えば高帯域幅接続を使用して意図的に伝送することができ、その結果、必要とされない他の接続経路は、動作を停止させることができ、したがって、エネルギーの節約が可能となる。

加えて、高帯域幅接続の場合、冗長機構（例えば、ＩＥＥＥ ８０２．１ＣＢ）を使用するオプションがある。この場合、データは、冗長なやり方で連続的に伝送されるため、この目的のために高帯域幅が必要とされる。伝送経路の速度に応じてアプリケーションを適応させることも考えられる。カメラは、例えば、リンク又は接続経路６、７、８の速度に応じて伝送されるように、画像データの解像度を適応させることができる。

マイクロプロセッサ４０２に加えて、制御ユニット３、４、５は、揮発性メモリ４０４及び不揮発性メモリ４０６、２つの通信インタフェース４０８、及び同期可能タイマ４１０を含む。ネットワークデバイスの要素は、１つ又は複数のデータ接続又はデータバス４１２を介して互いに通信可能に接続される。不揮発性メモリ４０６は、マイクロプロセッサ４０２によって実行されると、本発明による方法の少なくとも１つの実施形態を実装するプログラム命令を含み、エントロピーソースが、揮発性メモリ４０４及び／又は不揮発性メモリ４０６において形成され、次に、接続経路６用の動的鍵２８を形成するために、前記エントロピーソースが使用される。復号中の動的鍵の復号シーケンスが図１７に示される。

１ 自動車
２ イーサネット車載ネットワーク
３ 第１の制御ユニット
４ 第２の制御ユニット
５ 第３の制御ユニット
６ 第１の接続経路
７ 第２の接続経路
８ 第３の接続経路
９ 第１の信号の遅延時間
１０ 第１の信号
１１ 第１の接続経路の最大速度
１２ 第１の接続経路の伝送媒体のタイプ
１３ プログラム
１４ 接続経路選択
１５ 伝送セキュリティ値
１６ 第２の信号の遅延時間
１７ 第２の信号
１８ 第２の接続経路の最大速度
１９ 第２の接続経路の伝送媒体のタイプ
２０ サービスメッセージ
２１ 第３の信号の遅延時間
２２ 第３の信号
２３ 速度
２４ 媒体
２５ ケーブル長
２６ 送電
２７ ビット誤り率
２８ 動的鍵
２９ 時刻同期メッセージ
２００ エントロピーソース
２１１ 時刻ｔ１における送信
２１２ 時刻ｔ４における受信
２１３ 時刻ｔ４における受信
２２１ 時刻ｔ２における受信
２２２ 時刻ｔ３における送信
２２３ 時刻ｔ３における遅延送信
３００ 時刻ｔ５における暗号化メッセージ
４００ 制御ユニット
４０２ マイクロプロセッサ
４０４ ＲＡＭ
４０６ ＲＯＭ
４０８ 通信インタフェース
４１０ タイマ
４１２ バス／通信インタフェース
１００１ 暗号化メッセージを受信する
１００２ ライン遅延の測定及び周波数測定を開始する
１００３ 最後のライン測定及び周波数パラメータを要求する
１００４ 鍵を生成する
１００５ メッセージを復号する
Ａ１ ライン遅延１の計算及び水晶振動子の周波数１の計算
Ａ２ ライン遅延２の計算及び水晶振動子の周波数２の計算
Ｂ１ ライン遅延１の計算及び水晶振動子の周波数１の計算
Ｂ２ ライン遅延２の計算及び水晶振動子の周波数２の計算

Claims (16)

