WO2021219337A1

WO2021219337A1 - Erkennen von fehlern in einem computernetzwerk

Info

Publication number: WO2021219337A1
Application number: PCT/EP2021/059157
Authority: WO
Inventors: Christoph Gollob; Daniel Matlok; Andreas TSCHERNER; Karl Budweiser; Andreas Schramm
Original assignee: Bayerische Motoren Werke Aktiengesellschaft
Priority date: 2020-04-27
Filing date: 2021-04-08
Publication date: 2021-11-04
Also published as: CN115443625A; DE102020111450A1; KR20220148905A; US20230336491A1; JP2023521964A

Abstract

Ein Aspekt der Erfindung betrifft eine Vorrichtung zum Erkennen von Fehlern in einem Computernetzwerk, wobei das Netzwerk zumindest ein Kopplungselement umfasst, das zumindest zwei Netzwerkteilnehmer miteinander verbindet, das Kopplungselement einen Speicher für eine Ist-Konfiguration des Kopplungselements umfasst, das Kopplungselement in Abhängigkeit von der Ist-Konfiguration Datenpakete weiterleitet oder verwirft, die Vorrichtung eine Soll-Konfiguration für das Kopplungselement umfasst, und die Vorrichtung eingerichtet ist, die Ist-Konfiguration mit der Soll-Konfiguration zu vergleichen.

Description

Erkennen von Fehlern in einem Computernetzwerk

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zum Erkennen von Fehlern und Anomalien in einem Computernetzwerk. Unter dem Begriff „automatisiertes Fahren“ kann im Rahmen des Dokuments ein Fahren mit automatisierter Längs- oder Querführung oder ein autonomes Fahren mit automatisierter Längs- und Querführung verstanden werden. Der Begriff „automatisiertes Fahren“ umfasst ein automatisiertes Fahren mit einem beliebigen Automatisierungsgrad. Beispielhafte Automatisierungsgrade sind ein assistiertes, teilautomatisiertes, hochautomatisiertes oder vollautomatisiertes Fahren. Diese Automatisierungsgrade wurden von der Bundesanstalt für Straßenwesen (BASt) definiert (siehe BASt-Publikation „Forschung kompakt“, Ausgabe 11/2012). Beim assistierten Fahren führt der Fahrer dauerhaft die Längs- oder Querführung aus, während das System die jeweils andere Funktion in gewissen Grenzen übernimmt. Beim teilautomatisierten Fahren (TAF) übernimmt das System die Längs- und Querführung für einen gewissen Zeitraum und/oder in spezifischen Situationen, wobei der Fahrer das System wie beim assistierten Fahren dauerhaft überwachen muss. Beim hochautomatisierten Fahren (FIAF) übernimmt das System die Längs- und Querführung für einen gewissen Zeitraum, ohne dass der Fahrer das System dauerhaft überwachen muss; der Fahrer muss aber in einer gewissen Zeit in der Lage sein, die Fahrzeugführung zu übernehmen. Beim vollautomatisierten Fahren (VAF) kann das System für einen spezifischen Anwendungsfall das Fahren in allen Situationen automatisch bewältigen; für diesen Anwendungsfall ist kein Fahrer mehr erforderlich. Die vorstehend genannten vier Automatisierungsgrade gemäß der Definition der BASt entsprechen den SAE-Level 1 bis 4 der Norm SAE J3016 (SAE - Society of Automotive Engineering). Beispielsweise entspricht das hochautomatisierte Fahren (HAF) gemäß der BASt dem Level 3 der Norm SAE J3016. Ferner ist in der SAE J3016 noch der SAE-Level 5 als höchster Automatisierungsgrad vorgesehen, der in der Definition der BASt nicht enthalten ist. Der SAE-Level 5 entspricht einem fahrerlosen Fahren, bei dem das System während der ganzen Fahrt alle Situationen wie ein menschlicher Fahrer automatisch bewältigen kann; ein Fahrer ist generell nicht mehr erforderlich.

Es ist Aufgabe der Erfindung, einen Fehler oder Anomalie in einem Computernetzwerk, insbesondere in einem Computernetzwerk eines automatisierten Kraftfahrzeugs zu erkennen.

Die Aufgabe wird durch die Merkmale der unabhängigen Patentansprüche gelöst. Vorteilhafte Ausführungsformen sind in den abhängigen Ansprüchen beschrieben. Es wird darauf hingewiesen, dass zusätzliche Merkmale eines von einem unabhängigen Patentanspruch abhängigen Patentanspruchs ohne die Merkmale des unabhängigen Patentanspruchs oder nur in Kombination mit einer Teilmenge der Merkmale des unabhängigen Patentanspruchs eine eigene und von der Kombination sämtlicher Merkmale des unabhängigen Patentanspruchs unabhängige Erfindung bilden können, die zum Gegenstand eines unabhängigen Anspruchs, einer Teilungsanmeldung oder einer Nachanmeldung gemacht werden kann. Dies gilt in gleicher Weise für in der Beschreibung beschriebene technische Lehren, die eine von den Merkmalen der unabhängigen Patentansprüche unabhängige Erfindung bilden können.

