英飞凌携手生态伙伴打造软硬件相结合的自动驾驶平台

ADAS高级辅助驾驶系统发展现状

汽车工程师协会将自动驾驶分为L0-L5 六个级别。为了减少交通事故，汽车行业采用了日渐成熟的驾驶辅助系统。根据来自YOLE的统计，2020年，售出的汽车包括了L0级（无ADAS功能，主要对驾驶员发出预警，如自动紧急制动，盲点预警，车道偏离预警），L1级（辅助驾驶员转向或制动/加速，如车道居中或自适应巡航控制ACC），以及L2级（辅助驾驶员转向和制动/加速，如车道居中，并同时提供自适应巡航控制ACC）。这三个级别是“驾驶员辅助”级别，启动驾驶辅助功能时，驾驶员依然在驾驶。接下来，从L3-L5就是自动驾驶功能。启动自动驾驶功能时，驾驶员没有驾驶。L3级ADAS的车辆必须能够自主驾驶（但驾驶员随时可以取回控制权）。目前，汽车厂商正在积极面对这一挑战。



ADAS发展面临的挑战

1、 开发成本高
目前，虽然汽车行业在高级安全功能领域取得了值得称赞的进步，但开发这些功能所花费的成本和精力巨大。作为过渡，目前正在在强化L2功能，进入到L2+阶段，而不是完全迈向L3。车厂可以重新审查当前开发流程，并进一步将方案优化为可重复使用的平台，从而深入到对价格较为敏感的汽车领域。其中，感知是关键，因为如果对车辆周围环境缺少清晰可靠的感知，就不具备制定关键安全决策的基础。

2 、面对处理各式各样的传感器
同时，面临的另一挑战是要对多个传感器进行处理，这些传感器优劣各异、分辨率不同、对下雨等环境变化的反应各不相同，其感知期各有差异，如超声波传感器，毫米波雷达，摄像头，激光雷达等。而传感器融合需整合一系列来自不同传感器的数据，并以一致的格式显示它们，从而提供车辆周围动态静态目标的状态信息。

 3、选择适当软件开发平台，支持新型传感器
传感器融合，不仅须与当今汽车行业使用的现有软件平台（如AUTOSAR Classic和Adaptive Platform）及仿真工具无缝集成。将来，还可能出现新型的传感器，因此，更需与工具厂商协同合作，以便快速有效地对任何新型传感器进行配置。


如何推动ADAS进一步发展：软硬件相结合

1、软件实现-传感器融合生态系统

利用现有的传感器融合系统，而不是重新创建一个系统来处理上述各类复杂情况，显然是一种较好的方法。BASELABS推出的Create Embedded解决方案提供了一个一致性的开发工作流程，从前期开发到原型设计，一直到量产，为开发者提供一站式支持。

Create Embedded的核心是一个和传感器独立的数据融合算法库，生成可读的C语言源代码，该代码经过编译，可在PC平台上评估执行，或者直接在英飞凌AURIX™汽车微控制器嵌入式环境中使用。使用传统的IPO模型（输入、处理、输出），Create Embedded可以接收来自各类传感器的数据。这个数据融合库可通过Data Fusion Designer进行配置，以供使用。Data Fusion Designer是一个集成了一系列传感器和对象/轨迹接口的图形工具。定制化传感器也可以定义和纳入设计，如有需求，亦可对现有传感器进行扩展。该环境可对任何内容进行灵活配置，从两个传感器到多个不同类型的传感器的完整360°视角设置等。

数据融合处理过程涵盖了多种算法，以支持创建自定义对象融合解决方案，其中包括数值稳定的卡尔曼滤波器、轨迹管理功能、分类融合以及异步传感器测量的同步等。为了确保快速平稳地过渡到嵌入式硬件，C代码采用了具有运行效率和存储效率的设计，同时支持定制化和扩展化创新。它提供了一个独立的解决方案，无需外部库，而且完全符合MISRA C：2012。

输出时，该库将其结果融合到一组称之为环境模型的常用对象中，其中包括位置、速度、方向和加速度等参数，以及对象的大小和分类。这些参数还可以通过自定义参数进行扩展，用以区分解决方案并适应ADAS目标功能。接着，输出会被传递到自动驾驶功能，例如自适应巡航控制（ACC）系统、自动紧急制动（AEB）系统或前向碰撞预警（FCW）系统。

从软件到运行它的芯片，安全是整个ADAS技术实现过程的核心问题。除了根据ASPICE开发的软件库，Create Embedded还遵循ASIL B ISO 26262：2018的相关要求。此外，它还附有一个安全案例和安全手册，旨在为安全相关环境下的使用提供指导。当在ISO 26262的场景下使用时，Create Embedded的某些组成部分也被视为是需要获得相关认证的软件工具。BASELABS可为这种工具认证提供支持：首先，这些软件工具是根据该标准的相关内容进行开发的；其次，BASELABS提供一个用于工具验证的测试套件。

