CAN總線的功能安全問(wèn)題
作者：
時(shí)間：2013-04-23
來(lái)源：網(wǎng)絡(luò)
收藏
英飛凌汽車電子生態(tài)圈
掃碼關(guān)注
獲取最新最全汽車電子
技術(shù)方案與實(shí)用技巧
圖中隊(duì)長(zhǎng)度18的出現(xiàn)數(shù)比隊(duì)長(zhǎng)度17次的多，解釋如下：雖然每個(gè)18隊(duì)都要經(jīng)過(guò)17隊(duì)而下降，但是處于18隊(duì)時(shí)仍可能增長(zhǎng)到19隊(duì)或更長(zhǎng)，它們退下時(shí)又要經(jīng)過(guò)18隊(duì)狀態(tài)。而在某時(shí)，由于同時(shí)就緒的消息多于2個(gè)，所以使隊(duì)長(zhǎng)度直接由小于17而跳到18，從而使18隊(duì)的出現(xiàn)次數(shù)多于17隊(duì)。
于是，消極報(bào)錯(cuò)發(fā)送節(jié)點(diǎn)發(fā)生等效離線而進(jìn)入真正離線的概率是P=BER×9×1．2×10-3 ，其中BER為誤碼率。這是一個(gè)樂(lè)觀的估計(jì)。
對(duì)消極報(bào)錯(cuò)接收節(jié)點(diǎn)，發(fā)生在幀內(nèi)任一位的局部錯(cuò)均可能產(chǎn)生類似的情形，即消極報(bào)錯(cuò)幀分界符內(nèi)遇到其他節(jié)點(diǎn)掛起待發(fā)幀的發(fā)送，造成再出錯(cuò)的情形。假定幀長(zhǎng)為135位，那么其等效離線的概率是P=BER×1 35×1．2×10-3。
3 離線的時(shí)間
發(fā)生等效離線的節(jié)點(diǎn)不再能發(fā)送，所以應(yīng)扣除消息源是該節(jié)點(diǎn)的那些幀。此時(shí)的分析方法可以參考CAN總線的傳統(tǒng)調(diào)度分析方法，最壞的情況是最低優(yōu)先級(jí)消息的送達(dá)時(shí)間。這樣分析的結(jié)果與應(yīng)用的具體配置有關(guān)，對(duì)每一個(gè)節(jié)點(diǎn)是不同的。
假定掛起待發(fā)的消息有4字節(jié)數(shù)據(jù)，采用11位ID，平均填充位取8位，再加3位服務(wù)間隔，那么16幀導(dǎo)致的等效離線為16×(84+3)=1 392位，真正離線的時(shí)間為128幀，最壞情況為幀間有10位的空閑。所以真正離線將有128 x(84+3+10)=12 416位。二者相加，消極報(bào)錯(cuò)發(fā)送節(jié)點(diǎn)出錯(cuò)后會(huì)有總計(jì)13 808位的不能服務(wù)的時(shí)間，在500 kbps速率下，這相當(dāng)于27．6 ms。如果采用29位ID，填充位也增加，幀長(zhǎng)變?yōu)?05位，此時(shí)消極報(bào)錯(cuò)發(fā)送節(jié)點(diǎn)出錯(cuò)后不能服務(wù)的時(shí)間將達(dá)34．5 ms。有的車采用250 kbps速率，那將有69 ms不能服務(wù)的時(shí)間。
4 2個(gè)隱患在應(yīng)用上的影響
隱患實(shí)際發(fā)作時(shí)就表現(xiàn)為系統(tǒng)內(nèi)的故障。
4．1 錯(cuò)幀漏檢的影響
在單一接收節(jié)點(diǎn)的情況下，錯(cuò)幀傳遞的信息值域的變化很大，有些應(yīng)用算法加有絕對(duì)值的限幅器，或者變化速度的限幅器，可以減少這一故障的危害性。但是這些措施有時(shí)是不可行的，或者以降低系統(tǒng)的動(dòng)態(tài)性能為代價(jià)，顯然是應(yīng)用設(shè)計(jì)部門不希望的。
