(57)【特許請求の範囲】
【請求項１】
安全なデータ伝送のためのネットワークインターフェイス装置であって、
前記ネットワークインターフェイス装置は、ハードウエアおよびソフトウエアコンポーネントを囲い込んだカプセル化ユニット（４）を有し、カプセル化ユニット（４）は、カプセル化ユニット（４）と接続された、あるいはそれと通信するハードウエアまたはソフトウエアコンポーネントがまったく機能しない場合、もしくは適正に機能しない場合でもネットワークインターフェイス装置の通信機能を確保するのに必要な最低限のハードウエアおよびソフトウエアコンポーネントを有し、
前記カプセル化ユニット（４）に対する外部からのアクセスが、特定の動作可能とされたサービス（８ａ、８ｂ）を通じてのみ可能とされ、
前記カプセル化ユニット（４）が、外部のコンポーネントからの誤った呼び出しまたは誤ったパラメータによる干渉を回避するために、外部のコンポーネントの機能または所定の動作パラメータを監視するための監視手段を有する、
ことを特徴とするネットワークインターフェイス装置。
【請求項２】
安全なデータ伝送のためのネットワークインターフェイス装置であって、
前記ネットワークインターフェイス装置が、ＯＳＩ層Ｍから、ＯＳＩ層Ｎ≧Ｍまでの指定のサブセットが機能的にカプセル化ユニットを含み、前記カプセル化ユニットの外部からのアクセスが、ＯＳＩ層Ｎのサービスに対してのみ可能とされることを特徴とする請求項１に記載のネットワークインターフェイス装置。
【請求項３】
カプセル化ユニットが、Ｍ＝１を持つＯＳＩ物理層と、ＯＳＩ層Ｎ≧２の指定のサブセットとの間の全ての層を囲い込むことを特徴とする請求項２に記載のネットワークインターフェイス装置。
【請求項４】
同期ストリームの管理もカプセル化の中に囲い込まれることを特徴とする請求項１〜３のいずれか１項に記載のネットワークインターフェイス装置。
【請求項５】
カプセル化ユニットの内部には、全ネットワークの通信総量、またはそれ自体のノードを含む個別のノードの機能を監視するための監視手段がさらに設けられ、前記監視手段は、誤動作の際には、任意に、個別のノード、またはそれらのノードに接続する装置、または全体システムをリセットするための選択的コマンドを発することを特徴とする請求項１〜４のいずれか１項に記載のネットワークインターフェイス装置。
【請求項６】
カプセル化ユニットの内部には、好ましくは、リング・バス形式のネットワーク内においてデータパケットを中継するための機能が設けられていることを特徴とする請求項１〜５のいずれか１項に記載のネットワークインターフェイス装置。
【請求項７】
ネットワークを経由して伝送されるコマンドによって、カプセル化ユニット内のコンポーネントまたは機能のリセットを可能とする機能が、前記カプセル化ユニット内に設けられることを特徴とする請求項１〜６のいずれか１項に記載のネットワークインターフェイス装置。
【請求項８】
カプセル化ユニットが、さらに別の外部コンポーネントに接続され、かつ、任意にハードウェアまたはソフトウェアを通じて、これらの外部コンポーネントにリセットを送信するための手段がさらに設けられることを特徴とする請求項１〜７のいずれか１項に記載のネットワークインターフェイス装置。
【請求項９】
カプセル化ユニットが、コンポーネントとして装置に組み込まれ、基本的機能性を維持するために必要とされる前記カプセル化ユニットのハードウェアコンポーネント、特に、ＯＳＩ層１のコンポーネントが、装置の電源とは独立した電源を任意に含むことを特徴とする請求項１〜８のいずれか１項に記載のネットワークインターフェイス装置。
【請求項１０】
データ送信のために光学的バスが設けられ、かつ、カプセル化ユニットが、光学的送信機を制御するための唯一の制御手段となるように設計されることを特徴とする請求項１〜９のいずれか１項に記載のネットワークインターフェイス装置。
【請求項１１】
カプセル化ユニットがメッセージ制御インターフェイスを含むことを特徴とする請求項１〜１０のいずれか１項に記載のネットワークインターフェイス装置。
【請求項１２】
カプセル化ユニットがオブジェクト指向インターフェイスを含むことを特徴とする請求項１〜１１のいずれか１項に記載のネットワークインターフェイス装置。
【請求項１３】
ファームウェアまたはソフトウェアが、ネットワークを介して新規にプログラムされ、かつ、フラッシュＲＯＭのようなメモリーに保存されることが可能であることを特徴とする請求項１〜１２のいずれか１項に記載のネットワークインターフェイス装置。
【請求項１４】
請求項１〜１３のいずれか１項に記載のネットワークインターフェイス装置を備えたネットワークノード。
【請求項１５】
少なくとも２つのノードとそれらの間を接続するリンクから成るネットワークであって、
