Nodo de bus de datos de tolerancia de fallos en un sistema distribuido.

Un nodo (110) de bus de datos, que es un nodo (110,120, 130) de control,

o un nodo (140, 150) de detección yque está dispuesto para comunicar a través de un bus (105) de datos de Acceso Múltiple por División de Tiempo(TDMA), comprendiendo el nodo (110) de bus de datos:

- un dispositivo (1110) de procesamiento de señal de tiempo que está configurado para definir un programade transmisión de intervalo de tiempo de TDMA para al menos dicho nodo (110) de bus de datos, eldispositivo (1110) de procesamiento de señal de tiempo está conectado a un dispositivo (1180) de controlde acceso a la transmisión por bus por medio de una conexión

- un conmutador (1155) conectado por medio de una conexión al dispositivo (1180) de control de acceso ala transmisión por bus, estando el conmutador (1155) configurado para o bien conectar una vía detransmisión de dicho nodo (110) de bus de datos con el bus (105) o aislarlo de éste y configurado para sercontrolado por dicho programa de transmisión de intervalo de tiempo de TDMA para dicho nodo (110) debus de datos por medio del dispositivo (1180) de control de acceso a la transmisión por bus,

estando dicho nodo (110) caracterizado porque

dicho dispositivo (1180) de control de acceso a la transmisión por bus está configurado para ser tambiéncontrolado por al menos una señal (C3, C5) de control externa, suministrada por al menos otro nodo (120,130) de bus de datos, por medio de al menos un enlace (1220, 1230) de transmisión de datos externo queestá físicamente separado de dicho bus (105), de manera que dicho dispositivo (1180) de control deacceso a la transmisión por bus controla dicho conmutador (1155) por medio de dicha conexión paraconectar o aislar dicha vía en base a al menos dicha al menos una señal (C3, C5) de control externa es unafunción del programa de transmisión de intervalo de tiempo para el nodo (110) de bus de datos, en la que laal menos una señal (C3, C5) de control externa y de un funcionamiento incorrecto detectado de dicho nodo(110).

Nodo de bus de datos de tolerancia de fallos en un sistema distribuido Campo técnico de la invención La invención se refiere, en general, al campo de los sistemas de tolerancia de fallos y, más en concreto, a la materia objeto de la porción precaracterizadora de la reivindicación independiente 1.

Antecedentes Los sistemas de (control) de datos de tolerancia de fallos son utilizados, por ejemplo, en aplicaciones aeronáuticas que requieren una integridad muy elevada. Los sistemas convencionales de control aeronáutico de tolerancia de fallos se basan en una comunicación punto a punto entre computadora/s sensor/es y accionador/es.

El problema asociado con los sistemas convencionales aeronáuticos de tolerancia de fallos se refiere al peso, la complejidad, a la disponibilidad del procesamiento de datos y al coste.

El artículo “GESTIÓN DE REDUNDANCIA EN SISTEMAS DE CONTROL DE VUELO DISTRIBUIDOS: EXPERIENCIA Y SIMULACIONES” [“REDUNDANCY MANAGEMENT IN DISTRIBUTED FLIGHT CONTROL SYSTEMS: EXPERIENCE AND SIMULATIONS”], de K. Ahlström et al., publicado por el IEEE 2002, describe un sistema de control en tiempo real de tolerancia de fallos para aplicaciones aeronáuticas que comprende unos nodos de control diseñados con un alto grado de detección de fallos embebido. Una simulación del sistema se basa en la presunción de que todos los nodos envían datos (sobre el bus) estrictamente en sus intervalos de tiempo debido al hecho de que una guarda de bus de cada nodo de bus de los fallos de “palabrería sin sentido” [babbling idiot]. Un inconveniente de este diseño es que los nodos que funcionan de hecho correctamente pueden quedar bloqueados en la transmisión sobre el bus debido a un mal funcionamiento de la guarda de bus.

