1. 什么是域控制器
過去十多年的汽車智能化和信息化發(fā)展產(chǎn)生了一個(gè)顯著結(jié)果就是ECU芯片使用量越來越多。從傳統(tǒng)的引擎控制系統(tǒng)、安全氣囊、防抱死系統(tǒng)、電動(dòng)助力轉(zhuǎn)向、車身電子穩(wěn)定系統(tǒng)；再到智能儀表、娛樂影音系統(tǒng)、輔助駕駛系統(tǒng)；還有電動(dòng)汽車上的電驅(qū)控制、電池管理系統(tǒng)、車載充電系統(tǒng)，以及蓬勃發(fā)展的車載網(wǎng)關(guān)、T-BOX和自動(dòng)駕駛系統(tǒng)等等。
傳統(tǒng)的汽車電子電氣架構(gòu)都是分布式的（如下圖2-1），汽車?yán)锏母鱾€(gè)ECU都是通過CAN和LIN總線連接在一起，現(xiàn)代汽車?yán)锏腅CU總數(shù)已經(jīng)迅速增加到了幾十個(gè)甚至上百個(gè)之多，整個(gè)系統(tǒng)復(fù)雜度越來越大，幾近上限。在今天軟件定義汽車和汽車智能化、網(wǎng)聯(lián)化的發(fā)展趨勢(shì)下，這種基于ECU的分布式EEA也日益暴露諸多問題和挑戰(zhàn)。
圖2-1 汽車分布式EEA
為了解決分布式EEA的這些問題，人們開始逐漸把很多功能相似、分離的ECU功能集成整合到一個(gè)比ECU性能更強(qiáng)的處理器硬件平臺(tái)上，這就是汽車“域控制器（Domain Control Unit，DCU）”。域控制器的出現(xiàn)是汽車EE架構(gòu)從ECU分布式EE架構(gòu)演進(jìn)到域集中式EE架構(gòu)（如圖2-2所示）的一個(gè)重要標(biāo)志。
域控制器是汽車每一個(gè)功能域的核心，它主要由域主控處理器、操作系統(tǒng)和應(yīng)用軟件及算法等三部分組成。平臺(tái)化、高集成度、高性能和良好的兼容性是域控制器的主要核心設(shè)計(jì)思想。依托高性能的域主控處理器、豐富的硬件接口資源以及強(qiáng)大的軟件功能特性，域控制器能將原本需要很多顆ECU實(shí)現(xiàn)的核心功能集成到進(jìn)來，極大提高系統(tǒng)功能集成度，再加上數(shù)據(jù)交互的標(biāo)準(zhǔn)化接口，因此能極大降低這部分的開發(fā)和制造成本。
對(duì)于功能域的具體劃分，各汽車主機(jī)廠家會(huì)根據(jù)自身的設(shè)計(jì)理念差異而劃分成幾個(gè)不同的域。比如BOSCH劃分為5個(gè)域：動(dòng)力域（Power Train）、底盤域（Chassis）、車身域（Body/Comfort）、座艙域（Cockpit/Infotainment）、自動(dòng)駕駛域（ADAS）。這也就是最經(jīng)典的五域集中式EEA，如下圖2-2所示。也有的廠家則在五域集中式架構(gòu)基礎(chǔ)上進(jìn)一步融合，把原本的動(dòng)力域、底盤域和車身域融合為整車控制域，從而形成了三域集中式EEA，也即：車控域控制器（VDC，Vehicle Domain Controller）、智能駕駛域控制器（ADC，ADAS\AD Domain Controller）、智能座艙域控制器（CDC，Cockpit Domain Controller）。大眾的MEB平臺(tái)以及華為的CC架構(gòu)都屬于這種三域集中式EEA。
圖2-2 域集中式EE架構(gòu)
2. 域控制器市場(chǎng)概述