少なくとも１つのノードが、請求項１〜１３のいずれか１項に記載のネットワークインターフェイス装置を備えていることを特徴とするネットワーク。
【請求項１６】
複数のノード間における安全な接続のためのネットワーク形成方法であって、
請求項１４に記載の複数のノードを相互接続してネットワークを形成することを特徴とするネットワーク形成方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークインターフェイスに関し、さらに、安全なデータ伝送のためのネットワークならびに当該ネットワークを作成するための方法に関するものである。
【背景技術】
【０００２】
広範各種の応用のために多くの異なるタイプのネットワークが存在する。したがって、伝送の信頼性ならびに安全性に関する要求も多様である。電子メールの伝送については、たとえば、ネットワークへの要求が比較的低いとすることができる。これとは異なり、安全に関するデータ、たとえば自動車における安全に関するデータの伝送に採用されるネットワークの場合には、もっとも高い要求がネットワークに課せられる。
【０００３】
伝送の高い安全性を確保するためには、ネットワークのハードウエアならびにソフトウエアがともに適切に設計されていなければならない。
【０００４】
以下に示す説明は、特にＩＳＯに従ったＯＳＩ参照モデル（基本参照モデル『オープン・システムズ・インターコネクション（Ｏｐｅｎ  Ｓｙｓｔｅｍｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）』）（ＯＳＩ）に関する。これにおいては、通信アーキテクチャが７つの層に分割される。
【０００５】
伝送の定義済みの安全性の保証について、それらの層に適した各種の手段が知られている。以下の説明においては、用語『層』が層のインスタンスを意味するものとしても使用されている。
【０００６】
たとえば、非特許文献１には、『フォールト・トレラント・ディファレンシャルＣＡＮ‐‐トランシーバ（Ｆａｕｌｔ  Ｔｏｌｅｒａｎｔ  Ｄｉｆｆｅｒｅｎｔｉａｌ  ＣＡＮ‐‐Ｔｒａｎｓｃｅｉｖｅｒ）』についての記述がある。このトランシーバは、信号伝送に使用されるラインの各種の障害状態を検出し、可能であれば障害のないラインを使用して、引き続きそれらのラインを介して信号が伝送されることを可能にする。
【０００７】
このデータ・シートの図６は、このコンポーネントの応用を例示している。それにおいては、ＣＡＮトランシーバが、集積化ＣＡＮモジュールを伴ったマイクロプロセッサによって制御される。この構成は、ライン・システム内に障害もしくは干渉がある場合においてもなお、多くの場合に信号伝送が可能になるという利点を有する。しかしながら、これにはマイクロプロセッサのソフトウエア内における障害からの保護がまったく提供されていない。たとえば、マイクロプロセッサにアプリケーション・サービスのパフォーマンスによって負荷が与えられるか過負荷になり、その結果、それ以降はバス信号に対する応答が不可能となった場合に、その後のバスを介した通信が可能でなくなる。
【０００８】
全体のバス・システムの伝送が擾乱される障害の効果は、はるかに深刻である。これはたとえば、標準に適合しない連続データ・ストリームがバスへ出力されるといった障害の場合である。この種類のデータ・ストリームは、たとえば、ＣＡＮトランシーバを制御するマイクロプロセッサの誤った振る舞いによって生じることがある。その種のデータ・ストリームによってバスがブロックされた場合に、ほかのサブスクライバは、それ以降の互いの通信ができなくなる。最初に述べたマイクロプロセッサの過負荷による障害の場合は、このマイクロプロセッサを含むバス・サブスクライバに対して排他的に影響が及ぶが、２番目に述べた障害の場合には、全体のバス・システムをブロックし、システムの本質的な動作の故障を招く可能性がある。この種の状態は許容できるものでなく、特に、安全が決定的な、たとえば自動車での応用においては許容できない。
【０００９】
この種の障害を許容可能なレベルまで減らすためには、マイクロプロセッサの全ソフトウエアの網羅的な（テストの）実行が必要である。このテストにおいては、バスを経由する通信に関係する動作だけでなく、すべての動作のテストが必要になる。これは、原理的にマイクロプロセッサ内の各コードがバスのハードウエア動作へのアクセスを有すること、あるいはマイクロプロセッサの過負荷に起因してバスの動作制御の障害を少なくとも導き得ることから必要となる。特に、複数の異なるノードを有する複雑なネットワークにおいては、すべてのノードの、考えられるすべての状態をテストの中で考慮に入れなければならなくなることから、それによって、ほとんど解決できない問題がもたらされる結果となる。実際上は、これが単純化した仮定を基礎とするテストの実行を導いている。それにもかかわらず、テストのための多くの支出ならびに満足し得ない結果が残る。
