導讀

? ? 汽車系統(tǒng)設計和軟件開發(fā)的要求越來越高，這主要歸因于未來汽車行業(yè)的三大問題：自動駕駛、在線(OTA)軟件更新，以及驅(qū)動系統(tǒng)電氣化。

? ? 當前車載 E/E （電子/電氣）架構的每個控制單元都會集成一項或幾項汽車功能。這樣就增加了控制單元和分布式軟件功能的數(shù)量，以及它們之間交互的復雜度。在此情況下，E/E 架構必須執(zhí)行越來越多的駕駛員輔助功能。軟件復雜性預測假定現(xiàn)在的豪華車型有100多個控制單元，其中包含1億行以上的代碼。

? ? 目前，單個或密切相關的功能是在單獨控制單元上實現(xiàn)。適合車載應用運行的更高性能的芯片系統(tǒng)（SoC，如 Renesas R-Car H3、NXP BlueBox 或 NVIDIA DRIVE PX）的出現(xiàn)，以及通過減少控制單元或線束來減輕車身重量的必要性便催生了這樣的需求：將多個功能集成在一個域控制器（例如負責車身、底盤或發(fā)動機）或者甚至更少的中央計算機上。

? ? 這種模式轉(zhuǎn)變極大地改變了汽車 E/E 架構，包括引入面向服務的通信和動態(tài)操作系統(tǒng)，而這又必須滿足實時、功能安全和信息安全的要求。此外，使用動態(tài)控制單元可支持添加汽車上市時并不具備的功能。

? ? 下文探討了用于未來 E/E 架構的不同技術，并介紹了相關變化、風險和新機會。

未來的 E/E 架構

? ? 圖 1 顯示未來可能的一種 E/E 架構。核心是通過車內(nèi)以太網(wǎng)主干網(wǎng)進行通信的一個或幾個中央計算機。汽車的關鍵要素是網(wǎng)關：將用戶接口域（信息娛樂系統(tǒng)/ 智能手機連接）與動力域（駕駛系統(tǒng)、制動、電池管理）分離，使用所謂的智能天線將汽車連接到整車廠的后端系統(tǒng)。智能天線和網(wǎng)關的主要任務是實現(xiàn)不同的安全層，如防火墻和入侵檢測。此外，該架構使用板載安全機制用于控制器之間的通信。

? ? 與后臺系統(tǒng)的互聯(lián)使很多新功能的更新成為可能。例如，可以為汽車提供諸如道路狀況這樣的環(huán)境數(shù)據(jù)，可用停車位或汽車制造商的最新產(chǎn)品。這些在線服務和可選擇的功能激活（如駕駛員輔助系統(tǒng)）可讓汽車制造商在汽車生命周期內(nèi)不斷獲取收益。

? ? 汽車永久在線連接支持整車廠收集用戶數(shù)據(jù)，從而獲得關于所用組件可靠性和使用情況的更多信息。可以通過診斷接口檢測硬件和軟件錯誤來源及產(chǎn)生錯誤時的環(huán)境信息，從而使軟件可在制造商端改進并快速更新下載到車輛端――類似于多年以來用戶已經(jīng)習慣的智能手機的App 更新。

中央計算機

? ? 自動或高度自動駕駛要求汽車能感知周圍的環(huán)境。環(huán)境模型通過傳感器融合創(chuàng)建，它將攝像頭、雷達、LiDAR（激光雷達）和超聲波數(shù)據(jù)整合在同一個模型中。因為單一傳感器系統(tǒng)都有各自的技術弱點，需要整合這些不同的傳感器技術來補償單一傳感器系統(tǒng)技術的不足。例如，與雷達不同，攝像頭系統(tǒng)在陽光下會致盲，導致無法檢測明亮的物體。

? ? 未來將由車內(nèi)的中央計算機來執(zhí)行這些復雜計算。中央計算機將使用異構多核的處理器，可能同時具有多個內(nèi)核、GPU 和千兆以太網(wǎng)通道。針對合理性檢查、監(jiān)控和結(jié)果驗證等與功能安全有關的關鍵功能，將把更多安全內(nèi)核集成在芯片上，或者將另一個具有安全內(nèi)核的處理器集成在主板上。諸如 ARM Cortex A50/A57、Renesas R-Car H3、Cortex R7 和 Infineon Aurix，此類已經(jīng)存在于市面上的系統(tǒng)。

