背景：
本文節(jié)選自《車載智能計算基礎(chǔ)平臺參考架構(gòu)2.0》，該參考架構(gòu)主要內(nèi)容及觀點是編寫組依據(jù)參考架構(gòu)1.0為基礎(chǔ)藍本，調(diào)研當(dāng)前行業(yè)實際現(xiàn)狀及結(jié)合未來3-5年產(chǎn)品技術(shù)發(fā)展趨勢形成的總結(jié)及思考研判。車載智能計算基礎(chǔ)平臺參考架構(gòu)將隨著智能網(wǎng)聯(lián)汽車行業(yè)發(fā)展繼續(xù)更新。本白皮書由中國汽車工程學(xué)會汽車基礎(chǔ)軟件分會公眾號公布全文，歡迎關(guān)注官方微信公眾號：CSAE汽車基礎(chǔ)軟件分會
車控操作系統(tǒng)是車載智能計算基礎(chǔ)平臺的核心和軟件棧。
按應(yīng)用領(lǐng)域劃分，車控操作系統(tǒng)包括智能駕駛操作系統(tǒng)和安全車控操作系統(tǒng)。其中，智能駕駛操作系統(tǒng)主要面向智能駕駛領(lǐng)域，支撐感知、定位、規(guī)劃、決策等功能的實現(xiàn)，對安全性和可靠性要求較高。安全車控操作系統(tǒng)主要面向經(jīng)典車輛控制領(lǐng)域，如動力系統(tǒng)、底盤系統(tǒng)和車身系統(tǒng)等，對實時性和安全性要求極高。為保證車載智能計算基礎(chǔ)平臺的安全可靠，車控操作系統(tǒng)一般需要滿足 ASIL-B 以上等級功能安全要求（安全車控操作系統(tǒng)需滿足 ASIL-D），并根據(jù)自動駕駛需求進行適度擴展。
按邏輯層次劃分，車控操作系統(tǒng)包括系統(tǒng)軟件和功能軟件。系統(tǒng)軟件創(chuàng)建了復(fù)雜嵌入式系統(tǒng)的運行環(huán)境，包含內(nèi)核以及與 AUTOSAR 軟件架構(gòu)類似并兼容的中間件層，系統(tǒng)軟件運行在通用計算單元與控制單元上。功能軟件利用硬件及系統(tǒng)軟件接口，針對智能駕駛應(yīng)用提供實時、安全框架，算法共性組件及重要服務(wù)等通用模塊，以完整實現(xiàn)應(yīng)用與硬件和車控操作系統(tǒng)的解耦、并定制高效擴展。
一、系統(tǒng)軟件
系統(tǒng)軟件是為智能網(wǎng)聯(lián)汽車應(yīng)用場景設(shè)計的復(fù)雜大規(guī)模嵌入式系統(tǒng)運行環(huán)境。系統(tǒng)軟件從底向上包括驅(qū)動層、操作系統(tǒng)內(nèi)核與中間件層。
1.1 跨內(nèi)核驅(qū)動框架層
針對車控操作系統(tǒng)對硬件及應(yīng)用的廣泛覆蓋，多種內(nèi)核架構(gòu)及方案實現(xiàn)下，通用跨內(nèi)核驅(qū)動框架會進一步完善分層解耦及高效集成。跨內(nèi)核驅(qū)動框架主要包含四個方面。一是架構(gòu)設(shè)計。包括驅(qū)動模型、硬件抽象、核心接口等， 支持常見的宏內(nèi)核、微內(nèi)核、混合內(nèi)核架構(gòu)等。二是硬件抽象。實現(xiàn)對不同硬件的抽象和封裝。三是核心接口。定義跨內(nèi)核的通用驅(qū)動接口，例如文件操作接口、中斷處理接口、內(nèi)存管理接口等。四是驅(qū)動模型。定義驅(qū)動程序的基本模型和框架，例如字符設(shè)備驅(qū)動、塊設(shè)備驅(qū)動、總線設(shè)備驅(qū)動等。
車控操作系統(tǒng)中的跨內(nèi)核驅(qū)動框架相比面向單一內(nèi)核的驅(qū)動具有可移植性強、開發(fā)效率高、維護成本低、兼容性好且升級方便等優(yōu)勢。跨內(nèi)核驅(qū)動只需要開發(fā)一次，就可以工作在不同的操作系統(tǒng)內(nèi)核上，大大提高了驅(qū)動程序的可移植性，降低開發(fā)門檻和維護成本，提升升級效率。
