摘要 假冒錯(cuò)是指一條消息被誤收為另一條消息，它有很大的危害性。本文討論了產(chǎn)生此類(lèi)錯(cuò)的可能原因，分析了FlexRay協(xié)議對(duì)抗假冒錯(cuò)的機(jī)制，針對(duì)CAN協(xié)議提出了一種解決方案。在無(wú)需增加軟硬件的條件下，CAN協(xié)議也可以獲得良好的抗假冒錯(cuò)能力，對(duì)CAN協(xié)議在安全性要求高的系統(tǒng)中的應(yīng)用有重要的價(jià)值。
關(guān)鍵詞 假冒錯(cuò) FlexRay CAN

在嵌入式系統(tǒng)里，通信是骨干部分，通信系統(tǒng)的錯(cuò)會(huì)引起整個(gè)嵌入式系統(tǒng)的故障。在通信系統(tǒng)里，假冒錯(cuò)(Masquerade fault)是指一種冒名頂替性質(zhì)的故障，即發(fā)送時(shí)的一條消息被誤收為另一種格式上合法的消息。此種錯(cuò)的后果顯然是不能接受的，因?yàn)榻邮展?jié)點(diǎn)會(huì)把完全無(wú)關(guān)的數(shù)據(jù)進(jìn)行解讀，例如把制動(dòng)踏板的位置解釋為加速踏板的位置。在這種類(lèi)型的應(yīng)用中，由于控制方案對(duì)信號(hào)的突變有安全設(shè)計(jì)，機(jī)器本身的慣性也有濾波的效果，而且在很短的周期內(nèi)又有正確的消息送來(lái)，在大多數(shù)情況下除了造成不適感覺(jué)外，不會(huì)造成很?chē)?yán)重的后果。但如果這是會(huì)影響到最終執(zhí)行的信號(hào)，那么如果在需要?jiǎng)x車(chē)時(shí)變?yōu)榧佑?，就?huì)造成事故。在有些平時(shí)信號(hào)更新較慢的系統(tǒng)里，誤信號(hào)也可能造成新的問(wèn)題。例如為了在啟動(dòng)瞬間防止電池電壓跌落過(guò)大，要錯(cuò)開(kāi)負(fù)荷，像汽車(chē)把空調(diào)暫時(shí)關(guān)閉，若誤認(rèn)為是打開(kāi)信號(hào)，就會(huì)違背設(shè)計(jì)意圖，造成新的干擾源。又如行車(chē)中誤開(kāi)車(chē)鎖，則會(huì)帶來(lái)新的風(fēng)險(xiǎn)。診斷系統(tǒng)中的誤信號(hào)也會(huì)帶來(lái)令人難以解釋的現(xiàn)象，浪費(fèi)維修的人力物力，且損害品牌的聲譽(yù)。在安全攸關(guān)的需要冗余的系統(tǒng)里，這種冒名錯(cuò)會(huì)使表決機(jī)制失效。因此對(duì)車(chē)用通信協(xié)議中的假冒錯(cuò)進(jìn)行研究有重要的意義，它是解決車(chē)用嵌入式系統(tǒng)可靠性的關(guān)鍵之一?，F(xiàn)有的主流車(chē)內(nèi)通信協(xié)議是CAN，它還沒(méi)有采用足夠的措施可對(duì)抗假冒錯(cuò)。新的FlexRay協(xié)議有了這方面的措施，但是否足夠還有待商榷。

1 假冒錯(cuò)
一條消息在整個(gè)發(fā)送／接收的過(guò)程中會(huì)受到干擾，從而產(chǎn)生數(shù)據(jù)位的改變。為了不被誤收，現(xiàn)有的通信協(xié)議都有一些檢錯(cuò)的措施，例如在傳送的幀尾部附加校驗(yàn)數(shù)據(jù)。一般來(lái)說(shuō)，較多采用循環(huán)冗余校驗(yàn)(CRC)方法，CRC生成多項(xiàng)式的長(zhǎng)度與需要的檢錯(cuò)Hamming距離以及需要處理的數(shù)據(jù)長(zhǎng)度有關(guān)。CRC算法的Hamming距離是指碼MIDP2．O基礎(chǔ)上擴(kuò)充實(shí)現(xiàn)了JSRl20、JSRl35部分功能。該平臺(tái)已經(jīng)在多款MTK6225平臺(tái)手機(jī)上運(yùn)行。字中無(wú)法用CRC算法檢測(cè)出的出錯(cuò)位的個(gè)數(shù)。因此一個(gè)協(xié)議選用的CRC多項(xiàng)式反映了它要保證的Hamming距離。如果發(fā)生的位錯(cuò)誤太多，CRC檢驗(yàn)會(huì)產(chǎn)生漏判，把錯(cuò)誤幀判為正常幀。例如CAN協(xié)議采用的15位CRC生成多項(xiàng)式在CAN的最大數(shù)據(jù)幀長(zhǎng)度內(nèi)Hamming距離為6。即CRC可檢驗(yàn)幀內(nèi)5位錯(cuò)誤。不過(guò)CAN的CRC是在去掉填充位后計(jì)算的，由于填充位而造成Hamming距離下降是一個(gè)設(shè)計(jì)上的失誤，這在后面介紹。
