分布式嵌入系统中的交互一致性

由于SM算法，这个错误的输出值一致地传送到每个节点。

这样各轮子的刹车力矩就有4个来自各节点的冗余计算结果，这是一个二维的矩阵。在矩阵中找出有错的刹车力矩是哪一个，以及有可能发生永久故障的节点是谁。由于计算结果是模拟量，冗余系统又为了避免共同错（common mode faults）强调各备份间的多样性。同样算法也可能会使结果有微小差别，所以与其他计算结果偏离大于预定限值时视为有错。

有严重故障的节点的输出值可能全是错的，有瞬时故障的节点可能只有一个计算结果是错的。由于所有正确的节点均采用同样的判别原则，一致的输入数据，它们作出同样的判别结论。

如果有一个节点的一个刹车力矩计算是错的，那么可认为这个节点遇到了瞬时干扰。此时仍可按多数或平均方法确定各轮子的刹车力矩，各节点按该轮子对应的刹车力矩加以执行。

如果有一个节点的刹车力矩计算都是错的，那么确定这个节点发生了一个严重的也许是永久性的故障，此时所有正确的节点将按补偿算法重新计算刹车力矩输出，以使车子减少偏航，减少颠簸。

严重的错误是发生通信链路断开，正确节点按SM算法用超时可以发现有错节点。断开链路的节点按SM算法发现所有其他节点都错了，这时它应该判为自己错了，对本轮子的刹车力矩应取一个缺省值，这个缺省值也是在其他正确节点补偿算法中采用的对该轮子的缺省值。

由上可见，由于出故障后节点只须保证故障-静默模式，刹车力矩的再分配保证了整车的故障-安全特性。控制器硬件将大为简化，虽然初期软件成本增加，其后可以分摊，总体成本是下降的。

3 CAN在这类应用中的可能性

3.1 带宽

对4个轮子节点和1个指令节点（由踏板或其他系统转发刹车命令，转发由轮子来的轮速信号）构成的互为冗余系统，要容许1个错时，采用SM算法需要2轮通信，对5个节点需要交换输入数据1次，共25种帧，4个节点交换输出数据1次，共16种帧。如果要求每5 ms进行一次协调，传送41帧，对CAN而言将非常吃紧，这就是经常提到的CAN的带宽局限。这里假设了冗余后的系统只容许5 ms内有1个错。如果从互为冗余刹车系统的性价比考虑，为了此带宽问题，设立专用的CAN总线也是值得的。

SM算法实际上对数据的传送有很大的重复，在本例中对一个从节点而言它收到了5次。如果从节点只是瞬时有故障，它一定会收到正确值。按照SM算法，为了对付m个错，需要m+1个从节点，因此虽然互为冗余系统有5个节点，并不需要每个从节点都进行转发。例如取3个从节点转发输入，那么每5 ms就传送36帧，可以缓解带宽瓶颈。如取2个从节点转发，带宽变为每5 ms传送27帧。

3.2 确定性

有一种观点认为只有时间触发的通信协议才能满足高可信赖性要求。但这是片面的。在本例中，如果把所有互为冗余系统需要传送的消息都设为较高优先级，那么在总线上它们将像一个长帧不受阻挡延迟，只要带宽容许，就能送达。至于这些消息内部的到达先后，在SM算法中并无影响。更广义地讲，只要把CAN的触发事件与时间一一对应，它也可实现时间触发的功能。利用CAN的竟争发送，有错未发节点的带宽可被其他节点尽早利用，SM算法所需的时限计时器只要一个就够了。

3.3 错帧漏检

由于CAN中位填充规则对CRC的影响，根据笔者的研究，它的错帧漏检率较大，远大于Bosch CAN2.0规范的数据。但是由于SM算法中签名的存在，这一问题已免除或缓解。当签名也用本文建议的CRC方法，那么签名错而漏检的情况可以用CAN错帧漏检率同样的方法分析与改进。

3.4 容错

SM算法假设发送的消息总能正确送达，通信中可检出错要排除在外。这就需要某种纠错或冗余。CAN的出错自动重发是很好的纠错措施，但它只能应对瞬时干扰，对物理通道上的故障如断线、短路等，需要用容错CAN协议ISO118983的收发器。此种收发器的带宽更小，标准为125 kbps，较好的MAX3054可达250 kbps。如果互为冗余刹车系统的控制周期定为20 ms（即容许20 ms内有一个错）（参考文献[5]中引述的线控转向的容许失控时间为50 ms），那么CAN在满足容许物理故障时还能满足SM算法的带宽要求的。从概率上讲，由于重发而占用的带宽增量并不大。

4 小结

分布式互为冗余系统的特点是用重新分配的原理实现故障-安全。并不是所有系统都能采用这种方法。但是在分布式系统中保证数据的一致性是很重要的，例如同一数据可能应用于不同目的的控制系统中，这些系统在分开设计时就默认了数据一定是一致的。如果发生了不一致，这些系统的交互影响就难以预测。因此SM算法有其现实意义。

SM算法可以发现节点MCU与通信控制器的传递过程中的错，以及通信中的