DE19913652A1 - Serieller Datenbus mit Schutzschaltung und Verfahren zum Schützen eines Datenaustauschs - Google Patents

Abstract

Ein serieller Datenbus weist wenigstens eine Busleitung (1; 2) und mehrere an die Busleitung jeweils über eine Stichleitung (4; 5) angeschlossene Recheneinheiten (3) auf. Über eine zwischen der Busleitung (1; 2) und der Recheneinheit (3) angeordnete Schutzschaltung (6) wird die Stichleitung (4; 5) auf einen hochohmigen Betrieb umgeschaltet. Dadurch werden Kurz- und Fremdschlüsse vom Rest des Busses abgeschirmt. Die Recheneinheit (3) kann bei intakter Stichleitung noch Signale von der Busleitung (1; 2) empfangen.

Description

Die Erfindung betrifft einen seriellen Datenbus, an den über Stichleitungen mehrere Recheneinheiten angeschlossen sind, und ein Verfahren zum Schützen eines Austauschs von Daten über einen seriellen Datenbus.

Insbesondere in der Kraftfahrzeugtechnik werden Datenbusse eingesetzt, bei denen alle miteinander verbundenen Teilnehmer parallel an einer Busleitung angeschlossen sind. Dies hat den Vorteil, daß ein Ausfall eines Teilnehmers keine Auswirkungen auf die übrigen über die Busleitung miteinander verbundenen Teilnehmer hat. Problematisch ist allerdings, wenn ein Teil­ nehmer oder eine Stichleitung, die einen Teilnehmer mit einer Busleitung verbindet, kurzgeschlossen wird oder mit einem an­ deren Potential zusammen geschlossen wird (Fremdschluß). Ins­ besondere bei sicherheitskritischen Anwendungen ist es not­ wendig, einen Datenbus vor einem Totalausfall zu schützen.

Aus der Patentanmeldung EP 0 503 170 A1 ist ein busorientier­ tes Multiplexsystem bekannt, dessen Busstationen über Buslei­ tungen an einen Datenbus angeschlossen sind. Um das System für den Fall eines Kurzschlusses einer Busleitung gegen eine vollständige Unterbrechung des Informationsaustausches zu si­ chern, sind die Busleitungen miteinander über Sicherungsele­ mente verbunden. Ein Schaltungsglied des Multiplexsystems schaltet bei Feststellung eines Kurzschlusses einen Strom auf den Datenbus. Die Größe dieses Stroms überschreitet die Stromtragfähigkeit der Sicherungselemente. Dadurch wird das­ jenige Sicherungselement zerstört, dessen Busleitung den Kurzschluß aufweist. Die Busleitung wird hierdurch endgültig vom Multiplexsystem abgetrennt.

Der Schutz des gesamten Multiplexsystems hängt somit von der Funktionsfähigkeit eines einzigen Schaltungsglieds ab. Zudem ist durch die Beaufschlagung des Multiplexsystems mit einem überhöhten Strom eine Beschädigung intakter Sicherungselemen­ te und Schaltkreise nicht auszuschließen.

Es ist ein Ziel der Erfindung, einen seriellen Datenbus und ein Verfahren zum Schützen eines Datenaustauschs auf einem Datenbus bereitzustellen, bei denen ein Totalausfall des ge­ samten Datenbusses vermieden wird, wenn in einem Teilsystem ein Fremd- oder Kurzschluß vorliegt.

Dieses Ziel wird mit einem seriellen Datenbus und einem Ver­ fahren zum Schützen eines Datenaustauschs erreicht, wie sie in den unabhängigen Patentansprüchen definiert sind. Vorteil­ hafte Weiterbildungen sind in den Unteransprüchen angegeben.

Durch die Anordnung einer Schutzschaltung zwischen der Bus­ leitung und jeder Recheneinheit kann jede einzelne Stichlei­ tung von der Busleitung abgetrennt werden. Dabei erfolgt al­ lerdings nicht eine vollständige Abtrennung der betroffenen Recheneinheit vom Datenbus. Vielmehr wird in einen hochohmi­ gen Betrieb umgeschaltet, bei dem die Recheneinheit bei in­ takter Stichleitung noch Signale empfangen kann. Einflüsse von Kurz- und Fremdschlüssen werden auf diese Weise vom rest­ lichen Datenbus abgeschirmt.

