WO2009156512A1 - Verfahren zum erkennen eines fehlerhaften knotens - Google Patents

Abstract

Verfahren zum Erkennen eines fehlerhaften Knotens (2), der an einen Bus (3) angeschlossen ist, wobei der Knoten (2) in einem normalen Betriebszustand bei Erkennung eines Fehlers einen internen Fehlerzähler (FZ) inkrementiert, und wobei der Knoten (2) in einen isolierten Betriebszustand schaltet, in welchem der Knoten (2) keine Nachrichten über den Bus (3) austauscht, wenn der interne Fehlerzähler (FZ) des Knotens (2) einen vorgegebenen Fehler-Schwellenwert überschreitet, und wobei bei Erfüllung einer Bedingung der Knoten (2) von dem isolierten Betriebszustand in den normalen Betriebszustand schaltet und dieser Zustandswechsel erfasst wird, und wobei der Knoten (2) als fehlerhaft erkannt wird, wenn eine Rate der erfassten Zustandswechsel eine einstellbare Wechselrate oder eine Anzahl der erfassten Zustandswechsel einen einstellbaren Zustandswechsel-Schwellenwert überschreitet.

Description

Verfahren zum Erkennen eines fehlerhaften Knotens

Die vorliegende Erfindung betrifft ein Verfahren zum Erkennen eines fehlerhaften Knotens, der an einen Bus angeschlossen ist, und insbesondere ein Verfahren zum Erkennen eines fehlerhaften Knotens, der an einen CAN-Bus angeschlossen ist.

Die DE 39 28 537 Al beschreibt ein Verfahren zur Fehlererken- nung oder Fehlerlokalisation bei Datenübertragungen. Dabei wird ein fehlerhafter Knoten erkannt, der an ein Bus angeschlossen ist. Beim Erkennen eines Fehlers wird in einem normalen Betriebszustand ein interner Fehlerzähler inkremen- tiert. Der Knoten schaltet in einen isolierten Betriebszu- stand, in welchem der Knoten keine Nachrichten über den Bus austauscht, wenn der Fehlerzähler des Knotens einen vorgegebenen Fehlerschwellenwert überschreitet. Beim Erfüllen einer Bedingung schaltet der Knoten von dem isolierten Betriebszustand in den normalen Betriebszustand.

Die DE 10 2007 004 701 beschreibt ein Verfahren zum Betreiben eines Mischers einer Heizungsanlage bei dem ein Zustandswech- sel ausgewertet wird.

Knoten bzw. Teilnehmer eines CAN-Buses (CAN: Controller Area Network) kommunizieren miteinander entsprechend einem CAN- Bus-Protokoll . Der CAN-Bus ist ein asynchrones, serielles Bussystem zur Vernetzung von Steuergeräten. Die Anzahl der angeschlossenen Teilnehmer bzw. Knoten hängt von den verwen- deten Bustreiberbausteinen ab.

Der CAN-Bus ist multimasterfähig, d.h. jeder einzelne Knoten des Bussystems ist in der Lage, eine Kommunikation einzuleiten. Der CAN-Bus bedient sich der Zugriffstechnik CSMA/CD+CR (Carrier Sense, Multiple Access/Collision Detection + Colli- sion Resolution) . Der Buszugriff wird mittels einer Arbitrie- rung auf Basis auf Identifizieren der über den Bus übertragenen Nachrichten durchgeführt. Die Kommunikation zwischen den Knoten erfolgt mit Nachrichten bzw. Telegrammen, die auch als Frames bezeichnet werden. Bei einem CAN-Bus können vier ver- schiedene Arten von Frames bzw. Nachrichten übertragen werden. Neben Daten-Nachrichten zum Transport von Nachrichten unterscheidet man auch sogenannte Remote-Frames, Overload- Frames und Error-Frames . Ein Remote-Frame bzw. eine Remote- Nachricht dient zur Anforderung eines Daten-Frames von einem anderen Teilnehmer bzw. Knoten. Ein Overload-Frame dient als Zwangspause zwischen einem Daten- und einem Remoteframe. Ein Error-Frame signalisiert einen Knoten eines erkannten Fehlers bei der Datenübertragung.

