JP7774641B2

JP7774641B2 - 時刻同期の検証

Info

Publication number: JP7774641B2
Application number: JP2023562598A
Authority: JP
Inventors: ビルラ・マンジート・シン; アブデルハミード・モハメド－サード
Original assignee: バイエリシエ・モトーレンウエルケ・アクチエンゲゼルシヤフト
Priority date: 2021-04-16
Filing date: 2021-04-16
Publication date: 2025-11-21
Anticipated expiration: 2041-04-16
Also published as: US20240195716A1; KR102893590B1; EP4324123A1; CN117157914A; JP2024515268A; EP4324123B1; WO2022218554A1; US12592874B2; KR20230170734A

Description

本発明は、自動化された車両の通信ネットワークにおける時刻同期を検証するための方法と、方法を実行するように構成された自動化された車両とに関するものである。

自律車両又は自動化された車両の複雑性が増大するにつれて、自律運転機能又は自動化運転機能が例えばいわゆる自動車用安全度水準（ＡｕｔｏｍｏｔｉｖｅＳａｆｅｔｙＩｎｔｅｇｒｉｔｙＬｅｖｅｌ（ＡＳＩＬ））を満たすのに必要な安全性要求を満たすことを保証するために、異なる電子制御ユニット（ＥＣＵ）によって多重通信バスが用いられる。

自動車用安全度水準は、ＩＳＯ２６２６２－自動車の機能安全によって規定されたリスク分類スキームである。ＡＳＩＬ分類は、最も低い安全性要求のＡＳＩＬＡから最も高い安全性要求のＡＳＩＬＤまでの４つの安全性レベルを含んでいる。また、ＱＭとして特定されるハザードは、いかなる安全性要求も規定しない。

自動化された運転機能の危機的な意思決定に関与する関連する全ての制御器は、他の制御器に従って同期された時刻を有する必要がある。例えばＳＡＥレベル３以上の高度に自動化された車両（ＳＡＥＪ３０１６規格は、自動化された運転システムを有する道路走行車両についての分類及び用語の定義を記載している）についての時刻同期は、ＡＳＩＬＢ以上を満たす必要がある。

現在の技術では、イーサネット（Ｅｔｈｅｒｎｅｔ）バスの時刻同期は、ＴＳＮ（ｔｉｍｅｓｅｎｓｉｔｉｖｅｎｅｔｗｏｒｋ）についてのＩＥＥＥ８０２．１ＡＳ及びＰＴＰ（ＰｒｅｃｉｓｉｏｎＴｉｍｅＰｒｏｔｏｃｏｌ）に関するＩＥＥＥ１５８８に従い行われる。しかし、ＰＴＰによる時刻同期では、同期プロセスの完全性ひいては分配されたタイムベースの完全性が保証されるように、それぞれの規格に加えてとられるいくつかの措置が存在する。

当該現在の技術に鑑みて、本発明の目的は、自動化された車両の通信ネットワークの時刻同期の検証のための解決手段を提供することにあり、好ましくは、あらかじめ設定された安全度水準、例えばＡＳＩＬＢ以上が満たされることが保証される。

目的は、独立請求項の特徴によって解決される。従属請求項は、本発明の好ましい更なる発展を含んでいる。

より具体的には、目的は、自動化された車両の通信ネットワークにおける時刻同期を検証するための方法によって解決される。

車両は、自動化された車両又は自律車両、例えばＳＡＥレベル３以上の自動化されたシステムを有する車両であり得る。ＳＡＥレベル３（すなわち”ｅｙｅｓｏｆｆ”（アイズ・フリー））では、運転者は、その注意力を運転タスクから安全にそらすことができ、例えば、運転者は、メールを送ること、又は動画を鑑賞することが可能である。車両は、緊急ブレーキのような迅速な応答を必要とする状況に対処する。運転者は、車両によって介入するよう要求される場合には、製造者によって規定される限られた時間内に介入するように準備している必要がある。自動化されたシステムは、運転者が運転する場面になったときに秩序ある方法で運転者に警告する交替運転者のようなものである。１つの例は、交通渋滞運転手（ＴｒａｆｆｉｃＪａｍＣｈａｕｆｆｅｕｒ）である。ＳＡＥレベル４（すなわち”ｍｉｎｄｏｆｆ”（ドライバー・フリー））では、安全性について運転者の注意力は必要とされない。例えば、運転者は、安全に睡眠をとり、運転席を離れることが可能である。自動運転は、限定された空間範囲（例えばジオフェンス）又は特別な環境の下でのみサポートされる。当該範囲外又は環境外では、運転者がコントロールを取り戻さない場合に、車両は、動作、例えば駐車を安全に中止することができる必要がある。１つの例は、空間範囲における選択された場所のみをカバーするロボットタクシー又はロボットデリバリーサービスである。ＳＡＥレベル５（すなわち”ｓｔｅｅｒｉｎｇｗｈｅｅｌｏｐｔｉｏｎａｌ”（オールフリー））では、人間の介入は全く必要とされない。１つの例は、世界中で通年あらゆる気候条件で全ての道路において動作するロボットタクシーである。

通信ネットワークは、マスタークロックと、第１の通信規格の第１の通信ネットワークとを含んでいる。第１の通信ネットワークは、少なくとも２つの制御ユニットと、１つの中央のバリデータとを含んでいる。

すなわち、第１の通信ネットワークの少なくとも２つの制御ユニット及び中央バリデータは第１のバスを介して互いに接続されており、第１の通信ネットワークの少なくとも２つの制御ユニット及び中央バリデータは、第１の通信規格を用いて互いに通信する。

方法は、マスタークロックから第１の通信ネットワークの２つの制御ユニットへそれぞれ時刻同期メッセージを送信することを含んでおり、時刻同期メッセージは、マスター時刻を含んでいる。

換言すれば、ＱＭとしてのみ実装され得るマスタークロックは、マスタークロックのマスター時刻が第１の通信ネットワークにおいて時刻同期のために用いられることができるように、第１の通信ネットワークへ時刻同期メッセージを送信する。

方法は、第１の通信ネットワークの２つの制御ユニットのローカル時刻を受信したマスター時刻にそれぞれ同期させることを更に含む。

すなわち、第１の通信ネットワークの２つの制御ユニットのうちそれぞれ１つが、ローカルクロック、すなわちマスタークロックから受信されたマスター時刻に例えば周期的に更新（アップデート）されるスレーブクロックを含むことができる。

方法は、第１の通信ネットワークの２つの制御ユニットの同期されたローカル時刻を第１の通信ネットワークの中央バリデータへそれぞれ送信することを更に含む。

すなわち、その各スレーブクロックをマスター時刻へ更新後、すなわち同期後、第１の通信ネットワークの２つの制御ユニットのうちそれぞれ１つが、その同期されたローカル時刻を第１の通信ネットワークの中央バリデータへ送信する。

