1. 背景自動駕駛域、智能座艙域的功能龐大而復(fù)雜，通?；诋悩?gòu)分布式芯片的計算平臺來滿足不同的計算需求。通過分布式系統(tǒng)框架的設(shè)計，可將計算負載分散到不同的計算系統(tǒng)或計算芯片中，通過并行計算來提高系統(tǒng)的穩(wěn)定性和計算效率。通過使用分布式系統(tǒng)架構(gòu)，自動駕駛系統(tǒng)的故障管理可以變得更加方便。安全是運行和開發(fā)自動駕駛系統(tǒng)的最重要因素，僅使用單個計算單元來運行自動駕駛的所有功能，如果單個計算系統(tǒng)因硬件或軟件出現(xiàn)故障，則可能非常危險。由于分布式自動駕駛系統(tǒng)由多個計算模塊組成，每個子模塊可以檢查其他計算模塊的健康狀態(tài)，并作為故障時的冗余備份或接管。分布式系統(tǒng)架構(gòu)可以將基礎(chǔ)軟件、應(yīng)用、算法等軟件模塊分布在不同的計算芯片上獨立運行，并按需實時同步匯聚、彈性擴展，開發(fā)者可以獨立開發(fā)和測試各個子模塊，從而提高開發(fā)效率。

2. 分布式系統(tǒng)需求構(gòu)建能夠支持從L2 到L4 平滑過渡的汽車智能分布式系統(tǒng)，需要滿足低成本、低功耗、高穩(wěn)定性、高實時性要求，能夠支持智能駕駛域，并可擴展支持包括智能座艙域等多域計算系統(tǒng)。該系統(tǒng)需能夠：

• 提供可線性疊加的計算平臺，支持L2-L4的智能駕駛應(yīng)用；

• 支持負載均衡并且可擴展，達到整個系統(tǒng)算力和計算資源優(yōu)化利用；支持大量異構(gòu)傳感器接入，支持高階自動駕駛功能，系統(tǒng)可抗住大數(shù)據(jù)處理峰值，至少達到50Gbps以上的接入數(shù)據(jù)處理帶寬。

• 穩(wěn)定可靠，包括可靠冗余、多級監(jiān)控、滿足功能安全。

• 確定性和可靠性通信，通過時鐘同步、時間觸發(fā)通信等技術(shù)來實現(xiàn)。

• 支持整車多域功能的集成。通過虛擬化（Hypervisor）實現(xiàn)在同一硬件平臺上靈活承載異構(gòu)操作系統(tǒng)，支持包括ADAS/AD、DMS、BMS、VCU等多域功能，并滿足不同域的實時性等性能要求。

3. 設(shè)計思路就開發(fā)ADAS/AD應(yīng)用而言，分布式系統(tǒng)具有如下優(yōu)點：

• 可擴展

• 能夠進行主/主、主/備等不同方式的故障管理

• 便于維護

• 能夠滿足多種系統(tǒng)需求

然而分布式系統(tǒng)的功能配置并不簡單，首先它要考慮很多限制條件，例如每個計算單元的計算能力、通信網(wǎng)絡(luò)特性以及傳感器/執(zhí)行器的接入位置；其次，不同類型的計算單元和操作系統(tǒng)內(nèi)核特性，要部署不同的自動駕駛系統(tǒng)子模塊；最后，通信系統(tǒng)的延遲和抖動可能降低自動駕駛的整體性能。為實現(xiàn)應(yīng)用功能的分布式計算， 開發(fā)分三步： 軟件組件設(shè)計、計算單元映射和功能實現(xiàn)。以下將講解一個基于國汽智控車控操作系統(tǒng)ICVOS實現(xiàn)雙Orin分布式計算的示例。 

