车路协同边缘计算与边云协同概览

【摘要】本文重点对车路协同体系下道路边缘计算的概念、功能、架构和系统安全等进行了叙述，并对边云协同的能力和架构进行了介绍。希望能对车路协同项目规划和设计人员有所帮助。

1        概况

车路协同是采用先进的无线通信和新一代互联网等技术，全方位实施车车、车路动态实时信息交互，并在全时空动态交通信息采集与融合的基础上开展车辆主动安全控制和道路协同管理，充分实现人车路的有效协同，保证交通安全，提高通行效率，从而形成的安全、高效和环保的道路交通系统。

边缘计算是在靠近物或数据源头的网络边缘侧，融合网络、计算、存储、应用核心能力的分布式开放平台（架构），就近提供边缘智能服务，满足行业数字化在敏捷联接、实时业务、数据优化、应用智能、安全与隐私保护等万面的关键需求。它可以作为联接物理和数字世界的桥梁，使能智能资产、智能网关、智能系统和智能服务。

传统智能交通系统是建立在中心云计算的基础上的，在前端实现实时采集数据的情况下，数据上传至云端，在云端上实现计算，并将结果发布至路口信号机和移动终端上，实现云端的信号灯系统战略控制和路口协调控制。但随着车路协同系统的推进，需要处理海量实时数据，车辆行驶安全服务需要在毫秒级延时的情况下通知开车人或控制车辆采取措施，因此原来的中心计算方式无法保证车路协同的时效性。

边缘计算可以将云端的计算负荷整合到边缘层，在边缘计算节点（ECN）完成绝大部分的计算，并通过LTE-V/5G路侧单元（RUS）等传输手段，实时将结果发送给装置车载单元（OBU）的车辆，满足车路协同的需要。

车路协同是智慧交通的重要发展方向之一。车路协同的能力构建涉及车内边缘计算、道路边缘计算、车路协同云等方面。

在车内边缘计算方面，车内通讯多采用控制器车载总线（如CAN等）实现对车内的各个子系统进行检测与控制，未来将转变为高速实时车载以太技术（如基于TSN的TCP/IP的网络），汽车则成为边缘计算节点，在结合边云协同在本地提供车辆增值服务与控制能力。车内边缘计算属于特殊的应用场景，不在本文讨论范围内。

在道路边缘计算方面，未来新的道路侧系统将综合内置LTE-V/5G等多种通信方式、提供多种传感器接口以及局部地图系统、并提供信号配时信息和周边运动目标信息、提供车辆协同决策等多种技术与能力，综合构建为道路侧边缘计算节点。车间（V2V）、车路（V2I）协调驾驶可以通过事故预警与规避的手段，来减少事故发生的概率。汽车需要将本地通过雷达、摄像头等取得的数据与周边车辆和道路基础设施通过边缘网关进行交互，并提升感知范围，从而达到车辆间、车路间的协同，为驾驶员提供碰撞预警、变道预警、自适应巡航等辅助，必要时接管汽车防止事故的发生。本文重点讨论道路边缘计算。

图1 C-V2X应用场景

车路协同云可以通过与车辆边缘计算节点以及道路侧边缘计算节点之间的交互，对车辆密度、速度等的感知，来引导道路上的车辆规避拥堵路段，实现交通的高效调度。在交叉路口，车载边缘计算可以结合道路交通状况告知道路边缘计算节点当前的道路状况。而道路边缘计算节点则收集附近道路的信息，通过大数据算法，下发合理的道路交通调度指令，通过控制信号灯的状态、为驾驶员提供拥堵预警等手段，实现道路的最大利用率、减少不必要的停留，从而减少道路拥塞、降低燃油损耗。车路协同云的内容在此也不做为重点讨论内容。

图 2 边缘计算与云中心融合场景图

2        边缘计算模型驱动参考架构

边缘计算参考架构3.0的主要内容包括：

（1）整个系统分为云、边缘和现场三层，边缘计算位于云和现场层之间，边缘层向下支持各种现场设备的接入，向上可以与云端对接；

（2）边缘层包括边缘节点和边缘管理器两个主要部分。边缘节点是硬件实体，是承载边缘计算业务的核心。边缘计算节点根据业务侧重点和硬件特点不同，包括以网络协议处理和转换为重点的边缘网关、以支持实时闭环控制业务为重点的边缘控制器、以大规模数据处理为重点的边缘云、以低功耗信息采集和处理为重点的边缘传感器等。边缘管理器的呈现核心是软件，主要功能是对边缘节点进行统一的管理。

（3）边缘计算节点一般具有计算、网络和存储资源，边缘计算系统对资源的使用有两种万式：第一，直接将计算、网络和存储资源进行封装，提供调用接口，边缘管理器以代码下载、网络策略配置和数据库操作等万式使用边缘节点资源；第二，进一步将边缘节点的资源技功能领域封装成功能模块，边缘管理器通过模型驱动的业务编排的万式组合和调用功能模块，实现边缘计算业务的一体化开发和敏捷部署。