【００１０】
非特許文献２には、集積化ＣＡＮインターフェイスを伴う代表的なマイクロコントローラの一例が述べられている。これは、独立にデータの送受を行うことのできる内蔵ＣＡＮモジュールを包含する。このデータ・シートの表７から明らかになるとおり、ＣＡＮモジュールは、マイクロコントローラの線形アドレス空間上に直接イメージされる。その結果、コードの任意のエレメントに、意図的もしくは非意図的なこのコードへのアクセスが許される。たとえば間接アドレッシングにおける演算内のエラーは、特に決定的となる。この場合にＣＡＮモジュールが線形アドレス空間内にロケートされることから、その種のアドレッシング・エラーが全体のバスの擾乱を導くことがあり得る。たとえばバス・タイミングが非意図的に改変された場合に、正しくないレートのデータの供給が全バス・システムの通信のブレークダウンをもたらすこともある。
【００１１】
可能性のある別の障害は、たとえば、このネットワークインターフェイスを含むサブスクライバのリセットが、アプリケーションのエラーに起因してトリガされ、あるいはユーザによってトリガされる場合である。その場合においては、そのサブスクライバがネットワーク結合から脱落し、ネットワーク内への再同期が行われなければならない。特に、リング・アーキテクチャを伴うネットワークの場合においては、これがオペレーションのブート・アップから新しい同期までの時間にわたって伝送の障害を導くことがある。この種のオペレーションは、しばしば数秒から数分に及ぶため、たとえば自動車に使用されているような完全なネットワークの障害は許容できるものでない。この開始オペレーションが、サブスクライバ内における障害に起因して可能でなくなった場合には、これが結果としてネットワークの恒久的な欠陥もしくは完全な障害をもたらすことがある。
【００１２】
ＣＡＮバスの例について述べた上記の問題は、当然のことながら、ほかの周知のバス・システムにおいても生じる。イーサネット（Ｅｔｈｅｒｎｅｔ）についての一例が、非特許文献３に掲載されている。そこには、組み込みＰＣＩバス・インターフェースによってマイクロプロセッサの線形アドレス空間内へ直接イメージされるネットワークインターフェイス・コントローラについての記述がある。
【００１３】
特許文献１は、マイクロプロセッサがシステム・バスを介して直接アクセスすることのできるネットワークインターフェイス・コントローラについて述べている。これにおいても、ＣＡＮインターフェイスについて前述した問題と同じ問題が生じる。
【００１４】
コンピュータ・システムの信頼性を根本的に向上させるアプローチにおいて、特定のオペレーティング・システムには、オペレーティング・システムのコアの本質的な部分のためのいわゆる『保護モード』が備えられている。このソリューションがコンピュータ・システムの全ハードウエアのためのドライバを含んでいることから、このオペレーティング・システムのコアは大きく、したがって障害を受けやすい。このコア内において、たとえばソフトウエア内の障害あるいはいずれかのハードウェア・コンポーネント内の障害に起因して障害が生じると、それによってネットワークインターフェイスへのサービス提供がなくなることがある。これもまた、前述したネットワークによって相互接続されている全システムの擾乱を招き得る。さらに、これらのオペレーティング・システムにおいては、保護モードで実行される部分と、主として単純なプログラミング・インターフェースに関し、かつあまり安全と関係のない残りの部分の間の分割が行われる。たとえば、ＰＣの従来的なネットワーク・リンクについては、そのハードウエアのためのドライバだけが保護モードで保護されており、そのほかのＴＣＰ  ＩＰスタック等といった本質的な機能が従来的な方法でオペレーティング・システム内に実装されている。
【非特許文献１】Ｅ６２インフィネオン・テクノロジーズＡＧ（Ｉｎｆｉｎｅｏｎ  Ｔｅｃｈｎｏｌｏｇｉｅｓ  ＡＧ）（ミュンヘン）のデータ・シートＴＬ６２５４‐２Ｇ（２００２年４月３０日発行）
【非特許文献２】インフィネオン・テクノロジーズＡＧ（Ｉｎｆｉｎｅｏｎ  Ｔｅｃｈｎｏｌｏｇｉｅｓ  ＡＧ）（ミュンヘン）のデータ・シート『Ｃ１６７ＣＲ，Ｃ１６７ＳＲ  １６ビット・シングル‐チップ・マイクロコントローラ（Ｃ１６７ＣＲ，Ｃ１６７ＳＲ  １６‐ｂｉｔ  Ｓｉｎｇｌｅ‐Ｃｈｉｐ  Ｍｉｃｒｏｃｏｎｔｒｏｌｌｅｒ）』（２００１年７月発行）
【非特許文献３】ナショナル・セミコンダクタ・コーポレーション（Ｎａｔｉｏｎａｌ  Ｓｅｍｉｃｏｎｄｕｃｔｏｒ  Ｃｏｒｐｏｒａｔｉｏｎ）のデータ・シート『ＤＰ８３８２０  １０／１００／１００  ＭＢ／秒ＰＣＩイーサネット・ネットワークインターフェイス・コントローラ（ＤＰ８３８２０  １０／１００／１００  ＭＢ／ｓ  ＰＣＩ  Ｅｔｈｅｒｎｅｔ  Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃｏｎｔｒｏｌｌｅｒ）』（２００１年２月発行）