Ein Knoten bzw. ein CAN-Controller ist in der Lage, Fehler während der Übertragung zu erkennen. Beispielsweise können Bitfehler, Bit-Stuffing-Fehler, CRC-Fehler, Format-Fehler in einem Telegramm und Acknowledgement-Fehler festgestellt werden. Wird einer dieser Fehler von einem Knoten erkannt, be- nachrichtigt der Knoten die übrigen Knoten des Bussystems und den Absender des Telegramms bzw. der Nachricht indem der Knoten einen Error-Frame sendet. Nach Empfang eines Error-Frames werten alle Teilnehmer bzw. Knoten die empfangene Nachricht aus und beginnen ebenfalls einen Error-Frame zu senden.

Fehlerhafte Nachrichten können durch externe Störquellen außerhalb des Bussystems oder durch Fehlfunktion eines CAN- Teilnehmers hervorgerufen werden. Um sicherzustellen, dass durch einen defekten Knoten, der nicht in der Lage ist Nach- richten richtig zu empfangen, das gesamte Netzwerk bzw. das gesamte Bussystem blockiert wird, ist in jedem Knoten bzw. jedem CAN-Controller des Bussystems ein Algorithmus implementiert mit dessen Hilfe sich der Knoten im Fehlerfall schrittweise von dem Busgeschehen zurückzieht. Stellt ein CAN- Controller bzw. ein Knoten fest, dass er als erster Netzteil- nehmer bzw. Knoten einen Error-Frame gesendet hat, erhöht er einen internen Fehlerzähler TEC (Transmit Error Counter) . Solange der Wert des Fehlerzählers unter einem Schwellenwert liegt, sendet der CAN-Controller im Fehlerfall Error-Frames . Der Schwellenwert für den Fehlerzähler liegt beispielsweise bei 127. Dieser Betriebsmodus stellt den normalen Betriebszustand des Knotens dar und wird auch als Error-Active- Betriebszustand bezeichnet. Liegt der Wert des Fehlerzähler TEC über den Schwellenwert von 127, geht der CAN-Controller in einen sogenannten Error-Passiv-Betriebsmodus über. In diesem Betriebsmodus sendet der CAN-Controller einen 6-Bit- Error-Frame mit einem rezessiven Signalpegel aus. Wenn der Fehlerzähler TEC einen Stand von 255 erreicht hat, wird der CAN-Controller in den sogenannten Bus-off-Betriebszustand ge- schaltet und nimmt nicht mehr an der Kommunikation über den CAN-Bus teil. In dem Bus-off-Betriebsmodus befindet sich der Knoten in einem isolierten Betriebszustand, in welchem der Knoten keine Nachrichten über den Bus austauscht. Aus dem Er- ror-Passiv-Modus kann sich der CAN-Controller selbst befrei- en, da der Fehlerzähler dekrementiert wird, wenn ein anderer Teilnehmer bzw. Knoten einen Fehler zuerst erkannt hat.

Fig. 1 zeigt ein Zustandsdiagramm zur Darstellung einer Ausnahme- bzw. Fehlerbehandlung innerhalb eines herkömmlichen CAN-Controllers . Der CAN-Controller verfügt über zwei Zähler bzw. Counter, nämlich einen TEC-Zähler (TEC: Transmitting Error Counter) und einen REC-Zähler (REC: Receiving Error Counter) . Der CAN-Knoten übermittelt und empfängt Nachrichten bzw. Telegramme, die der Knoten auf ihre Richtigkeit über- prüft. Im Falle eines Fehlers in einer übermittelten Nachricht zählt der interne Zähler TEC die Anzahl der erkannten Fehler mit, so dass der Knoten der in Fig. 1 dargestellten Zustände einnehmen kann. Befindet sich der Knoten in dem isolierten Betriebszustand (Bus-off) , so nimmt der Knoten solan- ge nicht an der Kommunikation teil, bis eine Bedingung für den Übergang in den normalen Betriegszustand (Error Active) erfüllt ist. Die Bedingung besteht beispielsweise in einem Auftreten aufeinanderfolgender rezessiver Bits auf den Datenbus . Die in Fig. 1 dargestellte Fehlerbehandlung des CAN-Bus-

Datenübertragungsprotokolls (Error Handling) stellt sicher, dass ein Minimum an Kommunikation stattfinden kann. Die Fehlerbehandlung sichert die Kommunikation eines funktionierenden CAN-Buses mit einem oder mehreren fehlerhaften Knoten.

