|
作者：楊福宇 這篇文章要介紹現(xiàn)場(chǎng)的環(huán)境是如何惡劣，即使用屏蔽電纜，也會(huì)出很多錯(cuò)。另外，要看看別人是確定了什么樣的數(shù)值界限。你看了之后就會(huì)覺(jué)得充耳不聞、視而不見(jiàn)、自欺欺人是不智的。 CAN總線即使有不安全的隱患，但是否在可容忍的界限內(nèi)？要回答這個(gè)問(wèn)題，必須要弄清楚現(xiàn)場(chǎng)會(huì)多惡劣，其次，可多大的失效概率是容許的界限。 從功能安全的角度，一個(gè)系統(tǒng)功能失效（它會(huì)造成人身和財(cái)產(chǎn)嚴(yán)重?fù)p失）的概率應(yīng)該小于10-7/h�？紤]到系統(tǒng)內(nèi)部件的總多，分配給通信息系統(tǒng)的失效概率是10-9/h。這是與風(fēng)險(xiǎn)大小/當(dāng)前由技術(shù)水平?jīng)Q定的投入的成本之比有關(guān)所作出的判斷。當(dāng)每小時(shí)有1千萬(wàn)輛車在開(kāi)時(shí)，每小時(shí)10-7次故障意味著每天要有24輛車出或重或輕的車禍，也許死更多的人。中國(guó)今天的車保有量是1億2千萬(wàn)輛，想想吧！ 常識(shí)告訴我們電磁環(huán)境惡劣時(shí)干擾多，誤碼率就高，失效率就高。所以討論容許的誤碼率就一定要先說(shuō)在什么環(huán)境之下。 誤碼率的統(tǒng)計(jì)是以一段時(shí)間內(nèi)出現(xiàn)錯(cuò)誤的個(gè)數(shù)除以總的傳送的碼的個(gè)數(shù)，這里統(tǒng)計(jì)的時(shí)間長(zhǎng)度又對(duì)統(tǒng)計(jì)的結(jié)果有很大的影響。這是因?yàn)楦蓴_并不是均勻分布的，例如雷擊時(shí)的干擾就比晴天要多，（還記得2011-7-23動(dòng)車組出軌那天的雷擊嗎，碰巧那里的CAN總線也出了問(wèn)題），在工業(yè)環(huán)境里開(kāi)關(guān)一個(gè)感性負(fù)載時(shí)比該負(fù)載運(yùn)行時(shí)干擾大。如果在傳送中正好碰到負(fù)載切換，以一幀長(zhǎng)度來(lái)統(tǒng)計(jì)誤碼率就會(huì)很大，但是如果一小時(shí)內(nèi)只有開(kāi)關(guān)了一次負(fù)載，那么按一小時(shí)來(lái)統(tǒng)計(jì)誤碼率就會(huì)很小，絕對(duì)的錯(cuò)數(shù)被大大攤薄了。 在通信通道的錯(cuò)誤的模型上，就把這種情況以好壞二種狀態(tài)來(lái)表示，一個(gè)通道可以用一種概率處于好的狀態(tài)，以另一種概率處于壞的狀態(tài)，上面所講的雷擊或感性負(fù)載開(kāi)關(guān)的時(shí)候就是壞的狀態(tài)。 那么選多長(zhǎng)的時(shí)間統(tǒng)計(jì)是合理的？這也要看干擾的性質(zhì)與要對(duì)付的失效的性質(zhì)。 這是對(duì)感應(yīng)耦合干擾的實(shí)驗(yàn)結(jié)果： FEI REN，“PERFORMANCE IMPROVEMENTS OF AUTOMOBILE COMMUNICATION PROTOCOLS IN ELECTROMAGNETIC INTERFERENCE ENVIRONMENTS”，A THESIS Presented to the Faculty of the Graduate School of the UNIVERSITY OF MISSOURI-ROLLA, 2007] http://scholarsmine.mst.edu/thesis/pdf/Ren_09007dcc80487aed.pdf 圖中數(shù)據(jù)幀的長(zhǎng)度為0.22ms（有4個(gè)幀多點(diǎn)），干擾由測(cè)試設(shè)備隔離的獨(dú)立的電池經(jīng)開(kāi)關(guān)通斷一個(gè)在車中常用的繼電器產(chǎn)生，它的電線與CAN電纜松散地平行放置，長(zhǎng)度各為2米，開(kāi)關(guān)為每秒切換二次，平均地說(shuō)每次切換會(huì)引起0.49ms的干擾(the average length of EMI is 0.49 ms.)