Ein erster Aspekt der Erfindung betrifft eine Vorrichtung zum Erkennen von Fehlern oder Anomalien in einem Computernetzwerk.

Das Computernetzwerk, insbesondere ein Ethernet-Netzwerk umfasst zumindest ein Kopplungselement (Verbindungselement), insbesondere einen Switch oder Hub. Switch (vom Englischen für „Schalter“, „Umschalter“ oder „Weiche“, auch Netzwerkweiche oder Verteiler genannt) bezeichnet ein Kopplungselement in Rechnernetzen, das Netzwerksegmente miteinander verbindet. Es sorgt innerhalb eines Segments (Broadcast-Domain) dafür, dass Datenpakete an ihr Ziel kommen.

Der Begriff Switch bezieht sich allgemein auf eine Multiport-Bridge, also ein aktives Netzwerkgerät, das Frames anhand von Informationen aus dem Data Link Layer (Layer 2) des OSI-Modells weiterleitet. Manchmal werden auch die präziseren Bezeichnungen Bridging Hub oder Switching Hub verwendet. Im IEEE 802.3-Standard heißt die Funktion MAC Bridge.

Das dem Switch vergleichbare Gerät auf Netzwerkschicht 1 (Layer 1) wird als (Repeater-)Hub bezeichnet. Switches, die zusätzlich Daten auf der Netzwerkschicht (Layer 3 und höher) verarbeiten, werden oft als Layer-3- Switches oder Multilayer-Switches bezeichnet und können die Funktion eines Routers erfüllen. In non-Ethernet-Netzwerken kommt die Kopplungsaufgabe einem sogenannten Gateway zu, das heterogene Netz ähnlich wie ein Router bzw. Switch miteinander verbinden kann.

Das Kopplungselement verbindet zumindest zwei Netzwerkteilnehmer miteinander, wobei ein Netzwerkteilnehmer auch ein weiteres Kopplungselement sein kann.

Das Kopplungselement umfasst einen Speicher für eine Ist-Konfiguration des Kopplungselements und entscheidet in Abhängigkeit von dieser Ist- Konfiguration, ob es Datenpakete weiterleitet oder verwirft.

Die Vorrichtung umfasst eine Soll-Konfiguration für das Kopplungselement und ist eingerichtet, die Ist-Konfiguration mit der Soll-Konfiguration zu vergleichen.

Der Vergleich zwischen Soll-Konfiguration und Ist-Konfiguration kann dabei einmalig oder mehrmals erfolgen, wobei der Vergleich insbesondere regelmäßig wiederholt wird.

Hierbei liegt der Erfindung die Erkenntnis zugrunde, dass aufgrund von Fehlern wie etwa äußeren Störungen die Ist-Konfiguration im Speicher des Kopplungselements verfälscht werden kann, was zu einem nicht gewünschten Verhalten beim Weiterleiten, bzw. Verwerfen von Datenpaketen führen kann.

Zusätzlich liegt die Erkenntnis zu Grunde, dass auch bei einer korrekten bzw. unverfälschten Konfiguration, das Kopplungselement durch äußere Einflüsse, systematische oder zufällige Fehler ein abweichendes Verhalten aufweisen kann, als es durch die Konfiguration vorgegeben wird. Durch den Vergleich der Ist-Konfiguration mit der Soll-Konfiguration kann zumindest in einer Momentaufnahme ermittelt werden, ob die Ist- Konfiguration aufgrund eines Fehlers gegenüber der Soll-Konfiguration verändert ist. Zwar kann auch die Soll-Konfiguration aufgrund eines Fehlers verändert sein, aber die Wahrscheinlichkeit, dass sowohl die Ist- Konfiguration als auch die Soll-Konfiguration zum Zeitpunkt des Vergleichs den selbe Fehler aufweisen ist äußerst gering und kann durch Kodierungsmaßnahmen technisch beliebig weit reduziert werden. In einer vorteilhaften Ausführungsform ist die Vorrichtung ein mit dem Kopplungselement verbundener Netzwerkteilnehmer.

