當(dāng)前的駕駛員輔助功能，例如高速公路的自動(dòng)停車或交通擁堵輔助和車道偏離警告系統(tǒng)，是邁向自動(dòng)駕駛的第一步。但就未來(lái)幾年預(yù)期的驅(qū)動(dòng)功能而言，今天的系統(tǒng)架構(gòu)已經(jīng)達(dá)到了極限?？刂圃O(shè)備日益增長(zhǎng)的互連性及其日益復(fù)雜的功能需要在開發(fā)和跨功能、跨車輛軟件平臺(tái)方面采用集成系統(tǒng)方法。

許多駕駛員輔助功能今天已經(jīng)可用。但根據(jù)法律，司機(jī)仍然不能完全依賴這個(gè)系統(tǒng)。如果發(fā)生錯(cuò)誤（例如，傳感器發(fā)生故障），他們必須能夠立即重新獲得控制權(quán)。

未來(lái)的駕駛員輔助功能將為駕駛員提供新的自由，因?yàn)檐囕v操作員將能夠轉(zhuǎn)移他們對(duì)交通的注意力并傾向于其他活動(dòng)。他們將被允許松開方向盤，激活輔助功能，還可以在交通擁堵時(shí)進(jìn)行視頻通話，而不是全神貫注于交通。

奧迪宣布其 2017 款車型的交通擁堵輔助系統(tǒng)等系統(tǒng)將為駕駛員提供更多時(shí)間來(lái)控制車輛，因?yàn)樽畛躐{駛員將有長(zhǎng)達(dá) 10 秒的時(shí)間重新指揮他們的車輛。但是，這也意味著駕駛員可以在輔助功能激活時(shí)關(guān)注其他事情，這意味著如果發(fā)生系統(tǒng)故障，他們將無(wú)法使用。在此期間，車輛將負(fù)責(zé)避免或處理危險(xiǎn)情況，因?yàn)樵谕耆刂茩?quán)交還給駕駛員之前，它無(wú)法在出現(xiàn)錯(cuò)誤時(shí)簡(jiǎn)單地關(guān)閉。相反，他們必須保持最低水平的功能，以保證車輛和車內(nèi)人員的安全，所以，事實(shí)上，

【圖1 | 實(shí)現(xiàn)自動(dòng)駕駛汽車的各個(gè)階段都需要改變系統(tǒng)架構(gòu)。］

轉(zhuǎn)變始于發(fā)展

雖然車輛基礎(chǔ)設(shè)施、硬件和軟件都必須經(jīng)過(guò)精心設(shè)計(jì)，即使在系統(tǒng)出現(xiàn)錯(cuò)誤的情況下也能正常工作，但在向自動(dòng)駕駛緊急功能過(guò)渡的初始過(guò)渡中，可能會(huì)有一個(gè)初步的范圍——例如，進(jìn)入保險(xiǎn)箱、帶有警告信號(hào)閃光燈的慢停。這種“安全狀態(tài)”在交通擁堵的情況下已經(jīng)足夠了，但在正常交通情況下，系統(tǒng)必須安全地開車到最近的緊急休息區(qū)或從下一個(gè)出口安全停車。

根據(jù)發(fā)生錯(cuò)誤時(shí)所需的功能范圍，必須涉及許多子功能和相關(guān)的傳感器、執(zhí)行器和軟件計(jì)算。為了能夠?qū)崿F(xiàn)具有自動(dòng)駕駛所需的可用性和可靠性的功能，需要修改系統(tǒng)架構(gòu)。

控制設(shè)備暫時(shí)仍將是經(jīng)典開發(fā)，因?yàn)轳{駛員輔助功能的實(shí)現(xiàn)是靜態(tài)的并且遵循特定的模式：導(dǎo)入傳感器數(shù)據(jù)、計(jì)算控制設(shè)定點(diǎn)、控制執(zhí)行器。然而，在未來(lái)，開發(fā)團(tuán)隊(duì)將被迫在系統(tǒng)級(jí)別實(shí)施越來(lái)越多的解決方案。單個(gè)控制設(shè)備將離開中心舞臺(tái)，整個(gè)系統(tǒng)將成為焦點(diǎn)，因?yàn)槿绻紙?zhí)行硬件發(fā)生故障，通信路徑必須能夠改變并且軟件功能必須由其他硬件實(shí)時(shí)執(zhí)行。