在有多個(gè)接收節(jié)點(diǎn)的情況下，這一故障就造成數(shù)據(jù)完整性問(wèn)題，例如在油門、離合器和剎車系統(tǒng)中油門的開(kāi)度有不同的解釋，系統(tǒng)就難以協(xié)調(diào)工作。
在冗余系統(tǒng)中，如果沒(méi)有表決機(jī)制，就可能收下錯(cuò)誤的數(shù)據(jù)，就必須增加軟件及時(shí)間資源來(lái)解決問(wèn)題。
4．2 離線的影響
如上所述，消極報(bào)錯(cuò)發(fā)送節(jié)點(diǎn)出錯(cuò)后不能服務(wù)的時(shí)間將達(dá)34．5 ms，這在一些應(yīng)用中是不能接受的，例如電子穩(wěn)定控制系統(tǒng)(ESP)中，Bosch ESP8要求信號(hào)更新周期最小20 ms。消極報(bào)錯(cuò)接收節(jié)點(diǎn)出錯(cuò)后不能服務(wù)的時(shí)間較短，但是其發(fā)生的概率遠(yuǎn)大于消極報(bào)錯(cuò)發(fā)送節(jié)點(diǎn)出錯(cuò)后不能服務(wù)的概率(15倍)，其影響尚未充分研究。
車輛以100 km／h速度運(yùn)行時(shí)，延遲34．5 ms開(kāi)始剎車意味著已運(yùn)動(dòng)0．94 m，對(duì)駕駛員來(lái)說(shuō)是不能接受的。2010年豐田公司Prius的剎車能量回收軟件有0．06 s延遲，造成剎車距離長(zhǎng)了0．6 m，進(jìn)行了召回。
4．3 2個(gè)故障先后發(fā)生
應(yīng)用收下了一個(gè)錯(cuò)誤的數(shù)據(jù)，然后又發(fā)生了第二個(gè)故障，無(wú)法改正第一個(gè)錯(cuò)誤，就非常危險(xiǎn)。例如向內(nèi)道運(yùn)動(dòng)時(shí)轉(zhuǎn)向角是5°，但是由電動(dòng)助力轉(zhuǎn)向ECu發(fā)往ESP-ECU的幀被讀錯(cuò)為30°，則ESP幫助實(shí)現(xiàn)30°轉(zhuǎn)向，如ESP-ECU或電動(dòng)助力轉(zhuǎn)向ECU發(fā)生離線故障，34．5 ms內(nèi)仍保留這30°的錯(cuò)誤命令，就會(huì)沖向隔離帶或?qū)Ψ杰嚨馈?br /> 下面分析其概率：假定總線工作于500 kbps，總線負(fù)載率為40％，平均幀長(zhǎng)為100位，那么每小時(shí)送7．2×106幀。筆者對(duì)參考文獻(xiàn)作了新的修正，得到錯(cuò)幀漏檢概率為Pud=1．67×10-7，仍比Bosch的(Pud=4．7×10-11)高幾個(gè)數(shù)量級(jí)，與Tran的結(jié)果相近(Pud=1．3×10-7)。
如考慮通道錯(cuò)概率=0．001(它考慮了誤碼率的不均勻分布，例如每1000幀錯(cuò)1幀)，那么可算出殘差率為Pres=1．67×10-10。可算得第1個(gè)故障造成的失效率Pfailure1=1．2×10-3／h。當(dāng)ber=0．001時(shí)第2個(gè)故障出現(xiàn)的概率P2nd=1×10-5，造成的失效率為Pfailure2=72／h。由此推斷2個(gè)故障先后出現(xiàn)時(shí)的失效率Pfailure1+2=1．1×10-3／h。
