知財求人 - 知財ポータルサイト「IP Force」
▶ バイエリシエ・モトーレンウエルケ・アクチエンゲゼルシヤフトの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2023-10-19
(54)【発明の名称】時刻同期の検証
(51)【国際特許分類】
H04L 7/00 20060101AFI20231012BHJP
【ＦＩ】
H04L7/00 990
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2023515640
(86)(22)【出願日】2020-10-12
(85)【翻訳文提出日】2023-03-08
(86)【国際出願番号】 EP2020078637
(87)【国際公開番号】W WO2022078571
(87)【国際公開日】2022-04-21
(81)【指定国・地域】
(71)【出願人】
【識別番号】398037767
【氏名又は名称】バイエリシエ・モトーレンウエルケ・アクチエンゲゼルシヤフト
(74)【代理人】
【識別番号】100069556
【弁理士】
【氏名又は名称】江崎 光史
(74)【代理人】
【識別番号】100111486
【弁理士】
【氏名又は名称】鍛冶澤 實
(74)【代理人】
【識別番号】100191835
【弁理士】
【氏名又は名称】中村 真介
(74)【代理人】
【識別番号】100221981
【弁理士】
【氏名又は名称】石田 大成
(74)【代理人】
【識別番号】100208258
【弁理士】
【氏名又は名称】鈴木 友子
(72)【発明者】
【氏名】レングスト・ヴォルフガング
(72)【発明者】
【氏名】アブデルハミード・モハメド－サード
(72)【発明者】
【氏名】ブドヴァイザー・カール
(72)【発明者】
【氏名】ビルラ・マンジート・シン
【テーマコード（参考）】
5K047
【Ｆターム（参考）】
5K047AA01
(57)【要約】
【課題】プライベートバスで接続されている複数コントローラにおける時刻同期の検証技術を提供する。
【解決手段】プライベートバス経由で互いに接続された少なくとも２つのコントローラの時刻同期を検証する方法が提供されていて、それら少なくとも２つのコントローラの１つはマスターコントローラであり、もう１つはスレーブコントローラである。この方法は、複数のサイクルを備える。各サイクルは、
マスターコントローラからスレーブコントローラに、マスターコントローラの予め定義されたピンのプルに応答してフォローアップメッセージを送信するステップであって、ここでは前記フォローアップメッセージには、予め定義されたピンの、プルがなされたときのマスターコントローラのグローバル時刻が含まれている、マスターコントローラからスレーブコントローラに送信するステップと、
スレーブコントローラからマスターコントローラに、受信したフォローアップメッセージに応答して検証メッセージを送信するステップであって、ここでは前記検証メッセージには、予め定義されたピンの、プルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻が含まれている、スレーブコントローラからマスターコントローラに送信するステップと、
予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻と
の差が、予め定義された第１しきい値よりも小さいかどうかの検査により、マスターコントローラと、スレーブコントローラの少なくとも一方で時刻同期を検証するステップと
を備える。
【解決手段】プライベートバス経由で互いに接続された少なくとも２つのコントローラの時刻同期を検証する方法が提供されていて、それら少なくとも２つのコントローラの１つはマスターコントローラであり、もう１つはスレーブコントローラである。この方法は、複数のサイクルを備える。各サイクルは、
マスターコントローラからスレーブコントローラに、マスターコントローラの予め定義されたピンのプルに応答してフォローアップメッセージを送信するステップであって、ここでは前記フォローアップメッセージには、予め定義されたピンの、プルがなされたときのマスターコントローラのグローバル時刻が含まれている、マスターコントローラからスレーブコントローラに送信するステップと、
スレーブコントローラからマスターコントローラに、受信したフォローアップメッセージに応答して検証メッセージを送信するステップであって、ここでは前記検証メッセージには、予め定義されたピンの、プルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻が含まれている、スレーブコントローラからマスターコントローラに送信するステップと、
予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻と
の差が、予め定義された第１しきい値よりも小さいかどうかの検査により、マスターコントローラと、スレーブコントローラの少なくとも一方で時刻同期を検証するステップと
を備える。
【特許請求の範囲】
【請求項1】
プライベートバス（４）経由で互いに接続された少なくとも２つのコントローラの時刻同期を検証する方法であって、ここでは少なくとも２つのコントローラの１つはマスターコントローラ（２）であり、もう１つはスレーブコントローラ（３）であり、前記方法が複数のサイクルを備えていて、ここでは各サイクルは、マスターコントローラ（２）からスレーブコントローラ（３）に、マスターコントローラ（２）の予め定義されたピンのプルに応答してフォローアップメッセージを送信するステップであって、ここでは前記フォローアップメッセージには、予め定義されたピンの、プルがなされたときのマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）が含まれている、前記マスターコントローラ（２）からスレーブコントローラ（３）に送信するステップと、
スレーブコントローラ（３）からマスターコントローラ（２）に、受信したフォローアップメッセージに応答して検証メッセージを送信するステップであって、ここでは前記検証メッセージには、予め定義されたピンの、プルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）が含まれている、前記スレーブコントローラ（３）からマスターコントローラ（２）に送信するステップと、
予め定義されたピンのプルがなされたときのマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）と、
予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）の差が、予め定義された第１しきい値よりも小さいかどうかの検査により、マスターコントローラ（２）と、スレーブコントローラ（３）の少なくとも一方で時刻同期を検証するステップと
を備える、プライベートバス（４）経由で互いに接続された少なくとも２つのコントローラの時刻同期を検証する方法。
【請求項2】
マスターコントローラ（２）で予め定義されたピンのプルがなされたときのマスターコントローラ（２）のグローバル時刻（ｔａＭ２）を捕捉するステップを備え、前記検証メッセージは、スレーブコントローラ（３）のローカルハードウェアカウンタ（ｃｂｓ２）を備え、ここでは、ローカルハードウェアカウンタ（ｃｂｓ２）は、予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当していて、
時刻同期を検証するステップが、
予め定義されたピンのプルがなされたときにマスターコントローラ（２）によって捕捉されたグローバル時刻（ｔａＭ２）と、以前のサイクルで予め定義されたピンのプルがなされたときにマスターコントローラ（２）によって捕捉されたグローバル時刻（ｔａＭ１）との差と、
予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当するローカルハードウェアカウンタ（ｃｂｓ２）と、以前のサイクルで予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ１）に相当するローカルハードウェアカウンタ（ｃｂＳ１）の差と
の差が予め定義された第２しきい値よりも小さいかどうかの検査をマスターコントローラ（２）にて備えることと、
時刻同期を検証するステップが、
フォローアップメッセージでスレーブコントローラ（３）が受信したマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）と、以前のサイクル内のフォローアップメッセージでスレーブコントローラ（３）が受信したマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ１）の差と、
予め定義されたピンのプルがスレーブコントローラ（３）によって検出されるときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当するローカルハードウェアカウンタ（Ｃｂｓ２）と、以前のサイクル内でスレーブコントローラ（３）によって予め定義されたピンのプルが検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ１）に相当するローカルハードウェアカウンタ（ｃｂｓ１）との差と、
