CN101632262B - 分布式通信系统的节点、连接到通信系统的节点及监测装置 - Google Patents

Abstract

本发明涉及一种在时间触发协议下运行的分布式通信系统中的节点，还涉及到分布式通信系统以及耦接到这种通信系统的节点的监测装置。为了提供一种增强了错误检测并降低了复杂度的分布式通信系统的节点、分布式通信系统以及监测装置，以为需要非100％故障安全解决方案的系统提供较高的可靠性，本发明提出一种节点，包括：耦接到接收和传送路径的通信控制器(15)、用于执行应用的主机(13)以及耦接到通信控制器(15)的传输路径、通信控制器(15)和主机(13)之间的接口(91)以及通信控制器(15)的内部线路至少之一的监测装置(16)，其中提供监测装置(16)用于评估通信控制器(15)提供的信息，以监测通信控制器(15)的至少一种状态，其中在监测到非定义状态的情况下通知主机(13)执行与通信控制器(15)的状态相关的预定措施。因此，提供一种容易降低成本的解决方案，用于监测分布式通信系统中预定数量的差错。

Description

分布式通信系统的节点、连接到通信系统的节点及监测装置

技术领域

本发明涉及一种分布式通信系统的节点，还涉及一种分布式通信系统以及连接到该通信系统的节点的监测装置。

背景技术

目前存在一些在分布式通信系统中使用的协议。特别地，在汽车领域中使用时间触发协议。这种协议的一个是FlexRay协议。FlexRay通信协议在汽车等领域中是汽车行业对不断增加的可靠性、高速数据通信需求的解决办法。FlexRay通信协议是基于TDMA机制来协调所述通信系统的参与装置的访问。但是，FlexRay通信协议避免了在汽车通信系统中使用主同步节点来实现分散的对故障更鲁棒(more fault robust)的总线结构。当启动通信系统时，这需要通信系统中的所有参与节点的相互同步来实现与全球时间基准的一致。

FlexRay通信协议通过使用启动和同步帧来提供一种用于这种启动阶段的机制。此外，FlexRay协议允许传输符号以避免冲突。通常，使用与时隙相关的帧来传输数据，其中每个帧包括头部和数据部分。

在基于FlexRay通信协议操作这种通信系统期间，人们已经认识到在起始阶段尤其可能出现单个节点失效的情况，其中这种失效可妨碍节点的启动从而降低有效性，或者这种失效将导致影响整个通信系统的丛集的形成从而造成网络局部隔开。FlexRay通信协议是所谓的双信道传输系统。当在一个节点的两个输出信道上输出不同或者不同定时的同步帧，则可能建立相互同步的节点组，该节点组与其他节点组不同步。因此，通信系统中的另一组可使用不同的基准时间，因为其是基于时间移位的同步帧的。如果未检出通信系统中的这种丛集的形成，则可能导致通信系统的有效性或可靠性的降低。

短暂的或永久性的硬件错误(如陷落位元或反转位元、定时错误或伪重置)可引起启动阶段同步期间的其他差错或者是数据传输期间的一般差错。

在FlexRay协议中，为每个节点安排一定的时隙来传输其数据。在该节点传输其数据期间，将没有其他节点通信。因此，非常需要所有节点接受该时隙结构和在通信系统启动期间定义的通信系统的基于全球基准时间的一般调度计划。

当前，存在两种防止导致整个通信系统失效的单个节点失效的解决方案。存在几种使用所谓总线监控器的结构，该总线控制器平行于节点的每个控制器而添加，如果由于在某时隙期间允许另一节点传输而不允许某节点访问媒介，则总线监控器观察通信控制器对媒介的访问并阻止节点访问媒介。这种总线监控器必须根据其节点的状态和媒介应该具有的状态来形成其自己的判断意见。因此，总线监控器具有与节点的通信控制器基本相同的复杂度。总线监控器与通信控制器接收相同的来自主机的命令。因此，总线监控器不能检测主机的差错。此外，为了检测节点是否在非法的时隙中传输，总线监控器仅仅粗略地检查传输路径上的帧的时序而不检查其内容。因此总线监控器不能直接检测出通信控制器中由于中断的计数器产生的如小的时序差错或错误的帧内容的错误。