3.1 軟件組件設(shè)計

軟件組件代表封裝的自動駕駛應(yīng)用相關(guān)的功能模塊。軟件組件設(shè)計步驟的重要環(huán)節(jié)，包含自動駕駛組件的功能設(shè)計，并定義組件之間的信息/數(shù)據(jù)流。軟件組件中，傳感器以及執(zhí)行器之間共享信息/數(shù)據(jù)的連接，通過虛擬功能總線 (VFB) 來定義。VFB虛擬功能總線是通過通信抽象實現(xiàn)的，包含兩種通信方式：客戶端-服務(wù)器CS、 發(fā)送者 - 接收者SR。虛擬功能總線使用國汽智控自研的AICC中間件實現(xiàn)同一計算單元內(nèi)以及計算單元之間的通信。 軟件組件如上圖所示， 包括感知、規(guī)劃等模塊， 根據(jù)具體的應(yīng)用功能，模塊的顆粒度還可以進一步細化。

3.2 計算單元映射

軟件組件應(yīng)分配到或映射到分布式計算單元上。如何分配部署軟件組件，需要根據(jù)經(jīng)驗來進行，我們主要考慮以下指南和約束：首先， 傳感器或執(zhí)行器的計算應(yīng)部署在傳感器或執(zhí)行器附近的計算單元上，并包含操作傳感器或執(zhí)行器的特定軟件組件。第二， 軟件組件支持DAG這種有依賴關(guān)系的邏輯拓撲圖，顯示并定義節(jié)點/任務(wù)之間的依賴關(guān)系。第三，一個計算單元中所有部署的軟件組件應(yīng)在預(yù)定的時間內(nèi)工作，可通過數(shù)據(jù)流的靜態(tài)編排實現(xiàn)。第四、部分軟件組件由于硬件的關(guān)系，可能有操作系統(tǒng) (OS) 依賴性接口或可用庫。第五、不同計算單元之間交換的信息量不應(yīng)該超出通信帶寬或通信能力。第六，可用的硬件外圍設(shè)備受計算單元類型的限制。如上圖所示， 考慮到硬件安裝、所有軟件組件的執(zhí)行時間或其他限制，上面示例中三個軟件組件，經(jīng)過以上的考慮后，部署到兩個計算單元。目前計算單元映射還是由人工在設(shè)計階段來完成。

3.3 功能實現(xiàn)

考慮到計算單元的性能、操作系統(tǒng)、傳感器和執(zhí)行器接口以及網(wǎng)絡(luò)等約束，軟件組件可能被分配到特定的計算單元，軟件組件的功能實現(xiàn)可能取決于計算單元平臺的特性；這種依賴關(guān)系會增加功能實現(xiàn)的成本和軟件的維護工作。為減少軟件組件的依賴問題，有必要開發(fā)一種適用于不同計算單元的分布式通用軟件平臺，即適用于分布式計算的OS。

4. 分布式系統(tǒng)視圖    

汽車分布式系統(tǒng)的軟件平臺是一個分層架構(gòu)，如下圖所示

平臺共三層：應(yīng)用軟件層、分布式OS層，傳感器數(shù)據(jù)分發(fā)層。應(yīng)用軟件層包含軟件組件的具體功能實現(xiàn)。分布式OS層分兩層：一個系統(tǒng)軟件層，由操作系統(tǒng)、通信模塊、輸入和輸出 (I/O)硬件抽象模塊和復(fù)雜的驅(qū)動程序組成；另一個是功能軟件層，包括數(shù)據(jù)流框架、基礎(chǔ)服務(wù)等。傳感器數(shù)據(jù)分發(fā)層負責數(shù)據(jù)的采集、預(yù)處理以及分發(fā)。

5. 基于雙Orin的分布式系統(tǒng)實現(xiàn)

 5.1  負載均衡

通過硬件加速的全局數(shù)據(jù)獲取單元DAQ（Data acquisition ），采集所有傳感器數(shù)據(jù)， 然后通過 PCIe switch傳輸?shù)礁鱾€板卡或計算單元。如下圖所示，基于刀片存儲（Memory blade）的設(shè)計，通過PCIe fabric實現(xiàn)CPU和存儲器的解耦，來實現(xiàn)跨板存儲器訪問（memory access)，從而實現(xiàn)傳感器數(shù)據(jù)的交換。 

