1. 为什么搞汽车电子的都在聊CAN总线
1.1 一个“老工程师”的痛
我最早接触CAN总线是十年前在一家做车载仪表盘的方案公司。那时候项目里最头疼的事情不是算法写不出来，而是车上几十个ECU之间的“对话”怎么组织。以前常见的做法是每个功能单元拉几根独立的信号线，复杂点的用模拟量、PWM或者串口点对点通信。结果车一复杂，线束就成了灾难：几十公斤重的线束、难以排查的隐性故障、想加一个功能就得重新走线。整车厂的朋友开玩笑说，那会儿的新车发布会不如叫“线束发布会”。
CAN总线就是为了解决这个问题被博世在1986年推出的。它的全称叫Controller Area Network，控制器局域网，本质上是一条串行通信总线，让车上各个控制器——发动机ECU、ABS、变速箱、气囊、车身控制模块、仪表盘——都能挂到同一条线上互相传数据，而且不需要主机仲裁，谁有事谁发言。如今不光是汽车，工业机器人、医疗设备、电梯、船舶、农业机械、光伏逆变器甚至部分3C产品里，都能看到CAN的身影。凡是要求“线少、点多、实时性强、抗干扰好”的场合，它都是首选。
这篇博文我会从协议细节到电路设计，从帧结构到故障排查，把CAN总线翻个底朝天。不说废话，全是干货，适合正在做嵌入式、汽车电子、工业控制的朋友，也适合刚入门想搞懂“为什么CAN能这么稳”的同学。
1.2 CAN到底是怎样的一个总线
先给一个整体认知：CAN不是像UART那种简单的异步串口，也不是像SPI那种主从结构。它最大的特点就是多主机和广播式通信。总线上任何一个节点，只要总线空闲就可以主动发帧，发的帧不是发给某个特定地址，而是发给所有人——但每个节点会根据自己的验收滤波逻辑决定“这帧跟我有没有关系”。
这不光是个技术选择，还深刻影响了整个系统的架构思路。传统点对点通信，你要知道“谁要和谁说话”，连线是固定的；CAN这种广播模型，等于把整车变成了一个“微信群”，大家在一个群里发消息，关心的人自然关心，不关心的忽略就行。新节点上线不用改线，加个ECU就是并联到总线上，软件层面配置好加收报文的筛选即可。
我再打个比方，如果你把一个带CAN的控制器比作一个公司员工，那CAN总线就是公司的办公群。员工A发了一条“我这边的设备温度正常”，所有员工都能看到，但只有负责监控温度的员工B会处理这条信息。如果两个员工同时想发消息，群规则规定“编号小的员工优先发言”——这种优先级仲裁机制，就是CAN说的“无损仲裁”，后面我会细讲。
2. CAN总线的核心协议机制
2.1 帧结构：从SOF到EOF走一遍
CAN总线上运行的信息单位叫“帧”。标准帧（CAN 2.0A）一共包含以下几个段，我按发送顺序给你拆开：
- SOF（Start of Frame，帧起始）：1位显性电平，表示“我要开始发帧了”。
- 仲裁段：11位标识符（ID）+ 1位RTR（远程发送请求位），标准帧里RTR为0表示是数据帧，为1表示请求远程帧。
- 控制段：1位IDE（标识符扩展位）+ 1位保留位 + 4位DLC（数据长度代码），DLC告诉你后面数据段有几个字节。
- 数据段：0到8字节，这是真正要传输的数据。注意不是随便多长的，最多8个字节。这是因为CAN诞生早期面对的是汽车控制这种短消息场景，8个字节足够覆盖绝大多数控制参数，还能保证实时性和低延迟。
- CRC段：15位CRC校验码 + 1位CRC分界符，用来检测传输中是否出现噪扰破坏。
- ACK段：1位ACK槽 + 1位ACK分界符。发送端在ACK槽发送隐性位，但任何正确接收该帧的节点都会在此时拉一个显性位，相当于“我收到了”。发送端如果没看到显性位，就知道没有节点正常接收，会进行错误处理。
- EOF（End of Frame，帧结束）：连续7位隐性位。
控制段里的IDE位很关键，它决定这帧是标准帧还是扩展帧。标准帧仲裁段是11位ID，扩展帧仲裁段是29位ID（11位基础ID + 18位扩展ID）。如果IDE位是显性，表示当前是标准帧；如果是隐性，表示是扩展帧。所以CAN总线上标准帧和扩展帧是可以混跑的，只要有明确的IDE位区分。
