特表 2023-542477 実際に受信するタイムスタンプの正確さの判断

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2023-10-10

(54)【発明の名称】実際に受信するタイムスタンプの正確さの判断

(51)【国際特許分類】

   H04L 7/00 20060101AFI20231002BHJP

【ＦＩ】

H04L7/00 990

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2023512723

(86)(22)【出願日】2021-08-26

(85)【翻訳文提出日】2023-02-21

(86)【国際出願番号】 EP2021073566

(87)【国際公開番号】W WO2022063514

(87)【国際公開日】2022-03-31

(31)【優先権主張番号】20197698.2

(32)【優先日】2020-09-23

(33)【優先権主張国・地域又は機関】EP

(81)【指定国・地域】

(71)【出願人】

【識別番号】398037767

【氏名又は名称】バイエリシエ・モトーレンウエルケ・アクチエンゲゼルシヤフト

(74)【代理人】

【識別番号】100069556

【弁理士】

【氏名又は名称】江崎 光史

(74)【代理人】

【識別番号】100111486

【弁理士】

【氏名又は名称】鍛冶澤 實

(74)【代理人】

【識別番号】100191835

【弁理士】

【氏名又は名称】中村 真介

(74)【代理人】

【識別番号】100221981

【弁理士】

【氏名又は名称】石田 大成

(74)【代理人】

【識別番号】100208258

【弁理士】

【氏名又は名称】鈴木 友子

(72)【発明者】

【氏名】ビルラ・マンジート・シン

(72)【発明者】

【氏名】アブデルハミード・モハメド－サード

(72)【発明者】

【氏名】ブドヴァイザー・カール

【テーマコード（参考）】

5K047

【Ｆターム（参考）】

5K047AA18

5K047KK12

(57)【要約】

【課題】バリデーターを使って、通信ネットワークの第１ＥＣＵによって提供される実際受信タイムスタンプの正確さを判断する方法を提供する。
【解決手段】バリデーターを使って、通信ネットワークの第１ＥＣＵによって提供される実際受信タイムスタンプの正確さを判断する方法を提供する。通信ネットワークは、マスタークロックと、第１スレーブクロックを持つ第１ＥＣＵ、第２スレーブクロックを持つバリデーター、及び第１ＥＣＵ、バリデーター及びマスタークロックを相互に接続する第１通信バスを備える。第１ＥＣＵは、判断スキームを持つ第１通信規格を使う。バリデーターを使って通信ネットワークの第１ＥＣＵによって提供される実際受信タイムスタンプの正確さを決定する方法は、第１ＥＣＵで、第１スレーブクロックのタイムをマスタークロックのグローバルタイムに同期させ、バリデーターで、第２スレーブクロックのタイムをマスタークロックのグローバルタイムに同期させ、バリデーターで、第１ＥＣＵが使う通信規格の決定論的スキームに基づいて、第１ＥＣＵから実際の通信サイクルで受信されるタイムスタンプを予測し、バリデーターで、予測されたタイムスタンプと第１ＥＣＵから実際受信タイムスタンプを比較する。

【特許請求の範囲】

【請求項1】

バリデーター（６２）を使って通信ネットワーク（１）の第１ＥＣＵ（２）によって提供される実際受信タイムスタンプの正確さを判断する方法において、
－ 前記通信ネットワーク（１）は、
－ マスタークロック（８）と、第１スレーブクロック（２１）を持つ第１ＥＣＵ（２）と、第２スレーブクロック（６１）を持つバリデーター（６２）とを備えて、第１ＥＣＵ（２）とバリデーター（６２）とマスタークロック（８）とを相互に接続する第１通信バス（９）を備え、
－第１ＥＣＵ（２）は、判断スキームを持つ第１通信規格を使用して、
－ 通信ネットワーク（１）の第１ＥＣＵ（２）によって提供される、バリデーター（６２）での実際受信タイムスタンプの正確さを判断する方法が、
－ 前記第１ＥＣＵ（２）で、第１スレーブクロック（２１）の時刻をマスタークロック（８）のグローバル時刻（ＧＴ）に同期させること（Ｓ１）と、
－ バリデーター（６２）で、第２スレーブクロック（６１）の時刻をマスタークロック（８）のグローバル時刻（ＧＴ）に同期させること（Ｓ１）と、
－ バリデーター（６２）で、第１ＥＣＵ（２）が用いる通信規格の判断スキームに基づいて第１ＥＣＵ（２）から実際の通信サイクルで受信されるタイムスタンプを予測すること（Ｓ２）と、
－ バリデーター（６２）で、予測タイムスタンプと第１ＥＣＵ（２）からの実際受信タイムスタンプを比較すること（Ｓ３）と
を備える、バリデーター（６２）を使って通信ネットワーク（１）の第１ＥＣＵ（２）によって提供される実際受信タイムスタンプの正確さを判断する方法。

【請求項2】

バリデーター（６２）で、予測タイムスタンプを、通信ネットワーク（１）の第１ＥＣＵ（２）によって提供される実際受信タイムスタンプと比較することが、
－ バリデーター（６２）で、予測タイムスタンプと実際受信タイムスタンプとの差を判断することと、
－ 差を事前定義されたしきい値と比較することと、
－ 前記差が事前定義されたしきい値よりも小さい場合、好ましくは前記差が特定範囲内にある場合、実際受信タイムスタンプの正確さを判断することと備える、請求項１に記載の方法。

【請求項3】

バリデーター（６２）での予測タイムスタンプのグローバルタイム（ＧＴ）と実際受信タイムスタンプのグローバルタイム（ＧＴ）との差は、データ取得タスクと第１ＥＣＵ（２）のデータ送信タスクとの間の固定遅延（δ）を考慮して判断され、ここでバリデーター（６２）での実際受信タイムスタンプは、前記データ取得タスク中に第１ＥＣＵ（２）によって提供される、請求項２に記載の方法。

