在軟件定義汽車中使用DDS中間件的安全機(jī)制

軟件定義汽車將需要多種機(jī)制，保證汽車在各種情況下的安全和正常行駛。這些機(jī)制的專有解決方案需要大量的驗(yàn)證工作，并且很難與不同的軟件架構(gòu)集成。安全關(guān)鍵型分布式通信是否有標(biāo)準(zhǔn)化軟件框架？

向軟件定義汽車轉(zhuǎn)變

多年來，傳統(tǒng)車身系統(tǒng)中執(zhí)行分立功能的電子控制單元（ECU）數(shù)量一直在增加，這些單元的可編程性較弱。然而，目前先進(jìn)的汽車設(shè)計(jì)開始有所轉(zhuǎn)變，逐步轉(zhuǎn)向只分布在幾個(gè)（域）處理器上的靈活且可互操作的軟件。分布式軟件執(zhí)行自動(dòng)駕駛、娛樂中控、動(dòng)力和車身控制等協(xié)調(diào)任務(wù)，同時(shí)共享處理器、網(wǎng)絡(luò)和傳感器，能夠降低系統(tǒng)成本。轉(zhuǎn)向軟件定義汽車是汽車行業(yè)最重要的趨勢之一，軟件功能將成為重要的差異化優(yōu)勢。

要在這個(gè)領(lǐng)域贏得競爭，汽車制造商需實(shí)現(xiàn)快速輕松構(gòu)建模塊化分布式應(yīng)用，而運(yùn)行這些應(yīng)用需要可編程、可靠且低成本的半導(dǎo)體設(shè)備。因此，具有易于使用的應(yīng)用編程接口（API）的標(biāo)準(zhǔn)化軟件平臺(tái)（如POSIX和AUTOSAR）日益受到歡迎。這些軟件平臺(tái)的一個(gè)關(guān)鍵組件是中間件，它是各種操作系統(tǒng)和高級應(yīng)用之間的軟件層（見下圖）。簡單地說，中間件是一個(gè)軟件庫，它使分布式系統(tǒng)組件能夠相互通信。軟件定義汽車的安全性在很大程度上取決于中間件和底層網(wǎng)絡(luò)處理器，依靠這兩者才能實(shí)現(xiàn)分布式進(jìn)程之間可靠的實(shí)時(shí)數(shù)據(jù)通信。

面向自動(dòng)駕駛的S32G處理器上的安全檢查工具原型

一流的自動(dòng)駕駛（AD）系統(tǒng)通常采用雙通道架構(gòu)來實(shí)現(xiàn)冗余，即在正常情況下控制AD系統(tǒng)的主通道旁邊部署備用通道。如果主通道出現(xiàn)故障，汽車控制將切換回備用通道。這樣能夠同時(shí)提高AD系統(tǒng)的安全性和可用性。這種架構(gòu)需要一個(gè)安全檢查工具來驗(yàn)證主通道的運(yùn)行狀態(tài)，并在必要時(shí)觸發(fā)安全機(jī)制，如安全停車。顯然，安全檢查工具的計(jì)算和通信功能非常關(guān)鍵，這對其容錯(cuò)和可靠性提出了很高的要求。

恩智浦S32G汽車網(wǎng)絡(luò)處理器非常適合執(zhí)行具有各種安全機(jī)制的高度可靠的AD系統(tǒng)。S32G中的Arm® Cortex®-A53內(nèi)核提供高性能計(jì)算能力，ASIL D Cortex-M7安全內(nèi)核鎖步模式適合運(yùn)行安全關(guān)鍵型功能。此外，面向服務(wù)型網(wǎng)關(guān)的S32G GoldBox參考設(shè)計(jì)上集成的SJA1110以太網(wǎng)交換機(jī)提供了時(shí)間敏感網(wǎng)絡(luò)（TSN）功能，可與網(wǎng)絡(luò)上分布的高級AD應(yīng)用進(jìn)行實(shí)時(shí)可靠的通信。

