007 | 智能汽车的中国芯：华为MDC首发测评

00:00

16:31

编者按：《郭继舜带你读汽车科技》旨在从第一性原理出发，尝试拨开迷雾，解读热点背后的汽车科技真相。

本栏目由智能驾驶专家郭继舜博士与汽车之心联合出品，每周一至周五更新，每日一期，内容独家授权汽车之心发布。

今天我们来聊聊华为的智能驾驶域控制器 MDC。

这段时间关于华为的新闻非常多：一方面美国政府对华为的打压力度不断加重，限制令也越来越严苛；另一方面，华为发布的下一代"四无"生态型摄像机，展现自己在机器视觉方面强大研发能力。

在智能驾驶领域，华为在软硬件以及系统上的技术突破也一直受到大家关注。

上个星期，华为在官方微博上宣布，华为自动驾驶操作系统内核，也就是大家所熟知的鸿蒙内核，已获得了功能安全领域最高等级功能安全认证——ISO 26262 ASIL D 认证，华为的鸿蒙内核成为了我国首个获得 ASIL D 认证的操作系统内核。

另外，鸿蒙内核还在 2019 年 9 月获得了信息安全领域最高等级信息安全认证，CC EAL 5+认证。这样，华为自动驾驶操作系统鸿蒙内核已成为业界首个拥有信息安全与功能安全双最高认证的商用 OS 内核。

除此之外，华为的自动驾驶全栈解决方案、MDC 智能驾驶计算平台都先后获得了 ISO 26262 功能安全 ASIL D 级的认证。

华为 OS 内核

刚才我提到的 ISO 26262 汽车功能安全标准是国际标准化组织在 2011 年制定的一项全球性的标准，并且在 2018 年 12 月正式发布了更新版本。

这个标准涵盖了汽车功能性安全需求规划、设计、实施、集成、验证、确认和配置的方方面面，目的是希望通过完善开发流程，将汽车电气或电子系统故障的风险降到最低，是全球电子零部件供应商进入汽车行业的准入门槛之一。

我们在前面的音频里曾经讲过，对于 L3 及以上级别的智能驾驶系统，系统整体必须达到 ASIL-D 的功能安全等级。

我们该如何去理解 ASIL-D 的系统有多安全呢？

我给大家举一个例子。因为汽车功能安全的分析非常复杂，我就简单拿硬件的失效概率这个典型特征给大家举例。

如果我们把华为 MDC 这种满足 ASIL-D 功能安全的控制器量产装车，在大于 10 的 8 次方个小时才会有一次随机硬件失效。

我们按照每天有 3 个小时处在智能驾驶功能开启状态来计算，每年我们用车大约 200 天，这款智能驾驶汽车在全国有 10 万名用户正常使用，配合合理的人机交互机制，这个域控制器每 1667 年才会有一次因为硬件失效造成的严重安全风险。

当然，汽车的功能安全机制是非常复杂的，为了方便大家理解，我在此把它大大简化了。

但从分析结果可以看到，这样高稳定性的硬件系统是非常让人放心的。

回到我们今天讨论的主角，MDC 智能驾驶计算平台，就是华为自动驾驶全栈解决方案中的硬件平台，鸿蒙内核的系统未来是运行在 MDC 硬件上，再与智能驾驶软件算法紧密配合，最终形成可以量产搭载的智能驾驶核心域控制器。

