不管大家對 Musk 的看法如何，特斯拉的整車 OTA 能力想必是很多車企十分羨慕和渴求的功能。

因為特斯拉不只是簡單地把軟件升級包從云端下發(fā)至車內(nèi)的 T-Box（Telematics Box,負(fù)責(zé)汽車無線通訊），來升級地圖等車機(jī)內(nèi)嵌的 APP 應(yīng)用。它還能夠直接把補(bǔ)丁直接發(fā)送至相關(guān)的、獨立的 ECU，實現(xiàn)對汽車主被動、網(wǎng)絡(luò)安全甚至是關(guān)鍵控制功能的升級。

特斯拉通過 OTA 的方式持續(xù)實現(xiàn)各項功能的更新 | TESLA

很多人之前把未來的汽車暢想成「一臺手機(jī)加四個輪子」，所以也理所當(dāng)然地認(rèn)為整車 OTA 應(yīng)該和我們升級手中的 iPhone 一樣簡單。但其實從架構(gòu)的角度來看，智能手機(jī)基本只配備了一臺處理器來運行各種 APP，但汽車內(nèi)部 ECU 的數(shù)量至少有上百個，它們連接在不同的車內(nèi)通訊網(wǎng)絡(luò)上，同時每條網(wǎng)絡(luò)又有著不同的數(shù)據(jù)傳輸協(xié)議。

畢竟這個世界上不存在「沒有漏洞」的軟件。整個汽車產(chǎn)業(yè)都在朝著「軟件定義」的方向逐步進(jìn)化，所以能夠及時通過 OTA 升級修正錯誤的能力就顯得十分必要了。特別對智能互聯(lián)汽車而言，一旦被黑客入侵，輕者造成財產(chǎn)損失，重者會危及到乘客生命安全。這個時候，能夠及時阻止傷害進(jìn)一步發(fā)生最有效的方式就是通過 OTA 把軟件漏洞堵上。

這要比手機(jī)系統(tǒng)升級復(fù)雜得多。在受到特斯拉以及蔚來、小鵬等新造車勢力圍追截堵的壓力下，傳統(tǒng)車企希望能盡快讓自己的產(chǎn)品和云端連接起來。最迫切的需求是能夠?qū)崿F(xiàn) OTA 軟件升級，主要功能的實時更新，車輛維修/異常探測以及防止網(wǎng)絡(luò)黑客的入侵。

但問題是，特斯拉的整車架構(gòu)是從零開始打造的，傳統(tǒng)車企基于燃油車平臺規(guī)劃的電動車型與之相比還是有很大區(qū)別的。所以假設(shè)要實現(xiàn)類似特斯拉的 OTA 功能，在獨立規(guī)劃的電動汽車產(chǎn)品量產(chǎn)前，幾乎所有的車企都需要找到一個「合適」且足夠安全的解決方案才行。這就讓提供「汽車 OTA 升級」的供應(yīng)市場變得異常火熱。

這也演化成了一個「智能汽車」的入口搶奪戰(zhàn)。

汽車 OTA 升級的基本原理 | HITACHI

不管是 Tier 1 還是 Tier 2 供應(yīng)商，大家都感受到了主機(jī)廠客戶對 OTA 升級方案的需求在持續(xù)增長。同時，來自移動產(chǎn)品終端的軟件公司也開始盯上了汽車這塊「肥肉」。在它們看來，汽車不過是「輪子上的智能手機(jī)」而已。

最后的結(jié)果就是做 OTA 的軟件公司陸續(xù)被傳統(tǒng)供應(yīng)商收入麾下，形成了各方勢力割據(jù)的總體局面：

1. 2015 年早些時候，哈曼國際收購了總部位于以色列的軟件公司 Red Bend。這是一家為互聯(lián)汽車提供軟件管理技術(shù)、OTA 軟件和固件升級服務(wù)的公司。但之后哈曼又被三星電子吃掉了。

2. 2016 年，當(dāng)時還是英特爾業(yè)務(wù)部門的風(fēng)河（Wind River）并購了為汽車提供 OTA 升級解決方案的 Arynga。

3. 兩周之后，風(fēng)河宣布福特將使用其 OTA 升級技術(shù)。風(fēng)河方面表示「Wind River Edge Sync 技術(shù)能夠提供不同的升級方式，可最小化數(shù)據(jù)容量、傳輸時間以及內(nèi)存占用」。

4. 2017 年，從德爾福集團(tuán)中分拆出來的安波福（Aptiv）收購了總部位于密歇根的初創(chuàng)公司 Movimento，并將其 OTA 平臺集成到了自家的解決方案中。安波福表示「希望幫助車企完成數(shù)據(jù)搜集、分析的工作，監(jiān)測漏洞，提升召回效率，堵上網(wǎng)絡(luò)安全漏洞并加速自動駕駛技術(shù)的研發(fā)進(jìn)程。」

