100BASE T1以太网实时控制的危机V3.21——辅助自动驾驶难达标2026-6-11杨福宇 yfy812163.com 2026-5-28摘要在100BASE-TX以太网中由于硬件的制造公差与EMI的联合作用以及判错手段的无奈引起恢复时间超长。与它不同100BASE T1车载以太网恢复时间超长的主要原因是在协义设计本身的疏漏上。1在ISO 7637-3波形2a,2b辐射干扰下会形成共模干扰变为差模干扰最终产生LINK DOWN这是以前研究中未讨论的问题。2在现有设计中LINK UP时发生了link down参数loc_rcvr_status not OK事件也要等1406ms(主节点)或656ms(从节点)才会启动重建。这个时间已远超功能安全的允许值。3100BASE T1车载以太网link down之后是不启动Auto-negotiation的而是启动称为Force mode 的重建过程。这个重建的主要组成是解码器的同步而解码器的同步是在主节点发送SEND-I时进行这里必须有收发节点双3态symbol的同步因此要规定同步起点否则重建将永不成功原协议未加规定使重建成功率降到1/2。4100BASE-T1是设计为全双工的即主从节点同时收发如果传送电缆上有性能恶化或辐射干扰那么同一媒体二边的主从节点接收会同时产生LINK DOWN的条件。这一点未被过去研究提及所以设计留下了巨大隐患。5按规定LINK-STATEFAIL时是不能发送的主/从节点也就都无法实施Force mode的训练这就进入了互锁的状态无限时长的停止服务这是严重的故障了。6在100base-T1中由于扰码器变换机制不能防止连续相同位的出现会造成的连续20个甚至更多相同位。连续过多个相同位会造成总线电平偏移减少后续变化的幅度造成传送出错在CAN中规定是每5个相同位加一个填充位在CAN XL中规定是每10个相同位加一个填充位20个连续位就可能出错。它出现的概率为2^-209.5e-7。在没有外来干扰时的假设下以每帧8000symbol估算的话连续20位发生的区间数有~8e3 个帧错率就是8e3*9.5e-77.6e-4而按每帧120μs计每小时3e7帧这意味着失效率2.2e3/h。即使没有外来干扰平均1.6秒会出1次错。100base-T1的重建link需时受上述缺陷影响造成长期停止通信不能满足实时控制功能安全要求的时限要求以及数据完整性要求必须改进。改进的方向是去掉link down状态改掉扰码器设置消除连续相同位的发生加强报错重发机制。改进时机紧迫我国新能源与网联车正处于域控制器架构大规模量产的前夜一旦定型底层缺陷将被固化至数百万辆车中召回改造成本不可估量二是先行动者拥有定义标准的话语权可避免重蹈尼康在光刻机路线上的被动局面。这也是我们创新的机会是我们可建的的护城河。技术创新的潮流浩浩荡荡顺之者昌逆之者亡。关键字以太网link down, TSN, 光纤网功能安全汽车电子功能安全的要求1故障率10-7/h2应用的FDTI故障探测时间 FRTI故障响应时间故障容错时间间隔FTTI100-200ms。如果车内通信不能满足上述要求时应用就建在沙滩上了。以太网通信最基本的是它的物理层PHY要正确、不停顿地工作物理层由许多模块构成其中有一个模块叫扰码器它的作用是将输入的位流极性打乱扰码然后送到电缆上其主要功能不是加密而是将送到电缆上的信号功率频谱平摊以免从电缆无线发射的功率太大影响到附近工作的设备。接收接点要对收到的信号进行解码以恢复真正要传送的信息。这样就要求解码器与扰码器严格同步不同步就会一直错下去。扰码器的设置引入了解码器位流“对齐”的要求即1它们的时钟要完全同步不能漏一步时间上要同步2移位时不能出值错它们的状态要相同。训练过程中有电磁干扰或开始状态错开1个symbol时解码器也是不会同步的。这种情况便是脱链了是LINK DOWN的来源之一。100base-T1的LINK重建需要200ms博通标准 V3.2版甚至更多在重建未完成时新的干扰又来了可能延续达500ms甚至更长。第2个问题是通信数据出错时没法及时重发数据延迟造成丢帧在数据不足下AI判断的可信度下降.依赖AI的控制就成未知的黑箱操作。在汽车应用中要确保通信正确、准时安全才有保障。P19/88 重建时间200ms的出处1.RS(Radiate Susceptibility) 的影响本文考虑辐射干扰ISO7637-3的影响由于制造技术的局限差分传输电缆上的器件参数有不对称性目前还不能把对称性改得更好这个参数不对称性会引起共模干扰电压转为差模干扰信号造成通信出错这是协议设计时未提及的。