METHOD AND DEVICE FOR CONSISTENT MODIFICATION OF THE SCHEDULES IN TIME-CONTROLLED RELAYING

VERFAHREN UND VORRICHTUNG ZUR KONSISTENTEN ÄNDERUNG DER

ZEITPLÄNE IN EINER ZEITGESTEUERTEN VERMITTLUNG

Die Erfindung betrifft ein Verfahren zur dynamischen Änderung der Zeitpläne in einem zeitgesteuerten Switch zur Vermittlung von zeitgesteuerten Nachrichten in einem Echtzeitcomputersystem,

Die vorliegende Erfindung liegt im Bereich der Computertechnik. Sie beschreibt ein innovatives Verfahren, wie in einem zeitgesteuerten Echtzeitsystem die Zeitpläne in einem Kommunikationssystem konsistent geändert werden können.

In einem verteilten Echtzeitsystem, z.B. dem smart Grid, in dem periodische Sensordaten über lange physikalische Distanzen übertragen werden müssen, bestimmt die Übertragungsdauer zwischen den dezentralen Subsystemen und einer zentralen Warte zu einem wesentlichen Teil die Totzeit eines über ein Kommunikationssystem geschlossenen Regelkreises und damit die Qualität der Regelung. Die Übertragungszeiten können minimiert werden, wenn in einem zeitgesteuerten Netzwerk die Zeitpunkte der Datenerfassung, der Übertragung, der Vermittlung durch die Switches, und der Verarbeitung unter Verwendung eines auf einer globalen Zeit beruhenden Zeitplans derart synchronisiert sind, dass im Kommunikationssystem keine Wartezeiten der Nachrichten auftreten. Ein Zeitplan gibt an, zu welchen periodisch wiederkehrenden Zeitpunkte eine zeitgesteuerte Aktion, z.B. das Senden einer Nachricht von einem Switch, auszuführen ist.

Wenn nun in einer verteilten Anlage wie dem smart Grid eine Anomalie auftritt, so ist es oft notwendig, das entfernte Subsystem, in dem die Anomalie aufgetreten ist, genauer zu beobachten. Zu diesem Zweck muss der gegenwärtig aktive Zeitplan der Übertragung durch einen neuen Zeitplan ersetzt werden, der die genaue Beobachtung des Subsystems, in dem die Anomalie aufgetreten ist, ermöglicht. In diesem neuen Zeitplan müssen die kritischen Regelkreise, die zur Aufrechterhaltung der Netzqualität erforderlich sind, weiter kontinuierlich unterstützt werden.

Wir bezeichnen eine Umschaltung von einem aktiven Zeitplan zu einen neuen Zeitplan als konsistent, wenn alle kritischen Zeitanforderung an das Kommunikationssystem im neuen Zeitplan erfüllt sind und wenn im Rahmen der Umschaltung kein Phasensprung (engl, phase shift) einer periodischen Nachricht, die sowohl im aktiven wie auch im neuen Zeitplan gesendet wird, auftritt.

Wenn die Umschaltung inkonsistent ist, so kann in der Anwendung ein Fehler auftreten der zumindest die Qualität der Anwendung beeinträchtigt. Wenn z.B. in einem verteilten Multimedia System, in dem Audio- und Videosignale übertragen werden, die Umschaltung von einer Kamera auf eine andere Kamera zu einem Phasensprung im Audiosignal führt, so tritt in der akustischen Wiedergabe ein kurzzeitiger Fehler auf, der die Qualität der Audiowiedergabe herabsetzt.

Es ist eine Aufgabe der Erfindung, ein Verfahren offenzulegen, wie in einem verteilten zeitgesteuerten Echtzeitsystem neue Zeitpläne für die zeitgesteuerten Switches generiert werden können, und wie konsistente Umschaltzeitpunkte gefunden werden können zu denen diese neuen Zeitpläne aktiviert werden müssen, damit das Gesamtsystem harmonisch vom aktiven Zeitplan in den neuen Zeitplan übergeführt werden kann.

