特許 7566912 サーバＥＣＵにおいて時刻同期を確保するための方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-10-04

(45)【発行日】2024-10-15

(54)【発明の名称】サーバＥＣＵにおいて時刻同期を確保するための方法

(51)【国際特許分類】

   H04L 7/00 20060101AFI20241007BHJP

   H04L 41/34 20220101ALI20241007BHJP

【ＦＩ】

H04L7/00 990

H04L41/34

【請求項の数】 7

(21)【出願番号】P 2022537049

(86)(22)【出願日】2020-12-17

(65)【公表番号】

(43)【公表日】2023-02-21

(86)【国際出願番号】 EP2020086854

(87)【国際公開番号】W WO2021123040

(87)【国際公開日】2021-06-24

【審査請求日】2022-06-16

(31)【優先権主張番号】102019220498.8

(32)【優先日】2019-12-20

(33)【優先権主張国・地域又は機関】DE

(73)【特許権者】

【識別番号】508097870

【氏名又は名称】コンチネンタル オートモーティヴ ゲゼルシャフト ミット ベシュレンクテル ハフツング

【氏名又は名称原語表記】Ｃｏｎｔｉｎｅｎｔａｌ Ａｕｔｏｍｏｔｉｖｅ ＧｍｂＨ

【住所又は居所原語表記】Ｖａｈｒｅｎｗａｌｄｅｒ Ｓｔｒａｓｓｅ ９， Ｄ－３０１６５ Ｈａｎｎｏｖｅｒ， Ｇｅｒｍａｎｙ

(74)【代理人】

【識別番号】100114890

【弁理士】

【氏名又は名称】アインゼル・フェリックス＝ラインハルト

(74)【代理人】

【識別番号】100098501

【弁理士】

【氏名又は名称】森田 拓

(74)【代理人】

【識別番号】100116403

【弁理士】

【氏名又は名称】前川 純一

(74)【代理人】

【識別番号】100134315

【弁理士】

【氏名又は名称】永島 秀郎

(74)【代理人】

【識別番号】100162880

【弁理士】

【氏名又は名称】上島 類

(72)【発明者】

【氏名】ヘルゲ ツィナー

【審査官】川口 貴裕

(56)【参考文献】

【文献】特開２０１５－１７９９９９（ＪＰ，Ａ）

【文献】特開２０１８－０３７８８５（ＪＰ，Ａ）

【文献】特表２０１９－５３０３０８（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１７／０２５１５０８（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ７／００

Ｈ０４Ｌ ４１／３４

Ｈ０４Ｊ ３／０６

(57)【特許請求の範囲】

【請求項1】

時刻同期規格に従って時刻同期が行われるサーバＥＣＵ（１００）において時刻同期を確保するための方法（２００）であって、
－ 前記サーバＥＣＵ（１００）のネットワークデバイス（１０２、１０４、１０６、１０８、１１０、１１２）の前記時刻同期を初期化すること（２０２）、
－ 前記初期化（２０２）中に決定されたグランドマスタークロックを提供しない前記サーバＥＣＵ（１００）の前記ネットワークデバイス（１０２、１０４、１０６、１０８、１１０、１１２）のそれぞれにおいて、前記初期化（２０２）中に決定されたグランドマスタークロックの一意クロック識別子を格納すること（２０４）、
－ 前記初期化（２０２）中に決定されたグランドマスタークロックを提供しないネットワークデバイスが、前記サーバＥＣＵ（１００）の前記ネットワークデバイス（１０２、１０４、１０６、１０８、１１０、１１２）から選択されるシャドウコントローラを識別すること、
－ 前記シャドウコントローラが、同期メッセージを送信すること（２１３）、
－ 前記初期化（２０２）中に決定されたグランドマスタークロックを提供しないネットワークデバイスが、前記シャドウコントローラに送信時刻を照会すること（２１５）、
－ 前記グランドマスタークロックを形成する前記シャドウコントローラによってフォローアップメッセージに時刻を挿入し、且つ前記時刻を送信すること、
－ 前記初期化（２０２）中に決定されたグランドマスタークロックを提供しない選択されたネットワークデバイスにより、時刻同期に関連する追加メッセージを送信すること（２０６）
を含み、
時刻同期に関連する前記追加メッセージで送信された時刻情報並びにまたＢＭＣＡによってベストクロックを決定することに関連するクロックパラメータ及びドメイン番号は、前記初期化（２０２）中に決定されたグランドマスタークロックのものと一致するか又はそれらと同等であり、
時刻同期に関連する前記追加メッセージは、それぞれの前記選択されたネットワークデバイスの識別子に対応する一意クロック識別子を含む、
方法（２００）。

【請求項2】

前記初期化（２０２）中に決定された前記グランドマスタークロックを提供しないネットワークデバイスにおいて、
－ 第１のネットワークインターフェースにおいて、時刻同期に関連するメッセージを受信すること（２０８）、
－ 時刻同期に関連する前記メッセージで送信された前記クロック識別子が、前記初期化（２０２）中に決定された前記グランドマスタークロックの前記格納されたクロック識別子と一致するかどうかをチェックし（２１０）、及び一致する場合、ＩＥＥＥ８０２．１ＡＳに従って決定された遅延時間に従い、時刻同期に関連する前記メッセージで受信された前記時刻情報を補正し（２１４ａ）、且つ時刻同期に関連する前記メッセージで受信された前記時刻情報を使用することにより、ローカルクロックを同期すること（２１２）
も含む、請求項１に記載の方法（２００）。

【請求項3】

前記ネットワークデバイスが、更なるネットワークデバイスが接続される２つ以上のインターフェースを有する場合、
－ ＩＥＥＥ８０２．１ＡＳに従って決定された前記遅延時間及び／又はデバイス内部遅延に従い、時刻同期に関連する前記メッセージで受信された前記時刻情報を補正すること（２１４ａ、２１４ｂ）と、
－ １つ又は複数の第２のネットワークインターフェースを介して、時刻同期に関連する、それに応じて補正されたメッセージを送信することと
を追加的に含む、請求項２に記載の方法（２００）。

【請求項4】

－ 前記初期化（２０２）中に決定されたグランドマスタークロックを提供しないネットワークデバイスの第１のネットワークインターフェースにおいて、時刻同期に関連するメッセージを受信すること（２０８）と、
－ 前記シャドウコントローラが、前記初期化（２０２）中に決定された前記グランドマスタークロックの前記クロック識別子を含む、時刻同期に関連するメッセージで送信された時刻情報に対する差分について、時刻同期に関連する追加メッセージで送信された前記時刻情報を監視すること（２２０）と、
－ 前記シャドウコントローラが、差分が検出された前記ネットワークデバイスの前記クロック識別子を含む、時刻同期に関連する追加メッセージをブロックすること（２２２）、又は
－ 前記シャドウコントローラが、転送前の、前記初期化（２０２）中に決定された前記グランドマスタークロックから受信された時刻情報に基づいて、異なる時刻情報を補正すること（２２４）、及び／又は
－ 前記シャドウコントローラが、保護手段を開始及び／又は制御するように構成される、ネットワークの前記初期化（２０２）中に決定されたグランドマスタークロックを提供しないネットワークデバイスにメッセージを送信すること（２２６）と
を追加的に含む、請求項１～３のいずれか一項に記載の方法（２００）。

