智能新能源汽車車載控制基礎軟硬件關鍵技術研究進展 *

李兆麟，李華偉，鄭四發，王文偉，鄒廣才，張 創，劉 英，張永昌

（1. 清華大學計算機科學與技術系，北京 100084；2. 中國科學院計算技術研究所，北京 100190；3. 清華大學車輛運載學院，北京 100084；4. 北京理工大學機械與車輛學院，北京 100081；5. 北京國家新能源汽車技術創新中心有限公司，北京 100176）

前言

智能新能源汽車是汽車產業的競爭焦點，也是我國建設汽車強國的必由之路。在“新四化”背景下，智能新能源汽車電子電氣架構正由分布式向集中式演進，智能控制算法日益復雜，對車載控制基礎軟硬件提出了巨大挑戰［1］。例如，車載核心控制芯片不再是實現單一功能的簡單邏輯計算芯片，而須提供強大的算力支持；車控操作系統不再基于某一固定硬件開發，要求具備可配置、可擴展等特性；車載網絡必須滿足大容量高速可靠數據通信、抗電磁干擾等需求，高速光纖通信已成為必然的發展趨勢之一。總之，以車載核心控制芯片、車控操作系統及車載光纖通信網絡為核心的車載控制基礎軟硬件是智能新能源汽車發展的產業焦點，必須滿足高性能計算、高安全控制、大數據通信等顛覆性需求，實車驗證則是打通技術與產品應用的關鍵環節。盡管我國在車載控制基礎軟硬件方面已取得了長足進步，但與國際領先水平相比，在功能與性能、安全性、實時性、傳輸速率、電磁兼容性等方面存在明顯差距。

本文中針對復雜行駛條件惡劣工況下車載控制基礎軟硬件的高性能與高安全可靠設計的技術需求，圍繞車載核心控制芯片、車控操作系統和車載高速分布式光纖通信，介紹了復雜行駛條件下支持智能控制算法的車控操作系統和車載核心控制芯片的架構，惡劣工況下（高溫、高寒、高濕、高原等）的車載核心控制芯片的高可靠性設計技術和環境適應性增強技術，車控操作系統和車載核心控制芯片的功能安全性設計與保障技術，以及基于高速分布式光纖通信技術的控制信號傳輸工具及通信協議故障診斷與自測試技術等方面研究的最新進展。基于上述研究成果實現的車載核心控制器件和車控操作系統均已在北汽集團的新能源汽車完成了實車驗證，由此構建的技術攻關、產品研制、標準制定、實車驗證的研發體系能夠大力推動我國智能新能源汽車車載控制基礎軟硬件的自主可控。

1 研究背景

與傳統燃油車不同，新能源汽車的智能網聯化發展趨勢為車載控制系統提出了巨大挑戰。車載控制系統不僅能夠運行日益復雜的智能控制算法，還必須滿足智能新能源汽車對零部件的高可靠性與功能安全性要求，能在世界各地最極端的氣候（高溫、高寒、高濕、高原）和地理環境條件下持續工作，甚至要求實現零缺陷［2］。智能新能源汽車的安全要素包括功能安全與預期功能安全，其中車載核心控制芯片、車控操作系統與車載網絡是保障新能源汽車功能安全與預期功能安全的車載控制基礎軟硬件，負責整車控制、任務管理和數據通信等核心功能，同時需要實現對部件和系統失效、設計不完備等情況下的可靠性保證和冗余設計。因此，車載控制基礎軟硬件的高性能設計、高安全可靠設計理論與方法是關鍵科學問題，是當今國際智能汽車領域的前沿技術，也是我國智能新能源汽車產業自主可控發展要解決的瓶頸問題［3］。

