CN115552848A - 用于串行总线系统的用户站和用于在串行总线系统中通信的方法 - Google Patents

Abstract

提供了一种用于串行总线系统（1）的用户站（10；20；30）和一种用于在串行总线系统（1）中通信的方法。用户站（10；20；30）具有：用于控制用户站（10；20；30）与总线系统（1）的至少一个其它用户站（10；20；30）的通信并且用于根据帧（450）产生发送信号（TxD；TxD1；TxD2；TxD3；TxD4）的通信控制装置（11；21；31）；发送/接收装置（12；22；32），其设计用于将由通信控制装置（11；21；31）产生的发送信号（TxD；TxD1；TxD2；TxD3；TxD4）串行地发送给总线系统（1）的总线（40），并且其设计用于从总线（40）串行地接收信号；和标记模块（15；35），其用于评估由总线（40）接收的帧（450）是否应当在总线（40）上出现并且用于用标记（48；480）这样来标记帧（450），使得发送/接收装置（12；22；32）将标记（48；480）发送到总线（40），以便将评估的结果通知给总线系统（1）的至少一个其它的用户站（10；20；30）。

Description

用于串行总线系统的用户站和用于在串行总线系统中通信的 方法

技术领域

本发明涉及一种用于串行总线系统的用户站和一种用于在串行总线系统中通信的方法，它们以高的数据传输率以及高度的灵活性和高容错度工作，其中，防止了在上级的技术设备运行时的未经授权的操作。

背景技术

用于例如在车辆中在传感器和控制器之间通信的总线系统，应当视技术设备的或车辆的功能的数量而定实现大数据量的传输。在此经常要求，相比从前将数据更为快速地从发送器传输给接收器并且在需要时也能传输大的数据包。

在车辆中，总线系统目前处在引入阶段，在总线系统中，数据作为在作为具有CANFD的CAN协议规范的标准ISO 11898-1:2015中的报文（Nachricht）进行传输。所述报文在总线系统的总线用户，如传感器、控制器、发送器等之间传输。CAN FD由大多数制造商在第一步骤中以2 Mbit/s的数据位速率和500 kbit/s的仲裁位速率使用在车辆中。

为了实现还要更大的数据传输率，目前研发了一种用于CAN FD的后继总线系统，其称为CAN XL。CAN XL除了通过CAN总线的纯粹的数据传输外，也应当支持其它功能，如功能安全（Safety）、数据安全（Security）和服务质量（QoS = Quality of Service）。这是例如在自动行驶的车辆中所需的基本属性。

极为有利的是，CAN XL和CAN FD以及 Classical CAN是兼容的，其中，CAN XL至少具有如CAN FD和Classical CAN那样的容错度。为了兼容，在仲裁结束后借助res位在CANFD帧中区分CAN FD和CAN XL帧。

但有问题的是，CAN FD以及Classical CAN在目前的设计方案中不提供对在OSI层模型的层2上的操作的安全性。OSI层模型（OSI = Open Systems Interconnection Model，即开放系统互联模型）是基于层架构的用于网络协议的参考模型。在层2中，就帧（Frame）来调节网络访问。由于在CAN FD以及Classical CAN中在层2上缺乏安全性，可以将经操作的帧带入到总线系统中，所述帧未经授权地改变设备的正常运行。这可能导致不期望的结果并且必要时导致针对上级技术设备的安全风险。

发明内容

因此本发明的任务是，提供一种用于串行总线系统的用户站和一种用于在串行总线系统中通信的方法，它们解决了之前提到的问题。尤其应当提供用于串行总线系统的用户站和用于在串行总线系统中通信的方法，它们提供了对在OSI层模型的层2上的操作的安全性，以便即使在高数据传输率下并且在每帧的有效数据量上升时，除了通信的高容错度外还实现了总线系统的安全的运行。

该任务通过一种带有权利要求1的特征的、用于串行总线系统的用户站解决。用户站具有：用于控制该用户站与总线系统的至少一个其它用户站的通信和用于按照一个帧产生发送信号的通信控制装置；发送/接收装置，其设计用于将由通信控制装置产生的发送信号串行地发送给总线系统的总线并且设计用于从总线系统的总线串行地接收信号；和标记模块，标记模块用于评估，由总线接收的帧是否应当在总线上出现，并且用于用一个标记这样来标记帧，使得发送/接收装置将该标记发送给总线，以便将评估的结果通知总线系统的至少一个其它用户站。

所述的用户站（节点）可以由于它们的设计而将由总线接收的帧无破坏地标记为“奇怪的”。这样来设计标记，使得所有其它的用户站（节点）从总线接收标记。因此所述用户站可以向其它用户站指明，刚通过总线发送的和相应地标记的帧本来不应被发送。

结果是，病毒侵袭的用户站无法未被发现地发送原本通常由其它节点发送的帧。因此可以提高总线系统中的安全性（Security）。

此外，用户站可以设计用于，将所述标记用于其它事物。所述标记尤其可以用于下列信息中的至少一个信息，即关于帧的时间的和/或功能上的应用的信息、关于从总线接收帧的信息等。

因此用所述用户站即使在每帧的有效数据量上升时也能以较高的功能安全性、对总线系统的运行中的当前事件的较大灵活性以及以很小的错误率确保帧的发送和接收。

在此，用总线系统中的用户站尤其能够在第一通信阶段中保持由CAN已知的仲裁并且还是相比CAN或CAN FD再一次显著提升了传输率。

当在总线系统中也存在至少一个CAN用户站和/或至少一个CAN FD用户站，它们按照CAN协议和/或CAN FD协议发送报文时，也可以使用由用户站执行的方法。

用户站的有利的进一步的设计方案在从属权利要求中说明。

标记模块可选设计用于标记不应在总线上出现的帧。

标记模块可选设计用于，通过与名单的比较来评估，是否必须在总线上标记由总线接收的帧。

按照一种实施例，标记模块设计用于，将标记插入到帧中，而不会破坏帧。

可以想到的是，标记模块设计用于，根据数据字段将标记插入到帧中，在数据字段中插入了帧的有效数据。

可能的是，标记模块设计用于，将标记作为反位在一个为总线系统的用户站所设的位置处插入到帧中、表明没有正确接收帧，其中，标记模块设计用于，将时间长度超过在帧中设置用于显示没有正确接收帧的时间长度的标记插入到帧中。

