特開 2024-7523 メッセージの安全な高可用性伝送のための装置、方法、コンピュータプログラム、この装置を含んでいる車両

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024007523

(43)【公開日】2024-01-18

(54)【発明の名称】メッセージの安全な高可用性伝送のための装置、方法、コンピュータプログラム、この装置を含んでいる車両

(51)【国際特許分類】

   H04L 12/22 20060101AFI20240110BHJP

   B62D 6/00 20060101ALI20240110BHJP

   H04L 12/66 20060101ALI20240110BHJP

   G06F 13/36 20060101ALI20240110BHJP

   G06F 13/10 20060101ALI20240110BHJP

   G06F 21/64 20130101ALN20240110BHJP

   G06F 21/85 20130101ALN20240110BHJP

【ＦＩ】

H04L12/22

B62D6/00

H04L12/66

G06F13/36 530B

G06F13/10 310E

G06F21/64

G06F21/85

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

【外国語出願】

(21)【出願番号】P 2023109089

(22)【出願日】2023-07-03

(31)【優先権主張番号】10 2022 206 796.7

(32)【優先日】2022-07-04

(33)【優先権主張国・地域又は機関】DE

(71)【出願人】

【識別番号】390023711

【氏名又は名称】ローベルト ボツシユ ゲゼルシヤフト ミツト ベシユレンクテル ハフツング

【氏名又は名称原語表記】ＲＯＢＥＲＴ ＢＯＳＣＨ ＧＭＢＨ

【住所又は居所原語表記】Ｓｔｕｔｔｇａｒｔ， Ｇｅｒｍａｎｙ

(74)【代理人】

【識別番号】100114890

【弁理士】

【氏名又は名称】アインゼル・フェリックス＝ラインハルト

(74)【代理人】

【識別番号】100098501

【弁理士】

【氏名又は名称】森田 拓

(74)【代理人】

【識別番号】100116403

【弁理士】

【氏名又は名称】前川 純一

(74)【代理人】

【識別番号】100134315

【弁理士】

【氏名又は名称】永島 秀郎

(74)【代理人】

【識別番号】100162880

【弁理士】

【氏名又は名称】上島 類

(72)【発明者】

【氏名】アンドレアス リーディンガー

(72)【発明者】

【氏名】ラインハルト グロスハイム

(72)【発明者】

【氏名】ニコラス ヒュープナー

【テーマコード（参考）】

3D232

5K030

【Ｆターム（参考）】

3D232CC26

3D232CC37

3D232DE09

3D232EC37

3D232GG01

5K030GA15

5K030HA05

5K030HC14

5K030HD03

5K030LC13

(57)【要約】      （修正有）

【課題】システムにおけるメッセージの安全な高可用性伝送のための装置、方法及びプログラムを提供する。
【解決手段】車両のステア・バイ・ワイヤステアリングシステムにおいて、ステアリングホイールアクチュエータの操作要素である第１の制御機器である制御機器１０２と、、ラック・アンド・ピニオン式駆動装置の駆動部の制御機器である第２の制御機器１０４と、を通信のために接続する冗長的なプライベートデータバス１１０は、第１のチャネル１１２でのメッセージの伝送のための通信を、メッセージ認証コードによって保護し、第２のチャネル１１４でのメッセージの伝送のための通信を、メッセージ認証コードによる保護を伴わずに実行する。メッセージは、車両のセンサ１０６又はアクチュエータ１０８から信号を伝送し、第１の動作状態において第１のチャネルからの信号を使用し、第２の動作状態において第２のチャネルからの信号を使用する。
【選択図】図１

