解锁L23级自动驾驶的汽车架构.doc

解锁L23级自动驾驶的汽车架构 当前车载E/E（电子/电气）架构的每个控制单元都会集成一项或几项汽车功能。这样就增加了控制单元和分布式软件功能的数量，以及它们之间交互的复杂度。在此情况下，E/E架构必须执行越来越多的驾驶员辅助功能。软件复杂性预测假定现在的豪华车型有100多个控制单元，其中包含1亿行以上的代码。 ? 目前，单个或密切相关的功能是在单独控制单元上实现。适合车载应用运行的更高性能的芯片系统（SoC，如Renesas R-Car H3、NXP BlueBox或NVIDIA DRIVE PX）的出现，以及通过减少控制单元或线束来减轻车身重量的必要性便催生了这样的需求：将多个功能集成在一个域控制器（例如负责车身、底盘或发动机）或者甚至更少的中央计算机上。 ? 这种模式转变极大地改变了汽车E/E架构，包括引入面向服务的通信和动态操作系统，而这又必须满足实时、功能安全和信息安全的要求。此外，使用动态控制单元可支持添加汽车上市时并不具备的功能。 ? 下文探讨了用于未来E/E架构的不同技术，并介绍了相关变化、风险和新机会。 未来的E/E架构 图1显示未来可能的一种E/E架构。核心是通过车内以太网主干网进行通信的一个或几个中央计算机。汽车的关键要素是网关：将用户接口域（信息娱乐系统/智能手机连接）与动力域（驾驶系统、制动、电池管理）分离，使用所谓的智能天线将汽车连接到整车厂的后端系统。智能天线和网关的主要任务是实现不同的安全层，如防火墙和入侵检测。此外，该架构使用板载安全机制用于控制器之间的通信。 ? 与后台系统的互联使很多新功能的更新成为可能。例如，可以为汽车提供诸如道路状况这样的环境数据，可用停车位或汽车制造商的最新产品。这些在线服务和可选择的功能激活（如驾驶员辅助系统）可让汽车制造商在汽车生命周期内不断获取收益。 ? 汽车永久在线连接支持整车厂收集用户数据，从而获得关于所用组件可靠性和使用情况的更多信息。可以通过诊断接口检测硬件和软件错误来源及产生错误时的环境信息，从而使软件可在制造商端改进并快速更新下载到车辆端——类似于多年以来用户已经习惯的智能手机的App更新。 图 1：未来的汽车E/E架构 中央计算机 自动或高度自动驾驶要求汽车能感知周围的环境。环境模型通过传感器融合创建，它将摄像头、雷达、LiDAR（激光雷达）和超声波数据整合在同一个模型中。因为单一传感器系统都有各自的技术弱点，需要整合这些不同的传感器技术来补偿单一传感器系统技术的不足。例如，与雷达不同，摄像头系统在阳光下会致盲，导致无法检测明亮的物体。 ? 未来将由车内的中央计算机来执行这些复杂计算。中央计算机将使用异构多核的处理器，可能同时具有多个内核、GPU和千兆以太网通道。针对合理性检查、监控和结果验证等与功能安全有关的关键功能，将把更多安全内核集成在芯片上，或者将另一个具有安全内核的处理器集成在主板上。诸如ARM Cortex A50/A57、Renesas R-Car H3、Cortex R7和Infineon Aurix，此类已经存在于市面上的系统。 ? 与这些复杂的多核系统不同，许多控制单元是十年前才推出的16位单核系统。对于供应商而言，这种技术飞跃意味着他们迫切需要培养软件方面的能力。过去，软件曾经只是制动部件（包括一个控制单元）的成本因素。未来，软件功能将具有真正的价值。这将打破现有供应链，实现新的业务模式。谁将从这项发展中获益？可能是预先将集成工具链用于系统设计、时间建模、代码生成和检验以及验证，从而应对不断增加的软件复杂程度和成本的制造商。 ? 现在，大多数控制单元使用按照AUTOSAR或OSEK标准实施的静态配置的操作系统。配置时，这些系统定义的调度和资源利用配置在系统运行时只能进行有限的扩展。这种静态配置的系统优势在于更容易验证某项功能是否在特定时间跨度内执行。例如，对于侧面安全气囊，系统必须能在几毫秒内完成展开安全气囊的决定。 对于采用更复杂的多核处理器和不同外部交互（软件更新、用户输入），这类时间要求不太严格的系统来说，动态操作系统更具有一定的优势。这类系统最重要的应用场景包括： 用POSIX接口代替静态生成的基于XML的接口描述，简化软件开发过程 在这种情况下，AUTOSAR联盟推出了Adaptive AUTOSAR（参见图2），它包括一个POSIX操作系统，可直接在多核处理器上运行，或者在一个需要并行集成多个操作系统的Hypervisor环境中运行。来自不同整车厂和供应商的Adaptive AUTOSAR工作组定义了用于车载应用的特别服务，如诊断服务、安全服务和SOME/IP。服务和软件组件（功能模块）通过共享服务代理进行通信。使用的中间件协议称为ARA，其灵感来源于Common API。 图 2：自适应AUTOSAR，包括经典A