- 作者的前言 -

经过一个世纪的发展，汽车行业进入了有史以来最激动人心的时代，技术进步带来了无与伦比的安全性、更高的生产力和更好的环境效益。但具有自动驾驶功能的纯电动汽车不太可能在一夜之间成为主流或负担得起的。原始设备制造商意识到他们需要为当今和未来的车辆建立正确的架构基础。区域控制器是车辆 EE 架构的重要组成部分。本文讨论了实现区域控制器的关键技术和 MCU 解决方案。

英飞凌汽车电子技术专家张驰

区域控制器是车内的一个节点。在汽车的一个物理区域内，为各种传感器、执行器等设备提供配电、数据连接以及I/O采集和驱动需求。MCU是区域控制器的大脑。区域控制器中的MCU一般需要具备强大的处理能力，丰富的通信接口，以及一定程度的功能安全和信息安全。下面介绍区域控制器的一些关键技术和MCU解决方案。

1

高算力多核处理器

围绕区域控制器和中央计算单元构建 EE 车辆可减少车辆中 ECU 的数量，但随着更多功能被部署到这些 ECU 上，也会增加一些 ECU 的处理器负载。物理上，区域控制器是多个ECU的逻辑集中点，这对区域控制器中MCU的计算能力提出了更高的要求。在传统的单功能ECU中，往往需要使用低性能的单核MCU来满足要求，而对于区域控制器来说，往往需要高性能的多核MCU来满足要求。在多核MCU中，每个核可以运行一个单独的功能，多个核可以实现多种功能，从而实现多个ECU功能的集成。

TC3xx 微控制器是第 2 代 AURIX™ 产品，具有多达六个™ 1.62 嵌入式内核，每个内核的时钟频率最高。下图是 TC3xx 系列中的 TC39x 系列 MCU 模块图。TC39x 的计算能力达到 4000 DMIPS。

1：TC39x 块

TC4xx 微控制器是第 3 代 AURIX™ 产品，配备多达六个™ 1.8 嵌入式内核，每个内核都具有多达网络算法和其他复杂的数学算法。PPU可应用于未来区域控制器中的建模、模型预测控制、防入侵检测等一些信息安全算法。下图是 TC4xx 系列中 TC4Dx MCU 的模块图。TC4Dx的算力达到+*1。由 PPU 贡献。

2：TC4Dx 块

*1。FLOPS 是每秒浮点运算的数量。= 每秒十亿 (=10^9) 次浮点运算。以多层（MLP）为例，当输入层神经元个数=14，隐藏层神经元个数=20，输出层神经元个数=1时，计算能力为大约 1..

2

连接和互操作

在区域控制器架构中，每个传感器和执行器根据其位置连接到本地区域控制器，然后区域控制器进行一些数据帧格式转换，聚合数据并通过高速以太网将数据传输到中央处理单元. 区域控制器一般通过控制器CAN或LIN总线与安装在其上的传感器和执行器通信，或通过低速以太网或LVDS与摄像头或其他ADAS传感器通信。这就要求区域控制器的主控MCU具有丰富的CAN和LIN通信接口以及高速以太网接口。在区域控制器转发数据的过程中，还需要考虑通信延迟的问题。在中央集中式架构中，

TC3xx/TC4xx系列产品拥有丰富的CAN/LIN/通讯接口。

3：TC39x/TC4Dx CAN/LIN/

在 TC4xx 产品中，集成了专用的硬件通信路由模块 CRE (CAN)/DRE (Data)。TC4xx 中的一个 CAN 模块集成了 4 个 CAN 节点。当同一模块内的CAN节点进行数据通信时，可以直接通过CRE转发CAN数据，无需CPU和软件干预。当不同模块中的CAN节点进行数据转发或CAN节点与以太网之间的数据转发时，可以直接通过CRE+DRE的方式实现数据转发，无需CPU和软件干预。

