-
Die
Erfindung bezieht sich auf ein Kommunikationssystem mit wenigstens
zwei Kommunikationsknoten zur Übertragung
von Informationen über
ein gemeinsames Übertragungsmedium
in einem Zeitmultiplexverfahren.
-
Ein
derartiges Kommunikationssystem ist z.B. aus dem VDI-Bericht Nr.
1547, 2000, S. 23ff (FlexRay-Kommunikationssystem) bekannt.
-
Bei
diesem Kommunikationssystem ist ein Zeitmultiplexverfahren zur Regelung
des Zugriffs von verschiedenen Kommunikationsknoten auf ein gemeinsames Übertragungsmedium
vorgesehen.
-
In
einer Rahmenstruktur werden in einem wiederkehrenden Raster entsprechend
der Rahmenzykluszeit Nachrichten von allen Kommunikationsknoten
verschickt. Je nach verwendetem Protokoll können diese Nachrichten unterschiedlicher
Struktur sein, d.h. z.B. Spezialsymbole oder Signalmuster, die selbst
schon die zu übertragende
Information repräsentieren,
oder aber Nachrichten mit definierten Formatelementen, welche protokollrelevante
Informationen, aber auch Applikationsdaten enthalten können.
-
Zusätzlich werden
bestimmte Bereiche der Rahmenstruktur für andere Zugriffsverfahren
reserviert, wie z.B. für
den kollisionsbehafteten wahlfreien Zugriff.
-
Beim
Start des Systems werden die Knoten in willkürlicher Reihenfolge aktiviert,
z.B. hervorgerufen durch die nicht vorhersagbare Reihenfolge bei der
Zuführung
der Stromversorgung. Jeder aktivierte Knoten beobachtet bei dem
bekannten System nach gängiger
Technik für
eine gewisse Zeit das Kommunikationsmedium und überprüft, ob bereits eine Rahmenstruktur
etabliert wurde, auf die er sich aufsynchronisieren kann. Findet
er mindestens einen regelmäßig genutzten
Zeitschlitz oder auch ein spezifisches Muster aus genutzten Zeitschlitzen,
prüft er
die darin enthaltene Nachricht auf Integrität, z.B. anhand einer Prüfsumme.
Der aktivierte Knoten interpretiert diese Nachricht, um aus ihrer
zeitlichen Position und dem Inhalt, z.B. einem eindeutigen Identifier,
der die zeitliche Lage des regelmäßig genutzten Zeitschlitzes
innerhalb der Rahmenstruktur angibt, die Position seines eigenen
Sendezeitschlitzes darin zu identifizieren.
-
Findet
der jeweilige Knoten keinen regelmäßig genutzten Zeitschlitz auf
dem Übertragungsmedium
vor, beginnt er, regelmäßig mit
der durch die Zykluszeit vorgegebenen Wiederholrate eine Nachricht zu
senden und markiert damit quasi seinen eigenen Zeitschlitz. Auf
diese Nachricht können
sich dann andere Knoten aufsynchronisieren.
-
Der
Sonderfall, in dem zwei oder mehr Knoten gleichzeitig ihre erste
Nachricht verschicken, führt
zu einer Kollision, die nach einem der bekannten Verfahren aufgelöst werden
kann.
-
Beginnt
nun ein fehlerhafter Knoten damit, eine ungültige Nachricht zu versenden,
so können sich
andere Knoten nicht auf diese Nachricht aufsynchronisieren. Andererseits
ist aber das Medium in regelmäßigen Abständen benutzt,
sodass die anderen Knoten in ihrer Abwartestellung verharren. Das
System ist dann durch den fehlerhaften Knoten blockiert.
-
Damit
ein fehlerhaften Knoten durch das regelmäßige Senden von ungültigen Nachrichten,
die das Medium blockieren, nicht den gesamten Systemstart dauerhaft
verhindert, ist bekannt, eine Zeitspanne bzw. eine maximale Anzahl
von Versuchen innerhalb des Systemstart-Algorithmus zu definieren,
innerhalb derer eine synchronisierte Kommunikation zustande kommen
muss. Ist dies nicht der Fall, so soll sich der sendende Knoten
zurückziehen,
z.B. für ein
definiertes Zeitintervall, damit ein anderer Knoten den Systemstart
durch die Vorgabe des Kommunikationsrahmens durchführen kann.