Besonders bevorzugt ist der serielle Datenbus in einer Multi- Master-Struktur organisiert. Die angeschlossenen Teilnehmer oder Recheneinheiten sind dann nicht Slaves einer zentralen Master-Einheit. Die Aktivierung der Schutzschaltung erfolgt also dezentral oder autonom für jede Stichleitung.

Obwohl die hierzu erforderliche Steuerlogik in der Schutz­ schaltung integriert sein kann, ist es besonders günstig, die Funktion der Steuerlogik der ohnehin vorhandenen Rechenein­ heit zu übertragen und auf eine zusätzliche Recheneinheit oder einen Mikroprozessor in der Schutzschaltung zu verzich­ ten.

In einer besonders bevorzugten Ausführungsform deaktiviert die Recheneinheit die Schutzschaltung, wenn die Recheneinheit nach der Aktivierung der Schutzschaltung weiterhin Signale von der Busleitung empfangen konnte. Dies ist nämlich ein Hinweis darauf, daß die ursprünglich festgestellte Störung über eine andere Stichleitung ausgelöst worden war, und daß die Schutzschaltung dieser Stichleitung aber inzwischen er­ folgreich aktiviert wurde.

Ferner ist bevorzugt, eine Störung der Stichleitung mittels einer Spannungsmessung zu detektieren. Liegt an der Stichlei­ tung ein unzulässiges Spannungspotential an, so wird die Schutzschaltung der Stichleitung aktiviert. Vorzugsweise weist die Stichleitung sowohl im logischen Zustand "Low" als auch im Zustand "High" einen von Null Volt verschiedenen Spannungspegel auf.

Vorzugsweise sind an den seriellen Datenbus zwischen 2 und 16 Recheneinheiten oder Teilnehmer angeschlossen, und besonders bevorzugt zwischen 4 und 8 Recheneinheiten.

Der erfindungsgemäße Datenbus eignet sich insbesonders für den Einsatz in Kraftfahrzeugen und Luftfahrzeugen. Die über die Busleitungen kommunizierenden Recheneinheiten steuern vorzugsweise Aktuatoren, beispielsweise Elektromotoren zur Betätigung von Bremsen (break by wire) oder einer Lenkung (steer by wire).

Weitere Vorteile, Merkmale und Anwendungsmöglichkeiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen in Verbindung mit den Zeichnungen. Es zeigen:

Fig. 1 eine über eine Schutzschaltung an Busleitungen ange­ schlossene Recheneinheit,

Fig. 2 von einem Gehäuse geschützte Busleitungen und Schutzschaltungen und

Fig. 3 die auf den Stichleitungen und einer Steuerleitung auftretenden Signale.

Fig. 1 veranschaulicht einen seriellen Datenbus, der über Busleitungen 1 und 2 eine Vielzahl von Recheneinheiten 3 oder Teilnehmer verbindet. In der Fig. 1 ist allerdings nur eine Recheneinheit 3 beispielhaft dargestellt. Die Recheneinheit 3 ist ein Mikroprozessor oder Controller, der einen Elektromo­ tor steuert.

Stichleitungen 4 und 5 verbinden die Recheneinheit 3 mit den Busleitungen 1 und 2. Die Stichleitungen zweigen von den Bus­ leitungen an Y-Stellen ab. An den Y-Stellen besteht ein Schneid-Klemm-Kontakt zwischen einer Stichleitung und einer Busleitung. Alternativ kommt auch eine induktive Ankopplung der Stichleitungen an eine Busleitung in Betracht. Auf Steck­ verbindungen innerhalb der Busleitungen 1, 2 sollte wegen der Fehleranfälligkeit verzichtet werden. Insbesondere sollte ei­ ne Busleitung einstückig ausgebildet sein.

Zwischen der Recheneinheit 3 und den Busleitungen 1, 2 ist eine Schutzschaltung 6 angeordnet. Die Busleitungen 1, 2 sind nicht durch die Schutzschaltung geschleift. Die Schutzschal­ tung weist als Transistoren oder Relais ausgebildete Schalter auf. Die Schalter werden jeweils parallel umgangen. Die Umge­ hungspfade weisen Widerstände R als Strombegrenzer auf. Al­ ternativ können beispielsweise auch Operationsverstärker oder Dioden oder ein strombegrenzender Schaltkreis verwendet wer­ den. Es muß lediglich gewährleistet sein, daß im Falle eines Kurzschlusses zwischen der Schutzschaltung 6 und der Rechen­ einheit 3 die elektrischen Signale auf dem restlichen Daten­ bus nicht derart beeinträchtigt werden, daß sie von empfan­ genden Recheneinheiten nicht korrekt erkannt werden können.