車載核心控制芯片是最基礎硬件，承載整車控制功能，芯片架構已從單核向多核方向發展，可靠性設計與功能安全保障技術也變得十分復雜。2020年，德國英飛凌公司發布的車載控制芯片TC39X 集成6 個處理器核，利用多核精確鎖步技術支持不間斷處理和不損失數據的情況下運行程序［4］。日本瑞薩半導體公司在其最新R-Car 系列車載多核控制芯片提供了芯片內部電路故障的在線測試方案與診斷反饋機制，保障了系統的可靠性與功能安全性［5］。中科院計算所提出了眾核處理器健康監測、在線時延測試方法、自測試和半形式化功能驗證方法［6］；清華大學提出了異構多核芯片動態重構技術和安全編譯優化技術［7］等。

安全車控操作系統是基礎軟件，須考慮功能安全、實時性能等方面要求。現有安全車控操作系統的標準化架構以歐美為主導，主要有兩個標準體系：OSEK/VDX 和AUTOSAR。隨著AUTOSAR 應用越來越成熟，國內外整車企業及配套供應商已普遍采用AUTOSAR 架構，代表企業有德國Vector、EB 和美國Mentor。這些國際企業產品生態完善，質量穩定可靠［8］。國內普華在AUTOSAR CLASSIC 平臺基礎上提出一種基礎軟件模塊化與高效可配置的車控操作系統；華為、中興等也推出了自研實時內核系統；清華大學車輛學院與國汽智聯開展了面向服務架構的車控操作系統關鍵技術攻關［9］。

車載網絡被稱為車載控制系統的神經，但1 Mbps 車載CAN 網絡和100 Mbps 車載以太網無法滿足越來越高的通信需求，抗電磁干擾能力差。為提高汽車通信的性能、安全性和穩定性，2013 年IEEE 組織啟動1 000 Mbps 的光纖通信汽車以太網規范研究，2016年IEEE組織和美國博通等公司啟動多Gbps 汽車以太網的標準化調研和產品研制工作［10］。目前開發多Gbps 級高速光纖車載網絡，屬于尚待突破的早期階段，亟需關鍵技術攻關。北京理工大學電動車輛國家工程實驗室提出高速分布式車載網絡解決方案，先后牽頭研發了三代整車車載網絡技術及系統［11］。國科天迅科技有限公司是國內主要從事光纖通信芯片產品的公司，已實現了超2.5 Gbps高可靠高速光纖通信解決方案。

綜上所述，國外企業長期掌握車載控制基礎軟硬件核心技術，在當今復雜多變的國際形勢下，制約了我國智能新能源汽車產業的自主發展。但從國內研究現狀來看，我國的車載核心控制芯片的計算能力、車控操作系統的管理能力與車載網絡的通信能力難以支持智能網聯化發展需求，需要架構創新，且車載控制基礎軟硬件設計基礎相對薄弱，尚未形成統一技術框架，缺少必要的技術手段和評測能力，應發展異構多核車載核心控制芯片與復雜惡劣工況下的環境適應性增強技術，滿足智能新能源汽車功能安全與預期功能安全需求；發展多內核車控操作系統，解決軟件故障的隨機性和多業務不確定性問題，滿足車控操作系統從邊界到縱深的安全需求；發展多Gbps 車載網絡分布式光纖通信協議與故障診斷策略，滿足智能新能源汽車大容量、高速可靠數據傳輸需求；發展整車層面、系統層面、軟硬件層面的自主產品集成與評測技術，保障自主產品的整車應用及惡劣工況條件下的實車驗證。

2 車載核心控制芯片的可靠性與功能安全性關鍵技術

一方面，智能新能源汽車的電子電氣架構向中央計算架構方向發展，融合自動感知、智能計算、車輛控制等計算功能的多域功能集成是車載核心控制芯片的發展方向，但車載核心控制芯片面臨著多源異構信息融合帶來的性能、可靠性與功能安全問題。另一方面，高溫、高寒、高濕、高海拔等惡劣工況以及工藝偏差、電源噪聲、串擾效應、老化效應、輻射效應等成為誘發車載核心控制芯片功能失效的復合因素，特別是在多核同時工作時，易誘發電壓緊急問題，導致芯片時序故障，威脅車控芯片的功能安全。因此，我國亟需開展車載核心控制芯片的可靠性與功能安全設計理論及方法研究。

