更多文章
华为蔡建永：智能网联汽车的数字安全和功能安全挑战与思考
汽车数据合规要点
车载以太网技术发展与测试方法
车载以太网防火墙设计
SOA：整车架构下一代的升级方向
软件如何「吞噬」汽车？
汽车信息安全 TARA 分析方法实例简介
汽车FOTA信息安全规范及方法研究
联合国WP.29车辆网络安全法规正式发布
滴滴下架，我却看到数据安全的曙光
从特斯拉被约谈到车辆远程升级（OTA）技术的合规
如何通过CAN破解汽
会员权益: (点击可进入)谈思实验室VIP会员
点击上方蓝字谈思实验室
获取更多汽车网络安全资讯
摘 要：
CAN总线技术已在汽车上广泛应用，随着新能源车型以及自动驾驶技术的推广，总线问题也对汽车的安全带来风险挑战，本文从系统角度对CAN总线的电气、EMC、硬件以及软件等相关设计进行梳理，结合现有总线系统设计经验进行分析与总结。
01
汽车总线技术发展与挑战
汽车CAN总线技术起源于BOSCH公司，为了解决当时汽车电控模块增多带来的布线空间矛盾、信号抗干扰能力差、汽车重量增加等诸多问题而诞生的。CAN总线实现了总线上的信息共享，大大减少了汽车的线束，见图1所示。
图1 汽车CAN系统结构示意图
随着汽车电控模块对高速率通信的需求日益增加，高性能通信系统必须缩短耗时的任务，BOSCH联合其他专家合作开发了CANFD规范，并在2012年第13届国际CAN会议上正式推出，后续CANFD技术在整车设计上得到广泛应用。
随着新能源与智能网联汽车的飞速发展，LIN、CAN等现有CAN总线通信方式已无法满足整车网络通信需求；而FlexRay、MOST因成本高、应用复杂，仅用于高端豪华品牌。未来车载网络将会发展成为基于域控制器的混合车载网络架构：以太网将成为主干网络，传统CAN/CANFD、LIN将继续在低容量通讯场景下使用，如图2所示。
图2 未来车载网络发展趋势
从上述发展趋势来看，CAN总线在应用上具有性价比高且技术成熟的特点，因此，CAN总线在当前汽车设计中依旧占有重要位置。但是，现在汽车的制动系统、自动驾驶辅助系统、电池\电驱系统间都是通过总线进行通讯，当出现总线节点丢失、总线BUS OFF等总线故障时，都会对汽车的动力、制动、高压输出带来巨大的影响。因此，汽车企业要严谨对待总线问题带来的风险，有必要探讨如何通过设计确保总线系统的可靠性。
本文通过以下四方面来阐述汽车总线系统的可靠性相关设计：
1）电气特性设计
2）EMC设计
3）软件设计
4）硬件设计
02
与总线系统有关的电气特性设计
CAN总线由CAN控制器、CAN收发器、数据传输线、数据传输终端等组成。图3为某品牌汽车PCAN总线拓扑结构示意图，该CAN总线传输速率为500kbps，图中CAN控制器、CAN收发器、120欧姆的终端电阻均集成在模块中，其中，120欧姆终端电阻集成在ECU和BCM模块中，数据传输线为双绞线，CAN总线主干为ECU-BCM间总线，支线为模块到主干间总线。
图3 PCAN总线拓扑结构示意图
CAN总线的电气特性包括差分信号、终端电阻和传输速率等方面：
1）差分信号：CAN总线通过双绞线实现差分信号通信，两根导线之间传递的是正反相位信号。这种方式可以有效地减少干扰和噪声，并提高数据传输的可靠性。
2）终端电阻：CAN总线必须在主干两端分别安装一个120欧姆的终端电阻，确保信号的正确传输。这种电阻可以防止信号在总线上反射和干扰。
3）传输速率：CAN总线的标准传输速率最高为1 Mbps，但也可以选择其他速率（如500 kbps、250 kbps等）；而CANFD可以选择2 Mbps或者5Mbps，传输速率越高，数据传输的速度越快，但也会增加总线的复杂性和成本。
在汽车设计时，EE架构方案中明确CAN总线的类型（CAN/CANFD）和传输速率，可根据架构设计原则确认总线的节点数量、总线负载率进行选定。
总线拓扑结构设计对总线的可靠性非常重要。在拓扑结构设计时，需要考虑总线长度、信号传输质量等因素，以保证总线的稳定性和可靠性。
双绞线的衰减应通过总线系统主线和支线长度以及支线间的距离进行重点控制，目前CAN和CANFD的主线长度不超过40m，各整车厂的支线和支线间的间距长度要求有所差异，必须按各厂尺寸要求执行。