2018年，基于德爾福提供的域控制器技術(shù)，奧地利TTTech公司開發(fā)的zFAS控制器率先應(yīng)用在奧迪A8當(dāng)中。偉世通公司則推出了SmartCore域控制器，集成信息娛樂、儀表板、信息顯示、HUD、ADAS等功能。這些產(chǎn)品開創(chuàng)了商用功能域控制器產(chǎn)品之先河，全球各大Tier 1供應(yīng)商紛紛跟進(jìn)，整個(gè)域控制器市場(chǎng)逐漸發(fā)展起來。
在國內(nèi)市場(chǎng)，華為、德賽西威、航盛電子、東軟等企業(yè)也推出了DCU解決方案，并得到了國內(nèi)車企的采用。比如，2020年小鵬汽車推出的智能轎跑P7就采用了德賽西威基于英偉達(dá)Xavier打造的自動(dòng)駕駛域控制器產(chǎn)品——IPU03。
當(dāng)前，整個(gè)業(yè)界對(duì)DCU市場(chǎng)都有非常樂觀的預(yù)期。據(jù)佐思產(chǎn)研的預(yù)測(cè)，2025年全球汽車DCU（座艙+自動(dòng)駕駛）出貨量將超過1400萬套，2019-2025期間年平均增長高達(dá)50.7%。
圖2-3 全球域控制器市場(chǎng)預(yù)測(cè)
整個(gè)汽車行業(yè)普遍認(rèn)為，域控制器是汽車電子行業(yè)未來競(jìng)爭(zhēng)門檻最高的部分，因此利潤也最高，芯片廠商和核心算法供應(yīng)商將會(huì)受益。
(一) 域控制器市場(chǎng)快速增長背后的驅(qū)動(dòng)因素
更多更好的ADAS功能和智能座艙與信息娛樂功能一直是推動(dòng)域控制器市場(chǎng)快速增長的主要因素，這些新功能能明顯提高整車的科技感和用戶體驗(yàn)，因此也是主機(jī)廠開發(fā)新車型時(shí)的投入重點(diǎn)。L1到L2+級(jí)別之間的ADAS應(yīng)用是這幾年發(fā)展非常快，很多功能都正在快速普及，比如：停車輔助、車道偏離預(yù)警、自適應(yīng)巡航、碰撞避免、盲點(diǎn)偵測(cè)、駕駛員疲勞探測(cè)等。
域控制器需要一顆性能更強(qiáng)、集成度越高的主控處理器來作為其大腦，更多原本通過分離ECU實(shí)現(xiàn)的功能現(xiàn)在可以放到域主控處理器上來實(shí)現(xiàn)，也因此就能更加節(jié)省功能域里所需的ECU用量和其它硬件資源。更高的集成度可以更主機(jī)廠供應(yīng)鏈管理實(shí)現(xiàn)ADAS域控和相關(guān)零部件平臺(tái)化和標(biāo)準(zhǔn)化的要求。
(二) 對(duì)域控制器供應(yīng)鏈的影響
汽車E/E架構(gòu)的演進(jìn)和發(fā)展，也深刻影響了主機(jī)廠和汽車電子供應(yīng)商的供應(yīng)關(guān)系。主機(jī)廠的核心競(jìng)爭(zhēng)力從以前的機(jī)械制造為主，全面轉(zhuǎn)向軟件和算法為重點(diǎn)。預(yù)計(jì)未來整車廠與Tier 1供應(yīng)商之間將可能有兩種合作模式：
- 其一，Tier 1負(fù)責(zé)域控制器硬件設(shè)計(jì)和生產(chǎn)，以及中間層Middleware軟件部分。整車廠負(fù)責(zé)自動(dòng)駕駛軟件部分。Tier 1的優(yōu)勢(shì)在于以合理的成本將產(chǎn)品生產(chǎn)出來并且加速產(chǎn)品落地，因此整車廠和Tier 1進(jìn)行合作生產(chǎn)方式是必然，前者負(fù)責(zé)自動(dòng)駕駛軟件部分，后者負(fù)責(zé)硬件生產(chǎn)、中間層以及芯片方案整合。這種模式下，在項(xiàng)目立項(xiàng)時(shí)，整車廠又可能跨過Tier 1直接與芯片廠商確定方案的芯片選型。
