／導(dǎo)讀／

自動(dòng)駕駛發(fā)展到今天，隨著傳感器技術(shù)和計(jì)算、決策、控制系統(tǒng)的進(jìn)一步成熟，單車智能需要的技術(shù)在封閉環(huán)境和簡(jiǎn)單環(huán)境已經(jīng)逐漸具備商業(yè)化落地的可能性，同時(shí)V2X也在一定程度上為單車智能提供基于通信方式的協(xié)同。但是要實(shí)現(xiàn)真正意義上的完全無(wú)人駕駛的路還很長(zhǎng)，而系統(tǒng)架構(gòu)冗余設(shè)計(jì)目前還是業(yè)界普遍被忽視但卻必須要有突破性發(fā)展的關(guān)鍵環(huán)節(jié)。本文基于作者多年對(duì)網(wǎng)絡(luò)通信和軌道交通系統(tǒng)冗余設(shè)計(jì)的經(jīng)驗(yàn)，期望能引發(fā)大家對(duì)架構(gòu)冗余設(shè)計(jì)的理解，并開(kāi)始思考如何將架構(gòu)冗余應(yīng)用到自動(dòng)駕駛的軟、硬件和系統(tǒng)設(shè)計(jì)中去。

什么是冗余？

所謂冗余，就是為了系統(tǒng)的可用性（availability），采用兩套或者兩套以上的相同或相似且相對(duì)獨(dú)立配置并可切換使用的設(shè)計(jì)。簡(jiǎn)而言之，就是當(dāng)一套系統(tǒng)出現(xiàn)問(wèn)題時(shí)，另一套系統(tǒng)能夠迅速切換，在不改變系統(tǒng)運(yùn)行狀態(tài)的條件上保障系統(tǒng)仍然可用。

冗余設(shè)計(jì)不是新概念，然而在傳統(tǒng)汽車?yán)锖苌倏紤]

做為現(xiàn)代化的交通工具，汽車在100年來(lái)一直承擔(dān)著我們出行的重要任務(wù)，然而在汽車的系統(tǒng)架構(gòu)設(shè)計(jì)中我們從來(lái)沒(méi)有考慮過(guò)冗余設(shè)計(jì)，因此我們?cè)诘缆飞辖?jīng)常可以看見(jiàn)因發(fā)動(dòng)機(jī)或其它故障拋錨的汽車，有時(shí)候一個(gè)小小的剎車片故障，都可能導(dǎo)致汽車無(wú)法制動(dòng)而釀成大禍。

再讓我們來(lái)看另一個(gè)很重要的交通工具——飛機(jī)，它在設(shè)計(jì)中一直通過(guò)冗余來(lái)保障生命關(guān)鍵性安全，通常一架飛機(jī)會(huì)配備四個(gè)發(fā)動(dòng)機(jī)，如果有一到兩個(gè)發(fā)動(dòng)機(jī)出現(xiàn)故障時(shí)，飛機(jī)仍然能夠通過(guò)剩余可用的發(fā)動(dòng)機(jī)完成飛行任務(wù)，不至于造成墜機(jī)的重大傷亡事故。而現(xiàn)代飛機(jī)的控制電腦也大多采用冗余設(shè)計(jì)，提高了控制系統(tǒng)的可用性。

我們熟悉的通信網(wǎng)絡(luò)，也很少出現(xiàn)系統(tǒng)級(jí)的斷網(wǎng)現(xiàn)象，為什么？因?yàn)橥ㄐ啪W(wǎng)絡(luò)的關(guān)鍵設(shè)備，比如核心路由器，在中央板卡和線卡都有冗余備份，無(wú)論是路由計(jì)算還是線卡的數(shù)據(jù)包轉(zhuǎn)發(fā)，出現(xiàn)故障時(shí)，都能自動(dòng)完成切換，在用戶端感知不到服務(wù)的中斷。

在軌道交通系統(tǒng)里，因?yàn)檎{(diào)度均為系統(tǒng)完成，很少有人為干預(yù)，信號(hào)控制系統(tǒng)的可用性要求極高，所以也是采用冗余架構(gòu)設(shè)計(jì)，為達(dá)到EN50128／EN50129的標(biāo)準(zhǔn)，甚至要考慮復(fù)雜的異構(gòu)冗余。

傳統(tǒng)汽車之所以沒(méi)有考慮冗余設(shè)計(jì)，其中一個(gè)原因是從成本的角度，冗余架構(gòu)引入的系統(tǒng)設(shè)計(jì)復(fù)雜度和帶來(lái)的軟硬件成本提高，對(duì)于傳統(tǒng)汽車來(lái)說(shuō)都是不現(xiàn)實(shí)的，還有另一個(gè)原因是汽車在公路上行駛，出現(xiàn)故障時(shí)轉(zhuǎn)移和修理的成本并不高，在用戶可以接受的范圍內(nèi)。

自動(dòng)駕駛離不開(kāi)冗余設(shè)計(jì)

新一代的智能汽車，自動(dòng)駕駛是其中很重要的一個(gè)發(fā)展方向，但從行業(yè)技術(shù)發(fā)展看，包括Waymo等國(guó)際領(lǐng)先的自動(dòng)駕駛系統(tǒng)廠商，在系統(tǒng)設(shè)計(jì)時(shí)都沒(méi)有考慮最重要的環(huán)節(jié)——冗余架構(gòu)。

