JP2006515443A - インテリジェント・ネットワーク・コントローラ - Google Patents

Abstract

【課題】 安全なデータ伝送のためのネットワーク・インターフェースについて述べている。
【解決手段】 それにおいてネットワーク・インターフェースは、そのネットワーク・インターフェースの最小限の機能を確保するために必要とされるコンポーネントを囲い込む機能的にカプセル化されたユニットを包含し、カプセル化されたユニットの外側からのアクセスは、特定のイネーブルされたサービスを介して排他的に可能となる。

Description

本発明は、ネットワーク・インターフェースに関し、さらに、安全なデータ伝送のためのネットワークならびに当該ネットワークを作成するための方法に関するものである。

広範各種の応用のために多くの異なるタイプのネットワークが存在する。したがって、伝送の信頼性ならびに安全性に関する要求も多様である。電子メールの伝送については、たとえば、ネットワークへの要求が比較的低いとすることができる。これとは異なり、安全に関するデータ、たとえば自動車における安全に関するデータの伝送に採用されるネットワークの場合には、もっとも高い要求がネットワークに課せられる。

伝送の高い安全性を確保するためには、ネットワークのハードウエアならびにソフトウエアがともに適切に設計されていなければならない。

以下に示す説明は、特にＩＳＯに従ったＯＳＩ参照モデル（基本参照モデル『オープン・システムズ・インターコネクション（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）』）（ＯＳＩ）に関する。これにおいては、通信アーキテクチャが７つのレイヤーに分割される。

伝送の定義済みの安全性の保証について、それらのレイヤーに適した各種の手段が知られている。以下の説明においては、用語『レイヤー』がレイヤーのインスタンスを意味するものとしても使用されている。

たとえば、非特許文献１には、『フォールト・トレラント・ディファレンシャルＣＡＮ‐‐トランシーバ（Ｆａｕｌｔ Ｔｏｌｅｒａｎｔ Ｄｉｆｆｅｒｅｎｔｉａｌ ＣＡＮ‐‐Ｔｒａｎｓｃｅｉｖｅｒ）』についての記述がある。このトランシーバは、信号伝送に使用されるラインの各種の障害状態を検出し、可能であれば障害のないラインを使用して、引き続きそれらのラインを介して信号が伝送されることを可能にする。

このデータ・シートの図６は、このコンポーネントの応用を例示している。それにおいては、ＣＡＮトランシーバが、集積化ＣＡＮモジュールを伴ったマイクロプロセッサによってコントロールされる。この構成は、ライン・システム内に障害もしくは干渉がある場合においてもなお、多くの場合に信号伝送が可能になるという利点を有する。しかしながら、これにはマイクロプロセッサのソフトウエア内における障害からの保護がまったく提供されていない。たとえば、マイクロプロセッサにアプリケーション・サービスのパフォーマンスによって負荷が与えられるか過負荷になり、その結果、それ以降はバス信号に対する応答が不可能となった場合に、その後のバスを介した通信が可能でなくなる。

全体のバス・システムの伝送が擾乱される障害の効果は、はるかに深刻である。これはたとえば、標準に適合しない連続データ・ストリームがバスへ出力されるといった障害の場合である。この種類のデータ・ストリームは、たとえば、ＣＡＮトランシーバをコントロールするマイクロプロセッサの誤った振る舞いによって生じることがある。その種のデータ・ストリームによってバスがブロックされた場合に、ほかのサブスクライバは、それ以降の互いの通信ができなくなる。最初に述べたマイクロプロセッサの過負荷による障害の場合は、このマイクロプロセッサを含むバス・サブスクライバに対して排他的に影響が及ぶが、２番目に述べた障害の場合には、全体のバス・システムをブロックし、システムの本質的な動作の故障を招く可能性がある。この種の状態は許容できるものでなく、特に、安全が決定的な、たとえば自動車での応用においては許容できない。

この種の障害を許容可能なレベルまで減らすためには、マイクロプロセッサの全ソフトウエアの網羅的な（テストの）実行が必要である。このテストにおいては、バスを経由する通信に関係する動作だけでなく、すべての動作のテストが必要になる。これは、原理的にマイクロプロセッサ内の各コードがバスのハードウエア動作へのアクセスを有すること、あるいはマイクロプロセッサの過負荷に起因してバスの動作コントロールの障害を少なくとも導き得ることから必要となる。特に、複数の異なるノードを有する複雑なネットワークにおいては、すべてのノードの、考えられるすべての状態をテストの中で考慮に入れなければならなくなることから、それによって、ほとんど解決できない問題がもたらされる結果となる。実際上は、これが単純化した仮定を基礎とするテストの実行を導いている。それにもかかわらず、テストのための多くの支出ならびに満足し得ない結果が残る。