- 其二，Tier 1自己與芯片商合作，做方案整合后研發(fā)中央域控制器并向整車廠銷售，例如大陸ADCU、采埃孚ProAI、麥格納MAX4等。
2.1 智能座艙域控制器
座艙智能化的實(shí)質(zhì)是基于汽車駕駛艙中的人機(jī)交互場(chǎng)景，將駕駛信息與娛樂信息兩個(gè)模塊進(jìn)行集成，為用戶提供高效的、直觀的、充滿未來科技感的駕駛體驗(yàn)。智能座艙的設(shè)計(jì)訴求主要是用于提升用戶的駕乘體驗(yàn)，同時(shí)還要保證用戶駕乘的安全性和舒適性，最終實(shí)現(xiàn)汽車作為人們工作和家庭場(chǎng)景以外的第三生活空間這一終極目標(biāo)。
智能座艙域包括HUD、儀表盤（Cockpit）和車載娛樂信息系統(tǒng)（In-Vehicle Infotainment，簡稱IVI）三個(gè)最主要的組成部分。
HUD是非常實(shí)用的功能，將ADAS和部分導(dǎo)航功能投射到擋風(fēng)玻璃上，諸如ACC、行人識(shí)別、LDW、路線提示、路口轉(zhuǎn)彎提示、變道提示、剩余電量、可行駛里程等。HUD將很快會(huì)演變?yōu)锳R HUD，在L3和L4時(shí)代成為標(biāo)配。
進(jìn)入L3時(shí)代，駕駛員狀態(tài)監(jiān)測(cè)（Driver Status Monitor，DMS）將成為必備的功能，包括：面部識(shí)別、眼球追蹤、眨眼次數(shù)跟蹤等將引入機(jī)器視覺和深度學(xué)習(xí)算法。而L4時(shí)代則必備V2X（Vehicle to everything）。
另外，多模態(tài)交互技術(shù)的蓬勃發(fā)展將會(huì)極大改變用戶與汽車的交互模式?；谡Z音識(shí)別功能的語音交互技術(shù)越來越普及，常用于跟IVI系統(tǒng)的交互操作。進(jìn)一步還能通過語音來對(duì)駕駛員進(jìn)行情緒狀態(tài)分析。當(dāng)DMS系統(tǒng)檢測(cè)到駕駛員昏昏欲睡時(shí)，系統(tǒng)可以通過播放音樂或者釋放香味來喚醒駕駛員；基于多場(chǎng)景下的汽車座艙多模態(tài)交互技術(shù)未來一定會(huì)重新定義人機(jī)交互技術(shù)的發(fā)展。
所有這些智能座艙新技術(shù)的發(fā)展，都將推動(dòng)對(duì)座艙域計(jì)算資源需求的暴增。
智能座艙域控制器領(lǐng)域，全球Tier 1廠商主要包括：博世、大陸汽車、哈曼、偉世通和Aptiv（安波福）等。中國本土企業(yè)主要有德賽西威、航盛和東軟睿馳等。
| 廠商 | 芯片平臺(tái) | 座艙域控制器名稱 | 操作系統(tǒng)/Hypervisor | 客戶 |
| 偉世通 | 高通 | SmartCore | Android，Linux | 吉利汽車、戴姆勒奔馳、東風(fēng)、廣汽 |
| 大陸 | 高通/瑞薩 | 集成式車身電子平臺(tái)IIP | QNX/PikeOS |
|
| 博世 | 高通 | AI Car Computer | AGL | 通用 |
| Aptiv | 英特爾 | ICC | Linux/ARCN | 長城、奧迪、沃爾沃 |
| 德賽西威 |
高通820A
TI Jacinto6
|
智能座艙域控制器 |
|
理想汽車 |
| 東軟睿馳 | 英特爾 | C4-A1fus | Linux/ARCN |
|
表2-1 全球主要座艙域控制器廠商信息
2.2 ADAS域控制器