1.2 操作系統(tǒng)內(nèi)核
面向復(fù)雜駕駛場景的車控操作系統(tǒng)內(nèi)核層需要實現(xiàn)多內(nèi)核設(shè)計。操作系統(tǒng)內(nèi)核主要負責(zé)管理汽車的硬件資源，并為上層軟件提供進程、線程、內(nèi)存、網(wǎng)絡(luò)和安全等基礎(chǔ)支持。車載智能計算基礎(chǔ)平臺異構(gòu)分布硬件架構(gòu)中，不同單元加載的內(nèi)核應(yīng)具有不同的功能安全等級：支持 AI 計算單元的操作系統(tǒng)內(nèi)核功能安全等級為 QM~ASIL-B；支持通用計算單元的操作系統(tǒng)內(nèi)核功能安全等級為 QM~ASIL-B；支持控制單元的操作系統(tǒng)內(nèi)核功能安全等級為 ASIL-D。這就需要安全等級不同的多內(nèi)核設(shè)計，或者單個內(nèi)核支持不同功能安全等級應(yīng)用的設(shè)計。
應(yīng)用在汽車中的實時操作系統(tǒng)選擇時需考慮功能安全等級和市場成熟度。由于車載智能計算基礎(chǔ)平臺的復(fù)雜性，操作系統(tǒng)內(nèi)核必須對系統(tǒng)軟件、功能軟件以及應(yīng)用軟件的庫進行支持并且具備可擴展性和可持續(xù)演進能力。國內(nèi)企業(yè)已經(jīng)推出多款自主研發(fā)的操作系統(tǒng)內(nèi)核，部分已開源并探索商用。
在異構(gòu)分布硬件架構(gòu)中，獨立的安全處理單元已成為芯片設(shè)計的重要方向。獨立的安全處理單元可支撐運行可信內(nèi)核、密碼庫，提供安全可信的服務(wù)功能接口。可信內(nèi)核增強了對密碼訪問的服務(wù)支持。
虛擬化管理包括 Hypervisor 和虛擬機監(jiān)視器（VMM）等，利用硬件輔助虛擬化技術(shù)有效地實現(xiàn)系統(tǒng)資源的整合和隔離。車控操作系統(tǒng)基于異構(gòu)分布硬件架構(gòu)，不同安全和實時性要求下，應(yīng)用程序可能需要依賴不同的內(nèi)核環(huán)境和驅(qū)動，但在物理層面上要共享 CPU 等硬件資源。虛擬化管理起到了至關(guān)重要的作用，不僅能支撐實現(xiàn)跨平臺應(yīng)用的運行，而且能顯著提高硬件的使用效率。
POSIX API 提升跨多種操作系統(tǒng)內(nèi)核的兼容性。POSIX API 有實時擴展，包括定時器和時間管理、優(yōu)先級調(diào)度互斥量和條件變量、消息隊列、共享內(nèi)存、異步 I/O 和同步 I/O 等。
1.3 中間件層
內(nèi)核接口是操作系統(tǒng)內(nèi)核對上層軟件提供的服務(wù)接口，支持內(nèi)存分配、調(diào)度管理、I/O 處理、同步互斥等功能。中間件向下獲取操作系統(tǒng)內(nèi)核的系統(tǒng)接口服務(wù)支持，向上支撐功能軟件層提供系統(tǒng)中間件的服務(wù)和接口。
SOA 框架通常包含模塊化服務(wù)、服務(wù)注冊發(fā)現(xiàn)等，與通信中間件共同完整跨域面向服務(wù)開發(fā)架構(gòu)。
AI 模型接口及開發(fā)庫（SDK）,不同芯片廠商提供各自的 AI SDK，用于模型轉(zhuǎn)換和初始化、加載、推理等，通過 AI 模型接口抽象不同芯片 SDK 為統(tǒng)一接口，支撐自動駕駛 AI 大模型模型和應(yīng)用跨芯片移植和運行。
