CN109074031B - 总线节点和总线节点的操作方法 - Google Patents

Abstract

本发明涉及一种总线节点(10)，其包括第一逻辑单元(11)、第二逻辑单元(12)、监控电路(13)和传输单元(14)。所述总线节点(10)设计为，在通信阶段中，所述第一逻辑单元(11)通过所述传输单元(14)与总线(21)通信，以及，所述监控电路(13)在发生故障时将监控信号(SU)输出至所述传输单元(14)，使得所述传输单元(14)阻断所述通信。

Description

总线节点和总线节点的操作方法

技术领域

本发明涉及一种总线节点和一种操作总线节点的方法。

背景技术

在自动化技术中可以将具有若干总线节点的总线应用于控制和调节设备和设施。总线节点可以实施为主设备或从设备。该总线节点可以是某个安全设备的一部分。

例如根据机器规程，功能安全领域中的安全设备通常具有“安全状态”，即不对人和设施构成危险的机器状态。该“安全状态”通常为“无电流”状态。在此状态下，例如可以将安全控制装置的所有安全输出端断开。

针对较高安全度等级即Safety Integrity Level(简称SIL)而设计的这种安全控制装置采用冗余结构，并且通常包括包含两个逻辑单元的中央单元和双通道式输入端和输出端。这些逻辑单元针对彼此和对冗余的输入与输出端进行监控，其中每个逻辑单元均能在发现故障时使得设备进入安全状态。这些逻辑单元例如可以实施为微处理器或微控制器。

特别是需要审视所谓的共因故障(英语Common Cause Fault，简称CCF)。一个例子是针对两个通道(如两个逻辑单元)的共同供电。如果两个逻辑单元的供电电压移至允许范围以外的值(过电压或欠压)，则无法期望这些逻辑单元中的至少一个可靠地识别出故障并使得设备进入安全状态。

在此情形下，如文献EP 2117094A2所述，使用一个附加硬件电路来监控供电电压，其以与微控制器无关的方式在发生故障时将输出端驱动器断开，从而使得设备进入安全状态。这一点在具有局部安全输出端的紧凑型安全设备中是不难实现的。

但例如在具有若干通过通信总线分布的安全模块的安全相关系统中，中央单元无法直接访问通过该总线耦合的输出模块，因此，实施于中央单元中的电路无法以与逻辑单元无关的方式直接地将这些输出端断开。

发明内容

本发明的目的是提供一种总线节点和一种操作总线节点的方法，从而提高安全度。

本发明用以达成上述目的的解决方案为独立权利要求的主题。改进方案和技术方案参阅从属权利要求。

在一种实施方式中，总线节点包括第一和第二逻辑单元、监控电路和传输单元。所述总线节点设计为，在通信阶段中，所述第一逻辑单元通过所述传输单元与总线通信，以及，所述监控电路在发生故障时将监控信号输出至所述传输单元，使得所述传输单元阻断所述通信。

这样就能防止在发生故障时进行进一步通信以及错误的通信。发生故障时无法将消息从总线节点输出至总线。

所述第一逻辑单元可以实施为微控制器、微处理器、专用集成电路(英语application-specific integrated circuit，简称ASIC)、现场可编程门阵列(英语fieldprogrammable gate array，简称FPGA)或有限自动机(英语finite state machine)。

所述第二逻辑单元可以实施为微控制器、微处理器、专用集成电路(英语application-specific integrated circuit，简称ASIC)、现场可编程门阵列(英语fieldprogrammable gate array，简称FPGA)或有限自动机(英语finite state machine)

在一种实施方式中，所述第一和/或所述第二逻辑单元在测试阶段中测试所述传输单元是否接收到所述监控信号。

在一种实施方式中，所述第一和/或所述第二逻辑单元在所述测试阶段中测试所述传输单元在接收到所述监控信号后是否阻断所述通信。

因而在一种实施方式中，所述第一和/或所述第二逻辑单元测试所述监控电路和所述传输单元是否在发生故障时阻断所述通信。

在一种实施方式中，在发生共因故障或共因失效时，所述监控电路输出所述监控信号。所述监控电路在即将发生共因故障或即将发生共因失效时也能输出监控信号。所述总线节点可以设计为，采取措施来抑制共因故障和/或共因失效。

在一种实施方式中，共因失效指的是多个组件(如第一和第二逻辑单元)因单独一个故障原因或单独一个事件而出现的失效。这个或这些失效例如可能因某个共同的外部原因、因这些组件的功能相关性或者因存在于这些组件内的某个共同的原因而出现。该共同的外部原因例如可以是供电电压的电压降、过电压或环境条件(如某个预设区域以外的湿度、振动或温度)，这些因素会造成多个组件失效。为此而采用所述监控电路或者若干适宜的监控电路。

所述总线节点可以实施为主设备或从设备。

在一种实施方式中，在所述第一和所述第二逻辑单元的供电电压处于预设范围以外的情况下，所述监控电路产生所述监控信号。

在一种实施方式中，所述监控电路通过控制线与所述传输单元耦合。所述监控电路通过该控制线将监控信号输出至传输单元。

在一种实施方式中，所述传输单元包括开关装置，所述开关装置以其控制侧连接所述控制线。将监控信号输送给开关装置。

在一种实施方式中，所述第一逻辑单元的总线端子通过所述传输单元与所述总线耦合。所述第一逻辑单元产生连接信号并通过所述总线端子将该连接信号输出至所述传输单元。

在一种实施方式中，所述第一和/或所述第二逻辑单元通过所述总线节点的第一测试线与所述监控电路耦合。所述第一和/或所述第二逻辑单元通过所述第一测试线将第一测试信号输出至所述监控电路。

在一种实施方式中，所述传输单元通过所述总线节点的反馈线与所述第一和/或所述第二逻辑单元的信号输入端耦合。所述传输单元通过所述反馈线将检验信号提供给所述第一和/或所述第二逻辑单元。