在一种特殊的变型方案中，标记模块设计用于，将标记作为时间长度为N位的标记插入到帧中，其中，N是大于或等于1的自然数。在此，标记模块可以设计用于，根据标记具有何种意义来选择标记的长度。

按照一种实施例，标记模块设计用于，在帧之后插入标记，而不会破坏帧。在此，标记模块可以设计用于，在从中间帧间距的第二位开始的帧之后插入标记。标记备选或附加地具有比可以在中间帧间距中发送的过载标志的最大长度更大的长度。

可能的是，这样来设计用于将由通信控制装置产生的发送信号串行发送给总线系统的总线的发送/接收装置，使得对所述帧，在第一通信阶段中发送到所述总线上的信号的位时间可以不同于在第二通信阶段中发送的信号的位时间。

可能的是，帧与CAN FD兼容地构建，其中，在第一通信阶段中协定，总线系统的哪个用户站在接下来的第二通信阶段中获得了对总线的至少暂时独占的、无冲突的访问。

之前所说明的用户站可以是总线系统的一部分，总线系统还包括总线和至少两个用户站，用户站通过总线这样相互连接，使得用户站可以串行地相互通信。在此，至少两个用户站中的至少一个用户站是之前所说明的用户站。

之前所述的任务还通过一种按照权利要求15所述的用于在串行总线系统中通信的方法解决。所述方法用总线系统的用户站实施，该用户站具有通信控制装置、发送/接收装置和标记模块，其中，所述方法具有步骤：用通信控制装置控制总线系统的一个用户站与至少一个其它的用户站的通信，其中，通信控制装置设计用于按照帧来产生发送信号；用发送/接收装置从总线系统的总线串行地接收信号；用标记模块评估，由总线接收的帧是否应当在总线上出现；并且用标记模块这样来标记带有标记的帧，使得发送/接收装置将标记发送到总线，以便将评估的结果通知给总线系统的至少一个其它用户站。

所述方法提供了和之前参考用户站提到的一样的优点。

本发明的另外的可能的实现方案也包括未明确提到的之前或接下来关于实施例所说明的特征或实施方式的组合。在此，本领域技术人员也可以将单个方面作为改进方案或补充方案添加给本发明的相应的基本形式。

附图说明

接下来参考附图并且借助实施例更为详细地说明本发明。

图1是按照第一种实施例的总线系统的简化的方块图；

图2是用于阐明报文的结构的图，报文可以由按照第一种实施例的总线系统的用户站发送；

图3是按照第一种实施例的总线系统的用户站的简化的示意性的方块图；

图4是在按照第一种实施例的用户站中总线信号CAN-XL_H和CAN-XL_L的时间变化曲线；

图5是在按照第一种实施例的用户站中总线信号CAN-XL_H和CAN-XL_L的电压差VDIFF的时间变化曲线；

图6至图9示出了发送信号TxD1至TxD4的一个示例，发送信号在按照第一种实施例的总线系统的四个不同的用户站中在发送帧期间产生；并且

图10示出了在按照第二种实施例的总线系统的第四个用户站的TXD接头处信号TxD4的时间变化曲线，该第四用户站目前作为RX用户站行动并且从总线系统的总线接收按照图6的信号的帧。

在附图中，倘若没有另行说明，为相同的或功能相同的元件配设相同的附图标记。

具体实施方式

图1作为示例示出了总线系统1，该总线系统尤其基本上设计用于CAN总线系统、CAN FD总线系统、CAN XL总线系统和/或它们的改型，如接下来要说明的那样。总线系统1可以使用在车辆、特别是机动车、飞机等中或者使用在医院等中。

在图1中，总线系统1具有多个用户站10、20、30，它们分别连接到带有第一总线芯线41和第二总线芯线42的总线40上。总线芯线41、42也可以称为CAN_H和CAN_L或CAN-XL_H和CAN-XL_L并且用于在耦合主电平或产生隐性电平或用于发送状态下的信号的其它电平之后进行电气的信号传输。通过总线40可以以信号的形式在各个用户站10、20、30之间串行地传输报文45、46。若是如通过图1中的锯齿形的黑色实心箭头所示那样在通信时在总线40上出现了错误，那么可选可以发送错误帧47（Error Flag，即错误标识）。用户站10、20、30例如是机动车的控制器、传感器、显示装置等。

如图1所示，用户站10具有通信控制装置11、发送/接收装置12和标记模块35。用户站10、20、30的发送/接收装置12、22、32分别直接连接到总线40上，即使这在图1中并未示出。

通信控制装置11、21、31分别用于控制相应的用户站10、20、30经由总线40与连接到总线40上的用户站10、20、30中的至少一个其它的用户站的通信。

通信控制装置11、31创建并读取第一报文45，第一报文例如是经修正的CAN报文45。在此，经修正的CAN报文45基于参考图2更为详细说明的CAN XL格式构建，并且在CAN XL格式下使用相应的标记模块15、35。此外，通信控制装置11、31可以设计用于，视需求而定向发送/接收装置32提供或者由这个发送/接收装置接收CAN XL报文45或CAN FD报文46。通信控制装置11、31因此创建并读取第一报文45或第二报文46，其中，第一和第二报文45、46通过它们的数据传输标准加以区分，即在这种情况下是CAN XL或CAN FD。

通信控制装置21可以如按ISO 11898-1:2015的传统的CAN控制器那样设计，这就是说，如CAN FD容错传统CAN控制器或CAN FD控制器那样设计。通信控制装置21创建并读取第二报文46，例如CAN FD报文46。在CAN FD报文46中可以包括数量为0至64的数据字节，数据字节还为此用比在传统CAN报文中明显更快的数据传输率传输。通信控制装置21尤其如传统的CAN FD控制器那样设计。