除了完整性較高的硬件外，在S32G中的Cortex-A53和Cortex-M7內(nèi)核上運(yùn)行的數(shù)據(jù)分發(fā)服務(wù)（DDS）中間件軟件負(fù)責(zé)管理分布式系統(tǒng)的數(shù)據(jù)和通信。DDS中間件協(xié)議基于對象管理組織®（OMG®）標(biāo)準(zhǔn)化的發(fā)布-訂閱模式。DDS已集成到各種關(guān)鍵的汽車平臺(tái)生態(tài)合作體系中，例如AUTOSAR Adaptive和ROS2。DDS提供低延遲數(shù)據(jù)連接、可靠性和可擴(kuò)展的以數(shù)據(jù)為中心的通信。此外，DDS附帶了一組豐富的內(nèi)置服務(wù)質(zhì)量（QoS）策略，可控制DDS行為，如資源消耗和通信可靠性。如需了解DDS的基本原理和QoS策略，可以嘗試互動(dòng)式Shape演示應(yīng)用或觀看演示視頻。

請注意，面向資源極度受限環(huán)境的DDS通過使用OMG DDS-XRCE協(xié)議實(shí)現(xiàn)。這是客戶端到代理協(xié)議，意味著DDS-XRCE客戶端節(jié)點(diǎn)通過外部代理節(jié)點(diǎn)與DDS網(wǎng)絡(luò)通信。DDS-XRCE非常適合為物聯(lián)網(wǎng)設(shè)備開發(fā)輕量級DDS應(yīng)用，但在安全關(guān)鍵型系統(tǒng)中使用時(shí)，該代理可能會(huì)成為單點(diǎn)故障。然而，運(yùn)行在S32G Cortex-M7上的RTI Connext®DDS Micro無需任何橋接或代理，可直接與功能齊全的DDS網(wǎng)絡(luò)進(jìn)行通信，從而消除了單點(diǎn)故障。ISO 26262汽車安全環(huán)境中也可構(gòu)建集成RTI Connext DDS Micro，其安全等級最高可達(dá)ASILD級。

以下是對實(shí)施冗余自動(dòng)駕駛通道特別有意義的DDS QoS策略：

“截止日期”表示是否滿足數(shù)據(jù)發(fā)送和接收時(shí)間要求。每當(dāng)不滿足發(fā)送和/或接收時(shí)間限制時(shí)，數(shù)據(jù)寫入器和數(shù)據(jù)讀取器都會(huì)通知應(yīng)用。

“活躍度”表示新的數(shù)據(jù)寫入器（DDS發(fā)布者節(jié)點(diǎn)）是否加入或仍然存在于網(wǎng)絡(luò)中。

“獨(dú)占所有權(quán)”和“所有權(quán)強(qiáng)度”規(guī)定，只有具有最高強(qiáng)度值的數(shù)據(jù)寫入器才能寫入特定實(shí)例。

“傳輸優(yōu)先級”表明數(shù)據(jù)寫入器或數(shù)據(jù)讀取器發(fā)送的數(shù)據(jù)具有特定優(yōu)先級。要了解此QoS策略如何將DDS主題鏈接到TSN流的更多信息，請查看我們關(guān)于DDS和TSN集成的在線研討會(huì)以及我們在GitHub上集成DDS-TSN的開源示例項(xiàng)目。

一旦DDS中間件層就緒，就可以使用DDS內(nèi)置QoS策略。這簡化了開發(fā)過程，極大地提高了軟件組件的互操作性和可重用性。DDS多種發(fā)行版本，可滿足分布式AD組件的不同系統(tǒng)要求。在分布式AD系統(tǒng)中實(shí)施DDS既設(shè)立了一個(gè)通用的通信和數(shù)據(jù)管理框架，也毫不費(fèi)力地增加了系統(tǒng)多樣性。此外，基于DDS構(gòu)建的系統(tǒng)可以使用單個(gè)DDS XML文件輕松建模和配置。XML文件格式使系統(tǒng)開發(fā)更加容易，可幫助架構(gòu)師和應(yīng)用開發(fā)人員在系統(tǒng)層面設(shè)計(jì)軟件定義汽車。

使用DDS QoS策略的安全機(jī)制

如果組合得當(dāng)，DDS QoS策略可啟用各種故障處理機(jī)制和安全措施，應(yīng)對性能限制。DDS中間件層為在其上運(yùn)行的所有AD組件設(shè)立了一個(gè)通用框架。無需太多工程工作即可實(shí)現(xiàn)不同規(guī)模的各種安全機(jī)制，例如故障切換到完全冗余的AD通道或組件的無縫接管。下面將詳細(xì)介紹在概念驗(yàn)證演示設(shè)置中實(shí)現(xiàn)的安全機(jī)制。