方法は、第１の通信ネットワークの中央バリデータにおいて、受信した同期されたローカル時刻を互いに比較すること、及び受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、第１の通信ネットワークの中央バリデータが自動化された車両へエラーメッセージを出力することを更に含む。

換言すれば、第１の通信ネットワークの中央バリデータは、ＡＳＩＬＢ以上、例えばＡＳＩＬＤで実装されることができるとともに、第１の通信ネットワークの２つの制御ユニットの同期された時刻を互いに比較するように構成されている。理論的には、第１の通信ネットワークの２つの制御ユニットの同期された時刻は同一のはずである。しかしながら、通信ネットワークにおける待ち時間（呼出し時間）並びに／又はハードウェアバグ及び／若しくはソフトウェアバグにより、当該同期された時刻が互いに異なることがある。第１の通信ネットワークの中央バリデータにより特定される差が、各中央バリデータの安全度水準（ＡＳＩＬＢ以上）に依存する許容範囲内にあれば、各中央バリデータによってエラーフラグは立てられない。そうでなければ、各中央バリデータはエラーフラグを立てる。

方法は、マスタークロックから第１の通信ネットワークの中央バリデータへ時刻同期メッセージを送信すること、及び第１の通信ネットワークの中央バリデータのローカル時刻を受信したマスター時刻と同期させることを更に含むことができる。

その後、方法は、第１の通信ネットワークの中央バリデータにおいて、第１の通信ネットワークの２つの制御ユニットの受信した同期されたローカル時刻を第１の通信ネットワークの中央バリデータの同期されたローカル時刻とそれぞれ比較すること、及び受信した同期されたローカル時刻のうち少なくとも１つと第１の通信ネットワークの中央バリデータの同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、第１の通信ネットワークの中央バリデータが自動化された車両へエラーメッセージを出力することを更に含むことができる。

すなわち、マスター時刻は、マスタークロックから第１の通信ネットワークの２つの制御ユニットのスレーブクロックのみならず、第１の通信ネットワークの中央バリデータにも送信される。したがって、第１の通信ネットワークの中央バリデータが、受信されたマスター時刻へそのローカル時刻を更新することができ、したがって、第１の通信ネットワークの２つの制御ユニットのローカル時刻の上述の比較に加えて、第１の通信ネットワークの中央バリデータも、第１の通信ネットワークの２つの制御ユニットの同期されたローカル時刻との比較のために、自身の同期されたローカル時刻を用いることが可能である。これにより、時刻の検証の信頼性を更に向上させることが可能である。

通信ネットワークは、第２の通信規格の第２の通信ネットワークを更に含むことができ、第２の通信ネットワークは、少なくとも２つの制御ユニット及び１つの中央バリデータを含む。

方法は、第１の通信ネットワークについて上述した方法と類似のように、マスタークロックから第２の通信ネットワークの２つの制御ユニットへ時刻同期メッセージをそれぞれ送信することを更に含むことができる。そして、第２の通信ネットワークの２つの制御ユニットのローカル時刻は、受信したマスター時刻にそれぞれ同期されることが可能である。その後、２つの制御ユニットは、第２の通信ネットワークの中央バリデータへその同期されたローカル時刻をそれぞれ送信することが可能である。そのため、第１の通信ネットワークの中央バリデータが、受信した同期されたローカル時刻を互いに比較することが可能であるとともに、受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、自動化された車両へエラーメッセージを出力することが可能である。

ここでも、方法は、マスタークロックから第２の通信ネットワークの中央バリデータへ時刻同期メッセージを送信すること、第２の通信ネットワークの中央バリデータのローカル時刻を受信したマスター時刻と同期させること、第２の通信ネットワークの中央バリデータにおいて、第２の通信ネットワークの２つの制御ユニットの受信した同期されたローカル時刻を第２の通信ネットワークの中央バリデータの同期されたローカル時刻とそれぞれ比較すること、及び受信した同期されたローカル時刻のうち少なくとも１つと第２の通信ネットワークの中央バリデータの同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、第２の通信ネットワークの中央バリデータから自動化された車両へエラーメッセージを出力することを更に含むことができる。

第１の通信ネットワークについて上述した説明は、第２の通信ネットワークにも当てはまる。さらに、本解決手段により、異なる通信規格を用いる２つのサブネットワーク、すなわち第１及び第２の通信ネットワークを提供することができ、両サブネットワークは、２つのサブネットワークによって提供されるデータ、すなわち情報が例えば自動化された車両の所定の運転者アシスト機能を実行するためのセンサデータ融合において共に用いられることができるように、同一の安全度水準を満たすことができる。

通信ネットワークは、第３の通信規格の第３の通信ネットワークを更に含むことができ、第３の通信ネットワークは、制御ユニットを含むことができる。

ここで、第１の通信ネットワークの中央バリデータは、第３の通信ネットワークにも接続されることができるとともに、第１及び第３の通信ネットワークのためのゲートウェイコントロールユニットとして動作するように構成されることが可能である。

すなわち、第１の通信ネットワークの中央バリデータは、第３の通信ネットワークのためにも設けられることが可能である。中央バリデータは、ゲートウェイ制御ユニットであってよく、すなわち、第１の通信ネットワークから第３の通信ネットワークへのデータフローを可能とすることができ、これらネットワークは異なる通信規格を用いている。したがって、ゲートウェイ制御ユニットは、第１の通信規格によって用いられるプロトコルで送信されるデータを第３の通信規格によって用いられるプロトコルへ転換するための、すなわち変換するための、及び／又はその逆のプロトコル転換器を含むことができる。

方法は、マスタークロックから第３の通信ネットワークの制御ユニットへ時刻同期メッセージを送信すること、第３の通信ネットワークの制御ユニットのローカル時刻を受信したマスター時刻と同期させること、第３の通信ネットワークの制御ユニットの同期されたローカル時刻を第１の通信ネットワークの中央バリデータへ送信すること、第１の通信ネットワークの中央バリデータにおいて、第３の通信ネットワークの制御ユニットの受信した同期されたローカル時刻を第１の通信ネットワークの制御ユニットの受信した同期されたローカル時刻とそれぞれ比較すること、及び第３の通信ネットワークの制御ユニットの受信した同期されたローカル時刻と第１の通信ネットワークの制御ユニットの少なくとも１つの受信した同期されたローカル時刻との間の差があらかじめ設定された第１の閾値よりも大きい場合に、第１の通信ネットワークの中央バリデータから自動化された車両へエラーメッセージを出力することを更に含むことができる。

換言すれば、ゲートウェイ制御ユニットは、第１の通信ネットワークの制御ユニットのためのみならず、第３の通信ネットワークの制御ユニットのためにも、第１の通信ネットワークについて、上述の方法を実施するように構成されることができ、これにより、２つの通信ネットワークの時刻同期が保証／検証される。

