Fahrzeugnetzwerk-Architektur: von Domänenbussen zum zonalen Ethernet

01Warum ein einziger Bus nie gereicht hat

CAN wurde 1986 von Bosch vorgestellt und ging 1991 in einem Pkw in Serie. Das ursprüngliche Versprechen war einfach: Kilometer an Punkt-zu-Punkt-Verkabelung durch eine einzige gemeinsame verdrillte Zweidrahtleitung zu ersetzen, auf der jedes Steuergerät seine Botschaften an alle senden kann. Drei Jahrzehnte später fährt kein Serienfahrzeug mehr mit nur einem Bus. Ein Kompaktwagen hat eine Handvoll CAN-Segmente; eine Premiumplattform kann mehr als zehn Segmente mit CAN und CAN FD, Dutzende LIN-Cluster und ein wachsendes Ethernet-Backbone besitzen, die zusammen einige Dutzend bis weit über hundert Steuergeräte verbinden.

Die Aufteilung ist gewollt. Ingenieure teilen das Netzwerk entlang derselben Linien auf, entlang derer sie Verantwortung, Zeitverhalten und Risiko aufteilen. Jeder der folgenden Gründe ist eine Randbedingung, die ein einziger gemeinsamer Bus nicht gleichzeitig erfüllen kann:

• Bandbreite. Ein klassischer CAN-Bus mit 500 kbit/s überträgt bei 100 % Buslast rund 3.700 bis 4.500 Frames mit je acht Datenbytes pro Sekunde. Antriebsstrang, Fahrwerk, Karosserie und Infotainment erzeugen zusammen weit mehr Datenverkehr.
• Zeitverhalten. Motor- und Bremsregelkreise brauchen kurze, vorhersagbare Latenzen. Ein Türmodul oder ein Sitzmotor braucht sie nicht. Liegen beide auf einem Bus, konkurriert der langsame Verkehr in der Arbitrierung mit dem schnellen.
• Fehlereingrenzung. Ein kurzgeschlossenes Leitungspaar, ein dauersendender Knoten (Babbling Node) oder ein ausgefallener Transceiver soll ein einzelnes Segment lahmlegen, nicht das ganze Fahrzeug.
• Energiemanagement. Karosserie- und Komfortsteuergeräte müssen wenige Minuten nach dem Verriegeln einschlafen, während manche Antriebssteuergeräte erst mit der Zündung aufwachen. Getrennte Segmente können unabhängig voneinander schlafen.
• Cybersecurity. Seit Ende der 2010er-Jahre ist die Trennung extern erreichbarer Systeme (Konnektivität, Infotainment, Diagnose) von sicherheitsrelevanten Steuerfunktionen nicht mehr nur gute Praxis, sondern eine regulatorische Erwartung.

02Die klassische Domänenaufteilung

Seit rund zwanzig Jahren ist die Elektrik-/Elektronikarchitektur (E/E-Architektur) von Fahrzeugen nach Funktionsdomänen gegliedert. Jede Domäne besitzt einen oder mehrere Busse, und jeder Bus führt den Verkehr, den seine Teilnehmer benötigen. Die genaue Aufteilung unterscheidet sich je nach Hersteller und Plattformgeneration, doch das folgende Muster beschreibt die meisten Fahrzeuge, die 2026 auf der Straße unterwegs sind.

Warum sich Karosserienetzwerke anders verhalten

Karosserienetzwerke haben die meisten Knoten, die längsten Leitungswege und die strengsten Anforderungen an den Schlafmodus. Viele europäische Fahrzeuge der 2000er-Jahre nutzten fehlertolerantes Low-Speed-CAN nach ISO 11898-3: auf 125 kbit/s begrenzt, aber in der Lage, nach einem Kurzschluss oder einer Unterbrechung der anderen Leitung über eine einzige Ader weiter zu kommunizieren. Aktuelle Plattformen haben den Karosserieverkehr weitgehend auf High-Speed-CAN mit 500 kbit/s nach ISO 11898-2 verlagert und halten den Ruhestrom mit Netzwerkmanagement und Teilnetzbetrieb (Partial Networking) niedrig. Im Karosseriesegment landen zudem die meisten nachgerüsteten Geräte in unmittelbarer Nähe der Verkabelung. Deshalb ist sein Schlafverhalten weit über die Auslegung des Fahrzeugherstellers hinaus von Bedeutung.

03Die Busfamilien in einem Fahrzeug

CAN ist das Arbeitspferd, aber nicht allein. Ein einzelnes Fahrzeug kombiniert typischerweise vier oder fünf Netzwerktechnologien, jede als Kompromiss zwischen Kosten, Bandbreite und Determinismus gewählt.

