在軟件定義汽車的發(fā)展進(jìn)程中，從傳統(tǒng)汽車思維向互聯(lián)網(wǎng)思維的轉(zhuǎn)變，帶來了諸多新的問題與挑戰(zhàn)，其中迭代與安全的矛盾關(guān)系貫穿始終，并在不同階段以不同形式呈現(xiàn)。深入剖析這一矛盾及其解決策略，對理解汽車行業(yè)的發(fā)展趨勢、優(yōu)化產(chǎn)品設(shè)計和系統(tǒng)架構(gòu)具有重要意義。

一、迭代與安全矛盾的演變及本質(zhì)

在軟件定義汽車概念出現(xiàn)之前，傳統(tǒng)汽車行業(yè)并不存在迭代與安全之間的顯著沖突。隨著軟件在汽車領(lǐng)域的深度滲透，這一矛盾逐漸凸顯。在汽車開發(fā)過程中，一方面要遵循汽車行業(yè)嚴(yán)格的質(zhì)量控制和安全保障流程，確保產(chǎn)品質(zhì)量和安全性；另一方面，互聯(lián)網(wǎng)思維下追求快速迭代，以滿足市場對新功能和新體驗(yàn)的需求，兩者之間的沖突日益加劇。這種沖突不僅體現(xiàn)在整體開發(fā)流程上，還深入到工程師之間、工程師與產(chǎn)品及項(xiàng)目之間的日常工作中，大量的工作矛盾都與這兩者的沖突密切相關(guān)。

從第一階段向第二階段的轉(zhuǎn)變過程中，迭代與安全的矛盾成為關(guān)鍵問題。而當(dāng)發(fā)展到以大模型為特征的第三階段時，這一矛盾并未消失，只是換了一種表述方式，即大模型的可控性和可擴(kuò)展性問題。實(shí)際上，從本質(zhì)上講，安全可以理解為可控性，迭代則等同于可擴(kuò)展性。

在人類的認(rèn)知和行為模式中，存在著類似的平衡機(jī)制。例如，人們常說的“外圓內(nèi)方”，即在對外適應(yīng)環(huán)境時要靈活多變，而對內(nèi)則需堅(jiān)守原則底線。大腦的運(yùn)行機(jī)制也體現(xiàn)了這種平衡，一般認(rèn)為大腦的工作和生活有序，但認(rèn)知學(xué)觀點(diǎn)表明，大腦是在無序和有序之間不斷切換的，處于相變臨界狀態(tài)。這種相變切換與汽車開發(fā)中迭代和安全之間尋求動態(tài)平衡的問題相契合，反映了這一矛盾的普遍性和根本性。

二、快慢周期系統(tǒng)的解耦策略

在處理迭代和安全的矛盾時，核心在于在這兩個維度上建立獨(dú)立的系統(tǒng)，并保證快迭代系統(tǒng)和慢迭代系統(tǒng)之間的解耦。在實(shí)際工程中，常常出現(xiàn)違背這一原則的情況。對于快迭代系統(tǒng)，過度添加質(zhì)量要求，導(dǎo)致其無法快速迭代，質(zhì)量也未能得到有效提升；對于慢迭代系統(tǒng)，又不合理地要求其快速推進(jìn)，忽視了其自身的特性和規(guī)律。

造成這種情況的根本原因是沒有從兩個時代的邏輯去分解問題。汽車產(chǎn)品，尤其是涉及軟件架構(gòu)和系統(tǒng)架構(gòu)設(shè)計時，必然包含安全邏輯和快捷邏輯兩個部分。在設(shè)計過程中，不能僅從功能角度去解耦，而應(yīng)將快慢問題提升到主要矛盾的高度去考慮。

為實(shí)現(xiàn)快慢系統(tǒng)的有效解耦，需遵循兩個重要原則:一是兩個快慢系統(tǒng)之間應(yīng)保持低耦合，接口交互盡可能少且簡潔，減少相互之間的干擾；二是快系統(tǒng)和慢系統(tǒng)各自的管理文化、管理邏輯、技術(shù)架構(gòu)、技術(shù)堆棧等，都應(yīng)分別圍繞快和慢的邏輯主軸構(gòu)建，避免混用不同階段的技術(shù)和管理方式。

