IntCAN中為什么需要通信中斷?

楊福宇

(重慶工業自動化儀表研究所，重慶 401123)

IntCAN中為什么需要通信中斷?

楊福宇

(重慶工業自動化儀表研究所，重慶 401123)

對CAN總線來說，在通信中間實現中斷是可能的。基于CAN總線設計的IntCAN中有4種(2a、2b、2c、2d)2級中斷，它們由主節點發送。本文說明這4種中斷對應用的意義，并以爆胎事故對抗系統為例，說明基于IntCAN的新的TPMS系統是如何兼顧電池能耗與快速響應的。

通信中斷；CAN總線；自愈總線；診斷；TPMS

引 言

一般來說，一次通信的任務是不可以中斷的，只有CAN總線例外，出錯之后，CAN有報錯幀來提前結束當前傳送幀。那么這種中斷能力能否擴展，擴展了又有什么好處？

IntCAN是在CAN總線基礎上的一種設計，目前還在研究之中，它不僅要解決已知的CAN總線的各種安全性問題(錯幀的漏檢率大、等效離線、假冒錯和不一致接收)，而且還考慮了2級中斷的引入。本文主要分析2級中斷的各種應用的可能性及其給用戶帶來的好處。希望對這些問題的討論有助于改進協議設計，引導系統應用功能的提升，推動產業鏈的形成。

1 2級中斷如何產生

CAN總線收發器的輸出有兩個狀態：隱位(1)的高阻狀態和顯位(0)的電平差壓。總線上只要有一個節點輸出0，所有節點都會收到0，寫0的節點就可以打斷當前的傳送，實現中斷。CAN總線的報錯幀就屬于中斷。

CAN總線的報錯幀由兩部分組成，第1部分是由6～12位0構成的報錯標志(Error flag)，第2部分是8位1構成的報錯幀分界符(Error frame delimiter)。在分界符內的顯位按CAN標準是錯誤，將會導致再次報錯。IntCAN因為添加了中斷這種新的幀形式及其規定，協議運行狀態種類大大增加，中斷幀的定義也作了改變，并著重解決各節點有局部錯之后如何恢復幀收發的同步，以避免局部出錯與相互作用形成的系統崩潰。目前已經有了解決方案，不會出現沖突形成的系統崩潰。

IntCAN中斷幀的第1部分是6位0構成的中斷標志(Interrupt flag)，第2部分是由兩個6位數構成的中斷識別位(Interrupt identification)。當識別位的第一個6位是6個1時，就是1級中斷，相當于原來CAN總線的報錯幀。所有節點收到報錯標志之后可能有回應的報錯(Echo)，與識別位的第1個6位重疊，原來發送中斷識別的第1個6位的節點將重發此6位。當識別位的第1個6位不是6個1時，可以是2級中斷，而由識別的第2個6位再細分分類。例如，識別的第1個6位是00 0111(或11 1000)時，它代表2a級中斷，識別的第2個6位是00 0111時，整個中斷代表2a1中斷幀；識別的第二個6位是11 1000時整個中斷代表2a2中斷幀。

識別的第1個6位和第2個6位的代碼設計是專門針對用途的，主要是能容錯，其詳細內容不在本文中解釋。識別的第1個6位為實現容錯，分為a、b、c、d四類，識別的第2個6位除2a中斷外，對容錯的要求比較低，所以可以有較多的選擇，不過，為了簡化硬件現在只考慮了4種，即每種中斷有4個子類。

任何一個節點發現錯誤之后可以發送1級中斷報錯，而2級中斷只能由主節點發送。如果設計中誰都可以發送2級中斷，那么中斷之間發生沖突時的解決方案將非常復雜：有可能需要更長的識別位來解決容錯問題，通信控制器的硬件復雜性將大大增加，而且時間也會加長。

IntCAN所有的2級中斷管理不僅包括中斷幀的形式，還含有解釋該幀的后續通信操作規定，例如等待恢復原通信的條件。

2 針對強化物理層故障下存活能力的2a中斷

當通信系統遇到了只有改變物理層設置才能提供繼續工作的問題時，已經無法可靠地通過原有的幀傳送來重新組態，這時可以利用2a中斷幀。

2a1中斷之后引導一個心跳幀，這樣可以知道總線的這一段上哪些節點在正常通信，并進一步推斷是否發生了斷線。由于2a中斷的容錯設計，斷線時終端電阻位置變化引起的讀錯也不會影響。利用2a1中斷實現自愈總線方案的介紹可借鑒參考文獻[1]。斷線自愈后終端電阻的位置也會自動調整，保證了自愈后總線上的信號完整性。需要著重指出的是，這一點對時時處在風險之中的應用來說，(例如坦克、無人運載工具、道彈火箭的拖運車輛)，是保持生存和戰斗力的關鍵措施。

