正向研發自動駕駛汽車，離不開符合功能安全的軟硬體架構

最新 07-22

「

自動駕駛的軟硬體架構，該如何兼顧功能安全和可擴展性？

」

7月13日，在由車雲、武漢經開投資有限公司、武漢現代製造業創業服務中心聯合主辦的「智商業·馭未來」第三屆中國智能汽車創新發展論壇上，NXP ADAS和自動駕駛技術市場經理武鈺發表了名為《符合功能安全的自動駕駛軟硬體架構》的演講。

智能汽車的車身電子架構正在發生變化。傳統汽車採用了分散式架構，每個電子單元各自承擔計算任務，需要集中處理的數據很少。這種架構可擴展性較強，如果想增加一個新的感測器也非常方便。

但是傳統的分散式架構已經無法滿足自動駕駛汽車的計算需求。隨著自動駕駛需要的感測器越來越多，感測器之間的信息需要更加深度的融合計算，這是就要有一個強大的計算機來完成所有的數據運算。

因此，很多自動駕駛原型車採用了中央式架構——終端電子單元不對數據做修改處理，而是由中央處理器承擔所有的計算任務。但是這種架構的缺點在於，假如新功能開發需要增加新感測器，中央處理器的軟體就要重新刷寫，因此可擴展性非常差。

NXP推薦的是一種混合性拓撲結構的車身電子電氣架構，通過在中央處理器和終端電子單元之間設置一個域控制器的方式，把從感測器拿過來的數據放到域控制器里先行處理，再把處理後的有效信息傳給中央處理器。這樣一方面可以減少數據的傳輸壓力，另一方面也平衡了整個計算平台的計算量。

這種混合性拓撲結構與中央式結構相比，更加便於擴展。例如主機廠已經完成了自動泊車功能，想在此基礎上擴展為車輛自己尋找車位的代客泊車。工程師可以不必更改中央處理器的軟體，只需要連接上新的感測器，更新域控制器上面的軟體就可以實現。

通過增加中間節點的方式，混合性拓撲結構不僅可以根據功能要求靈活的改善硬體結構，而且可以容易地進行軟體升級。同時在系統架構上，NXP將硬體配合軟體分割成不同的域，來靈活配置不同的安全等級，從而使不同等級的自動駕駛系統整體滿足功能安全的要求。

NXP ADAS 和自動駕駛技術市場經理武鈺

以下為演講速記，車雲菌在保持原意的基礎上做了刪減：

大家下午好，我叫武鈺，來自NXP技術市場部，主要負責ADAS和自動駕駛。說到自動駕駛安全性是第一位的，現在很多信息向我們鋪面而來，但是我們反思一下真正開始做自動駕駛的初衷是什麼？是為了安全，保證道路參與者的生命安全。作為車載晶元供應商，NXP一直把功能安全放在第一位。同時我們看到了ADAS自動駕駛軟體發展方向，開始做一些硬體上的考量。我們現在要根據自動駕駛的軟體結構，來重塑我們的硬體方案。

這張圖在座各位都不會太陌生，是SAE自動駕駛6類分級中的後5類。從L1開始，我們的車輛變得智能化，會從縱向的車身控制中選一樣來幫助駕駛員。NXP會重視從L2-L5的自動駕駛，因為L1到L2有個重大的變革，我們汽車可以同時做橫縱向的控制，把車身的控制權已經從駕駛員分出一部分給汽車本身。一旦涉及到車身控制，我們功能安全考量一下子就要升級了。

從L2開始，我們提供自動泊車，這種自動泊車是指車已經開到停車位，讓車通過操控方向盤和油門、剎車來停車，感知方面仍然由駕駛員來做，車輛只是起到橫縱向控制。還有自動剎車時同時包括方向盤轉動有規避障礙物的行為。從L2-L3，感知模塊也會移到汽車上。對泊車來說，車開到一個位置後要自己去尋找可供停車的位置，然後自己操作方向盤來停在這個位置。至於L4和L5，車身開始有自己的大腦，自己會做行為決策，也會做複雜性場景，自己有思維去尋找解決方案。比如說碰到很複雜的交通情況，會用大腦想出解決方案。

對應不同的駕駛等級，感測器選擇和數量都會有所不同。隨著自動駕駛等級的升級，感測器的數量會越來越多。這樣會帶來一個問題，感測器是不是越多越好呢？答案是不一定。因為感測器越多，數據量會越大，對於海量數據，車身具體怎麼從海量數據進行分析提取有效信息，並且根據這些有效信息形成符合安全駕駛原則的行為，這點也是我們需要考慮的。

