DE19880227C2 - Schutzvorrichtung für Fehlererkennungs-Anschlüsse in verzweigten Computernetzen - Google Patents

Description

Die vorliegende Erfindung bezieht sich auf eine Schutzvor­ richtung für Fehlererkennungs-Anschlüsse in verzweigten, vor­ zugsweise in Fahrzeugen eingerichteten Computernetzen, wobei der Fehlererkennungs-Anschluß einen direkten Zugang zu Daten­ übermittlungsbussen ermöglicht, die Informationen zwischen verteilten Knoten in dem Computernetzwerk während dessen Be­ trieb übertragen.

HINTERGRUND DER ERFINDUNG

Heutzutage sind Fahrzeuge häufiger mit verzweigten Computer­ netzen mit zahlreichen Knoten ausgestattet, die verschiedene Funktionen in dem Fahrzeug überwachen, und in denen eine Da­ tenübermittlung zwischen allen Knoten durch das Verwenden ei­ nes gemeinsamen Datenübermittlungsbusses erzielt wird. Die Datenübermittlung erfolgt vorzugsweise in digitaler Form, wo­ bei Nachrichten seriell über den Datenübermittlungsbus über­ tragen werden. Jede Nachricht enthält eine Adresse, die auch als Kennung (identifier) bezeichnet wird, und Daten, die zu jedem jeweiligen Knoten bzw. den Knoten mit der festzugeord­ neten Adresse übermittelt werden. Die Adresse könnte bei ei­ nigen Arten von allgemeinen Nachrichten fehlen. Verfolgt man das Ziel, eine Routine der Fehlererkennung bei wesentlichen Funktionen durchzuführen und in den Knoten gespeicherte Feh­ lernachrichten zu erfassen, so bedarf es einer Möglichkeit, ein externes Fehlererkennungsgerät an das in dem Fahrzeug an­ geordnete System anzuschließen. Das Fehlererkennungsgerät könnte diesbezüglich eine Schnittstelle mit einem Kommunika­ tionsprotokoll umfassen, das mit dem Datenübermittlungsbus kompatibel ist, wodurch die Übertragung und der Empfang von Nachrichten über den in dem Fahrzeug angeordneten Datenüber­ mittlungsbus ermöglicht wird. Um eine gründliche Fehlersuche zu ermöglichen, könnte eine Aktivierung von Knotenfunktionen unter Verwendung des Datenübermittlungsbusses notwendig sein.

Um das Fehlererkennungsgerät mit dem Datenübermittlungsbus verbinden zu können, wird ein Fehlererkennungs-Anschluß in dem Fahrzeug benötigt, wobei der Anschluß mindestens zu dem Datenübermittlungsbus und vorzugsweise auch zu einem anderen System in dem Fahrzeug eine Verbindung herstellt. Der Feh­ lererkennungs-Anschluß wird gewöhnlich mit einem Vielfach­ stecker ausgeführt, wobei eine begrenzte Anzahl von Kontakt­ stiften des Vielfachsteckers mit dem Datenübermittlungsbus verbunden werden kann. Die verbleibenden Kontaktstifte werden zu Zwecken des Überwachens oder des Steuerns anderer Funktio­ nen in dem Fahrzeug verwendet, die nicht durch die mit dem Datenübermittlungsbus verbundenen Knoten gesteuert oder ver­ waltet werden.

Bei einigen Arten von Fahrzeugsystemen sind festzugeordnete Knoten eingesetzt worden, z. B. Durchlaßknoten, welche den Fehlererkennungs-Anschluß mit der Datenübermittlungseinrich­ tung verbinden. Diese Art von Durchlaßknoten umfassen häufig Funktionen, die Daten aus dem Fehlererkennungsgerät gemäß ei­ nem bestimmten Kommunikationsprotokoll, das von dem Fehlerer­ kennungsgerät verwendet wird, in ein Kommunikationsprotokoll des Datenübermittlungsbusses und andersherum umwandeln kön­ nen. Durch solche Durchlaßknoten handelt man sich häufig ei­ nige Einschränkungen bezüglich der Form oder der Art der zwi­ schen dem Fehlererkennungsgerät und den in dem Fahrzeug an­ geordneten Knoten zu übermittelnden Daten ein.

Um diese teuren Durchlaßknoten zu vermeiden, könnte das Feh­ lererkennungsgerät stattdessen direkt mit dem Datenübermitt­ lungsbus in dem Fahrzeug verbünden werden. Mit dem Ziel, das Einbringen von Störungen in den Datenübermittlungsbus zu ver­ ringern, ist vorgeschlagen worden, einen festzugeordneten Kontaktstift in dem Vielfachstift-Stecker als Aktivator zu verwenden, der wahlweise den direkten Zugang zu dem Daten­ übermittlungsbus unterbrechen kann. Dadurch wird ein Anstei­ gen der Zahl der Kontaktstifte in dem Fehlererkennungsgerät notwendig, was zu einem Ansteigen der Kosten und einer zu­ sätzlichen möglichen Fehlerquelle führt.

