一文詳解OTA無感升級技術(shù)

OTA正在成為智能汽車不可或缺的關(guān)鍵能力，其具備的減少召回成本、快速響應(yīng)安全需求、提升用戶體驗(yàn)等優(yōu)勢，可以通過遠(yuǎn)程實(shí)現(xiàn)功能的持續(xù)迭代，在發(fā)現(xiàn)軟件故障或漏洞的時候，及時快速地實(shí)現(xiàn)線上召回，極大地減少車企線下服務(wù)壓力和運(yùn)營成本。

然而“OTA升級”這件事情本身，也不是那么容易的事情，部分新勢力造車因升級在路上“趴窩”的事情也不在少數(shù)。隨著汽車智能化的發(fā)展，主機(jī)廠以及消費(fèi)者對OTA的期待不斷上升，為了給車主更好的升級體驗(yàn)，很多主機(jī)廠宣布實(shí)現(xiàn)“無感化”O(jiān)TA升級。2021廣州車展上，小鵬汽車發(fā)布了最新一代的 X-EEA3.0 電子電氣架構(gòu)。該電子電氣架構(gòu)的域控制器均作內(nèi)存分區(qū)，一個區(qū)用于升級，一個區(qū)用于車輛正常運(yùn)行，從而在升級期間不影響車輛使用，實(shí)現(xiàn)了無感化OTA;威馬EX5發(fā)布實(shí)現(xiàn)了娛樂系統(tǒng)的無感OTA，在升級過程中，對用戶駕駛體驗(yàn)的影響可以降到最低;福特EVOS擁有了遠(yuǎn)程OTA無感升級的能力，激起了不少汽車迷的好奇心。相對不打擾用戶的情況下，讓車端軟件實(shí)現(xiàn)近乎無感的升級，無感升級技術(shù)是怎樣做到的?今天我們來聊一聊無感知升級這件事。

1、什么是無感升級?

“無感知升級”，目前沒有專業(yè)的學(xué)術(shù)定義。要想理解“無感知升級”，可以從“無縫升級”入手。所謂的“無縫升級”，英文即seamless update。這個概念，在Android領(lǐng)域有廣泛的共同認(rèn)知。我們可以這么理解：傳統(tǒng)的安卓設(shè)備升級，有一個Android主系統(tǒng)和一個Recovery系統(tǒng)。Android主系統(tǒng)負(fù)責(zé)提供系統(tǒng)主要的應(yīng)用功能 ，并完成升級包的下載與部分校驗(yàn)工作，然后進(jìn)入Recovery系統(tǒng)，在Recovery系統(tǒng)內(nèi)完成對系統(tǒng)的升級。但是，這里存在的問題就是，一旦Recovery系統(tǒng)內(nèi)升級出現(xiàn)問題，就會導(dǎo)致系統(tǒng)存在不可用的風(fēng)險。解決方案之一就是引入A/B系統(tǒng)?？梢赃@樣理解，設(shè)備具備A/B兩個系統(tǒng)，在同一個時刻，只有一個系統(tǒng)處于激活正常工作的狀態(tài)，另一個系統(tǒng)處于非激活的工作狀態(tài)。假設(shè)當(dāng)前A系統(tǒng)處于激活態(tài)。這樣，如果系統(tǒng)性能良好，我們可以實(shí)現(xiàn)在A系統(tǒng)正常提供各種應(yīng)用功能的情況下，去升級B系統(tǒng)。即使B系統(tǒng)升級失敗，也不會影響A系統(tǒng)正常提供功能。然后在合適的時機(jī)，例如跟隨整車電源模式切換而重置設(shè)備，切換至新的升級成功的B系統(tǒng)。A/B系統(tǒng)切換方式，從用戶使用的感受來看，僅經(jīng)歷了一次重啟。在重啟過程中即完成了軟件系統(tǒng)升級，被定義為“無縫升級”，這也是部分主機(jī)廠“無感知升級”的基礎(chǔ)實(shí)現(xiàn)模式。

2、無感升級的過程

車輛OTA遠(yuǎn)程升級一般包含“版本檢查”、“下載”、“安裝”和“激活”四大流程。“無感下載”：如果車輛自動與OTA后臺進(jìn)行版本比對、獲取升級任務(wù)、并自動完成下載，因此用戶對“下載無感知”?！盁o感安裝“：A/B系統(tǒng)切換的過程(從A更新至B系統(tǒng)的過程)，這一過程是在車輛運(yùn)行時執(zhí)行完成的，因此用戶對OTA遠(yuǎn)程“安裝無感知”。最后，車輛重新上電時，設(shè)備完成系統(tǒng)切換(這期間就涉及到需要客戶授權(quán)、確認(rèn)升級等)，這一過程是激活過程，這一過程是能感知到的過程?？梢?，對具備“無縫升級”能力的設(shè)備升流程而言，用戶能感知到的過程，僅為新軟件系統(tǒng)“激活”的過程。耗時可能達(dá)數(shù)十分鐘的B系統(tǒng)切換。“無感升級”，可以大大縮短集成了復(fù)雜功能的域控設(shè)備的車輛用戶可感知的升級時間，減小了駐車升級時對車輛電量的消耗、縮短了客戶的車輛不可用時間，也保證了系統(tǒng)本身始終的可用性。