Die Vorrichtung kann neben der Ist-Konfiguration auch Zugriff auf Diagnose- Counter des Kopplungselementes haben, um beispielsweise feststellen zu können wann, welche und wie viele Datenpakete warum verworfen wurden. Dieser Mechanismus kann bei einer vorteilhaften Ausführung genutzt werden, um die Integrität bestimmter Konfigurationsitems gewährleisten. Die Vorrichtung ist dafür eingerichtet, zu einem vorgegebenen Zeitpunkt eine vorgegebene Anzahl von Datenpaketen, die geeignet sind, Konfigurationsitems des Kopplungselementes zur Netzwerkseparation der primären und sekundären Steuereinheiten, abzutesten, über das Kopplungselement an einen anderen Netzwerkteilnehmer zu senden, die Anzahl der von der Kopplungseinheit verworfenen Datenpakete zu ermitteln, und die Anzahl der an den anderen Netzwerkteilnehmer gesendeten Datenpakete mit der Anzahl der von der Kopplungseinheit verworfenen Datenpakete zu vergleichen.

Geeignet Datenpakete sind solche mit denen man die Richtigkeit von einzelnen Bestandteilen der Konfiguration testen kann, beispielsweise sollen Pakete mit einen nichtkonfigurierten VLAN verworfen werden. Das Wissen über das Soll-Systemverhalten, also eine Signatur eines integeren Netzwerks, kann zudem vorteilhaft ausgenutzt werden. Hierbei liegt der Erfindung die Erkenntnis zugrunde, dass die Anzahl der von einem fehlerfrei laufenden Kopplungselement verworfenen Daten mit den konfigurierten Grenzen (z.B. einer definierten Datenmenge pro Zeit) oder anderen konfigurierbaren Eigenschaften oder Filterregeln sowie durch die Leistungsfähigkeit des Kopplungselements selbst definiert ist.

In einerweiteren vorteilhaften Ausführungsform gibt die Konfiguration des Kopplungselements zumindest eine Obergrenze für die vom Kopplungselement innerhalb einer vorgegebenen Zeit weitergeleiteten Datenpakete vor, insbesondere durch Vorgabe einer Datenrate beispielsweise in der Einheit Mbit/s.

Beispielsweise handelt es sich dabei um Traffic-Shaping. Traffic-Shaping bezeichnet eine Art der Warteschlangenverwaltung bei paketvermittelten Datennetzen, bei der Datenpakete nach bestimmten Kriterien verzögert oder verworfen werden, um bestimmten Anforderungsprofilen zu genügen. Durchgeführt wird diese Funktion von der Interaktion eines Netzwerk- Schedulers und eines Netzwerk-Shapers und ist grundsätzlich eine Form der Datenratenbegrenzung. Traffic-Shaping ist unidirektional und in der Regel gedächtnislos, das heißt, es arbeitet im Gegensatz zur Datenflusskontrolle ohne Steuerinformationen der Gegenseite.

Alternativ handelt es sich beispielsweise um Traffic-Policing. Traffic-Policing ist ein Verkehrsflussverfahren ähnlich dem Traffic-Shaping, mit dem Unterschied, dass es sich auf ankommende Datenpakete bezieht und Regeln installiert, die es erlauben nicht konforme Datenpakete zu vernichten. Im Gegensatz zum Traffic-Shaping werden dabei keine Pakete zwischengespeichert, wohl aber buchgeführt wie oft der Policier Pakete vernichtet hat. In einerweiteren vorteilhaften Ausführungsform der Erfindung gibt die Konfiguration des Kopplungselements charakteristische Obergrenzen für die Weiterleitung der von einem Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit empfangenen Datenpakete (beispielsweise durch Traffic- Policing), und/oder Obergrenzen für die Weiterleitung der an den Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit gesendeten Datenpakete (beispielsweise durch Traffic-Shaping) vor. Die Obergrenzen können insbesondere so gewählt werden, dass ein integres Netzt und seine charakteristische Traffic Signatur davon nicht berührt wird, anomaler Traffic oder Fehlkonfiguration aber erkannt werden und Pakete, die zu einem untypischen Verkehrsmuster gehören, verworfen werden. Diese Paketverluste können als Indikator für die Integrität des Netzwerkes herangezogen werden.

Als Ergänzung dieser Ausführungsform kann auch der Nutztraffic so gestaltet werden, dass die gewählten Obergrenzen enger und empfindlicher werden können. Dies kann z.B. durch ein „Verschleifen“ einer kurzfristig hohen Datenrate auf ein längeres Zeitintervall umgesetzt werden um Traffic-Spitzen zu vermeiden.

In einer weiteren vorteilhaften Ausführungsform ist die Vorrichtung eingerichtet, die Differenz der Anzahl der an den anderen Netzwerkteilnehmer gesendeten Datenpakete und der Anzahl der von der Kopplungseinheit verworfenen Datenpakete mit zumindest einer Obergrenze für die vom Kopplungselement innerhalb einer vorgegebenen Zeit weitergeleiteten Datenpakete zu vergleichen.