の差が、予め定義された第２しきい値よりも小さいかどうかの検査をスレーブコントローラ（３）にて備えることと
の少なくとも一方である、請求項１に記載の方法。
【請求項3】
前記検証メッセージには、予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当するローカルハードウェアカウンタ（Ｃｂｓ２）と、
前のサイクルでスレーブコントローラ（３）によって予め定義されたピンのプルが検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ１）に相当するローカルハードウェアカウンタ（Ｃｂｓ１）と
の差が含まれている、請求項２に記載の方法。
【請求項4】
マスターコントローラ（２）は、マスターポートとスレーブポートとを備えて、マスターコントローラ（２）は、そのスレーブポート経由でさらなるバスに接続されていて、スレーブポートとマスターポートは、それぞれ独自のクロックを備えていて、前記方法が、
マスターコントローラ（２）のスレーブポート（２１）のクロックのグローバル時刻と、さらなるバスのグローバル時刻とを同期するステップと、
マスターコントローラ（２）のマスターポート（２２）のクロックのグローバル時刻と、そのマスターコントローラ（２）のスレーブポート（２１）のクロックのグローバル時刻とを同期するステップと、
マスターコントローラ（２）において、予め定義されたピンのプルがなされたときのスレーブポート（２１）のグローバル時刻（ｔａＳ２）を捕捉するステップとを備え、
ここでは前記時刻同期を検証するステップが、
マスターコントローラ（２）がマスターポートで捕捉した、予め定義したピンのプルがなされたときのマスターコントローラ（２）のマスターポート（２２）のグローバル時刻（ｔａＭ２）と、
マスターコントローラ（２）がスレーブポート（２１）で捕捉した、予め定義したピンのプルがなされたときのマスターコントローラ（２）のスレーブポート（２１）のグローバル時刻（ｔａＳ２）と
の差が予め定義された第３しきい値よりも小さいかどうかの検査を前記マスターコントローラ（２）にて備える、請求項２又は３に記載の方法。
【請求項5】
予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂｓ２）及びローカルハードウェアカウンタ（ｃｂＳ２）を捕捉した後、スレーブコントローラ（３）のグローバル時刻を、フォローアップメッセージに含まれているマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）に更新するステップを備える、請求項２から４のいずれか一項に記載の方法。
【請求項6】
前記検証メッセージは、マスターコントローラ（２）からスレーブコントローラ（３）にフォローアップメッセージ内にて送信されたグローバル時刻（ｔ’ａＭ２）を備えて、時刻同期を検証するステップが、
予め定義されたピンのプルがなされたときのマスターコントローラ（２）によって捕捉されたグローバル時刻（ｔａＭ２）と、
検証メッセージに含まれるグローバル時刻（ｔ’ａＭ２）と
の差が、予め定義された第４しきい値よりも小さいかどうかをマスターコントローラ（２）で検査するステップを備える、請求項２から５のいずれか一項に記載の方法。
【請求項7】
プライベートバス経由でスレーブコントローラ（３）に接続されるように構成されているマスターコントローラ（２）であって、前記マスターコントローラ（２）が、
マスターコントローラ（２）の予め定義されたピンのプルに応答してプライベートバス経由でスレーブコントローラ（３）にフォローアップメッセージを送信するように、さらに構成されていて、ここでは前記フォローアップメッセージは、予め定義されたピンのプルがなされたときのマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）を備え、
前記マスターコントローラ（２）が、
送信されたフォローアップメッセージに応答してプライベートバス経由で前記スレーブコントローラ（３）から検証メッセージを受信するように構成されていて、ここでは前記検証メッセージは、予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）を備え、
前記マスターコントローラ（２）が、
予め定義されたピンのプルがなされたときのマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）と、
予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）と
の差が、予め定義された第１しきい値よりも小さいかどうかの検査によって、スレーブコントローラ（３）のグローバル時刻とマスターコントローラ（２）のグローバル時刻の時刻同期を検証するように、さらに構成されている、
マスターコントローラ（２）。
【請求項8】
前記検証メッセージは、スレーブコントローラ（３）のローカルハードウェアカウンタ（ｃｂｓ２）を備え、ここでは、ローカルハードウェアカウンタ（ｃｂｓ２）は、予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当していて、前記マスターコントローラ（２）は、予め定義されたピンのプルがなされたときにマスターコントローラ（２）のグローバル時刻（ｔａＭ２）を捕捉するように構成されていて、
マスターコントローラ（２）は、
予め定義されたピンのプルがなされたときにマスターコントローラ（２）によって捕捉されたグローバル時刻（ｔａＭ２）と、以前のサイクル内で予め定義されたピンのプルがなされたときにマスターコントローラ（２）によって捕捉されたグローバル時刻（ｔａＭ１）との差と、
予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当するローカルハードウェアカウンタ（ｃｂＳ２）と、以前のサイクル内で予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当するローカルハードウェアカウンタ（ｃｂＳ１）との差と
の差が、予め定義された第２しきい値よりも小さいかどうかの検査によって、スレーブコントローラ（３）のグローバル時刻とマスターコントローラ（２）のグローバル時刻の時刻同期を検証するように構成されていて、
選択的に、前記検証メッセージは、予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当するローカルハードウェアカウンタ（ｃｂＳ２）と、以前のサイクル内でスレーブコントローラ（３）によって予め定義されたピンのプルが検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当するローカルハードウェアカウンタ（ｃｂＳ１）との差を備える、
請求項７に記載のマスターコントローラ（２）。
【請求項9】
前記マスターコントローラ（２）が、－マスターポート（２２）及びスレーブポート（２１）を備え、スレーブポート（２１）及びマスターポート（２２）それぞれがクロックを備え、
－スレーブポート（２１）経由でさらなるバスに接続されていて、
－スレーブポート（２１）のクロックのグローバル時刻をさらなるバスのグローバル時刻に同期するように構成されていて、
－マスターポート（２２）のクロックのグローバル時刻をマスターコントローラ（２）のスレーブポート（２１）のクロックのグローバル時刻に同期するように構成されていて、
－予め定義されたピンのプルがなされたときのスレーブポート（２１）のグローバル時刻（ｔａＳ２）を捕捉するものであり、
－予め定義されたピンのプルがなされたときのマスターポート（２２）のクロックのグローバル時刻（ｔａＭ２）と、
予め定義されたピンのプルがなされたときのスレーブポート（２１）のクロックのグローバル時刻（ｔａｓ２）と
の差が、予め定義された第３しきい値よりも小さいかどうかの検査によって、マスターコントローラ（２）のグローバル時刻の時刻同期を検証するように構成されている、請求項７又は８に記載のマスターコントローラ（２）。
【請求項10】
プライベートバス経由でマスターコントローラ（２）に接続されるように構成されている、スレーブコントローラ（３）であって、前記スレーブコントローラ（３）は、－マスターコントローラ（２）の予め定義されたピンのプルに応答して、プライベートバス経由で前記マスターコントローラ（２）からフォローアップメッセージを受信するように構成されていて、ここではフォローアップメッセージには、予め定義されたピンのプルがなされたときのマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）が含まれていて、
－マスターコントローラ（２）の予め定義されたピンのプルを検出し、予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）を捕捉するように構成されていて、
－フォローアップメッセージに含まれるマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）と、
