EP1749375A1

EP1749375A1 - System mit doppelringtopologie zur übertragung von daten und teilnehmer des systems

Info

Publication number: EP1749375A1
Application number: EP05739920A
Authority: EP
Inventors: Eberhard Boehl; Werner Harter
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2004-04-13
Filing date: 2005-04-13
Publication date: 2007-02-07
Also published as: WO2005101750A1; CN1943178A; JP2007533227A; US20070274208A1; RU2006130316A; DE102004018319A1

Abstract

System mit wenigstens drei Teilnehmern zur Übertragung von Daten mit zwei Übertragungswegen zwischen den Teilnehmern, wobei die Übertragungswege einen ersten Ring und einen zweiten Ring mit jeweils entgegengesetzter Übertragungsrichtung bilden dadurch gekennzeichnet, dass in jedem Teilnehmer eine erste Verbindung vorgesehen ist, durch welche der erste Ring mit dem zweiten Ring verbindbar ist und eine zweite Verbindung durch welche der zweite Ring mit dem ersten verbindbar ist, wobei die Daten beider Ringe in jedem Teilnehmer verarbeitet werden.

Description

SYSTEM MIT DOPPELRINGTOPOLOGIE ZUR ÜBERTRAGUNG VON DATEN UND TEILNEHMER DIESES SYSTEMS

Die Erfindung geht aus von einem System mit wenigstens drei Teilnehmern zur Übertragung von Daten und mindestens zwei Übertragungswegen zwischen den Teilnehmern sowie einem entsprechenden Teilnehmer gemäß den Oberbegriffen der unabhängigen Ansprüche.

Ein solches System ist aus der WO 02/49271A2 bekannt, welches ein Ringnetzwerk zeigt, bei dem die einzelnen Teilnehmer durch zwei Ringe mit jeweils entgegengesetzter Übertragungsrichtung verbunden werden. Neben der Verwendung solcher redundanter ringförmiger Datenwege in gegenläufiger Richtung werden in anderen. Votingsystemen die Daten in ringförmigen Netzwerken mittels redundanter Zusatzverbϊndungen über Einzelknoten hinweg mehrfach in gleicher Richtung übertragen. Dabei entsteht zum Einen der Nachteil, dass bei großen mechanischen oder auch Temperatureinwirkungen die redundanten Zusatzverbindungen, sofern gemeinsam geführt, gleichzeitig auf einen Schlag unterbrochen werden können oder dass, um dies zu vermeiden, ein erheblicher Aufwand getrennter Kabelführung erforderlich wird.

In verteilten, insbesondere sicherheitsrelevanten Systemen oder Netzwerken ist ein Datenaustausch zwischen den beteiligten Teilnehmern nötig, der auch im Falle eines Fehlers noch zu sicheren Entscheidungen oder Bewertungen führt, d. h. der Fehler muss sicher erkannt werden und es müssen entsprechende Maßnahmen eingeleitet werden, die einen Sicherheitsverlust oder Systemausfall vermeiden.

Solche verteilten sicherheitsrelevanten Systeme sind beispielsweise aus dem Fahrzeugbereich als X-by-Wire-Systeme bekannt. Die wichtigste Aufgäbe dabei ist, die funktionale Sicherheit solcher Systeme zu gewährleisten. Dabei stellt sich nun die Aufgabe, im Hinblick auf die aus dem Stand der Technik bekannten Systeme die Fehlersicherheit weiter zu erhöhen im Rahmen der erhöhten sicherheitsrelevanten Anforderungen.

Vorteile der Erfindung

Die Erfindung geht aus von einem System mit wenigstens drei Teilnehmern zur Übertragung von Daten mit zwei Übertragungswegen zwischen den Teilnehmern, wobei die Übertragungswege einen ersten Ring und einen zweiten Ring mit jeweils entgegengesetzter Übertragungsrichtung bilden, wobei vorteilhafter Weise in jedem Teilnehmer eine erste Verbindung vorgesehen ist, durch welche der erste Ring mit dem zweiten Ring verbindbar ist und eine zweite Verbindung vorgesehen ist, durch welctie der zweite Ring mit dem ersten verbindbar ist, und zwar derart, dass im Falle des Ausfalls der Kabelverbindung die Unterbrechung detektiert wird und die Schleife zwischen dem ankommenden und dem rücklaufenden Ring an der Unterbrechungsstelle geschlossen werden. Dies kann sowohl für eine Leitungsunterbrechung als auch für den Ausfall einzelner Teilnehmer vorgesehen sein. Dadurch ist eine Übertragung der Daten auch, von den Knoten vor der Unterbrechung zu allen anderen Knoten gewährleistet. Es kann bei dieser Netzwerkstruktur immer eine Verbindung zwischen allen Knoten aufrechterhalten werden, selbst wenn alle Verbindungen zwischen zwei Knoten getrennt sind. Somit -kann für die Verbindung zwischen zwei Knoten dann auch ein gemeinsames Kabel für HLn- und Rückleitung benutzt werden, um trotzdem erhöhte Fehlersicherheit und Ausfallsicherheit zu gewährleisten. Durch die Realisierung einer ersten und einer zweiten Verbindung in jedem Teilnehmer ist auch die Rückgewinnung des Taktes, in dem die

Daten übertragen werden, in jedem Teilnehmerknoten immer gewährleistet.

