CN1708956B - 智能网络接口控制器 - Google Patents

Abstract

本发明描述了用于安全数据传输的一种网络接口，其中该网络接口具有功能的被封装的单元，该单元包括用于维持网络接口最小功能性必需的组成部分，其中从被封装的单元外部只有通过特定的许的服务的访问才是可能的。

Description

智能网络接口控制器

技术领域

本发明涉及一种网络接口以及网络和一种建立用于被保护数据传输的网络的方法。

背景技术

对于很不相同的应用情况有多种不同的网络类型。相应地，对可靠性和传输安全性的要求也各不相同。这样，例如为了传输E-mail，对网络的要求可以相对少一些。与此相反，对用于传输与安全性相关的数据的、例如在汽车中使用的网络则有最高的要求。

为了保证高的传输安全性，不但网络的硬件，而且其软件都必须相应地设计。

以下的说明主要涉及ISO的OSI参考模型(基本参考模型“开放系统互连”)。其中通信结构细分为七层(Layer)。

相应于这些层，已知不同的措施用于保证确定的传输安全性。在下面的说明中，也将在层的层次意义中涉及层的概念。

在Infineon Technologies AG，Muenchen的2002年4月30日的技术说明表TLE6254-2G中描述了“Fault Tolerant DifferentialCAN-Transceiver”。该收发器识别用于信号传输的导线的不同错误状态，并且如果可能，这样触发未被干扰的导线，使得通过这些导线还可以传输信号。

在技术说明表的图6中说明了这种模块的一个应用。其中CAN收发器借助一个微处理器以集成的CAN模块触发。这种装置现在的优点在于，在导线系统干扰的情况下，在许多情况下还可能进行信号传输。然而这里没有设置对微处理器的软件中的错误的保护。若例如微处理器通过应用服务(Applikationsdienst)的执行被这样地请求或过载，使得其对总线信号不再能反应，则通过总线也不再可能进行通信。

更严重得多的是错误的影响，其中将干扰整个总线系统的传输。例如当在错误情况下在总线上输出连续的、不相应于标准的数据流时，就可能是这种情况。这种数据流例如可能通过控制CAN收发器的微处理器的错误响应而产生。若总线被这种数据流阻塞，则其它的用户也不再能互相通信。若微处理器的过载的第一个所描述的错误情况只是影响包括该微处理器的用户，则如在第二种情况中所描述的那样，一个错误可能阻塞整个总线系统，并且导致系统的重要功能的出错。如例如在汽车中发生的那样，这种状态正是在对安全性要求严格的应用中不可接受的。

为了将这种错误限制到一个可以接受的程度，必须进行对微处理器的整个软件的详细测试。在该测试中，不仅是对与通过总线的通信相关的功能，而是对所有的功能都必须测试。这是必要的，因为原则上在微处理器中的每个代码都访问总线的硬件功能或者至少通过微处理器的过载可能导致总线运作的故障。由此，特别在带有许多不同节点的复杂网络中产生一个几乎不再能解决的任务，因为在测试中必须考虑所有节点的所有可能情况。这在实践中导致，测试基于简化的假设进行。然而测试费用依然昂贵而结果不令人满意。

在Infineon Technologies AG，Muenchen 2001年7月的技术说明表“C167CR，C167SR 16-Bit Single-Chip Microcontroller”中描述了例如一种带有集成的CAN接口的典型的微控制器。它具有一个内部的CAN模块，其可以独立地发送或接收数据。如从该技术说明表的表7中可以看出的那样，该CAN模块被直接映射到微控制器的线性地址空间。因此，代码的任意部分可以有意或无意地访问它。例如在间接寻址中的计算错误特别重要。因为这里CAN模块位于线性地址空间中，所以这种寻址错误可能导致对整个总线的干扰。若例如总线时钟被无意地改变了，则以错误的时钟频率提供数据可能导致整个总线系统的通信瘫痪。

可能的干扰的另外一种情况是，当例如由于在一个应用中或一个使用者的错误而引起一个用户连同网络接口的复位。这里用户脱离了网络连接并且必须重新同步进入。正是在具有环形结构的网络情况下，这可能导致在启动过程直到新的同步这段时间中传输的中断。因为这种过程通常可能延续好几秒至好几分钟，所以整个网络的这种中断，如例如在汽车中设置的那样，是不可接受的。若由于用户的错误而这种启动过程不再可能，则这可能导致网络的长时间的阻碍或导致其完全的中断。