第１の通信ネットワークは、更に少なくとも２つの制御ユニットと、更に１つの中央のバリデータとを含んでいる。

方法は、マスタークロックから第１の通信ネットワークの更なる（別の）２つの制御ユニットへ時刻同期メッセージをそれぞれ送信すること、第１の通信ネットワークの更なる２つの制御ユニットのローカル時刻を受信したマスター時刻とそれぞれ同期させること、第１の通信ネットワークの更なる２つの制御ユニットの同期されたローカル時刻を第１の通信ネットワークの更なる（別の）中央バリデータへそれぞれ送信すること、第１の通信ネットワークの更なる中央バリデータにおいて、受信した同期されたローカル時刻を互いに比較すること、及び受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、第１の通信ネットワークの更なる中央バリデータから自動化された車両へエラーメッセージを出力することを更に含むことができる。

方法は、マスタークロックから第１の通信ネットワークの更なる中央バリデータへ時刻同期メッセージを送信すること、第１の通信ネットワークの更なる中央バリデータのローカル時刻を受信したマスター時刻と同期させること、第１の通信ネットワークの更なる中央バリデータにおいて、第１の通信ネットワークの更なる２つの制御ユニットの受信した同期されたローカル時刻を第１の通信ネットワークの更なる中央バリデータの同期されたローカル時刻とそれぞれ比較すること、及び受信した同期されたローカル時刻のうち少なくとも１つと第１の通信ネットワークの更なる中央バリデータの同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、第２の通信ネットワークの中央バリデータから自動化された車両へエラーメッセージを出力することを更に含むことができる。

すなわち、通信ネットワークのために１つより多くの中央バリデータを設けることが可能である。そして、通信ネットワークのうち１つのために設けられるそれぞれ１つの中央バリデータは、それぞれの通信ネットワークのいくつかの制御ユニットに接続されることができ、すなわち、いくつかの制御ユニットは１つのゾーンへ結合／グループ化されることができ、各ゾーンについて中央バリデータを設けることが可能である。したがって、拡張性のある解決手段を提供することが可能である。

さらに、方法は、第１の通信ネットワークの更なる中央バリデータの同期されたローカル時刻を第１の通信ネットワークの中央バリデータへ送信すること、第１の通信ネットワークの中央バリデータにおいて、第１の通信ネットワークの更なる中央バリデータの受信した同期されたローカル時刻を第１の通信ネットワークの中央バリデータのローカルな同期された時刻と比較すること、及び更なるバリデータの受信した同期されたローカル時刻と第１の通信ネットワークの中央バリデータの同期されたローカル時刻との間の差があらかじめ設定された第３の閾値よりも大きい場合に、第１の通信ネットワークの中央バリデータから自動化された車両へエラーメッセージを出力することを含むことができる。これに加えて、又はこれに代えて、方法は、第１の通信ネットワークの中央バリデータの同期されたローカル時刻を第１の通信ネットワークの更なる中央バリデータへ送信すること、第１の通信ネットワークの更なる中央バリデータにおいて、第１の通信ネットワークの中央バリデータの受信した同期されたローカル時刻を第１の通信ネットワークの更なる中央バリデータのローカルな同期された時刻と比較すること、及び中央バリデータの受信した同期されたローカル時刻と第１の通信ネットワークの更なる中央バリデータの同期されたローカル時刻との間の差があらかじめ設定された第３の閾値よりも大きい場合に、第１の通信ネットワークの更なる中央バリデータから自動化された車両へエラーメッセージを出力することを含むことができる。

第１、第２及び第３の閾値は、同一の値であっても、又はそれぞれ異なっていてもよい。

すなわち、各ゾーンのためにそれぞれ設けられる第１の通信ネットワークの中央バリデータは、その各ゾーンにおける時刻同期を検証することができるだけではなく、更に各ゾーン間の時刻同期のクロスチェックを提供することが可能である。

方法は、第１、第２及び／又は第３の通信ネットワークの少なくとも１つの制御ユニットにおいて、マスタークロックからの時刻同期メッセージ内で受信されたマスター時刻が妥当か否かをチェックすること、及び受信したマスター時刻が妥当でない場合に、少なくとも１つの制御ユニットから自動化された車両へエラーメッセージを出力することを更に含むことが可能である。

換言すれば、各制御ユニットのために設けられた各中央バリデータにおいて一元的に実行される時刻同期の検証に加えて、各制御ユニットにおける時刻同期を局所的にチェックすることも可能である。

さらに、上述の方法を実行するように構成された自動化された車両が提供される。

自動化された車両は、通信ネットワークを含むことができる。通信ネットワークは、マスタークロックと、第１の通信規格の第１の通信ネットワークとを含むことができ、第１の通信ネットワークは、少なくとも２つの制御ユニット及び１つの中央バリデータを含む。

マスタークロックは、第１の通信ネットワークの２つの制御ユニットへ時刻同期メッセージをそれぞれ送信するように構成されることができ、時刻同期メッセージは、マスター時刻を含んでいる。

第１の通信ネットワークの２つの制御ユニットは、そのローカル時刻を受信したマスター時刻とそれぞれ同期させるように構成されることが可能である。

第１の通信ネットワークの２つの制御ユニットは、その同期されたローカル時刻を第１の通信ネットワークの中央バリデータへそれぞれ送信するように構成されることが可能である。

第１の通信ネットワークの中央バリデータは、受信した同期されたローカル時刻を互いに比較し、受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、自動化された車両へエラーメッセージを出力するように構成されることが可能である。

さらに、マスタークロックは、マスタークロックから第１の通信ネットワークの中央バリデータへ時刻同期メッセージを送信するように構成されることが可能である。

第１の通信ネットワークの中央バリデータは、そのローカル時刻を受信したマスター時刻と同期させるように構成されることが可能である。

第１の通信ネットワークの中央バリデータは、第１の通信ネットワークの２つの制御ユニットの受信した同期されたローカル時刻をその同期されたローカル時刻とそれぞれ比較するように構成されることが可能である。

第１の通信ネットワークの中央バリデータは、受信した同期されたローカル時刻のうち少なくとも１つとその同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に自動化された車両へエラーメッセージを出力するように構成されることが可能である。

マスタークロックは、第２の通信ネットワークの２つの制御ユニットへ時刻同期メッセージをそれぞれ送信するように構成されることが可能である。

第２の通信ネットワークの２つの制御ユニットは、そのローカル時刻を受信したマスター時刻とそれぞれ同期させるように構成されることが可能である。

第２の通信ネットワークの２つの制御ユニットは、その同期されたローカル時刻を第２の通信ネットワークの中央バリデータへそれぞれ送信するように構成されることが可能である。

