JP2024505610A - 安全な時間信号の提供方法 - Google Patents

Abstract

第１の時間源（１３）からの第１の時間信号（２２）と、第２の時間源（１５）からの第２の時間信号（２６）とが、装置（１０）によって受信かつ評価され、前記第１の時間源（１３）と、前記第２の時間源（１５）とは、互いに独立しており、前記装置（１０）内に第１のユニット（３０）を備え、前記第１のユニット（３０）は、前記２つの時間信号（２２、２６）が互いに比較され、前記２つの時間信号（２２、２６）間の検知された偏差が評価され、この評価に基づいて安全な時間信号（４６）が出力される、観察機能および比較機能を有する、安全な時間信号（４６）の提供方法。

Description

本発明は、特にセキュリティ関連の用途のための安全な時間信号の提供方法と、この方法を実施するための装置に関する。

時間信号は、現在の時刻と、場合によっては現在の日付とを情報として伝える信号である。例えば電子制御システムおよび電子制御装置、特に、例えば車両分野で使用するための組み込みシステムにおいて、セキュリティ関連の機能にも絶対的な日時情報を必要とするシステムおよびソフトウェアがますます使用されるようになっている。これらの信号は、例えば、保存されたファイルやデータの「年齢」が関係する日付／タイムスタンプを表示する、ファイル／データ記憶システムに関連して使用される。この事は、これらのデータが製造時に一回のみ恒久的にプログラムされるのではなく、耐用年数の間に１回、複数回、または頻繁に「より新しい」データに置き換えられたり補完されたりする場合に該当し得る。

例えば携帯電話、スマートフォン、ＰＣアプリケーションなどの消費財の分野では、ソフトウェアが、特にオペレーティングシステムのルーチンを通じて、日付／時刻の値を提供することが一般的であり、既知である。この時刻は、典型的には、対応するオペレーティングシステムのタイマ（ＯＳタイマ）および／またはＣＰＵクロックジェネレータ（ＣＰＵ：ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）から導き出される。そのために、時計を１回、または複数回、実際の時刻に調整する必要があり、これは対応する機能やコマンドで表すことができる。これらのソフトウェアクロックは、システム起動時ごとにリセットされるか、電源オフの状態でも時計が動き続けるリアルタイムクロック（ＲＴＣモジュール：Ｒｅａｌ－Ｔｉｍｅ－Ｃｌｏｃｋ）によってサポートされている。

このような既知の時計タイマは、対応するエラーや不正確な設定により、検知されないエラーを伴う日付／時刻値や、全く合っていない、現実と相違した日付／時刻値が発生するため、セキュリティ関連の用途には十分ではないことに注意する必要がある。さらに、使用されるタイマ自体はエラーなく機能するが、偶然に、または例えばセキュリティ関連の攻撃によって意図的に、時刻が誤設定されるというエラー源が生じる。

セキュリティ関連の機能については、ＯＳタイマ、クロックジェネレータ、およびそれらから導き出されるタイムクロック（例えば周期的タスク）を、通常ウォッチドッグと組み合わせて、冗長的な、独立したクロックモジュールで保護できることが知られている。しかし、これは、典型的には１ミリ秒～１秒の非常に短い周期であり、したがって、例えば±１０％または±２０％の比較的大きな許容誤差を有する、クロックなどの相対的な時間値にのみ適用される。したがって、これらの保護手段は、絶対的な時刻信号の生成には十分ではなく、また適切でない。

さらに、ソース、例えばＧＰＳ受信機（ＧＰＳ： ｇｌｏｂａｌ ｐｏｓｉｔｉｏｎｉｎｇ ｓｙｓｔｅｍ）やＲＴＣモジュールから得られる信号では、十分な安全性が得られないことが知られている。さらに、現在使用可能な絶対的な時間源は、特にＱＭ（ＱＭ：ｑｕａｌｉｔｙ ｍａｎａｇｅｍｅｎｔ）または消費者品質でのみ利用可能であることが知られている。

