JP5033199B2 - 分散通信システムのノード、分散通信システムに結合されたノード及び監視装置 - Google Patents

Description

本発明は、分散通信システムのノードに関し、更に、分散通信システムに関し、及び分散通信システムのノードに結合された監視装置にも関するものである。

分散通信システムに用いられるいくつかのプロトコルがある。自動車の分野では、特にタイムトリガプロトコルが用いられている。そのようなプロトコルの１つがFlexRayプロトコルである。FlexRay通信プロトコルは、自動車の分野又は類似の応用分野における高信頼、高速データ通信の増加する要求に対する自動車産業の回答である。FlexRay通信プロトコルは、参加装置の通信システムへのアクセスを調整するＴＤＭＡ（Time Division Multiple Access）方式に基づいている。しかし、FlexRay通信プロトコルは、より故障に強い分散バス構造を達成するために、自動車通信システム内で、マスター同期ノードを使用することは避けている。FlexRay通信プロトコルは、グローバルタイムベースで合意を達成するために、通信システムを開始する時に、通信システム内で全ての参加ノードの相互同期を必要とする。

FlexRay通信プロトコルは、スタートアップ及び同期フレームを用いる、スタートアップフェーズ用のメカニズムを提供する。更に、FlexRay通信プロトコルは、コリジョンを回避するためのシンボルを送信することを許す。通常、データはスロット内で整列されるフレームを用いて送信される。スロット内の各フレームは、ヘッダーとデータ部分を含んでいる。

FlexRay通信プロトコルに基づくこのような通信システムの動作中に、スタートフェーズの間、特に、単一ノード障害が現れ得ることが認められた。その障害は、ノードのスタートアップを妨げ、可用性を低めるか、あるいは、クリーク形成を引き起こし、全通信システムに論理ネットワークの分割を生じさせる影響を与えるであろう。FlexRay通信プロトコルは、いわゆる、２チャネル送信システムである。異なる、又は、異なる時間の同期フレームを１つのノードの両方の出力チャネルに出力する時に、互いに同期している１つのグループのノードを確立することはできるが、他のグループのノードを確立することはできない。従って、通信システム内の他のグループは、時間的に変位した同期フレームに基づいているので、異なるタイムベースを用い得る。通信システム内のこのようなクリーク形成は、クリークが検出されなければ、通信システムの可用性、あるいは、信頼性を減少する結果になり得る。

スタートアップフェーズの間の同期中に他の障害が、またデータ送信中に一般的な障害も、縮退ビット、又は、フリップビット、タイミングエラー又はスプリアスリセットのような一時的又は永久的ハードウェア障害により引き起こされ得る。

FlexRay通信プロトコルにおいては、各ノードは、データ送信用のスロットを割り当てる。この時間中、他のノードは通信してはならない。従って、全てのノードは、スロット構造と、通信システムのスタートアップ時に決定される、グローバルタイムベースに基づく通信システムの一般的スケジューリングプランとを受け入れることが非常に要求される。

現在、全通信システムの障害になり得る単一ノードの障害を防止する２つの解決手段がある。いわゆるバス監視装置を用いるいくつかのアーキテクチャがある。バス監視装置は、ノードの各通信制御装置に並列に付加され、通信制御装置の媒体へのアクセスを監視し、他のノードがあるタイムスロットの間送信が許されるために特定のノードが媒体にアクセスすることが許されない場合に、あるノードが媒体にアクセスすることを防止するものである。このようなバス監視装置は、ノードの状態について及び媒体が有すべき状態について、自身の判定を形成しなければならない。従って、バス監視装置は、ノードの通信制御装置と基本的に同じ複雑性を有する。バス監視装置は、ホストから通信制御装置と同じコマンドを受信する。従って、バス監視装置は、ホストの障害を検知しないかもしれない。更に、ノードが不正スロットで送信しているかどうかを検知するために、バス監視装置は、送信パス上のフレームのタイミングを概略的にのみチェックし、その内容についてはチェックしない。従って、通信制御装置のこわれたカウンターによる、わずかなタイミングの差異や間違ったフレーム内容のような誤りは、バス監視装置によっては、直接検知できない。

ノードのホスト（ＣＰＵ）によってのみ実施される第２のメカニズムが可能であり、ノードのホストは、通信制御装置からホストへ渡されるデータをチェックし得る。ホストは、通信制御装置の障害の可能性を示す矛盾を監視する。

しかしながら、２つの解決手段は共に欠点がある。すでに示したように、バス監視装置は、通信制御装置の複雑性を倍にする。しかし、バス監視装置は、特にスタートアップの間だけでなく、様々な状態におけるほとんど全ての可能性のある障害に対して、ネットワークを保護する。ホストが通信制御装置により提供される情報に基づいて障害を検知する第２の解決手段は、通信制御装置により提供される情報に依存しなければならないことが不利となる。従って、第２の解決手段は多くの単純誤りに対して十分であるが、通信制御装置のより複雑な誤りはこの情報を偽造するか、以前からの正しい情報を単に繰り返し得る。このように、ホストは、間違いを含む情報に基づいて決定を行い、この決定は通信制御装置の正しくない動作に帰着するのか、全ネットワークの障害に帰着し得る。

従って、誤り検知を増大できるとともに、誤り検知及び軽減が通信制御装置により提供される情報のみに基づく可能性を回避でき、複雑性がバス監視装置より著しく低い解決手段が必要とされている。