2.1 基于環境適應性增強的車控芯片可靠性與功能安全設計理論

構建一種基于環境適應性增強的車載核心控制芯片可靠性與功能安全設計理論，其中基于核間工藝-電壓-溫度（PVT）參數偏差模型，設計了支持智能感知的神經網絡處理器實現異構多核的協同優化，大幅提升了車載核心控制芯片的可靠性和安全性［12-13］。

圖1 中定義了電路時延變化（D(t)）與工藝分量（P）、電壓分量（V）、溫度分量（T）變化的關系方程。基于PVT 分量的理論分析，本文提出了一套芯片的基于智能感知協同優化實現方案：（1）在芯片上設計電壓、溫度和時延監測sensor，自測試出PVT變化引起的時延變化；（2）由神經網絡處理器［14］感知并診斷出各個核的V分量大小，進而協同優化和補償；（3）通過線程遷移，使不同核各自的PVT分量之和最小，從而提高了系統性能、吞吐量和任務調度公平性。

圖1 核間PVT參數偏差的建模

2.2 神經網絡處理器混合計算容錯架構

神經網絡處理器的可靠性對于車載人工智能應用至關重要。為在線檢測處理單元陣列中的處理引擎（PE）故障并實現實時容錯，本文設計了一個統一的混合計算容錯架構HyCA 來容忍PE 的多種故障配置［15］。

如圖2 所示，在常規的二維計算陣列外部署了一個點積處理單元DPPU，用于重新計算映射到出現錯誤的PE 的所有操作，其中出錯的PE 可以在計算陣列的任意位置。當DPPU 的大小大于二維計算陣列中故障PE 的數量時，DPPU 總能在新的權重和輸入數據就緒之前完成重計算任務。

圖2 混合計算容錯架構HyCA

HyCA 使用一個故障PE 表來記錄故障PE 在二維計算陣列中的坐標，這通常可以通過上電時的自檢程序獲得。通過改變故障PE 表，依次掃描二維計算陣列中所有PE的計算情況，可以在不影響二維計算陣列處理的情況下，在運行時檢測PE 故障。其基本思想是讓DPPU 重新計算二維計算陣列中PE 上的操作，然后對比計算結果，檢查二維計算陣列中的PE是否存在故障。

進一步通過抗NBTI 老化設計允許制造測試所用的可測試性設計電路被復用到在線的電路老化預測中，可有效預測和容忍復雜環境條件引起的電路時序失效。

2.3 基于統計時序的小時延缺陷和精確小信號串擾源故障分析與測試方法

為提升車載核心控制芯片在惡劣工況下工作的可靠性，須考慮分布式小時延缺陷和互連線串擾噪聲引起的最長信號傳播路徑的分析和時延測試［16］。

針對工藝偏差、電源噪聲等引起的小時延缺陷的測試，構建了電路的統計時延模型，在統計時延模型下，小時延缺陷的測試路徑選擇問題形式化為：從N條電路總通路數選擇M條通路進行小時延缺陷測試，使時延失效捕獲概率最高，其本質是一個最小集合交集求解問題。國際上基于蒙特卡洛的測試路徑選擇方法產生Z個電路實例來模擬，計算復雜度為O(Z×M×N)。而將測試路徑選擇問題轉換為了最小集合交集問題，計算復雜度為O(M×N)，因此計算時間相比于國際上的蒙特卡洛方法顯著降低，且可以獲得與前者相當的小時延缺陷測試覆蓋率。

進一步，本文基于精確小信號串擾源故障模型PCPDF(p，sp-a， ＜v，a＞)來指導設計與測試，其中p為關鍵通路，v為關鍵通路上的一條受害線，a為導致v發生串擾減速效應的侵略線，sp-a是傳播侵略跳變到a所用的子通路。為保證準確測試＜v，a＞串擾效應，線a，v發生跳變的時間窗必須在指定工藝參數下重疊，且兩線必須以相反方向跳變。PCPDF模型巧妙地將串擾的邏輯約束和時間約束統一表征，在測試生成中確保侵略跳變和受害跳變是沿著故障模型中指定的路徑傳播到發生串擾的故障點，從而能保證生成的測試向量一定激活了故障模型中期望的串擾效應。

