JP5984963B2 - 通信ネットワークの作動方法、及び、ネットワークシステム - Google Patents

Description

本発明は、通信ネットワークの作動方法、及び、当該方法にしたがって動作するネットワークシステムに関する。本発明の作動方法は、特にイーサネット環境において利用される。

通信ネットワークは、複雑な技術システムの測定及び開制御及び閉ループ制御に、ますます広汎に利用されるようになっている。例えば、車両制御システムを形成するために、車両内ネットワークの利用が増大している。相応に、安全性に関わる複雑な技術装置において、ネットワーク装置として設けられる制御エレメントの利用可能性には高い要求が課される。個々の要素、例えば個々のセンサもしくは制御装置が故障した場合、システム全体の故障に至ってはならないからである。特に、安全性に関わるステアバイワイヤなどのドライブバイワイヤシステムでは、センサ装置、制御装置、アクチュエータ装置などのネットワーク結合体を介して操舵動作がモータによって車輪位置へ変換される。

過去には、特にクリティカルな要素については冗長構成が利用され、エラーの場合にはそのつどバックアップ要素もしくは冗長要素がそれぞれのタスクを引き継いでいた。ただし、複数の冗長要素が存在する場合、２つ以上の制御装置のうち１つのみが内部でのそのつどの制御上位性を有することが保証されていなければならない。また、同じ制御機能に対して互いに矛盾する制御命令が生じないようにしなければならない。したがって、ネットワーク内の全ての制御要素に対して、同じ情報もしくは同じデータが供給される必要がある。

例えば使用されているネットワークを介したデータ伝送時にデータ破損が起こった場合、データの不完全性の形態のエラーを識別しなければならない。広域に延在している標準ネットワーク環境はイーサネットプロトコルを基礎としている。イーサネットインフラストラクチャの利用には、標準化されたネットワーク装置及びプロセスを利用できるという利点がある。ただし、以前には、内部の冗長制御要素（２重に構成された機能を有する制御要素）を相互に接続するために、プロプリエタリデータバスが使用されていた。

また、ネットワークで使用されるノードにエラーが生じることもある。よく知られているのは、例えば、或るネットワーク装置が高い周波数でデータをネットワークへ送信するものの、当該データは他の制御装置で利用可能なデータを含んでいないというタイプのエラーである。このエラーは「バブリングイディオット」と称される。この場合、高いデータレートによってネットワークインフラストラクチャに過負荷がかかり、正常に動作しているネットワーク装置間での本来の制御データもしくはセンサデータの交換が不可能になってしまう。特に安全性に関するネットワークでは、ネットワーク内の他の装置の動作の信頼性を保証するために、こうしたエラー特性を除去し、形成されたデータを適切に処理できるようにすることが望ましい。

以前には、設定された通信パートナー間でのデータ交換の帯域幅を制限する方法が提案されたこともある。しかし、故障したネットワークノードは不適切なアドレスデータを含むデータパケットを形成することがあるので、個別の帯域幅制限を行っても、ネットワークトポロジによっては（特にリング状のネットワークトポロジでは）充分な処理を行うことができない。

さらに、複数のネットワークノードの同期通信に基づくプロセスも知られている。この場合、設定された通信パートナー間のデータ交換に対して所定のタイムスロットが定められる。ただし、こうしたタイムスロット法は、特別なハードウェア装置による複雑な同期を要する。
先行技術文献：ＥＰ１５４８９９２Ａ１，ＷＯ２００５／０５３２２３Ａ２，ＵＳ２００９／１２２８１２Ａ１

したがって、本発明の課題は、改善されたネットワークの作動方法及び／又はネットワークシステムを提供することである。

すなわち、本発明では、複数のネットワーク装置が接続されている通信ネットワークの作動方法を提案する。各ネットワーク装置は、少なくとも１つのスイッチ装置と、スイッチ装置に接続された少なくとも１つの制御装置とを含む。スイッチ装置は、通信ネットワークを介してデータを送受信するための少なくとも１つの受信ポートと少なくとも１つの送信ポートとを有しており、受信ポートには、データ伝送レートを制限するためのフューズ装置が割り当てられている。ここで、本発明の方法は、
・データ送信時の最大データ伝送レートを設定し、設定された最大データ伝送レートよりも低いデータレートでデータが送信されるように各ネットワーク装置を構成するステップと、
・各ネットワーク装置の受信ポートで受信されるデータのデータ伝送レートを監視するステップと、
・到来するデータが設定された最大データ伝送レートよりも高いデータ伝送レートを有する場合、受信ポートでのデータ受信を阻止するステップと
を含む。

なお、送信ポートと受信ポートとの結合とは、各ネットワーク装置に１つの通信ポートが設けられていることであると理解されたい。

本発明の方法の有利な実施形態では、各ネットワーク装置が、少なくとも１つのスイッチ装置と、スイッチ装置に接続された第１の制御装置及び第２の制御装置とを含む。第１の制御装置及び第２の制御装置に対するスイッチ装置は、通信ネットワークを介してデータを送受信するために、それぞれ１つずつ受信ポートと送信ポートとを有している。各受信ポートにはデータ伝送レートを制限するためのフューズ装置が割り当てられている。

ここで、本発明の方法は、さらに、
・第１の制御装置によって第１のデータを形成し、第２の制御装置によって第２のデータを形成し、第１のデータ及び第２のデータを所定の符号化法によって相互に結合するステップと、
・第１のデータを第１の制御装置から１つもしくは複数のスイッチ装置を介して第２の制御装置へ送信し、第２のデータを第２の制御装置から１つもしくは複数のスイッチ装置を介して第１の制御装置へ送信するステップと、
・第１のデータ及び第２のデータを、第１の通信経路を介して、第１の制御装置に対するスイッチ装置の送信ポートから第２の制御装置に対するスイッチ装置の受信ポートへ送信するステップと、
・第１のデータ及び第２のデータを、第２の通信経路を介して、第２の制御装置に対するスイッチ装置の送信ポートから第１の制御装置に対するスイッチ装置の受信ポートへ送信するステップと、
を含む。なお、第１の通信経路のデータと第２の通信経路のデータとは同じネットワーク装置を相互に反対方向で通過する。

データ伝送レートの監視及びデータ受信の潜在的阻止により、特に、いわゆる「バブリングイディオット」の処理、つまり、故障のためにネットワーク内の他のネットワーク装置で解釈できない「無意味な」データを送信しているネットワーク装置の処理が可能となる。こうした無意味なデータはエラーを起こしている装置から高い周波数で送信されることが多いので、ネットワークインフラストラクチャ及び通信経路が過負荷となる。該当する受信ポートを不活性化し、乃至、過度に高いデータレートでのデータ受信を阻止することにより、バブリングイディオットがあっても信頼性の高いデータ通信を行うことができる。

データ伝送レートとは、１つの時間単位内で１つのデータ伝送チャネルもしくは１つの通信経路を介して伝送されるディジタルデータセットのことであると理解されたい。データ伝送レートは、データレート、伝送速度、接続速度、帯域幅、キャパシティなどとも称される。なお、データ伝送レートは１秒当たりのビット数（ｂｉｔ／ｓ）で表される。

最大データ伝送レートは、有利には、通信ネットワークの帯域幅に依存して定められる。ネットワークノード間もしくはネットワーク装置間又はその送受信ポート間の適切な全てのデータ伝送レートがネットワークトポロジから既知である場合、各フューズ装置を相応に高感度に構成できる。

有利な実施形態では、本発明の方法はさらに、到来するデータが設定された最大データ伝送レートよりも低いデータ伝送レートを有する場合に、受信ポートでのデータ受信を許可するステップを含む。

あらためての許可により、短い中断後に、ネットワーク内で、故障したネットワーク装置から出力されていないデータが交換可能となる通信経路が再び形成される。よって、正常のデータ伝送がつねに保証される。

また、送信ポートと受信ポートとの間の各通信経路に対して、最大リンク伝送レートを設定することもできる。例えば、通信ネットワークの投入時に、どの程度のリンク伝送レートが生じるかが推定される。相応に、最大リンク伝送レートの超過時にデータ受信が中断されるように、フューズ装置の感度が定められる。

これに代えてもしくはこれに加えて、データに少なくとも２つの優先度クラスを割り当て、選択された優先度クラスのデータについてのみ、データ伝送レートを監視する、及び／又は、データ受信を阻止することもできる。例えば、第１の優先度クラスは特に安全性に関するデータに該当し、第２の優先度クラスは非クリティカルなデータに該当する。通信ネットワークの投入時には最大リンク伝送レートが定められ、フューズ装置が相応に設定される。フューズ装置では種々の優先度クラスが検出され、これに基づいてデータのフィルタリングの要否が判別される。

通信ネットワークそのものがイーサネットインフラストラクチャを含んでいてよい。スイッチ装置はブリッジ装置もしくはルータ装置とも称される。ネットワーク装置はネットワークノードもしくはネットワーク要素もしくはネットワークエレメントとも称される。

ネットワーク装置内に設けられている制御装置として、例えば、ＣＰＵもしくはマイクロプロセッサもしくはその他のプログラミング可能な回路が用いられる。さらに、センサ装置もしくはアクチュエータ装置も本発明の制御装置に該当すると理解されたい。

通信ネットワーク又はネットワークプロトコルは、有利には、加入者装置相互間もしくはネットワーク装置相互間のポイントツーポイント接続を定めている。この場合、双方向通信又はデュプレクス通信が可能である。

所定の符号化法によって相互に結合された第１のデータ及び第２のデータは、例えばビット変換によって形成される。所定の符号化法により、２つのデータの完全性検査が可能となる。例えば、ネットワークを介したデータ伝送によってデータもしくはデータパケットの一部が障害を受けた場合、そのつどの符号化法を考慮した他のデータもしくはデータパケットとの比較によって、この障害を識別することができる。

特に、イーサネットベースの通信ネットワークでは、双方向通信（いわゆるデュプレクス通信）が可能である。この場合、第１の通信経路は第１の制御装置のスイッチ装置の送信ポートから第２の制御装置のスイッチ装置の受信ポートへ通じており、第２の通信経路は第２の制御装置のスイッチ装置の送信ポートから第１の制御装置のスイッチ装置の受信ポートへ通じている。例えば、第１の通信経路は、通信ネットワークの別のスイッチ装置又は別のネットワーク装置を介してリング状に延在している。第２の通信経路は反対方向で各ネットワーク装置を接続している。このようにして、関与する全てのネットワーク装置での冗長送信と機能正常性の検査とが可能となる。有利には、第１のデータ及び第２のデータは、ネットワーク装置内で、専らスイッチ装置を介して、第１の制御装置から第２の制御装置へ、又は、第２の制御装置から第１の制御装置へ伝送される。

通信ネットワーク、特にイーサネットベースの通信ネットワークの作動方法では、通信ネットワークはリング構造を有しており、イーサネットリングで生じる複数の通信方向が利用される。ここで、ネットワーク装置の制御装置に接続されたスイッチ装置のいずれかにエラーが発生しても、このエラーは一方向にしか該当しないので、引き続き完全なデータを送信可能である。種々の通信経路で送信されたデータ、特に同じ符号化法で相互に結合されたデータを比較することによって、フレキシブルで信頼性の高いエラー分析を行うことができる。これにより、エラーを起こした制御要素又はネットワーク装置を簡単に特定することができ、有利にはこれを不活性化もしくは遮断できる。

そのほか、バブリングイディオットのエラーが生じた場合には、データ伝送を検査して場合により受信を阻止することにより、故障したネットワーク装置から送信された障害のないデータに対してエラーなしで伝送を行える少なくとも１つの通信経路が生じるように、処理が行われる。

