通信系統的用戶的總線監控器以及通信系統的用戶的制作方法

專利名稱：通信系統的用戶的總線監控器以及通信系統的用戶的制作方法
通信系統的用戶的總線監控器 以及通信系統的用戶
本發明涉及一種用于監視和控制對數據總線的訪問的監控單元， 該監控單元被本地分配給通信系統的用戶的總線控制器.該總線控制 器通過總線驅動器訪問數據總線，并且該監控單元監視和控制總線驅 動器的訪問權限.
本發明也涉及一種包括數據總線的通信系統的用戶.該用戶具有 總線控制器和總線驅動器，其中總線控制器通過總線驅動器被連接到 數據總線.該用戶具有分配給總線控制器的、用于監祝和控制總線驅 動器對數據總線的訪問權限的監控單元.
背景技術：
近年來，在現代汽車中，但是也在其它領域中，例如在機械制造 中(尤其是在機床領域中)和在自動化領域中，借助(例如總線系統 或者數據總線形式的)通信系統或者數據傳輸系統和通信連接使控制
設備、傳感系統和執行元件(Aktuatorik)聯網急劇增加.在此可以 實現通過將功能分布到通信系統的多個用戶(例如控制設備)上得到 的協同作用效應.在這種情況下，還談及了分布式系統.
這種通信系統的不同用戶之間的通信越來越多地通過總線系統進 行.總線系統上的通信量、訪問和接收機制以及故陣處理通過協議來 調節，/>知的協議例如是CAN (控制器局域網(Controller Area Network) ) 、 TTCAN (時間觸發的CAN (Time Triggered CAN))、 TTP/C (C類時間觸發協議(Time Triggered Protocol Class C)) 和FlexRay協議，其中目前以FlexRay協議規范v2. 1為基礎，FlexRay 是快速的、確定性的和容錯的總線系統，尤其是用于汽車中的總線系 統.FlexRay協議根據時分多址(TDMA， Time Division Multiple Access)的原理來工作，其中給用戶或要傳輸的消息分配固定的時隙, 在這些時隙中，這些用戶排他地訪問通信連接.在此，時隙以固定的 周期重復，以致通過總線傳輸消息的時刻可以精確地被預報并且確定 性地進行總線訪問.
為了最優地利用在總線系統上傳輸消息的帶寬，FlexRay將通信周 期分成靜態部分和動態部分或分成靜態段和動態段.在此，固定的時 咪處于總線循環開始時的靜態部分中.在動態部分中，動態地預定時 隙.在其中，分別僅在短暫的時間內、在至少一個所謂的微時隙
(Minislot)的持續時間內能夠實現排他的總線訪問。只有當在微時 隙之內進行總線訪問時，時隙才被延長到對于訪問必需的時間.因此， 只有當實際上也必需帶寬時，才消耗帶寬.在此，FlexRay通過一個或 者兩個在物理上分開的線路以分別最大為10Mbit/sec的數據速率進行 通信.當然，FlexRay也可以以較低的數據速率運行.這兩個信道在此 對應于物理層，尤其是對應于所謂的0SI (開放系統體系結構(Open System Architecture))層模型的物理層.這兩個信道主要用于冗余 地和因此容錯地傳輸消息，可是也可以傳輸不同的消息，由此會使數 據速率加倍.也可設想的是，通過連接線路傳輸的信號作為差分信號 被產生.該物理層被構建為使得其能夠實現通過線路(多個線路)電 傳輸以及光學傳輸所述一個或者多個信號，或者能夠實現在其它路徑 上(例如通過無線電)進行傳輸.
為了實現同步功能并且通過兩個消息之間的小間距來使帶寬最 優，通信系統中的用戶必需共同的時基、即所謂的全局時間，全局時 間是在系統范閨內有效的時基，通信系統的用戶(節點或者控制設備) 的本地時間被同步到該時基上.全局時間對于通信中的和應用(諸如
(0SEKtime)的受時間控制的搮作系統)中的時間控制起重要的作用， 但是對于診斷功能和故陣識別或故陣處理也起重要的作用.這意味著， 這種通信系統的每個通信控制器(主機或者用戶)都具有自己的時鐘
(例如石英振蕩器)，該時鐘通過全局時間機制甚至與系統中的所有 其它時鐘同步(所謂的本地時基).為了使用戶的本地時鐘同步，同 步消息在周期的靜態部分中被傳輸，其中借助根據FlexRay規范的特 定算法校正用戶的本地時鐘時間，以致所有本地時鐘與全局時鐘同步 運行，
對于不同的公知通信系統存在避免或者解決訪問沖突的 一 系列可 能性.在CAN中，例如使用所謂的逐位仲裁.這是非常穩健的，但是 最大的傳輸速度由于傳播時間現象(Laufzeit-Phaenomene)而由原理 決定地受到限制.
在受時間控制的通信系統中，通過解決方案(Ansatz)和配置來 解決訪問問題，沖突已經離線地被避免.但是，前提是對時間的共同 理解，該理解在網絡范圍內具有有效性(在FlexRay中全局時間). 但在這些系統中通常沒有在故陣情況下處理訪問沖突的可能性，因為 訪問本身不能被阻止，因此，對于與安全相關的或者甚至對安全要求 嚴格的在車輛中的應用，例如對于線傳控制(X-by-Wire)系統，需要
用于保陣通過通信系統進行無故陣的數據傳輸并且用于釋放傳感器 (例如電動機或者液壓泵)的執行元件的機制.在不同的通信系統(例 如TTP/C或者FlexRay)中公知的是，將所謂的總線監控器(BG， Bus-Guardian)引入作為附加的監控單元，該監控單元允許僅在亊先 配置的時間間隔中物理訪問數據總線.因此，訪問沖突在故陣情況下 也是可解決的或可避免的.
