*作者；让科技赋能制造
前言
在整个智能驾驶解决方案中，MCU 的角色主要是配合感知芯片，根据车辆当前的运动状况和感知目标，输出的一些信息给底盘系统，因此，保证 MCU 在智能驾驶传感器和域控制器应用中的安全至关重要。
为此，我们请到英飞凌大中华区智能驾驶产品经理余辰杰做来分享：MCU 在智能驾驶传感器和域控制器中的应用。
分享实录
余辰杰：我主要分享一下 MCU 在智能驾驶传感器和域控制器中的应用。
除去执行器的控制，ADAS / AD 系统可以简单分为两大块，传感器和计算平台。无论是在传感器还是计算平台上的 SOC 的算力有多高，以现在的架构来看，MCU 仍是不可或缺的。
我主要分享分几部分：
-
简单介绍英飞凌；
-
针对这一代英飞凌 TC3 系列单片机，做个系统性的介绍，同时提及 TC4 系列上的一些升级;
-
AURIX 在 ADAS 中的应用;
-
英飞凌 MCU 如何配合 SOC 厂商在域控制器的应用;
-
在 AI SOC 厂商越来越多的集成实时处理器的时候，是否还需要一颗高算力的 ASIL - D MCU。
一、英飞凌是一家头部的汽车半导体公司，市面上绝大多数的汽车厂商的控制器里都或对或少运用着英飞凌的方案。
二、英飞凌的 TC3 系列单片机。
英飞凌的单片机不只在 ADAS 中有应用，几乎横跨了所有的领域，比如在强调功能安全的系统中，包括动力总成、新能源、发动机控制。同时也被广泛应用于自动驾驶、车身控制、影音娱乐、仪表等应用中。
焉知解释：
单片机，全称是「单片微型计算机简称单片机（MCU）」，是典型的嵌入式微控制器。
单片机是一种集成电路芯片，是采用超大规模集成电路技术把具有数据处理能力的中央处理器 CPU 随机存储器 RAM、只读存储器 ROM、多种 I / O 口和中断系统、定时器/计时器等功能（可能还包括显示驱动电路、脉宽调制电路、模拟多路转换器、A / D 转换器等电路）集成到一块硅片上构成的一个小而完善的微型计算机系统。
简单地说，单片机就是一个小计算机系统。
在规划一代单片机的时候，半导体厂商要考虑单片机覆盖的各种应用，要从整个工程规划上想清楚，英飞凌因为有多年的工程化经验。比如，英飞凌现在 40 nm TC3 系列平台，几乎所有 derivative 的内核和外设的 IP 都是相同的，绝大多数底层软件可以复用，可以让同一系列处理器在不同的应用实现通用，让主机厂和 Tier 1 大幅节省开发成本。
提到英飞凌的车规级 MCU AURIX，大家的第一印象是功能安全。其实除了功能安全之外，AURIX 对信息安全也做了精心的设计。AURIX 2G 中集成了一个 ARM 内核，配合一些专用的硬件资源来实现满足 Evita Full 标准的安全。稍微科普一下，从整个汽车单片机领域来看，大部分供应商正在转向 ARM，基于M核或者 R 核的架构来做系统开发。不可否认，ARM 具有很好的生态系统，但在日益复杂的国际环境下，IP 的产地也成为一项重要的考量标准。英飞凌 AURIX 产品线是少数至今仍然坚持自有内核 IP 的 Fabless。
我们知道传统汽车电子控制器是围绕着 MCU 来开发的，随着 ADAS 装载率的提高，高算力的AI SoC 开始登上汽车电子的历史舞台。在 ADAS / AD 系统中，SOC（系统级芯片）主要是通过机器学习，神经网络网络的方法来做感知，分类的，但跟底盘交互的地方是高实时性的，这部分任务不会部署在高算力平台上，而仍需要 MCU 来完成。
来看一下，英飞凌 TC3 系列 MCU ，在 TC3XX 中 TC3 是品类名，第一个「 X 」代表系列，相当于宝马 3 系、5 系，数字越大整体的配置越高。
这个系列中目前最高规格的是 TC39，然后依次往下，这个系列的优势是资源和性能的可拓展性，软硬件的兼容性、以及更硬件化的功能安和信息安全。现在很多全球知名的 OEM，在准 L3 级别的域控制器平台上，都是加入 AURIX TC39X 来做整个板级的功能安全，从 TC39 X到 38X、37X 至 32X，大部分管脚资源都可以无缝兼容，这也方便了 Tier1 做早期的跨平台，跨应用的 MCU 选型规划。
跟上一代 TC2 系列对比，TC3 系列无论是在算力，内存，通讯接口，功能安全机制，硬件加密上都有显著的提升。
焉知解释：
ARM 处理器有三大产品线：一，Cortex - A 系列高性能应用处理器；二，Cortex - M 系列微控制器；三，Cortex - R 系列实时处理器。