予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときにスレーブコントローラ（３）によって捕捉されたグローバル時刻（ｔｂＳ２）と
の差が予め定義された第１しきい値より小さいかどうかの検査によって、時刻同期を検証するように構成されている、スレーブコントローラ（３）。
【請求項11】
前記スレーブコントローラ（３）が、－受信したフォローアップメッセージに応答して、プライベートバス経由でマスターコントローラ（２）に検証メッセージを送信し、ここでは前記検証メッセージには、予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）が含まれていて、これにより、マスターコントローラ（２）は、
予め定義されたピンのプルがなされたときのマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）と、
予め定義されたピンのプルがスレーブコントローラ（３）によって検出されるときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）と
の差が予め定義された第１しきい値よりも小さいかどうかの検査の検査によってマスターコントローラ（２）で時刻同期を検証可能である、請求項１０に記載のスレーブコントローラ（３）。
【請求項12】
前記スレーブコントローラ（３）は、－スレーブコントローラ（３）のローカルハードウェアカウンタ（ｃｂＳ２）を捕捉し、前記ローカルハードウェアカウンタ（ｃｂＳ２）は、予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当していて、
－フォローアップメッセージに含まれるマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）と、以前のサイクル内のフォローアップメッセージに含まれるマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ１）の差と、
－予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当するローカルハードウェアカウンタ（ｃｂＳ２）と、以前のサイクル内で予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ１）に相当するローカルハードウェアカウンタ（ｃｂＳ１）との差と
の差が、予め定義された第２しきい値よりも小さいかどうかの検査の検査によって、スレーブコントローラ（３）のグローバル時刻とマスターコントローラ（２）のグローバル時刻の時刻同期を検証する
ように構成されている、請求項１０又は１１に記載のスレーブコントローラ（３）。
【請求項13】
前記スレーブコントローラ（３）は、スレーブコントローラ（３）のローカルハードウェアカウンタ（ｃｂＳ２）とフォローアップメッセージに含まれるマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）を含む検証メッセージを送信するように構成されていて、これにより、マスターコントローラ（２）は、－検証メッセージに含まれるマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）と、以前のサイクル内で検証メッセージに含まれるマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ１）の差と、
－予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）に相当するローカルハードウェアカウンタ（ｃｂＳ２）と、以前のサイクル内で予め定義されたピンのプルがスレーブコントローラ（３）によって検出されたときのスレーブコントローラ（３）のグローバル時刻（ｔｂＳ１）に相当するローカルハードウェアカウンタ（ｃｂＳ１）との差と
の差が予め定義された第２しきい値よりも小さいかどうかの検査によって、スレーブコントローラ（３）のグローバル時刻とマスターコントローラ（２）のグローバル時刻の時刻同期を検証可能である、
請求項１２に記載のスレーブコントローラ（３）。
【請求項14】
前記スレーブコントローラ（３）は、ローカルハードウェアカウンタ（ｃｂＳ２）とスレーブコントローラ（３）のグローバル時刻（ｔｂＳ２）を捕捉した後、スレーブコントローラ（３）のグローバル時刻をフォローアップメッセージに含まれるマスターコントローラ（２）のグローバル時刻（ｔ’ａＭ２）に更新するように構成されている、請求項１０から１３のいずれか一項に記載のスレーブコントローラ（３）。
【請求項15】
請求項７から９のいずれか一項に記載のマスターコントローラ（２）と、請求項１０から１４のいずれか一項に記載のスレーブコントローラ（３）と、
前記マスターコントローラ（２）と前記スレーブコントローラ（３）とを相互に接続するプライベート通信バス（４）と
を備える、通信ネットワークにおいて、
前記プライベート通信バス（４）が、マスターコントローラ（２）の予め定義されたピンとスレーブコントローラ（３）間の接続を備えている、前記通信ネットワーク。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、プライベートバス経由で互いに接続された少なくとも２つのコントローラの時刻同期の検証方法と、プライベートバス経由でスレーブコントローラに接続され、少なくとも部分的に前述の検証方法を実行するように構成されたマスターコントローラと、プライベートバス経由でマスターコントローラに接続され、少なくとも部分的に前述の検証方法を実行するように構成されたスレーブコントローラと、前述のマスターコントローラ及びスレーブコントローラを備える通信ネットワークと、前述の通信ネットワークを備える車両、例えば自動車とを対象としている。
【背景技術】
【0002】
自律運転車や自動運転車の複雑さが増すにつれて、さまざまな電子制御ユニット（ＥＣＵ）によって、自律運転又は自動運転機能が安全要件、例えば、いわゆる自動車安全度水準（ＡＳＩＬ）を満たすのに必要な要件を確実に満たすべく、複数の通信バスが使用される。
【0003】
自動車安全度水準（ＡＳＩＬ）は、ＩＳＯ ２６２６２「道路車両の機能安全」により定義されているリスク分類スキームである。ＡＳＩＬ分類は、安全要件が最も低いＱＭから、安全要件が最も高いＡＳＩＬ Ｄまで、５つの安全水準（レベル）で構成されている。
【0004】
自動運転機能の重要な意思決定に関与する全ての関連コントローラは、他のコントローラに従って同期された時間を持つ必要がある。例えばＳＡＥレベル３又はレベル４以上の車両（ＳＡＥ Ｊ３０１６規格には、自動運転システムを搭載した道路走行車両の用語の分類と定義が説明されている）の高度に自動化された車両の時刻同期は、ＡＳＩＬ Ｄを満たす必要がある。
【0005】
最先端の技術では、イーサネットバスの時刻同期は、ＴＳＮ（時間に敏感なネットワーク）用にはＩＥＥＥ ８０２．ＩＡＳが、ＰＴＰ（高精度時間プロトコル）に関してはＩＥＥＥ １５８８に従って行われる。しかしながら、ＰＴＰを介した時刻同期には、同期プロセスの整合性、したがって分散タイムベースの整合性を確保できるように、それぞれの標準に加えて採用され得る対策がいくつも存在する。
【発明の概要】
【発明が解決しようとする課題】
【0006】
しかしながら、コントローラがプライベートバスシステム（例えば、ＰＣＩ Ｅｘｐｒｅｓｓ、ＣＡＮ－ＦＤ、ＭＩＰＩ、ＳＥＲＤＥＳ、ＳＰＩなど）によって相互に接続されている場合、時刻同期のＰＴＰ実装は使用できない。この技術水準に照らして、本発明の課題は、プライベートバス経由で互いに接続された少なくとも２つのコントローラの時刻同期の検証の解決手段の提供である。ここでは、予め定義された安全度水準（例えば、ＡＳＩＬ Ｂ以上）が満たされていることが確保される。
【課題を解決するための手段】
【0007】
この課題は、独立請求項の（複数の）特徴によって解決される。従属請求項には、本発明の好ましいさらなる発展が含まれている。
【0008】
より具体的には、上記の目的は、プライベートバス経由で互いに接続された少なくとも２つのコントローラの時刻同期を検証する方法によって解決される。ここでは、それら少なくとも２つのコントローラの１つはマスターコントローラであり、もう１つはスレーブコントローラである。
【0009】
この方法は、複数のサイクルを備える。各サイクルには、マスターコントローラからスレーブコントローラに、マスターコントローラの予め定義されたピンのプルに応答してフォローアップメッセージを送信することが含まれている。ここでは、フォローアップメッセージには、予め定義されたピンの、プルがなされたときのマスターコントローラのグローバル時刻が含まれている。
【0010】
各サイクルは、さらに、スレーブコントローラからマスターコントローラに、受信したフォローアップメッセージに応答して検証メッセージを送信することを備える。ここでは、その検証メッセージには、予め定義されたピンの、プルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻が含まれる。
【0011】
