汽车OTA升级的原理与用途详解_说吧

汽车OTA升级的原理与用途详解

一猫汽车网 2018-12-04 17:34:22 图片作者：张学军

汽车OTA升级的原理与用途详解

受特斯拉的影响，全球汽车制造商开始提供自己的OTA更新，众所周知的是特斯拉汽车从诞生之初就带有OTA功能的，甚至在两年前都可声称其是全球唯一可以实现整车OTA的汽车。这几年来随着纯电动汽车品牌的增多，OTA在汽车上的应用也越来越多，那么汽车的OTA升级究竟是个什么样的功能呢？

OTA（Over－the－Air Technology）空中下载技术，在手机上就是通过移动通信（GSM或CDMA）的空中接口对SIM卡数据及应用进行远程管理的技术，具体到汽车上就是实现在系统的在线更新升级，汽车上有联网模块的网关，可以让汽车上能够数据传输的软件、硬件实现上传、下载、代码更新等功能。

打个比方，就像Windows每次的系统更新，可以让你的电脑拥有更多功能、性能提升、改善视觉效果等，并且这种更新升级是通过联网后在线检测、匹配版本、下载新的代码到本地进而执行安装、校验等程序，可以看做是PC版的OTA，简而言之四个字：在线升级。

汽车上也是同样的原理，但汽车作为一种交通工具，一个移动的“电脑”，其进行在线升级（OTA空中升级）的实现流程将比电脑更复杂，其中最重要的就是基于安全的考量。

电脑或者手机的系统升级，分为软件升级和硬件升级，即通常所说的SOAT(SoftwareOverTheAir)应用软件升级,FOAT（FirmwareOverTheAir）固件版本在线升级。

同样的汽车OTA也分为这两种，那么汽车OTA升级怎么实现？其中有哪些需要注意的问题？我们一下看下汽车OTA在线升级的原理。

上图展示车辆内从主机厂服务器更新程序到指定ECU的过程中的主要部件。首先通过移动网络（3G/4G/5G）建立车辆与服务器之间的安全连接，确保全新的，待更新的固件安全地传输到车辆的TelematicsUnit，然后再传输给OTAManager。OTAManager管理车辆所有ECU的更新过程。

它控制着将固件更新分发到ECU，并告知ECU何时执行更新-在多个ECUs需要同时更新的情况下尤为重要，例如推送一项新功能，而该新功能涉及多个ECUs。更新过程完成后，OTAManager将向服务器发送确认。

针对OTAManager它可能需要外挂NANDflash用来存储固件包，同样也可以用来存储其他车辆ECUs的备份，以期在ECU升级失败之后进行调用。这些备份应该通过加密&认证的方式进行防护避免外部攻击。

这些备份也是可以确保汽车在进行OTA过程中出现任何意外的情况时，可以恢复到升级之前的状态，从而确保更新失败后的行车安全。

OTAManager内部有一个表格，包含各个车辆ECU的相关信息，譬如SN号以及当前的固件版本。这样便于OTAManager核实接收到的固件升级包并确保是通过授权的。

如果是正在更新的ECU不具备加密能力那么OTAManager同样需要负责更新过程的解码及验签。现阶段OTA实现加密、解码、校验等是其基本的安全功能。

不难看出OTAManager的重要性，也正是基于此，并结合网关的安全性、隔离性以及天然的多连接属性，部分主机厂启动自研网关（集成OTAManager角色），譬如蔚来、FF。

汽车OTA升级过程中有哪些技术问题需要注意？

升级从某种程度上来讲，相当于把车辆从一个状态导入到另一个状态，在此过程中不可避免会出现一些错误。

这种情况下，就需要制定一些防错机制，来保证车辆的功能安全，如断点续传，在目前已知的OTA防错机制中，属于一种最基本的技术方案。

除此之外还有回滚机制，因为当车辆系统进行升级后，新的版本系统可能不稳定，这种情况下可以通过回滚机制退回到之前的版本，保证车辆安全。

说到汽车OTA时候的回滚机制，其应该是在整个升级过程中任意节点都可以实现的终止、并回滚到升级之前的状态。

另外，端对端的安全，即从开发者开始到后来的整车厂、汽车产品，保证所有的数据通道都是安全的，数据是经过加密的，最后开发出来的软件是经过安全等级验证了的，甚至最开始开发者的身份，也经过了安全验证。

架构安全，包括使用一些行业标准协议及安全算法，如哈希算法，来保证整个架构体系的安全性。

综合看来汽车上实现OTA在线升级软硬件，主要考量的还是安全问题，包括Telematics以及通信技术都已成熟并且在电脑、手机这些设备上都经过实践的验证，把这种技术转移到汽车上就需要考虑更多环境、汽车工况等安全因素。归纳起来主要包括以下两个方面：

信息安全；主要是通信加密、软件包验签、更新隔离以及安全芯片等；

功能安全；主要包括OTAManager的启动条件判断（车辆状态等）、ECU升级的预编程条件判断、整车模式配合以及升级方案考量（A/B法等）；

对于汽车OTA，我们不能很随便地做整车ECU升级，而必须要在一个合适的时间、合适的地点以及车辆合适的状态下进行升级。

这就要求车企制定相应的升级策略，特别是对“合适”二字进行定义，以尽可能安全、经济的方式来开展这项操作，而不是像手机一样在任何时间、任何地点实施升级。