【特許文献１】米国特許第６，４５７，０５６Ｂ１号
【発明の開示】
【発明が解決しようとする課題】
【００１５】
本発明は、ネットワークならびに関連するネットワークインターフェイスを、伝送における高いレベルの安全性、およびバス・システムの擾乱に対する高いレベルの不感性が全体として、テストの支出を最小限にして達成されるような方法で設計するという問題を基礎とする。
【課題を解決するための手段】
【００１６】
この問題に対する発明性のある解決策は、特許請求の範囲の独立請求項に定義されている。本発明の発展は、従属請求項の内容である。
【００１７】
本発明に従ったネットワークインターフェイスは、ネットワークインターフェイスの最低限の機能性を確保するのに必要なコンポーネントを囲い込む、機能的にカプセル化ユニット（４）を包含している。このカプセル化ユニットの外部からのアクセスが、特定の、動作可能とされるサービス（８ａ，８ｂ）を通じてのみ可能である。ほかのサービスを経由したアクセス、あるいはネットワークインターフェイスのハードウエアに対する直接的なアクセスでさえも可能ではない。
【００１８】
このアクセス制限があることから、発明性のあるネットワークインターフェイスからなるバス・システムの安定性は、そのネットワークインターフェイスのカプセル化されたコンポーネントによって排他的に決定される。したがって、カプセル化ユニット内においてハードウエアもしくはソフトウエアを開発し、テストすることが可能になる。テストの複雑性は、アプリケーションの層等といった、より高次の層の効果を考慮する必要がなくなることから、あるいは条件付きでのみ考慮すればよいことから従来技術の場合より低い。カプセル化に起因して、それらが従属層に直接アクセスできなくなり、したがってネットワークの通信に悪影響を及ぼすことが不可能になる。前述の従来技術の考察の中で説明した例に対応するアプリケーションにおいては、ネットワークのデータ・レートを制御するためのレジスタに対する直接アクセスが全体のネットワークの動作を危険にさらすことから、間違いなくこのレジスタは、本発明に従ってカプセル化されるゾーン内にロケートされることになる。
【００１９】
さらに、カプセル化ユニットは、それ自体が独立に動作することが可能であり、したがって接続された機器とのインタラクションを伴うことなく必要とされるネットワーク動作を維持することができる。
【００２０】
カプセル化は、たとえば、適切なハードウエアによって達成することが可能である。一例としてこれを、層１（物理層）のコンポーネント、および層２（データ・リンク）のコンポーネントを含む集積化ネットワークインターフェイス・コントローラとすることができ、外部マイクロコントローラを用いて外部から層２のサービスのインスタンスに対して排他的にアクセスすることが可能になる。当然のことながら層７までのほかの任意の層を層２の代わりに立てることもできる。
【００２１】
同様に、たとえばマイクロコントローラ内においてカプセル化を達成することも可能であり、それにおいては、ネットワークインターフェイス・コントローラが『保護モード』によってアドレス空間上にイメージされる。この本発明に従った保護モードは、従来技術から公知となる、概してオペレーティング・システムの主要部分、特にすべてのハードウエア・ドライバを含む保護モードと混同されるべきでない。本発明に従った保護モードは、排他的にネットワークに関係する；好ましくはそれが、そのほかのコンポーネント、特にハードウエア・ドライバを含まない。この場合、ネットワークインターフェイス・コントローラに対するアクセスは、保護モードにおいてのみ可能である。そのため、このカプセル化内の層のインスタンスは、この保護モードで具体化される。コードの残りの部分からのネットワークインターフェイス・コントローラに対するアクセスは可能でない。ここでは用語『カプセル化』が、ネットワークインターフェイスのリアルタイム・サービングのためのリソースの提供もカバーする。このことはまた、対応する割り込みもまたこの保護モードにおいてなされること、あるいは保護モードを実行するために適切なタイム・スライスが利用可能であることを意味する。
【００２２】
基本的に、本質的な、リアルタイムという意味で決定的な動作、すなわちデータの受信、データが正しいことのチェック、ハンド‐シェーク手続き、あるいはまた誤りの場合の繰り返しのための要求等は、カプセル化の中で実行される。リアルタイム能力を保護することによって、実質的により高いスループットの達成が可能になる。したがって、たとえば、すでにこれらの機能を集積化した集積化ネットワークインターフェイス・コントローラは、完全に正しく受信された大きなデータ・パッケージを、高速インターフェイスを介して接続されたホスト・コントローラへ渡すこと、あるいは伝送のためのその種のパッケージを受信することが可能である。
