CN106716931A - 网络节点、用于部件的控制模块和以太网环 - Google Patents

Abstract

本发明涉及网络节点，所述网络节点具有第一计算单元（CPU_a）和至少第二计算单元（CPU_b）、内部交换器（Sw_i）和外部交换器（Sw_e），其中所述内部交换器（Sw_i）与所述第一计算单元（CPU_a）和所述至少第二计算单元（CPU_b）连接以及与所述外部交换器（Sw_e）连接，其中所述外部交换器（Sw_e）具有用于来自其它网络节点的数据的至少一个端口。此外，本发明涉及控制模块和以太网环。

Description

网络节点、用于部件的控制模块和以太网环

技术领域

本发明涉及网络节点、用于部件的控制模块和以太网环。

背景技术

尤其结合自主驾驶，例如具有所谓的“失效可操作（fail operational）”特性的冗余系统具有重大意义。自主驾驶不仅针对电动车辆、针对内燃机车辆、而且针对混合动力车辆以及针对专用车辆、例如生产车间中的地面运输车辆在考虑之内。在航空中已经使用电传操纵（fly-by-wire）系统和自动驾驶仪，然而在航空中所使用的系统对于在汽车中的应用来说太贵了。

在其它领域中，例如在工业设施、发电厂、铁路道口等的控制中也使用冗余系统。经常出于成本原因而放弃在能够采取安全状态以及因此所谓的“失效静默（fail silent）”特性是足够的时将系统构成为“失效可操作”。铁路道口例如在故障状况下将关闭。铁路道口系统在该示例中将是安全的，但是将不再起作用。

“失效可操作”的系统能够在任意的单个故障的情况下识别、隔离该单个故障并且至少在确定的时间内，还继续地起作用。该时间例如可以在汽车中被用于安全地开往下一停车场，或者在工业设施中修复失效的部件并且因此保证无中断的运行。

在不存在安全状态、例如车辆不能简单地停在高速公路上时失效可操作系统必须被使用。所述系统可以被用于提高系统的可用性。在这种情况下，失效可操作配置的成本必须与可能的失效的成本进行对比。

发明内容

本发明的任务是提供如下可能性：尤其在所谓的失效可操作系统中在低成本的情况下给出高的失效安全性。

该任务通过独立权利要求来解决。有利的改进方案是从属权利要求的主题。

相应的网络节点具有第一计算单元和至少第二计算单元。此外，设置有内部交换器和外部交换器，其中内部交换器与所述第一计算单元和所述至少第二计算单元连接。此外，所述内部交换器与所述外部交换器连接。所述外部交换器具有用于来自其它网络节点的数据的至少一个端口。

此外，本发明涉及用于控制组件的控制模块以及以太网环。

附图说明

本发明的另外的配置和优点根据所选择的实施例予以解释，所述实施例部分地被示出在图中。

图1示出根据现有技术的控制模块的配置，以及

图2示出根据本发明的控制模块的示例性的实施方案。

具体实施方式

在图1中描绘了控制模块STM，所述控制模块具有多个网络节点、即网络节点或节点1、即K1、节点2、即K2和节点3、即K3。节点K1、K2、K3中的每个都被配置为所谓的双工控制计算机（DCC）。也就是说，例如节点K1具有带有所分配的交换器或交换机Sw_a的第一CPU或者（中央）计算单元CPU_a以及具有第二中央计算单元CPU_b和所属的交换器或交换机Sw_b。两个其它的所示出的节点、即第二节点K2和第三节点K3相应地被配置。此外，控制模块STM具有至少一个接口IF，以便实现与至少一个要控制的部件或者组件的通信。

由三个节点K1、K2和K3构成的控制模块STM应当被设计为“失效可操作”，即在所述节点之一中的至少一个计算单元的功能有缺陷的情况下，另一节点应当能够承担该任务。如果例如在节点K1中计算单元CPU_a失效或者有缺陷地工作，则两个其它节点K2或K3之一应当能够承担该任务。

