斑马智行王恺：做操作系统不能单打独斗

　　[汽车之家 行业] 5月16-18日，2023中国（亦庄）智能网联汽车科技周暨第十届国际智能网联汽车技术年会在京举行，大会主题涵盖了智能网联汽车战略引领、技术创新、生态赋能、商业化推进、跨界融合等多个版块，同时聚集了全球顶级专家、政策制定者、产业领袖、投资机构等多方人员的参与，旨在进一步促进智能网联汽车技术进步与商业化应用。

　　在“协同创新，共筑软硬融合开放型生态”主题峰会上，斑马智行副总裁、智驾OS总架构师王恺发表了演讲。

以下内容为现场演讲实录：

　　今天分享议题有三方面，第一给行业专家老师和朋友介绍一下斑马在智能汽车操作系统的概览，第二重点介绍一下智驾操作系统就是AliOS Drive技术实践，希望各位专家老师多多指导，第三分享一下开放产业合作的实践。

　　斑马智驾是汽车操作系统专业公司，我们专业做操作系统，团队角度做了13年的操作系统，从最早移动操作系统到万物互联，最终聚焦到汽车，有近2000人研发团队。操作系统总代码行数超过2亿多行，同时操作系统相关专利也有2500多项，因为操作系统要往下和硬件合作，我们和十多家主流芯片企业达成合作，操作系统不仅在实验室在POC我们还要量产上车，和15家汽车品牌量产合作，路上跑操作系统装载量超过300万辆。

　　技术操作系统概括为操作系统三部曲，第一是2015年开始，当时斑马发布车机操作系统，装载在上汽荣威第一个互联网汽车上，硬件发布分布式ECU到计算能力比较强，可以承载更多互联网应用内容的时候，对于语音交互上车联网有强烈需求南北硬件发展水平和应用需求推动之下，我们有车机操作系统，去推动达成互联网汽车这样一个产品形态。

　　第二阶段是智能座舱，智能座舱发展随着底层硬件，从分布式ECO到域集中、分布式域控硬件架构，由于硬件能力多屏、跨屏各种舱内设备丰富，要求推动了座舱操作系统，能把硬件资源整合起来，形成统一的用户体验，并且达到高效利用硬件，我们推出了智能座舱操作系统叫AliOS Cyber，已经量产，多屏、跨屏多模态的交互，以及车内空间新应用，比如高质量3D的游戏、元宇宙相关的应用。

　　这里基于Hypervisor Cyber支撑各种智能座舱应用场景，随着智舱应用的发展，AI推理和虚拟机性能优化相关需求也推动了斑马在操作系统虚拟机和AI推理引擎等方面技术进步，当时在这两项技术里，在专业操作系统包括编程语音顶会也把成果进行发表。

　　进入到现在第三步，跨域融合和智能驾驶是关键应用场景，底层有更强大智驾域控，无论算力还是带宽吞吐量，之上有更好融合智能驾驶体验、辅助驾驶体验，更希望做到安全，人和车能够人车合一。待会儿我会详细介绍内核技术。

　　三部曲并不是终局，车云融合的计算，希望在不远未来给大家分享相关技术落地和实践。

　　回到AliOS Drive操作系统，做操作系统这么多年有个共识，做操作系统不能单打独斗，除了自身精进武艺外，越是做操作系统越是眼睛向外，不能闭门造车。所以AliOS Drive积极拥抱中国方案产业共识，从架构到车载计算基础平台参考，以及分层解耦、跨域共用，无疑都在架构设计和技术实践中得到体现，我们认为只有拥抱产业共识和产业同仁们一起，才能把操作构建构建好，如果大家构建操作系统没有产业共识，很难进行规模化，支持应用挑战、支持硬件发展挑战。

　　在这里核心AliOS Drive设计来说，基于当下的挑战以及未来可能出现的挑战，我们是用双核驱动的架构解决自动驾驶领域对系统提出四大挑战，智能驾驶我们知道挑战非常多，我们凝练总结成四大挑战。