無縫故障切換

故障切換是安全關(guān)鍵型系統(tǒng)中廣泛使用的安全機(jī)制。它通常依賴故障靜默組件，這些組件在發(fā)生故障時(shí)停止產(chǎn)生輸出。通常，當(dāng)主AD通道發(fā)生靜默故障時(shí)，系統(tǒng)應(yīng)退回到冗余安全通道，操縱汽車進(jìn)入安全狀態(tài)。該機(jī)制可以使用DDS活躍度和所有權(quán)QoS策略來實(shí)現(xiàn)。如果主通道中的汽車控制數(shù)據(jù)寫入者發(fā)生靜默故障或失去與系統(tǒng)其余部分的通信，那么由所有權(quán)強(qiáng)度較低的安全通道的數(shù)據(jù)寫入者生成的樣本將自動(dòng)對汽車執(zhí)行器可見，并開始無縫控制車輛。同時(shí)，使用安全檢查工具來監(jiān)測由于數(shù)據(jù)寫入者故障而導(dǎo)致的DDS網(wǎng)絡(luò)活躍度變化。系統(tǒng)可以根據(jù)此類診斷信息實(shí)施恢復(fù)機(jī)制，例如重啟。

無縫接管

即使發(fā)生故障的AD組件不是故障靜默的，系統(tǒng)也可以實(shí)施接管安全機(jī)制，在不影響系統(tǒng)可用性的情況下主動(dòng)否決故障或不可靠的組件?？梢允褂肈DS獨(dú)占所有權(quán)和所有權(quán)強(qiáng)度QoS策略來實(shí)現(xiàn)接管。這些QoS策略控制允許哪個(gè)數(shù)據(jù)寫入者向數(shù)據(jù)讀取者發(fā)送數(shù)據(jù)。當(dāng)安全檢查工具檢測到主數(shù)據(jù)寫入者未正常運(yùn)行（例如錯(cuò)過截止日期或發(fā)送越界數(shù)據(jù)）時(shí)，會(huì)觸發(fā)所有權(quán)強(qiáng)度更高的健康數(shù)據(jù)寫入者將數(shù)據(jù)發(fā)送到數(shù)據(jù)讀取者。

故障切換與接管相結(jié)合的混合方法

DDS截止日期、活躍度、獨(dú)占所有權(quán)和所有權(quán)強(qiáng)度可以結(jié)合在一起，實(shí)現(xiàn)同時(shí)利用故障切換和接管機(jī)制的混合機(jī)制。例如，通過監(jiān)測DDS網(wǎng)絡(luò)的活躍度，安全檢查工具可以在節(jié)點(diǎn)靜默故障時(shí)靈活地觸發(fā)故障切換機(jī)制，或者在運(yùn)行的節(jié)點(diǎn)未故障靜默并發(fā)布錯(cuò)誤數(shù)據(jù)或錯(cuò)過截止日期時(shí)激活接管機(jī)制。由于所有權(quán)強(qiáng)度QoS值不同，系統(tǒng)在主通道和安全通道之間無縫切換時(shí)，也可以輕松處理系統(tǒng)中的過渡故障。

安全機(jī)制評估

為了在真實(shí)環(huán)境中評估在S32G上實(shí)施的基于DDS的安全機(jī)制，恩智浦與RTI（Real-Time Innovations）公司的汽車工程專家團(tuán)隊(duì)合作。RTI是一家領(lǐng)先的自動(dòng)駕駛系統(tǒng)軟件框架提供商，經(jīng)營名為Connext DDS的DDS產(chǎn)品和工具組合。我們攜手將恩智浦安全檢查工具集成到基于Auoware.Auto的自動(dòng)代客停車（AVP）演示中，Auoware.Auto是Autware基金會(huì)的一個(gè)開源項(xiàng)目。該演示展示了汽車如何自動(dòng)駛?cè)氪屯＼噲?。Autoware.Auto是一個(gè)基于ROS2的成熟的端到端自動(dòng)駕駛框架，它使用DDS作為底層中間件。

演示設(shè)置架構(gòu)

硬件在環(huán)評估演示設(shè)置的架構(gòu)如下圖所示：

大多數(shù)Autoware.Auto AD堆棧（如定位、感知、預(yù)測、路徑規(guī)劃）都運(yùn)行在恩智浦BlueBox汽車高性能計(jì)算開發(fā)平臺(tái)Layerscape處理器的ROS2/DDS上。本例中的DDS中間件是RTI的Connext Pro，通過RTI的rmw_connextddsRMW層組件與ROS2集成。