第二种机制是通过由节点的主机(CPU)单独执行来监测从通信控制器到主机传递的数据。该主机监测表示控制器可能失效的不一致性。

但是，上述两种解决方案都存在缺点。如上述的总线监控器使控制器的复杂度加倍。但是它可保护网络避免不限于启动期间的各种状态中的几乎所有可能的失效。第二种解决方案中主机基于由通信控制器提供的信息检测失效，但是必须承受依靠通信控制器提供的信息的事实。因此，第二种解决方案对许多检测差错来说足够，但是通信控制器的更复杂的差错可能伪造该信息或者简单重复以前的正确信息。因此，主机可能是基于不可靠的信息来确定的，这导致通信控制器的不正确的操作，可能导致整个网络的失效。

因此，需要一种解决方案，该解决方案可提供增加的错误检测并且能避免仅基于通信控制器提供的信息来检测和减少错误，并且具有明显低于总线监控器的复杂度。

发明内容

因此，本发明的目的是提供一种分布式通信系统的节点、一种分布式通信系统和监测装置，增加错误检测并降低复杂度以对需要非100％失效安全解决方案的系统提供较高的有效性。

所述目的通过独立权利要求的技术特征解决。

本发明基于提供小的硬件元件的思想，下文称其为监测装置(也可看作端检测器)，优选地在与通信控制器相同的硅片上提供该监测装置，并且该监测装置通过监测通信控制器的输入和输出线路之一来分析通信控制器的行为，即通信控制器的内部状态和/或通信控制器提供给主机的信息。如果监测装置识别出可能使其他节点的通信中断的通信控制器的未定义行为，该监测装置将向主机发送通信控制器的错误的或有缺陷的行为的信号。接着主机负责执行所需的行为，例如关闭通信控制器或以其他方式阻止该通信控制器的进一步传输。因此，提供一种容易降低成本的解决方案以适用于在分布式通信系统中检测预定数量的差错。

特别地，监测装置使用计数器、定时器和分析逻辑的混合来核实通信控制器中重要处理的正确性。通过使用本发明的结构特别是监测装置，由于监测装置使用了通信控制器的预处理信息，因此降低了用于确定中间状态和节点状态的复杂度。此外，监测装置使用通信控制器的输入和输出信息来确定其行为是否正确。

此外，通过调整通信控制器所提供的信息量来观察，可实现不同级别的差错保护。

特别地，将用于差错检测的监测装置靠近所监督的通信控制器放置允许使用内部线路(如调试线路)并观察所监督的通信控制器的内部状态来获得情况的更清楚的描绘。

监测装置表示利用周期性的和额外的差错检测任务防止主机变得超负荷的专用硬件。因此，监测装置可使用错误减少来允许主机实现将要执行的更复杂的策略。因为监测装置仅提供通信控制器运行错误的信息，主机可决定关闭控制器、重置控制器、配置控制器(例如仅对输入/输出信道之一)，或者决定配置控制器以非同步方式运行来仅允许接收操作。

在本发明的优选实施例中，所述监测装置可使用来自通信控制器的各种信息用于其监督。在监测装置中使用越多的预处理信息，监测装置的复杂度越低，但是同时监测装置也变得更容易受通信控制器的Byzantine差错的影响。监测装置的复杂度取决于通过监测装置监测多少差错和哪些差错。

因此必须对将要实现的需要的差错保护权衡下文中配置的复杂度成本。

监测装置可检测到的第一种差错是由主机造成的可能妨碍丛集启动的差错。主机的错误命令的产生造成在启动过程中节点无法并入。此外，由于连续地输出命令(如：准备就绪READY)，错误地操作主机可妨碍任何其他节点的冷启动。因此，节点将永远不能从冷启动的尝试中跑出。这种行为的一种原因可能是主机的时钟运行太快。因此，监测装置在预定时间内检查READY命令数，其中可通过在READY和RUN命令之间强制实施最小时延来克服这个问题。为了避免这种差错，监测装置监测提供给通信控制器的主机命令。特别地，监测装置对从主机接收的READY命令计数并且针对预定阀值来检查单位时间内的READY命令或者READY命令之间的时间。如果违背(violate)或超出了特定阀值，则很可能主机是失控的(buggy)并且正在以有缺陷的方式运行。该主机行为可以如下方式造成该节点阻止网络的所有其他节点的启动：通信控制器将在主机的RUN命令之后尝试启动网络，但是由于主机接着的READY(约等于重置)命令而放弃其启动。这将导致整个网络启动的放弃。如果足够快地重复该RUN-READY序列，通信控制器将总需要媒介作为网络的第一节点而接着放弃启动。因此网络将由于一个错误的主机不能启动。

