一、系統架構設計的核心思路：拆分與權衡
從Mobileye在安全邊界上的設計來看，其采用的是兩種獨立系統相互解耦的思路：一個純視覺系統用于快速迭代，一個激光雷達和雷達系統用于邊界控制，且兩個系統分別進行功能安全設計。而行業內常見的做法是將多傳感器耦合在一個系統內，若要滿足ASIL-D的安全等級，需對整個系統施加安全設計。
以摩拜的設計為例，其架構顯著體現了上述獨立系統的設計理念。在實際操作中，視覺系統常以激光雷達數據作為增值數據，但多數架構設計傾向于將所有元素融合到單一模塊中。Mobileye與行業常規設計的對比，反映出其在架構設計上的獨特思考——這種思考并非停留在表面的圖示差異，而是深層設計邏輯的體現。
在架構設計中，人們往往本能地遵循“物盡其用”的原則，傾向于整合所有資源。但Mobileye的設計思路并非如此，它更注重挖掘有潛力的部分以實現降本。例如，僅使用攝像頭的純視覺系統在零部件質量、后期控制及成本控制等方面更具潛力。從第一性原理來看，純視覺系統的功能實現具有可行性，代表著未來系統的發展方向。同時，為滿足短期內工程量產與交付的需求，激光雷達和雷達系統可作為“兜底”保障。這種設計思路正是該案例的核心價值所在。
這種將系統拆分為不同功能模塊的思想并非個例，在通訊、功能級別、MCU/MPU級別等多個維度均有體現。當具備這種拆分思想后，架構設計會呈現出不同的邏輯；若未意識到這種差異的重要性，僅追求資源的集中利用，最終會陷入安全與體驗的平衡困境。
在系統設計中，平衡安全與體驗的需求往往需要進行權衡。例如，既要求系統安全可靠，又希望其具備良好的用戶體驗，這些要求通常會集中施加于單一系統。但從Mobileye的設計邏輯來看，其在實現過程中對這種平衡有著深刻的考量，這也是值得推崇的設計思路。
二、開發風格與系統迭代的分離策略
從不同類型的開發風格來看，MPU與MCU呈現出顯著差異。MPU傾向于獨立運作、系統級解耦，關聯云端的數據管道、遠程診斷、自動訓練等快周期任務，涉及多數感知單元和少數執行單元；MCU則側重慢周期任務，與車端安全部件相關，涉及少數感知單元和多數執行單元。
為應對敏捷開發與功能安全的要求，系統設計需采用快慢迭代分離的策略。云端開發分為服務敏捷的快周期自動化迭代和服務安全性設計的慢周期迭代，功能安全系統與功能實現系統構建弱耦合關系，通過控制權切換實現協同。
在傳統業務系統中，車云兩端業務通常是分割的。對于控制器，軟件工程會區分功能安全系統和功能體驗系統的迭代鏈路。業務系統一般包含配置和診斷，配置涉及軟件集成時的設置，診斷則與傳統汽車行業的DTC相關。安全系統和云端數據類業務可分別形成閉環，且安全系統對功能實現系統具有仲裁權。這種設計雖常見，但隨著系統復雜度提升，新從業者易將所有系統混在一起設計。
以泊車業務為例，系統設計需平衡通過限位器時的體驗與安全。從體驗角度，希望車輛能流暢通過減速帶等障礙，這需要較大扭矩；從安全角度，需避免車輛沖破限位器導致碰撞，這又對扭矩有一定限制。
傳統設計思路中，開發工程師試圖通過調整單一扭矩傳感器的參數，同時兼顧通過性與安全性，還需考慮車輛載重等因素，最終陷入復雜的權衡困境。
而拆分設計思路則將系統分為安全系統和體驗系統。安全系統專注于扭矩保護，不考慮體驗，例如當扭矩超過設定值時觸發保護機制，確保車輛不越過限位器，可采用獨立的扭矩傳感器；體驗系統通過純視覺判斷庫位和限位器位置，力求實現平穩停車，即便偶爾失效，安全系統也能發揮作用。