Aus der US 4 748 843 A1 ist ein Fehlererkennungsgerät be­ kannt, welches über einen Kontaktstift-Anschluß, der zwei Gruppen von zueinander kompatiblen Stiften besitzt, mit dem Datenübermittlungsbus eines Fahrzeuges verbunden ist. An den Datenübermittlungsbus sind mehrere Computerknoten angeschlos­ sen.

Aus der DE 196 11 944 A1 ist eine Schaltung zur Kopplung ei­ nes Fehlererkennungsgerätes mit dem Datenübermittlungsbus ei­ nes Fahrzeuges bekannt. Die Schaltung umfaßt einen Eingang zum Empfang eines Wecksignales, um einen Mikrokontroller zwi­ schen einem Zustand hoher Leistungsaufnahme und einem Zustand geringer Leistungsaufnahme zu schalten. Auch die einzelnen, an den Datenübermittlungsbus angeschlossenen Geräte können zwischen einem Zustand hoher Leistungsaufnahme und einem Zu­ stand geringer Leistungsaufnahme geschaltet werden.

Aus der DE 195 37 074 A1 ist die Steuerung des Zugangs eines Fehlererkennungsgeräts zu den zu diagnostizierenden Einheiten bei der Fahrzeugdiagnose mittels Codeüberprüfung bekannt.

ZUSAMMENFASSUNG DER ERFINDUNG

Aufgabe der Erfindung ist es, den Kurzschluß des Datenüber­ mittlungsbusses, der in verzweigten Computernetzen verwendet wird, zu verhindern im Falle, daß ein mit dem Datenübermitt­ lungsbus verbundener Fehlererkennungs-Anschluß kurzgeschlos­ sen ist. Die Erfindung sollte außerdem ein Fehlanlegen von Spannungen und andere Störungen des Datenübermittlungsbusses über den Fehlererkennungs-Anschluß verhindern. Kurzschließen, falsche Spannungen oder andere dem Datenübermittlungsbus zu­ geführte Störungen könnten beim Betrieb des Fahrzeugs dazu führen, daß wesentliche Funktionen aufhören zu arbeiten, was beispielsweise dazu führen könnte, daß der Motor ausgeschal­ tet wird.

KURZE BESCHREIBUNG DER ERFINDUNG

Die erfindungsgemäße Schutzvorrichtung zeichnet sich durch die Merkmale des Anspruchs 1 aus.

Durch die Schutzvorrichtung konnte auch ein ver­ besserter Schutz gegen unbefugten Zugang über den Fehlerer­ kennungs-Anschluß zu dem Datenübermittlungsbus erzielt wer­ den, und gleichzeitig beinhaltet die Erfindung die Möglich­ keit, die Anzahl der Kontaktstifte in dem Fehlererkennungs- Anschluß zu verringern, was die Zuverlässigkeit des verzweig­ ten Computernetzes verbessert und mögliche Quellen von Feh­ lern beim Betrieb des Computernetzes oder während des Beginns einer Fehlererkennungsroutine reduziert.

Weitere Eigenschaften und Vorteile der Erfin­ dung sind aus dem kennzeichnenden Teil abhängiger Ansprüche und der folgenden Beschreibung bevorzugter Ausführungsformen ersichtlich. Die Beschreibung der Ausführungsformen wird un­ ter Bezug auf Figuren gegeben, die in der folgenden Liste von Figuren angeführt sind.

LISTE DER FIGUREN

Fig. 1 zeigt schematisch ein verzweigtes Computernetz und ein externes Fehlererkennungsgerät, das über einen Fehlererken­ nungs-Anschluß mit dem Computernetz verbunden werden kann;

Fig. 2 entspricht Fig. 1, wobei das Fehlererkennungsgerät mit dem Datenübermittlungsbus in dem Computernetz verbunden ist;

Fig. 3 zeigt eine erste Ausführungsform von Schaltkreisen, mit denen ein direkter Zugang zu dem Datenübermittlungsbus erzielt werden kann;

Fig. 4 zeigt eine zweite Ausführungsform von Schaltkreisen, mit denen ein direkter Zugang zu dem Datenübermittlungsbus erzielt werden kann;

Fig. 5 zeigt eine Ausführungsform, bei der die Spannungszu­ fuhr für das Fehlererkennungsgerät über den Fehlererkennungs- Anschluß erfolgt.