實(shí)現(xiàn)實(shí)際系統(tǒng)級(jí)輔助功能的要求越來(lái)越嚴(yán)格，傳感器和執(zhí)行器在網(wǎng)絡(luò)中的復(fù)雜性也在增加。對(duì)能夠?qū)崟r(shí)執(zhí)行復(fù)雜計(jì)算的高性能處理器的需求不斷增長(zhǎng)，軟件元素還必須滿足嚴(yán)格的安全要求，最高可達(dá)汽車安全完整性等級(jí) D （ASIL D），即汽車的最高軟件安全等級(jí)。

在最佳情況下，汽車行業(yè)利用的計(jì)算機(jī)架構(gòu)將以一種使功能獨(dú)立于硬件的方式實(shí)現(xiàn)，因此安全關(guān)鍵軟件不必經(jīng)過(guò)特殊調(diào)整即可在充當(dāng)駕駛員執(zhí)行平臺(tái)的異構(gòu)控制器架構(gòu)上運(yùn)行未來(lái)的輔助系統(tǒng)。理想情況下，開發(fā)人員不需要知道他們的共享功能將在何處以及如何執(zhí)行。

修改后的系統(tǒng)架構(gòu)

這種平臺(tái)的一個(gè)例子是 NVIDIA DRIVE PX，它由兩個(gè) Tegra K1 處理器作為性能控制器，一個(gè)英飛凌 Aurix 處理器作為安全控制器，并支持 Elektrobit 的 EB tresos 軟件環(huán)境。EB tresos 基于稱為 AUTOSAR 自適應(yīng)平臺(tái)的汽車開放系統(tǒng)架構(gòu) （AUTOSAR） 標(biāo)準(zhǔn)的變體，并為 Tegra 處理器上的動(dòng)態(tài)操作系統(tǒng)（在本例中為 Linux）形成運(yùn)行時(shí)環(huán)境。

Elektrobit 開發(fā)的駕駛員輔助應(yīng)用程序框架是在該系統(tǒng)上運(yùn)行的應(yīng)用程序。該框架實(shí)現(xiàn)了用于融合傳感器數(shù)據(jù)、軌跡規(guī)劃和控制的模塊，以及用于同步和協(xié)調(diào)多個(gè)駕駛員輔助功能的標(biāo)準(zhǔn)機(jī)制，作為“情況和決策”模塊的一部分。在框架中運(yùn)行的輔助功能（例如自動(dòng)停車功能）依賴于底層 EB tresos 基礎(chǔ)設(shè)施提供的安全機(jī)制，因此功能管理和合規(guī)性監(jiān)控軟件以及錯(cuò)誤處理可以不受干擾地運(yùn)行安全控制器本身。這保證了可靠的操作，并且還可以在控制設(shè)備上運(yùn)行具有高 ASIL 等級(jí)的軟件，同時(shí)具有高性能，