そのため、本発明の目的は、１００％ではないフェイルセーフの解決手段を要求するシステムに高度な可用性を提供するため、誤り検知を増大し、複雑性を減少する、分散通信システムのノード、分散通信システム及び監視装置を提供することにある。

本発明の目的は、独立請求項の特徴ある構成により解決される。

本発明は、通信制御装置と同じシリコンチップ上に有利に設けられ、通信制御装置の入力及び出力線の１つ、通信制御装置の内部状態及び／又は通信制御装置よりホストへ提供される情報を監視することによって通信制御装置の動作を解析する、サイドチェッカーとみなせる小さなハードウェアコンポーネント（以後、監視装置という）を提供するという思想に基づく。この監視装置は、他のノードの通信を混乱させる可能性のある通信制御装置の非規定動作を認識する場合に、通信制御装置の誤った又は欠陥のある動作をホストへ知らせる。このとき、ホストは必要な動作を行う責任がある。たとえば、通信制御装置を停止したり、又、他の経路を経る通信制御装置の更なる送信を防ぐ責任がある。従って、分散通信システムにおいて所定数の障害を検知するように構成された簡単で低コストの解決手段が提供される。

特に、監視装置は、通信制御装置内の重要プロセスの正確性を検証するために、カウンター、タイマー及びロジック・アナライザの組み合わせを使用する。本発明のアーキテクチャ、特に、監視装置を用いることにより、監視装置は通信制御装置の前処理情報を使用するため、媒体の状態とノードの状態を決定する複雑性を減少する。更に、監視装置は、その動作が正しいかどうかを決定するために、通信制御装置の入出力情報を使用する。

その上、通信制御装置より監視のために提供される情報量を調整することにより、異なるレベルの障害保護を達成できる。

特に、監視装置を、誤り検出のため、監視される通信制御装置の隣に設置することは、デバッグ線等の内部線を用いることができるようになり、状況をより明確に把握するために、監視される通信制御装置の内部状態を観察できるようになる。

監視装置は、ホストが誤り検知のための定期的かつ追加的なタスクで過負荷になることを防止する専用ハードウェアを意味する。従って、誤りの軽減は、監視装置の専用にし、ホストにもっと達成すべき複雑な戦略を実施させることができる。監視装置は、通信制御装置が誤動作している情報を提供するだけなので、ホストは、通信制御装置を停止するか、通信制御装置をリセットするか、通信制御装置を例えば入出力チャネルのうちの１つのみに設定するか、又は、通信制御装置を受信動作のみを許す非同期方法で動作するように設定するかを決定し得る。

本発明の好適な実施の形態において、監視装置は、通信制御装置から入手できる様々な情報を、その監視のために使用し得る。より多くの前処理情報が監視装置内で使用されるほど、監視装置は複雑にならなくなる。しかし、同時に、監視装置は、通信制御装置の複雑な誤りにもっと影響を受けやすくなる。監視装置の複雑性は、いくつの誤り及びどの誤りが監視装置により検知されるべきかに依存する。

以下の構成の複雑性のコストは、従って、達成されるべき必要な障害保護に対して重みづけられなければならない。

監視装置により検知され得る第１の種類の誤りは、クラスタワイドのスタートアップを阻み得るホストにより引き起こされる誤りである。ホストによる障害コマンドの発生は、ノードがスタートアップ手続きの間に統合され得ないことを引き起こす。その上、誤動作のホストは、継続して出力するコマンド（例えば、READY）により、他のどのノードもコールドスターティングからブロックし得る。従って、ノードは、コールドスタートの試みが決して行われることがない。このような動作の理由は、速く動作しすぎるホストのクロックかも知れない。監視装置は、従って、所定時間内のREADYコマンドの数をチェックし、READYコマンドとRUNコマンドとの間に最小の遅延を強制することにより、この問題を解決し得る。このような障害を避けるために、監視装置は、通信制御装置に提供されるホストのコマンドを監視する。特に、監視装置は、ホストから受信するREADYコマンドをカウントし、時間当たりのREADYコマンド又はREADYコマンド間時間対所定の閾値をチェックする。所定の閾値を破る又は越えるならば、ホストにバグが出て、欠陥状態で動作している可能性が高い。ホストの動作は、当該ノードがネットワークの全ての他のノードにスタートアップを以下のように禁止することを引き起こす。つまり、通信制御装置は、ホストによるRUNコマンドの後に、ネットワークのスタートアップを試みようとするが、ホストの次のREADY（近似的にリセットに等しい）コマンドによりスタートアップをアボートする。これは全ネットワークのスタートアップの全アボートになる。このRUN−READYシーケンスが十分に速く繰り返されるならば、通信制御装置は、常に、媒体をネットワークの第１ノードとして要求するが、スタートアップをアボートする。従って、ネットワークは１つの障害ホストによりスタートアップできない。

ホストのコマンドの監視のために、検知した障害も外部の制御ユニット又は制御インスタンスにレポートすることが必要又は有益であろう。なぜなら、この監視装置は、ホストが多分誤動作しており、従って、エラーレポートに対しても誤って応答するであろうことを検知しているからである。代替的に、監視装置は、単独で、監視される通信制御装置を安全状態で、即ち、フェイル・サイレント・モードで駆動する動作を取ることができる。

