CN103583019A - 用于通信网络的连接节点 - Google Patents

Abstract

描述了一种用于通信网络（18）的连接节点（10），尤其是用于将通信网络（18）的网络元件（14）与通信网络（18）连接，其中，连接节点（10）具有用于将网络元件（14）连接到连接节点（10）的第一接口（12）和用于将连接节点（10）连接到通信网络（18）的第二接口（16），其中连接节点（10）构造为通过第一接口和第二接口（12、16）实现在通信网络（18）与网络元件（14）之间的数据交换，并且其中连接节点（10）构造为读取和/或改变和/或阻塞在通信网络（18）与网络元件（14）之间交换的数据（25）。

Description

用于通信网络的连接节点

技术领域

本发明涉及一种根据权利要求1的前序部分所述的连接节点以及根据并列权利要求所述的控制单元、通信网络和方法。

背景技术

在现代机动车中已知将多个电单元彼此连接的总线系统。为了改善这些总线系统的可用性，已知总线监控器和/或基于软件的解决方案的各种系统。

发明内容

本发明所基于的问题通过根据权利要求1所述的连接节点以及根据并列权利要求所述的控制单元、通信网络和方法来解决。有利改进方案在从属权利要求中予以说明。

本发明涉及一种用于通信网络的连接节点，其中，所述连接节点将通信网络的网络元件与通信网络连接。尤其是，在此涉及汽车的总线系统。根据本发明的连接节点具有用于将网络元件连接到连接节点的第一接口和用于将连接节点连接到通信网络的第二接口。所述连接节点构造为通过第一接口和第二接口实现通信网络与网络元件之间的数据交换。为此，所述连接节点具有用于读取和/或改变和/或阻塞通信网络与网络元件之间交换的数据的装置。该数据交换可以双向或单向地进行。在总线系统或网络元件评价为无故障的情况下，根据本发明的连接节点一般完全不改变地传递通过所述连接节点交换的数据。因此，也不需要例如借助电子标志或标识将根据本发明的连接节点集成到要保护的通信网络中。更确切地说，所述连接节点可以对于网络元件“不可见地”执行该连接节点的功能，并且保护通信网络尤其以防通信网络内出现的危险。可以说，所述连接节点作为分布在通信网络中的“迷你防火墙”起作用。

为了执行根据本发明的功能，连接节点尤其也可以监控分别所属的网络元件的时间特性，例如可以确定每单位时间的消息数目并且与预给定值比较。补充地可能的是，确定和/或强制网络元件的等待时间，也就是在通信网络初始化与第一消息通过网络元件发出之间的时间间隔。

连接节点的任何部分都可以实施为电子电路或借助计算机程序实施。例如，连接节点至少部分可以实施为所谓的“ASIC（anwendungsspezifische integrierte Schaltung（专用集成电路））”或“FPGA（frei programmierbare integrierte Schaltung（自由可编程集成电路））”。

此外，所述连接节点可以构造为使得其自动验证所属的网络元件，例如利用所谓的“PUF方法”（“physical unclonable function（物理不可克隆函数）”）。此外，根据本发明的连接节点可以监控通信网络的能量供给线路并且必要时向控制单元报告干扰。

通信网络或总线系统可以几乎任意地实施，例如实施为串行总线或并行总线，或者实施为光学网络。通过通信网络建立的连接同样可以多样地实施。例如，通信网络可以具有简单线性结构或线形结构，其中，沿着该线连接两个或更多个连接节点，所述连接节点可以说为通信网络的用户。同样，通信网络可以分支地或星形地布置，或其可以至少部分包括环形结构。

根据本发明的连接节点补充于通信网络的其他监控装置地并且与其他监控装置无关地被驱动并且具有如下优点：该连接节点可以特别好地保护通信网络，尤其是机动车的总线系统。由此可以提高通信网络的可用性。例如，通信网络可受保护以防恶意篡改一个或多个网络元件或以防错误地持续占用一个或多个网络元件，或可以防止通过修改或破坏网络元件而发送未授权的消息。此外，该通信网络也可以被监控并且必要时受保护以防网络元件的其他错误行为。通过本发明实现的分布式保护功能可以“具备实时能力地”实施，并且例如在没有显著附加延迟的情况下改变或阻塞要监控的数据交换。此外，本发明也可以应用于通信网络的子网络，其中，得到了对应的优点。