以仿真系統(tǒng)為例，傳統(tǒng)汽車行業(yè)和互聯(lián)網(wǎng)行業(yè)的仿真系統(tǒng)在表象上可能相似，但在行業(yè)標(biāo)準(zhǔn)、認(rèn)知范圍和技術(shù)重點(diǎn)等方面存在巨大差異。若將兩者混用，在汽車產(chǎn)品鏈中引入互聯(lián)網(wǎng)企業(yè)的環(huán)節(jié)，由于各自標(biāo)準(zhǔn)和邏輯的不同，項(xiàng)目往往難以成功，最終導(dǎo)致快不快、慢不慢的尷尬局面。同樣，在人員管理方面，讓汽車文化背景的人管理互聯(lián)網(wǎng)團(tuán)隊(duì)，或反之，都可能引發(fā)嚴(yán)重問題。

三、汽車不同領(lǐng)域的快慢系統(tǒng)實(shí)例分析

座艙系統(tǒng)在發(fā)展過程中，其快慢系統(tǒng)的特點(diǎn)較為明顯。早期，座艙系統(tǒng)更注重外觀和功能的多樣性，在一定程度上缺乏對可控性的深入考慮，呈現(xiàn)出以快為主的互聯(lián)網(wǎng)性質(zhì)，對慢周期的因素關(guān)注較少。例如，在屏幕相關(guān)的開發(fā)中，做前儀表評審和其他屏幕評審的可能是不同團(tuán)隊(duì)，這種方式在一定程度上實(shí)現(xiàn)了解耦。然而，隨著座艙系統(tǒng)向智能化方向發(fā)展，對可控性的要求逐漸提高，其發(fā)展趨勢將逐漸走向智能駕駛的邏輯，面臨更多迭代與安全的平衡問題。

智能駕駛系統(tǒng)在迭代與安全的平衡上更為關(guān)鍵。以調(diào)車環(huán)節(jié)為例，快周期調(diào)車和慢周期調(diào)車需要采用不同的策略。快周期調(diào)車時，應(yīng)充分利用云端等技術(shù)手段提高效率，避免過度依賴上車調(diào)試；而對于一些設(shè)備昂貴、生態(tài)不支持上云且對功能嚴(yán)謹(jǐn)性要求高的情況，則需要上車進(jìn)行嚴(yán)謹(jǐn)測試。這就要求團(tuán)隊(duì)在處理不同任務(wù)時，要根據(jù)快慢周期的特點(diǎn)，采用不同的工作方式和管理邏輯。

在軌跡規(guī)劃方面，大模型生成軌跡體現(xiàn)了快迭代的特點(diǎn)，而底層設(shè)置的安全邊界則屬于慢周期部分。安全邊界用于校驗(yàn)軌跡，若軌跡不滿足邊界條件，則觸發(fā)降級策略，確保系統(tǒng)安全。這種快慢結(jié)合的方式，在保證系統(tǒng)快速迭代的同時，保障了安全性。

AEB等傳統(tǒng)汽車安全功能，在現(xiàn)代汽車系統(tǒng)中扮演著安全邊界的角色。它們不會直接觸發(fā)，只有在問題出現(xiàn)不可控的情況下才會啟動，與智能駕駛等快迭代功能相互配合，共同保障汽車行駛安全。從硬件層面看，MPU(微處理器單元)由于計算復(fù)雜性高、功能安全等級低，更適合快迭代的系統(tǒng)設(shè)計；而MCU(微控制器單元)則大多用于功能安全邊界類系統(tǒng)和降級處理系統(tǒng)。在業(yè)務(wù)邏輯分解和團(tuán)隊(duì)分配時，必須充分考慮這些硬件特性，避免將不匹配的系統(tǒng)放在同一個團(tuán)隊(duì)，以免引發(fā)價值觀沖突和工作矛盾。

