用于计算机辅助监控两个通信装置的两个时间基准的装置和方法与流程

本发明涉及一种用于计算机辅助监控第一通信装置的第一时间基准和第二通信装置的第二时间基准的方法。此外，本发明涉及一种计算环境或者说计算设备，其包括：具有第一时间基准的第一通信装置，具有第二时间基准的第二通信装置，和用于在第一通信装置和第二通信装置之间建立通信连接的接口。最后，本发明涉及一种计算机程序产品以及用于该计算机程序产品的提供设备，其中该计算机程序产品配备有用于执行该方法的程序指令。

背景技术：

1、一种用于同步时间基准的基本方法例如由文献“probabilistic clocksynchronization”（flaviu, christian，分布式计算（1989）3:146-158）已知。其中所描述的方法在下文中应被称为克里斯蒂安算法，并且基本上可以通过开头给出的在方法的第一流程中的方法步骤来描述，其中，在每个测量步骤中分别

2、•在与第一时间基准相关的第一时间点，由第一通信装置向第二通信装置发送第一消息，

3、•在与第二时间基准相关的第二时间点，由第二通信装置接收第一消息，

4、•在与第二时间基准相关的第三时间点，由第二通信装置向第一通信装置发送第二消息，以及

5、•在与第一时间基准相关的第四时间点，由第一通信装置接收第二消息，

6、•由第一时间点、第二时间点、第三时间点和第四时间点确定时间偏移区间，第一时间基准与第二时间基准之间的时间偏移可以位于该时间偏移区间内。

7、一种使用克里斯蒂安算法来评估两个时间基准之间的时间偏移的方法在wo2019/223951 a1和wo 2022/263152 a1中有所描述。借助克里斯蒂安算法确定多个时间偏移区间，其中通过在考虑时间偏移的假定漂移的前提下对时间上相继的时间偏移区间进行外推，可以形成用于可能的时间偏移的辅助窗口。

8、对于分布式、构成计算环境的系统的安全性论证通常依赖于通过冗余提高故障安全性的策略。其中还需要对计算环境的通信计算实例进行可靠的同步。如果安全的时间进展是从两个或更多时间基准推导出来的，则这些时间基准必须在物理上彼此独立。这意味着安全性论证依赖于时间基准不是由同一物理设备运行（运行时间基准的物理设备典型地是振荡器）。使用具有虚拟计算实例（虚拟机（virtuelle maschinen），简称vm）的平台并且特别是使用cots硬件（cots代表商用现货（commercial-off-the-shelf））的计算环境，目前依赖于部署和维护规则，这些规则对于其运营者而言遵守起来相当费力。这是因为运营者在不久的将来将使用越来越多的虚拟机来执行其应用。因为虚拟机可以轻松地迁移到其他物理机器上，所以最初由独立物理设备运行的时间基准可能会在某个时候无意中由同一物理设备运行，如果虚拟机（无意地且可能自动地）被迁移到同一物理机器上的话。

9、一种显而易见的解决方案是监控运行虚拟机的物理机器的硬件id（例如mac地址）。但是虚拟机可以仿真mac地址，以维持网络完整性并确保虚拟机能够在虚拟网络和物理网络内有效通信。因此，有必要与在操作系统上本地运行（在虚拟机外部）并且能够访问物理机器硬件id的额外软件进行通信，这将关联着巨大的耗费。

技术实现思路

1、本发明所基于的任务在于，给出一种用于计算机辅助监控第一通信装置的第一时间基准和第二通信装置的第二时间基准的方法，利用该方法能够以可靠且低耗费的方式识别这两个时间基准是否在物理上运行在同一硬件上。此外，本发明的任务在于，给出一种计算环境、一种计算机程序产品以及一种用于该计算机程序产品的提供设备，利用其能够执行前述方法。

2、该任务在开头给出的方法中根据本发明通过以下方式解决：在第二流程中，针对特定的测量步骤（n）并且随着测量步骤（n+x）的推进针对推进的较晚测量步骤（n+x），从相关联的时间偏移区间（cow）中重复地