【請求項5】

前記初期化（２０２）中に決定された前記グランドマスタークロックは、前記時刻情報が実際の時刻と異なる、時刻同期に関連するメッセージを散発的又は周期的に送信し、前記初期化（２０２）中に決定された前記グランドマスタークロックを提供する前記シャドウコントローラは、他のネットワークデバイスによって送信される、時刻同期に関連する追加メッセージを、時刻同期に関連する前記追加メッセージが前記時刻情報の差分を適宜反映するかどうかについて監視し（２２０）、反映しない場合、前記初期化（２０２）中に決定された前記グランドマスタークロックを提供する前記シャドウコントローラは、対応するメッセージを、保護手段を開始及び／又は制御するように構成される、ネットワークの前記初期化（２０２）中に決定されたグランドマスタークロックを提供しないネットワークデバイスに送信する（２２６）、請求項１～４のいずれか一項に記載の方法（２００）。

【請求項6】

命令を含むコンピュータプログラムであって、前記命令は、プログラムがコンピュータによって実行されると、前記コンピュータに、請求項１～４のいずれか一項に記載の方法（２００）を実行させる、コンピュータプログラム。

【請求項7】

請求項６に記載のコンピュータプログラムが格納されるコンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、相互に同期されたネットワークデバイスを有する通信ネットワークに関する。

【背景技術】

【0002】

イーサネット技術は、車両において一層使用されており、旧来又は独自のデータ接続及びデータバスに取って代わりつつある。ＯＳＩ階層モデルのレイヤ３では、イーサネット接続は、送信機と受信機との間におけるデータパケットの伝送のための多数のスイッチングプロトコルをサポートしている。より上位のプロトコルレイヤでは、パケットへのデータストリームの分割、相互に通信するシステム間のプロセス通信、システム非依存の形式へのデータ変換及び最後にアプリケーションのための機能の提供が行われる。

【0003】

車両で使用されるほとんどすべてのイーサネット通信ネットワークは、すべてのネットワークデバイスに同期したグローバルネットワークタイムベースを提供する、時刻同期に関連するプロトコルを使用する。時刻同期ネットワークデバイスの普及は、将来増え続けることが予想される。

【0004】

ＩＥＥＥ８０２．１ＡＳ規格は、このような時刻同期に関連するプロトコルを提供する。グランドマスター又はグランドマスタークロックとも呼ばれるネットワーク内のいわゆる「ベストクロック」から、マスター－スレーブクロック階層が構築される。グランドマスターは、ネットワークのためのタイムベースを提供し、このタイムベースに対して、ネットワーク内の他のすべてのネットワークデバイスが同期される。グランドマスターは、いわゆるベストマスタークロックアルゴリズム（ＢＭＣＡ）によって決定され、ネットワーク内でアナウンスされる。これを行うために、ＩＥＥＥ８０２．１ＡＳ対応ネットワークデバイスは、直接接続されている他のネットワークデバイスに、自らの内部クロックに関する情報を含むＡｎｎｏｕｎｃｅメッセージを送信する。内部クロックに関連する情報は、それぞれのクロックの精度、基準又は時刻基準及びネットワーク内のベストクロックを決定するために使用され得る他の特性の指標となる。このようなＡｎｎｏｕｎｃｅメッセージを受信したネットワークデバイスは、受信された情報を、自らの内部クロックの特徴及び別のポートから既に受信された、他のネットワークデバイスのクロックに関する情報を含むメッセージと比較し、クロックパラメータが優れている場合には別のネットワークデバイスのクロックを受け入れる。程なくしてネットワークにおけるベストクロックが決定され、その後、ベストクロックは、ネットワークにおけるグランドマスターとなる。グランドマスターから始まって、時刻同期に関連するメッセージがネットワーク上にブロードキャストされる。時刻同期に関連するメッセージを受信したネットワークデバイスは、メッセージを単純に転送するのではなく、直接接続されているネットワークデバイスから時刻同期に関連するメッセージを受信する接続において、以前に決定された遅延時間及び内部処理時間に関する時刻情報を補正し、その後、補正された時刻情報と共に時刻同期に関連するメッセージを再送信する。

【0005】

ＩＥＥＥ８０２．１ＡＳ及びそこで定義されたジェネラライズドプレシジョンタイムプロトコル（ｇＰＴＰ）によるクロック階層の場合、ネットワーク内では常に単一のネットワークデバイスのみがベストクロックを提供する。したがって、このネットワークデバイスが車両の全時間を制御及び調整する。ネットワーク内のネットワークデバイスの他のすべてのクロックは、すべてこの１つのクロックのみに支配される。いくつかの車両製造会社は、このイーサネットタイムマスターにより、他の規格（例えば、ＣＡＮ）のネットワークさえも同期させる。すなわち、車両内のほとんどすべてのネットワークデバイスは、グランドマスターを提供するネットワークデバイスによってシステム時刻を通知される。その結果、単一のネットワークデバイスがネットワーク又は車両における単一障害点として規定され、そのデバイスの障害又は操作が車両の動作安全性に対して重大な影響を及ぼし得る。そのため、例えば、適切なシステムによる高度な運転者支援を伴うか、又は（半）自律走行のためのシステムを伴う車両では、車両のアクチュエータのための適切な制御信号を導出するために、狭い時間窓内で取得した大量のセンサデータをまとめて処理しなければならない。文書化の目的のため（例えば、故障又は操作の誤りを再現するために分析され得るログファイルに格納する場合）、可能な限り正確にセンサデータの時間記録を行うことも非常に重要であり得る。後者は、特に保険会社及び法執行機関が大きい関心を寄せている。そのため、時刻情報を安全に同期して提供することが重要である。

【0006】

時刻同期に関連する現在の方法及びプロトコルには、グランドマスターを容易に保護する手法が存在しない。各ネットワークデバイスは、ネットワーク内の複数又はすべてのネットワークデバイスに対して単純なマルチキャストイーサネットフレームとして送信される、時刻同期に関連するメッセージから、ネットワーク内のいずれのネットワークデバイスがグランドマスターであるかを容易に推論し得る。ＩＰＳＥＣ又はＴＬＳなどの上位プロトコル層での保護機構は、このレベルでは依然として有効ではない。時刻同期に関連するメッセージに含まれるグランドマスターのＭＡＣアドレスにより、攻撃者がネットワークデバイスを識別し、とりわけ攻撃を集中させ得る、特に攻撃する価値のある攻撃対象として特定することが容易になっている。

