由于汽車行業(yè)的三個(gè)最重要的未來問題：自動(dòng)駕駛、無線軟件更新和驅(qū)動(dòng)系統(tǒng)電氣化，對(duì)汽車系統(tǒng)設(shè)計(jì)和軟件開發(fā)的要求越來越高。

車輛中當(dāng)前的電氣/電子 （E/E） 架構(gòu)為每個(gè)控制單元集成了一個(gè)或幾個(gè)車輛功能。這分別增加了控制單元和分布式軟件功能的數(shù)量以及連接的復(fù)雜性。在這種情況下，E/E 架構(gòu)必須執(zhí)行越來越多的駕駛員輔助功能。軟件復(fù)雜度的估計(jì)假設(shè)當(dāng)前高級(jí)車輛中的 100 多個(gè)控制單元包含超過 1 億行代碼。

目前，單個(gè)或密切相關(guān)的功能均在單獨(dú)的控制單元上實(shí)現(xiàn)。適用于汽車應(yīng)用的高性能片上系統(tǒng) （SoC）（例如，瑞薩電子的 R-Car H3、NXP BlueBox 或 NVIDIA DRIVE PX）的可用性以及減輕重量的必要性（例如，通過減少控制單元或布線） 導(dǎo)致希望在域控制器（例如負(fù)責(zé)車身、底盤或發(fā)動(dòng)機(jī)）或更少的中央計(jì)算機(jī)上集成多種功能。

這種范式轉(zhuǎn)變極大地改變了車輛的 E/E 架構(gòu)。它涉及引入面向服務(wù)的通信和動(dòng)態(tài)操作系統(tǒng)，而后者又必須滿足實(shí)時(shí)、功能安全和安保的要求。此外，動(dòng)態(tài)控制單元的使用允許添加車輛啟動(dòng)時(shí)不可用的功能。

未來的E/E架構(gòu)

E/E 架構(gòu)核心是一臺(tái)或幾臺(tái)中央計(jì)算機(jī)，它們通過車輛內(nèi)部的以太網(wǎng)骨干網(wǎng)進(jìn)行通信。車輛的關(guān)鍵元素是網(wǎng)關(guān)：它將用戶界面域（信息娛樂系統(tǒng)/智能手機(jī)連接）與驅(qū)動(dòng)域（驅(qū)動(dòng)系統(tǒng)、制動(dòng)器、電池管理）分開，并使用一個(gè) so 將車輛連接到 OEM 的后端系統(tǒng)。 - 稱為智能天線。智能天線和網(wǎng)關(guān)的主要任務(wù)是實(shí)現(xiàn)防火墻和入侵檢測(cè)等不同的安全層。此外，該架構(gòu)將使用控制單元之間的安全車載通信機(jī)制。

與后端系統(tǒng)的連接啟用了許多新功能。例如，可以為車輛提供環(huán)境數(shù)據(jù)，例如道路狀況、免費(fèi)停車位或車輛制造商的最新報(bào)價(jià)。這些在線服務(wù)和啟用功能（例如，駕駛員輔助系統(tǒng)）的選項(xiàng)使汽車制造商有機(jī)會(huì)在汽車銷售時(shí)間之后產(chǎn)生收入，即，即使在使用時(shí)也是如此。

與車輛的永久在線連接允許 OEM 收集用戶數(shù)據(jù)，從而獲得有關(guān)所用組件的可靠性和磨損的更多信息?？梢酝ㄟ^診斷界面檢測(cè)硬件和軟件的錯(cuò)誤來源以及相關(guān)的環(huán)境數(shù)據(jù)，可以在制造商處改進(jìn)軟件，并且可以及時(shí)將更新下載到汽車——類似于用戶已經(jīng)習(xí)慣的智能手機(jī)應(yīng)用程序更新這些年來。

一臺(tái)中央計(jì)算機(jī)

自動(dòng)駕駛或高度自動(dòng)駕駛要求車輛了解周圍環(huán)境。環(huán)境模型是通過所謂的傳感器融合建立的。它將攝像頭、雷達(dá)、光探測(cè)和測(cè)距 （LiDAR） 以及超聲波數(shù)據(jù)組合到一個(gè)模型中。需要這些不同的傳感器技術(shù)，因?yàn)槟承┫到y(tǒng)具有可以通過其他技術(shù)進(jìn)行補(bǔ)償?shù)娜觞c(diǎn)。例如，與雷達(dá)不同，相機(jī)系統(tǒng)在被太陽遮住時(shí)可能無法檢測(cè)到明亮的物體。

