В отличие от автомобилей прошлых лет, современные транспортные средства (ТС) с программно-определяемым управлением работой двигателя положили начало эре консолидации электронных блоков управления (ЭБУ), количество которых постепенно сокращается, но усложняется. Автомобили переходят от доменной к зональной электротехнической архитектуре, но сложности накапливаются быстрее, чем кто-либо ожидал. Поэтому сегодня, когда отрасль движется в сторону программно-определяемых транспортных средств (SDV), зональная электротехническая архитектура превратилась из многообещающей концепции в практический путь развития. Люди иногда забывают, насколько сильно поведение автомобиля сегодня зависит от электроники - так как общая работоспособность всех узлов построена на целой сети датчиков и исполнительных механизмов, объединённых между собой с помощью протоколов CAN, LIN, FlexRay, Ethernet и других. Это нервная система автомобиля. Она эволюционировала от распределённых систем к предметно-ориентированным проектам, а теперь сместилась в сторону централизованного и зонального подхода.
Одним из главных факторов, способствующих этому переходу, являются обновления автомобильных систем по беспроводной связи (OTA) со специализированных серверов современных центров обработки данных и способность производителей автомобилей управлять их безопасной легитимной доставкой. Без обновлений блоки зонального управления и центральные вычислительные устройства в архитектуре современных авто представляли бы собой сложные узлы с ограниченным потенциалом и без возможности удалённой диагностики.
По мере того, как функции становились все более взаимосвязанными и зависимыми от данных, прежние архитектуры начали демонстрировать свои ограничения. Пропускная способность стала проблемой, количество проводов увеличилось, а требования к производительности, особенно для автономных функций, довели сети CAN до предела их возможностей. Необходимость интеграции интеллектуальных и цифровых функций открыла двери для более масштабируемых и передовых подходов. Зональные контроллеры не привязаны жёстко к какой-либо одной функции, они позволяют производителям оборудования беспрепятственно внедрять новые функции или приложения на этапах разработки и на протяжении всего жизненного цикла. Чтобы упростить задачу, разработчики разделили автомобиль на физические зоны: передняя левая, передняя правая, задняя левая, задняя правая и салон. Каждая зона управляется зональным контроллером, который объединяет локальные датчики и исполнительные механизмы и взаимодействует с центральным вычислительным блоком. Кроме того, в зональной архитектуре технология CAN заменяется автомобильным Ethernet, обеспечивая более высокую пропускную способность для ресурсоёмких приложений
Вместо того чтобы каждый блок управления двигателем работал на собственном выделенном программном обеспечении, зональные системы разделяют аппаратное и программное обеспечение. Это означает, что разработчики могут создавать и обновлять приложения так же, как и в облаке. Такой подход также поддерживает контейнеризацию, что, по сути, означает, что можно запускать несколько приложений на одном компьютере без взаимного влияния. Это обеспечивает гибкость и проще в обслуживании, когда одно и то же приложение может работать на разных платформах с минимальными изменениями.
А ещё есть виртуальные ЭБУ — программные версии реальных. Они позволяют инженерам тестировать и проверять новые функции до того, как будет готово реальное обновление. Но по мере того, как в автомобилях все чаще используются облачные подходы к разработке, это создаёт новые проблемы для кибербезопасности и проверки программного обеспечения. Беспроводная связь создаёт дополнительные риски, а зональная архитектура не устраняет проблемы кибербезопасности. Вместо этого она централизует и контролирует поток данных между компонентами транспортного средства. Но внедрение зональных контроллеров и централизованных вычислительных блоков позволяет производителям автомобилей получить более чёткий контроль над перемещением данных внутри ТС. Эти компоненты действуют как управляемые шлюзы, регулируя связь между датчиками, исполнительными механизмами и программными уровнями более высокого уровня. Такое положение дел ограниченно упрощает мониторинг трафика, обеспечение соблюдения правил доступа и предотвращение несанкционированного взаимодействия между различными частями системы. Тем не менее, вероятность хакерских атак возрастает.
Стратегии тестирования развиваются вместе с этим архитектурным сдвигом. Производители оригинального оборудования всё чаще внедряют программные методы проверки, такие как цифровые двойники, которые воспроизводят электронно-электрическую архитектуру автомобиля в виртуальной среде. Эти модели позволяют командам моделировать поведение системы, сценарии интеграции и потенциальные векторы атак до развертывания. В сочетании с тестированием на основе искусственного интеллекта это помогает заблаговременно выявлять и устранять уязвимости. Но требует создавать новые дата-центры для увеличения вычислительных мощностей.
С точки зрения беспроводного обновления надо понимать, что блоки управления двигателем (ECU) должны продолжать выполнять свои критически важные функции, даже если обновление не удастся. Поэтому, когда ставки так высоки, производители оборудования уделяют особое внимание интеграции различных механизмов в свои модули:
- механизм отката обеспечивает работоспособность функций автомобиля даже в случае сбоя обновления;
- шифрование и внутренняя аутентификация между точками соединения защищает пакеты обновлений от несанкционированного изменения и гарантирует целостность данных;
- безопасная загрузка и цифровая подпись кода проверяет подлинность и целостность встроенного ПО перед его выполнением;
- дельта-обновления отправляет только изменённые части программного обеспечения, сокращая потребление трафика и время на загрузку;
- зональные ЭБУ распространяют обновления локально на подключённые в данный момент модули, что обеспечивает более быструю и эффективную установку.
Системы, критически важные для безопасности, такие как тормозная система и рулевое управление, требуют предсказуемой работы в любой момент движения автомобиля. Однако одного лишь Ethernet может быть недостаточно для обеспечения сверхнизкой задержки, необходимой для всех функций, хоть зональные ЭБУ обеспечивают прямой доступ к локальным датчикам и исполнительным механизмам. Для функций, критически важных с точки зрения задержки, некоторые электронные блоки управления могут по-прежнему использовать устаревшие шины CAN для гарантии своевременной доставки данных. Они могут выполнять критически важные для безопасности действия локально, напрямую взаимодействуя с входами/выходами (например, тормозными системами), тем самым снижая зависимость от центральной сети и избегая задержек. А сигналы безопасности могут передаваться с резервированием (во время остановки авто), как по Ethernet, так и по CAN, что обеспечивает максимальную надёжность и доступность.
Автопроизводители продолжают объединять множество электронных блоков управления в меньшее количество более интеллектуальных аппаратных блоков, при этом мощные зональные контроллеры берут на себя все больше обязанностей в рамках всего автомобиля. Следующим шагом в этой эволюции являются централизованные вычисления, где один высокопроизводительный процессор подключается к более мелким узлам-спутникам, распределённым по всему транспортному средству. Для этого уже начинают внедрять Ethernet 10BASE-T1, который обеспечивает более быструю и надёжную связь, чем традиционный Ethernet, одновременно снижая задержку шлюза. Некоторые производители также изучают возможность интеграции облачных сервисов Интернета вещей (IoT) для обработки некритичных функций, таких как информационно-развлекательные системы, аналитика и управление автопарком, сохраняя при этом критически важные для безопасности элементы управления внутри автомобиля.
В ближайшем будущем централизованные вычисления с использованием вспомогательных узлов, как ожидается, станут следующим практическим шагом после зональной архитектуры, открывая путь к созданию по-настоящему программно-определяемых транспортных средств.