在一种实施方式中，一种操作总线节点的方法包括：第一逻辑单元在通信阶段中通过传输单元与总线进行通信，在发生故障时由监控电路将监控信号输出至所述传输单元，使得所述传输单元阻断所述通信。所述总线节点包括第一逻辑单元、监控电路和传输单元。

所述总线节点可以包括第二逻辑单元。

所述总线节点实施某种方法以提高通信中断的安全度，从而有助于功能安全性。所述总线节点可以实施为安全组件、中央单元、安全相关的输出组件、安全总线模块或者智能型输入/输出组件(简称IO组件)。

所述总线节点采用双通道结构且通常配设有两个逻辑单元。通过总线进行通信的组件包含总线接口，该总线接口可以包含物理总线耦合装置(总线驱动器、总线收发器、耦合变压器或类似装置-有时称作PHY)、总线相关通信元件(有时称作媒体访问控制装置，简称MAC)和/或通信控制器。这些元件中的部分可以整合在逻辑单元中。

在MAC并非整合在逻辑单元中的情况下，逻辑单元与MAC/通信控制器间的接口可以是并行的(地址/数据总线)或串行的(如串行外设接口，简称SPI，或者通用异步收发器，简称UART)。

在一种实施方式中，所述总线节点实施为使其在某个适宜的位置上安全地中断逻辑单元与总线间的通信，从而阻止失真数据的传输。为此，所述总线节点具有适于实施通信中断的元件。所述总线节点优选能够周期性地检验这些用于实施通信中断的元件。从而使得电路变得“安全”。该项检验优选不会干扰总线节点的正常功能。优选还能识别出总线节点中的一般性局部故障。其中，在至少一个逻辑单元顺利工作的情况下，通常能够识别出逻辑单元的一般性故障。只有影响两个逻辑单元的CCF才由监控单元检测出。中断与中央单元的通信能够阻止失真的安全相关数据从总线节点传输至中央单元或者从中央单元传输至总线节点(例如通过安全输出端)。所述总线节点可以实施为中央单元。

附图说明

下面结合附图所示多个实施例对本发明进行详细说明。功能相同或作用相同的组件或者功能单元用同一参考符号表示。组件或功能单元在其功能方面相同时，并非在每个附图中均进行重复说明。图中：

图1至3为总线节点的示例性实施方式，

图4为监控电路的示例性实施方式，

图5为总线节点的另一示例性实施方式，以及

图6为监控电路的另一示例性实施方式。

具体实施方式

图1描述总线节点10的示例性实施方式，该总线节点包括第一逻辑单元11、第二逻辑单元12、监控电路13和传输单元14。总线节点10还包括供电电压端子15，第一和第二逻辑单元11、12以及监控电路13连接该供电电压端子。第一和第二逻辑单元11、12双向相连。第一逻辑单元11可以实施为微控制器、微处理器、ASIC、FPGA、有限自动机或看门狗。第二逻辑单元12同样可以实施为微控制器、微处理器、ASIC、FPGA、有限自动机或看门狗。第二逻辑单元12的输出端通过第一测试线16与监控电路13的第一控制输入端连接。第二逻辑单元12也可以通过第二测试线17与监控电路13的第二控制输入端连接。监控电路13可以连接另一供电电压端子18。

第一逻辑单元11包括总线端子20，其通过传输单元14与总线21耦合。总线节点10还可以具有媒体访问控制装置22(英语Media Access Controller，简称MAC)。总线端子20通过传输单元14与MAC 22耦合。MAC 22视情况通过另一未绘示的总线驱动器连接总线21。传输单元14包括逻辑电路23，其在输入侧上连接总线端子20。逻辑电路23的输出端与MAC22耦合。监控电路13包括控制输出端24，其通过控制线25与传输单元14连接。因此，监控电路13的控制输出端24连接逻辑电路23的控制输入端。

逻辑电路23的输出端通过反馈线27连接第二逻辑单元12的信号输入端26。逻辑电路23的输出端还可以通过反馈线27连接第一逻辑单元11的信号输入端28。第一逻辑单元11可以具有至少另一总线端子30，其通过总线线路31与MAC 22连接。总线节点10可以实施为主设备。

供电电压端子15上存在供电电压VDD。将供电电压VDD输入第一和第二逻辑单元11、12以及监控电路13。监控电路13可以实施为电压监控电路。监控电路13监控供电电压VDD是否处于预设范围内。监控电路13监控供电电压VDD是否处于以下预设范围内：

VMIN<VDD<VMAX

其中VMIN为最小允许供电电压之值，VMAX为最大允许供电电压之值。通过该另一供电电压端子18为监控电路13供应与供电电压VDD无关的另一供电电压VS。该另一供电电压VS例如可以是24V。

如果当前存在的供电电压VDD并非处于该预设范围内，则监控电路13在其控制输出端24上输出监控信号SU。通过控制线25将监控信号SU输送给传输单元14。从而将监控信号SU输送给逻辑电路23。第一逻辑单元11在其总线端子20上输出连接信号SWR，其被输送给传输单元14和逻辑电路23。传输单元14产生作为连接信号SWR与监控信号SU的函数的总线信号WRS。总线信号WRS可以实施为Wrsafe。在监控信号SU表明不存在故障的情况下，逻辑电路23根据连接信号SWR在其输出端上输出总线信号WRS。但在监控信号SU表明存在故障的情况下，逻辑电路23和传输单元14不输出总线信号WRS或者输出具有非有效状态或非有效电平的总线信号WRS。

监控信号SU在发生故障时具有第一逻辑值，在不存在故障时具有第二逻辑值。第一逻辑值不同于第二逻辑值。举例而言，第一逻辑值可以是0，第二逻辑值是1。这样就通过连接信号SWR与监控信号SU的逻辑运算来产生总线信号WRS。逻辑电路23例如可以实现与函数。从而将总线信号WRS构建为监控信号SU与连接信号SWR的与运算。在总线节点10，特别是监控电路13和逻辑电路23实施为“正逻辑”的情况下，这些信号(如连接信号SWR)的有效电平具有值1，非有效电平具有值0。逻辑电路23可以实施为与门。

