車控操作系統介紹

直接來源：汽車電子與軟件

背景：

本文節選自《車載智能計算基礎平臺參考架構2.0》，該參考架構主要內容及觀點是編寫組依據參考架構1.0為基礎藍本，調研當前行業實際現狀及結合未來3-5年產品技術發展趨勢形成的總結及思考研判。車載智能計算基礎平臺參考架構將隨著智能網聯汽車行業發展繼續更新。

圖 1 車載智能計算基礎平臺參考架構

車控操作系統是車載智能計算基礎平臺的核心和軟件棧。

按應用領域劃分，

車控操作系統包括智能駕駛操作系統和安全車控操作系統。其中，智能駕駛操作系統主要面向智能駕駛領域，支撐感知、定位、規劃、決策等功能的實現，對安全性和可靠性要求較高。安全車控操作系統主要面向經典車輛控制領域，如動力系統、底盤系統和車身系統等，對實時性和安全性要求極高。為保證車載智能計算基礎平臺的安全可靠，車控操作系統一般需要滿足 ASIL-B 以上等級功能安全要求（安全車控操作系統需滿足 ASIL-D），并根據自動駕駛需求進行適度擴展。

按邏輯層次劃分，

車控操作系統包括系統軟件和功能軟件。系統軟件創建了復雜嵌入式系統的運行環境，包含內核以及與 AUTOSAR 軟件架構類似并兼容的中間件層，系統軟件運行在通用計算單元與控制單元上。功能軟件利用硬件及系統軟件接口，針對智能駕駛應用提供實時、安全框架，算法共性組件及重要服務等通用模塊，以完整實現應用與硬件和車控操作系統的解耦、并定制高效擴展。

一、系統軟件

系統軟件是為智能網聯汽車應用場景設計的復雜大規模嵌入式系統運行環境。

系統軟件從底向上包括驅動層、操作系統內核與中間件層。

1.1跨內核驅動框架層

針對車控操作系統對硬件及應用的廣泛覆蓋，多種內核架構及方案實現下，通用跨內核驅動框架會進一步完善分層解耦及高效集成?？鐑群蓑寗涌蚣苤饕膫€方面。一是架構設計。包括驅動模型、硬件抽象、核心接口等， 支持常見的宏內核、微內核、混合內核架構等。二是硬件抽象。實現對不同硬件的抽象和封裝。三是核心接口。定義跨內核的通用驅動接口，例如文件操作接口、中斷處理接口、內存管理接口等。四是驅動模型。定義驅動程序的基本模型和框架，例如字符設備驅動、塊設備驅動、總線設備驅動等。

車控操作系統中的跨內核驅動框架相比面向單一內核的驅動具有可移植性強、開發效率高、維護成本低、兼容性好且升級方便等優勢?？鐑群蓑寗又恍枰_發一次，就可以工作在不同的操作系統內核上，大大提高了驅動程序的可移植性，降低開發門檻和維護成本，提升升級效率。

1.2操作系統內核

面向復雜駕駛場景的車控操作系統內核層需要實現多內核設計。

操作系統內核主要負責管理汽車的硬件資源，并為上層軟件提供進程、線程、內存、網絡和安全等基礎支持。車載智能計算基礎平臺異構分布硬件架構中，不同單元加載的內核應具有不同的功能安全等級：支持 AI 計算單元的操作系統內核功能安全等級為 QM~ASIL-B；支持通用計算單元的操作系統內核功能安全等級為 QM~ASIL-B；支持控制單元的操作系統內核功能安全等級為 ASIL-D。這就需要安全等級不同的多內核設計，或者單個內核支持不同功能安全等級應用的設計。

應用在汽車中的實時操作系統選擇時需考慮功能安全等級和市場成熟度。由于車載智能計算基礎平臺的復雜性，操作系統內核必須對系統軟件、功能軟件以及應用軟件的庫進行支持并且具備可擴展性和可持續演進能力。國內企業已經推出多款自主研發的操作系統內核，部分已開源并探索商用。

在異構分布硬件架構中，獨立的安全處理單元已成為芯片設計的重要方向。獨立的安全處理單元可支撐運行可信內核、密碼庫，提供安全可信的服務功能接口?？尚艃群嗽鰪娏藢γ艽a訪問的服務支持。

