FlexRay總線(xiàn)的功能安全性分析

關(guān)于FlexRay的缺點(diǎn)或弱點(diǎn)，參考文獻[4]提到物理層連接的困難，影響到信號完整性，實(shí)際上能較易使用的是有源星型，但這帶來(lái)成本的提高;cycle設計約束多，帶來(lái)困難;同步和啟動(dòng)節點(diǎn)配置與容錯有關(guān)，是挑戰;由于資源有限，升級演進(jìn)時(shí)很困難(并非像以前強調時(shí)間觸發(fā)協(xié)議的composability優(yōu)點(diǎn)——筆者注)。參考文獻[5]介紹了在FlexRay中產(chǎn)生各自獨立的時(shí)鐘同步小集團的可能性，也就是說(shuō)雖然各節點(diǎn)都在通信，但是2個(gè)集團間無(wú)有效通信，是一種故障狀態(tài)。解決辦法是用3個(gè)冷啟動(dòng)節點(diǎn)、3個(gè)同步節點(diǎn)，但是這與時(shí)間同步容錯的要求矛盾。還有就是將調度表排滿(mǎn)，以免形成小集團，這也與留有余地供將來(lái)升級擴充的要求矛盾?？傊袩o(wú)徹底解決方案。再有就是時(shí)鐘可能產(chǎn)生同向漂移[6]，與應用時(shí)鐘的差造成幀未能就緒或覆蓋引起漏幀。FlexRay雖然是為高可信性設計的，但是在傳送中出錯后處理要通過(guò)應用層解決，這帶來(lái)新的問(wèn)題，本文將分析如果不作處理會(huì )怎么樣。

3 Audi和BMW的FlexRay總線(xiàn)應用的功能安全等級

BMW和Audi是首批批量使用FlexRay總線(xiàn)的車(chē)廠(chǎng)，它們的具體用法尚未查到，但是參考文獻[7]給出了部分使用參數，可以以此作一些初步分析。

3.1 Audi的參數

Audi的cycle為5 ms，每個(gè)cycle有62個(gè)static slot，slot用于傳送42字節payload的幀，靜態(tài)段為4.03 ms。有8個(gè)ECU共傳送220個(gè)協(xié)議數據單元(PDU)。這些PDU經(jīng)組合，最后在27個(gè)slot中傳送。由提供的周期分布可見(jiàn)5 ms消息為8個(gè)，10 ms消息為1個(gè)，20 ms消息為7個(gè)，40 ms消息為6個(gè)，其余更長(cháng)周期的消息先忽略。

由payload可以算出使用的幀長(cháng)為500位，假定誤碼率為ber=1×10-7(這在銅線(xiàn)中已是相當好的了)，那么誤幀率為fer=5×10-5/frame。

由周期可算出每小時(shí)傳送的幀數為n=7.92×105frame/h。假定通信用2個(gè)通道同時(shí)傳送，那么同時(shí)失敗的概率為fer2=2.5×10-9/frame。1小時(shí)內所有幀均成功傳送的概率為：P=(1-fer2)n。

1小時(shí)內有1次以上錯的概率為1-P≈fer2×n=2.5×10-9×7.92×105/h=1.98×10-3/h。SIL2的安全等級要求是系統失效概率為10-7/h，分配到通信上為10-9/h，由此可見(jiàn)存在巨大的差距。

3.2 BMW的參數

參考文獻[7]也間接給出了BMW的參數：cycle為5 ms，每個(gè)cycle有91個(gè)static slot，slot用于傳送16字節payload的幀，實(shí)際使用的payload為8字節，共有227個(gè)PDU。由2.5 ms消息占4%及使用10個(gè)slot知，這些PDU沒(méi)有合并。由提供的周期分布可見(jiàn)5 ms消息為62個(gè)，10 ms消息為45個(gè)，20 ms消息為80個(gè)，40 ms消息為38個(gè)，其余更長(cháng)周期的消息先忽略。

各個(gè)消息的payload長(cháng)度是不同的，由這個(gè)分布，在假設誤碼率為ber=1×10-7時(shí)可以算出各自幀長(cháng)與誤幀率，再算出平均誤幀率fer=1.51×10-5/frame。假定通信用2個(gè)通道同時(shí)傳送，那么同時(shí)失敗的概率為fer2=228×10-9/frame。由周期算出傳送幀數為n=2.79×106/h。同樣算出1小時(shí)內有1次以上錯的概率為1-P≈fer2×n=2.28×10-9×2.79×106/h=6.36×10-3/h，也遠大于SIL2分配給通信的要求。