这里在CAN总线的例子中描述的问题自然在其它已知的总线中也存在。National Semiconductor Corporation 2001年2月的技术说明表“DP83820 10/100/1000MB/s PCI Ethernet Network InterfaceController”示出了一个对以太网的例子。其中描述了一种网络接口控制器，它借助一个集成的PCI总线接口直接映射到微处理器的线性地址空间中。

在文献US 6,457,056 B1中描述了一种网络接口控制器，微处理器可以直接通过系统总线访问该接口控制器。这样也产生同样的问题，如在前面描述的CAN接口的情况中一样。

为了从根本上改善计算机系统的可靠性，确定的操作系统对于操作系统内核的重要部分有所谓的“保护模式”。因为在这种解决方法中包括了对于计算机系统的整个硬件的驱动程序，所以这种操作系统内核大并且因此也是容易出错的。若在内核的内部、例如通过错误的软件或在任意的硬件组件中的错误而出错，则这可以导致网络接口不再被控制。这又可能导致前面描述的通过网络连接的整个系统的干扰。此外，在这些操作系统中还在各部分之间进行了划分，哪些在保护模式中运行，剩余的主要在简单的编程接口的方式下运行，并且更少的在安全方式下运行。这样，例如为了传统的PC网络连接，只有硬件的驱动程序被设置在保护模式中，而其它重要的功能性，例如TCP-IP栈在操作系统中以传统的方式实现。

发明内容

本发明的任务在于，这样构建一个网络或所属的网络接口，使得以最小的测试花费实现整个总线系统的高的传输安全性和抗干扰性。

在独立的权利要求中给出了根据本发明对这个任务的解决方法。本发明的进一步实施例是从属权利要求的主要内容。

一种根据本发明的网络接口包括功能地被封装的单元，它包括为了备份网络接口的最小功能必须的部分。其中从被封装的单元外部对接口的访问只有通过特别允许的服务才可能。通过其它的服务或直接对网络接口的硬件的访问是不可能的。

通过访问的这种限制，以根据本发明的网络接口构造的总线系统的稳定性仅仅由网络接口的被封装的部件决定。因此现在可能在封装内部开发和测试硬件或软件。测试的复杂性比技术现状中小得多，因为上级层的影响，例如应用的影响不再必须或只是必须有条件地被考虑。它们通过封装不再可以直接访问下级层，并因此不再对网络的通信造成负面影响。这样，根据本发明，在相应于上面在技术现状中所示例子的应用中，用于控制网络数据率的寄存器一定位于被封装的区域内，因为通过对该寄存器的直接访问将危害整个网络的功能。

此外，被封装的单元本身可以独立地工作，并且因此可以无需与相连的设备交互而维持必要的网络功能。

封装可以例如通过合适的硬件进行。对此的一个例子是集成的网络接口控制器，它包括第一层(物理层)的部件和第二层(数据链路层)的部件，其中从外部通过外部的微控制器只可以访问第二层的服务实体(Instanz)。这里当然也可以是任意其它层直到第七层替代第二层。

同样的，封装例如可以在微控制器内部通过一种“保护模式”进行，在该微控制器中，网络接口控制器被映射到线性地址空间中。这种根据本发明的保护模式不应与由技术现状公开的、通常包括操作系统的大部分特别是整个硬件驱动程序的保护模式混淆。根据本发明的保护模式只涉及网络，它优选地不包括其它部件，特别是其它的硬件驱动程序。这里，只有在保护模式中对网络接口控制器的访问是可能的。此外，在封装内部的各层的实体在该保护模式中被执行。从代码的其他部分不可能访问网络接口控制器。这里，封装的概念也包括准备用于网络接口实时操作的资源。这意味着，相应的中断在这种保护模式中也可以执行，或者提供相应的时间延迟以实施保护模式。

基本上，在封装内部进行重要的、实时性要求高的工作，例如接收数据、检验数据的正确性、握手或在错误情况中请求重复。通过保障实时能力，能够实现高得多的数据通过量。这样，例如一个集成了所有这些功能的集成的网络接口控制器可以通过一个高速接口将完全正确接收的、更大的数据包递交给与其相连的主机控制器或进行发送。

