JP2014520441A - 通信ネットワークのための接続ノード - Google Patents

Abstract

特に通信ネットワーク（１８）のネットワーク要素（１４）と通信ネットワーク（１８）とを接続するための、通信ネットワーク（１８）のための接続ノード（１０）であって、接続ノード（１０）は、ネットワーク要素（１４）を接続ノード（１０）へと接続するための第１のインタフェース（１２）と、接続ノード（１０）を通信ネットワーク（１８）へと接続するための第２のインタフェース（１６）と、を有し、接続ノード（１０）は、通信ネットワーク（１８）とネットワーク要素（１４）との間のデータ交換を、第１のインタフェース及び第２のインタフェース（１２、１６）を介して可能とするよう構成され、接続ノード（１０）は、通信ネットワーク（１８）とネットワーク要素（１４）との間で交換されるデータ（２５）を読出し及び／又は変更し及び／又は遮断するよう構成される、上記接続ノード（１０）が記載される。
【選択図】図１

Description

本発明は、請求項１の上位概念に記載の接続ノード、並びに、独立請求項に記載の制御ユニット、通信ネットワーク、及び方法に関する。

近代的な車両については、複数の電気ユニットを互いに接続するバスシステムが公知である。上記バスシステムの可用性を改善するために、様々なシステムが、バスガーディアン及び／又はソフトウェアベースのソリューションに関して公知である。

本発明の根底を成す問題は、請求項１に記載の接続ノードによって、及び、独立請求項に記載の制御ノード、通信ネットワーク、及び方法によって解決される。有利な発展形態は、従属請求項において示される。

本発明は、通信ネットワークのための接続ノードに関し、その際に、接続ノードは、通信ネットワークのネットワーク要素と、通信ネットワークとを接続する。特にここでは、車両のバスシステムが関わりうる。本発明に係る接続ノードは、ネットワーク要素を接続ノードへと接続するための第１のインタフェースと、接続ノードを通信ネットワークへと接続するための第２のインタフェースと、を有する。接続ノードは、通信ネットワークとネットワーク要素との間のデータ交換を、第１のインタフェース及び第２のインタフェースを介して可能とするよう構成される。このために、接続ノードは、通信ネットワークとネットワーク要素との間で交換されるデータを読出し及び／又は変更し及び／又は遮断するために装置を有する。このデータ交換は、双方向又は一方向に行われうる。バスシステム又はネットワーク要素にエラーが無いと評価された際には、本発明に係る接続ノードは、自身を介して交換されるデータを、一般的に完全に変更せずに（トランスペアレントに）渡す。従って、本発明に係る接続ノードを、例えば電子的な識別信号又は識別子を用いて、防護すべき通信ネットワークに組み込むことも必要ではない。接続ノードは自身の機能を、むしろ見えないようにネットワーク要素のために実行し、特に通信ネットワーク内で発生する危険から、通信ネットワークを防護する。接続ノードは、所謂、通信ネットワーク内に分散された「ミニ・ファイアーウォール」として機能する。

本発明に係る機能を実行するために、接続ノードは特に、各対応するネットワーク要素の時間応答も監視し、例えば、複数のメッセージが時間単位ごとに検出され、設定と比較されうる。追加的に、ネットワーク要素の待ち時間を定め及び／又は強要することが可能であり、即ち、通信ネットワークの初期化と、ネットワーク要素による第１のメッセージの送信と、の間の時間を定め及び／又は強要することが可能である。

接続ノードは、任意の部分に、電子回路として又はコンピュータプログラムを用いて実現されうる。例えば、接続ノードは、少なくとも部分的に所謂「ＡＳＩＣ」（特定用途向集積回路）として、又は、「ＦＰＧＡ」（自由にプログラム可能な集積回路）として実現されうる。

さらに、接続ノードは、当該接続ノードが、付属するネットワーク要素を自律的に、例えば所謂「ＰＵＦ方法」（ｐｈｙｓｉｃａｌ ｕｎｃｌｏｎａｂｌｅ ｆｕｎｃｔｉｏｎ）を用いて認証する。さらに、本発明に係る接続ノードは、通信ネットワークのエネルギー供給線を監視し、場合によっては障害を制御ユニットに報知することが可能である。

通信ネットワーク又はバスシステムは、ほぼ任意に実現可能であり、例えば、直列バスとして若しくは並列バスとして、又は、光ネットワークとして実現可能である。通信ネットワークにより形成される接続線も同様に、多様に実現されうる。例えば、通信ネットワークは、簡素な線形の構造又は線構造を有することが可能であり、その際に、線に沿って、所謂通信ネットワークの加入者である２つ以上の接続ノードが接続される。同様に、通信ネットワークは、分岐して又はスター形状に配置されてもよく、又は、少なくとも部分的に環状構造を有してもよい。

本発明に係る接続ノードは、通信ネットワークの他の監視装置に加えて、及び、当該監視装置とは独立して駆動可能であり、通信ネットワーク、特に、車両のバスシステムを特に良好に防護出来るという利点がある。これにより、通信ネットワークの可用性を高めることが可能である。例えば、通信ネットワークは、悪意のある操作に対して、又は、１つ以上のネットワーク要素の長期の誤った利用に対して守られ、又は、改造され又は破壊されたネットワーク要素による認証されていないメッセージの送信が防止されうる。さらに、通信ネットワークは、それ以外のネットワーク要素の誤った挙動に対しても監視され、場合によっては防護されうる。本発明がもたらす分散した防護機能は、「実時間処理が可能に」実現され、例えば、基本的に追加的に遅延することなく、監視すべきデータ交換を変更し又は遮断することが可能である。さらに、本発明は、通信ネットワークの部分ネットワークにも適用することが可能であり、その際に、対応する利点が獲得される。