图 3 边缘计算参考架构3.0

3        边缘计算CROSS功能

边缘计算具备有CROSS的功能。

（1）联接的海量与异构（Connection)

网络是系统互联与数据聚合传输的基石。伴随联接设备数量的剧自，网络运维管理、灵活扩展和可靠性保障面面巨大挑战。同时，工业现场长期以来存在大量异构的总线联接，多种制式的工业以太网并存，如何兼容多种联接并且确保联接的实时可靠是必须要解决的现实问题。

（2）业务的实时性（Real-time)

工业系统检测、控制、执行的实时性高，部分场景实时性要求在10ms以内。如果数据分析和控制逻辑全部在云端实现，难以满足业务的实时性要求。

（3）数据的优化（Optimization)

当前工业现场存在大量的多样化异构数据，需要通过数据优化实现数据的聚合、数据的统一呈现与开放，以灵活高效地服务于边缘应用的智能。

（4）应用的智能性（Smart)

业务流程优化、运维自动化与业务创新驱动应用走向智能，边缘侧智能能够带来显著的效率与成本优势。以预测性维护为代表的智能化应用场景正推动行业向新的服务模式与商业模式转型。

（5）安全与隐私保护(Security)

安全跨越云计算和边缘计算之间的纵深，需要实施端到端防护。网络边缘侧由于更贴近万物互联的设备，访问控制与威胁防护的广度和难度因此大幅提升。边缘侧安全主要包含设备安全、网络安全、数据安全与应用安全。此外，关键数据的完整性、保密性，大量生产或人身隐私数据的保护也是安全领域需要重点关注的内容。

4        边云协同能力

边缘计算不是单一的部件，也不是单一的层次，而是涉及到EC-IaaS、EC-PaaS、EC-SaaS的端到端开放平台。典型的边缘计算节点一般涉及网络、虚拟化资源、RTOS、数据面、控制面、管理面、行业应用等，其中网络、虚拟化资源、RTOS等属于EC-IaaS能力，数据面、控制面、管理面等属于EC-PaaS能力，行业应用属于EC-SaaS范畴。

边云协同的能力涉及IaaS、PaaS、SaaS各层面的全面协同。EC-IaaS与云端IaaS应可实现对网络、虚拟化资源、安全等的资源协同；EC-PaaS与云端PaaS应可实现数据协同、智能协同、应用管理协同、业务管理协同；EC-SaaS与云端SaaS应可实现服务协同。

资源协同：边缘节点提供计算、存储、网络、虚拟化等基础设施资源、具有本地资源调度管理能力，同时可与云端协同，接受并执行云端资源调度管理策略，包括边缘节点的设备管理、资源管理以及网络联接管理。

数据协同：边缘节点主要负责现场/终端数据的采集，按照规则或数据模型对数据进行初步处理与分析，并将处理结果以及相关数据上传给云端；云端提供海量数据的存储、分析与价值挖掘。边缘与云的数据协同，支持数据在边缘与云之间可控有序流动，形成完整的数据流转路径，高效低成本对数据进行生命周期管理与价值挖掘。

智能协同：边缘节点按照AI模型执行推理，实现分布式智能；云端开展AI的集中式模型训练，并将模型下发边缘节点。

应用管理协同：边缘节点提供应用部署与运行环境，并对本节点多个应用的生命周期进行管理调度；云端主要提供应用开发、测试环境，以及应用的生命周期管理能力。

业务管理协同：边缘节点提供模块化、微服务化的应用/数字孪生/网络等应用实例；云端主要提供按照客户需求实现应用/数字孪生/网络等的业务编排能力。

服务协同：边缘节点按照云端策略实现部分ECSaaS服务，通过ECSaaS与云端SaaS的协同实现面向客户的按需SaaS服务；云端主要提供SaaS服务在云端和边缘节点的服务分布策略，以及云端承担的SaaS服务能力。

图4 边云协同能力框架

5        边云协同参考架构

为了支撑边云协同能力，需要相应的参考架构与关键技术。参考架构需要考虑下述因素：

• 连接能力：有线连接与无线连接，实时连接与非实时连接，各种行业连接协议等

• 信息特征：持续性信息与间歇性信息，时效性信息与非时效性信息，结构性信息与非结构性信息等

• 资源约束性：不同位置、不同场景的边缘计算对资源约束性要求不同，带来边云协同需求与能力的区别

• 资源、应用与业务的管理与编排：需要支撑通过边云协同，实现资源、应用与业务的灵活调度、编排及可管理

根据上述考量，边云协同的总体参考架构应该包括下述模块与能力：

（1）边缘侧

• 基础设施能力：需要包含计算、存储、网络、各类加速器（如AI加速器），以及虚拟化能力；同时考虑嵌入式功能对时延等方面的特殊要求，需要直接与硬件通信，而非通过虚拟化资源

• 边缘平台能力：需要包含数据协议模块、数据处理与分析模块，数据协议模块要求可扩展以支撑各类复杂的行业通信协议；数据处理与分析模块需要考虑时序数据库、数据预处理、流分析、函数计算、分布式人工智能及推理等方面能力