根据本发明的连接节点分别分布式地布置在通信网络与分别连接到该通信网络上的网络元件之间，并且因此可以与所连接的网络元件无关地监控数据交换。此外，连接节点可以与通信网络的其他连接节点无关地运行，并且不仅可以与上级的控制单元有关地而且可以与上级的控制单元无关地运行。因此，连接节点可以被固定地配置或可以在进行的运行中由控制单元灵活地重新配置。也可以与控制单元进行加密的数据交换。本发明的应用领域因此能在比较宽的范围中“缩放”。此外，借助连接节点能够实现在进行的运行期间动态配置通信网络，其方式是，能够在通信网络的不同运行模式之间变换。此外，本发明能够实现通信网络在需要时在称作“降级模式”的运行模式中运行或实现用于通信网络的子网络的专有通信通道。此外，本发明可以特别成本低廉地实施，尤其因为现有网络元件不必被修改。

尤其设计为，连接节点具有用于连接到控制连接节点的控制单元的第三接口。根据本发明，“控制”理解为，在控制单元与连接节点之间进行数据交换，使得两个元件可以彼此通信，和/或连接节点可以由控制单元在运行开始时初始化或在进行的运行中配置。在初始化或配置期间，连接节点可以在需要时将所属网络元件临时与通信网络分离。如果由连接节点识别出所属网络元件和/或通信网络的干扰，则连接节点可以通过第三接口向控制单元发送对应的消息，该消息尤其可以包括故障代码或设备标识。优选地，第三接口在逻辑上和/或在物理上与通信网络或与通过通信网络传输的数据分离。

借助第三接口，连接节点可以通过分离的通道与通信网络的状态无关地被控制或者通信。因此，根据本发明的连接节点与要监控的对象无关地实现。这恰好在故障情况下非常有利。然而可替选地或补充地，连接节点也可以通过通信网络本身来加以控制。为此，分离的通道（例如借助“频分多址”FDMA（frequency division multiple access）或类似技术）利用通信网络的物理线路。由此，提出了一种附加的安全功能并且最后再次提高了通信网络的可用性。

特别有利的是，根据本发明的连接节点与通信网络和网络元件在结构上和/或在电学上无关地实施。由此，网络元件的可能的干扰不会影响连接节点的功能。

此外，根据本发明的连接节点可以构造为读取和/或改变和/或阻塞OSI-2层和/或OSI-3层和/或OSI-7层的数据。缩写“OSI”代表“开放系统互联”并且涉及国际标准组织（ISO）的层模型，该层模型作为不同通信协议的基础而开发。连接节点因此可以比较“深地”介入通过其交换的数据并且因此对通信网络执行对应完全地监控。

尤其设计为，根据本发明的连接节点构造为执行如下功能的至少一个：

- 读取和分析伴随所交换的数据的附加信息，尤其是CAN标识或以太网地址和/或IP地址和/或MAC（介质存取控制）地址；

- 确定、评价和/或改变描述数据交换的通信结构，尤其数据流相对于网络元件的方向；

- 确定网络元件关于与通信网络交换的数据的状态和/或行为；

- 将网络元件的状态和/或行为和/或所交换的数据与预给定的状态或预给定的行为或预给定的数据比较；

- 评价网络元件的状态和/或行为和/或所交换的数据；

- 改变和/或阻塞数据，尤其与预给定不同的数据；

- 补充带有签名的如下数据，其由网络元件发送并且具有确定的CAN标识或以太网地址和/或IP地址，尤其根据HMAC方法（keyed-hash message authentication code（密钥散列消息认证码））；

- 检验通过通信网络接收的数据的签名，和/或

- 在签名被识别为正确之后，将所接收的数据转发给网络元件。

由此，描述了连接节点的多个有利特性或功能，连接节点利用这些特性或功能特别好地保护通信网络并且可以对应地提高可用性。

本发明的一种扩展方案设计为，连接节点构造为可替选于或补充于第三接口通过通信网络从控制单元接收控制指令。以此方式，在通信网络中所述至少一个连接节点的控制可以冗余地并且因此特别安全地实施。