为了监督主机命令，由于该监测装置已检测到主机可能正在错误地运行并可能因此错误地对错误报告错误地作出反应，因此向外部控制单元或向控制对象报告检测到的错误是很有必要的或者是很有益的。可替换地，监测装置自身可在安全的状态中(如在失效沉默模式中)采取措施来驱动监督的通信控制器。

监测装置还可提供的可能是对通信控制器的内部状态的监督，以检测可能导致丛集形成的失效。为此，监测装置保持其表示通信控制器应处于的状态的自身状态可变，并且根据控制器发送的事件(如并入成功)和主机发送的命令(如WAKEUP或RUN)来改变。监测装置使用该内部状态来执行控制，使得由通信控制器执行的状态改变自身(如从READY状态到NORMAL_ACTIVE状态的非直接转换)与监测装置所保持的状态一致(如在通信控制器没有发送前一个并入成功事件的情况下不从INTIALIZE_SCHEDULE转换到INTEGRATION_COLDSTART_CHECK)。这允许在状态机中检测可能造成通信控制器错误地进行协议定义禁止的安全保护的差错。

存在另一种检测可能造成丛集形成的失效的可能。监测装置保持其自身的循环和时隙值并且根据通信控制器提供的事件(如循环开始)来使其增加。监测装置也可使用上述其自身的状态变量。监测装置通过调试线路来检测与通信控制器表示的值相应的这些计数器的值。由于仅允许通信控制器在预定状态中重置这些计数器中的一个，如果在不允许重置的情况下由通信控制器表示的计数器与由监测装置保持的计数器不同，则可以很容易地通过监测装置来检测通信控制器的有缺陷的操作。在这种情况下，监测装置将向主机发送有缺陷操作的信号。该步骤防止了一些陷落位元/反转位元的错误。尽管对于最终的保护，由于位元在通信控制器的传输途径中也可能陷落/反转，因此监测装置需要解码在通信控制器的传输信道上发送的帧并且检测所使用的正确循环/时隙ID。如果在稍后的变化中，传输的时隙或循环ID不符合由监测装置保持的各计数器，则发送错误信号。

在本发明的另一个实施例中，可检测通信节点的所谓的连续不断的(babbling)符号传输。如上述，在FlexRay通信协议中，可传输包括头部和数据部分的帧。此外，FlexRay通信协议允许传输特殊符号。有冲突避免符号(CAS)和唤醒符号(WUS)。如果在总线上传输这种符号，所有其他节点将识别这些符号并且将停止自身唤醒或启动网络的尝试。同时这种符号将与其他节点发送的帧抵触并破坏它们。因此，很可能发生错误的通信控制器的情况，通信控制器将永远发送阻止所有其他节点的正当传输的这种CAS符号。在这种情况下，指定的监测装置可观察通信控制器的传输信道及其自身的内部状态(如上述两种可能的实施例)。长期的低速传输表示CAS/WUS的传输。计数传输的符号数。基于通信控制器处在的状态，如果传输多于特定数量的这种符号，则向主机发送错误信号。这将防止该通信控制器由于重复符号接收重置其等待协议而阻止其他节点启动。在防止连续不断的CAS/WUS的情况下，对特定持续时间的低速传输周期进行检测将消除对将要在监测装置中实现的复杂解码电路的需要，因为长期低速传输的检测明显比实际帧的解码容易。特别地，如果监测装置注意到通信控制器处于唤醒状态并且发送多于预定数量(如63)的符号，则通知主机。此外，如果监测装置注意到通信控制器不处于唤醒状态并且发送多于一个WAKEUP符号，则通知主机。