（最初すなわち第１サイクルを除く）各サイクルは、次の検査による、マスターコントローラと、スレーブコントローラの少なくとも一方で時刻同期の検証をさらに備える。その検査とは、予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻と、予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻の差が、予め定義された第１しきい値よりも小さいかどうかの検査である。この実行の前提条件は、マスターコントローラで同期されたグローバル時刻が既に検証されていることである。
【0012】
この方法は、マスターコントローラで予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻の捕捉を、備えてよい。検証メッセージは、スレーブコントローラのローカルハードウェアカウンタを含めてよい。ここでは、ローカルハードウェアカウンタは、予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に、相当する。
【0013】
スレーブコントローラのローカルハードウェアカウンタは、マスターコントローラとスレーブコントローラとの少なくとも一方の次の検査の実行を可能にする、時間の第２ソースである。
【0014】
すなわち、時刻同期の検証は、マスターコントローラにて、次の検査をさらに備えてよい。その検査とは、
予め定義されたピンのプルがなされたときにマスターコントローラによって捕捉されたグローバル時刻と、以前のサイクルで予め定義されたピンのプルがなされたときにマスターコントローラによって捕捉されたグローバル時刻との差と、
予め定義されたピンのプルがなされたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のサイクルでスレーブコントローラによって検出されたスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタの差と
の差が予め定義された第２しきい値よりも小さいかどうかの検査である。 この検証は、この方法の最初すなわち第１サイクルでは実行されない。
予め定義されたピンのプルがなされたときにマスターコントローラによって捕捉されたグローバル時刻と、以前のサイクルで予め定義されたピンのプルがなされたときにマスターコントローラによって捕捉されたグローバル時刻との差と、
予め定義されたピンのプルがなされたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のサイクルでスレーブコントローラによって検出されたスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタの差と
の差が予め定義された第２しきい値よりも小さいかどうかの検査である。 この検証は、この方法の最初すなわち第１サイクルでは実行されない。
【0015】
追加的又は代替的に、時刻同期の検証は、スレーブコントローラでの次の検査を備えてよい。その検査とは、
フォローアップメッセージでスレーブコントローラが受信したマスターコントローラのグローバル時刻と、以前のサイクル内のフォローアップメッセージでスレーブコントローラが受信したマスターコントローラのグローバル時刻の差と、
予め定義されたピンのプルがスレーブコントローラによって検出されるときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のサイクル内でスレーブコントローラによって予め定義されたピンのプルが検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差と、
の差が、予め定義された第２しきい値よりも小さいかどうかの検査である。
フォローアップメッセージでスレーブコントローラが受信したマスターコントローラのグローバル時刻と、以前のサイクル内のフォローアップメッセージでスレーブコントローラが受信したマスターコントローラのグローバル時刻の差と、
予め定義されたピンのプルがスレーブコントローラによって検出されるときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のサイクル内でスレーブコントローラによって予め定義されたピンのプルが検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差と、
の差が、予め定義された第２しきい値よりも小さいかどうかの検査である。
【0016】
検証メッセージには、予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、前のサイクルでスレーブコントローラによって予め定義されたピンのプルが検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差が含まれてよい。つまり、検証メッセージには、ハードウェアカウンタ間の差分が既に入っているということであり、その差分はスレーブコントローラによって計算される。マスターコントローラは、さらなる（別の）バスに接続してよい。このさらなるバスをメインバスと呼んでもよい。
【0017】
マスターコントローラは、マスターポートとスレーブポートとを備えてよく、マスターコントローラは、そのスレーブポート経由でさらなるバスに接続される。スレーブポートとマスターポートは、それぞれ独自のクロックを備えてよい。
【0018】
この方法は、
マスターコントローラのスレーブポートのクロックのグローバル時刻と、さらなるバスのグローバル時刻との同期と、
好ましくはスレーブポートのクロックのグローバル時刻をさらなるバスのグローバル時刻に同期させた後に、そのマスターコントローラのマスターポートのクロックのグローバル時刻と、そのマスターコントローラのそのスレーブポートのクロックのグローバル時刻との同期と
を備えてよい。
マスターコントローラのスレーブポートのクロックのグローバル時刻と、さらなるバスのグローバル時刻との同期と、
好ましくはスレーブポートのクロックのグローバル時刻をさらなるバスのグローバル時刻に同期させた後に、そのマスターコントローラのマスターポートのクロックのグローバル時刻と、そのマスターコントローラのそのスレーブポートのクロックのグローバル時刻との同期と
を備えてよい。
【0019】
この方法は、マスターコントローラにおいて、予め定義されたピンのプルがなされたときのスレーブポートのグローバル時刻の捕捉をさらに備えてよい。これはまた、好ましくは、スレーブポートのクロックのグローバル時刻をさらなるバスのグローバル時刻に同期させた後に行う。
【0020】
以上のことから、マスターコントローラは以下の検査を実行可能である。すなわち、時刻同期の検証は、マスターコントローラでの次の検査を備えてよい。この検査とは、
マスターコントローラがマスターポートで捕捉したグローバル時刻、すなわち予め定義したピンのプルがなされたときのマスターコントローラのマスターポートのクロックのグローバル時刻と、
マスターコントローラがスレーブポートで捕捉したグローバル時刻、すなわち予め定義したピンのプルがなされたときのマスターコントローラのスレーブポートのクロックのグローバル時刻と
の差が予め定義された第３しきい値よりも小さいかどうかの検査である。
マスターコントローラがマスターポートで捕捉したグローバル時刻、すなわち予め定義したピンのプルがなされたときのマスターコントローラのマスターポートのクロックのグローバル時刻と、
マスターコントローラがスレーブポートで捕捉したグローバル時刻、すなわち予め定義したピンのプルがなされたときのマスターコントローラのスレーブポートのクロックのグローバル時刻と
の差が予め定義された第３しきい値よりも小さいかどうかの検査である。
【0021】
この方法は、好ましくは、予め定義されたピンのプルがスレーブコントローラによって検出されたときにローカルハードウェアカウンタ及びスレーブコントローラのグローバル時刻を捕捉した後、スレーブコントローラのグローバル時刻を、フォローアップメッセージに含まれているマスターコントローラのグローバル時刻に更新することを備えてよい。
【0022】
検証メッセージには、マスターコントローラからスレーブコントローラにフォローアップメッセージ内にて送信されたグローバル時刻が含まれてよい。よって、時刻同期の検証には、
予め定義されたピンのプルがなされたときのマスターコントローラによって捕捉されたグローバル時刻と、
検証メッセージに含まれるグローバル時刻と
の差が、予め定義された第４しきい値よりも小さいかどうかをマスターコントローラで検査することが含まれ得る。
予め定義されたピンのプルがなされたときのマスターコントローラによって捕捉されたグローバル時刻と、
検証メッセージに含まれるグローバル時刻と
の差が、予め定義された第４しきい値よりも小さいかどうかをマスターコントローラで検査することが含まれ得る。
【0023】
さらに、マスターコントローラが提供される。ここでは、マスターコントローラは、プライベートバス経由でスレーブコントローラに接続されるように構成されている。
【0024】
マスターコントローラは、マスターコントローラの予め定義されたピンのプルに応答してプライベートバス経由でスレーブコントローラにフォローアップメッセージを送信し、ピンのプルがなされた時刻を記録する、すなわち捕捉するように、さらに構成されている。ここでは、フォローアップメッセージは、予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻が含まれる。