发送/接收装置22可以如按ISO 11898-1:2015的常规的CAN收发器或CAN FD收发器那样设计。发送/接收装置12、32可以设计用于，视需求而定向相关的通信装置11、31提供或者由这个通信装置接收按CAN XL格式的报文45或按当前的CAN FD格式的报文46。

用两个用户站10、30能形成并且然后传输有CAN XL格式的报文45以及接收这些报文45。

图2针对报文45示出了CAN XL帧450，其由通信控制装置11提供给发送/接收装置12以发送到总线40上。在此，通信控制装置11在当前的实施例中创建了与CAN FD兼容的帧450，这也在图2中示出。同样的说明类似地适用于用户站30的通信控制装置31和/或发送/接收装置32。

按照图2， 用于在总线40上进行CAN通信的CAN XL帧450被划分成不同的通信阶段451、452，即仲裁阶段451和数据阶段452。帧450具有仲裁字段453、控制字段454、数据字段455、用于校验和FCRC和转换序列ADS的校验和字段456以及确认字段457。

在仲裁阶段451中，借助仲裁字段453中的标识符（ID）逐位地在用户站10、20、30之间协定，哪个用户站10、20、30想要以最高的优先级发送报文45、46并且因此在用于发送的下一段时间内为了在紧接着的数据阶段452中发送而获得了对总线系统1的总线40的独占访问。在仲裁阶段451中，使用如在CAN和CAN-FD中那样的物理层。物理层对应公知的OSI模型（开放式系统互连模型）的位传输层或层1。

在阶段451期间的一个重要的点是，使用已知的CSMA/CR方法，其允许了用户站10、20、30同时访问总线40，而不会破坏优先级更高的报文45、46。由此能较为简单地将另外的总线用户站10、20、30添加给总线系统1，这极为有利。

CSMA/CR方法导致，在总线40上必然给出所谓的隐性状态，所述隐性状态可以由总线40上具有显性状态的其它用户站10、20、30改写。在隐性状态中，在各个用户站10、20、30处具有高阻的情况，这结合总线布线的寄生造成了较长的时间常数。这导致了在真实的车辆使用中将当前的CAN-FD物理层的最大的位速率限制到目前的约2兆位/秒。

在数据阶段452中，除了控制字段454的一部分外，也发送来自数据字段455的CAN-XL帧或报文45的有效数据以及针对校验和FCRC的校验和字段456并且此外还发送字段DAS，该字段用于将数据阶段452转换回到仲裁阶段451。

当用户站10作为发送器获得了仲裁并且用户站10作为发送器因此为了发送而具有对总线系统1的总线40的独占访问时，报文45的发送器才开始将数据阶段452的位发送给总线40。

更广泛而言，在带有CAN XL的总线系统中，与CAN或CAN FD相比可以实现下列不同的属性：

a）采用并且必要时适应已证实的属性，所述特性负责CAN和CAN FD的稳健性和用户友好性，

特别是按照CSMA/CR方法的带有标识符和仲裁的帧结构，

b）提升净数据传输率，特别是提高到约10兆位/秒，

c）提升每帧的有效数据的大小，特别是提高到约2千字节或任意其它值。

如图2所示，用户站10在作为第一通信阶段的仲裁阶段451中部分、特别是直至FDF位（包括在内）地使用按照ISO11898-1:2015的由CAN/CAN-FD已知的格式。反之，用户站10从FDF位起在第一通信阶段中以及在第二通信阶段即数据阶段452中使用接下来说明的CANXL格式。

在当前实施例中，CAN XL和CAN FD是兼容的。在此，由CAN FD已知的、接下来也称为XLF位的res位，被用于从CAN FD格式到CAN XL格式的转换。因此从CAN FD和CAN XL直至res位的帧格式是相同的。接收器在res位中才识别到，帧以何种格式被发送。CAN XL用户站，即在此为用户站10、30，也支持CAN FD。

作为图2所示的帧450（在该帧中使用有11位的标识符（Identifier））的备选，CAN扩展帧格式可选也是可能的，此时使用有29位的标识符（Identifier）。这到FDF位为止都与来自ISO11898-1:2015的已知的CAN FD扩展帧格式一致。

按照图2，帧450从SOF位起直至FDF位（包括FDF位在内）均与按ISO11898-1:2015的CAN FD基本帧格式一致。因此已知的结构在此并未作进一步阐释。具有固定值，即0或1的位，用黑色的标线标注。在它们下方的线处在图2中用厚的标线示出的位，在帧450中作为显性的或0´发送。在它们的上方的线处在图2中用厚的标线示出的位，在帧450中作为隐性的或1´发送。在CAN XL数据阶段452中使用对称的1´和0´电平取代隐性的和线性的电平。

通常在产生帧450时使用两个不同的填充规则。直到控制字段454中的XLF位位置，CAN FD的动态的位填充规则适用，因而在5个相同的位之后按顺序插入一个逆填充位。这种填充位也称为动态的填充位。固定的填充规则在控制字段454中的resXL位之后适用，因而在固定数量的位之后可以插入固定的填充位。备选可以取代仅一个填充位地插入数量在2个或2个以上的位作为固定填充位。

在帧450中，直接紧随FDF位之后的是XLF位，其从所述位置起对应在CAN FD基本帧格式中的“res位”，如之前提到的那样。若XLF位作为1、即隐性地发送，那么它将帧450识别为CAN XL帧。针对CAN FD帧，通信控制装置11将XLF位设置为0，即显性的。

在帧450中，在XLF位之后紧随的是resXL位，其是供未来使用的显性位。ResXL针对帧450必须作为0、即显性的发送。但若用户站10接收作为1、即隐性的resXL位，那么正在接收的用户站10例如进入协议异常状态（Protocol Exception State），如在CAN FD中针对res=1来设计报文46那样。resXL位备选可以正好相反地定义，即，其必须作为1、即隐性地发送。在这种情况下，正在接收的用户站在显性的resXL位时进入协议异常状态。

