天际汽车周毅：芯片升级下的域控制硬件发展

　　6月29日至30日，由格实汽车主办的“2021中国汽车半导体产业大会”隆重举行。本次大会主要围绕中国车企缺芯现状、供应链国产化安全建设、车载芯片平台设计、自动驾驶及智能座舱领域的芯片需求及应用案例、功率半导体在第三动力公司的应用、芯片测试及功能安全等话题展开讨论，寻求行业未来的共同发展。以下是天际汽车基础硬件总监周毅在本次大会上的致辞。

　　汽车基础硬件总监周毅

　　大家下午好。我是周毅。我目前负责天际线域控制器的硬件开发。我们也是一股新的造车力量。可能这里的每个人都不太了解Skycar。我花几分钟给大家讲讲天车的基本情况。

　　Skyline的愿景是成为绿色智能出行的探索者和引领者。Skyline早在2015年就成立了，当时叫电动咖啡车；2018年发布中高端品牌ENOVATE，同年更名为Skycar2018年12月，我拿到了整车生产资质，包括传统车、混动、新能源、商用车。生产方面，天际目前拥有绍兴、长沙、青岛三大制造基地(商用车制造基地)。去年9月，我们的首款B级SUV  ME7正式发布，去年10月，我们完成了新一轮50亿融资。去年11月，我们交付给Skyline  ME7的首批车主(参数图片)。从产品发布到交付，公司只用了40多天，在行业内其实算是比较快的。

　　今年3月，我们与浙江卫视Tik  Tok联手打造了跨界音乐综艺节目《为歌而赞》，之后反响不错。今年5月，与JD.COM达成战略合作，双方将在品牌、产品、用户、渠道等方面共享资源。今年6月，天际线汽车的第二款产品——A  SUV  ME5在天际线长沙匠心工厂正式下线，并开始了天际线ME5的预售。两周前，JD.COM定制版6.18 ME5也在JD.COM预售。

　　天际线ME7由前保时捷设计师哈坎打造，轴距2830毫米。目前有两个版本，530公里和410公里。在智能或座舱部分，我们支持5屏实时互联，包括AI语音助手哮天、人脸识别和全时OTA在线升级。智能驾驶，我们拥有L2.5智能驾驶辅助性能。

　　右边是天空ME5。这一款是定位A  SUV，也是线上的。整车还是比较年轻运动的，轴距2750mm。这款车也有两个版本。第1款是增程版，综合里程1012公里，支持智家L2智能驾驶。让我们回到主题。今天和大家分享的话题是芯片升级下的域控制硬件开发，主要从三个方面展开。1.电控系统的改革与坚持。2.电子控制硬件设计的新趋势。3.域控制硬件设计的新挑战。

　　第1个变化是EE架构的集中化。整个架构趋势也是一个从分布式架构到域控制，到Zone架构的过程。逻辑或决策集中到中央计算平台，执行和感知分散。

　　第二个变化，软件服务，现在是非常热门的SOA架构。以传统汽车软件架构为例，Classic  AUTOSAR仍然是面向信号的软件架构。当我们进行设计变更或OTA升级时，整体难度较高。这个架构就像一个齿轮组。中间某个档位大小的变化，必然会影响与之关联的很多档位，OTA更新的整体变化效率或技术难度相对较高。

　　在软件定义汽车的背景下，这种软件架构正在慢慢向面向服务的软件架构转变，车内功能将逐渐成为积木一样的标准服务，服务之间耦合度低，粒度非常细，可以为我们灵活部署，快速响应用户或市场的需求。

　　第三个变化是感知和执行的泛化。目前，我们一辆车可能有80-100个控制器，每个控制器都不一样。但是抽象地说，对于典型的嵌入式系统，有输入、控制和输出。对于输入，有硬连线信号输入、总线输入，甚至还有其他特殊输入。输出方面，有高低端驱动器、H桥、三相全桥等。其中一些也通过总线输出。对于感知和泛化，是根据接口形式、接口数量、驱动能力、通信接口类型和通信速率，将这些感知和执行单元标准化为Zone控制器。然后，更接近用户的上层逻辑被集中到车载计算平台中。车载计算平台具有强大的计算能力和高数据吞吐量，是感知和执行的泛化。

　　第四个变化是组织敏捷性。图为传统OEM动力总成部门的组织架构。它包括车辆控制部门、电池管理部门、混合动力部门、电机部门等。对于传统的OEM架构，每个部门都有硬件开发、软件开发和应用层开发。