在实践中，写入信号经常被反转。总线节点10，特别是监控电路13和逻辑电路23可以实施为“负逻辑”。这些信号(如连接信号SWR)的有效电平具有值0，非有效电平具有值1。监控信号SU在发生故障时具有值为1的第一逻辑值，在不存在故障时具有值为0的第二逻辑值。逻辑电路23可以实施为或门。

监控信号SU在“正”和“负”逻辑时改变逻辑电路23的输出端上的信号：在发生故障时，监控信号SU具有有效电平，即第一逻辑值，从而阻断通过逻辑电路23进行传输。为实现该逻辑函数，逻辑电路23可以具有逻辑门，如与门或者或门。优选在监控电路13检测到故障的情况下，中断第一逻辑单元11与MAC 22的耦合。

这些控制信号通常为“低电平有效”(亦即，值0表示有效的状态或电平，值1表示非有效的状态或电平)。

第一逻辑单元11通过总线线路31将一个信号输出至MAC 22或者从MAC 22接收一个信号。总线线路31可以实施为地址/数据总线，简称A/D总线。总线线路31可以包括多个地址与数据线。

在测试阶段中，第二逻辑单元12通过第一测试线16将第一测试信号ST1输出至监控电路13。由此，第二逻辑单元12触发监控电路13中的第一测试。第一测试过程中，例如在供电电压VDD降至最小允许供电电压VMIN以下的情况下测试总线节点10的特性。如果第二逻辑单元12通过第一测试信号ST1触发第一故障的测试，而第一逻辑单元11将连接信号SWR切换为“有效”，则监控单元13输出具有第一逻辑值的监控信号SU。由此，传输单元14阻断连接信号SWR的传输，使得总线信号WRS非有效。

通过反馈线27将检验信号SP输送给第二逻辑单元12的信号输入端26和第一逻辑单元11的信号输入端28。检验信号SP对应于总线信号WRS。如果第二逻辑单元12在输出第一测试信号ST1后记录到总线信号WRS非有效，则第一故障的测试是成功的。在此情况下，监控电路13和传输单元14在第一故障的测试过程中正常工作。而如果第二逻辑单元12在输出第一测试信号ST1后接收有效的总线信号WRS，则第二逻辑单元12记录到第一故障的测试不成功。尽管此处模拟了第一故障，第一逻辑单元11仍可通过传输单元14和MAC 22与总线21通信。第一和第二逻辑单元11、12可以共同监控该测试。

在该测试阶段的下一部分中，第二逻辑单元12可以通过第二测试线17将第二测试信号ST2输出至监控电路13。由此，第二逻辑单元12触发监控电路13中的第二测试。第二测试过程中，例如在供电电压VDD超过最大允许供电电压VMAX的情况下测试总线节点10的特性。产生第二测试信号ST2后的流程与产生第一测试信号ST1后的流程相同。

通过MAC元件22进行总线通信，该MAC元件通过具有晶片选择、读取与写入信号的并行地址/数据总线31与逻辑单元11、12(或与逻辑单元11)耦合(如Profibus-ASIC、用于Profibus-DP的VPC3/SPC3或者用于EATONs SmartWire-DT的SWD-ASIC)。总线节点10例如可以实施为“中央单元”，如CPU或网关。逻辑单元11、12对朝向MAC 22的数据传输实施完全控制。

如图1所示，第一逻辑单元11驱动并行总线31，MAC元件22连接该总线。可以借助逻辑电路23由独立监控电路13来阻断也称作写入信号的连接信号SWR，使得第一逻辑单元11无法再向总线21传输任何数据且实现了通信中断。为确保电路安全度，定期测试该项功能。在通信间隙中-第一逻辑单元11检查数据传输-，第一逻辑单元11通过作为具有非有效信号电平的输出端口的写入信号SWR，来切换总线端子20，也称作端口引线。随后，第二逻辑单元12激活测试信号ST1、ST2中的一个，该测试信号模拟低于或超过逻辑单元11、12的共同供电电压VDD的允许电平，参阅文献EP2117094A2中的相关说明，据此，监控电路13阻断逻辑电路23。第一测试信号ST1可以称作Test_L，第二测试信号ST2可以称作Test_H。在此情况下，第一逻辑单元11将写入信号SWR的端口20切换为有效，两个逻辑单元11、12检验逻辑电路23的输出端保持非有效。将这个输出端反馈至逻辑单元11、12以实施检验。测试成功后，第一逻辑单元11将连接信号SWR的总线端子20切换为非有效，随后，第二逻辑单元12禁用第一测试信号ST1，第一逻辑单元11重新将端口20用作写入信号SWR，可以继续实施正常通信。

根据具体结构，也可以设有多个也称作写入信号的连接信号SWR，如用于16位总线的WR_H和WR_L。在此情形下，针对所有连接信号SWR设置逻辑电路23和反馈信号。

总线节点10包括两个逻辑单元11、12，因而可以将总线节点10的任务分担给这两个逻辑单元11、12。如图1所示，举例而言，第一逻辑单元11承担通信，第二逻辑单元12承担测试。这两个逻辑单元11、12例如均可实施为微控制器。一个微控制器例如可以包括微处理器和存储器。监控电路13可以分别由第一与第二逻辑单元11、12实现。

在一种替代的未绘示实施方式中，第一逻辑单元11的性能高于第二逻辑单元12且既实施通信又实施测试。在此情形下，第二逻辑单元12执行的是特别是针对真正意义上的安全功能的冗余必要任务。第二逻辑单元12使得总线节点10进入安全状态。这两个逻辑单元11、12例如均可实施为微控制器，其中第二逻辑单元12“性能较弱”。作为替代方案，第一逻辑单元11实施为微控制器，第二逻辑单元12实施为ASIC、FPGA、有限自动机或看门狗。