非特許文献２には、集積化ＣＡＮインターフェースを伴う代表的なマイクロコントローラの一例が述べられている。これは、独立にデータの送受を行うことのできる内蔵ＣＡＮモジュールを包含する。このデータ・シートの表７から明らかになるとおり、ＣＡＮモジュールは、マイクロコントローラの線形アドレス空間上に直接イメージされる。その結果、コードの任意のエレメントに、意図的もしくは非意図的なこのコードへのアクセスが許される。たとえば間接アドレッシングにおける演算内のエラーは、特に決定的となる。この場合にＣＡＮモジュールが線形アドレス空間内にロケートされることから、その種のアドレッシング・エラーが全体のバスの擾乱を導くことがあり得る。たとえばバス・タイミングが非意図的に改変された場合に、正しくないレートのデータの供給が全バス・システムの通信のブレークダウンをもたらすこともある。

可能性のある別の障害は、たとえば、このネットワーク・インターフェースを含むサブスクライバのリセットが、アプリケーションのエラーに起因してトリガされ、あるいはユーザによってトリガされる場合である。その場合においては、そのサブスクライバがネットワーク結合から脱落し、ネットワーク内への再同期が行われなければならない。特に、リング・アーキテクチャを伴うネットワークの場合においては、これがオペレーションのブート・アップから新しい同期までの時間にわたって伝送の障害を導くことがある。この種のオペレーションは、しばしば数秒から数分に及ぶため、たとえば自動車に使用されているような完全なネットワークの障害は許容できるものでない。この開始オペレーションが、サブスクライバ内における障害に起因して可能でなくなった場合には、これが結果としてネットワークの恒久的な欠陥もしくは完全な障害をもたらすことがある。

ＣＡＮバスの例について述べた上記の問題は、当然のことながら、ほかの周知のバス・システムにおいても生じる。イーサネット（Ｅｔｈｅｒｎｅｔ）についての一例が、非特許文献３に掲載されている。そこには、組み込みＰＣＩバス・インターフェースによってマイクロプロセッサの線形アドレス空間内へ直接イメージされるネットワーク・インターフェース・コントローラについての記述がある。

特許文献１は、マイクロプロセッサがシステム・バスを介して直接アクセスすることのできるネットワーク・インターフェース・コントローラについて述べている。これにおいても、ＣＡＮインターフェースについて前述した問題と同じ問題が生じる。

コンピュータ・システムの信頼性を根本的に向上させるアプローチにおいて、特定のオペレーティング・システムには、オペレーティング・システムのコアの本質的な部分のためのいわゆる『保護モード』が備えられている。このソリューションがコンピュータ・システムの全ハードウエアのためのドライバを含んでいることから、このオペレーティング・システムのコアは大きく、したがって障害を受けやすい。このコア内において、たとえばソフトウエア内の障害あるいはいずれかのハードウエア・コンポーネント内の障害に起因して障害が生じると、それによってネットワーク・インターフェースへのサービス提供がなくなることがある。これもまた、前述したネットワークによって相互接続されている全システムの擾乱を招き得る。さらに、これらのオペレーティング・システムにおいては、保護モードで実行される部分と、主として単純なプログラミング・インターフェースに関し、かつあまり安全と関係のない残りの部分の間の分割が行われる。たとえば、ＰＣの従来的なネットワーク・リンクについては、そのハードウエアのためのドライバだけが保護モードで保護されており、そのほかのＴＣＰ ＩＰスタック等といった本質的な機能が従来的な方法でオペレーティング・システム内に実装されている。
Ｅ６２インフィネオン・テクノロジーズＡＧ（Ｉｎｆｉｎｅｏｎ Ｔｅｃｈｎｏｌｏｇｉｅｓ ＡＧ）（ミュンヘン）のデータ・シートＴＬ６２５４‐２Ｇ（２００２年４月３０日発行） インフィネオン・テクノロジーズＡＧ（Ｉｎｆｉｎｅｏｎ Ｔｅｃｈｎｏｌｏｇｉｅｓ ＡＧ）（ミュンヘン）のデータ・シート『Ｃ１６７ＣＲ，Ｃ１６７ＳＲ １６ビット・シングル‐チップ・マイクロコントローラ（Ｃ１６７ＣＲ，Ｃ１６７ＳＲ １６‐ｂｉｔ Ｓｉｎｇｌｅ‐Ｃｈｉｐ Ｍｉｃｒｏｃｏｎｔｒｏｌｌｅｒ）』（２００１年７月発行） ナショナル・セミコンダクタ・コーポレーション（Ｎａｔｉｏｎａｌ Ｓｅｍｉｃｏｎｄｕｃｔｏｒ Ｃｏｒｐｏｒａｔｉｏｎ）のデータ・シート『ＤＰ８３８２０ １０／１００／１００ ＭＢ／秒ＰＣＩイーサネット・ネットワーク・インターフェース・コントローラ（ＤＰ８３８２０ １０／１００／１００ ＭＢ／ｓ ＰＣＩ Ｅｔｈｅｒｎｅｔ Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃｏｎｔｒｏｌｌｅｒ）』（２００１年２月発行） 米国特許第６，４５７，０５６Ｂ１号