管理中間件中包括數(shù)據(jù)加密、身份驗證、健康管理、網(wǎng)絡(luò)與系統(tǒng)安全監(jiān)測、OTA 升級等安全措施及服務(wù)，對功能軟件中的安全框架和安全服務(wù)等提供支撐，以及保障系統(tǒng)軟件的安全可靠及信息安全等，提升整體車控系統(tǒng)的穩(wěn)定性和安全性。
通信中間件具備服務(wù)發(fā)現(xiàn)、遠程服務(wù)調(diào)用、讀寫進程信息等典型功能，實現(xiàn)車內(nèi)進程內(nèi)、跨進程、跨內(nèi)核、跨 CPU 及板間，甚至跨車云統(tǒng)一通信機制。
ARA提供管理中間件和通信中間件等的向上接口。
二、功能軟件
功能軟件根據(jù)自動駕駛共性需求定義和實現(xiàn)通用模塊，是支撐智能駕駛應(yīng)用生態(tài)建設(shè)的重要層級。功能軟件包括功能框架層、功能服務(wù)層、應(yīng)用軟件接口及服務(wù)。
2.1 功能框架層
功能框架層是功能軟件的核心和驅(qū)動部分，由數(shù)據(jù)抽象、數(shù)據(jù)流框架、車云協(xié)同框架、安全框架組成。一方面，針對智能駕駛產(chǎn)生的安全和產(chǎn)品化共性需求，通過設(shè)計和實現(xiàn)通用框架模塊來滿足這些共性需求，是保障智能駕駛系統(tǒng)實時、安全、可擴展和可定制的基礎(chǔ)。另一方面，隨著高階智駕應(yīng)用的逐步實現(xiàn)，以及大模型在智駕的廣泛應(yīng)用，面對更復(fù)雜更多樣的場景，可以通過車云計算框架對云端（邊緣）的強大算力和存儲資源進行利用，在實時和安全基礎(chǔ)上，實現(xiàn)對大規(guī)模計算需求的協(xié)同分配和實時處理，云端的算法和模型在車規(guī)下也可以進一步提升到更復(fù)雜和高級的決策和規(guī)劃。
數(shù)據(jù)抽象是針對不同傳感器、車輛底盤、外圍硬件等的原始數(shù)據(jù)進行處理和封裝，提供統(tǒng)一的數(shù)據(jù)格式。通過標(biāo)準(zhǔn)格式為上層的智能駕駛通用模型提供各種不同的數(shù)據(jù)源，進而建立異構(gòu)硬件數(shù)據(jù)抽象，達到屏蔽硬件差異、開發(fā)平臺差異，應(yīng)用軟件與系統(tǒng)軟件分層解耦。
數(shù)據(jù)流框架是依托通信中間件，提供可定制數(shù)據(jù)接口和實時數(shù)據(jù)處理框架。數(shù)據(jù)流框架一是能夠屏蔽應(yīng)用與硬件平臺和系統(tǒng)軟件，確保算法應(yīng)用之間的解耦和可靠通信；二是支持對智能駕駛應(yīng)用和算法的數(shù)據(jù)流節(jié)點的拓撲關(guān)系進行編排；三是結(jié)合系統(tǒng)性能及功能安全等需求，將不同的節(jié)點部署到特定的 AI 加速單元、計算域、安全域等處理單元；四是可以根據(jù)任務(wù)的優(yōu)先級、實時性要求和資源可用性等因素，對任務(wù)進行合理的調(diào)度和分配，確保各功能模塊按照其優(yōu)先級和時序進行合理調(diào)度和執(zhí)行。數(shù)據(jù)流框架可滿足自動駕駛系統(tǒng)能夠在實時性要求下運行，以保證在復(fù)雜的交通環(huán)境中能夠安全和穩(wěn)定的運行。
車云協(xié)同框架實現(xiàn)了智能網(wǎng)聯(lián)車與云計算、邊緣計算等關(guān)鍵車路云協(xié)同技術(shù)的有機融合。車云協(xié)同框架需要提供可靠的數(shù)據(jù)傳輸和同步機制，以確保車輛與云端之間的數(shù)據(jù)傳輸和同步的效率和準(zhǔn)確性，以及提供可靠的網(wǎng)絡(luò)通信和安全機制，同時支持車輛端和云端之間的協(xié)同處理，將計算任務(wù)在不同的計算資源之間進行分布和協(xié)作。