比如激光雷達給到的是點雲數據，一秒可以達到幾個G的數量級。大家想一下，如果一秒是幾個G，整個車一天可以達到多大的數據。還有攝像頭是幾十到幾百兆每秒數據，這些海量數據放在面前，車上的晶元怎麼辦，這樣就會帶來新的問題。

NXP在分析車上的拓撲結構的時候，結合了行業的發展趨勢。

傳統分散式結構中，每個感測器的數據都在終端處理，好處在於對車上通信帶寬要求不高，真正有效的目標數據才放到車上處理。但是問題在於每個感測器需要同步，無論激光雷達或者毫米波雷達或者攝像頭，一旦涉及到同步性，分散式的拓撲結構就沒有辦法做得很好。

現在自動駕駛的原型車更多是採用右邊中心式的結構，它的數據全部是從感測器部分傳到中央處理器，中央處理器面對高頻海量的數據來進行計算，現在中央處理器一般選用的是IPC或者GPU。但劣勢很明顯，第一是中央處理器運算量特別大，而且帶寬要求很高，第二功耗也是汽車行業需要考量的。

NXP提出來的方案是中間的混合性拓撲結構，我們會在一部分的節點上設置一個域控制器，這個域控制器會把從感測器拿過來的數據作為先行處理，再把有效信息傳給中央處理器。一方面平衡了數據傳輸的要求，另一方面平衡了整個計算平台，在終端處理器和中央處理器中間加了預處理器，這樣可以實現更好更平衡。

我們現在要反過來想自動駕駛軟體模塊，軟體層面是怎麼搭建的。我列了行業比較標準的結構，從感測器部分拿到原始數據（Raw Data），到感知模塊做特徵提取和信息提取，再加上車身周圍信息建模，再根據高精地圖定位，加上高精度地圖和GPS信息做自定位，然後生成本地路徑。從本地的路徑中，我們通過車輛的分析和決策模塊，真正達到車輛控制。

作為NXP，我們想的是既然軟體可以分成不同模塊，那麼硬體也應該可以配合軟體的要求進行區別對待。

上圖是我們硬體的考量，從頭開始看的話，從感知到建模的部分，對計算的算力要求特別高，因為要做矩陣運算，而且涉及到計算機視覺。在一個車上感測器不會只有一種，所以激光雷達、毫米波雷達和攝像頭其實是互為補充的形態，在這方面我們認為安全等級可以稍微犧牲一點，更多是滿足算力要求。

而後面因為涉及到車身控制，我們認為安全等級的要求就完全不能降低，一定要達到ASIL-D的水平。從上面這張圖上可以看到，對於前區的感知模塊，更多是從人工智慧到數據流，以及軟體安全的發展方向。在後面的行為決策部分，我們更多想的是軟體層面優化，再到底盤的控制，以及硬體安全考量。這兩方面，我們要根據軟體應用特性來做不同的發展方向規劃。

回到晶元上面的框架，我們認為一般來說如果車載晶元很重要的是要做冗餘設計，如果出現失效或者錯誤的時候切換到安全模式，能夠有最安全的退出。

針對自動駕駛系統，感知和行為決策部分是分開的話，NXP把感知放在S32V或S32R上面，這邊更多是感測器處理器晶元，安全等級會稍微低一點。但是等到涉及到車身控制，會放在S32A，這個是專門的中央計算處理晶元，我們會加上冗餘設計和備份。

正常運行的時候，這ECU Primary和ECU Backup都是同時接收各種信號。一旦出現失效或者錯誤，車身控制連接會完全放棄從Primary拿數據，直接從Backup的晶元拿數據運算，保證了安全退出的模式。

S32是NXP研發的汽車計算平台，也是全球首個可擴展的計算機平台，簡而言之做到了四個字——求同存異。這套系統計算平台會有各種各樣的晶元，根據車身不同應用會有對應的不同晶元，但整個內核設計部分是一樣的，保證我們的軟體開發是同一個平台，但是根據晶元具體在車身哪個位置起作用，我們會加上不同的硬體加速器。比如對於S32V專門對視覺做的，我們會加上視覺的硬體處理器，S32R是針對毫米波雷達的，我們會根據毫米波雷達應用做不同的改變。S32A的特色是算力和安全性非常高，所以作為中央處理器的運算。