根据另一种有利扩展方案，连接节点构造为记录所读取的数据或由此导出的信息。因此，可以将通过连接节点交换的数据读取、链接、与预给定值（“滤波器模式”）比较并且评价。这样确定的结果可以本地存储在连接节点中，和/或传送给通信网络的上级元件，尤其是传送给控制单元。在那里，这些结果可以补充地链接、与预给定值比较、分析和/或存储。此外，基于结果可以将记录（“Logging，日志”）或故障报告由连接节点传送给控制单元或者由控制单元传送至机动车的控制装置和/或调节装置。甚至，给机动车的驾驶员的声学或光学信息是可能的。车辆安全关键的总线消息可以被签名，由此提高了数据可信性并且通过专用总线用户或控制单元实现安全的记录（Logging）。

特别有利地，在通信网络的电缆束中或在通信网络的电缆束的插接连接器中布置有连接节点。例如，连接节点可以布置在电缆束的插头或插座中或者作为插塞适配器布置在插头和插座之间。由此，节约了安装空间并且简化了连接节点的布置。如已提及的那样，在总线系统或网络元件评价为无故障的情况下，根据本发明的连接节点一般完全不改变地传递通过所述连接节点交换的数据。

在本发明的另一种扩展方案中，连接节点可替选地可以与网络元件在结构上统一。然而在此，连接节点在功能上并且在电压供给方面与网络元件无关地实施。尤其是，用于连接到控制单元的第三接口与网络元件无关地实施。由于由此实现的空间接近度，用于将网络元件连接到连接节点上的第一接口可以在两侧都在无需复杂电路（“物理层”）的情况下实施。由此可以节约极高的成本。在此，当连接节点物理上通过通信网络与控制单元通信时，

并不一定必需将第三接口构造为分离的、在连接节点上的端子。

此外，本发明涉及一种用于通信网络的控制单元，该控制单元构造为与至少一个连接节点通信和/或控制所述至少一个连接节点。控制单元为上级的单元，借助其使分布式布置于通信网络中的连接节点的功能相互协调。由此，通信网络的结构可以总体上被监控并且必要时协调地改变，以便即使在故障情况下也实现通信网络的尽可能的运行。这例如可以通过连接节点和/或网络元件的重新配置或重新初始化来进行。此外，控制单元可以与其他控制设备通信或在需要时自动地向仪表盘等发出报告。

补充地设计为，控制单元至少部分将与所述至少一个连接节点的通信和/或控制加密和/或借助签字来执行。由此，根据本发明的连接节点的功能附加地受防护并且例如也可以受保护以防恶意篡改。

本发明的另一种扩展方案设计为，控制单元构造为通过与通信网络分离的通道和/或通过通信网络控制所述至少一个连接节点，或通过所述连接与所述至少一个连接节点通信。通过连接到相应的连接节点的所述第三接口上的、分离的通道能够实现在控制单元与连接节点之间的优选和特别简单且安全的通信。尤其是，不改变通过通信网络的数据交换，并且通信网络的可能中断或短路不会影响控制单元与连接节点之间的通信。分离的通道可以线形地、星形地或环形地构造。该通道必要时也可以在结构上集成到通信网络的电缆束中和/或利用相同的物理线路并且在此借助FDMA方法来去耦。

此外，本发明涉及一种通信网络，尤其是机动车的总线系统，其将至少两个网络元件彼此连接，其中，至少一个网络元件通过根据本发明的连接节点连接到通信网络上。例如，通信网络可以是机动车的CAN总线系统。本发明可以提高通信网络的可用性并且因此可以改善机动车的驾驶安全性。

根据本发明的通信网络可以装备为使得所述至少一个连接节点补充于布置在网络元件中的监控装置布置在通信网络中。由于至少一个连接节点和控制单元的上述特性，不影响其他总线监控器，例如“Flex-Ray”系统的“总线监护器”。因此可以总体上进一步提高通信网络的可用性。在此，附加地实现防止对网络元件的故意的恶意篡改的附加保护。

根据本发明的通信网络优选构造为处理异步和/或不确定的协议，尤其CAN总线系统或以太网/IP系统中的所谓的CSMA协议。“CSMA”代表英语“Carrier Sense Multiple Access（载波监听多路访问）”并且表示用于获得电信和类似网络中的访问权限的分布式方法。“CAN”指英语“Controller Area Network（控制器局域网络）”并且表示使用于汽车电子装置和自动化技术中的总线系统。