LIN: der Bus unterhalb von CAN

LIN (Local Interconnect Network) ist ein Eindrahtbus für 12 V mit einem Commander und bis zu fünfzehn Respondern, der mit bis zu 20 kbit/s über maximal etwa 40 m arbeitet. Der Commander verwaltet eine feste Schedule-Tabelle und fragt die Responder der Reihe nach ab. LIN braucht deshalb weder Arbitrierung noch einen Quarz auf der Responder-Seite. Über LIN laufen Fensterheberschalter, Spiegelmotoren, Regen- und Lichtsensoren, Sitzversteller und Klimaklappen. Architektonisch hängt jeder LIN-Cluster an einem CAN-Steuergerät, das als Commander arbeitet. Was auf der LIN-Seite geschieht, erreicht den Rest des Fahrzeugs nur über die CAN-Botschaften dieses Steuergeräts; die LIN-Leitung selbst ist von keinem CAN-Segment aus sichtbar.

FlexRay: das deterministische Erbe

FlexRay wurde in den 2000er-Jahren für X-by-Wire und aktive Fahrwerkssysteme entwickelt: 10 Mbit/s pro Kanal, zwei redundante Kanäle und ein zeitgesteuerter Ablaufplan mit einem statischen Segment für fest zugeteilte Zeitschlitze und einem dynamischen Segment für ereignisgesteuerten Verkehr. FlexRay ging 2006 in Serie und wurde 2013 als ISO 17458 genormt. Viele Fahrzeuge auf europäischen Premiumplattformen haben bis heute Fahrwerksnetzwerke mit FlexRay, für Servicearbeiten bleibt es daher relevant. Neue Plattformen haben es jedoch weitgehend ersetzt: durch CAN FD für Steuerungsaufgaben und durch Ethernet mit Time-Sensitive Networking (TSN) für deterministischen Verkehr mit hoher Bandbreite.

04Das zentrale Gateway

Sobald ein Fahrzeug mehr als einen Bus hat, muss etwas diese Busse verbinden. In einer Domänenarchitektur ist das das zentrale Gateway: ein eigenes Steuergerät mit einem Transceiver an jedem Segment und einer Firmware, die entscheidet, welche Informationen von einem Netzwerk in ein anderes gelangen. Seine Aufgaben sind mit jeder Plattformgeneration gewachsen:

• Routing. Ausgewählte Frames oder einzelne Signale von einem Segment in ein anderes weiterleiten, oft neu verpackt in andere Frames auf dem Zielbus.
• Protokoll- und Bitratenumsetzung. Brücken zwischen klassischem CAN, CAN FD, LIN, FlexRay und Ethernet schlagen, die jeweils ein eigenes Zeitverhalten und eigene Nutzdatengrößen haben.
• Diagnose-Routing. Als Endpunkt der Diagnosebuchse dienen und Werkstattanfragen (ISO 15765-4 auf CAN, ISO 13400 DoIP auf Ethernet) an das adressierte Steuergerät weiterleiten.
• Koordination des Netzwerkmanagements. Weck- und Schlafentscheidungen zwischen den Segmenten weitergeben, damit das Fahrzeug als ein System aufwacht und einschläft.
• Firewall und Security. Filtern, was passieren darf, die Rate von Diagnosezugriffen begrenzen und in neueren Fahrzeugen vor jedem Schreibzugriff und jeder aktiven Funktion eine Authentifizierung erzwingen.
• Fehlerisolation. Verhindern, dass ein Kurzschluss, eine dauerhaft dominant gehaltene Leitung oder ein dauersendender Knoten auf einem Segment die anderen stört.

Die praktische Konsequenz wird leicht übersehen: Kein einzelnes Segment zeigt das ganze Fahrzeug. Jeder Bus führt den Verkehr, den seine Teilnehmer brauchen, und das Gateway entscheidet, was übertritt. Deshalb bietet die Diagnosebuchse eines modernen Fahrzeugs auch ein ganz anderes Bild als die Busse dahinter; der Beitrag OBD-II und Secure Gateways behandelt das ausführlich.

Routing hat seinen Preis

Ein CAN-Gateway arbeitet nach dem Store-and-Forward-Prinzip. Ein Frame muss vollständig empfangen, geprüft, gefiltert, gegebenenfalls neu verpackt und dann für die Arbitrierung auf dem Zielbus eingereiht werden, wo er mit dem dortigen Verkehr konkurriert. Jeder Hop fügt daher Latenz und Jitter hinzu. Architekten halten enge Regelkreise innerhalb einer Domäne und leiten nur Informationen weiter, die die zusätzliche Verzögerung vertragen. Für alle, die am Fahrzeug arbeiten, heißt das: Dieselbe Information kann auf mehreren Segmenten mit unterschiedlichem Timing, unterschiedlichem Frame-Layout und unterschiedlicher Aktualisierungsrate erscheinen, weil sie neu veröffentlicht und nicht einfach kopiert wurde.