本発明に係る接続ノードは、通信ネットワークと、当該通信ネットワークに接続された各ネットワーク要素と、の間にそれぞれ分散して配置され、従って、接続されたネットワーク要素に依存せずにデータ交換を監視することが可能である。さらに、接続ノードは、通信ネットワークの他の接続ノードに依存せずに駆動可能であり、及び、上位の制御ユニットに依存して又は当該制御ユニットに依存せずに駆動可能である。従って、接続ノードは固定的に設定され、又は、駆動中に制御ユニットにより可変的に再設定されうる。制御ユニットとの暗号化されたデータ交換も可能である。従って、本発明の適用範囲は、比較的広い枠において「拡大縮小が可能である」。さらに、通信ネットワークの様々な駆動モードが切り替え可能であることにより、接続ノードを用いて、駆動中の通信ネットワークの動的な設定が可能となる。さらに、本発明は、必要な場合に通信ネットワークを「低下モード」と呼ばれる駆動モードで駆動し、又は、通信ネットワークの部分ネットワークのための排他的な通信チャネルを実現することを可能とする。さらに、本発明は、特に、既存のネットワーク要素を改造する必要がないため、特に安価に実現されうる。

特に、接続ノードが、当該接続ノードを制御する制御ユニットへと接続するための第３のインタフェースを有することが構想される。本発明に基づいて、「制御」という概念において、制御ユニットと接続ノードとの間のデータ交換が、この２つの構成要素が互いに通信可能であるように、及び／又は、接続ノードが制御ユニットによって駆動開始の際に初期化され又は駆動中に設定されうるように、行われると解される。この初期化又は設定の間に、接続ノードは、対応するネットワーク要素を、必要に応じて一時的に通信ネットワークから分離することが可能である。接続ノードによって、対応するネットワーク要素及び／又は通信ネットワークの障害が検出された場合には、接続ノードは、第３のインタフェースを介して、エラーコード又は装置の識別子を特に含みうる適切なメッセージを、制御ユニットへと送信することが可能である。好適に、第３のインタフェースは、論理的及び／又は物理的に、通信ネットワークから分離され、又は、通信ネットワークを介して伝送されるデータから分離される。

第３のインタフェースを用いて、接続ノードは、分離されたチャネルを介して、通信ネットワークの状態に依存せずに制御可能であり、又は通信することが可能である。従って、本発明に係る接続ノードは、監視すべき対象に依存せずに機能する。このことは、正にエラーの場合に非常に利点がある。しかしながら、代替的又は追加的に、接続ノードは、通信ネットワーク自体を介しても制御されうる。このために、上記分離されたチャネルは、例えば、ＦＤＭＡ（ｆｒｅｑｕｅｎｃｙ−ｄｉｖｉｓｉｏｎ ｍｕｌｔｉｐｌｅ ａｃｃｅｓｓ、周波数分割多元接続）又は他の比較可能な技術を用いて、通信ネットワークの物理線を利用することが可能である。これにより、追加的な安全機能が創出され、最終的に、通信ネットワークの可用性が更に高められる。

特に有利に、本発明に係る接続ノードは、通信ネットワーク及びネットワーク要素から構造的及び／又は電気的に独立して実現される。これにより、場合により起こりうるネットワーク要素の障害により、接続ノードの機能が損なわない。

さらに、本発明に係る接続ノードは、ＯＳＩ第２層、及び／又はＯＳＩ第３層、及び／又はＯＳＩ第７層のデータを読出し及び／又は変更し及び／又は遮断するよう構成されうる。「ＯＳＩ」は、「ｏｐｅｎ ｓｙｓｔｅｍｓ ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ、開放型システム間相互接続」の略称であり、様々な通信プロトコルの土台として開発された、国際標準化機構（ＩＳＯ）の階層モデルに関する。従って、接続ノードは、比較的「深く」、自身を介して交換されるデータに介入し、従って、通信ネットワークを適度に徹底的に監視することが可能である。

特に、本発明に係る接続ノードが、以下の機能のうちの少なくとも１つ、即ち、
‐交換されるデータに付随する追加情報、特に、ＣＡＮ識別子又はイーサネットアドレス及び／又はＩＰ（ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ、インタネットプロトコル）アドレス及び／ＭＡＣ（ｍｅｄｉａ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ、媒体アクセス制御）アドレスを読み出して評価する機能と、
‐データ交換を記述する通信構造、特に、ネットワーク要素に関してデータフローの方向を定め、評価し、及び／又は、変更する機能と、
‐通信ネットワークと交換されるデータに関して、ネットワーク要素の状態及び／又は挙動を定める機能と、
‐交換されるデータ、及び／又は、ネットワーク要素の状態及び／又は挙動と、所定のデータ又は所定の状態又は所定の挙動と、を比較する機能と、
‐交換されるデータ、及び／又は、ネットワーク要素の状態及び／又は挙動を評価する機能と、‐データ、特に、設定とは異なるデータを変更し及び／又は遮断する機能と、
‐ネットワーク要素から送信され、特定のＣＡＮ識別子又はイーサネットアドレス及び／又はＩＰアドレスを有するデータに、特にＨＭＡＣ（ｋｅｙｅｄ−ｈａｓｈ ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ、メッセージ認証コード）方法に従い署名を付ける機能と、
‐通信ネットワークを介して受信されるデータの署名を検査する機能と、及び／又は、
‐署名が正しいとして検出された後で、受信されたデータをネットワーク要素へと転送する機能と、
のうちの少なくとも１つを実行するよう構成されることが構想される。

以上、接続ノードの複数の有利な特性又は機能が記載したが、この有利な特性又は機能によって、接続ノードは、特に良好に通信ネットワークを防護し、対応して可用性を高めることが可能である。

本発明の構成は、接続ノードが制御ユニットから、第３のインタフェースと代替的に又は第３のインタフェースに加えて、通信ネットワークを介して制御命令を受信するよう構成されることを構想する。このように、通信ネットワーク内での少なくとも１つの接続ノードの制御は冗長的に、従って特に確実に実施されうる。