監視装置により提供され得る更なる可能性は、クリーク形成を引き起こし得る障害を検知するため、通信制御装置の内部状態を監視することである。このため、監視装置は、通信制御装置のあるべき状態を表す自身の状態変数を維持し、この状態変数を通信制御装置により送られるイベント（例えば、integration_successsful）及びホストにより送られるコマンド（例えば、WAKEUP又はRUN）に基づいて変化する。監視装置は、この内部状態を用いて、通信制御装置により実施される状態変化が、監視装置により維持される状態（例えば、INITIALIZE_SCHEDULEから、通信制御装置からの先行integration_successsfulのイベントのない INTEGRATION_COLDSTART_CHECKへの遷移なし）と、それ自身で一致するように制御する（例えば、READY状態からNORMAL_ACTIVE状態への直接の遷移なし）。これは、通信制御装置にプロトコル定義で禁止されている保護手段を誤って回避させ得る状態マシン内の誤りを検知可能にする。

クリーク形成を引き起こし得る障害を検知するための他の可能性がある。監視装置は、自身のサイクルとスロット値を維持し、通信制御装置により提供されるイベント（例えば、サイクルスタート）に基づきそれらを増加する。監視装置は、上記のように、自身の状態変数も用いる。監視装置は、デバッグ線経由で通信制御装置により示された値に対して、これらのカウンター値をチェックする。通信制御装置は、所定の状態でのみ、これらのカウンターの１つをリセットすることが許されるため、通信制御装置により示されたカウンターが、リセットが許されない状態の監視装置により維持されているカウンターと異なる場合に、監視装置により通信制御装置の欠陥動作を検知することが容易に可能である。このような場合、監視装置は、欠陥動作をホストへ信号で知らせる。この手続きは、いくつかの縮退ビット／フリップビットエラーに対して、保護する。最終的な保護のためであるが、ビットは通信制御装置の送信パイプラインでも縮退／フリップされるため、監視装置は、通信制御装置の送信チャネルで送られるフレームをデコードし、用いられる正しいサイクル／スロットＩＤをチェックする必要がある。後者の変化において、送信されるスロット又はサイクルＩＤが監視装置により維持される各々のカウンターに適合しない場合に、エラーの信号が送られる。

本発明の他の実施の形態において、通信ノードの、いわゆる、バブリング（だらだら続く）シンボル送信を検知できる。すでに上記のように、FlexRay通信プロトコルにおいて、ヘッダーとデータ部分を含むフレームを送信できる。加えて、FlexRay通信プロトコルは、特殊記号を送信可能にする。衝突回避シンボル（CAS）及びウェイクアップシンボル（WUS）がある。それらのシンボルがバス上で送信される場合、他の全てのノードは、これらのシンボルを認識し、ネットワークをウェイクアップ又はスタートアップする自身の試みを中止するであろう。又、このようなシンボルは、他のノードにより送信されるフレームと衝突し、それらを破壊するであろう。従って、誤動作の通信制御装置の場合に、永久にこのようなCASシンボルを送信し、他の全てのノードの正しい送信を禁止し得るであろう。指定された監視装置は、この場合、（上記の２つの可能な実施形態のように）自身の内部状態だけでなく、通信制御装置の送信チャネルを観察し得る。長い低送信周期フェーズは、CAS/WUSの送信を示す。送信されたシンボルの数がカウントされる。通信制御装置の状態に基づいて、所定数より多いCAS/WUS記号が送信される場合には、エラー信号がホストへ送信される。これは、待ちプロトコルをリセットするシンボルの繰り返し受信により、通信制御装置が他のノードをスタートアップすることを禁止することを防止する。バブリングCAS/WUSの防止の場合、所定期間の低送信周期の検知は、監視装置内で実現すべき複雑なデコーディング回路の必要性を除去する。なぜなら、長い低送信周期フェーズの検知は、実際のフレームデコーディングよりも著しく容易だからである。特に、監視装置は、通信制御装置がウェイクアップ状態にあり、所定数（例えば、６３）以上のシンボルが送信されていることを知れば、ホストに通知される。更に、監視装置は、通信制御装置がウェイクアップ状態になく、１つ以上のWAKE-UPシンボルが送信されていることを知れば、ホストに通知される。

本発明の他の好適な実施の形態において、監視装置は、ネットワークが非同期化された同期フレーム送信により引き起こされるクリーク形成を防止できる。FlexRay通信プロトコルは、２チャネルプロトコルであるため、各ホストは同期フレームを送信することが要求され、同期フレームは、同時に両方のチャネルでグローバルタイムベースを達成するために全てのノードにより用いられる。同期フレームを同一スロット内で送信することは十分ではなく、両方のチャネルで同期フレームを送信することは、実際に、同時にスタートしなければならない。従って、監視装置は、スロットカウンターだけでなく、両方の送信チャネルを観察し得る。通信制御装置が、同期フレームスロットとして示される静的セグメントのスロットでの送信を各チャネル上で異なる時間にスタートする場合に、エラーがホストへ示される。これは、ネットワーク上の他のノードが異なるチャネルで同期化するように選択された場合に起こり得るクリーク形成を防止する。

２つの送信チャネル間の非同期化に起因するクリーク形成の防止に関して、両方の送信チャネルの監視は、監視装置のためのデコーディング回路なしで実現することもできる。なぜなら、送信すべき実際のデータから分離して示され得る送信のスタートを観察することで十分だからである（例えば、FlexRayにおけるTxEn対TxD）。