。他統(tǒng)計(jì)的是收到幀中真正出了錯(cuò)的bit數(shù)（When receives frames, if any errors occurs in this frame, the receiver node can record the number of errors, and then request retransmission. The bit error rate can be gained by dividing the number of errors by the total number of received bits.）。 
由這個(gè)實(shí)驗(yàn)可見(jiàn)，干擾發(fā)生在有負(fù)載切換的時(shí)候；它可以很密集，甚至在一個(gè)幀內(nèi)有多次誤碼。 下表是他用屏蔽電纜的實(shí)驗(yàn)結(jié)果，他認(rèn)為在實(shí)驗(yàn)中沒(méi)有數(shù)據(jù)丟失（表中寫為100%），但是實(shí)際收到的還是有差別，例如在2米線時(shí)作40次開(kāi)關(guān)干擾時(shí)（20秒內(nèi)40次壞狀態(tài)），少收了2bps，即丟2/904861=2.2*10-6。又如開(kāi)關(guān)60次時(shí)（20秒內(nèi)60次壞狀態(tài)）少收4bps，可見(jiàn)誤碼數(shù)與干擾概率的比例關(guān)系，即每次壞狀態(tài)時(shí)的誤碼率是相近的。由每次開(kāi)關(guān)干擾長(zhǎng)度0.49ms計(jì)，壞狀態(tài)占運(yùn)行狀態(tài)的概率分別為2*0.49ms/1s=1*10-3和3*0.49ms/1s=1.5*10-3，因此可推出壞狀態(tài)時(shí)的誤碼率分別為2.2*10-3和2.9*10-3，所以即使是屏蔽電纜，壞狀態(tài)時(shí)誤碼率也是很高的。注意，我從他的實(shí)驗(yàn)結(jié)果得到了與他不同的結(jié)論。
拋開(kāi)學(xué)術(shù)上分類方法的討論，這里討論二類通信失效：如果誤碼引起的錯(cuò)可以被通信協(xié)議的查錯(cuò)規(guī)則發(fā)現(xiàn)，那么誤碼率的影響就反映到幀出錯(cuò)的概率，只要一個(gè)幀的出錯(cuò)概率小于1，那么總有成功送達(dá)的幀。 如果誤碼引起的錯(cuò)不可以被通信協(xié)議的查錯(cuò)規(guī)則發(fā)現(xiàn)，那么誤碼率的影響就反映到錯(cuò)幀漏檢的的概率。錯(cuò)幀漏檢率是非常重要的指標(biāo)，因?yàn)槿藗優(yōu)榱斯?jié)省成本與時(shí)間，不想再添加其他檢驗(yàn)措施，而認(rèn)為只要通信協(xié)議檢驗(yàn)通過(guò)了就可以直接用，或者因受系統(tǒng)的別的約束，難以采取其他補(bǔ)救措施（我在文（10）中將討論這一點(diǎn)）。 這種嚴(yán)格要求來(lái)源于系統(tǒng)可信賴性（system dependability）的分析。系統(tǒng)可信賴性分析時(shí)把故障分為能檢測(cè)出的和不能檢測(cè)出的二類。能檢測(cè)出的故障往往可以采取措施，使系統(tǒng)回到安全狀態(tài)，而不能檢測(cè)出的故障則無(wú)法采取措施，它的概率就百分之百地算到系統(tǒng)失效概率中去了。 所以，涉及安全時(shí)就要考慮一幀長(zhǎng)度時(shí)的誤碼率。如果有幀的多次多通道的重復(fù)傳送，以解決正確幀和漏檢錯(cuò)幀的拜占庭錯(cuò)時(shí)，容許一幀有錯(cuò)幀漏檢，可以放寬誤碼率的要求。 我們看看有關(guān)的通信協(xié)議是如何處理誤碼率數(shù)值的： PROFIsafe System（2010年版）中提到他們?yōu)楸ＷC錯(cuò)幀漏檢的貢獻(xiàn)小于10-9/h，選擇額外的CRC時(shí)要對(duì)付的誤碼率是10-2。