关于DLC我要多说一句：DLC是个4位字段，能表示的数值是0到15，但CAN协议限制数据段最多8字节。你要是硬发一个DLC=9的帧，很多控制器会直接报错，有些CAN IP会把它当成格式错误触发错误帧。所以做产品时，DLC的设置千万不要超出8，否则等于自己给自己埋雷。
2.2 仲裁机制：多个节点同时发数据怎么办
这是CAN设计里最巧妙的部分，也是很多新手理解起来最费劲的部分。假设节点A的ID是0x100，节点B的ID是0x200，两个节点同时开始发送。CAN总线物理层是线与逻辑：显性位（逻辑0）会覆盖隐性位（逻辑1）。一旦一个节点发隐性但旁边节点在同一个位时间发显性，总线上的状态就会变“显性”。每个发送节点在发每一位的同时都在回读总线电平，一旦发现自己送出的是隐性位、总线上反馈的却是显性位，就说明有更高优先级的节点在抢总线，自己立刻退出发送，转为接收状态。
这个机制叫“非破坏性逐位仲裁”（Non-Destructive Bitwise Arbitration）。名字长，道理其实很简单：仲裁过程不打断高优先级帧的发送，赢了的人继续发完整帧，输了的人连发送状态都不用恢复，直接切到接收即可。因为11位ID是高位在前，数值越小优先级越高。所以设计产品时，优先级高的报文——比如安全气囊、刹车相关——一定要分配较小的ID，普通状态类报文用较大ID。
有人问RTR位在这里起什么作用。在标准帧里，仲裁段的最后一位就是RTR。数据帧的RTR为显性，远程帧的RTR为隐性。如果两个帧的11位ID完全一样，一个是数据帧、一个是远程帧，两者同时发送，数据帧会赢，因为它在RTR位是显性。这个设计保证“数据永远优先于请求”，避免了远程请求帧把总线占死。
2.3 SRR位/RTR位：远程帧与扩展帧的细节
聊到SRR位，就绕不开远程帧和扩展帧的恩怨。
先说RTR位。RTR全称Remote Transmission Request，远程发送请求位。数据帧里RTR为显性（0），远程帧里RTR为隐性（1）。远程帧的作用是：一个节点不主动发数据，而是向总线请求“某个ID的节点把你的最新数据发出来”。比如仪表盘想知道发动机转速，就可以发一个ID=0x0A的远程帧，挂在总线上负责转速的ECU收到后，就会把自己的数据帧发出来。
这样做的好处是：传感器节点不需要周期性发数据，只有当别人需要时才回应，节省总线负载。但也带来一个暗坑：如果有两个节点同时发相同ID的远程帧和相同ID的数据帧，数据帧优先级高，远程帧会输掉仲裁，这个我刚才说了。不过，远程帧本身也参与仲裁，远程帧和远程帧之间按ID比较优先级。这里很多开发者在实际项目里会遇到一个问题：远程帧虽然请求数据，但它自己不携带数据字节，DLC字段的取值也有讲究——你的DLC应该和对应数据帧的数据长度一致，否则接收方无法正确对应。
再说扩展帧和SRR。扩展帧（CAN 2.0B）的仲裁段由11位基础ID + 1位SRR（Substitute Remote Request，替代远程请求位）+ 1位IDE + 18位扩展ID + 1位RTR组成。看起来很不直观，但本质是：扩展帧想在标准帧的基础上“挤出”更多位数，就重新编排了仲裁段。SRR位固定为隐性，它替代了标准帧中RTR的位置，告诉总线上其他节点“我在发扩展帧的后续部分”。因为SRR位永远是隐性，所以在仲裁过程中，一个标准帧和一个扩展帧如果基础ID前11位完全一样，那么标准帧会在原来RTR的位置输出显性位，从而抢赢扩展帧。也就是说：同样ID条件下，标准帧优先级高于扩展帧。
这个设计业内很多人不知道，或者知道但没细想。在混跑标准帧和扩展帧的系统里，你安排ID时要额外注意，别因为帧类型不同导致优先级和你预期的不一致。如果系统里既有标准帧又有扩展帧，建议设计规则时明确规定标准帧优先，或干脆全部用同一帧类型，减少混乱。
2.4 位填充与错误检测
CAN的抗干扰能力不光是靠差分信号，协议层面还有自家“纠察队”。