更なる別の有利な構成に対応して、接続ノードは、読み出したデータ、又は、当該読み出したデータから導出された情報を記録するよう構成される。従って、接続ノードを介して交換されるデータは読み出され、結合され、設定（「フィルタパターン」）と比較され、評価されうる。このように定められた結果は、局所的に接続ノードに格納され、及び／又は、通信ネットワークの上位の要素へと、特に制御ユニットへと伝達される。そこでは、上記結果は追加的に結合され、設定と比較され、評価され、及び／又は格納されうる。さらに、上記結果に基づいて、記録（「ロギング」、Ｌｏｇｇｉｎｇ）又はエラーメッセージが、接続ノードから制御ユニットへと、又は、制御ユニットから、車両の開ループ制御装置及び／又は閉ループ制御装置へと伝達されうる。加えて、車両の運転者への聴覚情報又は視覚情報が可能である。車両のセキュリティクリティカルなバスメッセージをシグナリングすることが可能であり、これにより、データの信頼性が向上し、専用のバス加入者又は制御ユニットによる確実な記録（ロギング）が可能となる。

特に有利に、接続ノードは、通信ネットワークのワイヤハーネス内、又は、通信ネットワークのワイヤハーネスのプラグコネクタ内に配置される。例えば、接続ノードは、プラグ内、若しくは、ワイヤハーネスのソケット内に配置され、又は、プラグソケットアダプタとしてその間に配置されうる。これにより、設置空間が節約され、接続ノードの配置が簡単になる。既に言及したように、バスシステム又はネットワーク要素にエラーが無いと評価された際には、本発明に係る接続ノードは、自身を介して交換されるデータを、一般的には完全に変更せずに（トランスペアレントに）渡す。

本発明の更なる別の構成において、接続ノードは代替的に、ネットワーク要素と構造的に一体であってもよい。しかしながらその際に、接続ノードは、機能的に、及び、電気的な電圧供給に関して、ネットワーク要素とは独立して実現される。特に、制御ユニットへの接続のための第３のインタフェースも、ネットワーク要素とは独立して実現される。これにより実現される空間的な近さにより、ネットワーク要素を接続ノードへと接続するための第１のインタフェースは、両側で、コストが掛かる電気回路（「物理層、ｐｈｙｓｉｃａｌ ｌａｙｅｒ」）無しに実現されうる。これにより、コストが大幅に削減されうる。その際に、接続ノードが物理的に通信ネットワークを介して制御ユニットと通信する場合には、第３のインタフェースを、接続ノードへの別の接続部として構成することは必ずしも必要ではない。

さらに、本発明は、少なくとも１つの接続ノードと通信し及び／又は少なくとも１つの接続ノードを制御するよう構成された、通信ネットワークのための制御ユニットに関する。制御ユニットは、通信ネットワーク内に分散して配置された接続ノードの機能がそれにより互いに調整される上位のユニットである。これにより、エラーの場合にも通信ネットワークの最善の駆動を実現するために、通信ネットワーク全体の構造を監視し、場合によっては調整して変更することが可能である。このことは例えば、接続ノード及び／又はネットワーク要素の再設定又は再初期化によって行うことが可能である。さらに、制御ユニットは、他の制御装置と通信し、又は、必要な場合に自律的にダッシュボード等に知らせを発することが可能である。

追加的に、制御ユニットは、少なくとも１つの接続ノードとの通信、及び／又は、上記制御を少なくとも部分的に暗号化により、及び／又は、署名を付けること（Ｓｉｇｎｉｅｒｕｎｇ）により実施することが構想される。これにより、本発明に係る接続ノードの機能が追加的に保証され、例えば、悪意のある操作から防護される。

本発明の更なる別の構成は、制御ユニットが、少なくとも１つの接続ノードを、通信ネットワークから分離されたチャネルを介して及び／又は通信ネットワークを介して制御し、又は、これら複数の接続を介して、少なくとも１つの接続ノードと通信するよう構成されることを構想する。上述の各接続ノードの第３のインタフェースに接続された上記分離されたチャネルによって、制御ユニットと接続ノードとの間の好適な、特に簡単で確実な通信が可能となる。特に、通信ネットワークを介したデータ交換は変更されず、場合により起こりうる通信ネットワークの中断又は短絡によって、制御ユニットと接続ノードとの間の通信が損なわれる可能性がない。上記分離されたチャネルは、線形状、スター形状、又は環形状に形成されうる。このチャネルは、場合によっては、構造的に通信ネットワークのワイヤハーネス内に組み込まれてもよく、及び／又は、同一の物理線を利用し、その際にＦＤＭＡ方法により分離されてもよい。

さらに、本発明は、通信ネットワーク、特に、少なくとも２つのネットワーク要素を互いに接続する車両のバスシステムに関し、その際に、少なくとも１つのネットワーク要素は、本発明に係る接続ノードを介して通信ネットワークへと接続される。例えば、通信ネットワークは、車両のＣＡＮバスシステムであってもよい。本発明は、通信ネットワークの可用性を高め、従って、車両の走行安全性を改善することが可能である。

本発明に係る通信ネットワークは、少なくとも１つの接続ノードが、ネットワーク要素内に配置される監視部に加えて通信ネットワーク内に配置されるように装備されうる。少なくとも１つの接続ノード及び制御ユニットの上記の特性に基づいて、それ以外のバス監視部、例えば、「Ｆｌｅｘ−Ｒａｙ」システムの「バスガーディアン」（Ｂｕｓ−Ｇｕａｒｄｉａｎ）機能が損なわれない。従って、通信ネットワーク全体の可用性が更に高められる。その際に、追加的に、ネットワーク要素に対する意図的で悪意のある操作に対する防護が達成される。

本発明に係る通信ネットワークは、好適に、非同期プロトコル及び／又は非決定論的プロトコルを処理し、特に、ＣＡＮバスシステム内、又は、イーサネット／ＩＰシステム内で所謂ＣＳＭＡプロトコルを処理するよう構成される。「ＣＳＭＡ」は、英語の「Ｃａｒｒｉｅｒ Ｓｅｎｓｅ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ、搬送波感知多重アクセス」の略称であり、遠隔通信及び類似したネットワークにおいてアクセス権を獲得するための分散型の（ｄｅｚｅｎｔｒａｌ）方法を意味する。「ＣＡＮ」は英語の「Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ」を意味し、自動車技術及び自動化技術において利用されるバスシステムを示す。