此外，本发明涉及一种用于运行通信网络的方法，其中，通过使用控制单元和独立的通道和至少一个连接节点来读取和/或改变和/或阻塞通信网络与至少一个网络元件之间的数据。

尤其是，针对根据本发明的方法设计为，在通信网络有干扰和/或过载时通过控制单元控制至少一个连接节点的方式改变通信网络的通信结构。由此，通信网络的结构可以（例如作为对网络中的过载或其他干扰的动态反应）协调地改变。尤其是，可以省去不怎么重要的总线消息和/或将不怎么重要的进行发送网络元件与通信网络分离。必要时，（例如通过使用分离的通道）也可以创建一种用于子网络的专用通信通道。

此外，对于本发明而言重要的特征可在后续的附图中找到，其中，特征不仅可单独地而且可以不同组合地对于本发明是重要的，而对此不再明确指明。

附图说明

以下参照附图阐述了本发明的示例性实施形式。在附图中示出：

图1：连接节点的框图；

图2：根据本发明的通信网络的实施形式；以及

图3：用于执行用于运行通信网络的方法的流程图。

即使在不同的实施形式中，针对所有图中的功能等同的元件和量使用相同的附图标记。

具体实施方式

图1以框图示出了根据本发明的连接节点10。连接节点10具有用于连接到网络元件14的第一接口12（参见图2），并且具有用于将连接节点10连接到通信网络18的第二接口16（参见图2）。此外，连接节点10具有用于连接到控制连接节点10的控制单元22的第三接口20（参见图2）。在一种优选的实施形式中，连接节点10基本上相对于第一接口12和第二接口16对称地实施。

连接节点10包括在第一接口12与第二接口16之间的双向数据路径24，其中，数据路径24可以借助两个开关26和28分开。第一接口12与第二接口16之间的数据25通过数据路径24交换。在此，第一接口12和第二接口16以电学方式实施，但光学实施同样可能。电路30包括连接节点10的其他装置，尤其存储器32。借助数据线路34、36和38将该电路30在合适部位与数据路径24连接。双向控制线路40将该电路30与第三接口20连接。

连接节点10优选紧密地布置在其所属的网络元件14上，但与网络元件14无关地实施。因此，连接节点10与网络元件14在结构上分离并且同样具有与网路元件14无关的电压源。后者在连接节点10的一种布置中也可作为具有网络元件14的结构单元。

在第一实施形式中，连接节点10未连接到控制单元22上并且因此独立工作。为此，在制造连接节点10时和/或在通信网络18启动时在存储器32中存储用于配置连接节点10的数据。利用所述数据预给定连接节点10的工作方式。

在另一种实施形式中，连接节点10与控制单元22连接并且可以通过控制单元22来加以控制，也就是说，连接节点10可以与控制单元22通信或通过控制单元22来初始化和/或配置。这例如借助在连接节点10与控制单元22之间的双向数据通信进行。优选地，连接通过第三接口20和通过与通信网络18分离的、即独立的通道42（参见图2）进行。

补充地或者可替选地，连接节点10并不借助第三接口20与控制单元22连接，而是通过通信网络18与控制单元22连接。由此，在连接节点10与控制单元22之间并不需要分离的通道42。

在连接节点10正常运行中，开关26和28闭合，也就是说，数据路径24连接在第一接口12与第二接口16之间。在第一接口12与第二接口16之间的数据传输因此不变地进行（“透明”）。必要时，连接节点10包括一个或多个放大器，电平变换器，脉冲整形的装置，移位寄存器等，以便尽可能正确地传递通过接口12和16交换的双向信号。但这些元件在图1中未一同示出。

电路30可以借助数据线路34和36读取在接口12和16上交换的数据25并且连续地与存储在存储器32中的预给定值比较并且评价。尤其是，数据25所伴随的附加信息譬如CAN标识或者以太网（例如MAC）地址和/或IP地址可以被读取、比较和评价。由此，可以确定所连接的网络元件14的状态和/或行为。根据比较或评价可以借助数据线路38改变数据25，即写入或擦除。数据25的改变可以涉及单个位、字节或整个数据包。