虛擬化管理包括 Hypervisor 和虛擬機監視器（VMM）等，利用硬件輔助虛擬化技術有效地實現系統資源的整合和隔離。

車控操作系統基于異構分布硬件架構，不同安全和實時性要求下，應用程序可能需要依賴不同的內核環境和驅動，但在物理層面上要共享 CPU 等硬件資源。虛擬化管理起到了至關重要的作用，不僅能支撐實現跨平臺應用的運行，而且能顯著提高硬件的使用效率。

POSIXAPI

提升跨多種操作系統內核的兼容性。POSIX API 有實時擴展，包括定時器和時間管理、優先級調度互斥量和條件變量、消息隊列、共享內存、異步 I/O 和同步 I/O 等。

1.3 中間件層

內核接口是操作系統內核對上層軟件提供的服務接口，支持內存分配、調度管理、I/O 處理、同步互斥等功能。中間件向下獲取操作系統內核的系統接口服務支持，向上支撐功能軟件層提供系統中間件的服務和接口。

SOA框架

通常包含模塊化服務、服務注冊發現等，與通信中間件共同完整跨域面向服務開發架構。

AI模型接口及開發庫（SDK）,不同芯片廠商提供各自的AISDK，用于模型轉換和初始化、加載、推理等，通過AI模型接口抽象不同芯片SDK為統一接口，支撐自動駕駛AI大模型模型和應用跨芯片移植和運行。

管理中間件

中包括數據加密、身份驗證、健康管理、網絡與系統安全監測、OTA升級等安全措施及服務，對功能軟件中的安全框架和安全服務等提供支撐，以及保障系統軟件的安全可靠及信息安全等，提升整體車控系統的穩定性和安全性。

通信中間件

具備服務發現、遠程服務調用、讀寫進程信息等典型功能，實現車內進程內、跨進程、跨內核、跨CPU及板間，甚至跨車云統一通信機制。

ARA

提供管理中間件和通信中間件等的向上接口。

二、功能軟件

功能軟件根據自動駕駛共性需求定義和實現通用模塊，是支撐智能駕駛應用生態建設的重要層級。功能軟件包括功能框架層、功能服務層、應用軟件接口及服務。

2.1功能框架層

功能框架層是功能軟件的核心和驅動部分，由數據抽象、數據流框架、車云協同框架、安全框架組成。

一方面，針對智能駕駛產生的安全和產品化共性需求，通過設計和實現通用框架模塊來滿足這些共性需求，是保障智能駕駛系統實時、安全、可擴展和可定制的基礎。另一方面，隨著高階智駕應用的逐步實現，以及大模型在智駕的廣泛應用，面對更復雜更多樣的場景，可以通過車云計算框架對云端（邊緣）的強大算力和存儲資源進行利用，在實時和安全基礎上，實現對大規模計算需求的協同分配和實時處理，云端的算法和模型在車規下也可以進一步提升到更復雜和高級的決策和規劃。

數據抽象

是針對不同傳感器、車輛底盤、外圍硬件等的原始數據進行處理和封裝，提供統一的數據格式。通過標準格式為上層的智能駕駛通用模型提供各種不同的數據源，進而建立異構硬件數據抽象，達到屏蔽硬件差異、開發平臺差異，應用軟件與系統軟件分層解耦。

數據流框

架

是依托通信中間件，提供可定制數據接口和實時數據處理框架。數據流框架一是能夠屏蔽應用與硬件平臺和系統軟件，確保算法應用之間的解耦和可靠通信；二是支持對智能駕駛應用和算法的數據流節點的拓撲關系進行編排；三是結合系統性能及功能安全等需求，將不同的節點部署到特定的 AI 加速單元、計算域、安全域等處理單元；四是可以根據任務的優先級、實時性要求和資源可用性等因素，對任務進行合理的調度和分配，確保各功能模塊按照其優先級和時序進行合理調度和執行。數據流框架可滿足自動駕駛系統能夠在實時性要求下運行，以保證在復雜的交通環境中能夠安全和穩定的運行。

車云協同框架

實現了智能網聯車與云計算、邊緣計算等關鍵車路云協同技術的有機融合。車云協同框架需要提供可靠的數據傳輸和同步機制，以確保車輛與云端之間的數據傳輸和同步的效率和準確性，以及提供可靠的網絡通信和安全機制，同時支持車輛端和云端之間的協同處理，將計算任務在不同的計算資源之間進行分布和協作。