 

2、硬件实现-在可靠的芯片英飞凌AURIX™ TC3xx上运行

在开发值得车主信赖的ADAS系统时，Create Embedded传感器融合平台与英飞凌可靠的汽车微控制器AURIX™ TC3xx系列乃天作之合。AURIX™ TC3xx系列基于TriCore™处理内核，后者专为低延迟而设计，是一个成熟的控制和计算架构，而且还具有DSP功能。因而，该微控制器系列非常适合用于对安全性要求颇高的汽车应用，同时它还具有一个开发生态系统，能够应对复杂多变的需求。其核心在于其确定性，可确保及时制定ADAS决策，从而提供符合驾驶情况的数据。

出类拔萃的中断处理、快速的上下文切换和中断响应时间对于确保一个可扩展、可重复使用的平台的确定性、鲁棒性以及最重要的安全性而言至关重要。这也是行业标准应用内核与真正的嵌入式应用需求的不同之处：虚拟内存上下文切换、缓慢的中断处理以及缓存线路丢失都会导致延迟，进而引发不确定性行为，甚至难以确定最坏情况下的执行时间。 

在AURIX™ TC397（300 MHz，1 /6核）上测试的应用示例包括3R1C（3x雷达，一个摄像头），它支持30条轨迹。AURIX™仅负责传感器融合，无需借助其他SoC。该测试用例的实现所需RAM约少于20 KB，所需的ROM少于60 KB。更大的配置，例如更多的传感器，更多的轨迹，或更多的测量可以分布到多个CPU核。


对于该类应用的软件开发人员和集成商而言，一流的调试支持可能最有帮助。内核内部及其外围具有广泛的观察点，可通过高速跟踪，调查软件问题，并检查是否满足时序要求。

驾驶员需要保证，根据他们的认知，这类辅助系统每次都能正常工作。AURIX™所采用的方法提供了一个整体芯片安全概念。这些概念包括使用反逻辑反核的高级锁步CPU概念、中央安全管理单元（SMU），以及为存储器、外围器件和全局寄存器提供三层访问保护。微控制器在裸片上的布局采用了外围器件冗余和空间分离等方法，还使用了独具创新的监控和保护机制。这种布局也是安全概念的关键。

实际上， AURIX™生态系统的安全性根深蒂固。首先，在产品设计阶段执行ISO 26262的方法来避免系统性故障，之后深入分析IP级故障模式，且在产品生产阶段严格遵守设计规则。车辆电子系统的电子控制单元（ECU）处在环境状况非常恶劣的状态里 ，因此，我们通过双面孔金属化冗余、多点电源和冗余内部模块，来应对糟糕的环境。电磁兼容性（EMC）是汽车设计人员的另一个关注重点。得益于高效的片上电容去耦、时钟调制技术和灵活的I/O驱动器扩展，尽管AURIX™的性能在过去十年提高了12倍，核心频率也翻了一翻，但是EMC的对外辐射却只有原来的十分之一。

故障发生时，由于采用了冗余触发器形式的修复机制或内存交换概念，AURIX™可以从故障或部分软件更新中恢复，因此系统有可能从故障中恢复过来。最后，通过中央SMU的成熟信号机制，应用程序可以稳固的采取下一步措施，并标记故障状况。AURIX™还具有完全可配置的失效模式、影响及诊断分析（FMEDA）安全文档，该文档为客户进行详尽的安全分析提供所需的相关数据和信息。

安全措施、出色的锁步架构和三层访问保护为安全性至关重要的ADAS应用提供了可靠的处理平台。

 

随着车辆自动驾驶能力的提高，另一个愈发引人关注的问题是网络安全和防止外部攻击。同样，AURIX™系列产品通过硬件安全功能实现了软件安全。硬件安全模块（HSM）提供可配置的闪存，用于存储加密密钥和关键数据，此外还有真随机数发生器（TRNG）和硬件加密加速器（AES、ECC、HASH、SHA）。


随着将乘客人身安全责任转移到ADAS，AURIX™内部的安全机制可以防止网络攻击

尽管ADAS功能对于普通消费者而言仍然比较新颖，但它们在汽车开发领域早已非常成熟，因此是时候开始考虑对某些方面进行标准化。十分复杂的传感器数据融合就是其中一方面。而借助软硬件相结合的方法，所需开发时间大大减少，相应所需的开发人员也减少，同时显著降低与ADAS重要组成部分有关的项目风险。

声明文字：

该文章来源于“英飞凌汽车电子生态圈”官方微信，英飞凌汽车电子生态圈对该内容拥有最终解释权。

如需转载，请注明来源，英飞凌保留所有权利。

QR Code: