第四章：CAN总线错误处理——从“翻车”到“躺平”的生存法则
各位同学，今天我们来聊聊CAN总线里一个特别“刺激”的话题——错误处理。
说实话，我刚开始做CAN开发那会儿，觉得错误处理就是个“配角”。能发能收不就行了？直到有一次，我在一个电机控制项目里，总线莫名其妙就“罢工”了。整个系统像死了一样，没有任何报文。我查了三天，最后发现是一个节点反复发送错误帧，把自己给“关”了。
嗯，从那以后，我再也不敢小看错误处理了。
CAN总线的错误处理，说白了就是一套“自我修复”机制。它不需要主站干预，每个节点自己就能检测、报告、甚至隔离错误。这设计，我个人觉得非常巧妙。
4.1 错误类型：五种“翻车”姿势
CAN协议定义了五种错误类型。你想想看，一个报文在总线上跑，可能在哪几个环节出问题？
我习惯把这五种错误分成两类：发送端错误和接收端错误。这样记起来更清楚。
4.1.1 位错误（Bit Error）
这是最直接的一种错误。发送节点往总线上发一个“显性”位（0），结果自己回读的时候发现总线上是“隐性”位（1）。这就叫位错误。
为什么会这样？可能是总线被其他节点拉低了，或者物理层出了故障。
关键点：只有发送节点能检测到位错误。接收节点不会报这个错。
我在项目中遇到过一件事：一个节点发送ACK位时，总线上一直读不到显性电平。后来发现是它的CAN收发器的驱动能力不够，拉不动总线。嗯，硬件选型真的很重要。
4.1.2 填充错误（Stuff Error）
CAN协议规定：连续发送5个相同电平的位后，必须插入一个相反电平的位。这叫“位填充”。
如果接收节点发现连续6个位都是相同电平，那就报填充错误。
你可能会问：为什么要搞这么麻烦？
其实是为了同步。CAN节点靠电平跳变来同步时钟。如果长时间没有跳变，时钟就会漂移。位填充保证了总线上的电平最多5个位就跳变一次。
我的经验：填充错误通常意味着发送节点的时钟精度有问题，或者总线干扰太严重，导致填充位被“吃掉”了。
4.1.3 CRC错误（CRC Error）
这个大家应该不陌生。发送节点计算CRC校验码，放在报文末尾。接收节点重新计算一遍，如果对不上，就报CRC错误。
CAN的CRC是15位的，比很多协议都长。为什么？因为CAN是实时性要求很高的总线，CRC越长，漏检率越低。
| 错误类型 | 检测方 | 常见原因 |
|---|---|---|
| 位错误 | 发送节点 | 总线竞争、物理层故障 |
| 填充错误 | 接收节点 | 时钟漂移、干扰 |
| CRC错误 | 接收节点 | 数据被篡改、干扰 |
| 格式错误 | 接收节点 | 协议解析异常 |
| 应答错误 | 发送节点 | 无节点接收 |
4.1.4 格式错误（Form Error）
CAN报文有固定的格式。比如CRC界定符必须是隐性位，ACK界定符也必须是隐性位。如果接收节点发现这些固定位域的电平不对，就报格式错误。
我记得有一次调试，一个节点老是报格式错误。查了半天，发现是它的晶振频率偏差太大，导致采样点偏移，把正常的位采样成了错误电平。嗯，晶振这东西，真不能图便宜。
4.1.5 应答错误（Acknowledgment Error）
发送节点发送完报文后，会在ACK槽等待一个显性位。如果有任何一个节点正确接收了报文，就会在ACK槽发送显性位。如果发送节点读不到显性位，就报应答错误。
说白了，就是“我发了，没人理我”。
避坑指南：我曾经遇到一个项目，所有节点都正常，但就是报应答错误。后来发现是终端电阻没接。没有终端电阻，总线上的信号反射严重，ACK位被“淹没”了。所以，终端电阻一定要接！
4.2 错误状态机：从“主动”到“被动”再到“躺平”