第２の通信ネットワークの中央バリデータは、受信した同期されたローカル時刻を互いに比較し、受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、自動化された車両へエラーメッセージを出力するように構成されることが可能である。

マスタークロックは、第２の通信ネットワークへ時刻同期メッセージを送信するように構成されることが可能である。

第２の通信ネットワークの中央バリデータは、そのローカル時刻を受信したマスター時刻と同期させるように構成されることが可能である。

第２の通信ネットワークの中央バリデータは、第２の通信ネットワークの２つの制御ユニットの受信した同期されたローカル時刻をその同期されたローカル時刻とそれぞれ比較し、受信した同期されたローカル時刻のうち少なくとも１つと第１の通信ネットワークの中央バリデータの同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、第１の通信ネットワークの中央バリデータが自動化された車両へエラーメッセージを出力するように構成されることが可能である。

通信ネットワークは、第３の通信規格の第３の通信ネットワークを更に含むことができ、第３の通信ネットワークは、制御ユニットを含む。

第１の通信ネットワークの中央バリデータは、第３の通信ネットワークに接続されることができるとともに、第１及び第３の通信ネットワークのためのゲートウェイコントロールユニットとして動作するように構成されることが可能である。

マスタークロックは、第３の通信ネットワーク、特に第３の通信ネットワークの制御ユニットへ時刻同期メッセージを送信するように構成されることが可能である。

第３の通信ネットワークの制御ユニットは、同期されたそのローカル時刻を受信したマスター時刻と同期させ、第１の通信ネットワークの中央バリデータへその同期されたローカル時刻を送信するように構成されることが可能である。

第１の通信ネットワークの中央バリデータは、第３の通信ネットワークの制御ユニットの受信した同期されたローカル時刻を第１の通信ネットワークの制御ユニットの受信した同期されたローカル時刻とそれぞれ比較し、第３の通信ネットワークの制御ユニットの受信した同期されたローカル時刻と第１の通信ネットワークの制御ユニットの受信した同期されたローカル時刻のうち少なくとも１つとの間の差があらかじめ設定された第１の閾値よりも大きい場合に、自動化された車両へエラーメッセージを出力するように構成されることが可能である。

マスタークロックは、第１の通信ネットワークの更なる２つの制御ユニットへ時刻同期メッセージをそれぞれ送信するように構成されることが可能である。

第１の通信ネットワークの更なる２つの制御ユニットは、同期されたそのローカル時刻を受信したマスター時刻とそれぞれ同期させ、第１の通信ネットワークの更なる中央バリデータへその同期されたローカル時刻をそれぞれ送信するように構成されることが可能である。

第１の通信ネットワークの更なる中央バリデータは、受信した同期されたローカル時刻を互いに比較し、受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、自動化された車両へエラーメッセージを出力するように構成されることが可能である。

マスタークロックは、第１の通信ネットワークの更なる中央バリデータへ時刻同期メッセージを送信するように構成されることが可能である。

第１の通信ネットワークの更なる中央バリデータは、そのローカル時刻を受信したマスター時刻と同期させるように構成されることが可能である。

第１の通信ネットワークの更なる中央バリデータは、第１の通信ネットワークの更なる２つの制御ユニットの受信した同期されたローカル時刻をその同期されたローカル時刻とそれぞれ比較するように構成されることが可能である。

受信した同期されたローカル時刻のうち少なくとも１つと第１の通信ネットワークの更なる中央バリデータの同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、第１の通信ネットワークの更なる中央バリデータは、自動化された車両へエラーメッセージを出力するように構成されることが可能である。

第１の通信ネットワークの更なる中央バリデータは、その同期されたローカル時刻を第１の通信ネットワークの中央バリデータへ送信するように構成されることが可能である。

第１の通信ネットワークの中央バリデータは、第１の通信ネットワークの更なる中央バリデータの受信した同期されたローカル時刻をそのローカルな同期された時刻と比較し、第１の通信ネットワークの更なる中央バリデータの受信した同期されたローカル時刻と第１の通信ネットワークの中央バリデータの同期されたローカル時刻との間の差があらかじめ設定された第３の閾値よりも大きい場合に、自動化された車両へエラーメッセージを出力するように構成されることが可能である。

これに代えて、又はこれに加えて、第１の通信ネットワークの中央バリデータは、その同期されたローカル時刻を第１の通信ネットワークの更なる中央バリデータへ送信するように構成されることが可能である。

第１の通信ネットワークの更なる中央バリデータは、第１の通信ネットワークの中央バリデータの受信した同期されたローカル時刻をその同期されたローカル時刻と比較するように構成されることが可能である。

第１の通信ネットワークの中央バリデータの受信した同期されたローカル時刻と第１の通信ネットワークの更なる中央バリデータの同期されたローカル時刻との間の差があらかじめ設定された第３の閾値よりも大きい場合に、第１の通信ネットワークの更なる中央バリデータは、自動化された車両へエラーメッセージを出力するように構成されることが可能である。

上述の制御ユニットのうち少なくとも１つ、少なくともいくつか又は全ては、マスタークロックから時刻同期メッセージ内で受信したマスター時刻が妥当であるか否かをチェックし、受信したマスター時刻が妥当でない場合には、自動化された車両へエラーメッセージを出力するように構成されることが可能である。

さらに、方法についての上述の説明は、自動化された車両にも当てはまり、また、逆も同様である。

本発明の上述の説明は、換言して以下のとおり要約されることが可能である。マスタークロックは、全てのノード、すなわち全ての電子制御ユニット（ＥＣＵ）へそのそれぞれの通信バス、例えばイーサネット（Ｅｔｈｅｒｎｅｔ）、ＣＡＮ－ＦＤ、ＬＩＮ及び／又はフレックスレイ（ＦｌｅｘＲａｙ）によって同期メッセージを提供する。マスタークロックは、ＱＭのみによって実装され得る。それぞれその通信バスを有する全ての安全性に関連するＥＣＵは、ＡＳＩＬＢ又はＡＳＩＬＤによる安全度水準でのローカルクロックに基づく所定のローカルモニタリングを実装する必要がある。異なる通信バスを有するマスター又はマルチゾーンバリデータは、ＡＳＩＬＤで実装され、ネットワークからの全てのノードは、その各同期状態をバリデータへ送信する。異なるＥＣＵ及び／又は異なる通信バスに基づく１つ又は複数のマルチゾーン通信バスバリデータが存在し得る。異なるマルチゾーンバリデータの同期は、各クロックの、すなわち互いに対する、フォワード時刻同期及び／又はバックワード時刻同期によるその時刻同期をクロスチェックすることで達成されることが可能である。バリデータは、全ての入力を確認し、時刻同期の不一致の場合にはエラーフラグを立てる。