Hierbei liegt der Erfindung die Erkenntnis zugrunde, dass durch den Vergleich Rückschlüsse über eine fehlerhafte Konfiguration der Kopplungseinheit geschlossen werden können. Außerdem besteht das Kopplungselement aus einer Vielzahl von technischen Elementen, die gemeinsam eine Wirkkette bilden. Die Konfiguration ist nur ein Teil dieser Wirkkette. Durch den Vergleich lassen sich damit Rückschlüsse auf einen Fehler in der kompletten Wirkkette innerhalb des Kopplungselements schließen welche von der Maßnahme erkennbar ist und eine Abweichung von der Soll-Funktion bewirkt.

In einerweiteren vorteilhaften Ausführung werden etwaige Vergleiche mit der höchsten verfügbaren ASIL Integrität durchgeführt.

In einerweiteren vorteilhaften Ausführung werden die Vergleiche durch ein mit benötigter Integrität (z.B. gemäß ISO 26262 oder IEC 61508) entwickeltes wirkkettenexternes Element angestoßen und die Ergebnisse ebenfalls durch diese rück gelesen. Der Vergleich findet dabei innerhalb des wirkkettenexternen integren Elements statt. Um einen gefährlichen Falsch- Negativ-Fall abzufangen, muss das dabei gewählte Muster der Abfrage, des Rücklesens und ggf. notwendiger gesendeter Testdaten so komplex gewählt werden, so dass ein E/E-Fehler innerhalb der Wirkkette dieses ausreichend unwahrscheinlich zufällig oder systematisch erzeugen kann.

In einerweiteren vorteilhaften Ausführung können auch einzelne Elemente innerhalb der Wirkkette, welche mittels eines integren wirkkettenexternen Elements geprüft werden, gemäß der benötigten Integrität entwickelt werden. Die hierdurch vermiedenen Fehlerfälle müssen dann durch die übergeordneten Maßnahmen, welche durch das wirkkettenexterne Element durchgeführt werden, nicht mehr aufgefangen werden. Dies kann z.B. zur einer Reduzierung der Anforderungen an das genutzte Muster der Abfrage, des Rücklesens und ggf. notwendiger Testdaten führen.

Eine weitere vorteilhafte Ausführungsform der Erfindung ist ein Fahrsystem zum automatisierten Fahren für ein Kraftfahrzeug, wobei das Fahrsystem eine primäre Steuereinheit zum automatisierten Fahren und eine sekundäre Steuereinheit zum automatisierten Fahren umfasst.

Die Aufteilung der automatisierten Fahrfunktion auf eine primäre Steuereinheit und eine sekundäre Steuereinheit kann beispielsweise aufgrund von Anforderungen aus der funktionalen Sicherheit erfolgen, die einen redundanten Systemaufbau erfordern.

Die primäre Steuereinheit und die sekundäre Steuereinheit umfassen jeweils eine Vorrichtung nach einem der vorherigen Ansprüche und ein Kopplungselement, wobei die Kopplungselemente miteinander verbunden sind.

Somit ergibt sich insbesondere eine Netzwerktopologie, in der die Vorrichtung der primären Steuereinheit mit dem Kopplungselement der primären Steuereinheit verbunden ist, das wiederum mit dem Kopplungselement der sekundären Steuereinheit verbunden ist, das wiederum mit der Vorrichtung der sekundären Steuereinheit verbunden ist.

In einerweiteren vorteilhaften Ausführungsform gibt die Konfiguration der Kopplungselemente jeweils eine Obergrenze für die Weiterleitung der von einem Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit empfangenen Datenpakete und eine Obergrenze für die Weiterleitung der an den Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit gesendeten Datenpakete vor, wobei die Obergrenze für die Weiterleitung der an das jeweils andere Kopplungselement innerhalb einer vorgegebenen Zeit gesendeten Datenpakete niedriger oder höher ist als die Obergrenze für die Weiterleitung der von einem Kopplungselement innerhalb einer vorgegebenen Zeit empfangenen Datenpakete. Hierbei liegt der Erfindung die Erkenntnis zugrunde, dass durch das gewählte Verhältnis der beiden Obergrenzen zueinander ein Fehler innerhalb einer Wirkkette innerhalb der beiden Kopplungselemente, insbesondere eine fehlerhafte Konfiguration der beiden Kopplungseinheiten, ermittelt werden kann.

In einerweiteren vorteilhaften Ausführungsform der Erfindung umfassen die primäre Steuereinheit und die sekundäre Steuereinheit jeweils eine Vorrichtung nach einem der Ansprüche 2, 3, 4 oder 5, wobei der vorgegebenen Zeitpunkt zeitlich vor einer Aktivierung eines automatisierten Fahrmodus für das Kraftfahrzeug, und/oder während eines aktiven automatisierten Fahrmodus für das Kraftfahrzeugs liegt.

Hierbei liegt der Erfindung die Erkenntnis zugrunde, dass eine Fehlererkennung mittels der Erfindung nur eine Momentaufnahme ist und ein Fehler kurz nach der Fehlererkennung auftreten kann.