【0025】
マスターコントローラは、送信されたフォローアップメッセージに応答してプライベートバス経由で前記スレーブコントローラから検証メッセージを受信するように構成されている。ここでは、検証メッセージは、予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻を含む。
【0026】
マスターコントローラはさらに、次の検査によって、スレーブコントローラのグローバル時刻とマスターコントローラのグローバル時刻の時刻同期を検証するように、さらに構成されている。その検査とは、
予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻と
の差が、予め定義された第１しきい値よりも小さいかどうかである。
予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻と
の差が、予め定義された第１しきい値よりも小さいかどうかである。
【0027】
検証メッセージは、時間の第２ソースとしてスレーブコントローラのローカルハードウェアカウンタを備えてよい。ここでは、ローカルハードウェアカウンタは、予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当する。
【0028】
マスターコントローラは、予め定義されたピンのプルがなされたときにマスターコントローラのグローバル時刻を捕捉するように構成可能である。すなわち、マスターコントローラは少なくとも１つのクロックを備えてよく、このクロックの時刻は、予め定義されたピンのプルがなされたときにマスターコントローラによって捕捉される。
【0029】
マスターコントローラは、次の検査によって、スレーブコントローラのグローバル時刻とマスターコントローラのグローバル時刻の時刻同期を検証するように構成可能である。その検査とは、
予め定義されたピンのプルがなされたときにマスターコントローラによって捕捉されたグローバル時刻と、前のサイクルで予め定義されたピンのプルがなされたときにマスターコントローラによって捕捉されたグローバル時刻との差と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のサイクル内で予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差と
の差が、予め定義された第２しきい値よりも小さいかどうかである。
予め定義されたピンのプルがなされたときにマスターコントローラによって捕捉されたグローバル時刻と、前のサイクルで予め定義されたピンのプルがなされたときにマスターコントローラによって捕捉されたグローバル時刻との差と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のサイクル内で予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差と
の差が、予め定義された第２しきい値よりも小さいかどうかである。
【0030】
検証メッセージは、予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のサイクル内でスレーブコントローラによって予め定義されたピンのプルが検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差を備えてよい。
【0031】
マスターコントローラは、さらなるバスに接続して、マスターコントローラのグローバル時刻をさらなるバスのグローバル時刻に同期するように構成してよい。
【0032】
より具体的には、マスターコントローラは、マスターポート及びスレーブポートを備えてよい。ここでは、スレーブポート及びマスターポートそれぞれがクロックを備える。マスターコントローラは、そのスレーブポート経由で、例えば車両のメインバスの、さらなるバスに接続してよい。そしてマスターコントローラは、スレーブポートのクロックのグローバル時刻をさらなるバスのグローバル時刻に同期するように構成してよい。これは、ＰＴＰを使用して実行可能である。好ましくはその後、マスターコントローラは、マスターポートのクロックのグローバル時刻をマスターコントローラのスレーブポートのクロックのグローバル時刻に同期させ、予め定義されたピンのプルがなされたときのスレーブポートのグローバル時刻を捕捉する。
【0033】
マスターコントローラは、次の検査によって、スレーブポートのクロックのグローバル時刻とマスターポートのクロックのグローバル時刻の時刻同期を検証するように構成可能である。その検査とは、
そのマスターポートのクロックのグローバル時刻（好ましくは、予め定義されたピンのプルがなされたときに捕捉される）と、
そのスレーブポートのクロックのグローバル時刻（また、予め定義されたピンのプルがなされたときに好ましくは捕捉される）と
の差が、予め定義された第３しきい値よりも小さいかどうかの検査である。
そのマスターポートのクロックのグローバル時刻（好ましくは、予め定義されたピンのプルがなされたときに捕捉される）と、
そのスレーブポートのクロックのグローバル時刻（また、予め定義されたピンのプルがなされたときに好ましくは捕捉される）と
の差が、予め定義された第３しきい値よりも小さいかどうかの検査である。
【0034】
この検証により、マスターコントローラは内部クロック間の差が、ある許容範囲内にあるかどうかを検査できる。
【0035】
さらに、スレーブコントローラが提供され、ここで、スレーブコントローラは、プライベートバス経由でマスターコントローラに接続されるように構成されている。スレーブコントローラは、マスターコントローラの予め定義されたピンのプルに応答して、プライベートバス経由で前記マスターコントローラからフォローアップメッセージを受信するように構成される。ここではフォローアップメッセージには、予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻が含まれる。
【0036】
スレーブコントローラはさらに、マスターコントローラの予め定義されたピンのプルを検出し、予め定義されたピンのプルがスレーブコントローラによって検出された場合にスレーブコントローラのグローバル時刻を捕捉するように構成されている。
【0037】
スレーブコントローラは、次の検査によって、時刻同期を検査することで検証するようにさらに構成されている。その検査とは、
フォローアップメッセージに含まれるマスターコントローラのグローバル時刻と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときにスレーブコントローラによって捕捉されたグローバル時刻、すなわち、スレーブコントローラで予め定義されたピンのプルを検出したときのスレーブコントローラのクロックのグローバル時刻と
の差が予め定義された第１しきい値より小さいかどうかの検査である。
フォローアップメッセージに含まれるマスターコントローラのグローバル時刻と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときにスレーブコントローラによって捕捉されたグローバル時刻、すなわち、スレーブコントローラで予め定義されたピンのプルを検出したときのスレーブコントローラのクロックのグローバル時刻と
の差が予め定義された第１しきい値より小さいかどうかの検査である。
【0038】
スレーブコントローラは、受信したフォローアップメッセージに応答して、プライベートバス経由でマスターコントローラに検証メッセージを送信するように構成可能である。
【0039】
検証メッセージには、予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻が含まれてよい。これにより、マスターコントローラは、次の検査によってマスターコントローラで時刻同期を検証可能である。その検査とは、
予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻と、
予め定義されたピンのプルがスレーブコントローラによって検出されるときのスレーブコントローラのグローバル時刻と
の差が予め定義された第１しきい値よりも小さいかどうかの検査である。検証メッセージには、フォローアップメッセージに含まれるマスターコントローラのグローバル時刻も含まれてよい。
予め定義されたピンのプルがなされたときのマスターコントローラのグローバル時刻と、
予め定義されたピンのプルがスレーブコントローラによって検出されるときのスレーブコントローラのグローバル時刻と
の差が予め定義された第１しきい値よりも小さいかどうかの検査である。検証メッセージには、フォローアップメッセージに含まれるマスターコントローラのグローバル時刻も含まれてよい。
【0040】
スレーブコントローラは、スレーブコントローラのローカルハードウェアカウンタを捕捉するように構成してよい。ここでは、ローカルハードウェアカウンタは、予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当する。