與國際上的CTF［17］和CPDF［18］串擾故障模型相比，基于PCPDF 模型的測試具有更高的串擾故障測試覆蓋率，可應用于EDA 流程中進行考慮布線和時延的串擾故障收集、物理設計優化和自動測試生成，如圖3 所示，對AECQ-100 標準未能考慮的串擾故障進行精準分析和測試。

圖3 串擾設計優化和自動測試生成

2.4 異構多核的輕鎖步功能安全保障架構

現有車載核心控制芯片一般通過雙核鎖步保障功能安全，這種雙模冗余機制帶來了超過1 倍的設計開銷。本文提出一種異構多核的輕鎖步功能安全設計架構［19］，見圖4。該功能安全設計主要由一個香山（XiangShan）處理器核，多個Rocket 處理器核、加載轉發單元（load forwarding unit）、加載存儲日志組成（load store log）等部件組成。主核主要由取指單元和后端流水線組成，取指單元從指令緩存（instruction cache）中取指，交給后端流水線譯碼執行。主核運行正常的程序，并將程序劃分為多個程序段分別交給各個檢查核重復運行以實現差錯檢測。每一個程序段都為其分配一個空閑的檢查核。在程序段的開始，將當前的寄存器狀態復制給檢查核，使檢查核能夠以相同的狀態開始運行。在程序段的結束，也將當前狀態復制給檢查核，用于該程序段運行結束后對狀態進行檢查。該架構采用主從核運行模式控制，考慮關鍵任務性質動態配置主/從核的安全模式，在運行非關鍵任務時將從核配置成非鎖步模式，從而有效減少了安全機制的性能開銷和面積開銷，能更有效地利用片上算力來提高系統性能。并可對從核進行裁剪，減少面積和功耗，進一步提升系統可靠性。

圖4 芯片功能安全設計架構

基于上述攻關成果，本文采用40 nm車規級工藝實現一款車載核心控制芯片，芯片版圖見圖5。經第三方測試，該芯片集成4 核功能安全處理器核，計算性能大于3000DMIPS，智能計算能力大于1TOPS，可靠性達AEC-Q100 Grade-1 等級，功能安全滿足ISO26262 ASIL-D 等級要求，與現有技術相比，執行效率顯著提升近兩個數量級，減少多核處理器的吞吐量損失達30%，將安全機制的性能開銷和面積開銷減少20%以上，在大幅提升計算性能的同時，顯著提升芯片的可靠性與功能安全性水平，能夠滿足未來智能汽車的電子電氣架構向集中化演進的技術需求。

圖5 芯片原型版圖

3 車控操作系統的可靠性與功能安全性關鍵技術

智能汽車傳感器的種類和功能愈加多樣，自動化程度越來越高，為保障汽車行駛的安全性與舒適性，對車控操作系統的多任務管理能力和實時性提出了更高的挑戰，但傳統車控操作系統存在實時性差、隨機故障嚴重、多任務不確定性等瓶頸問題。因此，我國亟需開展車載操作系統的高可靠性與高安全設計和實現技術研究。

3.1 支持安全控制、智能駕駛的一體化操作系統架構

高度變化的需求、智能化的持續演進、車載硬件和軟件系統復雜程度的提升對車控操作系統的性能、可擴展性、易用性、系統可靠性提出了嚴峻的挑戰。智能新能源車控操作系統運行基礎是異構、分布式計算平臺，既須滿足安全車控操作系統的高安全（通常安全等級是ASIL-D）等功能和特點，還須提供高性能、高可靠的計算、傳感、時間同步、分布式通信等功能以支持自動駕駛感知、規劃、決策與控制的實現。車控操作系統總體架構與電子電氣架構的革新和對應的車載計算架構相輔相成，因此從整個駕駛閉環角度，將安全車控操作系統與智能駕駛操作系統進行整體架構研究。