【0007】

ネットワークの時刻同期を使用することにより、通信ネットワークの構成又は構造の変化を検出するためのいくつかの手法が従来技術から知られている。ネットワークの構成に対する不正な変更としては、例えば、攻撃を準備するためにネットワークデバイスを介在させ、このネットワークデバイスがメッセージを解析のために傍受し、必要に応じて、改ざんしたメッセージを再送信することが挙げられる。これは、安全且つ適切な動作を妨げるか又は少なくとも乱すために用いられ得る。

【0008】

独国特許出願公開第１０２０１４２００５５８Ａ１号明細書は、認証されたタイミングによる安全なネットワークアクセス保護を記載している。これは、認証プロトコルを用いてタイミングを確保する手法を記載している。時刻同期メッセージの完全性を検証するために、遅延時間が決定され、且つ／又は追加プロトコルが使用される。しかしながら、アプリケーションは、パラメータが変化しているかどうか、またクロックパラメータの品質が実際に正しいかどうかを検出することができない。

【0009】

独国特許第１０２０１２２１６６８９Ｂ４号明細書は、通信ネットワークを介して接続された２つのネットワークノード間の通信接続を監視することにより、自動車内のイーサネットベースの通信ネットワークを監視するための方法と、それに応じて構成されたネットワークノードとを記載している。この場合、通信ネットワークのネットワークノード間の信号の遅延時間を双方向且つ周期的に測定し、信号の遅延時間の変化を評価するようにされている。更に、このタイプの攻撃を検出するために、この出願は、通信ネットワーク内の時刻同期に関連するメッセージの遅延時間を監視することを提案している。２つのネットワークデバイスの間に接続されたメッセージを傍受して転送する追加のネットワークデバイスは、転送されるメッセージが変更されない場合でもメッセージの遅延時間を必然的に変える。

【0010】

独国特許出願公開第１０２０１７２１９２０９Ａ１号明細書では、時刻同期メッセージが、その妥当性をチェックされる。この文献は、イーサネットメッセージの不正なタイムスタンプを検出するための方法を開示しており、この方法では、自動車の制御ユニットによってタイムスタンプを含むイーサネットメッセージを受信するステップと、タイムスタンプのグローバルタイムと制御ユニットのクロックのローカルタイムとの時間差分を決定するステップと、イーサネットメッセージのタイムスタンプを不正なものとして検出するステップとが実行される。タイムスタンプのグローバルタイムは、タイムスタンプが不正と判定された場合、制御ユニットのクロックのローカルタイムによって置き換えられる。

【0011】

時刻同期プロトコルを用いて、新たな制御デバイスが盗聴器として車両の電気系統に埋め込まれたときを検出する手法も知られている。しかしながら、既知の制御ユニットに対して攻撃／エラーが発生したかどうかを検出することはできない。

【0012】

独国特許出願公開第１０２０１５２０９０４７Ａ１号明細書は、オーディオビデオブリッジング（ＡＶＢ）イーサネット通信ネットワークに接続されたノードにおいて時刻同期を提供するための方法を開示している。この方法は、近隣ノードから静的通知メッセージを受信して静的グランドマスターテーブルを形成するステップと、同期メッセージタイマが切れたときに静的グランドマスターテーブルを参照してグランドマスターを再選択するステップと、グランドマスターの再選択に従って静的グランドマスターテーブルを更新するステップとを含む。この方法は、オーディオビデオブリッジング（ＡＶＢ）イーサネット通信ネットワークにおける同期を迅速にスケジューリングし、ネットワーク負荷を最小化することができる。

【0013】

ベストクロック、いわゆるグランドマスターは、単一障害点である。この１つの制御ユニット若しくはこの１つのコントローラ又は実装形態が攻撃されると、攻撃者は、車両の全時間を操作することができる。これは、例えば、アクションのパフォーマンス、センサデータのフュージョン及びロギングデータの格納に影響し、その結果、システム障害から事故に至るまで壊滅的な影響を与え得る。同期メッセージは、マルチキャストで送信され、したがって多くの、おそらくすべての加入者によって受信され得る。これは、ＩＳＯ２６２６２の自動方法及び安全性要件を考えると、極めて深刻な脅威を意味する。

【0014】

しかしながら、現在、ＩＥＥＥ８０２．１ＡＳ規格に基本的に準拠しつつ、簡素な手段でグランドマスターを攻撃からどのように保護し得るかという問題に取り組んだ既知のアプリケーションはない。

【0015】

イーサネットベースの時刻同期は、第１に時刻マスターが１つのみあり、第２にグランドマスターの正確な位置がネットワーク上のいずれのポイントでも識別され得るため、車両に単一障害点があることを意味する。

【発明の概要】

【発明が解決しようとする課題】

【0016】

したがって、本発明の目的は、車両の電気系統における時刻同期を確保する方法及び方法を実施するネットワークデバイスを規定することである。

【課題を解決するための手段】

【0017】

上記の目的は、請求項１において規定される方法及び請求項５において規定されるネットワークデバイスによって達成される。実施形態及び更なる発展形態は、それぞれの従属請求項において規定される。

【0018】

時刻同期規格に従って時刻同期が行われるサーバＥＣＵにおいて時刻同期を確保するための方法は、サーバＥＣＵのコンポーネントの時刻同期を初期化すること、以前に決定されたグランドマスタークロックを提供しないサーバＥＣＵのコンポーネントのそれぞれにおいて、初期化中に決定されたグランドマスタークロックの一意クロック識別子を格納すること、サーバＥＣＵのコンポーネントから選択されるシャドウコントローラを識別すること、同期メッセージを送信すること、シャドウコントローラに送信時刻を照会すること、グランドマスタークロックを形成するコントローラによってフォローアップメッセージに時刻を挿入し、且つ時刻を再送信すること、以前に決定されたグランドマスタークロックを提供しない選択されたネットワークデバイスにより、時刻同期に関連する追加メッセージを送信すること（２０６）を含み、時刻同期に関連する追加メッセージで送信された時刻情報並びにまたＢＭＣＡによってベストクロックを決定することに関連するクロックパラメータ及びドメイン番号は、以前に決定されたグランドマスタークロックのものと一致するか又はそれらと同等であり、時刻同期に関連する追加メッセージは、それぞれの選択されたネットワークデバイスの識別子に対応する一意クロック識別子を含む。

【0019】

時刻同期の初期化が、攻撃を十分に高い確率で排除できる安全な環境において、例えばセキュアネットワークを含む製品が製造される製造工程の終了時に実行されると特に有利である。とりわけ、例えばあらゆる種類の車両において、初期化後にネットワーク又はその構成が再び変化しない場合、１回限りの初期化で十分であり得る。