本発明は、ネットワークならびに関連するネットワーク・インターフェースを、伝送における高いレベルの安全性、およびバス・システムの擾乱に対する高いレベルの不感性が全体として、テストの支出を最小限にして達成されるような方法で設計するという問題を基礎とする。

この問題に対する発明性のある解決策は、特許請求の範囲の独立請求項に定義されている。本発明の発展は、従属請求項の内容である。

本発明に従ったネットワーク・インターフェースは、ネットワーク・インターフェースの最小限の機能を確保するために必要なコンポーネントを囲い込む機能的にカプセル化されたユニットを包含している。このカプセル化されたユニットの外側からのインターフェースに対するアクセスは、特定のイネーブルされたサービスを経由してのみ可能である。ほかのサービスを経由したアクセス、あるいはネットワーク・インターフェースのハードウエアに対する直接的なアクセスでさえも可能ではない。

このアクセス制限があることから、発明性のあるネットワーク・インターフェースからなるバス・システムの安定性は、そのネットワーク・インターフェースのカプセル化されたコンポーネントによって排他的に決定される。したがって、カプセル化されたユニット内においてハードウエアもしくはソフトウエアを開発し、テストすることが可能になる。テストの複雑性は、アプリケーションのレイヤー等といった、より高次のレイヤーの効果を考慮する必要がなくなることから、あるいは条件付きでのみ考慮すればよいことから従来技術の場合より低い。カプセル化に起因して、それらが従属レイヤーに直接アクセスできなくなり、したがってネットワークの通信に悪影響を及ぼすことが不可能になる。前述の従来技術の考察の中で説明した例に対応するアプリケーションにおいては、ネットワークのデータ・レートをコントロールするためのレジスタに対する直接アクセスが全体のネットワークの動作を危険にさらすことから、間違いなくこのレジスタは、本発明に従ってカプセル化されるゾーン内にロケートされることになる。

さらに、カプセル化されたユニットは、それ自体が独立に動作することが可能であり、したがって接続された機器とのインタラクションを伴うことなく必要とされるネットワーク動作を維持することができる。

カプセル化は、たとえば、適切なハードウエアによって達成することが可能である。一例としてこれを、レイヤー１（物理レイヤー）のコンポーネント、およびレイヤー２（データ・リンク）のコンポーネントを含む集積化ネットワーク・インターフェース・コントローラとすることができ、外部マイクロコントローラを用いて外部からレイヤー２のサービスのインスタンスに対して排他的にアクセスすることが可能になる。当然のことながらレイヤー７までのほかの任意のレイヤーをレイヤー２の代わりに立てることもできる。

同様に、たとえばマイクロコントローラ内においてカプセル化を達成することも可能であり、それにおいては、ネットワーク・インターフェース・コントローラが『保護モード』によってアドレス空間上にイメージされる。この本発明に従った保護モードは、従来技術から公知となる、概してオペレーティング・システムの主要部分、特にすべてのハードウエア・ドライバを含む保護モードと混同されるべきでない。本発明に従った保護モードは、排他的にネットワークに関係する；好ましくはそれが、そのほかのコンポーネント、特にハードウエア・ドライバを含まない。この場合、ネットワーク・インターフェース・コントローラに対するアクセスは、保護モードにおいてのみ可能である。そのため、このカプセル化内のレイヤーのインスタンスは、この保護モードで具体化される。コードの残りの部分からのネットワーク・インターフェース・コントローラに対するアクセスは可能でない。ここでは用語『カプセル化』が、ネットワーク・インターフェースのリアルタイム・サービングのためのリソースの提供もカバーする。このことはまた、対応する割り込みもまたこの保護モードにおいてなされること、あるいは保護モードを実行するために適切なタイム・スライスが利用可能であることを意味する。

基本的に、本質的な、リアルタイムという意味で決定的な動作、すなわちデータの受信、データが正しいことのチェック、ハンド‐シェーク手続き、あるいはまた誤りの場合の繰り返しのための要求等は、カプセル化の中で実行される。リアルタイム能力を保護することによって、実質的により高いスループットの達成が可能になる。したがって、たとえば、すでにこれらの機能を集積化した集積化ネットワーク・インターフェース・コントローラは、完全に正しく受信された大きなデータ・パッケージを、高速インターフェースを介して接続されたホスト・コントローラへ渡すこと、あるいは伝送のためのその種のパッケージを受信することが可能である。

カプセル化は、それ自体、それぞれの要件に適合する形式を有することができる。たとえば、ハードウエアならびにソフトウエアの、ネットワーク・インターフェースの機能を維持するために必要とされるコンポーネントは、カプセル化されたユニット内に都合よく囲い込まれる。このことは、たとえば、全体のハードウエア（ＯＳＩレイヤー１）、およびレイヤー２、３、４の部品、可能性としてはレイヤー７に至るまでの部品もまた囲い込まれることを意味しているとしてもよい。しかしながら、これらのレイヤーのほかの部品は、それぞれのアプリケーションに従ってカプセル化の外にロケートすることもできる。