現在許多維修工作是要發現哪個ECU不通信了，如果有了2a1中斷引導的心跳記錄，維修時就很容易，提高了系統的可用性。

2a2中斷用于傳達改變通信速率的命令。美國宇航局曾在2008年航天飛機一次發射的準備中發生了錯誤而導致停發[2]，事后調查發現是一個二極管的結區發生了裂縫，二極管變成了電容。這個二極管是數據鏈(類似STD1553)接口中的，它使4重冗余計算機系統由3-1變為2-1-1,直到1-1-1-1。在CAN總線中，一般也配有抗靜電與雷擊的瞬態電位抑制二極管TVS，如果發生類似故障變為電容，就會影響信號轉變速度，造成錯誤,此時如果降低位速率可以改善出錯情況。

另一種情況是現場干擾。Siemens VDO汽車部門電磁兼容實驗室主任David Ladd曾提到，在歐洲有些高速公路跨越處，由于下面高壓線的電磁干擾，有些車的控制器受影響而出現熄火現象[3]，還出現過無線電通信等設備對車干擾致使車行駛失常的情況。在車內，由于設備接地變壞，造成由電源或總線進入CAN總線的干擾增加。

此時，主節點會發現總線上的錯誤較多，因為出錯之后，節點的錯誤計數器增減速率對比變大，容易進入消極報錯(Error passive)和離線(bus off)狀態，使故障擴大。安全策略在降低位速率的同時也使一些次要的應用讓出帶寬，但現在的CAN總線沒有一個可靠的可用通知管道。在通知過程中出錯就會使一部分節點以較低的位速率工作，一部分節點以原位速率工作，沖突會造成更大范圍的失效。用IntCAN之后，主節點可以發送2a2中斷，讓所有節點在收到此幀后改為預定的較低位速率運行，改善出錯情況。由于2a2的跳變少，而且容錯、接收節點誤讀的可能性就變小，系統就能一致地降到低位速率。此種故障-降額運行方案，在限制車速、可能增加排放、降低燃油效率等不利情況下，保證了最基本的安全運動功能。

另外，經過一段時間之后，主節點發現錯誤較少或沒有時，可以通過低速的常規幀(或者其他的2級中斷幀)告訴所有節點恢復原速度傳送，檢查造成原來錯誤多現象的原因是否已經消失，從而形成一種自適應方案。

這類應用具有普遍的意義，例如飛行器在敵方電磁攻擊下保證飛行，保存戰斗力，民用電網控制設備等在恐怖分子電磁攻擊下維持運行，不會導致災難性后果。

3 針對降低成本的2b中斷

2b類中斷提供一種IntCAN芯片引腳的直接開閉控制，無需節點軟件的時間開銷,這是從現代車控趨勢而來的一種推測。由于許多安全攸關的應用在軟硬件上要求的提高，ECU主計算芯片會越來越強大，有些芯片已經有了冗余通道+鎖步運行，以后還會出現更高級的對各寄存器作冗余的多核多通道表決用的芯片。但是這無疑會使ECU的成本大大提高，所以一種可能的發展方向是減少外圍節點的功能來強化核心ECU。當推出新的控制算法時，只是在核心ECU中添加軟件。此時外圍節點只是從事日常的設備診斷、檢測和執行，就可以選用較低檔的芯片。診斷信息將通過通信告知核心ECU、黑匣子。當核心ECU有緊急的消息要控制對象時，有兩種方法可以傳送到對象：一種是直接硬接線，另一種是通過總線。IntCAN的2b類中斷就是代替硬接線，從而在極小延遲的情況下節省線束的重量、體積。

延遲小在一些可能的應用中是很重要的。例如圖1中攝像機節點判定發生碰撞已不可避免時，趁碰撞尚未發生時，它就要關斷輸油泵，并打開所有門鎖，開啟天窗，可能還要閃爍車燈，發送無線求助請求，最后啟動安全氣囊。另一個例子是飛機或導彈追蹤誤差增大，瞄準裝置發現目標有逃離中心的趨勢時，立即采用次優的攻擊策略發射導彈，不失戰機。

雖然一個節點只控制2個引腳的開閉，實際上這個引腳可以有硬件的擴展方法，例如譯碼線路、移位寄存器等。

圖1 用2b中斷直接操作對象開閉

4 針對靈活調度需要的2c中斷

2c中斷功能類似于2b中斷，但它更加靈活。用濾波器設置使只有匹配的節點才能接收該幀并采取行動。這些行動包括啟動某種任務(含開關特定引腳)。它的響應很快，因為主要的處理都是在硬件中進行。這些運行控制用常規數據幀的方式也可以，但在intCAN中用中斷幀會更加靈活、快速。