此外，由网络元件14发送的并且具有确定的、预给定的CAN标识或以太网IP地址的数据25可以利用签名例如根据所谓的HMAC方法（“密钥散列消息认证码”）来补充。对应地，所接收的数据25可以针对其签名被检验。只要相应的签名被识别为正确，则数据25可以转发给所属的网络元件14。而如果签名不正确，则连接节点10可以改变或至少部分阻塞数据25。

尤其是，电路30或连接节点10构造为，读取和/或改变和/或需要时阻塞OSI-2层（“开放系统互连”）和/或OSI-3层和/或OSI-7层的数据25。在此，不允许与相应预给定值偏离的数据25被“滤除”，例如即被阻塞或通过零替代。然而，根据本发明同样可能的是，必要时改变通过连接节点10交换的数据25，使得所述数据可以对应于相应的预给定值并且因此网络元件14可以接收或发送尽可能正确的数据25。这优选在知晓通信网络18所基于的通信结构的情况下进行，该通信结构可以固定地存储在连接节点10和/或控制单元22中或在运行期间也可以改变。可选地，通过第三接口20传输的信息也可以被加密。电路30为此具有对应的用于加密或解密的装置。

连接节点10或电路30在此被实施为ASIC（专用集成电路）。对应地，两个开关26和28也被集成并且例如实施为晶体管、数字门电路、乘法器等等。可替选地，可能的是将连接节点10至少部分实施为FPGA（自由可编程集成电路）或者借助其他合适的技术来实施。应注意的是，在图1中仅示意性示出了数据路径24和开关26和28，并且由于双向数据交换必要时变化的电路结构可能是有意义的。

图2示出了通信网络18的例子，通信网络在此是（未示出的）机动车的总线系统。图2的通信网络18以分别在视图的左边区域或右边区域中的两个子网络18a和18b形式实施。子网络18a和18b分别借助电缆束29a和29b实施。

总共七个网络元件14通过总共八个连接节点10连接到通信网络18上。连接节点10为此具有第一接口12和第二接口16，如图1中已示出的那样。在图2的视图中最上部的网络元件14通过两个彼此独立的连接节点10分别连接到两个子网络18a和18b的一个上。其余六个网络元件14中的三个网络元件分别通过连接节点10连接到子网络18a上，而三个网络元件14分别通过连接节点10连接到子网络18b上。

在视图的右上部区域中示出的控制单元22借助通道42与八个连接节点10连接。为此，通道42连接到连接节点10的相应的第三接口20上。通道42与通信网络18或子网络18a和18b分离地实施。尤其，通道42不具有至通信网络18的直接电连接。

分离的通道42例如可以是与通信网络18无关的电学或光学连接，其单独地实施或在结构上布置在通信网络18的电缆束29a或29b中。在此，分离的通道42可以至少部分具有线形的、分支的、星形的和/或环形的结构。

图2中所示的网络元件14例如是用于控制机动车的内燃机、排气设备和/或自动变速器的控制设备。同样，网络元件14也可以是其他比较小的连接到CAN总线系统上的单元。控制单元22优选是机动车的结构上独立的装置，如在视图中所示。可替选地，控制单元22可以在结构上和/或电学上集成到机动车的网络元件14或控制设备之一中。同样，连接节点10可以有利地固定布置在通信网络18的电缆束29a或29b中或电缆束29a或29b的插接连接器壳体中。这在连接节点10如上面所描述借助ASIC实施时特别简单地实现。

控制单元22并且必要时连接节点10具有存储器32，通信网络18的通信结构尤其存储在这些存储器中。在此，确定的通信结构可以固定预给定，或可替选地由控制单元22在运行期间改变。图2中所示的通信网络18如上面所述地以电学方式实施为CAN总线系统，但根据本发明，同样通信网络18的光学实施形式是可能的。

连接节点10也构造为记录通过数据路径24交换的数据25或由此导出的信息。交换的数据25可以被读取、彼此链接、与预给定值比较和/或评价。这样确定的结果可以通过通道42传送给控制单元22。在那里，这些结果可以补充地链接、与预给定值比较、分析和/或存储。此外，基于结果可以将记录或故障报告传送给机动车的一个或多个控制设备。甚至，给机动车的驾驶员的声学或光学信息是可能的。