4：TC4xx CRE 和 DRE

该硬件路由引擎直接实现数据转发，大大降低了数据延迟。CAN到CAN的转发延迟至少15us，CAN到CAN的转发延迟至少5us。

5：TC4xx

在未来集中集成的EE架构中，通信数据量不断增加，高速以太网逐渐成为EE架构中的骨干网络。为了考虑数据通信的安全性和冗余性，以太环网架构逐渐成为主流，区域控制器和中央控制单元都是以太环网框架中的节点。TC4Dx有2个5Gbps高速以太网接口和4个10/接口，2个高速以太网接口连接以太环网（1进1出），4个低速以太网可连接雷达或摄像头传感器. 2路高速以太网可以通过内部集成的高速以太网桥（G-）直接转发以太网帧。4路低速以太网接口也可以通过低速以太网桥（L-）直接转发以太网帧。也可以通过低速以太网桥+DRE+高速以太网桥在低速以太网接口和高速以太网接口之间直接进行以太网帧转发。这种方法大大减少了以太网接口之间数据转发的延迟时间。

6：TC4xx

在以中央处理器和区域控制器为节点的以太网骨干网中，经常需要传输各种以太网数据帧。带宽（如音视频数据、ADAS传感器数据等），有的为常规数据（如对传输时延没有要求）。因此，在这个骨干网中，需要对以太网帧进行分类，保证控制数据可以在可控的延迟时间内发送，并保证音频、视频或ADAS传感器数据在正常传输过程中不受干扰。网络中其他以太网帧的传输会导致其他高优先级以太网帧被阻塞。

TSN 协议很好地解决了这个问题。其中.1Qav实现了流量整形、优先级和队列管理，很好的解决了数据冲突的问题。在此基础上.1Qbv实现了时间整形（Time-aware）机制，允许端口根据一定的时基控制是否允许流量传输，传输开关由传输门（Gate）和门控表（Gate List，GLC）。通过这种时隙划分机制，将时间敏感消息流与其他普通消息流隔离，可以实现时间敏感消息的确定性传输，使消息到达时间可预测，避免普通消息的干扰，提高实时性能。.

TC3xx/TC4xx 以太网控制器支持的 AVB/TSN 协议如下：

7：TC3xx/TC4xx TSN

*1) .1 Qbv-：表示TC3xx的GETH的通道/队列支持slot功能。比如一个同步周期可以分为三个slot，然后可以配置三个队列，每个队列占用一个slot，这样三个队列可以发送不同的以太网帧，三个队列发送的数据互不干扰彼此。

3

互不干涉

在面向区域的中央集中式架构中，ECU的数量将大大减少。一些缩减后的ECU会并入区域控制器，有的会将控制功能上传到中央处理器执行，而自己的则成为智能传感器或智能执行器。在这个过程中，区域控制器会承载越来越多的功能，并且每个功能独立运行，互不干扰是必不可少的。

目前，多核MCU已广泛应用于汽车电子领域。可以为每个核心分配一个功能，让每个功能可以并行运行，提高运行效率，并保证它们互不干扰。当然，这需要依赖Unit（MPU）。TC3xx/TC4xx 最多有 6 个 CPU 内核，每个 CPU 都支持 Unit (MPU)。以TC3xx为例，每个CPU核有6组保护设置，每组保护设置有18个数据保护区域和10个代码保护区域。当配置了代码数据和代码保护区时，其他 CPU 无法访问这些区域。此外，考虑在 CPU 中运行操作系统的情况。当同时执行多个任务时，可以为每个任务分配一组保护设置，可以隔离任务之间的数据和代码。

8：TC3xx/TC4xx MPU

另外，区域控制器中的各种功能也会使用不同的MCU外设通道，外设需要做好隔离。在TC3xx/TC4xx中，每个外设通道都有访问保护（ ），其原理是为每个SRI总线分配一个标签ID，每个外设通道可以设置允许哪些通道访问。通过这些方式，可以将不同的外设分配给不同的核进行访问，从而保证其他核不会非法控制不属于核的资源。

中心化架构也对研发团队的组织架构产生巨大影响。未来区域控制器可能会集成多种ECU功能电源控制器，而开发这些功能的原始研发人员可能来自不同的团队，因此会面临几个问题。问题：

- 如何协调这些研发人员开发区域控制器？应该考虑到这些开发者使用的开发环境（如操作系统、编译器、调试器等）可能不同。

- 如何重用以前项目中的软件？

- 如何让这些开发者同步开发，互不干扰？

举个例子（不一定符合实际情况），现在我们需要开发一个区域控制器（放置在左体域中），这个区域控制器至少要实现左体的I/O控制和检测域（类似于之前的BCM功能），作为机身的网关（），也作为左机身域中的配电中心（Power），最后可以认为可以进行固件升级（ OTA) 用于安装在其上的每个 ECU。假设原来的BCM和网关软件是由两个不同的研发团队开发的，而且他们使用的操作系统不同，现在我想重用之前的BCM和软件，然后重新开发左体域配电中心并升级固件每个ECU功能。那么我们如何才能高效地完成这个项目呢？