Die in Fig. 1 dargestellte Fehlerbehandlung nach dem Stand der Technik weist jedoch einige Nachteile auf. Wie man aus Fig. 1 erkennen kann, kann ein fehlerhafter Knoten bzw. ein fehlerhafter Teilnehmer des Bussystems über einen längeren Zeitraum die Kommunikation über den Bus stören, ohne, dass sein Fehlverhalten aufgezeichnet oder angezeigt wird. Bei der herkömmlichen Fehlerbehandlung erfolgt weder eine Auswertung der Fehlerhäufigkeit, noch eine qualitative Bewertung des auftretenden Fehlers mit dessen möglichen Konsequenzen. Ein dauerhaft fehlerhafter Knoten kann die drei in Fig. 1 dargestellten Betriebszustände durchlaufen, ohne dass sein fehlerhaftes Verhalten rechtzeitig erkannt wird. Da für ein ständig fehlerhafter CAN-Bus-Knoten keine Fehlerauswertung durchgeführt wird, kann dieser Knoten auch nicht gezielt ausge- tauscht werden. Da ein dauerhaft fehlerhafter CAN-Knoten nicht sofort erkannt werden kann, sind insbesondere bei sicherheitskritischen Anwendungen zusätzliche redundante Knoten vorgesehen. Befindet sich der CAN-Bus innerhalb eines Fahrzeugs erhöht sich durch die zusätzliche Anzahl von redundan- ten Knoten und somit das Gesamtgewicht des Fahrzeugs. Aufgrund des erhöhten Gesamtgewichts, erhöht sich der Kraftstoffverbrauch des Fahrzeugs. Ferner kann ein ständiges Fehlverhalten des CAN-Bus-Knotens zu einem Geräteausfall führen und die Verfügbarkeit des entsprechenden Bussystems vermin- dern. Es ist daher eine Aufgabe der vorliegenden Erfindung, ein Verfahren zu schaffen, das einen fehlerhaften Knoten eines Busses rechtzeitig erkennt.

Diese Aufgabe wird erfindungsgemäß durch ein Verfahren mit den in dem Patentanspruch 1 angegebenen Merkmalen gelöst.

Die Erfindung schafft ein Verfahren zum Erkennen eines fehlerhaften Knotens, der an einen Bus angeschlossen ist, wobei der Knoten in einem normalen Betriebszustand bei Erkennung eines Fehlers einen internen Fehlerzähler inkrementiert, wobei der Knoten in einem isolierten Betriebszustand schaltet, in welchem der Knoten keine Nachrichten über den Bus austauscht, wenn der interne Fehlerzähler des Knotens einen vorgegebenen Schwellenwert überschreitet, wobei bei Erfüllung einer Bedingung der Knoten von dem isolierten Betriebszustand in den normalen Betriebszustand schaltet und dieser Zustandswechsel erfasst wird, und wobei der Knoten als fehlerhaft erkannt wird, wenn eine Rate der erfassten Zustandswechsel eine einstellbare Wechselrate oder eine Anzahl der erfassten Zustandswechsel einen Zu- standswechsel-Schwellenwert überschreitet .

Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird ein Zustandswechselzähler inkrementiert, wenn ein Zustandwechsel von dem isolierten Betriebszustand in den normalen Betriebszustand erfasst wird.

Bei einer Ausführungsform des erfindungsgemäßen Verfahrens ist in jedem Knoten ein Zustandswechselzähler vorgesehen.

Bei einer alternativen Ausführungsform des erfindungsgemäßen Verfahrens ist für jeden Knoten ein zugehöriger Zustandswechselzähler in einem Master-Knoten vorgesehen. Bei einer Ausführungsform des erfindungsgemäßen Verfahrens zeigt ein Knoten ein Zustandswechsel von dem isolierten Betriebszustand in dem normalen Betriebszustand mittels einer über den Bus gesendeten Nachricht oder über einen von dem Bus getrennten Kommunikationskanal dem Masterknoten an.

Bei einer Ausführungsform des erfindungsgemäßen Verfahrens sendet der Knoten bei Erkennen eines Fehlers bei der Übertragung einer Nachricht über den Bus eine Fehlernachricht über den Bus aus.