? ? 與這些復雜的多核系統(tǒng)不同，許多控制單元是十年前才推出的 16 位單核系統(tǒng)。對于供應商而言，這種技術飛躍意味著他們迫切需要培養(yǎng)軟件方面的能力。過去，軟件曾經(jīng)只是制動部件（包括一個控制單元）的成本因素。未來，軟件功能將具有真正的價值。這將打破現(xiàn)有供應鏈，實現(xiàn)新的業(yè)務模式。誰將從這項發(fā)展中獲益？可能是預先將集成工具鏈用于系統(tǒng)設計、時間建模、代碼生成和檢驗以及驗證，從而應對不斷增加的軟件復雜程度和成本的制造商。

? ? 現(xiàn)在，大多數(shù)控制單元使用按照 AUTOSAR 或 OSEK 標準實施的靜態(tài)配置的操作系統(tǒng)。配置時，這些系統(tǒng)定義的調(diào)度和資源利用配置在系統(tǒng)運行時只能進行有限的擴展。這種靜態(tài)配置的系統(tǒng)優(yōu)勢在于更容易驗證某項功能是否在特定時間跨度內(nèi)執(zhí)行。例如，對于側(cè)面安全氣囊，系統(tǒng)必須能在幾毫秒內(nèi)完成展開安全氣囊的決定。

? ? 對于采用更復雜的多核處理器和不同外部交互（軟件更新、用戶輸入）、這類時間要求不太嚴格的系統(tǒng)來說，動態(tài)操作系統(tǒng)更具有一定的優(yōu)勢。這類系統(tǒng)最重要的應用場景包括：

·??支持運行時的重新配置

·??面向服務的服務和通信

·??部分軟件更新

·??用 POSIX 接口代替靜態(tài)生成的基于 XML 的接口描述，簡化軟件開發(fā)過程

? ? 在這種情況下，AUTOSAR 聯(lián)盟推出了 Adaptive AUTOSAR（參見圖 2），它包括一個 POSIX 操作系統(tǒng)，可直接在多核處理器上運行，或者在一個需要并行集成多個操作系統(tǒng)的 Hypervisor 環(huán)境中運行。來自不同整車廠和供應商的 Adaptive AUTOSAR 工作組定義了用于車載應用的特別服務，如診斷服務、安全服務和 SOME/IP。服務和軟件組件（功能模塊）通過共享服務代理進行通信。使用的中間件協(xié)議稱為 ARA，其靈感來源于Common API。

以太網(wǎng)和作為中介的 TSN

? ? 大多數(shù)控制單元通過以太網(wǎng)與傳感器和執(zhí)行機構通信。通過基于音頻視頻橋接（AVB）協(xié)議擴展的時間敏感網(wǎng)絡（TSN），用于實現(xiàn)安全性第一的可靠通信。TSN 標準專為對安全和實時性有嚴格要求的系統(tǒng)開發(fā)，如 ADAS（高級駕駛員輔助系統(tǒng)）和自動駕駛。此外，以太網(wǎng)可用于將信息娛樂系統(tǒng)連接到互聯(lián)網(wǎng)和汽車制造商的后端系統(tǒng)。

? ? FlexRay 是這場技術變革的失敗者。現(xiàn)在只有少數(shù)幾家整車廠采用現(xiàn)場總線系統(tǒng)，并且很快就將被取代。CAN 和 CAN FD（具有靈活數(shù)據(jù)傳輸速率的 CAN）仍將繼續(xù)用于連接傳感器和執(zhí)行機構或小型的 IO（輸入/輸出）控制單元。

? ? IO 設備和中央計算機通過由 BMW 集團在2011 年提出的面向服務的通信接口進行通信：“scalable serviceorientedmiddleware over IP”，縮寫為 SOME/IP。它基于 Ethernet 和 TCP/IP 協(xié)議系列。其關鍵點在于 SOME/IP可以將已定義的應用接口自動映射到數(shù)據(jù)包。SOME/IP 的優(yōu)勢在于它甚至可以集成到小型設備中，并實現(xiàn)快速啟動整個系統(tǒng)。