05Bandbreitenrechnung: warum CAN FD kam

Der Druck auf klassisches CAN lässt sich am besten mit Zahlen zeigen. Ein klassischer Daten-Frame mit 11-Bit-Identifier und acht Datenbytes ist 108 Bit lang; zusammen mit dem 3 Bit langen Interframe Space ergeben sich 111 Bit vor dem Bitstuffing. Im ungünstigsten Fall fügt die Stuffing-Regel 24 weitere Bit hinzu, insgesamt also 135 Bit. Woher jedes einzelne Bit kommt, erklärt der Beitrag CAN-Frames und Arbitrierung.

1. 01
   Verkehr zählen

   Angenommen sei ein Antriebsstrangsegment mit 20 Botschaften im 10-ms-Takt (2.000 Frames/s) und 30 Botschaften im 100-ms-Takt (300 Frames/s): insgesamt 2.300 Frames pro Sekunde, alle mit acht Datenbytes.

2. 02
   In Bit pro Sekunde umrechnen

   2.300 × 111 Bit = 255.300 bit/s ohne Stuffing; 2.300 × 135 Bit = 310.500 bit/s mit Worst-Case-Stuffing.

3. 03
   Durch die Bitrate teilen

   255.300 ÷ 500.000 = 51 % und 310.500 ÷ 500.000 = 62 % Buslast, bevor auch nur eine Diagnosesitzung oder ein Error-Frame hinzukommt.

4. 04
   Ergebnis bewerten

   Die CAN-Arbitrierung arbeitet prioritätsbasiert. Hochpriore Frames merken davon kaum etwas, doch die Botschaften mit der niedrigsten Priorität warten mit steigender Last immer länger. Bei dieser Last bleibt wenig Raum für neue Funktionen, für Diagnoseverkehr oder für die zusätzlichen Bytes, die eine Botschaftsauthentifizierung erfordert.

CAN FD verändert die Rechnung auf zwei Wegen: bis zu 64 Datenbytes pro Frame und eine schnellere Datenphase nach dem BRS-Bit. 64 Byte als acht klassische Frames zu übertragen, belegt einen Bus mit 500 kbit/s etwa 1,78 bis 2,16 ms lang. Ein einzelner Frame in CAN FD mit 500 kbit/s nominaler Bitrate und 2 Mbit/s in der Datenphase überträgt dieselben 64 Byte in rund 0,33 bis 0,41 ms, also in etwa einem Fünftel der Buszeit. Den ausführlichen Vergleich finden Sie unter Klassisches CAN vs. CAN FD.

06Von Domänen zu Zonen

Die Domänenarchitektur wuchs, indem für jede neue Funktion ein Steuergerät hinzukam, jeweils mit eigener Verkabelung zu seinen Sensoren und Aktoren, wo auch immer diese im Fahrzeug saßen. Das Ergebnis ist ein Kabelbaum von mehreren Kilometern Länge und mehreren Dutzend Kilogramm Gewicht, eine der schwersten und montageaufwendigsten Komponenten im Auto. Die Zonenarchitektur ordnet dieselben Funktionen nach ihrem Einbauort neu: Wenige Zonensteuergeräte (zum Beispiel vorn links, vorn rechts und hinten) bündeln alle Sensoren, Aktoren, LIN-Cluster und lokalen CAN-Segmente ihres Bereichs und sind über ein Ethernet-Backbone mit einem oder mehreren zentralen Fahrzeugrechnern verbunden, auf denen die Funktionssoftware läuft.

Warum CAN nicht verschwindet

Die Zonenarchitektur schafft CAN nicht ab, sie verlagert es an den Rand des Netzwerks. Ein Fensterhebermotor, ein Sitzmodul oder ein Batteriesensor braucht alle paar zehn Millisekunden einige Bytes, robusten Betrieb über einen weiten Temperaturbereich und möglichst geringe Kosten pro Knoten. Klassisches CAN und CAN FD erfüllen diese Anforderungen besser als jeder Ethernet-PHY. CAN XL, genormt in ISO 11898-1:2024, erweitert die Familie in Richtung Ethernet-ähnlicher Nutzdatengrößen, während 10BASE-T1S als Multidrop-Ethernet um dieselbe Rolle am Netzwerkrand konkurriert. In der Praxis kombinieren Fahrzeuge, die 2026 vom Band laufen, all diese Technologien, und gemischte Flotten mit domänenbasierten, hybriden und zonalen Architekturen werden noch Jahrzehnte im Einsatz sein.