Die Erfindung schafft ferner einen Knoten für einen Bus mit einem internen Fehlerzähler, der bei Erkennung eines Fehlers inkrementiert wird, wobei der Knoten in einem normalen Betriebszustand in einen isolierten Betriebszustand schaltet, in dem der Knoten keine Nachrichten über den Bus austauscht, wenn der interne Fehlerzähler einen vorgegebenen Zähler-Schwellenwert überschreitet, wobei bei Erfüllung einer Bedingung der Knoten von dem iso- lierten Betriebszustand zurück in den normalen Betriebszustand schaltet, wobei ein dem Knoten zugeordneter Zustands- wechselzähler vorgesehen ist, der bei jedem Zustandswechsel des Knotens von dem isolierten Betriebszustand in dem normalen Betriebszustand inkrementiert wird, wobei der Knoten als fehlerhaft erkannt wird, wenn der zugeordnete Zustandswechselzähler einen einstellbaren Zustands- wechsel-Schwellenwert überschreitet .

Bei einer Ausführungsform des erfindungsgemäßen Knotens ist der Zustandswechselzähler in dem Knoten integriert.

Bei einer alternativen Form des erfindungsgemäßen Knotens ist der Zustandswechselzähler in einem Master-Knoten integriert, der über den Bus mit dem Knoten verbunden ist. Bei einer Ausführungsform des erfindungsgemäßen Knotens ist der Knoten ein CAN-Knoten, der an einem CAN-Bus angeschlossen ist, welcher innerhalb eines Fahrzeugs verlegt ist.

Bei einer Ausführungsform des erfindungsgemäßen Knotens ist das Fahrzeug ein Luftfahrzeug.

Die Erfindung schafft ferner ein Computerprogrammprodukt mit Programmbefehlen zur Durchführung eines Verfahrens zum Erken- nen eines fehlerhaften Knotens, der an einen Bus angeschlossen ist, wobei der Knoten in einem normalen Betriebszustand bei Erkennung eines Fehlers einen internen Fehlerzähler in- krementiert, wobei der Knoten in einen isolierten Betriebszustand schal- tet, in welchem der Knoten keine Nachrichten über den Bus austauscht, wenn der interne Fehlerzähler des Knotens einen vorgegebenen Fehler-Schwellenwert überschreitet, wobei bei Erfüllung einer Bedingung der Knoten von dem isolierten Betriebszustand in den normalen Betriebszustand schaltet und dieser Zustandswechsel erfasst wird, und wobei der Knoten dann als fehlerhaft erkannt wird, wenn eine Rate des erfassten Zustandswechsels eine einstellbare Wechselrate oder eine Anzahl des erfassten Zustandswechsels einen einstellbaren Zustandswechsel-Schwellenwert überschreitet.

Die Erfindung schafft ferner einen Datenträger, der ein derartiges Computerprogrammprodukt speichert.

Im Weiteren werden bevorzugte Ausführungsformen des erfin- dungsgemäßen Verfahrens und des erfindungsgemäßen Busknotens unter Bezugnahme auf die beigefügten Figuren zur Erläuterung erfindungswesentlicher Merkmale beschrieben.

Es zeigen: Fig. 1 ein Zustandsdiagramm zur Darstellung einer Fehlerbehandlung bei einem CAN-Bus nach dem Stand der Technik;

Fig. 2 ein Blockdiagramm zur Darstellung einer Fehlerbehandlung bei einer ersten Ausführungsform des erfindungsgemäßen Verfahrens zum Erkennen eines fehlerhaften Knotens;

Fig. 3 zeigt ein Blockdiagramm zur Darstellung einer

Fehlerbehandlung bei einer weiteren Ausführungsform des erfindungsgemäßen Verfahrens zum Erkennen eines fehlerhaften Knotens;

Fig. 4 zeigt ein Blockdiagramm zur Darstellung einer

Fehlerbehandlung bei einer weiteren Ausführungsform des erfindungsgemäßen Verfahrens zum Erkennen eines fehlerhaften Knotens;

Fig. 5 ein Zustandsdiagramm zur Darstellung des erfindungsgemäßen Verfahrens .