Bei der Verwendung eines CAN-Busses ist beispielsweise ein Widerstandswert von 150 Ohm geeignet.

Über eine Steuerleitung 7 aktiviert die Recheneinheit 3 die Schutzschaltung 6, so daß deren Schalter geöffnet werden. Al­ ternativ kann die Aktivierung mit modulierten oder getakteten Steuersignalen auf den Stichleitungen erfolgen.

Nach Aktivierung der Schutzschaltung bleibt der Teilnehmer 3 über die mit den Widerständen R realisierte Strombegrenzungs­ schaltung mit den Busleitungen 1 und 2 verbunden. Falls die Stichleitungen 4 und 5 intakt sind und die Aktivierung der Schutzschaltung 6 durch einen Fehler erfolgte, der an einer anderen Stichleitung aufgetreten ist, kann die Recheneinheit trotz der aktivierten Schutzschaltung 6 Signale von den Bus­ leitungen 1, 2 empfangen. Allerdings ist die Recheneinheit 3 nicht in der Lage, gültige Signale auf die Busleitungen 1, 2 zu senden.

Aufgrund der schnell reagierenden Schutzschaltungen 6 können potentielle Störungsquelle rasch isoliert werden. Der Daten­ verkehr auf dem seriellen Datenbus kann störungsfrei auf­ rechterhalten werden, da die Busleitungen 1, 2 durch die Schutzschaltungen nicht unterbrochen werden.

Fig. 2 veranschaulicht einen seriellen Datenbus mit einer Quasi-Sternstruktur. Die Busleitungen 1, 2 und sämtliche Schutzschaltungen 6 sind von einem Gehäuse 8 geschützt. Das Gehäuse 8 soll diese Komponenten vor Beschädigungen schützen. Die Recheneinheiten 3 befinden sich außerhalb Gehäuses 8. So­ mit sind alle von außen zugänglichen Stichleitungen 4, 5 ge­ gen Fremd- oder Kurzschlüsse gesichert.

Jeweils eine Schutzschaltung 6 ist über Stichleitungen 4, 5 mit einer Recheneinheit 3 verbunden.

Die Recheneinheiten 3 sind autonom, das heißt, es gibt keinen zentralen Master. Es handelt sich also um ein Multi-Master- System, bei dem jede Recheneinheit 3 ihre eigene Stichlei­ tung(en) überwacht und schützt.

Die Kommunikation zwischen den Recheneinheiten 3 erfolgt in einem Zeit-Multiplex-Verfahren (TDMA), bei dem jedem Teilneh­ mer ein bestimmter Zeitschlitz zum Senden von Signalen oder Daten zugeordnet ist (TTP-Bus Time Triggered Protocol).

Die einer Recheneinheit 3 zugeordnete Schutzschaltung 6 wird jeweils von der Recheneinheit 3 aktiviert und die Verbindung zu den Busleitungen 1 und 2 in einen strombegrenzten Modus geschaltet, solange die Recheneinheit 3 keine Erlaubnis zum Senden hat. Die Schutzschaltung wird nur für die Zeiträume deaktiviert, in denen die Recheneinheit 3 in dem ihr zugeord­ neten Zeitschlitz sendet. Es muß in diesem Fall keine Prüfung vorgenommen werden, ob ein Defekt auf einer Stichleitung 4, 5 (Kurzschluß oder Fremdschluß) aufgetreten ist. Die Rechenein­ heit 3 kann trotz der aktivierten Schutzschaltung 6 Signale von den Busleitungen 1, 2 empfangen, wie dies in Zusammenhang mit Fig. 1 beschrieben ist.

In Fig. 3 ist der Verlauf eines Signales H, das auf der Stichleitung 4 eines Teilnehmers 3 auftritt, ein Signal L, das auf der Stichleitung 5 zum selben Teilnehmer auftritt, und das Steuersignal S veranschaulicht, das auf der Steuer­ leitung 7 auftritt.

Die Kommunikation auf dem Datenbus erfolgt über differentiel­ le Signale gemäß dem Standard ISO 11 898. Beim Zustand 1 wei­ sen das Signal H der Stichleitung 4 und das Signal L der zu­ gehörigen Stichleitung 5 jeweils einen Pegel von 2,5 Volt auf. Im Zustand Null weist das Signal H einen Pegel von 3,5 Volt auf und das Signal L einen Pegel von 1,5 Volt. Die Re­ cheneinheit überprüft die Signalpegel oder Potentiale der an­ geschlossenen Stichleitungen 4, 5. Stellt die Recheneinheit fest, daß ein Potential von 1,5 Volt unterschritten oder ein Potential von 3,5 Volt überschritten ist, so veranlaßt sie eine Aktivierung der zugehörigen Schutzschaltung.