Eine derartige Lösung,
basierend auf einem Timeout-Intervall, welches dazu dient, einen
einmal angenommenen Zustand aufgrund einer nicht eingetroffenen
Bedingung zu verlassen, ist beispielhaft für das Kanalzugriffsverfahren
ALOHA in "Wireless
Information Networks" von
K. Pahlavan & A.
Levesque, 1995 (ISBN: 0-471-10607-0), S. 464ff, beschrieben. Bei
dieser Lösung,
bei der sich also ein fehlerhaft operierender Knoten selbsttätig abschalten
bzw. vom Medium zurückziehen
soll, wird vorausgesetzt, dass der Knoten, obwohl er ein fehlerhaftes
Verhalten auf dem Netzwerk zeigt, in der Lage ist, einen Sicherungsvorgang noch
korrekt auszuführen.
-
Es
ist Aufgabe der Erfindung, ein anderes Kommunikationssystem zu schaffen,
welches einen sicheren Systemstart auch bei einem fehlerhaft sendenden
Knoten gewährleistet.
-
Diese
Aufgabe wird erfindungsgemäß durch ein
Kommunikationssystem gelöst,
bei dem beim Systemstart wenigstens ein Knoten zur Überprüfung vorgesehen
ist, ob auf dem Übertragungsmedium bereits
ein erstes Signal vorhanden ist, das wenigstens einen Zeitschlitz
regelmäßig nutzt,
wobei
der Knoten bei Vorliegen eines ersten Signals zur Prüfung dieses
ersten Signals auf Integrität
vorgesehen ist und
wobei der Knoten bei mangelnder Integrität des ersten
Signals zum Senden eines zweiten Signals vorgesehen ist und dem
von dem ersten Signal genutzten Zeitschlitz eine programmierbare
Position innerhalb des von dem zweiten Signal vorgegebenen Zeitrahmens
zugeordnet ist.
-
Beim
Systemstart überprüft wenigstens
ein Kommunikationsknoten, ob ein regelmäßig genutzter Zeitschlitz auf
dem Übertragungsmedium
vorhanden ist. Ist dies der Fall, prüft der Knoten dieses Signal auf
Integrität,
d.h., er versucht diese Aktivität
als Nachricht zu interpretieren. Falls dies nicht möglich ist,
z.B. aufgrund einer fehlerhaften Prüfsumme, eines Codierungsfehlers
oder aus einem sonstigen Grund, identifiziert der Knoten diesen
Zeitschlitz als fehlerhaft.
-
Daraufhin
konstruiert der Knoten für
sich die Zeitrahmenstruktur derart, dass der fehlerhaft genutzte
Zeitschlitz auf eine vorbestimmte Position fällt. Schließlich beginnt der Knoten, in
dem für
ihn vorgesehenen Zeitschlitz innerhalb der neuen Zeitrahmenstruktur
seine Nachricht zu senden. Andere Knoten im Netzwerk können sich
nun auf die von diesem Knoten korrekt gesendete Nachricht synchronisieren.
-
Der
Hauptvorteil dieses Kommunikationsnetzwerks ist die Vermeidung der
Blockierung des gesamten Kommunikationssystems durch einen fehlerhaften
Knoten.
-
Der
besondere Vorteil gegenüber
einer Fehlerbehandlung durch den betroffenen Knoten selbst ergibt
sich aus der Tatsache, dass hier eine unabhängige Instanz die Fehlererkennung
und Behandlung vornimmt. Diese Instanz wird durch wenigstens einen beteiligten
Knoten repräsentiert.
-
Vorteilhaft
kann jeder Knoten des Kommunikationssystems zur Fehlerbehandlung
vorgesehen werden. Dann überprüft und beurteilt
jeder Knoten für sich
die Situation auf dem Übertragungsmedium.
Damit wird die Sicherheit, dass der Fehlerzustand erkannt und in
definierter Weise behandelt wird, zusätzlich erhöht.
-
Erkennen
bei dieser vorteilhaften Ausgestaltung mehrere Knoten gleichzeitig
das Vorliegen eines fehlerhaften Zeitschlitzes, so führen alle
parallel eine Neubestimmung der Zeitrahmenstruktur aus und versuchen
diese durch das Senden des eigenen Zeitschlitzes als globalen Zeitrahmen
vorzugeben. Kollisionen in dieser Phase können in be kannter Weise genau
so gelöst
werden wie im fehlerfreien Startbetrieb. Es kann z.B. das aus dem
VDI-Bericht Nr. 1547, 2000, S. 23ff bekannte Verfahren der Kollisionsbehandlung
für FlexRay-Kommunikationssysteme
verwendet werden.
