智能駕駛域控制器的架構(gòu)應(yīng)用方案的演進(jìn)

前言：

1.早期：奧迪的zFAS（2015年4月開(kāi)發(fā)完成）是智能駕駛域控制器最早期的架構(gòu)形態(tài)，采用3顆SoC+MCU方案，該方案幾乎是把當(dāng)時(shí)在各個(gè)應(yīng)用領(lǐng)域性能最優(yōu)的芯片組合在了一起。zFAS模塊包含：SoC-1（Mobileye-EyeQ3）+ SoC-2（英偉達(dá)-Tegra K1VCM）+SoC-3（Altera-CycloneV）+MCU（英飛凌—Aurix-TC297T）

Mobileye - EyeQ3 ：負(fù)責(zé)前置攝像頭圖像處理；

NVIDIA - Tegra K1 VCM ：負(fù)責(zé)環(huán)視攝像頭圖像處理以及駕駛員的狀態(tài)監(jiān)控；

Altera - CycloneV：負(fù)責(zé)超聲波信號(hào)處理；攝像頭、毫米波雷達(dá)和激光雷達(dá)等多源傳感器數(shù)據(jù)融合；作為內(nèi)部網(wǎng)關(guān)實(shí)現(xiàn)內(nèi)部通信；

Infineon - Aurix TC297T ：用于監(jiān)控系統(tǒng)的運(yùn)行狀態(tài)，并對(duì)外進(jìn)行通信。

受限于整個(gè)行業(yè)能提供的計(jì)算平臺(tái)算力水平（EyeQ3的AI算力為0.256TOPS，Tegra K1 VCM單浮點(diǎn)運(yùn)算性能為350GFLOPS，Cyclone V的CPU算力為5250DMIPS），導(dǎo)致zFAS的整體性能水平受到了很大的限制。

兩個(gè)不同時(shí)間段芯片性能的定性比較

zFAS的電路主板示意圖（圖片來(lái)源 - 硬核汽車電子）

備注：該域控制器由Mobieye提供EyeQ3芯片及對(duì)應(yīng)的軟件方案，TTTech提供中間件，奧迪自研一些上層應(yīng)用算法，安波福進(jìn)行系統(tǒng)集成。

2.現(xiàn)狀：隨著芯片廠商開(kāi)放度提升，SoC芯片集成的異構(gòu)資源不斷豐富，以及CPU算力和AI算力的大幅提高，行車和泊車傳感器的數(shù)據(jù)處理、數(shù)據(jù)融合等軟件算法開(kāi)始逐漸地集成到一個(gè)功能更強(qiáng)大的異構(gòu)SoC里面去完成。因此，智駕域控硬件方案中選用SoC芯片的種類在減少，但仍然需要ASIL D級(jí)別的MCU作為輔助支持，比如德賽西威的IPU03：英偉達(dá)-Xavier + 英飛凌Safety MCU；華為的MDC610：昇騰610芯片+英飛凌Safety MCU。雖然有一些域控方案里依然會(huì)使用2~4顆SoC，但大都是選擇同一種型號(hào)的SoC，比如特斯拉的 Autopilot HW3.0平臺(tái)采用2顆FSD芯片；蔚來(lái)的NIO Adam域控平臺(tái)采用4顆Orin X芯片。

信息來(lái)源：公開(kāi)資料整理

3.未來(lái)：隨著SoC芯片集成化程度不斷提高，越來(lái)越多的SoC芯片將會(huì)在內(nèi)部集成ASIL D等級(jí)的MCU核心-功能安全島。那么，外掛的MCU的角色有被SoC內(nèi)部的功能安全島所取代的趨勢(shì)，市場(chǎng)上將會(huì)逐漸出現(xiàn)越來(lái)越多的單SoC芯片域控解決方案。比如，知行科技的IDC MID版本，通過(guò)單顆TDA4VM芯片實(shí)現(xiàn)行泊一體方案，預(yù)計(jì)在今年下半年量產(chǎn)應(yīng)用。