Diese Aufgabe wird mit einem eingangs erwähnten Verfahren dadurch gelöst, dass erfindungsgemäß zu einem Zeitpunkt in einem Switch mindestens ein aktiver Zeitplan und zumindest ein neuer Zeitplan gespeichert sind, wobei zu einem festgelegten Umschaltzeitpunkt im aktiven Intervall einer sparse time base der aktive Zeitplan deaktiviert und ein neuer Zeitplan aktiviert wird.

Durch die Umschaltung im aktiven Intervall der sparse time base erfolgt in den Switches eine konsistente Umschaltung auf einen neuen Zeitplan.

Die in der Literatur beschriebenen Verfahren zur Erstellung von Zeitplänen für zeitgesteuerte Kommunikationssysteme [3-5] gehen auf die Schaffung eines konsistenten Umschaltzeitpunkts von Zeitplänen nicht ein.

Die vorliegende Erfindung legt ein innovatives Verfahren offen, wie in einem verteilten zeitgesteuerten Echtzeitsystem neue Zeitpläne für die zeitgesteuerten Switches generiert werden können, und wie konsistente Umschaltzeitpunkte gefunden werden können zu denen diese neuen Zeitpläne aktiviert werden müssen, damit das Gesamtsystem harmonisch vom aktiven Zeitplan in den neuen Zeitplan übergeführt werden kann.

Weiters betrifft die Erfindung einen Switch (Verteileinheit) zur Verwendung in einem oben beschriebenen Verfahren, wobei vorzugsweise der Switch dazu eingerichtet ist, zu einem festgelegten Umschaltzeitpunkt im aktiven Intervall einer sparse time base einen aktiven Zeitplan zu deaktivieren und einen neuen Zeitplan zu aktivieren.

Außerdem betrifft die Erfindung ein Echtzeitsystem zum Durchführen eines oben beschriebenen Verfahrens.

Weitere vorteilhafte Ausgestaltungen der Erfindung und insbesondere des erfindungsgemäßen Verfahrens sind wie folgt beschrieben, die zusätzlich, alternativ oder in beliebiger Kombination miteinander realisiert sein können. Dabei kann vorgesehen sein, dass

*) während im Switch ein aktiver Zeitplan exekutiert wird, ein neuer passiver Zeitplan geladen wird;

*) in einer Menge von zusammenhängenden Switches alle Switches auf eine gemeinsame globale Zeitbasis bekannter Präzision zugreifen;

*) die gemeinsame globale Zeitbasis fehlertolerant ist;

*) zeitgesteuerte Aktionen im Switch nur während der aktiven Phasen der globalen sparse Zeitbasis vorgenommen werden;

*) ein dynamischer on-line Scheduler aufgrund der Anforderung eines Users einen neuen Zeitplan errechnet;

*) der neue Zeitplan unter Verwendung von kryptographischen Protokollen zur Sicherung der Authentizität und Integrität des neuen Zeitplans von einem System, das den Zeitplan generiert, in den Switch geladen wird; *) der Scheduler (160) als TMR System implementiert ist, wobei ein Switch eine Umschaltung nur vornimmt, wenn mindestens zwei von drei vom TMR System empfangenen Nachrichten identisch sind;

*) im Switch die Zeitpläne unter Verwendung von fehlerkennenden Codes gespeichert sind;

*) im Switch die Zeitpläne unter Verwendung von fehlerkorrigierenden Codes gespeichert sind;

*) in einem Zeitplan die Phasen von Nachrichten, die über mehrere Switches laufen, unter Verwendung der globalen Zeit so synchronisiert sind, dass eine minimale end-to-end Transportzeit der Nachricht durch das gesamt Kommunikationssystem erreicht wird;

*) die unterschiedlichen Perioden in einem Zeitplan in einem harmonischen Verhältnis zueinander stehen, so dass die längste Periode das kleinste gemeinsame Vielfache aller Perioden ist;

*) eine ausgezeichnete Periode der Menge harmonischer Perioden der physikalischen Sekunde entspricht;

*) eine ausgezeichnete Periode der Menge harmonischer Perioden exakt einem Zeitintervall entspricht, das durch eine Anwendung vorgegeben ist;