別の有利な実施形態では、本発明の方法はさらに、
・第１のデータ及び第２のデータを、第１の制御装置に対するスイッチ装置の送信ポートから、別の第１の制御装置及び別の第２の制御装置を含む別のネットワーク装置の少なくとも１つの別のスイッチ装置を介して、第２の制御装置に対するスイッチ装置の受信ポートへ送信するステップと、
・第１のデータ及び第２のデータを、第２の制御装置に対するスイッチ装置の送信ポートから、別の第１の制御装置及び別の第２の制御装置を含む別のネットワーク装置の少なくとも１つの別のスイッチ装置を介して、第１の制御装置に対するスイッチ装置の受信ポートへ送信するステップと
を含む。ここで、それぞれの別のスイッチ装置では、別のスイッチ装置の別の第２の制御装置に対する受信ポートで受信されたデータが、別のスイッチ装置の別の第１の制御装置に対する送信ポートへ転送され、別のスイッチ装置の別の第１の制御装置に対する受信ポートで受信されたデータが、別のスイッチ装置の別の第２の制御装置に対する送信ポートへ転送される。なお、各受信ポートには対応のフューズ装置が配置されている。

このように、符号化されていないデータもしくは符号化されたデータが、第１の制御装置から出る第１のチャネルから、第２の制御装置へ通じる第２のチャネルへ送信される。この送信は逆方向でも可能であり、送信側の制御要素は、そのつど、冗長的な第２の制御装置に対応する別のチャネルが同じデータ結果を有するか否かを確認できる。こうして、対応するイーサネットスイッチ装置が正常に動作しているか否かが検査される。制御装置に割り当てられたスイッチ装置の応答にエラーがあることが識別された場合、有利には、送信側の制御装置は不活性化される。

また、本発明の方法は、さらに、
・第１の制御装置及び／又は第２の制御装置において、第１のデータと第２のデータとを比較して、比較結果を形成するステップと、
・比較結果に基づいて、ネットワーク装置を不活性化するステップと
を含む。

第１のデータと第２のデータとが相互に一致しないことが検出された場合、つまり、これらのデータが設定された符号化法で結合されていないことが検出された場合、データ伝送時のエラー又はデータ形成時のエラーが識別される。

本発明の方法は、さらに、第１の通信経路及び第２の通信経路を介して、第１のデータ及び第２のデータをあらためて送信するステップを含む。

例えば、データが１通信サイクル内で送信側の制御装置によって認識もしくは受信されなかった場合、複数回送信を行って正しい受信を検査することにより、通信経路に存在するエラーを有するネットワークの要素を推定することができる。

本発明の方法は、さらに、別のネットワーク装置において、種々の制御装置に対する受信ポートで第１のデータ及び第２のデータを受信するステップと、受信されたデータを相互に比較するステップとを含む。

有利には、ネットワークシステムの作動方法は、さらに、比較された第１のデータと第２のデータとが設定された符号化法によって相互に結合されていない場合に、エラーメッセージを表示するステップを含む。

別の有利な実施形態では、少なくとも２つのネットワーク装置の各フューズ装置に、データ伝送レートに対するそれぞれ異なる閾値が割り当てられており、各閾値は設定された最大データ伝送レート以下の値である。ここで、少なくとも２つのネットワーク装置の受信ポートに到来するデータが割り当てられた閾値よりも高いデータ伝送レートを有する場合には、当該受信ポートでのデータ受信が阻止される。

したがって、種々のネットワーク装置の少なくとも２つのフューズ装置（フューズ、保護部）には、それぞれ異なるデータ伝送レート閾値が割り当てられる。各閾値は通信ネットワークにおける設定された最大データ伝送レート以下の値である。当該データ伝送レート閾値は帯域幅限界値とも称される。

種々の閾値を使用することにより、通信ネットワークにおいて種々のセグメント（ネットワークセグメント）を形成することができる。ネットワークセグメントは、システム全体、例えば複数のネットワークセグメントと共通の電流供給部との全体を危機的状態に陥らせることなく、個々のセグメントのみが故障しうるように構成されている。なお、複数の電流供給部から給電されるシステムの全体は、個々の電流供給部の故障が影響しないように構成されていなければならない。

ここで特に、ネットワーク装置が帯域幅限界値をぎりぎり下回っているところでバブリングを起こした場合、低い帯域幅限界値を有する保護部がセグメントを制限することによって、阻止状態の継続が所期の通りに特定のセグメントに限定されるとよい。

各閾値は、例えば、ネットワークシステムで設定された最大データ伝送レートの所定のパーセンテージとして定められる。例えば、各閾値は、設定された最大データ伝送レートの８０％，５０％，３５％，２０％，１０％に設定される。各閾値は、例えばそれぞれのリンクを介して設けられた目標データ伝送レートに基づき、場合により安全余裕量を加えた値として定められる。

フューズ装置のコンセプトの利用に対して、標準スイッチ要素のハードウェアへの変更は特に必要ない。高度なフィーチャを有するスイッチハードウェアを利用することもできるし、スイッチハードウェアに比較的単純なバラスト装置を補充して利用することもできる。利用可能な帯域幅は実施形態に応じて変化するが、全くもしくは殆ど損なわれない。

また、有利な実施形態では、各ネットワーク装置が複数のネットワークセグメントに分割されて配置され、各ネットワークセグメントに各ネットワーク装置のサブセットが割り当てられる。この場合、少なくとも２つのネットワーク装置を含む全てのネットワークセグメントで、ネットワークセグメントの縁領域に配置されたフューズ装置に、ネットワークセグメントの中間領域に配置されたフューズ装置よりも低い閾値が割り当てられる。

各ネットワークセグメントは、外部へ向かっては、ネットワークセグメントの中間領域もしくは内側空間において必要となるよりも低いデータ伝送レート閾値によって良好に保護される。したがって、ネットワークシステムの縁領域のフューズ装置は、中間領域のフューズ装置に比べて、低いデータ伝送レート閾値を有する。

各ネットワークセグメントは、低い閾値によって、つまり、許容される帯域幅の狭い保護部によって、外部に対して保護されている。これにより、バブリングイディオット（故障したネットワーク装置）がフューズ装置の作動する帯域幅よりもわずかに低い帯域幅で送信を行っている場合、擬似的にランダムにいずれかのフューズ装置が作動されるのでなく、より低い閾値（低い帯域幅）を有するフューズ装置が意図的に作動されるので、該当するネットワークセグメントが通信ネットワークの他の部分から切り離される。

この実施形態では、セグメントの中間領域の大きな許容帯域幅を有する保護部（フューズ装置）を除外することができる。これにより、きわめて高い帯域幅でバブリングしているバブリングイディオットが直接に隣のノードから分離され、当該隣のノードは損なわれない。中間領域の保護部が除外されると、そのセグメントはつねに全体的に故障することになるが、システム全体が危機的状態に陥ることはない。

特に、サブセットとして個別のサブセットが形成される。

この実施形態では、各ネットワーク装置は機能の点で冗長的な少なくとも２つのネットワーク装置を含む。ここで、サブセットは、複数の冗長ネットワーク装置のうち最大１つのネットワーク装置がそれぞれのサブセットに割り当てられるように形成される。

機能の点で冗長的な冗長ネットワーク装置は、種々のネットワークセグメントに配置される。これにより、或るネットワークセグメントが故障しても、他のネットワークセグメントに配置されている少なくとも１つの冗長ネットワーク装置が動作するので、システム全体の機能が危機的状態に陥ることはなくなる。

有利な別の実施形態では、通信ネットワークに複数の仮想ネットが構成されており、別のネットワークセグメントからのデータ受信に基づいてネットワークセグメントのフューズ装置でデータ伝送レート閾値が超過されてしまうことが回避される。仮想ネットは特には仮想ローカルエリアネットワークＶＬＡＮとして構成される。

この場合、種々の仮想ネット、例えば種々のＶＬＡＮが考慮されることにより、セグメントの外部から供給されるパケットに基づいて当該セグメントが切り離されてしまわないことが保証される。このことは、ＶＬＡＮが意図的にセグメント（特に外部リング）を通してパケットを転送しないことによって達成される。

通信ネットワークで複数の仮想ネットを使用することにより、特に個々のネットワーク装置の縁領域の個々のフューズ装置の閾値を最大にすることができる。このようにすれば、通信ネットワークのシステム全体が故障にいたるおそれが最小化される。なお、ＶＬＡＮに代えて、他の適切な仮想化トポロジを用いることもできる。

有利な実施形態によれば、各フューズ装置の各データ伝送レート閾値は、各フューズ装置の配置された仮想ネットに依存して調整及び監視される。

この実施形態では、各閾値が特に仮想ネットに関して設定される。例えば、或るネットワーク装置が隣のネットワークセグメントに全く到達不能であるか又は個別の経路を介して到達できないせいで、当該ネットワークセグメントを通して転送を行わざるをえない場合、相応のネットワークセグメントを通して転送を行う際の閾値（帯域幅）は特別に、特にＶＬＡＮ固有の値に、制限される。これにより、バブリングイディオットがネットワークセグメントの外側で形成したデータパケットに基づいて故障していない本来のネットワークセグメントが切り離されてしまう事態が回避される。

さらに、本発明では、通信ネットワーク、特にイーサネットインフラストラクチャに接続された複数のネットワーク装置を含むネットワークシステムが提案される。各ネットワーク装置は、少なくとも１つのスイッチ装置と、このスイッチ装置に接続された少なくとも１つの制御装置とを含む。ここで、スイッチ装置は、通信ネットワークを介してデータを送受信するための少なくとも１つの受信ポートと少なくとも１つの送信ポートとを有している。本発明のネットワークシステムには、受信ポートに割り当てられた、データ伝送レートを制限するためのフューズ装置が設けられている。なお、各ネットワーク装置は、上述した方法を実行するように構成されている。

ネットワーク装置は、特には車両の要素である。

各ネットワーク装置は、センサ装置又はアクチュエータ装置であってよい。センサ装置として、ブレーキ制御装置又はシフト制御装置で用いられる回転数センサが考えられる。制御装置として、例えばドライブバイワイヤを可能にする複数の制御装置が挙げられる。ここでは、例えば、操舵信号又は加速インパルスがネットワークを介して電子的に相応のアクチュエータへ伝送され、これにより車両の所望の応働が開始される。

フューズ装置はネットワーク保護部又はフューズ装置として構成される。各フューズ装置を通るデータのデータ伝送レートが設定閾値に達すると、フューズ装置によって、それ以上のデータ通信は阻止される。データレートが設定閾値を下回ると直ちにデータがフューズ装置を通して再び伝送されるようになる。

閾値は特に最大データ伝送レートとして定められる。

全体として、特に、通信チャネルの障害時にも確実に動作する信頼性の高いネットワーク装置が得られる。通信経路の装置が冗長的にリング状に用意されるので、低コストのエラー分析及び補正、さらに低コストのバブリングイディオットエラーの除去によって、制御機器間の完全な通信が可能となる。

ネットワークシステムの有利な実施形態では、少なくとも１つのネットワーク装置は第１のスイッチ装置と第２のスイッチ装置とを含み、第１のスイッチ装置は第１の制御装置に割り当てられており、第２のスイッチ装置は第２の制御装置に割り当てられている。ここで、各スイッチ装置は、それぞれ少なくとも２つのポートを含み、相互に通信可能に接続されている。当該接続はネットワーク装置内部で行ってもよいし、各スイッチ装置の送信ポート及び受信ポートを用いて行ってもよい。

なお、各スイッチ装置は、複数の入力ポート及び複数の出力ポートを有する１つのスイッチ装置に統合することができる。

ネットワークシステムの別の有利な実施形態では、それぞれ１つの制御装置及び１つのスイッチ装置を含む単純な別のネットワーク装置がネットワークシステム内に設けられる。ここでの単純なネットワーク装置は冗長的な制御装置を有さず、安全性への関連が薄い機能のために設けられる。

有利には、ネットワーク装置及び／又はフューズ装置はそれぞれ個々のＦＰＧＡ，ＡＳＩＣ，ＩＣチップ、又は、固定に接続されたマイクロ回路として実現される。例えば、本発明のネットワークシステムを形成する各フューズ装置は、スイッチ装置の受信ポートもしくは入力ポートの上流に接続される。

