隨著智能車輛在網(wǎng)聯(lián)化、智能化及架構(gòu)技術(shù)的發(fā)展，汽車無論是在固件還是軟件上都已經(jīng)不可逆轉(zhuǎn)的需要進(jìn)行軟件迭代升級(jí)。要求在汽車生命周期內(nèi)會(huì)不斷的基于汽車 OTA 能力為整車提供軟件升級(jí)、固件升級(jí)、售后服務(wù)等服務(wù)能力，可以說，汽車的智能化更迭對(duì)于 OTA 升級(jí)能力已經(jīng)成為不可或缺的主流趨勢(shì)。

本文章將針對(duì)自動(dòng)駕駛汽車的軟件升級(jí)現(xiàn)狀需求及監(jiān)管要求等進(jìn)行詳細(xì)的描述。意在幫助讀者整體了解自動(dòng)駕駛中的軟件升級(jí)過程原理、準(zhǔn)入要求及其應(yīng)對(duì)策略。

1 整車軟件升級(jí)技術(shù)優(yōu)勢(shì)

首先，軟件定義汽車推動(dòng)了整車軟件升級(jí)技術(shù)的發(fā)展與應(yīng)用，通過整車軟件升級(jí)解鎖新技能，堵上小漏洞，甚至對(duì)不同使用場(chǎng)景進(jìn)行特性化的配置推送或更改。由于軟件定義汽車已經(jīng)形成共識(shí)，軟件有bug風(fēng)險(xiǎn)也成為一大趨勢(shì)。整車軟件升級(jí)可有效解決軟件故障，通過應(yīng)急響應(yīng)降低開發(fā)周期短帶來的軟件風(fēng)險(xiǎn)問題，以及完成對(duì)信息安全漏洞的修復(fù)。

以智駕系統(tǒng)和智能座艙系統(tǒng)的升級(jí)為例可以很好的說明OTA升級(jí)過程原理及數(shù)據(jù)流走向。整個(gè) OTA 軟件框架包括三部分：OTA 云端，多媒體服務(wù)，智能駕駛模塊。

OTA 云端的軟件框架結(jié)構(gòu)主要包括以下部分：OTA 管理平臺(tái)、任務(wù)調(diào)度系統(tǒng)、升級(jí)監(jiān)控、版本監(jiān)控、打包工具打包升級(jí)包、加密計(jì)算、簽名、版本管理、升級(jí)日志報(bào)告、升級(jí)通知等。

智能駕駛域（包含域控制器以及各個(gè)傳感器零部件）通過軟件開發(fā)完成迭代，其相應(yīng)的軟件會(huì)被打包為升級(jí)包，進(jìn)行加密、簽名后傳送給到 OTA 云端，同時(shí)本地端進(jìn)行版本管理、記錄升級(jí)日志報(bào)告、給相關(guān)聯(lián)系統(tǒng)發(fā)送升級(jí)通知。軟件包包括要更新的內(nèi)容，全量還是分量，一個(gè)車型，一個(gè)批次，還是一個(gè)特定群體等，這些包被放在 OTA 云端服務(wù)器上開始交互。對(duì)于攝像頭這類部件如果是純掛接到域控制器上，升級(jí)前需要明確其與域控制器的兼容性來明確他們之間的關(guān)聯(lián)關(guān)系?？紤]域控制器模塊的功率，如果有液冷散熱需求，整車升級(jí)流程中不能在域控制器工作的情況下升級(jí)TMS模塊。

智能座艙域通過 4G/5G 網(wǎng)絡(luò)建立車輛與服務(wù)器之間的安全連接，確保全新的、待更新的固件安全地傳輸?shù)杰囕v的各個(gè)ECU。主要軟件框架如下：獲取版本信息、升級(jí)條件判斷與檢測(cè)、升級(jí)日志上傳服務(wù)器、DoIP client、從服務(wù)去下載升級(jí)包、制定升級(jí)策略、解密計(jì)算、驗(yàn)簽、HMI 解密顯示、升級(jí)日志上傳等。