四、功能安全與功能實(shí)現(xiàn)的關(guān)系及原則

功能安全系統(tǒng)與主功能實(shí)現(xiàn)的分離

功能安全系統(tǒng)不應(yīng)參與主功能實(shí)現(xiàn)，這是確保系統(tǒng)穩(wěn)定和安全的重要原則。這一原則與管理學(xué)中的邊界管理理念相似。在管理中，領(lǐng)導(dǎo)者可以給予下屬一定的自主空間，讓其自主決策和行動，但當(dāng)下屬的行為觸及預(yù)設(shè)的紅線時，領(lǐng)導(dǎo)者應(yīng)及時接管管理權(quán)。在汽車系統(tǒng)中，功能安全系統(tǒng)就如同領(lǐng)導(dǎo)者的否決權(quán)，它不干涉主功能的正常實(shí)現(xiàn)過程，但當(dāng)主功能出現(xiàn)可能危及安全的情況時，功能安全系統(tǒng)必須立即發(fā)揮作用，對系統(tǒng)進(jìn)行控制和調(diào)整。

在實(shí)際的汽車開發(fā)工作中，組織架構(gòu)和團(tuán)隊(duì)協(xié)作對這一原則的實(shí)施有著重要影響。如果團(tuán)隊(duì)成員對功能安全和功能實(shí)現(xiàn)的認(rèn)知不一致，組織架構(gòu)不能有效支持兩者的分離，那么就很難實(shí)現(xiàn)這一原則。例如，當(dāng)一個團(tuán)隊(duì)中既包含負(fù)責(zé)安全的人員，又包含負(fù)責(zé)體驗(yàn)的人員，且他們的認(rèn)知和職責(zé)劃分不清晰時，就容易出現(xiàn)快不上去、慢不下來的問題，導(dǎo)致整個系統(tǒng)的效率和安全性受到影響。

功能安全邊界的雙重作用

功能安全邊界不僅是車上功能安全的保障，也是差異篩選的源頭。在汽車系統(tǒng)運(yùn)行過程中，功能實(shí)現(xiàn)系統(tǒng)不斷變化以適應(yīng)外部環(huán)境的不確定性，而功能安全系統(tǒng)則像一個穩(wěn)定的錨點(diǎn)。當(dāng)功能實(shí)現(xiàn)系統(tǒng)的運(yùn)行觸發(fā)了功能安全邊界時，就會產(chǎn)生差異數(shù)據(jù)。這些數(shù)據(jù)對于功能實(shí)現(xiàn)系統(tǒng)來說至關(guān)重要，它們可以促使系統(tǒng)反思自身的運(yùn)行狀態(tài)，進(jìn)行迭代和改善，從而遠(yuǎn)離安全邊界。

這種差異數(shù)據(jù)在大模型中具有重要意義，類似于大模型中的“對齊”概念。功能安全系統(tǒng)最好的狀態(tài)是永遠(yuǎn)不被觸發(fā)，這意味著功能實(shí)現(xiàn)系統(tǒng)已經(jīng)相對穩(wěn)定。通過功能安全邊界的雙重作用，實(shí)現(xiàn)了功能實(shí)現(xiàn)系統(tǒng)的快速迭代與功能安全系統(tǒng)的穩(wěn)定保障之間的平衡，滿足了汽車系統(tǒng)快慢周期的需求。

五、實(shí)例分析:摩拜自動駕駛系統(tǒng)設(shè)計

摩拜的自動駕駛系統(tǒng)設(shè)計在處理迭代與安全的關(guān)系方面具有一定的借鑒意義。該系統(tǒng)將自動駕駛功能分為兩個獨(dú)立的系統(tǒng):一個是基于相機(jī)的純視覺快迭代系統(tǒng)，適用于低成本的L2系統(tǒng)。相機(jī)配合相關(guān)模型和規(guī)控算法，能夠快速迭代，滿足市場對大量L2系統(tǒng)的需求，實(shí)現(xiàn)數(shù)據(jù)的快速收集和功能的快速優(yōu)化；另一個是包含雷達(dá)等功能安全傳感器的系統(tǒng)，用于更高安全等級的L3系統(tǒng)。當(dāng)相機(jī)系統(tǒng)運(yùn)行出現(xiàn)問題，觸碰到安全邊界時，安全系統(tǒng)會立即介入，通過降級策略保障車輛安全，并將相關(guān)數(shù)據(jù)上傳至云端進(jìn)行再訓(xùn)練。