【圖2 | 軟件層與高性能硬件平臺(tái)（例如 NVIDIA DRIVE PX）相結(jié)合，是集成系統(tǒng)方法的基礎(chǔ)。］

借助 DRIVE PX 上的 EB tresos 環(huán)境等動(dòng)態(tài)軟件平臺(tái)，各個(gè)功能之間的通信路徑是透明且靈活的。應(yīng)用程序是使用經(jīng)典的 AUTOSAR 運(yùn)行時(shí)與控制設(shè)備上的環(huán)境進(jìn)行通信，還是通過(guò)適當(dāng)?shù)能浖觿?dòng)態(tài)建立和取消與隨機(jī)發(fā)送器和接收器的通信，這與未來(lái)的應(yīng)用程序無(wú)關(guān)。這種通信靈活性支持“故障運(yùn)行”系統(tǒng)所需的冗余機(jī)制，例如，通過(guò)實(shí)現(xiàn)熱備用功能。熱備用意味著可以在其他硬件環(huán)境中使功能成為冗余，這些硬件環(huán)境處于備用狀態(tài)，并且僅當(dāng)功能在主環(huán)境中發(fā)生故障時(shí)才激活。這些額外的硬件環(huán)境將 CPU 時(shí)間和內(nèi)存等資源用于特定功能，因此并行運(yùn)行。這導(dǎo)致快速切換能力，從而傳感器和執(zhí)行器信號(hào)根據(jù)功能運(yùn)行的位置動(dòng)態(tài)重新路由。

【圖3 | 動(dòng)態(tài)控制設(shè)備架構(gòu)保證了專用功能范圍的可靠性。］

集成開發(fā)和“整車操作系統(tǒng)”

在允許所描述的動(dòng)態(tài)行為的控制設(shè)備架構(gòu)中，您可以通過(guò)在系統(tǒng)級(jí)別智能連接多個(gè)此類控制設(shè)備來(lái)保證專用資源的可用性，以便功能可靠地執(zhí)行，而與發(fā)生的錯(cuò)誤或硬件故障無(wú)關(guān)。然而，這樣做的挑戰(zhàn)在于，它還需要一種系統(tǒng)范圍的軟件基礎(chǔ)架構(gòu)方法，以便實(shí)時(shí)動(dòng)態(tài)地管理整個(gè)系統(tǒng)。在這樣的實(shí)施中，必須集中有關(guān)各個(gè)控制設(shè)備的信息，例如硬件狀態(tài)和運(yùn)行時(shí)完整性，以決定如何最好地重新配置系統(tǒng)。

如果將新技術(shù)添加到故障操作要求中，例如車輛與其周圍環(huán)境之間的永久、持久連接，則此處的需求變得更加明顯。像這樣的在線連接需要修改架構(gòu)以滿足嚴(yán)格的安全要求，以及提供防火墻、訪問(wèn)控制和入侵檢測(cè)工具，以便監(jiān)控和預(yù)防對(duì)安全關(guān)鍵系統(tǒng)的潛在威脅。

其中許多要求可以通過(guò)具有中央控制和分配機(jī)制的面向服務(wù)的架構(gòu) （SOA） 來(lái)滿足，但是需要一個(gè)新的軟件基礎(chǔ)設(shè)施，即“整車操作系統(tǒng)”，將自動(dòng)駕駛汽車的所有維度集成到未來(lái)幾年。使用當(dāng)今的開發(fā)方法實(shí)現(xiàn)自動(dòng)駕駛系統(tǒng)所需的硬件和軟件將是困難的，因?yàn)檐囕v目前由僅與本地功能通信的“孤獨(dú)的戰(zhàn)士”控制設(shè)備組成。其中一些設(shè)備是相互獨(dú)立定義的，由汽車制造商的不同部門指定，并由不同的供應(yīng)商開發(fā)。這些設(shè)備的軟件部分基于 AUTOSAR 等標(biāo)準(zhǔn)，但通用平臺(tái)是未來(lái)的解決方案。

向軟件定義車輛的轉(zhuǎn)變

將自己視為非傳統(tǒng)汽車制造商的新玩家和各種電動(dòng)汽車初創(chuàng)公司以及主要的 IT 供應(yīng)商具有為駕駛員輔助等新興系統(tǒng)領(lǐng)域啟動(dòng)新結(jié)構(gòu)開發(fā)流程的優(yōu)勢(shì)。因此，他們將能夠加速汽車系統(tǒng)架構(gòu)的變革，促使汽車制造商、一級(jí)供應(yīng)商和軟件開發(fā)商隨著時(shí)間的推移改變實(shí)踐。這是設(shè)計(jì)全新系統(tǒng)架構(gòu)的唯一方法，為未來(lái)的軟件定義車輛基礎(chǔ)設(shè)施平臺(tái)鋪平道路。

審核編輯：郭婷