国标GB/T 21437.3-2021道路车辆 电气/电子部件对传导和耦合引起的电骚扰试验方法 第3部分对耦合到非电源线电瞬态的抗扰性 对应ISO7637-3-2016有对辐射传递的电磁干扰规定。例如对12VD电池系统。测试方法规定的到达被测对象DUT的波形2a为峰值30v,脉宽50μsDCC法波形3a峰值max-110vDCC法CCC法脉宽0.15μs。波形3b峰值max75vDCC法CCC法脉宽0.15μs。100BASE-T1是很容易出错的。例如TJA1100收发器输入阻抗的差就会将共模变为差模有输入阻抗容差±5%它会导致出错下面加以分析。TJA1100数据手册 P39/521)对快速的ISO7637-3,3a,3b 干扰在ISO7637-33a,3b干扰的主要频率16M下隔直电容100nf的阻抗Z0.1Ω可以忽略不计同极性的共模干扰经过200μH共模电感时在铁芯中的磁通是同向的只要没有饱和就可以分别计算回路动特性。200μH共模电感在16M时的感抗接近20KΩ。耦合阻抗为 R~14K16M参见d:/auto/ccc paper TMEC…: Niels Lambrecht , H. Pues et Approximate coupling resistance deduction for ISO 7637-3 Capacitive Coupling Clamp Test, 可推算出P,N二个线圈並联于是分到电压25V共模干扰源60V该文中模拟与实测结果均证实。以下就以共模干扰源60V、共模电感前分得25V分析(实际上ISO 7637-33a的幅度最大要110V3b的幅度最大要75V)。图中120nH低通滤波器的感抗比200μH共模电感的感抗小1000倍故可忽略不计此时耦合的干扰电压VIN就由3个环节构成100nf隔直电容上的变化VC200μH共模电感上的变化VL以及收发器输入阻抗47.5Ω/52.5Ω上的变化Vout。设最终电流imaxVout/R.。设电流从 0 增长到imaxVout/R的低频线性近似为电流iimax/Dtt其中imax/Dt代表斜率Dt是imax考察段的结束时间。电容上的电压增量为VC1/C∫idt1/C∫(imax/Dtt)dt1/Cimax/Dt/2t2。结束时tDt有VC imaxDt/2C。而VLLdi/dtLd(imax/Dtt)/dtLimax/Dt所以VINVCVLVoutImax(Dt/2CL/DtR)Vout/VINR/[RL/DtDt/2C]​若按ISO 7637-33a的上升沿Dttd5nS则有L/Dt200×10−6/5×10-94 ×104ΩDt/2C5×10−9/2/(100×10−9)2.5× 10−2ΩVout152.5/[52.5400000.025]VIN0.001310VINVout247.5/[47.5400000.025]VIN0.001186VIN差模输出Vc2d0.00013VIN在VIN25V时Vc2d0.00325V可以忽略不计。可是ISO 7637-32a波的宽td50μs。按近似三角形经5μs后输入的波幅90%VIN如果取Dt5μs时波幅90%VIN便有L/Dt200×10−6/5×10-64 0ΩDt/2C5×10−6/2/(100×10−9)25ΩVout152.5/[52.54025]VIN0.4468VINVout247.5/[47.54025]VIN0.4222VIN差模输出Vc2d0.0246VIN在用直接电容耦合法DCC校正导线上的干扰时幅度是30V与电感钳耦法的6V是不同的电感法测的是DUT线间磁力线空洞面积耦合的干扰而电容法测的是通过杂散电容耦合的干扰它们涉及二种不同的干扰路径不是可以互相替代的。在VIN30V*90%时Vc2d0.664V就不可以忽略了实际上只要Vc2d0.25V就会发生误码了。参考PAM3输出得切换点见d:/ethernet/100base-t1/100base-t1-ethernet -Lecroy Application Note: Fundamentals of 100Base-T1 Ethernet. July 21,2020 p2/5可见±1的分界线为0±250mV。ISO 7637-32a的5μs持续时间5000/15symbol333symbol。