自动驾驶面临洗牌和革新：宣传上保持克制 研发上确保安全

TTTech Auto China总经理欧阳扬提到，辅助驾驶/自动驾驶的软件市场规模在2030年将达到330亿欧元。他表示，自动驾驶的市场需求，主要由"更高的安全性、更强的便利性、更低的总拥有成本"这三点驱动。

图片来源： TTTech Auto China总经理欧阳扬

然而，高市场占有量下，自动驾驶相关的事故也频频出现。让人不禁要问，自动驾驶/辅助驾驶领域，"让消费者满意"和对"生命安全负责"是一对矛盾吗？

欧阳扬指出，目前，消费者在使用产品时，不了解系统什么情况下是安全的，而什么情况下不安全，而从业人员会对这些情况更为清晰，两者存在一定的信息差。他认为，在将产品推给消费者时，需要将生命作为首要考虑的因素，任何技术的推进和发展都不应该以消费者生命作为代价，相比于生命，其他的目标都是其次的。

现如今，供应链关系发生变化，从原来的Tier2-Tier1-OEM的垂直链式关系，转变成现在以平台为中心，水平分层的架构，而这种新的架构会催生新的合作模式、新的玩家、新的交互界面，也会让OEM未来产品的更新速度更快，使用的模块更趋于标准化。为了迎接这一趋势，企业需要在供应链中的每一个环节找准自己的位置，配合OEM满足消费者需求。

自动驾驶功能安全领域的重重困局

以自动驾驶的功能安全领域为例，这一领域正面临重重困难。

首先，在整个汽车开发生命周期中，安全管理的法规要求不断增加。ISO 26262标准会根据不同的ASIL等级，导出对应的Safety Goal，基于系统架构识别出可能违背Safety Goal的系统软硬件要素，对这些要素分配具体的功能安全需求：比如ASIL D的安全标准最高，也就对应着最为严苛的功能安全开发要求。

第二，电子电气架构从分布式架构转向集中式，一方面为整车系统带来一定的便利性，但同时也为软件开发带来挑战：算力迭代倒逼软件开发周期缩短，工程师工作量大幅增加；集成趋势下，多个软件运行在同一芯片上，互相竞争硬件资源，会发生内存、通信、数据处理上的互相干扰，可能影响运行时效，甚至应用程序可能失效，造成安全性后果。

图片来源：TTTech

第三，在L2级别（驾驶员随时接管的部分自动驾驶）向L4级别自动驾驶（80%场景下的自动驾驶）跨越的过程中，汽车对外界的感知总存在一定的误差：比如有车辆将白色车厢识别成天空。那么，如何在汽车出现错误感知时仍然能够保证其安全性？如何确保深度神经网络在所有极端情况下（例如，欺骗系统的场景模式和像素点集)都具备可靠性？

由此，智能辅助驾驶和高阶自动驾驶需要一种失效可运行的系统架构，确保必要的安全冗余，防止共模故障；同时搭配“创新、开发、友好”的软件架构，允许快速引入功能升级，从而不断强化安全性。

图片来源：TTTech

第四，自动驾驶系统从故障静默、故障降级，升级至故障可运行的状态，这一转变也将导致行业洗牌。可以类比航空航天行业，企业要从军用飞机供应商转入商用飞机供应领域，必须拥有一定的安全认证积累，否则就难以满足商用飞机的安全性和认证需求。在这个过程中，企业原来的很多产品都需要推倒重来，欧阳扬表示：“在军用飞机上没有问题的软硬件产品，在商用飞机领域可能要从底层到架构全都重新开发。”

同理，在汽车自动驾驶向L4级别的演进过程中，只能满足L2或者L2＋级别的供应商可能需要重新开发产品，甚至建立全新的产品线。

第五，自动驾驶系统需要应对复杂多变的场景，而行业目前主要关注"显而易见"的自动驾驶风险，对于来自未知、偶发的极端场景（corner case）并没有给予足够的重视。根据长尾理论，这些零散需求的必要性在总和上很可能超过头部需求。因此，自动驾驶系统的开发必须使用精心设计的验证策略，还需要在其核心算法中设计一定程度的多样性，以去掉"长尾"。

图片来源：TTTech

考虑到诸多困境，欧阳扬认为，目前对自动驾驶的宣传可以保持克制，让消费者形成对于自动驾驶风险的清晰认知；另一方面，从车辆自身的功能安全设计到车路协同，企业需要以大量模拟、验证、仿真的手段将"长尾"缩小。

以安全为基因的TTTech

TTTech名字中的“TT“，代表时间触发（Time-Triggered），该理论来源于奥地利的国家院士、TTTech的创始人Hermann Kopetz教授，他在研究可靠的实时系统理论中创立了时间触发架构（Time Triggered Architecture）和时间触发技术。

目前，时间触发技术已被广泛应用于各行各业，比如航空航天领域在使用时间触发以太网（TTEthernet），TTP,  ARIC659等；汽车领域在TSN（时间敏感网络）中使用了时间触发技术，TTTech正是TSN标准的制订者，推广者和实践者之一。

以上是TTTech命名的由来，TTTech的产品布局集中于飞控，电源系统，主干网络等安全关键或混合关键领域，被应用于波音787，空客380，中国C919，美国宇航局猎户座飞船，欧州空间局阿丽亚娜系列运载火箭等几十个航空航天项目上。欧阳扬强调：安全是TTTech的基因。

图片来源：TTTech

产品与咨询服务并行 保障自驾系统功能安全

进入汽车领域之后，TTTech Auto主要提供安全自动驾驶解决方案组合Motionwise和汽车安全咨询服务。

Motionwise属于汽车功能安全中间件，介于硬件、操作系统以及上层应用软件之间，包含服务以及开发工程中所需要的各项工具链，提供符合ISO 26262标准的的独立安全元素(SEooC）、可以实现跨 SoC全局调度、确保端到端的任务确定性、充分调动车内各种资源，从应用层面降低总体成本，确保整个系统的功能安全。

此外，TTTech正推出模块化的MotionWise版本，这一版本可以填补AUTOSAR AP，ROS2，包括OEM自研中间件中，对跨SoC和跨域确定性通信内多任务编排、混合关键任务调度等领域标准的空白。

图片来源：TTTech

另一方面，TTTech Auto提供针对高级别自动驾驶的咨询服务：包含安全性活动、安全性开发、后期生产和管理四大部分，具体包括车辆的危害分析和风险评估、安全性审查细则、ASIL分解、第三方软硬件安全手册集成、代码和架构审查等多个细分方向。

图片来源：TTTech

软件定义汽车的趋势下，越来越多人将汽车看作第三生活空间、移动智慧体，但这些名号传唱得再广，汽车仍然首要作为载人工具而存在，安全始终是是一切新式功能开发的前提，这一点尤其体现在解放驾驶员双手的自动驾驶领域，因此，显而易见的自动驾驶风险和偶发的极端场景都需要得到解决，要做到这一点，必然离不开行业内外的协作共赢。

（以上内容根据TTTech Auto China总经理欧阳扬于2022年8月4日由盖世汽车、AUTOSAR组织联合主办的2022第三届软件定义汽车论坛暨AUTOSAR中国日发表的《加速实现软件定义汽车》主题演讲进行理解和整理。）