在一种替代的未绘示实施方式中，监控电路13监控另一类型的共因故障。

图2示出总线节点10的另一示例性实施方式，该实施方式是图1所示实施方式的改进方案。传输单元14包括发送单元40，其输入侧与第一逻辑单元11的总线端子20耦合。该发送单元40的输出侧与MAC 22耦合。传输单元14还具有开关装置41，其控制侧连接监控电路13的控制输出端24。开关装置41的一个端子连接发送单元40的供电端子。开关装置41的另一端子可以连接供电电压端子15。

开关装置41包括开关42，其控制端子与监控电路13的控制输出端24连接。因此，开关42将供电电压端子15与发送单元40耦合在一起。开关42与发送单元40之间的一个节点通过反馈线27连接第二逻辑单元12的信号输入端26且连接第一逻辑单元11的信号输入端28。MAC 22可以通过至少一个信号线与逻辑单元11的总线输入端45耦合。可选地，在反馈线27与基准电位端子44之间布置有放电电路或放电电阻器43。放电电阻器43可以实施为下拉电阻器。

在通信阶段中，第一逻辑单元11将连接信号SWR输出至发送单元40。发送单元40产生总线信号WRS，也称作发送信号TX。将总线信号WRS输送给MAC 22，后者又将一信号输出至总线21。在通信阶段中，MAC 22从总线21接收一信号并将接收信号RX输出至总线输入端45。

在通信阶段中，开关42导电通断，从而将供电电压VDD输送给发送单元40的供电输入端。监控信号SU使得开关42在通信阶段中进入导电状态。

发生故障时，监控电路13产生监控信号SU，使得开关42进入非导电状态。这样就在该监控信号具有第一逻辑值时，开关42切换为非导电，在监控信号SU具有第二逻辑值时，开关42切换为导电。

在测试阶段中，第二逻辑单元12将第一和/或第二测试信号ST1、ST2输出至监控电路13，后者随后提供监控信号SU，使得开关42切换为非导电。这样一来，发送单元40就不被供电电压VDD供应，因而不输出总线信号WRS，也称作发送信号TX。通过反馈线27将发送单元40的供电端子上的电压作为检验信号SP输送给第二逻辑单元12的信号输入端26和第一逻辑单元11的信号输入端28。这样就由第二逻辑单元12和/或第一逻辑单元11将检验信号SP的电压值的下降记录下来。为使该电压短时间内下降，放电电路或放电电阻器43将反馈线27与基准电位端子44连接在一起。总线节点10例如可以实施为主设备或从设备。

通过MAC元件22实施总线通信，该MAC元件通过串行连接(如UART)与第一逻辑单元11耦合。这个电路例如参见智能总线从设备，如IO组件。逻辑单元11、12对朝向MAC 22的数据传输实施完全控制。

在此情形下也可以以类似的方式使用图1所示逻辑电路23。但通常情况下，总线节点10具有一个发送单元40，因为一般而言，优选在此实施的是电隔离。该发送单元40例如可以实施为光电耦合器。通过以下方式来阻断发送器，即传输单元14：借助开关42来中断供电电压VDD。开关42例如可以实施为MOS晶体管。逻辑单元11、12以类似于图1的方式在通信间隙中激活监控电路13并通过测试法检验发送单元40的供电电压VDD的断开。

作为数据传输类型，图2中的总线节点10具有串行连接TX。为实现安全的数据阻断，在第一逻辑单元11(实施为微控制器)与MAC 22(ASIC)间的(通过光电耦合器电隔离的)串行耦合(信号TX)的层面上，将实施为光电耦合器的发送单元40的供电隔离。

图3示出总线节点10的另一示例性实施方式，该实施方式是图1和2所示实施方式的改进方案。第一逻辑单元11包括MAC 22。传输单元14包括总线耦合装置50。总线耦合装置50也可以实施为物理总线耦合装置，简称PHY。总线耦合装置50例如可以实施为总线驱动器、总线收发器或耦合变压器。总线耦合装置50通过双向连接51与MAC 22耦合。双向连接51可以包括多个线路。

传输单元14还包括开关装置41。开关装置41的一个端子连接总线耦合装置50的供电端子。开关装置41可以包括开关42和另一开关53，二者彼此串联。由开关42与另一开关53构成的该串联将供电电压端子15与总线耦合装置50的供电端子耦合在一起。监控电路13的控制输出端24通过控制线25连接开关42和另一开关53的控制端子。开关装置41的输出侧通过反馈线27与第二逻辑单元12的信号输入端26和第一逻辑单元11的信号输入端28连接。总线耦合装置50连接基准电位端子44。电容器55将总线耦合装置50的供电端子与基准电位端子44耦合在一起。

在通信阶段中，开关42和另一开关53导电通断。从而将供电电压VDD输送给总线耦合装置50的供电输入端。将电容器55增压至供电电压VDD。

发生故障时，监控信号SU使得开关42和另一开关53进入非导电状态。总线耦合装置50由电容器55供电。只有在电压中断某个预设时间段后，电容器55上以及总线耦合装置50的供电端子上的电压才会下降，从而以有利的方式在发生故障时中断通过总线耦合装置50的通信。

在测试阶段中，第二逻辑单元12将第一和/或第二测试信号ST1、ST2输出至监控电路13，后者借助监控信号SU将开关42和另一开关53切换为非导电。在测试阶段中以及在发生故障时，开关42与另一开关53间的节点上的电压以及反馈线27上的电压下降。由第二和/或第一逻辑单元11、12记录该电压降。由此，第一和/或第二逻辑单元11、12检测第一和/或第二测试信号ST1、ST2的输出是否正常引起供电电压端子15与总线耦合装置50的供电端子的耦合的中断。

测试所需时间段较短，以便通过电容器55实现总线耦合装置50的供电。这样一来，即使在第一节点10处于测试阶段中的情况下，第一逻辑单元11也能通过内置式MAC 22和总线耦合装置50与总线21正常通信。测试时间例如可以在10μs范围内。只有在发生故障时，第一逻辑单元11与总线21的通信才会被总线耦合装置50中断。