这个差模干扰造成PAM3译码输出-1.-1或11【取决于R1\R2在哪个输入口】的概率极大而PAM3-1,-1或11对于数据它会造成2T/3B译码的错误用作帧开始和结束的控制码SSD和ESD的0,0也将出错它会在LINK重建中产生出错循环。2.100BASE-T1 LINK重建时长的不确定性这一章的依据是 OPEN Alliance BroadR-Reach (OABR) Physical Layer Transceiver Specification For Automotive Applications V3.2 June 24th, 2014 。1PMA接收信号质量起决定性作用的是参数loc_rcvr_status如果它not OK就会LINK DOWN。这个参数在后面的控制流程图中可以见到。P59/88 loc_rcvr_status的来源2loc_rcvr_status的产生PMA中loc_rcvr_status如何实现未加描述但是在TJA1100芯片的数据手册中可以由LINK STABILITY代表。控制状态的有3个信号a1.由输入决定的信噪比均值SNR_AVERAGING 它分成4档只选用1档它是64位AD采样经echo cancel修正后的值按32symbol/64symbol/128symbol/ 256symbol计算均值这里推测均值是一个移动时间窗口作为信噪比中的信号a2信噪比超限报警值设定值SNR_WLIMIT 分为无报警及A到G各档a3针对SNR_WLIMIT设定的信噪比超限事件发生的次数限值。以下是我的理解输入信号与a1选定的均值比较后就是噪声噪声超过a2设定限比较,就在对应的计数中1累加数比a3多后就当发生link状态差报警。按TJA1100解释。此时LINK状态失效通信中断允许的话就自动启动重建重新训练物理层。重新训练只是将本次LINK 状态复位掉並非增强物理层对抗外部辐射的能力。3link down启动时间P61/88 LINK UP状态退到LINK DOWN状态的条件见下图。在正常运行的LINK UP状态下发生loc_rcvr_statusnot OK事件並不立即处理要有maxwait-timer溢出作为运行中退出LINK UP的and条件。这个maxwait-timer值是1406ms±18ms(主节点)或656ms±9ms(从节点)p63/88。这是一个与设计目标要快速不符合的地方设计目标是恢复link的时间是200ms往往被理解为实时控制停顿最多为200ms但是这里即使发生了link down参数loc_rcvr_statusnot OK事件出错以大概率存在主节点也要等1406ms时间到或从节点要等656m时间到后才判为link down。这样未考虑重建时间前实时控制主节点也要白等最多等1406ms或从节点最多等656ms。这么大的延迟是不能满足汽车实时控制功能安全要求的。这是继承了 802.3-2012 Clause 40.4.5.2 的后果。最终写入IEEE 802.3bw (100BASE-T1)标准的是750ms (Master) / 350ms (Slave) 即便如此其判断逻辑未改(並出现在中华人民共和国汽车行业标准汽车以太网100Mbps 物理层接口PHY芯片技术要求及试验方法图19.)。物理上辐射干扰ISO7637-3,2a,2b脉冲形成的Vc2d0.66V幅度持续间隔时间td50μs的影响计算50μs50000/15symbol3333symbol,它足以使SNR_WLIMIT超限。ISO7637-3,2a,2b干扰周期时长t1200ms会重复发生SNR_WLIMIT超限。P61/88 LINK UP状态退到LINK DOWN状态的条件4link重建过程link down之后是不启动Auto-negotiation的而是启动称为Force mode 的重建过程p28/88。训练开始后主节点以minwait_timer的周期1.8us发送SEND-Z,SEND-I循环並检查rem_rcvr_status是否 OK,一旦rem_rcvr_status OK就进入SEND-N和SEND-I循环。P60/88 4.4 PHY Control function所以MASTER需要知道rem_rcvr_status。从下图看从节点LINK-STATEFAIL时从节点是不能发送的不能发送时从节点输出为高阻状态。