【請求項4】

予測タイムスタンプと実際受信タイムスタンプの前記差は、次の式
ＧＴ２－ＧＴ１－Δ＋δ
を使って判断され、ここで
－ ＧＴ２は、第１ＥＣＵ（２）が実際受信タイムスタンプを提供するグローバル時刻（２）であり、
－ ＧＴ１は、第１ＥＣＵ（２）の実際の通信サイクルの開始時でのグローバル基準時刻（２）であり、
－ Δは、前記第１ＥＣＵ（２）が使う前記第１通信規格の判断スキームの予め定義したスロット数（ｎ）に前記スロット（ｌ_ｓｌｏｔ）の固定期間を乗じることで受信される結果であり、
－ δは、前記データ取得タスクと前記第１ＥＣＵ（２）のデータ送信タスクとの間の固定遅延であり、ここで前記実際受信タイムスタンプは、前記第１ＥＣＵ（２）による前記データ取得タスク中に提供される、請求項３に記載の方法。

【請求項5】

予測タイムスタンプと実際受信タイムスタンプの差は、次の式
ＧＴ＿Ｃｕｒｒｅｎｔ－（ＧＴ２＋δ）
を使って判断され、ここで
－ ＧＴ２は、第１ＥＣＵ（２）が実際受信タイムスタンプを提供するグローバル時刻であり、
－ δは、前記データ取得タスクと前記第１ＥＣＵ（２）のデータ送信タスクとの間の固定遅延であり、前記実際受信タイムスタンプは、前記第１ＥＣＵ（２）による前記データ取得タスク中に提供され、
－ ＧＴ＿Ｃｕｒｒｅｎｔは、バリデーター（６２）で実際受信タイムスタンプを受信するグローバル時刻である、請求項３又は４に記載の方法。

【請求項6】

実際受信タイムスタンプのグローバル時刻は、次の式
ＧＴ２＝ＧＴ１＋ｌｔ２－ｌｔ１
を使って第１ＥＣＵ（２）で判断され、ここで
－ ＧＴ２は、実際受信タイムスタンプを第１ＥＣＵ（２）が提供するグローバル時刻であり、
－ ＧＴ１は、第１ＥＣＵ（２）の実際の通信サイクルの開始時のグローバル基準時刻であり、
－ ｌｔｌは、実際の通信サイクルの開始時の第１スレーブクロック（２１）のローカル時刻であり、
－ ｌｔ２は、実際受信タイムスタンプを第１ＥＣＵ（２）が提供した時点での第１スレーブクロック（２１）のローカル時刻である、請求項３から５のいずれか一項に記載の方法。

【請求項7】

前記通信ネットワーク（１）が、さらに、
－ 第３スレーブクロック（４１，５１）を持つ第２ＥＣＵ（４，５）と、バリデーター（６２）を備えるゲートウェイＥＣＵ（６）と、前記第２ＥＣＵ（４，５）を前記ゲートウェイＥＣＵ（６）及び前記第１通信バス（９）を介して前記第１ＥＣＵ（２）に接続する第２通信バス（１０）とを備え、ここで
－ 前記第２ＥＣＵ（４，５）は、前記第１ＥＣＵ（２）が使う前記第１通信規格よりも高い安全度水準を持つ第２通信規格を使い、
－ バリデーター（６２）によるマスタークロック（８）の完全性は、第１通信規格よりも高い安全度水準を持つ第２通信規格の安全要件を満たすのに十分であり、
－ バリデーター（６２）が、第２通信規格の安全要件に従って、第１ＥＣＵ（２）によって提供される実際受信タイムスタンプの正確性を判断する、
請求項１から６のいずれか一項に記載の方法。

【請求項8】

前記第１ＥＣＵ（２）で、前記第１スレーブクロック（２１）の時刻を前記マスタークロック（８）のグローバル時刻（ＧＴ）に同期すること（Ｓ１）が、
－ 第１ＥＣＵ（２）で、第１ＥＣＵ（２）の第１スレーブクロック（２１）の時刻が、受信した同期メッセージに基づいてマスタクロック（８）のグローバルタイム（ＧＴ）に同期するように、マスタクロック（８）から同期メッセージを受信することを備える、請求項７に記載の方法。

【請求項9】

通信ネットワーク（１）の第１ＥＣＵ（２）によって提供される実際受信タイムスタンプの正確さを判断するように構成されたバリデーター（６２）において、
－ 前記通信ネットワーク（１）が、
マスタークロック（８）と、第１スレーブクロック（２１）を持つ第１ＥＣＵ（２）と、第１ＥＣＵ（２）と、バリデーター（６２）及びマスタクロック（８）を相互に接続するように構成されている第１通信バス（９）とを備え、
－ 前記第１ＥＣＵ（２）は、判断スキームを持つ第１通信規格を使い、
－ 前記第１スレーブクロック（２１）の時刻が、前記マスタクロック（８）のグローバル時刻（ＧＴ）に同期され、
－ バリデーター（６２）は、第２スレーブクロック（６１）を備え、
－ 前記第２スレーブクロック（６２）の時刻が、前記マスタクロック（８）のグローバル時刻（ＧＴ）に同期され、
－ 前記バリデーター（６２）が、
－ 前記第１ＥＣＵ（２）が用いる通信規格の判断スキームに基づいて、前記第１ＥＣＵ（２）から実際の通信サイクルにおいて受信するタイムスタンプを予測するように、そして
－ 予測タイムスタンプを第１ＥＣＵ（２）からの実際受信タイムスタンプと比較するように構成されている、バリデーター（６２）。

【請求項10】

請求項２から８のいずれか一項に記載の方法を実行するように構成されている、請求項９に記載のバリデーター（６２）。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、バリデーターを使用して通信ネットワークの第１ＥＣＵによって提供される、実際に受信する（実際受信）タイムスタンプの正確さを判断する方法と、この方法を実施するように構成されたバリデーターに関する。

【背景技術】

【0002】

自動運転車や自動運転車の複雑化に伴い、自動運転機能や自動運転機能が安全要件、いわゆる自動車安全度水準（ＡＳＩＬ）を満たすのに必要な要件を確実に満たすために、異なる電子制御ユニット（ＥＣＵ）によって複数の通信バスが使用される。