3、無感升級的應(yīng)用

目前，我們看到的“無感升級”，還局限于具有Linux、Android等系統(tǒng)的設(shè)備。這些設(shè)備系統(tǒng)，在支持“無縫升級”的能力之后，就需要去考慮如何在保證設(shè)備可正常提供功能的情況下，實(shí)現(xiàn)對非激活系統(tǒng)的更新。事實(shí)上，“無縫升級”已經(jīng)在很多車機(jī)系統(tǒng)、ADAS系統(tǒng)上都獲得了支持，只不過當(dāng)前很多主機(jī)廠仍是在車輛駐車后，去執(zhí)行對B區(qū)域的更新。而“無縫升級”向“無感升級”的跨越，即是在車輛運(yùn)行時執(zhí)行完成B系統(tǒng)的升級過程，這對設(shè)備系統(tǒng)的性能與安全性也提出了一定要求。目前市場上多數(shù)案例還是集中體現(xiàn)在座艙域。隨著整車電子架構(gòu)向域控架構(gòu)、區(qū)域控制架構(gòu)演進(jìn)，核心的控制設(shè)備，逐漸都會引入“無縫升級”能力。未來，為了追求更短的整車升級時間、為客戶提供更好的升級與功能使用體驗(yàn)，也會成為大家追求的一個技術(shù)方向。

4、無感升級在SOTA和FOTA上有什么區(qū)別?

對于SOTA、FOTA的定義可以籠統(tǒng)的理解為：SOTA指系統(tǒng)“軟件”層面的升級，即不影響設(shè)備系統(tǒng)運(yùn)行環(huán)境本身，可以在系統(tǒng)持續(xù)提供業(yè)務(wù)功能的情況下，完成對“軟件”的升級。例如車機(jī)上的各類Android應(yīng)用軟件。而FOTA指系統(tǒng)的“固件”升級，即影響設(shè)備系統(tǒng)本身，“固件”的損壞會導(dǎo)致系統(tǒng)主體功能不可用。在SOTA層面，“無感升級”目前得到了較多的應(yīng)用，這是由Android等系統(tǒng)本身的系統(tǒng)特性，所帶來的優(yōu)勢。一般在經(jīng)歷應(yīng)用本身重啟，或者跟隨系統(tǒng)一起重啟之后，新的軟件版本即可被激活使用。而在FOTA層面，除了需要實(shí)現(xiàn)針對域控等智能設(shè)備從“無縫升級”向“無感升級”的跨越，另一個不可忽視的就是傳統(tǒng)的電子控制單元ECU的“無感升級”。對于這一類ECU，一般包含Bootloader，Application與Calibration。Bootloader提供了ECU刷寫軟件與標(biāo)定的能力。一方面，受限于成本考量等因素，ECU一般不會具備“A/B”區(qū)域環(huán)境，即升級時，需要將軟件與標(biāo)定擦除，然后重新寫入;另一方面，這類ECU一般是通過CAN或以太網(wǎng)總線使用診斷的方式進(jìn)行刷寫，即數(shù)據(jù)包的傳輸與寫入是在同一時間段內(nèi)反復(fù)執(zhí)行的，為了保證刷寫的成功率、提升診斷數(shù)據(jù)傳輸效率，需要靜默車輛總線常規(guī)通信信號，這會導(dǎo)致整車零件之間丟失通信基礎(chǔ)，眾多功能無法使用。因此，這一類ECU的升級，往往需要駐車、鎖定車輛狀態(tài)、進(jìn)入特定的OTA升級模式等，即車輛在升級過程中是無法使用的，升級過程對于車輛用戶而言是“有感”的。想要讓此類ECU的升級行為也變得“無感”，一方面需要解決數(shù)據(jù)包的傳輸問題，另一方面，ECU本身要支持類似于“A/B”的系統(tǒng)特性，提供備份冗余，或者實(shí)現(xiàn)軟件內(nèi)容A/B區(qū)域的地址映射。雖然技術(shù)上，已經(jīng)有芯片提供了成熟的解決方案，但是在“缺芯”的大環(huán)境背景下，價格問題更加凸顯，應(yīng)用的進(jìn)展較慢。所以一方面我們看到宣傳支持“無感升級”的車輛，整車升級時間，仍需要30分鐘左右。其實(shí)就是節(jié)省了具備“無縫升級”能力的設(shè)備的B系統(tǒng)升級時間，但是FOTA時常規(guī)ECU進(jìn)入Bootloader的時間暫時仍會拉長整體的升級時間。另一方面，車輛制造商短期內(nèi)，要善用“時間”換“空間”。即提供預(yù)約升級、手機(jī)遠(yuǎn)控升級等方式，將升級時間安排在用戶不用車的時間段內(nèi)，節(jié)省引入設(shè)備額外存儲空間的成本，緩解車輛升級時不可用可能給客戶帶來的用車焦慮。

最后

“無感升級”的實(shí)現(xiàn)，依賴零部件自身需要具備“無縫升級”的能力。針對具備“無縫升級”的零件，艾拉比的差分升級程序，支持“In Place”與“A/B”兩種升級模式。無論是Hypervisor架構(gòu)下的QNX + Android系統(tǒng)，還是Android系統(tǒng)的動態(tài)分區(qū)特性，都能得到良好的支持。另外，從整車OTA解決方案來看，艾拉比一方面支持為具備“無感升級”的零件，設(shè)定獨(dú)立的升級過程，保證升級無感、安全地執(zhí)行，另一方面也支持為不具備“無感升級”的零件，提供并行刷新、回滾等升級策略，保證升級成功率、提升升級效率。

審核編輯：湯梓紅