見(jiàn)： PROFIsafe System Description （p.10） http://www.profibus.com/nc/downloads/downloads/profisafe-technology-and-application-system-description/download/9594 For the transmission, PROFIsafe is allowed a mere 1% contribution, meaning that the permissible probability of dangerous failures is 10-9/h. This permits suitable CRC polynomials to be deter- mined for the intended PROFIsafe message lengths. The resulting residual error probability of undetected corrupted PROFIsafe messages at a maximum bit error probability of 10-2 guarantees the required order of magnitude. 在CAN協(xié)議錯(cuò)幀漏檢率的分析報(bào)告中（p.9），他們計(jì)算實(shí)例時(shí)采用的誤碼率是2*10-2。見(jiàn)：J. Unruh, H.J. Mathony, K.H. Kaiser: "Error Detection Analysis of Automotive Communication Protocols". SAE Int. Congress, No. 900699, Detroit, USA, 1990。 可見(jiàn)誤碼率為10-2是一個(gè)合適的界限，就是壞的狀態(tài)時(shí)的誤碼率界限。如果通信系統(tǒng)處于壞狀態(tài)的概率定為10-3，那么平均的誤碼率就只相當(dāng)于10-5了。 中國(guó)古語(yǔ)說(shuō)取法于上得乎其中，取法于中得乎于下，所以你如果真的想趕上國(guó)外的先進(jìn)水平，就不能懈怠了。你看，CAN已經(jīng)盡力想達(dá)到這樣的要求，但仍未達(dá)到，可見(jiàn)得乎其中了。 有朋友告訴我，他印象中，誤碼率10-4已經(jīng)很壞了，現(xiàn)場(chǎng)恐怕只有10-8，不會(huì)達(dá)到10-2吧。這一方面是因?yàn)闆](méi)有區(qū)別統(tǒng)計(jì)誤碼率的時(shí)間長(zhǎng)短的結(jié)果，另一方面把干擾源低估了。有些干擾源可以加措施于以削弱，但是有些干擾源是無(wú)法預(yù)防的，例如雷擊、人為攻擊。我們?cè)O(shè)計(jì)的系統(tǒng)可能在雷雨區(qū)、雷雨季節(jié)使用，可能在電磁戰(zhàn)的戰(zhàn)場(chǎng)使用，你就必須考慮在高的誤碼率下存活。 有人喜歡玩弄辨論“技巧”，說(shuō)這樣要出事的話就是“不可抗力”的因素了，到時(shí)候當(dāng)然是可以免責(zé)的。 2011-7-23動(dòng)車事故中有一段：事故調(diào)查組檢驗(yàn)測(cè)定，因雷擊...軌道電路與列控中心信號(hào)傳輸?shù)腃AN總線阻抗下降，導(dǎo)致5829AG軌道電路發(fā)送器與列控中心通信故障。那是硬件有損的查得到的證據(jù)，如果雷打不得不那么大，設(shè)備沒(méi)損壞，但已經(jīng)出了許多誤碼，而由于隱患而軟件出錯(cuò)的證據(jù)就難查了，所以必須在認(rèn)證的階段查實(shí)。 對(duì)于強(qiáng)的現(xiàn)場(chǎng)干擾（有電磁輻射的無(wú)線電站附近，高壓線附近），運(yùn)載工具還要用；雷電發(fā)生時(shí)你也可能在運(yùn)載工具中，你僅希望自己不中“頭彩”而不顧及不幸“中彩”的人嗎？你能免除你心靈上的責(zé)任嗎？當(dāng)敵人采用電磁攻擊而我們的設(shè)備不敵時(shí)，那些保衛(wèi)我們的戰(zhàn)士就危在旦夕，我們自然也危在旦夕，你能免除國(guó)家興亡之責(zé)嗎？可見(jiàn)不同的取向反映了人責(zé)任心的不同。這事沒(méi)有人提出，沒(méi)有辦法解決，可以說(shuō)“不可抗”，有人提出，不作研究，就不是“不可抗”而是“不作為”。 |