El artículo “Una Guarda de Bus Analizable para la Comunicación de Episodios Desencadenados” [An Analyzable Bus -Guardian for Event -Triggered Communications”] de I. Brooster & Burns publicado por el Vigesimo Cuarto Simposium del Sistemas en Tiempo Real Internacional del IEEE [“24: th IEEE International Real -Time Systems Symposium”] describe diversas estrategias / arquitecturas de guarda de bus. Una de dichas estrategias / arquitecturas presenta una guarda como un nodo completamente separado conectado directamente a un bus (TDMA) . Utilizando solo la información procedente del bus, el nodo de guarda vigila las transmisiones sobre el bus y detecta los nodos de palabrería. El nodo guarda está dispuesto para afectar (cerrar) un nodo de palabrería utilizando un nodo directo sobre el nodo de palabrería. Un problema de este tipo de estrategia / arquitectura es que el guarda es solo capaz de detectar un nodo de palabrería después de que ha sido transmitido un mensaje incorrecto sobre el bus.

Un problema general de los sistemas de datos de bus de TDMA de tolerancia de fallos es el problema de la “palabrería sin sentido”, esto es, que un nodo transmite sobre el bus en un intervalo de tiempo que no está dedicado a ese nodo.

El artículo “Evitación del Fallo de la Palabrería sin Sentido en un Sistema de Comunicación Desencadenado en el Tiempo” [“Avoiding the babbling -idiot failure in a time -triggerd communication systems”] de C. Temple, publicado por el IEEE, COMPUTACIÓN DE TOLERANCIA DE FALLOS, 1998. COMPENDIO DE DOCUMENTOS. VIGÉSIMO OCTAVO SIMPOSIO INTERNACIONAL ANUAL 23 -25 JUNIO 1998 [FAULT -TOLERANT COMPUTING, 1998. VIGEST OF PAPERS. TWENTY -EIGHTH ANNUAL INTERNATIONAL SYMPOSIUM 23 -25 JUNE 1998] describe un sistema de datos de bus de TDMA, en el que cada nodo de bus comprende una guarda de bus que acciona el conmutador de aislamiento del bus de nodos.

Sumario de la invención Constituye un objetivo de la presente invención proporcionar unos procedimientos y unos medios que resuelvan / mitiguen los problemas analizados con anterioridad.

Constituye un objetivo de la presente invención proporcionar un sistema de datos de tolerancia de fallos que comprenda un conjunto de nodos de control de procesamiento de datos que está dispuesto para comunicar a través de un bus de TDMA en el que una pluralidad de nodos de dichos nodos comprende cada uno un mecanismo de guarda bus para suprimir un comportamiento de transmisión defectuoso del nodo respectivo, sistema de datos que resuelve de manera eficaz el problema de la palabrería sin sentido analizada con anterioridad y sistema que muestra un comportamiento potenciado global de silenciamiento de los datos sin comprometer las características del peso / disponibilidad del sistema.

De acuerdo con un primer aspecto, la invención proporciona un nodo de bus de datos, que es un nodo de control o un nodo sensor y que está dispuesto para comunicar a través de un bus de datos de TDMA, comprendiendo el nodo:

-un dispositivo de procesamiento de señal de tiempo que está configurado para definir un programa de transmisión de intervalos de tiempo de TDMA para al menos dicho nodo,

-un conmutador que está configurado para conectar una vía de transmisión de dicho nodo con el bus o bien aislarla y que está configurado para ser controlado por dicho programa de transmisión de intervalo de tiempo de TDMA de dicho nodo por medio de un dispositivo de control de acceso de transmisión de bus, estando dicho nodo caracterizado porque,

- dicho dispositivo de control de acceso de transmisión por bus está configurado para ser también controlado por al menos una señal de control externa por medio de al menos un enlace de transmisión de datos externo que está físicamente separado de dicho bus.