【特許請求の範囲】

【請求項1】

特に、車両（１００）のステア・バイ・ワイヤステアリングシステムにおける、メッセージの安全な高可用性伝送のための方法であって、
第１の制御機器（１０２）、特に、好ましくはステアリングホイールアクチュエータの操作要素の制御機器と、第２の制御機器（１０４）、特に、好ましくはラック・アンド・ピニオン式駆動装置の駆動部の制御機器とを通信のために接続する、好ましくは冗長的なプライベートデータバス（１１０）において、第１のチャネル（１１２）でのメッセージの伝送のための通信を、メッセージ認証コード、特にＭｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅによって保護し、
第２のチャネル（１１４）でのメッセージの伝送のための通信を、前記メッセージ認証コードによる保護を伴わずに実行し、
前記メッセージは、特に、前記車両（１００）のセンサ（１０６）またはアクチュエータ（１０８）から信号を伝送し（２０２）、
第１の動作状態において前記第１のチャネル（１１２）からの信号を使用し（２０６）、
第２の動作状態において前記第２のチャネル（１１４）からの信号を使用する（２０８）、
ことを特徴とする方法。

【請求項2】

前記第２の動作状態における動作のための期間が制限されるか、または制限されている（２０８）、請求項１記載の方法。

【請求項3】

エラー、特に意図的に生じたエラーまたは偶発的に生じたエラーを識別し（２０４）、前記エラーが原因で前記第１のチャネル（１１２）からの信号が利用できない場合に、前記第２のチャネル（１１４）からの前記信号を使用する、請求項１または２記載の方法。

【請求項4】

前記エラーを、特に、前記車両（１００）の中央制御機器に報告し（２０８）、
前記中央制御機器によって調整された、前記エラーに対する応答を実行する、請求項３記載の方法。

【請求項5】

送信されるべきメッセージのデータパケットを、前記メッセージ認証コードによる保護のための鍵によって保護し（２０２）、
前記データパケットを送信し、
前記データパケットを前記鍵によって検証する、請求項１から４までのいずれか１項記載の方法。

【請求項6】

前記メッセージを伝送するために、複数のデータパケットを一緒に、前記鍵によって保護する（２０２）、請求項５記載の方法。

【請求項7】

前記プライベートデータバス（１１０）上で、メッセージの伝送のための少なくとも１つの別のチャネルでの通信を前記メッセージ認証コードによって保護する（２０２）、請求項１から６までのいずれか１項記載の方法。

【請求項8】

特に、車両（１００）のステア・バイ・ワイヤステアリングシステムにおける、メッセージの安全な高可用性伝送のための装置であって、
前記装置は、好ましくは冗長的なプライベートデータバス（１１０）と、第１の制御機器（１０２）、特に、好ましくはステアリングホイールアクチュエータの操作要素の制御機器と、第２の制御機器（１０４）、特に、好ましくはラック・アンド・ピニオン式駆動装置の駆動部の制御機器とを含んでおり、
前記データバス（１１０）は、前記第１の制御機器（１０２）と前記第２の制御機器（１０４）とを通信のために接続し、
前記装置は、請求項１から７までのいずれか１項記載の方法を実施するように構成されている、
ことを特徴とする装置。

【請求項9】

車両（１００）であって、
前記車両（１００）は請求項８記載の装置を含んでいる、
ことを特徴とする車両（１００）。

【請求項10】

コンピュータプログラムであって、
前記コンピュータプログラムはコンピュータ可読命令を含んでおり、前記コンピュータ可読命令がコンピュータによって実行された場合に、請求項１から７までのいずれか１項記載の方法が実施される、
ことを特徴とするコンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

背景技術
本発明は、メッセージの安全な高可用性伝送のための装置、方法、コンピュータプログラムおよびこの装置を含んでいる車両を基礎とする。

【0002】

車両は、種々異なるセンサのデータを評価して、種々異なるアクチュエータを駆動制御する制御機器を含んでいる。センサデータは、極めて確実にかつ極めて高い高周波、たとえば１ｋＨｚで伝送されなければならない。ミリ秒の領域のレイテンシは、機能、たとえば操舵感の悪化につながり、たとえば車両の操舵に関する制御不能を生じさせることがある。

【0003】

このような要求を伴う制御機器に対する通信のために、プライベートデータバスが知られている。これらは、同じ信号を伝送するための複数の冗長的なチャネルを有することができる。これらのチャネルは、メッセージ認証コードによって攻撃から保護されている。たとえば、Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ、すなわちＭＡＣ、たとえばＮＩＳＴ Ｓｐｅｃｉａｌ Ｐｕｂｌｉｃａｔｉｏｎ ８００－３８Ｂに準拠するＡＥＳ ＣＭＡＣが使用される。