本文設計的車控操作系統采用縱向分層、橫向分區式架構如圖6 所示。在邏輯層次上包含系統軟件和功能軟件框架，是車載智能計算基礎平臺安全、實時、高效的核心和基礎。系統軟件創建復雜嵌入式系統運行環境，可以實現與Classic 和Adaptive 兩個平臺的兼容和交互。功能軟件根據智能網聯汽車應用特點，以及各類輔助駕駛/自動駕駛功能的核心共性需求，明確定義和實現各共性子模塊，并進行通用模塊定義和實現。

圖6 車控操作系統參考架構

上述車控操作系統架構的特色體現在既能夠兼容Classic AUTOSAR 平臺，基于Classic AUTOSAR 平臺的擴展滿足高安全、強實時控制要求，又能夠與Adaptive AUTOSAR 平臺適配，滿足新能源汽車復雜行駛場景下感知、決策及控制的要求。

3.2 車控操作系統關鍵技術

3.2.1 智能新能源汽車高安全決策方法

智能汽車的決策及控制是車輛安全行駛的基礎，尤其是復雜交通場景下安全高效的決策及控制方法。基于深度學習、強化學習的智能汽車決策模塊中，通常會建立復雜場景下行駛安全模型，并根據安全模型確定或學習安全決策機制。一般采用的方法是建立能量函數形式的安全模型，但滿足車輛強安全約束的完美的能量函數安全模型通常難以獲得，因此影響到決策的安全性和效率。本文提出了一種在通用復雜場景零狀態約束違反的安全控制策略，同時進行安全模型和安全策略學習的智能汽車安全決策方法［20］。

針對難以得到合適的安全模型函數的困難，提出一種基于控制閘函數能量函數的安全模型。能量函數φ是從狀態空間到實數集合的映射，對于給定的能量函數，安全動作集合的設計是在系統危險時使系統能量下降：

而一個完備的能量函數要求系統在任意時刻安全動作集合都不為空集，即

因此，建立一個損失函數J(φ)，通過最小化損失函數使其在狀態空間中任意狀態都存在非空安全動作集合：

如果能量函數設計是完備的，該損失函數會降為0。

在安全策略學習的部分，本文建立了一種約束強化學習方法，在最大化期望獎勵的同時保證安全控制約束（即使系統安全能量函數下降）：

同時提出使用拉格朗日對偶梯度上升法來求解這樣的約束型強化學習問題，構建拉格朗日函數并計算其最優值。

本文進一步將安全模型學習和安全決策學習合并為同一優化問題。對于最優的策略和拉格朗日乘子對(π*，λ*)，最優條件（KKT 條件）使只有約束一定被違反時，拉格朗日函數的后半部分不為0。因此，可以得到兩個優化問題的損失函數實際上線性相關：

進而可以證明兩個問題實際上具有相同的極小值：

在此基礎上，構建安全狀態增強的強化學習型能量函數生成方法［21］，以及自動駕駛軌跡規劃方法［22］，結合周車預測結果動態調整狀態約束的不確定性邊界，交替迭代更新拉格朗日乘子網絡與策略網絡，實現了典型多車道場景（包括側方車輛切入、前車減速、下匝道擁堵等）下安全、靈活、經濟的智能決策控制［23］。

3.2.2 車控操作系統功能安全機制

本文研發的車控操作系統須滿足ISO 26262 功能安全要求，須據此進行操作系統故障分析及功能安全設計的研究。

首先采用FEMA 方法對車控操作系統的故障進行分析。所研制的安全車控操作系統主要包括以下組件：基本功能、保護功能、平臺依賴、配置信息。每個組件包含若干子模塊，子模塊又包含系統調用接口函數，按層次由高到低劃分為：系統—模塊—接口函數。對基本功能組件中的各個模塊以接口函數為粒度進行軟件故障分析，本文結合ISO 26262 標準、行業開發經驗等生成軟件故障模型。

進一步在軟件故障模型的基礎上，建立操作系統安全機制。針對系統軟件層，設計了系統健康管理、資源管理隔離、數據通信保護等功能安全組件。針對功能軟件層，設計了軟件冗余、硬件冗余等安全監控組件。