【0041】
スレーブコントローラは、次の検査によって、スレーブコントローラのグローバル時刻とマスターコントローラのグローバル時刻の時刻同期を検証するように構成してよい。その検査とは、
フォローアップメッセージに含まれるマスターコントローラのグローバル時刻と、以前のあるサイクル内のフォローアップメッセージに含まれるマスターコントローラのグローバル時刻の差と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のあるサイクル内で予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差と
の差が、予め定義された第２しきい値よりも小さいかどうかの検査である。
フォローアップメッセージに含まれるマスターコントローラのグローバル時刻と、以前のあるサイクル内のフォローアップメッセージに含まれるマスターコントローラのグローバル時刻の差と、
予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のあるサイクル内で予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差と
の差が、予め定義された第２しきい値よりも小さいかどうかの検査である。
【0042】
スレーブコントローラは、スレーブコントローラのローカルハードウェアカウンタとフォローアップメッセージに含まれるマスターコントローラのグローバル時刻を含む検証メッセージを送信するように構成可能である。これにより、マスターコントローラは、次の検査によって、スレーブコントローラのグローバル時刻とマスターコントローラのグローバル時刻の時刻同期を検証可能である。その検査とは、
検証メッセージに含まれるマスターコントローラのグローバル時刻と、以前のサイクル内で検証メッセージに含まれるマスターコントローラのグローバル時刻の差と、
スレーブコントローラによって予め定義されたピンのプルが検出された場合のスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のサイクル内で予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差と
の差が予め定義された第２しきい値よりも小さいかどうかの検査である。両方のローカルハードウェアカウンタを検証メッセージに含められる。また、２つのローカルハードウェアカウンタの差のみが検証メッセージに含まれているようにしてもよい。
検証メッセージに含まれるマスターコントローラのグローバル時刻と、以前のサイクル内で検証メッセージに含まれるマスターコントローラのグローバル時刻の差と、
スレーブコントローラによって予め定義されたピンのプルが検出された場合のスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタと、以前のサイクル内で予め定義されたピンのプルがスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタとの差と
の差が予め定義された第２しきい値よりも小さいかどうかの検査である。両方のローカルハードウェアカウンタを検証メッセージに含められる。また、２つのローカルハードウェアカウンタの差のみが検証メッセージに含まれているようにしてもよい。
【0043】
スレーブコントローラは、ローカルハードウェアカウンタとスレーブコントローラのグローバル時刻を捕捉した後、スレーブコントローラによって予め定義されたピンのプルが検出されたときに、スレーブコントローラのグローバル時刻をフォローアップメッセージに含まれるマスターコントローラのグローバル時刻に更新するように構成可能である。
【0044】
さらに、通信ネットワークが提供される。ここでは、通信ネットワークは、上述したマスターコントローラと、上述したスレーブコントローラと、マスターコントローラとスレーブコントローラとを相互に接続するプライベート通信バスとを備えてよい。プライベート通信バスは、マスターコントローラの予め定義されたピンとスレーブコントローラ間の接続で構成できる。通信ネットワークは、マスターコントローラに接続されたさらなる通信バスを備えてよい。ここで、マスターコントローラは、そのグローバル時刻をさらなるバスのグローバル時刻に同期するように構成されている。
【0045】
さらに車両、例えば自動車を提供可能である。ここでは、この車両は上述の通信ネットワークを備える。
【0046】
要するに、本発明の基本原理は、コントローラの時間同期のためにＰＴＰをエミュレートすることである。
【0047】
ＡＳＩＬ Ｂ又はＡＳＩＬ Ｄに準拠した時刻同期の検証は、さまざまな安全機構によって確保できる。例えばマイクロコントローラといったコントローラは、１つ又はそれより多いスレーブコントローラを備えたマスターコントローラに分割してよい。ここでは、マスターコントローラは標準時刻同期を可能にする任意の通信バス（例えば、イーサネット（登録商標）、Ｆｌｅｘｒａｙ（ＦｌｅｘＲａｙ、登録商標）、ＣＡＮ－ＦＤ）に接続される。マスターコントローラのみが追加のバス、すなわちメインバスに接続されているため、マスターコントローラとスレーブコントローラはプライベートネットワーク、すなわち自己完結型ネットワークの一部である。
【0048】
マスターコントローラは、１つの時刻表現のみを持つものとしてもよく、もしくは時刻同期スレーブポートと複数の時刻同期マスターポートを備えるものとしてもよい。
【0049】
マスターコントローラは、例えば、汎用入出力ピン（ＧＰＩＯ）の予め定義されたピンがマスターコントローラからプルがなされると、グローバル時刻を含むフォローアップメッセージを提供する。スレーブコントローラは、時刻同期スレーブポートのみを備えるものとしてよい。
【0050】
ピンのプルの組み合わせによる使用、もしくはエミュレートされたピンのプルを、フォローアップメッセージを備えた時刻同期機構と共にエミュレートされたピンのプルを、提供可能である。
【0051】
マスターコントローラでの、予め定義されたピンのプルがスレーブコントローラ側で検出された時点にできるだけ近い時点で、ローカルハードウェアカウンタの値とそれに関連するグローバル時刻を捕捉できる。
【0052】
スレーブコントローラでのグローバル時刻は、フォローアップメッセージによって受信された新しい値に基づいてスレーブコントローラでのグローバル時刻が更新される前に、捕捉される必要がある。このフォローアップは、すなわち、予め定義されたピンのプルに応答してマスター（コントローラ）からスレーブコントローラに送信されるフォローアップメッセージである。
【0053】
スレーブコントローラでハードウェアカウンタ及びグローバル時刻の捕捉後、時刻同期機構は、フォローアップメッセージを使用してスレーブコントローラでのグローバル時刻を更新可能である。
【0054】
時刻同期機構、すなわち、ＧＰＩＯのプルとフォローアップメッセージと、ローカル ハードウェアカウンタを使用して、スレーブコントローラ側のシステム時刻を検証できる。
【0055】
この概念により、通信チャネルによって相互接続されていてよい異なる複数のコントローラ（そこでは、標準の同期及び検証機構を利用できない）が、それらの時刻を内部検証できるようになる。
【0056】
時刻検証では、一般的に使用される時刻同期用の１つのピン接続を、マスターとスレーブコントローラでそれぞれ時刻同期と時刻検証の間で共有できるため、マスターとスレーブコントローラ間の追加のピン（例えば、ＧＰＩＯ）接続は不要である。
【0057】
任意の２つの同期の間の期間に、検証メッセージ、すなわち受信したフォローアップメッセージに応答する検証メッセージを、スレーブコントローラからマスターコントローラに送信可能である。
【0058】
この検証メッセージには、２つの同期ポイント間のスレーブコントローラのハードウェアカウンタの差と、予め定義したのピンのプルが現在の通信サイクルに登録されたときに捕捉されたスレーブコントローラのグローバル時刻と、加えてフォローアップメッセージ内で受信されたグローバル時刻も含められる。
【0059】
マスターコントローラは、予め定義されたピンのプルがなされた時点に非常に近いフォローアップメッセージに書き込まれるグローバル時刻を捕捉可能である。
【0060】
安全性又は検証検査は、マスターコントローラとスレーブコントローラ両方でのリープ（ＬＥＡＰ）検出を含めるため、マスターコントローラとスレーブコントローラで実行可能である。スレーブ側では、予め定義されたピンのプルがなされた時点にスレーブコントローラで捕捉されたグローバル時刻と、フォローアップメッセージで受信したグローバル時刻との差は、予め定義された第１しきい値よりも小さくなければならない。
【0061】
マスター側では、フォローアップメッセージに書き込まれるグローバル時刻と、検証メッセージに含まれるスレーブ側で受信されたグローバル時刻の差は、予め定義された第１しきい値よりも小さくなければならない。
【0062】
【図面の簡単な説明】
【0063】
【発明を実施するための形態】
【0064】
図１からまとめると、通信ネットワーク１は、マスターコントローラ２と、スレーブコントローラ３と、マスターコントローラ２とスレーブコントローラ３とを相互接続するプライベート通信バス４とを備える。