Zweckmäßiger Weise ist im System bzw. in jedem Teilnehmer eine Kontrolleinheit vorgesehen, in der eine Statusinformation erzeugt wird. Diese Statusinformation wird zwischen den Ringen üt>er die jeweilige Verbindung ausgetauscht, wodurch die

Auswertung der darin enthaltenen FeUerinformation unabhängig davon möglich ist, in welchem Ring die Statusinformation erzeugt wurde. Zweckmäßiger Weise ist zur Auswertung eine Auswerteeinheit insbesondere in der Kontrolleinheit zur Auswertiuig der Statusinformation vorgesehen, die derart ausgebildet ist, dass, wenn sich bei Auswertung der Statusinformation ein Fehler ergibt, eine Übertragung der Daten auf jeweils einem Ring unterbunden wird und die Daten stattdessen über die Verbindung zum jeweils anderen Ring übertragen werden. Dabei werden die Daten in vorgebbaren Rahmen übertragen und es wird vorteilhafter Weise eine Einkoppeleinheit vorgesehen, ebenfalls insbesondere der K-ontrolleinheit, die die Statusinformation an einer vorgebbaren Position im Rabumen eihkoppelt.

Werden, wie oben erwähnt, die Daten beider Ringe in jedem Teilnehmer verarbeitet, ist eine zusätzliche Redundanz gegeben, die es möglich macht, jeden auftretenden Fehler, unabhängig davon, in welchem Ring er auftritt, zu detektieren und entsprechende Maßnahmen wie Datenumleitung einzuleiten.

Vorteilhafter Weise werden ^"beide Ringe mit dem gleichen Takt betrieben, so dass wenigstens eine Takteinheit in einem Teilnehmer vorgesehen ist, durch welche der erste Ring und der zweite Ring mit dem gleichen Takt zur Übertragung der Daten betrieben wird. Dies hat den Vorteil, dass bei einer Datenumleitung über die erste oder zweite

Verbindung ein aufwändiger Taktanpassungsprozess weitestgehend vermieden werden kann.

Zur Erhöhung der Redundanz ist weiterhin zweckmäßiger Weise vorgesehen, wenigstens zwei Takteinheiten zu verwenden, die wenigstens zwei verschiedenen Teilnehmern zugeordnet bzw. in diesen enthalten sind, wobei vorteilhafter Weise zur Vereinfachung des erfindungsgemäßen Systems immer nur eine Takteinheit den Takt zum Betreiben beider Ringe vorgibt und bei Ausfall einer ersten Takteinheit die wenigstens zweite Takteinheit den Takt vorgibt.

In einer zweckmäßigen Ausgestaltung sind die Teilnehmer, die die wenigstens zwei Takteinheiten enthalten respektive die diesen zugeordnet sind, als Nachbarn im System und in räumhcher Nähe zueinander angeordnet, so dass eine einfache Übergabe der Takthoheit erfolgen kann un« bei räumlicher Nähe und Nachbarschaft die Übertragungswege aufrechterhalten werden können.

Allerdings genügt es, dass im System eine Takteinheit enthalten ist, da aufgrund der erfindungsgemäßen Struktur mit zwei Verbindungen und der Verarbeitung der Daten beider Ringe in jedem Teilnehmer sowie der Verwendung eines gemeinsamen Taktes eine einfache Taktrückgewit-uαung aus der Datenübertragung in jedem Teilnehmer erfolgen kann, ohne dass in jedem Teilnehmer eine eigene Zeitbasis, eben Takteinheil, erforderlich ist.

Weitere Vorteile und vorteilhafte Ausgestaltungen ergeben sich aus der Beschreibung sowie den Merkmalen der Ansprüche.

Zeichnung

Die Erfindung wird im Weiteren anhand der in der Zeichnung dargestellten Figuren näher erläutert. Dabei zeigt

Figur 1 ein erfindungsgemäßes System mit der entsprechenden Votingstruktur.

Figur 2 zeigt das System bei auftretender Leitungsunterbrechung.

Figur 3 zeigt das System bei Ausfall eines Teilnehmers.

Die innere Struktur jedes Teilnehmers ist in Figur 4 dargestellt und die Struktur eines Teilnehmers mit eigener Zeitbasis, also Takteinheit, ist in Figur 5 dargestellt.

Figur 6 zeigt ein Beispiel für eine Rad-unenstniktur gemäß der Erfindung.

