7.1 混合架构集成

7.1 混合架构集成

本节摘要：混合架构不是 Classic 与 Adaptive 的物理并排，而是时间语义、执行契约和安全边界的转译。网关要搬运的是带单位、时效、安全等级的意义。读完应能列出桥接时不可丢失的元数据，并说明为何概率性实时不能假装成可证明截止期。

阅读收获

阅读完本节，你应当能够：

1. 对比时间确定性与软实时两种契约。
2. 设计一条从轮速信号到规划服务的翻译路径。
3. 指出跨域指令回执行器时必须经过的许可与时效检查。
4. 区分数据管道拼接和契约感知中介。

一、从平台割裂到语义对齐

十年前标准被看成可复用的嵌入式基石；今天它更像桥头堡。高等级辅助驾驶、舱驾融合、服务化渗透整车之后，混合成为系统命题：关乎安全生命周期、交付节奏、算力调度。真正的混合是时间语义交织、执行模型协商、安全边界可说明、数据主权分层。毫秒级制动与秒级视觉推理可以共享一块域控制器硅，但必须各行其道，又能在接管时同步上下文。像指挥乐队：一组守节拍器，一组即兴，指挥要让双方听懂对方的语言，而不是让萨克斯去运弓。

Classic 建立在固定优先级内核上：运行实体要在绝对窗口完成，最坏执行时间可分析；通信基于静态 PDU。双重确定性是高等级功能的温床。Adaptive 跑在 POSIX 兼容内核上，通信常是发布订阅加服务质量。调度器不给硬上限，服务质量给概率。价值在动态部署、推理、界面。第一重挑战不是插上网线，而是建立可验证的语义翻译：制动压力请求到达 Adaptive 时，不应只变成一个浮点字段，而应带是否在安全通道、时间戳是否同步、最大年龄是否超过失效阈值。元数据不流动，桥接就没有功能安全意义。

图：混合网关桥

二、中介必须能做什么

原理句：混合不是管道拼接，是安全契约转译加时间锚定。中介要读取、验证、必要时协商两端契约，并插入补偿：超时降级、快照回滚、质量策略重协商。补偿必须预设。现场临时 if 会成为不可测路径。

轮速从 Classic 到感知融合：保持工程单位，标注采样时刻，声明若超过某毫秒则视为无效。规划给出轨迹或扭矩建议回 Classic：Classic 侧必须再做许可、饱和、时效，不得因为“智能侧说了”就放弃自己的安全状态。执行器的最后防线仍是可证明栈。这不是保守，是契约诚实：Adaptive 没承诺那个微秒上限。

整车服务总线的设想是在整车层做统一寻址与质量保障，让一次调用既能到制动控制器也能到导航。理想尚未完全变成每个项目的现成模块。工程上仍常是显式网关加受控清单。不要等总线名词落地才开始列元数据；元数据清单今天就能写进接口描述。

三、失败剧本

发现失败、网关过载、时钟失步、认证失败，四条都应有剧本。过载时优先保执行链信号，丢弃可延迟的日志上传。时钟失步时扩大或关闭新鲜性窗口都要显式，并进诊断。认证失败既不能放行也不能无限制锁死转向，需与第 6 章共同定义。

测试必须包含“过期数据”“无效值”“对方进程重启两秒”三类。只测快乐路径的混合架构，会在第一次 OTA 后半夜失败。

⚠️ 常见坑：用共享内存在两套操作系统之间“零拷贝提速”，同时丢掉时效和权限。速度换来的是不可审计。
💡 关键直觉：网关是安全相关组件，不是线束附件。它要有自己的等级、测试和诊断。

四、组织接口

主机厂应拥有跨域接口描述；供应商交付符合描述的一侧实现。若两边各带私有结构体到联调现场，混合会退回百分之四十一那种集成炼狱。Foundation 和系统层 ARXML 是交卷格式。项目计划要把网关团队放在架构核心，而不是放在“网络组顺便做一下”。

五、测试矩阵和组织位置

混合测试必须包含过期数据、无效值、对端进程重启数秒、时钟失步、认证失败、网关过载。只测快乐路径，会在第一次远程升级后半夜失败。过载时优先保执行链信号，丢弃可延迟日志。失步时新鲜性窗口如何变化要显式并进诊断。共享内存零拷贝若丢掉时效和权限，速度换来的是不可审计，应禁止作为默认方案。

网关是安全相关组件，要有等级、测试、诊断事件，不能当线束附件。主机厂应拥有跨域接口描述，供应商交付符合描述的一侧。现场私有结构体是倒退回集成炼狱。把网关团队放在架构核心，而不是网络组顺便做一下。整车服务总线若尚未落地，显式网关加受控清单仍然可用。元数据清单今天就能写进接口，不必等待新名词。