在當前的構想中，本地總線監控器通過總線控制器的時鐘來供給， 并且其巡回信息(Rundeninformation)被用于監控功能.在目前最新 FlexRay協議規范v2.1中，描述了如下構想在隨時間變化監控通信 協議或通信控制器方面限制該構想.在公知的構想中，本地FlexRay 通信控制器的最大時間節拍層(MT， Makrotick)對其本地總線監控器 進行計時.具有發送活動性(Sendeaktivitaet)的時隙由通信控制器 附加地通過ARM信號來顯示.要監視的FlexRay通信控制器的定時(時 間上的活動性)僅僅通過RC振蕩器粗略地被監視，或由附加的石英振 蕩器也以較高的分辨率來監視.
但是，在原理上繼續存在以下問題通過最大時間節拍層供給和 ARM信號將本地通信控制器的較小的時鐘漂移傳輸給總線監控器.即這 意味著，如果根據協議規范v2.1的FlexRay通信控制器的時鐘校正有 錯誤地工作，或者如果用于時鐘校正的控制寄存器(Stell-Register)
的調整有錯誤并且未被發現，則本地通信控制器與剩余的通信網絡相 比漂移.用于發送消息的時隙(發送時隙(Sendeslot))隨時間移位 到網絡中的其它用戶的時隙中，而本地總線監控器可以不用檢測這種 情況并且不用提出相對應的對策.該有問題的情況尤其是出現在 FlexRay和TTCAN中.
另一有問題的情況涉及對用戶的本地時間的偏移校正，以致本地 時間與通信系統的全局時間同步地運行.例如在TTCAN、 TTP/C和
FlexRay中存在偏移校正，其中在FlexRay中，偏移校正階段在本地通 信控制器在通信周期結束時的所謂的網絡空閑時間(NIT, Network-Idle-Time)期間進行.在通信巡回或雙重巡回結束時的偏移 校正縮短或延長了預定的特定邊界之內的本地巡回.下一通信巡回由 于校正而早或者晚數個所謂的最小時間節拍層(jiT, Mikrotick)而開 始.本地總線監控器必須允許偏移校正.定時器監控必須接受這一點. 但是，不存在關于偏移校正對下一通信巡回的作用的總線監控器認知. 在這種情況下，也會發生不同用戶的發送時瞇的交叉.交叉的概率隨 著巡回數目的增加而提高，
在這兩個所述的有問趙的情況下，存在持久干擾.相反，自發的 故陣導致這種情況，因為通信協議本身包括合適的校正措施或規定故 陣處理措施，以便識別、改正和消除自發的故障。
根據FlexRay協議規范v2.1的總線監控器構想基于下列假設由
于持久的干擾僅以微小的概率出現所描述的故障情況，或通過用戶主
機中的附加措施或通過補充的功能可以識別這些干擾或者故障.
此外，由現有技術公知用于監控控制設備(或者過程計算機)的
不同方法.這可以根據現有技術通過所謂的問答通信基于11/2計算機構 想來實施.在DE 198 26 131 Al中示出了用于線控制動(Brake-by-Wire ) 系統的牟輪羊元(Radeinheit)的監控構想.在此，負責驅動執行元 件(例如液壓輪式制動器)的真正的控制設備由監控部件監視并且在 故障情況下被切斷.控制設備的監視基于問答通信，該問答通信遵循 所確定的協議.執行元件的釋放只有在問答通信成功時才進行，問答 通信成功也就是說由監控部件向控制設備提出的問題由控制設備一方 面在預定的時間窗之內應答并且另一方面正確地應答，而相反地，由 控制設備提出的問題由監控部件在預定的時間窗之內被正確地應答. 如果向控制設備和監控部件提出具有相同的正確應答的問題，則執行
元件的釋放只有在控制設備的應答與監控部件(1 ^計算機構想)的應 答相一致時才進行.釋放的原理在此基于電路、即所謂的釋放電路(在 由DE 198 26 131 Al公知的實施例中為"與"邏輯連接的形式)，該 電路被實現在控制設備(過程計算機)與監控單元之間.這意味著， 兩個部件(即控制設備和監控部件)針對執行元件的正常功能必須將 邏輯"1"施加到釋放電路上.只要控制設備中的過程給出用于進行切 斷的信號，則切斷執行元件.只有當被監視的部件、即控制設備(過 程計算機)已被識別為有故陣時，才給監控部件提供用于進行切斷的 信號.
問答通信是一種用于監控車輛中的控制設備的通用方法.獨立的 監控單元(所謂的監控計算機)擁有優選地周期地向真正的過程計算 機(控制設備)提出的問題的列表.這些問題必須
a) 在預定的、規定的時間之內被應答，并且
b) 應答作為對事先提出的問題的應答必須被錄入監控計算機的相 對應的應答表中.
從列表中選出問題可以根據隨機方法或者純周期地進行.問答通 信的重要的組成部分是定時器(Timer),用于優選地周期地啟動問答
通信和用于確定針對這些應答所允許的時間窗.該時間窗描述了最早 可能的應答到達與最晚可能的應答到達之間的時間間隔.