フューズ装置は特にはスイッチ装置の要素として構成することができる。また、いずれかのスイッチ装置を駆動させるためのプログラムコードもしくはプログラムを構成することもできる。

さらに、本発明は、プログラム制御される１つもしくは複数の装置上で上述したネットワークシステムの作動方法を実行するコンピュータプログラム製品にも関する。

コンピュータプログラム手段などのコンピュータプログラム製品は、例えば、メモリカード、ＵＳＢスティック、ＣＤ‐ＲＯＭ、ＤＶＤなどの記憶媒体として、又は、ネットワーク内のサーバからダウンロード可能なデータファイルとして用意される。これらは例えば無線通信ネットワークにおいて、コンピュータプログラム製品もしくはコンピュータプログラム手段を含む相応のファイルを伝送することにより得られる。プログラム制御される装置として、特に上述したネットワーク装置が挙げられる。

本発明のさらに別の実現形態として、明示されていなくても、上述した実施形態及び後述する実施例の個々の方法ステップや、ネットワークシステム又はネットワーク装置もしくはネットワークノードの個々の特徴又は形状などの組み合わせが可能である。当業者であれば、本発明の基本形態にしたがって、個々の特徴を追加、補充、置換、変更することができるはずである。

上述した本発明の特徴及び利点、その実現方式をより良く理解してもらうために、図示の実施例に則して本発明を以下に詳細に説明する。

ネットワークシステムの第１の実施例を示す概略図である。 エラー処理方法を説明するための通信フローを示すネットワークシステムの第１の実施形態を示す図である。 エラー処理方法を説明するための通信フローを示すネットワークシステムの第２の実施形態を示す図である。 ネットワークシステムの第２の実施例を示す概略図である。 ネットワークシステムの第３の実施例を示す概略図である。 ネットワークシステムの第４の実施例を示す概略図である。 ネットワークシステムの第５の実施例を示す概略図である。 ネットワークシステムの第６の実施例を示す概略図である。 ネットワークシステムの第７の実施例を示す概略図である。

図中、各別のことわりないかぎり、同じ要素又は同様の機能を有する要素には同じ参照番号を付してある。

図１には、ネットワークシステムの第１の実施例の概略図が示されている。以下に、図に即して、ネットワークシステムの作動方法を説明する。

図１には、例えば車両内のイーサネットネットワークとして利用可能なネットワークシステム１が示されている。ここには例えば３個のネットワーク装置１００，２００，３００が示されており、これらは例えば制御要素であってよい。ネットワーク装置１００，２００，３００（以下ではネットワークノードもしくは制御要素とも称する）はそれぞれ冗長的に制御装置２，３，２０２，２０３，３０２，３０３を含む。ネットワーク装置１００，２００，３００はネットワークの加入者装置とも称される。

各制御装置２，３，２０２，２０３，３０２，３０３は、所定のタスクもしくは機能を実行できるように適合化されている。当該タスクもしくは機能とは、センサでの検出もしくはアクチュエータ動作などである。制御装置はＣＰＵもしくはマイクロプロセッサとして実現できる。例えば、制御要素１００は、車両でのペダル位置もしくは操舵動作を検出するように構成可能である。例えば、制御要素もしくはネットワーク装置１００は制御信号もしくは制御データをネットワーク内の別の制御要素へ送信することができる。この場合、特に、ドライブバイワイヤシステムなどの車両の安全性に関する適用分野では、制御データが全てのネットワークノードに完全性を保って供給されることが保証されなければならない。

制御要素もしくはネットワークノードもしくはネットワーク装置１００，２００，３００には、冗長的にイーサネットスイッチ装置４，５，２０４，２０５，３０４，３０５が設けられている。各イーサネットスイッチ装置４，５，２０４，２０５，３０４，３０５は、それぞれ、通信ネットワーク６への接続を行うための、送信ポートもしくは出力ポート９，１３，２０９，２１３，３０９，３１３と、受信ポートもしくは入力ポート１０，１４，２１０，２１４，３１０，３１４とを含む。各受信ポート１０，１４，２１０，２１４，３１０，３１４には、その時点で生じているデータ伝送レートを検出するフューズ装置２０，２１，２２０，２２１，３２０，３２１が割り当てられている。設定された最大データ伝送レートが上方超過されると、フューズ装置が作動されてデータ伝送を阻止する。

ネットワーク装置１００は、ここでは、ＣＰＵ２とこれに割り当てられたイーサネットスイッチ装置４とを含む。イーサネットスイッチ装置４は、ＣＰＵ２と通信可能に接続された受信ポート７及び送信ポート８を有する。データ送受信のために別の送信ポート９及び別の受信ポート１０も通信ネットワーク６へ接続されている。通信ネットワーク６と受信ポート１０との間にはフューズ装置２０が配置されている。同様に、ＣＰＵ３にはイーサネットスイッチ装置５が割り当てられており、このイーサネットスイッチ装置５はＣＰＵ３への接続のための受信ポート１１及び送信ポート１２を有する。また、イーサネットスイッチ装置５は、通信ネットワーク６への接続のための送信ポート１３及び受信ポート１４も有する。通信ネットワーク６と受信ポート１４との間にはフューズ装置２１が配置されている。さらに、イーサネットスイッチ装置４，５には、双方のスイッチ装置４，５を相互に接続するための送信ポート及び受信ポート１５−１８も設けられている。２つのスイッチ装置４，５はここでは分離されており、例えばそれぞれＦＰＧＡもしくはＡＳＩＣもしくはマイクロチップとして構成されている。

同様に、制御要素２００，３００は相互に分離されたスイッチ装置２０４，２０５，３０４，３０５を含み、これらのスイッチ装置は通信ネットワーク６への接続のための送信ポート及び受信ポート２０４，２１０，２１３，２１４，２１５，２１９，３０４，３１０，３１３，３１４，３１５，３１９を有する。なお、受信ポート２１０，２１４，３１０，３１４と通信ネットワーク６との間にはフューズ装置２２０，２２１，３２０，３２１が配置されている。

各ネットワークの要素内部では、冗長的に形成され送信された制御データＤ１，Ｄ２の補償が行われる。ＣＰＵ２はデータＤ１を送出し、ＣＰＵ３はデータＤ２を送出する。ここで、各データは所定の符号化法によって相互に結合されている。つまり、所定の数学演算によって、データＤ１をデータＤ２から取得でき、また、データＤ２をデータＤ１から取得できる。例えば、簡単なビット反転により、データＤ１をデータＤ２の逆数として取得でき、また、データＤ２をデータＤ１の逆数として取得できる。

制御要素１００における内部の完全性検査は、形成されたデータＤ１をイーサネットスイッチ装置４のポート７で受信し、ポート１６，１７間での転送を経て、イーサネットスイッチ装置５ひいてはＣＰＵ３へ伝送し、同様に、形成されたデータＤ２を、ポート１１，１８，１５，８を介してＣＰＵ２へ伝送することによって行われる。この場合、内部の完全性検査は、データＤ１，Ｄ２相互の符号化法の一致の判別によって行うことができる。データが相互に一致していれば、つまり、所定の符号化法（例えばビット変換法）のモジュロが一致していれば、ポート７，１１でのデータ受信、及び、ポート８，１２からのデータ送信、ひいては、これらのポート間のデータ交換を行っているスイッチ装置４，５及びＣＰＵ２，３が、正確に動作していることになる。対して、比較結果によりデータＤ１，Ｄ２の不一致が示された場合、このことはＣＰＵ２，３又はスイッチ装置４，５のエラーを意味するので、データ完全性を保証するための可能な応働として、制御要素１００が不活性化すなわちディアクティベートされる。

同様の完全性検査が、ネットワーク装置２００，３００においても行われる。図１では、２つのスイッチ装置２０４，２０５間又はスイッチ装置３０４，３０５間で伝送されるデータには参照番号が付されていない。上方から下方へ向かって、ポート２１８からポート２０７へはデータＤ２Ｂ，Ｄ１Ｂが伝送され、ポート２１６からポート２１１へはデータＤ１Ｒ，Ｄ２Ｒが伝送される。相応に、ポート３０７では、データＤ２Ｂ，Ｄ１Ｂに対応するポート３１８からのデータが受信され、ポート３１１では、データＤ１Ｒ，Ｄ２Ｒに対応するポート３１６からのデータが受信される。

ネットワークシステム１はリング状の通信経路を形成するように構成されている。特に、イーサネットインフラストラクチャに存在する、加入者装置相互又はネットワーク装置相互のポイントツーポイント接続手段により、互いに分離された２つのリング状通信経路が形成される。これら２つの通信経路はスイッチ装置のみを共有しており、受信側でも送信側でも共通のポートは使用していない。図１の実施例では、セグメントＣＢ１，ＣＢ２，ＣＢ３から成る第１の通信経路が生じている。各セグメントＣＢ１，ＣＢ２，ＣＢ３を介して送信されるデータＤ１，Ｄ２は矢印Ｄ１Ｂ，Ｄ２Ｂで示されている。ここでの添え字Ｂは通信経路Ｂを表している。

さらに、反対の通信方向では、セグメントＣＲ１，ＣＲ２，ＣＲ３から成る第２の通信経路が生じている。この経路を介して送信されるデータＤ１，Ｄ２は矢印Ｄ２Ｒ，Ｄ１Ｒで示されている。ここでの添え字Ｒは通信経路Ｒを表している。

したがって、データＤ１，Ｄ２は、分離された通信経路を介して、ネットワーク内に存在する全ての制御要素２００，３００へ伝送される。各ＣＰＵ２０２，２０３，３０２，３０３は、それぞれ異なる通信経路を介して、すなわち、互いに反対の通信方向を有する２つのロジックリングを介して、符号化されたデータ及び符号化されていないデータＤ１，Ｄ２を受け取る。この場合、ケーブルで接続されているのは１つのリングである。各ＣＰＵ２０２，２０３，３０２，３０３は、通信経路を介して受信されたデータＤ１，Ｄ２の値を比較する。

例えば、ＣＰＵ３０３は通信経路ＣＢ１を介してデータＤ１Ｂ，Ｄ２Ｂを受け取る。これらのデータはフューズ装置３２１を介してスイッチ装置３０５の入力ポート３１４で受け取られる。さらに、スイッチ装置３０５が入力ポート３１４で受信したデータＤ１Ｂ，Ｄ２Ｂを送信ポート３１２からＣＰＵ３０３へ転送され、そこでデータＤ１Ｂ，Ｄ２Ｂの比較が行われる。これらのデータが一致している場合には、通信経路ＣＢ１にエラーがないということになる。

ＣＰＵ３０３はさらに、セグメントＣＲ１，ＣＲ２から成る第２の通信経路を介して、データＤ１Ｒ，Ｄ２Ｒを受け取る。データＤ１Ｒ，Ｄ２Ｒはスイッチ装置３０４からフューズ装置３２０を介して受信ポート３１０で受信され、送信ポート３１２から対応するＣＰＵ３０３へ出力される。ここであらためて完全性検査が行われる。さらに、ＣＰＵ３０３は、リング状経路ＣＢ１を介して受け取られたデータと、リング状経路ＣＲ１，ＣＲ２を介して受け取られたデータとの比較もしくは「ヴォーティング」を行う。障害がなければ、データＤ１Ｒ，Ｄ２Ｒは相互に一致し、データＤ１Ｂ，Ｄ２Ｂも相互に一致し、また、個々には一致が確認されている、経路ＣＢ１を介して受信されたデータと経路ＣＲ１，ＣＲ２を介して受信されたデータも相互に一致する。ここから、ＣＰＵ２，３で形成された基礎となるデータＤ１，Ｄ２が正しいことがわかる。個々には一致が確認されている、経路ＣＢ１及び経路ＣＲ１，ＣＲ２を介してＣＰＵ２，３，３０２，３０３で受信されたデータの比較もしくはヴォーティングにおいて不一致が生じた場合には、通信エラーが推定される。

