背景：
本文節(jié)選自《車載智能計算基礎平臺參考架構2.0》，該參考架構主要內容及觀點是編寫組依據(jù)參考架構1.0為基礎藍本，調研當前行業(yè)實際現(xiàn)狀及結合未來3-5年產品技術發(fā)展趨勢形成的總結及思考研判。車載智能計算基礎平臺參考架構將隨著智能網(wǎng)聯(lián)汽車行業(yè)發(fā)展繼續(xù)更新。本白皮書由中國汽車工程學會汽車基礎軟件分會公眾號公布全文，歡迎關注官方微信公眾號：CSAE汽車基礎軟件分會
車控操作系統(tǒng)是車載智能計算基礎平臺的核心和軟件棧。
按應用領域劃分，車控操作系統(tǒng)包括智能駕駛操作系統(tǒng)和安全車控操作系統(tǒng)。其中，智能駕駛操作系統(tǒng)主要面向智能駕駛領域，支撐感知、定位、規(guī)劃、決策等功能的實現(xiàn)，對安全性和可靠性要求較高。安全車控操作系統(tǒng)主要面向經(jīng)典車輛控制領域，如動力系統(tǒng)、底盤系統(tǒng)和車身系統(tǒng)等，對實時性和安全性要求極高。為保證車載智能計算基礎平臺的安全可靠，車控操作系統(tǒng)一般需要滿足 ASIL-B 以上等級功能安全要求（安全車控操作系統(tǒng)需滿足 ASIL-D），并根據(jù)自動駕駛需求進行適度擴展。
按邏輯層次劃分，車控操作系統(tǒng)包括系統(tǒng)軟件和功能軟件。系統(tǒng)軟件創(chuàng)建了復雜嵌入式系統(tǒng)的運行環(huán)境，包含內核以及與 AUTOSAR 軟件架構類似并兼容的中間件層，系統(tǒng)軟件運行在通用計算單元與控制單元上。功能軟件利用硬件及系統(tǒng)軟件接口，針對智能駕駛應用提供實時、安全框架，算法共性組件及重要服務等通用模塊，以完整實現(xiàn)應用與硬件和車控操作系統(tǒng)的解耦、并定制高效擴展。
一、系統(tǒng)軟件
系統(tǒng)軟件是為智能網(wǎng)聯(lián)汽車應用場景設計的復雜大規(guī)模嵌入式系統(tǒng)運行環(huán)境。系統(tǒng)軟件從底向上包括驅動層、操作系統(tǒng)內核與中間件層。
1.1 跨內核驅動框架層
針對車控操作系統(tǒng)對硬件及應用的廣泛覆蓋，多種內核架構及方案實現(xiàn)下，通用跨內核驅動框架會進一步完善分層解耦及高效集成?？鐑群蓑寗涌蚣苤饕膫€方面。一是架構設計。包括驅動模型、硬件抽象、核心接口等， 支持常見的宏內核、微內核、混合內核架構等。二是硬件抽象。實現(xiàn)對不同硬件的抽象和封裝。三是核心接口。定義跨內核的通用驅動接口，例如文件操作接口、中斷處理接口、內存管理接口等。四是驅動模型。定義驅動程序的基本模型和框架，例如字符設備驅動、塊設備驅動、總線設備驅動等。
車控操作系統(tǒng)中的跨內核驅動框架相比面向單一內核的驅動具有可移植性強、開發(fā)效率高、維護成本低、兼容性好且升級方便等優(yōu)勢。跨內核驅動只需要開發(fā)一次，就可以工作在不同的操作系統(tǒng)內核上，大大提高了驅動程序的可移植性，降低開發(fā)門檻和維護成本，提升升級效率。
1.2 操作系統(tǒng)內核
面向復雜駕駛場景的車控操作系統(tǒng)內核層需要實現(xiàn)多內核設計。操作系統(tǒng)內核主要負責管理汽車的硬件資源，并為上層軟件提供進程、線程、內存、網(wǎng)絡和安全等基礎支持。車載智能計算基礎平臺異構分布硬件架構中，不同單元加載的內核應具有不同的功能安全等級：支持 AI 計算單元的操作系統(tǒng)內核功能安全等級為 QM~ASIL-B；支持通用計算單元的操作系統(tǒng)內核功能安全等級為 QM~ASIL-B；支持控制單元的操作系統(tǒng)內核功能安全等級為 ASIL-D。這就需要安全等級不同的多內核設計，或者單個內核支持不同功能安全等級應用的設計。