未來，這些復(fù)雜的計(jì)算將由車輛中的中央計(jì)算機(jī)進(jìn)行。所使用的處理器將是異構(gòu)多核處理器，可能具有多個(gè)內(nèi)核、GPU 和千兆以太網(wǎng)通道。對(duì)于合理性檢查、監(jiān)控和結(jié)果驗(yàn)證等安全關(guān)鍵功能，額外的安全內(nèi)核將集成到芯片上，或者第二個(gè)處理器將集成到板上。借助 ARM Cortex A50/A57、瑞薩電子的 R-Car H3、Cortex R7 和英飛凌 Aurix，此類系統(tǒng)已經(jīng)存在。

與這些復(fù)雜的多核系統(tǒng)相比，許多控制單元在十年前還是 16 位單核系統(tǒng)。對(duì)于供應(yīng)商而言，這種技術(shù)飛躍意味著在軟件領(lǐng)域建立能力的艱巨任務(wù)。軟件過去只是一個(gè)成本因素，它是制動(dòng)器的一部分，包括一個(gè)控制單元。未來，軟件功能才是真正的價(jià)值所在。這將破壞現(xiàn)有的供應(yīng)鏈并啟用新的商業(yè)模式。誰將從這一發(fā)展中受益？可能是早期使用集成工具鏈進(jìn)行系統(tǒng)設(shè)計(jì)、時(shí)間建模、代碼生成和驗(yàn)證以及驗(yàn)證以管理日益增加的軟件復(fù)雜性和成本的制造商。

目前，大多數(shù)控制單元使用根據(jù) AUTOSAR 或 OSEK 標(biāo)準(zhǔn)實(shí)施的靜態(tài)配置操作系統(tǒng)。在配置期間，這些系統(tǒng)定義了在運(yùn)行期間只能在有限范圍內(nèi)更改的調(diào)度和資源利用。靜態(tài)配置的優(yōu)點(diǎn)是更容易驗(yàn)證函數(shù)是否在某個(gè)時(shí)間跨度內(nèi)執(zhí)行。例如，在側(cè)面安全氣囊的情況下，必須在幾毫秒內(nèi)做出決定，并且必須展開安全氣囊。

【圖2 | 自適應(yīng) AUTOSAR，包括經(jīng)典 AUTOSAR 軟件組件的集成］

對(duì)于具有更復(fù)雜的多核處理器和不同外部交互器（軟件更新、用戶輸入）的時(shí)間要求不高的系統(tǒng)，動(dòng)態(tài)操作系統(tǒng)有其優(yōu)勢(shì)。最重要的應(yīng)用場(chǎng)景有：

在運(yùn)行時(shí)支持重新配置

面向服務(wù)的服務(wù)和通信

部分軟件更新

通過使用 POSIX 接口而不是靜態(tài)生成來簡(jiǎn)化軟件開發(fā)

基于 XML 的接口描述

在這種情況下，AUTOSAR 聯(lián)盟引入了自適應(yīng) AUTOSAR（參見圖 2）。它包括一個(gè) POSIX 操作系統(tǒng)，如果要并行集成多個(gè)操作系統(tǒng)，它可以直接在多核處理器上運(yùn)行，也可以在管理程序環(huán)境中運(yùn)行。不同 OEM 和供應(yīng)商的 Adaptive AUTOSAR 工作組定義了用于汽車應(yīng)用的特殊服務(wù)，例如診斷服務(wù)、安全服務(wù)和 SOME/IP。服務(wù)和軟件組件（功能）通過共享服務(wù)代理進(jìn)行通信。使用的中間件協(xié)議稱為 ARA，并受到 Common API 的啟發(fā)。

以太網(wǎng)和 TSN 作為中介

大多數(shù)控制單元通過以太網(wǎng)與傳感器和執(zhí)行器通信。時(shí)間敏感網(wǎng)絡(luò) （TSN） 是音頻視頻橋接 （AVB） 協(xié)議的擴(kuò)展，用于實(shí)現(xiàn)安全關(guān)鍵的可靠通信。TSN 標(biāo)準(zhǔn)專為安全和實(shí)時(shí)關(guān)鍵系統(tǒng)開發(fā)，例如高級(jí)駕駛輔助系統(tǒng) （ADAS） 和自動(dòng)駕駛。此外，以太網(wǎng)還用于將信息娛樂系統(tǒng)連接到互聯(lián)網(wǎng)和汽車制造商的后端系統(tǒng)。

FlexRay 是這種技術(shù)變革的失敗者?，F(xiàn)場(chǎng)總線系統(tǒng)現(xiàn)在只有少數(shù) OEM 使用，應(yīng)該很快就會(huì)被替換。CAN 和具有靈活數(shù)據(jù)速率 （CAN FD） 的 CAN 仍將用于連接傳感器和執(zhí)行器或更小的輸入/輸出 （IO） 控制單元。