即SLAVE SILENT可能是代替rem_rcvr_status的一个信号。但是辨别这个状态是困难的因为在disabled状态芯片的输入阻抗依然存在例入TJA1100在disabled状态的输入阻抗是30-86Ω。这个图的适用性有误解的可能性loc_rcvr_status代表的是主节点本地收发器的状态。只要发生了loc_rcvr_statusnot OK后续实际上没有主节点在SLAVE SILENT状态下下一步演进的路径谁发送SEND-Z,SEND-I。P35/88 LINK-STATEFAIL时是不能发送的重建LINK训练缺少同步起点的影响P59/88 4.4 PHY Control function图中从slave silent状态到training状态时没有规定SEND -Z的主从同步点symbol的传送是2个3态信号RAn/RBn一组成对顺序发送的从节点的silent並不能保证发生在耦数RBn后故障的随机性决定或者说主节点发现从节点的silent並不能保证发生在耦数RBn后。idle时规定用RAnTAnSdn0Scr(0)来同步解码器。如主节点所发的SEND -ZSEND -I将与从节点错开1个symbol将使从节点以RBn来更新解码器造成永远不能成功重建link。这个问题是可以解决的加一个限定——在原来同步的耦数symbol处开始发SEND -ZSEND -I。严重的问题来了Force mode都不开始100BASE-T1是设计为全双工的即主从节点同时收发如果传送电缆上有性能恶化或辐射干扰那么同一媒体二边的接收会同时产生LINK DOWN的条件。按上节规定从节点启动Forced mode重建由于主节点本身也停止了发送就无法训练从节点。主节点在启动Force mode重建也要靠从节点如果从节点尚未开始恢服。这就进入了互锁的状态通信无确定时间全停这是更严重的故障了。从这个角度汽车行业标准汽车以太网100Mbps 物理层接口PHY芯片技术要求及试验方法p28/112的不区分主/从的maxwait-time200ms就可能发生这样场景。而博通的从节点先判出656msLINK DOWN时主节点还有机会发送可以训练从节点等主节点判出LINK DOWN时1406ms从节点还有机会发送用于训练主节点。当然这个训练主节点需要离线改变节点的功能定义也不是Force mode实时可以做的。结论是Force mode对付从节点LINK DOWN有效。对付主节点LINK DOWN无效。只要主节点LINK DOWN是会锁死的而主节点LINK DOWN的机会与从节点LINK DOWN机会相同。最好还是不要有LINK DOWN状态。5故障的持续性GB/T 21437.3-2021(对耦合到非电源线电瞬态的抗扰性)P19/22link错后100Base-T1的重建时间是200ms由于要保证在200ms内重建成功的先决条件是没有新的电磁干扰但这个条件不存在例如ISO7637-3.2a 这个波形是实际环境中提炼出来的代表了车内确有此类干扰测试标准中的干扰周期时长t1200ms就是说100BASE-T1以太收发器刚成功重建link就又要link丢失了。更何况重建可能开始不了。就上述345节可知实际停机时间更长按从节点最坏656ms0.6秒才启动link重建计算。这意味着网络也至少要停相同的0.6秒时间基于100Base-T1的L2级自动辅助驾驶是无法满足自动紧急刹车AEB的100km/h时通信停0.6秒就开了近16.7米才开始刹车。对于L2级自动辅助驾驶的导航也是不行的“中央计算雷达”收不到数据何来计算链路重建的200ms只是开始雷达本身还需要重新扫描、重新建立点云这意味着实际的“盲视窗口”可能是800-850ms。在视频信号传送中自动泊车中就超国标GB/T 44176-2024推荐的0.3秒图像时延。BMW的辅助驾驶挫折:”By November 2011 BMW decided to use 100BASE-T1 Ethernet extensively in infotainment and driver assist domains targeting the new 7-series with SOP July 2015“但是因为干扰问题。BMW不得不推迟了车型的发布1年见新闻报导“It took BMW over a year to solve its EMC issues at 100Mps on twisted pair cooper cables, it even had to delay a commercial launch.”3.LINK重建时长和电磁干扰间隔的交织使冗余失效对于环网冗余来说第一个断点尚未恢服时第2个断点还可能发生着就是说恢复时间是不够的。IDVP中的环网在link失效率低时是可以在20ms内恢复通信的问题不在这里。但是100BASE-T1车用以太网的link失效率在有EMI时不会低一次ISO7637-3,2a,干扰脉冲就可能使一段例如LINK3失效。而当这个LINK3还200ms(1046200ms)未恢复时在后续测试中【GB/T 21437.3-2021(对耦合到非电源线电瞬态的抗扰性)P19/22——前面有表B1截图。要连续测5分钟反映了应用中可能的频度】又有新的ISO7637-3,2a,干扰来了环网的另一些段例如LINK4、LINK5)又断了就再也没有可绕过去的路了。4.扰码器出现连续相同位使出错率超标、丢帧另一个影响功能安全的因素是协议扰码器的设计缺陷这在100BaseT1和100Base-TX中都存在正常数据下会出现连续相同电平例如20位【参考100BASE-T1 Automotive设计缺陷V2-CSDN博客100Base-Tx重建link时间不确定的原因 V3-CSDN博客】使电缆上的分散电容充电使后续发送以100BASE-T1 Automotive的LFSR0111000000011100000001110000000111为例计算如下图中色块为0可以看清每拍移位情况当满足Txdatanot Syn 时sd111如sy010时TX-DATA101、sy000时TX-DATA111、sy001时TX-DATA110它就可以产生连续60位TA,TBsymbol1的不同电平不能快速变化造成值错。实际上连续相同位是要避免的例如CAN1Mbps.单极性信号中5个连续相同位加一个填充位CAN XL(20Mbps.双极性信号)每10位加一个填充位那么在100base-T1中20个连续位就可能出错。由于扰码器变换机制造成的连续20个相同位它出现的概率为2^-209.5e-7。在没有外来干扰时的假设下以每帧8000symbol估算的话连续20位发生的区间数有~8e3 个帧错率就是8e3*9.5e-77.6e-4而按每帧120μs计每小时3e7帧这意味着失效率2.2e3/h。即使没有外来干扰平均1.6秒会出1次错。通过类似TCP/IP的高层协议进行出错重发可能失去时效还可能加上上述LINK错延迟成为丢帧丢帧是一个功能失效的大问题通信出错是不可避免的关键是不能丢帧不能全局不一致。以太网是交换机点对点通信接收出错而不能及时纠错不同节点同一信息就有时差在紧急时刻CPU要处理的事多要发送的信息多会造成来不及纠错1.6秒出1次错远远大于功能安全需求分配給通信的失效率1e-9/h。相比之下CAN的出错自动重发就快捷得多,也能保证全局数据一致。各位对CAN有兴趣的话我也有这方面的研究例如为什么要改掉CAN的error passive和bus off V1_can passive error-CSDN博客Conflict in CAN XL system due to DLC receiving error V2-CSDN博客(PDF) Conflict in Data Field of CAN XL V1 2022 (researchgate.net)。以及可能改进的方案“CAN远程帧打开了十倍提高应用性能的大门 2025.1.17”。在这里讲CAN是因为以太网仍然不能满足实时控制的功能安全要求即使现在就改以太网也要至少5年才能赶上去更不要说应用的成本差异总线与交换机人才培养CAN的30多年实时控制经验与以太网的还在探索。那些协议用扰码器5.怎样改进1)将电缆断路与通信错分开处理从上述分析可见停止通信服务时间长短的关键不是maxwait-timer的有无而是link down本身的存在从节点重建link需要主节点的配合而link down禁止从节点发送无法告知主节点二者有矛盾见第3章第4节。通信出错有两种类型%1媒体性能下降会使出错频率增大。因此重发成功概率小%2辐射电磁干扰的出错是瞬态的在干扰的间隔就可以发送成功如不考虑用扰码器。因此重发成功概率大。改进的方向是去掉link down状态依靠不受限的出错重发。%1类错的媒体性能下降可以离线诊断就像TJA1100的电缆诊断方法。