【0020】

本発明による方法は、以前に決定されたグランドマスタークロックを提供しない選択されたネットワークデバイスにより、時刻同期に関連する追加メッセージを送信することも含み、時刻同期に関連する追加メッセージで送信された時刻情報並びにまたＢＭＣＡによってベストクロックを決定することに関連するクロックパラメータ及びドメイン番号は、以前に決定されたグランドマスタークロックのものと一致するか又はそれらと同等である。しかし、時刻同期に関連する追加メッセージは、それぞれの選択されたネットワークデバイスの識別子に対応する一意クロック識別子を含む。ＢＭＣＡの実行に関連するクロックパラメータは、特に、ＩＥＥＥ８０２．１ＡＳ規格による変数ｐｒｉｏｒｉｔｙ１、ｐｒｉｏｒｉｔｙ２、ｃｌｏｃｋＣｌａｓｓ、ｃｌｏｃｋＡｃｃｕｒａｃｙ、ｏｆｆｓｅｔＳｃａｌｅｄＬｏｇＶａｒｉａｎｃｅ及びｔｉｍｅＳｏｕｒｃｅの値を含む。したがって、ネットワークトラフィックを盗聴する者には、選択されたネットワークデバイスによって送信される、時刻同期に関連する追加メッセージのそれぞれが、初期化中に決定されたグランドマスタークロックからの時刻同期に関連するメッセージと同様に、グランドマスタークロックから到来するメッセージに見え、すなわち観測者には複数のグランドマスタークロックがネットワークに存在するように見える。

【0021】

好ましくは、選択されたネットワークデバイスは、初期化中に決定されたグランドマスタークロックの周期に対応する周期において、時刻同期に関連する追加メッセージを送信する。したがって、選択されたネットワークデバイスのそれぞれは、あたかもネットワーク内で唯一のクロック且つベストクロックであるかのように挙動する一種の擬似グランドマスタークロックである。時刻同期に関連する追加メッセージは、同じドメイン番号で送信されるため、時刻同期ツリーは、時刻同期に関連するメッセージのネットワーク内での発信の点で異なるという事実にも関わらず、外部の観測者は、擬似グランドマスタークロックを、初期化中に決定されたグランドマスタークロックと区別することができない。

【0022】

選択されたネットワークデバイスは、初期化中に決定されたグランドマスタークロックの一意クロック識別子がすべてのネットワークデバイスに送信されると同時に、時刻同期に関連する追加メッセージの送信を開始することができる。しかしながら、ネットワーク内のすべてのネットワークデバイスの時刻同期が初めて完了した時点でのみ、時刻同期に関連する追加メッセージの送信を開始することも可能である。

【0023】

時刻同期に関連する追加メッセージのそれぞれが、初期化中に決定されたグランドマスタークロックによって送信される、時刻同期に関連するメッセージと同様に、すべてのネットワークデバイスによって規格に準拠して転送される。すなわち、時刻情報が受信リンクの遅延時間及び内部処理時間について補正された後、時刻同期に関連するメッセージは、直接接続された他のネットワークデバイスに送信される。

【0024】

ネットワークデバイスは、物理インターフェースによって互いに接続される。時刻同期に関連するメッセージは、インターフェースに定義された論理ポートを介して送信され、すなわち物理伝送媒体が共有される場合でも、２つのネットワークデバイス間で時刻同期のためのポイントツーポイント接続が存在する。本明細書では、「インターフェース」という用語は、文脈上他の意味であることが明らかでない限り、「ポート」という用語と同義で使用される。

【0025】

本発明による方法は、初期化が完了した後にのみネットワークトラフィックを盗聴し始めた観察者にとって、初期化中に決定されたグランドマスタークロックの識別をかなり困難にするか又は更に不可能にする。

【0026】

グランドマスタークロックに加えて、時刻同期に関連する独自のメッセージを送信し、それによりグランドマスタークロックのふりをするネットワークデバイスの選択は、ネットワークデバイスがネットワーク又はネットワークを含むシステムの動作に不可欠であり、したがって起こり得る攻撃のためのおとりとして使用すべきではないかどうかを判定するためのチェックを含むことができる。例えば、不可欠なネットワークデバイスは、例えば、スイッチ、ブリッジなど、複数のネットワークセグメントを互いに接続するネットワークデバイス又は例えば自動運転若しくは自律走行又は他の安全に関連する機能のためのドメインコンピュータなど、他のネットワークデバイスには引き受けられない機能が実装されるネットワークデバイスである。好ましくは、このようなネットワークデバイスは、選択されない。選択は、ネットワーク内の別のネットワークデバイスによっても実行され得、したがって必要に応じて（例えば、ネットワークデバイスへの攻撃が検出された場合に）これらの他のネットワークデバイスの１つに移転され得る汎用機能又はソフトウェアを実行するようにネットワークデバイスが構成されているかどうかをチェックすることも含み得る。好ましくは、このようなネットワークデバイスは、ネットワークのエッジに位置し、及び／又は安全性に関連しない機能を提供し、且つネットワークの残りの部分から分離されても、攻撃が検出された場合に大きい誤動作を引き起こさないネットワークデバイスと同様に、時刻同期に関連する独自のメッセージを送信するように選択され得る。他のネットワークデバイスが数台のみ接続されているネットワークデバイス、例えばポートが１つのみあり、そのため、近隣のネットワークデバイスが１つのみあり、したがってより容易に分離され得るネットワークデバイスも同様である。好ましくは、時刻同期に関連する独自のメッセージを送信するネットワークデバイスの選択は、特に強力な安全機構を備え、したがってより良好に攻撃に耐えることができるネットワークデバイスも含み得る。単純なケースでは、時刻同期に関連する独自のメッセージを送信するネットワークデバイスの選択は、ネットワークデバイスが製造されたとき又はネットワーク内で動作するように構成されたときに設定されたフラグを読み取ることを含み得る。ネットワークデバイスが、時刻同期に関連する追加メッセージを送信するように構成され得るかどうかを判定するための他の特徴は、適切な機能クエリによって判定され得る。

【0027】

初期化中に決定されたグランドマスタークロックを提供しないネットワークデバイスでは、本発明による方法はまた、第１のネットワークインターフェースにおいて時刻同期に関連するメッセージを受信することと、時刻同期に関連するメッセージで送信されたクロック識別子が、初期化中に決定されたグランドマスタークロックの格納されたクロック識別子と一致するかどうかを判定することのチェックとを含む。クロック識別子が一致した場合、時刻同期に関連するメッセージで受信された時刻情報を使用して、ローカルクロックが同期される。

