|
我們很多應用選用CAN總線是因為它特別可靠，按CiA的宣傳資料是一千年才會發生一次錯幀殘留，按Bosch CAN2.0規范是幀出錯率*4.7*10-11。其中4.7*10-11是錯幀漏檢率Pun，而幀出錯率*Pun是錯幀殘留率Pres。一千年一次在我們有生之年是碰不到的，自然非常好，不過它這個值錯了，錯誤的數據會導致盲目樂觀的態度。 它的計算過程是：假定誤碼率為每0.7秒有1位錯，當位時間為2us時，有ber= 1/（0.7*106/2）=2.8*10-6并以此來計算公式中的error rate。這是簡化的情況，與Bosch 分析時采用的方法不同，在那里error rate相當于bad狀態概率，例如分析時采用的為10-3，在幀長為100bit時，它的計算偏小了約3倍。 
假定總線工作于500kbps，總線負載率為40%，平均幀長為100 bit，那么每小時送7.2×106個幀。按我的計算結果（見以后博文），錯幀漏檢率Pun=1.15*10-7,在bad狀態概率為1*10-3時錯幀殘留率是1.15*10-10，每小時的失效率是8.82×10-4/h。也就是每1200小時=50天要失效一次。如果像上面CiA介紹總線負載率為100%時，就會是每20天失效一次。 有人會說，我的系統從來沒有失效過。說到數值問題，第一是你的系統可能干擾較少，在單幀長度為統計誤碼率時遇到的最壞情況遠小于1*10-3，但是你不能否定別人的最壞情況可能達到1*10-3；第二，許多應用屬于閉環控制，由于對象的響應比較慢，即使有錯幀漏檢，其引起的擾動剛開始就被新來的正確數據糾正了，你就沒有感覺，但是你不能否定存在無法及時更新的可能性；第三，也許你在應用上還有別的糾錯措施使錯幀的影響減弱了，例如各種濾波算法，所以你感覺不到，但是你已經付出了相應的代價，例如降低了系統的動態指標。 現在說可信賴性分析方法。對整個國家而言，平均概率是重要的。但是最壞情況發生時，人身和財產損失對當事人是百分之百地已經發生。所以要按最壞概率作出發點。例如一，人的價值是無價的，所以歐美各國已進入到目標為交通零傷亡的時代，如果你的車不以此為目標，你就會在競爭中失敗；例如二，有的項目全國都只有有限的數量，一次失效都是難以承受的，例如火箭衛星**之類。所以無論民用或軍工都該以最壞情況作出發點。 關于錯幀漏檢的分析方法，據我所知大致有幾種方法：第一是用軟件仿真的方法，可以有控制地注入位錯，然后按協議的規定檢查，錯幀是否溜過去，不過一般采取隨機注入位錯的方法，即一般隨機測試的Monte Carlo方法；第二種是用分析方法，構造出會溜過去的幀，然后統計這種幀的個數，我就是用這種方法；也許還有第三種，用形式邏輯的方法來分析，不過我還不懂，不知道是否走得通。 Bosch采用的是第一種方法。（ J. Unruh, H.J. Mathony, K.H. Kaiser: "Error Detection Analysis of Automotive Communication Protocols". SAE Int. Congress, No. 900699, Detroit, USA, 1990.） Bosch對造成錯幀漏檢的二種原因均有論述，第一種原因是CAN位填充規則時出錯發生部分數據流相位移動，第二次是出錯又使相位又對上了，在有相移的部分造成收發數據比較時有大量差，超出了CRC檢出錯的能力；第二種是在定義幀長度的位中出了錯，收發二邊對幀長度有了不同理解，碰巧后邊又發生位錯，使變形后的幀通過了CRC檢驗和格式檢驗。關于這二種情況我后面都要用到，到時候詳細介紹。 采用軟件仿真的辦法要求概率的分布是均勻的，而且樣本的量較大，正是在這二點細節上這種辦法是有缺點的，從而導致結果的準確度低。 首先出現漏檢事件的出錯位分布不是均勻的，發生在標識位等處的錯會因數據移相，造成幀長變化而較易檢測出來，不易漏檢；而發生在數據域內的錯則除了CRC檢驗沒有其他檢驗可發現，易漏檢；發生在幀尾部的錯立馬就被視作格式錯，不漏檢。 其次是樣本的大小，Bosch文章中針對的是80~90位的幀，CRC檢驗的覆蓋面為58~66位，這樣幀本身就有258=2.88×1017種，注入的位置有58×57/2組，全部實例有4.76×1020個。每一個幀在注入錯前后要算二次CRC，還要做其他格式檢查。例如有沒有發生填充位錯，有沒有發生幀長變化導致格式錯等。現僅就CRC檢驗來說：每個學過CRC計算的人都知道它要分很多步驟，1989年左右還是16位機的時代（例如VAX11系列），假定累加器由A構成，生成多項式為立即數G，步驟有 1.如A15=0跳到第3步，否則進到2， 2.A與G異或， 3.進位位設新數據， 4.A與進位位左移一位， 5.判CRC覆蓋區是否結束，如否則回到1，如是就結束。 一位要循環5步，就算用機器代碼，那時的計算機還只在10M左右，即0.5us。完成58位循環要29us，驗算一條幀需58us。于是可以算出不停機運行一年可檢驗365*24*3600*106/58=5.43*1011條幀。全部實例有4.76×1020個，可見測試的樣本還不到實例的10-8。即使當時的計算機速度估計不準，仍然是樣本太小了。 樣本小要作結論是無法置信的，例如100萬輛車你遇到1輛性能很好就說車好，或者你遇到1輛車壞了就說車一塌胡涂都是偏頗的。 雖然CiA一方面推薦Bosch的殘差值：出錯率*4.7*10-11，實際上CiA還給出了另一個更大的殘差值：CiA, CiA Draft Standard 304 V1.0.1 “CANopen framework for safety-relevant communication”，第26頁：The worst case residual error probability of the CAN protocol is PRe st = 7*10-9，它來自一篇Joachim Charzinski的論文，在那里有：Pres<7.2*10-9*qbad。所以他們自己已否定了Bosch的殘差值。只是CANopen中的值還是比我的數據1.15*10-7小了很多。 |