-
Außerdem wird
vermieden, dass der fehlerhafte Zeitschlitz eine beliebige, z.B.
besonders kritische Stelle der Zeitrahmenstruktur stört. Stattdessen wird
er an eine vordefinierte, feste Position in der Zeitrahmenstruktur
geschoben. Schließlich
wird der mit dem fehlerhaften Zeitschlitz verbundene Funktionsverlust
des Systems minimiert, z.B. dadurch, dass der fehlerhafte Zeitschlitz
an die Position für Nachrichten
mit der geringsten Priorität
im System verschoben wird.
-
Der
Fall, dass der erste, fehlerhaft sendende Knoten nach der Fehlererkennung
und Fehlerbehandlung durch einen zweiten Knoten, d.h. der Vorgabe
einer neuen, globalen Zeitrahmenstruktur durch einen zweiten Knoten,
selbst den Sendevorgang an der ursprünglichen Position einstellt,
ist lediglich ein günstiger
Sonderfall. Da die Fehlerhypothese jedoch von einem insgesamt fehlerhaft
operienden ersten Knoten ausgeht, wird durch das vorgeschlagene
Verfahren insbesondere der Fall behandelt, dass der erste, fehlerhaft
sendende Knoten weiterhin zum ursprünglichen Zeitpunkt mindestens
einen Zeitschlitz belegt.
-
Die
Erfindung ist für
alle autonom startenden Kommunikationssysteme vorteilhaft nutzbar.
-
Besonders
geeignet ist das vorgeschlagene Kommunikationssystem für sicherheitskritische
Anwendungen, bei denen auch während
der Anwesenheit mindestens eines fehlerhaften Knotens der sichere
Start des Kommunikationssystems gewährleistet werden muss, wie
z.B. im Automobil, im Flugzeug, der Steuerung von Industrieanlagen
usw.
-
Darüber hinaus
ist die Erfindung überall
da brauchbar, wo ein System auch im Fehlerfall ohne menschlichen
Eingriff starten können
muss; hier sind Anwendungen an schwer zugänglichen Orten oder über große Flächen verteilte
Kommunikationsnetzwerke von Bedeutung.
-
Bei
der vorteilhaften Ausgestaltung der Erfindung nach Anspruch 2 ist
ein spezieller Reserve-Zeitschlitz, vorgesehen, der nur dazu dient,
im Fall des Auftretens eines fehlerhaften Zeitschlitzes diesen so im
Zeitrahmen unterzubringen, dass die restlichen Knoten ungestört kommunizieren
können.
-
Bei
der vorteilhaften Ausgestaltung der Erfindung nach Anspruch 3 wird
kein dedizierter Reserve-Zeitschlitz verwendet, sondern der fehlerhafte Zeitschlitz
wird in den Zeitschlitz für
Nachrichten mit der niedrigsten Priorität positioniert.
-
Bei
der vorteilhaften Ausgestaltung der Erfindung nach Anspruch 4 wird
der fehlerhafte Zeitschlitz in einem Bereich des Zeitrahmens positioniert,
der mittels Wartezeiten und Nachrichtenprioritäten einen dynamischen Zugriff
der Knoten des Kommunikationssystems ermöglicht. Ein derartiger dynamischer Zeitschlitz
ist z.B. in dem FleyRay-Kommunikationssystem
vorgesehen, welches in dem VDI-Bericht Nr. 1547, 2000, näher beschrieben
ist. Bei einem solchen System mit dynamischer Zugriffsmöglichkeit kann
der fehlerhafte Zeitschlitz vorzugsweise an den Beginn des dynamischen
Zeitschlitzes positioniert werden, sodass der Rest dieses Zeitschlitzes
weiterhin für
die dynamische Verwaltung von Nachrichten zur Verfügung steht.
Alternativ könnte
der fehlerhafte Zeitschlitz auch an das Ende dieses dynamischen Zeitschlitzes
positioniert werden und damit lediglich die Nachricht mit der niedrigsten
Priorität
stören.
-
Die
vorteilhafte Ausgestaltung der Erfindung nach Anspruch 5 betrifft
Kommunikationssysteme mit wahlfreiem, kollisionsbehafteten Zugriff
während
eines dedizierten Zeitschlitzes. In einem solchen System ist es
vorteilhaft, den fehlerhaften Zeitschlitz in den Bereich des Zeitrahmens
zu legen, der für
den wahlfreien, kollisionsbehafteten Zugriff vorgesehen ist, da
dort ohnehin mit Kollisionen zu rechnen ist und dementsprechend
Verfahren zur Behandlung von Kollisionen von dem Kommunikationssystem
bereits vorgesehen sind.