在帧450中，在resXL位之后紧随的是序列ADS（Arbitration Data Switch，即仲裁数据交换），在该序列中，对预先确定的位序列进行编码。这个位序列允许了简单和安全地从仲裁阶段451的位速率（仲裁位速率）转换到数据阶段452的位速率（数据位速率）。ADS序列的位序列还例如由AL1位构成，其被显性地、即作为0发送。AL1位是仲裁阶段451的最后的位。换句话说，AL1位是转换到有短位的数据阶段452中之前的最后的位。在AL1位中，在发送/接收装置12、22、32中转换物理层。AL1位备选可以具有值1，视哪个值（0或1）更好地适用于物理层在发送/接收装置12、32（收发器）中的转换。两个后续的位DH1和DL1已经以数据位速率发送。因此位DH1和DL1在CAN XL中是数据阶段452的时间上很短的位。若AL1位具有值1，那么紧随其后的先是DL1位并且然后是DH1位。

在帧450中，在序列ADS之后紧随的是PT字段，PT字段标注数据字段455的内容。所述内容说明，在数据字段455中包含哪种类型的信息。PT字段例如说明，“因特网协议”（IP）帧，或者隧道以太网帧或其它帧，是否处在数据字段455中。

DLC字段连接到PT字段上，在DLC字段中插入有数据长度代码（DLC = Data LengthCode，即数据长度代码），数据长度代码说明了帧450的数据字段455中的字节的数量。数据长度代码（DLC）可以占据从0至数据字段455的最大长度或数据字段长度的任意值。若最大数据字段长度尤其为2048位，那么数据长度代码（DLC）在假设DLC = 0意味着具有1个字节数的数据字段长度并且DLC = 2047意味着具有2048个字节数的数据字段长度的情况下需要11位。备选可以允许长度为0的数据字段455，如在CAN中那样。在此，DLC = 0例如对0字节数的数据字段长度进行编码。最大的能编码的数据字段长度例如为11位，即（2¹¹）-1 =2047。

在图2的示例中，在帧450中，在DLC字段之后紧随的是头部校验和HCRC。头部校验和HCRC是用于保护帧450的头部（Header）的校验和，即从帧450以SOF位开始至头部校验和HCRC开始的所有相关的位，包括直至头部校验和HCRC开始的所有动态的和可选固定的填充位在内。相关的位仅包括帧头部的位，其具有可以改变的值。换句话说，相关的位不包括在帧450中始终具有固定的值的位。具有无法改变的值的这种位因此是没有保护的，因为这些位具有固定的值。头部校验和HCRC的并且因此校验和多项式的长度按照循环的冗余校验（CRC）可以根据期望的汉明距离进行选择。有待由头部校验和HCRC保护的数据字在11位的数据长度代码（DLC）中大于27位。因此头部校验和HCRC的多项式为了达到6的汉明距离而必须至少为13位长。

在帧450中，在头部校验和HCRC之后紧随的是数据字段455（Data Field）。数据字段455由1至n个数据字节构成，其中，n例如是2048字节或4098字节或任意其它值。备选可以想到为0的数据字段长度。数据字段455的长度如之前说明那样在DLC字段中进行编码。

在帧450中，在数据字段455之后紧随的是帧检验和FCRC。帧检验和FCRC由帧检验和FCRC的位构成。帧检验和FCRC的并且因此CRC多项式的长度可以根据期望的汉明距离进行选择。帧检验和FCRC保护整个帧450。备选的是，可选用帧检验和FCRC仅保护数据字段455。

在帧450中，在帧检验和FCRC之后紧随的是序列DAS（Data Arbitration Switch，即数据仲裁交换），在该序列中对预先确定的位序列进行编码。这个位序列允许了简单和安全地从数据阶段452的数据位速率转换到仲裁阶段451的仲裁位速率。如图2中所示，位序列例如以作为1发送的数据位DH2、DH3和作为0发送的数据位DL2、DL3开始。这是数据阶段452的最后4个位。因此DL3位是最后的短位，这就是说，在转换到有长位的仲裁阶段451之前的最后的位。紧随所述位的是有仲裁阶段451的值1的AH1位。在AH1位内在发送/接收装置12、32（收发器）中转换物理层。AH1位可以备选具有值0，视哪个值（0或1）更好地适用于在发送/接收装置12、32（收发器）中转换物理层而定。仅是帧450的接收器的、即不发送所接收到的帧450的RX用户站10、30，将位序列DH2、DH3、DL2、DL3不仅用于同步化，而且也用作格式校验模式（Format Check Pattern）。RX用户站10、30用这个位序列可以识别，其是否错开地扫描从总线30接收到的位流，例如错开了1个位或2个位等。按照又一其它示例，DAS字段具有三个位，即DH2位、DL2位和AH1位。这些位中，第一和最后的位作为1发送并且中间的位作为0发送。

在上述示例中，在正在接收的用户站中在DH3位和DL2位或DH2位和DL2位之间的边沿处，在从数据阶段452转换到仲裁阶段451之前执行最后的同步。

在帧450中，在序列DAS之后，紧随的是确认字段457，确认字段以RP字段开始。在RP字段中，提供同步模式（Sync Pattern），同步模式允许了正在接收的用户站10、30识别到数据阶段452之后仲裁阶段451的开始。同步模式允许了例如由于醋五的头部校验和HCRC而不知道数据字段455的正确长度的正在接收的用户站10、30同步。这些用户站紧接着发送“否定应答”，以便通知错误的接收。当CAN XL在数据字段455中不允许错误帧47（Error Flag）时，这尤其极为重要。

在确认字段中（ACK Field）457中，在RP字段之后紧随的是多个用于确认或不确认帧450的正确接收的位。在图2的示例中设有ACK位、ACK-dlm位、NACK位和NACK-dlm位。当正在接收的用户站10、30正确地接收了帧450时，它们将ACK位发送为显性的。正在发送的用户站将ACK位发送为隐性的。因此最初在帧450中发送到总线40上的位可以被正在接收的用户站10、30覆盖。ACK-dlm位被作为隐性位发送，其用于与其它字段分离。NACK位和NACK-dlm位用于，使正在接收的用户站可以在总线40上用信号通知没有正确接收帧450。NACK-dlm位的功能和ACK-dlm位一样。NACK位如下文所说明的那样用于标记帧450。