MAC 22整合在第一逻辑单元11中，位于其间的内部接口是不可及的。在MAC 22与外部总线耦合装置50间进行通信且被MAC 22控制，而非第一逻辑单元11。这一点例如出现在以下情形下：在第一逻辑单元11中整合有以太网控制器或CAN控制器。在此情况下，总线耦合装置50可以实施为以太网PHY或CAN驱动器。MAC 22与外部总线耦合装置50间的通信并非直接由第一逻辑单元11决定，这样就无法在不使正常数据传输受到干扰的情况下使用图1和2中所描述的方法。

如图3所示，借助两个开关42、53来中断外部总线耦合装置50(PHY或驱动器)的供电电压VDD。这两个开关42、53例如可以实施为MOS晶体管。针对较短的测试时间，通过相应定尺寸的电容器55来缓冲总线耦合装置50的供电，从而不使当前通信受到影响。在此同样使用针对外部监控电路13进行故障模拟的测试法，但不与正常数据通信同步。开关42中断供电，第二开关53隔离与缓冲电容器55的检验信号SP，因此，检验信号SP可能降至0伏。这样就能安全地识别出每个故障，包括在这两个开关42、53上的故障。检验信号SP处于反馈线27上。如果第一逻辑单元11中整合有以太网PHY50，则也可以将相同的方法以类似的方式应用于以太网传输器。

在采用以太网的情况下，图3所示总线节点10具有作为数据传输类型的媒体独立接口，简称MII。为实现安全的数据阻断，在第一逻辑单元11(实施为微控制器)与MAC 22之间无法实现访问且该通信并非被第二逻辑单元11控制，而是被MAC 22控制的情况下，直接在总线耦合装置50(PHY、传输器)上实施隔离。在测试期间，仍通过电容器55来为总线耦合装置50供电。可以将总线耦合装置50称作总线耦合器。

图1至3所示逻辑单元11、12间的任务分担-第一逻辑单元11实施通信，第二逻辑单元12实施测试-仅起示例作用。

在作为图1至3所示示例的替代实施方式的未绘示实施方式中，第一逻辑单元11产生第一和/或第二测试信号ST1、ST2。

图4示出监控电路13的示例性实施方式，该实施方式是图1至3所示实施方式的改进方案。监控电路13实施为窗口比较器60。窗口比较器60具有第一和第二比较器61、62，其在第一输入端上与供电电压端子15耦合。第一比较器61的第二输入端与第一参考电压端子63耦合。相应地，第二比较器62的第二输入端与第二参考电压端子64耦合。第一比较器61的第一输入端可以实施为非反向输入端，第二输入端可以实施为反相输入端。第二比较器62的第一输入端可以实施为反向输入端，第二输入端可以实施为非反相输入端。窗口比较器60还包括逻辑门电路65，其输入侧与第一和第二比较器61、62耦合，输出侧与监控电路13的控制输出端24耦合。逻辑门电路65例如可以具有或功能。

在第一参考电压端子63上可以施加最大允许供电电压VMAX或表示该电压的值。在第二参考电压端子64上可以施加最小允许供电电压VMIN或表示该电压的值。第一比较器61检测供电电压VDD是否大于最大允许供电电压VMAX。相应地，第二比较器62检测供电电压VDD是否小于最小允许供电电压VMIN。如果第一比较器61检测到供电电压VDD大于最大允许供电电压VMAX或者第二比较器62检测到供电电压VDD小于最小允许供电电压VMIN，则窗口比较器60产生故障信号，其具有表示故障之值，即第一逻辑值，如1。将第一和第二测试信号ST1、ST2输送给监控电路13，使得即使在采用具有允许范围内的值的供电电压VDD的情况下，也能产生具有表示故障之值的监控信号SU。

图5示出总线节点10的另一示例性实施方式，该实施方式是此前的附图所示实施方式的改进方案。第一逻辑单元11的一个输出端通过另一第一测试线16'与监控电路13的另一第一控制输入端连接。第一逻辑单元11也可以通过另一第二测试线17'与监控电路13的另一第二控制输入端连接。

第二逻辑单元12通过另一控制线70与传输单元14连接。该另一控制线70将第二逻辑单元12与逻辑电路23耦合在一起。第二逻辑单元12将阻断信号SU'输出至传输单元14。阻断信号SU'的作用可以与监控信号SU的作用相同。阻断信号SU'例如可以在测试阶段中以及在第一逻辑单元11上发现故障时中断通过传输单元14的通信。

监控电路13实施在第一和第二逻辑单元11、12的外部。监控电路13例如可以实施为与第一和第二逻辑单元11、12分离。第一与第二逻辑单元11、12监控彼此并在发现故障时阻断通信。第一逻辑单元11可以直接阻断通信。第二逻辑单元12可以通过阻断信号SU'阻断通信。

在测试阶段中，第一逻辑单元11通过该另一第一测试线16'将另一第一测试信号ST1'输出至监控电路13。由此，第一逻辑单元11触发监控电路13中的第一测试。

可以按前述方式(如图1所描述的方式)实施该第一测试。在第一测试中，模拟供电电压VDD的欠压。在监控电路13中，将该另一第一测试信号ST1'和第一测试信号ST1与逻辑或电路进行运算。

在该测试阶段的下一部分中，第一逻辑单元11可以通过该另一第二测试线17'将另一第二测试信号ST2'输出至监控电路13。由此，第一逻辑单元11可以触发监控电路13中的第二测试。可以按前述方式(如图1所描述的方式)实施该第二测试。在第一测试中，模拟供电电压VDD的过电压。在监控电路13中，将该另一第二测试信号ST2'和第二测试信号ST2与逻辑或电路进行运算。

在一种替代的未绘示实施方式中，无需设置第一和第二测试线16、17。在此情形下，该另一第一和该另一第二测试线16'、17'承担第一和第二测试线16、17的功能。该另一第一和该另一第二测试信号ST1'、ST2'具有第一和第二测试信号ST1、ST2的作用。

