新一代智能汽車架構(gòu)的核心目標(biāo)之一是能夠支撐高階自動駕駛的功能安全。在實(shí)現(xiàn)目標(biāo)的手段中，“冗余”仍是最重要的保障手段之一。 除了要保障感知、計算、執(zhí)行、供電等環(huán)節(jié)的冗余外，從整車架構(gòu)層面，通信是功能安全實(shí)現(xiàn)的關(guān)鍵環(huán)節(jié)，以靈活、有限的代價來保障“通信”的冗余，保證終端設(shè)備的故障不會影響整個網(wǎng)絡(luò)，以及網(wǎng)絡(luò)具備故障后快速恢復(fù)等的基本能力，是保障各個控制器能夠準(zhǔn)確、及時地控制整車安全運(yùn)行的基礎(chǔ)。在此基礎(chǔ)上設(shè)計的汽車系統(tǒng)安全組件如圖所示。

對通信的功能安全需遵循E2E（End to End，端到端）的理念，無論從系統(tǒng)功能安全的角度還是從軟件功能安全的角度，接入分布化及計算集中化對車載網(wǎng)絡(luò)通信提出了很高的要求。下圖分別從系統(tǒng)功能安全及軟件功能安全的角度，分析了E2E各個環(huán)節(jié)提出的ASIL D的功能安全等級要求。也正是在此高功能安全架構(gòu)的整體通信機(jī)制框架下，整車EEA逐步從傳統(tǒng)邁向智能，從低階的自動駕駛能力向高階的自動駕駛能力持續(xù)演進(jìn)。

系統(tǒng)功能安全設(shè)計目標(biāo)分解

軟件功能安全設(shè)計目標(biāo)分解

車載計算與通信架構(gòu)中，骨干網(wǎng)絡(luò)通信機(jī)制采用車載以太網(wǎng)，包含冗余時間同步機(jī)制、多發(fā)選收和折疊倒換等通信冗余機(jī)制。 時間同步機(jī)制是IEEE 802.1 TSN任務(wù)組針對車載以太網(wǎng)制定的，用來保障車載以太網(wǎng)對數(shù)據(jù)穩(wěn)定、安全的傳輸。TSN任務(wù)組在IEEE 802.1AS標(biāo)準(zhǔn)中定義了時間同步機(jī)制，用來同步網(wǎng)絡(luò)中各節(jié)點(diǎn)的時鐘。 多傳感器的融合技術(shù)是自動駕駛的核心之一，而各節(jié)點(diǎn)之間的時間同步在傳感器整合技術(shù)中起著至關(guān)重要的作用。在整車環(huán)形網(wǎng)絡(luò)架構(gòu)中，運(yùn)用多時間同步域技術(shù)，建立時間同步鏈接的冗余備份，可支持單時鐘源以及多時鐘源。時鐘域冗余機(jī)制下圖所示，在正常情況下，時鐘源建立兩條時間同步樹，形成時鐘域1和時鐘域2。在同步節(jié)點(diǎn)時間時，由節(jié)點(diǎn)前的網(wǎng)關(guān)或者節(jié)點(diǎn)本身完成時鐘域的選擇。當(dāng)某個網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)生故障時，仍然會有另一時鐘域的同步信息可以送達(dá)，進(jìn)而實(shí)現(xiàn)時間同步的無縫切換。

時鐘域冗余機(jī)制

IEEE 802.1CB標(biāo)準(zhǔn)是TSN標(biāo)準(zhǔn)族中的可靠性協(xié)議，也被稱為多發(fā)選收機(jī)制，原理是通過在N條獨(dú)立路徑上發(fā)送N個冗余報文（即主鏈路與備份路徑同時發(fā)送相同的數(shù)據(jù)報文，每個相同的報文有相同的序列號），由目的設(shè)備選擇性地接收其中一份，通過序列號，篩除其他重復(fù)的N- 1份報文，以支持業(yè)務(wù)的無損恢復(fù)，如下圖所示。

多發(fā)選收機(jī)制原理

整車網(wǎng)絡(luò)形成環(huán)形網(wǎng)絡(luò)后，可以很好地發(fā)揮IEEE 802.1CB標(biāo)準(zhǔn)的多發(fā)選收機(jī)制，同時由于鏈路上有環(huán)形網(wǎng)絡(luò)冗余，也為其他機(jī)制的使用提供了可能，例如，在發(fā)生單點(diǎn)故障時，采用了折疊倒換機(jī)制。折疊倒換機(jī)制同樣可以為環(huán)形網(wǎng)絡(luò)提供數(shù)據(jù)傳輸鏈路的冗余備份。而與多發(fā)選收不同的是，折疊倒換不需要發(fā)送兩份同樣的數(shù)據(jù)報文，從而提高了信道利用率，用戶在同樣的帶寬下可傳送更多有效的數(shù)據(jù)；冗余鏈路切換的時間很短暫（<1 ms），可滿足自動駕駛的要求。

折疊倒換機(jī)制 從車載以太網(wǎng)通信功能安全的實(shí)踐中可以看出，從系統(tǒng)的角度來說，以E2E的方式考慮整車級的網(wǎng)絡(luò)通信架構(gòu)和方案十分重要。在保障高可靠、低時延等基本網(wǎng)絡(luò)通信要求的基礎(chǔ)上，在系統(tǒng)層面應(yīng)用新通信技術(shù)，并進(jìn)行合理的安全等級分解，可大大簡化系統(tǒng)的設(shè)計，從而降低開發(fā)成本、提高開發(fā)效率，持續(xù)支持智能汽車的演進(jìn)。 對智能汽車來說，特別是對于具備高階自動駕駛能力的智能汽車，功能安全是復(fù)雜的系統(tǒng)性工程，也是汽車產(chǎn)品安全地按設(shè)計意圖實(shí)現(xiàn)應(yīng)有功能的基本保障。作為智能汽車功能核心中樞的車載網(wǎng)絡(luò)通信架構(gòu)，功能安全的實(shí)現(xiàn)需要從傳感器、控制器和執(zhí)行器方面系統(tǒng)地考慮，而它們之間通信的高等級功能安全的實(shí)現(xiàn)又是整個系統(tǒng)達(dá)成功能安全的基本前提，也是整車EEA開發(fā)、實(shí)現(xiàn)的核心內(nèi)容之一。

編輯：黃飛

?