5. HERE，作為一家圖商，發(fā)布了 OTA Connect 的產(chǎn)品。HERE 方面表示這款產(chǎn)品是開源的，能夠高效地集成至車企的后端服務(wù)器。

其他在 OTA 平臺市場知名的供應(yīng)商則有大陸集團(tuán)、博世、Airbiquity 和 ATS Advanced Telematics System。

顯然這種雙內(nèi)存的配置十分占用空間。盡管升級數(shù)據(jù)可以進(jìn)行壓縮，但 OTA 供應(yīng)商仍需要考慮它要傳輸升級包的 ECU 是否有足夠的片上內(nèi)存（on-chip memory）。

其次，OTA 供應(yīng)商還應(yīng)該熟悉車內(nèi)的通訊網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。因為不同的 ECU 連接著從 CAN 總線、FlexRay、LIN 到 MOST、以太網(wǎng)等不同的通訊網(wǎng)絡(luò)，只有對每條線路的特點有清晰的認(rèn)知才能高效地實現(xiàn)軟件升級。

對此，芯片供應(yīng)商瑞薩認(rèn)為要實現(xiàn)從 OTA 的第一階段（對單一 ECU 的升級）進(jìn)化到能夠?qū)φ嚬δ芨拢ㄒ恍┌踩考母隆Ｐ枰獜膬蓚€方面入手：一是降低車內(nèi)通訊網(wǎng)絡(luò)的復(fù)雜性；二是簡化車內(nèi) API 接口同時增加 MCU 對多個系統(tǒng)的集成化控制。

這其實涉及到了從傳統(tǒng)燃油平臺向智能電動化邁進(jìn)的過程中，整車電子電氣架構(gòu)隨之發(fā)生的演化：從分布式逐步向集中式過渡。而全新車用計算平臺的引入能夠簡化車內(nèi)網(wǎng)絡(luò)的結(jié)構(gòu)，加速通訊協(xié)議的編譯過程同時增強(qiáng)各個子版塊的安全性。同時位于整個中樞系統(tǒng)的 MCU 應(yīng)該足夠智能，它需要把從以太網(wǎng)獲得的數(shù)據(jù)提前進(jìn)行壓縮，然后再傳輸給 CAN 總線。

MCU 會隨著汽車電子電氣架構(gòu)的變化而逐步進(jìn)化 | 瑞薩

不過目前還沒有哪個量產(chǎn)的 MCU 能夠勝任這樣的工作。瑞薩方面表示，R-CAR Gen 3 是它們目前用于汽車 OTA 的主流產(chǎn)品。但隨著汽車功能集成以及中心域控制的能力逐步增強(qiáng)，預(yù)計 2023 年會有適配全新電子電氣架構(gòu)的產(chǎn)品問世。

當(dāng)然，安全是 OTA 升級中最關(guān)鍵的問題所在。不像手機(jī)，升級不成功頂多是「變磚」，但汽車就不一樣了，稍有不慎就可能車損人亡。所以顯然不能很隨便地做整車 ECU 升級，這就要求車企要制定相應(yīng)的升級策略，特別是定義好「合適」二字，避免出現(xiàn)類似蔚來車主在長安街遭遇的窘迫事件。

這里的「合適」既包括了對時間、地點、車輛狀態(tài)等要求，同時還要對軟件的功能性進(jìn)行區(qū)分，比如關(guān)鍵系統(tǒng)一定要保持車輛靜止且電量充足等，像音樂、視頻類似的 APP 則可以在行駛過程中升級，只要確保不影響行車安全即可。

從這個角度出發(fā)考慮的話，在對汽車進(jìn)行 OTA 升級時，其實要先讓云端服務(wù)器與目標(biāo)車輛進(jìn)行通訊，鎖定并同時對目標(biāo)進(jìn)行持續(xù)監(jiān)測，確保其符合升級要求。而一旦進(jìn)入升級狀態(tài)，又會涉及一個新問題：中間發(fā)生錯誤怎么辦？

其實升級過程中出現(xiàn) bug 很正常，但對汽車而言，需要制定更妥善的防錯機(jī)制保證車輛功能安全不受影響。像「斷點續(xù)傳」就是目前已知的 OTA 防錯機(jī)制中一種較常見的方案。此外還有回滾機(jī)制，因為升級后新系統(tǒng)如果不穩(wěn)定就需要退回到之前的版本，這也是對車輛安全的一種保護(hù)方式。