如下面所阐明的那样作出节点是否有缺陷地工作的确认：目标是控制模块STM通过接口IF发出针对组件、即传感器或执行器的正确的控制命令。

为此，如下节点中的第一计算单元CPU_a和第二计算单元CPU_b计算为此必要的运算，首先给所述节点分配了该任务。因此进行分离的计算。在第一计算单元CPU_a中所计算的数据被传输给被分配给该计算单元的交换机Sw_a、即通过第一端口P1被移交给交换机Sw_a。

处于节点K1中的第二计算单元CPU_b同样计算对于相应的控制命令来说需要的数据并且将这些数据通过所分配的第二交换器或者交换机Sw_b的端口P1递交给该第二交换器或者交换机。通过被分配给所述第二计算单元CPU_b的交换机Sw_b或者被分配给所述第一计算单元CPU_a的交换机Sw_a处的另一端口P2能够在两个计算单元CPU_a和CPU_b之间交换以及合并数据。如果现在确认结果彼此不同，则两个计算单元CPU_a或CPU_b中的至少一个或者两个交换机Sw_a或Sw_b中的至少一个没有正确地工作。为了排除故障，因此切断整个第一节点K1并且两个其它节点中的一个、即第二节点K2或第三节点K3承担第一节点K1的任务。因此，第一节点K1根据所谓的“失效静默”原理工作，即一旦存在对不正确的作用方式的怀疑，该节点就独立地切断。

在图2中现在示意性地示出了本发明的配置，在所述配置中用于组件的控制模块STM具有三个节点、即第一节点K1、第二节点K2和第三节点K3。

替代地，可以设置≥2的其它数量的节点。

组件可以是传感器、执行器或由两者构成的组合。下面以非决定性的方式引用传感器和执行器的一些示例：传感器的示例是车辆中的转向角传感器、车轮转速传感器、加速度传感器或复杂的、基于雷达的、基于激光雷达的、基于摄像机的或基于超声的环境传感器，铁路道口处的火车接近传感器或工业设施中的压力传感器、温度传感器和流量传感器。车辆中的执行器例如是转向角执行器、制动力执行器、驱动电动机。在工业设施中，执行器可以由阀门、驱动器、泵构成，在铁路道口的情况下可以由道口杆构成。

针对通过接口IF被发送给组件的控制命令，又通过第一计算单元CPU_a和第二计算单元CPU_b彼此进行计算。这些计算单元将所确定的结果进一步递交给内部交换器或交换机Sw_i。在图2中所示出的实现方案中，CPU_a通过第一端口P1_i与内部交换器Sw_i连接，CPU_b通过第二端口P2_i与内部交换器Sw_i连接。内部交换器Sw_i到外部交换器Sw_e的连接能够通过第三端口P3_i来建立。

端口尤其是可以被配置为输入端/输出端。因此，端口尤其被理解为网络部件、如交换机的接口，所述接口例如可以通过端口地址来寻址。替代地，端口可以仅仅被配置为输入端或仅仅被配置为输出端。

仅仅如下分组、即所谓的“X通道通信（X-lane traffic）”通过内部交换机Sw_i到达，所述分组从一个计算单元被定向到节点之内的分别另一计算单元，或者也可以如下分组通过内部交换机Sw_i到达，所述分组源于第一节点K1，即该第一节点是数据源，或者所述分组被定向到作为目标的该第一节点，即该第一节点是数据宿。

在第一情况下，这仅仅通过第一端口P1_i和第二端口P2_i进行。在第二情况下，数据分组通过端口P3_i从外部交换机Sw_e被转递给内部交换机Sw_i或者从内部交换机Sw_i被转递给外部交换机Sw_e。

仅仅被转递的数据分组不到达内部交换机Sw_i。

如果现在偏差被确认，则有关的节点又被切断，在所述节点中探测到了节点之内的两个计算单元的结果彼此的偏差。

出于此原因尝试避免来着外部的数据分组可能干扰计算单元CPU_a和计算单元CPU_b之间的通信。如果这将例如因为有缺陷的节点或有缺陷的组件发送大量具有错误的报头属性的数据而发生，则这一有缺陷的节点可能导致多个双工控制计算机DCC被切断。在此情况下失效可操作特性于是将不再存在。