綜上所述，本文提出了一種多業務解耦的新能源汽車安全可靠操作系統架構與功能安全機制，研發了一個車控操作系統原型，支持對內核、通信、診斷、存儲、網絡管理等基礎軟件模塊的圖形化配置功能，相關工具鏈軟件ORIENTAIS-Studio 應用于ECU軟件開發過程。

該操作系統原型可支持智能控制與安全控制，將ADP 計算時間降至6 ms 內，提高了安全車控操作系統的安全、實時性，與AUTOSAR 標準兼容，支持CAN、CAN-FD、LIN、FlexRay、以太網等5 種主流通信協議，中斷響應時間達2.396 μs，任務實時調度時間達4.956 μs；實現了安全監控、軟件冗余、數據通信保護，滿足ASIL-D安全等級要求，已在量產BMS、整車、車身域等多種控制器上驗證，有望實現國產操作系統的產業化上車應用。

3.2.3 車控操作系統調度算法

智能新能源汽車的控制涉及感知、決策、控制等多種算法。根據算法的復雜程度，實現單個節點的多線程，并監視每個節點進程的CPU 利用率；通過Linux 核心分配的工作原理（調度API），根據不同的CPU利用率，動態綁定節點進程與CPU的核數，實現算力的動態分配。

在進行資源調度前，需要對算法的任務集進行確定。多處理器系統的任務集S={s1，s2，···，sn}描述如下。

（1）任 意si∈S可表示為一個多元組si={at(i)，st(i)，pt(i)，dt(i)，et(i)}。其中：at(i)為任務si的到達時間；st(i)為任務si開始處理的時間；pt(i)為任務si所需的處理時間；dt(i)為任務si的截止期；et(i)為任務si對資源Res的需求，有專用和共 享2種使用方式，et(i) ={et(i)1，···，et(i)k}，k∈{1，2，···，K}，K為資源數。

（2）任務是不可搶占的，且是相互獨立的（任務間無先后順序約束關系）。

（3）任務不具有并行性，即任務是不可再分的。

任務集確定之后，針對不同的任務集，需要通過一定的指標來衡量任務集在多處理器系統中占有的資源，如圖7 所示，本文使用調度成功率、平均響應時間、處理器利用率、調度長度作為評價調度算法的性能指標［24］。

圖7 調度算法體系框架

一般情況下，一個調度算法不能使上述指標同時達到最優。對于實時性要求較高的系統，調度成功率最重要，應在保證調度成功率的前提下，盡可能提高其他指標，以使系統的整體性能得到優化。

指標確認后，研究優化調度算法實現算法任務的優化運行。設系統中每個資源對應一個入口，擁有兩個記錄變量。其中一個記錄變量負責記錄訪問該資源的任務數，另一個則負責記錄以互斥方式訪問該資源的任務數。當生成一個新任務時，根據任務使用資源的情況來修改各資源所對應的這兩個記錄變量。以該方式分別記錄該資源的被訪問任務數及訪問模式（專用或共享），并用資源列表記錄所有資源的信息。優化的目標函數為

式中：EST(i)為任務的理想最早可用時間；W1和W2為權值，分別表征任務的理想最早可用時間和運行時間對目標函數的影響程度。

總的來說，根據任務集與處理器處理能力之間的匹配關系構建任務及處理器的一般模型，分析任務數量與系統處理能力之間的關系，實現多處理器系統的動態調度。

4 車載高速光纖通信的功能安全性關鍵技術

智能化和電氣化快速發展使汽車內部需要傳輸的數據量愈發增多，作為數據傳輸的媒介，車載網絡起著關鍵的作用。但是傳統的車載網絡協議和介質具有通信帶寬小、延時高和穩定性差等諸多問題，難以滿足智能電動汽車的要求。目前，車載高速光纖通信是核心解決方案之一，亟需開展相關技術攻關。