智能駕駛模塊需要滿足車端的安全通信，包括協(xié)議通信鏈接管理以及安全認(rèn)證。其主要的軟件框架如下：升級(jí)包驗(yàn)簽、升級(jí)包進(jìn)度和結(jié)果反饋、升級(jí)包解密、差點(diǎn)還原、DoIP server、5R1V 升級(jí)、高精定位升級(jí)、域控制器升級(jí)、環(huán)視攝像頭升級(jí)等。

整個(gè)升級(jí)要素包括如下：

1）軟件升級(jí)包配置：通過打包工具生成相應(yīng)的配置文件 .Config。然后，對(duì)配置好的軟件包進(jìn)行簽名、拆包、加密傳輸。

2）軟件升級(jí)包組包：智能座艙控制器解析接收到的數(shù)據(jù)，并進(jìn)行解密、組包、驗(yàn)簽；獲得軟件升級(jí)包與 Config 文件的壓縮包。

3）軟件升級(jí)包傳輸：讀取 Config 文件中的相關(guān)信息用于通信控制交互，將軟件升級(jí)包傳輸至智能駕駛各模塊。

4）軟件升級(jí)包交付：智能駕駛控制器對(duì)軟件升級(jí)包進(jìn)行解密、差分還原，解密后得到軟件安裝包；最后，使用應(yīng)用證書進(jìn)行驗(yàn)簽，開啟自升級(jí)任務(wù)。

其次，若出現(xiàn)因軟件故障導(dǎo)致的召回，可以節(jié)省大量的時(shí)間和金錢成本?？焖俚?、提升產(chǎn)品和使用體驗(yàn)。隨著軟件在汽車上的應(yīng)用越來越廣泛，涉及軟件相關(guān)的召回越來越多，在這個(gè)發(fā)展過程當(dāng)中，軟件帶來的性能改變會(huì)給企業(yè)帶來很多的潛在質(zhì)量問題。新能源汽車出去之后投訴率百分之百，百分之百里面90%都是軟件bug。

通常情況下，軟件升級(jí)可以把原先不夠好的功能變得更好，而車輛召回則是把有缺陷的東西換成或修復(fù)為符合標(biāo)準(zhǔn)和要求的東西。因此升級(jí)和召回都是一種消除缺陷的活動(dòng)，返點(diǎn)返廠并不是必要條件。而通過合理的手段對(duì)OTA技術(shù)的應(yīng)用，可以是省事省力又省錢的解決問題，預(yù)計(jì)通過這種方式召回的汽車將越來越多。

2 整車軟件升級(jí)安全管理與測(cè)試挑戰(zhàn)

汽車作為成熟的工業(yè)產(chǎn)品，上市之前需完成產(chǎn)品的公告認(rèn)證及生產(chǎn)企業(yè)的許可認(rèn)證。整車、零部件都是固化的，整車軟件升級(jí)使這一切成為可變的。

從軟件升級(jí)的整體把控上看，軟件OTA的過程涉及云端安全管理，OTA連接安全管理，車端OTA安全管理幾個(gè)大項(xiàng)。其中，云端安全主要是包括服務(wù)器訪問保護(hù)、服務(wù)器攻擊抵御、服務(wù)器-客戶端鑒權(quán)、升級(jí)包安全存儲(chǔ)、OTA業(yè)務(wù)滲透測(cè)試、OTA管理平臺(tái)漏洞掃描、OTA業(yè)務(wù)安全日志這幾大塊。其次，OTA連接安全則是涉及Https的安全連接、傳輸內(nèi)容加密、APN等業(yè)務(wù)領(lǐng)域。最后，車端OTA安全則是涉及汽車服務(wù)器鑒權(quán)、升級(jí)包完整性及安全性驗(yàn)證、OTA應(yīng)用漏洞掃描、升級(jí)包存儲(chǔ)安全管理、升級(jí)可靠性等多方面。

從某種程度上講，軟件升級(jí)過程需要通過對(duì)整個(gè)安全體系的設(shè)計(jì)與認(rèn)證：其中包含云端OTA安全設(shè)計(jì)，管理端的連接安全保護(hù)，車端的OTA安全加固，并輔以嚴(yán)苛的性能測(cè)試，才能確保產(chǎn)品的可靠性和安全性。