控制单元22可以与通信网络18的连接节点10以近似任意方式通信和/或在接通供给电压之后初始化连接节点10。在运行期间，控制单元22也可以配置连接节点10，例如以便优化通信网络18的通信结构或与可能的干扰匹配。

将根据本发明的连接节点10使用在通信网络18中能够实现特别良好地保护所示的机动车总线系统，并且因此提高了通信网络18的可用性。图2的两个子网络18a和18b甚至可以彼此独立地被保护。与视图中所示不同，通信网络18也可以具有数目变化的连接节点10。同样可能的是，例如当连接节点10针对相应的任务被固定配置并且不需要将记录传输至控制单元22时，并非所有所使用的连接节点10通过通道42连接。也可考虑的是，并非向所有网络元件14分配一连接节点10。

此外，根据本发明可能的是，代替通过分离的通道42可替选地通过通信网络18执行连接节点10的初始化和/或配置和/或记录的传输。由此，即使在通道42可能干扰时也能够实现连接节点10按规定的运行。同样可考虑的是，一般通过省去通道42而特别成本低廉地实施本发明。因此，本发明可以根据在一方面费用方面和在另一方面功能方面的相应要求被合适地缩放。

在未示出的可替选的实施形式中，连接节点10在结构上与网络元件14统一。然而在此，连接节点10在功能上并且在电压供给方面与网络元件14无关地实施。尤其是，用于连接到控制单元22的第三接口20与网络元件14无关地实施。由此，在网络元件14与连接节点10之间的接口12两侧处的比较复杂的电路（英语“physical layer（物理层）”）是不必要的。由此可以节约极高的费用。必要时，连接节点10甚至可以集成到网络元件14的用于连接到通信网络18的电路（“物理层”）中。优选地，连接节点10在功能上可以布置在用于连接到通信网络18的电路与其余网络元件14之间。这同样在图2中未示出。此外，当连接节点10在物理上通过通信网络18与控制单元22通信时，并不一定必需将第三接口20实施为分离的、在连接节点10上的端子。

图3示出了用于执行用于运行通信网络18的方法的简单的流程图。在视图上部区域所示的开始框52中，开始图3中所示的过程，该过程主要表征连接节点10的行为。

在后续的框54中，通过数据路径24交换的数据被读取，并且所伴随的附加信息譬如CAN标识被评价。在此，也确定和评价描述数据25的交换的通信结构，尤其是数据流相对于分别所属的网络元件14的方向。此外，确定网络元件14相对于与通信网络18交换的数据25的状态或行为。

此外，在框54中将网络元件14的状态或所交换的数据25与网络元件14的预给定的状态或预给定的数据25比较和评价。当比较未得到数据25被评价为有错误或网络元件14的状态有错误时，则流程图的执行继续分支回到框54的入口。同时，数据25在第一接口12与第二接口16之间不改变地通过。

只要所交换的数据25和/或网络元件14的状态至少部分被评价为有错误，则该方法50分支至后续的框56。在框56中，数据25可以被部分改变或甚至被阻塞。描述网络元件14的状态或有错误的数据25的记录被传送至控制单元22。由此可以有利地提高通信网络18的可用性。

在后续的框58中，可以从控制单元22接收可能的信息，用于初始化和/或配置连接节点10。随后，该方法50分支返回至框54的入口。框58中的处理必要时也可以紧接着开始（开始框52）之后被执行，例如在首次初始化连接节点10时和/或在通信网络18的运行进行期间执行。