【0003】

自動車安全度水準は、ＩＳＯ ２６２６２、道路車両の機能安全によって定義されたリスク分類スキームである。ＡＳＩＬ分類は、安全要件が最も低いＱＭ（クオリティマネジメント、品質管理）から、安全要件が最も高いＡＳＩＬ Ｄまで、５つの安全水準（レベル）で構成されている。

【0004】

例えば、自律運転車や自動運転車のイーサネット（登録商標）では、ＣＡＮ－ＦＤ（コントローラエリアネットワークフレキシブルデータレート）とフレックスレイ（Ｆｌｅｘｒａｙ）（ＦｌｅｘＲａｙ、登録商標）を一緒に使用できる。

【0005】

イーサネットは、ローカルエリアネットワーク（ＬＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、及びワイドエリアネットワーク（ＷＡＮ）で一般的に使用されるコンピューターネットワークテクノロジーのファミリである。１９８０年に商業的に導入され、１９８３年にＩＥＥＥ（米国電気電子学会）８０２．３として第１通信が標準化された。フレックスレイは、車載コンピューティングを管理するためにフレックスレイコンソーシアムによって開発された車載ネットワーク通信プロトコルである。ＣＡＮ（コントローラエリアネットワーク）やＴＴＰ（タイムトリガプロトコル）よりも高速で信頼性の高いように設計されている。フレックスレイ規格は、ＩＳＯ １７４５８－１から１７４５８－５までのＩＳＯ規格のセットになっている。ＣＡＮ ＦＤは、電子計装の異なる部分と制御システムの間でセンサデータと制御情報を渡すために通常使用されるデータ通信プロトコルである。このプロトコルは、最新の高性能車両で使用されている。ＣＡＮ ＦＤは、ＩＳＯ １１８９８－１で定義されていた元のＣＡＮバスプロトコルの拡張である。

【0006】

最先端の技術では、イーサネットバスの時刻同期は、ＴＳＮ（時間、時刻に敏感なネットワーク）の場合はＩＥＥＥ ８０２．１ＡＳに従って行われ、ＰＴＰ（高精度時刻プロトコル）に関してはＩＥＥＥ １５８８に従って行われる。しかしながら、ＰＴＰを介した時刻同期には、同期プロセスの整合性、したがって分散タイムベースの整合性を確保できるように、それぞれの規格に加えて実行可能ないくつかの対策がある。

【0007】

しかしながら、フレックスレイバスの内部ウォールクロックには安全完全性がなく、ＱＭである。ＱＭ基準は、この場合、通常の品質管理システム（ＩＳＯ／ＴＳ １６９４９）で要求される対策で十分であることを意味する。フレックスレイメッセージは、イーサネット及びＣＡＮ－ＦＤからのそれぞれのメッセージで使う必要がある。イーサネット（とＣＡＮ ＦＤとの少なくとも一方）のそれぞれのＡＳＩＬ Ｂ又はＡＳＩＬ ＤタイムスタンプでＱＭタイムスタンプ付きのフレックスレイメッセージを使うと、ＡＳＩＬ Ｄに準拠した高度自動運転車の「干渉からの自由」機能安全要件（ＩＳＯ ２６２６２）が満たされなくなる可能性がある。

【0008】

ＩＳＯ ２６２６２「干渉からの自由」により、重要度の低いＡＳＩＬレベル（ＡＳＩＬ Ａなど）の（サブ）システムは、より重要度の高いＡＳＩＬレベル（ＡＳＩＬ Ｃなど）のシステムに影響を与えられないことを実証可能である。目標は、エラー率の高いシステム（ＡＳＩＬ Ａなど）が、より低いエラー率が必要なシステム（ＡＳＩＬ Ｃなど）を駆動しないようにすることである。

【0009】

したがって、自動運転車や自動運転車の場合、これらの要件を満たすために、接続された複数の通信バスとそれぞれのＥＣＵを相互に同期させる必要があることが最も複雑で困難なタスクの１つである。

【発明の概要】

【発明が解決しようとする課題】

【0010】

この技術水準に照らして、本発明の課題は、高い安全水準、例えばＡＳＩＬ Ｄ要件を満たす安全水準を提供し、ＩＳＯ ２６２６２による「干渉からの自由」機能安全要件を満たす、複数の接続された通信バス及びそれらの各ＥＣＵの相互の同期を評価する方法を提供することである。

【課題を解決するための手段】

【0011】

この目的は、独立請求項の特徴によって解決される。従属請求項には、本発明の好ましいさらなる発展が含まれる。

【0012】

より具体的には、バリデーターを使って通信ネットワークの第１ＥＣＵによって提供される、実際に受信する（実際受信）タイムスタンプの正確さを判断する方法によって、この課題が解決される。

【0013】

通信ネットワークは、マスタークロックと、第１スレーブクロックを持つ第１ＥＣＵ、第２スレーブクロックを持つバリデーター、及び第１ＥＣＵ、バリデーター及びマスタークロックを相互に接続する第１通信バスとを備える。

【0014】

第１ＥＣＵは、判断スキームを持つ第１通信規格を使う。つまり、第１ＥＣＵとバリデーターの間の接続が、判断を行う通信スキームを持っているだけで十分である。さらに、第１規格が判断スキームを持つ時刻サイクルの静的区間を持つことが可能でありかつ十分である。

【0015】

バリデーターで実際受信するタイムスタンプの正確さを判断する方法であって、前記タイムスタンプは、前記通信ネットワークの前記第１ＥＣＵによって提供されている、この方法は、
前記第１ＥＣＵで、前記第１スレーブクロックの時刻を前記マスタークロックのグローバル時刻に同期させることと、
前記バリデーターで、第２スレーブクロックの時刻をマスタークロックのグローバル時刻に同期させることと、
前記バリデーターで、前記第１ＥＣＵが使う通信規格の判断スキームに基づいて、前記第１ＥＣＵから実際の通信サイクルで受信されるタイムスタンプを予測することと、
前記バリデーターで、予測されたタイムスタンプと第１ＥＣＵからの実際受信タイムスタンプを比較することと
を備える。