【0065】
マスターコントローラ２は、別の、すなわちさらなる通信ネットワークの、マスターコントローラ５のマスターポート５１に接続されているスレーブポート２１を備える。マスターコントローラ２は、プライベート通信バス４経由でスレーブコントローラ３のスレーブポート３１に接続されているマスターポート２２をさらに備える。ここでは、これらのポート２２、３１は、図２に関して以下に詳述するマスターコントローラ２とスレーブコントローラ３との時刻同期に用いられる。
【0066】
さらなる通信ネットワーク、すなわちさらなる通信バス（例えば、イーサネット（登録商標）、Ｆｌｅｘｒａｙ（ＦｌｅｘＲａｙ、登録商標）、ＣＡＮ－ＦＤ）は、標準時刻同期を可能にする。標準時刻同期とは、マスターコントローラ２のグローバル時刻が、さらなる通信バスのグローバル時刻に同期され、例えば、マスターコントローラ２においてスレーブポート２１経由でさらなる通信ネットワークのマスターコントローラ５１から同期時刻ＴＡＳＩを備える時刻同期メッセージを受信することによって、さらなる通信バスのグローバル時刻に同期されるような処理である。
【0067】
より具体的には、各マスターポート２２及びスレーブポート２１は独自のクロックを備える。スレーブポート２１のクロックのグローバル時刻は、例えばＰＴＰを使用して、さらなるバスのグローバル時刻に同期され、その後、マスターポート２２のクロックのグローバル時刻が、スレーブポート２１のクロックの同期されたグローバル時刻に同期される。
【0068】
前述の方法は、複数のサイクルを備える。ここでは、２つのサイクルが図２に示されている。各サイクルの開始は、マスターコントローラ２の予め定義されたピンのプル、ここではサイクリックＧＰＩＯのプルによって起動される。
【0069】
最初に、すなわちマスターコントローラ２のグローバル時刻をさらなるバスのグローバル時刻に同期させた後、マスターコントローラ２は、プライベート通信バス４経由でマスターコントローラ２の予め定義されたピンのプルに応じてフォローアップメッセージをスレーブコントローラ３のスレーブポート３１に送信する。
【0070】
フォローアップメッセージは、マスターコントローラ２のグローバル時刻ｔａＭ１、ｔａＭ２、すなわち、方法の実際のサイクル中に予め定義されたピンのプルされた時刻を備える。
【0071】
スレーブコントローラ３で受信したフォローアップメッセージに応答して、スレーブコントローラ３は、そのスレーブポート３１及び通信バス４経由でマスターコントローラ２に検証メッセージを送信する。
【0072】
検証メッセージには、予め定義されたピンのプルが実際の又は現在のサイクルでスレーブコントローラ３によって検出されたときのスレーブコントローラ３のグローバル時刻ｔｂｓ１、ｔｂｓ２が含まれている。マスターコントローラ３は、受信したグローバル時刻ｔｂｓ１、ｔｂｓ２を捕捉する、すなわち保存するように構成されている。検証メッセージには、前記スレーブコントローラ３のローカルハードウェアカウンタＣｂｓ１、Ｃｂｓ２がさらに含まれている。ここではローカルハードウェアカウンタＣｂｓ１、Ｃｂｓ２は、現在のサイクル内でスレーブコントローラ３によって予め定義されたピンのプルが検出されたときのスレーブコントローラ３のグローバル時刻ｔｂｓ１、ｔｂｓ２に相当する。
【0073】
そのため、スレーブコントローラ３は、予め定義されたピンのプルがスレーブコントローラ３によって検出された場合にローカルハードウェアカウンタＣｂｓ１、Ｃｂｓ２とともにスレーブコントローラ３のグローバル時刻ｔｂｓ１、ｔｂｓ２を捕捉する。図２からまとめられるように、ハードウェアカウンタＣｂｓ１、Ｃｂｓ２の各値は、それぞれのサイクルのスレーブコントローラ３のグローバル時刻ｔｂｓ１、ｔｂｓ２、すなわち同期時間に直接リンクされている。
【0074】
スレーブコントローラ３は、現在のサイクルにおいてスレーブコントローラ３により予め定義されたピンのプルが検出された場合のスレーブコントローラ３のグローバル時刻ｔｂｓ２に相当するローカルハードウェアカウンタＣｂｓ２と、前回のスレーブコントローラ３により予め定義されたピンのプルが検出された場合のスレーブコントローラのグローバル時刻ｔｂｓ１に相当するローカルハードウェアカウンタＣｂｓ１との差分を算出する。この差は、検証メッセージでスレーブコントローラ３からマスターコントローラ２に送られる。値ｔｂｓ１、Ｃｂｓ１は、前の同期サイクルで捕捉された値である。この方法の最初のサイクルではこの差を計算できないため（前のサイクルでスレーブコントローラ３によって予め定義されたピンのプルが検出されたときに、スレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタがないため）、この値は最初のサイクル中、すなわち、第１検証メッセージ内でゼロに設定される。
【0075】
これらの値ｔｂｓ１、Ｃｂｓ１、ｔｂｓ２、Ｃｂｓ２を捕捉後、スレーブコントローラ３は、更新、すなわち、そのグローバル時刻をグローバル時刻ｔ’ａＭ１、ｔ’ａＭ２がマスターコントローラ２から受信したフォローアップメッセージに同期させる。
【0076】
さらに、スレーブコントローラ３は、フォローアップメッセージにおいてマスターコントローラ２から受信した検証メッセージにグローバル時刻ｔ’ａＭ１、ｔ’ａＭ２を加算する。そのグローバル時刻は、スレーブコントローラ３のグローバル時刻が更新された時刻である。フォローアップメッセージから受信したグローバル時刻ｔ’ａＭ１、ｔ’ａＭ２をマスターコントローラ２に送り返すことは、通信経路上（例えば、プライベートバス４上での伝送の間のマスターコントローラ２の送信している通信スタックにて、スレーブコントローラ３の受信している通信スタックにて、スレーブコントローラ３の送信している通信スタックにて、マスターコントローラ２の受信している通信スタックにて、の少なくとも１か所）で値が改ざんされなかったことを確実にする。
【0077】
スレーブコントローラ３でのソフトウェア処理には時間がかかる（この遅延は図２のＡｔで示されている）ので、また、プログラムとハードウェアの処理には他の不確実性も存在するので、マスターコントローラ２とスレーブコントローラ３の時刻同期はＡＳＩＬ ＱＭ安全要件のみを満たす標準機構で処理される。すなわち、マスターコントローラ２とスレーブコントローラ３のグローバル時刻の差が特定の範囲内にあることを検証、すなわち確保しなければならない。これは、ＡＳＩＬ Ｄまでの安全要件で実行可能であろう。
【0078】
時刻同期の検証は、マスターコントローラ２及びスレーブコントローラ３において、次の検査を備える。その検査とは、
第２サイクル中に予め定義されたピンのプルがなされた場合のマスターコントローラ２のグローバル時刻ｔ’ａＭ２と、
第２サイクル中にスレーブコントローラ３によって予め定義されたピンのプルが検出されたときのスレーブコントローラのグローバル時刻ｔｂｓ２と
の差が、予め定義された第１しきい値よりも小さいかどうかの検査である。それゆえ、マスターコントローラ２は、フォローアップメッセージに含まれるグローバル時刻ｔ’ａＭ２と、スレーブコントローラ３からマスターコントローラ２に送信される検証メッセージ内のスレーブコントローラ３のグローバル時刻ｔｂｓ２とを受信する。換言すると、スレーブコントローラ３は、検証メッセージ内でグローバル時刻ｔ’ａＭ２をマスターコントローラ２に送り返す。
第２サイクル中に予め定義されたピンのプルがなされた場合のマスターコントローラ２のグローバル時刻ｔ’ａＭ２と、
第２サイクル中にスレーブコントローラ３によって予め定義されたピンのプルが検出されたときのスレーブコントローラのグローバル時刻ｔｂｓ２と
の差が、予め定義された第１しきい値よりも小さいかどうかの検査である。それゆえ、マスターコントローラ２は、フォローアップメッセージに含まれるグローバル時刻ｔ’ａＭ２と、スレーブコントローラ３からマスターコントローラ２に送信される検証メッセージ内のスレーブコントローラ３のグローバル時刻ｔｂｓ２とを受信する。換言すると、スレーブコントローラ３は、検証メッセージ内でグローバル時刻ｔ’ａＭ２をマスターコントローラ２に送り返す。
【0079】
この検査は、マスターコントローラ２のグローバル時刻とスレーブコントローラ３のグローバル時刻が、例えば、ＡＳＩＬ Ｄといった、安全度要件を満たすように同期されていることを確かにするため、実行される。
【0080】
代替的又は追加的に、マスターコントローラ２は、予め定義されたピンのプルがなされたときのマスターコントローラ２のグローバル時刻ｔ’ａＭ２を送信するだけでなく、予め定義されたピンのプルがなされたときのマスターコントローラ２のグローバル時刻ｔａＭ２を捕捉して保存する。
【0081】
時刻同期の検証は、それから、マスターコントローラ２において、次の検査の実施も備える。その検査とは、
第２サイクル中にマスターコントローラ２によって捕捉されたグローバル時刻ｔａＭ２と、第１サイクル中に予め定義されたピンのプルがなされたときにマスターコントローラ２によって捕捉されたグローバル時刻ｔａＭ１との差と、