现在的CAN控制器都有一个位填充机制：发送方在连续发出5个相同电平的位之后，必须自动插入1个反相位的填充位。比如一帧数据里连续出现5个“0”，下一位本来该发什么就退后，先补一个“1”再说。接收方同样在收到连续5个相同位后，自动移除后续的填充位。这样做有两大作用：
第一，防止数据模式里出现太长的连续相同电平，导致接收方无法及时同步时钟。第二，在错误检测上，如果接收方看到连续6个相同位，就说明总线上消息肯定坏了，立刻以此触发错误帧。这就是为什么CRC之外还有一个Noise监测机制——误码不会只破坏数据段，还会破坏位填充的规则。
错误检测是CAN最严格的部分之一，它把错误分成5类：位错误（发送时回读位与发送位不一致）、填充错误（连续6个相同位）、CRC错误（接收帧的CRC校验不过）、形式错误（帧格式的固定位场出现非法电平）、应答错误（发送方在ACK槽没收到显性电平）。
一旦节点检测到错误，它会立即发出一个错误帧——6个连续显性位——把当前这帧主动“冲掉”，不耽误后续通信。同时每个节点内部维护一个错误计数（TEC和REC），根据错误发生的位置和性质增增减减，把节点状态分为错误主动、错误被动、总线关闭三种。这东西值得单独写一篇，但这里只要记住：CAN控制器不会被一次错误就“打死”，而是通过这个复杂的状态机渐进式管理，最终如果错误太严重，才进入bus-off状态断开总线连接。
3. 物理层与硬件电路
3.1 差分信号：CAN_H与CAN_L
协议层说得再多，最终都要落到物理层。CAN总线的物理层用的是差分信号：两根线，CAN_H（高线）和CAN_L（低线），以差分电压表示逻辑状态。
显性（Dominant）状态下，CAN_H大概在3.5V左右，CAN_L大概在1.5V左右，差分电压约2V；隐性（Recessive）状态下，两条线都被拉到2.5V附近，差分电压接近0V。显性位能“覆盖”隐性位，这就是前面说的线与机制在物理层的体现。这个差分设计让CAN天生有很强的共模抑制能力：外部电磁干扰如果同时加到两线上，差分放大器只会取两者之差，干扰信号互相抵消。所以CAN能扛恶劣的汽车电磁环境，这不是玄学，是物理层面的优势。
全程用一个典型的CAN收发器芯片，比如TJA1050或者SN65HVD230，它把来自控制器CAN控制器的TX/RX逻辑信号转换成CAN_H和CAN_L上的差分电平信号。控制器负责协议逻辑，收发器负责电平转换和总线驱动。两者分工明确。
这里有个一定会遇到的坑：CAN控制器和收发器之间，以及收发器和总线之间的地线关系。如果系统内多个节点的“地”电位不一致，即使有差分信号的共模抑制能力，也要保证收发器能承受一定的共模范围（TJA1050大概能扛-12V到+12V），超出范围就会损坏芯片。所以在多节点分布环境下，地线敷设不能草率，最好用星型接地，避免形成地环流。
3.2 终端电阻：两颗120欧姆的讲究
但凡装过CAN的都知道，总线上最显眼的元件就是终端电阻——通常在总线两端各放一个120欧姆电阻。这个电阻不是摆设，它的作用是和总线电缆的特性阻抗匹配。CAN标准规定总线电缆的特性阻抗约为120欧姆，总线上加两个120欧终端电阻并联后等效阻值为60欧姆，目的就是抵消阻抗失配带来的信号反射。
如果忘了装终端电阻或者只在一端装了，高频信号到总线另一端就会产生反射，可能导致位时序解析出错，现象是总线明明能通，但老是间歇性错误帧，CRC错误计数一路涨。如果两端都没装，总线在开环状态下电平可能乱漂，测试时大概率根本通信不起来。
另一个要注意的点：终端电阻的位置应该是总线最远两端，而不是设备内部随意并联。很多嵌入式单板会在板上直接集成一个可开关的120欧姆电阻，模块串联成总线时，你必须在最头和最尾的两个节点打开终端，中间的节点全部关闭。我曾经在一次现场调试时遇到所有节点板子上的指针拨码都开着，等于一堆120欧姆并联，等效阻抗远低于标准，结果波形严重失真，排查了整整一天才发现问题。所以终端电阻安装位置这个细节，真的是“一票否决”级别的关键点。
3.3 保护电路设计