應用在汽車中的實時操作系統(tǒng)選擇時需考慮功能安全等級和市場成熟度。由于車載智能計算基礎平臺的復雜性，操作系統(tǒng)內核必須對系統(tǒng)軟件、功能軟件以及應用軟件的庫進行支持并且具備可擴展性和可持續(xù)演進能力。國內企業(yè)已經(jīng)推出多款自主研發(fā)的操作系統(tǒng)內核，部分已開源并探索商用。
在異構分布硬件架構中，獨立的安全處理單元已成為芯片設計的重要方向。獨立的安全處理單元可支撐運行可信內核、密碼庫，提供安全可信的服務功能接口?？尚艃群嗽鰪娏藢γ艽a訪問的服務支持。
虛擬化管理包括 Hypervisor 和虛擬機監(jiān)視器（VMM）等，利用硬件輔助虛擬化技術有效地實現(xiàn)系統(tǒng)資源的整合和隔離。車控操作系統(tǒng)基于異構分布硬件架構，不同安全和實時性要求下，應用程序可能需要依賴不同的內核環(huán)境和驅動，但在物理層面上要共享 CPU 等硬件資源。虛擬化管理起到了至關重要的作用，不僅能支撐實現(xiàn)跨平臺應用的運行，而且能顯著提高硬件的使用效率。
POSIX API 提升跨多種操作系統(tǒng)內核的兼容性。POSIX API 有實時擴展，包括定時器和時間管理、優(yōu)先級調度互斥量和條件變量、消息隊列、共享內存、異步 I/O 和同步 I/O 等。
1.3 中間件層
內核接口是操作系統(tǒng)內核對上層軟件提供的服務接口，支持內存分配、調度管理、I/O 處理、同步互斥等功能。中間件向下獲取操作系統(tǒng)內核的系統(tǒng)接口服務支持，向上支撐功能軟件層提供系統(tǒng)中間件的服務和接口。
SOA 框架通常包含模塊化服務、服務注冊發(fā)現(xiàn)等，與通信中間件共同完整跨域面向服務開發(fā)架構。
AI 模型接口及開發(fā)庫（SDK）,不同芯片廠商提供各自的 AI SDK，用于模型轉換和初始化、加載、推理等，通過 AI 模型接口抽象不同芯片 SDK 為統(tǒng)一接口，支撐自動駕駛 AI 大模型模型和應用跨芯片移植和運行。
管理中間件中包括數(shù)據(jù)加密、身份驗證、健康管理、網(wǎng)絡與系統(tǒng)安全監(jiān)測、OTA 升級等安全措施及服務，對功能軟件中的安全框架和安全服務等提供支撐，以及保障系統(tǒng)軟件的安全可靠及信息安全等，提升整體車控系統(tǒng)的穩(wěn)定性和安全性。
通信中間件具備服務發(fā)現(xiàn)、遠程服務調用、讀寫進程信息等典型功能，實現(xiàn)車內進程內、跨進程、跨內核、跨 CPU 及板間，甚至跨車云統(tǒng)一通信機制。
ARA提供管理中間件和通信中間件等的向上接口。
二、功能軟件
功能軟件根據(jù)自動駕駛共性需求定義和實現(xiàn)通用模塊，是支撐智能駕駛應用生態(tài)建設的重要層級。功能軟件包括功能框架層、功能服務層、應用軟件接口及服務。
2.1 功能框架層
功能框架層是功能軟件的核心和驅動部分，由數(shù)據(jù)抽象、數(shù)據(jù)流框架、車云協(xié)同框架、安全框架組成。一方面，針對智能駕駛產生的安全和產品化共性需求，通過設計和實現(xiàn)通用框架模塊來滿足這些共性需求，是保障智能駕駛系統(tǒng)實時、安全、可擴展和可定制的基礎。另一方面，隨著高階智駕應用的逐步實現(xiàn)，以及大模型在智駕的廣泛應用，面對更復雜更多樣的場景，可以通過車云計算框架對云端（邊緣）的強大算力和存儲資源進行利用，在實時和安全基礎上，實現(xiàn)對大規(guī)模計算需求的協(xié)同分配和實時處理，云端的算法和模型在車規(guī)下也可以進一步提升到更復雜和高級的決策和規(guī)劃。