安全框架

提供了一系列的功能安全機制和措施，包括對硬件設備、操作系統、應用程序等進行實時監測，在發現相關故障時及時處理，防止故障蔓延，進而影響整個系統的運行。其中，安全監控模塊包括設備監控、資源監控、應用程序監控等，在檢測到異常狀態時，通過安全監控及時上報，由安全監控服務程序根據系統配置進行決策處理。完整的安全框架也包括控制單元的安全保底功能，為系統提供失效降級、失效運行等機制，同時滿足控制單元 ASIL-D 的功能安全要求。AI 大模型的不確定性特質也需要安全框架提供對應的安全檢測機制及接口，可以增加 AI 大模型的異構冗余算法，與 AI 接口結合，實現 AI 大模型的安全監測，及復用控制單元的安全保底功能。

2.2功能服務層

功能服務層為智能駕駛功能提供支持，主要包含算法組件/模型庫和基礎服務。

算法/模型庫提供智能駕駛應用的可拆解重組的算法模塊和原子組件庫，隨著深度學習和神經網絡、多模態感知、強化學習等技術發展，算法組件/模型庫提供的算法模塊需要不斷豐富擴展，借助新技術，以適應更復雜、更廣泛的智駕應用場景?；A服務為智能駕駛系統提供必要的功能和支持，隨著智能駕駛技術的發展，AI 大模型、數據安全和網絡安全將成為更加關鍵的問題，全面要求（信息）安全服務和數據閉環服務等，基礎服務同時需要具備可擴展性，不斷演進和創新，以應對智能駕駛技術的挑戰和需求。

1）算法組件/模型庫

算法組件/模型庫是多個獨立的算法組件模塊及模型組成，用戶可通過對這些模塊的直接或組合使用，形成智能駕駛系統中不同的功能。

智能駕駛算法組件和模型庫主要為支撐智能駕駛算法進行高效開發，提供智能駕駛應用的可拆解重組的算法模塊和原子組件庫，支持組件式開發，并可自由擴展和引入第三方單元可插擴算法模塊，快速實現環境感知、融合定位、決策規劃、運動控制、以及”數據驅動”的大模型等算法開發。

環境感知

是對車輛周圍的環境和道路條件進行感知和理解，幫助智能駕駛系統決策規劃。感知算法模型庫提供預置的可拆解重組的感知算法原子組件，包含基于 Transformer+BEV 技術下的多模態多種傳感器（如攝像頭、毫米波雷達、激光雷達等）下的端到端感知模型組件化和配置化開發。

融合定位

是指利用多種傳感器技術對車輛位置和環境信息進行綜合處理，以實現精確的定位和導航功能。融合定位模型庫提供預置的可拆解重組的融合定位算法原子組件。

決策規劃

是基于感知和預測結果進行路線與軌跡的決策規劃。決策規劃模型庫提供預置的可拆解重組的規劃算法原子組件，包括通用 AI 和基于規則的決策規劃算法組件化和配置化開發，實現對道路環境進行全面、精細的建模和理解，對交通參與者的行為和意圖進行準確的預測和分析，制定出最優的行動策略。

運動控制

是根據決策規劃的輸出結果，對車輛的橫縱向進行控制。運動控制模型庫提供預置的可拆解重組的控制算法原子組件。

大模型庫

是指隨大模型的迅猛發展，不僅自動駕駛感知，融合、決策規劃甚至控制也采用了 AI 及大模型，“數據驅動”成為自動駕駛算法的主要技術路線。應用在自動駕駛上的大模型框架以及共性模型也將是新型的算法組件及模型庫。端到端、輕量化優化、多模態整合、通用 AI 等多種 AI 大模型前端技術需要在功能軟件中建立相應的共性支撐和實時計算框架。使用大模型可以顯著提升智能駕駛系統的感知、決策能力，使得車輛能夠更加準確地識別和適應各種復雜的交通環境。