【0016】

バリデーターで、予測タイムスタンプを、通信ネットワークの第１ＥＣＵによって提供される、実際受信タイムスタンプを比較することは、
バリデーターにおいて、予測タイムスタンプと実際受信タイムスタンプとの差を判断することと、
前述の差を所定のしきい値と比較することと、
前述の差が前述の事前定義されたしきい値よりも小さい場合、好ましくは前述の差が特定の範囲内にある場合、実際受信タイムスタンプの正確さを判断することと
を備える。

【0017】

バリデーターでの予測タイムスタンプのグローバル時刻と実際受信タイムスタンプのグローバル時刻との差は、データ取得タスクと第１ＥＣＵのデータ送信タスクとの間の固定遅延を考慮して判断可能であり、ここではバリデーターでの実際受信タイムスタンプは、データ取得タスク中に第１ＥＣＵによって提供される。

【0018】

より具体的には、予測タイムスタンプと実際受信タイムスタンプの差は、次式を使用して判断できる。
ＧＴ２＿ＧＴ１－Δ＋δ

【0019】

ＧＴ２は、第１ＥＣＵが実際受信タイムスタンプを提供するグローバル時刻である。ＧＴ１は、第１ＥＣＵの実際の通信サイクルの開始時のグローバル基準時刻である。Δは、第１ＥＣＵが使う第１通信規格の判断スキームの予め定義されたスロット数に、スロットの固定期間を乗じることによって受信される結果である。δは、第１ＥＣＵのデータ取得タスクとデータ送信タスクとの間の固定遅延である。実際受信タイムスタンプは、データ取得タスク中に第１ＥＣＵによって提供される。第１ＥＣＵとバリデーターを接続する通信バスの判断挙動により、Δとδの両方が判断に使われ、プリコンパイル時に判断できる。

【0020】

追加又は代替として、予測されたタイムスタンプと実際受信タイムスタンプの差は、次の式を使用して判断できる。
ＧＴ＿Ｃｕｒｒｅｎｔ－（ＧＴ２＋δ）

【0021】

ＧＴ２は、第１ＥＣＵが実際受信タイムスタンプを提供するグローバル時刻である。δは、第１ＥＣＵのデータ取得タスクとデータ送信タスクとの間の固定遅延である。実際受信タイムスタンプは、データ取得タスク中に第１ＥＣＵによって提供される。ＧＴ Ｃｕｒｒｅｎｔは、バリデーターで実際受信タイムスタンプを受信するグローバル時刻である。

【0022】

一般論として、このアプローチは、検証が必要なタイムスタンプを運ぶＰＤＵが受信される（すなわちＧＴ＿Ｃｕｒｒｅｎｔ）時点で、現在グローバル時刻を照会する際のソフトウェア割り込み遅延（レイテンシー）εによる従来の手順と同じ精度水準を提供しているのではない。さらに、この解決手段では、通常、より多くのコンピューティングリソースが必要である。しかしながら、判断用の変数δ１つだけの指定が提供されるという事実から、（従来の手順、解決手段は）より単純である。

【0023】

実際受信タイムスタンプのグローバル時刻は、次の式を使い第１ＥＣＵで判断できる。
ＧＴ２＝ＧＴ１＋ｌｔ２－ｌｔｌ

【0024】

ＧＴ２は、第１ＥＣＵが実際受信タイムスタンプを提供するグローバル時刻である。ＧＴ１は、第１ＥＣＵの実際の通信サイクルの開始時のグローバル基準時刻である。ｌｔ１は、実際の通信サイクルの開始時の第１ＥＣＵの第１スレーブクロックのローカル時刻である。ｌｔ２は、第１ＥＣＵが実際受信タイムスタンプを提供した時点での第１ＥＣＵの第１スレーブクロックのローカル時刻である。

【0025】

通信ネットワークは、第３のスレーブクロックを持つ第２ＥＣＵと、バリデーターを備えるゲートウェイＥＣＵと、ゲートウェイＥＣＵを介して第２ＥＣＵと第１通信バスとを第１ＥＣＵに接続する第２通信バスとをさらに備えてよい。

【0026】

第２ＥＣＵは、第１ＥＣＵによって使用される第１通信規格よりも高い安全度水準を持つ第２通信規格を使用してよく、もしくは他の手段によって検証してよい。

【0027】

マスタークロックの完全性は、第１通信規格よりも高い安全度水準を持つ第２通信規格の安全要件を満たすのに十分であり得る。

【0028】

第１ＥＣＵによって提供される実際受信タイムスタンプの正確さは、第２通信規格の安全要件に従ってバリデーターによって判断できる。

【0029】

第１ＥＣＵにおいて、第１スレーブクロックの時刻をマスタークロックのグローバル時刻に同期させることは、第１ＥＣＵにおいて、第１ＥＣＵの第１スレーブクロックの時刻が、受信した同期メッセージに基づいてマスタークロックのグローバル時刻に同期されるように、マスタークロックから同期メッセージを受信することを備えてよい。

【0030】

さらに、バリデーターを提供できる。バリデーターは、通信ネットワークの第１ＥＣＵによって提供される実際受信タイムスタンプの正確さを判断するように構成してよい。

【0031】

通信ネットワークは、マスタークロック、第１スレーブクロックを持つ第１ＥＣＵ、第１ＥＣＵを備えてよく、そしてバリデーター及びマスタークロックを相互に接続するように構成されている第１通信バスを備えてよい。

【0032】

第１ＥＣＵは、判断スキームを持つ第１通信規格を使用してよい。第１スレーブクロックの時刻は、マスタークロックのグローバル時刻に同期可能である。バリデーターは、第２スレーブクロックを備えてよく、ここで、第２スレーブクロックの時刻は、マスタークロックのグローバル時刻に同期される。

【0033】

バリデーターは、第１ＥＣＵが使う通信規格の判断スキームに基づいて、第１ＥＣＵから実際の通信サイクルで受信されるタイムスタンプを予測し、予測されたタイムスタンプを第１ＥＣＵからの実際受信タイムスタンプと比較するように構成してよい。

