基于CAN总线的冗余系统方案

1、 ITOC o 1-5 h z HYPERLINK l bookmark0 基于CAN总线的冗余系统方案1冗余CAN总线系统的基本方案1 HYPERLINK l bookmark2 CiA304:安全相关通信的CANopen框架2 HYPERLINK l bookmark4 2.1简介2 HYPERLINK l bookmark6 2.2安全相关通信机制3 HYPERLINK l bookmark8 2.3硬件结构4 HYPERLINK l bookmark10 CiA307:海事电子的CANopen框架5 HYPERLINK l bookmark12 简介5 HYPERLINK l book

2、mark14 硬件结构5 HYPERLINK l bookmark16 软件架构7 HYPERLINK l bookmark18 3.4FlyingNMTmaster7 HYPERLINK l bookmark20 3.5冗余通信机制8 HYPERLINK l bookmark22 CANaerospace:CAN在航电系统的应用层协议10 HYPERLINK l bookmark24 4.1简介10冗余消息ID分配10系统冗余11 HYPERLINK l bookmark26 结论126.参考文献12基于CAN总线的冗余系统方案潘凯,2007-03-01 MicroCANController

3、j1FTransceiveriIControllerMicroControllerMicroControllerItCANCANControllerControllerTransceiverMicroControllerCANCANCANBusCANBus(1).软件冗余(2).硬件冗余TransceiverTransceiverL:ANBus11=1ControllerControllerCANBus2(3).总线冗余基于CAN总线的冗余系统方案潘凯,2007-03-01基于CAN总线的冗余系统方案潘凯,2007-03-01作为工业现场总线的一种，与其他的通信总线相比，CAN总线具有突出的可

4、靠性、实时性和灵活性。目前，CAN总线不仅在汽车领域，而且在电梯、消费电子、船舶、工程机械等自动化领域，甚至是航空航天领域得到了广泛的应用。在某些领域，对安全性要求比较高，系统是安全相关(safetyrelated)的。为了满足一定的安全级别，需要使用系统冗余机制。由于CAN总线一开始并不是针对安全领域开发的，它对系统冗余的支持具有一定的不足。为了在安全相关系统中使用CAN总线，就必须建立相应的对系统冗余的支持机制。本文研究了几种支持系统冗余的CAN总线高层协议(CANopenCiA304,CiA307,CANaerospace),介绍了这些高层协议实现CAN冗余的主要原理，总结了在CAN总线

5、网络中实现系统冗余的基本方案。1.冗余CAN总线系统的基本方案图1几种冗余CAN总线系统的拓扑结构在CAN总线系统中实现冗余有三种基本方案。方案一为软件冗余。该方案在不改变CAN节点任何硬件结构的条件下即可实现，如图1-(1)所示。软件冗余使用了CAN节点的标准结构：MCU运行应用程序，CAN通信由CAN控制器(CANController)和收发器(Transceiver)实现，其中CAN控制器实现数据链路层CAN消息的交换，而收发器实现物理层信号的交换。在软件中，对每一条CAN消息进行复制，将同一条CAN消息向网络上发送两次，只有两条同样的消息都发送出去后才认为该消息发送成功。为了进一步增加

6、安全性，对第二条消息的所有数据位进行翻转，并且其ID场也至少有两位是翻转的。除了加入软件冗余外，一些应用可能也需要加入硬件冗余，即方案二。在该方案中，MCU和CAN控制器是冗余的，但它们仍使用相同的收发器和物理介质(电缆)。这种方案主要用在负责进入安全状态的电路需要进行“可控”关机的场合下，如按一定顺序关闭部件或向电机施加额外的制动。在某些场合下，如船舶应用中，电缆或整个网络发生故障的可能性要高于单个电子设备发生故障的可能性。因此，需要对电缆进行备份，为CAN网络建立两个通道，实现总线冗余，即方案三。在该方案中，不仅要建立两条CAN总线，而且要保证两个CAN通道的电缆以不同的路径布置。这样，总

7、线的主干就会分开，比如在船舶应用中一条CAN总线沿右舷布置，另一条则按左舷布置。目前，有三种CAN总线高层协议支持不同机制的CAN冗余。CANopen标准CiA304规定了与安全相关通信的CANopen应用框架，采用“软件冗余硬件冗余”的机制；CANopen标准CiA307规定了海事电子的CANopen应用框架，采用的是双通道总线冗余机制；CANaerospace标准规定了CAN总线在航电系统中的应用协议，也采用了双通道总线冗余机制。2.CiA304:安全相关通信的CANopen框架2.1简介CiA304标准是CANopen应用层和通信子协议(CiADS301)的附加协议，它规定了CANope