從所描述的現有技術出發，本發明基于如下擴展通信系統的公知 的總線監控器構想的任務也可以識別用戶中的或用戶的總線控制器 中的持久干擾并且必要時可以改正或者消除這些干擾.
為了解決該任務，從開始所述類型的本地監控單元出發而建議 監控單元具有用于實現與總線控制器的問答通信的裝置，并且只有當 問答通信的結果是總線控制器正常工作時，監控單元才釋放總線控制 器對數據總線的訪問.
根據本發明，即由控制設備的監控器本身公知的、用于執行問答 通信的監控構想被傳輸到總線控制器和通信系統的用戶的監控單元 上.在FlexRay通信系統中，監控構想因此被傳輸到FlexRay通信控 制器和FlexRay總線監控器上.當然，所建議的監控構想并不限于用 在FlexRay通信系統中，而是可以被采用在任意通信系統中，這些通 信系統具有監控單元(例如總線監控器)，用于監視總線控制器的功 能.監控單元必須借助問答構想來發現總線控制器中的可能的故障， 尤其是由于總線控制器中的持久的干擾引起的故陣，這些持久的干擾 導致開始所描述的問題.
優選地，總線控制器與監控單元之間的問答通信考慮以下故陣可 能性
a) 檢驗時鐘同步的輸入設置
b) 正確計算速率校正
c) 正確應用速率校正
d) 正確計算偏移校正
e)正確應用偏移校正
在此，監控單元承擔監控計算機的任務，并且優選地周期地向分 配給其的總線控制器提出問題，以便在特定的時間窗之內監視正確應 答的輸入.對于沒有遵守時間窗或者對問題的錯誤應答到達的愔況， 監控單元承擔切斷總線監控器或阻止由總線控制器主動發送消息.監 控單元對失敗的問答通信的反應可以是暫時的(對于一個或者多個通 信周期)，或者也可以是持續的(直至關閉用戶或者整個通信系統).
本發明消除了迄今公知的監控構想、尤其是FlexRay協議規范 v2.1中的公知總線監控器構想的構想上的缺點.在此，成本最優的實 現方案是可能的，因為監控單元只擴展必需的邏輯/功能、即問答通信 的監視功能.將該構想集成到所謂的監控計算機中特別有利.由此， 能夠在隨著對監控單元(總線監控器)的要求而引入新的通信系統技 術(例如FlexRay技術)時實現成本節約.不需要單獨的監控單元(總 線監控器)，而是本發明可以被集成到現有的監控計算機構想中.
本發明具有在FlexRay通信系統中實現的特別優點，其中FlexRay 通信系統的用戶的總線監控器和通信控制器被構造用于執行問答通 信.為了實現該構想，監控單元僅必須被補充問題和相對應的應答的 列表.監控單元被補充了如下機制該機制能夠實現優選為周期的問 題、根據時間窗的定時器(Timer)的設置、監視該時間窗以及檢查應 答.最后，監控單元具有用于釋放總線控制器和用于搮作在用戶中可 能存在的釋放電路的管腳.在所建議的構想中，有針對性地測試總線 控制器的邏輯，該邏輯負責計算(用于將用戶的本地時基同步到通信 系統的全局時基上的)時鐘同步值.此外，對于時鐘同步還可以對相 關的控制寄存器執行簡單的回讀(Read-Back)機制.為此，在監控單 元和總線控制器之間設置被擴展的接口 . FlexRay協議例如目前建議通 過SPI (串行夕卜設接口 (Serial Peripheral Interface))接口交換 信息.SPI接口是簡單的同步串行數據總線，該接口對于根據本發明的 問答通信也會是足夠的.監控單元的迄今的功能(例如根據FlexRay 協議規范v2.1的總線監控器的功能)可以完全被保持.
為了檢驗針對用戶的時鐘同步的輸入設置，根據本發明建議:給 監控單元擴展邏輯，該邏輯有針對性地檢查總線控制器中的針對時鐘 同步的輸入設置.目的是保持時鐘同步的質量高，并且檢測以及必要
時抑制由于持夂干擾引起的故陣.如果這種情況沒有成功，則用戶或 總線控制器或者總線驅動器應被設置在故障沉默模式
(Fail-Silent-Mode)下，以便避免總線控制器的發送或阻塞總線控 制器的可能存在的釋放電路.為此，通過總線控制器的接口給監控單 元供給關于同步消息(同步幀、用于使本地時基同步的數據幀)的信 息，這些信息構成了總線控制器中的時鐘同步的基礎.因此，從本地 總線控制器接收、解碼以及被考慮用于計算(本地時基的)校正值的 同步幀信息可供監控單元使用.為此，在總線控制器中可以安放具有 關于同步消息的信息的列表，如這例如在FlexRay協議規范v2.1中所 建議的那樣.現在，該列表可以在問答通信的范圍中遭受以下檢驗
a) 可以對現有的同步幀的數目實施多數決定法.如果低于同步幀 的臨界數，則存在如下危險隨后的校正值計算基于不精確的本地時 基進行并且因此導致錯誤的結果.允許的最小同步幀數的邊界優選地 與總線控制器的設定相匹配.也可以在總線控制器中相對應地檢查現 有同步幀的數目.通過監控單元對現有同步幀的數目的檢查的冗余實 施，可以實施一致性檢驗.如果存在不同的結果，則監控單元應避免 通過本地總線控制器發送消息或阻塞可能存在的釋放電路.
b) 如果通信系統中的信息通過兩個單獨的信道冗余地被傳輸，則 兩個信道的同步消息(同步楨)的數目和標識也可以被比較.同樣， 這些信息在總線控制器中可供使用(例如參照FlexRay協議規范 v2.1),如果存在不同的結果，則監控單元必須避免通過本地總線控 制器發送消息或阻塞可能存在的釋放電路.