【0004】

メッセージ認証コードによって保護されているデータにおいて、データ完全性またはデータ真正性が損なわれていることが確認された場合、たとえば、このデータは使用されない。これによって、一方では安全性が高くなり、またデータバス上の帯域幅も高くなる。なぜなら、データの冗長的に伝送されるすべてのインスタンスがメッセージ認証コードによって保護されているからである。

【0005】

発明の開示
操作変数およびセンサデータの高い可用性という目標と、操作変数およびセンサデータの完全性および真正性という目標との間の目標間対立に対する解決手段を得ることが望まれている。

【0006】

これは、独立請求項に記載されている方法、装置、車両およびコンピュータプログラムによって得られる。

【0007】

特に、車両のステア・バイ・ワイヤステアリングシステムにおける、メッセージの安全な高可用性伝送のための方法は、第１の制御機器、特に、好ましくはステアリングホイールアクチュエータの操作要素の制御機器と、第２の制御機器、特に、好ましくはラック・アンド・ピニオン式駆動装置の駆動部の制御機器とを通信のために接続する、好ましくは冗長的なプライベートデータバスにおいて、第１のチャネルでのメッセージの伝送のための通信を、メッセージ認証コード、特にＭｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅによって保護し、第２のチャネルでのメッセージの伝送のための通信を、メッセージ認証コードによる保護を伴わずに実行し、これらのメッセージは信号を伝送し、第１の動作状態において第１のチャネルからの信号を使用し、第２の動作状態において第２のチャネルからの信号を使用すること、を予定している。

【0008】

たとえば、車両の横方向のガイドに関与する制御機器の接続は、プライベートデータバスによって実現され、ここではバス加入者のいずれも、公共ネットワークへの直接的な接続性を有していない。このプライベートバスは、安全なゾーンとみなされる。第１のチャネルでの通信は、ＭＡＣを使用して、完全性／真正性に関して保護される。第２のチャネルでの通信は、ＭＡＣによって付加的に保護されない。この２チャネルデータ伝送は、第１のチャネルだけが完全性／真正性に関して保護されるように利用される。これによって、第１の動作状態、すなわち通常動作においては、第１のチャネルのデータだけが使用できるという状況が生じる。第１のチャネルの可用性が制限されるべき場合にだけ、第２のチャネルが、特に制限された期間にわたって、フォールバックレベルとなる。これによって、次の利点が得られる：

【0009】

第２のチャネルのバス負荷が低くなる。

【0010】

完全性検査／真正性検査に使用されるソフトウェアコンポーネント／ハードウェアコンポーネントは、Ａｕｔｏｍｏｔｉｖｅ Ｓａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌの分類段階ＡＳＩＬ Ｄの要件に従って評価される必要はない。

【0011】

第２の動作状態に対しては、物理的な攻撃を排除することはできない。しかし、この被害シナリオは非常に監視しやすい。なぜなら、このような攻撃は悪用とみなされるべきであり、期間が制限されているので利益が少ないように思われるからである。しかし、発生している残留リスクは、認識され、受け入れられなければならない。

【0012】

第２の動作状態における動作のための期間は、好ましくは制限されるか、または制限されている。このような動作状態は、時間的に制限される。これによって、攻撃が成功するリスクが減る。

【0013】

好ましくは、エラー、特に意図的に生じたエラーまたは偶発的に生じたエラーを識別し、このエラーが原因で第１のチャネルからの信号が利用できない場合に、第２のチャネルからの信号を使用することが予定されている。第１の動作状態、すなわち通常動作においては、有効なＭＡＣを介して、自身の完全性／真正性が検証可能な信号だけが使用される。意図的に生じたエラーまたは偶発的なエラーが原因で、有効なＭＡＣを介して、自身の完全性／真正性を検証可能な信号が利用可能でない場合には、可用性要求を満たすために、第２のチャネルの保護されていない信号が使用される。