见下图。物理层equalization参数的获得可以在修正的SEND-I传送的波形待定收发中学习获得。2)改掉扰码器设置以太网协议连续相同位输出造成错率高的缺陷的根源是扰码器的设置传统上增加扰码器设置的目的是均分信号的功率频谱从而减少电磁干扰的发送曾见到文献讲采用扰码器后发射减少到20分贝满足了有关规定。注意这个理由是从平均数出发的如果缩短考核时间可能並不成立例如第4章中100BASE-T1在取Tx-datanot Syn 时( Syn111、101和001)便有Sdn111发送节点输出连续60位Sd即symbol1, 没有时钟跳变。这个60symbol0.9μs的瞬间峰值干扰发送对脆弱的邻近设备功能可能已起危害例如无线接收设备引入误码。扰码器的设置引入了解码器位流“对齐”的要求即%1它们的时钟要完全同步不能漏一步时间上要同步%2对应位不能出值错它们的状态要相同。这要在原设计的训练过程中完成。由于是否已“对齐”没有直接的检验方法只能依后续收发中出错频度作简接的检验也就是让训练过程时间足够长而直到没有显式错误(例如CRC错以确保训练过程中再也没有干扰。一旦训练过程中有干扰而未同步由于扰码器本身的伪随机特点解码结果对扰码输入就是随机的出错数目会增多。而以太网的CRC只保证查出3位错多于3个错时CRC可能漏检错。于是这个CRC检验是不能保证解码器是对齐的造成发现失步就困难。在TJA1100中是靠出错率统计判断LINK状态见下图。不仅可能误报失步实际上只是ISO7637-32a,2b干扰引起的错SNR_FAILLIMIT设得过大也无法区别是电磁干扰后果还是线缆硬件故障。所以这是一个出错后纠错困难的设计。TJA1100 Product data sheet p18/52去掉扰码器设置是利大于弊的就不会需要重建LINK不会有的长时间延迟使冗余设计有效。3)增加数据报错功能通信出错是不可避免的关键是不能丢帧这是重要措施可彻底解决自动辅助驾驶失效的另一个风险。【参考改进100BASE-TX以太网芯片-- 保证工业以太网闭环控制的确定性V1_CSDN博客】4根据我的研究编码方面还可以改进消除连续相同位的发生代替原来扰码器的功能並提高检错速度但要增开销统一意见要费口舌。6.知错就改只是想象100BASE-T1可以支承域控制器的EE架构是错的错的来源1盲目跟随这是因为外商也是这么说的外商的车厂和芯片厂都是这么说的连功能安全的认证机构都没有异议2误解为它有CAN那样可靠也是因为以太网的ber定议未包括外来干扰khermosh_3_1101.pdf p4/5见下图非常容易与CAN的ber混扰3学术上空缺没有看到扰码器设计也会在没有外来干扰时也会造成出错。Ajay Gummalla, Lior Khermosh, Ariel Maislos, BER requirements但是记住没有人讨论过本文提出的100BASE-T1缺陷。100BASE-T1以太网实时控制会停顿的情况是小概率事件对车祸死去的人是100%概率的事件。但这个缺陷会影响我国在新能源车、网联车的先发优势、我厂的竞争优势、抑或芯片厂、车厂的翻身机会。不要重轁尼康的覆辙光刻机巨头轰然“倒塌”-36氪2002年台积电资深处长的林本坚敲开了尼康的大门。针对当时193nm干式光刻机遭遇瓶颈、下一代157nm光源研发进展缓慢的局面林本坚提出了一个颠覆性设想在镜头与晶圆之间注入一层水。利用水的折射率可以将193nm光源的等效波长缩短至134nm从而绕过157nm路线的诸多难题。尼康不仅拒绝了林本坚甚至试图利用自己的行业威望来封杀这个构想。据林本坚后来回忆尼康高层曾给台积电研发副总蒋尚义打电话称“请管好你们的林本坚不要让他到处推销这种破坏行业共识的构想这会让大家分心并浪费资源。在尼康碰壁后林本坚飞往荷兰。2004年ASML与台积电合作推出世界上第一台浸润式光刻机ArFi凭借更高的精度和更低的成本横扫全球市场。2007年ASML市占率突破60%首次形成碾压态势2010年后ASML市占率突破70%尼康、佳能被彻底拉开差距。这是一场教科书级的技术误判。100BASE-T1以太网的LINK状态设置和扰码器困局类似157nm路线的诸多难题不要认为这是破坏行业共识的构想需要睿智的技术判断我国新能源与网联车正处于域控制器架构大规模量产的前夜一旦定型底层缺陷将被固化至数百万辆车中召回改造成本不可估量等待风起来再飞只会被抛到不能自主控制的地方等不到风起来就会沉没被大流抛弃。