一文解析Zonal架构下动态配置切换

和友人一起交流 Zonal 架构这样未来 5-10 年才会普及的架构到底有多少好处，我觉得这个问题是可以理一理的，特别是之前在 EE 架构方面比较沉默的丰田，也很明确会在 2025 年以后导入 Zonal 架构并且围绕座舱和自动驾驶两个核心的计算平台进行大幅度的改动。特别是今天在读 BMW 的 Florian Oszwald 有关于《Evaluation Methodologies in the Development of Dynamically Reconfigurable Systems in the Automotive Industry》，围绕着动态可重新配置的系统，如果可以满足安全性要求，也就是在 Zonal 控制器层面可以进行动态的配置，使得这些作为网关中转的模块可以快速和之前的围绕硬件设计的 ECU 进行兼容，并且予以替换。

01Zonal 架构的基本好处

总的来说，EE 架构是从分布式架构到域集中架构，从域集中到跨域融合，从跨域融合再到最终的中央计算平台。Zonal 架构有别于目前 MEB 以传统 Domain 和后续 PPE 的多个 HPC 下 Domain 的进化，主要的优化空间阐述来看，有以下的好处：

1）整车线束在电源需求增加和网络复杂度增加方面，可以达到简化线束复杂度和减少线束用量效果，有助于线缆的重量和成本的下降。随着车辆智能化的要求，还有电子化的配置越来越多，车上不断增加的执行器和传感器，和相应不断增加的算力和数据传输带宽，正在不断挑战集中式配电单元和整车输送电源的难度，通过 Zonal 在物理上可以减小这些的困扰。

2）整车制造方面：Model Y 的 100 米的牛，可能是需要 Zonal 架构的线束整体层面简化来实现的，在 Zonal 架构下，线束可以往产线自动化方向去考虑，在整体的空间和安装位置也会大大节约。软件层面不多说了，这个后续都是发展的重点。

图 1 丰田有关于 Zonal 架构的好处

这些好处其实不足以让我们抛弃原有的东西，剩下来的配线和林林总总的，其实在汽车的成本和投入面前都是小钱。这里的核心问题还是可动态配置，可以在复杂性和安全方面做平衡，大量算力和功能涌入车里面，一个不好就是开发上的灾难。在完全集中控制的 Zonal 架构里面，绝对的中心是车载计算平台，Zonal 控制器所扮演的角色主要是充当网关的角色，提供并分配数据和电力，并实现车辆特定区域的功能，如下图所示的对应关系，器最重要的特性是承上启下，和中央计算平台完成基于服务的功能，然后和我们熟悉的 ECU 和执行器协同工作完成任务。Zonal 架构里面的 Zonal ECU 的作用，是保证功能在不同 ECU 或区之间的可移植性；增加软件的复用性；传统通信机制得以保留；比如关键任务 ECU 能够保留，并仍旧使用基于信号的通信，保留 Classic-AUTOSAR，但是把服务映射到传统的 ECU 中。

图 2 Zonal 控制器

02 动态配置

第二部分 可进行动态配置的安全系统 在下图里面，动态可重配置系统（DRS）由以下所组成：1） 最底下的部分是依赖于硬件设计的 HDS，主要代表制动和转向模块，由三个与 Zonal 控制器进行 CAN 通信的 ECU 所组成 2） 面向服务的架构（SOA）系统代表面向服务架构，基于以太网进行通信，基于（SOME /IP） 3） 最顶层是控制系统：这个我们不多说了，目前是 2-3 个，以后变成一个中央的计算平台 Dynamic Simplex Architecture（DSA）概念的目标是实现基于处理器的 Fail Operational，目标是检测下面 HDS 和 zonal ECU 本身的故障，然后采取措施予以处理。

图 3 DRS 动态重构的 EE 系统概览

从控制框图的角色来看，这些 Zonal 控制器在任务层面是起到执行和备份的作用，当一个复杂系统出现问题的时候，对应的 Fallback System 可以实施动态的重新分配和替代。这里也是把 IT 系统里面，集中运算分布可替代重构实施的定义拿了出来，如下图所示。

图 4考虑故障的系统

这里动态的概念，最主要是自我检测是否有问题，然后实施动态的切换，单个 Zonal 的算力也不算低，它能承担一定的逻辑执行的任务，主要兼容控制平台的输出检查。

The Control System entity is implemented on the PMU of the Xilinx ZCU 102, which provides fault tolerance by applying a triple-redundant processor and error correction check (ECC) on the RAM interface. In response to lockstep error notifications from the Real-time Processing Unit (RPU), it performs a context switch from c_complex to c_fallback.

SOA 系统的主要功能是提供冗余管控，在管理和控制两个 DSA 切换过程中。在原文中，重点使用蒙特卡洛的方法模拟多个问题，基于这种管控，可以在系统层面得到一个很高的安全性。

The main functionality of the SOA system is to provide redundancy in terms of managing and control the context switch between two DSAs. Its functionalities can be extended to provide services for each DSA or even allow the implementation of new functionalities during run-time through reconfiguration.

小结：我觉得印象最深刻的还是，除了特别重要特别分不开的比如 ESP 这样和整车安全不能换的，大部分的 ECU 的设计在未来都是要重新去考虑的，特别是当大量的软件给拿走以后，真的是可以实现一个汽车平台的软件大部分用于下个汽车平台。汽车上之前由于复杂性解决不了的安全性问题，可以通过类似的动态重构来实现，这个差异化还是我们仔细去探索的。

编辑：hfy