DETAILLIERTE BESCHREIBUNG BEVORZUGTER AUSFÜHRUNGSFORMEN

In Fig. 1 ist schematisch ein vorzugsweise in einem Fahrzeug eingerichtetes verzweigtes Computernetz 8 gezeigt, wobei das Computernetz eine Mehrzahl von Knoten 20a bis 20c umfaßt, die einen gemeinsamen Datenübermittlungsbus 10a, 10b zur Daten­ übermittlung verwenden.

Bei einem Einsatz in Kraftfahrzeugen könnten die Knoten einem Knoten für das Getriebe, einem Knoten für das Zündsystem, ei­ nem Knoten für das Kraftstoffsystem oder einem Knoten für das Bremssystem entsprechen, wobei letzteres vorzugsweise das ABS-System des Fahrzeugs ist (ABS = Antiblockiersystem für Bremsen).

Die Datenübermittlung über den Datenübermittlungsbus 10a, 10b erfolgt gemäß einem festgelegten Kommunikationsprotokoll se­ riell und in digitaler Form. Vorzugsweise wird ein CAN-Pro­ tokoll (CAN = Controller Area Network, Steuerbereichsnetz) verwendet, das dem Standard ISO 11898: 1993 entspricht, wobei das Protokoll eine Echtzeitsteuerung und eine Multiplexüber­ tragung unterstützt. Auch andere Kommunikationsprotokolle ähnlichen Typs könnten verwendet werden, so wie SAE J1850 oder andere mit ISO 11519 kompatible Protokolle.

In Fig. 1 ist ein Datenübermittlungsbus 10A, 10b gezeigt, der als differenzierte Zweifachleitung gemäß dem Standard ISO 11898: 1993 (siehe Abschnitt 10.5) ausgeführt ist. Diese Art von differenzierten Zweifachleitungen umfaßt zwischen den beiden Leitungen 10a, 10b einen Abschlußwiderstand. Differen­ zierte Zweifachleitungen werden verwendet, um die Empfind­ lichkeit gegenüber Rauschen/Störungen zu verringern. Im An­ fangszustand sind beide Leitungen in der differenzierten Zweifachleitung auf einen im wesentlichen gleichen Span­ nungspegel gesetzt, und beim Übergang in einen Grundzustand, der gewöhnlich eine logische "0" darstellt, wird das Potenti­ al einer Leitung erniedrigt, während das Potential der ande­ ren Leitung erhöht wird. Alle externen Störungen beeinträch­ tigen beide Leitungen in gleicher Weise und könnten daher nicht die augenblickliche logische Darstellung im Datenüber­ mittlungsbus beeinträchtigen. Es können Übertragungsraten bis hin zu einigen hundert KBit pro Sekunde verwendet werden, und die verwendete Übertragungsrate wird durch die Ansprecherfor­ dernisse des Systems vorgegeben.

Die Spannungszufuhr des Fahrzeugs kommt von einer Batterie 32, wobei die Batterie den Knoten die Spannung über den Zünd­ schalter 31 zuführt.

Um eine ordnungsgemäße Fehlererkennung des Computernetzes und seiner Knoten zu ermöglichen, steht ein Fehlererkennungs- Anschluß 3 mit einer ersten Gruppe von Kontaktstiften 3a, 3b zur Verfügung, die mit jeder Leitung in dem Datenübermitt­ lungsbus 10a, 10b verbunden werden können. Für die Fehlerer­ kennungsroutine wird ein externes Fehlererkennungsgerät benö­ tigt, d. h. eine Fehlererkennungseinheit 1 mit einem Fehlerer­ kennungs-Anschluß 2, der eine zweite Gruppe von Kontaktstif­ ten 2a, 2b umfaßt, die mit der ersten Gruppe von Kontaktstif­ ten kompatibel sind. Wenn der Fehlererkennungs-Anschluß 2 an­ geschlossen wird, werden die erste und zweite Gruppe der Kon­ taktstifte verbunden, d. h. 2a mit 3a und 2b mit 3b.

Das Fehlererkennungsgerät 1 könnte eine integrierte Span­ nungszufuhr 4 aufweisen, aber auch in gewöhnlicher Weise die Spannungszufuhr durch festzugeordnete Kontaktstifte in dem Fehlererkennungs-Anschluß 2 und dem Fehlererkennungs-Anschluß 3 erhalten, welche eine Verbindung zu der Spannungszufuhr 30 in dem Fahrzeug schafft, wie in Fig. 5 gezeigt.

