經(jīng)過執(zhí)行SM算法，所有無錯(cuò)節(jié)點(diǎn)和有瞬時(shí)故障的節(jié)點(diǎn)都可得到其他節(jié)點(diǎn)發(fā)送的一致的輸入值。有錯(cuò)節(jié)點(diǎn)發(fā)出的輸入值被所有節(jié)點(diǎn)(包括有錯(cuò)節(jié)點(diǎn)本身)識(shí)別，不被用來進(jìn)一步作計(jì)算，此時(shí)有錯(cuò)節(jié)點(diǎn)進(jìn)入故障-靜默模式，其余正確節(jié)點(diǎn)直接開始重新分配剎車力矩的算法。輸入值交換無錯(cuò)時(shí)每一個(gè)節(jié)點(diǎn)用相近的控制算法計(jì)算每個(gè)輪子的控制輸出(剎車力矩)。然后再用SM算法交換各自計(jì)算結(jié)果，每個(gè)節(jié)點(diǎn)將有一致的各節(jié)點(diǎn)的輸出值。

　　在每個(gè)節(jié)點(diǎn)計(jì)算時(shí)，會(huì)因干擾(如EMI或熱沖擊等)而出現(xiàn)錯(cuò)誤輸出值?；蛞蚱渌郊訔l件(例如剎車力矩傳感器的失效，MCU自檢錯(cuò))等因素，人為使該節(jié)點(diǎn)計(jì)算得的輸出值為非正常值。由于SM算法，這個(gè)錯(cuò)誤的輸出值一致地傳送到每個(gè)節(jié)點(diǎn)。

　　這樣各輪子的剎車力矩就有4個(gè)來自各節(jié)點(diǎn)的冗余計(jì)算結(jié)果，這是一個(gè)二維的矩陣。在矩陣中找出有錯(cuò)的剎車力矩是哪一個(gè)，以及有可能發(fā)生永久故障的節(jié)點(diǎn)是誰。由于計(jì)算結(jié)果是模擬量，冗余系統(tǒng)又為了避免共同錯(cuò)(common mode faults)強(qiáng)調(diào)各備份間的多樣性。同樣算法也可能會(huì)使結(jié)果有微小差別，所以與其他計(jì)算結(jié)果偏離大于預(yù)定限值時(shí)視為有錯(cuò)。

　　有嚴(yán)重故障的節(jié)點(diǎn)的輸出值可能全是錯(cuò)的，有瞬時(shí)故障的節(jié)點(diǎn)可能只有一個(gè)計(jì)算結(jié)果是錯(cuò)的。由于所有正確的節(jié)點(diǎn)均采用同樣的判別原則，一致的輸入數(shù)據(jù)，它們作出同樣的判別結(jié)論。

　　如果有一個(gè)節(jié)點(diǎn)的一個(gè)剎車力矩計(jì)算是錯(cuò)的，那么可認(rèn)為這個(gè)節(jié)點(diǎn)遇到了瞬時(shí)干擾。此時(shí)仍可按多數(shù)或平均方法確定各輪子的剎車力矩，各節(jié)點(diǎn)按該輪子對(duì)應(yīng)的剎車力矩加以執(zhí)行。

　　如果有一個(gè)節(jié)點(diǎn)的剎車力矩計(jì)算都是錯(cuò)的，那么確定這個(gè)節(jié)點(diǎn)發(fā)生了一個(gè)嚴(yán)重的也許是永久性的故障，此時(shí)所有正確的節(jié)點(diǎn)將按補(bǔ)償算法重新計(jì)算剎車力矩輸出，以使車子減少偏航，減少顛簸。

　　嚴(yán)重的錯(cuò)誤是發(fā)生通信鏈路斷開，正確節(jié)點(diǎn)按SM算法用超時(shí)可以發(fā)現(xiàn)有錯(cuò)節(jié)點(diǎn)。斷開鏈路的節(jié)點(diǎn)按SM算法發(fā)現(xiàn)所有其他節(jié)點(diǎn)都錯(cuò)了，這時(shí)它應(yīng)該判為自己錯(cuò)了，對(duì)本輪子的剎車力矩應(yīng)取一個(gè)缺省值，這個(gè)缺省值也是在其他正確節(jié)點(diǎn)補(bǔ)償算法中采用的對(duì)該輪子的缺省值。

　　由上可見，由于出故障后節(jié)點(diǎn)只須保證故障-靜默模式，剎車力矩的再分配保證了整車的故障-安全特性。控制器硬件將大為簡(jiǎn)化，雖然初期軟件成本增加，其后可以分?jǐn)?，總體成本是下降的。

　　3 CAN在這類應(yīng)用中的可能性

　　3.1 帶寬

　　對(duì)4個(gè)輪子節(jié)點(diǎn)和1個(gè)指令節(jié)點(diǎn)(由踏板或其他系統(tǒng)轉(zhuǎn)發(fā)剎車命令，轉(zhuǎn)發(fā)由輪子來的輪速信號(hào))構(gòu)成的互為冗余系統(tǒng)，要容許1個(gè)錯(cuò)時(shí)，采用SM算法需要2輪通信，對(duì)5個(gè)節(jié)點(diǎn)需要交換輸入數(shù)據(jù)1次，共25種幀，4個(gè)節(jié)點(diǎn)交換輸出數(shù)據(jù)1次，共16種幀。如果要求每5 ms進(jìn)行一次協(xié)調(diào)，傳送41幀，對(duì)CAN而言將非常吃緊，這就是經(jīng)常提到的CAN的帶寬局限。這里假設(shè)了冗余后的系統(tǒng)只容許5 ms內(nèi)有1個(gè)錯(cuò)。如果從互為冗余剎車系統(tǒng)的性價(jià)比考慮，為了此帶寬問題，設(shè)立專用的CAN總線也是值得的。