Zonen verändern auch das Schalten der Energie

Zonensteuergeräte schalten die Energieversorgung zunehmend elektronisch statt über Relais und Flachsicherungen, und zwar abhängig vom Betriebszustand (Power Mode) des Fahrzeugs. Die klassische Klemme 15 wird dadurch zu einem Softwarezustand, der über das Netzwerk verteilt wird, statt einer Leitung, die dem Zündschlüssel folgt. Das zählt vor allem in elektrifizierten Fahrzeugen, in denen OFF, ON und READY getrennte Zustände sind; siehe CAN in Elektro- und Hybridfahrzeugen.

07Cybersecurity ist heute eine Architekturanforderung

Die UN-Regelung Nr. 155 (UNECE R155) verpflichtet jeden Hersteller, ein auditiertes Cybersecurity-Managementsystem zu betreiben und dessen Wirksamkeit für jeden Fahrzeugtyp nachzuweisen. In der EU und bei den übrigen Vertragsparteien wurde sie im Juli 2022 für neue Fahrzeugtypen und im Juli 2024 für alle neu zugelassenen Fahrzeuge verbindlich. Die begleitende UN-Regelung Nr. 156 regelt das Software-Update-Management. Gemeinsam haben beide die Netzwerksegmentierung von einer Designpräferenz zur Pflicht gemacht und mehrere Maßnahmen in die Serie gebracht:

• Segmentierung und Filterung an Gateways, damit extern erreichbare Steuergeräte sicherheitsrelevante Steuerfunktionen nicht direkt ansprechen können.
• Secure Gateways, die einen authentifizierten Tester verlangen, bevor schreibende Diagnosefunktionen, Codierung oder Programmierung freigegeben werden.
• Botschaftsauthentifizierung (AUTOSAR SecOC), die ausgewählten Frames einen Freshness-Wert und einen gekürzten Message Authentication Code anhängt. Diese zusätzlichen Bytes sind ein weiterer Grund, warum die 64 Byte Nutzdaten von CAN FD wichtig sind.
• Intrusion-Detection-Systeme auf Gateways und Zentralrechnern, die Timing und Inhalt des Verkehrs auf Anomalien überwachen.
• Authentifizierte Diagnose, einschließlich zertifikatsbasiertem Zugriff über den UDS-Dienst Authentication, der mit ISO 14229-1:2020 eingeführt wurde.

08Was die Architektur in der Praxis bedeutet

Für Monteure, Serviceingenieure und Flottenintegratoren ist Architektur kein abstraktes Thema. Sie entscheidet, wo ein Anschluss sicher ist, was ein Messwert bedeutet und warum sich derselbe Modelljahrgang nach einem Facelift anders verhalten kann. Die folgenden Regeln ergeben sich direkt aus der oben beschriebenen Struktur:

1. 01Klären Sie, an welchem Segment Sie arbeiten. Leitungsfarben und Steckerpositionen sind herstellerspezifisch. Prüfen Sie anhand der Schaltplandokumentation des Herstellers, zu welchem Segment eine verdrillte Leitung gehört, bevor Sie etwas anschließen.
2. 02Achten Sie auf den Busabschluss. An jedem High-Speed-Segment sollten Sie bei abgeklemmter Batterie zwischen CAN-H und CAN-L einen Wert nahe 60 Ω messen. Fügen Sie niemals einen dritten Abschlusswiderstand hinzu; warum, erklärt der Beitrag Die physikalische Schicht von CAN.
3. 03Meiden Sie Sicherheitsdomänen, wenn Sie die Wahl haben. Fahrwerks-, Airbag- und Bremssegmente vertragen Störungen am wenigsten und werden am ehesten überwacht.
4. 04Respektieren Sie den Schlafmodus. Ein Segment, das nach dem Verriegeln nicht in den Bus-Sleep wechselt, entlädt die Batterie. Prüfen Sie das Schlafverhalten nach jedem Einbau.
5. 05Rechnen Sie mit Gateways. Die Diagnosebuchse ist der Serviceanschluss des Gateways, kein Fenster zu den internen Bussen des Fahrzeugs.
6. 06Rechnen Sie mit Änderungen. Facelifts, Plattformüberarbeitungen und zonale Neukonstruktionen verschieben Segmente, Steuergeräte und Steckverbinder. Prüfen Sie die Dokumentation für jedes Modelljahr neu.