數(shù)據(jù)抽象是針對不同傳感器、車輛底盤、外圍硬件等的原始數(shù)據(jù)進行處理和封裝，提供統(tǒng)一的數(shù)據(jù)格式。通過標準格式為上層的智能駕駛通用模型提供各種不同的數(shù)據(jù)源，進而建立異構硬件數(shù)據(jù)抽象，達到屏蔽硬件差異、開發(fā)平臺差異，應用軟件與系統(tǒng)軟件分層解耦。
數(shù)據(jù)流框架是依托通信中間件，提供可定制數(shù)據(jù)接口和實時數(shù)據(jù)處理框架。數(shù)據(jù)流框架一是能夠屏蔽應用與硬件平臺和系統(tǒng)軟件，確保算法應用之間的解耦和可靠通信；二是支持對智能駕駛應用和算法的數(shù)據(jù)流節(jié)點的拓撲關系進行編排；三是結合系統(tǒng)性能及功能安全等需求，將不同的節(jié)點部署到特定的 AI 加速單元、計算域、安全域等處理單元；四是可以根據(jù)任務的優(yōu)先級、實時性要求和資源可用性等因素，對任務進行合理的調度和分配，確保各功能模塊按照其優(yōu)先級和時序進行合理調度和執(zhí)行。數(shù)據(jù)流框架可滿足自動駕駛系統(tǒng)能夠在實時性要求下運行，以保證在復雜的交通環(huán)境中能夠安全和穩(wěn)定的運行。
車云協(xié)同框架實現(xiàn)了智能網(wǎng)聯(lián)車與云計算、邊緣計算等關鍵車路云協(xié)同技術的有機融合。車云協(xié)同框架需要提供可靠的數(shù)據(jù)傳輸和同步機制，以確保車輛與云端之間的數(shù)據(jù)傳輸和同步的效率和準確性，以及提供可靠的網(wǎng)絡通信和安全機制，同時支持車輛端和云端之間的協(xié)同處理，將計算任務在不同的計算資源之間進行分布和協(xié)作。
安全框架提供了一系列的功能安全機制和措施，包括對硬件設備、操作系統(tǒng)、應用程序等進行實時監(jiān)測，在發(fā)現(xiàn)相關故障時及時處理，防止故障蔓延，進而影響整個系統(tǒng)的運行。其中，安全監(jiān)控模塊包括設備監(jiān)控、資源監(jiān)控、應用程序監(jiān)控等，在檢測到異常狀態(tài)時，通過安全監(jiān)控及時上報，由安全監(jiān)控服務程序根據(jù)系統(tǒng)配置進行決策處理。完整的安全框架也包括控制單元的安全保底功能，為系統(tǒng)提供失效降級、失效運行等機制，同時滿足控制單元 ASIL-D 的功能安全要求。AI 大模型的不確定性特質也需要安全框架提供對應的安全檢測機制及接口，可以增加 AI 大模型的異構冗余算法，與 AI 接口結合，實現(xiàn) AI 大模型的安全監(jiān)測，及復用控制單元的安全保底功能。
2.2 功能服務層
功能服務層為智能駕駛功能提供支持，主要包含算法組件/ 模型庫和基礎服務。算法/模型庫提供智能駕駛應用的可拆解重組的算法模塊和原子組件庫，隨著深度學習和神經(jīng)網(wǎng)絡、多模態(tài)感知、強化學習等技術發(fā)展，算法組件/模型庫提供的算法模塊需要不斷豐富擴展，借助新技術，以適應更復雜、更廣泛的智駕應用場景?；A服務為智能駕駛系統(tǒng)提供必要的功能和支持，隨著智能駕駛技術的發(fā)展，AI 大模型、數(shù)據(jù)安全和網(wǎng)絡安全將成為更加關鍵的問題，全面要求（信息）安全服務和數(shù)據(jù)閉環(huán)服務等，基礎服務同時需要具備可擴展性，不斷演進和創(chuàng)新，以應對智能駕駛技術的挑戰(zhàn)和需求。
1）算法組件/模型庫
