如何控制汽车的复杂性

综合司机驾驶舱对于下一代汽车买家来说变得越来越重要，他们希望看到车内不同系统之间自由共享的信息，并在必要时引起司机的关注。

在某些情况下，传统的单独的仪表组合和信息娱乐屏幕已经被组合成一个大显示屏。在其他方面，涉及多个显示屏幕，已经需要共享从车辆内的多个源产生的信息，例如导航图像，照相机数据，音频馈送和高级驾驶员辅助系统（ADAS）传感器。

这些数据共享要求需要采用的嵌入式软件平台的新设计方法，以及新的测试和安全审批方法。

数字显示

数字显示技术的不断改进，以更低分辨率的屏幕以更低的成本提供，意味着它们正在应用于大众市场。

当前一代的仪表组合是所谓的混合动力，将机械表盘与小型数字内置面板相结合。随着这些单位在财务上可行，具有适当的质量和性能，正在逐渐被全数字面板所取代。

全数字面板比其机械前身提供了几个优点，包括动态重新配置以支持不同的驾驶模式或信息偏好，以及未来车辆个性化的大量空间。

在整个生命周期内的软件更新意味着可以升级显示应用程序以提供新的功能和特征，从而为车辆制造商带来额外的收入。数字集群的典型架构堆栈如上图1所示。

单一显示数据整合

诸如图1中的示例的大屏幕显示器可以是视觉上有吸引力的，但对于嵌入式软件设计者来说却是很大的挑战。
随着屏幕分辨率的提高，需要一个更强大的图形处理单元（GPU），可以通过相关的优化驱动程序软件来保持屏幕刷新无闪烁。

通常认为每秒60帧的性能是允许舒适观看所需的最低要求。
显示来自不同来源的复杂图形对象或视频馈送的广泛选择也是一个挑战 - 如何将信息成功地安排到单个显示器中，并允许对安全关键和所谓的正常世界数据进行适当的划分。

随着对安全性的日益强调，当有大量视觉数据与驾驶员通信时，基于触摸屏的系统变得不那么有吸引力。通过方向盘按钮，手势和语音命令进行的系统控制是优选的，因为它们减少了司机的注意力。

组织完整的应用程序堆栈，从硬件到板支持包，操作系统和用户界面（HMI）应用程序通常涉及不同技术提供商的贡献。

安全关键架构

当涉及到嵌入式架构时，任何设计中的安全关键要素都需要运行在隔离的安全认证操作系统上，与“正常世界”功能明确分离，从而可能会因干扰而损害它们。

汽车制造商通常会要求嵌入式软件提供商提供“安全假象”以及软件交付成果。这些文物可以包括测试证明，所有操作模式的详尽文档，包括故障模式以及回溯到软件要求的可追溯性。

ASIL安全评级越高，验证和认证过程越严格，嵌入式软件组件的成本越高。为了充分满足最严格的ASIL D安全要求，需要具有内置软件和硬件冗余的容错设计。在系统级别，这可能意味着重复的信号连接路径，复制硬件和故障安全操作模式。在嵌入式软件层面，安全架构将涉及分离的操作系统，过程监视看门狗和在任何检测到的异常或故障的情况下触发的警报。

合并ECU

现代豪华车可能包含60到100个电子控制单元（ECU）;各种操作系统，从简单的调度器;和实时操作系统（RTOS）通过复杂的多功能Linux TM操作系统或类似的支持通信网关，域控制器，信息娱乐和驱动程序信息系统的嵌入式平台。

整合功能的趋势在汽车行业正在进行中，通过组合一些功能，可以优化线束重量和连接复杂性。可能消除一些ECU硬件，节省总体成本和组件数量。软件应用程序的复杂性为测试和认证带来了挑战 - 测试代码越多，缺少用例的风险越高，或者暴露意外的行为。

将分解应用到嵌入式软件允许安全关键组件在独立的安全认证操作系统上独立运行，而更复杂的正常世界组件可以在诸如Linux TM等复杂操作系统上运行，丰富的图形支持和复杂的应用。

为操作系统提供安全认证意味着检查任何给定的输入集合的所有可能的响应。对于诸如Linux这样的高端操作系统，可能的状态和响应的数量变得非常大，并且满足严格的测试和认证标准是耗时且昂贵的。

通过减小操作系统的大小和范围，安全认证过程变得更加易于管理，混合域架构将允许小尺寸，安全认证的操作系统与基于Linux或其他多功能操作的更复杂的域一起运行系统。

仪器集群显示器等应用需要与车载通信系统集成，通过CAN，CAN-FD，FlexRay和以太网通信网络传送数据。

包括作为单独的安全域运行的汽车开放系统架构（Autosar）软件通信栈可以将车辆性能信息收集并传递到仪表板。

不同嵌入式领域的结合，与他们之间的安全沟通渠道，提供了可扩展的混合安全平台，可以满足消费者高性能丰富的图形预期，以及汽车行业的安全关键要求。

信息共享技术

存在用于在单独的物理ECU之间共享信息的多种机制，或者在承载多个应用于单个显示器上的单个ECU中共享信息。

下一代车辆设计中的高带宽总线架构允许视频和其他大尺寸图形数据对象在车辆总线上的节点之间快速移动。

这些机制包括可从两个应用程序访问的共享存储器，进程间通信机制（IPC）或诸如DDS（数据分发服务）或RPMsg（受限许可消息）的安全消息协议。

共享内存方法提供高数据速率吞吐量，并且通常对于基于图形的应用程序是有利的。

车辆中引人注目的复杂显示器正在成为制造商的差异化卖点，需要新技术将2D / 3D图形与安全关键信息相结合。

将新思维应用于嵌入式软件框架允许安全关键和正常的世界应用程序共存。

具有强大的HMI解决方案的混合关键性嵌入式架构已经变得非常受汽车设计师的欢迎，并且可扩展以满足下一代和日益自主的驾驶车辆的需求。Mentor与HMI供应商Socionext合作，创建安全认证的综合信息显示。

Socionext的ISO26262认证功能安全模块Candera Safety可用于根据汽车安全完整性等级（ASIL）A或B显示安全关键内容，并提供安全的第二路渲染。

所有包含的组件都是按照此标准开发的，Candera允许将安全关键图形内容呈现给专门用于功能安全的可视化层。

显示架构允许在专用于ISO26262 ASIL B渲染的虚拟地址空间（VAS）中执行安全关键应用程序。

表1：高数据速率ECU的连接机制

关于作者

Andrew Patterson是Mentor嵌入式软件部门的业务开发总监，专门从事汽车解决方案（Mentor Automotive）