我們採用這個設計，一方面在感知和規劃方面的錯誤都可以跟蹤到，但同時降低了系統功耗和成本，整個系統可以降低100美元。其他晶元和S32相比，如果想做功能安全冗餘設計，需要把整個晶元做備份。NXP在車載晶元設計方面有很多年的經驗，而且有自己專屬的自動駕駛考量，所以基於這個原則我們設計出來的晶元，一方面平衡了高性能低功耗，同時達到了安全等級ASIL-D的水平。

上圖是我們給出的低於L2自動駕駛模塊的整車模型，跟現在市面上大多數ADAS系統比較相似。在感測器部分，我們採用終端處理器，比如現在的S32R或者S32V，直接在本地做感測器數據處理，處理後通過CAN傳給網關，然後網關會發信號到底盤不同區域做控制。

如果升級到L3和L4，就像我剛才說的，我們需要一個域控制器的概念，除了在感測器的終端加上S32R、S32V這種終端處理器，還會有S32A專門做行為決策。

但除了這個，如果你想整個系統達到ASIL-D水平，最後希望的是S32A做冗餘設計，對自動駕駛系統起到功能安全的考量。大家想一下，把晶元放在自動駕駛系統裡面，本身這個系統很複雜，而且車在自動駕駛模式的話，周圍環境也是多元化的，各個方面都會對晶元的功能安全要求變高。我們非常注重這方面，但是也會給客戶提供功耗低和低成本的方案。

除了S32A做冗餘設計，我們還有一個關注點，即便你拿到了車身控制信息，但是傳到底盤的EPS的時候，是通過網關傳輸的。如果網關不能保證安全的話，對系統來說風險是很大的。所以我們也會在Gateway做冗餘設計，出了任何問題也會有預備方案，起碼可以保證車身控制是在我們可接受範圍內。

這是NXP提供整套安全系統解決方案，綠色模塊是硬體功能安全特徵，除了MCU硬體方面會加入很多新硬體的功能安全特性。同時，我們還有SVC，這本來是做時鐘的東西，但是我們也加入了功能安全的模塊。

除了硬體方面，大家可以往上看藍色的部分，這是NXP給客戶提供軟體層面的解決方案。如果你的軟體設計需要用到自檢或者安全退出或者復原的特性，我們會有現成的方案供客戶使用。

目前，NXP在ADAS和自動駕駛方面，在上海和重慶有一百多人工程師團隊，專門負責軟體層面給客戶的支持。所以可以看出來，我們晶元業務技術支持在中國本地投入量最大，有任何困難或者軟體上需要什麼幫助，我們都可以提供。

NXP的硬體系統可以支持多個操作系統，可以根據軟體應用的方向，可以自己選擇想跑實時的操作系統還是跑Linux系統，Linux系統可能會更加適合計算量比較大的軟體硬體，實時操作系統比較適合功能安全的軟體應用，可以跑QNX和Autosar，所有傳統汽車行業需要的一連串的軟體設計，NXP已經有非常成熟的方案了。這兩個操作系統跟硬體中間有一個Hypervisor，就是抽象層面，會根據運行系統的設置做調度，然後在硬體上面達到一致。NXP提供功能安全方案，我們是從硬體上面做升級，同時在軟體的支持上也做了很多的東西，我們可以根據客戶的需求來靈活調用軟體和硬體。

S32推出以後，歐洲比較大的整車廠都會偏向S32計算平台，因為非常節省軟體開發成本。根據一些調查，整車上面採用統一S32計算平台，軟體工作量可以減少80%，跨應用軟體研發也會減少40%以上。國內的話，NXP跟百度合作，百度已經把NXP的晶元用到了他們的車上。還有歐洲的大巴公司，他們的L3自動駕駛系統可以放到我們的板上做測試。

汽車座艙數字化發展現狀和趨勢是什麼？

汽車智能化將對IVI系統帶來怎樣的改變？

新一代智能座艙的用戶體驗將如何顛覆傳統感知？

7月27-28日，坐標廣州

第二屆汽車智能座艙論壇

等你來！

車雲聯合30位行業專家

徐和誼、徐留平、李書福、王傳福、馮興亞、李斌、湯恩、趙福全、王小川、吳聲聯袂推薦

車雲推薦

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！