Verfahren zur Überwachung eines Netzwerks auf Anomalien Die Erfindung betrifft ein Verfahren gemäß dem Oberbegriff des Patentanspruchs 1 zur Überwachung eines zur Datenübertragung vorgesehenen Netzwerks auf Anomalien.

Bekannte Verfahren zur Anomaliedetektion in Netzwerken nutzen beispielsweise Vergleiche von Zeitmustern. Dabei wird aus einer beobachteten Abweichung von einer erwarteten Periodizität von über das Netzwerk übertragenen Signalen ein Vorliegen einer Anomalie abgeleitet. Andere Verfahrensansätze untersuchen beispielsweise Datenin ^¬ halte von über das Netzwerk übertragenen Signalen hinsichtlich eines charakteristischen Musters einer Signalquelle.

Grundsätzlich bekannt ist es auch, Laufzeitdifferenzmuster von über das Netzwerk übertragenen Signalen mittels oder durch Verwendung des bekannten Precision-Time-Protocol (PTP) nach IEEE-1588 zu gewinnen und zur Anomaliedetektion auszuwerten. Beim PTP werden in über das Netzwerk übertragene Signale oder Nachrichten automatisch jeweilige Zeitstempel eingefügt, welche eine Bestimmung einer Verzögerungszeit und eines Zeitoffsets zwischen einer sendenden und einer empfangenden Station erlaubt. Dieser Ansatz setzt jedoch entsprechend ausgerüstete Stationen oder Transceiver sowie eine geeignete softwareseitige Auswertung voraus. Das PTP wird primär zur Realisierung von harten

EchtZeitanforderungen, etwa der Sicherstellung der Gleichzeitigkeit an verschiedenen Stationen in einem Netzwerk, vorrangig in einem Ethernet-Netzwerk, eingesetzt. Nachteilig ist dabei jedoch, dass alle Stationen in dem jeweiligen Netzwerk aktiv Zeitstempel aussenden und empfangen müssen.

Aufgabe der vorliegenden Erfindung ist es, ein Verfahren zur Überwachung eines datenübertragenden Netzwerks auf Anomalien anzugeben, welches mit möglichst geringem Zusatzaufwand an- gewendet werden kann und möglichst geringe Anforderungen an das Netzwerk stellt.

Diese Aufgabe wird erfindungsgemäß durch ein Verfahren mit den Merkmalen des unabhängigen Patentanspruchs gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind in den abhängigen Ansprüchen angegeben .

Das erfindungsgemäße Verfahren dient zur Überwachung eines zur Datenübertragung vorgesehenen Netzwerks aus mehreren über fest vorgegebene Signalübertragungswege miteinander verbundenen Geräten auf Anomalien. Das Netzwerk umfasst also sowohl die Geräte als auch die Signalübertragungswege oder ist aufgebaut aus den Geräten und den Signalübertragungswegen. Die Signalüber- tragungswege können beispielsweise elektrische Leitungen sein, wobei es festgelegt oder vorgegeben und insbesondere gleich ^¬ bleibend und konstant ist, über welche Leitungsabschnitte ein Signal läuft. Mit anderen Worten legt also jedes von einem bestimmten Gerät gesendetes Signal immer denselben Weg in dem Netzwerk zurück. Bei dem Verfahren ist es vorgesehen, dass eines der Geräte ein Mastergerät ist, welches einen Zähler und eine Triggereinrichtung aufweist, von der ein vorgegebenes Signalmerkmal eines über das Netzwerk übertragenen Signals erfasst wird. Das über das Netzwerk übertragene Signal kann eine Da- tenübertragung, ein Datenpaket oder ein Datenstrom sein und kann auch als Nachricht bezeichnet werden. Auf das Erfassen des Signalmerkmals hin wird ein zu einem Zeitpunkt dieses Erfassens korrespondierender Masterzählerstand des Zählers des Master ^¬ geräts ausgelesen. Ein Zeitpunkt eines Erfassens und/oder Auslesens eines Zählerstandes kann auch als Erfassungszeitpunkt bezeichnet werden. Ebenso bedeutet auch jeweils ein Erfassen eines zu diesem jeweiligen Erfassen korrespondierenden Zählerstandes, dass der Zählerstand zu dem jeweiligen Erfas- sungszeitpunt korrespondiert. Dies kann bedeuten, dass der Zählerstand gleichzeitig mit oder unmittelbar nach dem Erfassen ausgelesen wird oder der Zählerstand in einem vorbestimmten festgelegten und konstanten Zeitabstand zu dem Zeitpunkt des Erfassens ausgelesen wird, was beispielsweise durch eine hardware- und/oder elektronikbedingte Latenz bedingt sein kann.

Um eine Anomalieüberwachung und/oder Anomaliedetektion mit möglichst geringem Aufwand und bei möglichst geringen Anfor ^¬ derungen an das Netzwerk zu ermöglichen, ist es erfindungsgemäß vorgesehen, dass eine Auswerteeinrichtung unter vorbestimmten anomaliefreien Bedingungen einen Sollwert zumindest eines netzwerkspezifischen, durch eine physikalische Eigenschaft oder Randbedingung des Netzwerks bedingten Parameters ermittelt. Anschließend wird von der Auswerteeinrichtung aus einer Differenz zwischen dem ausgelesenen Masterzählerstand und einem weiteren Zählerstand ein jeweiliger Istwert des zumindest einen netzwerkspezifischen Parameters ermittelt. Schließlich wird eine Anomalie signalisiert, falls und/oder wenn ein vorbe ^¬ stimmtes Abweichungskriterium zwischen dem Istwert und dem Sollwert erfüllt ist. Es wird hier also durch das Verfahren ermöglicht, eine Quelle des Signals oder der Nachricht in dem Netzwerk durch den charakteristischen Parameter oder ein charakteristisches Muster abzusichern, welches nur durch in dem Netzwerk gegebene physikalische Randbedingungen gegeben oder bedingt ist.

Vorteilhaft kann somit eine Anomalie detektiert werden, ohne dass beispielsweise eine Periodizität der untersuchten oder aus ^¬ gewerteten Nachrichten oder Signalmerkmale erwartet würde oder notwendig wäre. Weiterhin wird vorteilhaft auch keinerlei Kooperation der Signalquelle, das heißt eines die Nachricht oder das Signal aussendenden Geräts, vorausgesetzt. Das bedeutet, dass vorteilhaft von der oder den sendenden Geräten oder Stationen keine zusätzlichen Informationen, wie etwa ein Zeitstempel, gesendet werden müssen. Da als minimale Voraus ^¬ setzung zunächst nur das Mastergerät zur Durchführung des Verfahrens ausgestattet oder eingerichtet sein muss, kann das Verfahren vorteilhaft mit geringem Bauteil-, Geräte- und/oder Implementierungsaufwand sowohl bei neu aufzubauenden als auch bei bestehenden Netzwerken angewendet oder eingesetzt werden. Es wird also ein neben der grundlegenden Funktion der Daten- Übertragung notwendiger Zusatz- oder Mehraufwand klein gehalten, da für typische Netzwerke nicht alle - oftmals sogar eine überwiegende Mehrzahl - der Geräte für die erfolgreiche Anwendung des Verfahrens keinerlei zusätzliche Modifikation benötigen. Da der genutzte Parameter durch die jeweiligen individuellen physikalischen Randbedingungen des Netzwerks bestimmt oder festgelegt ist, ist ein Angriff auf das Netzwerk oder eine Manipulation des Netzwerks und/oder der über das Netzwerk übertragenen Signale, Nachrichten oder Daten nicht oder nur mit erheblichem Aufwand unbemerkt durchführbar. Beispielsweise ist es nicht oder nur mit erheblichem Aufwand möglich, ein Signal derart zu verfälschen, zu manipulieren oder anzupassen, dass dadurch der netzwerkspezifische Parameter und/oder dessen Vorliegen vorgetäuscht würde.

Gemäß einer Ausführungsform des erfindungsgemäßen Verfahrens ist es vorgesehen, dass ein Laufzeitmuster des Signals in dem Netzwerk den zumindest einen netzwerkspezifischen Parameter darstellt. Für die Ermittlung von dessen Istwert ist es dabei vorgesehen, dass eines der Geräte des Netzwerks ein Clientgerät ist, das ebenfalls einen Zähler und eine Triggereinrichtung aufweist. Dabei wird das Signal über das Netzwerk sowohl an das Mastergerät als auch an das Clientgerät übertragen. Weiterhin wird das vorgegebene Signalmerkmal des Signals von der Trig- gereinrichtung des Clientgeräts erfasst und ein zu einem