學術界對于事件觸發調度與時間觸發調度的爭論由來已久，現在比較傾向于用時間觸發調度機制來保證消息送達時間的可預知性，例如TTP/C和FlexRay協議。但是這些協議仍然存在問題，比如傳送中出現錯誤怎么辦？這些協議的解決辦法是用物理上的兩套系統實現冗余，但兩套系統也會同時出錯[4]。兩套系統中有的節點因局部原因同時出錯而與其他節點出現不一致接收怎么辦？它們沒有解決，所以這個爭論并未結束。

IntCAN傳承了CAN總線的報錯機制，出錯時可以自動重發，報錯也能使全局取得一致。

為了在時間觸發調度中加入報錯，提出了一種弱的時間同步方法Flexstep，把時隙(slot)的概念換成步(step)，step的開始時刻與原來slot的開始時刻對應，但是它可以延遲開始，在無發送時可以追趕原定的開始時刻。step的推進由兩個條件之一決定：如果總線上已經開始發送，那么以成功收發結束進入下一步，這樣就可以容納出錯自動重發；如果總線上沒有開始發送，那么原定下一步開始時間到時進入下一步。這樣，消息的送達時間會因報錯/重發而造成小的抖動，但不會有原來時間觸發調度產生丟幀、不一致性。由于Flexstep是弱時間觸發調度，所以同樣重要性的幀不會因ID設置的限制而在送達時間上出現大的差別。

由于step開始時間有一定范圍的靈活性，所以引申出新的調度方案。每一個幀或節點被指定在某個step發送，可以按不同節點所需帶寬離線預分配好。如果因為某種原因，這個step沒有在開始處的小窗口開始原定發送，那么這個step可以被其他節點競爭發送。可參與競爭的有原來的非周期性消息，以及預定在下一步但已提前就緒的周期性消息，后者可使空閑順延，有利于充分利用帶寬。

這種調度方法可方便未來的應用，例如車聯網中的實時診斷數據上傳需要較大的帶寬，如果有些step傳送的消息處于穩態(如節氣門開度沒有變化)的話，則主節點可通過2c3中斷，使這些節點省下所預定的step。又如有緊急的事件(碰撞)發生了，為了特定目的需要傳送更多的幀，重要性較低的幀(例如為精細排放控制或提高發動機效率而設的某些修正參數)可以在短時內讓出它們的step，而2c4中斷可用于收回帶寬，恢復正常運行。

5 針對提高診斷能力的2d中斷

2d中斷幀是一種新的工具。節點收到2d中斷幀后要停止一段時間的發送，等待主節點發送一個任意優先級的幀，后續的處理取決于2d子類的定義。

例如收到 2d1 及主節點發送的一個任意優先級的幀后，它可以恢復競爭性發送，或者恢復Flexstep的調度發送。收到 2d2、2d3 及主節點發送的一個任意優先級的幀后，等待一定空閑時間才恢復原來的發送調度機制，所以2d中斷可以強力干預通信過程。

在信息安全領域，這種中斷將很有意義。例如當懷疑有黑客侵入車內系統時，駕駛員不僅要禁止車與外網的連接，而且要恢復原來曾成功的設置，就像重啟 Windows一樣。此時駕駛員不必知曉動作的細節，只要按一個按鈕就行。與按鈕相連的主節點發送2d1中斷幀,此中斷優先級可以超越所有常規幀，不管黑客植入什么，系統是否正在被病毒操作，仍能停止其干擾。節點在收到2d1中斷及其后續幀后，恢復到后備設置，或其他預定的工作模式。

在診斷和維修過程中，如果能夠設置ECU所需的輸入值，就可能很快地找到問題所在。2d2中斷可提供這一特性，2d2中斷后隨一個主節點發送替代輸入值，如果再與其他手段配合，加上禁止原來節點所發的這個輸入值，就可以實現在線診斷。

收到2d3 中斷及其后續的幀后，節點要等待一段時間，等收到另一個幀后才恢復常規通信。例如主節點可發送一個遠程請求幀(要知道某ECU的內部狀態)，對應ECU就回復其數據，此時用中斷嵌入的請求得到的是實時狀態。如果需要，只要標識符夠用，甚至可診斷到ECU的特定寄存器，就像單片機開發中的debug過程一樣。用這一工具可以開發出更先進的診斷軟件與標準，實時在線診斷能力可以極大地減少維修所需時間，增強可用性(availability)。