　　第一是功能安全、实时计算与高性能计算综合调优，并且优化软硬支撑。新传感器、AI、大数据大流量数据流传和处理支撑。第三自动驾驶应用生态是复杂的，我们做一个操作系统不能不考虑生态兼容和持续发展，我们既不可能停止只兼容现有应用，而不考虑未来应用发展趋势，但是也不可能一步吃个胖子，一步做个新生态。第四是智能驾驶安全，智能驾驶具有社会性、敏感性，所以智能驾驶操作系统安全、信息和数据安全与生俱来，必须根植于操作系统的设计，在这里做了双核的架构，在安全域用自研微内核承载相关安全敏感负载和应用，性能域基于主流进行性能改造，安全性得到了覆盖。

　　在这里很重要的一点，我们打造底盘是双核，如果各自为政无法进行融合的话，也不能很好承载上层软件对我们的要求，所以需要融合的机制，这里通过help weather有效融合，不仅是分区隔离，需要两个融合硬件诉求和相关操作进行有效融合，这是整体架构。符合中国方案要求也是分层解耦，同时双核驱动跨域共用。

　　在这里跟大家汇报一下双核融合我们做的技术实践，微内核TCB比较小，更容易做到安全、更容易做到实时、确定性，更能通过车规认证达到车规的要求，已经通过SLD产品认证的微内核构建，这里要承载智能驾驶复杂应用，天生也是有缺陷的，首先是性能综合优化，我们在性能综合优化领域需要做很多工作。

　　新的操作系统生态是弱点，所以设计操作系统之初我们非常重视生态兼容，一个新操作系统首先考虑把现有应用更好、更完整、更高性能跑起来，这里选中兼容层面在Linux系统调用和Linux API层面做兼容，我们投入大量的力量，比一般同行想象多得多的力量构建PREEMPT，以及Linux API兼容性，在这里覆盖了API标准80%以上，80%以上覆盖率体现应用兼容性什么效果呢？我们可以把TCIP协议战完全跑起来，把性能发挥起来跑起来，而不是跑轻量级TCIP协议战，我们能够把几百兆开源软件不修改一行代码，能够在Linux以工作状态跑下来，我们也支持车行业应用总线的中间件，我们都能够迅速地跑起来，兼容开发者耳熟能详调试工具，在开源软件用的工具更好支持开发者。

　　目前正在攻关行业难点在哪里呢？国内微内核很难支持复杂智能驾驶应用，特别是感知、推理相关的应用，因为感知、推理应用软件站比较丰富比较丰富，同时计算量比较大，现在已经把相关智能驾驶规划控制和相关软件跑在了RTOS上，现在正在攻关，和芯片合作伙伴攻关支持国产芯片完整AI技术站，我相信在不远未来给各位能汇报这方面的成果。

　　这是RTOS一级，Linux本身对生态支持与生俱来现在是非常好的，同时Linux系统高性能能够更加容易做到，但是Linux放在车上有它本身问题，在于实时性、稳定性和性能综合优化，通常车用Linux会打上社区制时，但会带来稳定性隐患，也会让Linux系统性能天花板立刻降比较大的数值，通过实验和合作伙伴量产打磨过程中经历过的。

　　在这里我们聚焦力量在哪里呢？在做综合的调优，让具有实时性Linux内核更加稳定，同时让性能降级问题能够得到解决，相比于社区普通的内核，性能能够节约30%的提升，同时能解决带来稳定性问题。

　　目标是实时性对标社区实时内核，对标非主流Linux内核，Linux内核功能安全覆盖做探索，一是内核自身组件，自研组件功能安全设计开发，一是跟进探索，跟行业一起共同探讨安全C库和大功能软件的安全。

　　底层Hypesvisor，智能驾驶领域安全是第一性的要求，所以首先是安全，通过硬实施分区隔离，能够保证自动驾驶不同安全等级要求、不同算力等级要求能够得到资源保障，同时能够提供高效、安全的IPC，两个内核在实时运行时交流效率能够提升起来。在硬实时分区隔离的情况下，也能做到弹性资源利用、动态资源调度，这里看似是矛盾，但内中有很多细节要做技术攻关解决这个问题。

　　智能驾驶会有相关设备虚拟化的要求，尤其是车上运行模型比较多，负载种类比较多，可能对某些计算资源存在着共享的要求，这里高性能虚拟化也是集中力量投入的领域。

　　我快速过一下微内核RTOS的进展，硬件方面支持国产以及国外芯片，像TI的芯片，我们支持A盒、M盒、R盒，也知道英飞凌传统MCU。微内核功能安全等级是SAD，同时提供高速、高效IPC，提升基于微内核RTOS的性能，生态兼容性是从中间件、语言、算法生态软件到工具软件做全面支持，包括基于模拟化支持，也方便开发者用现有开发技术结合RTOS开发。