兩個系統相互獨立，無需在功能上相互妥協。安全系統被觸發時產生的數據，能為體驗系統的優化提供依據，助力其快速迭代。如此，即便體驗系統初期不夠完善，也能實現快速量產，經過3-6個月的迭代，體驗系統可逐步成熟，減少安全系統的觸發次數。
這種拆分思路與傳統的權衡思路相比，能有效解決安全與體驗的矛盾。在汽車行業與互聯網行業的協作中，類似的矛盾普遍存在，如一方追求迭代速度，一方強調質量控制，若將兩者置于同一維度權衡，只會陷入無休止的爭論；而將其拆分為不同維度，則能化解沖突。
安全系統與體驗系統的權衡在工程實現中至關重要。傳統供應商在配置系統方面，主要關注CI集成的配置管理。在診斷系統中，傳統的本地診斷會將故障ID號存儲在寄存器中，而智能駕駛軟件的診斷范圍更廣，包括用戶行為記錄、用戶畫像識別等。
影子模式是一種高效的測試方式，將下一版軟件置于當前版本中，可檢測系統可靠性，且借助用戶車輛進行測試，相比傳統的測試車隊，具有量級大、成本低的優勢。
需要注意的是，系統拆分并非簡單地分為獨立的體驗系統和安全系統，而是呈現分層結構，每個層面都有其對應的安全與體驗考量。
在設計系統時，功能系統和安全系統的感知輸入最好保持獨立，若受成本限制無法完全獨立，也應遵循這一原則。例如，AEB理論上需要獨立的感知輸入。
控制鏈路必須由安全系統主導，這是系統設計的準則。在安全系統設計中，可靠通訊僅需應用于其輸入和輸出環節；安全系統向非安全系統發送指令時，無需保證可靠通訊，因安全系統可直接掐斷非安全系統的控制鏈路。同時，需避免功能安全系統通過其他鏈路完成安全動作，防止出現邏輯混亂。
實際設計中易出現“多徑問題”，即功能體驗系統先于功能安全系統執行操作，影響安全系統的正常運作。例如，功能實現系統直接控制車輛停車，而安全系統尚未響應。為避免這種情況，安全系統觸發時必須掐斷所有上層信號，確?？刂坡窂降奈ㄒ恍?。在信號傳輸設計上，應讓信號先傳遞至安全系統，再由其轉發至功能實現系統，保證安全系統對控制節奏的主導權，避免因CPU調度的競爭關系導致安全隱患。
三、系統各維度的解耦邏輯與發展階段
在系統的各個維度，都存在類似互聯網邏輯與汽車行業邏輯的劃分，且兩者需保持解耦。從EE架構到域控架構，再到車端軟件級別和云端迭代，均是如此。例如，FOTA系統屬于互聯網邏輯范疇，而整車平臺與EE架構的策略則屬于汽車行業邏輯，二者相互獨立。
在車端算法層面，互聯網常用的網絡模型與傳統的規則算法也需解耦。以智能駕駛的路徑規劃為例，深度學習模型生成軌跡和速度變化后，規則算法會對其進行校驗，如判斷軌跡是否存在撞墻風險。若校驗通過，則繼續執行；若發現問題，安全系統會觸發降級操作，并將相關信息反饋至云端。
深度學習與規則算法雖可能同源（如輸入相同的地圖信息），但二者的配合邏輯是為了校驗深度學習結果的合理性。若輸入源存在問題（如未識別到車道線），則屬于上一級感知模塊需解決的問題，而非該層級系統的校驗重點。
在云端，訓練平臺雖在模型訓練過程中相對靈活，可同時運行多個模型并根據測評結果選擇最優者，但底層的控制邏輯仍需嚴謹。