在帧450中，在确认字段（ACK Field）457之后，紧随的是结束字段（EOF = End ofFrame，即帧的结束）。结束字段（EOF）的位序列用于，标注帧450的结束。结束字段（EOF）负责在帧450结束时发送8个隐性位。这是不可能在帧450内出现的位序列。因此可以由用户站10、20、30安全地识别到帧450的结束。

结束字段（EOF）具有取决于在NACK位中是看到显性位还是隐性位而不同的长度。当正在发送的用户站已经接收到作为显性的NACK位时，那么结束字段（EOF）具有7个隐性位。否则的话，结束字段（EOF）仅为5个显性位长。

在帧450中，在结束字段（EOF）之后，紧随的是中间帧间距458（INT- IntermissionField），其在图2中并未示出，而是在图9和图10中示出。这个中间帧间距458（INT）如在对应ISO11898-1:2015的CAN FD中那样设计。

图3示出了用户站10的基本结构，该用户站带有通信控制装置11、发送/接收装置12、是通信控制装置11的一部分的标记模块15。用户站30以如图3所示那样类似的方式构建，但标记模块35则根据图1与通信控制装置31和发送/接收装置32分开布置。因此没有单独说明用户站30。

根据图3，用户站10除了通信控制装置11和发送/接收装置12外还具有：微控制器13，通信控制装置11配属于该微控制器；和系统ASIC 16（ASIC = 专用集成电路），其备选可以是系统基础芯片（SBC），在该系统基础芯片上集中了多个用户站10的电子组件所需的功能。在系统ASIC 16中，除了发送/接收装置12外还安装了供能装置17，该供能装置向发送/接收装置12供应电能。供能装置17通常提供5 V的电压CAN_Supply。但供能装置17可以视需求而定提供有其它值的其它电压。供能装置17附加或备选地可以设计成电源。

标记模块15具有评估块151和插入块152，它们在接下来还将更为准确地说明。

此外，发送/接收装置12具有发送模块121和接收模块122。即使接下来始终指的是发送/接收装置12，备选也可以将接收模块122设置在发送模块121外的单独的装置中。发送模块121和接收模块122可以如在传统的发送/接收装置12中那样构建。发送模块121可以尤其具有至少一个运算放大器和/或晶体管。接收模块122可以尤其具有至少一个运算放大器和/或晶体管。

发送/接收装置连接到总线40上，更准确地说连接到了总线的用于CAN_H或CAN-XL_H的第一总线芯线41上和总线的用于CAN_L或CAN-XL_L的第二总线芯线42上。通过至少一个接头43完成了对用于用电能、特别是用电压CAN-Supply供应第一和第二总线芯线41、42的供能装置17的电压供应。与地线或CAN_GND的连接通过接头44实现。第一和第二总线芯线41、42用终端电阻49端接。

第一和第二总线芯线41、42在发送/接收装置12中不仅与也称为发射机的发送模块121连接，而且也与也称为接收器的接收模块122连接，即使所述连接在图3中为简化起见并未示出。

在总线系统1运行中，发送模块121将通信控制装置11的发送信号TXD或TxD转换成用于总线芯线41、42的相应的信号CAN-XL_H和CAN-XL_L并且将这些信号在用于CAN _H和CAN _L的接头处发送给总线40。图4示出了针对信号CAN-XL_H和CAN-XL_L的示例。在总线40上构成了信号差VDIFF = CAN-XL_H - CAN-XL_L，这在图5中示出。

图3的接收模块122由根据图4被总线40接收的信号CAN-XL_H和CAN-XL_L或根据图5的信号差VDIFF形成了接收信号RXD或RxD。如图3所示，接收模块122将接收信号RXD或RxD转达给通信控制装置11。

除了空转状态或准备状态（空闲或休眠）外，带有接收模块122的发送/接收装置12在正常运行中总是停止总线40上数据或报文45、46的传输，更确切地说，与发送/接收模块12是否是报文45的发送器无关。

按照图4的示例，信号CAN-XL_H和CAN-XL_L至少在仲裁阶段451中具有显性的和隐性的总线电平401、402，如由CAN已知的那样。带有位时间t_bt的信号VDIFF的各个位可以用仲裁阶段451中接收阈值T_a例如为0.7 V的接收模块122识别，如图5中所示那样。在数据阶段452中，信号CAN-XL_H和CAN-XL_L的位比在仲裁阶段451中更快地，即用更短的位时间t_bt发送。因此信号CAN-XL_H和CAN-XL_L在数据阶段452中至少在它们的更快的位速率上不同于传统的信号CAN_H和CAN_L。此外，若信号CAN-XL_H和CAN-XL_L在数据阶段452中用其它物理层产生，那么在接收模块122中也将接收阈值例如转换到数据阶段452中的约0.0 V的接收阈值。

图4中针对信号CAN-XL_H、CAN-XL_L的状态401、402的顺序和图5的由此产生的电压VDIFF的变化曲线仅用于阐明用户站10的功能。针对总线状态401、402的数据状态的顺序能视需求而定进行选择。

换句话说，图3的发送模块121在根据图4的第一运行方式中产生了第一数据状态作为有针对总线线路的两个总线芯线41、42的不同的总线电平的总线状态402并且产生了第二数据状态作为有针对总线40的总线线路的两个总线芯线41、42的同一电平的总线状态401。此外，图3的发送模块121针对在包括数据阶段452的第二运行方式中的信号CAN-XL_H、CAN-XL_L的时间变化曲线将有更高位速率的位发送给总线40。如提到的那样，信号CAN-XL_H、CAN-XL_L在数据阶段452中还可以用不同于在CAN FD中的物理层产生。位速率在数据阶段452中与在CAN FD中相比由此还能进一步提高。

图3的标记模块15、特别是该标记模块的评估块151，用于评估是否应当标记当前所接收的帧450。为此，评估块151具有接收过滤器1511，用其能过滤出预先确定的帧450。