安全框架提供了一系列的功能安全機制和措施，包括對硬件設(shè)備、操作系統(tǒng)、應(yīng)用程序等進行實時監(jiān)測，在發(fā)現(xiàn)相關(guān)故障時及時處理，防止故障蔓延，進而影響整個系統(tǒng)的運行。其中，安全監(jiān)控模塊包括設(shè)備監(jiān)控、資源監(jiān)控、應(yīng)用程序監(jiān)控等，在檢測到異常狀態(tài)時，通過安全監(jiān)控及時上報，由安全監(jiān)控服務(wù)程序根據(jù)系統(tǒng)配置進行決策處理。完整的安全框架也包括控制單元的安全保底功能，為系統(tǒng)提供失效降級、失效運行等機制，同時滿足控制單元 ASIL-D 的功能安全要求。AI 大模型的不確定性特質(zhì)也需要安全框架提供對應(yīng)的安全檢測機制及接口，可以增加 AI 大模型的異構(gòu)冗余算法，與 AI 接口結(jié)合，實現(xiàn) AI 大模型的安全監(jiān)測，及復(fù)用控制單元的安全保底功能。
2.2 功能服務(wù)層
功能服務(wù)層為智能駕駛功能提供支持，主要包含算法組件/ 模型庫和基礎(chǔ)服務(wù)。算法/模型庫提供智能駕駛應(yīng)用的可拆解重組的算法模塊和原子組件庫，隨著深度學(xué)習(xí)和神經(jīng)網(wǎng)絡(luò)、多模態(tài)感知、強化學(xué)習(xí)等技術(shù)發(fā)展，算法組件/模型庫提供的算法模塊需要不斷豐富擴展，借助新技術(shù)，以適應(yīng)更復(fù)雜、更廣泛的智駕應(yīng)用場景。基礎(chǔ)服務(wù)為智能駕駛系統(tǒng)提供必要的功能和支持，隨著智能駕駛技術(shù)的發(fā)展，AI 大模型、數(shù)據(jù)安全和網(wǎng)絡(luò)安全將成為更加關(guān)鍵的問題，全面要求（信息）安全服務(wù)和數(shù)據(jù)閉環(huán)服務(wù)等，基礎(chǔ)服務(wù)同時需要具備可擴展性，不斷演進和創(chuàng)新，以應(yīng)對智能駕駛技術(shù)的挑戰(zhàn)和需求。
1）算法組件/模型庫
算法組件/模型庫是多個獨立的算法組件模塊及模型組成，用戶可通過對這些模塊的直接或組合使用，形成智能駕駛系統(tǒng)中不同的功能。智能駕駛算法組件和模型庫主要為支撐智能駕駛算法進行高效開發(fā)，提供智能駕駛應(yīng)用的可拆解重組的算法模塊和原子組件庫，支持組件式開發(fā)，并可自由擴展和引入第三方單元可插擴算法模塊，快速實現(xiàn)環(huán)境感知、融合定位、決策規(guī)劃、運動控制、以及”數(shù)據(jù)驅(qū)動”的大模型等算法開發(fā)。
環(huán)境感知是對車輛周圍的環(huán)境和道路條件進行感知和理解，幫助智能駕駛系統(tǒng)決策規(guī)劃。感知算法模型庫提供預(yù)置的可拆解重組的感知算法原子組件，包含基于 Transformer+BEV 技術(shù)下的多模態(tài)多種傳感器（如攝像頭、毫米波雷達、激光雷達等）下的端到端感知模型組件化和配置化開發(fā)。
融合定位是指利用多種傳感器技術(shù)對車輛位置和環(huán)境信息進行綜合處理，以實現(xiàn)精確的定位和導(dǎo)航功能。融合定位模型庫提供預(yù)置的可拆解重組的融合定位算法原子組件。
決策規(guī)劃是基于感知和預(yù)測結(jié)果進行路線與軌跡的決策規(guī)劃。決策規(guī)劃模型庫提供預(yù)置的可拆解重組的規(guī)劃算法原子組件，包括通用 AI 和基于規(guī)則的決策規(guī)劃算法組件化和配置化開發(fā)，實現(xiàn)對道路環(huán)境進行全面、精細的建模和理解，對交通參與者的行為和意圖進行準(zhǔn)確的預(yù)測和分析，制定出最優(yōu)的行動策略。