3、•将最低的上限设定为结果时间偏移区间（rcow）的上限，并且

4、•将最高的下限设定为结果时间偏移区间（rcow）的下限，

5、其中，在第三流程中进行监控，以检查所述结果时间区间（rcow）的跨度是否趋近于零和/或检查结果时间区间（rcow）的跨度是否趋近于非零的极限值。

6、作为本发明方法的第一流程和第二流程，应分别理解为用于实现下文更详细描述的确定结果或计算结果而计算机辅助执行的方法步骤序列。其中第一流程的结果在第二流程中被需要。然而这并不意味着这些流程必须顺序执行。这些流程也可以并行执行，只要每个流程自身被重复，其中对于当前执行的第二流程使用先前完成的第一流程的结果，并且对于当前执行的第三流程使用先前完成的第二流程的结果。

7、第一流程是对开头描述的克里斯蒂安算法的执行。在确定了上述四个时间点之后，根据克里斯蒂安算法确定时间偏移区间∆(n)，该时间偏移区间指示可能的时间偏移的区间，时间偏移，即第一时间基准与第二时间基准之间基于所测量时间点而可能存在的绝对时间差，只能位于该区间内。

8、在克里斯蒂安算法中，这样进行操作，使得时间偏移∆(n)根据第一时间点、第二时间点、第三时间点和第四时间点被计算。时间偏移的最大可能误差e(n)可以根据第一时间点、第二时间点、第三时间点和第四时间点被计算，并且在考虑最大可能误差的情况下，时间偏移区间的上限和下限可以被计算（对此在下文有更多说明）。

9、第一流程包含重复的测量步骤。这可以这样解释，即第一流程必须构成用于执行第二流程的基础。在该第二流程中，必须多次分别考虑至少两个测量步骤，即一个较早测量步骤n和一个较晚测量步骤n+x。其中n给出测量步骤的编号并且是自然数。一个较晚测量步骤相对于较早测量步骤具有以测量步骤计的距离x，其中该距离也是自然数。对于一个相邻的较晚测量步骤，相应地有x = 1。

10、如果较早测量步骤和较晚测量步骤的时间偏移区间是已知的，那么由此产生的所考虑测量的时间偏移区间可以被使用，以便在第三流程中将结果时间偏移区间形象地说确定为所考虑时间偏移区间的交集。

11、下面描述的发明提供了一种解决方案，该解决方案仅基于时间基准的时间偏移的、根据结果时间偏移区间的发展被评判的进展就能够识别它们是否由同一物理设备运行。

12、对于根据本发明的解决方案，以下考虑是决定性的。用于运行时间基准的物理设备主要由于制造过程、但也由于老化和温度而偏离标称频率。因此，可以认为，由不同物理设备运行的时间基准不会以相同的速度前进。如果不对时间基准的值进行周期性修改以补偿这种效应，例如通过与共同的时间源同步，则两个时间基准之间的初始时间偏移随着时间推移必然会变化。

13、时间基准的偏移（简称时间偏移）典型地会随时间线性变化。对于在cots硬件中典型使用的振荡器作为计数器，计数器偏移的变化率（在下文中也称为漂移）可以达到200ppm（即每秒200微秒），如果另一个计数器由完美时钟驱动的话。如果两个计数器都由在cots硬件中典型使用的振荡器驱动，则时间偏移的变化率在无故障状态下因此现实地可以达到高达400 ppm。如果假设两个时间基准在其时间偏移上仅具有10 ppm的漂移，则其计数器偏移在一小时后增加了36毫秒。然而，如果两个计时器由同一振荡器驱动，计数器偏移的实际变化率则始终为零。根据本发明，该策略现在在于定期测量计数器偏移（即，由上限和下限形成的、称为cow的时间偏移窗口）。

14、如果时间基准不是由同一振荡器运行，则代表结果时间偏移区间的“经切割的窗口”（参见图6）会随着时间推移而变小（即，它们收敛到深度为零）。相反，如果计时器由同一振荡器驱动，则“经切割的窗口”（参见图7）会快速收敛到其深度上的一个最小可能循环时间。从该时间点起，基于新测量的交集将不再导致更小的“窗口”。如果在特征性的（可配置的）次数的测量之后，窗口不再变小，则视为已识别出针对时间基准的独立时间源的丧失。