さらに、本発明は、制御ユニット、及び、独立したチャネル、及び、少なくとも１つの接続ノードを利用して、データが通信ネットワークと少なくとも１つのネットワーク要素との間で読み出され、及び／又は、変更され、及び／又は、遮断される通信ネットワークを駆動する方法に関する。

特に、本発明に係る方法について、通信ネットワークの障害が発生した際に、及び／又は、通信ネットワークに過負荷が掛かった際に、制御ユニットが少なくとも１つの接続ノードを制御することにより、通信ネットワークの通信構造が変更されることが構想される。これにより、通信ネットワークの構造を、例えば、過負荷又はネットワーク内のその他の障害に対する動的な応答として、調整し変更することが可能である。特に、より少ない重要なバスメッセージを破棄し、及び／又は、より少ない重要な送信側ネットワーク要素を通信ネットワークから分離するということが可能である。場合によっては、例えば上記分離されたチャネルを利用して、部分ネットワークのための排他的な通信チャネルを創出することも可能である。

本発明のために重要な特徴がさらに以下の図面において示され、その際に、この特徴は、単独でも又は様々な組み合わせにおいても本発明にとって重要でありうるが、この点に関して再度明示的には言及しない。

以下では、本発明の例示的な実施形態が、図面を参照しながら解説される。
接続ノードのブロック図を示す。 本発明に係る通信ネットワークの一実施形態を示す。 通信ネットワークを駆動する方法を実施するためのフローチャートを示す。

全ての図面において機能が同等の構成要素及び値については、異なる実施形態でも同じ符号を利用する。

図１は、本発明に係る接続ノード１０をブロック図で示している。接続ノード１０は、ネットワーク要素１４（図２参照）に接続するための第１のインタフェース１２を有し、及び、接続ノード１０を通信ネットワーク１８（図２参照）へと接続するための第２のインタフェース１６を有する。さらに、接続ノード１０は、接続ノード１０を制御する制御ユニット２２（図２参照）へと接続するための第３のインタフェース２０を有する。接続ノード１０は、好適な実施形態において、基本的に第１のインタフェース１２及び第２のインタフェース１６に対して対称的に実現される。

接続ノード１０は、第１のインタフェース１２と第２のインタフェース１６との間に双方向のデータパス２４を有し、その際、このデータパス２４は、２つのスイッチ２６及び２８によって分離可能である。データパス２４を介して、データ２５が第１のインタフェース１２と第２のインタフェース１６との間で交換される。ここでは、第１のインタフェース１２及び第２のインタフェース１６は電気的に実現されているが、光学的な実現も同様に可能である。回路３０は、接続ノード１０の更なる構成要素を備え、特に、メモリ３２を備える。データ線３４、３６、及び３８を用いて、回路３０は適切な箇所でデータパス２４と接続される。双方向の制御線４０が、回路３０と第３のインタフェース２０とを接続する。

接続ノード１０は、好適に、自身に属するネットワーク要素１４にすぐに接して配置されるが、ネットワーク要素１４からは独立して実現される。従って、接続ノード１０は、ネットワーク要素１４から構造的に分離されており、同様に、ネットワーク要素１４から独立した電圧供給部を有する。後者のことは、接続ノード１０が、ネットワーク要素１４と構造的に一体に構成される場合にも該当する。

第１の実施形態において、接続ノード１０は制御ユニット２２には接続されず、従って、自律的に動作する。このために、メモリ３２には、接続ノード１０の製造時に、及び／又は、通信ネットワーク１８の始動時に、接続ノード１０を設定するためのデータが格納された。このデータによって、接続ノード１０の動作形態が予め設定される。

更なる別の実施形態において、接続ノード１０は制御ユニット２２と接続され、制御ユニット２２により制御可能であり、即ち、接続ユニット１０は、制御ユニット２２と通信し、又は、制御ユニット２２により初期化され及び／又は設定されうる。このことは、例えば、接続ノード１０と制御ユニット２２との間の双方向のデータトラフィックを用いて行われる。好適に、この接続は、第３のインタフェース２０を介して、及び、通信ネットワーク１８から分離された、即ち独立したチャネル４２（図２参照）を介して行われる。

追加的又は代替的に、接続ノード１０は、第３のインタフェース２０を用いて制御ユニット２２と接続されるのではなく、通信ネットワーク１８を介して制御ユニット２２と接続される。これにより、接続ノード１０と制御ユニット２２との間の上記分離されたチャネル４２が必要ではない。

接続ノード１０の通常の駆動時には、スイッチ２６及び２８が閉鎖され、即ち、データパス２４が、第１のインタフェース１２と第２のインタフェース１６との間で接続される。従って、第１のインタフェース１２と第２のインタフェース１６との間のデータ伝送は変更されずに（トランスペアレントに）行われる。場合によっては、接続ノード１０は、インタフェース１２及び１６を介して交換される双方向の信号を可能な限り正しく渡すために、１つ以上の増幅器、レベル変換器、パルス形成のための手段、シフトレジスタ等を備える。これらの構成要素は、図１には示されていない。

回路３０は、インタフェース１２及び１６上で交換されるデータ２５を、データ線３４及び３６を用いて読出し、連続的に、メモリ３２内に格納された設定と比較して評価する。特に、データ２５に付随する追加情報、例えば、ＣＡＮ識別子、又は、イーサネット（例えばＭＡＣ）アドレス及び／又はＩＰアドレスが読み出され、比較され、評価されうる。これに基づいて、接続されたネットワーク要素１４の状態及び／又は挙動を定めることが可能である。この比較又は評価に従って、データ２５がデータ線３８を用いて変更され、即ち、書き込まれ又は消去されうる。データ２５の変更は、１ビット、１バイト、又は、データパケット全体に関わりうる。

さらに、ネットワーク１４から送信され、及び、予め定められた特定のＣＡＮ識別子、又は、イーサネット・ＩＰアドレスを有するデータ２５には、例えば、所謂ＨＭＡＣ（ｋｅｙｅｄ−ｈａｓｈ ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ）方法に従って署名を付けることが可能である。対応して、受信されたデータ２５は、その署名について検査することが可能である。各署名が正確に検出された限りにおいて、データ２５を、対応するネットワーク要素１４に転送することが可能である。これに対して署名が正しくない場合には、接続ノード１０は、このデータ２５を変更し、又は少なくとも部分的に遮断することが可能である。