封装本身可以具有一个与各个请求匹配的形式。这样，硬件和软件的那些为了保持网络接口的功能性必须的组成部分被按照目的地包括在封装内部。这例如可以意味着，整个硬件(OSI第一层)，第二、三、四层的部分，可能直到第七层的部分都被包括。而这些层的其它部分也可以相应于应用情况位于封装的外部。

在本发明的一个特别有利的实施例中，这里的封装从一个下方的OSI层M一直到上方的OSI层N的一个子集，其中N≥M。其中下方的层M是用于数据传输所需要的层的最下面一层。

上方的层M可以与N相同，不过优选地在其上方。这样，封装至少包括一层，可是优选地包括多层。从被封装的单元外部，访问只可能通过最上层N的服务实体进行。

在一个本发明其它的优选的实施例中，对于设置了第一层(物理层)的情况，封装从该层M＝1开始直到一个上级层N≥2的预给定的子集。第一层和第二层以及可选的其它层的组合特别有意义，因为只有在这些层的连接中才可能有足够安全的数据传输。

本发明的一种其它实施例涉及同步流的传输。这些流例如用于在不同用户之间实时传输多媒体数据。这些同步流的管理是实时性要求很高的，并且要求网络通信的特别处理。正是至少在逻辑环状网络中，对每个网络节点提出了最高的要求，因为带有应用的网络节点(其对将要传输的数据量或实时能力提出相对少的要求)也必须传输和正确路由这些流。这里为了特别防止不希望的干扰，它们被包括在封装的单元中。

本发明的一种其它的实施例在于，附加的监视和控制功能被设置在被封装的单元内部。通过这些功能，一方面能够接口监视上级层的接口，以避免通过错误的调用或错误的参数产生的干扰。另外，借助这些监视和控制功能可以进行对被封装单元实体的控制。这样，例如对物理网络连接的监视是可能的。附加地，对上层实体的功能的控制也是可能的。这样，例如可以确定在上层实体中功能的错误，并且作为结果，激活一种用于网络功能应急状态的运行方式。

对在上级实体中的功能的监视可以例如通过“看门狗(Watchdog)计时器”进行。在正常运行中，该计时器通过上级实体有规律的活动或调用被触发。若该计时器由于在上级实体中的功能的出错而不再获得触发信号，则在一个预给定的时间间隔后它启动网络功能的应急状态。若较高实体的功能又可用了，则它们重新触发看门狗计时器，其对应地解除应急状态。

在本发明的一种其它的实施例中，附加的监视和控制功能被构建用于保证预给定的基本功能性。即使与被封装的单元相连的或通信的硬件和软件部件不工作或不正常工作，这种基本功能性也允许与网络接口的通信。这样，例如借助这种基本功能性可以进行网络接口或与其相连的装置的功能诊断。据此，同样可以进行例如总线系统的有目的的启动或关断(Hoch-oder Herunterfahren)。

在本发明的一种其它的实施例中，对于在带有至少一个逻辑环状结构的网络中的应用，优选地设置有一个功能用于在被封装的单元内部进行数据包转发。这样，在有缺陷的、过载的或具有其它错误功能的微控制器的情况中也可能进行数据包的转发。网络的功能性不会被在单个节点中的干扰影响，因为它们一直能够将接收的数据包在环中转发。

本发明的另一种实施例在被封装的单元内部设置了一种功能，借助它，在被封装的单元内部的组件或功能的复位成为可能。复位的触发借助命令进行，该命令通过网络传输。通过这种方式，网络的组件可以重新被置为确定的初始状态。

在本发明的另一种实施例中，被封装的单元具有附加的单元用于将复位信号发送给外部组件。发送信号可以有选择性地通过硬件，例如借助信号线路，或也可以通过软件，例如通过特征位、消息等等进行。基本上，在复位中也可以设置不同的等级。这样，例如所连接的装置的一个确定部分的复位可以借助软件发送信号，而在严重的干扰情况下通过硬件线路发送信号完全复位。这里的复位也可以例如借助通过网络传输的命令触发。

在本发明的另一种实施例中设置了附加的监视设备，用于有选择地监视被封装单元的、网络通信的功能或监视单个节点的功能。这种监视设备有利地设置在一个节点的被封装单元中，不过也可以存在于多个节点中。若单个节点的数据通信或状态出错，则由附加的监视设备有选择地发出(absetzen)命令，以将单个节点、与其相连的装置或与网络相连的整个系统复位。对应于被识别出的错误或被识别出的错误功能，被封装的单元也自己复位。错误报告或动作的报告被有选择地放置在存储器中或被传输给网络的一个或多个预给定的节点。监视可以通过合适的软件或也可以通过看门狗计时器进行。

