CAN总线的关闭与恢复.pdfVIP

CAN总线的关闭与恢复--第1页

时间：2009-06-3013:04:11来源：单片机与嵌入式系统应用作者：重庆工业自动化仪表研究所杨福字

摘要处于消极报错状态的CAN节点在一次本地错之后，由于标准考虑不周，会产生

该节点与其他节点在帧启停上的不同步，造成错误的不断延续，在接收节点中产生等同离

线状态。本文讨论了在发送节点中产生真正离线的原因，并提出了解决方案。

关键词CAN报错帧分界符优先级逆转离线

CAN是应用非常广泛的现场总线。它已经被大部分汽车厂商用作车内控制器交换信息

的通信干线，是分布式嵌入式系统的关键部分。但是它有一种以前未讨论过的与安全有关

的故障，当某一处于消极报错状态的节点由于干扰而产生一个本地错后，因标准考虑欠

周，该节点会与其他节点帧启停失去同步，在其他挂起待发的消息发送时不断出错，形成

等同于离线的状态，无法提供服务，从而危及安全。本文讨论处于消极报错状态的发送节

点，由于同样的原因失去同步后的演变过程。这里不同的是，因为标准中的另一个规定，

它可能经历一个真正的离线状态。

1CAN标准的安全漏洞

在讨论该问题时假定读者对CAN的标准已有充分的了解，由于中文译法的差别，本文

采用的术语可能有所不同，相信不会影响读者的理解。在BoschCAN2.O规范3．1．3款中

说：“为了使报错帧正确结束，消极报错节点可能需要处于空闲状态至少有3bit时间(如

果消极报错接收节点发生本地错)，因此总线不应满负荷运行。”——这是引起应用出故障

的原因。因为节点问并无时间同步，即便总线有空闲时间，也不能保证像上述要求那样的

分布。挂起待发的消息将在服务间隔(intermission，图中缩写为I．M．)后立即发送。这

在规范中也有规定：“在另一条消息发送过程中挂起待发的消息在服务间隔后的第一位启

动(发送)”。ISO11898标准没有提到3位空闲问题，但是CAN一致性测试标准ISO16845

的具体条文会有这种要求(虽然该空闲要求还是不充分的)。CAN规定处于消极报错状态的

节点在发现错之后发出6位隐位的消极报错标志(Passiveerrorflag)，如读回6个连续

的相同位时，就确认报错标志发完，如没发现6个连续的相同位，就继续发隐位，直到得

到确认，然后开始消极报错帧分界符的发送。分界符从发出隐位读回也是隐位时开始计

算，总共为8个连续的隐位。在CAN一致性测试标准ISO16845的7．5．6款与8．5．13

款中，规定了接收节点与发送节点在发消极报错帧分界符时的格式错检查办法。它规定，

在消极报错帧分界符开始后的8位中不得有显位；如有显位，就视为出错，开始新的报错

帧。

如果一个处于消极报错状态的节点发现一个本地错(即有一种误判或漏判)，由于其他

节点不发主动报错帧，那么它发的消极报错帧标志就不会及时得到确认，往往要到图1所

示的数据帧或远程帧的EOF第5位才会得到确认；而它的消极报错帧分界符将延续到帧的

服务间隔之后，它就和其他节点的帧启停失去了同步。其他节点开始新帧的SOF将被它视

为格式错，而开始发新的消极报错帧。当其他节点有挂起待发的帧不断发送时，这个处于

CAN总线的关闭与恢复--第1页

CAN总线的关闭与恢复--第2页

态。

这种源自标准考虑不周的故障会使CAN的优先级逆转(在处于消极报错状态的节点中的

高优先级消息无法发送)；同时，基于优先级进行的调度分析失灵。以此为算法设计得到的

消息最坏送达时间将是不可靠的，车的安全会受影响。在参考文献[1]中，讨论了修改消极

报错帧分界符长度来解决该故障的方法。

2处于消极报错状态发送节点本地错的后果