智能座舱域控制器（二）

作者 / 阿宝

编辑 / 阿宝

出品 / 阿宝1990

前面第一章节 阐述了电子电气架构的变化。具体文章链接：智能座舱域控制器（一）

汽车电子电气E/E架构加速向域控制、中央计算平台架构迁移。博世认为汽车电子电气架构演变路径为分布式、域集中、中央集中式。传统汽车分布式架构缺点越来越明显，高档车使用100~200种不同ECU，汽车的 EEA中搭载了各种功能不同的 ECU 进行协同运作为驾驶员提供各种功能，打造中央集中式EEA架构的车载计算平台，面临“功能安全、实时性、带宽瓶颈、算力黑洞”等多种挑战。目前车厂逐步将一些ECU功能合并到一个ECU中，减少控制节点，控制器向“域”集成方向发展，目前车辆上主要有动力域、车身域、自动驾驶域、底盘域和信息娱乐域。

域控制器可以完成各自域内协调工作，便于软件管理和车辆变形。域集中和中央计算平台架构使原来分散的算力集中化，在降低架构复杂度同时提高了系统算力，软硬件解耦让汽车软件实现即插即用，具备可持续迭代升级的能力。在电子电气架构方面，目前特斯拉发展最为领先，其新一代集中式 E/E 架构达到车载中央电脑和区域控制器阶段，配合自研的操作系统，可实现整车 OTA。

我们重点讲解智能座舱相关的内容。

智能座舱域控制器技术驱动因素

1、新能源汽车以及动力电池技术发展迅猛。

车身电子电气架构正在进行深度升级，由传统的分布式架构向中心式架构演变，不同操作系统之间通过虚拟机打通；同时三元锂离子电池能量密度已经突破300wh/kg，为智能座舱各功能提供能量基础。

在新能源车的发展过程中你会看到很多同传统车不一样的先进技术在这方面使用，由于新能源车本身的架构和传统燃油就有很大的不同，对比于燃油车，新能源汽车的结构更简单。目前的燃油车结构比新能源汽车更复杂，特别是动力总成系统部分，要比新能源汽车复杂得多。新能源汽车的车辆结构较为简单，主要部件为动力电池组、电机和EMS组成的三电系统，因此在新能源汽车上开发或者使用自动驾驶技术，那么出现概率的情况要比燃油车低得多。

与此同时，从操控上来说，新能源汽车也要比燃油车更好操控——控制电压电流的大小以及输出，远比控制传统内燃机来得容易得多。所以比如一些ADAS的设备、TBOX、以太网、还有一些域控制器都是在优先在新能源车上出现，然后逐步使用到燃油车上。

2、芯片的运算能力呈指数级提升，自动驾驶逐渐成熟。

目前一辆智能汽车搭载的代码行数超过一亿，自动驾驶软件的平均运算量达到10个TOPS（Tera Operations Per Second，万亿次操作每秒）量级，各大芯片厂商都推出了与算力匹配的主控芯片。同时，自动驾驶技术的成熟使得人们从驾驶场景解放出来，更多注意力得以放在其他场景上。

3、云计算和5G的铺设速度加快。

云平台的计算、存储能力和5G的传输速度为智能座舱大数据量、低延时的需求提供了保障。主流云计算厂商均针对车企推出了车联网解决方案；芯片厂商、通信运营商等各方则积极推行C-V2X相关技术，以期在未来向车用5G平滑演进。

智能座舱域控制器不是融合功能越多越好

智能座舱域控制器行业发展历程及里程碑事件

智能座舱发展经历了整体基础 智能座舱发展经历了整体基础 -细分产品 细分产品 -融合方案的格局变化。先是整体电子器架构和操作系统出现，随后各细分产品逐渐装载到车上，如今的趋势是各产品的协同整合。

可以看到2018年伟世通才出现基于座舱产品的域控制器，主要是整合了车载中控和仪表，还没有整合更多的ADAS功能的产品，比如360环视、LDWS等功能进去，说明这个域控制器有一定的难度。

域控制融合功能越多，功能安全越复杂

上图是中央控制器会遇到的问题，这个和域控制面临的问题是一样的，主要还是很多功能性安全，实时性安全的技术要求还不成熟。不是像我们想的这么简单，把能融合的就融合在一起，从功能安全的角度出发，反而并不一定好，我们以视频感知系统为例讲解。

在以上的模块内，CMOS sensor提供图像采集，输出给视觉感知SoC。ISP模块负责图像处理包括色彩空间转换，Tone mapping, 降噪，图像缩放等，输出图像给NPU。NPU模块负责运行基于神经网络的ADAS（高级辅助驾驶）算法，输出结果到内存。CPU模块负责整个算法和流程的调度。

这个系统通常很难做到ASIL-B或者更高的功能安全等级，这是因为这些模块有着复杂的数据处理过程，并包含多种失效模式。CMOS sensor首先要保证选用ASIL-B或者以上级别的。视觉SoC的内部多个单元模块也要实现各种错误检测和汇报机制，以实现ASIL级别的需要。如果其CPU使用ARM A系列的处理器，除非进行锁步执行，很难达到ASIL-B功能安全等级。