Figur 7 zeigt eine Master-Slave-Konibination in einem erfindungsgemäßen System.

Figur 8 zeigt den Ausfall des Masters in der Master-Slave-Kombination.

Figur 9 zeigt Masterausfall oder Ausfäll der gesamten Master-Slave-Kombination und zusätzlichem Backup-Master, und scliließlich zeigt Figur 10 den Ausfall des Masters bzw. der Master-Slave-Kombination ^"bei gleichzeitig auftretendem zweiten Fehler, wie beispielsweise Auswahl einer Verbindung oder eines Teilnehmers mit zusätzlichen Backup-Mastern und Bildung von Subsystemen.

Die Erfindung wird nun anhand der Ausführungsbeispiele näher erläutert.

Beschreibung der Ausführungsbeispiele Figur 1 zeigt eine Votingstruktur mit einer Master-Slave-Kombination 100 mit einem Master 103 und einem Slave 104. Daneben sind weitere sechs Teilnehmer als Slaves, also insbesondere ohne eigene Takteinheit dargestellt von 105 bis 110. Die Verbindung der Teilnehmer 103 bis 110 erfolgt in zwei entgegengerichteten Ringen Rl und R2, so dass zur Datenübertragung zwei redundante ringförmige Datenwege, eben Rl und R2, in gegenläufiger Richtung benutzt werden. Die Master-Slave-Kombination 100 kann die Ausfallsicherheit zusätzlich erhöheaa, indem neben einem Master und einem Slave, der die Masterfunktion übernehmen kann, ebenfalls zwei redundante Takteinheiten 101 und 102 vorgesehen sind. Dabei kann aber auch nur eine Takteinheit vorgesehen sein, die zunächst dem Master zugeordnet ist, also nicht in diesem enthalten und bei Ausfall die

Taktinformation an den Slave 104 -weitergibt, um den Betrieb aufrechtzuerhalten. Dabei ist dann notwendig, dass der Master 103 und der Slave 104 als Nachbarn und in räumlicher Nähe angeordnet sind, nm die Taktinformation problemlos übertragen zu können.

In Figur 2 ist nun statt der Master-Slave-Kombination 100 lediglich ein Master 200 mit einer Takteinheit 201 dargestellt. Erfindungsgemäß ist die Verwendung der Master- Slave-Kombination 100 oder eines alleinigen Masters 200 optional und austauschbar. Tritt nun ein Fehler im System au£, beispielsweise eine Unterbrechung der Leitung wie hier zwischen Teilnehmer 107 und 108 dargestellt, kann durch Informationsumleitung in den entsprechenden Teilnehmern die Datenübertragung im System aufrechterhalten werden. D. h. selbst wenn alle Verbindungen zwischen zwei Knoten oder Teilnehmern unterbrochen werden, ist ein sicherer Datenaustausch zwischen allen Knoten noch gegeben. Dies aber nur dadurch, dass erfindungsgemäß die Daten beider Ringe Rl und R2 immer in jedem Teilnehmer ausgewertet und verarbeitet werden und entgegen dem

Stand der Technik keine einfache IDurchleitung der Daten in einem Teilnehmer erfolgt. In Figur 3 ist die gleiche Situation dargestellt, nur unter der Voraussetzung, dass ein gesamter Teilnehmer, hier Teilnehmer 107 ausf llt. Aber wie bereits bei Figur 2 beschrieben, kann auch hier eine Datenübertragung weiterhin aufrechterhalten werden, eben hier bei Ausfall eines Knotens oder Teilnehmers für die restlichen Teilnehmer.

Figur 4 zeigt nun die Struktur eines Teilnehmers, bei der Querverbindungen zwischen den Ringen realisiert werden. Diese Querverbindungen sind in Figur 4 als Verbindung 1, 400V1 und als Verbindung 2, 400V2 dargestellt. Der Teilnehmer oder Knoten hat einen ersten Eingang 400E1 und einen ersten Ausgang 400A1 sowie einen zweiten Eingang 400E2 und einen zweiten Ausgang 400A2. Über diese Eingänge und Ausgänge lassen sich prinzipiell die beiden Übertragungswege entsprechend der Ringe Rl und R2 realisieren. Erfindungsgemäß ist allerdings jetzt eine Kontrolleinheit 401 bzw. 402 entsprechend jedes Übertragungsweges vorgesehen, in der eine Statusinformation erzeugt wird. Diese Statusinformation enthält beispielsweise Netzwerkinformationen bezüglich des Ausfalls eines Knotens oder Teilnehmers oder auch FeUerinformationen oder auch den Defekt-Status einer gekappten Verbindung zwischen zwei Teilnehmern. Jeder Teilnehmer ist entsprechend jeder

Kontrolleinheit 401 bzw. 402 in der Lage, eine solche Statusinformation selbst zu erzeugen. Diese Statusinformation ist dann über die entsprechende Verbindung 400V1 oder 400V2 zwischen den Ringen austauschbar. Dies geschieht durch Einkopplung der Statusinformation mittels einer Einkoppeleinheit 406 insbesondere in den Datenrahmen, der in Figur 6 noch näher beschrieben wird, eingekoppelt werden kann. 407 dient dazu, die genaue Position der Statusinformation im Rahmen zu ermitteln, was beispielsweise über eine Zähleinrichtung, die Bits oder Bytes zählt, erfolgen kann.