本発明の特に好適な実施例においては、カプセル化が、Ｎ≧Ｍとして、より低いＯＳＩレイヤーＭからより高いＯＳＩレイヤーＮのサブセットまで広がる。これにおいて、より低いレイヤーは、データ伝送に必要とされる最も低いレイヤーである。

上位のレイヤーＭは、レイヤーＮと同一とすることもできるが、好ましくはレイヤーＮより高くする。したがって、カプセル化は、少なくとも１つの、好ましくは複数のレイヤーを包含する。カプセル化されたユニットの外側からのアクセスは、最上位レイヤーＮのサービスのインスタンスを介して排他的に可能となる。

本発明の別の有利な実施例においては、レイヤー１（物理レイヤー）が提供される場合に、カプセル化がこのレイヤーＭ＝１を伴って開始し、より上位のレイヤーＮ≧２のあらかじめ決定されたサブセットまで広がる。レイヤー１ならびに２、およびさらに上の随意のレイヤーの組み合わせは、ほかのレイヤーとの組み合わせを伴ってのみ、充分に安全なデータ通信が可能になることから特に好都合である。

本発明の別の実施例は、同期ストリームの伝送に関する。これらは、たとえば様々なサブスクライバの間においてマルチメディア・データを伝送するために使用される。これらの同期ストリームのマネジメントは、リアルタイムに敏感であり、ネットワーク・トラフィックの特定の取り扱いを必要とする。特に少なくとも論理リング・ネットワークの場合においては、伝送されるべきデータ量に関して、あるいはリアルタイム能力に関して必要とする要求が比較的低いアプリケーションを伴うネットワーク・ノードもまたこれらのストリームを伝送し、かつ、それらの正しいルーティングを確保しなければならないことから各ネットワーク・ノードにおいて最大の要求が行われる。望ましくない擾乱からの特別な保護をここで達成するために、それらをカプセル化されたユニット内に囲い込む。

本発明の別の実施例は、カプセル化されたユニット内における追加の監視ならびにコントロール機能の提供を包含する。この種の機能は、一方において、誤った呼び出し、または誤ったパラメータによる干渉を回避するために、より高次のレイヤーとのインターフェースの監視を可能にする。他方においては、これらの監視ならびにコントロール機能は、カプセル化されたユニット内のインスタンスのコントロールを可能にする。たとえば、物理ネットワーク接続の監視を行うことが可能である。それに加えて、より高次のインスタンスの機能もまたコントロールされる。たとえば、より高次のインスタンスにおいて機能の障害を検出することが可能であり、その結果として、ネットワーク機能の非常動作のための動作モードをアクティブ化することができる。

より高次のインスタンスの動作の監視は、たとえばウォッチドッグ・タイマによってもたらされるようにしてもよい。正常動作においては、このタイマが正規のアクションまたは、より高次のインスタンスからの呼び出しによってトリガされる。このタイマが、より高次のインスタンス内における動作の障害に起因してトリガ信号を受信しなくなると、所定の期間の後にネットワーク動作に関する非常モードをアクティブ化する。より高次のインスタンスの動作が再び有効になるとすぐに、それらがウォッチドッグ・タイマを再トリガし、それに応答して今度はそれが非常動作を非アクティブ化する。

本発明の別の実施例によれば、あらかじめ決定された基本機能を保護するために、追加の監視ならびにコントロール機能が設計される。この基本機能は、カプセル化されたユニットに接続された、あるいはそれと通信するハードウエアならびにソフトウエア・コンポーネントがまったく機能していない場合、もしくは適正に機能していない場合であってもネットワーク・インターフェースとの通信を可能にする。たとえば、この基本機能は、ネットワーク・インターフェースまたはそれと接続されているデバイスの機能診断を可能にする。同様に、これによってたとえばバス・システムの選択的な起動または終了が可能になる。

本発明のさらに別の実施例においては、カプセル化されたユニット内においてパッケージを伝えるための機能が、好ましくは少なくとも１つの論理リング構造を有するネットワーク内のアプリケーションのために設計される。これによって、マイクロコントローラの不良もしくは過負荷の場合であっても、あるいはマイクロコントローラがほかのタイプの誤動作を呈している場合であってもデータ・パッケージを伝えることが可能になる。ネットワークの機能は、リング内においてノードが受信したデータ・パッケージをリレーすることがまだ可能であることから、個別のノードにおける干渉によって損なわれない。

本発明のさらに別の実施例は、カプセル化されたユニット内に１つの機能を提供し、その機能に援助されてカプセル化されたユニット内のコンポーネントもしくは機能のリセットが可能になる。このリセットは、ネットワークを介して伝送されるコマンドによってトリガされる。その結果、ネットワーク・コンポーネントを定義済みの初期状態へ復帰させることができる。