　　目前正在攻关AI软件，不仅让RTOS跑起完整AI站，特别是智能驾驶安全推理感知技术站，离不开芯片支持，也离不开上层软件的支持，我们分三步走。

　　第一接近实车POC验证，将国产芯片自带AI站能够跑起来，我们正在向第二步设计实际应用，应用场景考量是支持自动驾驶冗余感知和规划决策，安全基础之上希望给合作伙伴和客户有更多能力提供更优秀智驾体验。第三步在规划希望跟行业内芯片、试驾软件合作伙伴，共同构建Linux的安全支持。

　　我们进行安全隔离和相关组件研发，利用容器和内核深度资源隔离技术进行隔离，对实时性、稳定性和性能进行综合调优，第一是稳定性，Linux行业实践各位专家同仁深有体会，打上实时补丁Linux好像是带来现在威胁的生态系统，它的稳定性还是层出不穷的。

　　这里有三种方法实践，第一是最佳实践，实时补丁的引入对于Linux带来很多不稳定因素的改动，同时很多开发者包括驱动开发者并没有意识到实时补丁对于稳定性带来影响，以及开发过程中注意什么，这是面向内部开发者和上下游伙伴提供最佳实践。

　　同时提供静态和动态扫描空间，能够静态代码级和二进制级分布可能的稳定性数，以及动态可监控、捕捉非稳定情况的发生，比如锁的误用，低层级内核机制的隐患及

　　技术产品上，我们在自己操作系统Linux做了性能优化。

　　这个实验非常容易实现，打了实时补丁Linux极限天花板形态，很容易复现，天花板比主流非实时Linux下降30%左右，这里由于实时机制带来的影响，锁的可睡眠和内核相关机制，斑马在这里做了非常多的工作进行综合调优，这些测试数据性能和普通Linux相当，和社区打过补丁性能有30%的提升。

　　Hypervisor是融合底座，不仅提供性能、功能安全隔离，还要提供资源高效利用，同时要把信息安全、数据安全相关保障和支持融入到虚拟化底盘。我们有信息安全加固的子系统，我们有C端隔离、内存隔离。

　　总结而言，AliOS Drive基础系统目标为客户、为行业提供自动驾驶兼顾系统底盘。同时在中间件层面进行了相关探索和研发，重点提供几方面。

　　高性能安全数据通讯，安全变成语言自研DDS软件，提供对CP、AP、ROS2支持，能够支持跨芯片SOC和MCU。提供关键任务确定性保障框架，支持应用开发者在异构智能驾驶平台开发任务得到资源、计算和最坏执行时间的保障。同时在跨平台AI处理和加速框架以及通用算力加速框架上面也有相关技术和产品。

　　总而言之，刚才前面重点强调内核，我给大家汇报一下，做好智能驾驶操作系统，从上下系统化布局硬核能力，从地层编译工具链到算力内核到虚拟化再到DDS、通讯和确定性调度框架，算力加速框架，我们合作始终推行分层解耦、开放共创，底层和芯片，我们和芯片合作伙伴开放合作，构建芯片基线，降低OEM客户芯片切换成本，芯片合作伙伴也深度软硬共创，希望释放芯片潜能，提升OEM芯片成本效益。

　　在中间层，我们希望和OEM开放合作，帮助它可管可控、共性复用，帮助OEM客户进行联合共创。中间系统层面希望是开放合作、客观可控。

　　另外是生态，智能驾驶产品包含上千个软件包，上千个软件包也大量开源软件，在这里希望构建可源代码追溯智能驾驶外围软件生态，我们在今年成立了Automotive SIG，我们可以共感第三代车载软件生态，开发时可以快速安装、量产时可以按需集成，可以跟源代码级可追溯、可维护，在量产后能够更加快速感知实时漏洞快速响应。

　　最后做一个总计，AliOS Drive为车企提供独特技术和生态价值，首先是拥抱开放中国方案、分层解耦、跨域共用，技术方面有自主可控的核心技术，同时支持也非常乐意和合作伙伴共创差异化的产品。