在本发明的另一个优选实施例中，监测装置可防止网络形成由去同步的同步帧传输造成的丛集。由于FlexRay通信协议是一种双信道协议，需要每个主机同时在两个信道上传输同步帧，所有节点使用同步帧来获得全球时间基准。在相同的时隙内传输同步帧是不够的，实际上还必须在两个信道上同时开始同步帧的传输。因此，监测装置可观察两个传输信道和时隙计数器。如果通信控制器在每个信道上不同的时间在被表示为同步帧的静态段的时隙中开始传输，则向主机指示差错。这防止了丛集的形成，除非选择网络的其他节点来同步不同信道。

关于防止由于两个传输信道之间的去同步形成丛集，也可以在没有监测装置的解码电路的情况下来实现对两个传输信道的监测，因为观察可能与要传输的实际数据分别指示的传输启动(如FlexRay中的RxEn与TxD)即可。

此外，在另一优选实施例中，可核实同步帧的接收。为此，监测装置使用由通信控制器接收和预处理的数据来解码所接收信息的帧头部。因此，将监测装置与通信控制器连接，以接收在通信控制器中接收并转换后的更好的选通位元。计数一个循环中由监测装置解码的同步帧头部数。由于监测装置看到的一些头部可能已属于同步的无效帧，因此由监测装置确定的同步帧头部数形成通信控制器可向主机发送的同步帧数的上限。如果通信控制器向主机发送其已看到更多的同步帧的信号，监测装置可通知错误运行的主机。这避免了在通信控制器实际上没有看到足够的同步帧时，声明已看到足够的同步帧并将其模式改变为允许传输。这将导致丛集形成或者导致网络中仅有一些节点启动。

监测装置的存在还可以低成本引入进一步的对局部相关差错的检查。在本发明的另一个实施例中，监测装置还可包括帧格式检查器，该帧格式检查器将观察通信控制器的输出信道的传输，并且检查是否为正确和预期的低/高序列，并且表示帧的低/高序列是否发生改变。监测装置使用这种帧格式检查器可容易地收集合理地确认期望的帧传输实际发生的信息。将复杂的位序列映射为在传输信道上传输的部分通信要素的简单模式，以使其在监测装置中可容易地进行比较。如果期望的帧传输没有发生，监测装置向主机发送信号，接着主机可快速地尝试解决该问题(如通过在另一时隙中重复传输)，而不必等待否定应答信息。

此外，监测装置可检测在错误时隙或错误循环中发送的帧。如上所述，仅允许节点根据调度在预定时隙传输数据。为了检测这种差错，监测装置使用TxD信号来解码通过通信控制器传输的帧的头部。监测装置检查时隙ID和循环ID是否与监测装置保持的时隙和循环的计数(参见上文)一致。此外，在监测装置中执行头CRC的CRC校验。ID校验或CRC校验的失效是帧在错误时隙发送的特定信号。在这两种情况下均通知主机。很容易看出，可以将这种机制延伸到复制同在传输期间的接收时执行的完整校验来检测由早期的协议引擎引起的传输差错。

最后，尽管将数据传递到通信控制器，也可能发生协议引擎发送NULL帧。在这种情况下，监测装置将针对从主机接收的命令来解码从主机接收的帧头中的空帧位和第一净荷字。

但是，本发明还可用于非时间触发协议，如WLAN。在这种情况下，监测装置可通过解码并且比较主机向通信控制器提供的数据与通信控制器最终发出的数据，在通信控制器发出的分组帧中检查节点是否发送了正确的内容。此外，本发明不限于有线的媒介或总线。本发明也可基于无线通信技术操作。