【００２３】
カプセル化は、それ自体、それぞれの要件に適合する形式を有することができる。たとえば、ハードウエアならびにソフトウエアの、ネットワークインターフェイスの機能を維持するために必要とされるコンポーネントは、カプセル化ユニット内に都合よく囲い込まれる。このことは、たとえば、全体のハードウエア（ＯＳＩ層１）、および層２、３、４の部品、可能性としては層７に至るまでの部品もまた囲い込まれることを意味しているとしてもよい。しかしながら、これらの層のほかの部品は、それぞれのアプリケーションに従ってカプセル化の外にロケートすることもできる。
【００２４】
本発明の特に好適な実施例においては、カプセル化が、Ｎ≧Ｍとして、より低いＯＳＩ層Ｍからより高いＯＳＩ層Ｎのサブセットまで広がる。これにおいて、より低い層は、データ伝送に必要とされる最も低い層である。
【００２５】
上位の層Ｍは、層Ｎと同一とすることもできるが、好ましくは層Ｎより高くする。したがって、カプセル化は、少なくとも１つの、好ましくは複数の層を包含する。カプセル化ユニットの外側からのアクセスは、最上位層Ｎのサービスのインスタンスを通じてのみ可能とされる。
【００２６】
本発明の別の有利な実施例においては、層１（物理層）が提供される場合に、カプセル化がこの層Ｍ＝１を伴って開始し、より上位の層Ｎ≧２のあらかじめ決定されたサブセットまで広がる。層１ならびに２、およびさらに上の随意の層の組み合わせは、ほかの層との組み合わせを伴ってのみ、充分に安全なデータ通信が可能になることから特に好都合である。
【００２７】
本発明の別の実施例は、同期ストリームの伝送に関する。これらは、たとえば様々なサブスクライバの間においてマルチメディア・データを伝送するために使用される。これらの同期ストリームの管理は、リアルタイムに敏感であり、ネットワーク・トラフィックの特定の取り扱いを必要とする。特に少なくとも論理リング・ネットワークの場合においては、伝送されるべきデータ量に関して、あるいはリアルタイム能力に関して必要とする要求が比較的低いアプリケーションを伴うネットワークノードもまたこれらのストリームを伝送し、かつ、それらの正しいルーティングを確保しなければならないことから各ネットワークノードにおいて最大の要求が行われる。望ましくない擾乱からの特別な保護をここで達成するために、それらをカプセル化ユニット内に囲い込む。
【００２８】
本発明の別の実施例は、カプセル化ユニット内における追加の監視ならびに制御機能の提供を包含する。この種の機能は、一方において、誤った呼び出し、または誤ったパラメータによる干渉を回避するために、より高次の層とのインターフェイスの監視を可能にする。他方においては、これらの監視ならびに制御機能は、カプセル化ユニット内のインスタンスの制御を可能にする。たとえば、物理ネットワーク接続の監視を行うことが可能である。それに加えて、より高次のインスタンスの機能もまた制御される。たとえば、より高次のインスタンスにおいて機能の障害を検出することが可能であり、その結果として、ネットワーク機能の非常動作のための動作モードをアクティブ化することができる。
【００２９】
より高次のインスタンスの動作の監視は、たとえばウォッチドッグ・タイマによってもたらされるようにしてもよい。正常動作においては、このタイマが正規のアクションまたは、より高次のインスタンスからの呼び出しによってトリガされる。このタイマが、より高次のインスタンス内における動作の障害に起因してトリガ信号を受信しなくなると、所定の期間の後にネットワーク動作に関する非常モードをアクティブ化する。より高次のインスタンスの動作が再び有効になるとすぐに、それらがウォッチドッグ・タイマを再トリガし、それに応答して今度はそれが非常動作を非アクティブ化する。
【００３０】
本発明の別の実施例によれば、あらかじめ決定された基本機能を保護するために、更に監視および制御機能が設計される。この基本機能は、カプセル化ユニットに接続されるか、または該ユニットと通信するハードウェアまたはソフトウェアコンポーネントが、仮令適正な動作機能を持たなくとも、または適正に動作しなくとも、ネットワークインターフェイスまたはそれと接続されているデバイスの機能診断を可能にする。同様に、これによってたとえばバス・システムの選択的な起動または終了が可能になる。
【００３１】