算法組件/模型庫是多個獨立的算法組件模塊及模型組成，用戶可通過對這些模塊的直接或組合使用，形成智能駕駛系統(tǒng)中不同的功能。智能駕駛算法組件和模型庫主要為支撐智能駕駛算法進行高效開發(fā)，提供智能駕駛應用的可拆解重組的算法模塊和原子組件庫，支持組件式開發(fā)，并可自由擴展和引入第三方單元可插擴算法模塊，快速實現(xiàn)環(huán)境感知、融合定位、決策規(guī)劃、運動控制、以及”數(shù)據(jù)驅動”的大模型等算法開發(fā)。
環(huán)境感知是對車輛周圍的環(huán)境和道路條件進行感知和理解，幫助智能駕駛系統(tǒng)決策規(guī)劃。感知算法模型庫提供預置的可拆解重組的感知算法原子組件，包含基于 Transformer+BEV 技術下的多模態(tài)多種傳感器（如攝像頭、毫米波雷達、激光雷達等）下的端到端感知模型組件化和配置化開發(fā)。
融合定位是指利用多種傳感器技術對車輛位置和環(huán)境信息進行綜合處理，以實現(xiàn)精確的定位和導航功能。融合定位模型庫提供預置的可拆解重組的融合定位算法原子組件。
決策規(guī)劃是基于感知和預測結果進行路線與軌跡的決策規(guī)劃。決策規(guī)劃模型庫提供預置的可拆解重組的規(guī)劃算法原子組件，包括通用 AI 和基于規(guī)則的決策規(guī)劃算法組件化和配置化開發(fā)，實現(xiàn)對道路環(huán)境進行全面、精細的建模和理解，對交通參與者的行為和意圖進行準確的預測和分析，制定出最優(yōu)的行動策略。
運動控制是根據(jù)決策規(guī)劃的輸出結果，對車輛的橫縱向進行控制。運動控制模型庫提供預置的可拆解重組的控制算法原子組件。
大模型庫是指隨大模型的迅猛發(fā)展，不僅自動駕駛感知，融 合、決策規(guī)劃甚至控制也采用了 AI 及大模型，“數(shù)據(jù)驅動”成為自動駕駛算法的主要技術路線。應用在自動駕駛上的大模型框架以及共性模型也將是新型的算法組件及模型庫。端到端、輕量化優(yōu)化、多模態(tài)整合、通用 AI 等多種 AI 大模型前端技術需要在功能軟件中建立相應的共性支撐和實時計算框架。使用大模型可以顯著提升智能駕駛系統(tǒng)的感知、決策能力，使得車輛能夠更加準確地識別和適應各種復雜的交通環(huán)境。
2）基礎服務
基礎服務支持智能駕駛系統(tǒng)的安全、可靠和高效運行，包括數(shù)據(jù)服務、配置服務、地圖服務、網(wǎng)聯(lián)服務、安全服務等。這些基礎服務在智能駕駛操作系統(tǒng)中起著關鍵的作用，支持智能駕駛系統(tǒng)的安全、可靠和高效運行。它們相互協(xié)作，為智能駕駛系統(tǒng)提供必要的功能和支持。
數(shù)據(jù)服務為智能駕駛車輛提供數(shù)據(jù)采集和處理的服務。需要支持數(shù)據(jù)的采集、觸發(fā)、預處理、存儲、回傳等能力，特別是大模型下的數(shù)據(jù)閉環(huán)支撐。采集服務負責采集任務的生命周期管理，包括任務建立，收集數(shù)據(jù)、放入緩存。采集對象為結構化數(shù)據(jù)和非結構化數(shù)據(jù)，數(shù)據(jù)服務需要提供用戶可配、場景及不同負載下可調的采集和預處理配置，對采集的數(shù)據(jù)、頻率、策略以及存儲策略等進行定制化管理和限制。
配置服務對外提供統(tǒng)一的配置接口，支持進行外部鏈接，獲取用戶配置設定，以及返回配置后的結果?？梢砸罁?jù)需求通過動態(tài)庫和配置來進行加載和使用。在與各種用戶界面（UI）進行交互時，配置服務應提供統(tǒng)一的數(shù)據(jù)獲取與數(shù)據(jù)發(fā)送的方式，便于各種 UI 進行相關的適配。配置服務還應負責處理和緩存所有的數(shù)據(jù)，保證數(shù)據(jù)的一致性，并統(tǒng)籌處理命令沖突的決策。