2）基礎服務

基礎服務支持智能駕駛系統的安全、可靠和高效運行，包括數據服務、配置

服務、地

圖服務、網聯服務、安全服務等。

這些基礎服務在智能駕駛操作系統中起著關鍵的作用，支持智能駕駛系統的安全、可靠和高效運行。它們相互協作，為智能駕駛系統提供必要的功能和支持。

數據服務

為智能駕駛車輛提供數據采集和處理的服務。需要支持數據的采集、觸發、預處理、存儲、回傳等能力，特別是大模型下的數據閉環支撐。采集服務負責采集任務的生命周期管理，包括任務建立，收集數據、放入緩存。采集對象為結構化數據和非結構化數據，數據服務需要提供用戶可配、場景及不同負載下可調的采集和預處理配置，對采集的數據、頻率、策略以及存儲策略等進行定制化管理和限制。

配置服務

對外提供統一的配置接口，支持進行外部鏈接，獲取用戶配置設定，以及返回配置后的結果?？梢砸罁枨笸ㄟ^動態庫和配置來進行加載和使用。在與各種用戶界面（UI）進行交互時，配置服務應提供統一的數據獲取與數據發送的方式，便于各種 UI 進行相關的適配。配置服務還應負責處理和緩存所有的數據，保證數據的一致性，并統籌處理命令沖突的決策。

地圖服務

提供高精度、實時的地圖數據，以支持智能駕駛系統的定位、路徑規劃和決策制定。實現系統與不同廠商的高精地圖數據接入，支持高級駕駛輔助系統（ADAS）功能獲取地圖相關的感知數據，支持基于高精地圖的定位服務。地圖服務提供了包含 EHP（電子地平線提供者）、EHR（電子地平線解析者） 在內的一系列模塊，并對外提供統一的接口獲取數據。

網聯服務

是指智能駕駛技術和網絡 V2X 技術相結合，使車輛通過網聯實現數據交換和通信、車輛間交通信息共享和云端控制等，如信號燈和其他車實時感知或決策信息，可以通過網聯服務及數據流框架與感知和決策規劃相融合。網聯服務為智能駕駛系統提供遠程監控、數據上傳和指令下發等功能， 云端獲取實時交通信息、車輛狀態、位置、傳感器數據等信息，通過數據分析下發指令給車輛，實現遠程控制和協同操作、全局管理等。

安全服務

包括數據安全、網絡安全、AI 安全等，為智駕系統提供應用信息安全服務，為車輛數據和個人隱私提供了全生命周期的安全防護機制，并保護智能駕駛系統免受未經授權的訪問、篡改和破壞。采用不同的防護手段，以數據安全分級為基礎，按照一定的規則和策略實現對數據進行全生命周期的管控，包括對數據建立分類分級處理機制、對敏感個人信息進行加密、提供安全的數據傳輸通道、對車外個人信息進行脫敏等。對車載計算平臺的系統完整性保護、機密性保護、身份和訪問權限控制；對智能駕駛應用及通信的安全管理和安全隔離、邊界和通信安全、應用層安全等，如智能駕駛域與車內網其他節點以及 V2X 節點和云端的傳輸安全，車載智能計算基礎平臺內部多域之間以及與執行器之間的訪問控制、加密保護和監控等；提供 AI 模型加密、模型完整性驗證等方式確保模型的安全性，避免遭受對抗性樣本攻擊，模型篡改等問題；建立基于 AI 及大模型的攻擊檢測引擎以及對應的檢測簽名庫，并實時安全應用到 AI 接口或大模型庫中。

2.3應用軟件接口及服務

應用軟件接口及服務是車控操作系統為應用軟件開發所提供的跨平臺統一接口，降低技術門檻，提升開發效率。

應用軟件接口主要包括配置接口、開發接口和數據交換接口。配置接口主要為傳感器和執行器的適配和標定提供相應接口；開發接口主要為數據流框架的應用模板定義、定制化擴展、節點定義、節點的編排、部署和調度等，也包括基于算法組件和模型庫開發所需要的接口算法；數據交換接口實現應用軟件與功能軟件之間、功能軟件內部之間的數據交換格式定義和自定義擴展，包括傳感器接口、執行器接口、自車狀態接口、地圖接口、感知融合接口、定位接口等，用戶可基于接口開發和集成應用軟件。同時，可通過服務配置接口，進行基礎服務的差異化配置和擴展性開發，支撐軟件靈活迭代，實現軟件定義和 SOA 開發，為用戶提供千人千面的用戶體驗。這些接口和服務共同為智能網聯汽車系統的開發和應用提供了支持和便利。

審核編輯：湯梓紅