ADAS域控制器通常需要連接多個(gè)攝像頭、毫米波雷達(dá)、激光雷達(dá)等傳感器設(shè)備，要具備多傳感器融合、定位、路徑規(guī)劃、決策控制、無線通訊、高速通訊的能力，要完成包含圖像識(shí)別、傳感器數(shù)據(jù)處理等諸多功能，因此要完成大量運(yùn)算，域控制器一般都要匹配一個(gè)核心運(yùn)算力強(qiáng)的處理器，能夠提供自動(dòng)駕駛不同級(jí)別算力的支持，目前業(yè)內(nèi)有NVIDIA、華為、瑞薩、NXP、TI、Mobileye、賽靈思、地平線等多個(gè)方案。
自動(dòng)駕駛技術(shù)目前是全球科技行業(yè)最前沿的方向。L1到L2+級(jí)別的輔助駕駛技術(shù)和功能已經(jīng)日趨成熟，搭載ADAS功能和應(yīng)用的很多車型開始進(jìn)入大規(guī)模量產(chǎn)?？梢杂鲆奓1/L2級(jí)別ADAS功能的市場(chǎng)滲透率將快速提升，而L3/L4級(jí)別自動(dòng)駕駛系統(tǒng)仍處于小規(guī)模原型測(cè)試階段。
當(dāng)今的自動(dòng)駕駛行業(yè)，中國市場(chǎng)絕對(duì)是主力。今年中國L2的搭載量預(yù)計(jì)突破80萬，中國品牌占據(jù)絕大部分份額。未來中國市場(chǎng)ADAS功能的滲透率還將持續(xù)快速提高，中低端汽車所配置的ADAS功能將逐步增多。根據(jù)艾瑞咨詢研究報(bào)告顯示，預(yù)計(jì)2025年ADAS功能在乘用車市場(chǎng)可以達(dá)到65%左右的滲透率。L3級(jí)別的高速自動(dòng)領(lǐng)航HWP功能和L4級(jí)別的AVP自動(dòng)泊車功能，目前車型滲透率較低，未來提升空間較大。
圖2-4 中國ADAS功能市場(chǎng)滲透率預(yù)測(cè)
ADAS域控制器正在從過去的分布式系統(tǒng)架構(gòu)演變到域集中式架構(gòu)。過去一套ADAS系統(tǒng)，要有好幾個(gè)獨(dú)立的ECU才能實(shí)現(xiàn)，比如車道偏移和交通識(shí)別ECU、前向碰撞預(yù)警ECU、泊車輔助ECU等。現(xiàn)在有了功能強(qiáng)大的集中式ADAS域控制器后，一個(gè)域控制器就實(shí)現(xiàn)了所有功能。系統(tǒng)的軟硬件復(fù)雜度大大降低，可靠性也得到了提高。
目前業(yè)內(nèi)提供ADAS域控芯片平臺(tái)的有NVIDIA、華為、瑞薩、NXP、TI、Mobileye，以及國內(nèi)本土的地平線和黑芝麻等多個(gè)方案。下表2-2總結(jié)了全球主要ADAS域控制器廠商及其客戶和伙伴信息。
|
廠商 |
ADAS域 控制器名稱 |
計(jì)算芯片平臺(tái) | 自動(dòng)駕駛等級(jí) | 功能安全 | 操作系統(tǒng) | 客戶和量產(chǎn)、SOP計(jì)劃 |
| 偉世通 | DriveCore | 支持NVIDIA、高通和NXP的處理器架構(gòu) | L2-L4 | ASIL-D | AutoSAR CP，Auto AP，Linux等 | 廣汽，以及歐洲2家主機(jī)廠，計(jì)劃2022年SOP |
| 大陸 | ADCU |
NVIDIA DRIVE Xavier |
L3/L4 | ASIL-D | AutoSAR Adaptive平臺(tái) | 與NVIDIA合作的L3級(jí)別自動(dòng)駕駛域控制器平臺(tái) |
|
車載服務(wù)器 （ICAS1） |
NVIDIA | L2 | ASIL-C/D | 大眾MEB平臺(tái)ID.3系列電動(dòng)汽車 |
|
|
| 博世 | DASy 1.0 | NVIDIA | L2/L2+ | ASIL-C/D | AutoSAR CP，AutoSAR AP | 已于2019年SOP，支持HWP/TJA等L2+級(jí)別的功能 |