本発明のさらに別の実施例においては、カプセル化ユニット内においてパッケージを中継するための機能が、好ましくは少なくとも１つの論理リング構造を有するネットワーク内のアプリケーションのために設計される。これによって、マイクロコントローラの不良もしくは過負荷の場合であっても、あるいはマイクロコントローラがほかのタイプの誤動作を呈している場合であってもデータ・パッケージを伝えることが可能になる。ネットワークの機能は、リング内においてノードが受信したデータ・パッケージをリレーすることがまだ可能であることから、個別のノードにおける干渉によって損なわれない。
【００３２】
本発明のさらに別の実施例は、カプセル化ユニット内に１つの機能を提供し、その機能に援助されてカプセル化ユニット内のコンポーネントもしくは機能のリセットが可能になる。このリセットは、ネットワークを介して伝送されるコマンドによってトリガされる。その結果、ネットワーク・コンポーネントを定義済みの初期状態へ復帰させることができる。
【００３３】
本発明のさらに別の実施例においては、カプセル化ユニットが、リセットを外部コンポーネントに対して送信するための追加の手段を包含する。送信は、随意的にハードウエアにより、たとえば送信・ラインによって、あるいはソフトウエアにより、たとえばフラグ、メッセージ等によってもたらすことができる。原理的に、種々のステージにもリセットを提供することができる。たとえば、接続された機器の特定の部分のリセットはソフトウエアによって送信できるが、重大な干渉の場合にはハードウエア・ラインを介して完全なリセットを送信する。この場合においても、たとえばネットワークを介して伝えられるコマンドによってリセットをトリガすることができる。
【００３４】
本発明の別の実施例においては、カプセル化ユニット、もしくはネットワーク・トラフィックの機能、あるいは個別のノードの機能を随意的に監視するための追加の監視手段が提供される。この種の監視デバイスは、ノードのカプセル化ユニット内に好都合に提供されるが、複数のノード内に提供することもできる。データ・トラフィックもしくは個別のノードの振る舞いが不完全なとき、この追加の監視手段が、個別のノード、もしくはそれに接続されたデバイス、あるいはネットワークに接続された全体のシステムさえもリセットするためのコマンドを随意的に送出する。検出された障害、もしくは検出された誤動作に従ってカプセル化ユニットが、それ自体をリセットすることもできる。随意的に、そのアクションに関するエラー・メッセージもしくはレポートがメモリー内に保存され、あるいはネットワーク内の１ないしは複数のノードへ伝えられる。適切なソフトウエアもしくはウォッチドッグ・タイマもまた監視に使用することができる。
【００３５】
本発明の別の実施例は、カプセル化ユニットの外側のコンポーネントを監視するための手段を提供する。たとえばネットワークインターフェイスを経由してアプリケーションの動作を監視することができる。ネットワークインターフェイスがリアルタイム・パフォーマンスの可能な安全な動作を確実にすることから、このネットワークインターフェイスから動作が正しいこと、あるいは応答時間に課せられる要件等の特定の要件に従っていることのチェックも可能である。要件に従っていないときは、この状態を関連するコンポーネント（ハードウエアまたはソフトウエア）へ知らせることができる。これにより、故障許容動作に加えて、特に容易なデバッギングが可能になる。同様に、ほかのネットワークノードあるいは中央監視ユニットへこれを知らせることもできる。随意的に、誤動作しているコンポーネントのリセットがもたらされるようにしてもよい。その場合においては、全体の機器のリセットを行う必要はない；それよりはむしろ、実際に誤動作しているコンポーネントだけをリセットすれば充分であることも少なくない。その種のリセットは、障害または影響を受けたコンポーネントに応じて複数のステージで実行されることもある。
【００３６】
本発明の別の好都合な実施例においては、カプセル化ユニットが、機器内のコンポーネントとして統合される。これにおいてカプセル化ユニットの、基本機能を維持するために必要なハードウェア・コンポーネントには、随意的に、残りの機器の電源から独立している別体の電源が備えられる。したがってリング・バスの場合であれば、たとえば、機器のスイッチがオフのときであっても、少なくとも層１および２のサブセットを包含するカプセル化ユニットが独自の電源を有することから、したがって残りの機器から独立して動作できることから、パッケージを伝えることが可能になる。
【００３７】
本発明のさらに別の好都合な実施例においては、データ伝送のために光学バスが採用される。この場合にはカプセル化ユニットが、光学コンポーネントを備え、光学的送信機に対する排他的制御を作用させるように設計される。これにおいては光学出力信号の制御だけでなく、単独で光学的送信機のアクティブ化もカプセル化ユニットを介してもたらされる。したがって、たとえば動作の合間にトランスミッタを、エネルギを節約するためにスイッチ・オフするといったことが可能になる。別途の制御回路によってトランスミッタのアクティブ化もしくは非アクティブ化が行われることになる場合には、たとえばリング・バスのケースであれば、パッケージの中継を保護することが可能でなくなる。
