基于CAN总线的冗余系统方案

基于CAN总线的冗余系统方案 (1)1.冗余CAN总线系统的基本方案 (1)2.CiA 304:安全相关通信的CANopen框架 (2)2.1 简介 (2)2.2 安全相关通信机制 (3)2.3 硬件结构 (4)3.CiA 307:海事电子的CANopen框架 (5)3.1 简介 (5)3.2 硬件结构 (5)3.3 软件架构 (7)3.4 Flying NMT master (7)3.5 冗余通信机制 (8)4.CANaerospace: CAN在航电系统的应用层协议 (10)4.1 简介 (10)4.2 冗余消息ID分配 (10)4.3 系统冗余 (11)5.结论 (12)6.参考文献 (12)基于CAN 总线的冗余系统方案潘凯, 2007-03-01作为工业现场总线的一种，与其他的通信总线相比，CAN 总线具有突出的可靠性、实时性和灵活性。

目前，CAN 总线不仅在汽车领域，而且在电梯、消费电子、船舶、工程机械等自动化领域，甚至是航空航天领域得到了广泛的应用。

在某些领域，对安全性要求比较高，系统是安全相关（safety related ）的。

为了满足一定的安全级别，需要使用系统冗余机制。

由于CAN 总线一开始并不是针对安全领域开发的，它对系统冗余的支持具有一定的不足。

为了在安全相关系统中使用CAN 总线，就必须建立相应的对系统冗余的支持机制。

本文研究了几种支持系统冗余的CAN 总线高层协议（CANopen CiA 304，CiA 307，CANaerospace ），介绍了这些高层协议实现CAN 冗余的主要原理，总结了在CAN 总线网络中实现系统冗余的基本方案。

1. 冗余CAN 总线系统的基本方案(1). 软件冗余 (2). 硬件冗余 (3). 总线冗余图1 几种冗余CAN 总线系统的拓扑结构在CAN 总线系统中实现冗余有三种基本方案。

方案一为软件冗余。

该方案在不改变CAN 节点任何硬件结构的条件下即可实现，如图1-(1)所示。

软件冗余使用了CAN 节点的标准结构：MCU 运行应用程序，CAN 通信由CAN 控制器(CAN Controller)和收发器(Transceiver)实现，其中CAN 控制器实现数据链路层CAN 消息的交换，而收发器实现物理层信号的交换。

在软件中，对每一条CAN消息进行复制，将同一条CAN消息向网络上发送两次，只有两条同样的消息都发送出去后才认为该消息发送成功。

为了进一步增加安全性，对第二条消息的所有数据位进行翻转，并且其ID场也至少有两位是翻转的。

除了加入软件冗余外，一些应用可能也需要加入硬件冗余，即方案二。

在该方案中，MCU和CAN控制器是冗余的，但它们仍使用相同的收发器和物理介质(电缆)。

这种方案主要用在负责进入安全状态的电路需要进行“可控”关机的场合下，如按一定顺序关闭部件或向电机施加额外的制动。

在某些场合下，如船舶应用中，电缆或整个网络发生故障的可能性要高于单个电子设备发生故障的可能性。

因此，需要对电缆进行备份，为CAN网络建立两个通道，实现总线冗余，即方案三。

在该方案中，不仅要建立两条CAN总线，而且要保证两个CAN通道的电缆以不同的路径布置。

这样，总线的主干就会分开，比如在船舶应用中一条CAN总线沿右舷布置，另一条则按左舷布置。

目前，有三种CAN总线高层协议支持不同机制的CAN冗余。

CANopen标准CiA 304规定了与安全相关通信的CANopen应用框架，采用“软件冗余＋硬件冗余”的机制；CANopen标准CiA 307规定了海事电子的CANopen应用框架，采用的是双通道总线冗余机制；CANaerospace标准规定了CAN总线在航电系统中的应用协议，也采用了双通道总线冗余机制。

2. CiA 304:安全相关通信的CANopen框架2.1 简介CiA 304标准是CANopen应用层和通信子协议（CiA DS301）的附加协议，它规定了CANopen在安全相关领域使用时的应用框架。

CiA 304中只规定了CANopen设备间交换安全相关数据时所采用SRDO数据传输机制。

对实现系统冗余的一些细节问题并未作详细规定，需要使用者根据应用需求自行确定。

2.2 安全相关通信机制CAN通信安全性的概念不是保证完全没有错误和故障，而是能够检测所有错误并以可预测的（安全的）方法做出响应。

在CiA 304中，使用安全相关数据对象SRDO来保证CAN通信的安全性。

SRDO负责安全相关数据的传送，每个SRDO包含两条CAN消息，它们的ID 至少有两位是不同的。

用户需要传输的数据在两条CAN消息中是冗余的，即数据的含意相同、但是第一条消息与第二条消息相比其数据是按位翻转的。

SRDO一般按周期循环发送。

需要的时候，SRDO也可以是事件驱动的，比如当需要确保输入端发生了安全攸关变化时有快速的响应时。

CiA 304中规定禁止使用远程请求帧（RTR）请求SRDO，并且SRDO只能在NMT状态为operational时才有效。

只有当两条CAN数据帧都被正确接接收到（没有失效或超时）的时候，该SRDO才是有效的。

SRDO既可用于数据发送，也可用于接收。

针对SRDO，有两个监视参数。

一个是安全监视周期SCT，一个是安全相关对象的有效时间SRVT。

SCT用以测试CAN网络中周期性SRDO传输的正确性，如果SCT超时，安全性控制器将转入安全状态。

如图2所示。

图2 安全监视周期SCT示意图SRVT用来保证组成SRDO的两条CAN消息在限定时间内被正确接收。

通常，两条CAN消息的发送延迟时间很小，如果在SRVT期限内没有收到第二条消息，则标明网络的传输能力下降了，从而使得安全相关通信的响应时间加长，这时候安全性控制器将转入安全状态。

