由于汽車行業(yè)的三個最重要的未來問題：自動駕駛、無線軟件更新和驅動系統(tǒng)電氣化，對汽車系統(tǒng)設計和軟件開發(fā)的要求越來越高。

車輛中當前的電氣/電子 （E/E） 架構為每個控制單元集成了一個或幾個車輛功能。這分別增加了控制單元和分布式軟件功能的數(shù)量以及連接的復雜性。在這種情況下，E/E 架構必須執(zhí)行越來越多的駕駛員輔助功能。軟件復雜度的估計假設當前高級車輛中的 100 多個控制單元包含超過 1 億行代碼。

目前，單個或密切相關的功能均在單獨的控制單元上實現(xiàn)。適用于汽車應用的高性能片上系統(tǒng) （SoC）（例如，瑞薩電子的 R-Car H3、NXP BlueBox 或 NVIDIA DRIVE PX）的可用性以及減輕重量的必要性（例如，通過減少控制單元或布線） 導致希望在域控制器（例如負責車身、底盤或發(fā)動機）或更少的中央計算機上集成多種功能。

這種范式轉變極大地改變了車輛的 E/E 架構。它涉及引入面向服務的通信和動態(tài)操作系統(tǒng)，而后者又必須滿足實時、功能安全和安保的要求。此外，動態(tài)控制單元的使用允許添加車輛啟動時不可用的功能。

未來的E/E架構

E/E 架構核心是一臺或幾臺中央計算機，它們通過車輛內(nèi)部的以太網(wǎng)骨干網(wǎng)進行通信。車輛的關鍵元素是網(wǎng)關：它將用戶界面域（信息娛樂系統(tǒng)/智能手機連接）與驅動域（驅動系統(tǒng)、制動器、電池管理）分開，并使用一個 so 將車輛連接到 OEM 的后端系統(tǒng)。 - 稱為智能天線。智能天線和網(wǎng)關的主要任務是實現(xiàn)防火墻和入侵檢測等不同的安全層。此外，該架構將使用控制單元之間的安全車載通信機制。

與后端系統(tǒng)的連接啟用了許多新功能。例如，可以為車輛提供環(huán)境數(shù)據(jù)，例如道路狀況、免費停車位或車輛制造商的最新報價。這些在線服務和啟用功能（例如，駕駛員輔助系統(tǒng)）的選項使汽車制造商有機會在汽車銷售時間之后產(chǎn)生收入，即，即使在使用時也是如此。

與車輛的永久在線連接允許 OEM 收集用戶數(shù)據(jù)，從而獲得有關所用組件的可靠性和磨損的更多信息。可以通過診斷界面檢測硬件和軟件的錯誤來源以及相關的環(huán)境數(shù)據(jù)，可以在制造商處改進軟件，并且可以及時將更新下載到汽車——類似于用戶已經(jīng)習慣的智能手機應用程序更新這些年來。

一臺中央計算機

自動駕駛或高度自動駕駛要求車輛了解周圍環(huán)境。環(huán)境模型是通過所謂的傳感器融合建立的。它將攝像頭、雷達、光探測和測距 （LiDAR） 以及超聲波數(shù)據(jù)組合到一個模型中。需要這些不同的傳感器技術，因為某些系統(tǒng)具有可以通過其他技術進行補償?shù)娜觞c。例如，與雷達不同，相機系統(tǒng)在被太陽遮住時可能無法檢測到明亮的物體。

未來，這些復雜的計算將由車輛中的中央計算機進行。所使用的處理器將是異構多核處理器，可能具有多個內(nèi)核、GPU 和千兆以太網(wǎng)通道。對于合理性檢查、監(jiān)控和結果驗證等安全關鍵功能，額外的安全內(nèi)核將集成到芯片上，或者第二個處理器將集成到板上。借助 ARM Cortex A50/A57、瑞薩電子的 R-Car H3、Cortex R7 和英飛凌 Aurix，此類系統(tǒng)已經(jīng)存在。

與這些復雜的多核系統(tǒng)相比，許多控制單元在十年前還是 16 位單核系統(tǒng)。對于供應商而言，這種技術飛躍意味著在軟件領域建立能力的艱巨任務。軟件過去只是一個成本因素，它是制動器的一部分，包括一個控制單元。未來，軟件功能才是真正的價值所在。這將破壞現(xiàn)有的供應鏈并啟用新的商業(yè)模式。誰將從這一發(fā)展中受益？可能是早期使用集成工具鏈進行系統(tǒng)設計、時間建模、代碼生成和驗證以及驗證以管理日益增加的軟件復雜性和成本的制造商。