自動(dòng)駕駛為什么需要冗余設(shè)計(jì)？在高等級(jí)自動(dòng)駕駛的場(chǎng)景中，人為干預(yù)情況極少，所有的感知、計(jì)算、決策、控制均由系統(tǒng)自動(dòng)完成，在復(fù)雜的流程中只要有一個(gè)小故障發(fā)生導(dǎo)致部分系統(tǒng)不可用，就會(huì)產(chǎn)生車毀人亡的重大后果。那么，我們需要在哪些環(huán)節(jié)引入冗余架構(gòu)設(shè)計(jì)呢？

首先，傳感器需要冗余。過(guò)去我們提的較多的是傳感器融合概念，就是通過(guò)多種不同的傳感器收集信息并計(jì)算評(píng)估結(jié)果，但單純的傳感器融合無(wú)法解決單一傳感器出現(xiàn)故障的系統(tǒng)可用性，我們必須針對(duì)每種類型的傳感器都有冗余設(shè)計(jì)。因?yàn)闊o(wú)論是單目攝像頭、立體攝像頭、激光雷達(dá)、毫米波雷達(dá)，在自動(dòng)駕駛環(huán)境信息采集的內(nèi)容和cover的場(chǎng)景都是非完全重合的，只有對(duì)每一種類傳感器采用冗余設(shè)計(jì)，才能保障極端情況下失效的可用性。比如我們?cè)谧?60度全景時(shí)依賴的是前后左右四顆攝像頭的輸入通過(guò)算法來(lái)產(chǎn)生從車頂部視角的成像，如果有一顆攝像頭出現(xiàn)故障，算法就會(huì)使失效，而單目攝像頭這種自動(dòng)駕駛高度依賴的傳感器如果出現(xiàn)故障，則所有的輸入都會(huì)失效，后續(xù)的計(jì)算、決策、控制也會(huì)隨之失敗。

傳感器冗余的復(fù)雜度不完全在部署兩套完全相同的傳感器，而是對(duì)輸入的仲裁和切換的方式。比如兩組傳感器部署的位置略有偏差，后面算法的輸入?yún)?shù)也需要微調(diào)，如何判斷某組傳感器發(fā)生故障或輸入數(shù)據(jù)有誤？當(dāng)故障檢測(cè)到時(shí)切換的邏輯是什么？傳感器數(shù)據(jù)輸入的模塊狀態(tài)機(jī)的變化？每一個(gè)問(wèn)題就意味著要有相應(yīng)的解決方案。

其次，計(jì)算、決策、控制系統(tǒng)需要有冗余。無(wú)論是早期的數(shù)據(jù)擬合，還是現(xiàn)在用的廣泛的深度學(xué)習(xí)，神經(jīng)網(wǎng)絡(luò)從模型上就是非確定性的計(jì)算，這意味著同樣的輸入未必產(chǎn)生同樣的輸出，模型自身的不確定性將為正確判斷人、車或障礙物產(chǎn)生風(fēng)險(xiǎn)。為了提高系統(tǒng)的可用性以及減少模型的不確定性，我們必須對(duì)計(jì)算、決策、控制系統(tǒng)增加冗余設(shè)計(jì)。

我們以未來(lái)中央計(jì)算架構(gòu)為例，如果整車采用一塊高度集成的核心板做為中央計(jì)算基礎(chǔ)，自動(dòng)駕駛的計(jì)算決策控制模塊以子板卡形式加載，我們就需要用同構(gòu)或者異構(gòu)設(shè)計(jì)加裝2塊以上的計(jì)算決策控制模塊。

什么是同構(gòu)？簡(jiǎn)單的說(shuō)，就是硬件設(shè)計(jì)一樣、軟件設(shè)計(jì)一樣、系統(tǒng)設(shè)計(jì)一樣，那異構(gòu)呢？就是硬件設(shè)計(jì)不一樣，比如處理器不同體系架構(gòu)，第一塊用的ARM，第二塊也許就是X86或者PPC，隨之軟件和系統(tǒng)設(shè)計(jì)自然也不一樣。異構(gòu)設(shè)計(jì)遠(yuǎn)比同構(gòu)設(shè)計(jì)復(fù)雜，但是在這里無(wú)論同構(gòu)還是異構(gòu)，都需要保障系統(tǒng)功能一致，即接受相同的輸入，在相同條件產(chǎn)生相同的輸出。

接下來(lái)，仍然要考慮的是仲裁，即如果兩組模塊同時(shí)工作，如果產(chǎn)生結(jié)果不同，如何選擇結(jié)果？如果其中一組大多數(shù)時(shí)間是靜默狀態(tài)，那么如何保證在故障切換時(shí)系統(tǒng)的狀態(tài)一致？

除此之外，自動(dòng)駕駛需要的高精度地圖信息、位置信息等都需要有冗余考慮，在復(fù)雜度極高的完全無(wú)人駕駛場(chǎng)景中，從系統(tǒng)、軟件、硬件到應(yīng)用層面均需要有完善的冗余設(shè)計(jì)。很多人會(huì)說(shuō)，我用車路協(xié)同，要知道5G毫米波一個(gè)重大的缺陷就是基站數(shù)增加，在基站覆蓋率較低的偏遠(yuǎn)地區(qū)，出現(xiàn)通信不暢的現(xiàn)象將極為平常，所以單車智能還將是自動(dòng)駕駛的主導(dǎo)，而在這種場(chǎng)景，冗余架構(gòu)設(shè)計(jì)就不是可有可無(wú)，而是必須要考慮的重要環(huán)節(jié)。

審核編輯 黃昊宇