備注：

外掛MCU：用于智能駕駛域控制上的SOC大多尚不能滿足高功能安全等級(jí)的要求，因此，在智駕域控的主板電路上還需要搭配一顆獨(dú)立的、達(dá)到ASILD等級(jí)的MCU芯片，比如英飛凌TC297/397等，用于滿足安全監(jiān)控、安全停車等高功能安全需求的應(yīng)用場(chǎng)景。 內(nèi)置MCU核心/功能安全島：通過(guò)在SoC內(nèi)部?jī)?nèi)置MCU核心，利用鎖步的方式提升SoC芯片自身的功能安全等級(jí)，同時(shí)外設(shè)接口也會(huì)更豐富，一般會(huì)設(shè)有單獨(dú)的CAN接口，作為和整車底盤(pán)和毫米波雷達(dá)的數(shù)據(jù)通訊接口，在緊急工況下實(shí)現(xiàn)車輛的安全停車。

一、SOC+ MCU硬件方案引發(fā)的思考

現(xiàn)在L2+及以上的智能駕駛域控硬件方案的形式主要是：N*SoC+MCU。其中，SoC一般主要負(fù)責(zé)感知、全局路徑規(guī)劃等，MCU則負(fù)責(zé)實(shí)時(shí)性要求很高的整車控制任務(wù)。為什么域控制器電路板上要布置一顆獨(dú)立的MCU芯片,它的作用是什么，去掉它到底行不行？

當(dāng)前已量產(chǎn)應(yīng)用的主流智駕域控硬件方案（信息來(lái)源：公開(kāi)資料整理）

1.1 外掛MCU的作用是什么？

在整個(gè)智能駕駛解決方案中，外掛MCU 需滿足功能安全 ASIL D要求，有多路CAN總線接口和高速以太網(wǎng)接口，能與車身傳感器連接，并接收和發(fā)送車身CAN總線和以太網(wǎng)信息，從而實(shí)現(xiàn)域控平臺(tái)與整車其它節(jié)點(diǎn)進(jìn)行交互。MCU主要支持的功能如下：

1）整車底盤(pán)控制功能：作為最后一道關(guān)口，對(duì)車輛的執(zhí)行命令進(jìn)行校驗(yàn)處理，并對(duì)接底盤(pán)的控制功能；

2）狀態(tài)監(jiān)控 ：供電模塊狀態(tài)、通信狀態(tài)、以及交互節(jié)點(diǎn)狀態(tài)的監(jiān)控等；

3）執(zhí)行最小安全風(fēng)險(xiǎn)策略：當(dāng)監(jiān)測(cè)到自動(dòng)駕駛系統(tǒng)發(fā)生故障時(shí)，外掛MCU會(huì)及時(shí)進(jìn)入最小安全風(fēng)險(xiǎn)條件，擔(dān)負(fù)起功能降級(jí)、駕駛員接管提醒、安全停車的作用。

1.2 去掉外掛MCU，到底行不行

如果打算去掉MCU，那么原先MCU干的“活”誰(shuí)來(lái)接替呢？只能是SOC了，那么，現(xiàn)在SOC到底有沒(méi)有這個(gè)能力把MCU的活全干了呢？按理說(shuō)是可以的，因?yàn)楝F(xiàn)在很多的SOC內(nèi)部開(kāi)始集成MCU核心-功能安全島，性能也越來(lái)越接近外掛的MCU，比如TDA4VM 內(nèi)部的功能安全島，已經(jīng)可以達(dá)到ASILD等級(jí)，在一些情況下是完全可以替代外掛MCU。

但是為什么現(xiàn)在主流方案依然還是采用SOC+外掛MCU呢？經(jīng)過(guò)找業(yè)界相關(guān)專家調(diào)研咨詢，下面從技術(shù)和商業(yè)化角度來(lái)進(jìn)行簡(jiǎn)單地進(jìn)行分析總結(jié)：

1）技術(shù)上不是很成熟

雖然越來(lái)越多的芯片廠商開(kāi)始考慮在SoC芯片內(nèi)部?jī)?nèi)置MCU核心，但與傳統(tǒng)成熟工藝的MCU相比，內(nèi)置的MCU核心在功能安全、實(shí)時(shí)性和可靠性方面尚存在一些差距，畢竟任何新技術(shù)和新產(chǎn)品都需要一定的時(shí)間驗(yàn)證。