第２サイクル中にマスターコントローラ２によって受信されたローカルハードウェアカウンタＣｂｓ２と、第２サイクル中にマスターコントローラ２によっても受信されかつ第１サイクル中で予め定義されたピンのプルがスレーブコントローラ３によって検出されたときのスレーブコントローラ３のグローバル時刻ｔｂｓ１に相当するローカルハードウェアカウンタＣｂｓ１との間の差と
の差が予め定義された第２しきい値よりも小さいかどうかの検査である。
第２サイクル中にマスターコントローラ２によって捕捉されたグローバル時刻ｔａＭ２と、第１サイクル中に予め定義されたピンのプルがなされたときにマスターコントローラ２によって捕捉されたグローバル時刻ｔａＭ１との差と、
第２サイクル中にマスターコントローラ２によって受信されたローカルハードウェアカウンタＣｂｓ２と、第２サイクル中にマスターコントローラ２によっても受信されかつ第１サイクル中で予め定義されたピンのプルがスレーブコントローラ３によって検出されたときのスレーブコントローラ３のグローバル時刻ｔｂｓ１に相当するローカルハードウェアカウンタＣｂｓ１との間の差と
の差が予め定義された第２しきい値よりも小さいかどうかの検査である。
【0082】
これによりカウンタ値、すなわちローカルハードウェアカウンタＣｂｓ２－Ｃｂｓ１の差を用いて前記スレーブコントローラ３上で第１サイクルと第２サイクルとの間の経過時間と、マスターポート３１の時間差とを用いてマスターコントローラ２上の第１サイクルと第２サイクルとの間の経過時間と（すなわちｔａＭ２－ｔａＭ１）が、同期しているか（すなわち、許容範囲内（上述を参照されたい。例えば、ＡＳＩＬ Ｄ）にあるか）を検査できる。
【0083】
時刻同期の検証は、スレーブコントローラ３において次の検査の実施を備える。それは、
第２サイクル中にスレーブコントローラ３が受信したグローバル時刻ｔ’ａＭ２と第１サイクル中にスレーブコントローラ３が受信したグローバル時刻ｔ’ａＭ１との差と、
第２サイクル中にスレーブコントローラ３によって捕捉されたローカルハードウェアカウンタＣｂｓ２と、第１サイクル中にスレーブコントローラ３によって捕捉されたローカルハードウェアカウンタＣｂｓ１であって、第１サイクル中に予め定義されたピンのプルがスレーブコントローラ３によって検出されたときのスレーブコントローラ３のグローバル時刻ｔｂｓ１に相当するローカルハードウェアカウンタＣｂｓ１との差と
との差が予め定義された第２しきい値よりも小さいかどうかの検査である。
第２サイクル中にスレーブコントローラ３が受信したグローバル時刻ｔ’ａＭ２と第１サイクル中にスレーブコントローラ３が受信したグローバル時刻ｔ’ａＭ１との差と、
第２サイクル中にスレーブコントローラ３によって捕捉されたローカルハードウェアカウンタＣｂｓ２と、第１サイクル中にスレーブコントローラ３によって捕捉されたローカルハードウェアカウンタＣｂｓ１であって、第１サイクル中に予め定義されたピンのプルがスレーブコントローラ３によって検出されたときのスレーブコントローラ３のグローバル時刻ｔｂｓ１に相当するローカルハードウェアカウンタＣｂｓ１との差と
との差が予め定義された第２しきい値よりも小さいかどうかの検査である。
【0084】
これにより、
カウンタ値（すなわち、ローカルハードウェアカウンタ間の差Ｃｂｓ２－Ｃｂｓ１）を使ってスレーブコントローラ３上の第１サイクルと第２サイクルとの間の経過時間と、
フォローアップメッセージに含まれているグローバル時刻の差（すなわちｔ’ａＭ２－ｔ’ａＭ１）を使ってマスターコントローラ２上の第１サイクルと第２サイクルとの間の経過時間と
が同期している（すなわち許容範囲（上記参照、例えばＡＳＩＬ Ｄ）内である）かどうか検査できる。
カウンタ値（すなわち、ローカルハードウェアカウンタ間の差Ｃｂｓ２－Ｃｂｓ１）を使ってスレーブコントローラ３上の第１サイクルと第２サイクルとの間の経過時間と、
フォローアップメッセージに含まれているグローバル時刻の差（すなわちｔ’ａＭ２－ｔ’ａＭ１）を使ってマスターコントローラ２上の第１サイクルと第２サイクルとの間の経過時間と
が同期している（すなわち許容範囲（上記参照、例えばＡＳＩＬ Ｄ）内である）かどうか検査できる。
【0085】
また、マスターコントローラ２のマスターポート２２とスレーブポート２１の時刻同期が同期しているか、すなわち許容範囲（上述を参照のこと。例えばＡＳＩＬ Ｄ）内にあるかも検査できる。したがって、時刻同期の検証は、次の検査を備えられる。その検査とは、
マスターコントローラ２において、第２サイクル中に予め定義されたピンのプルがなされたときにマスターコントローラ２がマスターポート２２で捕捉したグローバル時刻ｔａＭ２と、
第２サイクル中に予め定義されたピンのプルがなされたときにマスターコントローラ２がスレーブポート２１で捕捉したグローバル時刻ｔａｓ２と
の差が、予め定義された第３しきい値よりも小さいかどうかの検査である。この検査は、この方法の第１サイクル（ｔａＭ１－ｔａｓ１＜第３しきい値）から開始して実行もできる。
マスターコントローラ２において、第２サイクル中に予め定義されたピンのプルがなされたときにマスターコントローラ２がマスターポート２２で捕捉したグローバル時刻ｔａＭ２と、
第２サイクル中に予め定義されたピンのプルがなされたときにマスターコントローラ２がスレーブポート２１で捕捉したグローバル時刻ｔａｓ２と
の差が、予め定義された第３しきい値よりも小さいかどうかの検査である。この検査は、この方法の第１サイクル（ｔａＭ１－ｔａｓ１＜第３しきい値）から開始して実行もできる。
【0086】
さらに、プライベートバス４の通信経路の完全性を確保するために、マスターコントローラ２で捕捉された時間ｔａＭ２（予め定義されたピンのプルがなされ、スレーブコントローラ３へのフォローアップメッセージに書き込まれたとき）は、マスターコントローラ２によってグローバル時刻ｔ’ａＭ２（スレーブコントローラ３がフォローアップメッセージで受信し、マスターコントローラ２への検証メッセージに書き込んだ）と比較される。ここで、これらの値の差は、予め定義された第４しきい値よりも小さくする必要がある。ｔａＭ２とｔ’ａＭ２は、マスターコントローラ３の送信経路、スレーブコントローラ３の送信経路及び受信経路が、標準のオートザー（Ａｕｔｏｓａｒ、ＡＵＴｏｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ Ａｒｃｈｉｔｅｃｔｕｒｅ）機構を使用してＡＳＩＬ ＱＭとしてのみ実現されるため、異なる場合がある。この検査は、方法の最初のサイクル（ｔ’ａＭ１－ｔａＭ１＜第４しきい値）から開始して実行もできる。
【0087】
上述の検査は、マスターコントローラ２について次のように要約できる。
【数1】
【0088】
上述した検査は、スレーブコントローラ３について次のように要約できる。
【数2】
【符号の説明】
【0089】
１ 通信ネットワーク
２ マスターコントローラ
２１ マスターコントローラのスレーブポート
２２ マスターコントローラのマスターポート
３ スレーブコントローラ
３１ スレーブコントローラのスレーブポート
４ プライベート通信バス
５ さらなる通信ネットワークのさらなるマスターコントローラ
５１ さらなるマスターコントローラのマスターポート
ＧＰＩＯ 汎用入出力
ｔａＭ１、ｔａＭ２ マスターコントローラのマスターポートのクロックのグローバル時刻で、第１又は第２サイクル中に予め定義されたピンのプルがなされた時刻
ｔ’ａＭ１、ｔ’ａＭ２ スレーブコントローラが受信する第１又は第２サイクル中に予め定義されたピンのプルがなされたときのマスターコントローラのマスターポートのグローバル時刻
ｔａｓ１、ｔａｓ２ マスターコントローラのスレーブポートのグローバル時刻
Ｃｂｓ１、Ｃｂｓ２ 予め定義されたピンのプルが第１又は第２サイクルでスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタ
ｔｂｓ１、ｔｂｓ２ 予め定義されたピンのプルが第１又は第２サイクルでスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻
２ マスターコントローラ
２１ マスターコントローラのスレーブポート
２２ マスターコントローラのマスターポート
３ スレーブコントローラ
３１ スレーブコントローラのスレーブポート
４ プライベート通信バス
５ さらなる通信ネットワークのさらなるマスターコントローラ
５１ さらなるマスターコントローラのマスターポート
ＧＰＩＯ 汎用入出力
ｔａＭ１、ｔａＭ２ マスターコントローラのマスターポートのクロックのグローバル時刻で、第１又は第２サイクル中に予め定義されたピンのプルがなされた時刻
ｔ’ａＭ１、ｔ’ａＭ２ スレーブコントローラが受信する第１又は第２サイクル中に予め定義されたピンのプルがなされたときのマスターコントローラのマスターポートのグローバル時刻
ｔａｓ１、ｔａｓ２ マスターコントローラのスレーブポートのグローバル時刻
Ｃｂｓ１、Ｃｂｓ２ 予め定義されたピンのプルが第１又は第２サイクルでスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻に相当するローカルハードウェアカウンタ
ｔｂｓ１、ｔｂｓ２ 予め定義されたピンのプルが第１又は第２サイクルでスレーブコントローラによって検出されたときのスレーブコントローラのグローバル時刻
【図1】
【図2】
【国際調査報告】