4 主動(dòng)重發(fā)方案的可行性

有2位作者建議了主動(dòng)重發(fā)的方案，其一見(jiàn)參考文獻[8]。主動(dòng)重發(fā)在概念上就是時(shí)間上的冗余，幀不但在不同的物理通道上重發(fā)，也在不同的時(shí)段上重發(fā)。由此來(lái)分析第3節的兩種情況。

4.1 Audi

當每幀被安排用2個(gè)static slot傳送時(shí)，2個(gè)通道將有4次傳送，同時(shí)失敗的概率將小得多，為fer4=6.25×10-17/frame。實(shí)際傳送的幀數加倍，但內容未加倍，故計算仍按n進(jìn)行，1 h內有1次以上錯的概率為1-P≈fer4×n=6.25×10-17×7.92×105/h=4.95×10-11/h。這可以滿(mǎn)足SIL2分配給通信的要求。

理論上，原來(lái)的應用占用了27/62的static slot，現在加倍為27/31也還夠用，但是由于消息送達時(shí)限的限制，將使調度變得十分困難，是否有解尚無(wú)定論。留給將來(lái)擴展升級的空間很小，已經(jīng)表現出FlexRay的帶寬不夠。

4.2 BMW

采用主動(dòng)重發(fā)一次時(shí)，1 h內有1次以上錯的概率為1-P≈fer4×n=5.19×10-18×2.79×106/h=1.45×10-11/h。這可以滿(mǎn)足SIL2分配給通信的要求。

但是，原來(lái)BMW已占用了2/3的static slot，根本沒(méi)有足夠的空余slot可供主動(dòng)重發(fā)。例如BMW的靜態(tài)段為3 ms，在2.5~3 ms中總共可安排0.5/3×91=15個(gè)slot，它的2.5 ms的消息已占去10個(gè)slot，就不可能對它再作冗余傳送。這也說(shuō)明FlexRay的帶寬不夠。

5 與CAN總線(xiàn)的比較

參考文獻[7]中的BMW系統數據，若用CAN標準幀傳送，可推算出需要的帶寬至少為2.8 Mb/s，明顯顯示CAN總線(xiàn)帶寬不足。但是CAN總線(xiàn)的出錯自動(dòng)重發(fā)機制卻使系統的通信可靠性遠勝于FlexRay。

例如在ber=1×10-7時(shí)，CAN總線(xiàn)幀長(cháng)為108位，誤幀率為fer=1.08×10-5/frame。在傳送幀數為n=2.79×106/h時(shí)(假定用多條總線(xiàn)滿(mǎn)足帶寬)出錯的幀有31幀，這31幀重發(fā)2次，則全錯的概率為31×fer3=31×126×10-15=3.9×10-14,遠小于SIL2分配給通信的份額。

而且，如果原來(lái)的調度分析留有足夠2幀的出錯自動(dòng)重發(fā)時(shí)間，也可以算出對送達時(shí)間的影響不大。送達時(shí)間變化大的是低優(yōu)先級消息，對高優(yōu)先級消息影響很小。例如10條2.5 ms周期消息的送達時(shí)間約1.2 ms(考慮到填充位與服務(wù)間隔)，在2.5 ms內1條消息出錯自動(dòng)重發(fā)2次也只會(huì )使送達時(shí)間增加到1.5 ms左右。

CAN總線(xiàn)的出錯自動(dòng)重發(fā)機制與主動(dòng)重發(fā)方案相比，需要增加的帶寬很小，幾乎是后者的萬(wàn)分之一。

6 FlexRay總線(xiàn)的錯幀漏檢

參考文獻[12]對CRC的檢驗強度有討論。在假定錯均勻分布時(shí)，2-k是未檢出錯的上界，其中k是校驗和長(cháng)度，對FlexRay來(lái)講k=24，2-24=5.9×10-8。如果位錯不相關(guān)，概率強度還要乘上(ber×幀長(cháng))HD，其中HD是CRC多項式的海明距離。以1 h計算時(shí)要乘1 h內的幀數。按標準[3]，在payload小于248字節時(shí)HD=6。按此計算如下：幀長(cháng)=256字節=2 560 bit，考慮到idle時(shí)間，計算每小時(shí)幀數時(shí)以每幀2 600 μs計，故每小時(shí)有3 600/260×106=1.38×107幀。每小時(shí)總的漏檢幀為1.38×107×5.9×10-8×(ber×2 560)6=0.81×(ber×2 560)6。ber=10-7時(shí)為2.27×10-22,ber=10-5時(shí)為2.27×10-10。干擾不是很強，幀也較短時(shí)，FlexRay的錯幀漏檢部分還是能滿(mǎn)足SIL2分配給通信的要求。