新一代智能汽車架構的核心目標之一是能夠支撐高階自動駕駛的功能安全。在實現目標的手段中，“冗余”仍是最重要的保障手段之一。 除了要保障感知、計算、執行、供電等環節的冗余外，從整車架構層面，通信是功能安全實現的關鍵環節，以靈活、有限的代價來保障“通信”的冗余，保證終端設備的故障不會影響整個網絡，以及網絡具備故障后快速恢復等的基本能力，是保障各個控制器能夠準確、及時地控制整車安全運行的基礎。在此基礎上設計的汽車系統安全組件如圖所示。

對通信的功能安全需遵循E2E（End to End，端到端）的理念，無論從系統功能安全的角度還是從軟件功能安全的角度，接入分布化及計算集中化對車載網絡通信提出了很高的要求。下圖分別從系統功能安全及軟件功能安全的角度，分析了E2E各個環節提出的ASIL D的功能安全等級要求。也正是在此高功能安全架構的整體通信機制框架下，整車EEA逐步從傳統邁向智能，從低階的自動駕駛能力向高階的自動駕駛能力持續演進。

系統功能安全設計目標分解

軟件功能安全設計目標分解

車載計算與通信架構中，骨干網絡通信機制采用車載以太網，包含冗余時間同步機制、多發選收和折疊倒換等通信冗余機制。 時間同步機制是IEEE 802.1 TSN任務組針對車載以太網制定的，用來保障車載以太網對數據穩定、安全的傳輸。TSN任務組在IEEE 802.1AS標準中定義了時間同步機制，用來同步網絡中各節點的時鐘。 多傳感器的融合技術是自動駕駛的核心之一，而各節點之間的時間同步在傳感器整合技術中起著至關重要的作用。在整車環形網絡架構中，運用多時間同步域技術，建立時間同步鏈接的冗余備份，可支持單時鐘源以及多時鐘源。時鐘域冗余機制下圖所示，在正常情況下，時鐘源建立兩條時間同步樹，形成時鐘域1和時鐘域2。在同步節點時間時，由節點前的網關或者節點本身完成時鐘域的選擇。當某個網絡節點發生故障時，仍然會有另一時鐘域的同步信息可以送達，進而實現時間同步的無縫切換。

時鐘域冗余機制

IEEE 802.1CB標準是TSN標準族中的可靠性協議，也被稱為多發選收機制，原理是通過在N條獨立路徑上發送N個冗余報文（即主鏈路與備份路徑同時發送相同的數據報文，每個相同的報文有相同的序列號），由目的設備選擇性地接收其中一份，通過序列號，篩除其他重復的N- 1份報文，以支持業務的無損恢復，如下圖所示。

多發選收機制原理

整車網絡形成環形網絡后，可以很好地發揮IEEE 802.1CB標準的多發選收機制，同時由于鏈路上有環形網絡冗余，也為其他機制的使用提供了可能，例如，在發生單點故障時，采用了折疊倒換機制。折疊倒換機制同樣可以為環形網絡提供數據傳輸鏈路的冗余備份。而與多發選收不同的是，折疊倒換不需要發送兩份同樣的數據報文，從而提高了信道利用率，用戶在同樣的帶寬下可傳送更多有效的數據；冗余鏈路切換的時間很短暫（<1 ms），可滿足自動駕駛的要求。

折疊倒換機制 從車載以太網通信功能安全的實踐中可以看出，從系統的角度來說，以E2E的方式考慮整車級的網絡通信架構和方案十分重要。在保障高可靠、低時延等基本網絡通信要求的基礎上，在系統層面應用新通信技術，并進行合理的安全等級分解，可大大簡化系統的設計，從而降低開發成本、提高開發效率，持續支持智能汽車的演進。 對智能汽車來說，特別是對于具備高階自動駕駛能力的智能汽車，功能安全是復雜的系統性工程，也是汽車產品安全地按設計意圖實現應有功能的基本保障。作為智能汽車功能核心中樞的車載網絡通信架構，功能安全的實現需要從傳感器、控制器和執行器方面系統地考慮，而它們之間通信的高等級功能安全的實現又是整個系統達成功能安全的基本前提，也是整車EEA開發、實現的核心內容之一。

編輯：黃飛

?