汽车电磁环境恶劣，总线上还有各种瞬态干扰：静电放电、抛负载、雷击浪涌，甚至故障状态下直接把12V或24V电源搭到总线上。光靠收发器芯片自己的ESD能力是不太够的。为了保证一整个控制器生命周期的可靠性，外围电路必须做防护。
比较典型的结构是：
- TVS管：跨接在CAN_H和CAN_L对地之间，也可以加在两根线之间。选型时重点关注钳位电压，要选低到能保护收发器（比如SN65HVD230的最高耐受范围在-4V到+16V左右），同时又要高于正常信号电平，免得正常通信都被钳掉。车速上常见的反压一点五倍于峰值电压的通用选法，可以根据实际电压平台（12V/24V）调整。
- 共模扼流圈：串在总线入口，两个绕组分别穿过CAN_H和CAN_L，共模干扰会被高阻抗挡住，差模信号正常通过。这个东西实测对抑制发动机点火等高共模噪声非常有效，成本也不高，强烈建议在汽车级应用中加上。
- 串联电阻：在CAN_H、CAN_L上分别串一个10欧到33欧左右的电阻，用于限制瞬态电流和减小振铃。有些方案里还会在电阻后面再对地并一个小电容（比如几十pF到100pF），做简单低通滤波，效果不错。但电容值不宜过大，否则会滤掉高频边沿，拖慢位时序。
- 光耦或磁耦隔离：在控制器和收发器之间做隔离，常见于工业现场（变频器附近、电机驱动柜）。隔离之后，控制器侧的地和总线侧的地完全分离开，能彻底阻断地环路和共模电流，价格和占用空间都上去了，但换来了极高的可靠性。如果做汽车前装，隔离这一步要看系统是否非要不可；做工业设备，我建议能加就加。
我见过一个产品，客户反馈“一开电机总线的节点就掉线”，后来把共模扼流圈加上，再在总线接口加TVS，问题就消失了。原因就是电机启动瞬间地电位被拉偏，共模干扰超过了收发器承受范围。保护电路不是锦上添花，在这个场景里就是雪中送炭。
3.4 读懂汽车CAN总线电路图
网上搜“汽车CAN总线电路图”能找到很多，从OBD诊断座的针脚定义到车身网络拓扑图，类型多种多样。我以最常见的OBD-II诊断口为例，教你如何快速读图。
OBD-II诊断座是一个16针接口，其中CAN相关的是：
- 端子6：CAN_H
- 端子14：CAN_L
- 端子4：底盘地
- 端子5：信号地
- 端子16：电池正极（常电，一般是12V）
很多诊断仪通过OBD口接入整车CAN网络，本质上就是挂了一个额外的CAN节点。车上一般至少有两路CAN：高速CAN（动力CAN）和中速CAN（车身CAN），部分新车型还有私有CAN、诊断CAN、娱乐CAN。从电路图上你会看到不同颜色的线分别接到不同的ECU上，每路都有一个“CAN总线收发器”芯片，再经过共模电感、滤波和稳压后接到控制器的CAN_RX/CAN_TX引脚。
读图时我建议按下顺序来：
- 先看总线拓扑：是直线型还是星型，终端电阻画在哪里，有没有可选的跨接端子。
- 再看接口保护：有没有TVS、共模扼流圈，走线是否成对且靠近。
- 然后看供电：CAN收发器的VCC引脚是否接了去耦电容，地线是否和功率地分割。
- 最后看控制器侧：有没有串电阻限流，CAN_RX/CAN_TX有没有上拉。
新手最容易犯的错误是把CAN_H和CAN_L接反。接反的后果是总线完全不通，因为差分信号反了，逻辑电平全反。有些收发器还支持“反向检测”，但没有检测的芯片就得靠测量静态差分电压来判断（正常隐性时CAN_H和CAN_L都在2.5V附近，显性时CAN_H约3.5V、CAN_L约1.5V）。用万用表量一下就能识别线对不对，别省这一步。
4. 实操：从配置到调试
4.1 波特率配置与位时序
CAN波特率不是随便填一个数字就行。控制器内部时分段结构决定了它能支持哪些波特率，也会直接影响在总线上的信号质量。
大多数CAN控制器把一位时间分成三段：同步段（SYNC_SEG）、传播段（PROP_SEG）、相位缓冲段（PHASE_SEG1和PHASE_SEG2）。同步段固定为1个时间量子（TQ），其他几段长度可以用寄存器配置。比如STM32的bxCAN要配置BS1和BS2，配合预分频器（BRP）得到实际波特率：