目前，大多數(shù)控制單元使用根據(jù) AUTOSAR 或 OSEK 標準實施的靜態(tài)配置操作系統(tǒng)。在配置期間，這些系統(tǒng)定義了在運行期間只能在有限范圍內(nèi)更改的調(diào)度和資源利用。靜態(tài)配置的優(yōu)點是更容易驗證函數(shù)是否在某個時間跨度內(nèi)執(zhí)行。例如，在側面安全氣囊的情況下，必須在幾毫秒內(nèi)做出決定，并且必須展開安全氣囊。

【圖2 | 自適應 AUTOSAR，包括經(jīng)典 AUTOSAR 軟件組件的集成］

對于具有更復雜的多核處理器和不同外部交互器（軟件更新、用戶輸入）的時間要求不高的系統(tǒng)，動態(tài)操作系統(tǒng)有其優(yōu)勢。最重要的應用場景有：

在運行時支持重新配置

面向服務的服務和通信

部分軟件更新

通過使用 POSIX 接口而不是靜態(tài)生成來簡化軟件開發(fā)

基于 XML 的接口描述

在這種情況下，AUTOSAR 聯(lián)盟引入了自適應 AUTOSAR（參見圖 2）。它包括一個 POSIX 操作系統(tǒng)，如果要并行集成多個操作系統(tǒng)，它可以直接在多核處理器上運行，也可以在管理程序環(huán)境中運行。不同 OEM 和供應商的 Adaptive AUTOSAR 工作組定義了用于汽車應用的特殊服務，例如診斷服務、安全服務和 SOME/IP。服務和軟件組件（功能）通過共享服務代理進行通信。使用的中間件協(xié)議稱為 ARA，并受到 Common API 的啟發(fā)。

以太網(wǎng)和 TSN 作為中介

大多數(shù)控制單元通過以太網(wǎng)與傳感器和執(zhí)行器通信。時間敏感網(wǎng)絡 （TSN） 是音頻視頻橋接 （AVB） 協(xié)議的擴展，用于實現(xiàn)安全關鍵的可靠通信。TSN 標準專為安全和實時關鍵系統(tǒng)開發(fā)，例如高級駕駛輔助系統(tǒng) （ADAS） 和自動駕駛。此外，以太網(wǎng)還用于將信息娛樂系統(tǒng)連接到互聯(lián)網(wǎng)和汽車制造商的后端系統(tǒng)。

FlexRay 是這種技術變革的失敗者。現(xiàn)場總線系統(tǒng)現(xiàn)在只有少數(shù) OEM 使用，應該很快就會被替換。CAN 和具有靈活數(shù)據(jù)速率 （CAN FD） 的 CAN 仍將用于連接傳感器和執(zhí)行器或更小的輸入/輸出 （IO） 控制單元。

IO 設備和中央計算機通過 BMW 集團在 2011 年指定的面向服務的接口進行通信——可擴展的面向服務的 IP 中間件，縮寫為 SOME/IP。它基于以太網(wǎng)和 TCP/IP 協(xié)議族。基本方面是 SOME/IP 自動將定義的應用程序接口映射到數(shù)據(jù)包。SOME/IP 的優(yōu)勢在于它甚至可以集成到小型設備中，并能夠快速啟動整個系統(tǒng)。

功能架構

除了上面提到的基礎設施問題（主要由 AUTOSAR 聯(lián)盟指定并在 Elektrobit 的 AUTOSAR 產(chǎn)品線 EB tresos 中實現(xiàn)）之外，對功能塊之間具有定義接口的功能架構的需求變得越來越明確。通用標準化接口的優(yōu)點是可以交換某些塊，并且可以選擇購買或提供它們作為產(chǎn)品。

圖 3 展示了 Elektrobit 的“open robinos”項目的架構。左側顯示了用于車輛定位和對象融合的組件，將各種傳感器檢測到的對象組合成一個整體圖像。然后根據(jù)當前駕駛情況確定軌跡規(guī)劃、加速度和轉向角。

【圖 3：Elektrobit 的“open robinos”架構】

該項目的目標是開發(fā)一個定義軟件組件、接口和控制機制的開放參考架構。該規(guī)范可在 Elektrobit 網(wǎng)站上免費獲取，該項目對 OEM、供應商和合作伙伴開放。這種方法對市場來說是新的；然而，它的目標是集成到不同的 ADAS 平臺中。在這種情況下，該平臺是具有不同操作系統(tǒng)的不同硬件產(chǎn)品的一部分，例如市場上可用的自適應 AUTOSAR、QNX 或類 Unix 操作系統(tǒng)。

基礎設施是一個挑戰(zhàn)