终端电阻可根据总线拓扑和模块平台化，以及配置情况结合成本因素考虑终端电阻集成在哪个模块中，如图3所示，为确保数据的正确传输，在总线的两端的ECU和BCM模块中，分别安装终端电阻。
为保证数据传输线路差分信号的抗干扰能力，线束中总线双绞线必须满足绞距要求以及退绞尺寸要求。双绞线绞距推荐每米的对绞个数有33个以上，双绞线到连接器尾部退绞尺寸推荐不超过50mm，如图4所示。
图4 双绞线的退绞尺寸要求
对于CANFD数据传输线路，双绞线的特性阻抗推荐选择100Ω左右，电容推荐控制50pF/m左右。
同时，总线上各模块插座和对接的线束连接器应确保连接可靠，设计时应选用成熟可靠，通过验证的模块端插座和连接器，确保总线电气连接的可靠性。
在车辆样车验证阶段，容易出现线束供应商制造问题导致总线故障。如总线双绞线未按整车厂要求执行，总线上的差分信号往往被干扰，总线出现错误帧，严重时出现总线BUS OFF故障，整车厂应在线束供应商制造环节进行严格管控。
03
与总线系统有关的EMC设计
EMC设计是指电磁兼容性设计，目的是使电子设备在正常工作时对周围环境不会产生干扰，也不受外界干扰影响。以下是EMC设计的基础概念：
1）电磁场：由电荷或电流引起的物理现象，可分为静电场和电动场；
2）辐射：任何发出电磁波的过程都称之为辐射，包括天然辐射和人造辐射；
3）抗辐射：通过采取合适的措施，使设备能够抵御外部辐射干扰；
4）屏蔽：隔离电路与外界电磁场的方法，一般使用金属材料进行屏蔽；
5）地线：连接设备到地面，起到排除噪声和保护设备的作用。
新能源车辆的CAN总线信号容易受外界的EMC干扰影响，会产生错误帧，严重时会出现BUS OFF故障。对于EMC导致总线故障的失效模式，存在以下原因：
1）总线双绞线绞合不符合线束工艺要求；
2）总线线路短路问题或窜路；
3）高压线屏蔽线屏蔽不良；
4）高压线接头和部件接口不匹配。
该类故障可以通过示波器读取总线电压波形，CANOE设备读取错误帧，采取频谱仪测试EMC干扰进行同步测试判定。
以下故障为例，在某车型项目开发过程中，由于高压线接头和部件接口不匹配，试验车在行驶过程中，车辆模块报总线BUS OFF故障，仪表故障灯点亮并提示，车辆动力丢失。更换优化后的高压线（带高压连接器）后，总线故障消失。
上述总线故障中，总线波形被干扰后出现多个异常的峰值电压波形，如图5所示；图6为频谱仪测试波形，最大值已经超过50dB，而正常的EMC环境应控制在30dB以下；结合CANOE设备读取的错误帧，三者出现异常的时刻是同步，因此，可以通过这种诊断方法有效判断总线EMC干扰故障。
图5 总线波形受EMC干扰时的波形（受干扰的峰值波形）
图6 频谱仪测试的波形
EMC设计中，应严格执行以下四方面要求，增强整车抗干扰能力：
1）模块和高压零部件必须满足EMC要求；
2）模块的接地满足设计要求；
3）高压线与部件的高压接口进行匹配验证，确认接口匹配满足要求；
4）高压屏蔽线的压接工艺满足线束制造要求。
04
与总线系统有关的软件设计
CAN总线节点间通讯协议的实现对于整个系统的稳定性和可靠性具有重要的影响。
其重要性主要体现在以下四个方面：
1）保证数据的实时性：CAN总线的数据传输速率较快，可以实现毫秒级别的响应时间，因此在控制和监测系统中广泛使用。节点间通讯协议的实现需要保证数据的实时性，否则会影响系统的响应速度和控制精度。
2）确保通讯的可靠性：在汽车各种工况环境中，CAN总线常常处于噪声干扰和电磁干扰等复杂的环境中，节点间通讯协议的实现需要采用合适的错误检测和纠正机制，确保通讯的可靠性。
3）提高系统的安全性：在汽车设计中，CAN总线被广泛应用于安全相关的系统中，例如制动系统、驾驶员辅助系统等。节点间通讯协议的实现需要采用适当的安全措施，确保系统的安全可靠。
4）降低开发成本：节点间通讯协议的实现可以通过使用已有的通信协议栈和驱动程序等方式，减少开发人员的工作量，降低开发成本和时间。