本発明のさらに別の実施例においては、カプセル化されたユニットが、リセットを外部コンポーネントに対してシグナリングするための追加の手段を包含する。シグナリングは、随意的にハードウエアにより、たとえばシグナリング・ラインによって、あるいはソフトウエアにより、たとえばフラグ、メッセージ等によってもたらすことができる。原理的に、種々のステージにもリセットを提供することができる。たとえば、接続された機器の特定の部分のリセットはソフトウエアによってシグナリングできるが、重大な干渉の場合にはハードウエア・ラインを介して完全なリセットをシグナリングする。この場合においても、たとえばネットワークを介して伝えられるコマンドによってリセットをトリガすることができる。

本発明の別の実施例においては、カプセル化されたユニット、もしくはネットワーク・トラフィックの機能、あるいは個別のノードの機能を随意的に監視するための追加の監視手段が提供される。この種の監視デバイスは、ノードのカプセル化されたユニット内に好都合に提供されるが、複数のノード内に提供することもできる。データ・トラフィックもしくは個別のノードの振る舞いが不完全なとき、この追加の監視手段が、個別のノード、もしくはそれに接続されたデバイス、あるいはネットワークに接続された全体のシステムさえもリセットするためのコマンドを随意的に送出する。検出された障害、もしくは検出された誤動作に従ってカプセル化されたユニットが、それ自体をリセットすることもできる。随意的に、そのアクションに関するエラー・メッセージもしくはレポートがメモリ内にストアされ、あるいはネットワーク内の１ないしは複数のノードへ伝えられる。適切なソフトウエアもしくはウォッチドッグ・タイマもまた監視に使用することができる。

本発明の別の実施例は、カプセル化の外側のコンポーネントを監視するための手段を提供する。たとえばネットワーク・インターフェースを経由してアプリケーションの動作を監視することができる。ネットワーク・インターフェースがリアルタイム・パフォーマンスの可能な安全な動作を確実にすることから、このネットワーク・インターフェースから動作が正しいこと、あるいは応答時間に課せられる要件等の特定の要件に従っていることのチェックも可能である。要件に従っていないときは、この状態を関連するコンポーネント（ハードウエアまたはソフトウエア）へ知らせることができる。これにより、故障許容動作に加えて、特に容易なデバッギングが可能になる。同様に、ほかのネットワーク・ノードあるいは中央監視ユニットへこれを知らせることもできる。随意的に、誤動作しているコンポーネントのリセットがもたらされるようにしてもよい。その場合においては、全体の機器のリセットを行う必要はない；それよりはむしろ、実際に誤動作しているコンポーネントだけをリセットすれば充分であることも少なくない。その種のリセットは、障害または影響を受けたコンポーネントに応じて複数のステージで実行されることもある。

本発明の別の好都合な実施例においては、カプセル化されたユニットが、機器内のコンポーネントとして統合される。これにおいてカプセル化されたユニットの、基本機能を維持するために必要なハードウエア・コンポーネントには、随意的に、残りの機器の電源から独立している別体の電源が備えられる。したがってリング・バスの場合であれば、たとえば、機器のスイッチがオフのときであっても、少なくともレイヤー１および２のサブセットを包含するカプセル化されたユニットが独自の電源を有することから、したがって残りの機器から独立して動作できることから、パッケージを伝えることが可能になる。

本発明のさらに別の好都合な実施例においては、データ伝送のために光学バスが採用される。この場合にはカプセル化されたユニットが、光学コンポーネントを備え、光学トランスミッタに対する排他的コントロールを作用させるように設計される。これにおいては光学出力信号のコントロールだけでなく、単独で光学トランスミッタのアクティブ化もカプセル化されたユニットを介してもたらされる。したがって、たとえば動作の合間にトランスミッタを、エネルギを節約するためにスイッチ・オフするといったことが可能になる。別途のコントロール回路によってトランスミッタのアクティブ化もしくは非アクティブ化が行われることになる場合には、たとえばリング・バスのケースであれば、パッケージの中継を保護することが可能でなくなる。

本発明のさらに別の好都合な実施例においては、カプセル化されたユニットがメッセージ・コントロール付きインターフェースを包含する。このメッセージによるコントロールは、これまで従来技術のネットワーク・インターフェース・コントローラに用いられていたレジスタによるコントロールより、実質的に堅牢かつ信頼性があるメカニズムを構成する。それに加えて、この種のシグナリングは、最近のオペレーティング・システムのメカニズムと一貫性がある。

本発明の別の有利な実施例においては、カプセル化されたユニットがオブジェクト指向インターフェースを包含する。本発明によれば、イネーブルされたオブジェクトに対してのみアクセスが可能になる。この種のオブジェクト指向インターフェースにおいては、ネットワーク・インターフェース自体さえも機能オブジェクトとして表すことができる。