La invención elimina de esta manera la necesidad de dobles relojes, esto es, dobles programas de TDMA, en el nodo, para obtener una supresión de la transmisión defectuosa. En su lugar, el nodo puede explotar, por ejemplo, 10 los programas de TDMA preprogramados y / o las señales de control de otros nodos por medio del enlace de comunicación externo con el fin de suprimir su comportamiento de transmisión defectuoso, esto es, suprimir un comportamiento de palabrería sin sentido y / o soportar un comportamiento de fallo silente. Dado que el enlace de comunicación está físicamente separado del bus, un comportamiento de palabrería sin sentido puede ser bloqueado inmediatamente para que las transmisiones “defectuosas” sean bloqueadas y no sean nunca transmitidas sobre el

bus. Así mismo, la viabilidad de datos global y el ancho de banda eficaz del bus no están comprometidos en modo alguno.

El nodo puede comprender un dispositivo lógico que está configurado para:

-recibir y procesar al menos dos señales de control de entrada procedentes de una pluralidad de nodos asociados con el bus por medio de dicho/s enlace/s de transmisión de datos externo/s, y

- emitir una señal de control, que es una función de dichas recibidas al menos dos señales de control de entrada, sobre el dispositivo de control de acceso de transmisión por bus.

Permitir decisiones “de parlamento electrónico” eficaces, esto es, una decisión inteligente basada en una diversidad, para el dispositivo de control de acceso de transmisión por bus.

El dispositivo de control de acceso de transmisión por bus puede ser llevado a la práctica como un comparador y 25 dicho dispositivo lógico puede ser llevado a la práctica como un comparador.

Proporciona una realización simple, rentable.

El nodo puede también comprender un dispositivo de vigilancia del circuito de guarda para establecer si el propio nodo está funcionando correctamente o no y dicho dispositivo de control de acceso de transmisión por bus puede también ser controlado por el dispositivo de vigilancia del circuito de guarda.

[Permite un comportamiento potenciado adicional de fallo silente del nodo dado que cualquier energización incorrecta del nodo según se identifica por el dispositivo de suministro correcto de energía puede bloquear también las transmisiones sobre el bus].

El programa de transmisión de intervalo de tiempo de TDMA puede también definir unos intervalos de transmisión para al menos otro nodo asociado con el bus, y el propio nodo puede estar dispuesto para:

- formar una señal de control de salida que sea una función de dicho programa de transmisión de intervalo de tiempo de TDMA, y

-emitir dicha señal de control sobre al menos otro nodo a través de un enlace de transmisión de datos externo que está físicamente separado de dicho bus.

[Permite la creación de grupos de nodos eficaces en el que cada nodo comprende un dispositivo de procesamiento de señal de tiempo configurado para definir un programa de transmisión de intervalo de tiempo de TDMA para... [Seguir leyendo]

1. Un nodo (110) de bus de datos, que es un nodo (110, 120, 130) de control, o un nodo (140, 150) de detección y que está dispuesto para comunicar a través de un bus (105) de datos de Acceso Múltiple por División de Tiempo (TDMA) , comprendiendo el nodo (110) de bus de datos:

-un dispositivo (1110) de procesamiento de señal de tiempo que está configurado para definir un programa de transmisión de intervalo de tiempo de TDMA para al menos dicho nodo (110) de bus de datos, el dispositivo (1110) de procesamiento de señal de tiempo está conectado a un dispositivo (1180) de control de acceso a la transmisión por bus por medio de una conexión