Da das Auftreten von Fehlern als statistischer Prozess betrachtet werden kann, steigt die kumulierte Fehlerauftrittswahrscheinlichkeit im Laufe der Zeit. Deshalb ist es vorteilhaft, den vorgegebenen Zeitpunkt kurz vor der Aktivierung des automatisierten Fahrmodus zu wählen, um die Fehlerauftrittswahrscheinlich vor diesem sicherheitstechnisch anspruchsvollen Ereignis zu verringern.

Um eine ausreichend hohe Fehlererkennung in der Erfindung/Maßnahme und damit ihre Verfügbarkeit im Ernstfall zu gewährleisten, muss sichergestellt werden, dass ein Ausfall ausreichend unwahrscheinlich zusammen mit einem Babbling Idiot auftritt. Hintergrund: Ein unerkannter Ausfall der Maßnahme (Shaping/Policing) (Latentfehler) würde bei einem Babbling Idiot Fehler sofort zu einem beidseitigem Ausfall der Teilnetze sorgen. Hierzu müssen zwei Schwerpunkte abgedeckt werden: 1. Liegt ein systematischer Fehler vor, so wird dieser zwangsläufig durch eine sich ändernde Umgebungsvariable ausgelöst. Es muss daher sichergestellt sein, dass die Überprüfung der Maßnahme (Shaping/Policing) in möglichst identischen Randbedingungen stattfinden, in welchem ein Babbling Idiot ein sicherheitsrelevantes Ereignis auslösen könnte. Ein geeigneter Zeitpunkt bei einem hochautomatisierte Fahrzeug wäre beispielsweise kurz vor Übergabe der Fahraufgabe vom Fahrer an das Fahrzeug und wenn möglich während der automatisierten Fahrt. Ein ungeeigneter Zeitpunkt wäre wenn das Fahrzeug z.B. im Ruhemodus befindet, also die Randbedingungen nicht den Randbedingungen während einer hochautomatisierten Fahrt entsprechen.

2. Um einem zufälligen Fehler ausreichend zu begegnen, muss die Wiederholfrequenz der Überprüfung der Erfindung/Maßnahme (Shaping/Policing) so gewählt werden, dass die anzunehmende Fehlerrate welche zu einer Unwirksamkeit derselben führt multipliziert mit der Auftretenswahrscheinlichkeit eines Babbling Idiots innerhalb des Überwachungsintervalls ausreichend klein ist um den Integritätsanforderungen gerecht zu werden. Reicht sie nicht aus, muss der Überwachungsinterfall verkleinert werden.

In einerweiteren vorteilhaften Ausführungsform ist die Vorrichtung einer Steuereinheit eingerichtet über das Kopplungselement dieser Steuereinheit und das Kopplungselement der anderen Steuereinheit zu zumindest einem vorgegebenen Zeitpunkt ein Datenpaket mit geringer Priorität an die jeweils andere Vorrichtung zu schicken, wobei die Priorität des Datenpakets derart gewählt ist, dass bei jeder unerwarteten Kommunikation, die beispielsweise die Nutzkommunikation verdrängt, zwischen den beiden Kopplungseinheiten das Datenpaket von einem der Kopplungselemente verworfen wird, und die jeweils andere Vorrichtung eingerichtet ist, im Wesentlichen zu dem vorgegebenen Zeitpunkt den Empfang dieses Datenpakets zu erwarten. Ein zweiter Aspekt der Erfindung betrifft ein Verfahren zum Erkennen von Fehlern in einem Computernetzwerk, wobei das Netzwerk zumindest ein Kopplungselement umfasst, das zumindest zwei Netzwerkteilnehmer miteinander verbindet, das Kopplungselement einen Speicher für eine Ist- Konfiguration des Kopplungselements umfasst, das Kopplungselement in Abhängigkeit von der Ist-Konfiguration Datenpakete weiterleitet oder verwirft.

Ein Schritt des Verfahrens ist das Vergleichen der Ist-Konfiguration mit einer Soll-Konfiguration für das Kopplungselement.

Die vorstehenden Ausführungen zur erfindungsgemäßen Vorrichtung nach dem ersten Aspekt der Erfindung gelten in entsprechender Weise auch für das erfindungsgemäße Verfahren nach dem zweiten Aspekt der Erfindung. An dieser Stelle und in den Patentansprüchen nicht explizit beschriebene vorteilhafte Ausführungsbeispiele des erfindungsgemäßen Verfahrens entsprechen den vorstehend beschriebenen oder in den Patentansprüchen beschriebenen vorteilhaften Ausführungsbeispielen der erfindungsgemäßen Vorrichtung.

Die Erfindung wird nachfolgend anhand eines Ausführungsbeispiels unter Zuhilfenahme der beigefügten Zeichnungen beschrieben. In diesen zeigen:

Fig. 1 ein Ausführungsbeispiel des erfindungsgemäßen Fahrsystems, und Fig. 2 einen beispielhaften Verlauf von Datenübertragungsraten.