同様の完全性検査が制御要素２００又はＣＰＵもしくは制御装置２０２，２０３においても行われる。関与しているスイッチ装置４，５，２０４，２０５，３０４，３０５がエラー動作を起こしている場合又は故障した場合に、データＤ１，Ｄ２が反復送信されると、相応のネットワークエラーが識別される。通常、種々の制御装置の種々のデータが、複数の通信サイクルでネットワーク６へ送信される。図１には示されていない別のデータに基づいて、各制御要素２００，３００は、自身のスイッチ装置２０４，２０５，３０４，３０５が故障しているか否かを確認できる。このため、種々のエラーシナリオを識別して処理することができる。

分離されているデータ経路ＣＢ１，ＣＢ２，ＣＢ３；ＣＲ１，ＣＲ２，ＣＲ３により、伝送時のエラーは相互に個別にしか生じない。複数のネットワークノードもしくは複数の制御要素１００，２００，３００をイーサネットリングとして構成することにより、特に冗長的な制御装置２，３を含む各制御機器の通信完全性が一貫して保証される。

使用されているフューズ装置２０，２１，２２０，２２１，３２０，３２１は、図１に示されているネットワークシステム１の動作状況では導通している。つまり、データは阻止されていない。このことは図では２本の平行線によって示されている。

解釈不能な不要データが形成されてネットワークへ送信される場合などには、ネットワーク装置の一部が損なわれることがある。不要なデータを形成してネットワークへ送信するネットワーク装置は「バブリングイディオット」と呼ばれるが、こうした無意味なデータパケットはインフラストラクチャに過負荷がかかる。この場合、データパケットは誤ったアドレスデータによって送信されるので、専らデータ通信が妨害される。また、バブリングイディオットでは、相応のデータパケットを形成及び送信する際のデータレートが著しく高くなる。

バブリングイディオットのエラーシナリオを適切に処理するために、ネットワークシステム１内の各ネットワーク装置１００，２００，３００は、設定された最大データ伝送レートで送信を行えるように構成されている。例えば、最大データ伝送レートは、通信ネットワークにおいて物理的に可能な最大データ伝送レートの所定のパーセンテージとなるように定められる。これにより、正常に動作しているエラーの無いネットワーク装置もしくはネットワークエレメントにおいて、送信ポート９，１３，２０９，２１３，３０９，３１３から、設定された最大データ伝送レートを上回るデータレートで送信が行われることはなくなる。このことは、ネットワーク装置１００，２００，３００の相応のプログラミングにより行われる。

ネットワーク保護部として構成されているフューズ装置２０，２１，２２０，２２１，３２０，３２１は、その時点のデータレートが設定された最大データ伝送レートよりも大きくなった場合に作動される。当該措置によりバブリングイディオットのエラーシナリオも処理可能となる。

図２には、スイッチ装置２０５が、非制限のデータレートで、すなわち、ネットワークにおける最大可能なデータレートで、無意味なデータパケットを形成して送信する例が示されている。この場合、ネットワーク装置２００がバブリングイディオットとして捉えられる。なお、図２，図３には、図１に関連して説明したネットワークシステム１が示されている。故障しているスイッチ装置２０５の送信ポート２１３，２１８から無意味なデータパケットが送信されているため、ネットワークにはこうした無意味なデータが充満している。

ここで、フューズ装置２０，２１，３２０，３２１は、データ伝送レートが設定された最大データ伝送レートを上回っていることを識別する。つまり、フューズ装置２０，２１，３２０，３２１が作動され、それぞれに割り当てられている受信ポート１０，１４，３１０，３１４でのデータ通信を阻止する。ネットワーク装置２００のフューズ装置２２０，２２１は関与しない。作動されているフューズ装置２０，２１，３２０，３２１は図では×印によって示されている。関与していないフューズ装置２２０，２２１は−印によって示されている。

図２に示されているエラー動作状況では、正常に動作可能なネットワーク装置１００，３００はデータを受信しない。ただし、これらのネットワーク装置が自身の形成したデータを送信することはありうる。例えば、ネットワーク装置１００が引き続き送信ポート９，１３を介してデータＤ１Ｂ，Ｄ２Ｂ；Ｄ１Ｒ，Ｄ２Ｒをネットワーク６へ送信するケースなどである。

保護部２０，２１，３２０，３２１の作動に基づくデータ受信の阻止によって、バブリングイディオット２００に直接に接続されていないフューズ装置２０，３２１でのデータ伝送レートは低下し、設定された最大データ伝送レートを再び下回る。その結果、保護部もしくはフューズ装置２０，３２１では、割り当てられている受信ポート１０，３１４でのデータ受信が再び許可される。この状況が図３に示されている。ただし、保護部もしくはフューズ装置２１，３２０は作動されたままであり、阻止を行っている。

図３には、あらためてネットワーク装置１００，３００間の確実なデータ伝送が可能となった状況が示されている。ここでは、通信経路ＣＢ１，ＣＲ３は、バブリングイディオット２００が形成した無意味なデータパケットから分離されている。このように、ネットワーク装置もしくはネットワークエレメントが高いデータレートでネットワークへ無意味なデータを送信するエラーが発生していても、処理を行うことができる。しかも、完全に故障したのでない全てのネットワーク装置間での確実な通信の続行が保証される。

図４には、ネットワークシステム１０１の第２の実施例が示されている。図１−図３の実施例とは異なり、中央のネットワーク装置に代えて、相互に直列に接続された３つの単純なスイッチ装置４０４，５０４，６０４が設けられている。３つのスイッチ装置４０４，５０４，６０４は、不確定のネットワーク装置として捉えることができる。例えば、スイッチ装置４０４はこうした不確定のネットワーク装置４００の一部である。特に車両内の安全性への関連薄い適用分野では、相応に単純な、冗長性を有さない複数のネットワーク装置が用いられる。

これらの単純なスイッチ装置４０４，５０４，６０４は、送信ポート及び受信ポート４０７，４１６，５０４，５１１，５０７，５１６，６１１，６１８を介して相互に接続されている。スイッチ装置４０４は、通信ネットワーク６すなわちイーサネットに接続された送信ポート４０９と受信ポート４１０とを有する。スイッチ装置６０４は、同様に通信ネットワーク６に接続された送信ポート６０９と受信ポート６１０とを有する。ここで、図１−図３に関連して説明した通信経路のセグメントＣＢ１，ＣＢ２，ＣＢ３；ＣＲ１，ＣＲ２，ＣＲ３が形成される。ネットワーク装置１００，２００のスイッチ装置４，５，３０４，３０５に属する受信ポート１０，１４，３１０，３１４は、フューズ装置２０，２１，３２０，３２１を介して通信ネットワーク６に接続されている。

これらの単純なスイッチ装置４０４，５０４，６０４のいずれかがバブリングイディオットとなった場合、まずネットワーク全体におけるデータレートが上昇し、受信ポートで設定された最大データ伝送レートが超過される。この場合、フューズ装置２１，３２０が受信ポート１４，３１０でのデータ受信を阻止する。その結果、スイッチ装置４０４，５０４，６０４から成るラインがデータ通信から切り離される。ただし、受信ポート３１０，３１４へのデータ伝送を監視しているフューズ装置２０，３２１は導通している。このようにすれば、不確定のネットワーク装置４又はスイッチ装置５０４がバブリングイディオットであっても、データ交換が保証される。正常に動作可能な安全性に関するネットワーク装置１００，３００間で引き続き送信ポート及び受信ポート９，１０，３１３，３１４を介した通信を行えるからである。

図５には、ネットワークシステムの別の実施例が示されている。ここでのネットワークシステム１０２には、それぞれ１つの制御装置２及び１つのスイッチ装置４を含む単純なネットワーク装置４００が含まれている。スイッチ装置４は、通信ネットワーク６に接続された、データＤの出入力のための受信ポート１０及び送信ポート９を有している。さらに、制御装置２もしくはＣＰＵ２は送信ポート８及び受信ポート７を介してスイッチ装置４に通信可能に接続されている。受信ポート１０には、設定されている最大受信データレートが上方超過された場合にデータ伝送を完全に阻止するフューズ装置２０が割り当てられている。この場合にもネットワークシステムは上述した実施例と同様に動作する。

つまり、本発明の方法及びネットワークシステムは、システムのリング構造と、各ネットワーク装置の各受信ポートでのデータ伝送レートの監視とにより、安全性に関わる適用分野において、最大限の完全性で信頼性の高い制御機器間通信を行うことができる。どのようなタイプのエラーが生じても、１つもしくは複数のネットワーク装置において不完全なデータが形成されず、又は、１通信サイクル内でエラー位置を特定できる。さらに、いずれかのネットワーク装置がバブリングイディオットとなって障害を起こし、ひいては、高いデータレートの非制御状態でネットワークへデータ送信を行ったとしても、通信故障にいたらない。

本発明のネットワークシステムにより、特に、サポートされていない、それぞれ少なくとも１つの制御装置及び少なくとも１つのスイッチ装置を含むネットワーク装置をネットワークシステム内に設けることができる。サポートされていないネットワーク装置とは、例えば受信ポートにフューズ装置が設けられていない従来のイーサネット機器である。しかし、サポートされていないネットワーク装置がバブリングイディオットとなった場合にも、サポートされている（フューズ装置を備えた）最も近いネットワーク装置のフューズ装置を介して当該サポートされていないネットワーク装置が切り離されるので、信頼性の高い通信が妨害されることはない。

別の実施例として、任意のネットワークトポロジを有するネットワークにおいても、当該ネットワーク内のトラフィックパターンが既知であれば、上述した実施例を適用することができる。

代替実施例では、入力ポートの帯域幅を測定することに代えて、ネットワーク装置内で高い優先度を有するパケットの待機時間が測定される。当該待機時間が計算された最大値を上回る場合には、許容帯域幅が超過されたことになり、フューズ装置（保護部）が作動される。

上述したフューズ装置（保護部もしくはネットワーク保護装置）は、レート制限乃至レート監視もしくはストリームセンシティブレートモニタリングをサポートしている場合、スイッチ装置ＡＳＩＣ内に直接に実現することもできる。これにより、ネットワーク保護装置を付加的なハードウェアなしに実現することができる。

これに代えて、ネットワーク保護装置を、ネットワーク装置の外部入力側の上流に接続された付加的な要素、例えばＦＰＧＡ内に実現することもできる。これにより単純なスイッチを使用でき、同時に、独立したハードウェアにおけるネットワーク保護装置の実現及び場合によりその認証を簡単化できる。

図６には、ネットワークシステム１０２の第４の実施例の概略図が示されている。ネットワークシステム１０２は４つのネットワーク装置４００を有している。各ネットワーク装置４００は図１−図５の実施例に基づいて動作できる。なお、各ネットワーク装置４００はそれぞれ異なる機能を有してもよい。例えば、上方の２つのネットワーク装置４００を制御コンピュータとして構成し、下方の２つのネットワーク装置４００をアクチュエータとして構成することができる。図６では、左方の２つのネットワーク装置４００が第１のネットワークセグメント７０１の要素であり、対して、右方の２つのネットワーク装置４００が第２のネットワークセグメント７０２の要素である。

ネットワークセグメント７０１，７０２の中間領域（内部領域）には第１のフューズ装置Ｆ１が配置されており、この第１のフューズ装置Ｆ１は、ネットワークセグメント７０１，７０２の縁領域に配置されたフューズ装置Ｆ２よりも大きいデータ伝送レート閾値を有する。つまり、高い閾値を有する第１のフューズ装置Ｆ１はネットワークセグメント７０１，７０２における内部通信のために設けられており、これに対して、低い閾値を有する第２のフューズ装置Ｆ２はネットワークセグメント７０１，７０２間での外部通信のために設けられている。