Gleiches gilt für die andere Richtung mit Einkoppeleintieit 409 und Erfassungseinheit 410. Ebenfalls vorgesehen ist eine Auswerteeinheit 405 oder für die andere Richtung 408 zur Auswertung der über die Eingänge im Rahmen eingehenden Statusinformation. Diese Einheiten 405, 406 und 407 können dabei sowohl auch in der Kontrolleinheit als auch außerhalb vorgesehen sein. Dies gilt auch für die andere Richtung, für die Elemente 408, 409 und 410. Die Auswerteeinheit 405 nun oder in Gegenrichtung 408 dient zur Auswertung der Statusinformation und ist derart ausgebildet, dass, wenn sich bei

Auswertung der Statusinformation ein Fehler ergibt, eben beispielsweise der Ausfall einer Verbindung oder eines Teilnehmers oder sonstiger Fehler im Netzwerk eine Übertragung der Daten auf jeweils einem Ring, also der regulären Verbindung, hier 400R1 unterbunden werden kann und stattdessen über clie Verbindung 400V1 eine Einkopplung erfolgen kann. Die Aktivierung dieser Verbindung 400V1 kann nun direkt über den Steuereingang 401ST1 des Umschaltelementes 403 erfolgen, so dass zum Einen spezielle Statusinformationen an die entsprechende SteLle im Übertragungsrahmen in der Gegenrichtung eingespeist werden kann ebenso wie jede andere Dateninformation oder im Falle eines groben Fehlers die komplette Umleitung der Information vom regulären Weg 400R1 über die Verbindung 400V1 erfolgen kann. Dabei wird dann über die - 1 -

Steuerverbindung 401 ST2 zu Umschaltelement 404 eine Übertragung über 400R1 unterbunden, sollte der Fehler in dem Ring Rl aufgetreten sein. A-nalog erfolgt dies für die andere Richtung über Kontrolleinheit 402 und Auswerteeinheit 408. Hier wird nun über den Steuereingang 402ST1 die Verbindung 400V2 wenigstens teilweise aktiviert, also Übertragung von Statusinformationen oder anderen Daten bis hin zur gesamten

Datenumleitung entsprechend dem Erfassungselement 410 und gleichermaßen kann die reguläre Weiterleitung im Ring R2 über 400R2 durch den Steuereingang 402ST2 des Umschaltelementes 403 unterbunden werden. Erfindungsgemäß kann zusätzlich eine Verbindung zwischen den Kontrolleinheiten vorgesehen sein, hier gestrichelt dargestellt, um solche Maßnahmen zwischen den Kontrolleinheiten abhängig von entsprechenden

Fehlern bzw. der Wichtigkeit der Fehler, die dazu in eine Prioritätstabelle eintragbar sind, abgestimmt werden.

In Figur 5 ist nun die gleiche Funktion für einen Teilnehmer mit Tateinheit 511 dargestellt, wobei auch hier die Kontrolleinheiten 501 und 502, Answerteeinheiten 505 und 508, Erfassungseinheiten 507 und 510, Einkoppeleinheiten 506 und 509, Umschaltelemente 503 und 504, die entsprechenden Steuereingänge 501ST2 und 501ST1 sowie 502ST2 und 502ST1 zur Aktivierung der Verbindungen 50>ÖV1 bzw. 500V2 vorgesehen sind, um eine Dateneinkopplung in die verschiedenen Ringe oder eine Umschaltung des Eingangs 500E1 auf den Ausgang 500A2 oder des Eingangs 500E2 auf den Ausgang 500A1 zu ermöglichen. Dieser Teilnehmer unlerscb-eidet sich vornehmlich dadurch, dass er eine Takteinheit 511 enthält und somit als Master oder Backup-Master im System fungieren kann. Ansonsten entspricht die Funktion der genannten Teile der in der Figur 4 bereits beschriebenen. Auch hier kann eine Verbindung der beiden Kontrolleinheiten 501 und 502 zur Abstimmung vorgesehen sein.