Fig. 2 zeigt ein Bussystem 1 gemäß einer ersten Ausführungsform der Erfindung. Mehrere Knoten 2-1, 2-1, 2-3...2n sind an einen gemeinsamen Bus 3 angeschlossen. Darüber hinaus ist mindestens ein Master-Knoten 4 mit dem Bus 3 verbunden. Bei dem Bus 3 kann es sich beispielsweise um einen Feldbus, insbesondere um einen CAN-Bus handeln. Die Knoten 2-i werden beispielsweise durch CAN-Controller gebildet. Diese CAN- Controller können in beliebigen Geräten integriert sein.

Wie man in Fig. 2 erkennen kann, weist jeder Knoten einen internen Fehlerzähler FZ auf. In einem normalen Betriebszustand des Knotens 2 wird der zugehörige interne Fehlerzähler FZ des Knotens bei Erkennung eines Fehlers inkrementiert . Die Feh- lererkennung kann auf verschiedenen Ebenen erfolgen. Auf Nachrichtenebenen ist beispielsweise eine Fehlererkennung mittels einer in der Nachricht übertragenen CRC-Prüfsumme (CRC: Cycle Redundancy Check) implementiert. Die Fehlererken- nung kann auch auf der physikalischen Übertragungsebene vorgesehen sein. Wird bei der Übertragung einer Nachricht über den Bus ein Fehler erkannt, sendet bei einer möglichen Ausführungsform der Knoten 2 eine Fehlernachricht (Error Frame) über den Bus 3 aus und inkrementiert den integrierten Fehler- zähler FZ.

Überschreitet der integrierte Fehlerzähler FZ des Knotens 2 einen vorgegebenen Fehler-Schwellenwert, so schaltet der Knoten 2 in einen isolierten Betriebszustand (Bus-off) , in wel- ehern der Knoten 2 keine Nachrichten über den Bus 3 mit anderen Knoten austauscht, wie in Fig. 5 dargestellt. Bei einer möglichen Ausführungsform ist der Fehler-Schwellenwert vorgegeben und beträgt beispielsweise bei einem CAN-Bus 255. Bei einer alternativen Ausführungsform ist der Fehler- Schwellenwert einstellbar. Dabei können die Schwellenwerte für die verschiedenen Knoten je nach Anwendung gleich oder unterschiedlich eingestellt werden. Bei einer weiteren Ausführungsform werden die Schwellenwerte für die Fehlerzähler FZ der verschiedenen Knoten 2 von dem Master-Knoten 4 über den Bus 2 eingestellt, indem eine entsprechende Nachricht von dem Mater-Knoten 4 an den jeweiligen Knoten 2 übertragen wird. Bei einer weiteren Ausführungsform ist der Schwellenwert für den Fehlerzähler FZ jeweils über ein Interface an dem Knoten 2 direkt einstellbar.

Nach Überschreiten des Fehler-Schwellenwertes nimmt der jeweilige Knoten 2 nicht mehr an der Kommunikation teil und befindet sich in einem isolierten Betriebszustand. Ein Knoten 2, der sich in dem isolierten Betriebszustand (bus-off) be- findet, nimmt solange nicht mehr an der Kommunikation teil, bis eine Bedingung für den Übergang bzw. den Zustandswechsel von dem isolierten Betriebszustand in den normalen Betriebszustand (Error Active) erfüllt wird. Dieser Zustandswechsel, bei dem der Knoten bzw. Teilnehmer von dem isolierten Be- triebszustand zurück in den normalen Betriebszustand wechselt bzw. schaltet, wird bei dem erfindungsgemäßen Verfahren er- fasst. Wenn ein fehlerhafter Knoten 2 immer wieder aus dem isolierten Betriebszustand zurück in einen normalen Betriebszustand kehrt, wird dies bei dem erfindungsgemäßen Verfahren erfasst. Dies kann auch durch weitere Knoten aufgenommen werden, sofern der verursachende Knoten 2 konstruktiv nicht in der Lage ist, diese Information anzuzeigen bzw. an weitere Knoten weiterzureichen.