至于视觉算法所使用的神经网络技术，因为其结构设计并不容易用逻辑推断来描述，其参数比如分类器是基于训练得到而不是确定性逻辑得出，无法用形式化方法分析其失效率（不能计算SPF, LF, PMHF），所以也无法得到ASIL级别。即使采用传统的机器视觉算法，手动设定分类器加上训练，也一样存在大量经验性而不可以保证其对未知场景有正确响应。

基于Mobileye EyeQ3和EyeQ4设计的ADAS处理器在行业已经广泛应用，但据悉，也并不能独立实现视觉感知功能的ASIL-B。

那么如何提升视觉感知系统的功能安全呢？行业里的较为普遍的做法，是使用ASIL-B级别以上的安全岛，或者独立的ASIL-B以上级别的Safety MCU，来实现系统级功能安全。

通过增加一个具有ASIL-B或更高安全等级的MCU，并且软件实现视觉感知SoC向Safety MCU输出结果，并且接收Safety MCU的监控和控制，这样这个系统就有可能实现“系统级功能安全”，最终视觉感知结果，具备功能安全ASIL-B或更高等级。这个系统也相当于:

系统级ASIL-B  = QM (Vision SoC)  +  ASIL-B (Safety MCU)

要证明这个ASIL分解成立，我们首先要看这两个子系统是否存在共因失效。如果Safety MCU的电源设计具备冗余，并且其和视觉SoC之间的I/O具有Failsafe保护，那么并不存在一种外部故障，可以让Safety MCU和Vision SoC同时失效。

其次因为Vision SoC的失效如果不被Safety MCU检查出来，则会被传导到最终输出，这种将会导致ASIL分解不成立。如果Vision SoC的失效是可以被Safety MCU检查出来的，那么Safety MCU可以在最终信息输出标识系统进入安全状态,并且可以控制包括重置Vision SoC子系统进行错误修复，这时Vision SoC的失效不会导致系统失效，ASIL分解成立。所以关键点在于Vision SoC的失效是否可以被检查出。

为了更好地检查Vision SoC的失效，我们可以采用ISO26262推荐的方法，包括但不限于：启动时自检，运行时的周期性自检，程序流监控，和视觉感知关键数据时间检测，硬件和软件出错汇报，监测CPU异常，操作系统异常，内存数据异常，I/O报错，中断异常，状态偏离（比如CPU越来越忙，空闲内存逐渐减少），CMOS传感器数据校验，周期任务执行超时，输出数据超时等。这些监测的目标是使得Vision SoC尽可能汇报可以检测到的各种错误，包括图像输入故障，卡滞和处理错误，如果因为异常而停止向Safety MCU输出，则会产生超时错误也一并被监测到。

经过上述的努力，我们有希望把视觉感知系统提到接近于ASIL-B的安全目标。但这样的系统通常也被认为不能达到ASIL-B，其主要原因是其采用的视觉感知算法目前尚不能被ISO26262认可。也有观点认为单独使用ASIL-B Safety MCU不能做到充分的冗余，但通过增加一条数据通路，使得Safety MCU也可以监控CMOS sensor的输出状态和信息，可以实现更为充分的冗余而达到系统级ASIL-B。这种设计在Veoneer的Traffic Jam Pilot系统里已经实现量产 (视觉SoC QM级别 + Safety MCU ASIL-B级别)。

那么，如果要达到更为严格意义上的ASIL-B，是否可以做到呢？市场现行的解决方案是增加可替代视觉感知的冗余，特别是增加毫米波雷达感知系统。增加了雷达以后，以上的系统框图变为：

这个系统需要摄像头的覆盖角度的关键部分如当前车道，和毫米波雷达的覆盖角度相重叠，这样来自两个不同传感器的异构冗余可以改善系统的功能安全。毫米波雷达系统可以做到符合ASIL-B，随后在ASIL-B或更高级别的Safety MCU进行视觉+雷达做数据融合，并根据融合数据做出算法判断，最终的输出结果可达到ASIL-B或更高级别。

选择安全MCU扩展还是单芯片

这里我们可能面临一个问题，如果有一颗SoC能够把Vision SoC和Safety MCU合并进去，是不是等价方案？既可以实现高性能的算法，同时又可以做到功能安全需求。

这样系统的框图类似下面。Performance core是性能核，也就是原来Vision SoC的部分，Safety Core就是原来的Safety MCU的部分。现在放到一起以后，两部分可以通过共享内存和相互发送中断进行通信。

