7.2 软件定义汽车

7.2 软件定义汽车背景下的 AUTOSAR

本节摘要：软件定义汽车把汽车从机械定义推向轮上的分布式计算平台。AUTOSAR 既是基石也是被改造对象。张力有三：确定性对敏捷、封闭对开放、功能安全对联网强制。读完应能说明 SDV 不是用 Adaptive 替换 Classic，而是一次架构主权再分配：主机厂要能定义服务契约并验证全栈。

先说结论

阅读完本节，你应当能够：

1. 用三组张力描述 SDV 对分层栈的压力。
2. 解释为何周更与微秒截止期必须分层放置。
3. 指出 OTA 与安全案例如何一起版本化。
4. 识别“黑盒交付”转向“白盒治理”时主机厂要握住什么。

一、从附属固件到可编程底座

底盘和动力曾是主轴。当车辆能远程改热管理策略、交付三年后打开新的座舱逻辑，本质已是分布式计算。标准诞生时的朴素目标是让不同供应商的模块在同一总线上说话。今天要让多家供应商、多类异构芯片上的服务，在时延约束下安全切换功能。这不是版本号加一，是控制权、开发范式、韧性边界和时间哲学的博弈。

三重张力。确定性与敏捷：应用组件要微秒响应，流水线要分钟级迭代。封闭与开放：Classic 编译期绑定，云原生要容器与声明式接口。功能安全与网络安全：物理硬隔离的高等级功能，与强制联网诊断同车。于是 SDV 背景下的 AUTOSAR 不是打补丁加云软件开发包，而是主权再分配：从完全委托一级供应商黑盒，转向主机厂定义契约、主导验证。标准成为数字围栏和可编程底座。

二、分层如何被重新使用

执行闭环仍应住在可证明格子里。可替换算法、界面、云协同住在服务世界。更新通道必须原子、可回滚、可灰度，否则周更是周炸。安全案例要随软件版本走：改了规划服务的输入时效，功能安全的最大年龄假设就要重评。只测新功能、不测安全假设，是 SDV 最贵的乐观。

异构芯片现实：同一功能可能在不同车型落在不同硅上。没有公共坐标系，每款芯片一套私有中间件，主机会失去定义权。分层的原初承诺在这里重新值钱：应用表达意图，中间翻译兑现，底下换硅。Adaptive 让翻译变成服务；Classic 让翻译变成生成函数。SDV 需要两者都在，而不是广告上只留一个。

图：SDV 生命周期

三、主权清单

主机厂应握住：跨域接口与数据类型、网关元数据规则、更新权限模型、诊断统一语义、安全案例基线。供应商握住：在契约内的实现质量和芯片适配。芯片厂握住：MCAL 与加速器能力的稳定行为。谁都不握契约，SDV 会变成各自 OTA 的拼盘，故障无法归因。

法规把联网和网络安全组织能力变成强制。架构上的安全启动和签名必须有对应流程：谁能签发、谁能撤回、事故如何追溯。模块打开不等于合规。

⚠️ 常见坑：把智驾软件仓库的发布节奏套到制动控制器上。底线栈的变更成本本来就该高。
💡 关键直觉：软件定义不是一切都可热改。它定义的是哪些层可热改、哪些层必须冷证明。

四、和未来叙事保持距离

原文展望过语义标准化、AI 原生、内生安全、智能工具。那些是方向。工程上此刻仍要先做到：接口有单位，网关有年龄，更新能回滚，配置能审。方向可以写在路线图，不能代替本周的完整性检查。私有框架若只是换皮少一层翻译，短期快，长期会在多供应商协作时把复用率重新打回百分之三点七那种水平。选择要清醒。

五、异构硅和发布节奏分层

同一功能在不同车型可能落在不同硅上。没有公共坐标系，每款芯片一套私有中间件，主机会失去定义权。分层原初承诺在这里重新值钱。主机厂握住接口、网关元数据、更新权限、诊断语义、安全案例基线；供应商握住契约内实现；芯片厂握住 MCAL 与加速器的稳定行为。谁都不握契约，SDV 变成各自升级的拼盘。

发布节奏必须分层。智驾软件仓库的周更，不能套到制动控制器上。底线栈变更成本本来就该高。改了规划服务的输入时效，就要重评功能安全的最大年龄假设。只测新功能、不测安全假设，是最贵的乐观。私有轻量框架可以更快，但失去网络效应时，第三款车型的集成成本会回到琥珀时代。选择要在第二款车之前做清醒，而不是在第三款车的复盘会上做。

问题：主机厂到底该自研什么才算握住主权？

握住接口、网关元数据规则、更新权限模型、诊断统一语义、安全案例基线。不必自研每一行感知算法，也不必自研每一颗芯片的驱动。自研一切是另一种琥珀：内部封闭。白盒治理是自研契约和验证权，让供应商在契约内竞争实现。竞争实现才会把复用率从百分之三点七往上抬。抬不起来时，先查契约有没有被私有结构体击穿，再查组织有没有把验证外包给“供应商说测过了”。