【0028】

本発明による方法の更なる発展形態は、初期化中に決定されたグランドマスタークロックのクロック識別子を含む、時刻同期に関連するメッセージで送信された時刻情報に対する差分について、時刻同期に関連する追加メッセージで送信された時刻情報を監視することを含む。ネットワークデバイスが、初期化中に決定されたグランドマスタークロックと同期される限り、比較が基づく時刻情報は、ネットワークデバイスのクロックによっても提供され得る。時刻情報の差分が検出された場合、差分が検出されたクロック識別子を含む、時刻同期に関連する追加メッセージがブロックされ得、すなわちネットワークに転送されない。差分がネットワークデバイスへの攻撃の結果であった場合、時刻同期に関連するメッセージは、受手によって確認されないため、１つのポイントのみでネットワークを監視している攻撃者は、ブロックを認識しない。代替的に、時刻同期に関連する受信された追加メッセージで送信された異なる時刻情報は、初期化中に決定されたグランドマスタークロックから受信された時刻情報に基づいて補正及び転送され得る。時刻補正の根拠は、初期化中に決定されたグランドマスタークロックに同期されたローカルクロックでもあり得る。代替的又は追加的に、対応するメッセージは、適切な保護手段を開始及び／又は制御するように構成される、ネットワークの以前に定義されたネットワークデバイスに送信され得る。適切な保護手段としては、例えば、異なる時刻情報を送信しているネットワークデバイス又はそのネットワークデバイスからの個々のストリーム若しくはメッセージをネットワークの他の部分から分離すること或いは対象とするネットワークデバイスを再起動することが挙げられる。

【0029】

本発明による方法の一実施形態は、初期化中に決定されたグランドマスタークロックによる、時刻情報が実際の時刻と異なる、時刻同期に関連するメッセージの散発的又は周期的な送信と、追加メッセージが異なる時刻情報を適宜反映するかどうかに関する、他のネットワークデバイスによって送信される、時刻同期に関連する追加メッセージの監視とを含む。反映しない場合、すなわち同期中の避けられない許容誤差が無視され得る場合、誤動作又は攻撃があり得、初期化中に決定されたグランドマスタークロックを提供するネットワークデバイスは、例えば、異なる時刻情報の変化を反映しないネットワークデバイスをネットワークの残りの部分から分離するために、対応するメッセージを、適切な保護手段を開始及び／又は制御するように構成される、ネットワークの以前に定義されたネットワークデバイスに送信することができる。他のネットワークデバイスによって送信される、時刻同期に関連する追加メッセージが、変更された時刻情報を反映する場合、すべての擬似グランドマスタークロックが規則に従って挙動していると想定され得る。

【0030】

本発明によるコンピュータプログラム製品は、コンピュータによって実行されると、前記コンピュータに、上述した方法の１つ又は複数の実施形態及び更なる発展形態を実行させる命令を含む。

【0031】

タイムマスター機能を実装したコントローラは、特定の割り込みに対応する必要があり、そのためのリソースを確保する必要もある。しかしながら、本発明の開示の結果として、ほとんどすべてのコントローラを使用することができ、その結果、システムのコスト及びリソースが削減される。

【0032】

本方法によって提供される効果、すなわち時刻同期に対する不正な攻撃、通信の歪み及びデバイスの交換に対する保護は、他の方法で且つ更に高い安全レベルでも（例えば、ハードウェア暗号化（又は認証）を使用することによって）達成され得る。本方法により、保護機構をより安価に設けることができ（ＩＳＯ２６２６２の要件を満たすのに有用）、システムコストも削減される。本方法は、後にＯＴＡを介してインポートすることも可能である。

【0033】

対照的に、車両では、ネットワークに接続されたすべての加入者が、シームレスに暗号化された通信を行うのに十分なハードウェア機器を購入することは、一般に経済的ではない。説明される本方法は、必要とされるハードウェアリソースが大幅に少なく（既存の実装を使用して実行可能であり）、その結果、ネットワーク又はネットワークに接続されたデバイスの製造コストの上昇に必ずしも結び付くことなく、安全性レベルを大幅に向上させる。

【0034】

本方法は、特に、ネットワーク内の加入者の既存のソフトウェア又はファームウェアの更新又はアップグレードとして配信され得るソフトウェアの形態で実施され得、この点で独立した製品である。

【0035】

ソフトウェアベースのアプリケーション（例えば、自動運転）の実行の品質は、有利には、本発明により、特に追加の金銭的支出なしに向上させることができる。新たに導入されたイーサネットプロトコルを自動車で使用する場合、高価な実装及び他の追加のハードウェアなしで済ますことができるように、簡素な技方及び技術の所与の特性を利用する機構が必要とされる。本発明によるネットワークシステムは、コスト及び信頼性の点で改善される。

【0036】

有利には、車両ネットワークの安全性は、本発明により、特に追加の金銭的支出なしに著しく且つ極めて単純に向上され得る。新たに導入されたイーサネットプロトコルを自動車で使用する場合、高価な実装及び他の追加のハードウェアなしで済ますことができるように、簡素な技方及び技術の所与の特性を利用する機構が必要とされる。通信経路の早期解析による攻撃及び異常挙動の早期検出により、車両が納車される前にギャップ及びエラーを識別することができる。本発明によるネットワークシステムは、コスト及び信頼性の点で改善される。本発明によってシステムのテスト容易性がより明確に規定され、これによりテストコストを節約することができる。加えて、本発明は、トランスペアレントな安全性機能を提供する。

【0037】

現在、アプリケーションは、ほとんどの場合、１つのみの車種又はモデルに実装、調整及び適応される。提示される本方法により、ソフトウェアをより柔軟に設計し、あらかじめソフトウェアに恒久的にプログラムすることなく、基盤となるシステムから付加価値のあるサービスをもたらすことができる。現在、実際には最悪のケースを想定しなければならず、これには、リソース（費用）がかかり、品質も落ちる。本発明により、ソフトウェア開発者及びソフトウェアアーキテクトは、より柔軟且つ正確にアプリケーションの要件に合わせることができるソフトウェア／アプリケーションを提供することができる。上述の方法をソフトウェアに組み込むことにより、制御ユニット内で最適化を行うことができる。すなわち、ソフトウェアは、プラットフォーム及び車種に一層依存しないように設計され得る。

【0038】

新しい技術は、もはや自動車のみにとどまり得ない。ＩＰ、ＡＶＢ及びＴＳＮなどのプロトコルには、何千ページもの仕様及びテストスイートがある。これらの新しいプロトコルが自動車で制御可能であることは、現在ところ既知の事実ではない。

【0039】

新しい方法は、既存のデバイスを損なうことなく、既存のネットワークに組み込むことができる。既存のプロトコルを使用できるため、規格に反することはない。

【0040】

本方法の使用は、クロック同期コンポーネント及び埋め込みシステムを備えた他の通信システムでも可能である。

【0041】

コンピュータプログラム製品は、コンピュータ可読媒体又はデータキャリアに格納され得る。データキャリアは、例えば、ハードディスク、ＣＤ、ＤＶＤ又はフラッシュメモリなどとして物理的な実施形態であり得るが、データキャリア又は媒体は、適切な受信機によりコンピュータによって受信することができ、且つコンピュータのメモリに格納することができる変調された電気信号、電磁信号又は光信号も含み得る。