Bei dem erfindungsgemäßen Verfahren wird ein Knoten 2 als fehlerhaft erkannt, wenn eine Rate der erfassten Zustandswechsel eine einstellbare Wechselrate überschreitet. Bei einer alternativen Ausführungsform des erfindungsgemäßen Verfahrens wird ein Knoten 2 dann als fehlerhaft erkannt, wenn eine absolute Anzahl der erfassten Zustandswechsel einen einstellbaren Zustandswechsel-Schwellenwert überschreitet. Dazu wird bei einer Ausführungsform des erfindungsgemäßen Verfahrens für jeden zu überwachenden Knoten 2 ein zugehöriger Zu- standswechselzähler ZWZ vorgesehen. Dieser Zustandswechsel- zähler ZWZ kann wie bei der in Fig. 2 dargestellten Ausführungsform beispielsweise in einem Master-Knoten 4 implementiert sein. Wie man aus Fig. 2 erkennen kann, enthält der Master-Knoten 4 mehrere Register bzw. Zählwerke, wobei für jeden der N zu überwachenden Knoten 2 des Bussystems 1 ein zugehöriger Zustandswechsel-Zähler ZWZ vorgesehen ist. Ein

Zustandswechselzähler ZWZ eines Knotens 2 wird inkrementiert wenn ein Zustandswechsel des Knotens 2 von einem isolierten Betriebszustand in den normalen Betriebszustand erfasst wird. Die Zählwerte der Zustandswechselzähler ZWZ bzw. BOC-Counter (BOC :Bus-off-Counter) kann durch eine CPU bzw. einen Mikro- Prozessor innerhalb des Master-Knotens 4 ausgelesen und ausgewertet werden. Dazu führt die CPU des Master-Knotens 4 bei einer möglichen Ausführungsform ein entsprechendes Fehlerbe- handlungs-Computerprogramm aus. Bei einer möglichen Ausfüh- rungsform zeigt ein Knoten 2 einen Zustandswechsel von dem isolierten Betriebszustand in den normalen Betriebszustand mit einer über den Bus 3 gesendeten Nachricht dem Master- Knoten 4 an. Bei einer möglichen Ausführungsform wird dabei eine Nachricht entsprechend dem Bus-Nachrichtensignal- Übertragungsprotokoll benutzt. Handelt es sich bei dem Bus 3 beispielsweise um einen CAN-Bus kann der Knoten 2 den aufgetretenen Zustandswechsel mittels eines Bits bzw. eines Flags innerhalb einer CAN-Nachricht anzeigen. Ein normalerweise nicht gesetztes Bit innerhalb der Nachricht wird durch den Knoten 2 bei einem erfassten Zustandswechsel gesetzt und zeigt dem Master-Knoten 4 als Flag den aufgetreten Zustandswechsel in dem Knoten 2 an.

Bei einer alternativen Ausführungsform wird der Zustandwech- sei nicht mittels einer über den Bus 3 gesendeten Nachricht angezeigt, sondern über einen getrennten Kommunikationskanal 5. Fig. 3 zeigt ein Ausführungsbeispiel, bei dem die Knoten 2 über eine von dem Bus 3 getrennten Kommunikationsverbindung 5 an den Masterknoten 4 angeschlossen sind. Die Knoten 2 sind in der Lage über eine von dem Bus 3 getrennt verlegte Steuerleitung 5 dem Master-Knoten 4 anzuzeigen, dass bei ihnen ein Zustandswechsel von dem isolierten Betriebszustand in den normalen Betriebszustand aufgetreten ist. Bei dem separaten Kommunikationskanal 5 kann es sich auch um einen weiteren Bus bzw. Feldbus handeln. Bei der in Fig. 3 dargestellten Ausführungsform ist der Kommunikationskanal 5 drahtgebunden. Bei einer alternativen Ausführungsform kann Kommunikationskanal 5 auch drahtlos implementiert sein. Dabei übertragen die Knoten 2 über eine drahtlose Schnittstelle eine Nachricht zu dem Masterknoten 4, die besagt, dass bei dem jeweiligen Knoten 2 ein Zustandswechsel aufgetreten ist. Bei der in Fig. 2 und 3 dargestellten Ausführungsformen sind die Zustandswechselzäh- ler ZWZ in einem Masterknoten 4 implementiert und werden dort ausgewertet .

Bei der in Fig. 4 dargestellten Ausführungsform sind die Zu- standswechselzähler ZWZ der verschiedenen Knoten 2 innerhalb der Knoten 2 implementiert. Ein Knoten 2 wird als fehlerhaft erkannt, wenn sein darin integrierter Zustandswechselzähler ZWZ einen einstellbaren Zustandswechselschwellenwert überschreitet. Erst bei Überschreiten dieses Zustandswechsel- Schwellenwertes sendet der Knoten 2 eine entsprechende Nachricht über den Bus 3 aus, um beispielsweise einen Nutzer über einen notwendigen Wartungsvorgang zu informieren wie in Fig. 5 gezeigt. Bei der in Fig. 4 dargestellten Ausführungsform sind alle Knoten 2 gleichberechtigt.