• 管理与安全能力：管理包括边缘节点设备自身运行的管理、基础设施资源管理、边缘应用、业务的生命周期管理，以及边缘节点南向所连接的终端管理等；安全需要考虑多层次安全，包括芯片级、操作系统级、平台级、应用级等

• 应用与服务能力：需要考虑两类场景，一类场景是具备部分特征的应用与服务部署在边缘侧，部分部署在云端，边缘协同云共同为客户提供一站式应用与服务，如实时控制类应用部署在边缘侧，非实时控制类应用部署在云侧；一类场景是同一应用与服务，部分模块与能力部署在边缘侧，部分模块与能力部署在云侧，边缘协同云共同为客户提供某一整体的应用与服务。

图5 边云协同总体参考架构

（2）云端

• 平台能力：包括边缘接入、数据处理与分析、边缘管理与业务编排。数据处理与分析需要考虑时序数据库、数据整形、筛选、大数据分析、流分析、函数、人工智能集中训练与推理等方面能力；边缘管理与业务编排需要考虑边缘节点设备、基础设施资源、南向终端、应用、业务等生命周期管理，以及各类增值应用、网络应用的业务编排

• 边缘开发测试云：在部分场景中，会涉及通过提供边云协同的开发测试能力以促进生态系统发展的需求

6        边缘计算节点系统安全

边缘计算架构的安全设计与实现首先需要考虑：

• 安全功能适配边缘计算的特定架构；

• 安全功能能够灵活部署与扩展；

• 能够在一定时间内持续抵抗顶击；

• 能够否忍一定程度和范围内的功能失效，但基础功能始终保持运行；

• 整个系统能够从失败中快速完全恢复。

同时，需要考虑边缘计算应用场景的独特性：

• 安全功能轻量化，能够部署在各类硬件资源受限的IoT设备中；

• 每量异构的设备接入，传统的基于信任的安全模型不再适用，需要技照最小授权原则重新设计安全模型（自名单）；

• 在关键的节点设备（例如边缘网关）实现网络与域的隔霄，对安全顶击和风险范围进行控制，避免顶击由点到面扩展；

• 安全和实时态势感知无缝嵌入到整个边缘计算架构中，实现持续的检测与响应。尽可能依赖自动化实现，但是人工干预时常也需要发挥作用。

• 安全的设计需要覆盖边缘计算架构的各个层级，不同层级需要不同的安全特性。同时，还需要有统一的态势感知、安全管理与编排、统一的身份认证与管理，以及统一的安全运维体系，才能最大限度地保障整个架构安全与可靠。

图6 安全服务架构

节点安全：需要提供基础的边缘计算安全、端点安全、软件加固和安全配置、安全与可靠远程升级、轻量级可信计算、硬件Safety开关等功能。安全与可靠的远程升级能够及时完成漏洞和补丁的修复，同时避免升级后系统失效（也就是常说的“变砖”）。轻量级可信计算用于计算（CPU）和存储资源受限的简单切联网设备，解决最基本的可信问题。

网络安全：包含防火墙（Firewall）、入侵检测和防护（IPS/IDS）、DDoS防护、VPN/TLS功能，也包括一些传输协议的安全功能重用（例如REST协议的安全功能）。真中DDoS防护在切联网和边缘计算中特别重要，近年来，越来越多的切联网顶击是DDoS顶击，顶击者通过控制安全性较弱的切联网设备（例如采用固定密码的摄像头）来集中顶击特定目标。

数据安全：包含数据加密、数据隔霄和销毁、数据防篡改、隐私保护（数据脱敏）、数据访问控制和数据防泄漏等。真中数据加密，包含数据在传输过程中的加密、在存储时的加密；边缘计算的数据防泄漏与传统的数据防泄漏有所不同，边缘计算的设备往往是分布式部署，需要特别考虑这些设备被盗以后，相关的数据即使被获得也不会泄露。

应用安全：主要包含自名单、应用安全审计、恶意代码防范、WAF（Web应用防火墙）、少箱等安全功能。真中，自名单是边缘计算架构中非常重要的功能，由于终端的每量异构接入，业务种类繁多，传统的IT安全授权模式不再适用，往往需要采用最小授权的安全模型（例如自名单功能）管理应用及访问权限。

安全态势感知、安全管理与编排：网络边缘侧接入的终端类型广泛，数量巨大，承载的业务繁杂，被动的安全防御往往不能起到良好的效果。因此，需要采用更加积极主动的安全防御手段，包括基于大数据的态势感知和高级威胁检测，以及统一的全网安全策略执行和主动防护，从而更加快速响应和防护。再结合完善的运维监控和应急响应机制，则能够最大限度保障边缘计算系统的安全、可用、可信。

身份和认证管理：身份和认证管理功能遍布所有的功能层级。但是在网络边缘侧比较特殊的是，每量的设备接入，传统的集中式安全认证面面巨大的性能压力，特别是在设备集中上线时认证系统往往不堪重负。在必要的时候，去中心化、分布式的认证方式和证书管理成为新的技术选择。