図７には、ネットワークシステム１０２の第５の実施例の概略図が示されている。

図７のネットワークシステム１０２は、それぞれ機能の異なる１２個のネットワーク装置８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２を有している。ネットワーク装置８１１−８１４は制御コンピュータとして構成されており、ネットワーク装置８２１−８２２は第１のタイプのノードとして構成されており、ネットワーク装置８３１−８３２は第２のタイプのノードとして構成されており、ネットワーク装置８４１−８４２は第３のタイプのノードとして構成されており、ネットワーク装置８５１−８５２はカップリングスイッチとして構成されている。

また、ネットワークシステム１０２は４つの仮想ネットＶ１−Ｖ４を含む。ここで、図７では、仮想ネットに属する仮想の接続線路に参照番号Ｖ１−Ｖ４を付して示してある。

さらに、ネットワークシステム１０２では、それぞれ異なる閾値を有する５個のフューズ装置Ｆ１−Ｆ５が用いられている。例えば、ネットワークシステム１０２で設定されている最大データ伝送レートを基準として、第１のフューズ装置Ｆ１は８０％の閾値、第２のフューズ装置Ｆ２は５０％の閾値、第３のフューズ装置Ｆ３は３５％の閾値、第４のフューズ装置Ｆ４は２０％の閾値、第５のフューズ装置Ｆ５は１０％の閾値を有する。

ネットワークシステム１０２は３重のリング状ネットワークとして構成されており、内側の１つのリングと外側の２つのリング（ループ）とが存在する。制御コンピュータ８１１−８１４が内側のリングを形成しており、ノード８２１−８２２，８３１−８３２，８４１−８４２が外側の２つのリングを形成している。仮想の接続線路Ｖ１−Ｖ４により、リング状トポロジに基づき、全制御コンピュータ８１１−８１４間と、制御コンピュータ及びノード間とで、ループのない分離された２つの経路が形成される。

図７の実施例では、全ネットワーク装置が冗長性を有するように構成されており、例えば、ノード８２２に対してノード８２１が冗長的に、ノード８３２に対してノード８３１が冗長的に、ノード８４２に対してノード８４１が冗長的に設けられている。これらのノード対の一方が故障しても、ネットワークシステム１０２のシステム全体は正常に動作しつづける。ネットワーク装置８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２の３桁の参照番号の一の位の桁が、電源に対するそれぞれの回路を示している。電源が故障した場合には、同じタイプの冗長ノードの各対の一方に電流が供給され、ネットワークシステム１０２に接続される。したがって、セグメント７０１−７０７は、これらのセグメントの１つが切り離されたときに、冗長ノードの各対の少なくとも一方が通信ネットワーク１０２に接続されたままとなるように選択される。

つまり、２つの冗長ノード、例えばノード８２１，８２２が外側のリングに組み込まれている場合、これらのノード間にはなるべく低い閾値を有するフューズ装置が組み込まれなければならない。この場合、組み込まれるフューズ装置は、通信ネットワーク１０２で設定された最大データ伝送レートの１０％に相当する閾値を有する第５のフューズ装置Ｆ５である。

４つの仮想ネットＶ１−Ｖ４を使用することにより、一方のカップリングスイッチ８５１，８５２を介して外側のリング又は内側のリングへ供給されたデータパケットが他方のカップリングスイッチ８５２，８５１から再び同じリングへ送出されるおそれがなくなる。しかも、上述した４つの仮想ネットＶ１−Ｖ４を使用することにより、全ノードを接続する分離された２つの経路を形成できる。

図７の実施例でのフューズ装置Ｆ１−Ｆ５の機能を、下記の３つの例によって示す。

第１の例ではノード８２２がバブリングイディオットとなっている。この例をケース１からケース４に分けて説明する。

ケース１）ノード８２２が９％−εまでの帯域幅でバブリングしているケース。こうした狭い帯域幅でのバブリングはいずれのフューズ装置Ｆ１−Ｆ５にも識別されない。ノード８２２が上方のノード８４１へ送信したデータパケットには、ノード８４１によって例えば１％の設定帯域幅が加えられる。しかし、閾値は超過されない。使用されている９％の帯域幅によって、ネットワークシステム１０２のシステム全体が損なわれることはない。

ケース２）ノード８２２が９％＋εから２０％−εまでの帯域幅でバブリングしているケース。ノード８４１が設定成分１％を加え、これによりノード８３１のフューズ装置Ｆ５が作動される。この場合、ノード８２２が故障していると見なされる。ノード８４１は故障していないが、通信から切り離されるのでロストする。経路Ｖ１を介した接続はフューズ装置Ｆ５によって遮断され、経路Ｖ２を介した接続は故障したノード８２２によって遮断される。

ケース３）ノード８２２が２０％から８０％−εまでの帯域幅でバブリングしているケース。ノード８３１のフューズ装置Ｆ５に加えて、カップリングスイッチ８５２のフューズ装置Ｆ４も作動される。この場合、ノード８２２，８４１から成るセグメント７０７が通信から切り離される。通信ネットワーク１０２の残りの部分は損なわれない。右方の外側リングの冗長部分のみがロストする。

ケース４）ノード８２２が８０％以上の帯域幅でバブリングしているケース。下方のカップリングスイッチ８５２のフューズ装置Ｆ４とノード８４１のフューズ装置Ｆ１とが作動される。これにより、ノード８２２が通信から切り離されるが、通信ネットワーク１０２の残りの部分は損なわれず、右方の外側リングの冗長部分のみがロストする。ノード８４１のフューズ装置Ｆ１が除外された場合には、ケース３と同じ状態が生じる。セグメントの中間領域のフューズ装置は個々のノードの利用可能性を改善する。ただしこの措置は必須というわけではない。

第２の例では、制御コンピュータ８１１がバブリングイディオットとなっている。この例もケース１からケース４に分けて説明する。

ケース１）制御コンピュータ８１１が約２２．５％−εまでの帯域幅でバブリングしているケース。制御コンピュータ８１３が自身に設定された帯域幅として例えば１２．５％を加える。カップリングスイッチ８５１，８５２のフューズ装置Ｆ３，Ｆ４，Ｆ５は作動されない。ノード８３１，８４１間のフューズ装置Ｆ５には、狭い許容帯域幅が設定されているため、このフューズ装置は作動されるかもしれない。ただし、この作用によってノードのロストは生じない。外側リングへ送信されたデータパケットはＶＬＡＮＶ１又はＶＬＡＮＶ２に属するため、対向するカップリングスイッチから外側リングを切り離すフューズ装置は作動されないのである。一方のカップリングスイッチ８５１，８５２を介して送信されたデータパケットが他方のカップリングスイッチ８５２，８５１によって受信されることはいずれの場合にもありえない。なぜなら、それぞれのカップリングスイッチはつねに異なるＶＬＡＮ（Ｖ１又はＶ２）に属するからである。よって、ノード及び制御コンピュータ８１１−８１４はいずれも通信ネットワークから除外されない。

ケース２）制御コンピュータ８１１が約２２．５％から３５％−εまでの帯域幅でバブリングしているケース。制御コンピュータ８１３が自身に設定された帯域幅として例えば１２．５％を加える。カップリングスイッチ８５２のフューズ装置Ｆ３が作動され、対向するカップリングスイッチ８５１のフューズ装置Ｆ３は作動されない。最悪の場合には、制御コンピュータ８１１はこの方向のＶＬＡＮＶ４でバブリングする。この場合、制御コンピュータ８１２，８１４がそれぞれのデータを追加した後に、制御コンピュータ８１４とカップリングスイッチ８５２との接続経路にあるフューズ装置Ｆ２が作動される。制御コンピュータ８１２，８１４はいまだ利用可能であるが、外側リングにはもはや冗長ノードが接続されないことになる。ただし、全てのノードについて非冗長性の接続はまだ存在している。この場合、内側リングのＶＬＡＮＶ３，Ｖ４に対する帯域幅を付加的に制限すれば、カップリングスイッチ８５２のフューズ装置Ｆ３の作動が阻止されるので、制御コンピュータ８１１−８１４の冗長接続を維持でき、いっそう有利である。

ケース３）制御コンピュータ８１１が３５％以上の帯域幅でバブリングしているケース。カップリングスイッチ８５１，８５２のフューズ装置Ｆ３が作動され、制御コンピュータ８１１，８１３がロストするが、制御コンピュータ８１２，８１４は冗長的に接続されたままである。

ケース４）制御コンピュータ８１１が８０％以上の帯域幅でバブリングしているケース。制御コンピュータ８１１，８１３間のフューズ装置Ｆ１が作動される。これにより、制御コンピュータ８１１，８１３は除外されるが、別の制御コンピュータ８１２，８１４は完全に接続されたままである。

第３の例では、カップリングスイッチ８５１がバブリングイディオットとなっている。この例もケース１からケース４に分けて説明する。

ケース１）カップリングスイッチ８５１が８％より低い帯域幅でバブリングしているケース。ノード８２１，８３１がそれぞれ自身の設定帯域幅、例えば１％ずつを加える。ノード８４１のフューズ装置Ｆ５は作動されない。上方のカップリングスイッチ８５１はＶＬＡＮＶ１のみでバブリングしているので、下方のカップリングスイッチ８５２のフューズ装置Ｆ４，Ｆ５も同様に作動されない。ただし、下方のカップリングスイッチ８５２ではデータパケットは受け取られない。内側のリングではフューズ装置は作動されないが、約８％の帯域幅が消費されている。

ケース２）カップリングスイッチ８５１が８％から１０％−εまでの帯域幅でバブリングしているケース。ノード８２１，８３１がそれぞれ自身の設定帯域幅を加える。ノード８４１のフューズ装置Ｆ５が作動され、ノード８２１，８３２が通信ネットワーク１０２から切り離される。上方のカップリングスイッチ８５１がＶＬＡＮＶ１のみでバブリングしているので、下方のカップリングスイッチ８５２のフューズ装置Ｆ４，Ｆ５は作動されない。ただし、上方のカップリングスイッチ８５１からのデータパケットは下方のカップリングスイッチ８５２では受け取られない。内側のリングではフューズ装置は作動されないが、約１０％の帯域幅が消費されている。

ケース３）上方のカップリングスイッチ８５１が１０％から５０％−εまでの帯域幅でバブリングしているケース。ノード８４１のフューズ装置Ｆ５が作動され、ノード８２１，８３１が通信ネットワーク１０２の残りの部分から切り離される。上方のカップリングスイッチ８５１がＶＬＡＮＶ１のみでバブリングしているので、下方のカップリングスイッチ８５２のフューズ装置Ｆ４，Ｆ５は作動されない。ただし、下方のカップリングスイッチではデータパケットは受け取られない。

制御コンピュータ８１１−８１４はそれぞれ自身の設定帯域幅１２．５％を追加する。上方のカップリングスイッチ８５１が右方のＶＬＡＮＶ３のポートと左方のＶＬＡＮＶ４のポートとでバブリングしている場合には、下方のカップリングスイッチ８５２で双方のフューズ装置Ｆ３が作動される。きわめて稀であるが、この場合には全ての制御コンピュータ８１１−８１４がロストする。

この場合、上方のカップリングスイッチ８５１で形成され、セグメント７０４を通して転送されるデータパケットによって、カップリングスイッチ８５２の右方のフューズ装置Ｆ３が作動され、これにより、正常に動作している本来のセグメント７０４が切り離されてしまう。こうした好ましくないケースを回避するために、ＶＬＡＮＶ３，Ｖ４に対する帯域幅は制限されている。制御コンピュータ８１１−８１４を通してデータパケットが転送されなくなるため、上方のカップリングスイッチ８５１からＶＬＡＮＶ１，Ｖ２を介して下方のカップリングスイッチ８５２のフューズ装置Ｆ３が作動されることはない。

これに代えて、制御機能を各制御コンピュータ８１１−８１４に適切に分散させることが許容されるのであれば、ＶＬＡＮＶ３，Ｖ４を省略することにより、全制御コンピュータ８１１−８１４を接続する個別の経路が存在しないようにすることもできる。ただし、この場合、制御コンピュータのセグメント７０３，７０４を通してデータパケットを転送することはできない。