Fig. 1 zeigt ein Fahrsystem zum automatisierten Fahren für ein Kraftfahrzeug, wobei das Fahrsystem eine primäre Steuereinheit hPAD zum automatisierten Fahren und eine sekundäre Steuereinheit mPAD zum automatisierten Fahren umfasst. Die primäre Steuereinheit hPAD und die sekundäre Steuereinheit mPAD umfassen jeweils eine erfindungsgemäße Vorrichtung V1 , V2 und ein Kopplungselement S1, S2, wobei die Kopplungselemente S1, S2 miteinander verbunden sind.

Die Kopplungselemente S1, S2 und die Vorrichtungen V1, V2 bilden dabei ein Computernetzwerk, wobei die Kopplungselemente S1, S2 und die Vorrichtungen V1 , V2 Netzwerkteilnehmer sind.

Die Kopplungselemente S1, S2 umfasse jeweils einen Speicher für eine Ist- Konfiguration des Kopplungselements S1, S2, und die Kopplungselemente S1 , S2 sind jeweils eingerichtet, in Abhängigkeit von der Ist-Konfiguration Datenpakete weiterzuleiten oder zu verwerfen.

Die Vorrichtungen V1 , V2 umfassen jeweils eine Soll-Konfiguration für das jeweilige Kopplungselement S1, S2 ihrer Steuereinheit hPAD, mPAD und die Vorrichtungen V1, V2 sind jeweils eingerichtet, die Ist-Konfiguration mit der Soll-Konfiguration zu vergleichen.

Die Vorrichtungen V1, V2 sind jeweils eingerichtet, zu einem vorgegebenen Zeitpunkt eine vorgegebene Anzahl ds von Datenpaketen über die Kopplungselemente S1, S2 an einen anderen Netzwerkteilnehmer zu senden, beispielsweise an die jeweils andere Vorrichtung V1 , V2.

Der vorgegebene Zeitpunkt liegt dabei zeitlich vor einer Aktivierung eines automatisierten Fahrmodus für das Kraftfahrzeug, und/oder während eines aktiven automatisierten Fahrmodus für das Kraftfahrzeugs.

Die Konfiguration der Kopplungselemente gibt jeweils mindestens eine Obergrenze 01 , 02 für die Weiterleitung der von einem Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit empfangenen Datenpakete und eine Obergrenze für die Weiterleitung der an den Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit gesendeten Datenpakete vor, wobei die Obergrenze 01 für die Weiterleitung der an das jeweils andere Kopplungselement S1 , S2 innerhalb einer vorgegebenen Zeit gesendeten Datenpakete niedriger ist als die Obergrenze 02 für die Weiterleitung der von einem Kopplungselement S1, S2 innerhalb einer vorgegebenen Zeit empfangenen Datenpakete.

Außerdem sind die Vorrichtungen V1 , V2 jeweils eingerichtet, die Anzahl 11 , I2) der von der Kopplungseinheit S1 , S2 verworfenen Datenpakete zu ermitteln, und die Differenz der Anzahl ds der an den anderen Netzwerkteilnehmer gesendeten Datenpakete und der Anzahl 11, I2 der von der Kopplungseinheit S1 , S2 verworfenen Datenpakete mit zumindest einer Obergrenze 01 , 02 für die vom Kopplungselement S1 , S2 innerhalb einer vorgegebenen Zeit weitergeleiteten Datenpakete zu vergleichen.

Außerdem sind die Vorrichtungen V1, V2 einer Steuereinheit hPAD, mPAD jeweils eingerichtet, über das Kopplungselement S1, S2 dieser Steuereinheit hPAD, mPAD und das Kopplungselement S1, S2 der anderen Steuereinheit hPAD, mPAD zu zumindest einem vorgegebenen Zeitpunkt ein Datenpaket mit geringer Priorität an die jeweils andere Vorrichtung V1 , V2 zu schicken, wobei die Priorität des Datenpakets derart gewählt ist, dass bei jeder unerwarteten Kommunikation, die beispielsweise die Nutzkommunikation verdrängt, zwischen den beiden Kopplungseinheiten S1, S2 das Datenpaket von einem der Kopplungselemente S1, S2 verworfen wird, und die jeweils andere Vorrichtung V1 , V2 eingerichtet ist, im Wesentlichen zu dem vorgegebenen Zeitpunkt den Empfang dieses Datenpakets zu erwarten.