可选地，总线节点10的图2和3所示实施方式同样可以具有该另一第一测试线16'和/或该另一第二测试线17'和/或该另一控制线70。

图1和5所示总线节点10的数据传输类型为并行地址/数据总线(SWR为相关的写入信号)。为实现安全的数据阻断，在第一逻辑单元11(实施为微控制器)与MAC 22(ASIC)间的并行地址/数据总线的写入信号的层面上，通过门23实施隔离。

图6示出监控电路13的示例性实施方式，该实施方式是图4所示实施方式的改进方案。在图1、2、3和5所示总线节点10的任一实施方式中均可使用图6所示监控电路13。监控电路13包括窗口比较器60，其具有第一和第二比较器61、62。监控电路13还包括参考电压发生器71。参考电压发生器71具有齐纳二极管72。齐纳二极管72的一个端子与第一比较器61的第一输入端耦合。在齐纳二极管72的该端子与第一比较器61的第一输入端之间可以布置有耦合电阻器73。耦合电阻器73实现第一比较器61的切换的滞后。第一比较器61的第一输入端实施为非反相输入端，第一比较器61的第二输入端实施为反相输入端。齐纳二极管72在另一端子上与基准电位端子44连接。

第二比较器62具有第一和第二输入端。第一输入端可以实施为非反相输入端，第二输入端可以实施为反相输入端。齐纳二极管72的端子与第二比较器62的第二输入端连接。

此外，监控电路13具有镇流电阻器74，其与齐纳二极管72串联。包括镇流电阻器74和齐纳二极管72的串联电路将该另一供电电压端子18与基准电位端子44耦合在一起。

监控电路13还包括第一分压器76，其将供电电压端子15与基准电位端子44耦合在一起。第一分压器76具有第一和第二分压器电阻器78、79。位于第一与第二分压器电阻器78、79之间的第一分压器分接头80与第一比较器61的第二输入端连接。此外，监控电路13还包括第二分压器81，其将供电端子15与基准电位端子44耦合在一起。第二分压器81包括第三和第四分压器电阻器82、83以及位于第三与第四分压器电阻器82、83之间的第二分压器分接头84。第二分压器分接头84连接第二比较器62的第一输入端。

第一比较器61的第一输入端通过第一反馈电阻器85与第一比较器61的输出端连接。第二比较器62的第一输入端通过第二反馈电阻器86与第二比较器62的输出端连接。借助第一和第二反馈电阻器85、86就能实现第一和第二比较器61、62的滞后。

第一比较器61的输出端和第二比较器62的输出端与监控电路13的控制输出端24耦合。为此，第一比较器61的输出端和第二比较器62的输出端直接连接控制输出端24。控制输出端24通过电阻器97与供电端子98耦合。

此外，监控电路13具有第一测试电路87，其与第一分压器76连接。第一测试电路87包括第一开关88，其受控路径布置在供电端子15与第一分压器分接头80之间。第一开关88实施为双极晶体管。因此，该双极晶体管的发射极和集电极与供电端子15或第一分压器分接头80耦合。第一开关88通过镇流电阻器89连接第一分压器分接头80。该双极晶体管可以实施为PNP双极晶体管。第二测试线17通过监控电路13的第二控制输入端和第一测试电路87的第一控制电阻器90与第一开关88的控制输入端耦合。因此，第一控制电阻器90将第二测试线17与该双极晶体管的基极耦合在一起。

替代地，第一开关88可以实施为金属氧化物半导体晶体管，简称MOS晶体管。第一开关88例如可以实施为p通道MOS晶体管。可以不设置第一控制电阻器90并用某个线路取而代之。

监控电路13还包括第二测试电路91，其与第二分压器81耦合。第二测试电路91将第二分压器分接头84与基准电位端子44耦合在一起。第二测试电路91包括第二开关92。第二开关92的受控路径布置在第二分压器分接头84与基准电位端子44之间。第二开关92实施为双极晶体管。该双极晶体管的发射极和集电极与第二分压器分接头84或基准电位端子44耦合。该双极晶体管可以实施为NPN双极晶体管。第二镇流电阻器93将第二开关92与第二分压器分接头84连接在一起。第一测试线16通过监控电路13的第一控制输入端和第二测试电路91的第二控制电阻器94与第二开关92的控制输入端耦合。

替代地，第二开关92可以实施为MOS晶体管。第二开关92例如可以实施为p通道MOS晶体管。可以不设置第二控制电阻器94并用某个线路取而代之。

可选地，监控电路13的该另一第二控制输入端可以与第一开关88的控制输入端耦合。为此，监控电路13可以具有第一逻辑门95，其通过控制电阻器90将监控电路13的该另一第二控制输入端和该第二控制输入端与第一开关88的控制输入端耦合在一起。因此，图5所示该另一第二测试线17'连接第一测试电路87。第一逻辑门95实现或功能。第一逻辑门95例如可以实施为或门或或非门。

可选地，监控电路13的该另一第一控制输入端可以与第二开关92的控制输入端耦合。为此，监控电路13可以具有第二逻辑门96，其将监控电路13的该另一第一控制输入端和该第一控制输入端与第二开关92的控制端子耦合在一起。因此，该另一第一测试线16'连接第二测试电路91。第二逻辑门96实现或功能。第二逻辑门96可以实施为或门或或非门。

参考电压发生器71产生参考电压VREF。参考电压VREF在齐纳二极管72上下降。将参考电压VREF输送给第一比较器61的第一输入端和第二比较器62的第二输入端。在供电端子15上存在供电电压VDD。第一分压器分接头80上存在第一输出电压VPL，该输出电压被输送给第一比较器61的第二输入端。