Zeitpunkt dieses Erfassens korrespondierender ClientZählerstand des Zählers des Clientgeräts wird ausgelesen. Der Istwert des Laufzeitmusters wird dann basierend auf dem ClientZählerstand, der als der weitere Zählerstand zum Ermitteln eines Istwerts des netzwerkspezifischen Parameters dient, ermittelt. Der Cli ^¬ entzählerstand kann beispielsweise separat an das Mastergerät und/oder an die Auswerteeinrichtung übermittelt werden. Das Mastergerät und das Clientgerät sind voneinander getrennte unterschiedliche Geräte, welche an verschiedenen Stellen mit einem Signalübertragungsweg verbunden, das heißt in das Netzwerk eingebunden sind. Durch diese Anordnung wird es vorteilhaft ermöglicht, das Laufzeitmuster zu bestimmen und/oder auszuwerten anhand von relativen Signallaufzeiten und/oder Zählerständen, ohne dass ein Zeitstempel oder eine für das gesamte Netzwerk gültige absolute Uhr notwendig wäre. Das Laufzeitmuster umfasst beispielsweise eine bestimmte Beziehung einer jeweiligen Laufzeit des Signals von der Signalquelle zu dem Mastergerät und zu dem Clientgerät und ist bestimmt durch ein für die Sig ^¬ nalübertragung genutztes Ausbreitungsmedium oder Übertragungsmedium und einen räumlichen Abstand oder eine räumliche Lagebeziehung zwischen der Signalquelle, dem Mastergerät und dem Clientgerät, insbesondere durch eine entsprechende Länge der jeweiligen Signalübertragungswege zwischen der Signalquelle, dem Mastergerät und dem Clientgerät. Dabei können auch Ver ^¬ zögerungen oder Latenzen berücksichtigt werden, welche durch jeweilige für einen Signalempfang und/oder eine Signalweiterleitung in dem Netzwerk verwendete Bauteile verursacht werden. Obwohl hier der ClientZählerstand als der weitere Zählerstand bezeichnet wird, können durchaus auch noch zu ^¬ sätzliche oder andere weitere Zählerstände berücksichtigt werden. Ebenfalls stellt das Laufzeitmuster hier lediglich einen netzwerkspezifischen Parameter da und es soll dadurch nicht ausgeschlossen sein, dass weitere netzwerkspezifische Parameter berücksichtigt, bestimmt und/oder ausgewertet werden.

In weiterer Ausgestaltung des erfindungsgemäßen Verfahrens ist es vorgesehen, dass von dem Clientgerät ein Referenzsignal an das Mastergerät übermittelt wird, mit oder in dem ein ausgelesener, zu einem Sendezeitpunkt eines vorgegebenen Signalmerkmal des Referenzsignals korrespondierender ReferenzclientZählerstand an das Mastergerät übermittelt wird. Das vorgegebene Signal ^¬ merkmal des Referenzsignals wird von der Triggereinrichtung des Mastergeräts erfasst und ein zu einem Zeitpunkt dieses Erfassens des vorgegebenen Signalmerkmals des Referenzsignals korres ^¬ pondierender Referenzmasterzählerstand wird ausgelesen. Zur Ermittlung des Laufzeitmusters werden dann auch der Referenzclientzählerstand und der Referenzmasterzählerstand her- angezogen. Das vorgegebene Signalmerkmal des Referenzsignals kann durchaus verschieden sein von dem vorgegebenen Signalmerkmal des an das Mastergerät und an das Clientgerät über ^¬ tragenen Signals. Vorteilhaft ist hier lediglich eine besondere Ausstattung oder Anpassung von zwei Geräten des Netzwerks, nämlich des Mastergeräts und des Clientgeräts, notwendig. Die übrigen Geräte des Netzwerks müssen hingegen keinerlei besondere Voraussetzungen oder Anforderungen erfüllen. Das Referenzsignal oder eine entsprechende Referenznachricht kann vor oder nach dem an das Mastergerät und an das Client Gerät gesendeten Signal übermittelt oder gesendet werden, wobei das Referenzsignal bevorzugt innerhalb eines vorgegebenen zeitlichen Abstandes zu dem Signal gesendet wird. Beispielsweise kann regelmäßig, insbesondere in vorgegebenen zeitlichen Abständen, ein Referenzsignal von dem Clientgerät an das Mastergerät gesendet werden, wobei die zeitlichen Abstände fest und gleichmäßig oder variabel, dynamisch und/oder situationsangepasst sein können. Ebenso kann nach dem Empfang des Signals das Referenzsignal als Reaktion auf den Empfang des Signals gesendet werden.

In weiterer Ausgestaltung dieser Ausführungsform des erfindungsgemäßen Verfahrens ist es vorgesehen, dass der Istwert das Laufzeitmusters Pat des Signals berechnet wird als

Pat = [CXM ^~~ Cxc] ^~~ [CRM ^~~ CRC] = [CXM ^~~ CRM] ^~~ [Cxc ^~~ CRC] ·

Dabei gibt C _XM den zu dem Signalmerkmal korrespondierenden Masterzählerstand. C _xc gibt den zu dem Signalmerkmal korres- pondierenden ClientZählerstand an, C _RM gibt den Referenzmas ^¬ terzählerstand an und C _RC gibt den ReferenzclientZählerstand an. Durch diese Festlegung des Laufzeitmusters oder der Berechnung des Laufzeitmusters kann vorteilhaft ein zunächst unbekannter Offset oder Zeitoffset des Clientgeräts oder des Zählers des Clientgeräts gegenüber dem Mastergerät oder dem Zähler des Mastergeräts aus der Berechnung oder Betrachtung eliminiert werden .

Das Laufzeitmuster kann unabhängig von seiner konkreten Be- rechnung oder Definition für das Signal bestimmt und mit einem unter kontrollierten Bedingungen erhaltenen Sollwert, also mit einem Solllaufzeitmuster verglichen werden. Ebenso ist es möglich, für mehrere oder alle über das Netzwerk übertragenen Signale das jeweilige Laufzeitmuster zu bestimmen und bei ^¬ spielsweise eine zeitliche Entwicklung, eine einsetzende Veränderung, einen Ausreißer oder eine Abweichung gegenüber einem Durchschnittswert oder dergleichen auszuwerten und/oder bei einer Prüfung eines Vorliegens einer Anomalie zu berück ^¬ sichtigen. Dadurch kann gegebenenfalls eine, beispielsweise durch Alterung bedingt, zeitliche Veränderung oder Drift in das Laufzeitmuster beeinflussenden Eigenschaften des Netzwerks erkannt und eine entsprechende Fehldetektion einer Anomalie vermieden werden.

In weiterer Ausgestaltung des erfindungsgemäßen Verfahrens ist es vorgesehen, dass der Istwert des Laufzeitmusters zusätzlich auch von einem zur Durchführung eigenständiger Berechnungen eingerichteten clientseitigen Teil der Auswerteeinrichtung ermittelt wird. Es wird dann die Anomalie oder ein Vorliegen der Anomalie signalisiert, falls und/oder wenn das Abweichungs ^¬ kriterium zwischen dem jeweiligen ermittelten Istwert und dem Sollwert von der Auswerteeinrichtung und/oder von dem cli- entseitigen Teil der Auswerteeinrichtung als erfüllt erkannt wird. Mit anderen Worten kann die Auswerteeinrichtung also verteilt angeordnet oder aufgebaut sein und auch aus mehreren Teilen oder Teileinrichtungen bestehen, welche voneinander getrennt oder miteinander verbunden sein können. Ist ein clientseitiger Teil vorgesehen, so werden also zwei unabhängige Berechnungen oder Bestimmungen oder Ermittlungen des Laufzeitmusters vorgenommen. Dies bewirkt vorteilhaft eine zu ^¬ sätzliche Sicherheit oder Absicherung gegen Fehlfunktionen, Angriffe, Manipulationen oder allgemein gegen Anomalien. Der clientseitige Teil der Auswerteeinrichtung kann insbesondere Teil des Clientgerätes sein, wozu beispielsweise eine ent ^¬ sprechende Auswerteschaltung und/oder entsprechende Bausteile in dem Clientgerät angeordnet oder in das Clientgerät integriert sein können. Ein anderer Teil der Auswerteeinrichtung kann beispielsweise als Teil des Mastergerätes in diesem angeordnet oder in dieses integriert oder aber unabhängig von diesem als separate Einrichtung oder als separates Gerät vorgesehen sein. In letzterem Fall sind selbstverständlich für eine jeweilige Datenverarbeitung oder Datenauswertung notwendige Daten, Signale, Zählerstände oder dergleichen jeweils an die Aus ^¬ werteeinrichtung zu übertragen. Dies kann über das Netzwerk geschehen oder es kann hierfür eine separate Leitung oder Datenverbindung vorgesehen sein, welche beispielsweise ausschließlich diesem Zweck dienen kann. Es kann auch möglich sein, in einem weiteren Schritt zusätzlich die beiden unabhängig voneinander ermittelten Laufzeitmuster miteinander zu vergleichen. Ergibt sich dabei eine Abweichung oder Differenz zwischen den Laufzeitmustern, so kann daraus beispielsweise ein Rückschluss auf einen Ort und/oder eine Art einer Ursache, beispielsweise einer Anomalie, gezogen werden.

In weiterer Ausgestaltung des erfindungsgemäßen Verfahrens ist es vorgesehen, dass von der Triggereinrichtung des Mastergeräts zusätzlich ein zweites vorgegebenes Signalmerkmal des Signals erfasst wird. Ein zu einem Zeitpunkt dieses Erfassens des zweiten vorgegebenen Signalmerkmals korrespondierender weiter Masterzählerstand wird dann ausgelesen. Hier bildet nun ein Frequenzunterschied zwischen einer Frequenz eines Taktgebers eines tatsächlichen Quellgeräts, von dem das Signal ausgesendet wurde, und einem mit dem Zähler des Mastergeräts gekoppelten Taktgeber des Mastergeräts den netzwerkspezifischen Parameter. Der Istwert dieses Frequenzunterschieds wird ermittelt basierend auf einer Differenz zwischen dem Masterzählerstand und dem zweiten Zählerstand und unter Berücksichtigung einer vorgegebenen, in dem Netzwerk verwendeten Datenübertragungsrate und/oder Netztaktfrequenz und/oder eines in dem Netzwerk verwendeten Kommunikationsprotokolls und/oder einer in dem Netzwerk verwendeten Modulationsart. Der Frequenzunterschied kann etwa eine relative Frequenzabweichung oder ein entsprechendes Frequenzverhältnis sein.

