高阶自动驾驶的“冗余”赛道

高阶自动驾驶，需要的不仅仅是感知、计算和决策能力的提升，线控底盘技术的加持也至关重要，尤其是带有冗余功能的制动、转向系统，这是在原有电动化（从电子助力制动到智能集成制动）基础上的又一次革命。

此轮市场升级，已经箭在弦上。

比如，刚刚发布的阿尔法S华为定制版，按照官方披露信息，整车安全系统在制动、电池、传感器、CPU、转向和架构等方面设置双冗余系统，若主系统失效后，即刻切换至冗余系统。

其中，双制动冗余（毫秒切换紧急制动系统）成为该车的亮点，首次在中国市场搭载大陆集团的冗余制动方案（MK C1+MK 100 HBE），从而配合华为的城市+高速导航智能驾驶量产方案。

官方披露，当MK C1主制动系统失效后，HBE冗余制动系统将在毫秒内切换至HBE系统，并提供60%的主系统制动效果，提供紧急制动功能。

这是目前为止，国内第一款量产上市的搭载大陆集团制动冗余系统的新车。而紧随其后，长城汽车打造基于咖啡智驾平台的摩卡，将是全球首款真正自动驾驶全冗余的量产车型。

随着主流品牌的不断加持，这意味着，从今年开始，冗余概念将驱动新一轮智能化核心硬件的增量时代。而供应商也在发力。

一、安全的最后一道防线

自动驾驶是向未来安全舒适的个人出行迈出的一大步，但有一件事不会改变：刹车仍将是主动安全的最重要元素，也是保证安全的最后一道防线。

一旦驾驶员将全部驾驶责任交给车辆，电子制动系统(EBS)必须能够执行制动功能，即使是在主电子制动系统可能出现故障的罕见情况下。

“自动驾驶，对制动系统提出了苛刻的要求，”大陆集团相关负责人表示，通过将MK C1与基于MK 100的液压制动相结合实现冗余制动，是目前可行的解决方案之一。

这套系统的机制，有其独特的优势。如果主制动系统的机电制动和泵送功能失效而不影响控制阀，在这种情况下，MK 100 HBE单元将进入协助制动模式。它的一部分液压被送入仍然正常工作的MK C1控制阀，以激活后制动器。

 

早在2016年，MK C1制动系统就安装在了阿尔法罗密欧Giulia车型上，作为一种线控系统（集成了串联主缸，制动助力、ABS和ESC的One-Box设计模块），可以更快把轮边的制动抱死时间缩短至150毫秒，这比传统制动系统快3倍。

此外，为达到制动冗余的要求，大陆集团将MK C1与MK 100 ESC的衍生产品（MK 100 HBE）做了结合。在正常的运行模式下，MK C1 单元将起到制动、保障稳定性及舒适性的作用。

MK C1还有一个很重要的特点，它的电机扭矩非常大，液压建压速度非常快。即配备自动紧急制动（AEB）功能的车辆可以有更充裕的时间检测到障碍物并进行确认，随后成功地启动AEB功能。

整个系统可以通过CAN、CAN FD和Flexray网络与其他ECU集成，内部通信通过CAN或CAN FD来完成，可以在150毫秒内增加制动压力，这是目前其他系统的两倍。

此外，在备份机制上，在辅系统（MK 100 HBE）先发生问题的情况下，会把健康状况传递给MK C1主系统，主系统随即采用相应的降级机制。目前，MK C1已经在去年实现在中国的本地化投产。

同时，MKC1还有一个进化版本MKC1 EVO，具有与MKC1类似的系统性能，并进一步降低了工作能耗。此外，包括能够支持信息安全，集成ESC的惯性传感器。

而作为最早实现大规模量产电子制动系统的博世，目前的冗余制动主要通过iBooster和ESP®制动控制系统来完成。在这两个部件中的一个出现故障的情况下，另一个可以接管刹车功能，而无需驾驶员干预。

 

同时，最新一代IPB（One-Box方案，iBooster和ESP合二为一）的量产，新解决方案是，IPB作为主刹车系统来执行正常情况下的制动请求，以RBU（redundant brake unit）作为IPB失效情况下的冗余制动，代替驾驶员操作。