*) in einer Menge von zusammenhängenden Switches, die über eine gemeinsame globale Zeitbasis verfügen, die Umschaltzeitpunkte der Zeitpläne in allen Switches gleichzeitig sind;

*) die Umschaltzeitpunkte so gewählt werden, dass bei Nachrichten, die im aktiven und neuen Zeitplan mit der gleichen Periode auftreten, durch das Umschalten kein Phasensprung verursacht wird;

*) der Switch überprüft, ob in einem neuen Zeitplan als sicherheitskritisch eingestufte Nachrichten entsprechend den sicherheitskritischen Anforderungen eingeplant sind und, falls dies nicht der Fall ist, der Switch keine Umschaltung vom aktiven zum neuen Zeitplan vornimmt und eine Fehlermeldung an ein Diagnosesystem sendet; *) die Nachrichten dem SAE Standard AS6802 von TT Ethernet entsprechen;

*) die Nachrichten dem IEEE Standard 1588 for Precision Clock Synchronization entsprechen.

Die vorliegende Erfindung ist im Folgenden wird an Hand Zeichnung näher erklärt. In dieser zeigt

Fig. 1 die Struktur eines verteilten Echtzeitsystems mit fünf Endsystemen und zwei Switches, und

Fig. 2 zeigt eine zyklische Darstellung des Fortschreitens der Echtzeit.

Fig. 1 zeigt ein zeitgesteuertes Echtzeitsystem mit zwei zeitgesteuerten Switches 110 und 120, vier Endsystemen 151, 152, 153, 154, einem Scheduler System 160 zur Berechnung neuer Zeitpläne und einem Diagnosesystem 170. Alle Systeme sind über die in Fig. 1 eingetragenen bidirektionale Leitungen zur Übertragung von zeitgesteuerten und ereignisgesteuerten Ethernet Nachrichten entsprechend dem TTEthernet Standard verbunden. Entsprechend diesem Standard können in einem Echtzeitkommunikationssystem zeitgesteuerte (time- triggered, TT) und ereignisgesteuerte {event-triggered, ET) Ethernet Nachrichten übertragen werden. Alle Systeme der Fig. 1 haben Zugriff auf eine fehlertolerante globale Zeitbasis bekannter Präzision. Diese Zeitbasis wird entsprechend dem IEEE Standard 1588 for Precision Clock Synchronization aufgebaut. Mittels dieser Zeitbasis wird im Gesamtsystem eine sparse time (wie in [6, S.62-65] ausführlich beschrieben) eingerichtet, damit alle im System in den aktiven Zeitintervallen der sparse time gesetzten Ereignisse konsistent geordnet werden können. Erfindungsgemäß werden zeitgesteuerte Aktionen im Gesamtsystem nur in den aktiven Intervallen der sparse time vorgenommen.

In den Switches 110 und 120 befinden sich während des Betriebs zu einem beliebigen Zeitpunkt jeweils ein aktiver und ein, zwei oder mehr neue Zeitpläne. Bevor ein neuer Zeitplan aktiviert wird, ist er passiv und spielt im Ablauf der gegenwärtigen Kommunikation keine Rolle.

Fig. 2 veranschaulicht eine zyklische Darstellung des Fortschreitens der Echtzeit. In dieser Darstellungsform wird das Fortscheiten der Echtzeit in der Form von Perioden und Phasen dargestellt. In Fig. 2 schreitet die Zeit im Uhrzeigersinn 210 voran. Der Beginn einer Periode ist zum Zeitpunkt 200 mit der globalen Zeit synchronisiert. Ein Ereignis, das innerhalb einer Periode auftritt (z.B. das Ereignis 201) wird durch die Angabe des Winkels, d.i. die Phase, zwischen dem Beginn der Periode 200 und dem Ereignis 201 charakterisiert. Wenn die Zeit eine volle Periode— d.i. einen Winkel von 360 Grad— durchlaufen hat, so beginnt die Folgeperiode. In der Folgeperiode haben die zeitgesteuerten Aktionen die gleiche Phase wie in der vorangegangenen Periode. Ein Phasensprung tritt auf, wenn die Phase einer periodischen Aktion in der Folgeperiode anders ist als in der vorangegangenen Periode. Das zyklische Bild des Fortschreitens der Echtzeit eignet sich besonders gut, um periodische Prozesse, wie sie in zeitgesteuerten Echtzeitsystemen auftreten, darzustellen.