In Figur 6 ist beispielhaft ein Rahmen zur Datenübertragung vorgesehen, so dass alle Daten in synchronen Rahmen ... Frames übertragen werden, wobei jedem am Voting beteiligten Knoten ein bestimmter Datenbereich zugeordnet ist. L er vorgeschlagene Frame beginnt hier mit einer Prearnbel P, die den Anfang des Rafcnnens markiert. Danach ist mit S die Statusinformation, die von einem Bit bis zu einem Byte oder mehreren Bytes umfassen kann, dargestellt. DT1, DT2 bis DTN entspricht den Datenbereichen der jeweiligen Teilnehmer Tl, T2 bis TN, also in den Figuren vorher 103 bis 110 respektive 200, die am Voting beteiligt sind. Mit CI sind weitere Kontrollinf rmationen vorgesehen und mit LI Iκωp-Informationen und EOF zeigt das End of Fra e;, also das Rahmenende an. So können nun gemäß Figur 4, 5 und 6 Slatusinformationen durch Auswertung eines Rings entsprechend der jeweiligen Auswerteeinheit 406, 408, 506 oder 508 und Übergäbe der mformation an den entgegengerichteten Ring in einem speziellen Statusbereich S mit entsprechender Auswertung dieser Statusinformation im jeweils näclasten Knoten oder Teilnehmer Fehler erkannt und somit Korrekturdaten eingekoppelt werden oder gänzlich auf die jeweilige Verbindung im Falle eines Defekt-Status eines Teilnehmers oder einer Leitung zwischen den Teilnehmern umgeschaltet werden. D. h. beispielsweise bezogen auf Figur 4 oder Figur 5, dass die Information, insbesondere die Statusinformation aus der einen Richtung über den Eingang E2, also 400E2 oder 500E2 in die Kontrolleinheit eingeht und ausgewertet wird und andererseits in der Gegenrichtung über den Eingang

El, also 400E1 oder 500E1 ebenfalls in die Kontrolleinheit 501 bzw. 401 eingeht und dort ausgewertet wird, wie in Figur 4 beschrieben. Somit können Felaler, insbesondere Unterbrechungen von Leitungen zwischen zwei Knoten oder Teilnehαnem automatisch detektiert werden und zwar genauso wie den vollständigen Abriss beider Ringe an dieser Stelle oder der vollständige Ausfall eines Teilnehmers. Dabei wirkt ein Teilnehmer als

Master und gibt den Takt seiner Takteinheit für das gesamte Netzwerk, also das gesamte System vor. Dabei kann die Takteinheit, wie bereits beschrieben, redundant realisiert werden und im Falle eines Masterteilnehmerfehlers kann jeder Knoten, der Zugang zu einem solchen taktgenerierenden Element, also zu einer solchen Takteinheit hat, die Funktion übernehmen. Abhängig von der Schwere des Fehlers kann dann, wie bereits in den Figuren 2 und 3 beschrieben, entweder eine vollständige Umschaltung des Datenstroms, also eine Umleitung von einem Ring auf den anderen Ring erfolgen oder aber in weniger schweren Fällen ein Bypass realisiert werden. D. h. neben dem Vorbeileiten kann dabei auch eine Korrektur eben durch Einkoppeln von Information aus der anderen Kontrolleinheit des gegenüberliegenden Kreises, wie bereits beschrieben, erfolgen.

Entsprechend Figur 6 wird die Information bzw. die Daten des Systems in Rahmen vorgegebener Länge übertragen. Dabei können beispielsweise 32, 64- oder 128 Bytes oder auch beliebige andere Rahmenlängen eingesetzt werden. Jeder Rahmen beginnt mit einer

Preambel P und die Daten sind derart codiert, dass beispielsweise durch eine PLL eine Taktrückgewinnung erfolgen kann. Dabei kann die Datenübertragung auf einem elektrischen physikalischen Layer erfolgen, wie beispielsweise LVOS, Low Voltage Differencial Signaling oder UTP Unshealded Twistet Pairs. Für alle aktiven Knoten oder Teilnehmer, also diejenigen, die am Voting teilnehmen, sind Rahrπe-αpositionen DT1, DT2 bis DTN entsprechend des jeweiligen Teilnehmers vorgesehen. Dabei hängt die Länge von der vorgebbaren Zahl an Teilnehmern oder Knoten ab, die am Voting teilnehmen. Wegen der synchronen Arbeit aller Knoten oder Teilnehmer, also Benutzamg der gleichen Taktfrequenz des gleichen Taktes ist es möglich, alle Informationen bzwr. die gesamten Daten zu Bypassen, die nicht durch den betroffenen Teilnehmer generiert worden sind. Eine optimale Realisation eines solchen Bypasses benötigt ... zwei oder drei Flipfiops bzw. vergleichbare Speicher und Verzögerungselemente, um die neuen Daten, die durch jeden Teilnehmer eingebunden werden können, mit der zu bypassenden Datenmenge an dieser jeweiligen Struktur im Rahmen synchronisieren zu können. Damit, unabhängig von der einzufügenden Datenmenge respektive den einzufügenden Daten des betreffenden Teilnehmers wird die gesamte Datenstruktur oder werden die gesamten Daten lediglich für zwei oder drei Takte bei jedem Knoten verzögert und erscheinen somit nahezu simultan für alle empfangenden Teilnehmer. Wird eine festgelegte Rahmenposition für die Daten jedes Teilnehmers verwendet, wird kein Adress-Overnead benötigt. Damit kann die gesamte Datenrate bzw. der gesamte Rahmen nahezu vollständig für brauchbare Informationen verwendet werden. Kombiniert mit der simultanen Übertragung aller Knoten entsteht eine sehr kurze Datenaustauschperiode., auch für komplexe Prozeduren.