5.2 虛擬功能總線

虛擬功能總線主要負責各類應(yīng)用軟件模塊之間的通信，包括本機內(nèi)部通信和跨機通信。本機內(nèi)部通信實現(xiàn)零拷貝， 而跨機通信基于DDS。

5.3 功能安全自動駕駛分布式系統(tǒng)的可靠冗余設(shè)計對于整個系統(tǒng)的可靠穩(wěn)定運行和功能安全至關(guān)重要，特別是高階自動駕駛中，高可用性和無縫運行（fail-operational）是必須的?？煽咳哂嗍嵌喟蹇ǚ植际较到y(tǒng)的核心功能模塊，負責整個系統(tǒng)的功能安全可靠監(jiān)控以及針對失效事件觸發(fā)的恢復(fù)策略執(zhí)行。分布式系統(tǒng)的可靠冗余功能除承接單計算系統(tǒng)本身的多級監(jiān)控和冗余失效安全（fail-safe） 基本機制之外，還可通過跨板卡計算平臺的監(jiān)控及主主/主備冗余機制來保證整個分布式系統(tǒng)的可靠穩(wěn)定運行。

5.4 示例4路攝像頭的數(shù)據(jù)同時分發(fā)到兩個Orin上面。感知實現(xiàn)負載均衡（active/active)，Orin-1 負責處理front前視攝像頭數(shù)據(jù)（車道線、交通燈識別、TSR、可行駛區(qū)域等目標檢測）和負責處理rear后視攝像頭數(shù)據(jù)（車道線檢測等）， Orin-2  負責left和right（目標識別等）。規(guī)控系統(tǒng)為可靠冗余（active/backup)，兩個Orin都做規(guī)劃控制，正常情況下Orin-1是active，Orin-2是backup， 只有Orin-1通過虛擬IP發(fā)出控制指令（如圖1）。當 Orin-1或其規(guī)控發(fā)生失效時，按失效情況調(diào)整感知負載均衡，同時規(guī)控系統(tǒng)切換到Orin-2，Orin-2為active，通過同樣的虛擬IP發(fā)出控制命令（如圖2）。

圖1 注：Orin-1 和Orin-2共同負責感知，正常情況下，Orin-1 同時負責規(guī)控

圖2 注：Orin-1 發(fā)生故障，調(diào)整感知負載均衡，同時規(guī)控系統(tǒng)無縫切換到Orin-2，Orin-2 負責感知和規(guī)控5.5結(jié)語國汽智控車控操作系統(tǒng)ICVOS具有車規(guī)級、高實時、高安全、高擴展特色，實現(xiàn)軟硬解耦和對硬件適配抽象的平臺化，可高效確保集成。ICVOS在雙Orin上成功實現(xiàn)了集成與分布式OS部署，不僅意味著ICVOS擴大支持更多種類大算力異構(gòu)SoC芯片，更意味著ICVOS可基于硬件平臺及異構(gòu)芯片數(shù)量、功能場景和需求等，自動調(diào)整重點模塊在多芯片的部署和彈性擴展，實現(xiàn)系統(tǒng)負載均衡和最優(yōu)，從而實現(xiàn)同一套OS下支持從L2到L4、域控到中央域控架構(gòu)、智能駕駛應(yīng)用到整車集成應(yīng)用開發(fā)的升級；同時，其分布式架構(gòu)也可提供主備等方式下的系統(tǒng)可靠冗余備份和動態(tài)切換、車云計算下的協(xié)同負載分配等。

作者Andy，國汽智控架構(gòu)師，擁有十余年L2-L4自動駕駛研發(fā)及項目管理經(jīng)驗，曾先后供職于通用汽車、拜騰等車企。