-un conmutador (1155) conectado por medio de una conexión al dispositivo (1180) de control de acceso a la transmisión por bus, estando el conmutador (1155) configurado para o bien conectar una vía de transmisión de dicho nodo (110) de bus de datos con el bus (105) o aislarlo de éste y configurado para ser controlado por dicho programa de transmisión de intervalo de tiempo de TDMA para dicho nodo (110) de bus de datos por medio del dispositivo (1180) de control de acceso a la transmisión por bus,

estando dicho nodo (110) caracterizado porque dicho dispositivo (1180) de control de acceso a la transmisión por bus está configurado para ser también controlado por al menos una señal (C3, C5) de control externa, suministrada por al menos otro nodo (120, 130) de bus de datos, por medio de al menos un enlace (1220, 1230) de transmisión de datos externo que está físicamente separado de dicho bus (105) , de manera que dicho dispositivo (1180) de control de acceso a la transmisión por bus controla dicho conmutador (1155) por medio de dicha conexión para conectar o aislar dicha vía en base a al menos dicha al menos una señal (C3, C5) de control externa es una función del programa de transmisión de intervalo de tiempo para el nodo (110) de bus de datos, en la que la al menos una señal (C3, C5) de control externa y de un funcionamiento incorrecto detectado de dicho nodo (110) .

2. El nodo (110) de acuerdo con la reivindicación 1, que comprende también un dispositivo (1440) lógico que está configurado para:

-recibir y procesar al menos dos señales (C1, C2) de control de entrada procedentes de una pluralidad de nodos (120, 130) asociados con el bus (105) por medio de dicho/s enlace/s (1220, 1230) de transmisión de datos externos, y

-emitir una señal de control, que es una función de dichas recibidas al menos dos señales de control de entrada, hasta el dispositivo (1180) de control de acceso a la transmisión por bus.

3. El nodo (110) de acuerdo con la reivindicación 2, en el que el dispositivo (1180) de control de acceso a la transmisión por bus se lleva a la práctica como un comparador y dicho dispositivo (1140) lógico se lleva a la práctica como un comparador.

4. El nodo de acuerdo con cualquiera de las reivindicaciones 1 a 3, que comprende también un dispositivo (1160) de vigilancia del circuito de guarda para establecer si el propio nodo (110) está funcionando o no de manera incorrecta y en el que dicho dispositivo (1180) de control de acceso a la transmisión por bus está configurado para ser también controlado por el dispositivo (1160) de vigilancia del circuito de guarda.

5. El nodo de acuerdo con cualquiera de las reivindicaciones 1 a 4, que comprende también un dispositivo (1170) de suministro correcto de energía para establecer si el propio nodo (110) está siendo energizado de una manera precisa y en el que dicho dispositivo (1180) de control de acceso a la transmisión por bus está configurado para ser también controlado por el dispositivo (1170) de suministro correcto de energía.

6. El nodo (110) de acuerdo con cualquiera de las reivindicaciones 1 a 5, en el que dicho programa de transmisión de intervalo de tiempo de TDMA define también unos intervalos de transmisión para al menos otro nodo (120, 130, 140, 150) asociado con el bus (105) , y el propio nodo (110) está dispuesto para:

-formar una señal (C1, C2) de control de salida que es una función de dicho programa de transmisión de intervalo de tiempo de TDMA y

-para emitir dicha señal (C1, C2) de control hasta al menos otro nodo (120, 130, 140, 150) a través de un enlace (1200, 1210) de transmisión de datos externo que está físicamente separado de dicho bus (105) .

7. El nodo (110) de acuerdo con la reivindicación 6, que comprende también un dispositivo (1120) de vigilancia para vigilar las señales de control transmitidas a través del bus (105) por otros nodos (120, 130) de control o los datos de detección transmitidos a través del bus (105) por los nodos (140, 150) de detección asociados con el bus (105) , y en el que el dispositivo (1120) de vigilancia está dispuesto para:

-establecer un estado de funcionamiento incorrecto de un nodo (120, 130, 140, 150) de funcionamiento incorrecto asociado con el bus, en base a dicha vigilancia, y

-emitir una señal de control de bloque de transmisión para bloquear otras transmisiones del nodo de funcionamiento incorrecto en respuesta al estado de funcionamiento incorrecto así establecido del nodo de funcionamiento incorrecto,

y en el que el propio nodo (110) está también configurado para formar dicha/s señal/es (C1, C2) como una función de dicha señal de control de bloque de transmisión.