通過總線控制器所計算的、有錯誤的針對通信系統的全局時基的 速率校正(該全局時基于是得出用戶或總線控制器的本地時基)可以 具有不同的原因.有錯誤的計算可能由于不正確的輸入設置或者由于 總線控制器的計算邏輯中的故障產生.為了檢查計算邏輯的正常工作， 建議以下不同的可能性
a)在監控單元中，以與在總線控制器中相同的方式執行速率校正 的計算，也就是在監控單元中存在相同地轉換用于計算速率校正的總 線控制器機制.輸入設置的值以上面所描述的方式存在于監控單元中. 計算結果也存在于總線控制器中并且可以利用監控單元的結果來調 準.為此，必需通過接口在監控單元與總線控制器之間進行附加通信，
如果存在不同的結果，則監控單元必須遊免通過本地總線控制器發送 消息或阻塞可能存在的釋放電路.
b)監控單元也可以向總線控制器的計算邏輯提出有針對性的問 題，該計算邏輯負責計算速率校正值.計算邏輯必須向監控單元返回 應答.所要求的應答應在所確定的時間窗之內進行.監控單元將該結 果與相對應的本地存儲的、對該問題的應答進行比較.因此，優選地 周期地檢查用于總線控制器的速率校正的計算邏輯的正確功能.持久 的干擾和由此產生的故陣可以如此被確定.在這種情況下，監控單元 必須避免通過本地總線控制器發送消息或相對應地阻塞釋放電路.
通過總線控制器錯誤應用正確計算出的針對全局時基的速率校正 的值的原因可以有不同的原因.對于校正值， 一方面原因在于用于最
大時間節拍層(MT)生成的邏輯中的故陣，而另一方面原因在于存儲 元件(例如存儲寄存器)的故障，以致錯誤的校正值被用在最大時間 節拍層生成中.根據本發明，建議以下機制
a) 總線控制器通過接口將速率校正值通知給監控單元，并且監控 單元將該值與總線控制器的控制寄存器中的相對應的存儲值進行比 較.如果存在不同的結果，則監控單元必須避免通過本地總線控制器
發送消息或阻塞釋放電路.
b) 監控單元可以向總線控制器的邏輯提出有針對性的問題，該邏 輯負責最大時間節拍層生成.該邏輯必須向監控單元返回應答.所要 求的應答必須在所確定的時間窗之內進行.監控單元將該結果與相對 應的本地存儲的對該問題的應答進行比較.因此，優選地周期地檢查 最大時間節拍層生成邏輯的正確功能.持久的干擾和由此得到的故陣 可以被確定.在這種情況下，監控單元必須避免通過本地總線控制器 發送消息或阻塞可能存在的釋放電路.
c) 在通信巡回結束時，由總線控制將每個巡回的最小時間節拍層 (nT)的數目或每個最大時間節拍層(MT)的最小時間節拍層(mT)
的數目通知給監控單元.該信息通過接口在總線控制器與監控單元之 間被交換.這些信息逐個巡回地被交換和被調準.為了通過監控單元 進行比較，應確定邊界，即規定每個巡回的最小時間節拍層中的允許 的漂移或每個最大時間節拍層的最小時間節拍層中的允許的漂移.如 果比較結果超過或低于上限或下限，則監控單元可以避免通過本地總
線控制器發送消息或阻塞可能存在的釋放電路.
總線控制器可以由于有錯誤的輸入設置或者由于總線控制器的計 算邏輯中的故障而得到通信系統的全局時基的有錯誤的偏移校正，用 戶的本地時基被同步到該全局時基.為了檢測有錯誤的輸入設置，上 面已經提出了多種建議.為了檢測用于偏移校正的計算邏輯中的故陣，
建議了以下機制
a) 在監控單元中，從總線控制器中重新執行(nachvollziehen) 偏移校正.例如，在監控單元中構造來自總線控制器的機制的1:1轉 換.如上面已經描述的那樣，輸入設置的值存在于監控單元中.偏移 校正的計算結果也存在于總線控制器中并且可以與監控單元的結果進 行比較，為此，必需通過接口在監控單元與總線控制器之間進行附加 通信.如果存在不同的結果，則監控單元必須避免通過本地總線控制 器發送消息或阻塞可能存在的釋放電路.
b) 監控單元向總線控制器的邏輯提出有針對性的問題，該邏輯負 責計算偏移校正值.計算邏輯必須向監控單元返回應答.所要求的應 答應在所確定的時間窗之內進行.監控單元將該結果與其本地存儲的 應答進行比較.尤其是檢查，總線控制器的應答是否是對所提出的問 題的正確應答.因此，優選地周期地檢查計算邏輯的正確功能.持久 的干擾和由此產生的故障被檢測到.在這種情況下，監控單元必須避 免通過本地總線控制器發送消息或阻塞可能存在的釋放電路.