Die Aktivierung der Schutzschaltung erfolgt mit einem Steuer­ signal S, dessen Potential von den zulässigen Potentialen der Signale H und L abweicht. In diesem Beispiel weist das Steu­ ersignal S entweder ein Potential von Null Volt (Deaktivie­ rung der Schutzschaltung) oder von 5 Volt (Aktivierung der Schutzschaltung) auf. Dadurch wird vermieden, daß ein Fremd­ schluß zwischen der Steuerleitung und einer Stichleitung 4, 5 unerkannt bleibt.

Claims (10)

1. Serieller Datenbus zur Verbindung von Recheneinheiten, der aufweist:

• - wenigstens eine Busleitung (1; 2),
• - mehrere an die Busleitung (1; 2) jeweils über eine Stichleitung (4; 5) angeschlossene Recheneinheiten (3),
• - eine zwischen der Busleitung (1; 2) und der Recheneinheit (3) angeordnete Schutzschaltung (6), mit der die Stichlei­ tung (4; 5) auf einen hochohmigen Betrieb umschaltbar ist, in dem die Recheneinheit (3) bei intakter Stichleitung noch Signale von der Busleitung (1; 2) empfangen kann.

2. Serieller Datenbus nach Anspruch 1, dadurch gekennzeich­ net, daß die Schutzschaltung (6) von derjenigen Recheneinheit (3) betätigbar ist, die über die Schutzschaltung (6) mit der Busleitung (1; 2) verbunden ist.

3. Serieller Datenbus nach einem der vorhergehenden Ansprü­ che, gekennzeichnet durch eine Steuerleitung (7) zwischen der Recheneinheit (3) und der Schutzschaltung (6), die mit einem Steuersignal (S) zum Aktivieren der Schutzschaltung (6) be­ aufschlagbar ist.

4. Serieller Datenbus nach einem der vorhergehenden Ansprü­ che, dadurch gekennzeichnet, daß die Schutzschaltung (6) von einem Steuersignal (S) aktivierbar ist, dessen Potential un­ gleich den auf der Stichleitung (4; 5) zulässigen Potentialen ist.

5. Serieller Datenbus nach einem der vorhergehenden Ansprü­ che, dadurch gekennzeichnet, daß die Busleitung (1; 2) und die Schutzschaltungen (6) von einem gemeinsamen Gehäuse (7) geschützt sind.

6. Verfahren zum Austausch von Daten über einen seriellen Da­ tenbus mit mehreren Recheneinheiten (3), die jeweils über ei­ ne Stichleitung (4; 5) mit einer Busleitung (1; 2) verbunden sind, bei dem die Stichleitung (4; 5) von einer zwischen der Busleitung (1; 2) und der Recheneinheit (3) angeordneten Schutzschaltung (6) in einen hochohmigen Betrieb geschaltet wird, wenn ein unzulässiges Potential gemessen wird oder wenn die Recheneinheit kein Zugriffsrecht auf den Datenbus hat.

7. Verfahren nach dem vorhergehenden Anspruch, dadurch ge­ kennzeichnet, daß im hochohmigen Betrieb die Recheneinheit (3) Signale (H; L) von der Busleitung (1; 2) empfangen kann.

8. Verfahren nach dem vorhergehenden Anspruch, dadurch ge­ kennzeichnet, daß die Schutzschaltung (6) mit einem Steuersi­ gnal (S) gesteuert wird, das ein gegenüber den Signalen (H; L) unterschiedliches Potential aufweist.

9. Verfahren nach einem der vorhergehenden Verfahrensansprü­ che, dadurch gekennzeichnet, daß die Schutzschaltung (6) mit einem getakteten Steuersignal (5) aktiviert wird.

10. Verfahren nach einem der vorhergehenden Verfahrensansprü­ che, dadurch gekennzeichnet, daß die Schutzschaltung (6) aktiviert wird, wenn ein unzulässiges Potential auf der Stichleitung (3) gemessen wird, und daß die Schutzschaltung (6) wieder deaktiviert wird, wenn ein zulässiges Potential auf der Stichleitung (4; 5) gemessen wird.