Fig. 2 zeigt einen beispielhaften Verlauf von Datenübertragungsraten. Dabei sind Datenübertragungsraten in MBit gegenüber der Zeit t aufgetragen. Gezeigt ist dabei ein Datenübertragungsniveau NL, das als Nutzlast üblicherweise übertragen wird. Diese Nutzlast NL ist niedriger als zwei Obergrenzen 01 , 02. Die Obergrenze 01 für die Weiterleitung der an das jeweils andere Kopplungselement S1, S2 innerhalb einer vorgegebenen Zeit gesendeten Datenpakete ist niedriger als die Obergrenze 02 für die Weiterleitung der von einem Kopplungselement S1, S2 innerhalb einer vorgegebenen Zeit empfangenen Datenpakete.

Darüber hinaus sind drei sogenannte Bursts B1, B2, B3 gezeigt. Diese ergeben sich zu vorgegebenen Zeitpunkten durch das Senden einer vorgegebenen Anzahl ds von Datenpaketen durch eine Vorrichtung V1 , V2 über ein Kopplungselement S1, S2 an einen anderen Netzwerkteilnehmer.

Der Burst B1 zeigt dabei die Anzahl ds der von der Vorrichtung V1 , V2 tatsächlich versendeten Datenpakete. Diese Anzahl ds übersteigt die beiden Obergrenzen 01, 02. Wenn Die Kopplungselemente S1, S2 fehlerfrei arbeiten würden, würde eine Anzahl 11 von Datenpaketen von der ersten Kopplungseinheit S1, S2 verworfen. Bei der jeweils anderen Kopplungseinheit S1, S2 würde somit nur ein Burst B2 ankommen. Diese andere Kopplungseinheit S1 , S2 würde eine Anzahl I2 von Datenpaketen verwerfen, so dass bei der anderen Vorrichtung V1 , V2 nur ein Burst B3 ankommen würde.

Da sowohl die Anzahl ds von Datenpaketen bekannt ist, als auch die beiden Obergrenzen 01 , 02, kann von der empfangenden Vorrichtung V1 , V2 durch Vergleich der tatsächlich empfangenen Datenpakete mit einer Anzahl an erwarteten Datenpaketen, die sich aus der der Differenz der Anzahl ds der an die Vorrichtung gesendeten Datenpakete und den Obergrenzen 01, 02 ergibt, ermittelt werden, ob ein Fehler im Computernetzwerk vorliegt, beispielsweise ein Fehler in der Ist-Konfiguration der Kopplungselemente S1, S2. Wenn beispielsweise die Anzahl der tatsächlich empfangenen Datenpakete über der Obergrenze 02 für die Weiterleitung der von einem Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit empfangenen Datenpakete liegt, so kann darauf geschlossen werden, dass ein Fehler in der Ist-Konfiguration des empfangenden Kopplungselements S1, S2 vorliegt.

Wenn beispielsweise die Anzahl der tatsächlich empfangenen Datenpakete über der Obergrenze 01 für die Weiterleitung der an den Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit gesendeten Datenpakete liegt, so kann darauf geschlossen werden, dass ein Fehler der Ist-Konfiguration des versendenden Kopplungselements S1, S2 vorliegt.

Claims

Bayerische Motoren Werke 20-0229 Aktiengesellschaft Patentansprüche

1. Vorrichtung (V1 , V2) zum Erkennen von Fehlern in einem Computernetzwerk, wobei

• das Computernetzwerk zumindest ein Kopplungselement (S1 , S2) umfasst, das zumindest zwei Netzwerkteilnehmer des Com puternetzwerksm iteinander verbindet,

• das Kopplungselement (S1 , S2) einen Speicher für eine Ist- Konfiguration des Kopplungselements (S1, S2) umfasst,

• das Kopplungselement (S1 , S2) in Abhängigkeit von der Ist- Konfiguration Datenpakete weiterleitet oder verwirft,

• die Vorrichtung (V1 , V2) eine Soll-Konfiguration für das Kopplungselement (S1, S2) umfasst, und

• die Vorrichtung (V1 , V2) eingerichtet ist, die Ist-Konfiguration mit der Soll-Konfiguration zu vergleichen.

2. Vorrichtung (V1 , V2) nach Anspruch 1 , wobei die Vorrichtung (V1 , V2) ein mit dem Kopplungselement (S1 , S2) verbundener

Netzwerkteilnehmer ist, und die Vorrichtung (V1, V2) eingerichtet ist,

• zu einem vorgegebenen Zeitpunkt eine vorgegebene Anzahl (ds) von Datenpaketen über das Kopplungselement (S1 , S2) an einen anderen Netzwerkteilnehmer zu senden, · die Anzahl (11 , I2) der von der Kopplungseinheit (S1 , S2) verworfenen Datenpakete zu ermitteln, und

• die Anzahl (ds) der an den anderen Netzwerkteilnehmer gesendeten Datenpakete mit der Anzahl (11 , I2) der von der Kopplungseinheit (S1, S2) verworfenen Datenpakete zu vergleichen.