| DASy 2.0 | NVIDIA DRIVE Xavier | L3/L4 | ASIL-D | AutoSAR AP，Linux | 2022年SOP |
|
| TTTech | zFAS/iECU | NVIDIA TX2/Xavier | / | / | / | 奧迪、上汽 |
| Aptiv | 中央傳感定位和規(guī)劃（CSLP）平臺(tái) | Intel Mobileye | / | / | / | / |
| Veoneer |
宙斯Zeus Super Computer |
NVIDIA Xavier |
|
/ | / | / |
| 采埃孚 | 中央控制器ProAI | NVIDIA Xavier | / | / | / | 跟百度Apollo合作，客戶是奇瑞 |
| 麥格納 | MAX4 | / | / | / | / | 寶馬 |
| 環(huán)宇智行 | TITAN | NVIDIA Xavier | / | / | / | / |
| 布谷鳥 | Auto Wheel | NXP | / | / | / | 合作伙伴包括NXP、Renesas、Sony等 |
| 知行科技 | iMo DCU中央控制器 | TI Jacinto/NXP | / | / | / | 眾泰 |
| 經(jīng)緯恒潤 | ADAS Domain Controller | NXP | / | / | / | / |
| 東軟睿馳 | ADAS DCU | Xilinx | / | / | / | 乘用車和商用車主機(jī)廠 |
| 德賽西威 | 自動(dòng)駕駛平臺(tái) | NVIDIA Xavier | / | / | / | 小鵬汽車 |
表2-2 全球主要ADAS域控制器廠商信息
域控制器的興起對(duì)傳統(tǒng)的汽車MCU廠商造成了極大的挑戰(zhàn)，“因?yàn)镸CU使用量將大大減少，傳統(tǒng)的MCU產(chǎn)品其演進(jìn)路線將不復(fù)存在”。
在分布式ECU時(shí)代，計(jì)算和控制的核心是MCU芯片，傳輸?shù)幕A(chǔ)核心是基于傳統(tǒng)的CAN、LIN和FlexRay等低速總線。但在域控制器時(shí)代，高性能、高集成度的異構(gòu)SoC芯片作為域的主控處理器，將成為域控制器的計(jì)算與控制的核心芯片。而汽車TSN（Time-Sensitive Network）以太網(wǎng)因?yàn)榫哂懈邘?、?shí)時(shí)和可靠的數(shù)據(jù)通信能力等特點(diǎn)，必將成為整車通信的核心基礎(chǔ)設(shè)施，尤其是域主控處理器之間的通信主干網(wǎng)。
下面我們來簡單分析一下域控制器以及核心的主控處理器的一些關(guān)鍵技術(shù)和趨勢(shì)。
3.1 高性能
總的來說，對(duì)算力的需求提升一直是域控制器核心芯片發(fā)展的主要推動(dòng)力。一方面原本由多個(gè)ECU完成的功能，現(xiàn)在需要依靠單一的域主控處理器來完成，并且還需要管理和控制所連接的各種傳感器與執(zhí)行器等。比如：底盤、動(dòng)力傳動(dòng)系統(tǒng)和車身舒適電子系統(tǒng)的域主控處理器，其算力需求大約在10000DMIPS-15000DMIPS左右。
圖2-5 汽車域控制器對(duì)CPU DMIPS算力的需求預(yù)測(cè)