机缘巧合，我有幸在 MDC300 发布没多久就拿到了尚在开发和完善中的华为 MDC300 域控制器的样件。

在半年的时间里，我在这个硬件平台上进行了比较深入的测试与开发工作。今天，咱们就来聊聊华为的智能驾驶域控制器 MDC。

如果不出意外，我们应该是行业内第一个对华为 MDC 公布详细测试结果的。

为此，我专门打电话给华为 MDC 开发的负责人——李振亚老师，获得了他的授权。

接下来的分享可能会非常技术和极客，我会努力把这些信息用相对易懂的方式表达出来。

首先，说说我手里这款华为 MDC300 的硬件。

半年前拿到手的第一印象就是，这是一个完成度很高的车载运算设备：黑色的 MDC300 主机、接口转接模块，一些连接线缆，细节上继承了华为一贯的做工精良。

但可能是样件的原因，仍然采用的是主动风扇散热，以及非密封防水防震的普通接插件，还没有达到车规级的标准，但相信后续在量产车型上使用的时候应该都是车规级状态了。

我针对华为 MDC 主要做了功能和性能上的测试，包括：

Adaptive AutoSAR 的通讯框架验证测试、CAN 总线通讯测试、神经网络加速测试、摄像头驱动测试、激光雷达驱动测试、深度学习模型运算效率等等基础功能测试，并且用量产级代码做了 LKA、ACC、TJA 等功能集成与 SLAM 功能集成等等集成测试，用来验证华为 MDC 设备样机的功能、性能、接口丰富程度、运行稳定性、开发支持生态、工具链易用性这一系列指标。

目的是看看华为 MDC 是否适合作为 L3 甚至是 L4 高级别自动驾驶域控制器的候选方案。

在此，我先要给大家做一个有关智能驾驶域控制器的介绍，你可以简单地把智能驾驶域控制器理解为智能驾驶汽车的大脑。

它主要负责对感知到的信息进行融合、识别、分类，然后对车辆进行规划和决策，最终还要完成对车辆的精确控制，从而达到智能安全地驾驶车辆的目的。

在软件层面，域控制器有系统层、中间件、应用层算法等。

在硬件层面，一个域控制器上往往有三颗，或者说三组芯片。

第一颗芯片有非常大的算力，往往是 GPU 或者 TPU，主要是做感知信息的融合、识别、分类等，这颗芯片擅长做大规模的低精度浮点型运算，也承担了域控制器上大多数的算力需求；

第二颗芯片是一块 ARM，主要是集成系统，同时进行规划决策等逻辑运算，一般擅长进行高精度浮点型串型运算，这块芯片非常类似我们熟悉的 CPU 处理器；

第三颗芯片往往是一个高可靠性 MCU，主要负责车辆的控制，这块芯片的特点是高可靠性，但是算力可以不那么大，一般要达到 ASIL-D。

我手上的这个华为 MDC 样件，感知部分由四颗华为昇腾芯片组成，每颗芯片 16 Tops 的算力，第二颗芯片是华为的鲲鹏芯片，第三颗是 TC397。

这样算下来，这颗 MDC300 的算力在 64 Tops 左右，完全满足了 L3 为代表的高级别智能驾驶功能的需求。

我的初步估算，未来量产的 L3 级别智能驾驶，如果考虑算力冗余和硬件预留，需要差不多 30 Tops 的算力，L4 需要 60 到 100 Tops 的算力。

这半年的测试过程中，我亲眼看着华为的开发工具链快速完善，变得越来越好用。

现阶段，对于面向量产的智能驾驶域控制器开发来说，已经有非常完备的工具链支持了。

包括：Adaptive AutoSAR 的配置工具 ARTOP、代码开发/部署工具 MDC Development Studio、神经网络模型转换运行工具 Mind Studio，以及支持 Classic AutoSAR 的 Tasking 编译工具和配套的 MCU 二次开发包等等。

经过半年的努力，计划的测试和验证都顺利完成了，并且取得了比较好的技术指标，尤其是在接口丰富程度和神经网络加速性能上达到了我们设计的指标。

其中值得一提的是，华为 MDC 对于稀疏的深度学习模型的效率依然保持的很高。

可以推测，华为针对最近大家常用的 MobileNet 等深度学习网络运算进行了针对性的优化。

另外在工具链的易用程度上，由于支持通过引入 Matlab 头文件编译 Simulink 模型，所以能够比较快地将我们原有的量产级智能驾驶算法模型部署到 MDC300 设备上。

从拿到设备到实现 MDC300 设备上实车运行 LKA、ACC 等功能，只花了 1 个半月的时间。开发效率还是很高的。

说完了我们对华为 MDC 设备的测试情况，再说说华为 MDC 在市场上的竞争者，这也让我们能够有更多的选择。

由于特斯拉的 FSD 控制器（已发布）以及英伟达的最新 DRIVE 平台的车载设备（未发布）我们并没有获得实际设备，以下对比分析仅以公开渠道获得的信息为准：

1．特斯拉 HW3.0 FSD 控制器。

作为特斯拉车辆的部件，不单独销售，资料较少。

根据目前的信息，FSD 的 HW3.0 有两个相同的计算单元构成，每个计算单元上面有 2 块运算芯片，每块算力位 36 Tops，设备总算力位 4 x 36 Tops = 144 Tops。但是由于采用的是双机热备的运行方式，实际可用的算力是 72 Top。