虚拟机 (VM, ) 完美地解决了这些问题。虚拟机是通过模拟物理机来封装和执行其他软件的软件。正在执行的软件可以是单个程序或完整的操作系统，以通常的方式执行任务。它是一个中间软件层，在虚拟机之间划分处理、内存和通信资源，并将并发运行的虚拟机调度和迁移到不同的资源。虚拟化的一个主要用途是集成需要不同操作系统的ECU功能，以及同一操作系统的不同版本。

从微观上看，每个 CPU 内核都支持多个 vm（如 vm0~vm7），CPU 在每个虚拟机之间实际上是时分复用的。2 级 MPU 可用于每个虚拟机之间的数据。和代码隔离。从宏观上看，每个功能都可以由一个VM来实现，每个VM实际上对应一个或多个CPUx.vmy。

以上述区域控制器为例，BCM功能由VM1实现（假设原来是由三核MCU完成），功能由VM2实现（假设也是由三核MCU完成） )，VM3用于实现区域配置。电气功能，VM4实现OTA功能。VM1实际包含cpu0.vm1、cpu1、vm1、cpu2.vm1，VM2实际包含cpu0.vm2、cpu1.vm2、cpu2.vm2，VM3使用CPU3.VM1，VM4使用CPU3.vm2。这样，VM1和VM2仍然可以复用之前的软件（虽然之前使用的是旧版本的软件和操作系统），而新开发的功能VM3和VM4可以使用新版本。这些虚拟机用于相互管理和调用。其实每个CPU的vm0都是运行在mode下的，

9：

此外，每个外围通道还可以设置自己的访问保护（ ），每个外围通道可以设置允许哪些VM访问该通道，从而实现VM之间的资源访问隔离。

TC4xx MCU 使用支持虚拟机的 TC1.8™ 内核。每个内核支持8个VM（VM0~VM7），支持3组独立的CPU内核寄存器，VM0和VM1各有一组，VM2~VM7共享另一组内核寄存器，所以从VM0或VM1到其他VM都可以快速切换。

10：

4

OTA

集中式架构将使硬件平台统一，包括控制器、传感器、执行器和各种接口。不同功能的实现，都是通过运行在各种硬件平台上的软件来区分的，真正实现“软件定义”。未来的区域控制器是汽车上某个区域的枢纽。它需要能够更新安装在上面的各种ECU、传感器、执行器的软件。此外，它还需要能够更新自己的软件。。

TC3xx/TC4xx单片机可以实现无感OTA，即TC3xx/TC4xx单片机有两个独立的Flash bank，当程序在一个bank的Flash中运行时，可以将更新后的程序写入另一个bank，在本次写入在此过程中，自身程序的运行不会受到影响。

另外，TC3xx/TC4xx单片机可以支持EMMC接口，可以达到最高的访问速度。其他 ECU 或传感器的更新固件可以放在外部 EMMC 内存中，时机成熟时可以将程序升级到其他 ECU 或传感器。

5

功能安全

随着车辆功能复杂性的增加，由于 EE 系统故障而导致的不安全行为的可能性大大增加。这迫使原始设备制造商严格按照安全标准开发车辆。目前，汽车 EE 架构事实上的功能安全标准是 .

TC2xx/TC3xx/TC4xx可以达到ASIL D功能安全等级。英飞凌的质量管理体系秉承“零缺陷”的文化理念，在AURIX™ MCU产品开发过程中拥有专业的功能安全开发和管理团队，参与MCU设计、开发和验证的各个流程。英飞凌不仅可以提供具有 ASIL D 功能安全级别的 MCU 产品，还可以提供完整的功能安全文档（如安全手册、FMEDA 表格等）和安全软件库（ ）。