安全性不足，內(nèi)存有限

英飛凌大中華區(qū)智能駕駛市場(chǎng)經(jīng)理余辰杰曾在一次公開(kāi)演講中提到：現(xiàn)在的 AI SoC 算力豐富，有 Cortex-A 核、NPU、GPU等。更有一些SoC內(nèi)部集成一個(gè)MCU級(jí)別的實(shí)時(shí)鎖步核，稱之為safety island。它似乎在灌輸一個(gè)概念，SoC里面加了一對(duì)鎖步核就是功能安全ASIL-D了。其實(shí)一對(duì)鎖步的實(shí)時(shí)核跟ECU系統(tǒng)，甚至僅僅是芯片自身達(dá)到 ASIL – D等級(jí)都不是一個(gè)概念。而且受制于die size，成本等原因，目前一些safety island上只集成了非常有限的RAM。以一個(gè)Lockstep R5F附加1M SRAM為例，如果希望程序都運(yùn)行在RAM中，程序的體積受到明顯制約。

《2萬(wàn)字長(zhǎng)文說(shuō)清自動(dòng)駕駛功能架構(gòu)的演進(jìn)》一文中也表達(dá)了類似的觀點(diǎn)：“未來(lái)單SoC的價(jià)格會(huì)比SoC+MCU便宜，即使單SoC也能符合功能安全ASIL D的要求（目前行業(yè)內(nèi)的大算力SoC只能做到ASIL B），也可以滿足網(wǎng)絡(luò)安全要求，但是對(duì)于完全自動(dòng)駕駛安全而言做到‘相對(duì)安全’還遠(yuǎn)遠(yuǎn)不夠，需要做到‘本質(zhì)安全’，因此筆者認(rèn)為外掛MCU還是非常有必要?！?/p>

軟件移植存在風(fēng)險(xiǎn)

單SoC芯片方案尚未經(jīng)過(guò)充分的市場(chǎng)驗(yàn)證，用內(nèi)置的MCU核心去取代外掛MCU這種革新式的設(shè)計(jì)，會(huì)有一些風(fēng)險(xiǎn)。

前宇通客車智能網(wǎng)聯(lián)副院長(zhǎng)彭能嶺認(rèn)為，之所以現(xiàn)在主流方案還是SoC +MCU，我覺(jué)得大家還是出于一種謹(jǐn)慎的態(tài)度，畢竟不同廠家的MCU里面的硬件資源以及硬件性能都不會(huì)完全一樣。如果把外掛MCU的功能移植到內(nèi)置功能安全島，在軟件的移植過(guò)程中會(huì)帶來(lái)一些風(fēng)險(xiǎn)，比如軟件漏洞、軟件缺陷等。倒不如沿用現(xiàn)在的SoC+MCU方案更穩(wěn)妥。畢竟現(xiàn)在的軟件比以前更復(fù)雜，并且國(guó)家對(duì)產(chǎn)品的安全性、合規(guī)性等要求也越來(lái)越高。因此，任何車企都不太愿意貿(mào)然去冒風(fēng)險(xiǎn)去掉外掛MCU。

2）商業(yè)上不是很合算

現(xiàn)階段投資回報(bào)率低

主機(jī)廠或者Tier1已經(jīng)習(xí)慣于把控車等功能放到外掛的MCU上去實(shí)現(xiàn)，并在上面跑傳統(tǒng)的AUTOSAR CP操作系統(tǒng)?，F(xiàn)在Tier1如果打算把外掛MCU的功能遷移到內(nèi)部不但需要投入人力和時(shí)間成本，同時(shí)也需要滿足一些客觀條件：第一個(gè)是SoC芯片內(nèi)置MCU核心的可靠性和功能安全等級(jí)達(dá)到了規(guī)定要求；第二個(gè)是整個(gè)軟件平臺(tái)也要有對(duì)應(yīng)的方案。從長(zhǎng)期來(lái)看，這是一個(gè)趨勢(shì)，但過(guò)渡肯定需要時(shí)間，需要投入研發(fā)成本。