4.1 車載光纖通信協議棧及調度機制設計

對于智能電動汽車而言，其搭載的網絡既需要滿足實時音視頻的傳輸需求，又需要滿足實時運動控制要求。然而現有通信協議及協議棧機制難以保證帶寬資源和節點之間通信的實時性。本文中提出采用分層和實時調度機制結合構建光纖車載通信協議棧思路，以保證高速、實時、確定性數據傳輸，車載光纖通信技術的關鍵點是光纖、元器件和拓撲、網絡協議。光纖的性能直接影響通信速率，采用光纖通信技術后元件和拓撲結構也需要相應改變。要保證信息傳輸的實時性和安全性，網絡協議也必不可少。考慮到消息傳輸的實時性、公平性和安全性，光纖網絡的通信協議必須有相應的消息調度機制。所構建的分層+調度融合車載光纖通信協議棧結構設計［25］如圖8 所示，通過在傳統的以太網通信協議棧引入實時調度機制，以及將分層協議簇規范化，實現構建車載高安全性光纖通信協議棧。

圖8 分層+調度融合車載光纖通信協議棧結構

4.2 多協議通信網關及其管理調度方法

網絡信息的傳輸與通信協議棧有關，因此網關在其中扮演的角色非常重要。特別是近年來汽車電子電氣架構快速發展，傳輸的數據量快速增加，網關起著愈發重要的作用，但是現有的網關因缺乏合適的調度方法，網絡通信的實時性難以保證。

本文提出一種多協議通信網關［26］，如圖9 所示。該網關原理上主要包括：主干網、子網、管理核心以及多個轉發管理核心。管理核心用于接收主干網以及子網輸入的消息，將所述消息分配至相應的轉發管理核心中的消息隊列。轉發調度核心用于發送訪問內存請求至管理核心，并當接收管理核心發送的訪問內存許可之后，將消息隊列中的消息按照隊列順序復制消息，再發送消息至相應的主干網或子網。

圖9 多核多通信協議網關結構示意圖

如圖10 所示，各消息隊列調度算法首先根據消息的最早截止時間確定消息的優先級，使用優先級排隊，在排隊過程中發生延遲時（消息隊列不能即進即出，發生排隊即產生延時，因為消息較多在隊列中累積就會發生延時，延遲的后果將會導致汽車的實時性和安全性下降），需要不斷更新（例如消息隊列中出現了兩個具有相同ID 的消息，該消息的優先級為3，將前一個消息刪除，后一個消息的優先級升級為2，重新插入隊列中優先級為2 的消息的首位）及刪除現有消息（現有消息與隊列中已存在消息重復，進一步增多在隊列中排隊的消息，所以將重復的具有相同ID 的消息刪除可以減少延遲，且刪除已發送消息，這里的刪除消息是刪除隊列中的重復消息），從而避免消息的長期累積。當消息更新時，具有相同ID 的消息可以適當提升其優先級（提升的程度是可以將該消息的優先級提升一級，且置于同等優先級之首），以此避免低優先級始終處于消息隊列，無法轉發甚至丟失的情況，使低優先級的消息也可以盡快傳輸。當有緊急消息時，可直接設定為最高優先級傳輸該消息，避免延時帶來的損失。

圖10 調度方法示意圖

4.3 基于分數型基本周期的網絡調度策略

網絡信息的傳輸質量直接影響車輛的運動控制性能，因此須盡可能降低網絡誘導延時和不同步對控制系統的消極影響。本文提出了一種分數型基本周期的網絡調度策略［27］，并將其應用到橫擺力矩控制中。圖11 顯示融合分數型基本周期理論的直接橫擺力矩的混合調度-控制框架。在該框架下，分數型基本周期的柔性時間觸發的調度策略，用以消除多包傳輸帶來的不同步問題，并將延時組織到更小的范圍，控制回路中的延時被減少到0.5T以內。分數型基本周期的網絡調度策略實現了網絡流量的主動管控，提高了系統的實時性和穩定性。