8、n在安全相关领域使用时的应用框架。CiA304中只规定了CANopen设备间交换安全相关数据时所采用SRDO数据传输机制。对实现系统冗余的一些细节问题并未作详细规定，需要使用者根据应用需求自行确定。安全相关通信机制CAN通信安全性的概念不是保证完全没有错误和故障，而是能够检测所有错误并以可预测的（安全的）方法做出响应。在CiA304中，使用安全相关数据对象SRDO来保证CAN通信的安全性。SRDO负责安全相关数据的传送，每个SRDO包含两条CAN消息，它们的ID至少有两位是不同的。用户需要传输的数据在两条CAN消息中是冗余的，即数据的含意相同、但是第一条消息与第二条消息相比其数据是按位翻转的。

9、SRDO般按周期循环发送。需要的时候，SRDO也可以是事件驱动的，比如当需要确保输入端发生了安全攸关变化时有快速的响应时。CiA304中规定禁止使用远程请求帧（RTR）请求SRD0,并且SRDO只能在NMT状态为operational时才有效。只有当两条CAN数据帧都被正确接接收到（没有失效或超时）的时候，该SRDO才是有效的。SRDO既可用于数据发送，也可用于接收。针对SRDO，有两个监视参数。一个是安全监视周期SCT，一个是安全相关对象的有效时间SRVT。SCT用以测试CAN网络中周期性SRDO传输的正确性，如果SCT超时，安全性控制器将转入安全状态。如图2所示。SRDOSRDOSRDOr

10、efreshtimerefreshte、refreshtime!SCTexpired!SCTSCTSCT图2安全监视周期SCT示意图SRVT用来保证组成SRDO的两条CAN消息在限定时间内被正确接收。通常，两条CAN消息的发送延迟时间很小，如果在SRVT期限内没有收到第二条消息，则标明网络的传输能力下降了，从而使得安全相关通信的响应时间加长，这时候安全性控制器将转入安全状态。如图3所示。SRDOSRDOSRDOSRDO?SRVTSRVTSRVTSRWtSRVTexpired图3安全相关对象的有效时间SRVT示意图SRDO的发送和接收按照如图4所示的WriteSRDO协议进行。图4WriteSR

11、DO协议硬件结构在安全系统中，硬件和软件是互相独立的。根据安全级别，可能会用到多种结构。在CiA304标准中，推荐使用如图5所示的网络实现模型。在该模型中，每个节点需要一个CAN收发器，两个独立的CAN控制器和冗余的对象字典（分别由两个MCU控制）。图5符合IEC61508SIL2和SIL3级别的安全相关通信网络控制模型针对IEC61508规定的SIL3级别的安全系统，其错误率应小于10-hour。按照该要求，在网络中存在64个安全设备的条件下，每秒钟最多可发送44个SRDO。3.CiA307:海事电子的CANopen框架简介CiA307提供了海事电子应用CANopen协议的一个框架，使用该框

12、架可以方便地实现安全的互操作性并支持现代海事系统和设备所要求的功能。尽管CAN总线并不是一种天生的冗余总线，但CiA307标准所建立的海事应用框架具备了所有处理冗余总线所必需的规则。在该框架下规定了海事电子应用中的冗余通信机制、节点监视原则、自启动设备和复用的MPDO机制。在冗余通信部分，详细地说明了冗余通信系统的硬件需求、CANopen设备的基本软件结构、flyingNMTmaster和各种冗余通信对象及其原理。CiA307是所有支持系统冗余的CAN高层协议中最全面的一个标准。硬件结构CiA307规定的CAN冗余通信系统的硬件结构如图6所示，每个海事设备都连接到两条CAN总线上。该冗余CAN

13、系统具有：两条CAN总线。一条称作缺省总线(CAN1),另一条为冗余总线(CAN2)。CAN1和CAN2在技术上没有任何区别，在工作时有一条CAN总线为“活动”总线(ActiveLine)。每个CANopen设备具有两个CAN收发器。每个CANopen设备具有两个CAN控制器。图6冗余通信系统的硬件结构为提高系统安全性，应确保任何一个节点与网络断开物理连接后总线都不应当被切断。为此，规定节点的网络接口如图7所示。图7节点CAN物理接口连接示意图软件架构支持冗余通信的海事CANopen设备的软件架构如图8所示。每个CANopen设备应同时运行在两个独立的CAN通道上。两个CAN通道具有独立的NM

14、Tslave状态机，CANopen设备的节点状态由节点状态判决模块(Nodestatedetermination)根据两个通道上的NMTslave状态决定。ApplicationNode-IDObjectdictionaryNodestatedeterminationNMTslaveNMTslaveGAN1CAN2图8CANopen设备的基本软件架构FlyingNMTmaster为了在冗余系统中实现flyingmaster原理，CiA307规定了如图9所示的系统启动过程。该过程只针对具有缺省和冗余两个CAN通道的CANopen设备。上电后，首先判断哪个CAN通道是活动通道；接着，在活动CAN通