第一比较器61对第一输出电压VPL与第一比较器61的第一输入端上的电压进行比较。该电压可能等于参考电压VREF。根据耦合电阻器73和第一反馈电阻器85的所选电阻值，第一比较器61的第一输入端上的电压可能与参考电压VREF略有不同。耦合电阻器73和第一反馈电阻器85决定第一比较器61的滞后。在第一输出电压VPL小于参考电压VREF的情况下，将第一比较器61的输出端切换至“高”。相应地，在参考电压VREF小于第一输出电压VPL的情况下，将第一比较器61的输出端切换至“低”。第一比较器61用于过电压检测。

因此，在供电电压VDD小于最大允许供电电压VMAX的情况下，第一比较器61输出信号“高”。最大允许供电电压VMAX具有以下等式之值：

VMAX＝VREF(R1+R2)/R2，

其中R1为第一分压器电阻器78的电阻值，R2为第二分压器电阻器79的电阻值，VREF为参考电压的电压值。

相应地，在第二分压器分接头84上存在第二输出电压VMI，该输出电压被输送给第二比较器62的第一输入端。进一步地，第二比较器62对第二输出电压VMI与参考电压VREF进行比较。在第二输出电压VMI大于参考电压VREF的情况下，第二比较器62相应地在其输出端上输出信号“高”。在第二输出电压VMI小于参考电压VREF的情况下，第二比较器62在其输出端上输出信号“低”。在供电电压VDD大于最小允许供电电压VMIN的情况下，第二比较器62在其输出侧提供信号“高”。可以根据以下等式算出最小允许供电电压VMIN之值：

VMIN＝VREF(R3+R4)/R4，

其中R3为第三分压器电阻器82的电阻值，R4为第四分压器电阻器83的电阻值。第二比较器62用于欠压检测。

因此，在供电电压VDD处于允许范围内的情况下，第一和第二比较器61、62均输出信号“高”。在信号输出端24上存在监控信号SU。因而在供电电压VDD处于允许电压范围内的情况下，监控信号SU具有值“高”。供电电压VDD的允许电压范围定义为：VMIN<VDD<VMAX

在供电电压VDD小于最小允许供电电压VMIN的情况下，第二比较器62输出信号“低”，使得监控信号SU同样具有值“低”。相应地：在供电电压VDD超过最大允许供电电压VMAX的情况下，第一比较器61输出信号“低”，使得监控信号SU同样具有值“低”。值“低”大致表示0V。值“高”表示不同于0V的电压值。值“高”大致可以表示输送给供电端子98的供电电压VT的电压值。也可以将值“低”称作第一逻辑值或值“0”，将值“高”称作第二逻辑值或值“1”。

第一和第二比较器61、62具有开路集电极输出端。值为“低”时，这些输出端与地电位连接，值为“高”时，输出端与地电位的连接中断。电阻器97实施为上拉电阻器。供电端子98上的电压VT可能等于供电电压VDD或该另一供电电压VS。为此，供电端子98要么与供电电压端子15连接，要么与该另一供电电压端子18连接。

将第一测试信号ST1输送给第二测试电路91。在测试阶段中，第一测试信号ST1将第二开关92切换至导电状态。第一测试信号ST1引起第二输出电压VMI的变化。在此过程中，通过第一测试信号ST1来减小第二输出电压VMI，从而在第二比较器62的输出端上检测到值“低”。通过以下方式来改变第二分压器81所提供的第二输出电压VMI：在测试阶段中，将并行于第四分压器电阻器83的电流路径切换为导电。第二开关92被接通，因此，镇流电阻器93并行于第四分压器电阻器83。

相应地，可以将该另一第一测试信号ST1'输送给第二测试电路91。在测试阶段中，该另一第一测试信号ST1'将第二开关92切换至导电状态，从而减小第二输出电压VMI。这样就通过第一和/或另一第一测试信号ST1、ST1'来模拟供电电压VDD的欠压。

将第二测试信号ST2输送给第一测试电路87。在该测试阶段的下一部分中，第二测试信号ST2将第一开关88切换至导电状态。在该测试阶段的下一部分中，第二测试信号ST2改变第一输出电压VPL。在此过程中，第二测试信号ST2增大第一输出电压VPL，使得第一比较器61在输出端上提供值“低”。因而即使在供电电压VDD小于最大允许供电电压VMAX的情况下，第一比较器61表明过电压。在该测试阶段的下一部分中，通过以下方式来改变第一分压器76所提供的第一输出电压VPL：将并行于第一分压器电阻器78的电流路径切换为导电。第一开关88被接通，因此，镇流电阻器89并行于第一分压器电阻器78。

同样将该另一第二测试信号ST2'输送给第一测试电路87。在该测试阶段的下一部分中，该另一第二测试信号ST2'将第一开关88切换至导电状态。该另一第二测试信号ST2'引起第一输出电压VPL的增大，从而引起第一比较器61的输出信号的值“低”。这样就通过第二和/或另一第二测试信号ST2、ST2'来模拟供电电压VDD的过电压。

优选可以通过第一和第二分压器76、81的变化来模拟欠压和/或过电压。这样一来，即使在需要监控的供电电压VDD处于极限值VMIN、VMAX之间的情况下也能模拟过电压和/或欠压。

监控信号SU源于第一比较器61的输出信号与第二比较器62的输出信号的或运算。如果这两个比较器61、62中的一个指示出故障，则监控信号SU同样指示出故障。如果第一比较器61指示出过电压或者第二比较器62指示出欠压，则监控信号SU具有表示该故障的逻辑值。

即使在输送给该另一供电电压端子18的该另一供电电压VS具有波动的情况下，齐纳二极管72也能以预设值提供具有较高精度的参考电压VREF。

在一种替代的未绘示实施方式中，监控电路13包括位于信号输出端24上游的逆变器。第一和第二比较器61、62的输出端通过该逆变器与信号输出端24耦合。在此情形下，如果供电电压VDD处于允许电压范围以外，则监控信号SU具有值“高”，如果供电电压VDD处于允许供电电压范围内，则监控信号SU具有值“低”。

在一种替代的未绘示实施方式中，不设置该第二和该另一第二测试线17、17'、第一测试电路87以及第一逻辑门95。这样就仅模拟欠压的情形。也可以不设置第一比较器61。