[5]轉述：2006年GE、Ford、Daimler Chrysler三大車廠售出2.08千萬輛車，總保修費支出達153.4億美元(折算到每車為700美元)，涉及零件失效、更換、不準確的投訴、客戶不滿等。而更換零件診斷時，故障條件不能重現，正常工作的零件被不必要地更換、有故障的零件仍在車上的情況常常發生。在4年中的電子點火模塊中標為NFF(未發現錯)而更換的占25%～80%，可見實時在線診斷的經濟意義。無人駕駛車已是現在的潮流，必須用實時在線診斷才能快速找到問題的根源，并推理出是一種失效、還是一種臨界但仍安全的情況，才能保證安全、容錯而連續性地工作。

實時在線診斷對ECU開發以及生產過程的校驗也是非常有用的工具。

6 新能力引出新方案

通信中傳送中斷是一種前所未有新的能力，在前面提到了加強功能安全，實現硬件容錯，保證故障-降額運行的可靠實行，擴充和加速在線診斷能力，提供新的靈活調度能力，替代硬接線節省成本等可能性。此外中斷的快速響應機制有可能引起新的系統與產品設計。

以對抗爆胎故障為例，現在的胎壓檢測控制系統對車胎內壓力的變化不斷檢測，通過無線方式傳送出去，由于采用電池供電，檢測周期越長越省電，也就沒有更換電池的麻煩。但是該系統只是預防胎壓超值引起的爆胎，沒有考慮有尖銳物刺破輪胎時的爆胎。爆胎時，這個輪子將難以參與驅動、制動以及支撐，所以會涉及車的方向、傾斜，就與許多系統存在耦合關系。假定兩個驅動輪中有一個爆胎了，車會轉向，慣性會使轉向后的車翻車。由于人的反應時間至少需要0.1～0.2 s，所以保護方案的反應時間至少需快于人，而剎車、發動機、變速器部分的反應時間是固定的，所以能夠加快的是控制與通信。

TPMS發現爆胎報警需要4～6 s，時間太長了，根本無法防止事故的擴大。設想一種利用中斷喚醒無線發送的方法:假定開機以后傳感器每分鐘送一次溫度、壓力數據(這對緩慢變化的溫度壓力已經足夠)，達到省電的目的；在車身主節點處有一個爆胎聲傳感器，發生爆胎時通過2b1中斷通知輪胎附近的無線喚醒單元供電，傳感器內的接收天線收到啟動信號(傳感器內部天線部分不耗電)，立即采樣壓力并傳送胎壓數據到胎壓儀，然后胎壓儀判斷本車有沒有爆胎，是哪個胎爆了。車身主節點再送2d3中斷，讀取胎壓儀的信號，就可以作相應處理了。

這樣的方案響應時間主要取決于無線傳送喚醒時間，可能在數ms之內。該方案當然也可以用通常的通信幀實現，然而在CAN總線中，最高優先級的消息仍可能被傳送中的低優先級幀阻斷，所以這一方案的二次通信可能被阻斷270位, 絕不可能像用IntCAN中斷那樣快，何況爆胎信號能否取最高優先級也是未定之事。

結 語

IntCAN提供了已有通信協議從未具有的能力，不僅能分享已有通信協議市場的蛋糕，而且可把市場做大，希望有更多的人參與進來。

參考文獻

[1] 楊福宇. CAN總線的安全性研究進展[J].單片機與嵌入式系統應用,2015(6)：15-18.

[2] Kevin Driscoll and Brendan Hall.NASA VVES and Related Experience as an AADL Development Driver [C]//Presented to SAE AS-2C,2012.

[3] Ivan Berger.Can you trust your car?[J].IEEE Spectrum,2002(4):41-45.

[4] 楊福宇.TTP/C組籍算法存在的問題[J].單片機與嵌入式系統應用,2014(10):1-4.

[5] Patrick E,Lanigan.Diagnosis in Automotive Systems:A Survey [EB/OL].[2015-04].http://www.pdl.cmu.edu/PDL-FTP/ProblemDiagnosis/CMU-PDL-11-110.pdf.

Why do We Need Communication Interrupt in IntCAN?

Yang Fuyu

(Chongqing Industrial Automation Instrument Research,Chongqing 401123,China)

It is feasible to implement interrupts in CAN bus.IntCAN bus is designed based on CAN bus,which has four kinds of second priority interrupts (including 2a,2b,2c and 2d) that can be sent by a master node.The value of the four kinds of interrupt to the applications is described in this paper.Finally,taking blowout accident counter measure system as an example, the paper explains that how to balance the battery energy consumption and rapid response of the new TPMS system based on IntCAN.

communication interrupt;CAN bus;self-healing bus;diagnosis;TPMS

TP302.8

A

士然

2015-03-02)