Bei der in Fig. 4 dargestellten Ausführungsform ist es auch möglich, dass die Knoten 2 das Überschreiten ihres Zustand- wechsel-Schwellenwertes über einen getrennten Kommunikationskanal anzeigen, der von dem Bus 3 getrennt verlegt ist. Bei einer alternativen Ausführungsform melden die Knoten 2-i, das Überschreiten des darin integrierten Zustandwechselzählers ZWZ über eine drahtlose Schnittstelle. Das über den getrenn- ten Kommunikationskanal 5 übertragene Signal kann digital, analog oder diskret sein. Bei einer möglichen Ausführungsform werden die verschiedenen auftretenden Zustandswechsel nicht nur gezählt, sondern für eine spätere Auswertung auch aufgezeichnet. Die Aufzeichnung kann durch Abspeichern der Zähl- werte der Zustandswechselzähler ZWZ zu verschiedenen Zeitpunkten erfolgen. Bei einer möglichen Ausführungsform weisen die Knoten 2-i hierzu einen auslesbaren Speicher auf, in dem die Zustandswechsel-Zählwerte über die Zeit aufgezeichnet werden. Diese Aufzeichnungen kann bei einer möglichen Ausfüh- rungsform in einem entsprechenden Nachrichtenaustausch über den Bus 3 ausgelesen werden. Bei einer alternativen Ausführungsform erfolgt das Auslesen der Aufzeichnungen über eine separaten Kommunikationskanal. Bei einer weiteren Ausführungsform werden die Aufzeichnungen in einem lokalen Daten- träger abgelegt, der aus dem Knoten 2 entfernbar ist.

Verschlechtert sich die Übertragungsqualität eines Knotens 2 aufgrund eines Fehlers, erhöht sich dessen Zustandswechselra- te . Dadurch nimmt der Wert des zuständigen Zustandswechsel- zählers ZWZ des jeweiligen Knotens 2 zu. Überschreitet der Zustandwechselzählers ZWZ des Knotens 2 den konfigurierten Zustandswechselschwellenwert für diesen Knoten 2 kann beispielsweise der in Fig. 2 dargestellte Master-Knoten 4 einen Wartungshinweise bzw. eine Alarmmeldung abgeben, die auf den fehlerhaften Knoten 2 hinweist. Diese Wartungsnachricht bzw. dieser Wartungshinweise können über einen Netzwerk an einen entfernten Wartungsserver übertragen werden. Bei dem Netzwerk kann es sich um ein drahtgebundenes oder um ein drahtloses Netzwerk handeln.

Durch die kontinuierliche Aufzeichnung eines Bus-Protokoll- Fehlers ist es möglich, einen auftretenden Fehler bzw. einen auftretenden fehlerhaften Knoten 2 eindeutig zu identifizieren .

Das erfindungsgemäße Verfahren erlaubt eine frühzeitige Erkennung von Störquellen in dem Bussystem 1, ohne dass diese funktionell eingeschränkt oder ganz abgeschaltet werden müssen. Somit ist trotz eines sich ankündigenden Fehlers der weitere Betrieb des Bussystems 1 uneingeschränkt möglich.

Darüber hinaus kann eine entsprechende Wartungsarbeit eingeplant und zielgerecht durchgeführt werden.

Aufgrund der frühzeitigen Erkennung von potentiell fehlerhaf- ten Knoten kann in sicherheitskritischen Anwendungen die An- zahl der redundanten Knoten 2 vermindert werden. Ist das Bussystem in einem Fahrzeug eingebaut, verringert sich hierdurch das Gewicht des Fahrzeugs.

Durch das frühzeitige Erkennen eines fehlerbehafteten CAN- Busteilnehmers bzw. eines Knotens 2 und dessen frühzeitige Reparatur bzw. Auswechslung wird die Verfügbarkeit des Bussystems 1 erhöht. Geräteausfälle, welche durch ein Fehlverhalten eines Knotens 1 verursacht werden, können somit ver- hindert werden. Bei Fehlverhalten von Geräten werden mit Hilfe des erfindungsgemäßen Verfahrens Wartungsarbeiten erheblich vereinfacht und beschleunigt.