问题：规划建议回到执行器时，为什么还要再许可一遍？

因为 Adaptive 没有承诺那个微秒上限，也未必运行在同一安全等级。再许可、饱和、时效检查，是 Classic 作为最后防线的职责，不是对智能的不信任表演。不信任表演会把网关做成永久拒绝。职责是：建议可以新，执行必须仍在剧本内。剧本包括最大年龄和无效值。丢失年龄等于用过期世界做当前决策。当前决策若直接推动液压，过期就是事故机制，不是数据质量问题。

把网关当安全件，意味着它有自己的等级、诊断事件、测试向量和配置基线。线束附件没有这些。没有这些的网关会在过载时静默丢执行链信号，或在时钟失步时把过期规划当当前。静默是混合架构最差的失败形态，因为两边都以为对方还在履行契约。履行的错觉比断开更危险，断开至少会触发发现失败和降级。错觉会让液压按过期世界动作。过期世界在测试矩阵里必须作为一等公民：最大年龄超限、无效编码、对端重启、认证失败、过载。五类注入不过，网关不得宣称完成。完成的定义不是 ping 得通，是契约破裂时剧本开演。剧本开演要被诊断看见，看见才能售后，售后才能改进下一版元数据。元数据清单因此不是文档装饰，是测试入口。入口不在，测试会退回快乐路径。快乐路径很绿，绿和安全案例的关系，第 6 章已经警告过：绿可能只是没注入。

把网关测试矩阵当成准入门禁而不是加分项。最大年龄超限、无效编码、对端重启、认证失败、过载，五类注入不过，不许宣称桥接完成。完成的定义是契约破裂时剧本开演，并且诊断能看见开演。看不见的开演等于没开演。没开演时两边都以为对方还在履约。履约错觉会让液压按过期世界动作。过期世界是混合架构特有的事故机制，比单纯丢帧更阴险，因为系统仍在动。仍在动会让人觉得功能正常。正常是错觉的颜色。颜色要在矩阵里被故意涂脏。涂脏之后看是否降级、是否饱和、是否拒绝回程。回程再许可不是对智驾的侮辱，是 Classic 作为最后防线的职责。职责若被“智能侧说了”取消，双平台就变成单平台，单的还是那个没有截止期证明的。没有证明的执行器仍会装车，只是案例变成希望。希望开不了量产。量产要网关有自己的等级和事件。有等级意味着网关配置进基线，生成进构建，变更走重评。重评会慢。慢是安全件的正常速度。把网关当线束附件才会快。快的附件会在第一次 OTA 后半夜成为主因。主因分析若只能说网络问题，说明元数据从未成为测试入口。入口应是五字段。五字段缺一，评审打回。打回得罪人。得罪人是混合这一节对进度文化的义务。义务不履行，第 4 章的契约对比会停留在课堂。课堂上的对比很漂亮。漂亮救不了过期轨迹推动的液压。液压不看课堂。液压看年龄字段还在不在。在，才谈得上翻译。翻译才谈得上混合。混合才谈得上整车。整车不是两套栈共用一个车身。共用车身谁都会。会翻译的才算集成。
组织上把跨域接口从联调临时组收回架构组。临时组解散后结构体还在，主人不在。主人不在的结构体无法进系统描述，无法被第二家工具守恒，无法在第三款车再生。再生失败会让人怀疑混合是否值得。值得与否取决于词典有没有主人。主人维护 Foundation 词根和五字段。维护是日常，不是项目结尾的文档任务。日常才能让自动泊车调转向不再要求现场发明。现场发明是百分之四十一的种子。种子在混合项目里更容易发芽，因为两边语言本来就不同。不同要用词典，不要用天才。天才会离职。词典会留下。留下的词典让网关团队可以换人。换人后测试矩阵仍在。仍在的矩阵比仍在的英雄更像工业。工业是 AUTOSAR 联盟当初想要的东西。东西不是英雄史诗。史诗写在原文抒情里。工业写在五字段和注入里。注入请从过期数据做起。做起之后再谈服务总线名词。名词可以等。过期数据不等。不等的东西应先被门禁看见。看见了，本章才不是新闻综述。新闻综述不配放在第 7 章。第 7 章应能否决一次先跑通。否决词是：年龄字段呢。四个字。四个字比一篇愿景有用。

核心回顾

• 混合是转译：不是并排插电。
• 元数据清单：单位、年龄、等级、无效、时钟。
• 回程再许可：智能建议不能直接当执行。
• 失败要有剧本：过载、失步、发现失败。
• 网关是安全件：要测试和诊断。
• 组织拥有接口：现场私有结构体是倒退。

下一节看软件定义汽车如何把这套翻译从一次量产配置，变成生命周期里反复发生的事。