Zur Verdeutlichung und besseren Unterscheidung von dem zweiten Masterzählerstand wird der Masterzählerstand auch als erster Masterzählerstand bezeichnet. Die beiden vorgegebenen Signalmerkmale können beispielsweise einen Beginn beziehungsweise ein Ende des Signals sein oder anzeigen. Eines oder beide der vorgegebenen Signalmerkmale können jedoch auch zeitlich von dem Anfang und/oder von dem Ende beabstandet innerhalb des Signals liegen oder angeordnet sein. Die relative Frequenzabweichung und das entsprechende Fre ^¬ quenzverhältnis stellen charakteristische Größen für eine bestimmte Konfiguration des Netzwerks oder eine bestimmte Auswahl von konkreten, spezifischen einzelnen Geräten dar. Hier werden also individuelle Eigenschaften der jeweiligen Geräte berücksichtigt, sodass vorteilhaft eine Manipulation oder ein Angriff erkannt werden kann, ohne dass beispielsweise eine inhaltliche Analyse eines mit oder in dem Signal übermittelten Datengehalts notwendig wäre. Letzteres kann sich beispielsweise bei einer Verschlüsselung zudem schwierig gestalten. Ebenso wird es gegebenenfalls ermöglicht, ein entsprechend manipuliertes oder aus einer fremden Quelle stammendes Signal abzufangen, bevor beispielsweise darin enthaltener Programmcode oder darin enthaltene Anweisungen für eine logische Schaltung zu uner- wünschten Effekten führen können.

In weiterer Ausgestaltung der Erfindung ist es vorgesehen, dass die relative Frequenzabweichung berechnet wird als Af _re i = ΔΟχ / AC _{X M}

ΔΟχ gibt dabei eine Anzahl von von dem tatsächlichen Quellgerät zwischen dem Aussenden der vorgegebenen Signalmerkmale abgewarteten oder verwendeten Takten an und AC _XMM gibt die Differenz zwischen dem ersten Masterzählerstand und dem zweiten Masterzählerstand an.

In weiterer Ausgestaltung des erfindungsgemäßen Verfahrens ist es vorgesehen, dass als Anomalie des Netzwerks erkannt wird, dass das tatsächliche Quellgerät vorgibt, ein anderes, angebliches Quellgerät des Netzwerks zu sein. Bei einem Prüfen, ob das Abweichungskriterium erfüllt ist, wird von der Auswerteeinrichtung eine mittels eines jeweiligen Temperatursensors er- fasste Temperatur des Mastergeräts und des angeblichen

Quellgeräts, von dem das Signal angeblich oder vorgeblich ausgesendet wurde, berücksichtigt. Es werden also zumindest zwei Temperaturen berücksichtigt, nämlich die Temperatur des Mas- tergeräts und die Temperatur des angeblichen Quellgeräts. Das angebliche Quellgerät kann beispielsweise in dem Signal identifiziert sein, wie dies beispielsweise in bekannten busbasierten Netzwerken üblich ist. Die Berücksichtigung dieser Temperaturen ist besonders vorteilhaft, da eine Temperatur- Veränderung auch zu einer Frequenz- oder Taktfrequenzveränderung führen kann und somit eine Fehldetektion einer Anomalie und/oder ein entsprechender Fehlalarm vermieden werden kann. Die jeweiligen Temperaturen können sich beispielsweise aufgrund üblicher Betriebsvorgänge während des Betriebes des Netzwerks verändern. Die relative Frequenzabweichung und das entsprechende Frequenzverhältnis sind bei einer gegebenen Temperatur sta ^¬ tistisch verteilt und für eine gegebene Paarung aus zwei Geräten bei einer gegebenen Temperatur konstant. Gegebenenfalls kann vorteilhaft auch ein individuelles Temperaturverhalten, das heißt eine individuelle Veränderung der Frequenz oder Takt ^¬ frequenz eines Gerätes mit oder bei sich verändernder Temperatur, im Vorhinein bestimmt und bei der Überprüfung des Abweichungskriterium berücksichtigt werden. Die jeweiligen Temperatursensoren können einfach und kostengünstig an oder in den einzelnen Geräten des Netzwerks - auch nachträglich - angeordnet oder angebracht oder eingebaut werden. Die Temperatursensoren können zur Übertragung der jeweiligen Temperaturen oder Temperaturwerte oder Temperaturdaten an die Auswerteeinrichtung direkt oder indirekt mit dieser gekoppelt oder verbunden sein. Dies kann über eine oder mehrere separate Leitungen oder Da ^¬ tenverbindungen geschehen. Es kann jedoch auch möglich sein, die Temperaturdaten über das Netzwerk selbst zu übertragen. Dazu können die Temperatursensoren beispielsweise direkt in das Netzwerk eingebunden sein oder jeweilige Sendeeinrichtungen der jeweiligen überwachten Geräte nutzen. Gegebenenfalls ist bei einer vorgesehenen Klimatisierung oder Temperaturregelung und/oder einer Anordnung mehrerer Geräte des Netzwerks beispielsweise innerhalb eines Bauraums oder einer größeren Einheit oder Vorrichtung eine Temperaturüberwachung mehrerer Geräte mit einem Temperatursensor möglich.

In weiterer Ausgestaltung des erfindungsgemäßen Verfahrens ist es vorgesehen, dass der zu dem vorgegebenen Signalmerkmal korrespondierende Masterzählerstand zur Verbesserung der Auflösung oder Messauflösung mittels eines interpolierenden Messverfahrens, insbesondere eines Time-Digital-Conversion Verfahrens und/oder eines Time-to-Digital Konverters oder Wandlers, ermittelt wird. Hierfür kann beispielsweise ein linearer Filter verwendet werden. Der Filter weist dabei bevorzugt eine relativ zu einer verwendeten Taktfrequenz lange Impulsantwort auf. Ein Spitzenwert kann beispielsweise mittels einer Spitzenwert-Halteschaltung gehalten, dann mit einem Analog-Digital-Wandler gewandelt und schließlich ausgewertet werden. Beispielsweise kann hier ein linearer Integrator eingesetzt werden, dessen Integrationsergebnis erfasst und entsprechend in einen Digitalwert gewandelt wird. Durch ein derartiges Verfahren kann besonders vorteilhaft eine Auflösung verbessert werden, ohne dass ein erheblicher Mehraufwand be ^¬ trieben werden müsste, wie er mit einer alternativ möglichen Erhöhung der Taktfrequenz des Mastergeräts und/oder des Clientgeräts beziehungsweise der jeweiligen Zähler verbunden wäre. Ein entsprechendes interpolierendes Messverfahren kann vor- teilhaft beispielsweise auch bei einer Messung von relativen Frequenzabweichungen eingesetzt oder angewendet werden, um die jeweiligen Taktfrequenzen der entsprechenden Geräte nicht unnötig hoch wählen zu müssen. In weiterer Ausgestaltung des erfindungsgemäßen Verfahrens ist es vorgesehen, dass das Mastergerät eine Auswahllogik umfasst, mittels welcher das Signalmerkmal selbsttätig ausgewählt und/oder vorgegeben wird, insbesondere in Abhängigkeit von einem in dem Netzwerk verwendeten Leitungscode und/oder einer in dem Netzwerk verwendeten Modulationsart. Bei einer Verwendung mehrerer Signalmerkmale können auch mehrere oder alle Sig ^¬ nalmerkmale entsprechend selbsttätig ausgewählt und/oder vorgegeben werden. Alternativ ist es auch möglich, dass die Auswahllogik als separates Gerät oder als separate Einrichtung ausgebildet ist und ebenso können die Signalmerkmale auch händisch oder manuell, beispielsweise herstellerseitig oder von einem Nutzer oder Anwender, vorgegeben werden. Vorteilhaft erlaubt eine selbsttätige Auswahl und/oder Vorgabe des Sig ^¬ nalmerkmals oder der Signalmerkmalen eine flexible Anwendung des Verfahrens in unterschiedlichen Situationen und/oder Netzwerken ohne zusätzlichen Aufwand. Durch die selbsttätige Auswahl und Vorgabe findet also eine automatische Anpassung der verwendeten Signalmerkmale, beispielsweise an den jeweiligen Leitungscode und/oder die jeweilige Modulationsart oder dergleichen statt.

Ein vorgegebenes Signalmerkmal kann beispielsweise eine be ^¬ stimmte steigende oder fallende Signalflanke sein, welche beispielsweise durch eine bestimmte vorgegebene Höhe, Steigung, Merkmalssequenz und/oder etwa durch einen bestimmten vorgegebenen zeitlichen Abstand von einem Beginn des Signals definiert, bezeichnet oder identifiziert sein kann. Anstelle einer Signalflanke kann beispielsweise auch ein Amplitudenübergang bei NRZ-Leitungskodierung (Non Return to Zero) oder ein Phasenübergang bei Pulsamplitudenmodulation (PAM) vorgesehen sein.