1. 自動車（１）のイーサネット車載ネットワーク（２）の時刻同期を安全にする方法であって、以下のステップ：
   前記イーサネット車載ネットワーク（２）の第１の制御ユニット（３）と、前記イーサネット車載ネットワーク（２）の第２の制御ユニット（４）との間の第１の接続経路（６）上の第１の信号（１０）の遅延時間（９）を決定するステップと、
   前記遅延時間（９）に基づいて、前記第１の接続経路（６）の最大速度（１１）を決定するステップと、
   前記最大速度（１１）に基づいて、前記第１の接続経路（６）の伝送媒体（１２）のタイプを決定するステップと、
   が実行され、
   前記第１の信号（１０）の前記遅延時間（９）の前記決定と、前記第１の接続経路（６）の前記最大速度（１１）の前記決定と、前記第１の接続経路（６）の前記伝送媒体（１２）の前記タイプの前記決定とが、前記第１の接続経路（６）の時刻同期メッセージを暗号化するために使用される前記第１の接続経路（６）用の少なくとも１つの動的鍵（２８）を確かめるために使用されるエントロピーソースの形成をもたらすことを特徴とする、方法。
2. 前記第１の接続経路（６）用の前記動的鍵（２８）が、単位時間当たりで、リンクごとに、及び前記イーサネット車載ネットワーク（２）において固有のものであることを特徴とする、請求項１に記載の方法。
3. 前記第１の接続経路（６）用の前記動的鍵（２８）が、二地点間ライン遅延及びメッセージ周波数を組み合わせることによって生成されることを特徴とする、請求項１又は２に記載の方法。
4. 前記伝送媒体（１２）の前記タイプが、前記イーサネット車載ネットワーク（２）のプログラム（１３）に伝えられ、前記プログラム（１３）の接続経路選択（１４）が、前記伝送媒体（１２）の前記タイプに応じて適応され、前記プログラム（１３）が、前記エントロピーソースの全情報を記録し、及び前記第１の接続経路（６）用の前記動的鍵（２８）が生成されることを特徴とする、請求項１～３の何れか一項に記載の方法。
5. 前記伝送媒体（１２）の前記タイプが、光学式、銅、又はワイヤレスとして決定されることを特徴とする、請求項１～３の何れか一項に記載の方法。
6. 前記第１の接続経路（６）を介して伝送されるデータの損失の確率を表す伝送セキュリティ値（１５）が、前記伝送媒体（１２）の前記タイプに基づいて、前記第１の接続経路（６）に割り当てられることを特徴とする、請求項１～５の何れか一項に記載の方法。
7. 前記第１の接続経路（６）上の複数の信号の遅延時間が決定され、前記複数の信号の最速遅延時間が選択され、前記最速遅延時間に基づいて、前記第１の接続経路（６）の前記最大速度（１１）が決定されることを特徴とする、請求項１～６の何れか一項に記載の方法。
8. 前記第１の制御ユニット（３）と前記第２の制御ユニット（４）との間の、前記第１の接続経路（６）とは異なる第２の接続経路（７）上の第２の信号（１７）の遅延時間（１６）が決定され、前記第２の接続経路（７）の最大速度（１１）が決定され、前記第２の接続経路（７）の伝送媒体（１９）のタイプが、前記第２の接続経路（７）の前記最大速度（１１）に基づいて決定されることを特徴とする、請求項１～７の何れか一項に記載の方法。
9. 前記第１の制御ユニット（３）が通常動作モードからエネルギー節約モードへと、及び／又は前記エネルギー節約モードから前記通常動作モードへと変更した後に、前記方法が行われることを特徴とする、請求項１～８の何れか一項に記載の方法。
10. 前記第１の信号（１０）の前記遅延時間（９）が、前記第１の制御ユニット（３）を使用して決定され、前記第２の制御ユニット（４）と前記イーサネット車載ネットワーク（２）の第３の制御ユニット（５）との間の、前記第１の制御ユニット（３）に間接的にのみ接続された第３の接続経路（８）上の第３の信号（２２）の遅延時間（２１）が、前記第３の制御ユニット（５）を使用して決定され、前記第３の信号（２２）の前記遅延時間（２１）の前記決定が、前記第１の制御ユニット（３）から前記第３の制御ユニット（５）へ送信されたサービスメッセージ（２０）によってトリガされることを特徴とする、請求項１～９の何れか一項に記載の方法。
11. イーサネット車載ネットワーク（２）用の制御ユニットであって、
    前記イーサネット車載ネットワーク（２）の第２の制御ユニット（４）に信号（１０）を送信し、及び前記第２の制御ユニット（４）から前記信号（１０）を受信することと、
    前記第２の制御ユニット（４）に対する接続経路（６）上の前記信号（１０）の遅延時間（９）を決定することと、
    前記遅延時間（９）に基づいて、前記接続経路（６）の最大速度（１１）を決定することと、
    前記最大速度（１１）に基づいて、前記接続経路（６）の伝送媒体（１２）のタイプを決定することと、
    を行うように、第１の制御ユニット（３）として設計され、
    前記制御ユニット（３）が、
    マイクロプロセッサ（４０２）と、
    揮発性メモリ（４０４）及び不揮発性メモリ（４０６）と、
    少なくとも２つの通信インタフェース（４０８）と、
    同期可能タイマ（４１０）と、
    を少なくとも含み、
    前記不揮発性メモリ（４０６）が、前記マイクロプロセッサ（４０２）によって実行されると、請求項１～１０の何れか一項に記載の本発明による前記方法の少なくとも１つの実施形態を実装するプログラム命令を含み、前記エントロピーソースが、前記揮発性メモリ（４０４）及び／又は前記不揮発性メモリ（４０６）において形成され、前記接続経路（６）用の前記動的鍵（２８）を形成するために、前記エントロピーソースが使用されることを特徴とする、制御ユニット。
12. 第１の制御ユニット（３）及び第２の制御ユニット（４）を有する、自動車（１）用のイーサネット車載ネットワーク（２）であって、前記制御ユニット（３、４）が、少なくとも１つの接続経路（６、７）を介して互いに接続され、前記第１の制御ユニット（３）が、請求項１１に記載のように設計される、イーサネット車載ネットワーク（２）。
13. 前記イーサネット車載ネットワーク（２）が、前記第１の制御ユニット（３）と間接的にのみ接続され、及び第３の接続経路（８）を介して前記第２の制御ユニット（４）と直接接続される第３の制御ユニット（５）を有し、前記第３の制御ユニット（５）が、前記第３の接続経路（８）上の第３の信号（２２）の遅延時間（２１）を決定するように設計され、前記第１の制御ユニット（３）が、前記第３の制御ユニット（５）へのサービスメッセージ（２０）によって、前記第３の信号（２２）の前記遅延時間（２１）の前記決定をトリガするように設計されることを特徴とする、請求項１２に記載のイーサネット車載ネットワーク（２）。
14. コンピュータによってプログラムが実行されると、請求項１～１０の何れか一項に記載の前記方法を前記コンピュータに行わせる命令を含む、コンピュータプログラム製品。
15. 請求項１４に記載の前記コンピュータプログラム製品が保存される、コンピュータ可読媒体。
16. イーサネット車載ネットワークを含む、請求項１３に記載の複数の制御ユニット（３、４、５）を有する、車両。

Images