運動控制是根據(jù)決策規(guī)劃的輸出結(jié)果，對車輛的橫縱向進行控制。運動控制模型庫提供預(yù)置的可拆解重組的控制算法原子組件。
大模型庫是指隨大模型的迅猛發(fā)展，不僅自動駕駛感知，融 合、決策規(guī)劃甚至控制也采用了 AI 及大模型，“數(shù)據(jù)驅(qū)動”成為自動駕駛算法的主要技術(shù)路線。應(yīng)用在自動駕駛上的大模型框架以及共性模型也將是新型的算法組件及模型庫。端到端、輕量化優(yōu)化、多模態(tài)整合、通用 AI 等多種 AI 大模型前端技術(shù)需要在功能軟件中建立相應(yīng)的共性支撐和實時計算框架。使用大模型可以顯著提升智能駕駛系統(tǒng)的感知、決策能力，使得車輛能夠更加準(zhǔn)確地識別和適應(yīng)各種復(fù)雜的交通環(huán)境。
2）基礎(chǔ)服務(wù)
基礎(chǔ)服務(wù)支持智能駕駛系統(tǒng)的安全、可靠和高效運行，包括數(shù)據(jù)服務(wù)、配置服務(wù)、地圖服務(wù)、網(wǎng)聯(lián)服務(wù)、安全服務(wù)等。這些基礎(chǔ)服務(wù)在智能駕駛操作系統(tǒng)中起著關(guān)鍵的作用，支持智能駕駛系統(tǒng)的安全、可靠和高效運行。它們相互協(xié)作，為智能駕駛系統(tǒng)提供必要的功能和支持。
數(shù)據(jù)服務(wù)為智能駕駛車輛提供數(shù)據(jù)采集和處理的服務(wù)。需要支持?jǐn)?shù)據(jù)的采集、觸發(fā)、預(yù)處理、存儲、回傳等能力，特別是大模型下的數(shù)據(jù)閉環(huán)支撐。采集服務(wù)負責(zé)采集任務(wù)的生命周期管理，包括任務(wù)建立，收集數(shù)據(jù)、放入緩存。采集對象為結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)，數(shù)據(jù)服務(wù)需要提供用戶可配、場景及不同負載下可調(diào)的采集和預(yù)處理配置，對采集的數(shù)據(jù)、頻率、策略以及存儲策略等進行定制化管理和限制。
配置服務(wù)對外提供統(tǒng)一的配置接口，支持進行外部鏈接，獲取用戶配置設(shè)定，以及返回配置后的結(jié)果。可以依據(jù)需求通過動態(tài)庫和配置來進行加載和使用。在與各種用戶界面（UI）進行交互時，配置服務(wù)應(yīng)提供統(tǒng)一的數(shù)據(jù)獲取與數(shù)據(jù)發(fā)送的方式，便于各種 UI 進行相關(guān)的適配。配置服務(wù)還應(yīng)負責(zé)處理和緩存所有的數(shù)據(jù)，保證數(shù)據(jù)的一致性，并統(tǒng)籌處理命令沖突的決策。
地圖服務(wù)提供高精度、實時的地圖數(shù)據(jù)，以支持智能駕駛系統(tǒng)的定位、路徑規(guī)劃和決策制定。實現(xiàn)系統(tǒng)與不同廠商的高精地圖數(shù)據(jù)接入，支持高級駕駛輔助系統(tǒng)（ADAS）功能獲取地圖相關(guān)的感知數(shù)據(jù)，支持基于高精地圖的定位服務(wù)。地圖服務(wù)提供了包含 EHP（電子地平線提供者）、EHR（電子地平線解析者） 在內(nèi)的一系列模塊，并對外提供統(tǒng)一的接口獲取數(shù)據(jù)。