3 軟件升級(jí)管理要求應(yīng)對(duì)策略

高級(jí)智能駕駛汽車為了從實(shí)踐層面實(shí)現(xiàn)智能駕駛汽車準(zhǔn)入，從當(dāng)前準(zhǔn)入指南規(guī)定的角度出發(fā)需要重點(diǎn)考慮軟件升級(jí)在實(shí)際應(yīng)用過程中的具體要求和實(shí)施措施。這是因?yàn)橐呀?jīng)有不少新勢(shì)力在設(shè)計(jì)之初，往往對(duì)于軟件升級(jí)真正的規(guī)則和需求理解不夠透徹，在軟件版本發(fā)布中做毫無安全管控的升級(jí)濫用。當(dāng)前出現(xiàn)的各類軟件升級(jí)法規(guī)及準(zhǔn)入指南關(guān)于軟件升級(jí)的部分規(guī)范則是對(duì)于軟件升級(jí)指導(dǎo)所下的及時(shí)雨。將從如下幾方面為軟件升級(jí)帶來更多的應(yīng)對(duì)優(yōu)勢(shì)。

1）軟件升級(jí)的國家監(jiān)管

中國市場(chǎng)，截止到2019年涉及程序或軟件問題的召回就達(dá)到213次，涉及車輛683.02萬輛，約占總召回?cái)?shù)量的9%→因軟件造成的召回增漲趨勢(shì)明顯。

當(dāng)前市場(chǎng)上部分車企為快速推出產(chǎn)品，將還沒有完善的汽車產(chǎn)品推出市場(chǎng)→通過OTA忽悠消費(fèi)者，用升級(jí)之類的借口，對(duì)自身產(chǎn)品存在的問題進(jìn)行搪塞、混淆甚至掩蓋召回的事實(shí)。

基于以上現(xiàn)狀描述，國家市場(chǎng)監(jiān)督總局2020年11月25日國家市場(chǎng)監(jiān)督管理總局出臺(tái)了《關(guān)于進(jìn)一步加強(qiáng)汽車遠(yuǎn)程升級(jí)（OTA）技術(shù)召回監(jiān)管的通知》，著力實(shí)現(xiàn)對(duì)OTA的監(jiān)管重點(diǎn)：在于通過有效的手段出臺(tái)政策方法辨識(shí)召回與升級(jí)的差別。以避免OEM通過OTA方式消除缺陷，掩蓋召回事實(shí)的行為。

采用OTA方式對(duì)已售車輛開展技術(shù)服務(wù)活動(dòng)的汽車廠家，應(yīng)按照《缺陷汽車產(chǎn)品召回管理?xiàng)l例》和 《缺陷汽車產(chǎn)品召回管理?xiàng)l例實(shí)施辦法》要求，向市場(chǎng)監(jiān)管總局質(zhì)量發(fā)展局備案。2020年1月1日已實(shí)施OTA技術(shù)服務(wù)活動(dòng)，生產(chǎn)者應(yīng)于2020年12月31日已完成了相應(yīng)的補(bǔ)充備案。

此外，2022年4月15日，工業(yè)和信息化部裝備工業(yè)發(fā)展中心發(fā)布了《關(guān)于開展汽車軟件在線升級(jí)備案的通知》中就明確指出，軟件升級(jí)的申請(qǐng)主體應(yīng)是汽車整車生產(chǎn)企業(yè)。且升級(jí)過程應(yīng)按要求依次完成企業(yè)管理能力備案、車型及功能備案和具體升級(jí)活動(dòng)備案等一系列要求。解讀下來，那就是國家對(duì)軟件升級(jí)的監(jiān)管將更加嚴(yán)苛，后續(xù)主機(jī)廠想學(xué)特斯拉那一套，先上后優(yōu)化的策略可能會(huì)存在較大的阻礙了。