寒武紀(jì)行歌產(chǎn)品副總裁劉道福提到，對(duì)于現(xiàn)在的車型平臺(tái)，主機(jī)廠考慮到研發(fā)周期的緊迫性，一般不太愿意去嘗試和更換新的架構(gòu)方案，主機(jī)廠已經(jīng)習(xí)慣使用老的架構(gòu)方案，比如控車用TC297/397等，并且這些方案已經(jīng)很成熟。對(duì)于下一代新的平臺(tái)，主機(jī)廠有更多時(shí)間去做研發(fā)，會(huì)從更高的集成度、更低的量產(chǎn)成本去考慮這件事，可能愿意投入一定的資源去做。在行歌的未來(lái)產(chǎn)品中，會(huì)考慮將MCU功能集成到SoC中，從而提高域控制器集成度，降低域控制器的整體BOM成本。

“目前國(guó)內(nèi)車廠項(xiàng)目的平臺(tái)化相對(duì)來(lái)講沒(méi)有海外體系成熟，部分車型項(xiàng)目比較碎片化一些。從Tier1的角度來(lái)講，如果僅僅是拿到了一個(gè)車型或者一個(gè)項(xiàng)目，量級(jí)可能較小，相應(yīng)的開(kāi)發(fā)費(fèi)有限。外掛MCU拿掉，雖然硬件上的成本省了一點(diǎn)，但把所有的綜合成本算下來(lái)，包括重新匹配AUTOSAR、以及在AUTOSAR CP上部署一些其它軟件等工作算進(jìn)去，相比沿用已成熟量產(chǎn)的現(xiàn)成方案，估計(jì)不太合算。所以它不僅僅是技術(shù)層面的可行性問(wèn)題，更多還需要從商業(yè)的角度考慮?！焙谥ヂ橹悄墚a(chǎn)品副總裁丁丁講道。

現(xiàn)階段，外掛MCU方案作為成熟方案，具有實(shí)現(xiàn)上的便利性和成本上的優(yōu)勢(shì)

外掛的MCU已經(jīng)形成了完整的產(chǎn)業(yè)生態(tài)和明確的產(chǎn)業(yè)分工。英飛凌，NXP以及瑞薩等傳統(tǒng)MCU廠商，MCU已經(jīng)做了很多代，各方面都已經(jīng)比較成熟，在生態(tài)鏈上已經(jīng)有很多合作伙伴。有的合作伙伴負(fù)責(zé)MCU上AUTOSAR的適配，有的負(fù)責(zé)上層應(yīng)用的開(kāi)發(fā)，已經(jīng)形成了一個(gè)完整的產(chǎn)業(yè)鏈條，對(duì)于Tier1或者車廠來(lái)講，只要花錢就能夠找到合作伙伴幫助他們完成。

安霸軟件研發(fā)高級(jí)總監(jiān)孫魯毅認(rèn)為，外掛MCU的獨(dú)立性更強(qiáng)，Tier1在它上面開(kāi)發(fā)的一些軟件，做一些基礎(chǔ)性工作，比如AUTOSAR CP的適配或基于毫米波雷達(dá)的一些功能?；谝活wMCU開(kāi)發(fā)的軟硬件可以反復(fù)重用，而不用顧慮主控的SoC芯片究竟選擇的是哪家，進(jìn)而可以減少Tier1的工程量，縮短開(kāi)發(fā)時(shí)間、降低開(kāi)發(fā)成本。

二、單SOC芯片方案的優(yōu)勢(shì)以及挑戰(zhàn)

當(dāng)前的智駕域控的主流方案依然是 N*SOC+MCU的形式，但是，去掉外掛MCU在未來(lái)是不可忽視的技術(shù)趨勢(shì)。如果方案中去掉外掛MCU，并且行車和泊車功能都整合到一個(gè)SOC里，那么就是理想型的單SOC芯片方案了。

2.1 單SOC芯片方案的優(yōu)勢(shì)

1）降低系統(tǒng)復(fù)雜度，縮短通訊時(shí)延

N*SoC+MCU的方案不管是片間的通訊，還是硬件的設(shè)計(jì)，都比較復(fù)雜。軟件架構(gòu)也很難做得很靈活，會(huì)存在一些兼容性和適配性的問(wèn)題。片間雖然可以通過(guò)以太網(wǎng)或者PCIe進(jìn)行通訊，但依然存在一定的通訊延遲。而單soc芯片方案無(wú)所考慮片間之間的通訊連接，主計(jì)算的性能核與內(nèi)置的功能安全島之間共享內(nèi)存，通信效率比較高，時(shí)延要低很多。