An dieser Stelle soll nochmal kurz die Votingprozedur oder der Bewertungsvorgang beschrieben werden. Um ein Voting durchzuführen, muss jeder Teilnehmer die Möglichkeit haben, einfache arilhmetische, logische und Vergleichsoperationen auszuführen. Dazu kann beispielsweise ein einfacher oder kleiner Prozessor in jeder Votingeinheit dienen, diese Aufgäben auszuführen. Dieser kleine Prozessor kann dan-n die Kontrolleinheit darstellen oder in ihr enthalten sein, um den Datenfluss zu kontrollieren, die Statusinformationen auszuwerten und die korrekte Operation der Teilnehmer zu überprüfen, wie bei Figur 4 und Figur 5 beschrieben. Die unterschiedlichen Teilnehmer des Systems führen die Bewertungsprozedur, also das Voting unabhängig voneinander aus. Jeder Teilnehmer bekommt Eingangsgrößen, beispielsweise von Sensoren, und benutzt diese für einen Kalkulations- oder

Berechnungsprozess. Abhängig von den verschiedenartigen Sensoren, die notwendig sind für Sicherheitssysteme, können die Eingangsgrößen der Teilnehmer in einer tolerierbaren Größenordnung differieren. Um aber dennoch von gleichen Eingangsgrößen zu startexn, könnten somit am Beginn der Bewertungsprozedur des Votings alle Eingangsgrößen ausgetauscht, bewertet und entsprechend ersetzt werden abhängig von der jeweiligen Berechnung. Als ein zweiter Schritt wird dann die Berechnung durchgefüh-rt und die Ergebnisse werden ausgetauscht. Danach kann dann das Voting in jedem Teilnehmer durchgeführt werden und die Bewertungsergebnisse können ebenfalls ausgetauscht werden. Durch Auswertung dieser Votingergebnisse können dann die Aktiαatoren beeinflusst werden, um die gewünschte Systemreaktion zu erzielen. Teilnehmer, die unakzeptable Ergebnisse am Ende der Votingprozedur liefern, können von der Bewertung ausgeschlossen werden. Damit können die Teilnehmer, insbesondere die, die nach Ausschluss übrigbleiben, in angepassler Art und Weise ohne wesentlichen Einfluss auf das globale Systemverhalten aggieren. Informationen, um die unterschiedlichen Phasen dieses Bewertungsprozesses voneinander zu trennen, können dabei ebenfalls in der

Statasinformation untergebracht sein, eben die Art der Daten, die übertragen wird ebenso wie die Gültigkeit dieser Daten. Ebenso den Systemstatus und die Zahl der aktiven Teilnehmer sowie den Status dieser Teilnehmer im Hinblick auf das Voting. Damit kann jeder Teilnehmer den Status jedes anderen Teilnehmers bewerten und bei Unterschieden können somit leicht Fehler aufgedeckt werden. Dies ist möglich, da jeder Teilnehmer alle

Informationen aller anderen Teilnehmer erhalten kann, sogar wenn er aus «dem Votingprozess ausgeschlossen wurde. Damit kann auch ein bereits ausgeschlossener Teilnehmer bei erneuter Übereinstimmung mit einem Bewertungsergebnis, beispielsweise durch Masterentscheidung, erneut in den Votingprozess aufgenommen werden. Auf diese Art und Weise können insbesondere transiente Fehler bei Teilnehmern, die nur zu einem vorübergehenden Ausschluss des Teilnehmers führen, erkannt und beherrscht werden.

Die einkommende Dateninformation ist in jedem Teilnehmer zu überprüfen, beispielsweise für Codefehler, Preambeln, Zahl der Bytes, des Rahmens, das EOF-Byte usw. Im Falle fehlender Systemaktivität oder eines Fehlers in der oder anderer aufkommender Fehler, insbesondere des Vorgängerknotens oder Teilnehmers kann dieser, wie oben beschrieben, ausgeschlossen werden. Aus diesem Grund ist die Loop-Information LI nach der Kontrollinformation CI eingeführt, um Informationen des einen Rings, also der einen Übertragungsrichtung auf dem anderen Ring oder der anderen Übertragungsrichtung zu übermitteln, um die Zugänglichkeit des Teilnehmers aus beiden

Übertragungsrichtungen oder beiden Ringen Rl, R2 zu ermitteln. Damit können alle Nichtmasterteilnehmer, da sie die selbe Information wie der Masterteilnehu-ner erhalten, diesen ebenfalls überwachen und selbstständig agieren im Falle unerklärlicher Masterentscheidungen. Damit kann ein Masler aktiv ebenso wie ein fehlerhafter Nichtmaster aus dem System ausgeschlossen werden; entweder mit einem. Bypass, oder durch Umleitung ohne gravierende Sicherheitsrisiken im System zu riskieren, so dass immer die höchstmögliche Funktionalität bei einzelnen oder mehreren Fehlern auftritt. Dies wird nochmal nachfolgend anhand der Figuren 7 bis 10 n her beschrieben.