本発明のさらに別の有利な実施例においては、ネットワークを介してネットワーク・インターフェース・コントローラもしくはその部品を新しく構成し、もしくはプログラムすることができる。したがって、随意的に、新しい動作パラメータをはじめ、ファームウエアまたはソフトウエアのコードを、ネットワークを介してダウンロードし、それらをたとえば再書き込み可能メモリ（フラッシュＰＲＯＭ）内にストアすることが可能になる。随意的に、このオペレーションが、ブロードキャストを介して複数のノードの同時プログラミングのために行われるようにしてもよい。

本発明に従ったネットワーク・ノードは、ネットワーク・コントローラを包含し、それが、ネットワーク・インターフェースの最小限の機能を確保するために必要とされるすべてのコンポーネントを包含する機能的にカプセル化されたユニットを含んでいる。これにより、カプセル化されたユニットの外側からのアクセスが、特定のイネーブルされたサービス（８ａ、８ｂ）を介して排他的に可能になる。ネットワーク・ノードには、ネットワーク・コントローラに加えて、ＰＣ、ラジオ、モニタ、ＤＶＤプレイヤー等のハードウエアならびにソフトウエアの任意の所望のアプリケーションを含めることができ、電動ウインドウもしくは照明デバイス等といった単純なコンポーネントのコントロールだけであってもよい。

本発明によれば、少なくとも２つのノードを接続するためのネットワークが、機能的にカプセル化されたユニットを伴う少なくとも１つのノードを包含する。この機能的にカプセル化されたユニットは、ネットワーク・インターフェースの最小限の機能を確保するために必要とされるすべてのコンポーネントを包含しており、当該カプセル化されたユニットの外側からのアクセスは、特定のイネーブルされたサービス（８ａ、８ｂ）を介して排他的に可能になる。

複数のノードの間の安全な接続のためのネットワークを作成するための本発明に従った方法は、複数のノードを接続してネットワークを構成すること、および少なくとも１つのノードのネットワーク・インターフェースのカプセル化を、ネットワーク・インターフェースの最小限の機能を確保するために必要とされるすべてのコンポーネントが包含されるように、かつ当該カプセル化の外側からのアクセスが、特定のイネーブルされたサービス（８ａ、８ｂ）を介して排他的に可能になるように行うことを包含する。信頼性のあるネットワークを作成するために、この方法の最初の２つのステップの連続を相互に交換することも可能である。

以下においては、全般的な発明の概念を限定することなく、図面の参照を伴う実施例を補助として例を用いて本発明を説明する。

図１は、本発明に従ったデバイスを略図形式で示している。バス・ノード（１ａ）は、ほかのバス・ノードとの通信のための接続（２ａ、２ｂ）を包含する。この通信は、たとえば、光学リンクを介して、また電気リンクを介して、あるいは、たとえば無線リンクによってもたらすことができる。同様に、例示されている２つの単方向リンクに代わる双方向リンクもまた企図に含まれている。

さらにバス・ノードは、カプセル化されたユニット（４）およびアプリケーション（３）を包含している。これにおいてアプリケーションは、バス・ノードの複数の異なる機能を表す。この総称的な用語『アプリケーション』は、アプリケーション・レイヤーのそれぞれのＯＳＩレイヤーに加えて従属レイヤーも含むことができるが、カプセル化されたユニットに提供されるレイヤーよりランクが高い。たとえばアプリケーションは、これにおいて使用する意味において、カー・ラジオ、アンプ、通信システム、ブレーキ・システム等とすることができる。

カプセル化されたユニット（４）は物理レイヤー（５）を包含し、それがほかのバス・ノードに対する物理的なリンクのための通信ハードウエアを含む。さらにこのカプセル化されたユニットは、好ましくはより高次のレイヤーからなる、より高次のエレメント（６）を含む。これらのレイヤーは、たとえばＯＳＩレイヤー２もしくは３から生じるものとすることができる。それらには、たとえばデータ・レートのマネジメント、誤り検出、フロー調整等を含めることができる。より高次のエレメント（６）と物理レイヤー（５）のエレメントの通信は、内部通信パス（７ａ、７ｂ）を介して行われる。アプリケーション（３）とカプセル化されたユニット（４）の通信は、特定のインターフェースを経由する外部通信パス（８ａ、８ｂ）を介して排他的に可能である。しかしながら、たとえば物理レイヤーとの直接通信は可能でない。

カプセル化されたユニット（４）の実際的な具体化は、たとえば、ほかのノードとの通信のための外向きリンク（２ａ、１ｃ）を有し、さらにアプリケーションへのリンク（８ａ、８ｂ）も有する自給式ネットワーク・インターフェース・コントローラからなる。