为此，接收过滤器1511具有过滤器标准151B，用所述过滤器标准能确定，帧450是否具有不应在总线40上出现的属性。过滤器标准151B借助代表了总线系统1的安全风险的特征创建。过滤器标准151B尤其作为名单加以储存，因而评估块151实施与所述名单的比较。这种名单可以称为针对安全特征的黑名单（Security Feature Black-List）。名单尤其可以具有标识符ID，为此不允许发送具有预先确定的内容的预先确定的帧450。例如，具有特殊的标识符的传感器不应发送通常由控制器或其它传感器或发送器或驱动器预期的帧450。在此可以想到任意的变型方案并且能储存在名单中或过滤器标准151B中。用户站10的黑名单（Black List）例如包含所有仅应独占地由用户站10发送的标识符ID。这意味着，当用户站10从总线40接收报文或帧450并且带有过滤器标准151B的接收过滤器1511找到这种在总线40上不应出现的属性（Treffer，击中）时，那么这涉及到总线40上未经允许地发送的报文或帧450。

此外，接收过滤器1511具有过滤器标准151W，用该过滤器标准能确定，帧450是否令用户站10感兴趣。所述名单因此对应所谓的接受过滤器。过滤器标准151W尤其作为名单储存。这种名单可以称为白名单。

用户站10特别是在用户站10不是当前在总线40上发送的帧450的发送器的情况下使用接收过滤器1511，即作为RX用户站行动。

若用户站10作为带有评估模块151、更准确地说其接收过滤器1511的RX用户站在使用过滤器标准151B的情况下识别到，刚还在总线40上传输的帧450，不应在那里出现，那么评估块15就将这一点用信号通知插入块152。评估块15在此尤其指示插入块152，在总线40上用标记48标记帧450。换句话说，在所述情况下，RX用户站（接收节点）可以指示其通信控制装置11、特别是CAN XL协议控制器，在总线40上用标记48标记帧450。

为此，通信控制装置11、特别是CAN XL协议控制器，在帧450在NACK字段中发送N个显性位。显性位覆盖位NACK。N在理想情况下是2，因为NACK位为1位长，倘若其被发送的话。插入块152备选可以设计成，区分多个不同的标记48，特别是带有N = 2位的标记48、带有N= 3位的标记48和可选额外还有带有N = 4位的标记48。当然也可以想到其它示例。若插入块152可以区分不同的标记48，那么不同的标记48具有不同的意义。不同的标记48分别覆盖其它标记。原因是，标记48的位的数量和因此标记48的长度是不同的。倘若在总线系统1中不需要NACK位，那么备选可以发生具有N = 1位长度的标记48。

在标记带有插入块152的所接收的帧450之后，总线40处的所有其它的用户站20、30看到，至少一个用户站认为，这个帧450在总线40上是“奇怪的”，换句话说，不符合预先确定的模式并且必要时代表了或者可以代表安全风险。总线40处的用户站10、30中的每个用户站可以特别地处理这个经标记的帧450。

用户站10、30中的其中一个用户站、特别是其通信控制装置11、31（协议控制器）可以例如这样设计，即，丢弃经标记的帧450，尽管它被无错误地接收。

用户站10、30中的其中一个用户站、特别是其通信控制装置11、31（协议控制器）备选可以设计用于，转入紧急运行模式，因为这种事件，即用标记48标记的帧450，永远不应出现。但若出现了这样的事件，即用标记48标记的帧450，那么恶意软件最为可能在总线40处的用户站10、30的控制器中的其中一个控制器上。这种恶意软件试图以如下方式操控上级的技术设备、特别是车辆的行为，即，恶意软件发送原本应当仅由总线40处的其它用户站10、20、30发送的帧450。在出现了控制器的错误配置时，备选可能出现这种事件，即经标记的帧450。在这种情况下，这可能导致相同的效果，即经标记的帧450。

因此带有插入块152的所接收的帧450的标记48也有助于探测错误配置。

图6至图9示出了发送信号TxD的示例，发送信号在总线系统1的四个不同的用户站10中在发送帧450期间和之后在各个用户站10、10、30、30的接头TXD处出现。这就是说，接下来以此为出发点，即，总线系统1具有至少四个相同地构建的用户站10。当然，用户站10中的至少一个用户站备选也可以如用户站30那样构建。

图6示出了在总线系统1的第一用户站10的TXD接头处发送信号TxD1的时间变化曲线，该第一用户站在当前将帧450发送给总线40并且因此作为TX用户站行动。

图7示出了在总线系统1的第二用户站10的TXD接头处发送信号TxD2的时间变化曲线，该第二用户站在当前作为TX用户站行动并且根据图6的信号从总线40接收帧450。

图8示出了在总线系统1的第三用户站10的TXD接头处发送信号TxD3的时间变化曲线，该第三用户站在当前作为TX用户站行动并且根据图6的信号从总线40接收帧450。

图9示出了在总线系统1的第四用户站10的TXD接头处发送信号TxD4的时间变化曲线，该第四用户站在当前作为TX用户站行动并且根据图6的信号从总线系统的总线接收帧。

因此第一用户站10用按图6的发送信号TxD1将帧450发送给总线40。帧450被其它用户站10接收。在仲裁阶段451中用具有第一位持续时间t_b1的位发送帧450。在数据阶段452中用就有第二位持续时间t_b2的位发送帧450。第二位持续时间t_b2短于第一位持续时间t_b1，如之前所说明的那样。

第二用户站10正确地接收了帧450并且用ACK确认了这一点，如在图7中在发送信号TxD2中示出的那样。

反之，第三用户站10没有正确地接收帧450。因此第三用户站用NACK确认了帧450的接收，如在图8中在发送信号TxD3中示出的那样。NACK作为反位插入到帧450中。换句话说，NACK作为在发送信号TxD1中发送的位的值的反值插入。