以下に、本発明の実施例を図１及び図２に関連して説明する。

自動化された車両の通信ネットワークを概略的に示す図である。図１に示された通信ネットワークにおける時刻同期を検証するための方法のフローチャートを示す図である。

図１から分かるように、通信ネットワーク１は、３つのサブシステム、すなわち第１の通信ネットワーク２，第２の通信ネットワーク３及び第３の通信ネットワーク４に分割されている。さらに、通信ネットワーク１はマスタークロック５を含んでいる。

第１の通信ネットワーク２は、バス２７を介して互いに接続された、４つの制御ユニット２２，２３，２５，２６と、２つの中央バリデータ２１，２４とを含んでおり、中央バリデータのうち１つ２１は制御ユニットのうち２つ２２，２３のために設けられており、他の中央バリデータ２４は他の２つの制御ユニット２５，２６のために設けられている。第１の通信ネットワーク２では、第１の通信規格、例えばイーサネット（Ｅｔｈｅｒｎｅｔ）が用いられる。

第２の通信ネットワーク３は、バス３４を介して互いに接続された、２つの制御ユニット３１，３２と、１つの中央バリデータ３３とを含んでおり、中央バリデータ３３は、２つの制御ユニット３１，３２のために設けられている。第２の通信ネットワーク３では、第２の通信規格、例えばフレックスレイ（ＦｌｅｘＲａｙ）が用いられる。

第３の通信ネットワーク４は、バス４３を介して互いに接続された２つの制御ユニット４１，４２を含んでおり、第１の通信ネットワーク２の中央バリデータ２４も、バス４３を介して第３の通信ネットワーク４に接続されているとともに、第３の通信ネットワーク４の２つの制御ユニット４１，４２のために設けられている。第３の通信ネットワーク４では、第３の通信規格、例えばＣＡＮＦＤが用いられる。第１の通信ネットワーク２の中央バリデータ２４は、ゲートウェイ制御ユニットとして動作するとともに、第１の通信規格と第３の通信規格の間で変換を行うように構成されている。

上述の通信ネットワーク１によって、自動化された車両は、図２に関して説明される方法を実行するように構成されている。

図２から分かるように、通信ネットワーク１における時刻同期を検証するための方法は、本質的に５つのステップＳ１～Ｓ５を含んでいる。

方法の第１のステップＳ１では、時刻同期メッセージ６がマスタークロック５から第１の通信ネットワーク２、第２の通信ネットワーク３及び第３の通信ネットワーク４へそれぞれ送信され、時刻同期メッセージ６は、マスター時刻を含んでいる。

方法の第２のステップＳ２では、全ての制御ユニット２２，２３，２５，２６，３１，４１，４２のローカル時刻と、全ての中央バリデータ２１，２４，３３のローカル時刻とが、時刻同期メッセージ６に含まれるマスター時刻と同期される。

方法の第３のステップＳ３では、第１の通信ネットワーク２の制御ユニット２２，２３は、第１の通信ネットワーク２の中央バリデータ２１へその同期されたローカル時刻をそれぞれ送信する。第１の通信ネットワーク２の制御ユニット２５，２６及び第３の通信ネットワーク４の制御ユニット４１，４２は、第１の通信ネットワーク２の中央バリデータ２４へその同期されたローカル時刻を送信する。第２の通信ネットワーク３の制御ユニット３１，３２は、第２の通信ネットワーク３の中央バリデータ３３へその同期されたローカル時刻を送信する。さらに、第１の通信ネットワーク２の２つの中央バリデータ２１，２４は、その同期されたローカル時刻をそれぞれ互いに送信する。

方法の第４のステップＳ４では、それぞれ１つの中央バリデータ２１，２４，３３は、受信したそれぞれの制御ユニット２２，２３，２，２６，３１，３２，４１，４２のローカル時刻を互いに比較するとともに、それぞれのローカル同期時刻と比較する。さらに、第１の通信ネットワーク２の２つの中央バリデータ２１，２４は、その同期されたローカル時刻をそれぞれ互いに比較する。

方法の第５のステップにおいて、中央バリデータ２１，２４，３３のうち１つが、制御ユニット２２，２３，２５，２６，３１，３２，４１，４２の受信した同期されたローカル時刻の間の差及び／又は制御ユニット２２，２３，２５，２６，３１，３２，４１，４２の受信した同期されたローカル時刻とそれぞれのバリデータ２１，２４，３３のローカル時刻との差があらかじめ設定された閾値よりも大きいことを特定すると、それぞれ１つの中央バリデータ２１，２４，３３がエラーメッセージを自動化された車両へ出力する。

また、第５のステップＳ５において、第１の通信ネットワーク２の２つのバリデータ２１，２４のうち１つが、第１の通信ネットワーク２の２つのバリデータ２１，２４のうち他の１つの受信した同期されたローカル時刻と自身の同期されたローカル時刻との間の差があらかじめ設定された閾値よりも大きいことを特定すると、バリデータ２１，２４のそれぞれ１つがエラーメッセージを自動化された車両へ出力する。