Figur 7 zeigt noch einmal eine Systemstruktur mit einer Master-Slave-Anordnung 700, einem Master 103 und einem Nichtmaslerteilnehmer 104. Im Block 701 sind redundante Takteinheiten 702 und 703 dargestellt, die entweder dem Master 103 oder dem Nichtmasler 104 zugeordnet werden können und so den Takt für das System, also die Ringe Rl und R2 mit den Teilnehmern 105 bis 110 sowie 103 und 104 vorgeben können. Durch die Realisierung dieser Master-Slave-Kombination 700 mit mehreren

Taktgeneratoren oder Takteinheiten 702 und 703 und räumlicher Nähe zwischen dem Master und dem Nichtmaster ist ein einfacher Ersatz des Masters bei Ausfall auch mit einem Ersatz der bisherigen Datenwege möglich, wie dies in Figur 8 beschrieben ist. Fällt der Masler 103 aus, kann zum Einen eine Verbindung von Teilnehmer 104 zu Teilnehmer 110 bezüglich Ring 1 hergestellt werden und zum Anderen durch Umgehung des schadhaften Masters 103 eine Verbindung zwischen Teilnehmer 110 und Teilnehmer 104 bezüglich Ring 2. Bei Komplettausfall der Master-Slave-Kombination oder aαich eines, wie in Figur 9 dargestellten einfachen Masters 200 mit Takteinheit kann trotzdem ein Betrieb der übrigen Teilnehmer 105 bis 110, wie dargestellt, aufrechterhalten werden, sofern ein Backup-Master, hier 107b, der Zugriff auf eine weitere Takteinheit 900 besitzt, aufrechterhalten werden. Solche Ersatz-Master oder Backup-Master können auch mehrfach im System vorgesehen sein, so dass auch hier eine Sicherheitsskallierung bzw. FehlerskalHerung möglich ist. So kann auch beispielsweise durch Einsatz zweier Backup- Master, wie in Figur 10 beschrieben, 105b und 110b mit Zugriff auf die T kteinheiten 1001 und 1002 bei gleichzeitigem Ausfall des Masters 200 und der Verbindung zwischen den Teilnehmern 107 und 108 die Bildung von Subsystemen erfolgen, die ihrerseits weiterhin eine gewisse Grundfunktion aufrechterhalten können. Sollten drei oder mehr Teilnehmer in einem solchen Subsystem weiterhin enthalten sein, kann ebenfalls das Voting, also die Bewertung, weiterhin durchgeführt werden, und zwar für die Funktionen, die von diesen Teilnehmern kontrolliert werden. Bei weiteren zwei übrigbleibenden

Teilnehmern kann zumindest eine Pay-Safe-Bewertung (???) bei Vergleich der Funktionalitäten eben auf Gleichheit erfolgen. Abhängig von den im System -verwendeten Takteinheiten, also der Zahl und der Anordnung, kann somit eine Skallierung im Rahmen der Fehlersicherheit oder Ausfallsicherheit erfolgen, indem potentielle Subnetzwerke vorgegeben werden können. Mit dieser ei-findungsgemäßen Lösung kann somit ein System für sicherheitskritische Anwendungen mit hohen Echtzeitanforderungen dargestellt werden. Speziell im Falle eines gleitenden Maslers bei Masterausfall waren bisher hohe Einschwingzeiten, insbesondere der PLL auf die neue Systemfrequenz, also den neuen Takt zu recbnen.

Durch die Möglichkeit des Vermeidens dieses gleitenden Masters sowie den Einsatz des gleichen Taktes für beide Ringe oder Übertragungswege kann dies umgangen werden. Gleichzeitig kann vollständige Sicherheit erzielt werden, da in der vorliegenden Struktur mit der entsprechenden Funktion der vollständige Datenaustausch bei Unterbrechung aller Verbindungen zwischen zwei Teilnehmern oder auch eines Totalausfalls eines

Teilnehmers insbesondere des Masters gewährleistet bleibt. Damit ist die Erfindung für alle sicherheitskritischen Anwendungen, insbesondere bei X-by-Wire-Systemen und speziell überall dort, wo eine Bewertung, also ein Voting durchgeführt wird, vorteilhaft einsetzbar.