在功能安全上，FSD 的 2 个计算单元每 20ms 同步一次运行状态与处理数据，通过交叉验证以保证故障冗余安全。

相比早期的 Autopilot HW2.0 方案，安全性能得到很大的提升。但目前我们并没有得到 FSD 关于功能安全认证的相关消息。

2. NVIDIA DRIVE 平台的车载智能驾驶控制器，支持芯片级方案销售。

目前上市的只有 Xavier 系列，最新的基于 Orin 的 Drive AGX 到目前为止还没有上市。

根据公开的资料，Xavier 系列控制器的 AI 算力是 30 Tops，Orin 系列控制器的 AI 算力是 200 Tops，对比华为 MDC300 的公开 AI 算力是 80 Tops，MDC600 的公开 AI 算力是 160 Tops，可以说是处于同一个产业生态位的。

通过对华为 MDC300 设备的一系列测试，以及对于竞品域控制器之间的对比分析，可以得出以下结论：

1. 华为 MDC300 设备是华为面向智能驾驶推出的对标特斯拉 FSD、英伟达 DRIVE 的高级别自动驾驶域控制器系列，主要主打全自研芯片，高算力、高可靠的车规级别自动驾驶域控制器。

这半年的测试，验证了华为 MDC300 在功能上与性能上可用性。

从功能上，能够支持目前 L3+以上可能需要的传感器类型的接入以及整车网络接入，内部支持 ROS 与 AutoSAR AP 软件架构，具备较好的跨域通信能力。

从性能上，具备较好的模型加速性能，以及总线传输性能，具备作为后续 L3 以上级别自动驾驶功能开发的域控制器应用能力。

2. 华为 MDC300 的工具链主要遵循 Adaptive AutoSAR 标准体系架构，兼容 MBD（Model-Based-Develop：基于模型的开发）开发工作流，开发生态更加贴近域传统主机厂软件开发人员所熟悉那一套，能够与现有的 ASPICE 软件开发流程更好地整合，便于通过功能安全认证，具有一定生态优势。

作为对比，NVIDIA 的开发生态更加接近人工智能开发领域的习惯，与汽车软件开发领域差异较大。

而特斯拉完全抛弃了传统主机厂的软件开发模式与人工智能研究人员的开发模式，走出了一条属于自己的全新道路。

3. 华为 MDC300 在功能安全与可靠性方面，依靠通信领域与移动终端领域的开发经验，在可靠性与确定性低延时方面具备较大的优势，产品更加工程化。

在安全认证方面，华为的自动驾驶全栈解决方案、MDC 智能驾驶硬件平台、车载操作系统鸿蒙内核近期都已经获得了 ASIL-D 功能安全认证，在功能安全设计领域走在前面。

后续只要华为的 Adaptive AutoSAR 架构、开发工具链以及自动驾驶算法能够通过 ASIL-D 功能安全认证，那么基于华为 MDC 的自动驾驶系统将成为世界首个符合 ISO26262 ASIL-D 标准的商用自动驾驶系统。

4. 在商业化合作模式上，华为坚持自主芯片方案，所采用的昇腾系列芯片与鲲鹏系列芯片都只能够用在 MDC 系统产品上，不提供芯片级别的解决方案。

这与华为的手机商业模式很像，不卖裸片，硬件开放程度相对较低。但是在软件合作模式能够提供系统级开放接口，方便合作伙伴整合自己的算法到设备中。

这种合作模式开放程度具有一定的局限性，但是一定程度上能够增加华为对于硬件的控制力。

而对于合作伙伴而言，则有利有弊。

一方面华为 MDC 将自动驾驶开发中最难的功能安全与芯片算力问题给解决了，让客户可以集中精力在智能驾驶算法的开发上面，能够更快实现方案的量产与落地应用。

另一方面，客户也只能够在华为 MDC 所限制的平台上进行开发，话语权与灵活性都会相应削弱。

个中利弊，关键就看如何权衡了。