更に、本発明の他の好適な実施の形態において、同期フレームの受信を検証することが可能である。そのわけは、この監視装置は、受信情報のフレームヘッダーをデコードするために、通信制御装置により受信され前処理されたデータを用いるからである。従って、監視装置は通信制御装置に接続され、好ましくストローブされたビットを通信制御装置内で受信され変換された後に受信する。監視装置によりこのようにデコードされる同期フレームヘッダーの数が１サイクルの間カウントされる。監視装置により見られるヘッダーのいくつかは、同期化に無効なフレームに属し得るので、監視装置により決定される同期フレームヘッダーの数は、同期フレームの数の上限値を構成し、その上限値を通信制御装置がホストへ信号で送信し得る。通信制御装置がホストへより多くの同期フレームを見たとの信号を送信する場合には、監視装置はホストへ誤動作を通知できる。これは、通信制御装置が十分な同期フレームを実際に見なかった時に、通信制御装置が、十分な同期フレームを見た主張しそのモードを送信を許すモードへ変更することを防止する。さもなければ、クリークの形成、又はいくつかのノードのみスタートアップしたネットワークが導かれ得る。

監視装置の存在は、局所的にのみ関連するエラーに対する更なるチェックの安価な導入を可能にする。本発明の他の実施の形態において、監視装置は、フレームフォーマットチェッカーを追加的に含み得る。フレームフォーマットチェッカーは、通信制御装置の送信出力チャネルを観察し、フレームを示す低／高及び高／低の信号変化の正しい期待系列が起きているかどうかをチェックする。このフレームフォーマットチェッカーを用いて、監視装置は、期待されるフレーム送信が実際に発生したことを合理的に確証する情報を容易に集め得る。複雑なビット系列は、送信チャネルで送信される通信要素の一部分の単純なパターンに対応づけられるため、複雑なビット系列は、監視装置内で少ない労力で比較され得る。期待されるフレーム送信が発生しないならば、監視装置はホストへ信号を送り、ホストは、例えば、否定応答メッセージを待たなければならない代わりに、直ちに、問題を解決しようと試みることができる（例えば、他のスロットで送信を繰り返すことにより）。

更に、監視装置は、フレームが間違ったスロット又はサイクルで送られていることを検知し得る。上記のように、ノードは、スケジュールに従って、所定のスロットでデータを送信することのみ許されている。このような障害を検知するために、監視装置は、TxD信号を用いて通信制御装置により送信されたフレームのヘッダーをデコードする。監視装置は、slotID及びcycleIDが監視装置により維持されているスロットカウンター及びサイクルカウンターに一致しているかどうかをチェックする（上記を参照）。更に、CRCヘッダーのCRCチェックが監視装置においてなされる。IDチェック又はCRCチェックの不成功は、フレームが間違ったスロットで送信されたことの確かなしるしである。いずれにしても、ホストへの通知がなされる。送信中もプロトコルエンジンにより早期に引き起こされる送信エラーを検知するために、受信時になされる完全なチェックを反復するようにこのメカニズムを拡張できることは、容易に分かる。

最後に、データは通信制御装置に送られたけれども、プロトコルエンジンがNULLフレームを送信することは起こり得る。このような場合、監視装置は、フレームヘッダー内のヌルフレームビット及びホストから受信したコマンドに逆らって第１のペイロードワードをデコードする。

しかし、本発明は、WLANのような非タイムトリガプロトコルに対しても使用し得る。この場合、ホストから通信制御装置に提供されたデータと最後に通信制御装置により送信されたデータとをデコードし比較することにより、通信制御装置により送信されたパケットフレーム内の正しい内容をノードが送信しているかどうかを、監視装置はチェックし得る。更に、本発明は有線媒体又はバスに限定されない。無線通信技術に基づいても動作し得る。

図１は、分散通信システムの一例を示す。 図２は、バス監視装置を有するノードを示す。 図３ａは、バス監視装置ベースの誤り検知を用いたノードを示す。 図３ｂは、ホストベースの誤り検知を用いたノードを示す。 図４は、本発明によるノードの実施の形態を示す。 図５は、本発明による監視装置の内部構成を示す。 図６は、誤動作ホストを検知する本発明による監視装置の実施の形態を示す。 図７は、通信制御装置の内部状態を検知する本発明による監視装置の実施の形態を示す。 図８は、通信制御装置の誤ったスプリアス同期フレームのレポートを検知する本発明による監視装置の実施の形態を示す。 図９は、本発明による通信制御装置の内部構成を示す。

図１は、本発明で使用される通信システムを説明する。図１に示される通信システムは、多くのサブネットワーク（Ａ〜Ｄ）に分割され、各サブネットワークは受動バス又はスターカプラによりサポートされる。