仅仅由节点转递的数据分组经过外部交换器或者交换机Sw_e。该外部交换器或者交换机具有端口或者输入端/输出端，以便实现与网络的另外的节点的通信。可选地，节点具有接口IF，以便实现与至少一个组件的通信。该接口IF尤其可以通过外部交换机Sw_e的端口来实现。

所提出的架构的优点在于以下几点：

1、如果数据分组从一个节点被转递到另一节点，例如从第一节点K1被转递到第三节点K3，则在数据分组被转递给下一节点之前必须在每个节点之内进行两次传输或者跳跃（hops），即从被分配给第一计算单元的交换机Sw_a到被分配给第二计算单元的交换机Sw_b。该提高对失效概率具有负面影响，因为在每次传输中可能出现错误，以及对在传输中出现的时间延迟具有负面影响。如果要控制的组件现在也装备有双工控制计算机DCC，则该缺点乘以组件的数量，因为在组件的双工控制计算机DCC中也分别进行两次传输或者跳跃。

在图2中所示出的配置中，两个交换器SW_a,b分别被分配给计算单元CPU_a,b。这实现由两个相同的“通道模块”构成的节点的构造，所述通道模块尤其分别包含计算单元和交换器。在所谓的“通道模块”或者“路径模块”中例如设置有用于要通过节点、在所示出的配置中通过两个计算单元计算的数据的不同的路径。具有相同的通道模块的实施方案尤其在较小的件数的情况下是有利的，因为用于节点的开发成本能够被保持为低的，因为仅须开发通道模块。

在其它配置中，被分配给计算单元CPU_a的交换机Sw_a以及被分配给计算单元CPU_b的交换机Sw_b在功能上被配置为交换机，所述交换机被分配给两个计算单元。端口P2_i在此情况下将取消或者由交换机中的内部连接代替。对于较大的件数来说，具有仅仅一个交换机的实现方案是有利的。更低的单件成本将与用于花费更大的电路板和更复杂的、装备有更多端口的交换器的更高的开发成本对立。

而在另一配置中，不来自数据节点以及不被定向到作为目标的该数据节点的数据分组仅仅通过外部交换机Sw_e来转递，使得在节点之内仅仅出现用于所转递的数据分组的一次跳跃。

这除了上面所描述的在具有唯一的交换机的替代实现方案中的优点之外附加地还具有如下优点：无须使用复杂的交换器或者交换机，所述交换器或者交换机可能不能在合适的实施方案中作为成批产品获得。

2、另一优点在于：能够使用很大程度上商业上通用的交换器或者交换机，因为无需端口优先级化。由此可以使用在市场上可用的交换器、即不是专门针对应用所设计的交换器。这正面地影响可用性和价格。恰好能够在汽车领域中使用的交换机也仅能以相对低的端口数量获得，在所述交换机的情况下如宽的工作温度范围、电流消耗以及价格之类的方面发挥作用。另一方面是，这些交换机中的少数提供对如例如在IEEE 802.1Qbu或IEEE802.1Qbv中所指定的时间敏感网络TSN（time sensitive networks）的支持，即对如下时间敏感网络的支持，在所述支持的情况下例如能够针对高优先级的短的数据分组而中断长的、低优先级的数据分组。

将再次结合图1解释端口优先级化的问题：

如果例如第三节点K3将有缺陷地工作并且把大量有缺陷的分组发送给第一节点K1，则如果来自K3的有缺陷的分组在报头中携带相同的优先级化信息，则第一节点K1将不具有如下可能性：相对于来自节点3的外部数据分组优选在内部来自第一节点的两个计算单元的必须被比较的数据分组。为了关掉该错误源，两个节点必须支持基于端口的优先级化或者端口优先级化、即根据在哪个端口处分组被接收了而将所述分组优先级化。