さらに、第５のステップＳ５において、制御ユニット２２，２３，２５，２６，３１，３２，４１，４２のそれぞれ１つは、マスタークロック５から時刻同期メッセージ６内で受信したマスター時刻が妥当であるか否かをチェックし、受信したマスター時刻が妥当でない場合には、エラーメッセージを自動化された車両へ出力する。
なお、本発明は、以下の態様も包含し得る：
１．自動化された車両の通信ネットワーク（１）において時刻同期を検証するための方法であって、
－通信ネットワーク（１）が、マスタークロック（５）と、第１の通信規格の第１の通信ネットワーク（２）とを含んでおり、
－第１の通信ネットワーク（２）が、２つの制御ユニット（２２，２３，２５，２６）と、１つの中央バリデータ（２１，２４）とを含んでいる、
前記方法において、
－マスタークロック（５）から第１の通信ネットワーク（２）の２つの制御ユニット（２２，２３，２５，２６）へ時刻同期メッセージ（６）をそれぞれ送信し（Ｓ１）、時刻同期メッセージ（６）がマスター時刻を含んでいること、
－第１の通信ネットワーク（２）の２つの制御ユニット（２２，２３，２５，２６）のローカル時刻を受信したマスター時刻とそれぞれ同期させること（Ｓ２）、
－第１の通信ネットワーク（２）の２つの制御ユニット（２２，２３，２５，２６）の同期されたローカル時刻を第１の通信ネットワーク（２）の中央バリデータ（２１，２４）へそれぞれ送信すること（Ｓ３）、
－第１の通信ネットワーク（２）の中央バリデータ（２１，２４）において、第１の通信ネットワーク（２）の２つの制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻を互いに比較すること（Ｓ４）、及び
－第１の通信ネットワーク（２）の２つの制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、第１の通信ネットワーク（２）の中央バリデータ（２１，２４）から自動化された車両へエラーメッセージを出力すること（Ｓ５）
を含むことを特徴とする方法。
２．－マスタークロック（５）から第１の通信ネットワーク（２）の中央バリデータ（２１，２４）へ時刻同期メッセージ（６）を送信すること（Ｓ１）、
－第１の通信ネットワーク（２）の中央バリデータ（２１，２４）のローカル時刻を受信したマスター時刻と同期させること（Ｓ２）、
－第１の通信ネットワーク（２）の中央バリデータ（２１，２４）において、第１の通信ネットワーク（２）の２つの制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻を第１の通信ネットワーク（２）の中央バリデータ（２１，２４）の同期されたローカル時刻とそれぞれ比較すること（Ｓ３）、及び
－第１の通信ネットワーク（２）の２つの制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻のうち少なくとも１つと第１の通信ネットワーク（２）の中央バリデータ（２１，２４）の同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、第１の通信ネットワーク（２）の中央バリデータ（２１，２４）から自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする上記１．に記載の方法。
３．上記１．又は２．に記載の方法であって、
－通信ネットワーク（１）が、第２の通信規格の第２の通信ネットワーク（３）を更に含んでおり、
－第２の通信ネットワーク（３）が、少なくとも２つの制御ユニット（３１，３２）と、１つの中央バリデータ（３３）とを含んでいる、
前記方法において、
－マスタークロック（５）から第２の通信ネットワーク（３）の２つの制御ユニット（３１，３２）へ時刻同期メッセージ（６）をそれぞれ送信すること（Ｓ１）、
－第２の通信ネットワーク（３）の２つの制御ユニット（３１，３２）のローカル時刻を受信したマスター時刻とそれぞれ同期させること（Ｓ２）、
－第２の通信ネットワーク（３）の２つの制御ユニット（３１，３２）の同期されたローカル時刻を第２の通信ネットワーク（３）の中央バリデータ（３３）へそれぞれ送信すること（Ｓ３）、
－第２の通信ネットワーク（３）の中央バリデータ（３３）において、第２の通信ネットワーク（３）の２つの制御ユニット（３１，３２）の受信した同期されたローカル時刻を互いに比較すること（Ｓ４）、及び
－第２の通信ネットワーク（３）の２つの制御ユニット（３１，３２）の受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、第２の通信ネットワーク（３）の中央バリデータ（３３）から自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする方法。
４．－マスタークロック（５）から第２の通信ネットワーク（３）の中央バリデータ（３３）へ時刻同期メッセージ（６）を送信すること（Ｓ１）、
－第２の通信ネットワーク（３）の中央バリデータ（３３）のローカル時刻を受信したマスター時刻と同期させること（Ｓ２）、
－第２の通信ネットワーク（３）の中央バリデータ（３３）において、第２の通信ネットワーク（３）の２つの制御ユニット（３１，３２）の受信した同期されたローカル時刻を第２の通信ネットワーク（３）の中央バリデータ（３３）の同期されたローカル時刻とそれぞれ比較すること（Ｓ３）、及び
－第２の通信ネットワーク（３）の２つの制御ユニット（３１，３２）の受信した同期されたローカル時刻のうち少なくとも１つと第２の通信ネットワーク（３）の中央バリデータ（３３）の同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、第２の通信ネットワーク（３）の中央バリデータ（３３）から自動化された車両へエラーメッセージを出力すること
を更に含むことを特徴とする上記３．に記載の方法。
５．上記１．～４．のいずれか１つに記載の方法であって、
－通信ネットワークが、第３の通信規格の第３の通信ネットワーク（４）を更に含んでおり、
－第３の通信ネットワーク（４）が、１つの制御ユニット（４１，４２）を含んでおり、－第１の通信ネットワーク（２）の中央バリデータ（２４）が、第３の通信ネットワーク（４）に接続されているとともに、第１及び第３の通信ネットワーク（２，４）のためのゲートウェイ制御ユニットとして動作するよう構成されている、
前記方法において、
－マスタークロック（５）から第３の通信ネットワーク（４）の制御ユニット（４１，４２）へ時刻同期メッセージ（６）を送信すること（Ｓ１）、