在一种替代的未绘示实施方式中，不设置第一测试线16或该另一第一测试线16'。用某种连接来取代第二逻辑门96。

在一种替代的未绘示实施方式中，不设置第二测试线17或该另一第二测试线17'。用某种连接来取代第一逻辑门95。

附图标记表

10 总线节点

11 第一逻辑单元

12 第二逻辑单元

13 监控电路

14 传输单元

15 供电电压端子

16，16' 第一测试线

17，17' 第二测试线

18 另一供电电压端子

20 总线端子

21 总线

22 媒体访问控制装置

23 逻辑电路

24 控制输出端

25 控制线

26 信号输入端

27 反馈线

28 信号输入端

30 另一总线端子

31 总线线路

40 发送单元

41 开关装置

42 开关

43 放电电阻器

44 基准电位端子

45 总线输入端

50 总线耦合装置

51 双向连接

53 另一开关

55 电容器

60 窗口比较器

61 第一比较器

62 第二比较器

63 第一参考电压端子

64 第二参考电压端子

65 逻辑门电路

70 另一控制线

71 参考电压发生器

72 齐纳二极管

73 耦合电阻器

74 镇流电阻器

76 第一分压器

78 第一分压器电阻器

79 第二分压器电阻器

80 第一分压器分接头

81 第二分压器

82 第三分压器电阻器

83 第四分压器电阻器

84 第二分压器分接头

85 第一反馈电阻器

86 第二反馈电阻器

87 第一测试电路

88 第一开关

89 镇流电阻器

90 第一控制电阻器

91 第二测试电路

92 第二开关

93 镇流电阻器

94 第二控制电阻器

95 第一逻辑门

96 第二逻辑门

97 电阻器

98 供电端子

SP 检验信号

RX 接收信号

ST1，ST1' 第一测试信号

ST2，ST2' 第二测试信号

SU 监控信号

SU' 阻断信号

SWR 连接信号

TX 发送信号

VDD 供电电压

VMI 第二输出电压

VMIN 最小允许供电电压

VMAX 最大允许供电电压

VPL 第一输出电压

VREF 参考电压

VS 另一供电电压

VT 供电电压

WRS 总线信号

Claims (9)

1.一种总线节点(10)，包括

第一逻辑单元(11)，

第二逻辑单元(12)，

用于监控供电电压(VDD)的监控电路(13)，和

传输单元(14)，

其中所述总线节点(10)设计为，在通信阶段中，所述第一逻辑单元(11)通过所述传输单元(14)与总线(21)通信，其特征在于，

所述总线节点(10)设计为，所述监控电路(13)在所述供电电压(VDD)发生故障时将监控信号(SU)输出至所述传输单元(14)，使得所述传输单元(14)阻断所述通信，其中所述总线节点(10)包括第一测试线(16)，且其中所述第一和/或所述第二逻辑单元(11，12)通过所述第一测试线(16)与所述监控电路(13)耦合以便将第一测试信号(ST1)输出至所述监控电路(13)，

其中所述传输单元(14)通过所述总线节点(10)的反馈线(27)与所述第二逻辑单元(12)的信号输入端(26)和/或与所述第一逻辑单元(11)的信号输入端(28)耦合，

其中所述第一和/或所述第二逻辑单元(11，12)设计为，在测试阶段中测试所述传输单元(14)是否接收到所述监控信号(SU)，和/或所述传输单元(14)在接收到所述监控信号(SU)后是否阻断所述通信。

2.根据权利要求1所述的总线节点，

其中所述监控电路(13)设计为，在发生共因故障和/或共因失效时，产生所述监控信号(SU)。

3.根据权利要求2所述的总线节点，

其中共因失效指的是所述第一和所述第二逻辑单元(11，12)因单独一个故障原因或单独一个事件而出现的失效。

4.根据权利要求1所述的总线节点，

其中所述监控电路(13)设计为，在所述第一和所述第二逻辑单元(11，12)的供电电压(VDD)处于预设范围以外的情况下产生所述监控信号(SU)。

5.根据权利要求1所述的总线节点，

其中所述监控电路(13)的控制输出端(24)通过所述总线节点(10)的控制线(25)与所述传输单元(14)耦合，以便将所述监控信号(SU)输出至所述传输单元(14)。

6.根据权利要求5所述的总线节点，

其中所述传输单元(14)包括开关装置(41)，所述开关装置以其控制侧连接所述控制线(25)。

7.根据权利要求1所述的总线节点，

其中所述第一逻辑单元(11)的总线端子(20)通过所述传输单元(14)与所述总线(21)耦合且设计为将连接信号(SWR)输出至所述传输单元(14)。

8.一种操作总线节点的方法，包括

第一逻辑单元(11)在通信阶段中通过传输单元(14)与总线(21)进行通信，

监控电路(13)监控供电电压(VDD)，在所述供电电压(VDD)发生故障时由监控电路(13)将监控信号(SU)输出至所述传输单元(14)，使得所述传输单元(14)阻断所述通信，以及

在测试阶段中，通过第一测试线(16)将第一测试信号(ST1)从所述第一逻辑单元(11)和/或第二逻辑单元(12)输出至所述监控电路(13)，

其中所述总线节点(10)包括所述第一逻辑单元(11)和所述第二逻辑单元(12)、所述监控电路(13)、所述传输单元(14)和所述第一测试线(16)，以及

其中所述传输单元(14)通过所述总线节点(10)的反馈线(27)与所述第二逻辑单元(12)的信号输入端(26)和/或与所述第一逻辑单元(11)的信号输入端(28)耦合，

其中所述第一和/或所述第二逻辑单元(11，12)在测试阶段中测试所述传输单元(14)是否接收到所述监控信号(SU)，和/或所述传输单元(14)在接收到所述监控信号(SU)后是否阻断所述通信。

9.根据权利要求8所述的方法，

其中在所述测试阶段中测试所述传输单元(14)是否从所述监控电路(13)接收到所述监控信号(SU)。

Images