从内核来看，越来越多的厂商采用 ARM 架构，其中低端的实时控制器会基于的 Cortex - M 系列，对于高实时性高功能安全要求的场景，更多用到 R 系列内核。英飞凌一直到下一代 TC4 系列都没有考虑采用基于 ARM 核作为主计算单元的计划。我们认为在功能安全领域，基于 Tricore 的 AURIX 系列已经被数以百计的 Tier1 和 OEM 所验证，其仍有很强的生命力。
对比我接下去会提到的越来越多的 SoC 会在 die 上加入一些实时处理器。作为 MCU供应商，英飞凌在下一代的 TC4 系列中也会加入一个轻量级的神经网络加速内核，我们称之为 PPU，parallel processing unit, 是基于 Synopsys 的 ARC EV 的内核深度优化的。
正如 SoC 中加入 realtime core 并不可能真正意义上取代独立的 MCU，我们引入 PPU 的目的也主要是从功能安全的角度考虑，针对 safety critical 的任务，来分担一些 SoC 芯片中AI算力，互为备份。举一个例子来说，PPU 可以对成象雷达进行聚类跟踪等后数据处理，来保证 safety 相关的 ADAS / AD 功能在 SoC 失效的情况下也可以借助 ASIL D MCU 做到 fail safe 甚至 fail operational。
在通信接口上，TC3 具有主流的 CAN, LIN, CANFD, 百兆和千兆以太网，以及针对雷达应用的 LVDS 接口，我们称之为 RIF, Radar Interface。请注意我这里提到的 AURIX 上的 LVDS 是用来和 77G 雷达 MMIC 的基带信号做通信的，而非为用于摄像头视频信号。单片机的算力是不足以处理视频信号的。而目前主流的雷达系统却都是依靠单个单片机系统完成信号和数据处理的。
在下一代的 TC4 中，在更高带宽的通信接口中，我们会引入五千兆以太网，以及专门为提高和 SoC 通信速率的 PCIE 接口，大家知道目前在主流的 ADAS 域控制器架构中 SoC 和 MCU 之间通信仍旧是依靠高速 SPI，在考虑信号完整性的情况下，最高速率不过几十兆。PCIE 的引入会大大提高 SoC 和 MCU 之间数据交换的效率，届时 SoC 和 MCU 之间的高速通信是基于面向服务的 SOMIP 的以太网，还是更面相底层的 PCIE 协议栈，相信都会有各自的应用场景。
在低速接口中，我们也会引入一个新的 10 兆以太网。目前整车网络架构中，在 CANFD，到百兆的以太网之间其实是一个真空地带。我们认为以后 10 兆以太网会在整车网络中有其一席之地。
三、AURIX 在 ADAS 当中的应用。
我今天所讲的仅仅是基于目前的架构，因为没人知道 5 年以后 L2、L3 的整个传感器架构长什么样的，这个变化太快。但一般都会认为 L2 配备雷达和摄像头，没有激光雷达，L3 级别的标志就是会加入激光雷达，其实英飞凌也有激光雷达的 MEMS 振镜，但我们觉得真正大规模使用激光雷达的商业条件还不具备，L3 没有那么快到来。
从纯粹的图像分辨或者识别的意义来说，激光雷达肯定不及摄像头好，RGB 信息是硬伤。但激光雷达的深度信息又是摄像头不具备的。
不管马斯克怎么看激光雷达，甚至很多半导体巨头也不看好激光雷达，但我个人认为激光雷达有其存在的必要性，相对于现在流行的 4D 毫米波雷达的概念，角度分辨率做到 0.X 的数量级，和激光雷达正在力争达到 0.01 这个级别的数量级是没有可比性。
上一代的雷达是基于多芯片的架构的，要做出一个毫米波雷达的系统需要外置的锁相环，分立的收发芯片，独立的 ADC, 做 FFT 处理的 DSP 芯片等。而目前这一代雷达都是集成方案，把收发通道，锁相环，ADC 成到一颗芯片上 MMIC 上，把下变频，采样后的 Baseband 信号通过 LVDS / MIPI 传输给带有 FFT 硬件加速器的 MCU，再配一个可以同时给 MCU 和 MMIC 供电的电源芯片就是一个系统了。
在下一代 AURIX TC4 中，针对雷达信号的跟踪聚类等任务，英飞凌集成了一个叫 PPU 的神经网络的加速器来完成。