根据另一种优选的实施形式，连接节点10可以满足如下功能中的至少一个，或连接节点10具有如下特性中的至少一个：

- 连接节点10可以成本低廉地作为可配置的ASIC来制造并且优选安装到电缆束中，例如安装到电缆束插头中或可替选地安装在网络元件14的壳体中；

- 连接节点10可以监控分别连接的网络元件14的通信行为；

- 连接节点10对于网络元件14透明地工作，也就是说，网络元件14不需要具有关于连接节点10的知识。  

- 连接节点10可以通过滤除与预给定值有偏差的数据包来强制预给定的通信行为。作为网络元件14的发送行为的滤波准则，使用如下准则：

- 发送方向构成来自通信矩阵的对网络元件14特定的部分，该通信矩阵作为开发构件存在，譬如CAN通信矩阵或AUTOSAR通信矩阵；

- 发送方向通过CAN网络的CAN标识或以太网地址和/或用于以太网或互联网的互联网协议地址、即IP地址来识别；

- 网络元件14的时间特性，例如每单位时间的消息的最大数目；和/或

- 其他准则，例如在第一消息在网络初始化之后允许由网络元件14发送之前的等待时间。  

- 初始化连接节点10，其中，连接节点（可选地）可以在网络起动阶段中被配置。这能够实现消除由于作为动态重新配置的可替选方案对通信网络18的重新起动而引起的网络问题。在此，连接节点10可以通过其将相应的网络元件14在该阶段中与通信网络18分离的方式建立针对该配置的专用网络模式。  

- 作为对通信网络18中的过载或其他干扰的动态反应，强制通信网络18（例如在机动车中）中的改变的通信结构。改变上述滤波准则；

- 能够实现附加（可选的）分布式网络服务，譬如：

- 对安全关键的总线消息签名。要发送的具有确定的CAN-ID或MAC/IP地址的总线消息被识别，所述总线消息被分级为是安全关键的。针对这些总线消息，签名（例如根据密钥散列消息认证码，HMAC方法）被创建并且被一同发送。  

- 验证安全关键的总线消息。所接收的具有确定的CAN-ID或MAC/IP地址的总线消息被识别，所述总线消息被分级为是安全关键的。这些总线消息当其签名（例如HMAC）被验证时才被转送给网络元件14。  

- 向控制单元22报告突出的行为。在与预给定的通信行为强烈偏差的情况下，通过分离的通道42利用控制信息向控制单元22发送消息，例如设备标识符、ID、故障码等；

- 较为复杂的连接节点10实现网络元件14的认证，例如利用合适的“PUF（physical unclonable function（物理不可克隆函数））”方法，和/或

- 此外，连接节点10控制能量供给线路。

在此，根据本发明的控制单元22监控和控制网络元件14的功能。在此，控制单元22可以满足如下功能中的至少一个，或控制单元22具有如下特性中的至少一个：

- 初始化连接节点10。根据连接节点10的实施形式，连接节点可以在通信网络18每次起动（“Hochfahren”）时被配置；

- 对相应连接节点10的允许或禁止的、呼入和/或呼出的通信预给定滤波器模式；

- 在识别网络元件14中的故障之后，控制单元22创建新的通信结构配置，新的通信结构配置在网络重新起动时分布到现有的连接节点10上。控制单元22可以通过机动车的仪表盘向驾驶员通知所识别的问题并且请求重新起动；

- 产生一个或多个密钥，用于保护通信；

- 预给定其他控制信息，例如关于网络元件14的允许的时间特性的控制信息；

- 识别通信网络18中的关键情况并且创建合适的反应，譬如根据预给定的方法的重新配置。  

- 例如借助重新配置在系统的运行时来协调和控制连接节点10。  

- 与上述的消息的签名相组合的更为安全地记录（logging）关键事件。

在此，在网络元件14与连接节点10之间或在连接节点10与其余通信网络18之间的通信分别根据相同协议（CAN，以太网/IP）运行。连接节点10并不作为通信用户起作用。对连接节点10的控制通过独立的通道42进行。通信网络18的初始化阶段可以被用于配置连接节点10。在此，连接节点10将网络元件14与通信网络18分开，直至接收了控制单元22的同步信号。因此，建立用于连接节点10的配置的专用介质。

此外，其他物理通信方法可以用于相同的物理线路。通道42为单独的物理线路。

Claims (16)

1.用于通信网络（18）的连接节点（10），尤其是用于将通信网络（18）的网络元件（14）与通信网络（18）连接，

其特征在于，

连接节点（10）具有用于将所述网络元件（14）连接到所述连接节点（10）的第一接口（12）和用于将所述连接节点（10）连接到所述通信网络（18）的第二接口（16），所述连接节点（10）构造为通过第一接口和第二接口（12、16）实现在所述通信网络（18）与所述网络元件（14）之间的数据交换，并且所述连接节点（10）构造为读取和/或改变和/或阻塞在所述通信网络（18）与所述网络元件（14）之间交换的数据（25）。