2）有利于整車布置和系統(tǒng)硬件成本的降低

單SoC芯片方案，會(huì)使得整個(gè)系統(tǒng)相對(duì)簡(jiǎn)單，不僅BOM成本能夠有一定程度的節(jié)省，同時(shí)還可以更好的控制域控制器的設(shè)計(jì)尺寸，便于整車的空間布置。

3）有利于整個(gè)系統(tǒng)的OTA升級(jí)

即使是單SoC芯片方案，內(nèi)部也存在多個(gè)分區(qū)，但加載一套OTA系統(tǒng)即可。孫魯毅舉例說(shuō)：“智能駕駛域控制器若是采用單SoC芯片方案，那么，跟手機(jī)升級(jí)流程是類似的——手機(jī)里面也是有很多軟件，但他們的OTA標(biāo)準(zhǔn)流程是一樣的，所有東西都是通過(guò)一個(gè)軟件倉(cāng)庫(kù)下載，下載完了進(jìn)行核對(duì)，該升級(jí)哪個(gè)就升級(jí)哪個(gè)，這樣流程就會(huì)比較簡(jiǎn)單。如果是有兩個(gè)SoC，可能有的版本需要考慮均衡性，還得考慮先升級(jí)哪一個(gè)。并且，升級(jí)順序出錯(cuò)了，就會(huì)出問(wèn)題。如果考慮兩邊一起升級(jí)，還需要考慮能不能支持?！?/p>

4）功耗會(huì)有一定程度的降低

劉道福認(rèn)為：“單SoC芯片方案的域控制器的功耗表現(xiàn)要好一些。首先，單SoC芯片方案能夠避免片間通訊帶來(lái)的一些能耗；其次，單SoC芯片的域控制器集成度更高，該SoC芯片的溢價(jià)較高，芯片廠商就有動(dòng)力去用更先進(jìn)的工藝，用更先進(jìn)的工藝便會(huì)帶來(lái)功耗的減少?！?/p>

“功耗實(shí)際上是跟驅(qū)動(dòng)電平相關(guān)的，芯片一般都是采用3.3V、1.5V或者5V供電。如果是采用雙芯片的方案，有可能供電電壓不同，就需要匹配兩種不同的電平。即使都是TTL電平，有低電壓的TTL電平，也有高電壓的TTL電平。通常情況下，如果是單芯片方案的話，TTL電平可以做得更低一些。因此整個(gè)系統(tǒng)產(chǎn)生的功耗就可以有一定程度的降低?！迸砟軒X從另外一個(gè)更細(xì)節(jié)的技術(shù)角度解釋道。

5）應(yīng)對(duì)外掛MCU缺貨帶來(lái)的影響

去掉外掛MCU，采用單SoC方案的另外一個(gè)最大的推動(dòng)力源自英飛凌等MCU大廠的缺貨。比如，有很多車廠或域控Tier1都碰到了英飛凌AURIX全系列芯片的缺貨。缺貨最直接的后果就是漲價(jià)，甚至是漲價(jià)都買不到。這種情況下，他們只能無(wú)奈“被迫”地去選擇去開(kāi)發(fā)和應(yīng)用帶有內(nèi)置MCU核心的單SoC芯片方案了。

2.2 單SOC芯片方案的挑戰(zhàn)

1）內(nèi)部基于功能安全上的隔離

對(duì)于智能駕駛域控制器單SoC芯片方案，主計(jì)算的部分和其它部分需要做好功能安全上的隔離，因?yàn)橐粋€(gè)核心的計(jì)算模塊不希望被其它非核心的計(jì)算模塊影響到。一般情況下，會(huì)按功能安全需求的不同進(jìn)行劃分，對(duì)功能安全有要求的區(qū)域與對(duì)功能安全沒(méi)有要求的要分開(kāi)，對(duì)功能安全要求特別高和對(duì)功能安全要求一般的也要分開(kāi)。