In jedem Fall ist es selbstverständlich vorgesehen, dass selbsttätig oder automatisch oder automatisiert eine Zuordnung zwischen jeweiligen Zählerständen, Signalmerkmalen und/oder Signalen erfolgt oder stattfindet, sodass beispielsweise bei mehreren aufeinanderfolgenden Signalen und/oder mehrfacher aufeinanderfolgender Anwendung des erfindungsgemäßen Verfahrens in demselben Netzwerk zu jedem Zeitpunkt, insbesondere bei den jeweiligen Auswertungen, Eindeutigkeit gegeben ist.

Das erfindungsgemäße Verfahren kann in unterschiedlichen Netzwerken, Netzwerkkarten, Netzwerktypen oder Netzwerkarchitekturen angewendet werden, welche auch unterschiedliche Protokolle einsetzen oder nutzen können und welche auch in unterschiedlichen Anwendungsbereichen eingesetzt werden können. Beispielsweise ist eine Anwendung in einem Gebäudenetzwerk ebenso möglich, wie eine Anwendung in einem Fahrzeugnetzwerk. Insbesondere in letzterem Fall können die Geräte des Netzwerks beispielsweise Steuergeräte des Fahrzeugs sein, welche über einen Bus, beispielsweise einen CAN-Bus einander verbunden oder verknüpft sind.

Im Folgenden ist ein Ausführungsbeispiel der Erfindung beschrieben. Hierzu zeigt:

Fig. 1 eine schematische Darstellung eines Netzwerks mit einem Mastergerät, einem Clientgerät und zwei weiteren Geräten;

Fig. 2 eine schematische Darstellung eines anderen Netzwerks mit einem Mastergerät und drei weiteren Geräten; Fig. 3 einen schematischen Ablaufplan einer Ausführungsform des erfindungsgemäßen Verfahrens.

Bei dem im Folgenden erläuterten Ausführungsbeispiel handelt es sich um eine bevorzugte Ausführungsform der Erfindung. Bei dem Ausführungsbeispiel stellen die beschriebenen Komponenten der Ausführungsform jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden und damit auch einzeln oder in einer anderen als der gezeigten Kombination als Bestandteil der Erfindung anzusehen sind. Des Weiteren ist die beschriebene Ausführungsform auch durch weitere der bereits beschriebenen Merkmale der Erfindung ergänzbar.

In den Figuren sind funktionsgleiche Elemente jeweils mit denselben Bezugszeichen versehen.

Fig. 1 zeigt eine schematische Darstellung eines ersten Netzwerks 10, welches aufgebaut ist aus einem Bus 11, einem Mastergerät 12, einem Clientgerät 13, einem ersten Gerät 14 und einem zweiten Gerät 15. Der Bus 11 dient als Signalübertragungsweg, über welchen Signale, Daten, Informationen und/oder Nachrichten zwischen den Geräten 12 bis 15 ausgetauscht werden können. Der Bus 11 kann beispielsweise eine übliche zur Datenübertragung geeignete elektrische Leitung oder Verbindung sein. Die Geräte 12 bis 15 sind über entsprechende Anschlüsse und/oder An ^¬ schlussleitungen mit dem Bus 11 verbunden. Zusätzlich schematisch dargestellt ist ein Signal 16, welches hier beispielhaft aus einer Folge von fallenden und steigenden Flanken zusammengesetzt ist, welche durch konstante Abschnitte mit jeweils einem von zwei unterschiedlichen Konstanten Signal- oder Spannungsniveaus miteinander verbunden sind. Vorliegend ist eine steigende Flanke als ein erstes Signalmerkmal SM1 besonders gekennzeichnet. Auf dieses erste Signalmerkmal SM1 bezie ^¬ hungsweise dessen Verwendung oder Signifikanz wird weiter unten noch näher eingegangen.

Das erste Netzwerk 10 kann beispielsweise Teil eines Kraft- fahrzeugs sein, wobei dann die Geräte 12 bis 15 beispielsweise Steuergeräte und der Bus 11 ein CAN-Bus sein können. Dies ist jedoch nur ein Beispiel oder Anwendungsfall und das erste Netzwerk 10 könnte auch eine andere Struktur oder Architektur sowie eine Vielzahl weiterer Geräte aufweisen und es könnte außer einem CAN-Bus beispielsweise auch FlexRay, Ethernet, ein MOST-Bus oder dergleichen eingesetzt werden.

Vorliegend sind alle Geräte 12 bis 15 des ersten Netzwerks 10 mit einer Schnittstelle 17 ausgestattet, über welche ein Signal- oder Datenaustausch über den Bus 11 erfolgt. Das Mastergerät 12 und das Clientgerät 13 weisen zusätzlich jeweils eine Auswahllogik 18 auf, welche so verschaltet ist, dass sie an dem jeweiligen Gerät 12 beziehungsweise 13 ankommende Signale empfängt. Die Auswahllogik 18 ist dazu eingerichtet zumindest ein Signal- merkmal SM1, bevorzugt mehrere, beispielsweise auch unter ^¬ schiedliche, Signalmerkmale SM1, SM2 (vergleiche Fig. 2) zu erkennen. Auch umfasst die Auswahllogik 18 eine Triggereinrichtung, mittels welcher bei einem solchen Erkennen eines bestimmten Signalmerkmals SM1 eine weitere Aktion ausgeführt oder veranlasst werden kann. Die Auswahllogik 18 ist weiterhin dazu eingerichtet, selbsttätig ein bestimmtes Signalmerkmal SM1 auszuwählen, was beispielsweise anhand von oder basierend auf einem in dem ersten Netzwerk 10 verwendeten Leitungscode, einer in dem ersten Netzwerk 10 verwendeten Modulationsart oder dergleichen geschehen kann. Vorliegend ist die Auswahllogik 18 dazu eingerichtet das erste Signalmerkmal SM1 zu erkennen und/oder auf das erste Signalmerkmal SM1 anzusprechen. Es kann dabei auch vorgesehen sein, dass bereits vorgegeben ist, auf welches Signalmerkmal SM1 die Auswahllogik 18 ansprechen soll. Es kann vorgesehen sein, dass ein selbsttätiges Auswählen eines Signalmerkmals SM1 durch die Auswahllogik 18 beispielsweise bei einem Wechsel des verwendeten Leitungscodes, der verwendeten Modulationsart oder dergleichen erfolgt.

Das Mastergerät 12 weist vorliegend einen Mastertaktgeber 19 auf, welcher mit einer regelmäßigen und gleichmäßigen lokalen Masterfrequenz f _C LM läuft oder betrieben wird oder diese Mas- terfrequenz f _C LM vorgibt, welche unabhängig sein kann von einer auf dem Bus 11 verwendeten Netztaktfrequenz. Mit dem Mastertaktgeber 19 verbunden ist ein Masterzähler 20, welcher ebenfalls Teil des Mastergeräts 12 ist. Aus dem Masterzähler 20 kann ein Masterzählerstand ausgelesen und in einem Masterregister 21 des Mastergeräts 12 gespeichert, zwischengespeichert oder abgelegt werden. Hier sind die einzelnen Komponenten oder Bauteile des Mastergeräts 12 so verschaltet, dass dieses Auslesen und Ab ^¬ speichern des Masterzählerstands durch die Auswahllogik 18, insbesondere durch die von dieser umfasste Triggereinrichtung, veranlasst wird oder werden kann, wenn beispielsweise das erste Signalmerkmal SM1 von der Auswahllogik 18 bei oder an oder in einem das Mastergerät 12 über den Bus 11 erreichenden Signal 16 erfasst oder erkannt wird. Das Mastergerät 12 kann auch weitere, hier nicht dargestellte Komponenten, Bauteile und/oder

Schaltungen umfassen, wozu insbesondere eine Auswerteeinrichtung gehört, welche auch Zugriff auf das Masterregister 21 und gegebenenfalls weitere Register oder Speicher haben kann. Aus einem Zähler ausgelesene und in einem Register gespeicherte Zählerstände können auch als Capture-Werte bezeichnet werden.

Das Clientgerät 13 umfasst einen Clienttaktgeber 22, welcher mit einer lokalen Clientfrequenz f _C Lc betrieben wird oder diese Clientfrequenz f _C Lc vorgibt, welche unabhängig sein kann sowohl , ,

16

von der auf dem Bus 11 verwendeten Netztaktfrequenz als auch von der Masterfrequenz F _CLM - Analog zum Aufbau des Mastergeräts weist das Clientgerät 13 weiterhin einen mit dem Clienttaktgeber 22 verbundenen Clientzähler 23 auf, von oder aus dem ein Cli- entZählerstand ausgelesen und in einem Clientregister 24 gespeichert, zwischengespeichert oder abgelegt werden kann.

Damit weisen also sowohl das Mastergerät 12 als auch das Clientgerät 13 besondere und spezifische Ausstattungsmerkmale auf. Das erste Gerät 14 und das zweite Gerät 15 hingegen brauchen lediglich eine in jedem üblichen netzwerkfähigen Gerät vorzufindende Basis- oder Grundausstattung an Komponenten und Fähigkeiten aufzuweisen.

Die in Fig. 1 schematisch dargestellte Anordnung erlaubt es, das erste Netzwerk 10 auf Anomalien zu überwachen, wofür vorliegend ein netzwerkspezifischer Parameter herangezogen wird, bei dem es sich hier insbesondere um ein Laufzeitmuster des Signals 16 auf dem Bus 11 in dem ersten Netzwerk 10 handeln kann. Das Verfahren zur Anomaliedetektion wird unter Rückbezug auf die hier im Zusammenhang mit der Fig. 1 beschriebenen Bauteile und Anordnungen weiter unten anhand von Fig. 3 näher beschrieben.

