對于開發(fā)下一代自動駕駛汽車的工程師來說，確認全新E/E架構的需求是一項艱巨的挑戰(zhàn)。

當今車輛的日益復雜化已是一種被廣泛認同的趨勢，車輛互聯(lián)、自動駕駛等功能也逐漸在落地，且強大、更復雜功能也正在路上。

在整車上，所有這些功能要發(fā)揮作用，都需要依賴線束和電子組件。對于OEM和系統(tǒng)集成商來說，成本和時間壓力都會顯著的增加，因為這些公司需要現(xiàn)代化的解決方案來應對日益增加的車輛復雜性和產(chǎn)品開發(fā)時間壓縮的壓力。

這個過程中一個關鍵的挑戰(zhàn)是頂層車輛模型的E/E需求分解。頂層的多域建模涵蓋很多領域，包括機械、E/E、軟件、熱學和其他領域，對于電子電氣架構工程師而言，其需要從此模型中提取E/E方面信息，用來驅(qū)動E/E架構的構建以及下游的進一步細化分解。在整個過程中，與現(xiàn)代E/E架構的定義、設計和交付有關的各個工程師必須平衡許多相互依賴的需求。下面從網(wǎng)絡拓撲、功能安全、網(wǎng)絡安全、處理器，網(wǎng)絡和網(wǎng)關負載、組件和軟件重用幾方面來聊一聊相互依賴的要求和設計技術。

網(wǎng)絡拓撲

在這個過程中，大多數(shù)工程師的任務通常集中在對功能分配和拓撲優(yōu)化上，例如：在以域為中心的網(wǎng)絡中，確認ECU所需包含的功能，ECU在所處的位置，以及對外的總線連接。
在最近的幾年中，從中央網(wǎng)絡或多總線體系架構到功能域控制器體系架構的過渡相對容易，該體系架構下將功能進行整合到少量的ECU中，如圖1所示。下一個階段將需要將ECU進行重新組織為更為通用的計算單元，其中將集中更多更復雜的功能。區(qū)域ECU根據(jù)車輛的物理布局將其余功能組合在一起。實施這些區(qū)域性ECU通常需要對軟件和供應商的交互進行較大的更改。

圖1 E/E架構類型

功能安全

在E/E體系結構定義過程中，功能安全需求產(chǎn)生了多種考慮因素。具體考慮因素因功能而異，但行業(yè)目前已采用ISO 26262作為功能安全標準。ISO 26262將功能分QM或ASIL，從A級至D級。ASIL功能在發(fā)生完全失效的情況下，具有一定的破壞汽車功能安全性的可能性。ASIL A功能風險最小，ASIL D最顯著。

整個系統(tǒng)的功能安全性可以通過幾種方式實現(xiàn)。承載車輛功能的硬件和軟件平臺指定開發(fā)到特定的ASIL等級，以滿足功能安全。另一種方法是向系統(tǒng)添加冗余部件。與其增強一個傳感器系統(tǒng)以支持ASIL D功能，不如使用兩個ASIL B傳感器將傳感器數(shù)據(jù)傳遞給ASIL D功能，這可能是更可取的選擇，另外也越來越需要考慮故障功能行為，特別是在更高級別的ADAS功能（Level 3+）中，這種行為需要更廣泛的系統(tǒng)級別的考慮，例如圍繞電源網(wǎng)絡，通信，處理，傳感器的更多層面冗余，這些額外的冗余層可能包括技術冗余，例如圖2所示的實現(xiàn)高級ADAS功能的各種傳感器的重疊式冗余。


圖2 ADAS的重疊式冗余傳感器

網(wǎng)絡安全

雖然功能安全已經(jīng)涉及到系統(tǒng)的可靠性，但網(wǎng)絡安全必須考慮到針對車輛系統(tǒng)的惡意攻擊。現(xiàn)代車輛有多個潛在的弱點，這些弱點被稱為攻擊面，集成Wi-Fi、蜂窩網(wǎng)絡、藍牙、車載診斷(OBD)、USB和其他連接點都提供了進入車輛通信系統(tǒng)的潛在路徑。甚至網(wǎng)絡總線電路也被作為入口點訪問。在設計防盜系統(tǒng)時需要考慮攻擊面，以及不法分子在物理上訪問某些系統(tǒng)，而其他系統(tǒng)則可以使用額外的軟件身份驗證檢查來防止未經(jīng)授權的訪問。