15、为了根据本发明执行该方法，原则上，监控结果时间偏移区间的跨度趋近于零或趋近于一个极限值就足够了。如果在这些替代方案中在某个可以规定为时间段或测量次数的时间之后，达到了一个或替代地达到了另一个极限值，则存在明确的结果。如果没有达到零或替代地没有达到该极限值，则可以推断出相应的相反结果。然而，特别有利的是，同时监控结果时间偏移区间的跨度趋近于零以及趋近于极限值。在这种情况下，该方法有利地特别稳健，因为例如在预定的时间段内应该达到这一个或那一个结果。如果两个结果都不能达到，则可以推断出存在另一个（未知的）错误。

16、该方法有利地也允许使用cots（商用现货）组件作为时间基准来运行与安全相关的通信装置，这些通信装置的同步通信对于相关方法是前提条件。作为应用的一个例子，可以提及铁路运营中的通信技术，该技术必须符合高安全标准。

17、当一种设备具有计算环境时，该设备是计算机辅助的或计算机实施的；或者当计算环境执行该方法的至少一个方法步骤时，该方法是计算机辅助的或计算机实施的。

18、计算环境是一种it基础设施，由功能组件如处理器、存储单元、程序以及待与程序一起处理的数据组成，用于执行至少一个应用程序，该应用程序要完成一项任务。其他功能组件可以由传感器和执行器组成，它们使得计算环境能够与外界交互。it基础设施也可以被组织为所述功能组件的网络。

19、云（也称为计算云或数据云）是用于所谓云计算的计算环境。指的是一种通过互联网等网络接口提供的it基础设施。它通常包含存储空间、计算能力或软件作为服务，而不必将其安装在利用该云的计算实例上。在云计算范围内提供的服务涵盖信息技术的整个范围，尤其包括it基础设施、平台、软件和计算能力，其中云提供商根据需求将所提供的资源分配给云用户，目标是借此优化利用资源。

20、由于在铁路技术中对于计算机实施的解决方案在功能（运行安全，safety）以及易攻击性（传输安全，security）方面适用高安全标准，因此在铁路技术中使用的云的功能性在其共享可用性方面通常是有限的。尤其是涉及到潜在无限多的云用户群的访问，因此需要限制。但在通过不同计算实例分配计算资源方面，鉴于所需的冗余，访问也必须被限制。考虑到这些针对铁路技术的限制的技术，在本发明的上下文中也被称为私有云，即使私有云仅有限地满足与云技术相关的技术特征。

21、计算实例在计算环境内形成功能单元，这些功能单元可以被分配给应用程序（例如由多个程序模块给出）并且可以执行这些应用程序。这些功能单元在执行应用程序时形成物理上（例如计算机、处理器）和/或虚拟上（例如程序模块）自成一体的系统。

22、计算机是由多个功能组件组成的具有数据处理特性的电子设备。计算机可以是例如客户端、服务器、手持计算机、通信设备以及其它用于数据处理的电子设备，它们可以具有处理器和存储单元，并且也可以通过接口连接成网络。

23、处理器可以例如是转换器、用于产生测量信号的传感器或电子电路。处理器可以是主处理器（英文central processing unit, cpu）、微处理器、微控制器或数字信号处理器，可能与用于存储程序指令和数据的存储单元相结合。处理器也可以被理解为虚拟化处理器或软cpu。

24、存储单元可以在计算机可读存储器上以系统内存（英文random-access memory,ram）或数据存储器（硬盘或数据载体）的形式实施。

25、程序模块是单独的软件功能单元，其实现根据本发明的方法步骤的程序流程。这些软件功能单元可以在单个计算机程序中或在多个相互通信的计算机程序中实现。在此实现的接口可以在软件技术上在单个处理器内实现，或者当使用多个处理器时在硬件技术上实现。

26、接口可以在硬件技术上实现，例如有线连接或作为无线连接，或者可以在软件技术上实现，例如作为单个计算机程序或多个计算机程序的各个程序模块之间的交互，并用于数据交换，优选以数字数据集或模拟信号的形式。

