域控适配
4–8 周
常见 SoC 联调窗口
以太网相机解串、TSN 时钟与 AUTOSAR 任务表一次冻结，避免量产前反复改脚。
车规部署自动驾驶软件：域控适配与量产闭环
面向量产车型，把域控适配、OTA 标定、功能安全与日志审计接到同一条可验收链路上。
DEPLOY METRICS
车规部署自动驾驶软件三项硬指标
联调窗口、安全分区心跳与日志落盘率可在域控台架上核对，不依赖口头承诺。
功能安全
≤ 20 ms
看门狗心跳与分区隔离
QM 与 ASIL-B 任务分核运行，心跳超时触发最小风险策略，对齐 ISO 26262 工作产物。
量产日志
100%
接管理由码落盘
标定版本、传感器拓扑、OTA 包号写入同一审计字段，批次抽检可回放。
DEPLOY CATALOG
车规部署自动驾驶软件条目
按域控适配、OTA、功能安全与量产日志分条列出，便于电子电气架构与标定组对照接口。
域控制器适配自动驾驶软件包
覆盖相机解串、毫米波雷达 CAN-FD、激光雷达 UDP 与组合导航 PPS。内存水位与 DSP/NPU 占用在量产配置下给出上限，避免路测后期再砍功能。
AUTOSAR 安全分区与任务调度
规划控制周期与感知回调分核，故障注入后可在 HIL 上复现降级路径。
OTA 标定通道与版本回滚
差分包签名、双分区写入与失败回滚窗口可在台架演练，灰度批次按车型平台切分。
功能安全工作产物接入自动驾驶软件
HARA、功能安全概念与技术安全需求随软件版本冻结。安全机制含看门狗、内存分区、传感器有效性标志与最小风险策略，审查材料可随域控软件包一并交付。
量产日志字段与审计链路
DLT 通道记录标定哈希、传感器拓扑、接管理由码与 OTA 包号。售后抽检可按批次号回放，不必拆解私有二进制。
故障降级与最小风险策略
感知失效、定位跳变或域控过温时，按预设等级退出领航并点亮仪表提示。策略表与规划控制共用同一理由码，避免座舱显示与日志不一致。
多车型共平台量产标定
轴距、转向比、相机外参与雷达安装角按车型参数集隔离。同一自动驾驶软件基线可刷入多款车型，产线只切换配置包。
远程诊断与批次追溯
支持 DID/DTC 读取软件版本、标定哈希与最近一次接管。售后站可在不进 CAN 底层的情况下核对是否已执行指定 OTA。
产线刷写与一致性检查
下线工位校验镜像签名、分区占用与传感器序列号绑定。不一致车辆不得放行路试，避免混装标定包流入经销商库存。
PRODUCTION CASES
量产工况下的车规部署边界
总装、交付、OTA 灰度与冬季标定站共用同一套自动驾驶软件版本号，只切换场景开关与参数集。
总装下线
刷写、自检与路试门槛
工位读取域控序列号后写入对应参数集，自检覆盖相机曝光、雷达遮挡标志与组合导航锁定。未通过项进入锁定清单，禁止流入路试车道。
销售交付
功能开关与标定版本核对
领航、记忆泊车等开关与车型配置表绑定。交付检查单打印当前 OTA 包号，避免展车与量产车混用标定。
售后 OTA
灰度、签名与回滚窗口
按车型平台与硬件小版本切分灰度。写入失败自动回滚双分区，日志保留失败码，便于标定组定位是网络中断还是签名不匹配。
冬季标定站
传感器拓扑与日志抽检
低温下抽检外参漂移与雷达虚警标志。抽检记录写回同一审计库，作为下一轮 OTA 标定包是否放行的输入。
INTERFACE CHECK
域控接口与车规部署验证对照
未完成车规闭环时，接管记录、OTA 回滚与日志字段往往对不齐；接入车规部署自动驾驶软件后按下列方式验收。
| 核对项 | 未完成车规闭环 | 完成车规部署自动驾驶软件 | 验证方式 |
|---|---|---|---|
| 域控 SoC 调度 | 任务抢占导致规划抖动 | AUTOSAR 周期表冻结，规划周期毫秒级 | HIL 负荷注入 |
| 相机 / 雷达接口 | 时间戳不对齐 | TSN / PPS 统一时钟域 | 总线分析 + 实车 |
| 功能安全分区 | QM 与安全任务混部 | ASIL-B 隔离，看门狗 ≤ 20 ms | 故障注入审查 |
| OTA 标定 | 无签名、无可回滚分区 | 签名包 + 双分区回滚窗口 | 台架演练 |
| 量产日志 | 接管原因无法回放 | 理由码、标定哈希、包号全量落盘 | 批次抽检回放 |
| 远程诊断 | 仅能读软件版本号 | DID 读取拓扑与最近接管 | 售后站抽检 |
RELEASE GATES
车规部署自动驾驶软件交付节点
比整车项目更短的五段门禁，每段都留下可审计产物再进入下一站。
需求冻结
域控型号、传感器清单与目标 ASIL 级别签字，形成接口基线。
域控联调
完成解串、时钟与任务表，HIL 上跑通规划控制心跳。
安全案卷
提交 HARA 与安全机制验证记录，看门狗故障注入通过。
小批量刷写
产线镜像签名、参数集隔离与日志抽检，关闭混装风险。
量产放行
OTA 灰度策略生效，远程诊断可按批次追溯标定哈希。
DEPLOY FAQ
车规部署自动驾驶软件问答
集中回答域控资料、OTA 回滚、功能安全级别与日志保存，便于电子电气与售后同步口径。
需要域控 SoC 型号与内存/NPU 规格、AUTOSAR 或 QNX 版本、以太网与 CAN-FD 拓扑、相机解串芯片手册，以及目标 ASIL 级别。传感器安装图与外参初值一并提供，才能冻结任务表和时钟域。
标定包写入备用分区，签名或 CRC 失败不会切换启动分区。回滚窗口内车辆继续使用上一稳定版本，日志记录失败码与包号，标定组可据此判断是网络中断还是镜像不匹配。
规划控制相关安全机制按 ASIL-B 分区交付，感知输入有效性标志进入同一安全概念。工作产物含 HARA、FSC、TSC 与故障注入记录，可随软件版本提交主机厂功能安全团队审查。
字段包括软件版本、标定哈希、传感器拓扑、OTA 包号、接管理由码与最近一次最小风险策略触发。售后通过 DID 读取上述字段，也可按批次号回放，无需拆解私有二进制。
DEPLOY CONSULT
评估车规部署自动驾驶软件接入
填写车型平台、域控与传感器配置，工程师将核对适配窗口、OTA 策略与功能安全级别。