劉道福說(shuō)：“單SoC芯片方案在安全上的挑戰(zhàn)增加了，需要做更嚴(yán)格的隔離。首先，SoC中MCU區(qū)域的功能安全等級(jí)比其他區(qū)域要求更高，并且，相比于原來(lái)的安全島也會(huì)有更多的功能安全設(shè)計(jì)要求——采用實(shí)時(shí)核鎖步是最基本的，在一些通路的關(guān)鍵電路，甚至?xí)捎肨MR（Triple modular redundancy）電路，在極端情況下，某一個(gè)通路出現(xiàn)錯(cuò)誤時(shí)，能通過(guò)投票恢復(fù)。其次，MCU區(qū)域也需要做更嚴(yán)格的隔離，包括時(shí)鐘、電源都需要完全獨(dú)立，和SoC的其他區(qū)域進(jìn)行隔離，避免SoC其它區(qū)域的故障影響到MCU區(qū)域?！?/p>

彭能嶺也基本認(rèn)可這一觀點(diǎn)：“對(duì)于單SoC芯片內(nèi)部的隔離，不同的公司有不同的做法，比如說(shuō)內(nèi)置功能安全島和主計(jì)算單元部分要做解耦隔離：電源部分要隔離，計(jì)算單元的部分要做隔離。目前常見(jiàn)的隔離手段是光耦器件，但是采用這種手段，在單顆SoC上怎么把集成度提升又是一個(gè)難題?！?/p>

2）符合要求的理想型SoC芯片比較少

據(jù)某Tier1智駕域控產(chǎn)品經(jīng)理透露：“單SoC域控方案在未來(lái)主要適用于中低端車型，因此主機(jī)廠在進(jìn)行SoC芯片選型的時(shí)候，對(duì)成本會(huì)比較敏感。這就要求芯片廠商在做芯片設(shè)計(jì)的時(shí)候需要能夠?qū)κ袌?chǎng)需求充分了解，既不能遺漏需求，也不能過(guò)度設(shè)計(jì)。性能要好、功耗要低，并且價(jià)格還要有優(yōu)勢(shì)，從目前來(lái)看，能夠滿足市場(chǎng)需求的、高性價(jià)比的SoC芯片幾乎沒(méi)有?！?/p>

如果智能駕駛域控要通過(guò)1顆SoC芯片來(lái)實(shí)現(xiàn)所有的功能，那么需要滿足：

A.SoC芯片內(nèi)部的異構(gòu)類型要豐富

——AI加速單元：通常是GPU或NPU等，承擔(dān)大規(guī)模浮點(diǎn)數(shù)并行計(jì)算需求，用于攝像頭、激光雷達(dá)等傳感器信息的識(shí)別、融合、分類等；

——通用計(jì)算單元：由多個(gè)車規(guī)級(jí)多核CPU 芯片組成，主要負(fù)責(zé)一些邏輯運(yùn)算任務(wù)，用于管理軟硬件資源、完成任務(wù)調(diào)度，同時(shí)整合多源數(shù)據(jù)完成路徑規(guī)劃等功能。

——控制單元：內(nèi)部應(yīng)集成ASIL-D等級(jí)的MCU核心，用于替代之前外掛MCU，實(shí)現(xiàn)車輛動(dòng)力學(xué)的橫縱向控制。

——圖像信號(hào)處理單元（ISP）：隨著圖像分辨率的不斷提高，增加了攝像頭散熱處理的難度，再加上攝像頭尺寸小型化的發(fā)展趨勢(shì)，圖像處理單元已經(jīng)不適合內(nèi)置在攝像頭，開(kāi)始逐漸集成到域控制器的SOC芯片內(nèi)部。

B.支持足夠多的傳感器接入，并能夠提供充足的CPU算力和AI算力

傳感器接口要豐富，支持多路攝像頭視頻數(shù)據(jù)接入，多路以太網(wǎng)設(shè)備接入（4D毫米波雷達(dá)的主要接口是百兆以太網(wǎng)，激光雷達(dá)的主要接口是千兆以太網(wǎng)），多路 CAN 接口設(shè)備接入（毫米波雷達(dá)）等；