最后提一下现在很火的 4D 雷达，或者叫成象雷达，级联雷达。将来在 L3 以上的雷达传感器会成为一个更标准化的模块，比如通过百兆以太网吐出 FFT Peaks 给到域控制器中做后处理。当然后面会提到，这个域控制器中仍就需要 safety MCU 来做安全相关任务的 SoC 算力的互为冗余或备份，而雷达信号的数据处理便属于这一类任务。
四、英飞凌如何配合 SOC 厂商在域控制器的应用。
一般是在 L2 + 以上的智能汽车才会有独立的域控制器。因为低等级的 L1 / L2 没有路径规划功能，且传感器的数量也有限，或是在雷达或是在摄像头传感器端的 MCU 就足够完成目标级的融合和决策任务。
当前的 ADAS / AD 电子电器架构中，一部分主机厂又划分为高低速域。高速域负责高速 ADAS 功能，如 AEB，ACC 等。低速域则负责 APA, AVP 等功能。
另一部分外主机厂则将所有功能都放到一个域控制器中。我相信，随着 SoC 算力的提高，主机厂的降本需求，高低速域合二为一是大趋势。
无论是高速，低速还是合二为一的大型域控制器，目前主流的 L2 + 和 L3 的域控制器都是由一个或两个 SoC 加上一颗 Safety MCU 来完成的，其中 SoC 负责感知，全局路径规划等，MCU 则负责目标级的传感器融合和实时性要求很高决策任务。下面我会展开讲。
五、在 SOC 厂商越来越多的集成实时处理器的时候，在 AD 域控制器中是否还需要一颗高算力的 ASIL - D MCU。
答案是肯定的，现在的 AI SOC 算力丰富，有 Cortex-A 核、NPU、GPU 等。更有一些集成一个 MCU 级别的实时锁步核，称之为 safety island。它似乎在灌输一个概念，SoC 里面加了一对锁步核就是功能安全 ASIL-D 了。其实一对锁步的实时核跟 ECU 系统，甚至仅仅是芯片自身达到 ASIL – D 等级都不是一个概念。
而且受制于 die size，成本等原因，目前一些 safety island 上只集成了非常有限的 RAM。以一个 Lockstep R5F 附加 1M SRAM 为例，如果希望程序都运行在 RAM 中，程序的体积受到明显制约。
其实不单单是 ADAS / AD，现在越来越多的 safety critical 的实时中，底层软件倾向于选择架构庞大的 AUTOSAR BSW，应用层的实现靠模型来搭建，在 AD 域控制器中的 decision maker 部分的应用层包括了轨迹验证和整车动力学模型，以及从轨迹到扭矩 / 角度等驾驶命令的分解。
虽然这些本质上逻辑类的任务不会太占用太多的 memory，但是一上 AUTOSAR 的底层，整个软件的 size 一下子就上去了。其次，如果借助外部 Flash，程序读取的效率又受限于 access latency 和内部 cache 的大小。
这些还只是从 Safety Computing 的角度来看，下面我们再从 Safety Suprevisor 或者 Safety Path 的角度来看独立的 Safety MCU 的价值。
以一个面向未来的 L3 域控制器为例，传感器的输入输出就包括了百兆以太网传进来的 4D 级联雷达的 FFT Peaks，千兆以太网进来的 Lidar 点云，LVDS / Serdes 的摄像头原始信号，还有整车的以太网 backbone，HDMI 的输出等。
其中可能有多达三个 SoC 来分别处理摄像头，Lidar，以及传感器融合和路径规划等数据后处理的任务。可想而知，从板级功能安全的角度，这其中有多少电源域需要监控，特别 SoC 的 supply rail 以及上电时序是非常复杂的。
目前的 SoC 的 safety island 中 ADC 的数量和精度都不及更低制程的 MCU。
另外，英飞凌针对 AURIX，还搭配了功能安全的 PMIC，给 MCU 以及外围的传感器，收发器芯片供电的同时，通过外狗来监控 MCU 的安全运行，并对系统供电进行过流过压等监测。当 MCU 运行或系统电源出现异常时，作为最后一道屏障来负责 Reset MCU，切断域控器对外的输出等动作，使系统进入安全状态。我们也称此为二级关断路径。
总结一下，Safety MCU 在 ADAS / AD 域控制器的作用主要有 Safety Computing 和 independent Safety Path。目前集成 Safety Island 的 AI SoC 仍需要 Safety MCU 来实现系统的功能安全。