27、根据本发明的一种扩展方案规定，在第二流程中，不仅对于特定测量步骤（n）并且随着测量步骤（n+x）推进对于推进的较晚测量步骤（n+x），而且对于所有位于特定测量步骤（n）和较晚测量步骤（n+x）之间的测量步骤（n+1 … n+x-1），从相关联的时间偏移区间（cow）中重复地

28、•将最低的上限设定为结果时间偏移区间（rcow）的上限，并且

29、•将最高的下限设定为结果时间偏移区间（rcow）的下限。

30、考虑所有位于特定测量步骤和最靠后的推进测量步骤之间的测量步骤，有利地使该方法对出现的测量不准确性更稳健。此外，这还使得可以更好地追踪结果时间区间跨度的发展。特别是，当两个时间基准使用同一物理计时器时，可以更快地确定结果时间偏移区间的跨度趋近于零或趋近于极限值，从而使得能够更快地做出反应。

31、根据本发明的一种扩展方案规定，检查结果时间区间（rcow）的跨度是否趋近于非零的极限值，在于检查在重复地设定结果时间区间的上限和下限时，结果时间偏移区间的跨度是否持续地不再减小。

32、在这种情况下，待达到的非零极限值（在下文中简称为极限值，其中该极限值不是指零）不必是已知的，因为达到某个极限值的事实可以被可靠地视为证明所检查的两个时间基准是由同一物理计时器实现的。

33、该极限值的性质决定了可以进行如下检查，即结果时间区间的跨度是否长期不再变化。认识到，由于功能原因，要么存在并确定这样的一个极限值（并且此外该极限值还必须明显区别于零），要么确定为零，并且这些值因此在可实现的测量精度范围内可以作为明确的区分标准（即，零相对于极限值）在测量技术上使用，这对于以根据本发明的方式配置该方法一直是至关重要的。

34、在技术实现中，不言而喻，必须考虑测量不准确性。换句话说，从技术角度看，跨度长期不再变化并因此处于极限值或零这一标准意味着，测量值长期不离开包含该极限值或零的（考虑预期测量误差的）公差范围。

35、根据本发明的一种扩展方案规定，对于结果时间区间（rcow）的跨度趋近于极限值的情况，生成错误信号。

36、这里涉及的情况被视为两个时间基准都访问同一计时器的证据，因此必须被显示。该错误信号可用于不同目的。它可以被自动评估并触发被监控设备或计算环境中的反应。但它也可以被输出，以便能够以计算机辅助方式或由设备或计算环境外部的人员进行评估。如果一个计时器失效，则无法切换到（不存在的）第二计时器，并且正在运行的技术过程必须停止。为了恢复冗余，可以从错误信号推导出合适的技术措施（例如，重启或更换失效的计时器）。如果计时器形成一个2oo3系统，其中三个计时器分别根据本发明的方法成对比较，则只要在所研究的三对计时器中至少一对计时器的结果时间区间趋近于零，该方法甚至可以继续运行。因为这可以被视为证据，证明至少存在这对实现时间基准的功能正常的计时器。

37、根据本发明的一种扩展方案规定，确定在第三流程中用于检查的连续执行的次数（h），在该次数内，接受结果时间偏移区间（rcow）的跨度的停滞，然后生成错误信号。

38、次数h可以根据设备或计算环境所需的、因此不可超过的故障检测时间（faultdetection time，简称fdt）以及用于重复测量的周期时间c推导出：

39、h = fdt / c

40、为了增加该方法对错误评估的鲁棒性，可以减小周期时间c，以便在fdt期间能够执行更多次测量h。

41、在技术实现中，不言而喻，这里也必须考虑测量不准确性。换句话说，从技术角度看，跨度长期不再变化并因此处于极限值这一标准意味着，测量值长期不离开一个包含该极限值的（考虑预期测量误差的）公差范围。

42、根据本发明的一种扩展方案规定，测量步骤n中的时间偏移基于作为第一时间点与第二时间点之间的时间差的第一消息的发送时间以及作为第三时间点与第四时间点之间的时间差的第二消息的发送时间来计算。