特に、回路３０又は接続ノード１０は、ＯＳＩ（ｏｐｅｎ ｓｙｓｔｅｍｓ ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）第２層、及び／又は、ＯＳＩ第３層、及び／又は、ＯＳＩ第７層のデータ２５を読出し及び／又は変更し及び／又は必要に応じて遮断するよう構成される。その際に、各設定から許容しえないほど異なるデータ２５が「フィルタに掛けられることで除去され」、例えば、遮断され又は０と置換される。しかしながら、本発明によれば、接続ノード１０を介して交換されるデータ２５を、場合により変更することも可能であり、従って、上記データ２５は各設定に対応し、ネットワーク要素１４は、可能な限り正しいデータ２５を受信又は送信することが可能である。このことは好適に、通信ネットワーク１８の土台となる通信構造であって、接続ノード１０及び／又は制御ユニット２２に固定的に格納され又は駆動中にも変更されうる上記通信構造が分かった上で行われる。任意に、第３のインタフェース２０を介して伝送される情報を暗号化することも可能である。このために、回路３０は、暗号化又は解読するための手段を有する。

接続ノード１０又は回路３０は、ここでは、ＡＳＩＣ（特定用途向け集積回路）として実現される。対応して、２つのスイッチ２６及び２８も組み込まれ、例えば、トランジスタとして、デジタルゲートとして、マルチプレクサ等として実現される。代替的に、少なくとも部分的にＦＰＧＡ（自由にプログラム可能な集積回路）として、又は、他の適切な技術により、接続ノード１０を実現することが可能である。図１では、データパス２４及びスイッチ２６及び２８を概略的に示しているに過ぎず、双方向のデータ交換のために、場合によっては、異なる回路構造が有効でありうることに注意されたい。

図２は、ここでは（図示されない）車両のバスシステムである通信ネットワーク１８の一例を示す。図２の通信ネットワーク１８は、図面の左側の領域及び右側の領域の２つの部分ネットワーク１８ａ及び１８ｂという形態により実現される。部分ネットワーク１８ａと１８ｂとはそれぞれ、ワイヤハーネス２９ａと２９ｂとにより実現される。

通信ネットワーク１８には、全部で７個のネットワーク要素１４が、全部で８個の接続ノード１０を介して接続される。このために接続ノード１０は、図１で既に示したように、第１のインタフェース１２と第２のインタフェース１６とを有する。図２の一番上のネットワーク要素１４は、互いに独立した２つの接続ノード１０を介して、２つの部分ネットワーク１８ａ及び１８ｂの１つとそれぞれ接続されている。残りの６個のネットワーク要素１４のうちの３個は、それぞれ接続ノード１０を介して、部分ネットワーク１８ａに接続され、３個のネットワーク要素１４は、それぞれ接続ノード１０を介して、部分ネットワーク１８ｂに接続される。

図の右上の領域に示される制御ユニット２２は、チャネル４２によって、８個の接続ノード１０と接続される。このために、チャネル４２は、接続ノード１０の各第３のインタフェース２０へと接続される。チャネル４２は、通信ネットワーク１８から分離されて実現され、又は、部分ネットワーク１８ａ及び１８ｂから分離されて実現される。特に、チャネル４２は、通信ネットワーク１８への直接的な電気的接続線を有さない。

上記分離されたチャネル４２は、例えば、通信ネットワーク１８とは独立した電気的又は光学的な接続線であって、別体で実現され又は構造的に通信ネットワーク１８のワイヤハーネス２９ａ又は２９ｂ内に配置される上記接続線であってもよい。その際、上記分離されたチャネル４２は、少なくとも部分的に、線形状、枝状、スター形状、及び／又は、環形状の構造を有しうる。

図２で示すネットワーク要素１４は、例えば、車両の内燃機関、排気装置、及び／又は、オートマチックトランスミッションを制御するための制御装置である。同様に、ネットワーク要素１４は、ＣＡＮバスシステムに接続された他のより小型のユニットであってもよい。制御ユニット２２は好適に、図に示すように、車両の、構造的に独立した装置である。代替的に、制御ユニット２２は、車両のネットワーク要素１４のうちの１つ又は制御装置のうちの１つに電気的に組み込まれてもよい。同様に、接続ノード１０は、有利に、通信ネットワーク１８のワイヤハーネス２９ａ及び２９ｂ内に固定的に配置されてもよく、又は、ワイヤハーネス２９ａ及び２９ｂのプラグコネクタハウジング内に固定的に配置されてもよい。このことは、上記の接続ノード１０がＡＳＩＣにより実現される場合には、特に容易に可能である。

制御ユニット２２、及び、場合により接続ノード１０は、特に通信ネットワーク１８の通信構造が格納されたメモリ３２を有する。その際に、特定の通信構造が予め固定的に設定されてもよく、又は、代替的に、制御ユニット２２によって駆動中に変更されてもよい。図２に示される通信ネットワーク１８は、先に述べたように、電気的にＣＡＮバスシステムとして実現されるが、本発明によれば、通信ネットワーク１８の光学的な実施形態も同様に可能である。

接続ノード１０はさらに、データパス２４を介して交換されるデータ２５、又は、データ２５から導出される情報を記録するよう構成される。交換されるデータ２５は読み出され、互いに結合され、設定と比較され、及び／又は評価されうる。このように定められた結果は、チャネル４２を介して制御ユニット２２へと伝達されうる。そこでは、この結果が追加的に結合され、設定と比較され、評価され、及び／又は格納されうる。さらに、この結果に基づいて、記録又はエラーメッセージが、車両の１つ以上の制御装置へと伝達されうる。加えて、車両の運転者への聴覚的又は視覚的情報が可能である。

制御ユニット２２は、ほぼ任意の形態により、通信ネットワーク１８の接続ノード１０と通信し、及び／又は、供給電圧が通じた後に接続ノード１０を初期化する。駆動中にも、制御ユニット２２は、例えば、通信ネットワーク１８の通信構造を最適化し又は場合により起こりうる障害に対して調整するために、接続ノード１０を設定することが可能である。