【0042】

本発明によるネットワークデバイスは、少なくとも、マイクロプロセッサと、不揮発性メモリ及び揮発性メモリと、タイマとに加えて、少なくとも１つの物理通信インターフェースを含む。ネットワークデバイスのコンポーネントは、１つ又は複数のデータライン又はデータバスによって互いに通信可能に接続される。ネットワークデバイスのメモリは、マイクロプロセッサによって実行された場合、上述の方法の１つ又は複数の実施形態を実施するようにネットワークデバイスを構成するコンピュータプログラム命令を含む。

【0043】

本発明は、従来容易に見つけることができたグランドマスターの痕跡を、複数の偽の痕跡によって偽装又は隠蔽し、攻撃者がネットワーク内のグランドマスターの位置を定めることをより困難にして、グランドマスターを保護する。これにより、攻撃者は、もはやまったく攻撃ができなくなるか、又は少なくともかなりの時間を必要とすることになる。グランドマスターに同時に直ちに影響を与えない攻撃を検知することができ、必要な精度でシステムを同期させたままで適切な防御手段を取ることができる。

【0044】

本発明による方法は、既存のネットワークデバイスを用いて実行させることができ、必要に応じて、初期化中に決定されたグランドマスタークロックから到来する時刻同期に関連するメッセージのみを使用してクロックを同期させるが、単に削除せず時刻同期に関連する追加メッセージを転送するために、時刻同期に関連するメッセージを受信及び処理するために使用されるソフトウェア又はステートマシンの調整のみが必要とされる。その結果、本方法を実行するための追加コストは、あったとしてもわずかである。既存のシステムも、適切に修正されたソフトウェアを使用することにより、本方法を実行するように構成され得る。本発明による方法の別の利点は、ＩＥＥＥ８０２．１ＡＳ規格に従った同期をサポートする限り、特定の基礎となるハードウェアプラットフォームが関係しないことである。

【0045】

以下では、例を通して図面を参照しながら本発明を説明する。

【図面の簡単な説明】

【0046】

【図1】時刻同期規格に従って同期されたネットワークの例示的なブロック図を示す。

【図2】攻撃中の図１のネットワークのブロック図を示す。

【図3】時刻同期規格に従って同期され、本発明による方法を実施するネットワークの例示的なブロック図を示す。

【図4】攻撃中の図３のネットワークの第１のブロック図表現を示す。

【図5】攻撃中の図３のネットワークの第２のブロック図表現を示す。

【図6】本発明による方法の一態様の概略フローチャートを示す。

【図7a】本方法を実施するネットワークデバイスの概略ブロック図を示す。

【図7b】コンポーネントを個別に示し、一般的な解決策としての時刻情報の形成を示す、本方法を実施するネットワークデバイスの概略ブロック図を示す。

【図8】同期メッセージに含まれるグランドマスターのアドレスを示す。

【発明を実施するための形態】

【0047】

図において、同一又は類似の要素は、同じ参照符号によって参照され得る。

【0048】

図１は、第１のグランドマスタークロックに時刻同期された複数のネットワークデバイス１０２、１０４、１０６と、スイッチ１０８、１１０及び１１２とを有する、時刻同期規格に従って同期されたサーバＥＣＵ１００の例示的なブロック図を示す。この場合、コントローラ１０２及びスイッチ１０８、コントローラ１０２及びスイッチ１０４、コントローラ１０４及びスイッチ１１０、コントローラ１０４及びスイッチ１０６並びにコントローラ１０６及びスイッチ１１２は、それぞれ双方向通信接続によって互いに接続される。アクセスは、イーサネット又はＭＤＩＯ若しくはＳＰＩなどの別のバスのいずれかを介する。コントローラ１０２、１０４及び１０６は、双方向通信接続により、図示されていない他のネットワークデバイスにも接続される。サーバＥＣＵの各コンポーネント１０２～１１２は、時刻同期規格に従って同期され得るタイマを有する。規格で取り決められている手法を実行した後、コントローラ１０２がシステム全体のグランドマスタークロックとして決定され、すなわち時刻同期に関連するメッセージがコントローラ１０２からネットワークに送信される。この場合、コントローラ１０２は、コントローラ１０２に接続されたコントローラ１０６及び図示されていない別のネットワークデバイスに対して、時刻同期に関連するメッセージを送信する。時刻同期に関連するメッセージが送信される方向は、通信接続の隣に示されている白抜きの矢印でそれぞれ示されている。スイッチ１０８は、コントローラ１０８から受信された時刻情報を、コントローラ１０２との通信接続について以前に決定された遅延時間並びに補正及び転送のためにスイッチ１０８で必要とされる時間について補正し、時刻同期に関連する、それに応じて修正されたメッセージを、図示されていない別のネットワークデバイスに再送信する。補正された時刻情報に加えて、時刻同期に関連するメッセージは、システムのグランドマスタークロック（この場合にはコントローラ１０２）に関する情報も含む。コントローラ１０４は、これに応じて次の段階に進み、適用可能な遅延時間に関して補正されて、ある時刻同期に関連するメッセージをスイッチ１１０及び１０２並びに図示されていない別のネットワークデバイスにもう一度送信する。これに応じて、再度、ネットワークデバイス１０２は、補正された時刻情報をスイッチ１０８に送信する。転送前の時刻情報のそれぞれの補正により、ネットワークデバイスのすべてのタイマは、それぞれの転送前の時刻情報の補正における個々の差分に起因する残存する誤差を除いて、グランドマスタークロックの時刻と同期される。グランドマスタークロックは、時刻同期に関連するメッセージをネットワークに周期的に送信し、これらのメッセージは、その後、上述のように再配信される。

【0049】

図１に示すＸは、ネットワークトラフィックを盗聴することにより、いずれのネットワークデバイスがグランドマスタークロックを提供しているかを調べようとする攻撃者を表している。盗聴は、ドクロマークが描かれた三角形から出る矢印によって示されている。時刻同期に関連する各メッセージは、クロック識別子と、また送信側及び受信側のそれぞれのＭＡＣアドレスとを含むため、ネットワークデバイス１０２をネットワークのグランドマスタークロックとして識別し、これを攻撃の標的として選択することは、攻撃者にとって容易である。盗聴を示す矢印は、あくまで例として理解されることを意図されており、盗聴及び攻撃は、ネットワーク上のいずれのポイントでも行われ得る。

【0050】

本方法では、本発明の開示は、図１のグランドマスター１０２を攻撃者から隠すこと又はグランドマスター１０２を攻撃者から見えなくすることを提案する。本発明の開示は、タイムスタンプが、予約されたタイムスタンプではなく、且つロバスト（これが重要である）であるか、又はタイムスタンプが同じノードから発信され、送信者アドレスが使用されるコントローラ若しくはコントローラソフトウェアによって生成されないことを提案する。