11：AURIX™

6

信息安全

网络化是实现未来集中式EE架构的基础。万物互联在给用户带来便利的同时，也给传统车辆带来了安全隐患。在中央集中式EE架构中，以太网被用作骨干网络。中央处理器和区域控制器通过以太网进行通信，区域控制器通过CAN/LIN总线与子ECU、传感器和执行器进行通信。在这个网络中，任何 ECU/传感器/执行器都可以通过 OTA 进行升级。在这个过程中，如果升级后的固件在传输过程中被黑客非法篡改电源控制器，将会带来严重的后果。这就要求区域控制器能够支持加密传输、签名、签名验证、安全启动等功能。

TC3xx MCU内部的完整EVITA HSM模块，包括ARM Cotex-M3处理器、AES加速引擎、PKC模块和Hash模块。AES加速引擎支持算法（对称加密算法），PKC支持（非对称加密算法），真随机数生成器。

13：TC3xx HSM

此外，我们的第三方合作伙伴还可以提供符合标准的 HSM 商业软件。

14：TC3xx HSM

TC4xx MCU将使用新的Cyber​​（CSRM）作为可信硬件环境，包括多达1.8核、PKC模块、TRNG和CSS模块，其性能比TC3xx HSM高5~15倍，更重要的是TC4xx MCU CSRM 不仅支持 EVITA Full，而且符合规范。另外，TC4xx CSRM除了支持原TC3xx HSM中的算法外，还支持SM2/3/4国密算法。

15：TC4xx CSRM

7

低功耗

随着电子化程度的提高，大功率高算力芯片的使用率提高，车载负荷的用电需求也越来越大。耗电处理不好，尤其是新能源汽车，将直接影响其续航里程、成本和客户体验。如何一方面满足功能需求，同时尽量降低功耗，除了系统设计的优化外，在选择元器件时还应注意不同模式下的功耗指标。

TC3xx/TC4xx MCU将电源域分为主电源域（Power-On）和睡眠域（ ）。主电源域由 Vext 供电，睡眠域由 Vext 供电。Vext和Vext可以连接在一起，也可以分成两个独立的电源。当MCU进入休眠模式时，主电源域关闭，休眠域继续工作。睡眠域中有一个睡眠控制器(SCR, )，主要由一个8位8051内核组成，也可以编程，大大提高了睡眠模式下唤醒模式设置的灵活性。下表显示了可控硅休眠模式下的基本资源和功耗：

16：可控硅/

8

连续性考虑

OEM或Tier-1在选择区域控制器的主控MCU时，除了产品本身满足应用需求外，一般还要考虑开发时间和成本。MCU是ECU中最复杂的半导体器件，研发团队需要很长时间才能熟悉一个MCU平台。目前，TC3xx MCU产品已广泛应用于国内多家主机厂的区域控制器。这些区域控制器主要负责对身体部位的控制。TC4xx MCU对TC3xx MCU有很好的兼容性考虑，主要有以下几个因素：

TC3xx基于TC1.6.2内核，而TC4xx基于TC1.8内核，TC1.8兼容TC1.6.2。TC4xx 的开发环境与 TC3xx 完全相同（编译器、调试器等）。如果研发工程师已经熟悉TC3xx的开发环境，可以快速上手TC4xx。

TC4xx 和 TC3xx 的大部分外设资源保持不变，管脚分配也保持了很大一部分兼容性。因此，硬件工程师可以利用之前的大部分设计经验，而软件工程师可以利用对每个外围模块的理解，而无需重新学习。对于相同部分的外设资源，MCAL部分的配置保持不变。

TC4xx 继承了 TC3xx 的大部分安全概念，如 CPU 锁步、Flash/RAM ECC 保护、电源和时钟检测等。因此，对于功能安全开发部分，如果之前是基于 TC3xx MCU 开发的，则 TC4xx也可以遵循大部分功能安全的开发和设计理念。

™ 内核已推出 20 多年，并被许多 OEM 广泛使用。TC3xx/TC4xx MCU 中的许多外设模块也是非常古老的 IP 模块。经过20多年的迭代和更新，它们已经变得非常稳定和可靠。

17：TC3xx 到 TC4xx

参考

从分散式到集中式汽车 E/E 架构动机和挑战的两万字解读

区域控制器在新架构中的作用是什么

下一代整车级架构解决方案——区域控制器

推荐相关内容：

宅在家这么久，送你一扇“仁EE门”

“电”全是新开关，EE门里的好法宝

EE穿梭之旅，骄傲的AU（RIX）结束~

EE架构演进简史

汽车感性负载安全退磁能量的计算与分析