Fig. 2 zeigt eine schematische Darstellung eines zweiten Netzwerks 25, welches ebenfalls einen Bus 11 umfasst, mit dem hier jedoch ein alternativ ausgeführtes Mastergerät 12b und anstelle des Clientgeräts 13 ein drittes Gerät 29 verbunden sind. Die hier ebenfalls vorgesehenen Geräte 14 und 15 können denjenigen aus Fig. 1 entsprechen. Derart aufgebaut kann auch das dritte Gerät 29 sein, welches also ebenfalls über keine besonderen, über eine Basis- oder Grundausstattung hinausgehende Merkmale oder Einrichtungen aufweisen muss. Zudem können auch in das zweite Netzwerk 25 weitere, hier nicht dargestellte Geräte eingebunden sein .

Das Mastergerät 12b umfasst im Wesentlichen die gleichen Komponenten wie das Mastergerät 12, wobei hier jedoch mit dem Mastertaktgeber 19 zusätzlich zu dem Masterzähler 20 ein zweiter Masterzähler 27 verbunden ist. Zudem wird hier der Zählerstand des Masterzählers 20 in ein zweites Masterregister 26 ausgelesen und ein zweiter Masterzählerstand des zweiten Masterzählers 27 wird in ein drittes Masterregister 28 ausgelesen oder ge- speichert. Das Auslesen der jeweiligen Zählerstände des Mas ^¬ terzählers 20 und des zweiten Masterzählers 27 kann hier ebenfalls durch die Auswahllogik 18 des Mastergeräts 12b veranlasst werden. Zusätzlich ist auch hier schematisch das Signal 16 dargestellt, wobei jedoch zusätzlich zu dem ersten Signalmerkmal SM1 ein zweites Signalmerkmal SM2 gekennzeichnet ist. Dabei ist es vorgesehen, dass - wenn das Signal 16 über den Bus 11 an das Mastergerät 12b gesendet und von diesem empfangen wird - bei dem Erfassen des ersten Signalmerkmals SM1 durch die Auswahllogik 18 der Masterzählerstand des Masterzählers 20 in das zweite Masterregister 26 ausgelesen wird. Analog wird bei einem Erfassen des zweiten Signalmerkmals SM2 durch die Auswahllogik 18 der zweite Masterzählerstand des zweiten Masterzählers 27 in das dritte Masterregister 28 ausgelesen, das heißt aus dem zweiten Masterzähler 27 ausgelesen und in dem dritten Mas- terregister 28 gespeichert.

Mittels dieser in Zusammenhang mit Fig. 2 beschriebenen Anordnung und Verschaltung ist es ebenfalls möglich, das zweite Netzwerk 25 auf Anomalien zu überwachen. Dabei ist hier nur das Mastergerät 12b mit über eine Grundausstattung hinausgehenden Merkmalen oder Einrichtungen ausgestattet. Vor diesem Hintergrund ist es hier vorgesehen, dass bei einer Anordnung gemäß Fig. 2 die Anomalieüberwachung oder Anomaliedetektion auf Basis einer Auswertung eines Frequenzmusters erfolgt. Auch dieses Vorgehen wird weiter unten anhand von Fig. 3 näher erläutert.

Es sei jedoch bereits an dieser Stelle darauf hingewiesen, dass die hier dargestellte Verwendung zweier Masterzähler 20, 27 in dem Mastergerät 12b lediglich eine Ausführungsvariante dar- stellt. Alternativ ist es auch möglich, beispielsweise das dritte Masterregister 28 ebenfalls mit dem Masterzähler 20 zu verbinden, sodass als zweiter Masterzählerstand, welcher in dieses dritte Masterregister 28 bei einer Detektion des zweiten. Signal- merkmals SM2 ausgelesen wird, der zu diesem Zeitpunkt dann vorliegende Zählerstand des Masterzählers 20 verwendet wird. Voraussetzung ist dabei allerdings, dass der Masterzähler 20 freilaufend ist und das Auslesen und Speichern der jeweiligen Masterzählerstände keinen Einfluss, insbesondere keine zeit ^¬ liche Verzögerung auf den Masterzähler 20 beziehungsweise den jeweiligen Masterzählerstand hat oder ausübt.

Fig. 3 zeigt einen schematischen Ablaufplan 30 anhand dessen im Folgenden ein Verfahren zur Anomaliedetektion in dem ersten

Netzwerk 10 beschrieben werden soll. Dabei werden beide der im Zusammenhang mit Fig. 1 und Fig. 2 beziehungsweise mit dem ersten Netzwerk 10 und dem zweiten Netzwerk 25 beschriebenen Methoden kombiniert. Das heißt, es wird sowohl ein Laufzeitmuster als auch ein Frequenzmuster ausgewertet, um eine verbesserte Genauigkeit , Zuverlässigkeit und Sicherheit bei der Anomaliedetektion und bei der Anomalieüberwachung insgesamt zu erzielen.

Zu einem Start Sl des Verfahrens sei angenommen, dass das erste Netzwerk 10 auf Hardwareebene vollständig aufgebaut und ein ^¬ gerichtet sei. Es sind insbesondere auch bereits die Taktgeber 19, 22 aktiv und die Zähler 20, 23 können bereits laufen oder in Betrieb sein. In einem Verfahrensschritt S2 erfolgt zunächst unter vorbe ^¬ stimmten oder kontrollierten Bedingungen, das heißt beispielsweise unter Aufsicht unmittelbar nach dem Aufbau oder der Einrichtung des ersten Netzwerks 10, eine Ermittlung jeweiliger Sollwerte der im Weiteren verwendeten netzwerkspezifischen Parameter. Dazu kann beispielsweise das Signal 16 von allen anderen Geräten 13, 14, 15 an das Mastergerät 12 und zusätzlich von dem ersten Gerät 14 und dem zweiten Gerät 15 an das Clientgerät 13 gesendet werden. Weiterhin kann zusätzlich auch ein weiteres Signal von dem Clientgerät 13 an das Mastergerät 12 gesendet werden. In dieser Betriebsphase können auch weitere Signale gesendet und/oder das Signal 16 mehrfach gesendet werden, sodass eine ausreichende Datenbasis zur Ermittlung der Sollwerte zur Verfügung steht. Zur Ermittlung der Sollwerte kann das nach- folgend beschriebene Verfahren ganz oder teilweise durchlaufen werden, wobei dabei ermittelte Werte als Sollwerte angesehen und verwendet werden können. Zu diesem Zeitpunkt wird davon ausgegangen, dass keine Anomalie vorliegt, so dass die anhand dieser unter bekannten, überwachten Bedingungen übermittelten Signale und deren Eigenschaften sowie beispielsweise jeweils zugehörige Zählerstände als anomalie ^¬ freie Soll- oder Normalwerte angenommen und verwendet und in einem Verfahrensschritt S3 in der Auswerteeinrichtung als Vergleichswerte abgespeichert werden.

Sobald jeweilige Sollwerte der netzwerkspezifischen Parameter für alle Geräte 12 bis 15 des ersten Netzwerks 10 und/oder alle Gerätepaarungen ermittelt und abgespeichert sind, sind also die netzwerkspezifischen Parameter beziehungsweise deren Sollwerte angelernt oder, anders ausgedrückt, ist die Auswerteeinrichtung mit den Parametern oder Sollwerten angelernt. Es ist damit also ein Sollzustand des ersten Netzwerks 10 ohne Anomalien bekannt.

Nachdem diese Anlernphase beendet ist, wird anschließend in einem Verfahrensschritt S4 ein regulärer Betrieb oder Normalbetrieb des ersten Netzwerks 10 aufgenommen. In diesem Normalbetrieb sind keine zusätzlichen externen Überwachungsmaßnahmen und keine Aufsicht mehr notwendig, da eventuell auftretende Anomalien durch die weiteren Verfahrensschritte automatisiert erkannt werden können.

Für das vorliegende Beispiel sei angenommen, dass in einem Verfahrensschritt S5 das erste Gerät 14 das Signal 16 über den Bus an alle mit dem Bus 11 verbundenen Einrichtungen und damit insbesondere sowohl an das Mastergerät 12 als auch an das Clientgerät 13 aussendet. Mit dem Signal 16 wird dabei eine Nachricht X übertragen, wobei die Begriffe „Signal" und „Nachricht" im Folgenden auch austauschbar verwendet werden.

In den Verfahrensschritten S6 und S6b erfolgt die Auswahl und Vorgabe des ersten Signalmerkmals SMl des Signals 16 durch die Auswahllogiken 18 des Clientgeräts 13 und des Mastergeräts 12. Durch das Mastergerät 12 wird zusätzlich das zweite Signalmerkmal SM2 ausgewählt und vorgegeben . Die Signalmerkmale SM1, SM2 können aber auch bereits zu einem vorherigen Zeitpunkt, insbesondere vor dem Aussenden des Signals 16 stattgefunden haben oder vorgesehen sein .