本发明的另一种实施例设置了用于监视在封装外部的组件的单元。这样，例如应用可以通过网络接口在其运行中被监视。因为网络接口在封装内部保证被保护的、有实时能力的运行，所以可以由此出发检验无错的运行或遵守确定的要求，例如反应时间。若要求未被遵守，则这可以被告知给相应的组件(硬件或软件)。对此，除了容错的运行外，特别简单的调试也是可能的。同样，这可以被告知给其它网络节点或中央监视单元。可以有选择地将错误工作的组件复位。这里不必将整个装置复位，事实上将错误工作的组件复位，确切地说通常就足够了。这种复位也可以相应于错误或所涉及的组件多等级地进行。

在本发明的另一种有利的实施例中，被封装的单元被作为组件集成在装置中。这里，被封装单元的为了维持基本功能性所必须的硬件组件可选地具有自己的电源，该电源独立于其他装置的电源。这样，例如在环状总线的情况中，即使在装置被关断的情况下也可以进行数据包传递，因为第一层和第二层的包括被封装单元的至少一个子集具有自己的电源，并且因此可以不依赖于其他装置而工作。

在本发明的另一种有利的实施例中使用了光学总线用于数据传输。其中被封装的单元这样被构造，使得它包括光学组件，并且对光学发送器进行独有的控制。以此，通过被封装的单元不仅进行对光学输出信号的控制，而且还进行了关学发送器的激发。这样，例如为了节省能量，可以在运行间隙将发送器关断。若发送器被分离的控制电路激活或使不工作，则例如在环状总线的情况下可能无法保证数据包的传递。

在本发明的另一种有利的实施例中，被封装的单元具有消息控制的接口。这种通过消息的控制提供了明显比迄今相应于技术现状的、通过寄存器对网络接口控制器进行的控制更强健并更可靠的机制。此外这种信号传输方式与现代操作系统的机制一致。

在本发明的另一种有利的实施例中，被封装的单元具有面向对象的接口。根据本发明，只有对允许的对象的访问才是可能的。在这种面向对象的接口中，甚至网络接口自身也可以作为功能对象。

在本发明的另一种有利的实施例中，网络接口控制器或其中一部分可以通过网络重新配置或重新编程。这样，新的运行参数，例如固件或软件的代码可以可选择地通过网络被下载并且例如被放置在可重复写入的存储器(Flash-PROM)中。这种过程也可以可选地通过同时对多个节点进行编程的广播来实现。

根据本发明的网络节点具有网络控制器，该控制器包括功能性被封装的单元，该单元包括所有用于保证网络接口最小功能性必需的组成部分。这里，从被封装的单元外部，只有通过特定被允许的服务(8a、8b)的访问才有可能。附加在网络控制器之外，网络节点可以包括硬件或软件中的任何应用，例如PC、广播、监视器、DVD播放器或只是简单组件的控制，例如电动车窗(Fensterheber)或照明设备等等。

根据本发明，用于连接至少两个节点的网络具有至少一个带有功能性被封装单元的节点。这种功能性被封装单元包括所有用于保证网络接口最小功能性必需的组成部分，其中从被封装的单元外部只有通过特定被允许的服务(8a、8b)的访问才是可能的。

根据本发明的用于建造多个节点之间安全连接的网络的方法以这种方式存在于多个节点到网络的连接和至少一个节点的网络接口的封装，使得所有用于保证网络接口最小功能性必需的组成部分都被包括，并且从封装外部的访问只有通过特定的允许的服务(8a、8b)才可能。为了根据本发明建造安全的网络，也可以将开始的两个方法步骤的顺序交换。

附图说明

在以下借助实施例参照附图举例地说明本发明，但其不应作为本发明思想的限制。

图1以一般形式概要示出了根据本发明的装置。

图2概要示出了本发明的一种特别复杂的实施形式。

图3说明环状总线例子中的本发明。

具体实施方式

图1以概要的形式示出了根据本发明的装置。总线节点(1a)具有用于与其它总线节点通信的连接(2a、2b)。通信可以例如通过光学的或电学的连接或例如借助无线连接进行。同样，在两个概略示出的单向连接处也可能是双向连接。