通信ネットワーク１８内での本発明に係る接続ノード１０の利用によって、記載される車両のバスシステムを特に良好に防護し、通信ネットワーク１８の可用性を高めることが可能となる。図２の２つの部分ネットワーク１８ａ及び１８ｂはさらに、互いに独立して防護されうる。図で示されるのとは異なって、通信ネットワーク１８は、別の数の接続ノード１０を有することも可能である。同様に、例えば、接続ノード１０が各タスクのために固定的に設定され、制御ユニット２２への記録の伝送が必要ない場合には、利用される接続ノード１０の全てが、チャネル４２を介して接続されるわけではないということも可能である。さらに、ネットワーク要素１４の全てに接続ノード１０が割り当てられるわけではないということも構想されうる。

さらに、本発明によれば、接続ノード１０の初期化及び／又は設定、及び／又は、記録の伝送を、上記分離されたチャネル４２を介する代わりに、代替的に通信ネットワーク１８を介して行うことが可能である。従って、チャネル４２上で場合により障害が発生した際にも、接続ノード１０の正しい駆動を可能にすることが出来る。同様に、チャネル４２を全面的に省略することにより、本発明を特に安価に実施することが構想されうる。従って、本発明は、一方ではコストに関する各要求に対応して、他方では機能に合わせて拡大縮小することが可能である。

図示されない代替的な実施形態において、接続ノード１０は、ネットワーク要素１４と構造的に一体である。しかしながらその際に、接続ノード１０は、機能的に、及び、電圧供給に関して、ネットワーク要素１４とは独立して実現される。特に、制御ユニット２２への接続のための第３のインタフェース２０も、ネットワーク要素１４とは独立して実現される。これにより、比較的コストが掛かる電気回路（英語ではｐｈｙｓｉｃａｌ ｌａｙｅｒ（物理層））が、ネットワーク要素１４と接続ノード１０との間の第１のインタフェース１２上で、両側で不要である。これにより、コストを大幅に削減することが可能である。場合によっては、接続ノード１０は、通信ネットワーク１８に接続するために利用される、ネットワーク要素１４の電気回路（「物理層」）に組み込むことが可能である。好適に、接続ノード１０は、機能的に、通信ネットワーク１８に接続するために利用される電気回路と、残りのネットワーク要素１４と、の間に配置することが可能である。このことも同様に、図２には示されていない。さらに、接続ノード１０が物理的に通信ネットワーク１８を介して制御ユニット２２と通信する場合には、第３のインタフェース２０を、接続ノード１０上の分離された接続部として構成することは必ずしも必要ではない。

図３は、通信ネットワーク１８を駆動する方法５０を実施するための簡単なフローチャートを示す。図の上の領域に示される開始ブロック５２において、基本的に接続ノード１０の挙動を特徴付ける図３で示されるシーケンスが開始される。

後続のブロック５４で、データパス２４を介して交換されるデータ２５が読み出され、例えばＣＡＮ識別子のような追加情報が評価される。その際に、データ２５の交換を記述する通信構造が定められて評価され、特に、各対応するネットワーク要素１４に関して、データフローの方向が定められて評価される。さらに、通信ネットワーク１８と交換されるデータ２５に関して、ネットワーク要素１４の状態又は挙動が定められる。

さらに、ブロック５４では、交換されるデータ２５が所定のデータ２５と比較され、評価され、又は、ネットワーク要素１４の状態が、ネットワーク要素１４の所定の状態と比較され、評価される。比較の結果、データ２５がエラーとして評価されず、又は、ネットワーク要素１４の状態がエラーとして評価されない場合には、フローチャートの実行は、連続的にブロック５４の入力口へと戻る。同時に、データ２５が、第１インタフェース１２と第２のインタフェース１６との間で変更されずに渡される。

交換されるデータ２５、及び／又は、ネットワーク要素１４の状態が少なくとも部分的にエラーとして評価される限りにおいて、方法５０は、後続のブロック５６へと進む。ブロック５６では、データ２５を部分的に変更し、又は、それどころか遮断することが可能である。エラーのあるデータ２５又はネットワーク要素１４の状態を記述する記録が、制御ユニット２２へと伝達される。これにより、通信ネットワーク１８の可用性を高めることが可能である。

後続のブロック５８では、接続ノード１０の初期化及び／又は設定のための、場合により生じうる制御ユニット２２からの情報が受信されうる。その後、方法５０は、ブロック５４の入力口へと戻る。ブロック５８での処理は、場合によっては、開始（開始ブロック５２）直後にも実行することが可能であり、例えば、接続ノード１０の最初の初期化の際に、及び／又は、通信ネットワーク１８の駆動中に実行することが可能である。