新的智能汽車，除了要更多的與人交互外，更需要大量的對(duì)環(huán)境進(jìn)行感知，這就需要計(jì)算和處理海量的非結(jié)構(gòu)化數(shù)據(jù)，因此座艙域和自動(dòng)駕駛域都要求高性能的CPU，比如就座艙儀表的CPU算力而言，它其實(shí)跟一部高端智能手機(jī)的CPU算力差不多，約為50000DMIPS左右。此外，為了支持L2輔助駕駛功能或者更高級(jí)別的自動(dòng)駕駛功能，需要運(yùn)行很多視覺DNN模型算法，這就又額外需要上百TOPS的AI算力。
所以，各芯片廠商總是會(huì)盡量使用更先進(jìn)的制程工藝、更先進(jìn)的CPU核于與NPU核來盡量提高域主控芯片的CPU核心性能與NPU性能。
3.2 高異構(gòu)性
伴隨著AI技術(shù)在視覺領(lǐng)域的應(yīng)用，基于視覺的自動(dòng)駕駛方案逐漸興起，這就需要在CPU的基礎(chǔ)上加裝擅長視覺算法的GPU芯片，從而形成“CPU+GPU”的解決方案。不過，“CPU+GPU”組合也并非最優(yōu)解決方案，因?yàn)?GPU 雖然具備較強(qiáng)的計(jì)算能力，但成本高、功耗大，由此又逐步引入了FPGA和 ASIC 芯片。
總體來看，單一類型的微處理器，無論是 CPU、GPU、FPGA還是ASIC，都無法滿足更高階的自動(dòng)駕駛需求，域控制器中的主控芯片會(huì)走向集成“CPU+xPU”的異構(gòu)式 SoC（xPU 包括 GPU/FPGA/ASIC等），從而能較好的支撐各種場(chǎng)景的硬件加速需求。
3.3 高集成度
從功能層面上，域控制器會(huì)整合集成越來越多的功能。比如動(dòng)力系統(tǒng)域可能把發(fā)動(dòng)機(jī)的控制、電機(jī)控制、BMS、車載充電機(jī)的控制組合在一起。有些主機(jī)廠甚至直接一步到位，將底盤、動(dòng)力傳動(dòng)以及車身三大功能域直接整合成一個(gè)“整車控制域（Vehicle Domain Controller，VDC）”。
要支持這些功能的整合，作為域控制器的大腦，域主控處理器SoC就需要集成盡可能多的接口類型，比如：USB、Ethernet、I2C、SPI、CAN、LIN以及FlexRay等等，從而能連接和管理各種各樣的ECU、傳感器和執(zhí)行器。
3.4 硬件虛擬化
對(duì)硬件虛擬化技術(shù)的需要主要來自兩方面：（1）硬件資源的分區(qū)與隔離；（2）支持混合安全等級(jí)。
原本需要多個(gè)ECU實(shí)現(xiàn)的多個(gè)功能都整合到域控制器上后，勢(shì)必會(huì)導(dǎo)致域控制器的軟件更為復(fù)雜，這勢(shì)必會(huì)導(dǎo)致整個(gè)軟件系統(tǒng)的出錯(cuò)概率增加、可靠性下降。而且多個(gè)應(yīng)用混合運(yùn)行在同一個(gè)操作系統(tǒng)上，經(jīng)常會(huì)出現(xiàn)故障傳播（Failure Propagation），也就是一個(gè)應(yīng)用出現(xiàn)問題后，會(huì)使得整個(gè)系統(tǒng)底層軟件和硬件都處于紊亂狀態(tài)，從而導(dǎo)致其它原本正常的應(yīng)用也會(huì)開始出現(xiàn)故障。因此通過硬件虛擬化技術(shù)對(duì)硬件資源進(jìn)行分區(qū)（Partition），使得各個(gè)功能對(duì)應(yīng)的軟硬件之間互相隔離（Isolation），以此保證整個(gè)系統(tǒng)的可靠性。