【００３８】
本発明のさらに別の好都合な実施例においては、カプセル化ユニットがメッセージ制御インターフェイスを包含する。このメッセージによる制御は、これまで従来技術のネットワークインターフェイス・コントローラに用いられていたレジスタによる制御より、実質的に堅牢かつ信頼性があるメカニズムを構成する。それに加えて、この種の送信は、最近のオペレーティング・システムのメカニズムと一貫性がある。
【００３９】
本発明の別の有利な実施例においては、カプセル化ユニットがオブジェクト指向インターフェイスを包含する。本発明によれば、動作可能とされるオブジェクトに対してのみアクセスが可能になる。この種のオブジェクト指向インターフェイスにおいては、ネットワークインターフェイス自体さえも機能オブジェクトとして表すことができる。
【００４０】
本発明のさらに別の有利な実施例においては、ネットワークを介してネットワークインターフェイス・コントローラもしくはその部品を新しく構成し、もしくはプログラムすることができる。したがって、随意的に、新しい動作パラメータをはじめ、ファームウェアまたはソフトウエアのコードを、ネットワークを介してダウンロードし、それらをたとえば再書き込み可能メモリー（フラッシュＰＲＯＭ）内に保存することが可能になる。随意的に、このオペレーションが、ブロードキャストを介して複数のノードの同時プログラミングのために行われるようにしてもよい。
【００４１】
本発明に従ったネットワークノードは、ネットワーク・コントローラを包含し、それが、ネットワークインターフェイスの最小限の機能を確保するために必要とされるすべてのコンポーネントを包含する機能的にカプセル化ユニットを含んでいる。これにより、カプセル化ユニットの外側からのアクセスが、特定の動作可能とされるサービス（８ａ、８ｂ）通じてのみ可能とされる。ネットワークノードには、ネットワーク・コントローラに加えて、ＰＣ、ラジオ、モニタ、ＤＶＤプ層等のハードウエアならびにソフトウエアの任意の所望のアプリケーションを含めることができ、電動ウインドウもしくは照明デバイス等といった単純なコンポーネントの制御だけであってもよい。
【００４２】
本発明によれば、少なくとも２つのノードを接続するためのネットワークが、機能的にカプセル化ユニットを伴う少なくとも１つのノードを包含する。この機能的にカプセル化ユニットは、ネットワークインターフェイスの最小限の機能を確保するために必要とされるすべてのコンポーネントを包含しており、当該カプセル化ユニットの外側からのアクセスは、特定の動作可能とされるサービス（８ａ、８ｂ）通じてのみ可能とされる。
【００４３】
複数のノードの間の確実な接続のためのネットワークを作成するための本発明に従った方法は、複数のノードを接続してネットワークを構成すること、および少なくとも１つのノードのネットワークインターフェイスのカプセル化ユニットを、ネットワークインターフェイスの最小限の機能を確保するために必要とされるすべてのコンポーネントが包含されるように、かつ当該カプセル化ユニットの外側からのアクセスが、特定の動作可能とされるサービス（８ａ、８ｂ）通じてのみ可能とされるように行うことを包含する。信頼性のあるネットワークを作成するために、この方法の最初の２つのステップの連続を相互に交換することも可能である。
【００４４】
以下においては、全般的な発明の概念を限定することなく、図面の参照を伴う実施例を補助として例を用いて本発明を説明する。
【発明を実施するための最良の形態】
【００４５】
図１は、本発明に従ったデバイスを略図形式で示している。バス・ノード（１ａ）は、ほかのバス・ノードとの通信のための接続（２ａ、２ｂ）を包含する。この通信は、たとえば、光学リンクを介して、また電気リンクを介して、あるいは、たとえば無線リンクによってもたらすことができる。同様に、例示されている２つの単方向リンクに代わる双方向リンクもまた企図に含まれている。
【００４６】
さらにバス・ノードは、カプセル化ユニット（４）およびアプリケーション（３）を包含している。これにおいてアプリケーションは、バス・ノードの複数の異なる機能を表す。この総称的な用語『アプリケーション』は、アプリケーション・層のそれぞれのＯＳＩ層に加えて従属層も含むことができるが、カプセル化ユニットに提供される層よりランクが高い。たとえばアプリケーションは、これにおいて使用する意味において、カー・ラジオ、アンプ、通信システム、ブレーキ・システム等とすることができる。
【００４７】