此外，第四用户站10将帧450分级成“奇怪的”帧450。因此第四用户站10用其标记模块15用标记48来标记帧450，如之前参考图3至图5所说明的那样。为此，用户站10发送一个带有在位NACK和NCK dlm中的标记48的发送信号TxD4，如图9中所示那样。标记48在图9的示例中具有两个显性位。因此N = 2。此外，在NACK和NCK dlm中的标记48被作为反位插入到帧450中。换句话说，标记48作为在发送信号TxD1中发送的位NACK和NCK dlm的值的反值插入。

由于所有用户站10在其接收信号RxD中接收到的和因此看到的标记48，三个RX用户站10，即第二至第四用户站10，按照之前所述的可能性中的其中一种可能性对帧450作出反应。分别所选择的对标记48、更准确地说帧450作出反应的可能性，可以从车间起就被固定地设定或者事先在配置相应的用户站10时设定。

按照第一种实施例，标记模块15、特别是插入块152，设计用于，用N位覆盖作为标记48的位NACK，以便执行帧450的标记48。在此，N是大于或等于1的自然数。

按照第一种实施例的修正方案，标记模块15、特别是插入块152，设计用于，在叠加时也执行一种仲裁。为此，用户站10进行如下操作。

已经如图8中所示那样发送NACK的用户站10，检查其NACK是否被覆盖。若NACK被覆盖，那么用户站10就紧接着标记48地再次发送其NACK。

因此可以在总线系统1中根据第一种实施例和其之前所说明的变型方案和修正方案可靠地识别并通知其它用户站，何时在总线系统1中发送了一个“奇怪的”帧450。由此可以在高数据传输率下相比现有技术提高总线系统1的运行的数据安全性。由此也可以相比现有技术提高了上级的技术设备、特别是车辆或工业设备或其它技术设备的运行的安全性。

图10示出了根据第二种实施例对“奇怪的”帧450的一种标记480。用户站10、30中的至少一个用户站可以设计用于，作为根据之前的实施例的标记48的备选或除了根据之前的实施例的标记48外，还实行标记480。接下来为简化起见仅参考用户站10，即使随后的说明也可以类似地使用在用户站30中。

与第一种实施例不同的是，标记模块15、特别是插入模块152，设计用于，在帧450之后插入标记480。因此标记480没有在帧450中发送。因此NACK位和NACK-dlm位可以是可选的位。若存在NACK位和NACK-dlm位，那么位NACK、NACK-dlm的功能在当前的实施例中和ACK位和ACK-dlm位的功能相同。

在当前的实施例中，标记480在中间帧间距458（INT）中开始。中间帧间距458（INT）在CAN中具有最少3位。

标记模块15因此设计用于，特别是直接在帧450之后插入标记480。在图10的示例中，标记480从中间帧间距458（INT）的位2起被插入。因此用户站10、30中的每个用户站、特别是它们的通信控制装置11、31、更准确地说它们的协议控制器，被这样设计，即使在接收帧450结束之后，也还要在中间帧间距458（INT）搜索是否存在标记480。用户站10、20、30、特别是它们的通信控制装置11、31、更准确地说它们的协议控制器，由此可以确认，之前所接收的帧450是否被用户站10、30中的任意的用户站分级为“奇怪的”帧450。

在图10的示例中，插入块152在中间帧间距458（间歇字段）中将具有长度M= 8位的标记480（Overload-Flag，即过载标志）插入到发送信号TxD4中。因为两个标记480（过载标志）无法重叠到这个长度M=8位，所以这种标记480是一种用于无破坏地标记“奇怪的”帧450的变型方案。任意其它的长度M也是可能的，其无法通过标记480的叠加产生。正常的过载标志的长度为6位。

此外，模块15、35以相同的方式构建，如之前针对第一种实施例或其修正方案所说明那样。

用户站10、20、30、总线系统1和在总线系统1中实施的方法的所有之前所说明的设计方案，可以单独使用或以所有可能的组合使用。之前所说明的实施例的特征和/或它们的修正方案的所有特征尤其可以任意组合。尤其可以附加或备选地想到下列修正方案。

可能的是，用户站10、30中的至少一个用户站、特别是它们的通信控制装置11、31、更准确地说它们的协议控制器，仅可以识别针对帧的标记48或标记480。以这种方式可以区分标记48、480的意义。此外，用户站10、20、30中的该至少一个用户站、特别是它们的通信控制装置11、21、31、更准确地说它们的协议控制器，对标记48、480的反应有较少的区分可能性。

可能的是，用户站10、20、30中的至少一个用户站、特别是它们的通信控制装置11、21、31、更准确地说它们的协议控制器，仅可以区分标记48或标记480的意义的一部分。用户站10、20、30中的该至少一个用户站、特别是它们的通信控制装置11、21、31、更准确地说它们的协议控制器，因此对标记48、480的反应有较少的区分可能性。

此外还可以想到，从总线40接收由它们发送给总线40的帧450的TX用户站，在TX用户站在取代预期的帧450（对应所发送的帧450）接收到的帧450中识别到奇怪的帧时，将标记48或480插入到帧450中。当恶意软件插入被TX用户站分级为“奇怪的”标记48、480时，尤其是这样的情况。即使相关的用户站10、30是RX用户站并且因此在正在进行的数据阶段452中仅是帧的接收器，这种恶意软件可以例如不仅在NACK位中，而且在帧450本身的其它部位处向总线40发送一些东西并且因此歪曲由TX用户站发送到总线40的帧450。TX用户站可以识别这一点并且因此已经为帧450配设至少一个对应的标记48、480。此外，或者作为备选，恶意软件甚至可以在TX用户站上都是活跃的并且发送歪曲的报文。理想状况下无法由恶意软件操纵的标记模块15，在需要时或者在这种情况下插入至少一个标记48、480。

即使本发明之前以CAN总线系统为例进行说明，但本发明可以使用在使用两个不同的通信阶段的任意一种通信网络和/或通信方法中，在所述通信阶段中，针对不同的通信阶段所产生的总线状态不同。本发明尤其可以使用在其它串行通信网络的研发中，如以太网和/或10 Base-T1 S以太网、现场总线系统等。