【0014】

好ましくは、エラーを、特に、車両の中央制御機器に報告し、中央制御機器によって調整された、このエラーに対する応答を実行する。

【0015】

送信されるべきメッセージのデータパケットを、メッセージ認証コードによる保護のための鍵によって保護し、このデータパケットを送信し、このデータパケットをこの鍵によって検証することが予定されていてよい。これらの鍵は、製造中に第１の制御機器および／または第２の制御機器に入れられてよい、またはランタイムに、分割されたマスタシークレットに基づいて生成されてよい。

【0016】

メッセージを伝送するために、複数のデータパケットを一緒に、この鍵によって保護することが予定されていてよい。このことは、関与する制御機器における計算容量の節約と共にバス負荷の低減のためにも特に有利である。

【0017】

プライベートデータバス上で、メッセージの伝送のための少なくとも１つの別のチャネルでの通信をメッセージ認証コードによって保護することが予定されていてよい。

【0018】

特に、車両のステア・バイ・ワイヤステアリングシステムにおける、メッセージの安全な高可用性伝送のための装置は、この装置が、好ましくは冗長的なプライベートデータバスと、第１の制御機器、特に、好ましくはステアリングホイールアクチュエータの操作要素の制御機器と、第２の制御機器、特に、好ましくはラック・アンド・ピニオン式駆動装置の駆動部の制御機器とを含んでおり、データバスは、第１の制御機器と第２の制御機器とを通信のために接続し、この装置が、上述の方法を実施するように構成されていることを予定している。この装置は、上述の方法の利点に相当する利点を有している。

【0019】

車両は装置を含んでおり、この装置の利点に相当する利点を有している。

【0020】

コンピュータ可読命令を含んでいるコンピュータプログラムであって、このコンピュータ可読命令がコンピュータによって実行された場合に、上述の方法が実施される。このコンピュータプログラムは、上述の方法の利点に相当する利点を有している。

【0021】

さらなる有利な実施形態は、以降の説明および図面から明らかになる。

【図面の簡単な説明】

【0022】

【図1】メッセージの安全な高可用性伝送のための装置を備えた車両の概略図を示す図である。

【図2】メッセージの安全な高可用性伝送のための方法におけるステップを示す図である。

【0023】

図１には、メッセージの安全な高可用性伝送のための装置を備えた車両１００が概略的に示されている。

【0024】

この装置は、この例では、車両１００のステア・バイ・ワイヤステアリングシステムにおける、メッセージの安全な高可用性伝送について記載されている。

【0025】

この装置は、第１の制御機器１０２および第２の制御機器１０４を含んでいる。

【0026】

第１の制御機器１０２は、この例では、操作要素、好ましくはステアリングホイールアクチュエータの制御機器である。第２の制御機器１０４は、この例では、好ましくはラック・アンド・ピニオン式駆動装置の駆動部の制御機器である。

【0027】

車両１００は、少なくとも１つのセンサ１０６と、少なくとも１つのアクチュエータ１０８とを含んでいる。

【0028】

それぞれ１つのセンサ１０６およびそれぞれ１つのアクチュエータ１０８は複数の制御機器のうちのそれぞれ１つと、通信のために、特に各データ接続１０９を介して接続されている。