図２を参照して、サブネットワークで使用されるノード１０を詳細に説明する。典型的なフォールト・トレラントなタイムトリガネットワークは、通常、２つの通信チャネルＡ、Ｂで構成され、これらのチャネルにノード１０が接続される。これらのノード１０の各々は、バスドライバー１７と、通信制御装置１５と、ひいては各バスドライバー及びホスト１３のためのバス監視装置１４とを備える。バスドライバー１７は、通信制御装置１５が提供するビット及びバイト情報を、接続している通信チャネルへ送信し、また通信制御装置１５へ通信チャネルＡ、Ｂから受信する情報を提供する。通信制御装置１５は、２つの通信チャネルに接続され、関係データをホスト１３へ送信し、データをホスト１３から受信する。通信制御装置１５は、また、データをフレームに組み立て、データをバスドライバー１７へ送信する。通信チャネルの数は本発明に関係ない。このような２チャネルノード１０の構成は、本願のより良い概観を与えるためにのみ説明される。本発明は上述したノード内のパーツの有無に限定されない。通信制御装置１５は、ノード１０にレイヤ２のアクセスプロトコルのための機能を与えるいわゆるプロトコルエンジン１８を含む。本発明にとってもっとも重要なことは、あらかじめ決定されたＴＤＭＡ方式又は通信スケジュールで媒体にアクセスする機能である。通信システム内部の各ノード１０に対する通信スケジュールは、データを通信システム上で送信する時に、ノード１０間のコンフリクトが発生しないように構成しなければならないことである。バス監視装置１４は、通信スケジュールで指定されるスロット中にのみバス上の送信を可能にする設定データの独立セットを有する装置である。ホスト１３は、データソースとデータシンクを含み、一般にプロトコルアクティビティに関係しない。通信制御装置１５単独ではできない決定のみ、ホスト１３によりなされる。

ノード１０間の同期は、FlexRay通信プロトコルに必要なように、ネットワークへのタイムトリガーＴＤＭＡに基づくアクセスを可能にする必要条件である。通常、各ノード１０は自身のクロックを持っているため、ノードは元来等しいように意図されているけれども、その時間ベースは温度と電圧の変動及び製造ばらつきによって他のノード１０と相違し得る。

各ノード１０内の通信制御装置１５は同期機構を含み、ノード１０は、接続された通信チャネルをリッスンし、同期に適合する、又は、共通クロックレート及びオフセットを制御することができる。

通信システムのネットワークスタートアップは、いわゆる、コールドスタートノードにより取り扱われ、その一つが通信サイクルを開始すると、他のノードが応答する。コールドスタートノードは、設定によって選択されるか、あるいは、いくつかの可能なノードのどれがスタートアップを実行するかを決定するアルゴリズムによって選択される。このアルゴリズムは、一般的に、現存する通信スケジュールが検出されない時はいつも、接続された通信チャネルによってフレーム又は類似の構成物を送信することから成る。コールドスタートノードの通信制御装置１５は、従って、全ての接続された通信チャネルをリッスンしなければならず、同期フレームを含むスタートアップデータを、同時に、全ての潜在的に冗長な通信チャネルに送信しなければならない。通信制御装置１５は、スタートアップを示す特定の同期フレーム又は類似の構成物を受信する場合、観測される通信のタイミングスキームを採用し、通信システムに統合する。

バス監視装置を含むノードの複雑性は高いことが、図２から容易に理解し得る。

従って、本発明によれば、ホスト１３又は通信制御装置１５が誤動作する場合に、通信システムを保護できる監視装置１６を提供することが必須である。

図３ａ及び図３ｂにおいて、ノードにおける誤り軽減のための２つの従来のアプローチが図示されている。

図３ａにおいて、バス監視装置による解決手段が図示されている。バス監視装置１４は、通信制御装置１５とほとんど同じ複雑性を有するので、バス監視装置１４自身は、通信スケジュールに基づいて、通信制御装置１５が所定の時間スロットで送信することが許されているかどうかを監視できる。従って、バス監視装置は、通信システムの状態を認識するために、通信システムに直接結合されている。更に、バス監視装置１４は、誤りを検知した場合は、通信制御装置１５の送信経路を切断できる。しかし、バス監視装置１４のためのコストとスペースは大きい。更に、ほとんどのアプリケーションにとって、１００％のフェイルセーフ解決手段は必要とされない。

図３ｂにおいて、誤り軽減のためのソフトウェアベースの解決手段が図示されている。通信制御装置１５はホスト１３に接続されており、ホスト１３は、通信制御装置１５によりホスト１３へ提供される情報を監視する。受信情報に基づいて、ホスト１３は、通信制御装置１５が正しく動作しているかどうかを評価できる。通信制御装置１５が正しく機能していない場合は、ホスト１３は、送信経路を切断することにより、通信制御装置１５の送信動作を不能にすることができる。しかし、通信制御装置１５が正しく動作しているかどうかの判定は、通信制御装置１５自身により提供される情報に基づいている。従って、この情報は正しくないかもしれない。それ故に、通信制御装置１５を接続するか、切断するかどうかの判定の信頼性は低い。

従って、本発明は、図４に図示される監視装置１６の提供を提案する。監視装置１６は、通信制御装置１５の送信経路に結合され、通信制御装置１５に直接結合され、且つホスト１３へ情報を提供するために情報出力端に接続されている。

こうして、監視装置１６は、カウンター、タイマー及び通信制御装置又はその入出力線の前処理情報により提供される状態をチェックすることにより、所定の誤りを検知できる。

監視装置１６が通信制御装置１５の正しくない動作を検知した場合、この動作はホスト１３へ報告される。従って、ホスト１３は、通信制御装置１５を停止できる、又は、通信制御装置１５をリセットできる。代替的に、又は、追加的に、ホストがTx 経路を切断する場合、図３ｂに類似の解決手段が可能である。しかし、この解決手段は、通信制御装置自身からの情報の代わりに、監視装置からの情報に基づいている。