In einem nachfolgenden Verfahrensschritt S7 wird, veranlasst durch die Triggereinrichtung des Clientgeräts 13, auf das Erfassen oder Erkennen des ersten Signalmerkmals SM1 - oder dessen Eintreffen an dem Clientgerät 13 - hin der zu diesem Eintreffen, das heißt zu einem EintreffZeitpunkt des ersten Signalmerkmals SM1 der Nachricht X korrespondierende Client ^¬ zählerstand C _xc des ClientZählers 23 ausgelesen und in dem Clientregister 24 abgelegt. Parallel wird, sobald das Signal 16, genauer gesagt das ersten Signalmerkmal SM1, das Mastergerät 12 erreicht hat, in einem Verfahrensschritt S7b - veranlasst durch die Triggereinrichtung des Mastergeräts 12 - der erste Mas ^¬ terzählerstand C _XM des Masterzählers 20 ausgelesen und in dem ersten Masterregister 21 gespeichert. Dieser erste Masterzählerstand C _XM korrespondiert also zu einem EintreffZeitpunkt des ersten Signalmerkmals SM1 an dem Mastergerät 12. Der erste Masterzählerstand C _XM kann parallel oder anschließend auch in dem zweiten Masterregister 26 als C _XM i gespeichert. Alternativ kann auch sichergestellt werden, dass der Wert C _XM auch zu einem späteren Zeitpunkt in dem ersten Masterregister 21 für die weiter unten beschriebene Frequenzmusterauswertung zur Verfügung steht . An dieser Stelle folgt das Verfahren parallel zwei Pfaden S7c und S7d, welche im Folgenden nacheinander beschrieben werden sollen. Der Pfad S7c korrespondiert dabei mit der Verwendung oder Auswertung eines Laufzeitmusters , während der Fahrt S7d mit der Verwertung oder Auswertung eines Frequenzmusters korrespon- diert.

Dem Pfad S7c folgend wird in einem nachfolgenden Schritt S8, nachdem das Signal 16 vollständig den Bus 11 durchgelaufen ist, von dem Clientgerät S13 der ClientZählerstand C _xc in einem separaten Signal oder einer separaten Nachricht über den Bus 11 an das Mastergerät 12 übermittelt. Von oder in dem Mastergerät 12 wird der empfangene ClientZählerstand C _xc der Auswerteein- richtung zugeleitet oder verfügbar gemacht.

In einem Verfahrensschritt S9 sendet das Clientgerät 13 eine Referenznachricht R oder ein entsprechendes Referenzsignal über den Bus 11 an das Mastergerät 12. In der Referenznachricht R enthalten ist als Information ein ReferenzclientZählerstand C _RC , welcher mit einem Signalmerkmal der Referenznachricht R kor ^¬ respondiert. Mit anderen Worten kann der ReferenzclientZählerstand C _RC beispielsweise in einem festen, vorgegebenen oder bekannten Zeitabstand zu einem Zeitpunkt ausgelesen worden sein, zu dem das Signalmerkmal der Referenznachricht R von dem Clientgerät 13 generiert und/oder ausgesendet wird.

In einem Verfahrensschritt S10 wird die Referenznachricht R von dem Mastergerät 12 empfangen und das Signalmerkmal der Refe- renznachricht R erkannt oder erfasst. Weiterhin wird, veranlasst durch die Triggereinrichtung des Mastergeräts 12, der zu diesem Erkennen oder Erfassen des Signalmerkmals der Referenznachricht R korrespondierende Referenzmasterzählerstand C _RM aus dem Masterzähler 20 ausgelesen. Der mit der Referenznachricht R an das Mastergerät 12 übermittelte Clientreferenzzählerstand C _RC und der Masterreferenzzählerstand C _RM werden ebenfalls der Auswerteeinrichtung übermittelt oder verfügbar gemacht.

Eine Laufzeit des Signals 16 von dem ersten Gerät 14 zu dem Mastergerät 12 und zu dem Clientgerät 13 sowie eine Laufzeit der Referenznachricht R von dem Clientgerät 13 zu dem Mastergerät 12 ist durch physikalische Randbedingungen, insbesondere eine Leitungslänge und eine Ausbreitungskonstante für elektromag ^¬ netische Wellen auf elektrischen Leitungen - konkret auf dem Bus 11 - gegeben und in Verbindung mit der konkreten räumlichen Anordnung der Geräte 12 bis 15 und des Busses 11 somit cha ^¬ rakteristisch für ein bestimmtes Netzwerk, hier für das erste Netzwerk 10. Die Ausbreitungskonstante kann beispielsweise 5 ns pro Meter betragen. Damit beträgt eine reine Laufzeit oder Signallaufzeit des Signals 16 auf dem Bus 11 bei 5 m Leitungslänge etwa 25 ns . Zusätzlich können sich noch Verzögerungszeiten oder Latenzen durch eine jeweilige Empfangselektronik ergeben. Diese Verzögerungszeiten können in der gleichen Größenordnung liegen und beispielsweise ebenfalls 25 ns betragen. Es folgt also, dass sich für das Signal 16 unterschiedliche Laufzeiten ergeben, je nachdem, ob es von dem ersten Gerät 14 gesendet wurde wie vorgegeben und erwartet oder ob es tatsächlich von einem anderen Gerät, beispielsweise von dem zweiten Gerät 15 oder einem Fremdgerät gesendet wurde. Eine Laufzeitdifferenz ist also immer gleich oder konstant für jede Nachricht X oder jedes sonstige Signal, welches tatsächlich von ein und derselben Signalquelle Q, beispielsweise hier von dem ersten Gerät 14, ausgesendet wurde. T _QM gibt dabei die Laufzeit von der Sig ^¬ nalquelle Q zu dem Mastergerät 12 und T _QC die Laufzeit von der Signalquelle Q zu dem Clientgerät 13 an. Die Laufzeitdifferenz ΔΤ _Χ kann für jede einzelne Nachricht und für jedes einzelne Signal ermittelt werden, welches in dem ersten Netzwerk 10 gesendet wird . Die Laufzeitdifferenz ist ΔΤ _Χ aufgrund der festen räumlichen Positionen und Relationen in dem ersten Netzwerk 10 gerätespezifisch. Sie kann also als eine Art Authentifizierung der jeweiligen Signalquelle Q dienen und in einer sicherheitskritischen Situation - beispielsweise bei einem Angriff oder einer Manipulation des ersten Netzwerks 10 - würde beispielsweise ein Fremdgerät eine Nachricht Y senden, welche vorgeblich von dem ersten Gerät 14 stammt. Bei Verwendung eines CAN-Busses 11 könnte beispielsweise das Fremdgerät einen CAN-Identifier verwenden, welcher bestimmungsgemäß aus- schließlich dem ersten Gerät 14 zugeordnet ist. In einem herkömmlichen Netzwerk könnte diese missbräuchliche Verwendung des CAN-Identifiers nicht erkannt werden. Eine solche Situation kann auch entstehen, wenn ein Gerät, hier beispielsweise das zweite Gerät 15 manipuliert wurde. Prinzipiell kann diese sicherheitskritische, anormale Situation vorliegend dadurch erkannt werden, dass die Laufzeitdifferenz ΔΤ _Υ der gefälschten oder manipulierten, durch das Fremdgerät gesendeten Nachricht Y sich ergibt zu:

Aufgrund der unterschiedlichen räumlichen Positionen und damit der unterschiedlichen Laufzeiten für von dem ersten Gerät 14 und von dem Fremdgerät ausgesendeten Nachrichten oder Signalen kann eine Abweichung der tatsächlichen Laufzeitdifferenz ΔΤ _Υ von einer erwarteten Laufzeitdifferenz erkannt und als Anomalie in dem ersten Netzwerk 10 gewertet oder erkannt werden.

Grundsätzlich müssen dabei die jeweiligen Laufzeitdifferenzen ΔΤχ, ΔΤ _Υ mit einer hinreichend guten Auflösung gemessen oder bestimmt werden. Diese Auflösung muss im hier beschriebenen Beispiel etwa einige Nanosekunden betragen.

Durch die Auswahllogiken 18 kann beispielsweise als erstes Signalmerkmal SM1 eine bestimmte Signalflanke des Signals 16 oder der Nachricht X oder der Nachricht Y, beispielsweise eine erste auf eine Startflanke folgende Flanke, ermittelt oder bestimmt werden. Die in den Verfahrensschritten S7, S7b erfassten

Zählerstände C _XM und C _xc der mit der Frequenz f _CLM beziehungsweise f _C Lc betriebenen oder versorgten Zähler 20, 23 können bei ^¬ spielsweise dann erfasst oder festgehalten werden, wenn diese festgelegte Flanke, das heißt also das erste Signalmerkmal SM1, an einem Ausgang der jeweiligen Auswahllogik 18 auftritt oder anliegt. Damit wird der jeweilige EintreffZeitpunkt des ersten Signalmerkmals SM1 an dem Mastergerät 12 also relativ zu dem lokalen Takt des Mastertaktgebers 19 und der Zeitpunkt des Eintreffens des ersten Signalmerkmals SM1 an dem Clientgerät 13 relativ zu dem lokalen Takt des Clienttaktgebers 23 bestimmt.