3. Vorrichtung (V1 , V2) nach einem der vorherigen Ansprüche, wobei die Konfiguration des Kopplungselements (S1, S2) zumindest eine Obergrenze (01 , 02) für die vom Kopplungselement (S1 , S2) innerhalb einer vorgegebenen Zeit weitergeleiteten Datenpakete vorgibt.

4. Vorrichtung nach Anspruch 3, wobei die Konfiguration des Kopplungselements (S1, S2) · mindestens eine Obergrenze (02) für die Weiterleitung der von einem Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit empfangenen Datenpakete vorgibt, und/oder • mindestens eine Obergrenze (01 ) für die Weiterleitung der an den Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit gesendeten Datenpakete vorgibt.

5. Vorrichtung (V1 , V2) nach Anspruch 3 oder 4, wobei die Vorrichtung (V1 , V2) eingerichtet ist,

• die Differenz der Anzahl (ds) der an den anderen Netzwerkteilnehmer gesendeten Datenpakete und der Anzahl

(11 , I2) der von der Kopplungseinheit (S1 , S2) verworfenen Datenpakete mit zumindest einer Obergrenze (01 , 02) für die vom Kopplungselement (S1, S2) innerhalb einer vorgegebenen Zeit weitergeleiteten Datenpakete zu vergleichen.

6. Fahrsystem zum automatisierten Fahren für ein Kraftfahrzeug, wobei das Fahrsystem eine primäre Steuereinheit (hPAD) zum automatisierten Fahren und eine sekundäre Steuereinheit (mPAD) zum automatisierten Fahren umfasst, die primäre Steuereinheit (hPAD) und die sekundäre Steuereinheit (mPAD) jeweils eine

Vorrichtung (V1 , V2) nach einem der vorherigen Ansprüche und ein Kopplungselement (S1, S2) umfassen, wobei die Kopplungselemente (S1, S2) miteinander verbunden sind.

7. Fahrsystem nach Anspruch 6, wobei

• die Konfiguration der Kopplungselemente (S1 , S2) jeweils eine Obergrenze (01 , 02) für die Weiterleitung der von einem Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit empfangenen Datenpakete und eine Obergrenze für die Weiterleitung der an den Netzwerkteilnehmer innerhalb einer vorgegebenen Zeit gesendeten Datenpakete vorgibt, und

• die Obergrenze (01 ) für die Weiterleitung der an das jeweils andere Kopplungselement (S1, S2) innerhalb einer vorgegebenen Zeit gesendeten Datenpakete niedriger ist als die Obergrenze (02) für die Weiterleitung der von einem Kopplungselement (S1, S2) innerhalb einer vorgegebenen Zeit empfangenen Datenpakete.

8. Fahrsystem nach Anspruch 6 oder 7, wobei die primäre Steuereinheit (hPAD) und die sekundäre Steuereinheit (mPAD) jeweils eine Vorrichtung (V1 , V2) nach einem der Ansprüche 2, 3, 4 oder 5 umfassen, wobei der vorgegebenen Zeitpunkt

• zeitlich vor einer Aktivierung eines automatisierten Fahrmodus für das Kraftfahrzeug, und/oder

• während eines aktiven automatisierten Fahrmodus für das Kraftfahrzeugs liegt.

9. Fahrsystem nach Anspruch 6, wobei die Vorrichtung (V1 , V2) einer Steuereinheit (hPAD, mPAD) eingerichtet ist, über das Kopplungselement (S1, S2) dieser Steuereinheit (hPAD, mPAD) und das Kopplungselement (S1 , S2) der anderen Steuereinheit (hPAD, mPAD) zu zumindest einem vorgegebenen Zeitpunkt ein Datenpaket mit geringer Priorität an die jeweils andere Vorrichtung (V1 , V2) zu schicken, wobei die Priorität des Datenpakets derart gewählt ist, dass bei jeder unerwarteten Kommunikation zwischen den beiden Kopplungseinheiten (S1, S2) das Datenpaket von einem der Kopplungselemente (S1 , S2) verworfen wird, und die jeweils andere

Vorrichtung (V1 , V2) eingerichtet ist, im Wesentlichen zu dem vorgegebenen Zeitpunkt den Empfang dieses Datenpakets zu erwarten. Verfahren zum Erkennen von Fehlern in einem Computernetzwerk, wobei das Computernetzwerk zumindest ein Kopplungselement (S1 , S2) umfasst, das zumindest zwei Netzwerkteilnehmer des Computernetzwerks miteinander verbindet, das Kopplungselement (S1, S2) einen Speicher für eine Ist-Konfiguration des Kopplungselements (S1, S2) umfasst, das Kopplungselement (S1, S2) in Abhängigkeit von der Ist-Konfiguration Datenpakete weiterleitet oder verwirft, und das Verfahren den folgenden Schritt umfasst:

• Vergleichen der Ist-Konfiguration mit einer Soll-Konfiguration für das Kopplungselement (S1 , S2).