【0034】

方法を参照して説明した上述の事項は、装置、すなわちバリデーターにも適用され、逆もまた同様である。

【0035】

さらに、バリデーターは、上述の方法のいずれかを実行するように構成してよい。

【0036】

手短に記載すると、第１ＥＣＵのタイムスタンプを比較して予測することにより、バリデーターは、第１ＥＣＵの時刻同期がバリデーターの安全完全性に従って可能な限り最高水準の安全完全性を達成可能なことを保証する。さらに、第２ＥＣＵと第２通信バスの安全度水準がバリデーターに継承されることが保証され、第１通信バスを持つ第１ＥＣＵ、ゲートウェイＥＣＵを持つバリデーター、及び第２通信バスを持つ第２ＥＣＵの安全度水準が、同等か可能な限り最高の安全度水準を達成することが保証される。

【0037】

以下では、本発明の一実施形態を図１から図３に関して説明する。

【図面の簡単な説明】

【0038】

【図1】図１は、車両で使用される複数の通信バスを備えた通信ネットワークを模式的に示す。

【図2】図２は、図１の通信ネットワークの第１ＥＣＵが提供する実際受信タイムスタンプの正確さを、バリデーターを使って判断する方法のフローチャートを概略的に示す。

【図3】図３は、図１の第１ＥＣＵとバリデーターの通信スキームを模式的に示す。

【発明を実施するための形態】

【0039】

図１に示す通信ネットワーク１は、自律又は自動運転車両（例えば自動車）でデータを送信するネットワークである。

【0040】

ネットワーク１は、第１通信規格を用いる２つのＥＣＵ２、３と、第２通信規格を用いる２つのＥＣＵ４、５と、ゲートウェイＥＣＵ６と、相互接続７と、マスタークロック８と、第１通信規格を用いる第１バスシステム（すなわち第１通信バス）９と、第２通信規格を用いる第２バスシステム（すなわち第２通信バス）１０とを備える。

【0041】

より具体的には、ネットワーク１は、第１判断通信規格、例えば（本願詳細な）説明の導入部で定義したフレックスレイ（ＦｌｅｘＲａｙ、登録商標）規格を用いる第１ＥＣＵ２及び第２ＥＣＵ３と、第３ＥＣＵ４及び第４ＥＣＵ５と、第２通信規格、例えばイーサネット規格（又はＣＡＮ ＦＤ、以下ではイーサネット（登録商標）の第２通信規格の例として用いる）を用い、ここでは、（本願明細書の詳細な）説明の導入部分で定義したように、ゲートウェイＥＣＵ６としてもよい。

【0042】

第１ＥＣＵ２及び第２ＥＣＵ３は、それぞれ第１バスシステム９によってマスタークロック８に接続されている。また、第１ＥＣＵ２及び第２ＥＣＵ３も、それぞれ第１バスシステム９を介してゲートウェイＥＣＵ６に接続されている。第１バスシステム９は、第１通信規格を用いる。上記の例では、第１バスシステム９は、判断を行うフレックスレイバスシステムであろう。

【0043】

第３ＥＣＵ４及び第４ＥＣＵ５は、それぞれ第２バスシステム１０を介して相互接続７に接続されていて、第２バスシステム１０は、第２通信規格を使っている。上記の例では、第２バスシステム１０はイーサネットバスシステムとなるであろう。また、第３ＥＣＵ４及び第４ＥＣＵ５も、それぞれ相互接続７を介してゲートウェイＥＣＵ６に第２バスシステム１０によって接続されている。

【0044】

相互接続７は、上記例ではイーサネット相互接続（例えばスイッチ）であり、パケット交換を使ってゲートウェイＥＣＵ６との間でデータを送受信することにより、ネットワーク１の第３ＥＣＵ４及び第４ＥＣＵ５をそれぞれゲートウェイＥＣＵ６に接続するように構成されている。

【0045】

マスタークロック８は、相互接続７を介して第１バスシステム９及び第２バスシステム１０に接続されている。マスタークロック８は、スレーブクロック２１、３１、４１、５１をそれぞれ備えるＥＣＵ２、３、４、５及び同じくスレーブクロック６を備えるゲートウェイＥＣＵ６にグローバル時刻又はマスター時刻を提供するように構成されている。このように、マスタークロック８は、ネットワーク１の第１通信規格を使って機器２、３、６のスレーブクロック２１、３１、４１、５１、６１を同期させるタイミング信号を提供するように構成されている。

【0046】

ゲートウェイＥＣＵ６は、上記の例ではフレックスレイ－イーサネットゲートウェイＥＣＵであってよく、第１通信規格（ここではフレックスレイ規格）を使って第１ＥＣＵ２及び第２ＥＣＵ３との間の相互運用性を提供し、第３ＥＣＵ４及び第４ＥＣＵ５は第２通信規格（ここではイーサネット規格）を使って構成される。したがって、ゲートウェイＥＣＵ６は、第１及び第２通信規格との間で単方向又は双方向のプロトコル変換を行うように構成されている。

【0047】

この事例では、第２通信規格は、第１通信規格よりも高い安全度水準を持つ。例えば、第３ＥＣＵ４及び第４ＥＣＵ５が使うイーサネット規格はＡＳＩＬ Ｄに認定できる一方、第１ＥＣＵ２及び第２ＥＣＵ３が使うフレックスレイ規格はただＱＭ（クオリティマネジメント、品質管理）である。

【0048】

以上説明したように、ゲートウェイＥＣＵ６を介して第１ＥＣＵ２及び第２ＥＣＵ３と第３ＥＣＵ４及び第４ＥＣＵ５は相互に通信可能である。ただし、安全度水準の異なる通信規格を使用しているため、ＡＳＩＬ Ｄに準拠した高度自動運転車の「干渉からの自由」機能安全要件（ＩＳＯ ２６２６２）に従ってこれを行うことはできない。