43、特别地，这两个所述时间差的差值可用于评估两个时间基准的潜在时间偏移。其背后的考虑是，时间偏移导致所测量的时间相对于实际时间发生偏移。由此，一条消息的所测量的发送时间变短，另一条消息的所测量的发送时间变长，其中这些消息是该方法第一流程中的第一消息和第二消息。就此而言，时间偏移对所测量的发送时间产生双重影响。

44、例如，可以规定，测量步骤n中的时间偏移δ()根据下式计算：

45、

46、结果（在分母中）除以二这一事实考虑到如下情形：如前所述，时间偏移对所测量的发送时间产生双重影响。然而，如果在方法的后续过程中对此予以考虑，则不需要将结果除以二（对此在下文有更多说明）。

47、根据本发明的一种扩展方案规定，在考虑在第一通信装置中测量的作为第一时间点与第四时间点之间的时间差的消息传输时间，以及在第二通信装置中测量的作为第二时间点与第三时间点之间的时间差的反应时间的情况下，计算测量步骤n中时间偏移的最大可能误差。

48、测量的消息传输时间并非实际消息传输时间。这可以这样解释，即测量带有测量误差。最大的测量误差在于，第一时间点与第四时间点之间的时间差未考虑到在第二通信装置中存在从接收到第一消息到发送出第二消息的反应时间。

49、然而，最后提到的测量误差很容易确定。它在于测量的反应时间，该反应时间可以作为第二时间点与第三时间点之间的时间差来计算，因此测量的消息传输时间减去测量的反应时间。因此，如果从测量的消息传输时间中减去测量的反应时间，结果将更接近实际消息传输时间。

50、同时，如果基于以下考虑，即信号传播时间可能由于传输路径中的不规则性而波动，则该结果构成了最大可能误差的一个度量。这些波动与确定相关待测时间点时的测量精度相比是很大的。因此，可以足够精确地估计基于传输过程中的波动而产生的测量误差，这些波动是在考虑第二通信装置的反应时间的情况下确定的。

51、例如，可以规定，相关测量步骤n的最大可能误差e(n)根据下式计算：

52、

53、第四时间点与第一时间点之间的时间差给出测量的信号传播时间。从中可以减去第二通信装置的反应时间，该反应时间通过第三时间点与第二时间点之间的时间差确定。由于涉及两次传输，结果（分母）可以除以二，以获得每次传输的最大可能误差。

54、替代地，可以省略除以二，如果在后续方法中在计算时对此予以考虑。因此，最大可能误差也可以仅用上述分母计算。

55、换句话说，可以确定，测量步骤n的实际时间偏移δ(n)可靠地位于以下区间内。

56、

57、其中

58、u(n) 是该测量步骤的时间偏移区间的下限，

59、o(n) 是该测量步骤的时间偏移区间的上限。

60、如果将式 (1) 和 (2) 代入式 (3)，则得到实际时间偏移δ(n)的时间偏移区间的上限和下限：

61、

62、根据本发明的一种扩展方案规定，测量步骤n的时间偏移区间的下限u(n)根据下式计算：

63、

64、并且测量步骤（n）的时间偏移区间的上限o(n)根据下式计算：

65、。

66、如上文已阐述的，在这些构成式 (4) 的一部分的式中，既考虑了时间偏移δ()的测量，也考虑了误差()的估计。

67、根据本发明的一种扩展方案规定，计算较早测量步骤与较晚测量步骤n+x之间的时间差，其中为了确定该时间差，考虑较早测量步骤和较晚测量步骤的所测量的第一时间点或所测量的第二时间点或所测量的第三时间点或所测量的第四时间点。

68、该时间差给出了位于较早测量步骤与较晚测量步骤之间的时间段的度量。该时间差对于基于所确定的时间偏移来确定漂移是必需的，因为漂移被定义为时间偏移随时间的变化。在此，有利的是，使用在确定测量步骤的测量结果时无论如何都可用的时间点。在此，分别使用可比较的时间点，即，例如较早测量步骤的第四时间点和较晚测量步骤的第四时间点（类似地适用于第一、第二和第三时间点）。