更なる別の好適な実施形態によれば、接続ノード１０は、以下の機能のうちの少なくとも１つを実行することが可能であり、又は、接続ノード１０は、以下の特性のうちの少なくとも１つを有する。即ち、
‐接続ノード１０は、設定可能なＡＳＩＣとして安価に製造され、好適にワイヤハーネス、例えばワイヤハーネスプラグに組み込まれ、又は代替的に、ネットワーク要素１４のハウジングに組み込まれうる。
‐接続ノード１０は、接続された各ネットワーク要素１４の通信挙動を監視することが可能である。
‐接続ノード１０は、ネットワーク要素１４のためにトランスペアレントに動作し、即ち、ネットワーク要素１４は、接続ノード１０について知識を有する必要がない。
‐接続ノード１０は、設定とは異なるデータパケットをフィルタに掛けて除去することにより、予め設定された通信挙動を強要することが可能である。ネットワーク要素１４の送信挙動のためのフィルタリング基準として、以下の基準が利用される。即ち、
−送信方向が、例えば、ＣＡＮコミュニケーションマトリックス又はＡＵＴＯＳＡＲコミュニケーションマトリックスのような開発の成果物として存在する通信マトリックスからの、ネットワーク要素１４に固有の一部である。
−送信方向が、ＣＡＮネットワークのためのＣＡＮ識別子（ＣＡＮ−ＩＤ）、又は、イーサネットネットワークのためのイーサネットアドレス、及び／又は、インターネットのためのＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスによって検出される。
−ネットワーク要素１４の時間応答、例えば、時間単位ごとのメッセージの最大数、及び／又は、
−更なる別の基準、例えば、ネットワーク要素１４のネットワーク起動後に第１のメッセージを送信することが許されるまでの待ち時間。
‐接続ユニット１０の初期化、その際、接続ユニット１０は（任意に）ネットワークの開始段階において設定可能である。このことにより、動的な再設定に対する代替案としての通信ネットワーク１８の再起動により、ネットワークの問題の解消が可能となる。その際に、接続ノード１０は、この段階のために各ネットワーク要素１４を通信ネットワーク１８から分離することにより、設定のための排他的なネットワークモードを形成することが可能である。
‐過負荷又は通信ネットワーク１８内の他の障害への動的な応答として、（例えば車両内の）通信ネットワーク１８における変更された通信構造を強要すること。上記のフィルタリング基準の変更。
‐例えば、以下のような追加的な（任意の）分散されたネットワークサービスを可能とする。即ち、
−セーフティクリティカルなバスメッセージをシグナリングすること。セーフティクリティカルとして類別される、特定のＣＡＮ−ＩＤ又はＭＡＣアドレス／ＩＰアドレスを有する送信すべきバスメッセージが検出される。このバスメッセージのために、（例えば、ＨＭＡＣ方式に従って）署名が作成され、一緒に送信される。
−セーフティクリティカルなメッセージの検証。特定のＣＡＮ−ＩＤ又はＭＡＣアドレス／ＩＰアドレスを有する受信されたメッセージが検出される。このバスメッセージは、その署名（例えばＨＭＡＣ）が検証された場合に初めて、ネットワーク要素１４へと転送される。
−目立つ挙動を制御ユニット２２に報知する。予め設定された通信挙動と著しく異なる場合には、メッセージが、例えば装置の識別子（ＩＤ）、エラーコード等の制御情報と共に、上記分離されたチャネル４２を介して、制御ユニット２２へと送信される。
−より複雑な接続ノード１０が、例えば、適切な「ＰＵＦ」（ｐｈｙｓｉｃａｌ ｕｎｃｏｎａｂｌｅ ｆｕｎｃｔｉｏｎ）方法によりネットワーク１４の認証を実現し、及び／又は、
−接続ノード１０は更に、エネルギー供給線を制御する。

その際に、本発明に係る制御ユニット２２は、ネットワーク要素１４の機能を監視し、制御する。その際に、制御ユニット２２は、以下の機能のうちの少なくとも１つの機能を実行し、又は、制御ユニット２２は、以下の特性のうちの少なくとも１つを有する。即ち、
‐接続ノード１０の初期化。接続ノード１０の実現に従って、接続ノード１０は、通信ネットワーク１８の各開始（起動）の際に設定可能である。
‐各接続ノード１０のための、許容され又は禁止された発信及び／又は着信通信のためのフィルタパターンの設定。
‐ネットワーク要素１４内でのエラーの検出後に、制御ユニット２２は、ネットワーク再起動の際に既存の接続ノード１０に配られる新しい通信構造設定を作成する。制御ユニット２２は、車両のダッシュボードを介して、検出された問題について運転者に報告し、再起動を要求する。
‐通信を保証するための１つ以上の暗号鍵の作成。
‐例えばネットワーク要素１４の許容される時間応答に関する、更なる別の制御情報の設定。
‐通信ネットワーク１８内でのクリティカルな状況の検出、及び、予め定められた方法に従った再設定のような適切な応答の生成。
‐例えば再設定を用いた、システムの駆動時間への接続ノード１０の調整及び制御。
‐上述のメッセージに署名を付けることと組み合わせた、クリティカルな事象のより確実な記録（ロギング）。

その際に、各同一のプロトコル（ＣＡＮ、イーサネット／ＩＰ）に従った、ネットワーク要素１４と接続ノード１０との間の通信、又は、接続ノード１０と残りの通信ネットワーク１８との間の通信が進行する。接続ノード１０は、通信加入者としては機能しない。接続ノード１０の制御は、上記分離されたチャネル４２を介して行われる。通信ネットワークの起動段階は、接続ノード１０の設定のために利用されうる。その際に、接続ノード１０は、制御ユニット２２の同期信号が受信されるまで、ネットワーク要素１４を通信ネットワーク１８から分離する。従って、接続ノード１０の設定のための排他的な媒体が形成される。

さらに、他の形態による物理的な通信方法を、同一の物理線上で利用することが可能である。チャネル４２は、別の物理線である。

Claims (16)