對(duì)于低端車型，至少需要5個(gè)高清攝像頭（泊車至少需要4個(gè)，行車至少需要1個(gè)）。而中高端車型配置的行車和泊車攝像頭加起來(lái)在10個(gè)以上，甚至不少車型還同時(shí)配置有4D毫米波雷達(dá)和激光雷達(dá)。多源傳感器的接入意味著不僅需要配置相應(yīng)的接口，同時(shí)也需要有足夠大的內(nèi)存帶寬和充足的算力來(lái)保證算法模型的正常運(yùn)行。

三、從中短期來(lái)看，單SOC芯片方案是趨勢(shì)，但不能Cover所有場(chǎng)景

基于芯片技術(shù)的發(fā)展和不同等級(jí)自動(dòng)駕駛對(duì)域控方案的需求，筆者認(rèn)為，在中短期內(nèi)，智能駕駛的硬件架構(gòu)方案未來(lái)會(huì)出現(xiàn)兩種路線方向：輕量級(jí)域控偏向于采用單SoC方案；大算力域控支持更高階的智能駕駛功能，對(duì)功能安全等級(jí)的要求較高，并且需要做系統(tǒng)冗余，所以至少需要另外一個(gè)SoC用于備份功能，因此，會(huì)采用 主SoC +備份SoC的方案，甚至是主域控+副域控制器方案。

3.1 輕量級(jí)域控制器 — 單SoC芯片方案

輕量級(jí)智能駕駛域控制器因受產(chǎn)品定位以及成本的限制，所以對(duì)算力的要求（一般在十幾~幾十TOPS左右）、傳感器的接入能力以及對(duì)功能安全的要求，相比大算力域控制器要低不少。據(jù)業(yè)內(nèi)人士透露，即將量產(chǎn)的國(guó)產(chǎn)芯片中就有幾款可以通過(guò)單SoC芯片支持L2+級(jí)行泊一體方案。比如行歌SD5223 、黑芝麻的A1000 等。

輕量級(jí)域控率先采用單SoC芯片方案，主要跟其產(chǎn)品定義和應(yīng)用場(chǎng)景有關(guān)。因?yàn)樗亩ㄎ皇怯糜趯?shí)現(xiàn)L1~L2+級(jí)的駕駛輔助功能。彭能嶺提到 ：“L2級(jí)自動(dòng)駕駛場(chǎng)景一定需要把功能安全等級(jí)做那么高么？從合規(guī)性的角度，以及產(chǎn)品性能邊界的角度來(lái)講，不一定需要。對(duì)于L2級(jí)，國(guó)家法規(guī)要求駕駛員對(duì)安全負(fù)責(zé)。系統(tǒng)只是在幫助人開(kāi)車，不需要進(jìn)入一種最小風(fēng)險(xiǎn)狀態(tài)?！?/p>

目前已經(jīng)量產(chǎn)落地的行泊一體域控制器中基本沒(méi)有采用單SoC芯片方案。但是，從長(zhǎng)期的發(fā)展趨勢(shì)來(lái)看，芯片的集成化會(huì)越來(lái)越高，采用單SoC芯片的域控方案將會(huì)是未來(lái)的發(fā)展趨勢(shì)。因?yàn)樗軌蚴沟孟到y(tǒng)的集成度變得更高，不僅能夠降低系統(tǒng)硬件成本，還有利于系統(tǒng)的OTA升級(jí)。

3.2大算力域控制器— 主SoC + 備份SoC/MCU 或者 主域控+副域控方案

為了滿足更高級(jí)別自動(dòng)駕駛功能而設(shè)計(jì)的大算力域控制器，需要做好域控制器的冗余方案，目前主流的方案有兩種：

在一個(gè)板子上做主SoC芯片和備份SoC/MCU芯片（L2+）

采用主域控+副域控制器方案（L3及以上）

據(jù)某主機(jī)廠的自動(dòng)駕駛系統(tǒng)專家介紹：“從目前來(lái)看，采用單顆SoC芯片方案實(shí)現(xiàn)系統(tǒng)安全的冗余設(shè)計(jì)，還沒(méi)有比較成熟的方案，最穩(wěn)妥的做法還是采用主SoC+備份SoC/MCU的方案：一個(gè)是主計(jì)算單元，做一些常態(tài)化的計(jì)算，另外一個(gè)用于安全監(jiān)控和應(yīng)急處理的備份計(jì)算單元，當(dāng)主計(jì)算單元出問(wèn)題了，備份的計(jì)算單元用于控車。這是目前比較主流的一種設(shè)計(jì)方案?！?/p>