Fehlererkennungs-Anschluß 2 und Datenstation 3 umfassen vor­ zugsweise eine Anzahl Kontaktstifte für eine Mehrzahl anderer Funktionen in dem Fahrzeug. In gewöhnlicher Weise wird eine Mehrzahl Kontaktstifte in ein und demselben/derselben An­ schluß/Datenstation zusammengefaßt, und es könnte bis hin zu 20 zusätzliche Kontaktstifte außer den Kontaktstiften für den Datenübermittlungsbus geben. In Fig. 1 sind jedoch nur die Kontaktstifte 2a, 2b und 3a, 3b für den Datenübermittlungs­ bus 10a, 10b gezeigt.

In Fig. 2 ist das verzweigte Computernetz 8 gezeigt, wobei das externe Fehlererkennungsgerät 1 vollständig angeschlossen ist, mit direktem Zugriff auf den Datenübermittlungsbus 10a, 10b in dem Computernetz 8. Gemäß der Erfindung werden durch ein Relais 13 gesteuerte Relaisschalter 14a, 14b einge­ setzt. Das Relais 13 wird durch einen Signalauswerteschalt­ kreis 12 gesteuert, wobei der Signalauswerteschaltkreis den Signalzustand auf mindestens einem der Kontaktstifte 3a oder 3b dem Fehlererkennungs-Anschluß 3 erfassen kann. Wenn ein vorbestimmter Signalzustand an dem Kontaktstift vorliegt, kann der Signalauswerteschaltkreis das Relais 13 aktivieren, um die Kontakte 14a, 14b zu schließen.

Der Signalauswerteschaltkreis 12 ist mit der Spannungsversor­ gung 30 verbunden, welche in gleicher Weise wie die Knoten angeschlossen ist, wenn der Zündschalter 31 geschlossen ist.

In Fig. 3 ist eine erste Ausführungsform der Grundanordnung eines Signalauswerteschaltkreises 12 und der Signalübertra­ gungsschaltkreise gezeigt, die in dem Fehlererkennungsgerät benötigt werden, um den Signalauswerteschaltkreis 12 zu steu­ ern, so daß das Relais 13 aktiviert werden kann und die Re­ laiskontakte 14a, 14b geschlossen werden können. Bei dieser Ausführungsform ist in das Fehlererkennungsgerät eine Schnittstelle 5 für den Datenübermittlungsbus integriert, wo­ bei die Schnittstelle ebenfalls die Fähigkeit hat, ein Relais 6 zu aktivieren oder irgendeine kompatible Schaltervorrich­ tung in Halbleiterbauart. Wenn das Relais 6 den Relaiskontakt 6a schließt, wird eine bestimmte Spannung an eine der Leitun­ gen angelegt, in Fig. 3 ist dies die Leitung 10b des Daten­ übermittlungsbusses. Das Relais kann vorzugsweise durch die Schnittstelle 5 mit einem kurzen Puls aktiviert werden, der eine Dauer im Bereich von einigen Mikrosekunden bis zu eini­ gen 10 Millisekunden hat.

Ein Spannungspuls, der an den Datenübermittlungsbus 10a, 10b angepaßt ist, wird durch Spannungsteilung unter Verwendung von Widerständen 7a, 7b erzielt. Dieser Spannungspuls wird vorzugsweise so angepaßt, daß der Puls ein einmaliger ist und sich bezüglich jeder anderen normalen Übermittlung über den Datenübermittlungsbus unterscheidet. Beispielsweise könnte CAN_H (entspricht 10b in Fig. 3) in einem differenzierten Datenübermittlungsbus bis zu einer Spannung von 7,0 Volt spe­ zifiziert werden, und wobei fehlerfreie Nachrichten niemals mehr als 8 aufeinanderfolgende Bits derselben logischen Dar­ stellung haben. Die Technik, die verwandt wird, um die Anzahl aufeinanderfolgender Bits derselben logischen Darstellung zu beschränken, wird als "Bit-Füllungs"-Technik bezeichnet und wird von jedem sendenden Knoten angewandt, bevor eine Nach­ richt über den Datenübermittlungsbus gesandt wird. Dem das Relais aktivierenden Anfangspuls könnte daher eine Spannung von größenordnungsmäßig 8,0 Volt gegeben werden, mit einer Pulsdauer, die die Dauer von 9 Bits überschreitet, und vor­ zugsweise einer Pulsdauer in dem Bereich von 10 bis 15 Bits. Mit dem Datenübermittlungsbus verbundene Knoten könnten daher eine fehlerhafte Nachricht (als solche) erfassen und würden demzufolge nicht beeinträchtigt, wenn der Anfangspuls über den Datenübermittlungsbus geschickt werden sollte. Der Signalauswerteschaltkreis 12, der den bestimmten Anfangspuls erfassen kann, umfaßt zwei Vergleicher 15 und 16, wobei jeder eine charakteristische Bezugsspannung über das Spannungstei­ lernetz 17a-17b-17c erhält. Die erste Bezugsspannung wird zwischen den Widerständen 17a und 17b erhalten und kann vor­ zugsweise einem Spannungspegel von 8,5 Volt entsprechen. Der Vergleicher 15 wird infolgedessen ein Ausgabesignal liefern, wenn der Spannungspegel 8,5 Volt überschreitet.