總線控制器沒有正確應用全局時基的正確計算出的偏移校正的原 因可以在于偏移應用的邏輯或者在于用于校正值的存儲單元(例如存 儲寄存器).這在任何情況下都導致錯誤的校正值被用于偏移校正。
為了檢查偏移校正的正確應用而建議不同的機制
a) 由總線控制器通過接口將偏移校正值通知給監控單元，并且監 控單元將該校正值與總線控制器的控制寄存器中的存儲值進行比較. 如果存在不同的結果，則監控單元必須避免通過本地總線控制器發送
消息或阻塞可能存在的釋放電路.
b) 監控單元向總線控制器的邏輯提出有針對性的問題，該邏輯負 責在FlexRay中例如在網絡空閑時間(NIT)期間進行偏移應用.該邏 輯必須向監控羊元返回應答.所要求的應答必須在所確定的時間窗之 內進行.監控單元將該結果與其本地存儲的應答進行比較，尤其是檢
驗這些應答是否是對所提出的問趙的正確應答.因此，優選地周期地 檢查偏移應用的正確功能.持久的干擾和由此產生的故障被檢測到. 在這種情況下，監控單元必須避免通過本地總線控制器發送消息或阻 塞可能存在的釋放電路.
C)監控單元將總線控制器在偏移校正之前的最小時間節拍層計數
器(pT-Comiter)與在偏移校正之后的最小時間節拍層計數器進行 比較.最小時間節拍層計數器通過接口在總線控制器與監控單元之間 被交換.最小時間節拍層計數器在偏移校正之前和之后的差必須在亊 先確定的范圍之內.如果超過該范圍并且不提供值，則監控單元必須 避免通過本地總線控制器發送消息或阻塞可能存在的釋放電路.
本發明的優選的實施例可以由從屬權利要求得到.本發明的優選 的實施例和本發明的其它優點緊接著參照附圖予以更詳細地闡述.其 中
圖l示出了根據優選實施形式的根據本發明的通信系統； 圖2示出了由現有技術公知的、通信系統的用戶；以及 困3示出了困1的根據本發明的FlexRay通信系統用戶.
具體實施例方式
隨后示例性地按照FlexRay通信系統來闡述本發明.當然，本發 明可是也可以在其它通信系統中被采用，在這些其它通信系統中現在 已經采用了其它總線監控器構想，或者在這些其它通信系統中，根據 本發明的總線監控器構想會有意義地顯現出和/或會帶來優點.
在

圖1中，FlexRay通信系統的簡化的拓樸結構在其整體上以參考 符號1來示出.該通信系統包括物理層，該物理層在本情況下被構造 為具有兩個導電線的數據總線2.當然，物理層也可以通過光學的光波 導或者借助無線電鏈路來實現.同樣可設想的是，不是設置兩個單獨 的傳輸信道，而是僅僅設置一個信道.多個用戶3被連接到數據總線2 上，這些用戶3也被稱為控制設備或者主機.可是，嚴格來講，主機 還包括微控制器，該微控制器在困1中用參考符號4來示出.因此， 用戶3和微控制器4一起構成了真正的主機5.
通信系統的用戶3分別包括通信控制器6，該通信控制器6從微控 制器4接收要通過數據總線2傳輸的信息7，并且該通信控制器6根據 被用在通信系統1中的協議規范(在所示的例子中是根據FlexRay協 議規范v2.1)以用于通過數據總線2進行傳輸的正確數據格式帶來這 些信息7.正確數據格式的信息7被傳輸給用戶3的總線驅動器8，該 總線驅動器8同樣根據所使用的協議規范以對于通過數據總線進行傳 輸必要的形式帶來這些信息.
為了例如在通信系統1的與安全相關的應用中阻止數據總線2由 有缺陷的、不斷進行發送的用戶3引起阻塞，在用戶3中設置總線監 控器9 (Bus-Guardian),該總線監控器9監視和控制總線驅動器8 的訪問權限.只有當總線驅動器8從所屬的總線監控器9獲得相對應
的使能信號10時，總線驅動器8才能將信息或者數據包施加到數據總 線2上.
圖1的FlexRay通信系統1具有特別簡單的拓樸結構.當然，數 據總線2的拓樸結構也可以環形地或者星形地被構造.同樣可設想的 是，為了通過更大的距離傳輸數據包而在數據總線結構2中布置放大 元件(例如主動星型連接器(Active Star)).
在圖2中示出了由現有技術公知的、具有公知的總線監控器構想 的FlexRay用戶3.在FlexRay協議規范v2.1中所描述的構想在隨時 間變化監控通信協議或通信控制器6方面被限制，在公知的監控構想 中，本地通信控制器6的最大時間節拍層(MT) 13對其本地總線監控 器9進行計時.具有發送活動性的時隙附加地通過通信控制器6的ARM 信號14來顯示，要監視的FlexRay通信控制器6的時間序列(所謂的 定時)僅僅通過RC振蕩器15粗略地被監視或通過附加的石英振蕩器 (未示出)也以較高的分辨率被監視.
在具有公知的監控構想的用戶3中，總線監控器9因此從改正后 的最大時間節拍層信號13導出其時基，該總線監控器9從通信控制器 6獲得該最大時間節拍層信號13. ARM信號14用于使通信周期的開始 或通信周期的發送時隙(Sendeschlitze)同步.RC振蕩器15允許對 最大時間節拍層信號13粗略地進行監視，以致僅僅在該信號的20%至 30%之上的偏差才被識別為這種情況，
因此，總線監控器9的時基不是與通信控制器6的時基無關，而 是與最大時間節拍層(MT)信號13有關，通過借助RC振蕩器15的信 號監視該信號13并不能實現通信控制器6的時基的完全獨立性.