網(wǎng)絡安全是通過分層的方法實現(xiàn)的，在架構的關鍵點重復使用各種機制。承載特定功能的ECU可能需要集成硬件安全模塊(HSM)。雖然可以在軟件中模擬HSM，但是這需要額外的芯片資源，當前基于硬件的安全措施越來越普遍。與網(wǎng)絡安全相關的數(shù)據(jù)也可以被設計為特殊保護，為整個網(wǎng)絡安全系統(tǒng)增加更多的層次。

處理器，網(wǎng)絡和網(wǎng)關負載

另一個重要的體系結構考慮因素是每個ECU處理器，網(wǎng)絡或網(wǎng)絡分支以及網(wǎng)絡之間的網(wǎng)關上的相對負載。在將功能分配給特定的ECU時，它們的關聯(lián)信號給連接到ECU的網(wǎng)絡增加了額外的負擔。如果信號的各個源和目的地之間不存在直接連接，則需要網(wǎng)關進行連接。這樣會導致網(wǎng)關的發(fā)送信號的負載和頻率增加，以傳遞給定的時序數(shù)據(jù)。在面向功能的域體系結構中，狀態(tài)和模式信息信號的路由可能需要穿越網(wǎng)絡主干。網(wǎng)絡之間的交叉鏈接是不受歡迎的，因為網(wǎng)絡安全功能使防御變得困難。

一個能夠研究多種分配以預測每個分配結果的設計工具可以節(jié)省大量時間。對于ECU的功能分配，考慮每個ECU的特定處理類型是至關重要的(圖3)。每個域的主要處理ECU有不同的特征。當在更新期間將功能添加到架構中時，它們必須被分割并適當?shù)胤峙浣o對應的ECU。


圖3 每個功能域的典型ECU處理類型

對于實時性要求非常高的數(shù)據(jù)交互，必須在一個小的時間窗口內(nèi)執(zhí)行，這個過程通常被安排在一個高頻的觸發(fā)事件中，例如發(fā)送機曲柄角度等。

典型的車身功能，如降低窗口，可以在幾十毫秒內(nèi)響應，這樣都可以給用戶一個滿意的用戶體驗。然而，某些功能可能會引入ASIL和硬實時性要求。具有防夾功能（如果檢測到兒童的手臂則自動關閉窗戶），窗戶的功能操作包括與安全相關的功能。必須考慮在具有足夠ASIL等級和定時自動窗口功能。通常，車身功能高度分布，使用圍繞機艙放置的傳感器和執(zhí)行器來建立復雜的舒適性和便利性。

軟件和組件重用

車輛特性、功能和系統(tǒng)的可重用性現(xiàn)在是至關重要的。電氣和電子架構優(yōu)化和有效的系統(tǒng)設計對于最大化可重用性、減少車輛變種數(shù)量以及提高按時交付正確車輛的能力至關重要。
當開發(fā)新的或更新的車輛時，圍繞車輛內(nèi)容的重用存在約束。有些約束是堅定的，而其他約束則需要相對于相關成本進行評估。傳統(tǒng)上，除非供應商已簽約開發(fā)此類功能，否則一級供應商的ECU具有有限的功能添加范圍。OEM需要在開發(fā)ECU策略甚至完整軟件方面承擔了更多責任。如今，這已擴展到用于戰(zhàn)略模塊和設計芯片的硬件。
一旦架構師確定了可以分配功能的位置，就需要考慮ECU類型、安裝的軟件及其來源。理想情況下，當OEM決定哪些ECU在體系架構的生命周期內(nèi)的功能分配時，就需要考慮這些因素。

結論

OEM開發(fā)E / E系統(tǒng)面臨的挑戰(zhàn)眾多，種類繁多且復雜性不斷增加。E / E系統(tǒng)架構師在開發(fā)，更新和優(yōu)化車輛架構時會考慮無數(shù)的注意事項。因此，有必要使用高級工具，以根據(jù)工程師定義的一組規(guī)則和準則來計劃和檢查體系結構。借助可擴展的規(guī)則，系統(tǒng)架構師可以根據(jù)定義的規(guī)則自動執(zhí)行分配，以便在詳細設計工作開始之前盡早優(yōu)化E / E體系結構。