カプセル化ユニット（４）は物理層（５）を包含し、それがほかのバス・ノードに対する物理的なリンクのための通信ハードウエアを含む。さらにこのカプセル化ユニットは、好ましくはより高次の層からなる、より高次のエレメント（６）を含む。これらの層は、たとえばＯＳＩ層２もしくは３から生じるものとすることができる。それらには、たとえばデータ・レートのマネジメント、誤り検出、フロー調整等を含めることができる。より高次のエレメント（６）と物理層（５）のエレメントの通信は、内部通信パス（７ａ、７ｂ）を介して行われる。アプリケーション（３）とカプセル化ユニット（４）の通信は、特定のインターフェイスを経由する外部通信パス（８ａ、８ｂ）通じてのみ可能とされる。しかしながら、たとえば物理層との直接通信は可能でない。
【００４８】
カプセル化ユニット（４）の実際的な具体化は、たとえば、ほかのノードとの通信のための外向きリンク（２ａ、１ｃ）を有し、さらにアプリケーションへのリンク（８ａ、８ｂ）も有する自給式ネットワークインターフェイス・コントローラからなる。
【００４９】
図２は、本発明の特に複雑な実施例を略図的に示している。これにおいては、まず、図１と同一のコンポーネントが存在し、それらは対応する参照番号を有している。さらに、追加の、より高次のカプセル化（１０）が提供されている。これには、カプセル化ユニット（４）、およびその上位にランクされる追加の、より高次の層（９）が含まれる。このより高次の層（９）は、通信パス（１１、１１ｂ）によってカプセル化ユニット（４）と通信する。階層的カプセル化は、障害に対する信頼性ならびにセキュリティの増加を結果としてもたらす。したがって、たとえば、内側のカプセル化ユニット（４）を別体のハードウエアとして形成し、より高次のカプセル化を、たとえばアプリケーションへのサービスも行うマイクロコントローラ内の保護モードとして形成することができる。しかしながら、カプセル化ユニット（４）も同様にソフトウエアによって、たとえば共通マイクロコントローラ内の保護モードによって構成することもできる。
【００５０】
追加の手段の例示のために電源（１２）が備えられており、これは、たとえばこの機器の残りの部分に対する電源に障害があった場合に電源の供給を継続し、それによってネットワークの機能を維持する。この電源は、たとえば、ネットワークインターフェイスをスタンバイ・モードへ切り替えるために、より高次のカプセル化のコンポーネントによって制御されるようにできる。それらの定義に従えば、このカプセル化の外側のエレメントは、この電源へのアクセスを有していない。このほかにも保護手段（１３）が、より高次のカプセル化内のアクティビティを、たとえばウォッチドッグ・タイマと類似の態様で監視するために備えられている。
【００５１】
図３は、複数のノードの接続をリング・バスの形式で示している。個別のノード（１ａ、１ｂ、１ｃ）は、全体としてリングを形成するように接続されるリンク（２ａ、２ｂ、２ｃ）を介して通信する。たとえば第１のノード（１ａ）は、第１のリンク（２ａ）を介して第２のノード（１ｂ）へ情報を伝送することができる。後者は、第２のリンク（２ｂ）を介して情報を第３のノード（１ｃ）へ伝送することができる。この円は、第３のノードと第１のノードの間の第３のリンク（２ｃ）によって閉じられる。たとえばここで、第２のノード（１ｂ）が、そのアプリケーションによって、第１のノードからのデータ・パッケージを第３のノードへ中継できない程度まで過負荷となったとすると、第１のノードと第３のノードの間の論理接続もまた中断される。ネットワークインターフェイス内における本発明に従ったカプセル化によって、このような場合であっても第２のノードは、第１のノードから第３のノードへ、データ・パッケージを中継できる立場にとどまる。したがって、アプリケーションによる第２のノードの過負荷は、バス上のデータの伝送に影響をまったく及ぼさない。
【図面の簡単な説明】
【００５２】
【図１】本発明に従ったデバイスを一般的な形式で示した概略図である。
【図２】本発明の特に複雑な実施例を示した概略図である。
【図３】リング・バスの例について本発明を説明するための説明図である。
【符号の説明】
【００５３】
１ａ、１ｂ、１ｃ  バス・ノード
２ａ、２ｂ、２ｃ  ほかのノードへのリンク
３  アプリケーション
４  カプセル化ユニット
５  物理層
６  カプセル化ユニット内のより高次のエレメント
７ａ、７ｂ  カプセル化内の通信パス
８ａ、８ｂ  カプセル化とアプリケーションの間の外部通信パス
９  より高次のカプセル化内のより高次のエレメント
１０  より高次のカプセル化
１１ａ、１１ｂ  より高次のカプセル化内の通信パス
１２  電源
１３  セキュリティ手段
【図１】
0004531565.tif 000002
【図２】
0004531565.tif 000003
【図３】
0004531565.tif 000004