監視装置１６は、通信制御装置１５と同じシリコンチップ上に実現できるが、同じシリコンチップ上に置く必要はない。構成要素の数は限定されるため、監視装置１６は、通信制御装置１５と共に容易に実現できる。従って、状態を監視するための接続線は非常に短くなり、接続又は送信問題による更なる障害が避けられる。

図５には、このような監視装置１６の内部構成要素の略図が示されている。監視装置１６は、通信制御装置１５から前処理情報、特に、通信制御装置１５内のプロトコルエンジン（PE）１８からのデバッグ線の情報を受信する。更に、監視装置１６は、通信制御装置１５のバスドライバーインターフェース（BD-IF）からの情報又はデータを受信する。最後に、監視装置１６は、通信制御装置１５内の通信制御装置とホストとのインターフェース（CHI）からの情報を受信する。

これらの情報は、データデコーディング及び評価部５３へ提供され、データはデコーディングされる。上記したように、FlexRay通信プロトコルにおいては、データは通常ヘッダーとデータ部分を含むフレームに入れて送信される。従って、データの構造を検出するために、フレームの構造をデコーディングしてへッダーの内容を評価する必要になる可能性がある。通信制御装置１５から、どの情報が提供されるかに依存して、データデコーディング及び評価部５３は情報をデコーディングする。データデコーディング及び評価部５３は、通信制御装置から送られるイベントを評価し、通信制御装置の状態を連続的に追跡するためにその状態をどのように変化させるか、状態コピーメンテナンス部５２に命令する。

更に、データデコーディング及び評価部５３は、通信制御装置１５より供給されたデータを評価し、その評価結果を正確性チェック部５１へ提供する。正確性チェック部５１は、状態コピーメンテナンス部５２に結合され、状態コピーメンテナンス部５２には状態間、関連するタイマ値間及びカウンタ値間の所定の遷移が保存される。これらの保存された情報に基づいて、正確性チェック部５１は、データデコーディング及び評価部５３より提供されたデータと、状態コピーメンテナンス部５２に保存されたデータとを比較できる。この比較に基づいて、通信制御装置１５が正しく機能しているかどうかが、監視装置１６内で評価される。通信制御装置１５の誤った動作の場合、正確性チェック部５１の出力端から警告信号がホスト１３へ提供される。

図６は、ホストのコマンドを監視することにより、ホストの誤った動作を検出するように構成された監視装置１６の一実施形態を示している。これらのコマンドはコマンドデコーダー６２へ提供され、コマンドデコーダー６２は、ホスト１３より通信制御装置１５へ送信されたコマンドを認識する。READYコマンドが認識された場合、インクリメント信号がREADYカウンター６１へ供給される。監視装置１６は満期タイマー６３を含み、満期タイマー６３は、所定期間満了毎に、すなわち、毎秒、READYカウンター６１を０に向かってデクリメントする。READYカウンター６１が所定の閾値、例えば、３を越えた場合、ホスト１３は必要な動作をとるように、通知される。しかしながら、特に、ホスト１３から受信するREADYコマンドを毎回カウントすることによって又はREADYコマンドの間の時間を測定することによってホスト１３の動作が監視される場合には、更に障害信号を付加的な監視装置（図示されていない）に供給して、誤動作しているホスト１３をリセット又は遮断するために必要な動作をとるようにすることが有用である。

図７は、監視装置１６の具現化例を示し、本例では、通信制御装置１５が、クリーク形成を引き起こす通信制御装置１５のスロット又はサイクル計数問題の検知のための複数の情報を提供する。これらの情報はすべて通信制御装置１５の内部端子から直接供給される。監視装置１６は、通信制御装置１５からスロットスタート信号を受信する時に、カウンターを増加することにより、スロットをカウントするスロットカウンター７２を含む。更に、通信制御装置１５からサイクルスタート信号を受信後に増加されるサイクルカウンター７１がある。両方のカウント値（スロット、サイクル）は、比較及びリセット部７３へ供給される。比較及びリセット部７３は、更に、静的スロットの数、通信制御装置のプロトコル操作制御（POC）部の状態、スロットID及びサイクルIDを受信する。これらの信号に基づいて、比較及びリセット部７３は、通信制御装置１５のスロットカウント値及びサイクルカウント値と自身のスロットカウント値及びサイクルカウント値とを比較できる。不一致の場合、例えば、通信制御装置１５のスロットカウンターが、リセットが許されない間にリセットされる場合、誤りが検知されホスト１３へ信号が送られる。

図８は、スプリアス同期フレームレポートの検知を図示する。通信制御装置１５は、受信経路で同期フレームを受信する場合に、同期フレームを認識し同期フレームの受信をホスト１３へレポートする。しかし、通信制御装置１５が受信経路で同期フレームを受信しなくても、また同期フレームを正しく認識しなくても、同期フレームの正しい受信をホスト１３へレポートすることが起こり得る。このような場合、通信制御装置１５は誤動作をしている。同期フレーム受信と同期フレームレポートとの間のこのようなミスマッチを検知するため、監視装置１６は、通信制御装置１５からの前処理受信データを使用する。通信制御装置１５は、デコーダーを含み、デコーダーにおいて、受信ビットは通信制御装置１５内で更に処理される前にストローブされる。これらの前処理された受信データビットは監視装置１６へ供給され、監視装置１６は、これらのストローブされたビットに基づいて、受信ヘッダーが同期フレームに属するかどうかを認識することができる。１サイクルの間、通信制御装置１５により受信される同期フレームヘッダーの数が同期フレームカウンター８１でカウントされる。通信制御装置１５がホスト１３へ、実際に受信した同期フレームの正確な数でない数の同期フレームを受信したことをレポートする場合には、ホストに通信制御装置１５の不正動作が知らされる。