【0049】

（本願の詳細な）説明の導入部分で説明されているように、ＩＳＯ ２６２６２「干渉からの自由」基準により、重要度の低いＡＳＩＬ水準の（下位の）システム、ここでは第１ＥＣＵ２及び第２ＥＣＵ３を備えた第１バスシステム９は、より重要なＡＳＩＬ水準のシステムに影響を与えられないことを実証できる。ここで第２バスシステム１０は第３ＥＣＵ４及び第４ＥＣＵ５と相互接続７とを持つ。目標は、エラー率の高いシステムが、より低いエラー率が必要なシステムを駆動しないようにすることである。

【0050】

したがって、通信ネットワーク１の第１ＥＣＵ２及び第２ＥＣＵ３によって提供される実際受信タイムスタンプの正確さを判断する方法が提供される。すなわち、第１ＥＣＵ２及び第２ＥＣＵ３によって提供されるタイムスタンプは、ゲートウェイＥＣＵ６によって、より高い安全水準（ここではＡＳＩＬ Ｄ）に認定可能である。

【0051】

したがって、ゲートウェイＥＣＵ６は、バリデーター６２を備え、この場合は中央バリデーターであり、本方法を実施するように構成されている。

【0052】

以下では、その方法について、図２及び図３に関して詳細に説明する。図２は、本方法のステップを示すフローチャートを示す。図３は、第１通信規格と、実際受信タイムスタンプの正確さを判断する第１及び第２可能性を使って、ゲートウェイＥＣＵ６上のバリデーター６２を持つ第１ＥＣＵ２の通信スキームを概略的に示す。

【0053】

以上説明したように、通信ネットワーク１は、マスタークロック８、スレーブクロック２１、３１、４１、５１をそれぞれ持つＥＣＵ２、３、４、５と、スレーブクロック６１、バリデーター６２を持つバリダ６と、第１ＥＣＵ２及び第２ＥＣＵ３、バリデーター６２及びマスタークロック８を相互に接続する第１通信バスシステム９とを備える。

【0054】

第１ＥＣＵ２及び第２ＥＣＵ３が用いる第１通信規格は、判断スキームを持つ。つまり、基になる通信プロトコルは、常に事前定義されかつ固定された時刻に同じ状態のシーケンスを通過する。これにより、第１又は第２通信規格を使って第１ＥＣＵ２又は第２ＥＣＵ３から送られたデータパケットがいつ受信側に到着するか、ここではゲートウェイＥＣＵ６のバリデーター６２に到着するかを予測可能である。

【0055】

フレックスレイ規格が使用されている場合、第１バスシステム９での通信はサイクルで実行される。これらの各サイクルは、静的区間と動的区間を含む異なる複数区間に分割される。

【0056】

静的区間において、第１通信規格を使う各ＥＣＵ２、３は、その特定のスロット、すなわちタイムウィンドウを持っていて、そこでメッセージを送信可能である。（メッセージは）スロットの長さを超えてはならない。メッセージが長すぎる場合は、それぞれのＥＣＵ又は動的区間に割り当てられた別のサイクルを使用してメッセージを続行する必要がある。

【0057】

これは、プロトコルの判断を行う部分、つまり第１通信規格の判断を行う部分であり、ステアリング、ブレーキなどの重要なメッセージが既知の時間内に送信されることを保証する。

【0058】

予測するのに、データパケットがバリデーター６２に到着すると、本方法の第１ステップＳ１において、ＥＣＵ２、３、４、５及びゲートウェイＥＣＵ６のスレーブクロック２１、３１、４１、５１、６１の時刻が、それぞれマスタークロック８のグローバル時刻に同期される。

【0059】

同期（のステップ）は、第１ＥＣＵ２及び第２ＥＣＵ３において、各スレーブクロック２１、３１の時刻をマスタークロック８のグローバル時刻に同期し、第１ＥＣＵ２及び第２ＥＣＵ３において、それぞれ、各スレーブクロック２１のローカル時刻となるようにマスタークロック８から同期メッセージを受信することを備えてよく、第１ＥＣＵ２及び第２ＥＣＵ３の各スレーブクロック２１、３１が、受信した同期メッセージに基づいてマスタークロック８のグローバル時刻に同期される。

【0060】

第２ステップＳ２において、バリデーター６２は、第１ＥＣＵ２及び第２ＥＣＵ３が用いる第１通信規格の判断スキームに基づいて、第１ＥＣＵ２及び第２ＥＣＵ３の少なくとも一方から実際の通信サイクルにおいて受信されるタイムスタンプを予測する。

【0061】

その後、第３ステップＳ３において、バリデーター６２は、予測されたタイムスタンプと、第１ＥＣＵ２及び第２ＥＣＵ３の少なくとも一方から実際受信タイムスタンプとを比較する。

【0062】

ここで、Ｓ１からＳ３までのステップについて、図３を用いて詳細に説明する。

【0063】

上述したように、図３では、実際受信タイムスタンプの正確さを判断する２つの可能性が示されている。タイムスタンプの正確さを判断する２つの可能性は、代替又は組み合わせて使用してよい。

【0064】

しかし、両方の可能性によれば、バリデーター６２において、予測タイムスタンプを実際受信タイムスタンプと比較する第３ステップＳ３は、バリデーター６２において、予測されたタイムスタンプと実際受信タイムスタンプとの差を判断し、差を事前定義されたしきい値と比較し、差が事前定義されたしきい値よりも小さい場合、好ましくはこの差が特定の範囲内にある場合、整合性フラグが設定されている検証マーキング、又は情報の受信者に対して透過的なその他の手段によって、実際受信タイムスタンプの正確さを判断する。

【0065】

具体的には、図３に２つのタイムラインが示されている。図３の左側には、第１ＥＣＵ１のスレーブクロック２１のローカル時刻ｌｔが描かれた第１ＥＣＵ１のタイムラインが表示され、図３の右側には、ゲートウェイＥＣＵ６のスレーブクロック６１のローカル時刻ＬＴが描かれたバリデーター６２のタイムラインが表示されている。