每个CAN节点内部都有两个计数器：发送错误计数器（TEC）和接收错误计数器（REC）。
节点根据这两个计数器的值，处于三种状态之一：
- 主动错误（Error Active）：正常状态，可以主动发送错误帧
- 被动错误（Error Passive）：只能发送被动错误帧，且发送前要等待8个隐性位
- 总线关闭（Bus Off）：完全退出总线，不参与任何通信
你想想看，这像不像一个“犯错-警告-开除”的过程？
4.2.1 状态转换规则
规则其实很简单：
- TEC > 127 或 REC > 127 → 进入被动错误状态
- TEC > 255 → 进入总线关闭状态
- 被动错误状态下，TEC和REC都 ≤ 127，且累计128次11个隐性位 → 回到主动错误状态
- 总线关闭状态下，检测到128次11个连续的隐性位 → 回到主动错误状态
注意：总线关闭状态只能通过硬件复位或等待总线空闲来恢复。软件无法直接“解封”。
我个人习惯在调试时，把TEC和REC的值打印出来。这样能直观地看到节点是不是在“犯错”。
4.2.2 主动错误 vs 被动错误
这两种状态下的错误帧有什么区别？
| 特性 | 主动错误 | 被动错误 |
|---|---|---|
| 错误标志 | 6个显性位 | 6个隐性位 |
| 对总线的影响 | 会破坏其他报文 | 不会破坏其他报文 |
| 发送前等待 | 不需要 | 需要8个隐性位 |
说白了，主动错误节点“嗓门大”，一犯错就把总线上的正常报文都冲掉。被动错误节点“嗓门小”，只能发隐性错误标志，不影响其他节点。
我记得有个项目，一个节点频繁进入被动错误状态。它发的错误帧全是隐性的，其他节点根本不知道它在报错。结果就是，这个节点一直在“默默”地犯错，但总线上的其他节点完全不受影响。嗯，这其实是一种“优雅”的降级。
4.2.3 总线关闭：最后的“躺平”
当TEC超过255时，节点就进入总线关闭状态。这时候，节点完全停止发送任何报文，包括错误帧。
你可能会问：为什么要有这个状态？
我告诉你，这是为了保护总线。如果一个节点硬件坏了，不停地发错误帧，那整个总线都会被它“拖垮”。总线关闭机制就是把这个“害群之马”踢出去，保证其他节点还能正常工作。
我的建议：在产品设计中，一定要考虑总线关闭后的恢复策略。有些应用需要节点自动恢复，有些则需要人工干预。比如安全气囊系统，总线关闭后绝对不能自动恢复，必须去4S店检修。
4.3 错误帧的结构
当节点检测到错误时，它会发送一个错误帧。错误帧由两部分组成：
- 错误标志：6个相同电平的位（主动错误为显性，被动错误为隐性）
- 错误界定符：8个隐性位
这里有个细节：主动错误节点发送6个显性位后，其他节点检测到位填充错误，也会发送自己的错误标志。所以，总线上实际看到的错误标志可能是6-12个显性位。
嗯，这个“叠加效应”我当年也困惑了很久。后来用示波器一看，才明白是怎么回事。
4.4 实际调试中的经验
最后，分享几个我在项目中踩过的坑：
- 总线关闭后不要急着复位：先检查TEC和REC的值，分析是什么原因导致的。盲目复位可能会让问题反复出现。
- 注意错误帧的“传染性”：一个节点的错误帧可能会引发其他节点的错误帧，造成“雪崩效应”。这时候要找到“罪魁祸首”。
- CANFD的错误处理略有不同：CANFD在数据段使用了更短的位时间，错误检测的时序要求更高。我建议在CANFD项目中，把采样点设置在80%左右。
重要提醒：千万不要在总线上同时使用CAN和CANFD节点，除非你做了充分的兼容性测试。否则，CANFD的快速数据段可能会被CAN节点误判为错误。
好了，关于CAN总线的错误处理，今天就讲到这里。下一章，我们来聊聊CANFD的“新花样”——看看它比经典CAN到底强在哪里。