发布节奏分层是 SDV 里最得罪人的纪律。算法团队习惯周更，底盘团队习惯年更，两者都有道理，道理不能互相吞并。吞并发生时，要么制动控制器被套上智驾仓库的节奏，安全重评来不及；要么智驾被套上底盘节奏，软件定义名存实亡。分层放置的意思是：可替换服务走快节奏，但每次快节奏必须重评它碰过的时效、权限和网关假设；执行器栈走慢节奏，变更成本高是设计而不是落后。设计需要主机厂在发布会上向内解释，而不是只向外解释“我们也能 OTA”。向外解释很容易，向内解释要否决一次“顺便改一下底层”。顺便改底层会把快慢两种时间哲学搅在同一包里。同一包无法灰度，无法回滚到只撤回上层。无法部分回滚的包，是砖车的亲戚。亲戚不常来，来一次就够用。

把发布节奏分层写成发布手册的第一章，而不是附录。算法仓库周更，必须重评碰过的时效、权限、网关假设。执行器栈年更或按车型更，变更成本高是设计。设计要向内解释，向外只说我们也能远程更新是半句话。半句话会倒逼底层跟着周更。跟着周更会把两种时间哲学打进同一包。同一包不能部分回滚。不能部分回滚的包是砖车亲戚。亲戚来访一次就够。够了之后，手册应规定：碰执行器栈的变更走慢通道，即使它看起来只是一行配置。一行配置可能改了无效值或最大年龄。年龄一改，功能安全假设要重评。重评不是阻碍创新。创新放在可替换服务。服务可以快。快必须带证据包。证据包随版本走。走不到证据的快，是把案例当可消耗品。消耗品做不久。不久之后法规和组织能力会来问。问的时候半句话不够用。够用的是：哪些层可热改，哪些层必须冷证明。热改和冷证明同时存在，才是软件定义。定义若变成一切可热改，底线会在口号里融化。融化的底线仍会装液压。液压仍会听过期建议。过期建议来自快节奏里没重评的假设。假设没重评，不是因为团队懒，是因为手册把重评放在附录。附录没人读。第一章有人读。请把分层节奏放进第一章。
主权清单再具体一点。主机厂握住跨域接口、五字段规则、更新权限模型、诊断统一语义、安全案例基线。供应商握住契约内实现质量和芯片适配。芯片厂握住 MCAL 与加速器行为稳定。谁握住算法可以竞争。竞争实现才会把复用率往上抬。抬不起来时先查私有结构体有没有击穿契约，再查验证有没有外包成供应商说测过了。说测过了不是证据。证据是同一份描述生成的测试向量。向量能再生，主权才在。主权不在时，SDV 是各自 OTA 的拼盘。拼盘好看，故障无法归因。无法归因的故障会变成品牌事件。品牌事件会让人抛弃公共坐标系改用私有轻量框架。轻量框架第一款车快。第三款车会把琥珀再次凝固。凝固时集成成本按平方回来。回来的成本和当年嘲笑标准太重的时间，会在同一张表上见面。表会很难看。难看之前做清醒选择：留下契约还是留下速度神话。神话很酷。契约能搬家。搬家是 2003 年那张痛点清单真正想买的东西。东西到了 SDV 年代更贵，也更值得买。买的方式不是自研一切，是自研契约和验证权。验证权在构建里。构建红了应修描述。修描述是白盒治理的日常。日常比发布会更接近定义。定义汽车的是日常纪律，不是一次成功的远程点亮。点亮可以演示。演示不是生命周期。生命周期要回滚、要灰度、要重评。三要写进手册第一章。第一章请从否决顺便改底层开始。

灰度发布在车上不是百分比用户那么简单。一辆车是带执行器的安全系统，灰度必须以功能域和回滚单元为边界：规划服务可以按车队切片，制动标定不能按用户切片。切片错了，统计上的成功会掩盖底线栈上的一次不可回滚。不可回滚会把软件定义变成软件赌博。赌博在演示周看起来像勇气，量产年会看起来像召回。召回清单上若出现“更新包无法部分撤回”，根因通常不是加密算法，而是发布节奏没有分层，快慢两种变更打进了同一包。同一包看起来省事，实际把失败半径放到最大。

本节速览

• SDV 是主权再分配：握住契约和验证，而不是每一行码。
• 三张力：时间、开放、安全联网，都要分层放置。
• 更新带证据：安全假设随版本走。
• 异构硅更需要坐标系：否则每款芯片一座琥珀。
• 不是替换 Classic：是给上限和底线同时留位置。
• 法规要流程：模块开关不够。

下一节把理想压回产线：资源、调试、责任，以及几条已经验证过的配置纪律。