Die zweite Bezugsspannung wird zwischen den Widerständen 17b und 17c erhalten und könnte vorzugsweise einem Spannungspegel von 7,5 Volt entsprechen. Der Vergleicher 16 wird demzufolge ein Ausgabesignal liefern, wenn der Spannungspegel 7,5 Volt überschreitet.

Die Ausgänge beider Vergleicher 15 und 16 sind jeweils mit Eingängen einer XOR-Schaltung 18 (XOR: exclusives ODER) verbunden, was dazu führt, daß die XOR-Schaltung eine Ausgabe ausgibt, wenn nur einer (1) der Eingänge der XOR-Schaltung, d. h. eine der Ausgaben der Vergleicher 15 und 16, in einem aktiven Ausgangszustand ist.

Die in dem Beispiel oben ausgewählten Bezugsspannungen der Vergleicher sind für einen Anfangspuls mit einem Potential von 8 Volt ausgewählt. Wenn irgendein anderer Spannungspegel ausgewählt wird, sollten auch die Bezugsspannungen in ähnli­ cher Weise verändert werden.

Der Zustand der XOR-Schaltung, der von dem Spannungspegel U_10b an der Leitung des Datenübermittlungsbusses abhängt, bei einem Anfangspuls mit einem Spannungspegel von 8 Volt genauso wie auch mit Bezugsspannungen gemäß dem obigen Beispiel, ist in dem folgenden Zustandsschaubild gezeigt.

Um die Gerätefunktion zu erhalten, daß ein Anfangspuls kurzer Dauer das Relais 13 aktivieren kann und das Relais ge­ schlossen bleibt, bis die Spannungszufuhr über 30 unterbro­ chen wird, wird ein monostabiles Flip-Flop 19 verwendet. Ein Eingang des Flip-Flops 19 ist mit dem Ausgang der XOR- Schaltung verbunden, und der andere Eingang ist über einen Inverter mit der Spannungszufuhr 30 verbunden.

Die Ausgabe UT₁₉ des Flip-Flops 19 ist in dem folgenden Zu­ standsdiagramm gezeigt:

Die erhaltene Gerätefunktion ist diese, daß der Zündschalter das Computernetz und demzufolge auch den Signalauswerteschal­ terkreis 12 mit der Spannungsversorgung verbindet, und ein Anfangspuls, der nach der Verbindung mit der Spannungszufuhr ausgelöst wird, würde das Relais 13 aktivieren und somit die Kontakte 14a, 14b schließen. Das Relais 13 wird in einem akti­ vierten Zustand gehalten, d. h. mit geschlossenen Kontakten, solange das Computernetz über den Zündschalter 31 mit der Spannungszufuhr verbunden ist, und wenn ein Anfangspuls aus­ gelöst worden ist. Sobald der Zündschalter 31 die Spannungs­ zufuhr trennt, wird das Relais 13 deaktiviert. Um die Schal­ tung zu stabilisieren, so daß Störungen, d. h. Spannungsspit­ zen etc. auf der Leitung 10b, das Relais 13 nicht aktivieren, könnte ein Kondensator mit dem Ausgang der XOR-Schaltung 18 verbunden werden.

Die Ausführungsform als Schaltung, wie in Fig. 3 gezeigt, stellt nur eine Lösung von mehreren denkbaren Ausführungsfor­ men dar. In einer anderen Ausführungsform könnte die XOR- Schaltung durch eine UND-Schaltung ersetzt werden, wobei die Eingänge des Vergleichers 15 vertauscht würden, so daß die Bezugsspannung, die zwischen den Widerständen 17a-17b erhal­ ten wird stattdessen mit dem Plus-Eingang des Vergleichers verbunden wird. In noch einer anderen Ausführungsform könnten die Vergleicher 15 und 16 durch einen kompatiblen IC- Schaltkreis, beispielsweise den LM319 (Zweifachspannungsver­ gleicher) oder den LM339 (Vierfachspannungsvergleicher) er­ setzt werden, die von Philips hergestellt werden.