これらの背景から、請求項１の特徴を有する方法と、請求項１０に係る装置とを提示する。実施形態は、引用形式請求項および明細書に記載されている。
この方法により、セキュリティ関連の用途のための特に安全かつ絶対的な時間信号が提供される。この方法は、第１の時間源からの第１の時間信号と、第２の時間源からの第２の時間信号とが、この方法を実施するための装置によって受信かつ評価され、第１の時間源と第２の時間源とは、互いに独立していることを企図する。これは、第１の時間源の動作は第２の時間源の動作に影響を与えず、第２の時間源の動作は第１の時間源の動作に影響を与えないことを意味する。したがって、提供される２つの時間信号も互いに独立しており、これら２つの信号間に依存関係はない。

装置内の第１のユニットは、観察機能および比較機能を有する。これは、この第１のユニットは、２つの時間信号、またはこれら２つの時間信号によって送信される、特に時間値を表すデータもしくは情報が観察、監視され、それらが互いに比較されることを意味する。そして、検知された２つの時間信号の偏差が評価される。この評価に基づいて、安全な時間信号が出力される。この時、許容誤差または許容誤差閾値が考慮される。

第１のユニットには独立した時間ベースを割り当てることができ、時間べ―スは観察機能および比較機能を実行する際に使用される。これにより、２つの時間信号の伝送エラーに関係なく、確実に比較を行うことができる。実施形態では、観察機能および比較機能は周期的に、すなわち定期的に繰り返して実行される。

さらに、２つの時間信号で送信されるデータの異なる形式を調整する、第２のユニットを設けてもよい。このようにして、時間信号をその形式に関係なく処理することができる。

比較の結果、２つの時間信号の偏差が所定の許容誤差外にあると判明した場合、エラー応答をトリガする、第３のユニットを設けてもよい。この第３のユニットは、ステータス信号を出力してもよい。しかし、このステータス信号は、この第３のユニットの存在とは関係なく、記載された装置によって出力されてもよい。

したがって、提示された方法により、冒頭で説明した複合システム、特に車両内の安全な時刻信号の欠如を、適切な手段によって改善し、その結果、十分に安全かつ絶対的な時刻信号が、セキュリティ関連の用途または機能で利用可能になる。

最後に、２つの時間源のうち１つのフリーズを検知することができる。そのために、例えば第４のユニットを設けてもよい。
提示された方法により、少なくとも２つの独立した時間源および信号から安全な時間信号を生成し、時間値の対応する誤差を検知し、少なくとも１つの適切な誤差反応を実行することが達成される。

したがって、提示された方法では、実施形態のうち少なくとも一部において、
１．独立した少なくとも２つの時間信号源の処理と、
２．時間信号を解析し、エラーを検知する、周期的に実行される観察機能と、
３．これによる、使用機能のための信号としての安全な時間と、
４．安全な時間のステータスと、エラー応答のトリガとなる連動と、
が企図されている。

これらを達成するために、特に多様で冗長な時間源が使用される。一方で、これらは、例えばＷｉＦｉ接続を介してクラウドサーバシステムから提供される時間信号で構成されている。これは例えば、いわゆる「ＵＴＣ時間」（ＵＴＣ：協定世界時）として知られ、単純なＱＭシステムで適宜使用される。他方で、これらは、ＧＰＳ衛星からのいわゆる「ＧＰＳ時間」信号として、ＧＰＳ受信機モジュールで受信、処理、および提供される、独立した時間信号で構成されている。

協定世界時とは、現在有効な世界時であり、世界的に統一された時間軸が必要とされる場所での時間表記に使用されるものである。
さらなる実施形態では、２つのＧＰＳ受信機が使用され、それらは構造的に分離され、冗長であり、異なる製造業者のモジュールが使用される。さらなる実施形態は、ＧＰＳ受信機と組み合わせたＲＴＣベースの時計や、クラウドサーバ時刻値など、さらなる独立した時間源によるものである。さらなる実施形態では、前述の時間源と、電波時計受信機との組み合わせが企図される。これは、典型的には、世界時の原子時間を提供することができる。