ケース４）カップリングスイッチ８５１が５０％以上の帯域幅でバブリングしているケース。ノード８４１のフューズ装置Ｆ５が作動され、ノード８２１，８３１が通信ネットワーク１０２から切り離される。上方のカップリングスイッチ８５２はＶＬＡＮＶ１のみでバブリングしているので、下方のカップリングスイッチ８５２のフューズ装置Ｆ４，Ｆ５は作動されない。ただし、下方のカップリングスイッチ８５２ではデータパケットは受け取られない。

制御コンピュータ８１１，８１２のフューズ装置Ｆ２が作動される。セグメント７０３，７０４から成る内側のリングでは通信のバブリングは生じない。

図８にはネットワーク装置１０２の第６の実施例の概略図が示されている。図８の実施例は、特にネットワークトポロジに関して、図７の実施例と異なっている。特に、図８の実施例では、２つのＶＬＡＮＶ１，Ｖ２のみが構成されている。２つのＶＬＡＮＶ１，２により、一方のカップリングスイッチ８５１，８５２を介して外側リングへ供給されたパケットが他方のカップリングスイッチ８５２，８５１によって同じリングへ再び送出されることはない。つまり、当該データパケットは外側リングを介しては転送されない。なお、通信ネットワーク１０２の全ノードを２つの個別の経路によって接続できるようにするために、上述した２つのＶＬＡＮＶ１，Ｖ２が用いられる。

フューズ装置Ｆ１−Ｆ５の機能を、下記の３つの例によって示す。

第１の例ではノード８２２がバブリングイディオットとなっている。この例をケース１からケース４に分けて説明する。

ケース１）ノード８２２が９％−εまでの帯域幅でバブリングしているケース。こうした狭い帯域幅でのバブリングはいずれのフューズ装置Ｆ１−Ｆ５によっても識別されない。ノード８４１は、上方のノード８２２への送信の際に、設定帯域幅、例えば１％を加える。しかし、フューズ装置Ｆ１−Ｆ５の閾値は超過されない。使用されている９％の帯域幅によって、ネットワークシステム１０２のシステム全体が損なわれることはない。

ケース２）ノード８２２が９％＋εから２０％−εまでの帯域幅でバブリングしているケース。ノード８４１が設定成分１％を加え、ノード８３１のフューズ装置Ｆ５が作動される。ノード８２２は故障していると見なされる。ノード８４１は故障していないが、通信から切り離されるのでロストする。経路Ｖ１を介した接続はフューズ装置Ｆ５によって遮断され、経路Ｖ２を介した接続は故障したノード８２２によって遮断される。

ケース３）ノード８２２が２０％から８０％−εまでの帯域幅でバブリングしているケース。フューズ装置Ｆ５に加えて、下方のカップリングスイッチ８５２のフューズ装置Ｆ４も作動される。この場合、ノード８２２，８４１から成るセグメント７０８が通信から切り離され、通信ネットワーク１０２の残りの部分は損なわれない。右方の外側リングの冗長部分のみがロストする。

ケース４）ノード８２２が８０％以上の帯域幅でバブリングしているケース。下方のカップリングスイッチ８５２のフューズ装置Ｆ４とノード８４１のフューズ装置Ｆ１とが作動される。これにより、ノード８２２が通信から切り離されるが、通信ネットワーク１０２の残りの部分は損なわれない。右方の外側リングの冗長部分のみがロストする。ただし、ノード８４１はロストしない。

第２の例ではノード８１１がバブリングイディオットとなっている。この例を２つのケースで説明する。

ケース１）制御コンピュータ８１１が約３５％−εまでの帯域幅でバブリングしているケース。カップリングスイッチ８５１，８５２のフューズ装置Ｆ３は作動されない。ノード８３１，８４１間のフューズ装置Ｆ５では、狭い許容帯域幅１０％が設定されているため、その一方もしくは双方が作動されるかもしれない。この作用は望ましくないが、ノードのロストは生じない。

外側リングへ送信されたデータパケットはＶＬＡＮＶ１又はＶＬＡＮＶ２に属するため、対向するカップリングスイッチ８５１から外側リングを切り離すフューズ装置は作動されない。一方のカップリングスイッチ８５１，８５２を介して送信されたデータパケットが他方のカップリングスイッチ８５２，８５１によって受信されることはいずれの場合にもありえない。なぜなら、それぞれのカップリングスイッチはつねに異なるＶＬＡＮ（Ｖ１又はＶ２）に属するからである。よって、ノード及び制御コンピュータ８１１−８１３はいずれも通信ネットワークから除外されない。

ケース２）制御コンピュータ８１１が３５％より高い帯域幅でバブリングしているケース。制御コンピュータ８１１に接続されているカップリングスイッチ８５１，８５２のフューズ装置Ｆ３が作動される。これにより制御コンピュータ８１１が通信ネットワーク１０２から切り離される。ただし、他の全てのノードに対する接続は非冗長的にではあるがまだ存在している。

第３の例ではカップリングスイッチ８５１がバブリングイディオットとなっている。この例を３つのケースに分けて説明する。

ケース１）カップリングスイッチ８５１が８％より低い帯域幅でバブリングしているケース。ノード８２１，８３１はそれぞれ自身の設定帯域幅、例えば１％ずつを加える。ノード８４１のフューズ装置Ｆ５は作動されない。上方のカップリングスイッチ８５１はＶＬＡＮＶ１のみでバブリングしているので、下方のカップリングスイッチ８５２のフューズ装置Ｆ２，Ｆ１は作動されず、また、下方のカップリングスイッチ８５２ではデータパケットは受け取られない。ＶＬＡＮＶ１のデータパケットは制御コンピュータ８１１−８１３から下方のカップリングスイッチ８５２へ転送されないので、下方のカップリングスイッチ８５２のフューズ装置Ｆ３も同様に作動されない。これにより全てのノードはＶＬＡＮＶ２を介して相互に接続された状態を保持できる。

ケース２）カップリングスイッチ８５１が８％から５０％−εまでの帯域幅でバブリングしているケース。ノード８２１，８３１がそれぞれ自身の設定帯域幅を加える。ノード８４１のフューズ装置Ｆ５が作動され、ノード８２１，８３１が通信ネットワーク１０２から切り離される。上方のカップリングスイッチ８５１はＶＬＡＮＶ１のみでバブリングしているので、下方のカップリングスイッチ８５２のフューズ装置Ｆ２，Ｆ５は作動されず、ただし、下方のカップリングスイッチ８５２ではデータパケットは受け取られない。ＶＬＡＮＶ１のデータパケットは制御コンピュータ８１１−８１３から下方のカップリングスイッチ８５２へ転送されないので、下方のカップリングスイッチ８５２のフューズ装置Ｆ３も同様に作動されない。

ケース３）上方のカップリングスイッチ８５１が５０％以上の帯域幅でバブリングしているケース。ノード８２１，８３２のフューズ装置Ｆ２が作動され、さらに、制御装置８１１−８１３のフューズ装置Ｆ２も作動される。これにより、上方のカップリングスイッチ８５１が通信ネットワーク１０２から切り離される。ただし、全てのノードがＶＬＡＮＶ２を介して非冗長的にではあるが接続されたままとなる。この場合、カップリングスイッチ８５１，８５２はノードとしては数えない。

図９には、ネットワークシステム１０２の第７の実施例の概略図が示されている。

フューズ装置Ｆ１−Ｆ５によって、ネットワークシステム１０２の１つもしくは複数のリングに無意味なデータが溢れるおそれが回避される。このために、フューズ装置Ｆ１−Ｆ５は、特にプラットフォームコンピュータ８１１−８１４の外部接続（すなわち、制御コンピュータ８１１−８１４の外側リングの接続）へ向かう優先度の高いデータ伝送を監視する。

よって、セグメント７０１，７０４，７０５から成る外側リングでのバブリングイディオットは、セグメント７０２，７０３から成る内側リングでの通信を妨害しない。少なくとも通信に関して高度に利用可能な冗長的ネットワーク装置、例えばアセンブリ装置が外側リングに組み込まれている場合、これらの間にも同様にフューズ装置Ｆ１−Ｆ５を双方向で設けなければならない。このことの例として、ネットワーク装置８３１，８３２のフューズ装置Ｆ５が挙げられる。

同様に、制御コンピュータ８１１−８１４がそれぞれ異なる電流供給部に接続されたセグメント７０２，７０３から成る内側リングの接続も監視される。ここでは、例えば、制御コンピュータ８１１，８１２は第１の電流供給部から給電されており、制御コンピュータ８１３，８１４は第２の電流供給部から給電されている。全体で見ると、第１の電流供給部はネットワーク装置８１１，８１２，８２１，８３１，８２２へ給電しており、第２の電流供給部はネットワーク装置８２３，８２４，８１３，８１４，８３２へ給電している。このため、最悪のケースでは、バブリングしている制御コンピュータが同じ電流供給部から給電されている制御コンピュータを損ない、電流供給部の故障と同等の状態を引き起こすことがある。この場合、第２の電流供給部ひいてはこれに接続されている各ネットワーク装置は不通のままとなってしまう。

当該接続に該当する重要な通信は、手動で、又は、オートコンフィグレーション機構によって、求められる。この場合、フューズ装置Ｆ１−Ｆ５で許容可能な最大帯域幅は所定の余裕量を見込んだ値に設定され、この余裕量は慎重を期せば１００％と見積もられる。セグメント７０２，７０３から成る内側リングの通信の設定量と、外側リングのポートを通して内側リングへ入力される通信の最大量との和は、制御コンピュータ８１１−８１４間のフューズ装置Ｆ２で設定されている値（最大データ伝送レートの５０％）を超えてはならない。なぜなら、そうしないと、外部から到来するデータ通信が内側リングの通信を中断させてしまうからである。例えば、図９には、制御コンピュータ８１１から制御コンピュータ８１２への通信に帯域幅２５％が設定されている。制御コンピュータ８１２のフューズ装置Ｆ４は外側リングから最大２０％を入力されることがある。つまり、制御コンピュータ８１４のフューズ装置Ｆ２は少なくとも２５％＋２０％の負荷を許容しなくてはならない。図９の実施例では、安全余裕量５０％を考慮して、制御コンピュータ８１４のフューズ装置Ｆ２に対する帯域幅が設定される。

さらに、フューズ装置Ｆ３−Ｆ５（Ｆ３で３５％、Ｆ４で２０％、Ｆ５で１０％）は、フューズ装置Ｆ１，Ｆ２（Ｆ１で８０％、装置Ｆ２で５０％）に比べて格段に高い値の帯域幅を制限している。バブリングイディオットがきわめて高い帯域幅でバブリングする場合、バブリングイディオットは局所的に切り離され、他のネットワーク装置の機能を損なわない。

図９の実施例のフューズ装置Ｆ１−Ｆ５の機能を以下に２つの例に即して示す。

第１の例では、ネットワーク装置８３２がバブリングイディオットとなっている。この例を４つのケースに分けて説明する。

ケース１）ネットワーク装置８３２が９％までの帯域幅でバブリングしているケース。こうした狭い帯域幅でのバブリングはいずれのフューズ装置Ｆ１−Ｆ５によっても識別されない。消費されている８％の帯域幅によって、ネットワークシステム１０２のシステム全体が損なわれることはない。

ケース２）ネットワーク装置８３２が９％＋εから２０％−εまでの帯域幅でバブリングしているケース。同じセグメント７０５のネットワーク装置８２２が設定成分１％を加えるため、ネットワーク装置８３１のフューズ装置Ｆ５が作動される。制御コンピュータ８１４の外側リングのポートのフューズ装置Ｆ４はまだ作動されない。こうして、ネットワーク装置８３２が故障していると見なされる。ネットワーク装置８２２は故障していないが、制御コンピュータ８１１−８１４による通信から切り離されるのでロストする。経路Ｖ１を介した接続はフューズ装置Ｆ５によって遮断され、経路Ｖ２を介した接続は故障したネットワーク装置８３２によって遮断される。このように、ネットワーク装置８３２は、非クリティカルなデータ伝送を犠牲にして、２０％までの帯域幅を消費している。