此外，总线节点具有被封装的单元(4)以及应用(3)。此处，应用代表总线节点的多种不同的功能性。这种应用概念除了应用层的相应的OSI层外还可以包括下级的、但是位于设置在被封装单元的层上方的层。这样，这种标记的应用i.S.例如可以是汽车收音机、放大器、通信系统、制动系统等等。

被封装的单元(4)包括物理层(5)，物理层包含用于与其它总线节点物理连接的通信硬件。此外，被封装的单元具有上级部件(6)，优选地是来自上级层。它们可以例如来自OSI的第二层或第三层。其中，例如可以包括数据速率管理、错误识别、流量调节等等。上级部件(6)与物理层(5)的部件的通信通过内部通信通路(7a、7b)进行。应用(3)只有通过外部通信通路(8a、8b)通过特定的接口才可能与被封装的单元(4)通信。与此相反，例如与物理层的直接通信是不可能的。

被封装的单元(4)的实际实现例如可能在于被隔绝的网络接口控制器中，它为了向外通信而具有到其它节点的连接(2a、2b)以及到应用的连接(8a、8b)。

图2概要示出了本发明的一种特别复杂的实施形式。这里首先具有与如图1中一样的带有相应的相同参考标记的相同部件。此外还设置了附加的上级封装(10)。它包括了被封装的单元(4)以及附加的在其上级的层(9)。该上级层(9)借助通信通路(11a、11b)与被封装的单元(4)通信。通过分等级的封装，产生了提高的可靠性和故障安全性。这样，例如内部的被封装的单元(4)可能被作为分离的硬件实现，并且上级封装例如在也为应用服务的微控制器内部以保护模式的形式实现。不过，被封装的单元(4)也可能通过软件，例如借助在共同微控制器内的保护模式来实现。

为了说明附加的设备，还设置了电源(12)，它例如在其它装置的供电故障情况下继续对网络部件供电，并且以此继续维持网络功能性。该电源例如可以由上级封装(10)的部件控制，以使网络接口进入待机模式。在该封装之外的部件根据定义不能对电源进行访问。附加地还设置了安全设备(13)，它例如模仿看门狗计时器对上级封装内部的活动进行监视。

在图3中示出了环状总线形式的多个节点的联接。单个节点(1a、1b、1c)通过联接成一个环的连接(2a、2b、2c)通信。这样，第一节点(1a)可以借助第一连接(2a)传输信息给第二节点(1b)。它可以将信息通过第二连接(2b)发送给第三节点(1c)。环通过在第三节点和第一节点之间的第三连接(2c)闭合。若现在例如第二节点(1b)通过其应用这样被过载，使得它不能将第一节点的数据包递交给第三节点，则在第一和第三节点之间的逻辑连接也中断了。通过根据本发明的在网络接口中的封装，现在第二节点还能够将第一节点的数据包递交给第三节点。这样，第二节点由于应用的过载对在总线上的数据传输丝毫没有影响。

参考图例列表

1a、1b、1c总线节点

2a、2b、2c至其它节点的连接

3         应用

4         被封装的单元

5         物理层

6         封装内部的上级部件

7a、7b    封装内部的通信通路

8a、8b    在封装和应用之间的外部通信通路

9         在上级封装内部的上级部件

10        上级封装

11a、11b  在上级封装内部的通信通路

12        电源

13        安全设备

Claims (18)

1.一种用于安全数据传输的网络接口，其特征在于，所述网络接口包括功能性的被封装单元，其中所述被封装单元只包括M＝1的物理OSI层和OSI层2或3之间的所有层，上级层与所述物理层的部件的通信通过内部通信通路进行，应用只有通过外部通信通路通过特定的接口才可能与所述被封装单元通信，并且与物理层的直接通信是不可能的，

在被封装单元内设置用于监视在被封装单元外部的部件的功能或特定的运行参数的附加的监视设备，其中在故障情况下发送错误信息以及选择性地进行所涉及部件的复位；和/或被封装单元的用于维持网络接口的功能性所必需的硬件部件具有相对于其余装置的电源独立的电源。