上記の全ての実施形態において、時間信号は、信号エラーまたはその伝送を予防または検知するためのセキュリティに関する特別な手段が、典型的にはその技術に含まれない方法で利用可能である。そのため、それぞれ１つの時間源で、検知されない時間値のエラーや破損が生じる可能性がある。

例えばＵＴＣ「Ｕｎｉｖｅｒｓａｌ Ｔｉｍｅ Ｃｏｄｅ」や「ＧＰＳ時間」などの異なる表示で存在している２つの時間値は、時間エラーや欠陥を検知するために、第１のステップで共通の同じ表示方法に換算される。この時、例えばうるう秒、１０２４週ごとのＧＰＳ時間形式におけるカウンタのオーバーフロー、タイムゾーンなどの既知のずれが適宜考慮され、補正される。

２つの時間信号は、周期的に実行される観察機能および比較機能によって観察され、評価される。この観察機能は、第３の独立した時間ベース、例えば、ＣＰＵクロックや制御装置のＳＷ実行で実行することができる。信号源や伝送路の不正確性に応じた、２つの時計の小さな偏差、例えば±５秒程度は、「正常」として許容される。より大きな偏差、ひいてはエラーを伴う偏差が発生した場合は、適切なエラー反応を行うことができる。

エラー反応は段階的に行われ、まず、最後の安全な時間値を短い許容時間だけさらに使い続けるか、関連する機能またはシステム全体を安全なエラー状態にすることからなる。
さらに、観察機能は、１つの時計、または、特に２つの時計のフリーズや動作停止（ｓｔｕｃｋ－ａｔエラー）も検知する。ここでも、安全な時間信号の使用により、時計の十分に短い「停止時間」が許容される。許容誤差を超えた場合、代替的または補完的に、適切なエラー反応をトリガしてもよい。したがって、観察機能は、実際の安全な時間信号に加えて、時間信号の完全性／正確性／劣化状態を示す少なくとも一つのステータス信号も提供する。任意選択的に、時間信号を使用してそれぞれの機能でさらなるエラー反応をさらにトリガしてもよい。

さらなる実施形態では、観察機能は、典型的にはシステムの起動後に最初に存在する信号源の初期の「欠陥」を許容し、対応するステータス状態によってそれを示してもよい。したがって、信頼性が高く、ロバストで、同時に安全なシステムの起動が可能である。

第１の時間源と第２の時間源の使用については、上記および図の説明で記載する。当然ながら、この方法は、これら２つの時間源よりも多くの時間源で実施してもよい。
提示された装置は、上記方法を実施するために使用され、例えば、ハードウェアおよび／またはソフトウェアで実装される。

本発明のさらなる利点および実施形態は、説明および添付の図面に記載されている。
上述した特徴および以下に説明する特徴は、それぞれ記載された組み合わせで使用できるだけでなく、本発明の範囲から外れることなく、他の組み合わせで、または単独で使用可能であることは明らかである。

提示された方法を実施するための装置の一実施形態の概略図である。 提示された方法の考えられる経過のフローチャートである。 提示された方法の考えられるさらなる経過のフローチャートである。

本発明を、実施形態に基づいて図面に概略的に表し、図面を参照しながら以下に詳細に説明する。
図１は、本明細書に記載の方法を実施するための装置の一実施形態の概略図であり、全体に参照数字１０が付されている。図では、さらに、衛星１６を介して一旦伝送され、それとは関係なく、無線リンク１８を介して伝送される世界時１４を有する地球１２を象徴的に示している。したがって、互いに独立した第１の時間源１３と第２の時間源１５とが存在する。この結果、ＧＰＳ受信機２０を介して伝送される第１の時間信号２２、この場合はＧＰＳ時間信号と、移動無線ネットワーク、ＷｉＦｉおよび同等のネットワーク２４を介して伝送される第２の時間信号２６、この場合はＵＴＣ時間信号と、が得られる。２つの時間信号２２、２６は、装置１０の入力値である。