地圖服務提供高精度、實時的地圖數(shù)據(jù)，以支持智能駕駛系統(tǒng)的定位、路徑規(guī)劃和決策制定。實現(xiàn)系統(tǒng)與不同廠商的高精地圖數(shù)據(jù)接入，支持高級駕駛輔助系統(tǒng)（ADAS）功能獲取地圖相關的感知數(shù)據(jù)，支持基于高精地圖的定位服務。地圖服務提供了包含 EHP（電子地平線提供者）、EHR（電子地平線解析者） 在內的一系列模塊，并對外提供統(tǒng)一的接口獲取數(shù)據(jù)。
網(wǎng)聯(lián)服務是指智能駕駛技術和網(wǎng)絡 V2X 技術相結合，使車輛通過網(wǎng)聯(lián)實現(xiàn)數(shù)據(jù)交換和通信、車輛間交通信息共享和云端控制等，如信號燈和其他車實時感知或決策信息，可以通過網(wǎng)聯(lián)服務及數(shù)據(jù)流框架與感知和決策規(guī)劃相融合。網(wǎng)聯(lián)服務為智能駕駛系統(tǒng)提供遠程監(jiān)控、數(shù)據(jù)上傳和指令下發(fā)等功能， 云端獲取實時交通信息、車輛狀態(tài)、位置、傳感器數(shù)據(jù)等信息，通過數(shù)據(jù)分析下發(fā)指令給車輛，實現(xiàn)遠程控制和協(xié)同操作、全局管理等。
安全服務包括數(shù)據(jù)安全、網(wǎng)絡安全、AI 安全等，為智駕系統(tǒng)提供應用信息安全服務，為車輛數(shù)據(jù)和個人隱私提供了全生命周期的安全防護機制，并保護智能駕駛系統(tǒng)免受未經(jīng)授權的訪問、篡改和破壞。采用不同的防護手段，以數(shù)據(jù)安全分級為基礎，按照一定的規(guī)則和策略實現(xiàn)對數(shù)據(jù)進行全生命周期的管控，包括對數(shù)據(jù)建立分類分級處理機制、對敏感個人信息進行加密、提供安全的數(shù)據(jù)傳輸通道、對車外個人信息進行脫敏等。對車載計算平臺的系統(tǒng)完整性保護、機密性保護、身份和訪問權限控制；對智能駕駛應用及通信的安全管理和安全隔離、邊界和通信安全、應用層安全等，如智能駕駛域與車內網(wǎng)其他節(jié)點以及 V2X 節(jié)點和云端的傳輸安全，車載智能計算基礎平臺內部多域之間以及與執(zhí)行器之間的訪問控制、加密保護和監(jiān)控等；提供 AI 模型加密、模型完整性驗證等方式確保模型的安全性，避免遭受對抗性樣本攻擊，模型篡改等問題；建立基于 AI 及大模型的攻擊檢測引擎以及對應的檢測簽名庫，并實時安全應用到 AI 接口或大模型庫中。
2.3 應用軟件接口及服務
應用軟件接口及服務是車控操作系統(tǒng)為應用軟件開發(fā)所提供的跨平臺統(tǒng)一接口，降低技術門檻，提升開發(fā)效率。應用軟件接口主要包括配置接口、開發(fā)接口和數(shù)據(jù)交換接口。配置接口主要為傳感器和執(zhí)行器的適配和標定提供相應接口；開發(fā)接口主要為數(shù)據(jù)流框架的應用模板定義、定制化擴展、節(jié)點定義、節(jié)點的編排、部署和調度等，也包括基于算法組件和模型庫開發(fā)所需要的接口算法；數(shù)據(jù)交換接口實現(xiàn)應用軟件與功能軟件之間、功能軟件內部之間的數(shù)據(jù)交換格式定義和自定義擴展，包括傳感器接口、執(zhí)行器接口、自車狀態(tài)接口、地圖接口、感知融合接口、定位接口等，用戶可基于接口開發(fā)和集成應用軟件。同時，可通過服務配置接口，進行基礎服務的差異化配置和擴展性開發(fā)，支撐軟件靈活迭代，實現(xiàn)軟件定義和 SOA 開發(fā)，為用戶提供千人千面的用戶體驗。這些接口和服務共同為智能網(wǎng)聯(lián)汽車系統(tǒng)的開發(fā)和應用提供了支持和便利。
轉自汽車電子與軟件