當(dāng)考慮假冒錯(cuò)時(shí)，要分析漏檢的情況。第一種是干擾時(shí)間很長(zhǎng)，出錯(cuò)位數(shù)太多，超出了CRC檢驗(yàn)的能力；第二種是通信控制器在發(fā)幀以前數(shù)據(jù)已有變化，而變化后的數(shù)據(jù)有了合法的身份，CRC檢驗(yàn)只是保證這一假冒者不被錯(cuò)發(fā)。在這二種情況下，都可能產(chǎn)生假冒錯(cuò)。在CAN中如果數(shù)據(jù)位錯(cuò)誤發(fā)生在消息的ID部分就產(chǎn)生了假冒錯(cuò)，就有可能把剎車(chē)當(dāng)成加油。下面進(jìn)一步討論產(chǎn)生假冒錯(cuò)的情況。
1．1 數(shù)據(jù)傳送鏈
從數(shù)據(jù)的產(chǎn)生到數(shù)據(jù)的利用的角度來(lái)看，通信不只是由一個(gè)通信控制器(cc)到另一個(gè)通信控制器的過(guò)程，它還包括由主機(jī)(host)到通信控制器的來(lái)回過(guò)程，這個(gè)過(guò)程同樣會(huì)出錯(cuò)。一般的通信干擾分析大多數(shù)著眼于來(lái)自空間的幅射干擾對(duì)串行傳輸?shù)挠绊?，這當(dāng)然是很重要的途徑，但在采取一定措施后，可以得到緩解，例如用屏蔽電纜、雙絞線、屏蔽的ECU外殼等。在汽車(chē)環(huán)境里電源的傳導(dǎo)干擾很大，國(guó)際標(biāo)準(zhǔn)ISO7637列出了典型的傳導(dǎo)干擾形式，它們的波形上升或下降沿很陡，不但在正電壓方向超出電源電壓很多倍，而且會(huì)在負(fù)電壓方向超出很多倍。電源的用)程序走飛的例子常有所聞，這說(shuō)明在電源部分防范不夠的主機(jī)，完全有可能失常，包括將數(shù)據(jù)傳輸?shù)絚c的過(guò)程。所以車(chē)用控制器組件要通過(guò)抗電源傳導(dǎo)干擾的測(cè)試。大部分host到cc的傳送用的是并行方式，例如以字節(jié)方式把內(nèi)容(ID、數(shù)據(jù)等)寫(xiě)入cc的有關(guān)寄存器里。也有少數(shù)采用串行方式，例如Microchip公司的MCP2515型號(hào)CAN通信控制器，它采用SPI串行接口來(lái)傳送。即使將來(lái)大量使用32位MCU，這二種方式很可能依然會(huì)并存：帶cc的host在MCU內(nèi)部用字節(jié)交換數(shù)據(jù)；分立的host與cc可以采用并行或串行方式。但是host在計(jì)算時(shí)用的最小單位是字節(jié)，即使用串口送到cc，它也要有用并行方式寫(xiě)入的部分。當(dāng)電源傳導(dǎo)干擾引起傳送失常時(shí)，這二種傳送可能出錯(cuò)的位數(shù)是不同的。由于并行方式時(shí)l字節(jié)8位同時(shí)受干擾，出錯(cuò)的位數(shù)就較多，其后果看來(lái)就像突發(fā)錯(cuò)(burst error)。串行時(shí)可能先錯(cuò)一位，但如果干擾的持續(xù)時(shí)間長(zhǎng)，就可能形成多位錯(cuò)，其后果也是突發(fā)錯(cuò)。當(dāng)然，一般host并行讀寫(xiě)的過(guò)程較快，同樣的干擾持續(xù)時(shí)間內(nèi)可能有多次寫(xiě)入，出錯(cuò)就較多。
對(duì)于空間干擾，例如電磁場(chǎng)或重粒子流干擾，對(duì)傳送出錯(cuò)的影響與上述分析不同，需要進(jìn)一步研究，但后果是一樣的。
1．2 出錯(cuò)位數(shù)
既然大部分host到cc的傳送總經(jīng)過(guò)并行方式，那么非常短時(shí)的干擾有可能引起的錯(cuò)就是1個(gè)字節(jié)的錯(cuò)。并行傳送時(shí)由于各位線路電路結(jié)構(gòu)的同一性，同一極性信號(hào)的出錯(cuò)可能性相同，不同極性信號(hào)則不太可能同時(shí)翻轉(zhuǎn)，所以傳送內(nèi)容的不同會(huì)影響出錯(cuò)位數(shù)。此時(shí)最壞的情形就是8位全為1或全為O，同時(shí)發(fā)生翻轉(zhuǎn)。Host寫(xiě)一條消息一般不止寫(xiě)1字節(jié)到cc。由此看來(lái)，對(duì)抗假冒錯(cuò)的CRC Hamming距離最好為9。當(dāng)然，即使能保證8位錯(cuò)能檢出，由于要保護(hù)的數(shù)據(jù)不止1字節(jié)，這種對(duì)抗假冒錯(cuò)的CRC只是消除了一次干擾。從實(shí)際數(shù)據(jù)來(lái)看全O或全1的數(shù)據(jù)只占極少數(shù)，所以較小的Hamming距離仍有較大的攔截錯(cuò)誤的概率。