圖11 混合調度-控制框架

4.4 系統學-結構學-最值公式回路時滯分析法

車載網絡的廣泛應用使車輛控制系統成為網絡化控制系統。近年來國內外學者對車輛網絡化系統做了一定程度的研究，然而大多數研究止步于對某一特定系統中的網絡延時進行分析，這導致其分析方法的應用場景大大受限。基于此，本文中提出了一種針對車輛網絡化控制系統的系統學-結構學-最值公式回路時滯分析方法［26，28-29］，如圖12所示。

圖12 系統學-結構學-最值公式回路時滯分析法

具體來講，系統學是從系統的角度描述回路信息的傳遞路徑，結構學是從結構角度分解并定義節點服務時間、鏈路服務時間和聚合多服務回路延時的概念，推導各構件數學公式及其求和公式，最值公式是從最值計算角度推導尋求聚合多服務回路延時上確界的公式。該分析方法分別在電動車輛的傳動系統控制和域架構下自適應巡航系統和緊急制動系統的設計上進行驗證。

基于上述理論研究，研制了車載高速分布式光纖通信接口芯片初樣，支持車載高速分布式光纖通信接口的SERDES 串化解串功能，支持1.25、2.5、4.25 Gbps 等速率光模塊，支持波長850、1 310、1 550 nm 等不同規格的光模塊，具有體積小、功耗低等優點，非常適合于功耗、體積以及電磁兼容性要求苛刻的車載應用。

5 實車驗證

在上述技術攻關成果的基礎上，研制了集成車載核心控制芯片和車控操作系統的整車控制器（圖13），通過在高溫（環境平均溫度不低于35 ℃，最高溫度不低于50 ℃）、高寒（環境平均溫度不高于-15 ℃，最低溫度不高于-40 ℃）、高濕（環境平均溫度不低于20 ℃，平均濕度不低于50%，最大濕度不低于95%）、高原（平均海拔不低于3 000 m，最高海拔不低于4 700 m）等典型極端環境條件下的實車（圖14）道路驗證，構建了支持自主車載核心控制芯片和自主車控操作系統的軟硬件一體化集成評測的新能源汽車新技術開放整車驗證平臺，支持自主車載核心控制芯片、自主車控操作系統、自主車載高速光纖通信系統的快速搭載驗證，為正向開發奠定了堅實的基礎。

圖13 集成車載核心控制芯片和車控操作系統的整車控制器

圖14 用于驗證車載核心控制芯片和車控操作系統的實驗樣車

在芯片機制允許訪問、不影響芯片正常運行功能和性能的前提下，對車載控制芯片進行實車驗證過程中的數據采集，架構如圖15 所示。當接口通信速率足夠大時（比如采用以太網），可支持直接對芯片上寄存器數據的同步采集傳送，如圖中紅色線示意。當接口通信速率較低時，則須增加一個存儲器做為數據的存儲緩存，分時上傳，如圖中黑色和褐色線示意。

圖15 車載核心控制芯片數據采集系統功能架構圖

將車載芯片采集和評價的數據分為芯片運行數據和環境數據兩大類，如表1 所示。分別采集核心關鍵指標，對極值、均值、標準差、時間序列等指標進行分析，評價車載芯片的運行狀態是否正常。

表1 芯片數據采集分析列表

6 結論

以車載核心控制芯片、車控操作系統與車載高速光纖通信系統為核心的車載控制基礎軟硬件負責整車控制功能，是保障系統可靠性與功能安全性的關鍵。我國企業尚未全部掌握車載核心控制芯片及車控操作系統的可靠性設計與安全性評測關鍵技術，嚴重制約了我國新能源汽車的自主安全發展。

本文針對國產基礎軟硬件與整車產品高安全性和高可靠性要求的巨大差距，介紹了車載核心控制芯片可靠性與功能安全性、車控操作系統可靠性與功能安全性、車載高速分布式光纖通信功能安全性、車載核心軟硬件集成與評測等關鍵技術的最新研究成果，并基于北汽集團的新能源汽車完成了自主研制的車載核心控制器件和車控操作系統的實車驗證，為我國新能源汽車車載控制基礎軟硬件的自主可控奠定了堅實的基礎。