In Fig. 4 ist eine zweite Ausführungsform einer Grundanord­ nung des Signalauswerteschaltkreises 12 und der zur Steuerung des Signalauswerteschaltkreises 12 benötigten Signalübertra­ gungsschaltkreise des Fehlererkennungsgeräts gezeigt, bei der eine kompatible Relaisfunktion mittels Halbleiterbauelementen erzielt wird. Bei dieser Ausführungsform wird nur eine ge­ wöhnliche Schnittstelle 5' für den Datenübermittlungsbus in dem Fehlererkennungsgerät verwendet. Als Anfangspuls wird ei­ ne bestimmte Nachricht zur Aktivierung verwendet, wobei der bestimmten Aktivierungsnachricht eine eindeutige Konfigurati­ on gegeben wird, die sich von jeder normalen Nachricht unter­ scheidet. Eine solche Nachricht könnte beispielsweise min­ destens 10 bis 15 aufeinanderfolgende Bits mit identischer digitaler Darstellung haben, d. h. ohne Anwendung der "Bit- Füllungs"-Technik auf die Nachricht. Diese Nachricht könnte dadurch von den Knoten als "fehlerhafte" Nachricht erkannt werden, und demzufolge könnte sie nicht die Wirkungsweise der Knoten beeinträchtigen.

Der Signalauswerteschaltkreis 12 umfaßt eine gewöhnliche CAN- Schnittstelle 21 für eine differenzierte Zweifachleitung, beispielsweise realisiert durch einen Schaltkreis, der dem "Philips 82C250" entspricht.

In einem handelsüblichen IC-Schaltkreis 22 könnte die Erfas­ sung eines Anfangssignals erfolgen, und Anfangssignale könn­ ten in einem nicht-flüchtigen Speicher 23 abgelegt werden. Wenn der Schaltkreis 22 ermittelt, daß die über den Daten­ übermittlungsbus übertragene Anfangsnachricht mit der in dem Speicher 23 abgelegten Anfangsnachricht zusammenpaßt, wird der Ausgang 33 aktiviert und die Halbleiterschaltung 13b und 13c in den Schließzustand versetzt.

Bei beiden in Fig. 3 und 4 gezeigten Ausführungsformen ist es wichtig, daß die Relaisfunktionen 13, 14a, 14b und entsprechend 13c, 13b oder jede andere kompatible Relaisfunktion eine nie­ derohmige Verbindung zwischen dem Fehlererkennungsgerät 1 und dem Datenübermittlungsbus eröffnen. Die Relaisfunktion könnte durch mechanische Relais oder analoge Relais in Halbleiter­ bauart realisiert werden, die die normale Datenübermittlung nicht in beträchtlichem Maße beeinträchtigen.

Gemäß der Erfindung soll die Funktion der Auswertung 12 in das verzweigte Computernetz integriert werden, und vorzugs­ weise integriert werden in den Fehlererkennungs-Anschluß als solchen, eine einzige Baueinheit bildend.

Bei der in Fig. 4 gezeigten Ausführungsform könnte die An­ fangsnachricht in einem ausgeklügelten Zugriffscode bestehen. Eine solche Implementierung eröffnet einen verbesserten Schutz gegen unbefugten Zugriff auf den Datenübermittlungs­ bus, wobei sie verglichen mit der in Fig. 3 gezeigten Ausfüh­ rungsform nur einen bestimmten Spannungspegel auf beiden Lei­ tungen 10a, 10b verlangt.

Die in Fig. 3 gezeigte Ausführungsform könnte jedoch die Kon­ trolle auf befugten Zugriff durch Implementierung eines Signalauswerteschaltkreises verbessern, der eine vorbestimmte sequentielle Pulsfolge erfassen kann. Eine solche Pulsfolge, die durch das Fehlererkennungsgerät erzeugt wird, könnte bei­ spielsweise aus einer Anzahl von Pulsen mit dem erforderli­ chen Pegel gebildet sein, mit einer vorbestimmten Dauer jedes einzelnen Pulses, und wobei jeder Puls durch eine zeitliche Lücke von vorbestimmter Dauer getrennt ist.

Der Zugriffscode könnte bei unterschiedlichen Ausgestaltungen von Computernetzen oder Automodellen für jede Knotenanordnung in dem Computernetz eindeutig sein. Das Fehlererkennungsgerät könnte verschiedene Zugriffscodes gespeichert haben, und bei der Herstellung der Verbindung könnten Zugriffscodes geprüft werden, bis eine Verbindung hergestellt ist. Der Zu­ griffscode, der für eine erfolgreiche Datenübertragungsver­ bindung verwendet wurde, könnte dann als Kennung für die An­ ordnung des Computernetzes verwendet werden, und eine an das Computernetz angepaßte Fehlererkennungsroutine könnte dann automatisch eingeleitet werden.

Vorzugsweise könnte der Zugriffscode (d. h. die Anfangsnach­ richt) manuell durch Aktivierung eines Funktions- oder Start­ knopfes auf dem Diagnosegerät gestartet werden. Alternativ könnte der Zugriffscode automatisch gesendet werden, wenn me­ chanische Kontakte oder Sensoren in dem Anschluß 2 eine phy­ sische Verbindung des Anschlusses 2 mit der Datenstation 3 detektieren.