上面这种SoC集成了安全岛的设计，在车用智能驾驶SoC里越来越流行，但我们并不能得出这种集成设计一定好于前面的分离设计，其原因在于：

集成设计的两个部分在一个芯片内部，根据不同芯片设计的差异，可能存在相互影响和资源依赖，而产生共因失效，比如电源和重置部分是否可以做到完全独立。

性能可能相互影响而造成风险，如果Performance Core过于繁忙，占用内存带宽过多，可能影响Safety Core上运行融合算法的时间确定性。反过来也是一样。如果Safety Core也运行安全性要求非常高的任务比如AEB控制，则时间确定性变得更为重要。

Safety Core部分的CPU运算性能，功能安全等级不一定好于分离式里的单独的Safety MCU。同样，Performance Core部分的视觉感知性能，也不一定好于分离式里单独的Vision SoC。

所以在实际系统设计的时候，需要根据需求进行分析，并不能得出分离式系统的功能安全不如集成式系统这一结论。

下图是能够支持L3级别自动驾驶的奥迪A8的智能驾驶域控制器的设计：

其中包含四个主要芯片：NVIDIA Tegra K1,  Mobileye EyeQ3, Altera Cyclone FPGA, Infineon Aurix Tricore MCU。其中TK1和EyeQ3负责自动驾驶中的视觉感知，包括交通标识牌识别，行人检测，碰撞预警，光线检测，车道线检测，360度环视等功能。Altera FPGA负责目标融合，地图融合，停车辅助，碰撞预防，图像前处理等功能。

而Infineon Aurix负责交通拥堵导航，辅助系统，矩阵大灯，路线图等功能，并且负责系统的安全监控和底盘控制。也就是说，这个四个芯片的复杂系统是TK1和EyeQ3两颗QM芯片加上一颗ASIL-B等级的Altera FPGA，再加上一颗ASIL-D等级的Infineon Aurix Tricore来共同实现。

这个例子很好的说明了如果设计合理的话，分离式功能安全设计是可行的，同时也说明了单颗甚至两颗芯片实现这样复杂的系统功能是非常困难的。再反过来看看前面提到的特斯拉FSD的完全双重冗余，也许特斯拉的设计更清晰明朗，虽然其并不是典型的ISO26262设计理念。

智能座舱产品形态发展及重要性 

显示屏和主机分离是成为一个趋势

大家都知道汽车开发一个车型涉及大量的技术集成、零部件设计、试验验证等，所以汽车开发具有耗资大、周期长，开发风险高等特点。以往的汽车厂家推出一款新车至少需要5-10年，周期很长、工作量很大。但此一时彼一时，如今的车企，车型更迭的速度非常快，这个都是得益于底盘平台化。

如宝马的UKL前驱平台、CLAR后驱平台，丰田的TNGA架构、吉利的CMA平台，奔驰的MFA、MRA、MHA、MSA平台等，以丰田的TNGA平台架构为例，初期使零部件通用比例达到20%-30%，最终将达到70%-80%，这对于企业节约成本，降低研发周期起到关键作用。

而现在一个平台车型的迭代周期是3-4年，车型小改款是1年左右，越来越多的车厂选择把显示屏部分进行标准化，这样IP造型、显示屏的成本都能固定下来，而每次升级改款只需要修改主机，因为现在域控制或者单芯片的算力越来越强，主机升级换代的需求是必然，显示屏是显示内容部分，这部分相对简单一些，只要规划好对应的造型、尺寸、分辨率是可以做到平台化共用的，节省成本。

原来的座舱里面的控制器基本上是分开的，导航主机是一家，液晶仪表是一家，同时还有一个AVM全景一家，还有TBOX等，这里线束连接就非常复杂，而且不同供应商直接的协调调试也非常复杂。

上图是域控制产品形态，这样无论是走线，还是调试都非常方便，最关键就是OTA非常好做，而且降低成本。

以智能座舱为切入点提升用户体验成为企业制胜的关键点：

一方面，“一芯多屏”成为趋势热点。车载显示屏从单一、小型的平面矩形屏幕逐步向多个、大型曲面屏转变。因为传统分离式的座舱集成，多个座舱系统之间如“孤岛”一般相互独立导致通信成本高，而“一芯多屏”的智能座舱解决方案以通信成本低、时延短， 可以更好地支持多屏联动、多屏驾驶等复杂电子座舱功能；

另一方面，汽车企业在追求炫酷科技带来的震撼感、科幻感的同时，开始围绕改善用户体验密集发力，更加强调用户的便捷度、舒适感、娱乐性，从消费者观感体验以及心理体验出发进行产品开发和服务设计，更加增 进用户黏性。

未来，随着无人驾驶技术的成熟以及出行方式的革命性变革，消费者对汽车的认知将逐渐从“单一的交通工具”向“移动空 间”转变，而座舱则是实现空间塑造的核心载体。如何根据用户的个性化需求，为乘客提供专属出行方案成为产业应用落地的主攻方向。

—END—

您的每一次点赞和再看，转发、都是对我的肯定，谢谢！

本文首发于微信公众号：阿宝1990。文章内容属作者个人观点，不代表和讯网立场。投资者据此操作，风险请自担。

（张泓杨 ）