Im Folgenden wird der Transport einer Nachricht vom Endsystem 151 zum Endsystem 153 der Fig. 1 betrachtet. Wenn das Endsystem 151 zum Zeitpunkt 200 Prozessdaten erfasst, so dauert die Vorverarbeitung der Daten im System 151 bis zum Zeitpunkt 201. Zum Zeitpunkt 201 wird eine Nachricht mit den zum Zeitpunkt 200 vom System 151 erfassten Prozessdaten an den Switch 110 gesendet. Diese Nachricht trifft zum Zeitpunkt 202 beim Switch 110 ein. Sie wird vom Switch 110 zum Zeitpunkt 203 an die Zieladresse über den Switch 120 weitergeleitet. Die Nachricht trifft zum Zeitpunkt 204 beim Switch 120 ein und wird vom Switch 120 zum Zeitpunkt 205 an das Endsystem 153 weitergeleitet. Die Nachricht trifft zum Zeitpunkt 206 beim Endsystem 153 ein, wird dort überprüft, und zum Zeitpunkt 207 wird ein neuer Stellwert an den Prozess ausgegeben. Im diesem Beispiel bestimmt das Zeitintervall von 200 bis 207 den durch das verteilte Computersystem bedingten Teil der Totzeit. Durch die Synchronisation der Ereignisse des Sendens und Empfangens der Nachrichten in einem zeitgesteuerten Kommunikationssystem und die a priori Bereitstellung der erforderlichen Kapazität der Kommunikationskanäle werden die end-to-end Transportzeiten der Nachrichten minimiert und Wartezeiten im Kommunikationssystem verhindert. In den nicht durch die grauem Flächen der Fig. 2 belegten Zeitintervallen können im Kommunikationssystem andere Nachrichten, z.B. ET Nachrichten, transportiert werden.

Wenn von einem Endbenutzer gewünscht wird, zusätzlich andere Echtzeitdaten zu übertragen, so sendet der Endbenutzer mittels einer ET Nachricht einen entsprechenden Auftrag an den Scheduler 160. Der Scheduler 160 erstellt neue Zeitpläne und sendet diese in einer kryptographisch gesicherten ET Nachricht an die Switches 110 und 120. Die Switches 110 und 120 überprüfen diese Nachrichten um ihre Authentizität und Integrität sicherzustellen und aktivieren den neuen Zeitplan zu einem vom Scheduler 160 genau vorbestimmten Umschaltzeitpunkt. Im vorliegenden Beispiel der Fig. 2 bietet sich der Zeitpunkt 200 als Umschaltzeitpunkt an, da zu diesem Umschaltzeitpunkt 200 eine neue Periode beginnt. Erfindungsgemäß kann ein neuer Zeitplan auch vorab im Switch gespeichert werden. Der Scheduler 160 bestimmt dann nur den genauen Umschaltzeitpunkt vom aktiven Zeitplan auf den neuen Zeitplan. Der Scheduler 160 kann als TMR System [6, S.135] implementiert werden, so dass ein Switch im fehlerfreien Fall drei identische neue Zeitpläne mit den identischen Umschaltzeitpunkten kryptographisch gesichert erhält. Ein Switch nimmt die geplante Umschaltung nur vor, wenn mindestens zwei der drei Zeitpläne identischen Inhalt haben, um einen Fehler bei einer Zeitplanerstellung zu tolerieren.

Die Erstellung eines Zeitplans durch den Scheduler 160 wird wesentlich erleichtert und beschleunigt, wenn die unterschiedlichen Perioden in einem Zeitplan in einem harmonischen Verhältnis zueinander stehen [9, p.9], so dass die längste Periode das kleinste gemeinsame Vielfache aller Perioden ist. In einem solchen harmonischen Zeitplan ist eine ausgezeichnete Periode frei wählbar, wogegen alle anderen Perioden von dieser frei gewählten Periode abhängig sind. Erfindungsgemäß kann diese ausgezeichnete Periode die physikalische Sekunde oder ein wichtiges Zeitintewall sein, das durch die konkrete Anwendung vorgegeben ist.