如图3所示。

图3 安全相关对象的有效时间SRVT示意图SRDO的发送和接收按照如图4所示的Write SRDO协议进行。

图4 Write SRDO协议2.3 硬件结构在安全系统中，硬件和软件是互相独立的。

根据安全级别，可能会用到多种结构。

在CiA 304标准中，推荐使用如图5所示的网络实现模型。

在该模型中，每个节点需要一个CAN收发器，两个独立的CAN控制器和冗余的对象字典（分别由两个MCU控制）。

图5 符合IEC 61508 SIL 2和SIL 3级别的安全相关通信网络控制模型针对IEC 61508规定的SIL 3级别的安全系统，其错误率应小于10-7/hour。

按照该要求，在网络中存在64个安全设备的条件下，每秒钟最多可发送44个SRDO。

3. CiA 307:海事电子的CANopen框架3.1 简介CiA 307提供了海事电子应用CANopen协议的一个框架，使用该框架可以方便地实现安全的互操作性并支持现代海事系统和设备所要求的功能。

尽管CAN总线并不是一种天生的冗余总线，但CiA 307标准所建立的海事应用框架具备了所有处理冗余总线所必需的规则。

在该框架下规定了海事电子应用中的冗余通信机制、节点监视原则、自启动设备和复用的MPDO机制。

在冗余通信部分，详细地说明了冗余通信系统的硬件需求、CANopen设备的基本软件结构、flying NMT master和各种冗余通信对象及其原理。

CiA 307是所有支持系统冗余的CAN高层协议中最全面的一个标准。

3.2 硬件结构CiA 307规定的CAN冗余通信系统的硬件结构如图6所示，每个海事设备都连接到两条CAN总线上。

该冗余CAN系统具有：两条CAN总线。

一条称作缺省总线(CAN1)，另一条为冗余总线(CAN2)。

CAN1和CAN2在技术上没有任何区别，在工作时有一条CAN总线为“活动”总线（Active Line）。

每个CANopen设备具有两个CAN收发器。

每个CANopen设备具有两个CAN控制器。

图6 冗余通信系统的硬件结构为提高系统安全性，应确保任何一个节点与网络断开物理连接后总线都不应当被切断。

为此，规定节点的网络接口如图7所示。

图7节点CAN物理接口连接示意图3.3 软件架构支持冗余通信的海事CANopen设备的软件架构如图8所示。

每个CANopen 设备应同时运行在两个独立的CAN通道上。

两个CAN通道具有独立的NMT slave状态机，CANopen设备的节点状态由节点状态判决模块（Node state determination）根据两个通道上的NMT slave状态决定。

图8 CANopen设备的基本软件架构3.4 Flying NMT master为了在冗余系统中实现flying master原理，CiA 307规定了如图9所示的系统启动过程。

该过程只针对具有缺省和冗余两个CAN通道的CANopen设备。

上电后，首先判断哪个CAN通道是活动通道；接着，在活动CAN通道上按照CiA 302标准决定哪个设备为master设备。

当某个设备获取master资格后，它启动活动CAN总线上的CAN网络。

然后，master设备向另一条CAN总线发送“复位通信”命令以启动该总线上的网络。

图9 冗余通信系统的flying master原理3.5 冗余通信机制CiA 307规定了各种CANopen通信对象的冗余通信机制，包括过程数据对象PDO、紧急事件对象、时戳对象、同步对象、服务数据对象SDO和网络管理对象NMT。

其中比较典型的是冗余PDO的发送和接收机制。

在CANopen网络中，使用PDO交换过程数据。

图10显示了冗余PDO发送的基本原理和相关时间参数。

每个PDO从两个CAN通道（包括发送CAN控制器、发送总线驱动器、CAN总线、接收总线驱动器、接收CAN控制器）发送。

因为两个通道上的状况是不同的，相关PDO的发送会在时间上也会存在差异。

假设对一个设计良好的系统，PDO的发送会限定在一段确定的时间内。

为保证做到这一点，在CANopen标准中使用了禁止时间的概念。

禁止时间保证所有重要消息都会在一个确定的时间窗内发送。

这样，当一个PDO的发送延迟时间太长时，就能检测到某通信通道的故障。

图10 冗余PDO发送模型CiA 307规定的冗余CAN网络中PDO的发送规则如下：(1) PDO在两条CAN总线上是同时被请求发送的；(2) PDO的发送必须是在提出发送请求后的最大发送延迟时间内进行；(3) PDO的发送间隔应大于其禁止时间（inhibit time）；(4) 缺省CAN通道(CAN1)具有一个“通道错误计数器”（Channel ErrorCounter），用以记录通道上发生的PDO发送错误状况。

通道错误计数器的值按照一定的规则增加或减小。

当其值超过失效计数器阈值时，CAN1不再发送心跳消息，并且由冗余通道（CAN2）发送“指示活动总线”消息，活动总线切换为CAN2。