-
Bei
der vorteilhaften Ausgestaltung der Erfindung nach Anspruch 6 nimmt
der Knoten, der sich bei der Vorgabe des globalen Zeitrahmens durchgesetzt hat,
eine entsprechende Kennzeichnung seiner Nachricht vor. Damit wird
dem gesamten Kommunikationssystem und insbesondere den übrigen Knoten mitgeteilt,
dass ein fehlerhaft sendender Knoten im System erkannt worden ist
und der als fehlerhaft erkannte Zeitschlitz neu positioniert worden
ist. Dadurch kann ein Knoten, der durch die Neupositionierung des
fehlerhaften Zeitschlitzes einen Nachteil erfährt, z.B. durch Blockade des
ihm zugeordneten Zeitschlitzes, geeignete Gegenmaßnahmen
treffen. Als Gegenmaßnahme
ist es z.B. möglich,
einen kontrollierten Übergang
des Gesamtsystems in einen gesicherten Zustand durchzuführen, in
dem gewährleistet
ist, dass bei der jeweiligen Applikation ein zumindest eingeschränkter Betrieb
aufrechterhalten werden kann und/oder dass bei der jeweiligen Applikation
Störfälle vermieden
werden.
-
Es
sind aber auch komplexere Reaktionen, gesteuert durch entsprechende
Kontrollapplikationen, möglich.
Der infolge der Neupositionierung des fehlerhaften Zeitschlitzes
gestörte
Knoten könnte
mit seinem Sendefenster dynamisch in einen reservierten Bereich
innerhalb des neuen Zeitrahmens ausweichen. Dazu muss den betroffenen
Knoten allerdings angezeigt werden, dass ein fehlerhafter Knoten erkannt
worden ist und der Zeitschlitz dieses fehlerhaften Knotens in einem
von einem anderen Knoten vorgegebenen Zeitrahmen neu positioniert
worden ist. Eine Kennzeichnung könnte
z.B. durch definierte Elemente innerhalb des Nachrichtenformates
oder auch in den Nachrichtendaten selbst vorgenommen werden.
-
Anspruch
7 bezieht sich auf ein erfindungsgemäßes Verfahren und Anspruch
8 auf ein Kraftfahrzeug mit einem erfindungsgemäßen Kommunikationssystem.
-
Einige
schematisch dargestellte Ausführungsbeispiele
der Erfindung werden nachfolgend anhand der Zeichnung in den 1 bis 4 näher erläutert. Es
zeigen:
-
1 ein
Kommunikationssystem mit vier Knoten und einem gemeinsamen Übertragungsmedium,
-
2 die
zeitliche Abfolge eines von einem ersten Knoten des Kommunikationssystems
gesendeten TDMA-Signals mit einem Zeitrahmen, welcher einen statischen
Teil und einen dynamischen Teil aufweist,
-
3 die
zeitliche Abfolge der auf dem Übertragungsmedium
des Kommunikationssystems auftretenden Signale bei einem Systemstart
und
-
4 ein
von einem zweiten Knoten des Kommunikationssystems gesendetes zweites
Signal mit einem in Bezug auf das erste Signal verschobenen Zeitrahmen.
-
1 zeigt
ein Kommunikationssystem mit vier Kommunikationsknoten 0, 1, 2 und 3.
Die vier Kommunikationsknoten 0 bis 3 sind jeweils
mit einem gemeinsamen Übertragungsmedium 5 gekoppelt. Das
gemeinsame Übertragungsmedium 5 kann
z.B. ein Bussystem eines Kraftfahrzeugs sein, insbesondere auch
ein Kommunikationsnetz gemäß dem FlexRay-Protokoll.
Das gemeinsame Übertragungsmedium 5 wird
von den vier Kommunikationsknoten im Zeitmultiplexverfahren genutzt.
-
2 zeigt
die zeitliche Abfolge eines von dem Knoten 2 des Kommunikationssystems
gesendeten TDMA-Signals. Der Zeitrahmen des TDMA-Signals umfasst
einen statischen Teil 6 und einen dynamischen Teil 7.
Der statische Teil 6 weist vier Zeitschlitze 10, 11, 12 und 13 auf.
Daran schließt
sich der dynamische Teil 7 an. Der statische Teil 6 und
der dynamische Teil 7 wiederholen sich periodisch mit der Rahmenzykluszeit T_cyc.