功能架構

? ? 除了上面介紹的主要由 AUTOSAR 聯(lián)盟提出，并在 Elektrobit 的 AUTOSAR 產(chǎn)品系列 EB tresos 中已經(jīng)實施的基礎軟件需求之外，行業(yè)對功能模塊之間采用已定義接口的功能架構的需求也越來越明確。通用標準化接口的優(yōu)勢在于可以靈活地替換某些模塊，可以將其作為產(chǎn)品進行購買或出售。

? ? 圖 3 顯示 Elektrobit 的 EB robinos 產(chǎn)品的架構。左側(cè)顯示包括用于車輛定位和目標物融合的軟件模塊，將不同傳感器系統(tǒng)檢測到的目標物融合到一個完整的駕駛環(huán)境視圖中。然后根據(jù)當前的駕駛環(huán)境進行軌跡規(guī)劃，進而完成對車輛加減速及轉(zhuǎn)向的控制。

? ? 項目的目標是開發(fā)一種開放參考架構，定義軟件組件、接口和控制機制。Elektrobit 網(wǎng)站免費提供架構規(guī)范，項目針對 OEM、供應商和合作伙伴開放。此方法目標是可以將此架構集成到不同的高級駕駛員輔助系統(tǒng)平臺中。在這個情況下，平臺可以是集成了市面上已有的不同操作系統(tǒng)，如自適應 AUTOSAR、QNX 或類 Unix操作系統(tǒng)的不同硬件產(chǎn)品的一部分。

基礎設施即挑戰(zhàn)

? ? 汽車移動依靠的基礎設施是自動駕駛汽車面臨的主要技術挑戰(zhàn)。目前汽車配備了盡可能多的傳感器，以便它們能夠在無數(shù)的不同交通場景中自動找到路線。與在外部可控的受保護區(qū)域內(nèi)移動的火車和飛機相比，這種方法顯然成本高昂而且極為復雜。例如，飛機飛行的海拔和路線是由空中交通管制服務指引，火車在進入未開放區(qū)域時會自動停止。

? ? 然而，人們無法在所有路面周圍設立柵欄和攔截自行車。但是，路面基礎設施的變化，比如汽車行駛至閘道的入口或出口處，可以知道汽車正行駛在高速公路上而非行駛在與高速公路距離幾米之外的平行鄉(xiāng)村道路上，這樣可以簡化位置檢測的問題。另一個例子是停車設施，它可以遠程控制汽車并將其引導到可用的停車位。這種概念比尋找免費停車位，在停車設施自動巡航的汽車更簡單。

? ? 此類用例的前提條件是在全國范圍內(nèi)鋪設高速移動數(shù)據(jù)網(wǎng)絡(5G)，以促進與后端和基礎設施交換數(shù)據(jù)，以及人們能夠為自動駕駛而調(diào)整路面基礎設施。

有哪些新興的開發(fā)流程？

? ? 如何在高度復雜的整體系統(tǒng)中滿足對功能安全（尤其是在汽車連接性日益增長的情況下）以及信息安全的要求？為了滿足汽車軟件開發(fā)的高質(zhì)量標準，行業(yè)制定了 Automotive SPICE 流程模型，它構成了功能安全和信息安全的基礎。

? ? ISO 26262 標準定義了在系統(tǒng)開發(fā)過程中，如何在流程層面和方法層面確保功能安全。對于軟件架構而言，功能安全是一個關鍵因素。現(xiàn)在已有用于監(jiān)測系統(tǒng)完整性、分區(qū)、時間和流程監(jiān)測或者安全通信等方面的基本集成機制，并且已經(jīng)應用于多個系列項目。

? ? 信息安全機制將長期在汽車開發(fā)中占據(jù)重要的一席之地。防盜報警器、安全電子鑰匙或里程表安全存儲等系統(tǒng)已經(jīng)成為標準功能。但是，隨著汽車連接性的增加，行業(yè)正面臨新的挑戰(zhàn)。根據(jù)信息技術的基本定律，“哪里有聯(lián)網(wǎng)，哪里就會有攻擊”，汽車行業(yè)中系統(tǒng)的信息安全和隱私方面的重要性也在與日俱增。