ケース３）ネットワーク装置８３２が２０％から８０％−εまでの帯域幅でバブリングしているケース。ネットワーク装置８３１のフューズ装置Ｆ５に加えて、制御コンピュータ８１４の外側リングのポートのフューズ装置Ｆ４が作動される。この場合、ネットワーク装置８３２，８２２が通信から切り離される。通信ネットワーク１０２の残りの部分は損なわれない。ネットワークセグメント７０５の冗長部分のみがロストする。

ケース４）ネットワーク装置８３２が８０％以上の帯域幅でバブリングしているケース。制御コンピュータ８１４のフューズ装置Ｆ４とネットワーク装置８２２のフューズ装置Ｆ５とが作動される。これにより、ネットワーク装置８３２が通信から切り離されるが、通信ネットワーク１０２の残りの部分は損なわれない。右方の外側リングの冗長部分のみがロストする。当該ケース４ではネットワーク装置８２２もロストしない。

第２の例では、制御コンピュータ８１１がバブリングイディオットとなっている。この例を３つのケースに分けて説明する。

ケース１）制御コンピュータ８１１が狭い帯域幅でバブリングしているケース。ネットワーク装置８３１，８２２間のフューズ装置Ｆ５では、狭い許容帯域幅（Ｆ５で１０％）が設定されているので、これは作動されるかもしれない。こうした作用は望ましくないが、ネットワーク装置のロストは生じず、セグメント７０４，７０５から成る右方の外側リングの冗長部分のみがロストする。外側リングへ送信されたデータパケットはＶＬＡＮＶ１又はＶＬＡＮＶ２に属するため、対向する制御コンピュータの外側リングのポートＦ５から外側リングを切り離すフューズ装置は作動されない。いずれの場合にも、一方のＶＬＡＮの制御コンピュータ８１１から送信されたデータパケットが他方のＶＬＡＮに属する制御コンピュータ８１３によって受信されることはない。よって、ネットワーク装置及び制御コンピュータはいずれも通信ネットワークから除外されず、非クリティカルな通信の犠牲によって帯域幅が消費される。

ケース２）制御コンピュータ８１１が８０％−εの高い帯域幅でバブリングしているケース。ＶＬＡＮＶ１−Ｖ４では制御コンピュータ８１１がバブリングしており、残りの通信に対して制御コンピュータ８１２，８１３，８１４のフューズ装置Ｆ２が作動される。この場合、次のサブケースｉ），ｉｉ）が区別される。

・サブケースｉ）制御コンピュータ８１３のフューズ装置Ｆ２のみが作動されるサブケース。制御コンピュータ８１２，８１３，８１４は非冗長的にではあるが接続されており、セグメント７０４，７０５から成る右方の外側リングが冗長接続されている。セグメント７０１から成る左方の外側リングは非冗長的にではあるが接続されている。帯域幅の５０％までがＶＬＡＮＶ１もしくはＶＬＡＮＶ３で消費される。ＶＬＡＮＶ２は機能の点で制御コンピュータ８１２，８１３，８１４を外側リングのネットワーク装置へ接続している。

・サブケースｉｉ）制御コンピュータ８１３のフューズ装置Ｆ２、及び付加的に、制御コンピュータ８１２のフューズ装置Ｆ２及び／又は制御コンピュータ８１４のフューズ装置Ｆ２が作動されるサブケース。正常に機能している制御コンピュータ８１２が内側リングから切り離される。制御コンピュータ８１３，８１４は外側リングの全てのネットワーク装置に対しては非冗長的に接続される。最悪の場合、帯域幅の５０％が消費される。

ケース３）制御コンピュータ８１１が８０％以上の帯域幅でバブリングしているケース。制御コンピュータ８１３のフューズ装置Ｆ２と制御コンピュータ８１２のフューズ装置Ｆ１とが作動される。故障している制御コンピュータ８１１が通信から除外される。他の全ての制御コンピュータ８１２−８１４と外側リングのネットワーク装置とが少なくとも非冗長的に接続されている。しかも、セグメント７０４，７０５から成る右方の外側リングは冗長性を保っている。この場合、バブリングイディオットである制御コンピュータ８１１が切り離されるため、完全な帯域幅を利用可能である。

本発明の個々の特徴を有利な実施例に則して詳細に説明したが、本発明はこれらの実施例に限定されない。当業者であれば、本発明の権利範囲から離れることなく、他のバリエーションを実現することができるはずである。特に、ネットワークシステムの実施例には、バブリングイディオットとなりうる別のネットワークエレメントが含まれる。

Claims (30)