這種設(shè)計方式實(shí)現(xiàn)了兩個系統(tǒng)的解耦，使得快迭代系統(tǒng)能夠?qū)Ｗ⒂诠δ軐?shí)現(xiàn)和快速更新，而安全系統(tǒng)則負(fù)責(zé)保障車輛的安全運(yùn)行。同時，兩個系統(tǒng)之間形成了差異識別結(jié)構(gòu)，通過數(shù)據(jù)交互和反饋，不斷優(yōu)化整個自動駕駛系統(tǒng)的性能和安全性。與PUA現(xiàn)象相對比，摩拜系統(tǒng)中的安全系統(tǒng)就如同一個穩(wěn)定的錨點(diǎn)，使得整個系統(tǒng)不會輕易受到外部干擾而偏離正常運(yùn)行軌道。

六、功能安全的層次結(jié)構(gòu)及系統(tǒng)關(guān)系

ISS定義了一系列類似于防御性駕駛策略的規(guī)則，在汽車系統(tǒng)中起著重要的功能安全保障作用。在車輛行駛過程中，ISS根據(jù)感知得到的結(jié)果，對模型做出的決策進(jìn)行約束和控制。當(dāng)模型給出的決策可能導(dǎo)致危險情況時，ISS會阻止該決策施加到執(zhí)行策略中，確保車輛行駛安全。

ISS體現(xiàn)了功能安全的層次性。在汽車的硬件電子電器架構(gòu)或控制器架構(gòu)中，功能安全系統(tǒng)和功能體驗(yàn)系統(tǒng)通常運(yùn)行在不同的控制器中，它們之間構(gòu)成了安全邊界和安全體驗(yàn)的關(guān)系。從算法層面的決策到基于第一性原理的規(guī)則，各個層次之間相互配合，共同保障系統(tǒng)的安全性。即使某個位置出現(xiàn)單點(diǎn)失效，也不至于導(dǎo)致整個系統(tǒng)崩潰，就像人體細(xì)胞在面對各種病菌和異常情況時，通過多層次的防御機(jī)制維持身體的正常運(yùn)轉(zhuǎn)一樣。

此外，在整個汽車系統(tǒng)中，安全系統(tǒng)對實(shí)現(xiàn)系統(tǒng)具有絕對控制權(quán)。功能安全系統(tǒng)關(guān)心的是決策信息、執(zhí)行信息和控制信息的最高安全等級和決策權(quán)。在信息交互過程中，功能安全系統(tǒng)優(yōu)先獲取所需信號，只有在其確認(rèn)安全后，才會允許其他系統(tǒng)使用這些信號。如果功能安全系統(tǒng)對某些決策存在異議，它的決策將具有最終決定權(quán)。

而功能實(shí)現(xiàn)系統(tǒng)雖然負(fù)責(zé)具體業(yè)務(wù)的實(shí)施，但通常沒有裁決權(quán)。這種控制權(quán)和信息交互的原則，確保了在系統(tǒng)設(shè)計和運(yùn)行過程中，安全始終處于首要地位，避免出現(xiàn)體驗(yàn)系統(tǒng)抑制功能安全系統(tǒng)的情況，防止因功能實(shí)現(xiàn)系統(tǒng)的故障而導(dǎo)致功能安全系統(tǒng)失效，保障了整個汽車系統(tǒng)的穩(wěn)定和安全。

七、系統(tǒng)分類及迭代更新機(jī)制

在汽車系統(tǒng)中，可將其分為配置系統(tǒng)、業(yè)務(wù)系統(tǒng)和診斷系統(tǒng)。業(yè)務(wù)系統(tǒng)是汽車每時每刻都在運(yùn)行的核心系統(tǒng)，負(fù)責(zé)實(shí)現(xiàn)各種具體功能。當(dāng)業(yè)務(wù)系統(tǒng)出現(xiàn)問題，導(dǎo)致安全系統(tǒng)和業(yè)務(wù)系統(tǒng)之間產(chǎn)生矛盾時，診斷系統(tǒng)會被觸發(fā)。診斷系統(tǒng)的核心任務(wù)是對問題進(jìn)行反思和復(fù)盤，獲取相關(guān)數(shù)據(jù)，并將這些數(shù)據(jù)上傳至云端。