通信控制器6從主機計算機(微控制器)4接收到要傳輸的數據. 控制器6帶來根據FlexRay協議規范所規定的數據格式的數據.尤其 是，將數據引入數據幀(FlexRay幀)的有效數據段(所謂的Payload Segment)中.要通過數據總線2傳輸的、被格式化的數據在圖2中用 參考符號16來示出.數據16被傳送給總線驅動器8，該總線驅動器8 帶來適于數據傳輸的格式的數據.接著在傳輸時刻，總線驅動器8將 要傳輸的數據16施加到數據總線2上.總線驅動器8的動作通過總線 監控器9來廣泛地監視和/或控制，以致只有當總線監控器9確認總線 驅動器8的訪問權限并且將使能信號17施加到總線驅動器8上時，總 線驅動器8才可以將數據16施加到數據總線2.
公知的監控構想尤其是在如下情況下有弱點，其中存在持久干擾， 這些干擾由于通信控制器6中的故陣或者不精確性而導致用戶3的發 送時隙緩慢移位到根據通信調度的、通信周期的其余用戶3的其它發 送時隙中.因此，例如存在如下問題通過最大時間節拍層供給13和 ARM信號14可以將本地通信控制器6的最小時鐘漂移傳輸給總線監控 器9.也即，如果FlexRay通信控制器6的時鐘校正根據協議規范v2.1 有錯誤地工作或者用于通信控制器6的時鐘校正的控制寄存器的調整 有錯誤并且未被發現，則與剩余的通信網絡1相比，本地通信控制器6 和因此本地總線監控器9也漂移.因此，針對用戶3的通信周期的發 送時隙(其通信控制器6在本地時基中具有故障或者不精確性)隨著 時間推遲到通信網絡l中的其它用戶3的發送時隙中，而本地總線監 控器9可以不用檢測這種情況并且可以不用觸發相對應的反應.
另一有問題的情況是在本地通信控制器6在通信周期結束時的所 謂的網絡空閑時間(NIT)期間的所謂的偏移校正階段.偏移校正階段 尤其是用于使用戶3的本地時基同步到通信系統1的全局時基.為了 進行這種校正，允許在規定的邊界中進行改正.隨后的通信巡回早數 個最小時間節拍層(MT)或者晚數個最小時間節拍層(HT)而開始. 本地總線監控器9必須允許這種校正.定時器監控必須接受這種校正. 可是，不存在關于偏移校正對下一通信巡回的作用的總線監控器認知. 在這樣的情況下，也會發生發送時隙的交叉.這種交叉的概率隨巡回 數目的增加而提高.
在固3中詳細示出根據本發明的用戶3.在根據本發明的用戶3
中，總線監控器9在電路技術上并且在功能上相對于公知的FlexRay 總線監控器(參照閨2)被擴展來使得甚至FlexRay通信控制器6的持 久干擾在訪問數據總線2時能夠安全地且可靠地被檢測并且能夠采取 相對應的補救措施和對策.根據本發明所建議的解決方案可以特別簡 單且低成本地實現，但是同時極其有效.
在總線監控器9與通信控制器6之間布置接口 18,該接口 18例如 被構造為SPI (Serial Peripheral Interface)接口.總線監控器9 可以通過該接口 18有針對性地向通信控制器6傳輸問題，并且通信控 制器6可以將對這些問題計算出的應答重新傳送回總線監控器9,因此， 通過接口 18能夠在總線監控器9與通信控制器6之間實現問答通信. 為此必要的是，在總線監控器9中存儲具有不同問題的列表19和存儲 具有對來自列表19的問題的相對應的正確應答的列表20.當然，列表 19和20也可以被總結成共同的列表.列表19和20也可以被存儲在總 線監控器9之外的存儲器上，其中于是在需要時將問題和/或應答傳輸 到總線監控器9中.
此外，在總線監控器9中必須設置裝置21，以便在某些時刻、優 選地周期地啟動問答通信.通信控制器6的最大時間節拍層(MT)信 號13和/或RC振蕩器的時鐘信號被考慮用于使問答通信在時間上相協 調.即使MT信號13漂移，例如因為通信控制器6中的時鐘同步有故 障地工作，并且因此存在控制器6的故陣，該故障也可以利用本發明 單獨通過問答通信而被檢測到，因為通信控制器6在理想情況下提供 錯誤的結果或者正確的結果，但是在允許的應答窗口之外進行提供. 該方法的效果決定性地取決于所提出的問題的類型.其都必須被調準 到通信控制器6的要監視的部件和/或功能上.所有要監視的部件/功 能必須通過問題來揭露.實際上，部件/功能的缺陷也一定導致有錯誤 的應答，
在問答通信開始時，從列表19中查找合適的問題.這些問題可以 按照隨機原理或者但是以預定的順序、例如以如在列表19中所存放的 順序從列表19中取得.某些問題和應答組合適于識別通信控制器6的 某些故陣.通過有針對性地選擇某些問題，檢查通信控制器6的某些 功能和/或特性正常工作，根據本發明，列表19和20包括這種問趙和 應答，這些問題和應答能夠識別以下故障
a) 時鐘同步的輸入設置(實際上所考慮的同步消息、同步楨)的 故陣，
b) 速率校正的有故陣的計算，
c) 正確計算出的速率校正值的有故陣應用，
d) 偏移校正的有故障的計算，以及
e) 正確計算出的偏移校正值的有故陣的應用.