【0051】

図１は、上記の課題の１つの解決法を示す。複数のコントローラ１０２、１０４、１０６と複数のイーサネットスイッチ１０８、１１０、１１２とが組み込まれたサーバＥＣＵ１００が例示されている。例えば、ＰＴＰ、ｇＰＴＰ又は８０２．１ＡＳなどの個別の時刻同期ソフトウェアは、これらのコントローラのそれぞれにおいて稼働する。これらのコントローラの１つが「グランドマスター１０２」である。前記グランドマスターは、自らの送信者アドレスを含む時刻同期メッセージＡを送信するが、実際のタイムスタンプ又は基準時刻をスイッチモジュール１０８から取得する。センサや他の制御デバイスにネットワークを介して外部に送信される時刻同期メッセージＤは、コントローラ１０２からのＩＤ（ＭＡＣアドレス又はＩＰアドレス）を常に含むが、（保護される必要がある）スイッチからタイムスタンプを取得する。

【0052】

時刻同期メッセージＤは、マルチキャストで送信されるため、部外者又は操作されたＥＣＵ／ＳＷ１０２、１０４、１０６によってかなり容易に受信及び解釈され得る。図８に示すように、グランドマスターのアドレスは、メッセージ内にある。

【0053】

ここで、このコントローラ１０２が攻撃された場合、攻撃者Ｘが知らない実際のベストクロック１０２は、攻撃されない。ここで、コントローラ１０２、１０４、１０６又は実行中の時刻同期ソフトウェアは、比較的容易に変えることができ、同じ基盤、すなわち同じスイッチ１０８、１１０、１１２を用いてシームレスに同期を継続することができる。したがって、時間が飛ぶことはない。制御ユニットは、多くのユニットから構成されているため、制御ユニット全体自体をネットワークレベルで直接攻撃することはできない。

【0054】

方法２００は、常にアクティブであり得るか、又は特定のユースケースによってトリガされていてもよい。このための動機は、オンラインアクセスがある場合又は継続的な攻撃の疑いがある場合、より高い自動化レベルや安全レベルへの変更であり得る。

【0055】

ここで、実際の時刻を取得することになるコントローラが決定される。これは、スイッチ１０８、１１０、１１２又は別のコントローラ１０２、１０４、１０６であり得、理想的には直接接続できるようになっている。アクセスは、イーサネット又はＭＤＩＯ若しくはＳＰＩなどの別のバスのいずれかを介する。

【0056】

ここで、コントローラ１０２の時刻同期ソフトウェアが開始される。このため、タイムスタンプが取得されたスイッチであるシャドウコントローラ１０８に同期メッセージがｓｙｎｃメッセージの形態で送信される。「シャドウコントローラ」スイッチ１０８によるこのメッセージＤの送信により、出力において、例えばレジスタにハードウェアタイムスタンプが書き込まれ、メッセージは、修正されずに送信される。この場合、スイッチ１０８ではなく、コントローラ１０２の送信者アドレスが使用される。

【0057】

次いで、コントローラ１０２は、このシャドウコントローラ１０８にそれぞれのポートのこのレジスタをハードウェアライン又はイーサネット若しくはＳＰＩによって照会し、新たに生成されたフォローアップメッセージに挿入するために、この時刻を取る。次いで、前記メッセージは、（ポート毎に）シャドウコントローラ１０８に送信され、変更されずに送信される。

【0058】

ここで、実際のコントローラ１０２がソフトウェアでメッセージを生成しており、フレームを構築したとしても、前記コントローラから発信されたものではない。車両の電気系統の同期は、一定の精度で行われ得る。

【0059】

図２は、別のポイントにおける攻撃中の図１のサーバＥＣＵ１００のブロック図を示す。コントローラ１０６をグランドマスタークロックとして識別した後、攻撃者は、タイマ自体又はコントローラ１０６によって送信される、時刻同期に関連するメッセージを操作することを試みることがある。同期により、コントローラを表すボックスの網掛けで示されるように、すべてのネットワークデバイスに操作された時刻情報が取り込まれ、しばらくするとサーバＥＣＵのすべてのコントローラが不正な時刻に同期される。このような攻撃が発生した場合、別のスイッチが時刻情報に使用されるために提供される。

【0060】

図３は、ＩＥＥＥ８０２．１ＡＳ規格に従って同期され、本発明による方法を実施するネットワーク１００の例示的なブロック図を示す。サーバＥＣＵのコントローラ及びスイッチは、図１及び図２のコントローラ及びスイッチに対応当し、図１と同様に、ネットワークデバイス１１２がグランドマスタークロックとして規定されている。スイッチ１１２は、時刻同期に関連する適用可能なメッセージをネットワークに送信し、前記メッセージは、白抜きの矢印で示されるように、規格に準拠して時刻情報が補正された後、他のネットワークデバイスによって転送される。しかしながら、本発明によれば、ネットワークデバイスは、時刻同期が初期化された後、時刻同期に関連する追加メッセージをネットワークに送信するように構成される。コントローラ１０２及びスイッチ１１０並びに図示されていない別のネットワークデバイスは、それぞれグランドマスタークロックのクロックパラメータ及び時刻情報と同等又は対応するクロックパラメータ及び時刻情報を含む時刻同期に関連する追加メッセージを送信するが、独自の一意クロック識別子と共に送信する。時刻同期に関連するメッセージを表す、追加のグランドマスタークロックから出る矢印は、それに応じて異なって網掛けされている。攻撃者には、異なるコントローラ又はスイッチによって送信されるが、それぞれがグランドマスタークロックから発信され、同じ同期時刻情報を含むように見える、時刻同期に関連する複数のメッセージが見える。これにより、いずれのネットワークデバイス又はいずれのコントローラが実際にグランドマスタークロックを提供しているのかを攻撃者が見出すのは、かなり難しくなる。時刻同期に関連する追加メッセージを送信するコントローラの選択では、コントローラができるだけ分離しやすいもの又は特に攻撃をかわしやすいものであることが考慮される。

【0061】

図４は、攻撃中の図３のサーバＥＣＵ１００の第１のブロック図表現を示す。クロック記号、ネットワークデバイスを表すボックス及び時刻同期に関連するメッセージを表し、ネットワークデバイスから出る矢印の太い斜線の網掛けによって示されるように、攻撃者は、スイッチ１０８を標的とし、このネットワークデバイスの時刻同期に関連するメッセージに含まれる時刻情報を変えている。コントローラ１０２は、スイッチ１１２によって供給される時刻に依然として同期しており、ネットワークデバイス１０８から到来する時刻同期に関連するメッセージが不正確な時刻情報を含むことを検出する。したがって、スイッチは、「シャドウコントローラ」である。例として、ここで、シャドウコントローラは、スイッチ１０８から到来する時刻同期に関連するメッセージに含まれる時刻情報を、「本物」のグランドマスタークロックに同期されている自らの時刻に基づいて補正し、これをネットワークに送信することができる。これは、矢印のより細い斜線の網掛けによって示されている。しかしながら、図５に示すように、ネットワークデバイス１０２は、スイッチ１０８から到来する時刻同期に関連するメッセージを無視し、これをネットワークに再送信しなくてもよい。