Claims

Patentansprüche

1. System mit wenigstens drei Teilnehmern zur Übertragung von Daten mit zwei

Übertragungswegen zwischen den Teilnehmern, wobei die Übertragungswege einen ersten Ring und einen zweiten Ring mit jeweils entgegengesetzter Übertagungsrichtung bilden dadurch gekennzeichnet, dass in jedem Teilnehmer eine erste Verbindung vorgesehen ist, durch welche der erste Ring mit dem zweiten Ring verbindbar ist und eine zweite Verbindung durch welche der zweite Ring mit dem ersten verbindbar ist, wobei die Daten beider Ringe in jedem Teilnehmer verarbeitet werden.

2. System nach Anspruch 1 , dadurch gekennzeichnet, dass wenigstens eine

Kontrolleinheit vorgesehen ist, in der eine Statusinformation erzeugt wτr<

3. System nach Anspruch 2, dadurch gekennzeichnet, dass die Statusinformation zwischen den Ringen über die Verbindung ausgetauscht wird.

4. System nach Anspruch 2, dadurch gekennzeichnet, dass eine Auswerteeinheit, insbesondere in der Kontrolleinheit, zur Auswertung der Statusinformation vorgesehen ist, die derart ausgebildet ist, dass wenn sich bei Auswertung der Statusinformation ein Fehler ergibt eine Übertragung der Daten auf jeweils einem Ring unterbunden wird und die Daten statt dessen über die Verbindung zum jeweils anderen Ring übertragen werden.

5. System nach Anspruch 2, dadurch gekennzeichnet, dass die Daten in vorgebbaren Rahmen übertragen werden und eine Einkoppeleinheit, insbesondere in der Kontrolleinheit, vorgesehen ist, die die Statusinformation an einer vorgebbaren Position im Rahmen einkoppelt.

6. System nach Anspruch 1, dadurch gekennzeichnet, dass wenigstens eine Takteinheil in einem Teilnehmer vorgesehen ist, durch welche der erste Ring und der zweite Ring mit einem gleichen Takt zur Übertragung der Daten betrieben wird.

7. System nach Anspruch 6, dadurch gekennzeichnet, dass wenigstens zwei Takteinheiten vorgesehen sind und die Takteinheiten in wenigstens zrwei verschiedenen Teilnehmern enthalten sind.

8. System nach Anspruch 7, dadurch gekennzeichnet, dass inrrner nur eine Takteinheit den Takt zum Betreiben beider Ringe vorgibt und bei Ausfall einer e-rsten Takteinheit die wenigstens zweite Takteinheit den Takt vorgibt.

9. System nach Anspruch 7, dadurch gekennzeichnet, dass die Teilnehmer die die wenigstens zwei Takteinheiten enthalten als Nachbarn im System und in räumlicher Nähe zueinander angeordnet sind.

10. Teilnehmer für ein System zur Übertragung von Daten, wo^~bei der Teilnehmer einen ersten Eingang und einen ersten Ausgang aufweist zur Übertragung der Daten in einer ersten

Richtung und einen zweiten Eingang und einen zweiten Ausgang zur Übertragung der Daten in einer zweiten Richtung, wobei die erste und zweite Richtung einander entgegengesetzt sind dadurch gekennzeichnet, dass eine erste Verbindung vorgesehen ist, durch welche der erste Eingang mit dem zweiten Ausgang verbindbar ist und eine zweite Verbindung vorgesehen ist, durch welche der zweite Eingang mit dem ersten Ausgang verbindbar ist, wobei die Daten beider Richtungen in dem Teilnehmer verarbeitet werden.

11. Teilnehmer nach Anspruch 10, dadurch gekennzeichnet, dass wenigstens eine Kontrolleinheit vorgesehen ist, in der eine Statusinformation erzeugt wird.

12. Teilnehmer nach Anspruch 11, dadurch gekennzeichnet, dass die Statusinformation zwischen den Ringen über eine der beiden Verbindungen ausgetauscOht wird.

13. Teilnehmer nach Anspruch 11, dadurch gekennzeichnet, dass eine Auswerteeinheit, insbesondere in der Kontrolleinheit, zur Auswertung der Stamsinformation vorgesehen ist, die derart ausgebildet ist, dass wenn sich bei Auswertung der Statusinformation ein Fehler ergibt eine Übertragung der Daten auf jeweils einen Ausgang unterbunden wird und die Daten statt dessen über die Verbindung zum jeweils anderen Ausgang übertragen werden.

14. Teilnehmer nach Anspruch 11 , dadurch gekennzeichnet, dass die Daten in vorgebbaren Rahmen übertragen werden und eine Einkoppeleinheit, insbesondere in der Kontrolleinheit, vorgesehen ist, die die Statusinformation an einer vorgebbaren Position im Rahmen einkoppelt.