　　这里有两个主要问题。第1，整体组织效率比较低。电力系统中的各个子系统密切相关，不同部门分工下通信成本很高。二是技术资源或人力资源的共享。我们经常可以看到，有些公司的车控部门的工具链、基础软件包、BMS部门可能有所不同。在芯片升级或软件定义汽车的趋势下，我们需要打破这个界限。事实上，技术迫使整个组织升级。我们可以打通硬件、基础软件、控制和算法。从组织效率和资源来看，它的利用率是大的。以传统动力总成部门为例。其实从整个公司来看，我们也看到很多公司在做这样的组织变革。另外，对于汽车行业来说，目前采用的开发模式是V模型开发模式，是典型的瀑布模型开发。整个开发过程包括需求、设计、开发和验证，或者说是一个循序渐进的过程。从需求到设计到开发到测试，每个阶段都可以被定义。其实以智能汽车为例，硬件的开发还是需要这种模式，因为硬件迭代的周期或者成本还是比较大的。然而，从软件的角度来看，这种模式不再适用。我们需要一个敏捷开发模型来快速响应用户的需求。

　　第五个变化是合作模式的深化。传统合作模式主要有两种。第1种是Tier1提供完整的软硬件(交钥匙项目)，OEM只需要提需求，其余由Tier1实现。二是协同开发模式，Tier1提供硬件和中间件，OEM开发上层算法。随着智能汽车的发展，其实这种模式也在发生变化，即原始设备制造商和原始设备制造商之间的分工或界限会有一些调整。代工可能需要做的是差异化的产品，因为对于竞争日益激烈的市场来说，差异化是代工的高地，可以获得更多的用户价值。作为Tier1，更多的是提供标准、批量、可靠的产品，无论是硬件还是软件。这是整个合作模式的改变。

　　第六个变化是供应链系统。传统上，我们是按系统采购备件的，比如底盘系统、动力系统、智能驾驶系统、座舱系统等等。每个系统都有控制器、传感器和执行器。我们是供应链模式。

　　对于智能汽车或芯片升级下的供应链模式，可能会发生一些变化。从原始设备制造商的角度来看，传统的电子控制单元和芯片仍然需要购买，但可能会有更多的对象需要购买。比如OEM会为操作系统买单，我们也会购买软件，包括基础软件、中间件、视觉算法、高清地图等。在云端，我们也会租用甚至购买云计算平台来购买云端的服务，未来我们也可能会为路边的基础设施买单，这是供应链体系的一个变化。

　　刚才讲了这么多变化，电控产品或者汽车产品应该坚持什么？也许我们需要坚持下去。这里主要和大家分享的是产品的可靠性和安全性属性。我们经常在各种媒体论坛上看到，有人说汽车只是一个四个轮子的手机。

　　从智能硬件的角度来看，汽车可能是历史上较大的智能硬件。在技术趋势、发展模式、智能OTA升级等诸多方面，汽车与手机越来越相似，这是我们不得不承认的，而且这种趋势也越来越明显。汽车需要与通信行业、手机行业更深度融合。从这个意义上说，汽车确实是四个轮子的手机。然而，作为汽车产品，交通始终是其第1属性。对于汽车行业的员工来说，无论是做芯片、控制器，甚至是系统，有整车规格的电控产品永远是第1位的。那么如何才能保证它是一款车规产品呢？我从四个方面来讲。一是制度文化的保障。我们的产品必须从安全的角度来设计。安全性和可靠性是汽车电子控制产品和汽车行业工程师的DNA。车辆法规有各种关于安全或系统文化的标准。我们有质量体系IATF16949，ISO26262等。

　　二是可靠性设计。可靠性应该首先设计，而不是测试。从设计角度，我们有WCCA分析计算、各种模拟、各种应力分析、FTA/FMEA等。确保整个产品处于设计阶段。

　　第三，可靠性验证。比如芯片级有AEC-Q100、AEC-Q200等；对控制器产品的可靠性也有大量的验证，如环境、电气性能、EMC和寿命测试。电控系统层面也会做相应的可靠性测试；在车辆层面，我们有三高测试、车辆续航测试、城市综合道路测试等。从多个维度确保整个产品达到整车规格水平。