　　SM算法實(shí)際上對(duì)數(shù)據(jù)的傳送有很大的重復(fù)，在本例中對(duì)一個(gè)從節(jié)點(diǎn)而言它收到了5次。如果從節(jié)點(diǎn)只是瞬時(shí)有故障，它一定會(huì)收到正確值。按照SM算法，為了對(duì)付m個(gè)錯(cuò)，需要m+1個(gè)從節(jié)點(diǎn)，因此雖然互為冗余系統(tǒng)有5個(gè)節(jié)點(diǎn)，并不需要每個(gè)從節(jié)點(diǎn)都進(jìn)行轉(zhuǎn)發(fā)。例如取3個(gè)從節(jié)點(diǎn)轉(zhuǎn)發(fā)輸入，那么每5 ms就傳送36幀，可以緩解帶寬瓶頸。如取2個(gè)從節(jié)點(diǎn)轉(zhuǎn)發(fā)，帶寬變?yōu)槊? ms傳送27幀。

　　3.2 確定性

　　有一種觀點(diǎn)認(rèn)為只有時(shí)間觸發(fā)的通信協(xié)議才能滿足高可信賴性要求。但這是片面的。在本例中，如果把所有互為冗余系統(tǒng)需要傳送的消息都設(shè)為較高優(yōu)先級(jí)，那么在總線上它們將像一個(gè)長(zhǎng)幀不受阻擋延遲，只要帶寬容許，就能送達(dá)。至于這些消息內(nèi)部的到達(dá)先后，在SM算法中并無影響。更廣義地講，只要把CAN的觸發(fā)事件與時(shí)間一一對(duì)應(yīng)，它也可實(shí)現(xiàn)時(shí)間觸發(fā)的功能。利用CAN的竟?fàn)幇l(fā)送，有錯(cuò)未發(fā)節(jié)點(diǎn)的帶寬可被其他節(jié)點(diǎn)盡早利用，SM算法所需的時(shí)限計(jì)時(shí)器只要一個(gè)就夠了。

　　3.3 錯(cuò)幀漏檢

　　由于CAN中位填充規(guī)則對(duì)CRC的影響，根據(jù)筆者的研究，它的錯(cuò)幀漏檢率較大，遠(yuǎn)大于Bosch CAN2.0規(guī)范的數(shù)據(jù)。但是由于SM算法中簽名的存在，這一問題已免除或緩解。當(dāng)簽名也用本文建議的CRC方法，那么簽名錯(cuò)而漏檢的情況可以用CAN錯(cuò)幀漏檢率同樣的方法分析與改進(jìn)。

　　3.4 容錯(cuò)

　　SM算法假設(shè)發(fā)送的消息總能正確送達(dá)，通信中可檢出錯(cuò)要排除在外。這就需要某種糾錯(cuò)或冗余。CAN的出錯(cuò)自動(dòng)重發(fā)是很好的糾錯(cuò)措施，但它只能應(yīng)對(duì)瞬時(shí)干擾，對(duì)物理通道上的故障如斷線、短路等，需要用容錯(cuò)CAN協(xié)議ISO118983的收發(fā)器。此種收發(fā)器的帶寬更小，標(biāo)準(zhǔn)為125 kbps，較好的MAX3054可達(dá)250 kbps。如果互為冗余剎車系統(tǒng)的控制周期定為20 ms(即容許20 ms內(nèi)有一個(gè)錯(cuò))(參考文獻(xiàn)[5]中引述的線控轉(zhuǎn)向的容許失控時(shí)間為50 ms)，那么CAN在滿足容許物理故障時(shí)還能滿足SM算法的帶寬要求的。從概率上講，由于重發(fā)而占用的帶寬增量并不大。

　　4 小結(jié)

　　本文根據(jù)總線通信分析了SM算法的實(shí)施方法以及CAN在用于SM算法時(shí)的一些問題。CAN是成熟的技術(shù)，成本較低，盡量擴(kuò)展其應(yīng)用是理所當(dāng)然的事。就互為冗余剎車系統(tǒng)而言，CAN仍然是可以應(yīng)用的。參考文獻(xiàn)[3]提到了一種在2002年還是研制中的時(shí)間觸發(fā)協(xié)議，現(xiàn)在看來，可能是FlexRay協(xié)議。毫無疑問，F(xiàn)lexRay的帶寬優(yōu)勢(shì)很大，但是對(duì)其的研究還有待深入，例如它的時(shí)鐘同步依賴于傳送電纜上的模擬電平跳變，毛刺可能改變跳變位置，從而破壞整個(gè)協(xié)議的基礎(chǔ)時(shí)鐘。