IO 設(shè)備和中央計(jì)算機(jī)通過 BMW 集團(tuán)在 2011 年指定的面向服務(wù)的接口進(jìn)行通信——可擴(kuò)展的面向服務(wù)的 IP 中間件，縮寫為 SOME/IP。它基于以太網(wǎng)和 TCP/IP 協(xié)議族?；痉矫媸?SOME/IP 自動(dòng)將定義的應(yīng)用程序接口映射到數(shù)據(jù)包。SOME/IP 的優(yōu)勢(shì)在于它甚至可以集成到小型設(shè)備中，并能夠快速啟動(dòng)整個(gè)系統(tǒng)。

功能架構(gòu)

除了上面提到的基礎(chǔ)設(shè)施問題（主要由 AUTOSAR 聯(lián)盟指定并在 Elektrobit 的 AUTOSAR 產(chǎn)品線 EB tresos 中實(shí)現(xiàn)）之外，對(duì)功能塊之間具有定義接口的功能架構(gòu)的需求變得越來越明確。通用標(biāo)準(zhǔn)化接口的優(yōu)點(diǎn)是可以交換某些塊，并且可以選擇購買或提供它們作為產(chǎn)品。

圖 3 展示了 Elektrobit 的“open robinos”項(xiàng)目的架構(gòu)。左側(cè)顯示了用于車輛定位和對(duì)象融合的組件，將各種傳感器檢測(cè)到的對(duì)象組合成一個(gè)整體圖像。然后根據(jù)當(dāng)前駕駛情況確定軌跡規(guī)劃、加速度和轉(zhuǎn)向角。

【圖 3：Elektrobit 的“open robinos”架構(gòu)】

該項(xiàng)目的目標(biāo)是開發(fā)一個(gè)定義軟件組件、接口和控制機(jī)制的開放參考架構(gòu)。該規(guī)范可在 Elektrobit 網(wǎng)站上免費(fèi)獲取，該項(xiàng)目對(duì) OEM、供應(yīng)商和合作伙伴開放。這種方法對(duì)市場(chǎng)來說是新的；然而，它的目標(biāo)是集成到不同的 ADAS 平臺(tái)中。在這種情況下，該平臺(tái)是具有不同操作系統(tǒng)的不同硬件產(chǎn)品的一部分，例如市場(chǎng)上可用的自適應(yīng) AUTOSAR、QNX 或類 Unix 操作系統(tǒng)。

基礎(chǔ)設(shè)施是一個(gè)挑戰(zhàn)

車輛移動(dòng)的基礎(chǔ)設(shè)施是自動(dòng)駕駛汽車的主要技術(shù)挑戰(zhàn)。目前，車輛配備了盡可能多的傳感器，以便它們?cè)跓o數(shù)不同的交通情況下自主找到自己的道路。與在受外部控制的保護(hù)區(qū)內(nèi)移動(dòng)的火車和飛機(jī)相比，這種方法既昂貴又復(fù)雜。例如，高度和路線由空中交通管制服務(wù)指示，當(dāng)列車進(jìn)入不開放的區(qū)域時(shí)會(huì)自動(dòng)停止。

但是，不能在所有道路和騎自行車的人周圍設(shè)置柵欄。但是道路基礎(chǔ)設(shè)施的修改告訴汽車，例如在入口/出口坡道上，它是在高速公路上而不是在幾米外的平行鄉(xiāng)村道路上，這將簡(jiǎn)化位置檢測(cè)問題。另一個(gè)例子是遠(yuǎn)程控制車輛并將其引導(dǎo)至可用停車位的停車結(jié)構(gòu)。這個(gè)概念比那些尋找免費(fèi)停車位、自動(dòng)在停車結(jié)構(gòu)中漫游的車輛更簡(jiǎn)單。

這些用例的先決條件是在全國(guó)范圍內(nèi)快速部署移動(dòng)數(shù)據(jù)網(wǎng)絡(luò) （5G），以便與后端和基礎(chǔ)設(shè)施進(jìn)行數(shù)據(jù)交換，以及讓道路基礎(chǔ)設(shè)施迅速適應(yīng)自動(dòng)駕駛的選項(xiàng)。