【0062】

図６は、本発明による方法２００の一態様の概略フローチャートを示す。ステップ２０２において、時刻同期が基本的に既知の方法、例えばベストマスタークロックアルゴリズムの実行により初期化され、続いてステップ２０４において、初期化中に決定されたグランドマスタークロックの一意クロック識別子が格納される。ステップ２０３において、シャドウコントローラが識別される。ステップ２０４は、サーバＥＣＵの各コントローラにおいて実行され得る。ステップ２０６において、本発明によれば、以前に決定されたグランドマスタークロックを提供しないサーバＥＣＵの選択されたコンポーネントは、時刻同期に関連する追加メッセージを送信する。

【0063】

この時点において、本方法は、様々な方法で続行され得る。通常、初期化中に決定されたグランドマスタークロックからの時刻同期に関連するメッセージと、ステップ２０６で選択されたコンポーネントによって送信される時刻同期に関連する追加メッセージとは、ステップ２０８においてほとんどすべてのコンポーネントによって受信される。論理的に、自らが時刻同期に関連するメッセージを送信するコントローラ及びスイッチは、時刻同期に関連する自らのメッセージを受信しない。ステップ２１０において、各ネットワークデバイスは、時刻同期に関連する受信されたメッセージが、スイッチ１０８と記される、初期化中に決定されたグランドマスタークロックから発信されているかどうかをチェックする。到来しており、ステップ２１０において、時刻同期に関連するメッセージが、初期化中に決定されたグランドマスタークロックから発信されている場合、コントローラは、ステップ２１４で受信接続の遅延を事前に補正した後、ステップ２１２で自らのタイマを同期させる。ステップ２１３において、同期メッセージが送信される。ステップ２１５において、送信時刻がシャドウコントローラ（スイッチ）に照会され、ステップ２１６において、時刻がフォローアップメッセージに挿入され、シャドウコントローラ又はスイッチ１０２が再送信する。

【0064】

更なるコンポーネントがコントローラに直接接続されている場合、コントローラは、ステップ２１４で内部遅延時間を補正した可能性のある時刻情報を含む時刻同期に関連するメッセージを、図８による設定内容のために、ステップ２１６において、近隣のネットワークデバイスに送信する。

【0065】

加えて、ステップ２２０において差分を監視することも可能であり、ステップ２２２において再送信をブロックすることも可能である。次いで、ステップ２２４において時刻情報を補正することができ、ステップ２２６においてメッセージＤを他のネットワークデバイスに送信することができる。

【0066】

時刻同期に関連するメッセージが、初期化中に決定されたグランドマスタークロックから発信されていない場合、コントローラは、ステップ２１４において、受信された時刻情報を受信接続時の遅延及び既知の内部遅延について補正し、ステップ２１６において、補正された時刻情報を含む、時刻同期に関連するメッセージを近隣のコンポーネントに送信する。

【0067】

加えて、ステップ２２０において、時刻同期に関連する追加メッセージで受信された時刻情報が、初期化中に決定されたグランドマスタークロックのクロック識別子を含む、時刻同期に関連するメッセージで送信された時刻情報と異なるかどうかをチェックすることが可能である。異なっていない場合、これ以上何も行う必要はない。しかしながら、同期中の避けられない許容誤差によって説明できない差分が検出された場合、ステップ２２２において時刻同期に関連する追加メッセージの転送がブロックされ得る。代替的に、シャドウコントローラに対して、初期化中に決定されたグランドマスタークロックに同期された内部クロックの時刻情報に基づいて、ステップ２２４において異なる差分時刻を補正した後、遅延時間及び遅延を補正した後に再送信することも可能である。代替的又は追加的に、ステップ２２６において、メッセージは、保護手段を開始及び／又は制御するように構成される、ネットワークの以前に定義されたスイッチ又はコントローラに送信され得る。

【0068】

図７は、本発明による方法を実行するように構成されたネットワークデバイス４００の例示的なブロック図を示す。マイクロプロセッサ４０２に加えて、ネットワークデバイス４００は、揮発性メモリ及び不揮発性メモリ４０４、４０６と、２つの通信インターフェース４０８と、同期可能なタイマ４１０とを含む。ネットワークデバイスの要素は、１つ又は複数のデータ接続又はデータバス４１２によって相互に通信可能に接続される。不揮発性メモリ４０６は、マイクロプロセッサ４０２によって実行されると、本発明による方法の少なくとも１つの実施形態を実施するプログラム命令を含む。

【0069】

図８は、同期メッセージによってグランドマスターのアドレスがどのように形成され、そこにどのような情報が含まれるかを示す。加えて、攻撃された場合、シャドウコントローラ（１０８、１１０、１１２）を識別することにより、他のコントローラ（１０２、１０４、１０６）に通信を伝えることができる。これにより、グランドマスターが攻撃を受けているかどうかを検出することができる。攻撃を受けている場合、コントローラは、シャドウコントローラを保持したままで変更される。攻撃にも関わらず、ネットワーク及びセンサには何らの制約もなく、時間の飛びも発生しない。

【符号の説明】

【0070】

１００ 車両ネットワーク
１０２ ＳＯＣ、μＰ又はμＣ
１０４ ＳＯＣ、μＰ又はμＣ
１０６ ＳＯＣ、μＰ又はμＣ
１０８ スイッチ
１１０ スイッチ
１１２ スイッチ
２００ 方法
２０２ 初期化する
２０３ シャドウコントローラを識別する
２０４ 格納する
２０６ 送信する
２０８ 受信する
２１０ クロック識別子をチェックする
２１２ 時刻同期を開始する
２１３ 同期メッセージを送信する
２１４ 時刻を補正する
２１５ シャドウコントローラ（スイッチ）に送信時刻を照会する
２１６ フォローアップメッセージに時刻を挿入し、且つ再送信する
２２０ 差分を監視する
２２２ 再送信をブロックする
２２４ 時刻情報を補正する
２２６ メッセージを送信する
４００ ネットワークデバイス
４０２ マイクロプロセッサ
４０４ ＲＡＭ
４０６ ＲＯＭ
４０８ 通信インターフェース
４１０ タイマ／クロック
４１２ バス
５００ イーサネットヘッダ
５１０ ＰＴＰメッセージ
５１１ グランドマスターのアドレス
５１２ タイムスタンプ
５２０ ＦＣＳ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7a】

【図7b】

【図8】