1. 通信ネットワーク（６）へ接続された複数のネットワーク装置（１００，２００，３００）に対する通信ネットワーク（１，１０１）の作動方法であって、
   前記各ネットワーク装置（１００，２００，３００）が、少なくとも１つのスイッチ装置（４，５）と、該スイッチ装置（４，５）に接続された第１の制御装置及び第２の制御装置（２，３）とを含み、
   前記スイッチ装置（４，５）は、それぞれ１つずつ、前記通信ネットワーク（６）を介してデータを送受信するために受信ポート（１０，１４）と送信ポート（９，１３）とを有しており、
   前記受信ポート（１０，１４）のそれぞれに、データ伝送レートを制限するフューズ装置（２０，２１）が割り当てられており、
   前記方法は、
   前記第１の制御装置（２）を介して第１のデータ（Ｄ１）を形成し、前記第２の制御装置（３）を介して第２のデータ（Ｄ２）を形成するステップであって、前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）が所定の符号化法によって相互に結合しているステップと、
   前記第１のデータ（Ｄ１）を前記第１の制御装置（２）から前記スイッチ装置（４）を介して前記第２の制御装置（３）へ送信し、前記第２のデータ（Ｄ２）を前記第２の制御装置（３）から前記スイッチ装置（４）を介して前記第１の制御装置（２）へ送信するステップと、
   前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）を、第１の通信経路（ＣＢ１，ＣＢ２，ＣＢ３）を介して、前記第１の制御装置（２）に対する前記スイッチ装置（４）の前記送信ポート（９）から前記第２の制御装置（３）に対する前記スイッチ装置（４）の前記受信ポート（１４）へ送信するステップと、
   前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）を、第２の通信経路（ＣＲ１，ＣＲ２，ＣＲ３）を介して、前記第２の制御装置（３）に対する前記スイッチ装置（４）の前記送信ポート（１３）から前記第１の制御装置（２）に対する前記スイッチ装置（４）の前記受信ポート（１０）へ送信するステップと、
   を含み、
   前記第１の通信経路（ＣＢ１，ＣＢ２，ＣＢ３）のデータと前記第２の通信経路（ＣＲ１，ＣＲ２，ＣＲ３）のデータとは同じネットワーク装置（２００，３００）を相互に反対方向で通過し、
   前記方法は、さらに
   データ送信時の最大データ伝送レートを設定し、設定された前記最大データ伝送レートよりも低いデータレートでデータが送信されるように前記複数のネットワーク装置（１００，２００，３００）を構成するステップと、
   前記複数のネットワーク装置（１００，２００，３００）の前記受信ポート（１０，１４）で受信されるデータのデータ伝送レートを監視するステップと、
   到来するデータが設定された前記最大データ伝送レートよりも高いデータ伝送レートを有する場合に、前記フューズ装置（２０，２１）を介してデータ伝送レートを制限することによって、受信ポート（１０，１４）でのデータ受信を阻止するステップと
   を含むことを特徴とする方法。
2. 前記方法は、さらに、到来するデータが設定された前記最大データ伝送レートよりも低いデータ伝送レートを有する場合に、受信ポート（１０，１４）でのデータ受信を許可するステップを含む、請求項１記載の方法。
3. 送信ポート（９，１３）と受信ポート（１０，１４）との間の各通信経路に対して、最大リンク伝送レートを設定する、請求項１または２記載の方法。
4. 前記データに少なくとも２つの優先度クラスを割り当て、選択された優先度クラスのデータについてのみ、前記データ伝送レートを監視する、及び／又は、データ受信を阻止する、請求項１から３までのいずれか１項記載の方法。
5. 前記データに少なくとも２つの優先度クラスを割り当て、選択された優先度クラスのデータのデータ伝送レートを評価する際に、前記選択された優先度クラスのデータの、スイッチ装置（４，５）における待機時間を検出する、請求項１から４までのいずれか１項記載の方法。
6. 前記方法は、さらに、
   前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）を、前記第１の制御装置（２）に対する前記スイッチ装置（４）の前記送信ポート（９）から、別の第１の制御装置及び別の第２の制御装置（２０２，２０３）を含む別のネットワーク装置（２００）の少なくとも１つの別のスイッチ装置（２０４）を介して、前記第２の制御装置（３）に対する前記スイッチ装置（４）の前記受信ポート（１４）へ送信するステップと、
   前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）を、前記第２の制御装置（３）に対する前記スイッチ装置（４）の前記送信ポート（１３）から、別の第１の制御装置及び別の第２の制御装置（２０２，２０３）を含む別のネットワーク装置（２００）の少なくとも１つの別のスイッチ装置（２０４）を介して、前記第１の制御装置（２）に対する前記スイッチ装置（４）の前記受信ポート（１０）へ送信するステップと
   を含み、
   それぞれの前記別のスイッチ装置（２０４）では、該別のスイッチ装置（２０４）の前記別の第２の制御装置（２０３）に対する受信ポート（２１４）で受信されたデータを、該別のスイッチ装置（２０４）の前記別の第１の制御装置（２０２）に対する送信ポート（２０９）へ転送し、該別のスイッチ装置（２０４）の前記別の第１の制御装置（２０２）に対する受信ポート（２１０）で受信されたデータを、該別のスイッチ装置（２０４）の前記別の第２の制御装置（２０３）に対する送信ポート（２１３）へ転送する、
   請求項１から５までのいずれか１項記載の方法。
7. 前記方法はさらに、
   前記第１の制御装置（２）及び／又は前記第２の制御装置（３）において、前記第１のデータ（Ｄ１）と前記第２のデータ（Ｄ２）とを比較して、比較結果を形成するステップと、
   該比較結果に基づいて、前記ネットワーク装置（１００，２００，３００）を不活性化するステップと
   を含む、
   請求項１から６までのいずれか１項記載の方法。
8. 前記方法はさらに、前記別のネットワーク装置（２００）において、それぞれ異なる制御装置（２０２，２０３）に対する複数の受信ポート（２１０，２１４）で前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）を受信するステップと、受信された各データを比較するステップとを含む、請求項６又は請求項６に従属する請求項７記載の方法。
9. 前記通信ネットワーク（６）はイーサネットネットワークである、請求項１から８までのいずれか１項記載の方法。
10. 少なくとも２つのネットワーク装置（８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２）の前記フューズ装置（Ｆ１−Ｆ５）には、前記データ伝送レートに対するそれぞれ異なる閾値が割り当てられており、該各閾値は、前記設定された最大データ伝送レート以下の値であり、前記少なくとも２つのネットワーク装置（８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２）の受信ポート（７，１０，１１，１４，１５，１７）に到来するデータが、前記割り当てられた閾値よりも高いデータ伝送レートを有する場合には、当該受信ポート（７，１０，１１，１４，１５，１７）でのデータ受信を阻止する、請求項１から９までのいずれか１項記載の方法。
11. 前記少なくとも２つのネットワーク装置（８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２）を複数のネットワークセグメント（７０１−７０７）に分割して配置し、
    前記ネットワークセグメント（７０１−７０７）のそれぞれに、前記少なくとも２つのネットワーク装置（８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２）のサブセットを割り当て、
    前記少なくとも２つのネットワーク装置（８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２）を含む前記各ネットワークセグメント（７０１−７０７）において、前記各ネットワークセグメント（７０１−７０７）の縁領域に配置されたフューズ装置（Ｆ１−Ｆ５）に、前記各ネットワークセグメント（７０１−７０７）の中間領域に配置されたフューズ装置（Ｆ１−Ｆ５）よりも低い閾値を、前記データ伝送レートに対して割り当てる、
    請求項１０記載の方法。
12. 前記サブセットを分離されたサブセットとして形成する、請求項１１記載の方法。
13. 前記少なくとも２つのネットワーク装置（８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２）は、機能の点で冗長的な少なくとも２つのネットワーク装置（８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２）を含み、前記サブセットのそれぞれに、最大で前記冗長的な少なくとも２つのネットワーク装置（８１１−８１４，８２１−８２２，８３１−８３２，８４１−８４２，８５１−８５２）のうちの１つが割り当てられるように、前記サブセットを形成する、請求項１１から１２までのいずれか１項記載の方法。
14. 前記通信ネットワーク（１０２）には、別のネットワークセグメント（７０１−７０７）からのデータ受信に基づくネットワークセグメント（７０１−７０７）のフューズ装置（Ｆ１−Ｆ５）での前記データ伝送レート閾値の上方超過を回避するように、複数の仮想ネット（Ｖ１−Ｖ５）が構成されている、請求項１１から１３までのいずれか１項記載の方法。
15. 各フューズ装置（Ｆ１−Ｆ５）の前記データ伝送レート閾値を、該各フューズ装置（Ｆ１−Ｆ５）の配置された前記仮想ネット（Ｖ１−Ｖ４）に依存して調整する、請求項１４記載の方法。
16. 請求項１から１５までのいずれか１項記載の方法を１つもしくは複数のプログラム制御される装置（１００，２００，３００）上で実行するためのコンピュータプログラム。
17. 請求項１から１５までのいずれか１項記載の方法を１つもしくは複数のプログラム制御される装置（１００，２００，３００）上で実行するための命令を有するコンピュータプログラムを記憶したデータ担体。
18. 通信ネットワーク（６）に接続された複数のネットワーク装置（１００，２００，３００）を含むネットワークシステム（１，１０１）であって、
    各ネットワーク装置（１００，２００，３００）は、少なくとも１つのスイッチ装置（４）と、該スイッチ装置（４）に接続された制御装置（２）とを含み、
    前記スイッチ装置（４）は、前記通信ネットワーク（６）を介してデータを送受信するための受信ポート（１０）と送信ポート（９）とを有しており、
    データ伝送レートを制限する少なくとも１つのフューズ装置（２０）が、前記受信ポート（１０）に割り当てられて設けられており、
    前記ネットワーク装置（１００，２００，３００）は、請求項１から１５までのいずれか１項記載の方法を実行するように構成されている、
    ことを特徴とするネットワークシステム（１，１０１）。
19. 少なくとも１つのネットワーク装置（１００，２００，３００）が第１の制御装置（２）と第２の制御装置（３）と第１のスイッチ装置（４）と第２のスイッチ装置（５）とを含み、
    前記第１のスイッチ装置（４）は前記第１の制御装置（２）に割り当てられており、前記第２のスイッチ装置（５）は前記第２の制御装置（３）に割り当てられており、
    前記スイッチ装置（４，５）はそれぞれ、前記通信ネットワーク（６）を介してデータを送受信するための受信ポート（１０，１４）と送信ポート（９，１３）とを１つずつ有しており、
    前記スイッチ装置（４，５）は相互に通信可能に接続されている、
    請求項１８記載のネットワークシステム（１，１０１）。
20. 前記ネットワーク装置（１００，２００，３００）及び／又は前記フューズ装置（２０，２１，２２０，２２１，３２０，３２１）はそれぞれ個々のＦＰＧＡ，ＡＳＩＣ，ＩＣチップ、又は、固定に接続されたマイクロ回路として実現されている、請求項１８又は１９記載のネットワークシステム（１，１０１）。
21. 通信ネットワーク（６）へ接続されるネットワーク装置（１００）であって、
    前記ネットワーク装置（１００）が、少なくとも１つのスイッチ装置（４，５）と、該スイッチ装置（４，５）に接続された第１の制御装置及び第２の制御装置（２，３）とを含み、
    前記スイッチ装置（４，５）は、それぞれ１つずつ、前記通信ネットワーク（６）を介してデータを送受信するために受信ポート（１０，１４）と送信ポート（９，１３）とを有しており、
    前記受信ポート（１０，１４）のそれぞれに、データ伝送レートを制限するフューズ装置（２０，２１）が割り当てられており、
    前記ネットワーク装置（１００）は、
    前記第１の制御装置（２）を介して第１のデータ（Ｄ１）を形成し、前記第２の制御装置（３）を介して第２のデータ（Ｄ２）を形成し、ここで、前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）が所定の符号化法によって相互に結合しており、
    前記第１のデータ（Ｄ１）を前記第１の制御装置（２）から前記スイッチ装置（４）を介して前記第２の制御装置（３）へ送信し、前記第２のデータ（Ｄ２）を前記第２の制御装置（３）から前記スイッチ装置（４）を介して前記第１の制御装置（２）へ送信し、
    前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）を、第１の通信経路（ＣＢ１）を介して、前記第１の制御装置（２）に対する前記スイッチ装置（４）の前記送信ポート（９）から前記第２の制御装置（３）に対する前記スイッチ装置（４）の前記受信ポート（１４）へ送信し、
    前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）を、第２の通信経路（ＣＲ３）を介して、前記第２の制御装置（３）に対する前記スイッチ装置（４）の前記送信ポート（１３）から前記第１の制御装置（２）に対する前記スイッチ装置（４）の前記受信ポート（１０）へ送信し、
    前記第１の通信経路（ＣＢ１）のデータと前記第２の通信経路（ＣＲ３）のデータとは前記ネットワーク装置（１００）へのデータの伝送流に関して相互に反対方向で通過し、
    前記ネットワーク装置（１００）は、さらに、
    データ送信時の最大データ伝送レートを設定し、設定された前記最大データ伝送レートよりも低いデータレートでデータを送信し、
    前記受信ポート（１０，１４）で受信されるデータのデータ伝送レートを監視し、
    到来するデータが設定された前記最大データ伝送レートよりも高いデータ伝送レートを有する場合に、前記フューズ装置（２０，２１）を介してデータ伝送レートを制限することによって、受信ポート（１０，１４）でのデータ受信を阻止する、
    ことを特徴とするネットワーク装置（１００）。
22. 前記ネットワーク装置（１００）は、さらに、到来するデータが設定された前記最大データ伝送レートよりも低いデータ伝送レートを有する場合に、受信ポート（１０，１４）でのデータ受信を許可する、
    請求項２１記載のネットワーク装置（１００）。
23. 前記ネットワーク装置（１００）は、さらに、送信ポート（９，１３）と受信ポート（１０，１４）との間の各通信経路に対して、最大リンク伝送レートを設定する、請求項２１または２２記載のネットワーク装置（１００）。
24. 前記ネットワーク装置（１００）は、さらに、前記データに少なくとも２つの優先度クラスを割り当て、選択された優先度クラスのデータについてのみ、前記データ伝送レートを監視する、及び／又は、データ受信を阻止する、請求項２１から２３までのいずれか１項記載のネットワーク装置（１００）。
25. 前記ネットワーク装置（１００）は、さらに、前記データに少なくとも２つの優先度クラスを割り当て、選択された優先度クラスのデータのデータ伝送レートを評価する際に、前記選択された優先度クラスのデータの、スイッチ装置（４，５）における待機時間を検出する、請求項２１から２４までのいずれか１項記載のネットワーク装置（１００）。
26. 通信ネットワーク（６）へ接続されるネットワーク装置（１００）に設置されたコンピュータのためのコンピュータプログラムであって、
    前記ネットワーク装置（１００）が、少なくとも１つのスイッチ装置（４，５）と、該スイッチ装置（４，５）に接続された第１の制御装置及び第２の制御装置（２，３）とを含み、
    前記スイッチ装置（４，５）は、それぞれ１つずつ、前記通信ネットワーク（６）を介してデータを送受信するために受信ポート（１０，１４）と送信ポート（９，１３）とを有しており、
    前記受信ポート（１０，１４）のそれぞれに、データ伝送レートを制限するフューズ装置（２０，２１）が割り当てられており、
    前記プログラムは前記コンピュータに対し下記ステップを実行させる、すなわち、
    前記第１の制御装置（２）を介して第１のデータ（Ｄ１）を形成し、前記第２の制御装置（３）を介して第２のデータ（Ｄ２）を形成するステップであって、前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）が所定の符号化法によって相互に結合しているステップと、
    前記第１のデータ（Ｄ１）を前記第１の制御装置（２）から前記スイッチ装置（４）を介して前記第２の制御装置（３）へ送信し、前記第２のデータ（Ｄ２）を前記第２の制御装置（３）から前記スイッチ装置（４）を介して前記第１の制御装置（２）へ送信するステップと、
    前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）を、第１の通信経路（ＣＢ１）を介して、前記第１の制御装置（２）に対する前記スイッチ装置（４）の前記送信ポート（９）から前記第２の制御装置（３）に対する前記スイッチ装置（４）の前記受信ポート（１４）へ送信するステップと、
    前記第１のデータ（Ｄ１）及び前記第２のデータ（Ｄ２）を、第２の通信経路（ＣＲ３）を介して、前記第２の制御装置（３）に対する前記スイッチ装置（４）の前記送信ポート（１３）から前記第１の制御装置（２）に対する前記スイッチ装置（４）の前記受信ポート（１０）へ送信するステップと
    を実行させ、
    前記第１の通信経路（ＣＢ１）のデータと前記第２の通信経路（ＣＲ３）のデータとは前記ネットワーク装置（１００）へのデータ伝送流に関して相互に反対方向で通過し、
    前記プログラムは前記コンピュータに対し下記ステップをさらに実行させる、すなわち、
    データ送信時の最大データ伝送レートを設定し、設定された前記最大データ伝送レートよりも低いデータレートでデータを送信するステップと、
    前記ネットワーク装置（１００）の前記受信ポート（１０，１４）で受信されるデータのデータ伝送レートを監視するステップと、
    到来するデータが設定された前記最大データ伝送レートよりも高いデータ伝送レートを有する場合に、前記フューズ装置（２０，２１）を介してデータ伝送レートを制限することによって、受信ポート（１０，１４）でのデータ受信を阻止するステップと
    を実行させる
    ことを特徴とするコンピュータプログラム。
27. 前記プログラムは、前記コンピュータに対し、到来するデータが設定された前記最大データ伝送レートよりも低いデータ伝送レートを有する場合に、受信ポート（１０，１４）でのデータ受信を許可するステップをさらに実行させる、
    請求項２６記載のコンピュータプログラム。
28. 前記プログラムは、前記コンピュータに対し、送信ポート（９，１３）と受信ポート（１０，１４）との間の各通信経路に対して、最大リンク伝送レートを設定するステップをさらに実行させる、
    請求項２６または２７記載のコンピュータプログラム。
29. 前記プログラムは、前記コンピュータに対し、前記データに少なくとも２つの優先度クラスを割り当てるステップと、選択された優先度クラスのデータについてのみ、前記データ伝送レートを監視する、及び／又は、データ受信を阻止するステップとを、さらに実行させる、
    請求項２６から２８までのいずれか１項記載のコンピュータプログラム。
30. 前記プログラムは、前記コンピュータに対し、前記データに少なくとも２つの優先度クラスを割り当てるステップと、選択された優先度クラスのデータのデータ伝送レートを評価する際に、前記選択された優先度クラスのデータの、スイッチ装置（４，５）における待機時間を検出するステップとを、さらに実行させる、
    請求項２６から２９までのいずれか１項記載のコンピュータプログラム。

Images