【0066】

全ての同期ＥＣＵ２、３、４、５、６は、同期後に利用可能な同じグローバル時刻（典型的には、グローバル時刻のローカルインスタンス、つまり、同期時刻又はグローバル時刻を維持する発振器などの基盤となるローカルハードウェアカウンタから派生したローカルクロックと呼ぶ時刻）を持つ。これは、同期されたスレーブクロック２１、３１、４１、５１、６１がマスタークロック８のグローバル時刻に紐付けられていることを意味する。

【0067】

同期の際、ローカル時刻ｌｔ１、ＬＴ１、及び対応する同期時刻ＧＴ１を含む基準タプルｌｔ１、ＧＴ１、ＬＴ１、ＧＴ１が生成される。この基準タプルｌｔ１、ＧＴ１、ＬＴ１、ＧＴ１は、任意の時点での現在の同期時刻を導出するために使われる。

【0068】

このように、この事例では、スレーブクロック２１、３１、４１、５１、６１を同期させる第１ステップＳ１は、ローカル時刻ｌｔ、ＬＴから同期時刻又はグローバル時刻ＧＴへの変換に使用できる基準を生成するに過ぎない。

【0069】

第１ＥＣＵ２に、現在のローカル時刻ｌｔ２（ｌｔ２＞ｌｔ１）での現在の同期時刻ＧＴ２は次式で与えられる。
ＧＴ２＝ＧＴ１＋ｌｔ２－ｌｔ１

【0070】

ＧＴ２は、第１ＥＣＵ２によってローカルスレーブクロック２１から読み出された実際受信タイムスタンプを測定データに提供するグローバル時刻としてよい。ＧＴ１は、第１ＥＣＵ２の実際の通信サイクルの開始時のグローバル時刻としてよい。ｌｔ１は、実際の通信サイクルの開始時における第１ＥＣＵ２のスレーブクロック２１のローカル時刻としてよい。ｌｔ２は、第１ＥＣＵ２が実際受信タイムスタンプを提供した時点での第１ＥＣＵ２のスレーブクロック２１のローカル時刻としてよい。

【0071】

類推して、ゲートウェイＥＣＵ６、よってバリデーター６２の場合、ＬＴ２＞ＬＴ１を使用した現在のローカル時刻ＬＴ２での現在の同期時刻ＧＴ２は、次式
ＧＴ２＝ＧＴ１＋ＬＴ２－ＬＴ１
で与えられる。

【0072】

さらに、第１通信規格の通信スキームは、上で説明したように、スロットｓ１－ｓｎを備えた、判断を行う又は静的な部分を備えている。ここで、各スロットは、固定かつ事前定義された持続期間と、判断を行うところでない又は動的な部分１１とを備える。

【0073】

第１ＥＣＵ２のデータ取得タスク中に、タイムスタンプ、すなわちグローバル時刻のローカルインスタンスから発信された実際受信タイムスタンプが、データ取得タスクの静的部分で送信されるデータに添付され、それから、データ送信タスク中に第１ＥＣＵ２から第１バスシステム９を介してゲートウェイＥＣＵ６に送信される。

【0074】

データ送信とデータ取得タスクとの間には、第１通信規格に従って固定遅延δが設けられる。

【0075】

したがって、予測タイムスタンプのグローバル時刻と実際受信タイムスタンプのグローバル時刻との差は、データ取得タスクと第１ＥＣＵ２のデータ送信タスクとの間の固定遅延６を考慮して判断可能であり、ここで、検証目的でバリデーター６２によって実際受信タイムスタンプは、第１ＥＣＵ２によるデータ取得タスク中に提供される。これは、実際に提供されたタイムスタンプの正確さを判断する両方の可能性に当てはまる。

【0076】

より具体的には、第１可能性に従って、予測されたタイムスタンプと実際受信タイムスタンプとの差は、次式を使用して判断できる。
ＧＴ２－ＧＴ１－Δ＋δ

【0077】

ＧＴ２は、第１ＥＣＵ２が実際受信タイムスタンプを提供するグローバル時刻である。ＧＴ１はグローバル基準時刻である。本実施形態において、ＧＴ１は、第１ＥＣＵ２の実際の通信サイクルの開始時におけるグローバル時刻である。Δは、第１ＥＣＵ２が使う第１通信規格の判断スキームの予め定義された数のスロットｎにスロットｌ_ｓｌｏｔの固定期間を乗じて受信した結果である。ＧＴ１＋Δが、メッセージが第１ＥＣＵ２によって送信するようにスケジュールされるときのグローバル時刻におけるインスタンスに対応するように、メッセージの予定時刻（スケジューリング）を考慮に入れる。以上説明したように、δは、第１ＥＣＵ２のデータ取得タスクとデータ送信タスクとの間の固定遅延である。実際受信タイムスタンプは、第１ＥＣＵ２によるデータ取得タスク中に提供される。したがって、ＧＴ２－δは、第１ＥＣＵ２によるメッセージ送信がスケジュールされたグローバル時刻におけるインスタンスに相当する。この式は、両方のインスタンスを時間、時刻で比較することによって、この事実を利用する。これにより、タイムスタンプの整合性を検査できる。

【0078】

データ取得タスクの間、第１ＥＣＵ２は、外部ユニット、例えばセンサからデータを取得し、実際受信タイムスタンプを取得したデータに追加可能である。タイムスタンプは、実質的に、データが第１ＥＣＵ２から取得されたグローバル時刻である。

【0079】

データ送信タスク中、データ取得タスク中に取得されたデータに、追加された実際受信タイムスタンプを加えたものが、第１ＥＣＵ２からバリデーター６２に送られる。

【0080】

バリデーターはそれから上記の式との差を計算し、その差を事前定義されたしきい値と比較する。差が定義したしきい値よりも小さい場合、すなわち第１ＥＣＵ２のジッタがしきい値よりも小さい場合、バリデーター６２は、第１ＥＣＵ２の実際提供タイムスタンプを正すように、その実際提供タイムスタンプを除去（デマイニング）する。これはすなわち第２通信規格の安全要件を満たす。したがって、バリデーター６２は、実際受信タイムスタンプを第２通信規格（ここではＡＳＩＬ Ｄ）の安全水準に認定するように構成される。

