新一代智能汽車(chē)架構(gòu)的核心目標(biāo)之一是能夠支撐高階自動(dòng)駕駛的功能安全。在實(shí)現(xiàn)目標(biāo)的手段中，“冗余”仍是最重要的保障手段之一。 除了要保障感知、計(jì)算、執(zhí)行、供電等環(huán)節(jié)的冗余外，從整車(chē)架構(gòu)層面，通信是功能安全實(shí)現(xiàn)的關(guān)鍵環(huán)節(jié)，以靈活、有限的代價(jià)來(lái)保障“通信”的冗余，保證終端設(shè)備的故障不會(huì)影響整個(gè)網(wǎng)絡(luò)，以及網(wǎng)絡(luò)具備故障后快速恢復(fù)等的基本能力，是保障各個(gè)控制器能夠準(zhǔn)確、及時(shí)地控制整車(chē)安全運(yùn)行的基礎(chǔ)。在此基礎(chǔ)上設(shè)計(jì)的汽車(chē)系統(tǒng)安全組件如圖所示。

對(duì)通信的功能安全需遵循E2E（End to End，端到端）的理念，無(wú)論從系統(tǒng)功能安全的角度還是從軟件功能安全的角度，接入分布化及計(jì)算集中化對(duì)車(chē)載網(wǎng)絡(luò)通信提出了很高的要求。下圖分別從系統(tǒng)功能安全及軟件功能安全的角度，分析了E2E各個(gè)環(huán)節(jié)提出的ASIL D的功能安全等級(jí)要求。也正是在此高功能安全架構(gòu)的整體通信機(jī)制框架下，整車(chē)EEA逐步從傳統(tǒng)邁向智能，從低階的自動(dòng)駕駛能力向高階的自動(dòng)駕駛能力持續(xù)演進(jìn)。

系統(tǒng)功能安全設(shè)計(jì)目標(biāo)分解

軟件功能安全設(shè)計(jì)目標(biāo)分解

車(chē)載計(jì)算與通信架構(gòu)中，骨干網(wǎng)絡(luò)通信機(jī)制采用車(chē)載以太網(wǎng)，包含冗余時(shí)間同步機(jī)制、多發(fā)選收和折疊倒換等通信冗余機(jī)制。 時(shí)間同步機(jī)制是IEEE 802.1 TSN任務(wù)組針對(duì)車(chē)載以太網(wǎng)制定的，用來(lái)保障車(chē)載以太網(wǎng)對(duì)數(shù)據(jù)穩(wěn)定、安全的傳輸。TSN任務(wù)組在IEEE 802.1AS標(biāo)準(zhǔn)中定義了時(shí)間同步機(jī)制，用來(lái)同步網(wǎng)絡(luò)中各節(jié)點(diǎn)的時(shí)鐘。 多傳感器的融合技術(shù)是自動(dòng)駕駛的核心之一，而各節(jié)點(diǎn)之間的時(shí)間同步在傳感器整合技術(shù)中起著至關(guān)重要的作用。在整車(chē)環(huán)形網(wǎng)絡(luò)架構(gòu)中，運(yùn)用多時(shí)間同步域技術(shù)，建立時(shí)間同步鏈接的冗余備份，可支持單時(shí)鐘源以及多時(shí)鐘源。時(shí)鐘域冗余機(jī)制下圖所示，在正常情況下，時(shí)鐘源建立兩條時(shí)間同步樹(shù)，形成時(shí)鐘域1和時(shí)鐘域2。在同步節(jié)點(diǎn)時(shí)間時(shí)，由節(jié)點(diǎn)前的網(wǎng)關(guān)或者節(jié)點(diǎn)本身完成時(shí)鐘域的選擇。當(dāng)某個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)生故障時(shí)，仍然會(huì)有另一時(shí)鐘域的同步信息可以送達(dá)，進(jìn)而實(shí)現(xiàn)時(shí)間同步的無(wú)縫切換。

時(shí)鐘域冗余機(jī)制

IEEE 802.1CB標(biāo)準(zhǔn)是TSN標(biāo)準(zhǔn)族中的可靠性協(xié)議，也被稱為多發(fā)選收機(jī)制，原理是通過(guò)在N條獨(dú)立路徑上發(fā)送N個(gè)冗余報(bào)文（即主鏈路與備份路徑同時(shí)發(fā)送相同的數(shù)據(jù)報(bào)文，每個(gè)相同的報(bào)文有相同的序列號(hào)），由目的設(shè)備選擇性地接收其中一份，通過(guò)序列號(hào)，篩除其他重復(fù)的N- 1份報(bào)文，以支持業(yè)務(wù)的無(wú)損恢復(fù)，如下圖所示。

多發(fā)選收機(jī)制原理

整車(chē)網(wǎng)絡(luò)形成環(huán)形網(wǎng)絡(luò)后，可以很好地發(fā)揮IEEE 802.1CB標(biāo)準(zhǔn)的多發(fā)選收機(jī)制，同時(shí)由于鏈路上有環(huán)形網(wǎng)絡(luò)冗余，也為其他機(jī)制的使用提供了可能，例如，在發(fā)生單點(diǎn)故障時(shí)，采用了折疊倒換機(jī)制。折疊倒換機(jī)制同樣可以為環(huán)形網(wǎng)絡(luò)提供數(shù)據(jù)傳輸鏈路的冗余備份。而與多發(fā)選收不同的是，折疊倒換不需要發(fā)送兩份同樣的數(shù)據(jù)報(bào)文，從而提高了信道利用率，用戶在同樣的帶寬下可傳送更多有效的數(shù)據(jù)；冗余鏈路切換的時(shí)間很短暫（<1 ms），可滿足自動(dòng)駕駛的要求。

折疊倒換機(jī)制 從車(chē)載以太網(wǎng)通信功能安全的實(shí)踐中可以看出，從系統(tǒng)的角度來(lái)說(shuō)，以E2E的方式考慮整車(chē)級(jí)的網(wǎng)絡(luò)通信架構(gòu)和方案十分重要。在保障高可靠、低時(shí)延等基本網(wǎng)絡(luò)通信要求的基礎(chǔ)上，在系統(tǒng)層面應(yīng)用新通信技術(shù)，并進(jìn)行合理的安全等級(jí)分解，可大大簡(jiǎn)化系統(tǒng)的設(shè)計(jì)，從而降低開(kāi)發(fā)成本、提高開(kāi)發(fā)效率，持續(xù)支持智能汽車(chē)的演進(jìn)。 對(duì)智能汽車(chē)來(lái)說(shuō)，特別是對(duì)于具備高階自動(dòng)駕駛能力的智能汽車(chē)，功能安全是復(fù)雜的系統(tǒng)性工程，也是汽車(chē)產(chǎn)品安全地按設(shè)計(jì)意圖實(shí)現(xiàn)應(yīng)有功能的基本保障。作為智能汽車(chē)功能核心中樞的車(chē)載網(wǎng)絡(luò)通信架構(gòu)，功能安全的實(shí)現(xiàn)需要從傳感器、控制器和執(zhí)行器方面系統(tǒng)地考慮，而它們之間通信的高等級(jí)功能安全的實(shí)現(xiàn)又是整個(gè)系統(tǒng)達(dá)成功能安全的基本前提，也是整車(chē)EEA開(kāi)發(fā)、實(shí)現(xiàn)的核心內(nèi)容之一。

編輯：黃飛

?