另一方面，在汽車電子系統(tǒng)中，通常不同的應(yīng)用其對(duì)實(shí)時(shí)性要求和功能安全等級(jí)要求都不同。例如，根據(jù)ISO 26262標(biāo)準(zhǔn)，汽車儀表系統(tǒng)與娛樂信息系統(tǒng)屬于不同的安全等級(jí)，具有不同的處理優(yōu)先級(jí)。汽車儀表系統(tǒng)與動(dòng)力系統(tǒng)密切相關(guān)，要求具有高實(shí)時(shí)性、高可靠性和強(qiáng)安全性，要求運(yùn)行在底層實(shí)時(shí)操作系統(tǒng)上（比如QNX）。而信息娛樂系統(tǒng)主要為車內(nèi)人機(jī)交互提供控制平臺(tái)，追求多樣化的應(yīng)用與服務(wù)，以Linux和Android為主。為了實(shí)現(xiàn)混合安全等級(jí)的應(yīng)用，實(shí)現(xiàn)不同的操作系統(tǒng)運(yùn)行在同一個(gè)系統(tǒng)上，這就需要虛擬化技術(shù)的支持。
車載硬件虛擬化技術(shù)的核心是Hypervisor，它是一種運(yùn)行在物理服務(wù)器和操作系統(tǒng)之間的中間層軟件，可以允許多個(gè)不同虛機(jī)上的操作系統(tǒng)和應(yīng)用共享一套基礎(chǔ)物理硬件。當(dāng)系統(tǒng)啟動(dòng)時(shí)，首先運(yùn)行Hypervisor，由它來負(fù)責(zé)給每一臺(tái)虛擬機(jī)分配適量的內(nèi)存、CPU、網(wǎng)絡(luò)、存儲(chǔ)以及其它硬件資源等等（也就是對(duì)硬件資源進(jìn)行分區(qū)），最后加載并啟動(dòng)所有虛擬機(jī)的客戶操作系統(tǒng)。
一句話總結(jié)一下基于Hypervisor的優(yōu)點(diǎn)：它提供了在同一硬件平臺(tái)上承載異構(gòu)操作系統(tǒng)的靈活性，同時(shí)實(shí)現(xiàn)了良好的高可靠性和故障控制機(jī)制, 以保證關(guān)鍵任務(wù)、硬實(shí)時(shí)應(yīng)用程序和一般用途、不受信任的應(yīng)用程序之間的安全隔離，實(shí)現(xiàn)了車載計(jì)算單元整合與算力共享。
3.5 ISO 26262功能安全
功能安全是汽車研發(fā)流程中非常關(guān)鍵的要素之一。隨著系統(tǒng)復(fù)雜性的提高，來自系統(tǒng)失效和隨機(jī)硬件失效的風(fēng)險(xiǎn)日益增加。ISO 26262標(biāo)準(zhǔn)制定的目的就是更好的規(guī)范和標(biāo)準(zhǔn)化汽車全生命周期中的功能安全管理和要求，包括：概念階段、系統(tǒng)研發(fā)、硬件研發(fā)、軟件研發(fā)、生產(chǎn)和操作過程、售后等環(huán)節(jié)，尤其重點(diǎn)在產(chǎn)品設(shè)計(jì)階段如何定義和實(shí)現(xiàn)功能安全的目標(biāo)。
載汽車功能安全標(biāo)準(zhǔn)ISO26262-5 2018 “產(chǎn)品開發(fā)：硬件層面附錄D”中對(duì)處理器單元的診斷覆蓋率推薦的安全技術(shù)措施中，雙核鎖步(dual-core lockstep)、非對(duì)稱冗余和編碼計(jì)算是三種典型的硬件冗余技術(shù)措施。除此之外，硬件BIST、軟硬件Self-Test技術(shù)、ECC等也是常見的提高處理器安全特性的設(shè)計(jì)措施。
圖2-6 ISO26262標(biāo)準(zhǔn)中的功能安全芯片設(shè)計(jì)技術(shù)