? ? 第一次利用遠程訪問或互聯(lián)網(wǎng)成功攻擊系統(tǒng)的事件被公眾知曉，并且產(chǎn)生了廣泛的反響。為應對這種攻擊，SAE International 于 2016 年初發(fā)布了安全系統(tǒng)開發(fā)手冊（SAE J3061，“Cybersecurity Guidebook for Cyber-Physical Systems”）。該手冊介紹了相關流程和方法并遵循了 ISO 26262 對汽車產(chǎn)品生命周期的規(guī)定。該文件并非標準，但它總結(jié)了重要的舉措，如研究計劃或現(xiàn)有的標準和出版物。因此該文件很有價值，可以作為了解信息安全流程和方法的入門指南。

結(jié)論

? ? 自動駕駛架構的要求的復雜度顯著提升。但是，結(jié)合標準架構、功能安全、信息安全、多核系統(tǒng)和可用性等方面，有助于設計出可靠的系統(tǒng)，并根據(jù)用例很好地評估并組合各個系統(tǒng)方面。

? ? 汽車供應鏈的所有相關方應培養(yǎng)一個核心能力：系統(tǒng)工程，從而形成對物理、電子和軟件的跨學科認知和理解。

? ? 未來，（軟件）開發(fā)人員必須更好地理解系統(tǒng)，這樣才能用合適的工具和關聯(lián)代碼生成工具進行系統(tǒng)建模。經(jīng)典軟件開發(fā)側(cè)重于工具、代碼生成工具和標準功能的開發(fā)，以及作為可重用產(chǎn)品出售的標準功能。集成軟件仍將需要能夠理解、分析和修復各層級（無論是深度嵌入還是面向服務的行為）錯誤的專家。

? ? 未來幾年，汽車市場將出現(xiàn)新的汽車制造商和供應商。特別是 IT 公司，它們已在其他領域多年運用這些技術，其愿景是讓汽車像安裝了車輪的智能手機一樣運行。理由是自動駕駛可以讓汽車用戶獲得更多時間，這些時間可以用于社交網(wǎng)絡、在線購物或者辦公等。將“駕駛時間”轉(zhuǎn)化為“互聯(lián)網(wǎng)使用時間”，產(chǎn)生了全新的業(yè)務模式。

? ? 整車廠的業(yè)務案例不僅將由銷售汽車決定，還將越來越傾向于由汽車的運行情況決定。新的租賃概念就是行業(yè)熱議的創(chuàng)意之一，其主體不再是將汽車作為產(chǎn)品，而是將駕駛出行作為服務。未來，帶您去上班的自動駕駛艙的租賃價格可能要取決于一天之中的不同時間。

作者 |?Rudolf Grave??

在漢堡工業(yè)大學學習電氣工程。他從 2005 年開始在 Elektrobit 工作，負責 AUTOSAR 項目。他的研究重點是多核和功能安全。

Elektrobit 針對汽車 ECU 的 AUTOSAR 軟件產(chǎn)品和解決方案：

·?Elektrobit 經(jīng)典 AUTOSAR 基礎軟件、汽車操作系統(tǒng)和量身定制的工具環(huán)境：EB tresos www.elektrobit.cn/products/ecu/eb-tresos/

·?Elektrobit 用于打造高性能計算平臺（HPC）的自適應 AUTOSAR 基礎軟件、虛擬機監(jiān)控程序（Hypervisor）、車規(guī)級操作系統(tǒng)和集成式開發(fā)環(huán)境：EB corbos www.elektrobit.cn/products/ecu/eb-corbos/

·?Elektrobit 推出的業(yè)內(nèi)首款能夠?qū)崿F(xiàn)安全、高性能車載網(wǎng)絡通信的汽車以太網(wǎng)交換機固件：EB zoneo www.elektrobit.cn/products/ecu/eb-zoneo/

·?Elektrobit 為汽車電子控制單元（ECU）提供的嵌入式安全解決方案：EB zentur www.elektrobit.cn/products/security/