在從列表19中選出合適的問趙之后，該問題通過接口 18被傳送 給通信控制器6.同時，裝置21在其它裝置22中為了檢查應答而啟動 時間窗的定時器(Timer)，在該時間窗之內，正常工作的通信控制器 6的應答必須到達.時間窗的維持通過裝置22來監視.如果通信控制 器6的應答在該時間窗之內到達，則在裝置22中就其正確性檢查該應 答，為此，裝置22將到達的應答與來自列表20的正確應答進行比較. 只有當正確的應答在限定的時間窗之內到達時，總線監控器9才通過 使能信號17釋放對數據總線2的訪問.
由總線監控器9向通信控制器6提出的問題例如可以包括下列問 題中的一個或者多個問題
-由通信控制器6接收到的、所解碼的并且被考慮用于使本地時
基同步的同步消息(同步幀)的數目？
-通過數據總線2的兩個通信信道(線路)冗余傳輸的同步消息
的數目和標識是否相同？
-在通信控制器6中，速率校正計算或偏移校正計算產生那些結 果？(正確的應答提供在總線監控器9中所構造的附加邏輯，用于計 算速率校正或偏移校正，該邏輯是相同地轉換來自通信控制器6的機 制.)
-由通信控制器6的機制所計算出的速率校正值或偏移校正值是 否等于被存放在通信控制器6的存儲單元、尤其是存儲寄存器中的校 正值？
-每個最大時間節拍層(MT)的最小時間節拍層(nT)數目或者 每個通信巡回(所謂的通信周期(Communication Cycle))的最小時 間節拍層(mT)數目在巡回結束時是否還在可預定的邊界值之下？
-最小時間節拍層計數器(MT)在偏移校正之前和之后的差是否 還在可預定的范圍之內？
為了總線監控器9能夠回答這些問題， 一部分必須將附加信息從 通信控制器6通過接口 18傳送到總線監控器9.要附加傳送的信息例 如是
—速率校正或偏移校正的計算結果，
-在通信巡回結束時，每個通信巡回的最小時間節拍層(mT)的 數目或每個最大時間節拍層(MT)的最小時間節拍層(*iT)的數目，
-通信控制器6的最小時間節拍層(pT)計數器在偏移校正之前 和之后的狀態.
權利要求
1.一種本地分配給通信系統(1)的用戶(3)的總線控制器(6)的、用于監視和控制對數據總線(2)的訪問的監控單元(9)，其中，總線控制器(6)通過總線驅動器(8)訪問數據總線(2)，并且監控單元(9)監視和控制總線驅動器(8)的訪問權限，其特征在于，監控單元(9)具有用于實現與總線控制器(6)的問答通信的裝置(18，19，20，21，22)，并且只有當問答通信的結果是總線控制器(6)正常工作時，監控單元(9)才釋放總線控制器(6)對數據總線(2)的訪問。
2. 根據權利要求9所述的監控單元(9)，其特征在于，總線控 制器(6)的本地時基借助同步消息被同步到通信系統(1)的全局時 基上，監控單元(9)通過總線控制器(6)的接口 (18)獲得關于在 總線控制器(6)中被解碼的并且被考慮用于進行時鐘同步的同步消息 的信息，以及在考慮到所獲得的同步信息的情況下進行問答通信.
3. 根據權利要求2所迷的監控單元(9)，其特征在于，在總線 控制器(6)中存在具有由總線控制器(6)接收到的、所解碼的以及 被考慮用于進行時鐘同步的同步消息的列表，其中監控單元(9)從該 列表中獲得同步信息，并且在問答通信的范閨中詢問同步信息是否滿 足一定的最小要求.
4. 根據權利要求3所述的監控單元(9),其特征在于，監控單 元(9)在問答通信的范圍中詢問接收到的、被解碼的以及被考慮用 于進行時鐘同步的同步消息的數目是否大于和/或等于最小數目.
5. 根據權利要求2至4之一所述的監控單元(9 )，其特征在于， 如果同步消息通過數據總線(2)在兩個冗余的通信信道中被傳輸，則 監控單元(9)在問答通信的范圍中詢問接收到的、被解碼的和/或 被考慮用于進行時鐘同步的同步信息對于兩個通信信道是否相同.
6. 根據權利要求5所述的監控單元(9)，其特征在于，監控單 元(9)在問答通信的范圍中詢問兩個通信信道的同步消息的數目和 /或標識是否相同.
7. 根據權利要求1至6之一所述的監控單元(9 )，其特征在于， 總線控制器(6)的本地時基借助同步消息用相對于全局時基的速率校 正和/或偏移校正而被同步到通信系統(1)的全局時基上，以及監控單元(9)在問答通信的范圍中詢問針對本地時基的速率校正和/或偏 移校正的正確計算.
