在汽车行业中，OS一直受整车EE架构的推动，OS的需求亦随着电子电气架构的发展应运而生。

2023年9月19日-20日，在盖世汽车主办的2023第三届商用车自动驾驶大会上，上海零念科技有限公司高级业务总监熊婧指出，在汽车电子电气架构向中央式域控制器演变的过程中，与之适配的OSn也会出现。基于新一代智能汽车操作系统OS3的系统设计，在保证汽车的安全性前提下应该拥有灵活的平台拓展能力（Scalable），不仅要支持不同车型配置间的拓展，同时也要支持从乘用车平台拓展到商用车平台。

熊婧｜上海零念科技有限公司高级业务总监

以下为演讲内容整理：

对聚焦安全、时效、高阶的商用车智能驾驶而言，在某些维度会具备更严苛的系统要求。以下，我将探讨从乘用车到商用车的系统拓展。

EE架构和OS的演变之路

行业对汽车电子电气架构的不同发展阶段都很熟悉，从分布式到集中式，最终走向中央域控。与之相应的OS要求从OS1到OS2，到2022年，由于大算力SOC引入整车EE架构，基于面向服务架构SOA的AP应运而生。在向中央域控的演变过程，与之适配的OSn也将出现。

图源：演讲嘉宾材料

总之，OS的需求是随着电子电气架构的需求应运而生的。所以研究电子电气架构的需求有助于我们预先察觉OS的底层需求与痛点，进而在软件系统的维度提前应对。

回首智能驾驶域控量产的10余年，在乘用车的市场上随着L2向L2+功能的挺进，高速NOA、城区NOH、待客泊车等功能实现的需求使得智能化发展蒸蒸日上。同样对商用车而言，最大的智能化需求体现在软件架构的升级上，即以百兆、千兆以太网为基石的主干通讯网络，从而实现OTA全域无感升级。

2022年作为域控量产的元年，对乘用车和商用车而言都已经来到下半场。对整车EE架构下半场而言，量产的安全性和降成本是今后的重要维度。

首先是安全性。功能安全、数据安全和失效安全在成熟的乘用车域控系统中是保驾护航的三驾马车，这三驾马车同样适用于商用车系统。对功能安全而言，近期乘用车域控量产实践中，客户对流程，以及产品在功能安全的方法论上都做了大量实践；对数据安全来讲，尽管目前业界对数据安全标准还没有形成共识，但对于软件模块，如DDS，我们零念的调度性产品已经能够支持软件的数据安全；关于失效安全，对商用车的高阶自动驾驶来讲，要提高ODD的覆盖率、提高各种苛刻条件下系统的自动应对能力。因此未来失效安全在商用车领域的应用一定会裹挟我们更多的注意。

其次是降成本。乘用车降成本相对简单，其更多关注单车成本。只有尽量降低单车成本，提高单车利润，乘用车相关企业才能活下去。商用车则相对复杂，商用车的成本除了单车成本外，由于具有运营性指标，每公里油耗和人力成本已经占TCO50%以上。因此，对油耗和运营成本的优化是商用车领域持续发展的刚需。

站在OS3域控量产的今天，我们知道系统要在满足智能化需求的同时，聚焦安全性；还要在量产维度降本增益。未来，乘用车和商用车市场将发生两件事情：一是整车以太网化。无论是乘用车还是商用车，整车的以太网化都将大幅降低车在组网的负责度、减少线速、减少接插件成本，同时提高装配率。单看商用车，倘若整车以太网化能够很快落地，将突破低效带宽的瓶颈，为数据深度融合提供基础。

二是节点算力的再平衡。在域控量产背景下，系统中充斥着大量的MCU和高算力SOC，其算力、资源能否在硬件的物理限度下被有效利用是我们持续探索的点。

聚焦量产维度降本，也有两大趋势。第一MCU数量的优化；第二SOC算力的榨净。尤其是商用车相对乘用车有着更苛刻的运营环境，这导致了在硬件的物理限度内提高MCU的资源和算力利用，榨干SOC的算力迫在眉睫。 

高安全产品助力下一代EE架构，零念科技的双子星产品

下一代智能汽车软件操作系统 OS³ 特性包括，第一高安全性，我们必须以安全性为诉求。

第二可拓展性，基础是两个维度的解耦。第一个维度的解耦是在同样的芯片平台中，需要创建安全可信赖的中间件，对算法、功能提供标准的通信接口、以及调用的接口和实现基本的系统服务，对下接洽BSW层，以及传感器硬件抽象层。第二个是在横向维度，中间件的软件需要对核心芯片平台进行无缝移植。 

第三面向服务架构，从全面的面向信号到面向服务的转变。

第四我们的操作系统是开放的，是生态合作的。

针对以上特性，我们有一对“双子星产品”。第一个是确定性调度产品。在域控控系统中，如果说普通系统向公路系统是个无序的、时常堵塞的系统。那经过确定性实时系统，我们希望它像铁路系统一样精准可靠。

首先是确定性时间调度。现实情况往往引入高度复杂的任务流程，时间触发调度的计算链可以妥善管理许多相互依存、相互排斥的任务，通过时间确定性确保系统的安全。

除了时间触发的确定性调度，确定性调度产品还有数据触发、事件触发。对数据触发而言，假设把CPU80%的负载设置为数据触发条件，我们可以预定义好当达到前置条件时，系统该做何反应，以此进行对系统的有效控制；事件触发更多是进行故障，场景定义。不管是时间触发，数据触发，还是事件触发，殊途同归，都是为了防止无效堵塞，在线程导致系统崩溃做确定性的解决。 

第二个是确定性通信产品PowerDC。主要是为了达成在MCU端与SOC端进行可靠、安全通信的目的，可以支持多种传输介质，如以太网、SPI、RPC等。

我们希望在以太网化的明天，我们的确定性通讯的产品可以有效的替代CAN的通讯，以及其他通讯的方式，从而有助于整个通讯系统的可靠性。亦可以根据系统设计需要，支持备份数据链路， 满足功能安全系统设计需求。

值得注意的是，由于确定性通讯产品在SOC侧搭建的环境与MCU侧相同，它可以将部分在MCU侧的SWC无缝移植到SOC侧进行执行，这对系统的有序或资源的有效利用无疑是很大的助力。

我们从整车的架构开始梳理产品的应用场景和痛点解决，发现对软件来讲，需要关注域通信、域调度，以确保在实现智能化的同时，保证安全性和成本。

在确定性通信与确定性调度产品中，在整车落地的场景，如整车以太网化、MCU算力释放，充分榨取SOC算力，能够克服延时的风险，提高CPU的利用率，实现高负载下的系统安全可靠。

关于零念

零念科技成立于2021年，专注于智能驾驶平台软件，具有完全自主知识产权的底层和中间件软件技术，构建底层数据与应用平台之间高可靠性、高安全性、高实时性的互联互通，为智能汽车和智能驾驶提供完全自主可控的操作系统、高度可扩展的安全基础软件平台和定制化解决方案。

我们相信量产是检验智能软件平台的试金石，零念致力于在硬件的物理极限下，榨干所有的SOC和MCU的算力，这是我们在产业链上的核心价值。带着量产与核心价值的初心，我们希望持续为产业做贡献，更好地服务于合作伙伴和客户。

（以上内容来自上海零念科技有限公司高级业务总监熊婧于2023年9月19日-20日在2023第三届商用车自动驾驶大会发表的《从乘用车到商用车的系统拓展路径》主题演讲。）