2.根据权利要求1所述的连接节点（10），

其特征在于，

所述连接节点具有用于连接到控制所述连接节点（10）的控制单元（22）的第三接口（20）。

3.根据权利要求1或2所述的连接节点（10），

其特征在于，

所述连接节点（10）与所述通信网络（18）和与所述网络元件（14）在结构上和/或在电学上无关地实施。

4.根据上述权利要求中至少一项所述的连接节点（10），

其特征在于，

所述连接节点构造为读取和/或改变和/或阻塞开放系统互连OSI-2层和/或OSI-3层和/或OSI-7层的数据（25）。

5.根据上述权利要求中至少一项所述的连接节点（10），

其特征在于，

所述连接节点构造为执行如下功能中的至少一个：

-读取和分析伴随所交换的数据（25）的附加信息，尤其是CAN标识和/或以太网地址和/或互联网协议地址、即IP地址；

-确定、评价和/或改变描述数据（25）交换的通信结构，尤其是数据流相对于所述网络元件（14）的方向；

-确定所述网络元件（14）关于与所述通信网络（18）交换的数据（25）的状态和/或行为；

-将所述网络元件（14）的状态和/或行为和/或所交换的数据（25）与预给定的状态或预给定的行为或预给定的数据（25）比较；

-评价所述网络元件（14）的状态和/或行为和/或所交换的数据（25）；

-改变和/或阻塞数据（25），尤其与预给定值有偏差的数据（25）；

-补充带有签名的如下数据（25），所述数据由所述网络元件（14）发送并且具有确定的CAN标识或以太网地址或IP地址，尤其是根据密钥散列消息认证码HMAC方法；

-检验通过通信网络（18）接收的数据（25）的签名；和/或

-在签名被识别为正确之后，将所接收的数据（25）转发给所述网络元件（14）。

6.根据权利要求2至5之一所述的连接节点（10），

其特征在于，

所述连接节点构造为替选于或补充于第三接口（20）地通过所述通信网络（18）从所述控制单元（22）接收控制指令。

7.根据上述权利要求中至少一项所述的连接节点（10），

其特征在于，

所述连接节点构造为记录所读取的数据（25）或由此导出的信息。

8.根据上述权利要求中至少一项所述的连接节点（10），

其特征在于，

所述连接节点布置在所述通信网络（18）的电缆束（29a、29b）中或布置在所述通信网络（18）的电缆束（29a、29b）的插接连接器中。

9.用于通信网络（18）的控制单元（22），

其特征在于，

所述控制单元构造为与根据上述权利要求之一所述的至少一个连接节点（10）通信和/或控制所述至少一个连接节点（10）。

10.根据权利要求9所述的控制单元（22），

其特征在于，

所述控制单元构造为至少部分加密地和/或借助签名执行与所述至少一个连接节点（10）的通信和/或控制。

11.根据权利要求9或10所述的控制单元（22），

其特征在于，

所述控制单元构造为通过与所述通信网络（18）分离的通道（42）和/或通过所述通信网络（18）控制所述至少一个连接节点（10），或通过所述连接与所述至少一个连接节点（10）通信。

12.通信网络（18），尤其是机动车的总线系统，该通信网络将至少两个网络元件（14）彼此连接，

其特征在于，

至少一个网络元件（14）通过根据权利要求1至8之一所述的连接节点（10）连接到通信网络（18）上。

13.根据权利要求12所述的通信网络（18），

其特征在于，

所述至少一个连接节点（10）补充于布置在网络元件（14）中的监控装置地布置在所述通信网络（18）中。

14.根据权利要求12或13所述的通信网络（18），

其特征在于，

所述通信网络构造为通过使用异步和/或不确定的协议、尤其是在CAN总线系统中或以太网中和/或IP系统中的CSMA协议来传输数据。

15.用于运行根据权利要求12至14之一所述的通信网络（18）的方法（50），

其特征在于，

通过使用控制单元（22）和独立的通道（42）和至少一个连接节点（10）读取和/或改变和/或阻塞在所述通信网络（18）与至少一个网络元件（14）之间的数据（25）。

16.根据权利要求15所述的方法（50），

其特征在于，

在所述通信网络（18）过载和/或有干扰时通过由所述控制单元（22）控制所述至少一个连接节点（10）的方式来改变所述通信网络（18）的通信结构。

Images