總之，將安全系統與體驗系統、互聯網邏輯與汽車行業邏輯進行合理拆分與解耦，是系統設計的關鍵。這種思維方式在人工智能領域同樣適用，如自動駕駛模型訓練中，模型內部也需在可確定性與體驗性之間進行權衡，這是所有智能體都需面對的問題，既要具備對外的適應性，又要保持自身的可控性。
接下來探討三個層面的溝通問題。這部分內容較為復雜，因其涉及的范圍廣泛。相較于以往講解EE架構時圍繞區域架構等內容展開的簡單模式，如今的架構講解難度更大。在此，將以域控架構和集中化架構兩個主要階段進行闡述。
靈活性是系統設計的主線，追求極致的靈活性是永恒的目標，這一過程主要經歷硬件集中化和軟件無人化兩個階段。
分布式架構為保證高可控的質量，犧牲了一定的靈活性，將復雜性分擔，使工程師有較大的操作空間，工作強度相對較低。
域控架構將部分子功能集中，并通過SOA（面向服務的架構）進行通訊銜接，此時系統復雜性開始呈現不均衡狀態，工程師會感受到較大壓力，工作時長相應增加。
集中化架構已接近工程師的能力極限。在該架構下，不同團隊在中間件、操作系統、硬件等方面的選擇易產生分歧，即便像特斯拉這樣的企業，也會出現妥協方案。這種架構會導致組織架構層面的爭奪，增加管理分層，延長代碼集成時間，當仍采用規則算法時，系統復雜性會超出工程師的處理能力，許多嘗試集中化架構的項目因難以推進而被迫拆分。
若組織架構和認知水平未達到相應程度，盲目采用集中化架構，是對質量的不負責任。在集中化架構的極限工況下，需在軟件層面進行簡化，主要通過自動化和模型化實現。自動化可利用CICTCD鏈路和大模型開發，控制軟件迭代周期；模型化則可減少工程化負載。
端到端是更高階段的發展方向，但需明確端到端只是體驗系統的一部分，安全系統仍不可或缺。端到端的系統能實現車輛與自然環境的直接交互，減少人在車端的參與度，這也是智能駕駛的終局目標。對于集中化架構下的智能座艙和智能駕駛等大模型、大域控制器的融合，需綜合考慮多方面因素。
四、架構設計的范圍擴展與實踐挑戰
集中架構最本質的問題并非EE架構級別新增了一種結構理解方式，而是“控制器內設計和外設計變得更加模糊”，這增加了架構設計的難度。
控制器外的架構設計職責涵蓋多個方面，包括服務框架、軟件、系統、OTA（遠程在線升級）、安全、診斷、網絡、數據、電源、物理等架構相關內容，涉及功能定義、服務編排、軟件協議棧需求、車云協同等多個維度。
控制器內的架構設計同樣復雜，需考慮算法模型的選擇（如歸納型神經網絡算法與演繹型規則算法）、芯片類型（CPU、GPU、DSP、FPGA/ASIC等）的匹配、算力分配、通訊帶寬與算力的平衡等問題。
以智能汽車的360功能為例，傳統車輛中，360功能由座艙直接控制相機，啟動較快；而在新型智能汽車中，相機常被智能駕駛系統使用，360功能的實現需經過座艙MCU、MPU，再通過SOA到智能駕駛系統等多個環節，鏈路較長，導致啟動時間變長。
這一問題的背后涉及復雜的架構設計與組織架構。相機的啟動時間、按鈕反饋延遲等看似簡單的問題，可能牽扯多家供應商和不同的組織架構，對工程師和管理者的全局思考能力提出了很高要求。在域控交互中，穩定性延時、啟動時間等細節問題的解決，需要對汽車各個技術層面有協同思考的能力，準確識別問題根源，避免被局部利益所困擾。
總之，架構設計范圍的極大擴展，使得智能汽車的系統設計面臨諸多挑戰，需要從全局出發，綜合協調各方面因素，才能實現系統的高效運作與良好體驗。