4. 汽车电子系统架构设计

架构设计是汽车电子系统工程从需求走向实现的关键桥梁。需求告诉我们“系统必须做什么”，架构则回答“系统由哪些部分构成、各部分如何协作、部署在哪些硬件资源上”。在MBSE（基于模型的系统工程）语境下，架构不是一张静态框图，而是一组可追溯、可验证、可演化的模型元素及其关系。本节围绕逻辑架构、物理架构、功能分配、接口定义、架构权衡、AUTOSAR分层衔接以及架构视图生成展开，帮助读者建立从功能到部署的完整设计链路。

逻辑架构与物理架构：两种视角，同一系统

逻辑架构描述系统的功能分解与逻辑交互，不关心具体实现载体。它通常由逻辑组件、端口、连接器和逻辑接口组成。例如，一个“自适应巡航控制”系统在逻辑架构中可分解为“目标感知”“跟车决策”“纵向控制”“人机交互”等逻辑组件，组件之间通过“目标列表”“加速度请求”“状态显示”等逻辑接口交互。逻辑架构的核心价值在于：它让功能职责清晰、接口语义明确，并且可以独立于硬件进行仿真验证。

物理架构则描述系统的实际部署形态，包括ECU、传感器、执行器、总线、线束、供电等物理节点及其连接关系。同一个逻辑组件可能部署在一个ECU上，也可能跨多个ECU分布；一个物理ECU也可能承载多个逻辑组件。物理架构必须考虑算力、内存、通信带宽、功耗、成本、安装位置、散热与功能安全等级等约束。

两者之间的关系不是简单的“映射”，而是需要经过功能分配来建立可追溯的对应。逻辑架构回答“功能如何组织”，物理架构回答“功能部署在哪里”，功能分配则是连接两者的桥梁。

功能分配：从逻辑组件到物理资源

功能分配的本质是决定每个逻辑功能由哪个物理节点执行，以及节点之间需要交换哪些信息。分配结果直接影响通信负载、实时性、安全性和成本。以“自动紧急制动”为例，其功能分配可能如下：毫米波雷达负责目标检测并输出目标距离与相对速度；前视摄像头负责车道线与行人识别；域控制器融合多传感器目标并计算碰撞时间TTC；若TTC低于阈值，域控制器通过CAN FD向ESP发送减速请求；ESP执行制动并回传执行状态。

在MBSE中，功能分配通常通过“分配关系”或“满足关系”表达。分配时需关注几个关键判断：该功能是否有硬实时要求？是否涉及功能安全ASIL等级？通信延迟是否可接受？算力与内存是否足够？例如，将行人识别算法从域控制器下放到摄像头内部，可降低总线负载，但会限制算法迭代灵活性；反之，集中式融合性能更强，但对域控制器算力和功能安全等级要求更高。

接口定义：让协作可验证

接口定义是架构设计中最容易被低估却最影响集成效率的环节。一个完整的接口定义至少应包含：接口名称与唯一标识、方向（发送/接收）、数据类型与取值范围、更新周期或触发方式、单位与量纲、初始值与无效值、超时与错误处理策略、以及安全等级。以“加速度请求”接口为例，可定义为：名称AccelReq，方向域控制器→ESP，数据类型int16，单位0.01 m/s²，范围-500~500，周期10 ms，无效值0x7FFF，超时阈值30 ms，ASIL D。

在MBSE模型中，接口通常以端口和接口块的形式存在，并可与需求、测试用例建立追溯。接口定义越精确，后续自动代码生成、总线矩阵生成和HIL测试配置就越顺畅。反之，接口模糊会导致集成阶段大量返工。

架构权衡：没有最优，只有最合适

架构设计本质上是一系列权衡。常见的权衡维度包括：集中式与分布式、性能与成本、灵活性与确定性、复用性与优化程度、开发速度与验证充分性。例如，集中式域控制器可以减少ECU数量、降低线束复杂度，但单点失效风险更高，且对散热和算力要求更苛刻；分布式架构可靠性高、责任清晰，但总线负载和成本上升。

在MBSE中，架构权衡可以通过参数化模型和权衡矩阵来支持。例如，针对“目标融合功能部署位置”这一决策，可建立候选方案A（域控制器集中融合）、方案B（雷达内部融合）、方案C（摄像头内部融合），并从延迟、算力占用、总线负载、功能安全、开发成本五个维度打分。评分不是目的，目的是让决策依据显性化、可追溯、可复盘。

AUTOSAR分层架构与MBSE的衔接

AUTOSAR为汽车电子软件提供了标准化分层架构：应用层（SWC）、运行时环境（RTE）、基础软件层（BSW），其中BSW又包含服务层、ECU抽象层、微控制器抽象层和复杂驱动。MBSE与AUTOSAR的衔接主要体现在三个层面：

• 逻辑架构到SWC：逻辑组件可映射为AUTOSAR软件组件，端口和接口映射为Sender/Receiver或Client/Server端口。
• 功能分配到SWC部署：功能分配结果决定SWC到ECU的映射，进而影响RTE生成和通信矩阵。
• 接口定义到ARXML：MBSE中的接口模型可导出为ARXML，用于配置BSW和生成RTE。

这种衔接让架构模型不再是“文档”，而成为可驱动下游配置和代码生成的工程资产。需要注意的是，MBSE模型与AUTOSAR模型之间应建立明确的映射规则和同步机制，避免两边不一致。

架构视图生成：让不同角色看到该看的内容

一个复杂的汽车电子系统架构，不可能用一张图让所有角色都满意。系统工程师关注功能分解与接口，软件工程师关注SWC与RTE，硬件工程师关注ECU与总线拓扑，安全工程师关注ASIL分解与安全机制，测试工程师关注可观测点和激励点。因此，架构视图生成的核心是“按关注点裁剪”。

在MBSE中，视图通常由模型查询和过滤自动生成。例如，从同一架构模型中，可以生成功能分配视图、ECU部署视图、总线通信视图、安全机制视图和测试接口视图。视图之间共享同一数据源，保证一致性；同时每个视图只呈现特定角色需要的信息，降低认知负担。

一个可参考的架构设计检查清单

在实际项目中，架构设计完成后可用以下清单快速自检：逻辑组件是否覆盖全部功能需求？每个逻辑接口是否有明确的数据类型、方向、周期和无效值？功能分配是否覆盖所有逻辑组件，且每个分配都有依据？物理节点是否满足算力、内存、通信和功能安全约束？AUTOSAR SWC与逻辑组件的映射是否完整？接口模型是否可导出ARXML？是否为不同角色生成了对应视图？架构权衡决策是否记录了候选方案、评分依据和最终结论？