－第３の通信ネットワーク（４）の制御ユニット（４１，４２）のローカル時刻を受信したマスター時刻と同期させること（Ｓ２）、
－第３の通信ネットワーク（４）の制御ユニット（４１，４２）の同期されたローカル時刻を第１の通信ネットワーク（２）の中央バリデータ（２４）へ送信すること（Ｓ３）、－第１の通信ネットワーク（２）の中央バリデータ（２４）において、第３の通信ネットワーク（４）の制御ユニット（４１，４２）の受信した同期されたローカル時刻を第１の通信ネットワーク（２）の制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻とそれぞれ比較すること（Ｓ４）、及び
－第３の通信ネットワーク（４）の制御ユニット（４１，４２）の受信した同期されたローカル時刻と第１の通信ネットワーク（２）の制御ユニット（２２，２３，２５，２６）の同期されたローカル時刻のうち少なくとも１つとの間の差があらかじめ設定された第１の閾値よりも大きい場合に、第１の通信ネットワーク（２）の中央バリデータ（２４）から自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする方法。
６．上記１．～５．のいずれか１つに記載の方法であって、
－第１の通信ネットワーク（２）が、更に２つの制御ユニット（２２，２３）と、更に１つの中央バリデータ（２１）とを含んでいる、
前記方法において、
－マスタークロック（５）から第１の通信ネットワーク（２）の更なる２つの制御ユニット（２２，２３）へ時刻同期メッセージ（６）をそれぞれ送信すること（Ｓ１）、
－第１の通信ネットワーク（２）の更なる２つの制御ユニット（２２，２３）のローカル時刻を受信したマスター時刻とそれぞれ同期させること（Ｓ２）、
－第１の通信ネットワーク（２）の更なる２つの制御ユニット（２２，２３）の同期されたローカル時刻を第１の通信ネットワーク（２）の更なる中央バリデータ（２１）へそれぞれ送信すること（Ｓ３）、
－第１の通信ネットワーク（２）の更なる中央バリデータ（２１）において、第１の通信ネットワーク（２）の更なる２つの制御ユニット（２２，２３）の受信した同期されたローカル時刻を互いに比較すること（Ｓ４）、及び
－第１の通信ネットワーク（２）の更なる２つの制御ユニット（２２，２３）の受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、第１の通信ネットワーク（２）の更なる中央バリデータ（２１）から自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする方法。
７．－マスタークロック（５）から第１の通信ネットワーク（２）の更なる中央バリデータ（２１）へ時刻同期メッセージ（６）を送信すること（Ｓ１）、
－第１の通信ネットワーク（２）の更なる中央バリデータ（２１）のローカル時刻を受信したマスター時刻と同期させること（Ｓ２）、
－第１の通信ネットワーク（２）の更なる中央バリデータ（２１）において、第１の通信ネットワーク（２）の更なる２つの制御ユニット（２２，２３）の受信した同期されたローカル時刻を第１の通信ネットワーク（２）の更なる中央バリデータ（２１）の同期されたローカル時刻とそれぞれ比較すること（Ｓ３）、及び
－第１の通信ネットワーク（２）の更なる２つの制御ユニット（２２，２３）の受信した同期されたローカル時刻のうち少なくとも１つと第１の通信ネットワーク（２）の更なる中央バリデータ（２１）の同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、第１の通信ネットワーク（２）の更なる中央バリデータ（２１）から自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする上記６．に記載の方法。
８．－第１の通信ネットワーク（２）の更なる中央バリデータ（２１）の同期されたローカル時刻を第１の通信ネットワーク（２）の中央バリデータ（２４）へ送信すること（Ｓ３）、
－第１の通信ネットワーク（２）の中央バリデータ（２４）において、第１の通信ネットワーク（２）の更なる中央バリデータ（２１）の受信した同期されたローカル時刻を第１の通信ネットワーク（２）の中央バリデータ（２４）のローカル同期時刻と比較すること（Ｓ４）、及び
－第１の通信ネットワーク（２）の更なる中央バリデータ（２１）の受信した同期されたローカル時刻と第１の通信ネットワーク（２）の中央バリデータ（２４）の同期されたローカル時刻との間の差があらかじめ設定された第３の閾値よりも大きい場合に、第１の通信ネットワーク（２）の中央バリデータ（２４）から自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むこと、及び／又は
－第１の通信ネットワーク（２）の中央バリデータ（２４）の同期されたローカル時刻を第１の通信ネットワーク（２）の更なる中央バリデータ（２１）へ送信すること（Ｓ３）、
－第１の通信ネットワーク（２）の更なる中央バリデータ（２１）において、第１の通信ネットワーク（２）の中央バリデータ（２４）の受信した同期されたローカル時刻を第１の通信ネットワーク（２）の更なる中央バリデータ（２１）のローカル同期時刻と比較すること（Ｓ４）、及び
－第１の通信ネットワーク（２）の中央バリデータ（２４）の受信した同期されたローカル時刻と第１の通信ネットワーク（２）の更なる中央バリデータ（２１）の同期されたローカル時刻との間の差があらかじめ設定された第３の閾値よりも大きい場合に、第１の通信ネットワーク（２）の更なる中央バリデータ（２１）から自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むこと
を特徴とする上記７．に記載の方法。
９．－第１、第２及び／又は第３の通信ネットワーク（２，３，４）の少なくとも１つの制御ユニット（２２，２３，２５，２６，３１，３２，４１，４２）において、マスタークロック（５）からの時刻同期メッセージ（６）内で受信されたマスター時刻が妥当か否かをチェックすること（Ｓ５）、及び
－受信したマスター時刻が妥当でない場合に、少なくとも１つの制御ユニット（２２，２３，２５，２６，３１，３２，４１，４２）から自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする上記１．～８．のいずれか１つに記載の方法。
１０．上記１．～９．のいずれか１つに記載の方法を実行するように構成された自動化された車両。

