4.2 错误状态机与计数器：故障界定的算术
文档摘要
4.2 错误状态机与计数器：故障界定的算术 本节摘要：检测解决"坏帧现形"，本节解决"坏节点清算"。每个节点内置发送与接收两个错误计数器，计数规则决定节点在错误主动、错误被动、总线离线三态之间的迁移。本节讲透加减规则的用意、三态的行为差异与离线恢复的完整流程，这是CAN可靠性设计的压轴戏。 计数器说了算。CAN协议给每个节点配了两本账：发送错误计数器（TEC）记录发送侧的失败，接收错误计数器（REC）记录接收侧的失败。任何一类错误发生后，相关计数器按规则加减；两个计数器的数值区间决定节点处于哪个状态、享受哪些权利。整台车上所有节点各自独立记账，无需任何协商——故障界定因此是彻底分布式的。 计数规则背后的用意 协议规定的计数规则可以归纳成一张表，先看规则再谈用意。
4.2 错误状态机与计数器：故障界定的算术
本节摘要：检测解决"坏帧现形"，本节解决"坏节点清算"。每个节点内置发送与接收两个错误计数器，计数规则决定节点在错误主动、错误被动、总线离线三态之间的迁移。本节讲透加减规则的用意、三态的行为差异与离线恢复的完整流程，这是CAN可靠性设计的压轴戏。
计数器说了算。CAN协议给每个节点配了两本账：发送错误计数器（TEC）记录发送侧的失败，接收错误计数器（REC）记录接收侧的失败。任何一类错误发生后，相关计数器按规则加减；两个计数器的数值区间决定节点处于哪个状态、享受哪些权利。整台车上所有节点各自独立记账，无需任何协商——故障界定因此是彻底分布式的。
计数规则背后的用意
协议规定的计数规则可以归纳成一张表，先看规则再谈用意。
| 事件 | 计数变化 |
|---|---|
| 接收方检出错误并发错误帧 | 接收计数 加 八 |
| 接收成功（帧尾到应答无错） | 接收计数 减 一，不低于零 |
| 发送中检出错误 | 发送计数 加 八 |
| 应答错误（读到隐性应答槽） | 发送计数 加 八 |
| 发送成功（帧尾无错且获应答） | 发送计数 减 一，不低于零 |
| 仲裁失败退让 | 计数不变 |
| 错误被动节点检出错误 | 按特殊规则少加，详见下文 |
规则的不对称性就是用意所在。成功加一 versus 失败加八，等价于"偶尔犯错可以赦免，连续犯错才清算"——单次瞬态干扰造成的错误，会被后续若干次成功通信快速冲销，计数器回到低位，节点保持完全权利。而故障节点持续出错，计数以每帧八的速率飙升，几十帧之内就触及状态门槛。这套不对称设计精确匹配了车载干扰的统计特征：绝大多数错误是瞬态的，持续性错误几乎必然意味着故障。
状态门槛有两道。发送或接收计数超过一百二十七，节点降入错误被动：此后它检出错误时不再发显性错误标志，只发六位隐性序列，也不再立即重发——要在帧间空间之后额外等待八位。这些"权利受限"的用意是让故障节点闭嘴：显性错误标志会干扰别人，立即重发会占用总线，降级后的节点对总线的破坏力被压到最低。发送计数达到二百五十六，节点进入总线离线：控制器与总线脱开，只听不说，坏消息的源头被物理性切断。
总线离线与恢复的完整流程
离线不是终审判决。协议规定的恢复路径是：离线节点持续监视总线，累计侦测到一百二十八次连续十一位隐性位（帧间空间加空闲的标志性图案）后，自动回到错误主动。设定十一位隐性为标志很讲究——它意味着总线已经稳定通信了相当时间，此时归来不会干扰正常对话。一百二十八次的门槛则给整车上下电、网络管理的时序留出余量，避免节点在总线尚不稳定的窗口期反复进出。
恢复流程值得逐步拆开：离线节点只听不说，总线上其余节点照常工作，整车功能几乎无感；节点计数满一百二十八次连续隐性后复位计数器、回归错误主动，然后像新节点一样从下一帧开始参与。整条路径没有任何上层软件的参与，完全在控制器硬件内完成。
案例：一次典型的离线归因
背景：售后反馈某车型雨天行驶后仪表报"助力系统故障"，重启后恢复。操作：接入诊断仪读取网关记录，定位到电动助力控制单元在故障时段离线过；复现试验中发现该节点离线前发送计数陡增——持续发送应答错误。检查线束，发现助力单元的CAN_H在发动机舱过孔处护套磨破，间歇对地短路。结果：修复线束后故障不再复现。解读：归因链条是"应答错误加八、成功减一"的算术——对地短路让它的帧无人应答，计数以每帧八的速度冲过二百五十六，节点自己把自己关了禁闭；总线其他节点无损，这就是故障界定的价值：故障被限制在一个节点内，表现为"单系统不可用"而非"全网瘫痪"。变式：若记录显示的是接收计数狂增而发送正常，嫌疑就转向该节点的接收链路或晶振，处理路径完全不同——计数器不仅清算故障，还记录了故障的形态。
工程上还有一条重要备注：不少控制器芯片提供"自动恢复开关"。协议默认离线后自动回归，但部分整车厂规范要求关闭自动恢复、改由软件确认后复位——因为离线往往意味着硬件故障，无脑自动回归可能让故障节点反复冲击总线。做平台选型时，这项配置要提前对齐。
降级哲学的工程延伸
三态状态机背后的思想——"故障节点先降级、后隔离、再给恢复通道"——在协议之外有广泛的回响。应用层软件借鉴它设计了功能降级策略：关键功能失效时，先关闭附加功能保核心功能，而不是整机停摆；网络管理借鉴它设计了节点分级下电：休眠时先停应用、再停通信、最后断电，给系统留出收尾时间。理解协议里这套机制的用意，等于获得了一个通用的故障处置模板。
给维护工程师的一条实操建议：把总线离线事件纳入售后数据库的必录字段，并记录离线前后的计数器快照。离线是故障界定的终态，它的频度与分布是整车网络健康度的直接指标——离线高发的节点或批次，背后几乎总有值得立项的硬件或工艺问题。数据比现场印象可靠，这是排障体系的最后一环。
顺带一提，第8.1节的故障注入清单里，离线恢复是必测项——自动恢复与受控恢复两种策略的差异，只有在注入实验里才能量化对比。策略没有绝对优劣：自动恢复换可用性，受控恢复换确定性，选择取决于那个节点失效时的整车安全策略。
把状态机曲线画进售后培训材料也极有价值：一线人员看到"离线"两个字容易直接判断硬件报废，而计数曲线能区分"渐变劣化"与"突发隔离"，两种形态的处理建议完全不同——前者查老化与工艺，后者查偶发短路或极端工况。数据形态决定处置路径，这是计数器留给维护体系的又一份资产。
本节要点回顾
- 两本账三道门：发送与接收计数器独立记账，一百二十七与二百五十六两个门槛划分三态。
- 不对称加减是设计精髓：成功减一失败加八，瞬态错误快速冲销，持续故障迅速清算。
- 错误被动是让坏节点闭嘴：不发显性标志、延迟重发，破坏力被限制到最小。
- 离线可自动恢复：一百二十八次连续十一位隐性后回归，全程硬件完成；是否关闭自动恢复是平台级决策。
- 计数器曲线是排障证据：发送计数暴涨指向发送链路，接收计数暴涨指向接收链路与晶振。
至此，链路层的可靠性机制全部就位。下一章视角拉高：这条被反复验证的总线，如何靠代际演进追上带宽的胃口。