　　第四，制造业。制造中也有质量体系保证、制造工艺保证、生产试验保证，我们的生产试验目标是保证试验的100% Coverage，汽车行业对零公里的缺陷也有非常严格的标准。

　　来说说这种趋势下电控硬件的新变化。

　　首先，随着控制器级硬件架构的改变，传统的ECU可能是单一的MCU系统。目前，域控制的硬件架构需要由一个安全的MCU和多个SoCs来实现。芯片架构也在向多核异构发展，整个芯片也在向集中化发展。芯片的计算能力也大大提高。传统MCU英飞凌AURIX  TC275的运算能力相当于0.61TOPS(估计)，而NVIDIA  Orin的运算能力可以达到254TOPS。存储也在从片上存储向片外高存储容量发展。

　　其次，电源架构的趋势，控制器电源的拓扑越来越复杂，电源的种类也大大增加。与分布式电子控制单元电源拓扑相比，电源类型从9种增加到24种。一般分布式ECU对开关机时序没有严格的要求，而SOC或MPU对开关机时序的要求非常严格，对电源完整性的要求越来越高。

　　第三，通信接口的变化。无论是车载通信接口还是现场总线，首先通信接口的类型越来越多，总体趋势是从低速到高速。未来现场总线，比如以太网，包括千兆以太网，后面可能还有10G以太网，会在汽车上广泛应用，所以整体发展还是朝着高速发展。

　　那么，在这种变化趋势下，域控制器级的硬件设计面临哪些挑战？第1，权力完整性挑战。原因有二。第1个原因是信号速度越来越快，导致供电系统的阻抗变大。我们期待相对稳定的电源，但在芯片端已经处于相对不稳定的状态。第二个原因是电压电平降低，噪声信号的噪声容限降低。主要有两个方面要处理。第1是增加电源完整性模拟，第二是非常充分的做电源完整性测试。

　　二是信号完整性问题，因为信号上升沿变快，造成信号反射、串扰、延迟等。从应对方案来看，是一种自上而下的SI分析方法。目前很多厂商信号完整性不是特别充分，主要依靠压力测试来保证信号完整性，但我们建议从仿真和全面的信号完整性测试上多下功夫。

　　第三个是EMC，分为两部分。EMI骚扰增强。为什么这么说？电源电路、高速接口和时钟电路的增加造成了更多的干扰源。抗扰性主要是由于车内电磁兼容环境日益复杂，对高速信号噪声的容忍度较小，对干扰更加敏感。此外，原始设备制造商也在提高电磁兼容性测试水平。主要措施与刚才提到的SI/PI相同，强调在设计和预仿真阶段提前发现问题，降低硬件迭代成本。

　　第四个问题是功耗和散热。传统分布式控制器的功耗可能低于10W。对于一个域控制器，我们以特斯拉FSD为例，它的功耗超过70W。那么，对于一个中央计算平台来说，它可能有几百瓦甚至千瓦的功耗，而热量对可靠性的影响很大。所以，在我们的结构设计中，除了增加主动散热措施，如风冷、水冷、板级、系统热模拟等，也要注意。

　　第五是设计寿命，这是电动车普遍存在的问题。以整车15年30万公里的设计寿命为例，传统的分布式ECU只需要工作8000小时，但域控制器也在充电时间内工作，现在充电时间已经占据了车辆的主要工作时间，因此域控制器可能需要工作2.6万小时，这是一个很大的挑战。对于设计寿命的延长，相应的验证要求也越来越高。在元器件高温耐久性方面，传统控制器只需要验证1800小时，域控制可能需要5900小时。我们对这一块的建议是，由于半导体厂商提供的寿命曲线与控制器级工况甚至整车工况不匹配，大家遵循的标准也不一致，那么从设计方面来说，我们希望在设计初期就需要对相关器件和材料的寿命曲线以及真实的控制器工作环境进行详细分析，评估器件和材料是否满足寿命要求。此外，建议在早期进行相关的可靠性或故障率模拟。对于验证阶段，从OEM的角度来看，由于控制器的位置不同，需要评估实际工况下各个控制器的温度分布，然后尽可能使不同位置控制器的温度曲线准确，避免过度设计。另外，从测试方案方面，刚才我们看到高温续航时间将近6000小时，所以控制器验证需要适当增加样本，以减少测试时间，保证项目节点。

　　第六是测试和验证，增加了整体测试的复杂度和工作量。包括测试仪器、测试环境、测试项目和对测试人员的技术要求。