附图说明

下文将参考图示的实施例通过非限定性示例更详细地描述本发明。

图1示出了分布式通信系统的示例；

图2说明了具有总线监控器的节点；

图3a说明了使用基于差错检测的主机的节点；

图3b说明了使用基于差错检测的总线监控器的节点；

图4说明了本发明的第一实施例的节点；

图5说明了根据本发明的监测装置的结构；

图6说明了根据本发明的用于检测错误运行的主机的监测装置的实施例；

图7说明了根据本发明的用于检测通信控制器的内部状态的监测装置的实施例；

图8说明了根据本发明的用于检测通信控制器的错误同步帧报告的监测装置的实施例；

图9说明了根据本发明的通信控制器的内部结构。

具体实施方式

图1说明了用于本发明的通信系统。将图1中说明的通信系统分为多个子网(A-D)，每个子网由无源总线或者由星形耦合器支持。

参考图2，更详细地描述这种子网中使用的节点10。典型的容错时间触发网络通常由两个通信信道A、B组成，节点10连接到这两个信道。每个节点10由总线驱动器17、通信控制器15以及用于每个总线驱动器的总线监控装置14和主机13。所述总线驱动器17传输由通信控制器15提供给其所连接的信道的位元和字节，并且接着向通信控制器15提供其从信道A、B接收的信息。将通信控制器15连接到两个信道，并且向主机13发送相关数据并从主机13接收数据。接着，通信控制器15将数据合集为帧并且向总线驱动器17发送所述数据。信道数量与本发明无关。对这两个信道、节点10的结构的说明仅仅为了能对本发明更好地概述。本发明不局限于所描述节点中的存在或不存在的部分，也不受其限制。通信控制器15包括所谓协议引擎18，为了方便第二层(数据链路层)访问协议，协议引擎18提供节点10。与本发明最相关的是使用预定TDMA机制或者通信调度访问媒介的功能。必须配置通信系统中的用于每个节点10的通信调度，以避免在通信系统中传输数据时节点10之间的相互冲突。总线监控器14是一种具有独立配置数据组的装置，仅在通信调度指定的时隙期间使能总线上的传输。主机13包括数据源和接收器，并且通常不与协议活动连接。主机13仅做出通信控制器15不能单独做出的决定。

要基于时间触发TDMA访问网络，就如FlexRay协议的需要一样，节点10之间的同步是首要的。通常每个节点10都有其自己的时钟，尽管通常希望各时钟相等，但是由于由温度、电压波动以及制造公差的影响，其时间基准可与其他节点10的不同。

每个节点10的通信控制器15包括同步机制，其中节点10监听与其相连接的信号并且可适用于同步或者影响共同的始终频率和偏移。

通信系统中的网络启动由所谓冷启动节点处理，其中一个开始通信循环而其他的响应。该节点由配置或者由一些确定几个潜在节点中的某个节点执行启动的算法来选择。这种算法通常由所连接的信道上的传输帧或类似的结构组成，无论何时都不存在可检测的通信调度。从而冷启动节点的通信控制器15必须监听所有连接的信道并且必须同时在所有连接的潜在冗余信道上传输其包括同步帧的启动数据。如果通信控制器15接收到表示启动的特定同步帧或类似的结构，则将从观察的通信采纳定时机制并且将其集成到系统中。

从图2中可容易地看出，包括总线监控器的节点的复杂度很高。

因此，根据本发明需要提供可在主机13或通信控制器15运行错误的情况下保护通信系统的监测装置16。

在图3a和3b中，说明节点中两种通常用于差错减少的方法。

在图3a中，说明一种总线监控器解决方案。由于总线监控器14与通信控制器15具有几乎相同的复杂度，总线监控器14自身可基于通信调度监测是否允许通信控制器15在特定时隙发送。因此直接将总线监控器耦接到通信系统，以识别通信系统的状态。此外，在检测到任何错误的情况下，总线监控器14可断开通信控制器14的传输路径。但是，总线监控器14所需要的成本和空间很高。此外，在大多数应用中都不需要这种100％的失效安全解决方案。

在图3b中，说明一种基于软件的错误减少解决方案。通信控制器15连接到主机13，其中主机13监测由通信控制器15提供给主机13的信息。根据接收到的信息，主机13可评估通信控制器15的行为是否正确。在通信控制器15的运行不正确的情况下，主机13可通过断开传输路径来中止通信控制器15的传输操作。但是，通信控制器15是否正确运行时根据通信控制器15自身提供的信息来确定的。因此，该信息可能是不正确的，因此连接或断开通信控制器15的决定也是不太可靠的。