而这在图2中所示出的构造中是不需要的：因为这里仅通过内部交换机Sw_i来传递交叉数据或者X通道数据或者X通道通信、即在节点之内的两个计算单元之间交换的数据，所以可以将所谓的以太类型、VLAN-ID和/或VLAN优先级用于这些数据。

将内部交换器Sw_i与外部交换器Sw_e连接的端口现在可以被配置为使得X通道数据不被转递。因此，当数据分组具有相应的为从节点中的一个计算单元被定向到另一计算单元的数据分组所保留的属性时，不进行所述数据分组在内部交换器Sw_i和外部交换器Sw_a之间的交换。所述属性尤其是所谓的处于数据报头或者“报头”中的报头属性、诸如“VLAN标签”、“以太类型”。也可以在内部交换器Sw_i和外部交换器Sw_a之间设置多个连接。为了阻止数据交换，有利地确保：在每个连接处至少要么相应的内部交换器Sw_i不转交从一个计算单元被定向到另一计算单元的数据分组，要么相应的外部交换器Sw_a拒绝该数据分组。为了提高安全性，也可以规定：不仅内部交换机Sw_i而且外部交换机Sw_a相应地被配置。

附加地，从外部进入到交换机Sw_i中的数据通信可以利用简单的标准措施来限制。因此可以确保：由外部错误引起地，这么多有缺陷的数据分组从不到达计算单元CPU_a,b，使得X通道数据由于资源瓶颈、诸如缓冲区大小或计算时间而不再能够被处理。因此，可以可靠地使X通道通信的优先级高于所有其它的数据类别或者通信类别，而交换器或交换机之一不必支持基于端口的优先级化。为此，外部交换器Sw_a可以被配置为使得数据分组仅仅直至达到预给定的数据速率才被转递给内部交换器Sw_i。替代地或者附加地，内部交换器Sw_i可以被配置为使得所述内部交换器在超出预给定的数据速率时拒绝来自外部交换器Sw_a的分组。预给定的数据速率被确定大小，使得不损害或不显著地损害CPU之间的数据通信，这尤其依赖于现有的计算能力和在交换机和/或计算单元中的数据缓冲区的大小。当还能够以预给定的带宽并且在预给定的延迟之内实现数据交换时，存在仅仅不显著的损害。

在内部交换器Sw_i和外部交换器Sw_a之间的多个连接的情况下有利地鉴于每个连接将至少一个交换器配置为使得数据通信能够被限制。

这实现商业上通用的以及尤其与FPGA（Field Programmable Gate Array（现场可编程门阵列））相比成本低的交换器的使用。在根据图1的架构中，通过标记或标签或其它的附着于数据帧的标识或标识符的优先级化将是不够的，因为不能排除有缺陷地工作的节点、例如第三节点K3产生具有该标签的数据帧。

在根据图2的架构中，具有该标签的数据帧将不仅在连接内部交换器Sw_i和外部交换器Sw_e的线路或链路的发送端口处而且在该线路或链路的接收端口处被丢弃，使得所述数据帧不能干扰X通道通信。必须从外部接收的数据可以在同一链路处在其带宽上被限制，使得所述数据不能由于接收缓冲区或CPU的过载而干扰X通道通信。

替代地，可以在节点之内设置大于等于2的数量的计算单元，所述计算单元能够通过一个或多个交换器或交换机Sw_i通信。因此当一旦至少两个节点具有同一结果就作出多数决定、即计算结果被承认为正确时，例如可以节点被切断的概率。

此外可以设置多个接口IF，以便以不同的方式与组件通信和/或与多个组件通信。

以太网环尤其可以通过控制模块来构成，所述控制模块具有两个或更多节点。在此，在一个或多个节点中可以设置到相应的组件的接口。与不同的组件的通信可以通过不同的或相同的接口进行。

Claims (14)

1.网络节点（K1、K2、K3），

- 具有第一计算单元（CPU_a）和至少第二计算单元（CPU_b），

- 内部交换器（Sw_i）和外部交换器（Sw_e），其中所述内部交换器（Sw_i）与所述第一计算单元（CPU_a）和所述至少第二计算单元（CPU_b）连接以及与所述外部交换器（Sw_e）连接，