恩智浦車聯(lián)網(wǎng)GoldBox中的S32G在演示中充當(dāng)區(qū)域控制器，其中線控驅(qū)動(dòng)軟件接口在S32G Cortex-A53內(nèi)核的ROS2/DDS上運(yùn)行。在真實(shí)汽車中，該接口用于將以太網(wǎng)數(shù)據(jù)包中的車輛控制命令轉(zhuǎn)換為執(zhí)行器的CAN消息。在模擬環(huán)境中，使用它將數(shù)據(jù)在Autoware.Auto和開源LG SVL端到端模擬平臺(tái)使用的格式之間進(jìn)行轉(zhuǎn)換。安全檢查工具帶有安全接管和故障切換機(jī)制，基于運(yùn)行在S32G Cortex-M7內(nèi)核上的RTI DDS Connext Micro。

外部模擬PC上運(yùn)行的LG SVL模擬器可模擬道路使用者、自主車輛執(zhí)行器和傳感器的數(shù)據(jù)。

使用基于DDS的安全機(jī)制處理故障的演示視頻

在評估設(shè)置中，我們將類似于現(xiàn)實(shí)問題的故障注入AD系統(tǒng)，并觀察基于DDS的安全機(jī)制如何處理這種情況。下面的演示視頻展示了安全檢查工具是如何監(jiān)測、檢測和應(yīng)對系統(tǒng)故障的，如軟件崩潰、掉電和網(wǎng)絡(luò)連接中斷。

結(jié)論

為了順應(yīng)向軟件定義汽車轉(zhuǎn)變的發(fā)展趨勢，汽車系統(tǒng)軟件需要模塊化、可靠和可擴(kuò)展。正如Autoware.Auto AVP實(shí)驗(yàn)所示，恩智浦S32G ASIL D Cortex-M7處理器內(nèi)核能夠很好地在自動(dòng)駕駛系統(tǒng)中充當(dāng)安全檢查工具。RTI Connext DDS中間件為整個(gè)汽車系統(tǒng)的強(qiáng)大處理器和資源受限的微控制器提供了一個(gè)通信框架，從而促進(jìn)了這一進(jìn)程。DDS憑借其豐富的服務(wù)質(zhì)量策略，在軟件定義汽車中實(shí)現(xiàn)了多種安全機(jī)制，其工程工作量低，互操作性強(qiáng)。

作者：

Jochen Seemann

Jochen Seemann是恩智浦半導(dǎo)體的嵌入式軟件架構(gòu)師。他畢業(yè)于巴登-沃爾滕堡合作州立大學(xué)應(yīng)用計(jì)算機(jī)科學(xué)專業(yè)，在工業(yè)PC接口全棧軟件開發(fā)方面擁有5年經(jīng)驗(yàn)。Jochen還擔(dān)任過5年的汽車領(lǐng)域一級軟件工程師和架構(gòu)師，主要致力于IVI和自動(dòng)駕駛產(chǎn)品的工作。此外，他還促進(jìn)了開源Qt框架的開發(fā)。

Yuting Fu

Yuting Fu是恩智浦半導(dǎo)體公司的系統(tǒng)工程師。她擁有埃因霍溫理工大學(xué)和柏林理工大學(xué)嵌入式系統(tǒng)碩士學(xué)位。Yuting編寫了3本與自動(dòng)駕駛系統(tǒng)車輛安全機(jī)制有關(guān)的科學(xué)出版物。此外，她還是經(jīng)過認(rèn)證的IEC 61508功能安全專家。

Andrei Terechko

Andrei Terechko是恩智浦半導(dǎo)體公司的高級首席架構(gòu)師。Andrei擁有15年跨國公司工作經(jīng)驗(yàn)，10年初創(chuàng)公司工作經(jīng)驗(yàn)。目前，他致力于自動(dòng)駕駛的安全機(jī)制和架構(gòu)工作。Andrei與他人合作申請了15項(xiàng)專利、合著了20多本國際出版物和公開演講稿。

Emilio Guijarro Cameros

Emilio Guijarro是Real-Time Innovations （RTI）的高級汽車應(yīng)用工程師，在國防和汽車行業(yè)（包括汽車娛樂中控系統(tǒng)）方面擁有超過15年的工作經(jīng)驗(yàn)。他于2019年加入RTI，致力于將DDS集成到汽車用例和特定開發(fā)環(huán)境（包括AUTOSAR生態(tài)系統(tǒng)）。