因此，本发明建议提供图4中说明的监测装置16。监测装置16耦接到通信控制器15的传输路径，直接耦接到通信控制器15并连接到向主机13提供信息的信息输出。

因此，监测装置16可通过检查计数器、定时器以及由通信控制器或其输入和输出线路的预处理信息提供的状态来检测预定差错。

在监测装置16检测到通信控制器15不正确的行为的情况下，向主机13报告该行为。因此，主机13将停止通信控制器15或者可以重置通信控制器15。可替换地或除此之外，类似图3b中的主机断开Tx路径的解决方案也可行，但是该解决方案基于来自监测装置的信息而不是基于来自控制器自身的信息。

可以在与通信控制器15相同的硅片上实现监控装置16，但是不需要将其布置在硅片上。由于限制部件的数量，可容易地将监测装置16与通信控制器15一起实现。因此用于监测状态的连接线路很短以避免进一步由连接或传输问题引起的差错。

在图5中提供了这种监测装置16的内部部件的简要说明。监测装置16从通信控制器15并且特别是从通信控制器15中协议引擎18引出的调试线路接收预处理信息。此外，监测装置16从通信控制器15的总线驱动器接口接收信息或数据。最后，监测装置16从通信控制器15中的控制器主机接口接收信息。

将这些信息提供给用于数据解码的数据解码和评估单元53。如上所述，在FlexRay协议中，通常在包含头部和数据部分的帧中发送数据。因此，为了检测数据结构，必须解码帧结构来评估头部的内容。数据解码和评估单元53根据通信控制器15所提供的信息来解码信息。数据解码和评估单元53同时也评估通信控制器的发送事件，以命令状态复制保留(State Copy Maintenance)单元52如何改变其状态来连续地跟踪通信控制器的状态。

此外，数据解码和评估单元53评估通信控制器15提供的数据并且向正确性检查单元51提供评估结果。正确性检查单元51耦接到状态复制保留单元52，其中存储状态之间的预定转换、相关定时器的值以及计数器的值。根据这些存储的信息，正确性检查单元51可比较数据解码和评估单元53提供的数据与存储在状态复制保留单元52中的数据。基于比较结果，在监测装置16中评估通信控制器15的行为是否正确。在通信控制器15错误操作的情况下通过正确性检查单元51的输出向主机13提供报警信号。

图6描述了监测装置16的实施例，该监测装置16用于通过监测主机命令来检测主机的错误行为。这些命令被提供给命令解码器62，其用于识别从主机13传输到通信控制器15的命令。在识别出命令为READY的情况下，向READY计数器61提供增值信号。监测装置16包括超时定时器43，每当超过预定时间(如每秒)则减小READY计数器61使其趋于零。在READY计数器61超出预定门限(如3)的情况下，通知主机13采取所需措施。但是，特别地在通过计数每单位时间从主机13接收的READY命令或者通过测量READY命令之间的时间来监督主机13的行为的情况下，再向额外的监督单元(未示出)提供一个差错信号以采取所需要的措施来重置或关闭错误操作的主机13是很有用的。

图7说明了监测装置16的实现，其中通信控制器15提供多个用于检测通信控制器15的可能导致丛集形成的时隙或循环计数问题的信息。所有这些信息直接从通信控制器15的内部终端提供。监测装置16包括时隙计数器72，用于当从通信控制器15接收时隙开始信号时通过增加计数器来计数时隙。此外还有循环计数器71，其在从通信控制器15接收到循环开始后增加。将两个计数值(时隙、循环)提供给比较和重置单元73。比较和重置单元73进一步接收静态时隙的数量、通信控制器的协议操作控制(POC)单元的状态、时隙ID和循环ID。基于这些信号，比较和重置单元73可比较通信控制器15的时隙和循环计数值与其自己的时隙和循环计数值。在不匹配的情况下，例如如果在允许不重置的状态期间重置了通信控制器15的时隙计数器，则检测到差错，向主机13发送信号。

图8说明了伪同步帧报告的检测。如果通信控制器15在接收路径上接收到了同步帧，则确认该同步帧并向主机13报告同步帧的接收。但是，可能发生通信控制器15没有接受同步帧或者没有正确地识别同步帧而向主机13报告同步帧的正确接收的情况。在这种情况下，通信控制器15是错误操作的。为了检测这种同步帧接收和同步帧报告之间的不匹配，监测装置16使用通信控制器15的预处理接收数据。通信控制器15包括解码器单元，其中所接收的位元在通信控制器15中进一步处理之前是选通的。将这些预处理的接收数据位元提供给监测装置16，检测装置16可基于这些选通位元来识别所接收的头部是否属于同步帧。接着在单元81中计数一个循环期间通信控制器接受的同步帧头部的数量。如果通信控制器15向主机报告其已接收了多个同步帧(不是实际所接收的同步帧的准确数目)，则向主机通知通信控制器15的这个不正确的行为。