Wenn in einem System einige Nachrichten in dem aktiven und neuen Zeitplan mit der gleichen Periode und der gleichen Phasenlage auftreten, so soll durch das Umschalten kein Phasensprung zwischen zwei dieser Nachrichten verursacht werden. Dies wird in einem harmonischen Zeitplan erreicht, wenn die Umschaltung zu Beginn der längsten Periode in allen Switches gleichzeitig erfolgt. Gleichzeitigkeit ist in einem System, das eine sparse time unterstützt, dann gegeben, wenn Aktionen innerhalb desselben aktiven Intervalls der sparse time ausgeführt werden. Absolute Gleichzeitigkeit von entfernten Aktionen kann in einem verteilten Computersystem prinzipiell nicht erreicht werden.

Wenn in einem System sicherheitskritische Nachrichten transportiert werden müssen, wobei die Perioden und Phasen dieser sicherheitskritischen Nachrichten im Rahmen einer Zertifizierung des Systems überprüft worden sind, so dürfen in keinem Zeitplan die Perioden und Phasen dieser sicherheitskritischen Nachrichten geändert werden. In einer solchen Situation überprüft der Switch, ob in einem neuen Zeitplan alle sicherheitskritischen Anforderungen an den Zeitplan erfüllt sind. Wenn dies nicht der Fall ist, nimmt der Switch keine Umschal- tung vom aktiven zum neuen Zeitplan vor und sendet eine Fehlermeldung an das Diagnosesystem 170.

Die Speicherung der aktiven und neuen Zeitpläne im Switch kann unter Verwendung von fehlerkennenden Codes oder fehlerkorrigierenden Codes erfolgen.

Das hier offen gelegte Verfahren zur konsistenten Umschaltung von Zeitplänen in einem verteilten zeitgesteuerten Echtzeitsystem verbessert die Flexibilität und Qualität, und damit das Anwendungsfeld der zeitgesteuerten Kommunikation und bringt daher große wirtschaftliche Vorteile.

Die vorliegende Erfindung legt ein innovatives Verfahren offen, wie in einem verteilten zeitgesteuerten Echtzeitsystem neue Zeitpläne für die zeitgesteuerten Switches generiert werden können, und wie konsistente Umschaltzeitpunkte gefunden werden können, zu denen diese neuen Zeitpläne aktiviert werden müssen, damit das Gesamtsystem harmonisch vom aktiven Zeitplan in den neuen Zeitplan übergeführt werden kann.

Zitierte Literatur:

[1] US 5694542 Kopetz, H. Time-triggered communication control unit and communication method. Granted December 2, 1997.

[2] US 7,839,868. Kopetz, H. Communication method and System for the transmission of time-driven and event-driven Ethernet messages. Granted November 23, 2010.

[3] US 20100220744, Ungerman, }., Intelligent Star Coupler for time-triggered communication protocol and method for communicating between nodes with a network using a time triggered protocol. Publication Date September 2, 2010.

[4] US 20060242252, Jiang, S., Extensible Scheduling of Messages on Time-Triggered Busses. Publication Date Oct 26, 2006.

[5] US 20110066854; Poledna, S., Method for Secure Dynamic Bandwidth Allocation in TT Ethernet. Publication Date March 17, 2011 Kopetz, H. Real-Time Systems, Design Principles for Distributed Embedded Applications. Springer Verlag. 2011.

[7] SAE Standard AS6802 von TT Ethernet. URL: http://standards.sae.org/as6802

[8] IEEE 1588 Standard for a Precision Clock Synchronization Protocol for Network Measurement and Control Systems. URL: http://www.ieeel588.com/

[9] Kopetz, H., The complexity challenge in embedded System design, Proc. of ISORQ May 2008. pp. 3-12, IEEE Press.