図２は、本発明の特に複雑な実施例を略図的に示している。これにおいては、まず、図１と同一のコンポーネントが存在し、それらは対応する参照番号を有している。さらに、追加の、より高次のカプセル化（１０）が提供されている。これには、カプセル化されたユニット（４）、およびその上位にランクされる追加の、より高次のレイヤー（９）が含まれる。このより高次のレイヤー（９）は、通信パス（１１、１１ｂ）によってカプセル化されたユニット（４）と通信する。階層的カプセル化は、障害に対する信頼性ならびにセキュリティの増加を結果としてもたらす。したがって、たとえば、内側のカプセル化されたユニット（４）を別体のハードウエアとして形成し、より高次のカプセル化を、たとえばアプリケーションへのサービスも行うマイクロコントローラ内の保護モードとして形成することができる。しかしながら、カプセル化されたユニット（４）も同様にソフトウエアによって、たとえば共通マイクロコントローラ内の保護モードによって構成することもできる。

追加の手段の例示のために電源（１２）が備えられており、これは、たとえばこの機器の残りの部分に対する電源に障害があった場合に電源の供給を継続し、それによってネットワークの機能を維持する。この電源は、たとえば、ネットワーク・インターフェースをスタンバイ・モードへ切り替えるために、より高次のカプセル化のコンポーネントによってコントロールされるようにできる。それらの定義に従えば、このカプセル化の外側のエレメントは、この電源へのアクセスを有していない。このほかにも保護手段（１３）が、より高次のカプセル化内のアクティビティを、たとえばウォッチドッグ・タイマと類似の態様で監視するために備えられている。

図３は、複数のノードの接続をリング・バスの形式で示している。個別のノード（１ａ、１ｂ、１ｃ）は、全体としてリングを形成するように接続されるリンク（２ａ、２ｂ、２ｃ）を介して通信する。たとえば第１のノード（１ａ）は、第１のリンク（２ａ）を介して第２のノード（１ｂ）へ情報を伝送することができる。後者は、第２のリンク（２ｂ）を介して情報を第３のノード（１ｃ）へ伝送することができる。この円は、第３のノードと第１のノードの間の第３のリンク（２ｃ）によって閉じられる。たとえばここで、第２のノード（１ｂ）が、そのアプリケーションによって、第１のノードからのデータ・パッケージを第３のノードへ中継できない程度まで過負荷となったとすると、第１のノードと第３のノードの間の論理接続もまた中断される。ネットワーク・インターフェース内における本発明に従ったカプセル化によって、このような場合であっても第２のノードは、第１のノードから第３のノードへ、データ・パッケージを中継できる立場にとどまる。したがって、アプリケーションによる第２のノードの過負荷は、バス上のデータの伝送に影響をまったく及ぼさない。

本発明に従ったデバイスを一般的な形式で示した概略図である。 本発明の特に複雑な実施例を示した概略図である。 リング・バスの例について本発明を説明するための説明図である。

符号の説明

１ａ、１ｂ、１ｃ バス・ノード
２ａ、２ｂ、２ｃ ほかのノードへのリンク
３ アプリケーション
４ カプセル化されたユニット
５ 物理レイヤー
６ カプセル化されたユニット内のより高次のエレメント
７ａ、７ｂ カプセル化内の通信パス
８ａ、８ｂ カプセル化とアプリケーションの間の外部通信パス
９ より高次のカプセル化内のより高次のエレメント
１０ より高次のカプセル化
１１ａ、１１ｂ より高次のカプセル化内の通信パス
１２ 電源
１３ セキュリティ手段

Claims (19)