此外，如果网络中在所有启动节点已退出后只有非启动节点继续发送同步帧，则存在由于没有启动帧而导致的想要再并入的节点不能并入的问题。同时由于存在持续的帧而阻止了网络重新冷启动的可能。为了检测这种情况并且允许仍然在网的主机通过完全关闭网络来修复，监测装置16还可用启动位组来计数帧。这将通过类似于计数器81的第二计数器来实现，当计数达到5时由计数器82触发。如果在一个循环中包括这种启动位的帧的数量为零，通知主机，并且如果这种情况继续几个循环，则可确定开始全面关闭网络。

图9示出了用于本发明的通信控制器15的内部结构。

通信控制器15包括控制器主机接口91，用于通过连接线路107来管理通信控制器15与主机15之间的数据流。控制器主机接口91从协议引擎18接收状态信息。该状态信息包括从协议引擎18向控制器主机接口91传输的命令。这种命令通过线路97提供给监测装置16。特别地，通过在监测装置16中监测通过线路97协议引擎18提供给控制器主机接口91的信息，可如图8所示向命令解码器84提供命令，以检测通信控制器15是否向主机13报告了一个错误的接收的同步帧的数量。

控制器主机接口91向协议引擎18提供从主机13接收的信息和命令。这些命令通过线路96(CHI-PE命令)提供给监测装置中的命令解码器(图6)，其中监测主机13是否在其错误行为的情况下持续地向通信控制器15提供READY命令。

协议引擎8包括协议操作控制单元92、媒介访问控制单元93、时间产生单元94以及编码/解码单元95。此外，在协议引擎18中还存在其他对本发明不重要的模块，因此不作任何说明。协议操作控制单元92定义协议引擎18进行的状态序列。其中定义了协议引擎单元18从何状态可以转到下一状态。不经过该协议操作控制单元92，通过线路98向监测装置16提供POC状态。特别地，在图7中说明的实施例中使用该POC状态。在该实施例中，监测通信控制器15是否产生导致一些节点的丛集形成的计数问题。将协议操作控制器92的状态提供给比较和重置单元73，其中比较通信控制器15的时隙值和循环值与监测装置16的内部值，通知主机13不匹配的情况。

媒介访问控制单元93判断是否向/从总线发送或接收信息。在主机13向总线提供要传输的数据的情况下，媒介访问控制单元93计数总线上的时隙并且在用于各节点10的各保留时隙中控制使CHI 91把来自主机13的信息向编码器/解码器95转发的时间，编码器/解码器95用于向总线传输信息。

媒介访问控制单元93通过线路99和线路100分别向监测装置16提供时隙ID号和时隙边界(大致等效于Slot_start)。分别向比较和重置单元73以及时隙计数器72提供时隙边界和时隙ID信号，以检测通信控制器15的任何计数问题。

此外，通信控制器15的协议引擎18包括时间产生单元94，用于计数滴答的时间(microtick)以产生滴答的时间。滴答的时间是通信控制器15中最小的时间单位，而滴答的时间是节点之间使用的网络时间单元。时间产生单元94也负责确定网络所处的循环并且通过线路101和线路102分别向监测装置16并且特别向比较和重置单元73以及循环计数器71提供循环ID信号和循环开始信号。