Für den
Knoten 0 des Kommunikationssystems ist der Zeitschlitz 10 des statischen
Teils 6 zur Übertragung über das Übertragungsmedium 5 vorgesehen.
In entsprechender Weise sind die Zeitschlitze 11, 12 und 13 den
Knoten 1, 2 und 3 des Kommunikationssystems
zugeordnet.
-
Der
dynamische Teil 7 steht für einen flexiblen, dynamischen
Zugriff der einzelnen Knoten 0 bis 3 zur Verfügung. Ein
derartiger dynamischer Zeitschlitz ist z.B. in dem FleyRay-Kommunikationssystem
vorgesehen, welches in dem VDI-Bericht Nr. 1547, 2000, näher beschrieben
ist.
-
3 zeigt
beispielhaft die zeitliche Abfolge der auf dem Übertragungsmedium 5 des
Kommunikationssystems auftretenden Signale bei einem Systemstart
mit einem fehlerhafte Signale sendenden Knoten 2 und einem
auf die fehlerhaften, periodisch gesendeten Signale reagierenden
Knoten 3.
-
Zunächst sendet
der Knoten 2 regelmäßig in dem
für ihn
vorgesehenen Zeitschlitz 12 ein Signal 8 über das Übertragungsmedium 5.
Das Signal 8 ist fehlerbehaftet, d.h. es kann von den übrigen Knoten 0, 1 und 3 nicht
als Nachricht interpretiert werden. Dies kann z.B. aufgrund einer
fehlerhaften Prüfsumme,
eines Codierungsfehlers oder aus einem sonstigen Grund der Fall
sein. Die Fehlerhaftigkeit des Signals 8 wird in 3 durch
das Blitzsymbol angedeutet.
-
4 veranschaulicht
das Verhalten des Knotens 3 bei dem Systemstart. Beim Systemstart überprüft der Knoten 3,
ob sich auf dem Übertragungsmedium 5 bereits
ein Signal befindet, das einen Zeitschlitz ordnungsmäßig nutzt.
Der Knoten 3 erkennt das von dem Knoten 2 gesendete
Signal 8 und prüft
dieses auf Integrität.
Bei der Prüfung
des Signals 8 stellt der Knoten 3, z.B. aufgrund
einer fehlerhaften Prüfsumme
fest, dass das Signal 8 fehlerhaft ist. Dies wird in 4 durch
den Pfeil 15 angedeutet.
-
Um
trotzdem einen Start des Kommunikationssystems zu ermöglichen,
beginnt der Knoten 3 damit, selbst ein Signal 9 in
regelmäßigen Abständen über das Übertragungsmedium 5 zu
senden. Dies ist in 3 schematisch dargestellt.
-
Der
durch das Signal 9 des Knotens 3 vorgegebene Zeitrahmen
ist wiederum in 4 dargestellt. Der Knoten 3 nutzt
den für
ihn vorgesehenen statischen Zeitschlitz 13 des Zeitrahmens.
Der von dem Knoten 3 vorgegebene Zeitrahmen ist so gewählt, dass
der von dem fehlerhaften Signal 8 genutzte Zeitschlitz
an das Ende des dynamischen Bereiches 7 des Zeitrahmens
fällt.
Durch diese Verschiebung des Zeitrahmens wird erreicht, dass der fehlerhaft
sendende Knoten 2 lediglich für Nachrichten mit der niedrigsten
Priorität,
welche am Ende des dynamischen Teils 7 des Zeitrahmens
zur Übertragung
vorgesehen sind, Störungen
verursacht. Der Knoten 3 sendet nun gemäß dem in 4 dargestellten
Zeitrahmen eine ordnungsgemäße, fehlerfreie Nachricht
in dem für
ihn vorgesehenen statischen Zeitschlitz 13. Die anderen
Knoten 0 und 1 des Kommunikationssystems können sich
nun auf das von dem Knoten 3 gesendete fehlerfreie Signal
aufsychnronisieren und die Zeitschlitze 10 und 11 nutzen.
Damit ist ein Systemstart trotz des fehlerhaft sendenden Knotens 2 gewährleistet.
-
Alternativ
kann das fehlerhafte Signal 8 des Knotens 2 auch
an den Beginn des dynamischen Teils 7 des Zeitrahmens positioniert
werden, sodass der Rest dieses dynamischen Teils 7 weiterhin
für die dynamische
Verwaltung von Nachrichten zur Verfügung steht.