1. 特に、通信ネットワーク（１８）のネットワーク要素（１４）と前記通信ネットワーク（１８）とを接続するための、前記通信ネットワーク（１８）のための接続ノード（１０）において、
   前記接続ノード（１０）は、前記ネットワーク要素（１４）を前記接続ノード（１０）へと接続するための第１のインタフェース（１２）と、前記接続ノード（１０）を前記通信ネットワーク（１８）へと接続するための第２のインタフェース（１６）と、を有し、前記接続ノード（１０）は、前記通信ネットワーク（１８）と前記ネットワーク要素（１４）との間のデータ交換を、前記第１のインタフェース及び前記第２のインタフェース（１２、１６）を介して可能とするよう構成され、前記接続ノード（１０）は、前記通信ネットワーク（１８）と前記ネットワーク要素（１４）との間で交換されるデータ（２５）を読出し及び／又は変更し及び／又は遮断するよう構成されることを特徴とする、通信ネットワーク（１８）のための接続ノード（１０）。
2. 前記接続ノード（１０）は、前記接続ノード（１０）を制御する制御ユニット（２２）へと接続するための第３のインタフェース（２０）を有することを特徴とする、請求項１に記載の接続ノード（１０）。
3. 前記接続ノード（１０）は、前記通信ネットワーク（１８）及び前記ネットワーク要素（１４）とは構造的及び／又は電気的に独立して実現されることを特徴とする、請求項１又は２に記載の接続ノード（１０）。
4. 前記接続ノード（１０）は、ＯＳＩ（ｏｐｅｎ ｓｙｓｔｅｍｓ ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ、開放型システム間相互接続）第２層、及び／又は、ＯＳＩ第３層、及び／又は、ＯＳＩ第７層のデータを読出し及び／又は変更し及び／又は遮断するよう構成されることを特徴とする、請求項１〜３の少なくとも１項に記載の接続ノード（１０）。
5. 前記接続ノード（１０）は、以下の機能のうちの少なくとも１つ、即ち、
   −前記交換されるデータ（２５）に付随する追加情報、特に、ＣＡＮ識別子、及び／又は、イーサネットアドレス、及び／又は、ＩＰ（ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ、インタネットプロトコル）アドレスを読み出して評価する機能と、
   −前記データ（２５）の前記交換を記述する通信構造、特に前記ネットワーク要素（１４）に関して前記データフローの方向を定め、評価し、及び／又は、変更する機能と、
   −前記通信ネットワーク（１８）と交換される前記データ（２５）に関して、前記ネットワーク要素（１４）の状態及び／又は挙動を定める機能と、
   −前記交換されるデータ（２５）、及び／又は、前記ネットワーク要素（１４）の前記状態及び／又は前記挙動と、所定のデータ（２５）又は所定の状態又は所定の挙動と、を比較する機能と、
   −前記交換されるデータ（２５）、及び／又は、前記ネットワーク要素（１４）の前記状態及び／又は前記挙動を評価する機能と、
   −データ（２５）、特に、設定とは異なるデータ（２５）を変更し及び／又は遮断する機能と、
   −前記ネットワーク要素（１４）から送信され、及び、特定のＣＡＮ識別子又はイーサネットアドレス又はＩＰアドレスを有するデータ（２５）に、特にＨＭＡＣ（ｋｅｙｅｄ−ｈａｓｈ ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ、メッセージ認証コード）方法に従って署名を付ける機能と、
   −前記通信ネットワーク（１８）を介して受信されるデータ（２５）の前記署名を検査する機能と、
   −前記署名が正しいとして検出された後で、前記受信されたデータ（２５）を前記ネットワーク要素（１４）へと転送する機能と、
   のうちの少なくとも１つを実行するよう構成される、請求項１〜４の少なくとも１項に記載の接続ノード（１０）。
6. 前記接続ノード（１０）は、前記制御ユニット（２２）から、前記第３のインタフェース（２０）と代替的に又は前記第３のインタフェース（２０）に加えて、前記通信ネットワーク（１８）を介して制御命令を受信するよう構成されることを特徴とする、請求項２〜５のいずれか１項に記載の接続ノード（１０）。
7. 前記接続ノード（１０）は、読み出されたデータ（２５）、又は、前記読み出されたデータ（２５）から導出された情報を記録するよう構成されることを特徴とする、請求項１〜６の少なくとも１項に記載の接続ノード（１０）。
8. 前記接続ノード（１０）は、前記通信ネットワーク（１８）のワイヤハーネス（２９ａ、２９ｂ）内、又は、前記通信ネットワーク（１８）の前記ワイヤハーネス（２９ａ、２９ｂ）のプラグコネクタ内に配置されることを特徴とする、請求項１〜７の少なくとも１項に記載の接続ノード（１０）。
9. 請求項１〜８のいずれか１項に記載の少なくとも１つの接続ノード（１０）と通信し、及び／又は、前記少なくとも１つの接続ノード（１０）を制御するよう構成されることを特徴とする、通信ネットワーク（１８）のための制御ユニット（２２）。
10. 前記制御ユニット（２２）は、前記少なくとも１つの接続ノード（１０）との前記通信、及び／又は、前記制御を、少なくとも部分的に暗号化により、及び／又は、署名を付けることにより実行するよう構成されることを特徴とする、請求項９に記載の制御ユニット（２２）。
11. 前記制御ユニット（２２）は、前記少なくとも１つの接続ノード（１０）を、前記通信ネットワークから分離されたチャネル（４２）を介して及び／又は前記通信ネットワーク（１８）を介して制御し、又は、複数の前記接続を介して、前記少なくとも１つの接続ノード（１０）と通信するよう構成されることを特徴とする、請求項９又は１０に記載の制御ユニット（２２）。
12. 通信ネットワーク（１８）、特に、少なくとも２つのネットワーク要素（１４）を互いに接続する車両のバスシステムにおいて、少なくとも１つのネットワーク要素（１４）が、請求項１〜８のいずれか１項に記載の接続ノード（１０）を介して、前記通信ネットワーク（１８）へと接続されることを特徴とする、通信ネットワーク（１８）。
13. 前記少なくとも１つの接続ノード（１０）は、ネットワーク要素（１４）内に配置される監視部に加えて、通信ネットワーク（１８）内に配置されることを特徴とする、請求項１２に記載の通信ネットワーク（１８）。
14. 前記通信ネットワーク（１８）は、非同期プロトコル及び／又は非決定論的プロトコル、特にＣＳＭＡプロトコルを利用した、ＣＡＮバスシステム内又はイーサネットシステム及び／又はＩＰシステム内でのデータ伝送のために構成されることを特徴とする、請求項１２又は１３に記載の通信ネットワーク（１８）。
15. 制御ユニット（２２）及び独立したチャネル（４２）及び少なくとも１つの接続ノード（１０）を利用して、データ（２５）が、前記通信ネットワーク（１８）と少なくとも１つのネットワーク要素（１４）との間で読み出され、及び／又は、変更され、及び／又は、遮断されることを特徴とする、請求項１２〜１４のいずれか１項に記載の通信ネットワーク（１８）を駆動する方法（５０）。
16. 前記通信ネットワーク（１８）の障害が発生した際に、又は、前記通信ネットワーク（１８）に過負荷が掛かった際に、前記制御ユニット（２２）が前記少なくとも１つの接続ノード（１０）を制御することにより、前記通信ネットワーク（１８）の通信構造が変更されることを特徴とする、請求項１５に記載の方法（５０）。
    

Images