2）軟件升級(jí)法規(guī)-UN/WP29

對(duì)于軟件升級(jí)法規(guī)而言，歐洲標(biāo)準(zhǔn)中UN/WP29可以完全適用于有軟件升級(jí)功能的M類（乘用車）、N類（載貨車）、O類（掛車）、R類（拖車）、S類(牽引車）、T類（農(nóng)用車）等車輛的國際法規(guī)。對(duì)于智能駕駛市場(chǎng)布局而言，其軟件升級(jí)的法規(guī)適用范圍總結(jié)如下：

• 2020年6月24日，WP.29第181次全體會(huì)議以網(wǎng)絡(luò)會(huì)議形式通過軟件升級(jí)法規(guī)，并于2020年6月25日正式發(fā)布 ；
• 法規(guī)發(fā)布后，已于2021年1月22日正式生效，并由日本正式實(shí)施到研發(fā)車型中。
• 韓國在法規(guī)正式發(fā)布之前已經(jīng)將其融入了國家指南。
• 2022-2024年，歐盟已陸續(xù)將所有新車型到全部車型都納入該軟件升級(jí)所需遵守的范疇中。

對(duì)于軟件升級(jí)而言，其法規(guī)所規(guī)定的部分涉及利益相關(guān)者（汽車制造商、技術(shù)服務(wù)部門、主管部門）的責(zé)任。軟件升級(jí)涵蓋的內(nèi)容涉及信息安全方面、認(rèn)證合規(guī)方面、功能安全方面的要求。軟件升級(jí)的具體流程、步驟、主要包括車輛類型批準(zhǔn)申請(qǐng)、SUMS合格證書、RX軟件標(biāo)識(shí)號(hào)（RXSWIN）等幾大方面。如上這些內(nèi)容都意在滿足軟件升級(jí)的安全性和可靠性要求。

3）《智能網(wǎng)聯(lián)汽車準(zhǔn)入指南》對(duì)軟件升級(jí)的要求

智能網(wǎng)聯(lián)汽車準(zhǔn)入指南是一部針對(duì)當(dāng)前各家主機(jī)廠期待所研發(fā)的自動(dòng)駕駛功能被認(rèn)可所辦法的準(zhǔn)則、規(guī)范。它涉及包含如功能安全、信息安全安全、軟件升級(jí)、數(shù)據(jù)記錄、仿真/實(shí)車測(cè)試等方方面面。而軟件升級(jí)上又主要包括對(duì)管理制度、標(biāo)準(zhǔn)規(guī)范、升級(jí)影響、測(cè)試和驗(yàn)證、適配性、可追溯性、告知義務(wù)和安全性等內(nèi)容進(jìn)行了相應(yīng)的開發(fā)內(nèi)容規(guī)范。綜合總結(jié)相應(yīng)的管理要求和測(cè)試要求如下圖。

對(duì)于各家車企而言，需要各企業(yè)需盡快建立OTA管理運(yùn)營體系、組織，積極配合國家進(jìn)行監(jiān)督管理。構(gòu)建完善的OTA安全保障體系，流程體系先行。嚴(yán)控軟件開發(fā)交付體系，做好全流程和全生命周期管理的驗(yàn)證、發(fā)布、備案、過程監(jiān)管及應(yīng)急處理，確保軟件開發(fā)的安全可靠和系統(tǒng)效率。形成完善的OTA整車集成測(cè)試能力，同步發(fā)展功能安全、信息安全測(cè)試能力，形成OTA功能安全與信息安全的測(cè)試與驗(yàn)收方案。

4 總結(jié)

本文是概述性的講解了軟件升級(jí)在自動(dòng)駕駛汽車設(shè)計(jì)開發(fā)中的優(yōu)勢(shì)、難點(diǎn)及規(guī)范要求幾大方面。對(duì)于智能駕駛開發(fā)來講，了解軟件升級(jí)的重要技術(shù)優(yōu)勢(shì)，才能傾注更多的精力去發(fā)展軟件升級(jí)技術(shù)開發(fā)及安全管理所帶來的挑戰(zhàn)，才能明確如何較好利用軟件升級(jí)所涉及的規(guī)范、標(biāo)準(zhǔn)、法規(guī)等內(nèi)容更好的開發(fā)出適合智能汽車的軟件包。因此，這一過程的了解將使得整體把控軟件升級(jí)過程將顯得不那么棘手。