- 其中所述外部交换器（Sw_e）具有用于来自其它网络节点的数据的至少一个端口。

2.根据前述权利要求之一所述的网络节点（K1、K2、K3），具有用于将控制命令输出给组件（A）的至少一个接口（IF）。

3.根据权利要求2所述的网络节点（K1、K2、K3），其中用于将控制命令输出给组件（A）的接口（IF）被配置为所述外部交换器（Swe）的端口。

4.根据前述权利要求之一所述的网络节点（K1、K2、K3），其中所述内部交换器（Sw_i）被配置为使得数据从至少一个计算单元（CPU_a、CPU_b）通过所述内部交换器（Sw_i）的至少一个端口（P1_i、P2_i）被移交给该内部交换器并且通过所述内部交换器（Sw_i）的至少一个其它端口（P3_i）被移交给所述外部交换器（Sw_a）。

5.根据前述权利要求之一所述的网络节点（K1、K2、K3），其中在所述外部交换器（Sw_a）中设置有用于与各一个节点的通信的至少一个端口。

6.根据前述权利要求之一所述的网络节点（K1、K2、K3），其中所述第一计算单元（CPU_a）和所述至少第二计算单元（CPU_b）执行计算操作并且当这些计算操作的结果不同时切断所述网络节点。

7.根据前述权利要求之一所述的网络节点（K1、K2、K3），其中在将所述内部交换器（Sw_i）与所述外部交换器（Sw_e）连接的连接处在所述内部交换器（SW_i）处的至少一个端口被配置为使得如下分组不从所述内部交换器（Sw_i）处的端口被转交给至少一个外部交换器（Sw_a），所述分组用为将数据从所述第一计算单元（CPU_a）传输到所述第二计算单元（CPU_b）的分组保留的属性来标记。

8.根据前述权利要求之一所述的网络节点（K1、K2、K3），其中在将所述内部交换器（Sw_i）与所述外部交换器（Sw_a）连接的连接处在所述外部交换器（Sw_a）处的至少一个端口被配置为使得如下分组被所述至少一个外部交换器（Sw_a）拒绝，所述分组用为将数据从所述第一计算单元（CPU_a）传输到所述第二计算单元（CPU_b）的分组保留的属性来标记。

9.根据前述权利要求之一所述的网络节点（K1、K2、K3），其中在所述外部交换器（Sw_a）处的至少一个端口被配置为使得被转递给所述内部交换器（Sw_i）的数据速率被限制在预给定的数据速率内。

10.网络节点（K1、K2、K3），其中在所述内部交换器（Sw_i）处的至少一个端口被配置为使得在超出预给定的数据速率时拒绝来自所述外部交换器（Sw_a）处的端口的数据分组。

11.根据权利要求9或10所述的网络节点（K1、K2、K3），其中所述预给定的数据速率依赖于现有的计算时间和缓冲区大小，使得不损害所述第一计算单元（CPU_a）和所述第二计算单元（CPU_b）之间的数据交换。

12.用于至少一个部件的控制模块（STM），所述控制模块具有根据前述权利要求所述的至少一个第一节点（K1）和至少一个第二节点（K2），所述控制模块具有用于输出控制数据以及用于接收要控制的部件的数据的接口（IF），在所述控制模块中当一个节点（K1、K2、K3）被切断时，另一节点（K1、K2、K3）承担该节点（K1、K2、K3）的任务。

13.以太网环，所述以太网环具有至少两个根据前述权利要求1至11所述的节点，所述节点构成控制模块，以及所述以太网环具有与所述控制模块连接的、要通过所述控制模块（STM）控制的部件（A）。

14.以太网环，所述以太网环具有三个根据前述权利要求1至11所述的节点（K1、K2、K3），所述节点构成所述控制模块（STM），其中两个节点（K1、K3）具有用于与部件（A）通信的接口。