【0081】

追加的又は代替的に、第２可能性に従って、予測タイムスタンプと実際受信タイムスタンプとの差は、次式を使用して判断できる。
ＧＴ＿Ｃｕｒｒｅｎｔ－（ＧＴ２＋δ）

【0082】

以上説明したように、ＧＴ２は、第１ＥＣＵ２による実際受信タイムスタンプは、グローバル時刻であり、δは、第１ＥＣＵ２のデータ取得タスクとデータ送信タスクとの間の固定遅延である。実際受信タイムスタンプは、データ取得タスク中に提供される。ＧＴ＿Ｃｕｒｒｅｎｔは、バリデーター６２で実際受信タイムスタンプを受信するグローバル時刻である。概念的な観点からは、２つの解決手段は同じであるが、実装の労力や特定の精度の達成可能な信頼性とは異なる場合がある。

【0083】

第１可能性に類推して、このように受信した差分は、バリデーター６２によって事前定義されたしきい値と比較され、ここでは不確実性ε、及び差分が小さいしきい値、すなわち第１ＥＣＵ２のジッタがしきい値よりも小さい場合、バリデーター６２は、第１ＥＣＵ２の実際提供タイムスタンプを正す、すなわち、第２通信規格の安全要件を満たすように、この実際提供タイムスタンプを除去する。したがって、バリデーター６２は、実際受信タイムスタンプを第２通信規格（ここではＡＳＩＬ Ｄ）の安全度水準に認定するように構成される。

【0084】

第１通信規格よりも高い安全水準を持つ第２通信規格の安全要件を満たすには、マスタークロック８の完全性で十分であるので、バリデーター６２は、第２通信規格の安全要件に従って、実際受信タイムスタンプの正確さを判断可能である。

【0085】

第１ＥＣＵ２に関する図３に関する上記の説明は、第２ＥＣＵ３についても有効であり、第１通信規格を使って２つ以上のＥＣＵ２、３が設けられている場合は、これらのＥＣＵに対しても有効である。

【0086】

要約すると、上述した実施形態により、フレックスレイバス９は、グランドマスタ８から同期メッセージを受信する。フレックスレイバス９は、与えられた同期メッセージに基づいて内部的に同期される。イーサネット通信バス１０は、中央バリデーター６２に対して、ＩＥＥＥ８０２・１ ＡＳ又は類似のプロトコルを介してＡＳＩＬ Ｄとの同期を提供する。ゲートウェイＥＣＵ６上の中央バリデーター６２は、イーサネット通信バス９とフレックスレイ通信バス１０との間の比較器として機能し、受信したタイムスタンプをそれらのタイムスタンプの期待値と比較する。一方の中央バリデーター６２は、イーサネット通信がＡＳＩＬ Ｄに従って検証されることを保証し、他方ではフレックスレイバス９からＱＭ（品質管理）入力を受信して、イーサネットのクロックで検証する。フレックスレイバス９は本質的に判断処理を行うところであるため、中央バリデーター６２はフレックスレイメッセージの判断処理の予定時刻（スケジューリング）を使用して、ＱＭとして提供されるフレックスレイタイムスタンプの正確さを検証し、与えられたタイムスタンプをＡＳＩＬ Ｄに与えられたタイムスタンプを認定する。ゲートウェイＥＣＵ６、ここではバリデーター６２によって、フレックスレイバス９から次のサイクルに来るかもしれないタイムスタンプを予測可能である。タイムスタンプの予測は、フレックスレイ規格のデータ取得タスクとデータ送信タスクの間の固定遅延を含む判断処理の静的メッセージデータに基づいて行われる。したがって、予測されたタイムスタンプは、フレックスレイ通信バス９内のジッタが高度に自動化された車両時刻同期のしきい値、すなわち１ｍｓを超えないようにするために、受信タイムスタンプと比較される。

【符号の説明】

【0087】

１ 通信ネットワーク
２、３ 第１通信規格を使用したＥＣＵ
４、５ 第２通信規格を使用したＥＣＵ
６ バリデーター付きゲートウェイＥＣＵ
７ 相互接続（例、スイッチ）
８ タイムグランドマスター又はマスタークロック
９ 第１通信規格を使用した第１バスシステム
１０ 第２通信規格を用いた第２バスシステム
１１ 第１通信標準の判断処理を行わない部分
２１ 第１ＥＣＵのスレーブクロック
３１ 第２ＥＣＵのスレーブクロック
４１ 第３ＥＣＵのスレーブクロック
５１ 第４ＥＣＵのスレーブクロック
６１ バリデーターのスレーブクロック
６２ バリデーター
ＧＴ グローバル時刻
ＧＴ１ サイクル開始時のグローバル時刻
ＧＴ２ 実際受信タイムスタンプを提供又は追加するグローバル時刻
ＧＴ＿ｃｕｒｒｅｎｔ バリデーターで実際に受信するタイムスタンプ（実際受信タイムスタンプ）を受信した現在のグローバル時刻
ｌｔ 第１ＥＣＵのローカル時刻
ｌｔｌ 第１ＥＣＵでのサイクル開始時のローカル時刻
ｌｔ２ 第２ＥＣＵで実際受信タイムスタンプを提供又は追加するローカル時刻
ＬＴ ゲートウェイＥＣＵのローカル時刻
ＬＴ１ ゲートウェイＥＣＵのサイクル開始時のローカル時刻
ＬＴ２ バリデーターでタイムスタンプを受信するゲートウェイＥＣＵでのローカル時刻
ｌ_Ｓｌｏｔ 第１通信規格の１スロットの継続期間
ｎ スロットの数
Δ ｎにｌ_Ｓｌｏｔを乗じて得られる結果
δ データ取得タスクとデータ送信タスク間の固定遅延
Ｓ１からＳ３ （本願の）方法の各ステップ

【図1】

【図2】

【図3】

【国際調査報告】