雙核鎖步CPU是一種CPU冗余技術(shù)，在一個(gè)芯片中包含兩個(gè)相同的處理器，一個(gè)作為master core，一個(gè)作為slave core，它們執(zhí)行相同的代碼并嚴(yán)格同步，master可以訪問系統(tǒng)內(nèi)存并輸出指令，而slave不斷執(zhí)行在總線上的指令（即由主處理器獲取的指令）。slave產(chǎn)生的輸出，包括地址位和數(shù)據(jù)位，發(fā)送到比較邏輯模塊，由master和slave總線接口的比較器電路組成，檢查它們之間的數(shù)據(jù)、地址和控制線的一致性。檢測(cè)到任何總線的值不一致時(shí)，就會(huì)發(fā)現(xiàn)其中一個(gè)CPU 上存在故障，但不會(huì)確定是哪個(gè)CPU故障。
這種CPU架構(gòu)使得CPU自檢獨(dú)立于應(yīng)用軟件，不需要執(zhí)行專門的指令集自檢，實(shí)際運(yùn)行的軟件指令在每個(gè)時(shí)鐘都進(jìn)行比較，只需要測(cè)試軟件用到的CPU資源，但這種架構(gòu)不會(huì)對(duì)內(nèi)存和總線進(jìn)行檢測(cè)，需要增加單獨(dú)的檢測(cè)方法以避免兩個(gè)CPU的共模故障。
3.6 網(wǎng)絡(luò)卸載引擎
汽車網(wǎng)絡(luò)會(huì)存在多種通信總線。骨干網(wǎng)未來勢(shì)必會(huì)基于TSN以太網(wǎng)來構(gòu)建，但是從域主控處理器到ECU或者傳感器之間的通信則仍然是基于傳統(tǒng)的車載低速總線，比如：CAN、FlexRay等。域主控處理器作為域控制器的核心，是所有ECU和傳感器通信的匯聚中心。因此如果要依靠CPU的算力來完成不同總線間的協(xié)議轉(zhuǎn)換，以及跨域通信的網(wǎng)絡(luò)包處理的話，勢(shì)必會(huì)占用寶貴的CPU算力資源。
因此基于硬件來實(shí)現(xiàn)網(wǎng)絡(luò)協(xié)議轉(zhuǎn)換處理的網(wǎng)絡(luò)卸載引擎，對(duì)于各個(gè)域（包括中央網(wǎng)關(guān)）的域主控處理器是非常重要的技術(shù)。
3.7 Security引擎
連接性（Connectivity）是汽車智能化發(fā)展的一個(gè)很重要的趨勢(shì)，未來的汽車一定會(huì)像今天的手機(jī)一樣隨時(shí)保持連接到互聯(lián)網(wǎng)中。因此如何阻止未經(jīng)授權(quán)的網(wǎng)絡(luò)訪問，以保護(hù)汽車免于受到黑客的攻擊，對(duì)未來的智能汽車而言就會(huì)變得極為重要。下一代硬件安全模塊（Hardware Security Module，HSM）正在成為下一代車載網(wǎng)絡(luò)通信的重要基礎(chǔ)設(shè)施之一。
HSM對(duì)于完全的安全車載通信（Secure Onboard Communication，SecOC）是必不可少的。HSM能確保所接收到的數(shù)據(jù)的真實(shí)性，防止攻擊者繞過相關(guān)的安全接口，入侵車載網(wǎng)絡(luò)。
基于硬件的安全模塊主要解決兩個(gè)問題：
-
密鑰泄漏問題：如果密鑰存儲(chǔ)在應(yīng)用程序的代碼或數(shù)據(jù)中，很容易被泄漏。所以有必要增加一個(gè)硬件模塊，專門存儲(chǔ)密鑰。
-
Crypto算法加速：通過內(nèi)核來直接進(jìn)行加密或解密運(yùn)算會(huì)占用大量CPU算力資源。因此，有必要通過硬件模塊來進(jìn)行加密解密算法的加速。
SHE（Secure Hardware Extension）標(biāo)準(zhǔn)是由奧迪和寶馬公司合作制定的、針對(duì)硬件安全模塊HSM的規(guī)范，它主要包括密碼模塊的硬件、硬件軟件接口。這個(gè)規(guī)范已被廣泛接受，很多針對(duì)汽車行業(yè)的微處理器都支持這個(gè)規(guī)范。
轉(zhuǎn)自汽車ECU開發(fā)