8. El nodo (110) de acuerdo con las reivindicaciones 6 o 7, que comprende un dispositivo (1160) de vigilancia de circuito de guarda para establecer si el propio nodo (110) está funcionando o no incorrectamente, y en el que el nodo (110) está configurado para formar dicha señal (C1, C2) de control de salida como una función de la señal de control de salida de vigilancia de guarda emitida por dicho dispositivo (1160) de vigilancia de circuito de muestra e indicativa de si el nodo (110) está funcionando incorrectamente o no.

9. El nodo (110) de acuerdo con cualquiera de las reivindicaciones 6 a 8, que comprende también un dispositivo (1170) de suministro correcto de energía para establecer si el propio nodo (110) está siendo energizado de manera precisa y en el que el nodo (110) está configurado para formar dicha señal (C1, C2) de control de salida como una función de una señal de control procedente de dicho dispositivo (1170) de suministro correcto de energía.

10. Un sistema (100) de bus de datos de tolerancia de fallos que comprende al menos dos nodos (110, 120, 130, 140, 150) de bus, que son nodos de control o de detección y que están dispuestos para comunicar a través del bus (105) de TDMA, en el que una pluralidad de dichos nodos (110, 120, 130, 140, 150) comprende cada uno un mecanismo de guarda de bus para suprimir un comportamiento de transmisión defectuoso, caracterizado porque dicho sistema comprende un nodo (110) de acuerdo con cualquiera de las reivindicaciones 1 a 9.

11. El sistema (100) de bus de datos de tolerancia de fallos de acuerdo con la reivindicación 10, en el que al menos dos de dichos nodos (110, 120) están conectados por medio de al menos un enlace (1200, 1210, 1220, 1230) de transmisión de datos que está físicamente separado de dicho bus (105) , permitiendo con ello que al menos un mecanismo de guarda de bus de uno de los nodos (120) así conectado emita una señal de control hasta el mecanismo de guarda de bus de otro de los nodos (110) así conectados a través de dicho enlace (1200, 1210, 1220, 1230) de transmisión.

12. El sistema (100) de bus de datos de tolerancia de fallos de acuerdo con la reivindicación 11, en el que al menos tres de dichos nodos (110, 120, 130) están mutuamente interconectados por medio de unos enlaces (1200, 1210, 1220, 1230) de transmisión de datos que están físicamente separados de dicho bus (105) , creando de esta forma un grupo de al menos tres nodos que controlan entre sí el mecanismo de guarda de bus por medio de dichos enlaces (1200, 1210, 1220, 1230) de transmisión de datos.

13. El sistema (100) de bus de datos de tolerancia de fallos de acuerdo con cualquiera de las reivindicaciones 10 a 12, en el que un nodo de control está conectado con un sensor por medio de una interfaz análoga que está separada del bus de datos y en el que el nodo de control está dispuesto para leer valores de muestra procedentes del sensor a través de dicha interfaz análoga.

14. El sistema (100) de bus de datos de tolerancia de fallos de acuerdo con cualquiera de las reivindicaciones 10 a 13, en el que dicho/s enlace/s (1200, 1210, 1220, 1230) de transmisión de datos externos que está/n físicamente separado/s del bus (105) , se lleva (n) a la práctica como:

-un circuito eléctrico, por ejemplo en cable, hilo, o línea de entrada fabricado por un material eléctricamente conductor,

-un enlace de radiofrecuencia, por ejemplo, un enlace inalámbrico BluetoothTM,

-un enlace de comunicación infrarrojo,

-un enlace de transmisión de datos por sonar,

o una combinación de estos.

15. Una aeronave, caracterizada porque comprende un nodo (110) de bus de datos de acuerdo con cualquiera de las reivindicaciones 1 a 9, o un sistema (100) de datos de tolerancia de fallos de acuerdo con cualquiera de las reivindicaciones 10 a 14.