1. 安全なデータ伝送のためのネットワーク・インターフェースにおいて：
   前記ネットワーク・インターフェースが、前記ネットワーク・インターフェースの最小限の機能を確保するために必要とされるコンポーネントを囲い込む機能的にカプセル化されたユニット（４）を包含し、前記カプセル化されたユニットの外側からのアクセスが、特定のイネーブルされたサービス（８ａ、８ｂ）を介して排他的に可能になることを特徴とするネットワーク・インターフェース。
2. 安全なデータ伝送のためのネットワーク・インターフェースにおいて：
   前記ネットワーク・インターフェースが、ＯＳＩレイヤーＭから、ＯＳＩレイヤーＮ≧Ｍのあらかじめ決定されたサブセットまでの機能的にカプセル化されたユニットを包含し、前記カプセル化されたユニットの外側からのアクセスが、ＯＳＩレイヤーＮに対して排他的に可能になることを特徴とするネットワーク・インターフェース。
3. 前記カプセル化されたユニットは、物理的なＯＳＩレイヤーＭ＝１と、ＯＳＩレイヤーＮ≧２のあらかじめ決定されたサブセットの間のすべてのレイヤーを囲い込むことを特徴とする請求項２に記載のネットワーク・インターフェース。
4. 同期ストリームのマネジメントが前記カプセル化内に囲い込まれることを特徴とする請求項１〜３のいずれか１項に記載のネットワーク・インターフェース。
5. 前記カプセル化されたユニット内に、追加の監視およびコントロール機能（１３）が提供されることを特徴とする請求項１〜４のいずれか１項に記載のネットワーク・インターフェース。
6. 前記追加の監視およびコントロール機能（１３）は、前記カプセル化されたユニットに接続された、もしくはそれと通信するハードウエアもしくはソフトウエアのコンポーネントが機能しないか、あるいは適正に機能しない場合であってもあらかじめ決定された基本機能を確保するべく設計されていることを特徴とする請求項１〜５のいずれか１項に記載のネットワーク・インターフェース。
7. 前記カプセル化されたユニット内においてパッケージを中継するための機能が、好ましくは少なくとも１つの論理リング構造を有するネットワーク内のアプリケーションのために提供されることを特徴とする請求項１〜６のいずれか１項に記載のネットワーク・インターフェース。
8. 前記カプセル化されたユニット内において、前記ネットワークを介して伝送されるコマンドによる前記カプセル化されたユニット内のコンポーネントもしくは機能のリセットを可能にする機能が提供されることを特徴とする請求項１〜７のいずれか１項に記載のネットワーク・インターフェース。
9. 前記カプセル化されたユニットは、追加の外部コンポーネントに接続されており、かつそれらの外部コンポーネントに対して、随意的にハードウエアもしくはソフトウエアによってリセットをシグナリングするための追加の手段が提供されることを特徴とする請求項１〜８のいずれか１項に記載のネットワーク・インターフェース。
10. 前記カプセル化されたユニット内において、ネットワーク全体のトラフィックもしくはそれ自体のノードも含めた個別のノードの機能を監視するための追加の監視手段であって、随意的に個別のノード、もしくはそれに接続された機器、あるいは前記ネットワークに接続されたシステム全体を、誤動作の場合にリセットするための選択的コマンドを発行する監視手段が提供されることを特徴とする請求項１〜９のいずれか１項に記載のネットワーク・インターフェース。
11. 前記カプセル化されたユニット内において、前記カプセル化されたユニットの外側のコンポーネントの機能もしくは指定の動作パラメータを監視するための、障害がシグナリングされることを伴い、かつ障害の場合には実行されている関連するコンポーネントのリセットを伴う追加の監視手段が提供されることを特徴とする請求項１〜１０のいずれか１項に記載のネットワーク・インターフェース。
12. 前記カプセル化されたユニットは、コンポーネントとして、基本機能を維持するために必要な前記カプセル化されたユニットのハードウエア・コンポーネント、および特にＯＳＩレイヤー１のコンポーネントとともに機器内に統合され、かつ前記機器の残余の電源と独立している電源を随意的に包含することを特徴とする請求項１〜１１のいずれか１項に記載のネットワーク・インターフェース。
13. データ伝送のための光学バスが提供され、前記カプセル化されたユニットが、光学トランスミッタをコントロールするためのコントロール手段だけを表すように設計されることを特徴とする請求項１〜１２のいずれか１項に記載のネットワーク・インターフェース。
14. 前記カプセル化されたユニットが、メッセージ・コントロール付きインターフェースを包含することを特徴とする請求項１〜１３のいずれか１項に記載のネットワーク・インターフェース。
15. 前記カプセル化されたユニットが、オブジェクト指向インターフェースを包含することを特徴とする請求項1〜１４のいずれか１項に記載のネットワーク・インターフェース。
16. ファームウエアもしくはソフトウエアが、前記ネットワークを介して新しく構成され、かつフラッシュＲＯＭ等のメモリ内にストアされることが可能であることを特徴とする請求項１〜１５のいずれか１項に記載のネットワーク・インターフェース。
17. ネットワーク・ノード（１ａ）において：
    少なくとも１つのネットワーク・インターフェース・コントローラが提供され、それがネットワーク・インターフェースの最小限の機能を確保するために必要とされるコンポーネントを囲い込む機能的にカプセル化されたユニット（４）を包含し、前記カプセル化されたユニットの外側からのアクセスが、特定のイネーブルされたサービス（８ａ、８ｂ）を介して排他的に可能になることを特徴とするネットワーク・ノード。
18. 少なくとも２つのノードを接続するためのネットワークにおいて：
    少なくとも１つのノードがネットワーク・インターフェースを包含し、それが前記ネットワーク・インターフェースの最小限の機能を確保するために必要とされるコンポーネントを囲い込む機能的にカプセル化されたユニットを包含し、前記カプセル化されたユニットの外側からのアクセスが、特にイネーブルされたサービス（８ａ、８ｂ）を介して排他的に可能になることを特徴とするネットワーク。
19. 複数のノードの間における安全な接続のためのネットワークを作る方法において：
    複数のノードを接続してネットワークを構成すること、および少なくとも１つのノードのネットワーク・インターフェースのカプセル化を行うが、前記ネットワーク・インターフェースの最小限の機能を確保するために必要とされるすべてのコンポーネントを囲い込み、かつ前記カプセル化されたユニットの外側からは、アクセスのために特にイネーブルされたサービス（８ａ、８ｂ）を介して排他的にアクセスが行われることを特徴とする方法。
    
    

Images