最后，通信控制器15包括编码器/解码器95，其中分别准备用于通过TxD或RxD路径传输的数据并且准备通过TxD或RxD路径从总线接收的数据。每当从编码器/解码器95接收到任何数据后解码新位元时，编码器/解码器单元95通过线路103向位计数器82提供位选通信号，必须监测所接收的数据是否包括帧并且特别地是否包括同步帧。因此，需要监测帧头部的第四位是否置位，其表示所接收的帧为同步帧。因此，编码器/解码器单元95也通过线路105向位计数器82提供潜在帧开始的信号，以启动监测装置16中的位计数器82。此外，编码器/解码器单元95通过线路104提供表示网络正处于空闲状态并允许监测装置16停止评估所接收的位的CHIRP信号。选通所接收的数据位，并且通过RxD线路106提供给如图8中所示的监测装置16中的同步帧计数器81。根据来自时间产生单元94的线路102上的循环开始信号，当一个新的循环开始时重置同步帧计数器81。因此，监测装置16可重置同步帧计数器81以计数通信控制器15所接收的同步帧的数量，并且在同步数比较器83中比较所接收的同步帧的数量。在报告给主机13的同步帧的数量大于通信控制器15所接收的同步帧的数量时，通知主机通信控制器15的该错误行为。

尽管是逐个地说明各个实施例，但是也可以很容易地组合如图6-8中所示的监测装置16的部件。因此，可以监测通信控制器15是否连续地发送如CAS/WUS的符号并且还可以检查主机13是否连续地发送READY命令。需要检测装置检测的差错越特殊，则监测装置需要实现得越复杂，但是，监测装置中的一些计数器可用于不同的差错检测，因此监测装置16的部分可实现双重功能。

Claims (10)

1.一种分布式通信系统的节点(10)，所述通信系统包括多个节点(10)，每个节点耦接到一种通信媒介；每个节点(10)至少包括：

-耦接到接收和传送路径的通信控制器(15)，

-用于执行应用的主机(13)，以及

-监测装置(16)，至少耦接到通信控制器(15)的接收或传送路径、通信控制器(15)和主机(13)之间的接口(91)以及通信控制器(15)的内部线路之一，

其中提供监测装置(16)用于评估通信控制器(15)所提供的信息，以监测通信控制器(15)的至少一个状态，其中在检测到非定义状态的情况下通知主机(13)执行与通信控制器(15)的该状态相关的预定措施。

2.如权利要求1所述的节点，其中监测装置(16)适用于接收通信控制器(15)的预处理信息，以根据监测装置(16)中存储的信息与从通信控制器(15)接收到的预处理信息之间的比较结果来确定通信控制器(15)的至少一种状态，其中预处理信息包括通信控制器(15)从通信系统接收的至少一个输入信息、通信控制器(15)的至少一个内部状态以及输出到节点(10)的主机(13)的信息。

3.如权利要求1或2所述的节点，其中通信系统根据基于时间的协议运行，特别地基于FlexRay协议，其中允许每个节点(10)根据预定时间调度来传输数据。

4.如权利要求1至2之一所述的节点，其中监测装置(16)接收通信控制器(15)的预处理信息，该预处理信息在监测装置(16)中解码并与存储的信息进行比较，其中根据比较结果确定通信控制器(15)的状态，其中在不匹配的情况下或者错误的状态改变的情况下通知主机(13)。

5.如权利要求1至2之一所述的节点，其中在主机被监测装置(16)通知的情况下，主机(13)适用于执行关闭通信控制器(15)、重置通信控制器(15)和中断通信控制器(15)的传输路径中的至少一种措 施。

6.如权利要求1至2之一所述的节点，其中在检测到主机(13)与通信控制器(15)之间的错误的情况下，通知外部监督装置来控制检测为错误运行的通信控制器(15)和/或主机(13)。

7.如权利要求1至2之一所述的节点，其中监测装置(16)包括计数器(71，72)、定时器(63)、存储器(52)以及比较器(51，73)中的至少一个。

8.如权利要求1至2之一所述的节点，其中监测装置(16)与通信控制器(15)形成在相同芯片上。

9.一种基于时间触发协议操作的分布式通信系统，包括至少一个如权利要求1至8之一所述的节点。

10.一种监测装置，其被耦接到与通信系统相连接的节点(10)的通信控制器(15)，其中监测装置(16)适用于接收通信控制器(15)的预处理信息，以根据监测装置(16)中存储的信息与从通信控制器(15)接收到的信息之间的比较结果来确定通信控制器(15)的至少一种状态，其中预处理信息包括通信控制器(15)从通信系统接收的至少一个输入信息、通信控制器(15)的至少一个内部状态以及输出到节点(10)的主机(13)的信息。 

Images