按照博世公司的介绍，模块化制动系统，以及智能集成制动系统IPB与冗余制动单元RBU的组合，可以为高级自动泊车和自动驾驶提供冗余制动的解决方案。

博世的另一大优势，在于另一个冗余系统：具有故障操作功能的Servolectric®动力转向系统，其中，电源，电子电路，控制单元和伺服单元的双重冗余。其中一个组件失效，另一个将接管。

对于冗余系统的未来技术趋势，大陆集团表示，在未来自动驾驶系统的架构下，线控制动系统进入了车联网的架构，因此存在着信息的安全隐患。作为系统最后的一道关卡，制动系统的信息安全直接决定着整个车辆的安全。

总之，有冗余的制动及转向系统，是L3及以上自动驾驶系统大规模商业化的先决条件，也为整个底盘控制市场带来了全新的增量机会。

二、冗余赛道，巨大的增量机会

除了底盘控制部分，从目前的新车量产计划来看，除了更多的冗余传感器配置，高阶自动驾驶车型基本上都采用了双计算平台以及备份电源系统。

比如，沃尔沃汽车计划在明年（2022年Q3）量产的L4级高速公路自动驾驶车型（全新一代XC90），就搭载了两套并行协同的计算平台。

其中，Orin支持部分（第一阶段仅限于高速公路）L4级自动驾驶，同时用于Luminar激光雷达的数据处理；基础软件、能源管理和驾驶辅助系统等功能则有Drive Xavier SoC提供算力。

 

 

在宝马的自动驾驶路线图中，把1级到3级，4/5级分成了两个部分。在硬件配置上，也有比较大的变化，也基本上代表了行业的主流开发方向。

比如，对于L3级车型，宝马将增加两个Mobileye EyeQ5，两个Intel Denverton cpu和一个Aurix。对于4/5级的车辆，宝马将配置扩展到三个EyeQ5，一个Xeon 24C和Aurix。

其中，L3配置的两个EyeQ5芯片，提供互相备份功能（类似特斯拉的FSD计算单元），其中一个芯片的主要功能是处理原始的传感器信号，而另一个芯片将处理融合计算，将传感器看到的所有信息合并成一个单一的内聚图像。

在宝马的架构下，L2将成为L3的后备冗余。这些系统运行单独的ecu，并利用经典和自适应AUTOSAR。在HAD级别上，依赖于双ASIL-B通道。

宝马的双重处理架构——主计算机和备用计算机——以确保L3、L4和L5车辆的安全。在该体系结构下，有一个主ASIL通道和一个辅助ASIL通道，主通道计算车辆的主轨迹，次通道用来监督主通道。

接下来，就是由另一个处理模块接管，由一个独立的电源驱动。这使得汽车可以在降级模式下继续安全运行，简而言之，宝马使用2级的堆栈作为3级的备份。

这个通道独立于主系统运行。它可以驱动一个冗余的制动/转向系统，使车辆进入一个安全的位置。不过，这个冗余单元无法完成全部功能，能力相对有限。

宝马的L3策略，就是典型的双系统模式，其中较低层次的系统成为较高层次系统的后备。你也有一个经典和人工智能方法的组合。人工智能主要用于感知，而后退则基于经典的确定性算法。

在毫末智行首席交付官甄龙豹看来，对于自动驾驶汽车而言，安全是首要前提。高级自动驾驶只有像航空领域那样做到冗余，才能确保真正的安全。

至于部署冗余技术的成本，他表示，随着技术的发展，冗余系统成本会快速下降；得到更多用户认可之后，厂商就可以更大范围进行部署。

此外，整体的传感器的布置和设计原则是实现车辆周身360度全覆盖，而且任何一个地方没有盲区死角，包括任何一个区域传感器失效之后，可以有备份的传感器来马上补足和实现。

同时，系统实现的不单单是一个fail safe，想实现的是fail operational。如果只是fail safe的话，整体安全度不会有太大的提升，而是要实现某一个传感器失效之后，整车还必须执行相应的功能，还可以安稳得完成行驶。

同时，针对自动驾驶系统会应用两块ECU，或者是三块。两块ECU包括在一些传感器上还会植入一部分冗余的安全措施。当其中一个失效之后另外一个可以接管，当另外一个失效之后同样还有第三个可执行平台来执行车辆的安全。

执行平台则对应不同执行安全等级的需求，定义了多重的安全停车、安全行驶的措施，包括驾驶员的接管，包括了当前车道、最右车道，下一个停车区，甚至是出口、目的地。