更に、全てのスタートアップノードがドロップアウトした後で、非スタートアップノードのみがネットワークで同期フレームを送り続けている場合には、スタートアップフレームがないため、再び復帰したいノードが復帰できないという問題を引き起こす。新たに、ネットワークをコールドスタートする代替手段も、常にフレームがあるため、ブロックされる。そのような状況を検知し、完全にネットワークを遮断することにより、依然として統合されているホストがこの状況を修復できるようにするため、監視装置１６は、追加的にスタートアップビットセットを有するフレームの数もカウントできる。これは、同期フレームカウンター８１と類似の第２のカウンターにより実現され、この第２のカウンターはビットカウンター８２が５になった時にトリガーされる。もしも、スタートアップビットを含むフレームの数が１サイクルで０ならば、ホストはその状況を知らされて、その状況が数サイクル続く場合に、ネットワークの広域遮断の起動を決定できる。

図９は、本特許出願で用いられる通信制御装置１５の内部構成を示す。

通信制御装置１５は、通信制御装置／ホストインターフェース（CHI）９１を含み、通信制御装置／ホストインターフェース９１は、通信制御装置１５とホスト１３との間のデータフローを接続線１０７経由で管理する。通信制御装置／ホストインターフェース９１は、プロトコルエンジン１８からステータス情報を受信する。ステータス情報は、プロトコルエンジン１８から通信制御装置／ホストインターフェース９１へ送信されるコマンドを含む。そのコマンドは、配線９７経由で監視装置１６へ供給される。特に、プロトコルエンジン１８から通信制御装置／ホストインターフェース９１へ配線９７経由で供給される情報を監視装置１６で監視することにより、通信制御装置１５が、受信した同期フレームの間違った数をホスト１３へレポートしているかどうかを検知するため、コマンドを図８に示されるコマンドデコーダー８４へ供給することができる。

通信制御装置／ホストインターフェース９１は、ホスト１３から受信した情報とコマンドをプロトコルエンジン１８へ供給する。これらのコマンドは、配線９６（CHI-PEコマンド）経由で監視装置のコマンドデコーダー６２（図６）へ供給され、コマンドデコーダー６２において、ホスト１３の誤動作の場合に、ホスト１３がREADYコマンドを通信制御装置１５へ永久に供給するかどうかが監視される。

プロトコルエンジン１８は、プロトコル操作制御部（POC）９２、媒体アクセス制御部（MAC）９３、時間発生部（TimGen）９４及びエンコーダー／デコーダー（Enc/Dec）９５を含む。更に、プロトコルエンジン１８内に本特許出願にとって重要ではない他のモジュールがあるが、その説明はしない。プロトコル操作制御部９２は、プロトコルエンジン１８が進行する状態シーケンスを決定する。従って、プロトコル操作制御部９２において、プロトコルエンジン１８がどの状態から他の状態へ進行するかが決定される。プロトコル操作制御部９２からPOC部の状態が配線９８経由で監視装置１６へ供給される。特に、このPOC部の状態が図７で説明された実施形態に用いられている。この実施形態において、通信制御装置１５が、いくつかのノードのクリーク形成を引き起こし得るカウント問題を発生するかどうかが監視される。プロトコル操作制御部９２の状態は比較及びリセット部７３へ供給され、比較及びリセット部７３において、通信制御装置１５のスロットカウント値及びサイクルカウント値と監視装置１６の内部の値とが比較され、不一致があればホスト１３へ知らされる。

媒体アクセス制御部９３は、情報をバスへ送信するのか、又は、情報をバスから受信するのかを決定する。ホスト１３が送信すべきデータをバスへ供給する場合に、通信制御装置／ホストインターフェース９１が、ホスト１３からエンコーダー／デコーダー９５へ情報を送ることを要求されている時に、媒体アクセス制御部９３は、スロットをカウントし、それぞれのノード１０に対するそれぞれの予約スロットで情報をバスへ送信するために制御する。

媒体アクセス制御部９３は、スロットID番号を配線９９経由で監視装置１６へ供給し、スロット境界（基本的にスロットスタート信号に等しい）を配線１００経由で監視装置１６へ供給する。スロット境界信号とスロットＩＤ信号は、通信制御装置１５のカウント問題を検知するために、それぞれ、比較及びリセット部７３とスロットカウンター７２へ供給される。

更に、通信制御装置１５のプロトコルエンジン１８は、マイクロチックをカウントしてマクロチックを発生する時間発生部９４を含む。マイクロチックは通信制御装置１５内の最小時間単位であるが、マクロチックはノード間で用いられるネットワークの広域時間単位である。時間発生部９４は、ネットワーク内のサイクルの決定にも責任を持ち、サイクルID信号を配線１０１経由で監視装置１６、特に、比較及びリセット部７３へ供給し、サイクルスタート信号を配線１０２経由で監視装置１６、特に、サイクルカウンター７１へ供給する。