装置１０は、観察機能および比較機能を実行する。これは、装置が２つの時間信号２２、２６または２つの時間信号２２、２６によって送信される情報を、特に周期的に観察または監視し、それらを互いに比較することを意味する。このために、２つの時間信号２２、２６を互いに比較し、偏差を検知する第１のユニット３０が設けられ、許容誤差を考慮することができる。この場合、２つの時間信号２２、２６、またはそれらが伝送する時間値は異なる表示で存在するため、時間値を共通の表示方法に換算する第２のユニット３２が設けられている。

絶対的な時間の表記は、さまざまな方法で表示することができる。広く普及しているのは、１９７０年１月１日からの経過秒数の数値として現在時刻を表すＵＴＣのＵｎｉｘタイムスタンプである。しかし、時間表記は、「年－月－日－時：分：秒」のように「人的な」形態で、「テキスト」として、または数値によってデータ構造に符号化されて保存、伝送、または取り決めてもよいし、「ＧＰＳ時間」に用いられるように、１９８０年１月６日からの経過週数に、「現在の週の秒数」を足した数値として表記してもよい。代替的に、例えば「２０２０．１．１からの秒数」のように、独自の表現で任意にかつ一義的に定義してもよい。さらに、例えばうるう秒のような形態の系統的な既知の偏差も、この時点で修正してもよい。

図示の装置３０の実施形態では、第３の独立した時間ベース３４がさらに設けられ、それに基づいて観察機能および比較機能が実行される。この別個の時間ベースは、１つまたは２つの信号の無効な偏差や欠陥を、その期間に短時間だけ許容する許容時間を実現するために必要である。

第３のユニット３６は、検知された偏差が所定の許容誤差外である場合、エラー反応４０をトリガする。さらに、比較に応じてステータス信号４２を出力する。
また、第４のユニット４２が設けられており、このユニットは、特に、２つの時間信号が妥当な値ペア２２、２６上でフリーズしていることを検知するために設けられている。

そして、第１ユニット３０は、２つの時間信号２２、２６の実行された比較に依存して、安全な時間信号４６を出力する。
原則的に、ここでは時間表記のさらなる使用に応じて、例えば、「最も若い」値、「最も古い」値、または加重平均、算術平均などの中間の規定値の選択など、適切な様々な方策があり得る。本実施形態では、２つの信号の偏差が許容誤差内であれば、エラーのない通常動作において、より高い可用性と精度が期待できる信号源の時間値のみが使用される。それ以上の偏差が生じるエラーの場合は、比較によって最後に確認された正しい時間値が保持される。

短い許容時間内に、２つの時間値が再び十分に一致した場合、エラーのない通常動作に戻り、現在の時間値が再び提供される。
起動時には、まず複数の有効な時間値が確認され、常に無効で不正確な初期規定値から、現在の時間値へと切り替えられる。関連するステータスが「初期」／「無効」から「有効」へと切り替わる。

記載のユニット３０、３２、３６、４２は、装置のハードウェアモジュールとして、純粋なソフトウェアモジュールとして、またはハード・ソフトウェアソリューションとして実装することができる。

図２は、記載の方法の考えられる経過をフローチャートで示したものである。第１のステップ５０で、方法を実施するための装置は、第１の時間値を送信する第１の時間信号と、第２の時間値を送信する第２の時間信号と、を受信する。第２のステップ５２で、２つの時間信号または時間値が互いに比較される。許容誤差を考慮した比較結果から、第３のステップ５４で、正確性またはエラー状態を示すステータス信号とともに安全な時間信号が形成され、出力される。追加的に、第４のステップ５６で、許容時間の経過後にエラー反応がトリガされる。