8. 根據權利要求7所述的監控單元(9)，其特征在于，總線控 制器(6)的用于計算速率校正和/或偏移校正的裝置相同地被構造在 監控單元(9)中，該監控單元(9)獲得關于在總線控制器(6)中接 收到的、被解碼的以及被考慮用于進行時鐘同步的同步消息的信息， 被設置在監控單元(9)中的計算裝置根據同步信息計算速率校正和/ 或偏移校正，以及監控單元(9)將問答通信范圍中的結果與通過設置 在通信控制器(6)中的計算裝置所計算的速率校正或偏移校正進行比 較.
9. 根據權利要求7所迷的監控單元(9)，其特征在于，監控單 元(9)向被設置在總線控制器(6)中的用于計算速率校正和/或偏移 校正的裝置提出有針對性的問題并且在預定的應答窗之內監視總線控 制器(6)的正確應答的輸入.
10. 根據權利要求1至6之一所述的監控單元(9)，其特征在于， 總線控制器(6)的本地時基借助同步消息用于相對于全局時基的速率 校正和/或偏移校正被同步到通信系統(1)的全局時基上，以及監控 單元(9)在問答通信的范圍中詢問針對本地時基的速率校正和/或偏 移校正的所計算的值的正確應用.
11. 根據權利要求10所述的監控單元(9)，其特征在于，監控 單元(9)在問答通信的范閨中檢驗總線控制器(6)的用于生成最大 時間節拍層的裝置和/或用于在速率校正的范圍中所計算的校正值的 存儲裝置的無故陣的功能.
12. 根據權利要求10所述的監控單元(9)，其特征在于，監控 裝置(9)在問答通信的范圍中檢驗總線控制器(6)的用于應用偏移 校正的裝置和/或用于在偏移校正的范圍中所計算的校正值的存儲裝 置的無故陣的功能.
13. 根據權利要求11或者12所述的監控單元(9 )，其特征在于， 監控單元(9)通過接口 (18)從總線控制器(6)獲得所計算的校正 值并且將在問答通信的范圍中的校正值與存放在總線控制器(6)的存 儲裝置中的校正值進行比較.
14. 根據權利要求11所迷的監控單元(9)，其特征在于，監控單元(9)向被設置在總線控制器(6)中的用于生成最大時間節拍層 的裝置提出有針對性的問題，并且在預定的時間窗之內監視總線控傘J 器(6)的正確應答的輸入.
15. 根據權利要求12所述的監控單元(9)，其特征在于，監控 單元(9)向被設置在總線控制器(6)中的用于應用偏移校正的裝置 提出有針對性的問題并且在預定的時間窗之內監枧總線控制器(6)的 正確應答的輸入.
16. 根據權利要求11所述的監控單元(9)，其特征在于，監控 單元(9)在通信巡回結束時從總線控制器(6)通過接口 (18)獲得 每個巡回的最小時間節拍層的數目和/或每個最大時間節拍層的最小 時間節拍層的數目；并且監控單元(9)在問答通信的范閨中詢問每 個巡回的最小時間節拍層的數目和/或每個最大時間節拍層的最小時 間節拍層的數目在通信巡回與隨后的巡回之間的漂移在數值方面是否 大于和/或等于可預定的允許的漂移.
17. 根據權利要求12所述的監控單元(12)，其特征在于，監控 單元(9 )通過接口 ( 18 )在偏移校正之前和之后獲得總線控制器(6 ) 的最小時間節拍層計數器的狀態；以及監控單元(9)在問答通信的范 圍中詢問最小時間節拍層計數器在偏移校正之前與在偏移校正之后 的狀態之間的差在數值方面是否大于和/或等于可預定的邊界值.
18. —種包括數據總線(2)的通信系統(1)的用戶(3)，其中， 用戶(3)具有總線控制器(6)和總線驅動器(8)，其中總線控制器(6)通過總線駔動器(8)被連接到數據總線(2)上，以及其中用戶 (3 )具有被分配給總線控制器(6 )的用于監視和控制總線驅動器(8 )對數據總線(2)的訪問權限的監控單元(9)，其特征在于，構造根據權利要求1至17之一所述的監控單元(9 ).
19. 根據權利要求18所述的用戶(3)，其特征在于，總線控制 器(6)具有用于接收監控單元(9)的問題的裝置，用于處理由監 控單元(9)接收到的問題并用于生成相對應的應答的裝置和用于將所 生成的應答傳送給監控單元(9)的裝置.
20. 根據權利要求18或者19所述的用戶(3)，其特征在于，用 戶(3)被構造為FlexRay通信系統(1)的FlexRay用戶，用于傳送 根據FlexRay協議規范的信息.
全文摘要
本發明涉及一種用于監視和控制對數據總線(2)的訪問的監控單元(9)，該監控單元(9)被本地分配給通信系統(1)的用戶(3)的總線控制器(6)。總線控制器(6)通過總線驅動器(8)訪問數據總線(2)，并且監控單元(9)監視和控制總線驅動器(8)對數據總線(2)的訪問權限。為了在訪問數據總線(2)時也檢測總線控制器(6)的持久干擾和總線控制器(6)的由此產生的故障而建議監控單元(9)具有用于實現與總線控制器(6)的問答通信的裝置(18，19，20，21，22)，并且只有當問答通信的結果是總線控制器(6)正常工作時，監控單元(9)才釋放總線控制器(6)對數據總線(2)的訪問。
文檔編號G06F11/07GK101346698SQ200680048549
公開日2009年1月14日 申請日期2006年12月12日 優先權日2005年12月22日
發明者B·米勒, T·富勒 申請人:羅伯特.博世有限公司