69、根据本发明的一种扩展方案规定，为第二流程确定一个时间区间，所有待考虑的较早测量步骤和较晚测量步骤必须位于该时间区间内。

70、评估可以分别在时间区间的过程后进行，或者也可以在时间区间的过程期间重复地利用已可用的测量进行，方式为执行第二流程。在确定时间区间的长度时，可以考虑对于第二流程的执行需满足以下条件。

71、时间区间必须足够长，以便能够在测量技术上通过结果时间偏移区间趋近于零以高概率确定时间偏移的漂移，或者通过趋近于最小可能循环时间以高概率确定未发生漂移。如果在时间区间过程期间就已经进行评估，那么上述两个条件之一的提前满足可以用作评估的提前终止标准。因此，不是等待该时间区间的结束的到达，而是开始一个带有新评估的新时间区间。

72、所述任务替代地通过开头给出的权利要求主题（计算环境）根据本发明也通过以下方式解决，即该计算环境被设置为执行根据前述任一项权利要求所述的用于计算机辅助监控的方法。

73、作为本发明意义上的计算环境，应理解为一种技术设备，在该技术设备中，该设备的不同通信装置之间需要进行数据交换。这尤其是如下情形：该设备具有多台计算机，并且这些计算机必须以如下方式运行，即需要通过第一通信装置和第二通信装置进行同步的数据交换。

74、根据本发明的一种扩展方案规定，用于建立通信连接的接口通过云来提供。

75、在这种情况下，该设备可以由单独的技术组件组成，其通信连接作为服务例如由云提供商来保障。在通过云进行通信时，传输时间可能波动，因此本发明的方法可以特别有利地被使用，以便通过以本发明的方式形成结果时间偏移窗口来监控这些波动。

76、“云”应被理解为用于“云计算”（德语：计算机云或数据云）的环境。指的是通过互联网等网络接口提供的it基础设施。它通常包含存储空间、计算能力或软件作为服务，而不必将其安装在利用云的本地计算机上。在云计算范围内提供的服务涵盖信息技术的整个范围，尤其包括基础设施、平台和软件。

77、根据本发明的一种扩展方案规定，该设备是铁路技术设备。

78、如前所述，铁路技术设备例如信号塔特别受益于本发明方法的应用，因为可以关于将同一硬件组件不期望地用于两个时间基准进行可靠的监控。

79、利用该设备可以实现与上文详细描述的方法相关的已阐述的那些优点。对于本发明方法所陈述的内容相应地也适用于本发明设备。

80、此外，要求保护一种具有程序指令的计算机程序产品，用于执行所述本发明方法和/或其实施例，其中借助于该计算机程序产品可分别执行本发明方法和/或其实施例。

81、此外，要求保护一种用于存储和/或提供该计算机程序产品的提供设备。该提供设备例如是存储和/或提供该计算机程序产品的存储单元。替代地和/或附加地，该提供设备例如是网络服务、计算机系统、服务器系统，特别是分布式、例如基于云的计算机系统和/或虚拟计算机系统，其优选以数据流的形式存储和/或提供该计算机程序产品。

82、该提供以程序数据块的形式作为该计算机程序产品的文件，特别是下载文件，或作为该计算机程序产品的数据流，特别是下载数据流进行。该提供例如也可以作为部分下载进行，该部分下载由多个部分组成。这样的计算机程序产品例如使用该提供设备被读入系统，使得本发明方法在计算机上得以执行。

83、本发明的更多细节在下文借助附图进行描述。相同或相应的附图元件始终具有相同的附图标记，并且仅在各图之间存在差异时才进行多次说明。

84、下面阐述的实施例是本发明的优选实施方式。在实施例中，所描述的实施方式的各组件分别代表本发明的各个可彼此独立看待的特征，这些特征也分别彼此独立地改进本发明，并且因此也应单独地或以与所示组合不同的组合被视为本发明的组成部分。此外，所描述的组件也可以与上文描述的本发明的特征相结合。