１通信ネットワーク
２第１の通信ネットワーク
３第２の通信ネットワーク
４第３の通信ネットワーク
５マスタークロック
６時刻同期メッセージ
２１，２４，３３中央バリデータ
２２，２３，２５，２６，３１，３２，４１，４２制御ユニット

Claims

自動化された車両の通信ネットワーク（１）において時刻同期を検証するための方法であって、
－該通信ネットワーク（１）が、マスタークロック（５）と、第１の通信規格の第１の通信ネットワーク（２）とを含んでおり、
－該第１の通信ネットワーク（２）が、２つの制御ユニット（２２，２３，２５，２６）と、１つの中央バリデータ（２１，２４）とを含んでいる、
前記方法において、
－前記マスタークロック（５）から前記第１の通信ネットワーク（２）の前記２つの制御ユニット（２２，２３，２５，２６）へ時刻同期メッセージ（６）をそれぞれ送信し（Ｓ１）、該時刻同期メッセージ（６）がマスター時刻を含んでいること、
－前記第１の通信ネットワーク（２）の前記２つの制御ユニット（２２，２３，２５，２６）のローカル時刻を受信したマスター時刻とそれぞれ同期させること（Ｓ２）、
－前記第１の通信ネットワーク（２）の前記２つの制御ユニット（２２，２３，２５，２６）の同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記中央バリデータ（２１，２４）へそれぞれ送信すること（Ｓ３）、
－前記第１の通信ネットワーク（２）の前記中央バリデータ（２１，２４）において、前記第１の通信ネットワーク（２）の前記２つの制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻を互いに比較すること（Ｓ４）、及び
－前記第１の通信ネットワーク（２）の前記２つの制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、前記第１の通信ネットワーク（２）の前記中央バリデータ（２１，２４）から前記自動化された車両へエラーメッセージを出力すること（Ｓ５）
を含み、
－前記通信ネットワークが、第２の通信規格の第２の通信ネットワーク（４）を更に含んでおり、
－該第２の通信ネットワーク（４）が、１つの制御ユニット（４１，４２）を含んでおり、
－前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）が、前記第２の通信ネットワーク（４）に接続されているとともに、前記第１及び前記第２の通信ネットワーク（２，４）のためのゲートウェイ制御ユニットとして動作するよう構成されており、
－前記マスタークロック（５）から前記第２の通信ネットワーク（４）の前記制御ユニット（４１，４２）へ時刻同期メッセージ（６）を送信すること（Ｓ１）、
－前記第２の通信ネットワーク（４）の前記制御ユニット（４１，４２）のローカル時刻を受信したマスター時刻と同期させること（Ｓ２）、
－前記第２の通信ネットワーク（４）の前記制御ユニット（４１，４２）の同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）へ送信すること（Ｓ３）、
－前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）において、前記第２の通信ネットワーク（４）の前記制御ユニット（４１，４２）の受信した同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記２つの制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻とそれぞれ比較すること（Ｓ４）、及び
－前記第２の通信ネットワーク（４）の前記制御ユニット（４１，４２）の受信した同期されたローカル時刻と前記第１の通信ネットワーク（２）の前記２つの制御ユニット（２２，２３，２５，２６）の同期されたローカル時刻のうち少なくとも１つとの間の差があらかじめ設定された第１の閾値よりも大きい場合に、前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）から前記自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする方法。
－前記マスタークロック（５）から前記第１の通信ネットワーク（２）の前記中央バリデータ（２１，２４）へ時刻同期メッセージ（６）を送信すること（Ｓ１）、
－前記第１の通信ネットワーク（２）の前記中央バリデータ（２１，２４）のローカル時刻を受信したマスター時刻と同期させること（Ｓ２）、
－前記第１の通信ネットワーク（２）の前記中央バリデータ（２１，２４）において、前記第１の通信ネットワーク（２）の前記２つの制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記中央バリデータ（２１，２４）の同期されたローカル時刻とそれぞれ比較すること（Ｓ３）、及び
－前記第１の通信ネットワーク（２）の前記２つの制御ユニット（２２，２３，２５，２６）の受信した同期されたローカル時刻のうち少なくとも１つと前記第１の通信ネットワーク（２）の前記中央バリデータ（２１，２４）の同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、前記第１の通信ネットワーク（２）の前記中央バリデータ（２１，２４）から前記自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする請求項１に記載の方法。
請求項１又は２に記載の方法であって、
－前記通信ネットワーク（１）が、第３の通信規格の第３の通信ネットワーク（３）を更に含んでおり、
－該第３の通信ネットワーク（３）が、少なくとも２つの制御ユニット（３１，３２）と、１つの中央バリデータ（３３）とを含んでいる、
前記方法において、
－前記マスタークロック（５）から前記第３の通信ネットワーク（３）の前記２つの制御ユニット（３１，３２）へ時刻同期メッセージ（６）をそれぞれ送信すること（Ｓ１）、
－前記第３の通信ネットワーク（３）の前記２つの制御ユニット（３１，３２）のローカル時刻を受信したマスター時刻とそれぞれ同期させること（Ｓ２）、
－前記第３の通信ネットワーク（３）の前記２つの制御ユニット（３１，３２）の同期されたローカル時刻を前記第３の通信ネットワーク（３）の前記中央バリデータ（３３）へそれぞれ送信すること（Ｓ３）、
－前記第３の通信ネットワーク（３）の前記中央バリデータ（３３）において、前記第３の通信ネットワーク（３）の前記２つの制御ユニット（３１，３２）の受信した同期されたローカル時刻を互いに比較すること（Ｓ４）、及び
－前記第３の通信ネットワーク（３）の前記２つの制御ユニット（３１，３２）の受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、前記第３の通信ネットワーク（３）の前記中央バリデータ（３３）から前記自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする方法。
－前記マスタークロック（５）から前記第３の通信ネットワーク（３）の前記中央バリデータ（３３）へ時刻同期メッセージ（６）を送信すること（Ｓ１）、
－前記第３の通信ネットワーク（３）の前記中央バリデータ（３３）のローカル時刻を受信したマスター時刻と同期させること（Ｓ２）、
－前記第３の通信ネットワーク（３）の前記中央バリデータ（３３）において、前記第３の通信ネットワーク（３）の前記２つの制御ユニット（３１，３２）の受信した同期されたローカル時刻を前記第３の通信ネットワーク（３）の前記中央バリデータ（３３）の同期されたローカル時刻とそれぞれ比較すること（Ｓ３）、及び
－前記第３の通信ネットワーク（３）の前記２つの制御ユニット（３１，３２）の受信した同期されたローカル時刻のうち少なくとも１つと前記第３の通信ネットワーク（３）の前記中央バリデータ（３３）の同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、前記第３の通信ネットワーク（３）の前記中央バリデータ（３３）から前記自動化された車両へエラーメッセージを出力すること
を更に含むことを特徴とする請求項３に記載の方法。
請求項１～４のいずれか１項に記載の方法であって、
－前記第１の通信ネットワーク（２）が、更に２つの制御ユニット（２２，２３）と、更に１つの中央バリデータ（２１）とを含んでいる、
前記方法において、
－前記マスタークロック（５）から前記第１の通信ネットワーク（２）の前記更なる２つの制御ユニット（２２，２３）へ時刻同期メッセージ（６）をそれぞれ送信すること（Ｓ１）、
－前記第１の通信ネットワーク（２）の前記更なる２つの制御ユニット（２２，２３）のローカル時刻を受信したマスター時刻とそれぞれ同期させること（Ｓ２）、
－前記第１の通信ネットワーク（２）の前記更なる２つの制御ユニット（２２，２３）の同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）へそれぞれ送信すること（Ｓ３）、
－前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）において、前記第１の通信ネットワーク（２）の前記更なる２つの制御ユニット（２２，２３）の受信した同期されたローカル時刻を互いに比較すること（Ｓ４）、及び
－前記第１の通信ネットワーク（２）の前記更なる２つの制御ユニット（２２，２３）の受信した同期されたローカル時刻の間の差があらかじめ設定された第１の閾値よりも大きい場合に、前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）から前記自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする方法。
－前記マスタークロック（５）から前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）へ時刻同期メッセージ（６）を送信すること（Ｓ１）、
－前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）のローカル時刻を受信したマスター時刻と同期させること（Ｓ２）、
－前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）において、前記第１の通信ネットワーク（２）の前記更なる２つの制御ユニット（２２，２３）の受信した同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）の同期されたローカル時刻とそれぞれ比較すること（Ｓ３）、及び
－前記第１の通信ネットワーク（２）の前記更なる２つの制御ユニット（２２，２３）の受信した同期されたローカル時刻のうち少なくとも１つと前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）の同期されたローカル時刻との間の差があらかじめ設定された第２の閾値よりも大きい場合に、前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）から前記自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする請求項５に記載の方法。
－前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）の同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）へ送信すること（Ｓ３）、
－前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）において、前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）の受信した同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）のローカル同期時刻と比較すること（Ｓ４）、及び
－前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）の受信した同期されたローカル時刻と前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）の同期されたローカル時刻との間の差があらかじめ設定された第３の閾値よりも大きい場合に、前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）から前記自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むこと、及び／又は
－前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）の同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）へ送信すること（Ｓ３）、
－前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）において、前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）の受信した同期されたローカル時刻を前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）のローカル同期時刻と比較すること（Ｓ４）、及び
－前記第１の通信ネットワーク（２）の前記中央バリデータ（２４）の受信した同期されたローカル時刻と前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）の同期されたローカル時刻との間の差があらかじめ設定された第３の閾値よりも大きい場合に、前記第１の通信ネットワーク（２）の前記更なる中央バリデータ（２１）から前記自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むこと
を特徴とする請求項６に記載の方法。
－前記第１、前記第２及び／又は前記第３の通信ネットワーク（２，４，３）の少なくとも１つの前記制御ユニット（２２，２３，２５，２６，３１，３２，４１，４２）において、前記マスタークロック（５）からの時刻同期メッセージ（６）内で受信されたマスター時刻が妥当か否かをチェックすること（Ｓ５）、及び
－受信したマスター時刻が妥当でない場合に、少なくとも１つの前記制御ユニット（２２，２３，２５，２６，３１，３２，４１，４２）から前記自動化された車両へエラーメッセージを出力すること（Ｓ５）
を更に含むことを特徴とする請求項３又は４に記載の方法。
請求項１～８のいずれか１項に記載の方法を実行するように構成された自動化された車両。