云端系統(tǒng)根據(jù)上傳的數(shù)據(jù)總結(jié)經(jīng)驗(yàn)，更新業(yè)務(wù)系統(tǒng)。更新后的業(yè)務(wù)系統(tǒng)再通過配置系統(tǒng)應(yīng)用到汽車中，實(shí)現(xiàn)整個系統(tǒng)的迭代更新。這種迭代更新機(jī)制，通過不同系統(tǒng)之間的協(xié)同工作，不斷優(yōu)化汽車系統(tǒng)的性能和安全性，使其能夠更好地適應(yīng)市場需求和技術(shù)發(fā)展。

在L3及更高等級的自動駕駛功能中，對功能安全的等級要求極高。對于大模型在安全系統(tǒng)中的應(yīng)用，目前存在一定的爭議。從理論上講，體驗(yàn)系統(tǒng)可以使用大模型來實(shí)現(xiàn)快速迭代，因?yàn)榇竽Ｐ突求w驗(yàn)類系統(tǒng)迭代最快的方式，并且安全可以由獨(dú)立的安全系統(tǒng)保障。然而，對于安全系統(tǒng)本身能否使用大模型，目前仍存在技術(shù)難題。當(dāng)下的大模型，如ChatGPT，存在“幻覺”等無法徹底解決的問題，這使得其在安全系統(tǒng)中的應(yīng)用受到限制。但研究人員認(rèn)為，未來可能存在能夠解決這些問題的模型，這也是當(dāng)前汽車安全領(lǐng)域最前沿的研究方向之一。

八、汽車行業(yè)發(fā)展中的文化與平衡

在汽車行業(yè)的發(fā)展過程中，互聯(lián)網(wǎng)文化和汽車文化相互交織?；ヂ?lián)網(wǎng)文化強(qiáng)調(diào)快速迭代、創(chuàng)新和靈活性，而汽車文化注重質(zhì)量、安全和穩(wěn)定性。這兩種文化在汽車產(chǎn)品的不同維度上有所體現(xiàn)，例如在產(chǎn)品的軟件部分，更傾向于互聯(lián)網(wǎng)文化的快速迭代模式；而在硬件和一些規(guī)則的制定上，則遵循汽車文化的慢周期、高穩(wěn)定性原則。

在分析和處理汽車相關(guān)問題時，可借鑒《道德經(jīng)》中“道生一，一生二，二生三，三生萬物”的思想。理解汽車行業(yè)發(fā)展的背景和目的，明確互聯(lián)網(wǎng)文化和汽車文化的核心觀點(diǎn)及其在產(chǎn)品各個維度上的映射關(guān)系。對于從事汽車行業(yè)的人員來說，在處理熟悉的業(yè)務(wù)時，經(jīng)驗(yàn)和方法論能夠幫助快速決策；但當(dāng)面臨復(fù)雜、矛盾的決策時，從最基礎(chǔ)的層面重新梳理問題，有助于更好地把握整體情況，做出合理的決策。

在硬件和規(guī)則邏輯方面，它們屬于慢周期部分，但卻是軟件轉(zhuǎn)型和大模型應(yīng)用的前置條件。在智能化產(chǎn)品的開發(fā)中，要注重汽車和互聯(lián)網(wǎng)元素的平衡，以及可控性和可迭代性的平衡，各占50%左右，確保產(chǎn)品既具有創(chuàng)新性和靈活性，又能保證安全性和穩(wěn)定性。

從第一階段到第二階段，汽車行業(yè)經(jīng)歷了從傳統(tǒng)思維向互聯(lián)網(wǎng)思維的轉(zhuǎn)變，迭代與安全的矛盾逐漸凸顯并成為關(guān)鍵問題。在第二階段，通過建立快慢周期系統(tǒng)的解耦策略、明確功能安全與功能實(shí)現(xiàn)的關(guān)系等方式，為解決這一矛盾提供了思路和方法。這些成果不僅為當(dāng)前汽車開發(fā)工作提供了指導(dǎo)，也為向以大模型為特征的第三階段發(fā)展奠定了堅(jiān)實(shí)基礎(chǔ)。在未來的汽車行業(yè)發(fā)展中，持續(xù)關(guān)注和優(yōu)化迭代與安全的平衡關(guān)系，將是推動汽車技術(shù)不斷進(jìn)步、產(chǎn)品不斷升級的核心動力。