在设计中，CAN总线节点间通讯协议的实现需要考虑到网络拓扑结构、传输速率、错误检测和纠正机制、安全性等多个因素。目前，市场上有很多成熟的CAN总线通信协议栈和应用程序，可以根据应用需求进行选择和定制。
总线设计可通过以下设计来提升的总线系统的可靠性。
1）数据链路层错误控制
数据链路层错误控制是指通过校验、重传等方式，确保数据在传输过程中不会发生错误。其中，CRC（循环冗余校验）是一种常用的校验方式，可以检测出数据是否发生了位错或字节错等错误。
2）总线的冗余机制
为提高总线系统的可靠性，可以采用冗余机制。例如，在CAN总线中采用了冗余的消息序列号、CRC校验等机制，以确保数据传输的正确性。
3）容错设计
容错设计是指在系统设计中考虑到可能出现故障的情况，并采取相应的措施以确保系统的稳定性。例如，在汽车电子系统中，采用了双路CAN总线设计，即两条CAN总线同时工作，一旦某个总线发生故障，另外一个总线可以继续工作，从而保证系统的可靠性。
05
与总线系统有关的硬件设计
CAN总线的硬件设计包括以下几方面：
1）总线选择：在硬件设计中，需要根据系统需求和设备接口来选择合适的总线类型。不同总线类型的特点和应用场景不同，根据实际的需求在设计时进行选用。
2）总线接口电路设计：总线接口电路是指将CPU或其他芯片与总线连接的电路。在设计总线接口电路时，需要考虑时序、电气特性、信号干扰等因素，以保证总线通信的正确性和稳定性。
3）总线控制电路设计：总线控制电路是指控制总线数据传输和访问的电路。在设计总线控制电路时，需要考虑总线协议规范、时序、信号完整性等因素，以确保总线能够正常工作。
对于电控模块的硬件开发，开展总线设计一般有以下四个步骤：
步骤1：确定系统需求和设备接口，选择合适的总线类型。
步骤2：设计总线接口电路，完成与CPU或其他芯片的连接。
步骤3：设计总线控制电路，保证总线能够正常工作。
步骤4：进行仿真验证和实验测试，不断优化总线设计，以达到最好的性能和可靠性。
硬件设计中，提升总线稳健性的设计包括以下几个方面：
1) 采用成熟可靠的电器元件，以确保使用的电器元件符合规范和性能要求：在设计中选用高品质的元器件，如高质量的电容、电阻、晶振等，可以提高系统稳定性和抗干扰能力。
2）应遵循以下要求PCB布局要求上：
a）降低信号线的长度，以减少噪声和干扰。
b）防止信号线间的交叉和平行，以减少串扰。
c）增加电源和地线的宽度，降低电阻和电感。
d）在信号线旁添加屏蔽，以减少干扰和噪声。
3) 使用适当的电阻和电容。电阻和电容的正确使用可以帮助稳定CAN总线的信号，并减少噪声和抖动。如在终端上使用适当的终端电阻，可以消除反射并稳定信号。
4) 在CAN总线连接器中使用适当的过滤器，以减少EMI（电磁干扰）。
5) 在CAN总线电路板上添加适当的保护电路，以保护总线免受静电放电和过压的影响。
6) 使用CAN总线收发器，用于CAN总线的隔离、缓冲和信号放大等操作，有效减少总线发送和接收过程中由于信号失真导致的错误发生率。从而提升总线设计的可靠性。
上述硬件设计使得CAN总线更加可靠，并提高了汽车系统的性能和安全性。
06
总结
CAN总线系统的可靠性受到内外多种部因素影响，必须从系统层面把相关设计要求传递到各个设计环节,并有效贯彻执行，才能有效提升CAN总线系统的可靠性。
本文归纳了对总线系统EE架构设计、EMC设计、模块的软件/硬件、线束的总线拓扑设计/线束设计/连接器设计进行了分析。
另外，本文只从系统层面简单阐述了对CAN总线可靠性有影响的相关设计，初步探讨相关设计方法，未能深入讨论具体设计细节，上述的设计均是需要大量的设计规范和设计经验进行支撑和保证的，后续有待我们进一步挖掘和探讨。
来源：线束中国
码上报名
谈思实验室AutoSec智能汽车安全攻防实训课程，10月，上海
更多文章
软件如何「吞噬」汽车？
汽车信息安全 TARA 分析方法实例简介
汽车FOTA信息安全规范及方法研究
联合国WP.29车辆网络安全法规正式发布
滴滴下架，我却看到数据安全的曙光
从特斯拉被约谈到车辆远程升级（OTA）技术的合规
如何通过CAN破解汽
会员权益: (点击可进入)谈思实验室VIP会员