Claims

P a t e n t a n s p r ü c h e

1. Verfahren zum Erkennen eines fehlerhaften Knotens (2), der an einen Bus (3) angeschlossen ist, wobei der Knoten (2) in einem normalen Betriebszustand bei Erkennung eines Fehlers einen internen Fehlerzähler (FZ) inkrementiert, wobei der Knoten (2) in einen isolierten Betriebszustand schaltet, in welchem der Knoten (2) keine Nachrichten über den Bus (3) austauscht, wenn der interne Fehlerzähler (FZ) des Knotens (2) einen vorgegebenen Fehler- Schwellenwert überschreitet, wobei bei Erfüllung einer Bedingung der Knoten (2) von dem isolierten Betriebszustand in den normalen Betriebs- zustand schaltet und dieser Zustandswechsel erfasst wird, und wobei der Knoten (2) als fehlerhaft erkannt wird, wenn eine Rate der erfassten Zustandswechsel eine einstellbare Wechselrate oder eine Anzahl der erfassten Zustands- Wechsel einen einstellbaren Zustandswechsel- Schwellenwert überschreitet.

2. Verfahren nach Anspruch 1, wobei ein Zustandswechselzähler (ZWZ) inkrementiert wird, wenn ein Zustandswechsel des Knotens (2) von dem isolierten Betriebszustand in den normalen Betriebszustand erfasst wird.

3. Verfahren nach Anspruch 2, wobei in jedem Knoten (2) ein Zustandwechselzähler (ZWZ) vorgesehen wird.

4. Verfahren nach Anspruch 1, wobei für jeden Knoten (2) ein zugehöriger Zustandswech- selzähler (ZWZ) in einem Master-Knoten (4) vorgesehen wird.

5. Verfahren nach Anspruch 4, wobei ein Knoten (2) einen Zustandswechsel von dem isolierten Betriebszustand in den normalen Betriebszustand mittels einer über den Bus (3) gesendeten Nachricht oder über einen von dem Bus (3) getrennten Kommunikationskanal (5) dem Master-Knoten (4) anzeigt.

6. Verfahren nach Anspruch 1, wobei der Knoten (2) bei Erkennung eines Fehlers bei der Übertragung einer Nachricht über den Bus (3) eine Fehlernachricht über den Bus (3) aussendet.

7. Knoten (2) für einen Bus (3) mit einem internen Fehlerzähler (FZ), der bei Erkennung eines Fehlers inkrementiert wird, wobei der Knoten (2) von einem normalen Betriebszustand in einen isolierten Betriebszustand schaltet, wenn der interne Fehlerzähler (FZ) einen vorgegebenen Fehler- Schwellenwert überschreitet, wobei bei Erfüllung einer Bedingung der Knoten (2) von dem isolierten Betriebszustand zurück in den normalen Betriebszustand schaltet, dadurch gekennzeichnet , dass ein dem Knoten (2) zugeordneten Zustandswechselzäh- ler (ZWZ) vorgesehen ist, der bei jedem Zustandswechsel des Knotens (2) von dem isolierten Betriebszustand in den normalen Betriebszustand inkrementiert wird, wobei der Knoten (2) als fehlerhaft erkannt wird, wenn der zugeordnete Zustandswechselzähler (ZWZ) einen einstellbaren Zustandswechsel-Schwellenwert überschreitet.

8. Knoten nach Anspruch 7, wobei der Zustandswechselzähler (ZWZ) in den Knoten (2) integriert ist oder in einem Masterknoten (4) integriert ist, der über den Bus (3) mit dem Knoten (2) verbunden ist.

9. Knoten nach Anspruch 7 oder 8, wobei der Knoten (2) ein CAN-Knoten ist, der an einen CAN-Bus angeschlossen ist, der innerhalb eines Fahrzeugs vorgesehen ist.

10. Knoten nach Anspruch 9, wobei das Fahrzeug ein Luftfahrzeug ist.

11. Computerprogrammprodukt mit Programmbefehlen zur Durch- führung des Verfahrens nach Anspruch 1 bis 6.

12. Datenträger, der das Computerprogrammprodukt nach Anspruch 11 speichert.