CAN總線已經(jīng)使用于安全攸關(guān)的系統(tǒng)中，例如電子穩(wěn)定控制系統(tǒng)(ESP)。按照道路車輛的功能安全國(guó)際標(biāo)準(zhǔn)ASIL-C的要求，系統(tǒng)的故障率應(yīng)小于10-7／h。這包括許多可能失效的因素，例如傳感器失效、CPU失效、接插件失效、電源失效等，甚至鏍釘未擰緊。通信系統(tǒng)分配的份額一般為1％，即要求達(dá)到小于10-9／h。由表1可知，錯(cuò)幀漏檢與離線的故障都達(dá)不到。即使在ESP中，因連續(xù)發(fā)生2種故障而產(chǎn)生失效的概率也相當(dāng)大，只有在誤碼率小于10-4的情況下才能達(dá)到安全要求。實(shí)際的車內(nèi)環(huán)境很差，有的車廠為了節(jié)省費(fèi)用，對(duì)電磁干擾源頭處理就不足，干擾可能引起較大的誤碼率。還有車外環(huán)境的影響，高壓線、大功率電臺(tái)、雷達(dá)站等附近的干擾就大。這都可能造成誤碼率大于10-4，使系統(tǒng)失效。
5 軟件補(bǔ)丁方案實(shí)現(xiàn)難點(diǎn)
在參考文獻(xiàn)中提出過(guò)添加額外的CRC檢驗(yàn)來(lái)改善錯(cuò)幀漏檢，對(duì)已有的應(yīng)用難以執(zhí)行。它要占用數(shù)據(jù)域，由應(yīng)用軟件生成和檢驗(yàn)，這要耗費(fèi)一定的時(shí)間，檢驗(yàn)出錯(cuò)誤后要另外發(fā)幀通知?jiǎng)e的節(jié)點(diǎn)，以及要求重發(fā)。所有節(jié)點(diǎn)為取得一致性都得有計(jì)時(shí)器，大大延遲整個(gè)接收過(guò)程。出錯(cuò)重發(fā)的時(shí)間也大于原CAN總線的時(shí)間，破壞了原調(diào)度分析的結(jié)果，因此需要重新進(jìn)行認(rèn)證。
已有的應(yīng)用已經(jīng)采用8字節(jié)數(shù)據(jù)的，就需要拆分成2幀。需要增加標(biāo)識(shí)符，這要在接收節(jié)點(diǎn)增加或修改濾波的設(shè)置，還要增加合并機(jī)制。這都增加了軟件工作及其正確性的驗(yàn)證工作，特別是涉及不同廠家的ECU時(shí)就更復(fù)雜了。
對(duì)等效離線問(wèn)題，除了修改消極報(bào)錯(cuò)幀分界符長(zhǎng)度外，還可以用完全取消消極報(bào)錯(cuò)狀態(tài)的方法：例如用市售CAN總線芯片出錯(cuò)計(jì)數(shù)器達(dá)到96時(shí)的中斷，由應(yīng)用決定如何修改工作模式。新的模式可以是認(rèn)為通信已失效，便進(jìn)入降額使用狀態(tài)，同時(shí)復(fù)位通信，等一段時(shí)間再投入正
常運(yùn)行。這種方案是將離線的時(shí)間變?yōu)槌Ａ?，并讓?yīng)用知道。它并沒(méi)有減少離線的概率，只是可能減少一次離線的時(shí)間。
這種方案的問(wèn)題是，從開(kāi)始降額到實(shí)現(xiàn)降額的過(guò)程并不安全(沒(méi)有剎車，車并不立即降速)。另外，頻繁地在正常／降額模式間切換會(huì)引起消費(fèi)者的不安，失去對(duì)車可靠性的信任感，對(duì)車廠是極為不利的。
由此可見(jiàn)，軟件補(bǔ)丁的方案對(duì)現(xiàn)有車的改進(jìn)極為有限。
以上分析的CAN總線隱患完全是協(xié)議設(shè)計(jì)不周造成的，因此協(xié)議要改。把CAN總線的優(yōu)點(diǎn)繼承下來(lái)，物理層仍可沿用，線纜也不用改，甚至印刷版都不用改，用到安全攸關(guān)的場(chǎng)合仍可能是合適的。本文引用地址：http://cafeforensic.com/article/196159.htm
評(píng)論