網(wǎng)聯(lián)服務(wù)是指智能駕駛技術(shù)和網(wǎng)絡(luò) V2X 技術(shù)相結(jié)合，使車輛通過網(wǎng)聯(lián)實現(xiàn)數(shù)據(jù)交換和通信、車輛間交通信息共享和云端控制等，如信號燈和其他車實時感知或決策信息，可以通過網(wǎng)聯(lián)服務(wù)及數(shù)據(jù)流框架與感知和決策規(guī)劃相融合。網(wǎng)聯(lián)服務(wù)為智能駕駛系統(tǒng)提供遠程監(jiān)控、數(shù)據(jù)上傳和指令下發(fā)等功能， 云端獲取實時交通信息、車輛狀態(tài)、位置、傳感器數(shù)據(jù)等信息，通過數(shù)據(jù)分析下發(fā)指令給車輛，實現(xiàn)遠程控制和協(xié)同操作、全局管理等。
安全服務(wù)包括數(shù)據(jù)安全、網(wǎng)絡(luò)安全、AI 安全等，為智駕系統(tǒng)提供應(yīng)用信息安全服務(wù)，為車輛數(shù)據(jù)和個人隱私提供了全生命周期的安全防護機制，并保護智能駕駛系統(tǒng)免受未經(jīng)授權(quán)的訪問、篡改和破壞。采用不同的防護手段，以數(shù)據(jù)安全分級為基礎(chǔ)，按照一定的規(guī)則和策略實現(xiàn)對數(shù)據(jù)進行全生命周期的管控，包括對數(shù)據(jù)建立分類分級處理機制、對敏感個人信息進行加密、提供安全的數(shù)據(jù)傳輸通道、對車外個人信息進行脫敏等。對車載計算平臺的系統(tǒng)完整性保護、機密性保護、身份和訪問權(quán)限控制；對智能駕駛應(yīng)用及通信的安全管理和安全隔離、邊界和通信安全、應(yīng)用層安全等，如智能駕駛域與車內(nèi)網(wǎng)其他節(jié)點以及 V2X 節(jié)點和云端的傳輸安全，車載智能計算基礎(chǔ)平臺內(nèi)部多域之間以及與執(zhí)行器之間的訪問控制、加密保護和監(jiān)控等；提供 AI 模型加密、模型完整性驗證等方式確保模型的安全性，避免遭受對抗性樣本攻擊，模型篡改等問題；建立基于 AI 及大模型的攻擊檢測引擎以及對應(yīng)的檢測簽名庫，并實時安全應(yīng)用到 AI 接口或大模型庫中。
2.3 應(yīng)用軟件接口及服務(wù)
應(yīng)用軟件接口及服務(wù)是車控操作系統(tǒng)為應(yīng)用軟件開發(fā)所提供的跨平臺統(tǒng)一接口，降低技術(shù)門檻，提升開發(fā)效率。應(yīng)用軟件接口主要包括配置接口、開發(fā)接口和數(shù)據(jù)交換接口。配置接口主要為傳感器和執(zhí)行器的適配和標(biāo)定提供相應(yīng)接口；開發(fā)接口主要為數(shù)據(jù)流框架的應(yīng)用模板定義、定制化擴展、節(jié)點定義、節(jié)點的編排、部署和調(diào)度等，也包括基于算法組件和模型庫開發(fā)所需要的接口算法；數(shù)據(jù)交換接口實現(xiàn)應(yīng)用軟件與功能軟件之間、功能軟件內(nèi)部之間的數(shù)據(jù)交換格式定義和自定義擴展，包括傳感器接口、執(zhí)行器接口、自車狀態(tài)接口、地圖接口、感知融合接口、定位接口等，用戶可基于接口開發(fā)和集成應(yīng)用軟件。同時，可通過服務(wù)配置接口，進行基礎(chǔ)服務(wù)的差異化配置和擴展性開發(fā)，支撐軟件靈活迭代，實現(xiàn)軟件定義和 SOA 開發(fā)，為用戶提供千人千面的用戶體驗。這些接口和服務(wù)共同為智能網(wǎng)聯(lián)汽車系統(tǒng)的開發(fā)和應(yīng)用提供了支持和便利。
轉(zhuǎn)自汽車電子與軟件