出力信号の具体的な構成は、典型的にはシステム設計によるものである。現在の設計では、このセーフタイム機能から、別個のステータス信号とともに常に時間が出力される。別の実施形態では、時間をフリーズさせたり、無効な値に設定したり、エラー応答がトリガされた際に時間の提供を終了したりしてもよく、その場合、ステータスは必要でなくなることもある。別個のステータス信号が使用されない場合、ステータスは時間の具体的な値で表されてもよい（例：「無効な値」、時間＝「－１」、「－２」等）。これらの場合、ステータスはセーフタイムの状態（無効な値、または時間が提供されていない、ここではステータス＝「無効」と解釈される）によって暗示的に伝達されることに注意されたい。

図３は、提示された方法の考えられるさらなる経過を示し、特に任意選択的なステップが強調されている。
任意選択的な起動段階７０において、第１のステップ７２で時間が受信される。これらの時間は、第２のステップ７４で互いに比較される。そして、第３のステップ７６で、時間を複数回確認し、安定しているかどうかを検査する。時間が安定していない場合、実施形態は第１のステップ７２に戻り（矢印７８）、時間が安定している場合（矢印８０）、起動フェーズ７０を終了し、実施形態は第４のステップ８２で継続される。

この第４のステップ８２で、時間が受信される。第５のステップ８４で、これらの時間が互いに比較される。比較に成功し、時間が許容誤差内にあれば（矢印８６）、第６のステップ８８で安全な時間が出力される。第５のステップ８４の比較が失敗するか、時間が許容誤差外にあれば（矢印９０）、任意選択的な第７のステップ９２で許容時間が確認される。許容時間を超えていなければ（矢印９４）、第４のステップ８２に戻る。許容時間を超えていれば、第８のステップ９６で安全な状態に移行する。

Claims (10)

1. － 第１の時間源（１３）からの第１の時間信号（２２）と、第２の時間源（１５）からの第２の時間信号（２６）とが、装置（１０）によって受信かつ評価され、前記第１の時間源（１３）と、前記第２の時間源（１５）とは、互いに独立しており、
   前記装置（１０）内に第１のユニット（３０）を備え、前記第１のユニット（３０）は、前記２つの時間信号（２２、２６）が互いに比較され、前記２つの時間信号（２２、２６）間の検知された偏差が評価され、この評価に基づいて安全な時間信号（４６）が出力される、観察機能および比較機能を有する、安全な時間信号（４６）の提供方法。
2. 前記第１のユニット（３０）には、前記観察機能および前記比較機能を実行する際に使用される独立した時間ベース（３４）が割り当てられている、請求項１に記載の方法。
3. 前記観察機能および前記比較機能は周期的に実行される、請求項１または２に記載の方法。
4. 前記２つの時間信号（２２、２６）で送信されるデータの異なる形式を調整する、第２のユニット（３２）が設けられている、請求項１～３のいずれか一項に記載の方法。
5. 前記比較の結果、前記２つの時間信号（２２、２６）の偏差が所定の許容誤差外にあると判明した場合、エラー応答（４０）をトリガする、第３のユニット（３６）が設けられている、請求項１～４のいずれか一項に記載の方法。
6. 前記実行された比較に応じてステータス信号（４２）が追加的に出力される、請求項１～５のいずれか一項に記載の方法。
7. 前記２つの時間源（１３、１５）のうち少なくとも１つのフリーズを検知するために設けられている、第４のユニット（４２）が設けられている、請求項１～６のいずれか一項に記載の方法。
8. 前記２つの時間信号（２２、２６）のうち少なくとも１つは、ＧＰＳ信号と、ＵＴＣ信号と、を含む群から選択されている、請求項１～７のいずれか一項に記載の方法。
9. 前記安全な時間信号は車両に提供される、請求項１～８のいずれか１項に記載の方法。
10. 請求項１～９のいずれか一項に記載の方法を実施するために構成されている、時間信号の提供装置。
    

Images