In einer noch weiteren Ausführungsform (nicht gezeigt) könnte der Auswerteschaltkreis 12 verändert werden, so daß der Aus­ werteschaltkreis sowohl Daten über den Datenübermittlungsbus übertragen als auch empfangen kann. Um die Zugriffsbefug­ nissteuerung weiter zu verbessern, könnte schrittweise eine Überprüfung auf das richtige Fehlererkennungsgerät durchge­ führt werden durch Austauschen von Nachrichten zwischen dem Fehlererkennungsgerät und dem Auswerteschaltkreis 12.

Die Erfindung könnte außerdem in verzweigten Computernetzen mit Knoten 20a bis 20c, die beständig mit der Spannungsver­ sorgung 32 verbunden sind, realisiert werden. In einer sol­ chen Anordnung könnte das Relais 13 unter Verwendung einer eindeutigen Deaktivierungsnachricht deaktiviert werden. Diese Deaktivierungsnachricht könnte durch die Knoten in dem ver­ zweiten Computernetz oder durch das Fehlererkennungsgerät selber ausgesandt werden.

In den in Fig. 3 und 4 gezeigten Ausführungsformen sind keine Einzelheiten wie Signalumformungsbauteile gezeigt, die bei­ spielsweise die Batteriespannung in eine Zufuhrspannung um­ wandelt, die kompatibel mit dem Signalpegel/logischen Pegel einzelner Bauteile in der Logik ist. Bei den gezeigten Aus­ führungsformen ist davon ausgegangen, daß die Batterie-/Sy­ stemspannung einer logischen Darstellung einer "1" entspricht und eine "keine Spannungs"-Bedingung der logischen Darstel­ lung einer "0" entspricht, wenn keine Invertierungsfunktion eingesetzt wird, die die logische Darstellung umdrehen würde.

Die Erfindung ist nicht auf die gezeigten Ausführungsformen beschränkt und kann innerhalb des Bereichs verändert werden, wie durch die beigefügten Ansprüche festgelegt.

Die in Fig. 4 gezeigte Ausführungsform mit einer Ermittlung des Zugriffscodes durch eine Softwaresteuerung könnte alter­ nativ durch ein Hardware-Maskierungsverfahren ersetzt werden, das in Hardware ausgestaltet ist und daher nicht irgendwelche nicht-flüchtigen Speicher benötigt. Bei der in Fig. 4 gezeig­ ten Ausführungsform könnte der Zugriffscode durch Ändern des in dem Speicher 23 abgelegten Zugriffscodes geändert werden, wobei diese Speichereinrichtung gewöhnlich als Software- Maskierungsverfahren gekennzeichnet ist, wenn sie zur Erfas­ sung von über den Datenermittlungsbus gesandten Nachrichten verwendet wird.

Claims (8)

1. Schutzvorrichtung für einen Fehlererkennungs-Anschluß (3) eines vorzugsweise in einem Fahrzeug eingerichteten, verzweigten Computernetzes (8), das mindestens zwei Knoten sowie mindestens einen gemeinsamen Datenübermittlungsbus (10a, 10b) zur Übermittlung von Daten zwischen den Knoten (20a, 20b, 20c) des Computernetzes (8) während dessen Betrieb umfasst, wobei der Fehlererkennungs-Anschluß (3) einen direkten Zugriff auf den Datenübermittlungsbus (10a, 10b) gestattet, und wobei

• - zwischen dem Fehlererkennungs-Anschluß (3) und dem Datenübermittlungsbus (10a, 10b) Relaisschalter (14a, 14b/13a, 13b) angeordnet sind, die in einer ersten sta­ bilen Stellung eine Verbindung zwischen dem Fehlererkennungs- Anschluß (3) und dem Datenübermittlungsbus (10a, 10b) unterbrechen, und
• - ein Signalauswerteschaltkreis (12) mit dem Fehlererkennungs-Anschluß (3) verbunden ist und so angeordnet ist, daß er die Erfassung eines vorbestimmten und eindeutigen Signalzustands am Fehlererkennungs-Anschluß (3) ermöglicht, und wenn der vorbestimmte Signalzustand auftritt, die Relaisschalter (14a, 14b/13a, 13b) in eine zweite stabile Stellung schaltet, wobei die zweite stabile Stellung die Verbindung zwischen dem Fehlererkennungs-Anschluß (3) und dem Datenübermittlungsbus (10a, 10b) schließt, um einem mit dem Fehlererkennungs-Anschluß (3) verbindbaren Fehlererkennungs­ gerät (1) einen direkten Zugriff auf den Datenübermittlungs­ bus (10a, 10b) zu ermöglichen.

2. Schutzvorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Relaiskontakte (14a, 14b) durch ein durch den Signalauswerteschaltkreis aktiviertes Relais (13) umgeschaltet werden.

3. Schutzvorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Relaiskontakte durch Halbleiterschalter (13a, 13b) gebildet werden, die eine niederohmige Zweiwegedatenübermittlung über die Relaiskontakte ermöglichen.

4. Schutzvorrichtung nach Anspruch 2 oder 3, dadurch gekennzeichnet, daß der Signalauswerteschaltkreis (12) eine Erfassungsvorrichtung (15, 16, 17a-17c, 18) umfaßt, wobei die Erfassungsvorrichtung (15, 16,17a-17c, 18) von einem bestimmten Spannungspegel innerhalb eines vorbestimmten Spannungsbereichs abhängt, der, wenn er dem Fehlererkennungs- Anschluß (3) zugeführt wird, die Relaiskontakte (14a, 14b/13a, 13b) aktiviert.

5. Schutzvorrichtung nach Anspruch 4, dadurch gekennzeichnet, daß der Signalauswerteschaltkreis mindestens zwei Vergleicher (15, 16) umfaßt, die jeweils die am Fehlererkennungs-Anschluß (3) angelegte Spannung mit einer entsprechenden ersten und zweiten Bezugsspannung vergleichen, wobei die erste und zweite Bezugsspannung von einem Spannungsteiler (17a-17c) erhalten werden.

6. Schutzvorrichtung nach Anspruch 2 oder 3, dadurch gekennzeichnet, daß der Signalauswerteschaltkreis (12) besteht aus:

• - einer Schnittstelle (21), die zumindest eine über den Datenübermittlungsbus (10a, 10b) gesandte Anfangsnachricht erfassen kann, wobei die Anfangsnachricht in wesentlichen Teilen mit dem Kommunikationsprotokoll kompatibel ist, das für Nachrichten benutzt wird, die über den Datenübermittlungsbus gesandt werden, aber eindeutig bezüglich jeder anderen Art von über den Datenübermitt­ lungsbus (10a, 10b) gesandten Nachrichten ist,
• - einem Speicher (23), vorzugsweise einem nicht-flüchtigen Speicher, wobei der Speicher (23) einen eindeutigen Zugriffscode für die betreffende Computernetz-Anordnung enthält,
• - einem Vergleicherschaltkreis (2), der die Anfangsnachricht, die dem Fehlererkennungs-Anschluß (3) des Datenübermittlungs­ busses zugeführt wird, mit dem in dem Speicher (23) abgeleg­ ten Zugriffscode vergleicht, und bei einer Übereinstimmung der Anfangsnachricht und des in dem Speicher (23) abgelegten Zugriffscodes einen direkten Zugang vom Fehlererkennungs- Anschluß (3) zu dem Datenübermittlungsbus durch Schalten der Relaiskontakte (13a, 13b) in eine Schließstellung schafft.

7. Schutzsystem für einen Fehlererkennungs-Anschluß (3) eines vorzugsweise in einem Fahrzeug eingerichteten, verzweigten Computernetzes mit

• - einer Schutzvorrichtung gemäß einem der Ansprüche 1 bis 6 und
• - einem externen Fehlererkennungsgerät (1), welches über den Fehlererkennungs-Anschluß (3) des Computernetzes mit unterschiedlichen verteilten Knoten (20a, 20b, 20c) in dem Computernetz verbindbar ist, wobei das externe Fehlererken­ nungsgerät (1) Signalübertragungsschaltkreise (5, 6, 6a/5') umfaßt, die während der Verbindung des Fehlererkennungsgerä­ tes (1) den vorbestimmten und eindeutigen Signalzustand einem Anschluß (2) des Fehlererkennungsgerätes (1) zuführen, wobei der Anschluß (2) des Fehlererkennungsgerätes (1) mit dem Fehlererkennungs-Anschluß (3) des Computernetzes kompatibel ist und beide Anschlüsse (2, 3) miteinander verbunden sind, wenn das Fehlererkennungsgerät (1) angeschlossen ist.

8. Schutzsystem nach Anspruch 7 und Anspruch 5, dadurch gekennzeichnet, daß das Fehlererkennungsgerät (1) Signalschaltkreise (6, 6a, 7a, 7b) umfaßt, die während ihrer Aktivierung zumindest für eine vorbestimmte Zeitspanne eine Spannung innerhalb des vorbestimmten Spannungsbereichs dem Anschluß (2) des Fehlererkennungsgeräts (1) zuführen, wenn der Anschluß (2) des Fehlererkennungsgerätes (1) mit dem Fehlererkennungs-Anschluß (3) des Computernetzes verbunden ist.