哪個(gè)發(fā)展進(jìn)程正在出現(xiàn)？

在這些高度復(fù)雜的整體系統(tǒng)中，如何同時(shí)滿足對(duì)功能安全和信息安全的要求——尤其是在車輛連接性不斷提高的方面——信息安全？為滿足汽車軟件開發(fā)的高質(zhì)量標(biāo)準(zhǔn)，Automotive SPICE 流程模型已在整個(gè)行業(yè)中建立起來。它構(gòu)成了安全和保障的基礎(chǔ)。

ISO 26262 標(biāo)準(zhǔn)定義了如何在過程級(jí)別和方法級(jí)別的系統(tǒng)開發(fā)中實(shí)現(xiàn)功能安全方面。對(duì)于軟件架構(gòu)，功能安全是一個(gè)關(guān)鍵因素。監(jiān)控系統(tǒng)完整性、分區(qū)、時(shí)間和過程監(jiān)控或安全通信等基本完整性機(jī)制已經(jīng)可用，并且已經(jīng)在系列項(xiàng)目中使用。

很長(zhǎng)一段時(shí)間以來，安全機(jī)制一直與汽車開發(fā)相關(guān)。諸如防盜鎖、安全電子鑰匙或里程表的安全存儲(chǔ)等系統(tǒng)通常已經(jīng)是標(biāo)準(zhǔn)功能。然而，由于車輛的互聯(lián)性不斷提高，該行業(yè)面臨著新的挑戰(zhàn)。根據(jù)信息技術(shù)的基本規(guī)律，“凡是連接的，就會(huì)受到攻擊”，安全和隱私等系統(tǒng)方面在汽車行業(yè)也越來越重要。

對(duì)使用遠(yuǎn)程訪問或 Internet 的系統(tǒng)的第一次成功攻擊已經(jīng)公開，并引起了廣泛的反響。作為回應(yīng)，SAE International 在 2016 年初發(fā)布了一份安全系統(tǒng)開發(fā)手冊(cè)（SAE J3061，“Cybersecurity Guidebook for Cyber-Physical Systems”）。它描述了過程和方法，并在生命周期方面遵循 ISO 26262。該文件不是標(biāo)準(zhǔn)。但是，它總結(jié)了研究計(jì)劃或現(xiàn)有標(biāo)準(zhǔn)和出版物等基本工作。因此，它是一項(xiàng)寶貴的貢獻(xiàn)，可以作為引入安全流程和方法的切入點(diǎn)。

結(jié)論

對(duì)自動(dòng)駕駛架構(gòu)的要求變得更加復(fù)雜。然而，通過結(jié)合標(biāo)準(zhǔn)架構(gòu)、功能安全、安全、多核系統(tǒng)和可用性等方面，可以設(shè)計(jì)可靠的系統(tǒng)，并根據(jù)用例理想地評(píng)估和組合各個(gè)系統(tǒng)方面。

所有參與汽車供應(yīng)鏈的人都需要培養(yǎng)一種核心能力：系統(tǒng)工程，因此對(duì)物理、電子和軟件的跨學(xué)科理解。

將來，（軟件）開發(fā)人員必須對(duì)系統(tǒng)有更好的理解，以便在具有鏈接代碼生成器的適當(dāng)工具中對(duì)系統(tǒng)行為進(jìn)行建模。經(jīng)典軟件開發(fā)側(cè)重于作為可重用產(chǎn)品購買的工具、代碼生成器和標(biāo)準(zhǔn)功能的開發(fā)。集成該軟件仍然需要能夠理解、分析和修復(fù)從深度嵌入到面向服務(wù)的行為的各個(gè)級(jí)別的錯(cuò)誤的專家。

未來幾年，汽車市場(chǎng)上將出現(xiàn)新的汽車制造商和供應(yīng)商。特別是 IT 公司多年來一直在其他領(lǐng)域使用這些技術(shù)，并遵循將汽車作為輪子上的智能手機(jī)運(yùn)行的愿景。其原因是自動(dòng)駕駛為車輛乘員提供了更多的時(shí)間。例如，這段時(shí)間可以用于使用社交網(wǎng)絡(luò)、進(jìn)行在線購物或工作。將“駕駛時(shí)間”轉(zhuǎn)換為“互聯(lián)網(wǎng)使用時(shí)間”會(huì)產(chǎn)生全新的商業(yè)模式。

原始設(shè)備制造商的商業(yè)案例也將越來越多地不僅取決于銷售，還取決于車輛的運(yùn)行。正在討論的想法包括新穎的租賃和租賃概念，其主題不再是作為產(chǎn)品的汽車，而是作為服務(wù)的移動(dòng)性。將來，帶您上班的自動(dòng)運(yùn)輸膠囊的租金可能會(huì)根據(jù)一天中的時(shí)間而有所不同。

審核編輯：郭婷