1）主SoC+備份SoC

A.特斯拉- Autopilot HW3.0 （144TOPS）：主板采用雙FSD芯片冗余設(shè)計(jì)，兩顆芯片的供電和數(shù)據(jù)通道都是獨(dú)立且互為備份，減少了功能區(qū)故障隱患。兩顆芯片對(duì)同樣的數(shù)據(jù)進(jìn)行分析，相互驗(yàn)證、比對(duì)分析，再得出最終結(jié)論，提高了數(shù)據(jù)處理的安全性和準(zhǔn)確性。

AutoPilot HW3.0 硬件主板（圖片來(lái)源 - 特斯拉AI Day 演講材料）

B.蔚來(lái)- 超算平臺(tái)NIO Adam（1016TOPS）：該智能駕駛域控平臺(tái)采用4顆Orin-X芯片，包括2顆主控芯片+1顆冗余備份芯片+1顆群體智能與個(gè)性訓(xùn)練專用芯片。2主控芯片用于實(shí)現(xiàn)NAD算法的全棧運(yùn)算，包含多方案相互校驗(yàn)感知、多源的高精度定位、多模態(tài)的預(yù)測(cè)與決策；1冗余備份芯片用于在主控芯片失效的時(shí)候，確保車輛的安全。

蔚來(lái)超算平臺(tái)-NIO Adam（圖片來(lái)源：蔚來(lái)官網(wǎng)）

2）主域控+ 副域控制器

如果是用于支持L3及以上更高級(jí)的自動(dòng)駕駛功能，則需要考慮采用主域控+副域控制器設(shè)計(jì)方案。因?yàn)殡p芯片方案也會(huì)存在一些問(wèn)題，畢竟是在一塊板子上，兩顆芯片的位置不會(huì)離得特別遠(yuǎn)，假如遇到一個(gè)強(qiáng)磁場(chǎng)，或者高溫的影響，兩顆芯片很有可能會(huì)同時(shí)失效。

如果是兩個(gè)域控，布置的位置會(huì)遠(yuǎn)一些，在極端的情況下，他們受到的影響也是獨(dú)立的，整個(gè)系統(tǒng)的安全性會(huì)提高很多。如果是設(shè)計(jì)兩個(gè)兩個(gè)完全相同的域控，則成本便會(huì)高很多，一般不會(huì)采用這樣的設(shè)計(jì)。為了兼顧成本，一般會(huì)選擇另外一個(gè)干其它工作的域控“兼職”做智駕域控的“副手”，在主域控出問(wèn)題的時(shí)候，能夠代替主域控實(shí)施控車的職責(zé)，把車靠邊停下來(lái)即可。

主域控+副域控方案示意圖（圖片來(lái)源：《2萬(wàn)字長(zhǎng)文說(shuō)清自動(dòng)駕駛功能架構(gòu)的演進(jìn)》）

A.長(zhǎng)城汽車 -GEEP4.0架構(gòu)：該架構(gòu)的硬件平臺(tái)由中央計(jì)算平臺(tái)（CCU）、智能座艙模塊（HUT）、智能駕駛模塊（IDC），以及3個(gè)區(qū)域控制器（VIU_L 、VIU_R以及VIU_F）組成。其中IDC是智能駕駛的主控制單元，在高階自動(dòng)駕駛配置下，CCU可以作為ICU域控制器的備份，實(shí)現(xiàn)最低風(fēng)險(xiǎn)條件。

B.上汽零束 -銀河全棧3.0架構(gòu)方案：該架構(gòu)的硬件由兩個(gè)高性能計(jì)算單元HPC1和HPC2以及四個(gè)區(qū)域控制器（ZONE）構(gòu)成。兩個(gè)高性能計(jì)算單元中的一個(gè)是用于智能座艙和智能駕駛功能，另外一個(gè)主要做網(wǎng)關(guān)和車控以及BCM等功能，另外還承擔(dān)智能駕駛的備份功能。

審核編輯：郭婷