15、道上按照CiA302标准决定哪个设备为master设备。当某个设备获取master资格后,它启动活动CAN总线上的CAN网络。然后，master设备向另一条CAN总线发送“复位通信”命令以启动该总线上的网络。冗余通信机制CiA307规定了各种CANopen通信对象的冗余通信机制，包括过程数据对象PDO、紧急事件对象、时戳对象、同步对象、服务数据对象SDO和网络管理对象NMT。其中比较典型的是冗余PDO的发送和接收机制。在CANopen网络中，使用PDO交换过程数据。图10显示了冗余PDO发送的基本原理和相关时间参数。每个PDO从两个CAN通道(包括发送CAN控制器、发送总线驱动器、CAN总线、

16、接收总线驱动器、接收CAN控制器)发送。因为两个通道上的状况是不同的，相关PDO的发送会在时间上也会存在差异。假设对一个设计良好的系统，PDO的发送会限定在一段确定的时间内。为保证做到这一点，在CANopen标准中使用了禁止时间的概念。禁止时间保证所有重要消息都会在一个确定的时间窗内发送。这样，当一个PDO的发送延迟时间太长时，就能检测到某通信通道的故障。4Tx-RequestPDOA(n】Tx-DelayPDOA(n+1),LineBTx-DelayPDOA(n)?LineA图10冗余PDO发送模型Tx-DelayPDOA(n+1)rLineATx-DelayPDOA(n)?vlaxTx-D

17、elayTimeMaxTx-DeIayTimeCiA307规定的冗余CAN网络中PDO的发送规则如下：PDO在两条CAN总线上是同时被请求发送的；PDO的发送必须是在提出发送请求后的最大发送延迟时间内进行;PDO的发送间隔应大于其禁止时间(inhibittime)；缺省CAN通道(CAN1)具有一个“通道错误计数器”(ChannelErrorCounter),用以记录通道上发生的PDO发送错误状况。通道错误计数器的值按照一定的规则增加或减小。当其值超过失效计数器阈值时，CAN1不再发送心跳消息，并且由冗余通道(CAN2)发送“指示活动总线”消息，活动总线切换为CAN2。当通道错误计数器的值降为

18、零时，活动通道重新切换为缺省通道CAN1。应用层应确保关键消息的发送。从两个CAN通道(缺省通道和冗余通道)上都可接收PDO后，节点在接收到冗余PDO后可自行决定如何使用它们。4.CANaerospace:CAN在航电系统的应用层协议简介CANaerospace是针对航电系统的特殊需求而设计的一种CAN应用层协议，它规定了机载应用中使用CAN进行通信时的数据表示、节点地址声明、消息ID分配和物理接口等机制和标准。CANaerospace最初由StockFlightSystems公司于1997年创建，NASA于2001年将其标准化为“AGATE数据总线”。冗余消息ID分配许多现代的集成航电设备和

19、电子飞行控制系统使用如图11所示的架构。在该架构下，两个相同类型的冗余单元通过相等数目的总线通道进行通信。如果设计合理，该系统会防止由于单个设备失效而引起系统功能的整体失效。使用CANaerospace的标准ID分配机制，每个总线参数都具有唯一的标识符(如机身滚动速率的标识符为0 x304)。这意味着，仅允许一个单元(如姿态/航向基准系统-AHRS1）向总线上发送特定参数。为了增加一个新的或冗余的航电设备，设计者有两种选择方案。第一种方案是定义一条新的消息，并为其分配一个未用的CANID。对高优先级功能（如陀螺仪的第二姿态）来说，可以使用200-299范围内的用户自定义高优先级CANID。或者

20、，对冗余功能来说，可在300-1799标准操作数据（NOD）范围内第一个未使用的CANID处插入新的消息。使用NODCANID可以将新消息与具有相近优先级的同类航电设备进行分组。设计者应尽量使用与原始功能相同的消息格式/类型，以保证互用性。如果使用了29位标识符，则可使用第二种方案实现冗余系统架构。在该方案中，定义了一个以0 x10000为基数的“冗余级别偏移量”将这个偏移量加到每个CAN消息标识符上就可以从多个单元以唯一的标识符发送相同的参数了。如表1所示。表1冗余航电设备的冗余级别偏移量冗余通道冗余级别偏移量举例：机身滚动速率ID10304(AHRS1)21000010304(AHRS2)

21、32000020304(AHRS3)43000030304(AHRS4)n10000*(n-1)(n-1)0304(AHRSn)4.3系统冗余Byte0:酝錯閔:ByteByte4Byte5Byte6Byte7MessageHeader图12CANaerospace消息结构CANaerospace使用了如图12所示的消息结构，其数据场的前4个字节为报头，包含了节点ID、数据类型、服务代码和消息代码等信息。报头信息提高了对网络进行动态重新配置的支持和灵活性。可以在不对软件进行任何更改的条件下将控制单元加入到网络中。利用报头信息，可以把总线分析仪和模拟器加入到正在运行的网络中并能立即获取有关网络结构、单元和数据的所有信息。这使得维修工作变得既快速又节约成本。报头包括4个字节：节点ID（Byte0）：些系统架构使用备份单元，这些备份单元在主单元失效时起作