【0029】

この例では、操作要素は、複数のセンサ１０６のうちの１つと、この例では第１の制御機器１０２と接続されている複数のアクチュエータ１０８のうちの１つとを含んでいる。

【0030】

この例では、駆動部は、複数のセンサ１０６のうちの１つと、この例では第２の制御機器１０４と接続されている複数のアクチュエータ１０８のうちの１つとを含んでいる。

【0031】

装置は、好ましくは冗長的なプライベートデータバス１１０を含んでいる。データバス１１０は、第１の制御機器１０２と第２の制御機器１０４とを、通信のために接続する。

【0032】

データバス１１０は、第１のチャネル１１２を含んでいる。この例では、第１のチャネル１１２は双方向チャネルである。第１のチャネル１１２を一方向とすることもできる。

【0033】

データバス１１０は、第２のチャネル１１４を含んでいる。この例では、第２のチャネル１１４は双方向チャネルである。第２のチャネル１１４を一方向とすることもできる。

【0034】

第１の制御機器１０２は、第１の１次計算設備１１５および第１の２次計算設備１１６を含んでいる。

【0035】

第２の制御機器１０４は、第２の１次計算設備１１７および第２の２次計算設備１１８を含んでいる。

【0036】

第１の１次計算設備１１５は、メッセージ認証コードによって保護された、信号を伝送するメッセージを決定するための第１の設備１１９を含んでいる。

【0037】

第２の１次計算設備１１７は、メッセージ認証コードによって保護された、信号を伝送するメッセージを決定するための第２の設備１２０を含んでいる。

【0038】

第１の１次計算設備１１５は、メッセージ認証コードによって保護された、信号を伝送するメッセージを検証するための第１の設備１２１を含んでいる。

【0039】

第２の１次計算設備１１７は、メッセージ認証コードによって保護された、信号を伝送するメッセージを検証するための第２の設備１２２を含んでいる。

【0040】

１次計算設備は、この例では、第１のチャネル１１２を介した通信を行うように構成されており、ここではメッセージは、メッセージ認証コードによって保護されて伝送される。２次計算設備は、この例では、第２のチャネル１１４を介した通信を行うように構成されており、ここではメッセージは、メッセージ認証コードによる保護を伴わずに伝送される。

【0041】

制御機器は、この例ではさらに、公共データバス１２４を介して通信するように構成されている。

【0042】

この装置は、以降で説明する方法を実施するように構成されている。

【0043】

コンピュータプログラムはコンピュータ可読命令を含んでおり、このコンピュータ可読命令がコンピュータ、たとえば計算設備によって実行された場合に、上述の方法が実施される。

【0044】

この方法は、特に車両１００のステア・バイ・ワイヤステアリングシステムにおける、メッセージの安全な高可用性伝送のために用いられる。

【0045】

この方法は、ステップ２０２を含んでいる。

【0046】

ステップ２０２では、信号を伴うメッセージが、特に、複数のセンサ１０６のうちの少なくとも１つから、または車両１００の複数のアクチュエータ１０８のうちの少なくとも１つから伝送される。

【0047】

第１のチャネル１１２でのメッセージの伝送のための通信は、メッセージ認証コード、特にＭｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅによって保護される。

【0048】

第２のチャネル１１４でのメッセージの伝送のための通信は、メッセージ認証コードによる保護を伴わずに実行される。

【0049】

送信されるべきメッセージのデータパケットは、たとえばメッセージ認証コードによる保護のための鍵によって保護され、このデータパケットが送信され、このデータパケットがこの鍵によって検証される。

【0050】

メッセージを伝送するために、複数のデータパケットを一緒に、この鍵によって保護することが予定されていてよい。

【0051】

プライベートデータバス１１０上で、メッセージ認証コードによって保護される、メッセージの伝送のための少なくとも１つの別のチャネルでの通信が予定されていてよい。

【0052】

この方法は、ステップ２０４を含んでいる。

【0053】

ステップ２０４では、エラー、特に意図的に生じたエラーまたは偶発的に生じたエラーが識別され、このエラーが原因で、第１のチャネル１１２からの信号が利用できないか否かが検査される。

【0054】

エラーが存在しない場合には、ステップ２０６が実行される。そうでない場合には、ステップ２０８が実行される。

【0055】

ステップ２０６では、第１の動作状態において、第１のチャネル１１２からの信号が使用される。これらの信号は、ＭＡＣを使用して、完全性／真正性に関して保護されている。

【0056】

ステップ２０８では、第２の動作状態において、第２のチャネル１１４からの信号が使用される。これらの信号は、ＭＡＣによって付加的に保護されない。

【0057】

プライベートデータバス１１０上で、メッセージの伝送のための少なくとも１つの別のチャネルでの通信がメッセージ認証コードによって保護される場合には、まずは第２のチャネル１１４からの信号の代わりに、これを使用することが予定されていてよい。

【0058】

一実施形態では、第２の動作状態における動作のための期間が制限されているか、または制限される。

【0059】

一実施形態では、エラーが、特に、車両１００の中央制御機器に報告される。

【0060】

中央制御機器によって調整された、このエラーに対する応答が実行されることが予定されていてよい。

【図1】

【図2】

【外国語明細書】