Diese jeweiligen EintreffZeitpunkte oder Eintreffzeiten des ersten Signalmerkmals SM1 beim Mastergerät 12 beziehungsweise beim Clientgerät 13 können als t _XM beziehungsweise als t _xc bezeichnet und durch ganzzeilige Vielfache der jeweiligen Zählerstände C _x beziehungsweise C _xc ausgedrückt werden: txM = C _X M / fCLM Und txc = (C _X c / fcLc ) + t ₀ ff (3)

Dabei kann ein Zeitbezug t=0 für einen Masterzählerstand von Null festgesetzt werden. Bei dem Clientgerät 13 muss dann jedoch von einem zunächst unbekannten Zeitoffset t ₀ ff ausgegangen werden. Aus einer Kombination der Laufzeitdifferenz ΔΤ _Χ für die Nachricht X und den EintreffZeitpunkten t _XM und t _xc kann die Beziehung

ΔΤ _Χ = t _X M ^~~ xc ⁼ (C _X M / fCLM) ^~~ (C _X c / fcLc ) ^_ t ₀ ff (4) gewonnen werden. Die lokale Taktfrequenz f _C Lc des Clienttakt ^¬ gebers 22 kann durch eine relative Frequenzabweichung Af _rei von der lokalen Taktfrequenz fLM des Mastertaktgebers 19 ausgedrückt werden : f _C LC = fCLM (1 + Af _r el) * f _C LC

In der Praxis kann die relative Frequenzabweichung Af _rei klein sein und beispielsweise bei einer Verwendung von Quarzoszillatoren oder Schwingquarzen Af _rei ~ 10 ^"5 betragen. Damit kann die Zeitdifferenz (4) bis auf den Zeitoffset t ₀ ff aus dem Master ^¬ zählerstand und C _x und dem ClientZählerstand C _xc bestimmt werden.

Aus dem mit der Referenznachricht R übermittelten Clientre ^¬ ferenzzählerstand C _RC kann als Referenz eine Zeitdifferenz

ATR = tRM ^~~ tRC = (CRM / fcLc ) ^~~ (CRC / fcLc ) ^_ t ₀ ff (5) ermittelt werden. Diese Zeitdifferenz (5) enthält den Zeitoffset t ₀ ff gleichermaßen, jedoch mit einer bekannten Laufzeitdifferenz , welche vom physikalischen Abstand zwischen dem Clientgerät 13 und dem Mastergerät 12 abhängt. Dieser Abstand ist für das erste Netzwerk 10 bekannt. Mit den nunmehr bekannten Daten kann in einem nachfolgenden Verfahrensschritt Sil ein Laufzeitmuster Pat (X) für die

Nachricht X berechnet werden. Vorliegend wird dazu eine Differenz zwischen der Beziehung (4) und der Zeitdifferenz (5) gebildet, wodurch der unbekannte Zeitoffset t ₀ ff aus der Berechnung eliminiert werden kann. Es ergibt sich also das Laufzeitmuster

Pat(X) = f _C Lc · (ΔΤ _Χ - ΔΤ _Κ ) = (C _XM - C _xc ) - (CRM - C _RC )

= (C _XM - CRM) - (Cxc - C _RC ) (6)

Das somit für die Nachricht X berechnete Laufzeitmuster Pat (X) kann in einem Verfahrensschritt S12 nachfolgend mit dem er ^¬ warteten, im Verfahrensschritt S2 ermittelten Sollwert oder Solllaufzeitmuster verglichen werden. Dabei kann ein Schwellwert für eine Abweichung zwischen dem Laufzeitmuster Pat (X) der

Nachricht X und dem als Sollwert gespeicherten Laufzeitmuster vorgegeben sein. Eine Anomalie in dem ersten Netzwerk 10 wird in diesem Fall dann erkannt, wenn diese Abweichung den vorgegebenen Schwellwert erreicht oder überschreitet.

Der Schwellwert kann beispielsweise gewonnen oder bestimmt werden, in dem ein plausibler Wert für das Laufzeitmuster Pat (X) anhand von herstellerseitigen Hardwarespezifikationen der für das erste Netzwerk 10 verwendeten Geräte ermittelt und dieser plausible Wert um 10 % erhöht wird. Da die Abweichung sowohl nach oben als auch nach unten hin erfolgen kann, ist es vorliegend vorgesehen, dass ein Betrag der Differenz zwischen dem Laufzeitmuster Pat (X) und dem entsprechenden Sollwert gebildet und dieser Betrag mit dem Schwellwert verglichen wird.

Wird keine Anomalie detektiert, das heißt ist der Betrag der Abweichung kleiner als der Schwellwert, so wird in einem Verfahrensschritt S13 ein Normalbetrieb 31 des ersten Netzwerks 10 aufgenommen oder fortgesetzt. Dieser Normalbetrieb 31 zeichnet sich durch die fortgeführte bestimmungsgemäße Funktion und Funktionsausführung in dem ersten Netzwerk 10 und allen angeschlossenen oder beteiligten Geräten 12 bis 15 aus. Wird jedoch eine Anomalie detektiert da der Betrag der Abweichung größer als der Schwellwert ist, so wird in einem Verfahrens ^¬ schritt S14 in einen Anomaliebetrieb 32 übergegangen. In dem Anomaliebetrieb 32 kann beispielsweise das Vorliegen einer Anomalie signalisiert werden. Dies kann beispielsweise auf akustischem, optischem und/oder elektronischem oder elektrischem Weg geschehen, indem beispielsweise ein entsprechendes Alarmsignal von der Auswerteeinrichtung, welche die Anomalie detektiert hat, ausgegeben wird. Es ist auch möglich, vorzusehen, bei der Detektion der Anomalie die Signal- oder Datenübertragung in dem ersten Netzwerk 10 ganz oder teilweise zu unterbrechen.

Um eine hinreichende Auflösung bei der Ermittlung der jeweiligen Laufzeitmuster zu erhalten, sollte eine minimale Laufzeit oder ein minimaler Abstand zwischen zwei Geräten 12 bis 15 in dem ersten Netzwerk 10 zu einem mit den jeweils verwendeten Bauteilen und Schaltungen, insbesondere mit der jeweils verwendeten Auswerteeinrichtung, zuverlässig unterscheidbaren Laufzeitmuster führen. Beispielsweise kann in dem lokalen ersten Netzwerk 10 ein minimaler Abstand zwischen zwei Geräten 12 bis 15 von 50 cm vorgesehen sein, was einer Laufzeit oder Signallaufzeit von etwa 2,5 ns entspricht und bei einer verwendeten lokalen Taktfrequenz f _C LM beziehungsweise f _C Lc des Mastertaktgebers 19 beziehungsweise des Clienttaktgebers 22 von 400 MHz kann somit gerade ein Abstand von 50 cm aufgelöst werden.

Um diese Auflösung zu verbessern, können die lokalen Taktfrequenzen fcLM _/ fc _L c der Taktgeber 19, 22 erhöht werden. Eine Alternative, welche in der Regel mit geringerem Aufwand verbunden ist, kann darin bestehen, ein interpolierendes Messverfahren einzusetzen. Hierfür kann beispielsweise in dem Clientgerät 13 und in dem Mastergerät 12 jeweils ein linearer Integrator vorgesehen sein, dessen Integrationsergebnis mit einem ebenfalls dort vorgesehenen Analog-Digital-Wandler gewandelt wird. Allgemein kann hier auf ein bekanntes Ti ^¬ me-Digital-Konversionsverfahren zurückgegriffen werden. Mit einem solchen Vorgehen kann die erreichbare Auflösung bei- spielsweise um bis zu einem Faktor 1000 unter einer Periodendauer der lokalen Taktfrequenzen f _CLM und f _C Lc liegen. Es kann also beispielsweise mit einer lokalen Taktfrequenz f _CLM/ fcLc der Taktgeber 19, 22 eine Auflösung von 0,2 ns erreicht werden, was einem auflösbaren Abstand zweier Geräte 12 bis 15 von 4 cm entspricht .

An dieser Stelle soll nun auf den zweiten, parallel durchge ^¬ führten und dem Verfahrensschritt S7d folgenden Verfahrenszweig eingegangen werden. Nachdem im Verfahrensschritt S7b bereits der zu dem ersten Signalmerkmal SMl korrespondierende erste Mas ^¬ terzählerstand C _x erfasst und auch in Form des Masterzählerstands C _XMI gespeichert worden ist, wird anschließend bei einem Ein ^¬ treffen des zweiten Signalmerkmals SM2 des Signals 16 an dem Mastergerät 12 in einem Verfahrensschritt S9b ein zu diesem Eintreffen des zweiten Signalmerkmals SM2 korrespondierender Masterzählerstand C _XM 2 erfasst und beispielsweise in dem dritten Masterregister 28 abgespeichert. Relativ zu der lokalen Mastertaktfrequenz F _CLM kann ein Zeit ^¬ abstand zwischen den beiden Signalmerkmalen SMl und SM2 oder zwischen deren jeweiligem Eintreffen oder zwischen den Ein- treffZeitpunkten der Signalmerkmalen SMl und SM2 an dem Mastergerät 12 bestimmt werden. Der EintreffZeitpunkt t _XM des ersten Signalmerkmals SMl an dem Mastergerät 12 wird im Folgenden auch als txm bezeichnet. t _XM i und der Zeitpunkt t _XM 2 des Eintreffens des zweiten Signalmerkmals SM2 ergeben sich damit zu: txMl ⁼ CXMI / fCLM Und txM2 ⁼ CXM2 / fCLM ( 8 )

Der zeitliche Abstand zwischen den Signalmerkmalen SMl und SM2, das heißt die Zeitdifferenz

ΔΤχ Μ ⁼ txMl ^~~ txM2 ⁼ (CxM2/fcLM) ^~~ (CxMl/fcLid) ⁼ ΔΟχΜΜ / fCLM (9) ist für die Nachricht X eine feste Größe und somit ist der absolute zeitliche Abstand zwischen den Signalmerkmalen SMl und SM2 unabhängig von der lokalen Taktfrequenz f _CLM oder einer ent- sprechenden lokalen Taktfrequenz des sendenden Geräts, hier also des ersten Geräts 14, welches die Nachricht X ausgesendet hat. AC _XMM bezeichnet eine Differenz der Zählerstände C _XM 2 und C _XM i und entspricht einer Anzahl von Zähltakten, welche der Masterzähler 20 zwischen dem Eintreffen des ersten Signalmerkmals SMl und dem Eintreffen des zweiten Signalmerkmals SM2 erfasst oder gezählt hat .