車輛移動的基礎設施是自動駕駛汽車的主要技術挑戰(zhàn)。目前，車輛配備了盡可能多的傳感器，以便它們在無數(shù)不同的交通情況下自主找到自己的道路。與在受外部控制的保護區(qū)內(nèi)移動的火車和飛機相比，這種方法既昂貴又復雜。例如，高度和路線由空中交通管制服務指示，當列車進入不開放的區(qū)域時會自動停止。

但是，不能在所有道路和騎自行車的人周圍設置柵欄。但是道路基礎設施的修改告訴汽車，例如在入口/出口坡道上，它是在高速公路上而不是在幾米外的平行鄉(xiāng)村道路上，這將簡化位置檢測問題。另一個例子是遠程控制車輛并將其引導至可用停車位的停車結構。這個概念比那些尋找免費停車位、自動在停車結構中漫游的車輛更簡單。

這些用例的先決條件是在全國范圍內(nèi)快速部署移動數(shù)據(jù)網(wǎng)絡 （5G），以便與后端和基礎設施進行數(shù)據(jù)交換，以及讓道路基礎設施迅速適應自動駕駛的選項。

哪個發(fā)展進程正在出現(xiàn)？

在這些高度復雜的整體系統(tǒng)中，如何同時滿足對功能安全和信息安全的要求——尤其是在車輛連接性不斷提高的方面——信息安全？為滿足汽車軟件開發(fā)的高質(zhì)量標準，Automotive SPICE 流程模型已在整個行業(yè)中建立起來。它構成了安全和保障的基礎。

ISO 26262 標準定義了如何在過程級別和方法級別的系統(tǒng)開發(fā)中實現(xiàn)功能安全方面。對于軟件架構，功能安全是一個關鍵因素。監(jiān)控系統(tǒng)完整性、分區(qū)、時間和過程監(jiān)控或安全通信等基本完整性機制已經(jīng)可用，并且已經(jīng)在系列項目中使用。

很長一段時間以來，安全機制一直與汽車開發(fā)相關。諸如防盜鎖、安全電子鑰匙或里程表的安全存儲等系統(tǒng)通常已經(jīng)是標準功能。然而，由于車輛的互聯(lián)性不斷提高，該行業(yè)面臨著新的挑戰(zhàn)。根據(jù)信息技術的基本規(guī)律，“凡是連接的，就會受到攻擊”，安全和隱私等系統(tǒng)方面在汽車行業(yè)也越來越重要。

對使用遠程訪問或 Internet 的系統(tǒng)的第一次成功攻擊已經(jīng)公開，并引起了廣泛的反響。作為回應，SAE International 在 2016 年初發(fā)布了一份安全系統(tǒng)開發(fā)手冊（SAE J3061，“Cybersecurity Guidebook for Cyber-Physical Systems”）。它描述了過程和方法，并在生命周期方面遵循 ISO 26262。該文件不是標準。但是，它總結了研究計劃或現(xiàn)有標準和出版物等基本工作。因此，它是一項寶貴的貢獻，可以作為引入安全流程和方法的切入點。

結論

對自動駕駛架構的要求變得更加復雜。然而，通過結合標準架構、功能安全、安全、多核系統(tǒng)和可用性等方面，可以設計可靠的系統(tǒng)，并根據(jù)用例理想地評估和組合各個系統(tǒng)方面。

所有參與汽車供應鏈的人都需要培養(yǎng)一種核心能力：系統(tǒng)工程，因此對物理、電子和軟件的跨學科理解。

將來，（軟件）開發(fā)人員必須對系統(tǒng)有更好的理解，以便在具有鏈接代碼生成器的適當工具中對系統(tǒng)行為進行建模。經(jīng)典軟件開發(fā)側重于作為可重用產(chǎn)品購買的工具、代碼生成器和標準功能的開發(fā)。集成該軟件仍然需要能夠理解、分析和修復從深度嵌入到面向服務的行為的各個級別的錯誤的專家。

未來幾年，汽車市場上將出現(xiàn)新的汽車制造商和供應商。特別是 IT 公司多年來一直在其他領域使用這些技術，并遵循將汽車作為輪子上的智能手機運行的愿景。其原因是自動駕駛為車輛乘員提供了更多的時間。例如，這段時間可以用于使用社交網(wǎng)絡、進行在線購物或工作。將“駕駛時間”轉換為“互聯(lián)網(wǎng)使用時間”會產(chǎn)生全新的商業(yè)模式。

原始設備制造商的商業(yè)案例也將越來越多地不僅取決于銷售，還取決于車輛的運行。正在討論的想法包括新穎的租賃和租賃概念，其主題不再是作為產(chǎn)品的汽車，而是作為服務的移動性。將來，帶您上班的自動運輸膠囊的租金可能會根據(jù)一天中的時間而有所不同。

審核編輯：郭婷