OTA未來會成為智能駕駛汽車的最基本架構(gòu)？OTA架構(gòu)的技術(shù)要點？是否有標準？

導(dǎo)言：OTA未來會成為智能駕駛汽車的最基本架構(gòu)？（未來如果汽車廠沒有OTA的解決方案，三年內(nèi)就很容易就被邊緣化，因為無法持續(xù)更新軟件、沒有辦法做雙向的溝通跟交流，沒有辦法組成有用的服務(wù)跟應(yīng)用供車主使用。）OTA架構(gòu)的技術(shù)要點？是否有標準？何時會大規(guī)模普及？車企的應(yīng)對策略？

隨著數(shù)字化和軟件滲透到人們生活的各個角落，作為交通工具的汽車也逐漸往一個機械驅(qū)動的機器開始往軟件驅(qū)動的電子產(chǎn)品過渡，在這個背景下，整車企業(yè)對于產(chǎn)品和內(nèi)部系統(tǒng)的競爭法則將改寫。傳統(tǒng)的動力總成發(fā)動機和變速箱是以往整車企業(yè)的的技術(shù)和工程核心，而展望未來，給汽車配置足夠強大的計算能力、各種內(nèi)部和環(huán)境的感知器件和貫穿車輛的上層和下層軟件還有于車輛連接的網(wǎng)絡(luò)平臺成為越來越重要的角色，能被我們看到的是電氣化、智能網(wǎng)聯(lián)的功能和無人駕駛等等。

圖1 整車內(nèi)汽車電子的層級

隨著電子和軟件的重要性變強，整車車輛的復(fù)雜度也升高了，現(xiàn)在汽車內(nèi)部暴增的軟件代碼行數(shù)進行者滾雪球增長，而軟件也在滲透哪怕是很細節(jié)的傳感器內(nèi)核。汽車企業(yè)從這個角度來說，把車內(nèi)軟件質(zhì)量、信息安全和遠程OTA技術(shù)都放在了臺面上，重新審視整個軟件和電子電氣架構(gòu)。從這個意義上來說，不同層級的軟件成了車里迭代最快也是需要進行系統(tǒng)化管理的那部分，在發(fā)現(xiàn)嚴重的軟件故障或者是漏洞的時候，對車輛的軟件更新成了強需求，而之前通過線下店維修和召回模式，從覆蓋范圍和復(fù)雜度上也是越來越難管理了。而基于OTA（Over-the-Air Technology）空中下載技術(shù)，具備減少召回成本、快速響應(yīng)安全需求、提升用戶體驗，成了未來智能化汽車時代的必然選擇。如下圖所示，這樣的技術(shù)也是從萌芽階段、到娛樂系統(tǒng)和互聯(lián)模塊本身再到動力總成和安全系統(tǒng)，再到未來可能的汽車的核心運算單元（各個區(qū)塊的域控制器）。

圖2 OTA技術(shù)在車輛上的應(yīng)用時間

第一部分 汽車OTA簡介、架構(gòu)和流程

汽車內(nèi)的OTA主要分為FOTA和SOTA兩類，前者是一個完整的系統(tǒng)性更新，后者是迭代更新的升級。

FOTA（Firmware-over-the-air，固件在線升級），指的是給一個車輛下載完整的固件鏡像，或者修補現(xiàn)有固件，這是一個完整的軟件安裝文件（鏡像）下載的過程。

SOTA（Software-over-the-air，軟件在線升級），通過無線網(wǎng)絡(luò)或移動網(wǎng)絡(luò)將文件從云端服務(wù)器下載到車輛上。 SOTA一般作為一個“增量”，整車企業(yè)僅發(fā)送需要更改的部分，一方面減少了下載的數(shù)量和時間，并降低了成本和失敗的可能性。軟件增量文件和對應(yīng)于車輛的安全憑據(jù)被稱為“更新包”，更新包中可能包含多個增量文件和多個ECU的補丁

如下圖所示，汽車OTA的架構(gòu)主要包含整車企業(yè)云端服務(wù)器和車輛兩部分，

OTA服務(wù)平臺：為車載終端提供OTA服務(wù)，這里主要管理各個軟件提供商的原始固件升級軟件。出于安全考慮，需要構(gòu)建一個獨立的子模塊，負責(zé)OTA服務(wù)平臺提供安全服務(wù)，包括密鑰證書管理服務(wù)，數(shù)據(jù)加密服務(wù)，數(shù)字簽名服務(wù)等。

車輛終端OTA組件：對升級包進行合法性驗證，適配安全升級流程

圖3OTA的基本構(gòu)成

在流程上分為生成文件、傳輸和驗證文件和安裝更新。不同的企業(yè)實施OTA操作的對象也不相同，特別是在不同的通信總線有差異的時候，如下圖所示，tesla對主要的節(jié)點是在其儀表盤和中控屏（網(wǎng)絡(luò)連接的4G模塊集成在這里）兩個主要的高運算能力的控制器上實現(xiàn)的。

備注：特斯拉是一個典型的案例，不同的汽車電子模塊的作用并不相同，是圍繞中控屏、儀表盤、整車網(wǎng)絡(luò)網(wǎng)關(guān)、Autopilot自動駕駛模塊和其他ECU的模塊。以下做了一些簡要的介紹。

圖4Tesla 的OTA的架構(gòu)