总线系统1按照所述实施例尤其可以是一种通信网络，在该通信网络中，数据能串行地用两种不同的位速率传输。有利的，但并非强制性前提的是，在总线系统1中，至少针对特定的时间段确保用户站10、20、30对共同的通道的独占的、无冲突的访问。

在实施例的总线系统1中的用户站10、20、30的数量和布置都是任意的。尤其可以取消总线系统1中的用户站20。可能的是，在总线系统1中存在用户站10或30中的一个或多个。可以想到的是，在总线系统1中的所有的用户站都设计成相同的，即仅存在用户站10或仅存在用户站30。

Claims (15)

1.用于串行总线系统（1）的用户站（10；20；30），带有

用于控制用户站（10；20；30）与总线系统（1）的至少一个其它用户站（10；20；30）的通信并且用于根据帧（450）产生发送信号（TxD；TxD1；TxD2；TxD3；TxD4）的通信控制装置（11；21；31），

发送/接收装置（12；22；32），其设计用于将由通信控制装置（11；21；31）产生的发送信号（TxD；TxD1；TxD2；TxD3；TxD4）串行地发送给总线系统（1）的总线（40），并且其设计用于从总线（40）串行地接收信号，和

标记模块（15；35），其用于评估由总线（40）接收的帧（450）是否应当在总线（40）上出现并且用于用标记（48；480）这样来标记帧（450），使得发送/接收装置（12；32）将标记（48；480）发送到总线（40），以便将评估的结果通知给总线系统（1）的至少一个其它的用户站（10；30）。

2.按照权利要求1所述的用户站（10；20；30），其中，所述标记模块（15；25；35）设计用于标记不应在所述总线（40）上出现的帧（450）。

3.按照权利要求1或2所述的用户站（10；20；30），其中，所述标记模块（15；25；35）设计用于，通过与名单的比较来评估，是否必须在所述总线（40）上标记由所述总线（40）接收的帧（450）。

4.按照前述权利要求中任一项所述的用户站（10；20；30），其中，所述标记模块（15；25；35）设计用于，将所述标记（48）插入到所述帧（450）中，而不会破坏所述帧（450）。

5.按照前述权利要求中任一项所述的用户站（10；30），其中，所述标记模块（15；35）设计用于，在数据字段（455）后将所述标记（48）插入到所述帧（450）中，在数据字段中插入所述帧（450）的有效数据。

6.按照前述权利要求中任一项所述的用户站（10；20；30），其中，所述标记模块（15；25；35）设计用于，将所述标记（48）作为带有时间长度为N位的标记插入到所述帧（450）中，

其中，N是大于或等于1的自然数。

7.按照权利要求6所述的用户站（10；20；30），其中，所述标记模块（15；25；35）设计用于，根据所述标记（48）具有何种意义来选择所述标记（48）的长度。

8.按照前述权利要求中任一项所述的用户站（10；20；30），其中，所述标记模块（15；25；35）设计用于，将所述标记（48）作为反位在为所述总线系统（1）的用户站（10；20；30）所设的位置（NACK）处插入到所述帧（450）中，表明没有正确接收所述帧（450），并且

其中，所述标记模块（15；25；35）设计用于，在所述帧（450）中插入比在所述帧（450）中为显示所述帧（450）没有正确接收所设的时间长度在时间上更长的标记（48）。

9.按照权利要求1至3中任一项所述的用户站（10；20；30），其中，所述标记模块（15；25；35）设计用于，在所述帧（450）后插入所述标记（480），而不会破坏所述帧（450）。

10.按照权利要求9所述的用户站（10； 30），其中，所述标记模块（15；25；35）设计用于，在从中间帧间距（458）的第二位开始的帧（450）之后插入所述标记（480）。

11.按照权利要求9或10所述的用户站（10； 30），其中，所述标记（480）具有比可以在所述中间帧间距（458）中发送的过载标志的最大长度更大的长度。

12.按照前述权利要求中任一项所述的用户站（10；20；30），其中，这样来设计用于将由所述通信控制装置（11；21；31）产生的发送信号（TxD；TxD1；TxD2；TxD3；TxD4）串行地发送到所述总线系统（1）的总线（40）上的发送/接收装置（12；22；32），使得对所述帧（450），在第一通信阶段（451）中发送到所述总线（40）上的信号的位时间（t_bt1）可以不同于在第二通信阶段（452）中发送的信号的位时间（t_bt2）。

13.按照前述权利要求中任一项所述的用户站（10；20；30），

其中，所述帧（450）构建成与CAN FD兼容，并且

其中，在第一通信阶段（451）中协定，所述总线系统（1）的用户站（10、20、30）中的哪个用户站在随后的第二通信阶段（452）中获得了对所述总线（40）的至少暂时独占性的、无冲突的访问。

14.总线系统（1），带有

总线（40），和

至少两个用户站（10；20；30），用户站通过总线（40）这样相互连接，使得它们能串行地相互通信并且用户站中的至少一个用户站（10；30）是按照前述权利要求中任一项所述的用户站（10；20；30）。

15.用于在串行总线系统（1）中通信的方法，其中，所述方法用总线系统（1）的用户站（10；20；30）实施，用户站具有通信控制装置（11；21；31）、发送/接收装置（12；22；32）和标记模块（15；35），其中，所述方法具有步骤：

用通信控制装置（11；21；31）控制用户站（10；20；30）与总线系统（1）的至少一个其它的用户站（10；20；30）的通信，其中，通信控制装置（11；21；31）设计用于根据帧（450）产生发送信号（TxD；TxD1；TxD2；TxD3；TxD4），

用发送/接收装置（12；22；32）将由通信控制装置（11；21；31）产生的发送信号（TXD）串行地发送到总线系统（1）的总线（40），

用发送/接收装置（12；22；32）从总线系统（1）的总线（40）串行地接收信号，

用标记模块（15；35）评估，从总线（40）接收的帧（450）是否应当在总线（40）上出现，并且

用标记模块（15；35）对带有标记（48；480）的帧（450）进行标记，使得发送/接收装置（12；32）将标记（48；480）发送到总线（40）上，以便将评估的结果通知总线系统（1）的至少一个其它的用户站（10；30）。

Images