波特率 = 外设时钟 / (BRP × (1 + BS1 + BS2))
举个例子，外设时钟36MHz，如果你要跑500kbps：令BRP=2（实际分频3），则时钟频率为12MHz；再令BS1=8，BS2=7，则一位由1+8+7=16个TQ组成，波特率 = 12MHz / 16 = 750k？明显不对，所以我只是演示公式，实际你来算的时候要保证每个段加起来的TQ总数对应目标波特率。
很多人问：CAN总线最大速率是多少？
严格说，CAN 2.0标准在1Mbps下最长总线长度是40米左右。这是由CAN的位定时和环路延迟共同决定的，包括收发器延迟、线路传播延迟、控制器采样点设置等。如果总线拉长到100米，1Mbps是跑不动的，你得降波特率，比如500k、250k、125k甚至更低。所以实际项目里：
- 整车动力CAN常用500kbps；
- 车身CAN常用125kbps或250kbps；
- 工业设备里常见100kbps、50kbps等低速配置，换来的是更远的布线距离和更强的抗干扰能力。
4.2 从零搭建一套CAN测试环境
做CAN开发，一套好用的测试环境能省一半调试时间。按一个最小系统看，你至少需要：
- 两块带CAN控制器的开发板（STM32、S32K或者树莓派加CAN HAT都可以）；
- 两个CAN收发器模块（TJA1050模块、MCP2551模块都行）；
- 两根双绞线（长度1米就够试）；
- 两个120欧电阻；
- 一个USB-CAN分析仪（比如创芯科技的或者周立功的USBCAN系列，根据预算来，便宜的也有几十块的，抓包用没问题）；
- 一个示波器（有条件就上，观察物理层波形时必备）。
连接方式：开发板A的CAN_TX/CAN_RX接到收发器A，收发器A的CAN_H/CAN_L经过保护电路后接双绞线，双绞线末端分别焊上120欧电阻；收发器B类似，但在双绞线另一端对称接上阻抗终端。接入USB-CAN分析仪，另一端接电脑。
接下来直接用上位机软件（CANTest、pcanview等）发送一帧标准帧，比如ID=0x123，字节数据01 02 03 04 05 06 07 08，波特率选500k。这时候开发板B如果正确接收并解析，你能在B的串口终端上打印出相同数据，同时在分析仪软件上看到总线上这帧的ID、DLC、数据的实时记录。到这一步，最小系统就通了。
实操时还有个很好的调试手段：把总线挂在示波器上，触发通道选择CAN_H对地，你看到的显性/隐性波形应该是一个清晰的差分电平翻转，上升沿和下降沿干净利落。如果波形上有毛刺、台阶或振铃，就该检查总线长度、终端电阻、线材质量和保护电路了。看波形是排查CAN物理层问题的终极手段，比对着寄存器猜高效得多。
4.3 常见故障与排查技巧实录
以下是我这些年真实踩过的坑，整理成几类高发问题：
故障现象1：总线完全不通，收发器发烫
大概率是CAN_H和CAN_L接反，或者总线短路了。先断电，用万用表量CAN_H对地、CAN_L对地、CAN_H对CAN_L之间的电阻。正常静态电阻应该是60欧左右（两个120欧并联），如果远小于60欧甚至接近0欧，检查线束绝缘有没有磨破。如果测到120欧，说明只有一端有终端电阻，另一端忘装了。收发器发烫说明有持续大电流，多半是电源接反或对地短路，立刻断电检查。
故障现象2：能通信但错误帧很多，CRC错误计数一直涨
先确认总线长度是否超出当前波特率的极限，再确认终端电阻位置对不对。如果都没问题，用示波器观测波形有没有明显振铃。振铃解决方法是在终端电阻前串联一个小电感，或者调整位时序采样点——把BS2调小一点，采样点更靠后，有时候能躲开边沿振铃区。
故障现象3：特定ID的帧收不到，其他正常
这个大概率不是总线问题，而是接收节点的验收滤波配置不对。CAN控制器一般都有过滤器，可以按ID范围、掩码模式过滤。你配置成“只接收ID=0x100~0x1FF”，那0x200肯定进不来。检查过滤器组即可。
故障现象4：系统一上电，某个节点就把总线拉死，其他节点全掉线