Excelfore Esync 解決方案中下發(fā)軟件升級包的過程 | Excelfore

除了這兩種主流的解決方案外，業(yè)界知名的公司 Excelfore 還提出了一個「安全內(nèi)核」的概念，用來保障系統(tǒng)與云端的安全連接及對軟件進(jìn)行升級。而初創(chuàng)公司 Aurora Labs 的方案中包括了「Auto Detect」和「Auto Fix」兩項核心技術(shù)。前者在 ECU 的后臺運行，通過實時監(jiān)測代碼層級的錯誤來實現(xiàn)對宕機(jī)事件的預(yù)測。一旦錯誤被鎖定，自動修復(fù)功能會將 ECU 軟件實時滾回至上一個安全版本。理論上說，是不會出現(xiàn)「宕機(jī)」的情況。

整車 OTA 應(yīng)該成為汽車產(chǎn)業(yè)優(yōu)先解決的問題。自動駕駛汽車可能確實對降低交通事故傷亡率有幫助，但假設(shè)沒有靠譜的修補(bǔ)軟件漏洞的方法，到時候一旦面臨大規(guī)模召回，消費者的不滿情緒對品牌而言是最大的災(zāi)難。

我們細(xì)數(shù)下近些年發(fā)生的因軟件問題而導(dǎo)致的汽車召回事件：

1. 2016 年，日產(chǎn)召回了 320 萬因氣囊系統(tǒng)問題無法識別乘客的車輛；

2. 2016 年，通用召回了 360 萬氣囊系統(tǒng)自動進(jìn)入診斷模式的車輛；

3. 2017 年，道奇召回了 125 萬輛安全氣囊傳感器故障的車型；

更嚴(yán)重的是，很多消費者在知曉車企發(fā)布的召回通知后，繼續(xù)放任軟件故障存在。根據(jù)調(diào)研機(jī)構(gòu) Stout Research 發(fā)布的數(shù)據(jù)，購買 5 年內(nèi)的車輛在召回通知發(fā)布后的九個月內(nèi)，維修率只有 40%。例如，2018 年通用宣布因方向盤軟件故障召回 100 萬輛車型，到現(xiàn)在約有 60 萬臺未得到修復(fù)的車輛仍行駛在道路上。

如果車企的整車 OTA 技術(shù)能夠就位的話，對付這些 bug 就變得易如反掌。而且 OTA 升級不光能讓產(chǎn)品的電子系統(tǒng)保持最新，一旦出現(xiàn)因軟件故障導(dǎo)致的召回，可以節(jié)省大量的時間和金錢成本。

「對很多車企而言，OTA 技術(shù)上車的主要動力是出于成本節(jié)約的考慮。」行業(yè)咨詢機(jī)構(gòu) IHS Markit 首席分析師 Egil Juliussen 告訴極客公園（id：geekpark）。「網(wǎng)絡(luò)安全則是 OTA 必須成為互聯(lián)汽車標(biāo)配的另一個重要原因。」

而 OTA 升級對主機(jī)廠真正具有吸引力的地方在于「它能夠?qū)崿F(xiàn)車輛重要功能的常用常新」。通過 OTA，汽車制造商通過軟件升級的方式可以在產(chǎn)品售出后通過增加功能的方式繼續(xù)獲得收入。這也是為什么 Musk 認(rèn)為未來搭載了 FSD 的特斯拉車型會變成一件「持續(xù)升值的產(chǎn)品」。

此外，在搭載了一套雙向通信的 OTA 平臺后，車輛能夠?qū)④嚩讼到y(tǒng)和零部件的診斷及運行信息及時傳輸至云服務(wù)器，這也有利于主機(jī)廠對某些潛在隱患進(jìn)行預(yù)防性監(jiān)測，做到「將風(fēng)險提前扼殺在搖籃里」。

目前特斯拉使用的是 Red Bend（目前是哈曼國際旗下的公司）提供的 OTA 平臺進(jìn)行車輛和云端的通訊。但一旦涉及到整車軟件升級的問題時，特斯拉依賴的則是其內(nèi)部開發(fā)的 API 端口。

OTA 升級有利于主機(jī)廠對某些潛在隱患進(jìn)行預(yù)防性監(jiān)測 | HERE

標(biāo)準(zhǔn)的 API 端口能夠為 OTA 升級帶來的優(yōu)勢，對平臺供應(yīng)商而言是顯而易見的。目前很多 OTA 公司只有一到兩個客戶，每家都在對接一些特殊的需求，這樣是不利于整個行業(yè)的良性增長的。所以，Excelfore 牽頭成立了 eSync 聯(lián)盟，目的是解決目前汽車 OTA 普及過程中面臨的一些問題。比如有效降低開發(fā)成本，縮短產(chǎn)品導(dǎo)入市場的周期等等。

「甚至像福特、通用這樣規(guī)模的企業(yè)都對標(biāo)準(zhǔn)化的 API 產(chǎn)生了興趣，因為它能夠帶來更多成本上的競爭力。」Juliussen 如是說。「對小公司而言，這無疑是天上掉餡餅，因為這會讓消費者的選擇變得更容易些。」

相關(guān)標(biāo)簽：

智能汽車