In dem Mastergerät 12 und/oder von der Auswerteeinrichtung wird in einem anschließenden Verfahrensschritt SlOb eine Anzahl AC _X von Takten berechnet oder bestimmt, welche von dem ersten Gerät 14 zum Senden der Nachricht X verwendet wurde. Diese Anzahl AC _X kann basierend auf der in dem ersten Netzwerk 10 oder auf dem Bus 11 verwendeten Modulationsart, einem entsprechenden Protokoll, einem verwendeten Bussystem und/oder einer ähnlichen in dem ersten Netzwerk 10 fest vorgegebenen und bekannten Größe bestimmt werden. Beispielsweise kann der Bus 11 als CAN-Bus mit einer nominellen oder spezifizierten Datenrate von 500.000 bit/s betrieben werden, sodass ein Takt bestimmungsgemäß 2 ys lang ist. Die Anzahl AC _X kann aus der Differenz der beiden Zeitpunkte t _XM i und t _XM 2 beziehungsweise aus den zu diesen Zeitpunkten t _XM i und t _XM 2 korrespondieren Masterzählerständen ermittelt werden, wobei auch die nominelle Taktlänge von hier beispielsweise 2 ys berücksichtigt werden kann. Dieses Vorgehen ist jedoch explizit nicht auf den CAN-Bus beschränkt, sondern kann auf anderen Bussystemen analog eingesetzt werden.

AC _X kann beispielsweise eine ganze Zahl sein und somit die Anzahl ganzer oder vollständiger Takte angeben, welche von der Sig- nalquelle, das heißt dem die Nachricht X sendenden Gerät, zwischen den beiden Signalmerkmalen SMl und SM2 abgewartet oder verwendet wurden. Es kann auch möglich sein, bei einem entsprechend variablen oder flexiblen Netzwerk und/oder Übertragungsprotokoll AC _X zu bestimmen, indem anstelle der nomi- nellen oder spezifizierten Taktlänge eine tatsächlich von dem Quellgerät verwendete Taktlänge berücksichtigt wird. Diese kann relativ zu der Mastertaktfrequenz f _CLM bestimmt werden. Diese tatsächlich verwendete Taktlänge kann beispielsweise durch eine entsprechende Überwachung und Auswertung des eingehenden Signals 16 in dem Mastergerät 12 erfolgen. Hierbei kann beispielsweise auch eine andere bekannte Größe, wie etwa eine auf den Takt bezogene Datenrate, das heißt beispielsweise eine Datenmenge pro Takt, berücksichtigt werden, welche unabhängig sein kann von der tatsächlichen Taktlänge.

Für die Zeitdifferenz AT _XQ bezogen auf die tatsächliche Signalquelle Q der Nachricht X ergibt sich:

ΔΤχς = txQ2 ^~~ txQl = ΔΟχ / fCLQ ⁼ ΔΤχ Μ = ΔΟχΜΜ / fCLM (10)

Hierin ist f _CLQ die lokale Taktfrequenz der tatsächlichen Signalquelle Q der Nachricht X.

Damit ist ein Verhältnis der Anzahl AC _X von zwischen den Signalmerkmalen SMl und SM2 von der Signalquelle Q - hier also vorgeblich des ersten Geräts 14 - verwendeten Takte zu der Anzahl AC _XMM der von dem Mastergerät 12 zwischen den Signalmerkmalen SMl und SM2 gezählten Takte des Mastertaktgebers 19 abhängig von einer relativen Taktfrequenzabweichung Af _QMre i zwischen dem Mastergerät 12 und der Signalquelle Q:

ΔΟχ / ΔΟχ Μ ⁼ fCLQ / fCLM

= fCLM ^* (1 + Afgurel ) / fCLM = 1 + Af _QM rel (10)

Diese relative Taktfrequenzabweichung

Af _QMre l = (ACx / AC _XMM ) ^" 1 (11) stellt eine charakteristische Größe für eine bestimmte Kon ^¬ figuration, das heißt für eine bestimmte Kombination zwischen spezifischen Geräten dar und kann somit zur Identifikation der Signalquelle der Nachricht X gegenüber dem Mastergerät 12 dienen oder verwendet werden.

Die relative Takt Frequenzabweichung Af _QMre i wird in einem Verfahrensschritt Sllb für die Nachricht X als Frequenzmuster FPat (X) berechnet. Da von Taktgebern vorgegebene Taktfrequenzen allgemein temperaturabhängig sein können, das heißt sich mit einer verändernden Temperatur des jeweiligen Taktgebers verändern können, werden bei der Berechnung des Frequenzmusters FPat (X) jeweilige Temperaturdaten T berücksichtigt. Vorliegend würden also hier die Temperaturen des Mastertaktgebers 19 und eine Temperatur des ersten Geräts 14, von dem die Nachricht X vorgeblich stammt, mit in die Berechnung einfließen und/oder in einer weiteren Auswertung berücksichtigt werden. Diese weitere Auswertung schließt einen in einem Verfahrens ^¬ schritt S12b durchgeführten Schwellwertvergleich eines Betrags einer Differenz zwischen dem Frequenzmuster FPat (X) und dem entsprechenden in Verfahrensschritt S2 ermittelten Sollwert für die Signalquelle der Nachricht X ein. Da hier beispielsweise die Nachricht X laut CAN-Identifier von dem ersten Gerät 14 stammt, würden also das Sollfrequenzmuster für eine von dem ersten Gerät 14 an das Mastergerät 12 gesendete Nachricht herangezogen werden. Dieser Schwellwertvergleich kann analog zu dem Verfahrensschritt es 12 durchgeführt werden. Beispielsweise kann eine in einem entsprechenden Datenblatt spezifizierte Frequenzabweichung eines Schwingquarzes des jeweiligen Taktgebers +/- 40 Hz be ^¬ tragen und in diesem Fall würde also der Schwellwert auf eine Frequenzabweichung von 44 Hz festgelegt werden, entsprechend der plausiblen Frequenzabweichung zuzüglich 10 %.

Auch hier muss selbstverständlich die lokale Taktfrequenz fcLM hinreichend groß sein, um auch relativ kleine Frequenzabwei ^¬ chungen, beispielsweise in der Größenordnung 10 ^"5 über eine relativ kurze Zeit von beispielsweise ΔΤ _ΧΧ ~ 10 ^"4 s messen zu können. Daher bietet sich auch hier vorteilhaft als Alternative an, ein interpolierendes Time-Digital-Conversion Verfahren einzusetzen, um so die notwendige Höhe oder Größe der Takt ^¬ frequenz f _C LM möglichst gering halten und mit möglichst geringem Aufwand realisieren zu können.

Wird in dem Schwellwertvergleich in Verfahrensschritt S12b keine Anomalie detektiert, da die Differenz oder Abweichung des für die Nachricht X ermittelten Frequenzmusters FPat (X) von dem ent- sprechenden Sollwert kleiner ist als der Schwellwert, so wird in einem Verfahrensschritt S13b auch hier in den Normalbetrieb 31 übergegangen oder der Normalbetrieb 31 wird fortgesetzt. Wird hingegen im Verfahrensschritt S12b eine Anomalie erkannt, so wird auch hier in einem Verfahrensschritt S14b in den Anomaliebetrieb 32 gewechselt.

In dem Normalbetrieb 31 kann eine Überwachung des ersten Netzwerks 10 mit dem hier beschriebenen Verfahren kontinuierlich, das heißt für jede in dem ersten Netzwerk 10 gesendete Nachricht durchgeführt werden. Es ist auch möglich, die be ^¬ schriebenen Anomalieprüfungen nur für bestimmte Nachrichten oder Signale durchzuführen, welche beispielsweise zufällig oder nach einem vorbestimmten Kriterium ausgewählt oder festgelegt werden können .

Insgesamt zeigt das Beispiel, wie durch die Erfindung eine Laufzeit- und Frequenzdifferenzüberwachung in einem Netzwerk zur Anomaliedetektion bereitgestellt werden kann.

Bezugs zeichenliste

10 erstes Netzwerk

11 Bus

12,12b Mastergerät

13 Clientgerät

14 erstes Gerät

15 zweites Gerät

16 Signal

17 Schnittstelle

18 Auswahllogik

19 Mastertaktgeber

20 Masterzähler

21 Masterregister

22 Clienttaktgeber

23 Clientzähler

24 Clientregister

25 zweites Netzwerk 26 zweites Masterregister 27 zweiter Masterzähler 28 drittes Masterregister 29 drittes Gerät

30 Ablaufplan

31 Normalbetrieb

32 Anomaliebetrieb

Sl Start

S2 bis S14 Verfahrensschritte S6b bis S14b Verfahrensschritte S7c, S7d Pfade

SM1 erstes Signalmerkmal SM2 zweites Signalmerkmal T Temperaturdaten