第二部分 具體的進行過程（以特斯拉為參考）

1）管理和生成相關(guān)的文件：云端服務(wù)器是負責(zé)監(jiān)測整個OTA過程的主要單元，它不僅要確定需要更新哪些車輛，是否域車輛建立可靠的連接（生成一個可靠的可信通道）并實施握手消息，然后把固件包或者更新包從軟件庫里面提取出來，確定分發(fā)包的更新順序、確定作業(yè)管理器管理整個進程，并在完成后確定檢查校驗

2）分發(fā)和檢查：這里服務(wù)器會做加密渠道分發(fā)，而在車輛則有個計算能力強大并有足夠存儲空間的控制器進行下載、驗證和解密，與服務(wù)器相對應(yīng)的也有作業(yè)管理器負責(zé)報告當(dāng)前狀態(tài)和錯誤信息，每個更新作業(yè)都有一個用于跟蹤使用情況的作業(yè)ID。

3）更新和刷新安裝：這里一定有讀者會提問，車輛如果像手機一樣刷死機了怎么辦。通常整車企業(yè)決定要使用FOTA需要做完備的考慮，以特斯拉為例采取了一種叫A/B 更新e的方式，通過使用車輛里面強運算力的聯(lián)網(wǎng)模塊（如儀表板、中控臺等）根據(jù)實現(xiàn)對整個進程的監(jiān)控，如下圖所示：

圖5 運行和備份的機制

將更新文件刷入ECU，對于儀表盤來說，每一步操作都是需要監(jiān)控整個機制是否完整，并且保證能隨時停止和重新寫入，只要對應(yīng)的ECU存在可以運行的導(dǎo)引程序，那就保證了車輛和服務(wù)器對整個過程的控制并把刷死機的風(fēng)險降到最低。

假設(shè)當(dāng)前在Part A運行

將新的rootfs圖像和DTB刷入 Part B

將新的Kernal寫入Part B

將主引導(dǎo)鏈和恢復(fù)引導(dǎo)鏈切換到Part B

檢查引導(dǎo)鏈以確保下次引導(dǎo)是可接受的

完成所有這些操作后，設(shè)備將處于暫停和非活動狀態(tài)。

完成最后的準備工作后，ECU將重新啟動：代理和服務(wù)器之間將持續(xù)連接，服務(wù)器可以獲得有關(guān)當(dāng)前更新狀態(tài)的最新信息。

第三部分 標準和車企的跟進

汽車企業(yè)都在努力構(gòu)建自己的OTA的架構(gòu)和功能，形成自己的標準。如下所示，不同品牌的企業(yè)，都已經(jīng)在OTA的做出了嘗試，在層級上面主要是對娛樂系統(tǒng)推出OTA在線系統(tǒng)更新；并且在實時車況診斷基礎(chǔ)上升級為預(yù)警提醒。而往FOTA的范圍隨著信息安全的逐步深入和管理供應(yīng)商關(guān)鍵的機制越來越合理，這塊技術(shù)往縱深方向發(fā)展。而在國家上聯(lián)合國的各個地區(qū)協(xié)商也在協(xié)商UN Task Force Cyber Security and OTA的初步標準。2016年12月，由英國和日本作為主席國，成立了專門的汽車信息安全標準任務(wù)組UN TaskForce on Cyber security and OTA issues (CS/ OTA)，圍繞汽車網(wǎng)絡(luò)安全、數(shù)據(jù)保護和軟件升級OTA三部分開展國際法規(guī)及標準的制定工作，國際電信聯(lián)盟（ITU—SG17）也全面與參與了該任務(wù)組的相關(guān)工作。中國各行業(yè)專家也在中國汽車技術(shù)研究中心（C-WP.29秘書處）的組織下參與了該任務(wù)組的部分工作，并有相關(guān)國際標準建議提案。

表1 較早之前的整車企業(yè)的服務(wù)

OTA技術(shù)的威脅分析：在FOTA流程中，主要存在傳輸風(fēng)險和升級包篡改風(fēng)險。 終端下載升級包的傳輸流程中，攻擊者可利用網(wǎng)絡(luò)攻擊手段，如中間人攻擊，將篡改偽造的升級包發(fā)送給車載終端，如果終端在升級流程中同時缺少驗證機制，那么被篡改的升級包即可順利完成升級流程，達到篡改系統(tǒng)，植入后門等惡意程序的目的。攻擊者還可能對升級包進行解包分析，獲取一些可利用的信息，如漏洞補丁等，升級包中關(guān)鍵信息的暴露會增加被攻擊的風(fēng)險。因此OTA技術(shù)對于整車企業(yè)而言，其實也存在做不好會出大事的問題，這一直是制約整車企業(yè)推動OTA技術(shù)在車輛里面發(fā)展的最大障礙。隨著信息安全技術(shù)的導(dǎo)入，這塊也變成了整車企業(yè)與網(wǎng)絡(luò)技術(shù)結(jié)合的發(fā)展機遇。

小結(jié)：從總的技術(shù)發(fā)展來看，OTA服務(wù)是智能汽車技術(shù)的一個重要的功能，從用戶心理和整車企業(yè)售后維護都需要它，在這項比較火熱技術(shù)牽動的，是未來車輛融入到網(wǎng)聯(lián)的整體架構(gòu)中，是歷史發(fā)展的一個重要的步驟。這項技術(shù)也隨著整車企業(yè)慢慢對軟件能力、網(wǎng)絡(luò)能力和對后端客戶需求全生命周期的把握變得越來越重要。