最後に、通信制御装置１５は、エンコーダー／デコーダー９５を含み、エンコーダー／デコーダー９５において、それぞれ、データがTxD経路経由でバスへ送信される用意がされ、またRxD経路経由でバスから受信される用意がされる。エンコーダー／デコーダー９５でデータを受信する時に、受信データがフレーム、特に、同期フレームを含むかどうかを監視することが必要なため、エンコーダー／デコーダー９５は、新しいビットがデコードされる毎に、ビットストローブ信号を配線１０３経由でビットカウンター８２へ供給する。従って、受信フレームが同期フレームであることを示すフレームヘッダーの４番目のビットが設定されているかどうかを監視する必要がある。そのために、監視装置１６のビットカウンター８２をスタートするために、エンコーダー／デコーダー９５は、また、潜在的フレームスタート信号を配線１０５経由でビットカウンター８２へ供給する。更に、エンコーダー／デコーダー９５は、監視装置１６に受信ビットの評価を中止させるアイドル状態にネットワークがあることを示すCHIRP信号を配線１０４経由で供給する。受信データビットは、ストローブされ、RxD線１０６経由で図８に示す監視装置１６の同期フレームカウンター８１へ供給される。時間発生部９４からの配線１０２経由のサイクルスタート信号に基づいて、新たなサイクルをスタートする時に、同期フレームカウンター８１はリセットされる。従って、監視装置１６は、通信制御装置１５により受信された同期フレームの数をカウントする同期フレームカウンター８１をリセットすることができ、同期数コンパレータ８３で受信した同期フレームの数を比較できる。ホスト１３へレポートされた同期フレームの数が、通信制御装置１５により受信された同期フレームの数よりも大きい場合は、ホストは通信制御装置１５の誤動作を通知される。

いくつかの実施の形態を続けて説明したが、図６〜８に示された監視装置１６の構成要素を組み合わせることは容易に可能であろう。従って、通信制御装置１５がCAS/WUSのようなシンボルを連続して送信しているかどうかを監視することは可能であり、そして、追加的に、ホスト１３がREADYコマンドを連続して送信しているかどうかをチェックすることは可能である。もっと特殊な障害が監視装置により検出されるべきであるが、もっと複雑な監視装置を実現しなければならない。しかし、監視装置のいくつかのカウンターは、異なる障害検知に用い得るため、監視装置１６の構成要素の２重機能化が可能になる。

Claims (9)

1. 分散通信システムのノードであって、
   前記分散通信システムは、各々が通信媒体に結合された複数のノードを含み、
   各々のノードは、少なくとも、
   受信経路及び送信経路に結合された通信制御装置と、
   アプリケーションを実施するためのホストと、
   前記通信制御装置の受信経路又は送信経路、前記通信制御装置と前記ホストとの間のインターフェース、及び前記通信制御装置の内部配線のうちの少なくとも１つに結合された監視装置とを備え、
   前記監視装置は、
   前記監視装置に保存された情報と前記通信制御装置から受信した情報との比較に基づいて、前記通信制御装置の少なくとも１つの状態を決定し監視するために、前記通信制御装置の前処理情報を受信するように構成されており、
   規定されていない状態が検知された場合、前記ホストは、前記通信制御装置の状態に関して所定の動作を行うように通知され、
   前記前処理情報は、
   前記通信システムから前記通信制御装置で受信される入力情報の少なくとも１つと、
   前記通信制御装置の少なくとも１つの内部状態と、
   前記ノードのホストへ出力される情報とを含む、ノード。
2. 前記通信システムは、タイムベースプロトコル、特に、FlexRayプロトコルに基づいて動作し、
   各々のノードは、所定のタイムスケジュールに従って、データを送信できる、請求項１に記載のノード。
3. 前記監視装置は、前記通信制御装置の前処理情報を受信し、デコーディングし、前記監視装置に保存された情報と比較し、
   前記比較に基づいて、前記通信制御装置の状態が決定され、
   ミスマッチ又は誤り状態の変化の場合に、前記ホストは通知される、請求項１または請求項２に記載のノード。
4. 前記監視装置により通知される場合に、前記ホストは、前記通信制御装置を停止する動作、前記通信制御装置をリセットする動作、及び前記通信制御装置の送信経路を不能にする動作のうちの、少なくとも１つを実施するように構成されている、請求項１から請求項３のいずれか一項に記載のノード。
5. 前記ホストと前記通信制御装置との間で誤りが検知される場合に、外部の監視装置は、誤動作が検知された前記通信制御装置及び／又は前記ホストを制御するように、通知される、請求項１から請求項４のいずれか一項に記載のノード。
6. 前記監視装置は、カウンター、タイマー、メモリー、及びコンパレータのうちの、少なくとも１つを含む、請求項１から請求項５のいずれか一項に記載のノード。
7. 前記監視装置は、前記通信制御装置と同一のチップ上に形成される、請求項１から請求項６のいずれか一項に記載のノード。
8. 請求項１から請求項７のいずれか一項に記載の少なくとも１つのノードを含む、タイムトリガプロトコルに基づいて動作する分散通信システム。
9. 通信システムに接続されたノードの通信制御装置に結合された監視装置であって、
   前記監視装置は、
   前記監視装置に保存された情報と前記通信制御装置から受信した情報との比較に基づいて、前記通信制御装置の少なくとも１つの状態を決定するために、前記通信制御装置の前処理情報を受信するように構成され、
   前記前処理情報は、
   前記通信システムから前記通信制御装置で受信した入力情報の少なくとも１つと、
   前記通信制御装置の少なくとも１つの内部状態と、
   前記ノードのホストへ出力された情報とを含む、監視装置。

Images