如果某个节点程序有bug，在总线空闲时不停地发送错误帧或垃圾帧，会把整个网络拖垮。用分析仪抓包，如果看到大量连续的错误帧，试着把疑似节点逐个断开，找到肇事者。还有一种隐蔽原因：如果这个节点的晶振偏差太大，位时序收不到别人的正常边沿，也会导致持续错误。晶振精度在CAN里建议选±0.3%以内的，普通±50ppm的陶瓷晶振也问题不大，但千万别用RC振荡器跑CAN。
故障现象5：诊断仪连不上车，但总线看起来是好的
检查OBD口的CAN_H和CAN_L是不是被其他设备占用、终端电阻是不是在诊断线上造成额外负载。有些车OBD口上的CAN还带唤醒逻辑，需要点火或上电唤醒后才能通信。
4.4 避坑经验：设计规范和选型建议
做CAN产品，我从一开始就建议把所有“能省但别省”的点全部做成模块：
- 接口加保护电路：TVS + 共模扼流圈 + 串联电阻，这三件套成本不到几块钱，能挡住90%的现场瞎接线问题。
- 收发放到板载或模块化：调试时出现问题可以单独测试收发器，而不是拆整块主板。
- CAN_H和CAN_L尽量做成可插拔接头：别焊死，方便排查线序。
- 在电路板丝印上标清楚CAN_H/CAN_L极性：我见过太多因为不标极性导致产线装错的案例。
- CAN控制器引脚分TX/RX，分别对应收发器的RXD/TXD：个别开发板排针丝印混乱，上电前先拿万用表确认，否则上电就烧。
选型方面，收发器芯片目前主流的几个系列：NXP的TJA1051/TJA1145、TI的SN65HVD230/231、NXP的TJA1044等。如果系统是3.3V逻辑电平，就选支持3.3V供电的SN65HVD230；如果是5V逻辑，TJA1051更顺手。想支持CAN FD（新的CAN二代标准，数据段速率能到5Mbps甚至更高），选TJA1057、TJA1044这类带CAN FD能力的型号。不过这里咱先不展开CAN FD，那又是一个大话题，等哪天单独讲。
波特率选择上，我给个建议：整车通信能用500k就尽量500k，够用；工业现场如果传输距离超过50米，优先降速率保稳定，别追求虚高的波特率。很多人把波特率调到1M，发现距离稍微拉长就失灵，然后开始怀疑芯片质量，其实是他自己没搞懂波特率和距离之间的物理制约。
接着说一下软件侧配置，很多人用STM32CubeMX直接拉CAN外设，选波特率时工具会自动生成位时序参数。但工具生成的参数不一定是最优采样点。理想采样点应位于一位时间的75%到85%之间，你可以在CubeMX里调整BS1和BS2让采样点落在这个区间。比如500k、8MHz APB时钟，可设：BRP=1，BS1=8，BS2=7，则一位由1+8+7=16 TQ组成，采样点位于(1+8)/16=56.25%？这明显不在75%~85%，所以这种情况下更好用BRP=2、BS1=11、BS2=4，一位共1+11+4=16 TQ，采样点位置12/16=75%，就很标准。当然具体还要看时钟源频率和目标波特率，别照抄我的数，但思路就是这个思路。
再用一个真实案例收个尾。
去年做一款履带式机器人底盘，四个驱动轮电机控制器加一个主控，全部挂在一条500k的CAN总线上。刚联调时一切正常，跑了几分钟后主控偶发收不到左前轮电机控制器的速度回传帧，错误计数越来越高。排查过程很典型：我先看物理层，示波器抓CAN_H波形，发现在80us的波形周期里，偶尔出现一个深度振铃，刚好和电机PWM开关频率一致。是逆变器产生的干扰串到总线上了。我再检查总线布线——总线上有一段双绞线和电机动力线平行走了一米多，而且没有做屏蔽。把这段总线移走之后，问题彻底消失。
这个故事想说的其实是：CAN协议本身很皮实，但布线和接地的工程细节决定了你的系统能皮实到什么程度。协议保证的是“逻辑上的可靠”，物理层保证的是“现场环境的可靠”，两者缺一不可。
如果你正在做的新产品第一次连CAN，记得先拿示波器和万用表伺候一轮再写业务代码，因为物理层不稳，写再多协议栈也是白搭。这套思路基本上能应付市面上九成的CAN总线开发场景，少走的弯路，就是赚到的时间。