2.根据权利要求1的网络接口，其特征在于，同步流的管理被包括在封装内。

3.根据权利要求1的网络接口，其特征在于，监视和控制功能(13)被设置在所述被封装单元内。

4.根据权利要求1的网络接口，其特征在于，监视和控制功能(13)被设计为，即使在与被封装单元相连的或通信的硬件或软件部件不工作或不能正常工作时也保证基本功能性。

5.根据权利要求1的网络接口，其特征在于，在被封装单元内设置了一个功能，用于数据包转发。

6.根据权利要求1的网络接口，其特征在于，在所述被封装单元内设置一个功能，它允许利用通过网络所传输的命令使被封装单元内的部件或功能复位。

7.根据权利要求1的网络接口，其特征在于，被封装单元与外部部件相连，并且设置用于选择性地通过硬件或软件将复位信号传送给这些外部部件的装置。

8.根据权利要求1的网络接口，其特征在于，在被封装单元内设置附加的监视设备，用于监视整个网络通信或单个节点的功能，其中这些单个节点也包括网络接口的节点，该监视设备在故障情况下发出选择命令，以选择性地将单个节点、与单个节点相连的装置或通过网络相连的整个系统复位。

9.根据权利要求1的网络接口，其特征在于，被封装单元作为部件被集成在装置中。

10.根据权利要求1的网络接口，其特征在于，设置用于网络上数据传输的光学总线，并且被封装单元被构造为使得它是控制光学发送器的唯一控制装置。

11.根据权利要求1的网络接口，其特征在于，被封装单元具有消息控制的接口。

12.根据权利要求1的网络接口，其特征在于，被封装单元具有面向对象的接口。

13.根据权利要求1的网络接口，其特征在于，网络接口的固件或软件能够通过网络重新编程，并且能够被储存在存储器中。

14.根据权利要求10的网络接口，其中被封装单元的用于维持网络接口的功能性所必需的硬件部件是OSI第一层的部件。

15.一种用于安全数据传输的网络接口，其特征在于，所述网络接口包括功能性的被封装单元，其中所述被封装单元只包括M＝1的物理OSI层和OSI层2或3之间的所有层，上级层与所述物理层的部件的通信通过内部通信通路进行，应用只有通过外部通信通路通过特定的接口才可能与所述被封装单元通信，并且与物理层的直接通信是不可能的，

被封装单元的用于维持网络接口的功能性所必需的硬件部件具有电源，该电源独立于其余装置的电源。

16.一种网络节点(1a)，其特征在于，设置至少一个网络接口控制器，所述网络接口控制器包括功能性的被封装单元(4)，其中所述被封装单元只包括M＝1的物理OSI层和OSI层2或3之间的所有层，上级层与所述物理层的部件的通信通过内部通信通路进行，应用只有通过外部通信通路通过特定的接口才可能与所述被封装单元通信，并且与物理层的直接通信是不可能的，该被封装单元包含用于保证网络接口控制器功能性所必需的组成部件，其中从被封装单元外部只有通过特定允许的服务(8a、8b)的访问才是可能的，

在被封装单元内设置用于监视在被封装单元外部的部件的功能或特定的运行参数的附加的监视设备，其中在故障情况下发送错误信息以及选择性地进行所涉及部件的复位；和/或被封装单元的用于维持网络接口的功能性所必需的硬件部件具有相对于其余装置的电源独立的电源。

17.一种用于连接至少两个节点的网络，其特征在于，至少一个节点具有网络接口，该网络接口具有功能性的被封装单元(4)，其中所述被封装单元只包括M＝1的物理OSI层和OSI层2或3之间的所有层，上级层与所述物理层的部件的通信通过内部通信通路进行，应用只有通过外部通信通路通过特定的接口才可能与所述被封装单元通信，并且与物理层的直接通信是不可能的，该被封装单元包含用于保证网络接口功能性所必需的组成部件，其中从被封装单元外部只有通过特定允许的服务(8a、8b)的访问才是可能的，

在被封装单元内设置用于监视在被封装单元外部的部件的功能或特定的运行参数的附加的监视设备，其中在故障情况下发送错误信息以及选择性地进行所涉及部件的复位；和/或被封装单元的用于维持网络接口的功能性所必需的硬件部件具有相对于其余装置的电源独立的电源。

18.一种用于建造用于多个节点之间安全连接的网络的方法，其特征在于，

将多个根据权利要求16的网络节点互连以形成一个网络，并且

将至少一个节点的网络接口封装，同时封装用于保证网络接口功能性所必需的所有组成部件，

从被封装网络接口外部只通过为访问而特定允许的服务(8a、8b)对被封装网络接口进行访问。

Images